Bewustwordingssessie rapportage - 2 november 2026

Sessiegegevens

Veld	Waarde
Datum	2026-11-02
Presentator	Kjel Ottema
Onderwerp	CVE vs. echte impact
Format	Presentatie + discussie
Duur	~10 minuten
Moment	Weekopening

Aanwezigen

Het hele team.

Samenvatting onderwerp

Een scanner meldt kwetsbare packages, maar weet niet hoe wij ze gebruiken. ISO 27002 (8.8) vraagt daarom niet om alles te patchen, maar om per melding kans en impact voor ons te bepalen en die afweging vast te leggen.

Postgrex (STOPB-118): de SQL-injectie zit in Postgrex.stream, dat de Stop App nergens aanroept, dus de upgrade ging mee in het periodieke onderhoud.
earmark (SVSBACK-88): de audit in CI blokkeert nu de build, en de advisory voor earmark staat met reden in .mix-audit-skips omdat het alleen markdown van CMS-redacteuren rendert.
Melding van gemeente Rotterdam (STOPB-79): meldingen insturen kon zonder authenticatie, maar het ergste gevolg is spam die in het CMS al te markeren was, dus samen met hun security officer ingeschaald als minor.

ISMS-verwijzing

Control	Onderwerp
Control 8.08 - Beheer technische kwetsbaarheden	Bepalen of een gemelde kwetsbaarheid ons raakt en die afweging vastleggen.
Clausule 6.1.2 - Risicobeoordeling	Risico is kans maal impact.

Belangrijkste leerpunten

Een CVE is pas een risico als de kwetsbare code bij ons bereikbaar is.
Niet fixen mag, als de reden is vastgelegd.
Een blokkerende audit in CI heeft een skip-lijst met reden per uitzondering nodig, anders gaat iemand de audit uitzetten.

Vragen en discussiepunten

Afwegingen om een CVE niet te fixen staan nu verspreid over Jira-comments en skip-files, zonder vaste plek.
Van de 29 Elixir-repo’s met CI heeft geen enkele een audit-stap op de default branch, terwijl het ISMS security checks bij elke PR noemde.

Vervolgacties

Actie	Eigenaar	Deadline
Volgende presentatie