Dreigingsinformatie

Dreigingsinformatie wordt zowel geautomatiseerd als handmatig verzameld en gebruikt om maatregelen bij te sturen.

Wat we doen

• Dependabot: draait op alle repositories. Beveiligingsupdates voor dependencies worden gesignaleerd via pull requests. Dit is de enige geautomatiseerde scanning; er is geen SAST of DAST (zie 8.08).
• CVE-monitoring: relevante CVE’s voor de technologie-stack worden gevolgd en als ticket geregistreerd (ISMS-318 Axios, IMS-41 regreSSHion; beide afgehandeld).
• Cloud security advisories: GCP-bulletins worden gevolgd.
• Handmatig: developers en de IB-coördinator volgen security-nieuws en delen relevante dreigingen intern via Slack.
• Externe gebeurtenissen die YipYip kunnen raken worden in Jira IMS geregistreerd en beoordeeld (bijv. IMS-42, gecompromitteerde intermediate CA’s, oktober 2026).
• Wanneer een dreiging relevant is, wordt beoordeeld of maatregelen moeten worden aangepast.

Gaps

Geen bekende gaps. De combinatie van Dependabot en handmatig volgen is passend voor de organisatie; uitbreiding van scanning staat bij 8.08 (ISMS-380).

Bewijs

• GitHub: Dependabot-configuratie en PR-history
• Jira ISMS en IMS: CVE- en dreigingstickets (ISMS-318, IMS-41, IMS-42)