Networks security

Wat we doen

Kantoor (Rotterdam)

• Bedrijfs-wifi is gescheiden van het gastnetwerk (apart WLAN). Er is geen intern netwerk met servers; het kantoornetwerk geeft geen bijzondere toegang tot systemen.

Cloud (GCP)

• Alle eigen hosting draait op GCP. Soms wordt een oplossing in de cloudomgeving van de klant ondergebracht; die valt dan onder het beheer van de klant.
• EU-regio’s hebben de voorkeur; afwijking wordt per project vastgelegd.
• Geen SSH op servers (GKE-nodes). Beheer via gcloud, kubectl en Google Cloud IAM; pod-toegang via kubectl exec.
• Beheeracties worden gelogd in Cloud Audit Logs (retentie 1 jaar, zie 8.15).
• Buiten vertrouwde netwerken gebruiken medewerkers Cloudflare Zero Trust.

Endpoints

• Alleen macOS-laptops.
• Alleen erkende applicaties (App Store / ondertekende certificaten).
• Medewerkers patchen zelf (laptopovereenkomst); steekproef zie 8.01.

Verantwoordelijkheden

• DevOps Lead – toegangsbeheer GCP, inrichting en onderhoud cloud-infra
• Alle medewerkers – endpointbeleid naleven, updates doorvoeren
• Directie – middelen beschikbaar stellen voor veilige ICT-inrichting

Gaps

• Audit logs worden nog niet periodiek gereviewd en er is geen alerting op verdachte activiteit; de maandelijkse logreview C.22 is nog niet gestart (zie 8.16).
• Applicatielogging is projectafhankelijk; geen standaard baseline.
• Geen centrale verificatie van patches op laptops (geen MDM, zie 8.01).

Bewijs

• GCP-console: VPC-, firewall- en IAM-configuratie per project; Cloud Audit Logs
• Wifi-configuratie kantoor Rotterdam
• Laptopovereenkomst per medewerker (personeelsdossier)