Vulnerability management

Vulnerability management is het continue proces van het identificeren, classificeren, prioriteren en verhelpen van kwetsbaarheden in IT-systemen en software. Het doel is om het aanvalsoppervlak van je organisatie systematisch te verkleinen voordat aanvallers kwetsbaarheden kunnen misbruiken. Vulnerability management gaat verder dan incidenteel scannen: het is een doorlopende cyclus die is ingebed in je dagelijkse IT-operaties. Het NIST Cybersecurity Framework beschrijft vulnerability management als een kernproces binnen de Identify-functie, en het vormt de basis voor effectieve cyberverdediging. Zonder gestructureerd vulnerability management opereer je blind ten aanzien van de zwakke plekken in je infrastructuur.

Hoe werkt vulnerability management? Stappen

Het vulnerability management proces bestaat uit vijf kernfasen. De eerste fase is asset discovery: je brengt alle systemen, applicaties en apparaten in kaart die zich in je netwerk bevinden. Je kunt niet beschermen wat je niet kent. Gebruik tools voor netwerk-discovery en koppel deze aan je Configuration Management Database (CMDB) voor een actueel overzicht van je IT-landschap.

De tweede fase is vulnerability scanning. Geautomatiseerde scanners zoals Qualys, Tenable Nessus of Rapid7 InsightVM scannen je systemen op bekende kwetsbaarheden door ze te vergelijken met databases als de CVE-database en CWE-classificaties. Scans worden doorgaans wekelijks of maandelijks uitgevoerd, maar kritieke systemen verdienen frequentere scans. Authenticated scans, waarbij de scanner inloggegevens gebruikt, leveren nauwkeurigere resultaten op dan unauthenticated scans.

De derde fase is prioritering. Niet alle kwetsbaarheden zijn gelijk. Gebruik het CVSS-scoresysteem als startpunt, maar combineer dit met context over je eigen omgeving. Een kwetsbaarheid met een hoge CVSS-score in een systeem dat niet bereikbaar is vanaf het internet heeft minder prioriteit dan een medium-score kwetsbaarheid in een publiekgerichte webapplicatie. Risk-based vulnerability management weegt de ernst van de kwetsbaarheid, de waarde van het asset en de beschikbaarheid van exploits mee in de prioritering.

De vierde fase is remediatie. Dit kan bestaan uit het installeren van patches, het wijzigen van configuraties, het implementeren van compenserende maatregelen of het accepteren van het risico (met documentatie). Stel Service Level Agreements (SLAs) op voor remediation-tijden: kritieke kwetsbaarheden binnen 24 uur, hoge binnen een week, medium binnen een maand. De vijfde fase is verificatie: herscanning om te bevestigen dat de remediatie succesvol is uitgevoerd.

Wanneer voer je vulnerability management uit?

Vulnerability management is geen eenmalige activiteit maar een doorlopend proces. De frequentie van scans hangt af van je risicoprofiel en de regelgeving waaraan je moet voldoen. NIS2 verwacht dat essientiele en belangrijke entiteiten continu hun kwetsbaarheden monitoren en tijdig verhelpen. ISO 27001 vereist een gedocumenteerd proces voor het beheer van technische kwetsbaarheden.

Naast reguliere scans zijn er specifieke triggers voor ad-hoc scans: na het uitrollen van nieuwe systemen, na significante configuratiewijzigingen, bij publicatie van kritieke zero-day kwetsbaarheden en na een beveiligingsincident. Nieuwe assets moeten worden gescand voordat ze in productie gaan. Dit voorkomt dat bekende kwetsbaarheden je netwerk binnenkomen via ongeteste systemen.

Kwartaalrapportages over vulnerability management voortgang zijn waardevol voor het management. Rapporteer het totaal aantal gevonden kwetsbaarheden, de gemiddelde remediation-tijd, het percentage dat binnen de SLA is opgelost en de trend over tijd. Deze metrics helpen bij het onderbouwen van investeringen in security-tooling en personeel.

Wat kost vulnerability management?

De kosten van vulnerability management varieren sterk op basis van de omvang van je IT-omgeving en de gekozen tooling. Commerciele vulnerability scanners kosten doorgaans 5.000 tot 50.000 euro per jaar, afhankelijk van het aantal te scannen assets. Open-source alternatieven zoals OpenVAS bieden basisfunctionaliteit zonder licentiekosten, maar vereisen meer interne expertise voor configuratie en onderhoud.

Naast toolingkosten moet je rekening houden met personele kosten. Het analyseren van scanresultaten, prioriteren van kwetsbaarheden en coordineren van remediatie vereist getraind personeel. Voor kleinere organisaties kan een Managed Vulnerability Management service een kosteneffectief alternatief zijn, waarbij een externe partij het scannen en rapporteren overneemt. De kosten hiervoor liggen doorgaans tussen 500 en 5.000 euro per maand, afhankelijk van de scope.

De kosten van vulnerability management wegen op tegen de potentiele schade van een succesvol misbruikte kwetsbaarheid. Een datalek als gevolg van een ongepatchte kwetsbaarheid kan resulteren in boetes onder de AVG, operationele verstoring, forensische onderzoekskosten en reputatieschade die gezamenlijk vele malen hoger uitvallen dan de jaarlijkse kosten van een solide vulnerability management programma.

Vulnerability management integreren met andere processen

Vulnerability management staat niet op zichzelf maar integreert met meerdere security- en IT-processen. De koppeling met patch management is het meest direct: vulnerability scans identificeren wat gepatcht moet worden, het patchproces voert de remediation uit. Integratie met je change management proces zorgt ervoor dat patches gecontroleerd worden uitgerold zonder onverwachte bijeffecten op productiesystemen.

De verbinding met threat intelligence verrijkt je prioritering. Door kwetsbaarheden te correleren met actieve dreigingscampagnes kun je bepalen welke kwetsbaarheden het meest waarschijnlijk worden misbruikt in jouw sector. Integratie met je SIEM stelt je in staat om pogingen tot exploitatie van bekende kwetsbaarheden real-time te detecteren, zelfs voordat de patch is geinstalleerd. Een volwassen vulnerability management programma vormt het fundament waarop je totale beveiligingsstrategie is gebouwd.

Overweeg ook de integratie met je softwareontwikkelproces. Door vulnerability scanning te integreren in je CI/CD-pipeline worden kwetsbaarheden al tijdens de ontwikkelfase gedetecteerd, wat de kosten en doorlooptijd van remediation drastisch verlaagt. Dit concept, ook bekend als shift-left security, verschuift beveiligingstesten naar het vroegst mogelijke moment in de ontwikkelcyclus.

Veelgestelde vragen over vulnerability management

Wat is het verschil tussen vulnerability scanning en penetratietesten?

Vulnerability scanning is geautomatiseerd en identificeert bekende kwetsbaarheden door systemen te vergelijken met databases. Een penetratietest is handmatig werk door een specialist die kwetsbaarheden niet alleen vindt maar ook probeert te exploiteren om de daadwerkelijke impact te bepalen. Beide zijn complementair: scanning voor breedte en frequentie, pentests voor diepte en context.

Hoe vaak moet je vulnerability scans uitvoeren?

De frequentie hangt af van je risicoprofiel. Een veelgebruikt minimum is maandelijks voor de volledige omgeving en wekelijks voor internet-gerichte systemen. Bij hoog risico of compliance-eisen kan dagelijks scannen nodig zijn. Scan altijd na significante wijzigingen en bij publicatie van kritieke zero-days.

Wat als je een kwetsbaarheid niet kunt patchen?

Als patching niet mogelijk is, implementeer je compenserende maatregelen. Dit kan netwerksegmentatie zijn om het kwetsbare systeem te isoleren, aanvullende monitoring via je SIEM, het beperken van toegangsrechten of het inschakelen van een Web Application Firewall. Documenteer de risicoafweging en de gekozen maatregelen voor audit-doeleinden.

Is vulnerability management verplicht onder NIS2?

NIS2 vereist dat essientiele en belangrijke entiteiten passende technische maatregelen nemen om cyberrisicos te beheersen. Vulnerability management wordt expliciet genoemd als onderdeel van deze maatregelen. Organisaties moeten aantoonbaar kwetsbaarheden identificeren en tijdig verhelpen als onderdeel van hun risicobeheerstrategie.

Kan je vulnerability management uitbesteden?

Ja. Managed Vulnerability Management services combineren scanning, analyse en rapportage in een volledig uitbesteed model. Dit is vooral interessant voor organisaties zonder dedicated security-team. Kies een provider die ervaring heeft met jouw sector en die kan rapporteren op de metrics die je nodig hebt voor compliance en bestuursbeslissingen.

Vind een specialist voor vulnerability management via vulnerability management-oplossingen op IBgidsNL.