Maatregelen implementeren en testen

Een maatregel bewijst zichzelf via het werk dat eraan hangt: handmatige taken die mensen afronden en documenteren, geautomatiseerde tests die een systeem controleren, en assessments die vastleggen of de maatregel effectief is. Dit artikel behandelt alle drie.

Taken vs Tests begrijpen

Tidal onderscheidt twee fundamentele manieren om maatregelen te valideren:

Handmatige Taken (Tasks)

• Handmatige activiteiten uitgevoerd door personen
• Vereisen menselijke beoordeling en bewijsmateriaal
• Bijvoorbeeld: netwerk diagram maken, verifiëren dat incidenten worden opgelost
• Status: Open → Afgesloten

Automatische Testen (Tests)

• Monitoring van voortgang in Tidal
• Bijvoorbeeld: Periodieke policy review, volledigheid risico informatie
• Monitoring van externe systemen
• Bijvoorbeeld: Azure security settings, firewall rules, encryption status
• Status: Niet uitgevoerd → Geslaagd/Mislukt

Aan handmatige taken werken

Handmatige taken openen in een zijpaneel op de maatregel. Daar doe je het werk: bespreek het in het tabblad Conversatie, hang je bewijsmateriaal aan een opmerking, en sluit de taak daarna af.

Handmatige taken bekijken

1. Ga naar de maatregel met openstaande taken
2. Klik op de maatregelnaam om de taken en testen voor deze maatregel te zien
3. Klik op een handmatige taak in de uitgeklapte lijst
4. De taak sidepanel opent met alle benodigde informatie
5. De Details tab bevat nog meer informatie over de taak
6. De Gekoppelde taken tab bevat een overzicht van gekoppelde taken
7. De Feed tab bevat een volledige audit trail van deze taak

Samenwerken via conversaties

Comments en @mentions zijn hoe voortgang wordt vastgelegd en de juiste mensen erbij worden gehaald.

Conversatie tab functionaliteit:

• Comments toevoegen - Voortgang documenteren en vragen stellen
• @mentions gebruiken - Specifieke personen notificeren (bijv. @john)
• Real-time notificaties - Betrokkenen ontvangen direct berichten

Voorbeeld van een @mention:

@jane Kun je het network diagram reviewen dat ik geüpload heb? 

Bewijsmateriaal uploaden

Bewijsmateriaal hang je aan een opmerking, zodat elk bestand met context aankomt over waarom het is toegevoegd.

Bestand upload:

Je kunt documenten direct uploaden in de Conversatie tab:

1. Scroll naar de "Add your comment" sectie in de taak interface
2. Klik "Sleep bestanden hierheen of klik om toe te voegen" of sleep bestanden direct naar het comment veld
3. Er verschijnt automatisch een nieuwe comment met daarin een link naar het zojuist geüploade bestand

Best practices voor bewijsmateriaal:

• Screenshots met timestamps voor configuratie bewijzen
• Signed documents voor policy approvals en training records
• Log files voor incident response en monitoring activities
• Rapporten voor security scans en audit results

Taken afronden / sluiten

• Selecteer 'Taak sluiten' bovenin het scherm, of
• Schrijf een comment en selecteer 'Verzenden en sluiten' om de taak met een laatste comment te sluiten.

Aan testen werken

Een test rond je niet zelf af; je ververst hem en leest het resultaat. Elk resultaat anders dan Geslaagd zet de maatregel op rood.

Testen bekijken

1. Ga naar de maatregel met gekoppelde testen
2. Klik op de maatregelnaam om de taken en testen voor deze maatregel te zien
3. Klik op een test in de uitgeklapte lijst
4. De test sidepanel opent met alle benodigde informatie

Testresultaten verversen

1. Klik op "Vernieuwen" rechtsboven in het overzicht
2. De test begint nu te draaien en zal een nieuwe reultaat toevoegen

Testresultaten interpreteren

Niet uitgevoerd (Grijs)

• De Test is nog nooit uitgevoerd
• Ververs de test om een resultaat te krijgen
• Maatregel wordt automatisch rood gemarkeerd

Geslaagd (Groen)

• Test is succesvol uitgevoerd
• Configuratie voldoet aan vereiste security standards
• Bijdrage aan groene compliance status van de maatregel

Mislukt (Rood)

• Test detecteert non-compliance of security issue
• Vereist onmiddellijke aandacht en remediation
• Maatregel wordt automatisch rood gemarkeerd

Fout (Oranje)

• Technische fout in test uitvoering
• Test moet opnieuw uitgevoerd worden
• Maatregel wordt automatisch rood gemarkeerd

Azure Cloud tests voorbeeld

Azure integration tests controleren:

• Data encryption at rest - Verificatie dat Azure Data Disks encrypted zijn
• Network security groups - Firewall rules en access controls
• Identity management - Multi-factor authentication configuraties
• Resource compliance - Tagging en naming conventions
• Backup configurations - Automated backup schedules en retention

Assessments voltooien

Een assessment is een handmatige taak met één extra verplichting: je moet concluderen of de maatregel Effectief of Niet effectief is, en die conclusie werkt door in de status van de maatregel.

Assessments vs reguliere taken

Assessments zijn gespecialiseerde Handmatige taken met extra functionaliteiten:

• Beoordelaars - Automatisch toegewezen aan beoordelaars van de maatregel (niet eigenaren)
• Gekoppelde taken tab - Overzicht van alle gerelateerde taken
• Effectiveness concluderen - Verplichte keuze: Effectief vs Niet effectief
• Periodieke beoordeling per maatregel - in de regel vinden beoordelingen periodiek plaats, waarbij één beoordeling de gehele maatregel afdekt.
• Één assessment voor meerdere maatregelen - het is vrij normaal om in één beoordeling meerdere maatregelen te beoordelen. De Assessment taak is dan zichtbaar onder iedere gelinkte maatregel in het overzicht.

Assessments uitvoeren

Assessments worden verder op dezelfde manier uitgevoerd als reguliere handmatige taken.

Een conclusie trekken

Er bestaat niet een eenduidige instructie om te bepalen of een maatregel Effectief of Niet effectief is, of deze instructies zijn organisatie-specifiek.

Maar in algemene zin raden wij de volgende strategie aan:

Een maatregel is effectief als:

• Alle gelinkte taken succesvol zijn voltooid (afgesloten)
• Het bijbehorende bewijsmateriaal adequate implementatie van de betreffende maatregel aantonen
• Automatische tests allemaal succesvol zijn voltooid (geslaagd)
• Er geen taken, testen of andere vereisten ontbreken
• Eventuele Issues die aan de maatregel gekoppeld zijn tijdig en adequaat zijn afgehandeld.

Een maatregel is ineffectief als:

• Taken niet conform de dead-line zijn uitgevoerd
• Het bijbehorende bewijsmateriaal niet afdoende is
• Automatische testen beveiligingsissues tonen
• Er taken of testen die nodig zijn voor de maatregel ontbreken
• Eventuele Issues die gekoppeld zijn aan de maatregel niet tijdig of niet adequaat zijn afgehandeld.