BIO 12.06.01 ISO A.18.2.2

Azure Secure Score Optimalisatie: Strategische Verbetering Van Beveiligingspositie

📅 2025-01-15
•
⏱️ 18 minuten lezen
•
🔴 Must-Have

💼 Management Samenvatting

Azure Secure Score optimalisatie vormt een strategisch proces voor het systematisch verbeteren van de beveiligingspositie binnen Azure-omgevingen. In tegenstelling tot passieve monitoring richt optimalisatie zich op actieve verbetering door middel van prioritering, automatisering en gestructureerde remediatie van beveiligingsaanbevelingen. Voor Nederlandse overheidsorganisaties is dit proces essentieel om te voldoen aan compliance-vereisten zoals BIO, NIS2 en AVG, terwijl tegelijkertijd de algehele beveiligingspostuur wordt versterkt.

Aanbeveling
IMPLEMENTEER SECURE SCORE OPTIMALISATIE
Risico zonder
Medium
Risk Score
7/10
Implementatie
20u (tech: 8u)
Van toepassing op:
✓ Azure

Zonder een gestructureerde aanpak voor Secure Score optimalisatie blijven organisaties achter bij hun beveiligingsdoelen. Aanbevelingen stapelen zich op zonder duidelijke prioritering, resources worden verspild aan laag-impact verbeteringen, en management heeft geen inzicht in de voortgang van beveiligingsinitiatieven. Dit leidt tot een reactieve beveiligingscultuur waarin problemen pas worden aangepakt wanneer ze kritiek worden, in plaats van proactief te werken aan continue verbetering. Secure Score optimalisatie lost deze problemen op door een systematische aanpak te bieden die rekening houdt met impact, inspanning en beschikbare resources. Het proces helpt organisaties om quick wins te identificeren die snel resultaat opleveren, hoog-impact aanbevelingen te prioriteren die de grootste beveiligingswinst bieden, en automatisering in te zetten voor schaalbare verbeteringen. Daarnaast biedt optimalisatie meetbare voortgang die kan worden gecommuniceerd naar management en stakeholders, wat essentieel is voor het rechtvaardigen van beveiligingsinvesteringen en het demonstreren van compliance-naleving tijdens audits.

PowerShell Modules Vereist
Primary API: Azure Security API
Connection: Connect-AzAccount
Required Modules: Az.Accounts, Az.Security

Implementatie

Azure Secure Score optimalisatie omvat een gestructureerd proces voor het identificeren, prioriteren en implementeren van beveiligingsaanbevelingen om de Secure Score te verbeteren. Het proces begint met een baseline-meting van de huidige score en een analyse van beschikbare aanbevelingen, waarbij aanbevelingen worden gecategoriseerd op basis van impact (hoog, middel, laag) en benodigde inspanning. Vervolgens worden aanbevelingen geprioriteerd met behulp van een impact-inspanning matrix, waarbij quick wins (hoge impact, lage inspanning) voorrang krijgen. Het optimalisatieproces omvat ook het implementeren van automatisering via Azure Policy voor bulk remediatie, het toewijzen van aanbevelingen aan resource-eigenaren voor accountability, en het monitoren van voortgang met behulp van gestructureerde rapportage. Daarnaast omvat optimalisatie het beheren van exemptions voor resources die legitiem afwijken van aanbevelingen, het integreren van beveiligingscontroles in Infrastructure as Code templates, en het implementeren van continue verbeteringscycli die regelmatig worden geëvalueerd en bijgesteld.

Vereisten

Voordat organisaties kunnen beginnen met Azure Secure Score optimalisatie, moeten verschillende technische, organisatorische en procesmatige vereisten worden vervuld. Deze vereisten vormen de fundamentele basis voor een succesvolle optimalisatie-implementatie en zijn essentieel om te kunnen waarborgen dat het optimalisatieproces effectief en duurzaam is.

De primaire technische vereiste is dat Microsoft Defender voor Cloud actief is ingeschakeld op alle relevante Azure-abonnementen en dat de Secure Score functionaliteit beschikbaar is. Defender voor Cloud verzamelt de beveiligingsgegevens en genereert de aanbevelingen die ten grondslag liggen aan de Secure Score berekening. Zonder deze service is het onmogelijk om een accurate score te genereren of aanbevelingen te identificeren voor optimalisatie. Organisaties moeten ervoor zorgen dat Defender voor Cloud is ingeschakeld op zowel productie- als niet-productieomgevingen, hoewel de prioriteit uiteraard ligt bij productieomgevingen waar de beveiligingsrisico's het grootst zijn. Daarnaast moeten organisaties ervoor zorgen dat alle benodigde data connectors zijn geconfigureerd, zodat Defender voor Cloud volledige zichtbaarheid heeft in de Azure-omgeving en alle relevante aanbevelingen kan genereren.

Voor de automatisering van optimalisatieprocessen is PowerShell versie 5.1 of hoger vereist, samen met de specifieke Azure PowerShell-modules. De Az.Accounts module verzorgt de authenticatie en verbinding met Azure, terwijl de Az.Security module de specifieke cmdlets bevat voor het ophalen van Secure Score gegevens, aanbevelingen en het uitvoeren van remediatie-acties. Deze modules moeten geïnstalleerd zijn op alle systemen waar optimalisatie scripts worden uitgevoerd, inclusief CI/CD pipelines, geautomatiseerde remediatiesystemen en rapportageplatforms. Voor geavanceerde optimalisatie-scenario's kunnen aanvullende modules nodig zijn, zoals Az.Policy voor het beheren van Azure Policy-initiatieven die worden gebruikt voor bulk remediatie, en Az.Resources voor het beheren van resource-exemptions.

Vanuit een beveiligingsperspectief zijn specifieke Azure RBAC-rollen vereist afhankelijk van de gewenste optimalisatie-activiteiten. Voor het lezen van Secure Score gegevens en aanbevelingen is minimaal de Security Reader rol vereist op de Azure-abonnementen. Voor het implementeren van remediatie-acties zijn aanvullende rollen nodig, zoals Security Admin voor het beheren van beveiligingsconfiguraties, of Resource Contributor voor het wijzigen van resource-instellingen. Voor het beheren van Azure Policy-initiatieven die worden gebruikt voor bulk remediatie is de Policy Contributor rol vereist. Organisaties moeten ervoor zorgen dat deze rollen worden toegewezen volgens het principe van least privilege, waarbij gebruikers alleen de minimale bevoegdheden krijgen die nodig zijn voor hun specifieke taken binnen het optimalisatieproces.

Naast technische vereisten is een gestructureerd organisatorisch proces cruciaal voor succesvolle optimalisatie. Dit proces moet duidelijk definiëren wie verantwoordelijk is voor het analyseren van aanbevelingen, hoe prioritering plaatsvindt, wie bevoegd is om exemptions goed te keuren, en hoe voortgang wordt gemonitord en gerapporteerd. Het proces moet ook rekening houden met de verschillende stakeholders binnen de organisatie, zoals resource-eigenaren die verantwoordelijk zijn voor het implementeren van aanbevelingen op hun resources, het beveiligingsteam dat de algehele strategie bepaalt, en management dat de voortgang monitort en beslissingen neemt over investeringen. Zonder een dergelijk proces blijft optimalisatie ad-hoc en wordt de waarde van Secure Score niet volledig benut.

Voor organisaties die bulk remediatie willen implementeren via Azure Policy, zijn aanvullende vereisten nodig. Dit omvat de beschikbaarheid van Azure Policy-initiatieven die geschikt zijn voor de gewenste remediatie-acties, de mogelijkheid om deze initiatieven toe te wijzen aan managementgroepen of abonnementen, en de configuratie van automatische remediatie waar mogelijk. Organisaties moeten ook overwegen om custom Azure Policy-definities te ontwikkelen voor specifieke aanbevelingen die niet worden gedekt door standaard-initiatieven, wat vereist dat teams beschikken over de kennis en vaardigheden om Azure Policy te ontwikkelen en te onderhouden.

Tot slot is het belangrijk om te realiseren dat optimalisatie een continue proces is dat regelmatige aandacht vereist. Organisaties moeten resources toewijzen voor het uitvoeren van wekelijkse reviews van nieuwe aanbevelingen, maandelijkse prioriteringssessies, en kwartaalreviews van de algehele strategie. Zonder deze continue aandacht zal de Secure Score niet optimaal blijven en zullen nieuwe aanbevelingen zich opstapelen zonder adequate actie.

Implementatie

De implementatie van Azure Secure Score optimalisatie vereist een gestructureerde aanpak die begint met een baseline-assessment, gevolgd door prioritering, implementatie van remediatie, en continue monitoring en verbetering. Hoewel het proces kan worden gestart met eenvoudige handmatige stappen, is het essentieel om al vroeg in het proces automatisering en schaalbaarheid te overwegen om duurzame resultaten te behalen.

De eerste stap in het optimalisatieproces is het uitvoeren van een baseline-assessment om de huidige staat te begrijpen. Dit omvat het ophalen van de huidige Secure Score voor alle relevante abonnementen, het identificeren van alle beschikbare aanbevelingen, en het categoriseren van deze aanbevelingen op basis van impact en ernst. Het baseline-assessment moet ook inzicht bieden in de verdeling van aanbevelingen over verschillende resource-types, zodat organisaties kunnen begrijpen waar de grootste verbeterkansen liggen. Deze baseline vormt de basis voor het stellen van realistische doelen en het meten van voortgang over tijd.

Na het baseline-assessment volgt de prioriteringsfase, waarbij aanbevelingen worden geëvalueerd op basis van een impact-inspanning matrix. Quick wins vormen de hoogste prioriteit: deze aanbevelingen hebben een hoge impact op de Secure Score maar vereisen minimale inspanning om te implementeren. Voorbeelden van quick wins zijn het inschakelen van diagnostische logging voor Azure-services, het configureren van basisbeveiligingsinstellingen, of het verwijderen van ongebruikte resources. Door te beginnen met quick wins kunnen organisaties snel momentum opbouwen en het belang van optimalisatie demonstreren aan stakeholders. Na quick wins volgen hoog-impact aanbevelingen die meer inspanning vereisen, gevolgd door middel-impact aanbevelingen, en tot slot laag-impact aanbevelingen die alleen worden aangepakt wanneer alle andere aanbevelingen zijn geïmplementeerd.

Gebruik PowerShell-script secure-score-optimization.ps1 (functie Invoke-Implementation) – Voert een baseline-assessment uit en identificeert optimalisatiekansen voor Azure Secure Score.

Het PowerShell-script secure-score-optimization.ps1 ondersteunt deze implementatie door automatisch de huidige Secure Score te analyseren, aanbevelingen te categoriseren op basis van impact en inspanning, en een prioriteringslijst te genereren. Het script maakt verbinding met Azure via Connect-AzAccount, haalt Secure Score gegevens op via de Az.Security module, en analyseert aanbevelingen om quick wins en hoog-impact verbeteringen te identificeren. De uitvoer bevat zowel een overzicht van de huidige score als concrete aanbevelingen voor verbetering, georganiseerd op basis van prioriteit. Het script kan regelmatig worden uitgevoerd om de voortgang te monitoren en nieuwe optimalisatiekansen te identificeren.

Voor bulk remediatie van aanbevelingen die op grote schaal van toepassing zijn, moeten organisaties Azure Policy-initiatieven implementeren. Deze initiatieven kunnen automatisch beveiligingsconfiguraties toepassen op alle nieuwe en bestaande resources binnen een abonnement of beheergroep, wat zorgt voor consistentie en voorkomt dat nieuwe resources worden gecreëerd zonder de juiste beveiligingsconfiguratie. Voorbeelden van bulk remediatie via Azure Policy zijn het automatisch inschakelen van diagnostische logging voor alle storage accounts, het toepassen van netwerkbeveiligingsgroepen op alle virtuele machines, of het afdwingen van TLS-versleuteling voor alle web-applicaties. Organisaties moeten deze initiatieven zorgvuldig testen in niet-productieomgevingen voordat ze worden toegepast op productie, om te voorkomen dat legitieme configuraties worden gewijzigd of dat bedrijfsprocessen worden verstoord.

Resource owner accountability is essentieel voor duurzame optimalisatie. Aanbevelingen moeten worden toegewezen aan de eigenaren van de betreffende resources, die verantwoordelijk zijn voor de implementatie en het onderhoud van de beveiligingscontroles. Dit zorgt ervoor dat beveiliging niet alleen een verantwoordelijkheid is van het centrale beveiligingsteam, maar wordt ingebed in de dagelijkse operaties van alle teams. Tools zoals Azure DevOps, ServiceNow of Jira kunnen worden gebruikt om deze toewijzingen te beheren en de voortgang te volgen. Het is belangrijk om duidelijke verwachtingen te stellen over wanneer aanbevelingen moeten worden geïmplementeerd, en om regelmatig te volgen of deze verwachtingen worden nagekomen.

Automatisatie via Infrastructure as Code templates met ingebouwde beveiligingscontroles voorkomt dat beveiligingsproblemen überhaupt ontstaan. Wanneer nieuwe resources worden gecreëerd via IaC templates die al de juiste beveiligingsinstellingen bevatten, worden veel aanbevelingen automatisch opgelost voordat ze kunnen verschijnen. Dit vereist wel dat organisaties hun IaC templates regelmatig updaten op basis van nieuwe aanbevelingen en best practices, maar het levert op de lange termijn aanzienlijke tijdwinst op en zorgt voor consistentie across de hele organisatie. Organisaties moeten ook overwegen om deployment gates te implementeren die controleren of nieuwe resources voldoen aan beveiligingsvereisten voordat ze worden gedeployed, wat voorkomt dat niet-conforme resources worden gecreëerd.

Exception handling is een belangrijk aspect van optimalisatie dat vaak over het hoofd wordt gezien. Niet alle aanbevelingen zijn van toepassing op alle resources, en sommige resources kunnen legitieme redenen hebben om van een aanbeveling af te wijken. Azure biedt de mogelijkheid om resources te exempten van specifieke aanbevelingen, wat voorkomt dat deze resources de score negatief beïnvloeden. Het is echter belangrijk om deze exemptions zorgvuldig te documenteren, inclusief de reden voor de exemption, de goedkeuringsautoriteit, en de reviewdatum. Exemptions moeten regelmatig worden gereviewd om ervoor te zorgen dat ze nog steeds gerechtvaardigd zijn, en moeten worden verwijderd wanneer de onderliggende reden niet meer van toepassing is.

Continue monitoring en verbetering vormen de laatste stap in het optimalisatieproces. Organisaties moeten wekelijks nieuwe aanbevelingen reviewen, maandelijks de voortgang monitoren en rapporteren, en kwartaalreviews uitvoeren om de algehele strategie te evalueren en bij te stellen. Deze continue aandacht zorgt ervoor dat de Secure Score niet alleen wordt verbeterd, maar ook op een hoog niveau blijft, en dat nieuwe beveiligingsrisico's tijdig worden geadresseerd.

Compliance en Auditing

Azure Secure Score optimalisatie speelt een centrale rol bij het aantonen van naleving van verschillende compliance-frameworks die relevant zijn voor Nederlandse overheidsorganisaties. Het optimalisatieproces zelf, inclusief de documentatie van prioritering, implementatie en voortgang, vormt waardevol bewijs tijdens audits en compliance-controles.

De Baseline Informatiebeveiliging Overheid (BIO) vereist dat organisaties passende technische maatregelen implementeren om informatiebeveiliging te waarborgen. Secure Score optimalisatie ondersteunt BIO-naleving door een gestructureerd proces te bieden voor het identificeren en implementeren van beveiligingscontroles, en door meetbare voortgang te leveren die kan worden gedocumenteerd en gerapporteerd. Specifieke BIO-thema's die worden geadresseerd door Secure Score optimalisatie omvatten toegangsbeheer, logging en monitoring, en beveiligingsconfiguratie. Tijdens ENSIA-audits kunnen optimalisatierapporten worden gebruikt als bewijs dat organisaties actief werken aan het verbeteren van hun beveiligingspostuur en dat zij een gestructureerd proces hebben voor het adresseren van beveiligingsrisico's.

De NIS2-richtlijn vereist dat essentiële en belangrijke entiteiten passende technische en organisatorische maatregelen nemen om de beveiliging van netwerk- en informatiesystemen te waarborgen. Secure Score optimalisatie ondersteunt NIS2-naleving door een continue verbeteringscyclus te bieden die risicobeheer, incidentpreventie en supply chain security adresseert. Het optimalisatieproces, inclusief de documentatie van prioritering en implementatie, kan worden gebruikt als bewijs van geïmplementeerde beveiligingsmaatregelen tijdens NIS2-compliance-controles. Daarnaast helpt het proces organisaties om proactief beveiligingsrisico's te identificeren en te adresseren voordat ze leiden tot beveiligingsincidenten, wat een kernvereiste is van NIS2.

De Algemene Verordening Gegevensbescherming (AVG) vereist dat organisaties passende technische maatregelen implementeren om persoonsgegevens te beschermen. Secure Score optimalisatie ondersteunt AVG-naleving door beveiligingscontroles te implementeren die de vertrouwelijkheid, integriteit en beschikbaarheid van persoonsgegevens waarborgen. Specifieke AVG-artikelen die worden geadresseerd omvatten Artikel 32 (beveiliging van verwerking) en Artikel 25 (data protection by design and by default). Het optimalisatieproces helpt organisaties om te demonstreren dat zij actief werken aan het verbeteren van beveiligingscontroles en dat zij een gestructureerd proces hebben voor het adresseren van beveiligingsrisico's die betrekking hebben op persoonsgegevens.

ISO 27001 controle coverage wordt ondersteund door Secure Score optimalisatie, omdat de Azure Security Benchmark die ten grondslag ligt aan Secure Score is afgestemd op ISO 27001 controles. Veel Secure Score aanbevelingen adresseren specifieke ISO 27001 controles, met name op het gebied van toegangscontrole (A.9), cryptografie (A.10), en beveiligingsincidenten (A.16). Het optimalisatieproces, inclusief de documentatie van prioritering en implementatie, kan worden gebruikt als onderdeel van een ISO 27001 Information Security Management System (ISMS) en als bewijs van continue verbetering tijdens ISO 27001-certificering en surveillance audits.

Voor sectorale kaders, zoals de DigiD-beveiligingsrichtlijnen of aanvullende eisen van toezichthouders in de gezondheidszorg en financiële sector, geldt eveneens dat Secure Score optimalisatie kan worden gebruikt als ondersteuning bij compliance. Het is belangrijk om te erkennen dat optimalisatie een hulpmiddel is voor compliance, maar geen vervanging voor formele compliance-audits. Organisaties moeten nog steeds regelmatige audits uitvoeren, documentatie bijhouden, en processen documenteren om volledige compliance aan te tonen. Optimalisatie biedt echter een continue meting van technische beveiligingscontroles en een gestructureerd proces voor verbetering, wat een waardevolle aanvulling is op traditionele point-in-time audits.

Monitoring

Gebruik PowerShell-script secure-score-optimization.ps1 (functie Invoke-Monitoring) – Monitort de voortgang van Secure Score optimalisatie en identificeert nieuwe optimalisatiekansen.

Effectieve monitoring van Azure Secure Score optimalisatie vereist een gestructureerde aanpak die zowel technische als organisatorische aspecten omvat. Het monitoringproces moet inzicht bieden in de voortgang van geïmplementeerde optimalisaties, trends identificeren, en actiegerichte informatie leveren voor continue verbetering.

Wekelijkse review van nieuwe aanbevelingen vormt een kritieke activiteit in het monitoringproces. Elke week verschijnen er nieuwe aanbevelingen op basis van wijzigingen in de Azure-omgeving, nieuwe services die worden ingeschakeld, of updates in de beveiligingsstandaarden. Het beveiligingsteam moet wekelijks tijd reserveren om deze nieuwe aanbevelingen te evalueren, te categoriseren op basis van impact en inspanning, en ze toe te wijzen aan de juiste resource-eigenaren. Deze wekelijkse review voorkomt dat aanbevelingen zich opstapelen en zorgt voor tijdige actie. Het is belangrijk om deze reviews te documenteren, inclusief welke aanbevelingen zijn geëvalueerd, hoe ze zijn geprioriteerd, en aan wie ze zijn toegewezen.

Maandelijkse voortgangsmonitoring gaat verder dan het bekijken van nieuwe aanbevelingen en onderzoekt de algehele voortgang van het optimalisatieproces. Deze monitoring omvat het vergelijken van de huidige Secure Score met de baseline, het analyseren van welke aanbevelingen zijn geïmplementeerd, welke nog in behandeling zijn, en welke zijn geëxempt. De monitoring moet ook inzicht bieden in de snelheid waarmee aanbevelingen worden geïmplementeerd, zodat organisaties kunnen identificeren waar het proces kan worden verbeterd. Maandelijkse rapporten moeten worden gedeeld met management en stakeholders om transparantie te waarborgen en om te demonstreren dat het optimalisatieproces effectief is.

Trendanalyse over tijd helpt organisaties om patronen te identificeren en te begrijpen wat werkt en wat niet. Deze analyse onderzoekt of de Secure Score consistent stijgt, of er periodes zijn waarin de score daalt, en wat de onderliggende oorzaken zijn. Een dalende trend kan bijvoorbeeld wijzen op nieuwe services die zijn ingeschakeld zonder beveiligingsconfiguratie, wijzigingen in compliance-vereisten, of nieuwe aanbevelingen die zijn toegevoegd aan de Secure Score berekening. Door deze trends te begrijpen, kunnen organisaties proactief actie ondernemen voordat de score significant daalt. Trendanalyse moet ook inzicht bieden in welke typen aanbevelingen het meest effectief zijn voor scoreverbetering, zodat organisaties hun strategie kunnen aanpassen op basis van deze inzichten.

Resource owner accountability monitoring is essentieel om te waarborgen dat aanbevelingen daadwerkelijk worden geïmplementeerd. Deze monitoring moet inzicht bieden in welke resource-eigenaren hun aanbevelingen tijdig implementeren, welke eigenaren achterlopen, en waar aanvullende ondersteuning nodig is. Tools zoals Azure DevOps of ServiceNow kunnen worden gebruikt om deze monitoring te automatiseren en om waarschuwingen te genereren wanneer aanbevelingen niet tijdig worden geïmplementeerd. Het is belangrijk om deze monitoring niet alleen te gebruiken voor accountability, maar ook om te identificeren waar resource-eigenaren ondersteuning nodig hebben, zodat het beveiligingsteam proactief kan helpen.

Exception monitoring is belangrijk om te waarborgen dat exemptions nog steeds gerechtvaardigd zijn en dat ze niet worden misbruikt. Deze monitoring moet regelmatig controleren of exemptions nog steeds van toepassing zijn, of de onderliggende redenen voor exemptions nog steeds geldig zijn, en of exemptions moeten worden verwijderd wanneer resources worden bijgewerkt of vervangen. Exception monitoring moet ook inzicht bieden in het aantal exemptions per resource-type en per aanbeveling, zodat organisaties kunnen identificeren waar mogelijk overmatig gebruik van exemptions plaatsvindt.

Tot slot is het belangrijk om de effectiviteit van het optimalisatieproces zelf te monitoren. Dit omvat het meten van de tijd die nodig is om aanbevelingen te implementeren, de snelheid waarmee de Secure Score verbetert, en de tevredenheid van resource-eigenaren met het proces. Door deze metrics te monitoren kunnen organisaties het optimalisatieproces continu verbeteren en ervoor zorgen dat het effectief en efficiënt blijft.

Remediatie

Gebruik PowerShell-script secure-score-optimization.ps1 (functie Invoke-Remediation) – Ondersteunt remediatie door prioritering van aanbevelingen en identificatie van optimalisatiekansen.

Remediatie binnen de context van Secure Score optimalisatie omvat niet alleen het oplossen van individuele aanbevelingen, maar ook het implementeren van een gestructureerd proces voor continue verbetering. Het remediatieproces moet rekening houden met de impact van aanbevelingen, de beschikbare resources, en de mogelijke verstoring van bedrijfsprocessen.

Het remediatieproces begint met het identificeren en prioriteren van aanbevelingen op basis van een impact-inspanning matrix. Quick wins moeten altijd voorrang krijgen, gevolgd door hoog-impact aanbevelingen, middel-impact aanbevelingen, en tot slot laag-impact aanbevelingen. Deze prioritering zorgt ervoor dat organisaties de grootste beveiligingswinst behalen met de beschikbare resources, en dat momentum wordt behouden door snelle resultaten te boeken.

Voor veel aanbevelingen kan remediatie worden geautomatiseerd via PowerShell scripts of Azure Policy. Automatische remediatie is vooral effectief voor aanbevelingen die betrekking hebben op het inschakelen van logging, het configureren van netwerkbeveiligingsgroepen, of het toepassen van standaardbeveiligingsinstellingen. Het gebruik van geautomatiseerde remediatie zorgt voor consistentie en vermindert de kans op menselijke fouten. Organisaties moeten echter voorzichtig zijn bij het implementeren van automatische remediatie en moeten ervoor zorgen dat scripts en policies zorgvuldig zijn getest voordat ze worden toegepast op productieomgevingen.

Sommige aanbevelingen vereisen handmatige interventie of goedkeuring voordat ze kunnen worden geïmplementeerd. Dit geldt met name voor aanbevelingen die betrekking hebben op toegangscontroles, omdat deze kunnen invloed hebben op wie toegang heeft tot welke resources. In dergelijke gevallen moet het beveiligingsteam samenwerken met resource-eigenaren om de juiste configuratie te bepalen en te implementeren. Het is belangrijk om deze handmatige remediaties te documenteren, inclusief de genomen beslissingen en de redenen daarvoor, zodat deze informatie beschikbaar is voor toekomstige referentie en voor audit doeleinden.

Na implementatie van remediatie is het belangrijk om te verifiëren dat de aanbeveling daadwerkelijk is opgelost en dat de Secure Score dienovereenkomstig is verbeterd. Dit kan enige tijd duren, omdat Defender voor Cloud periodiek de beveiligingsstatus evalueert. Organisaties moeten een proces hebben om de status van remediaties te volgen en te verifiëren dat ze succesvol zijn voltooid. Wanneer remediaties niet succesvol zijn, moeten organisaties onderzoeken wat de oorzaak is en aanvullende acties ondernemen om het probleem op te lossen.

In sommige gevallen kan het nodig zijn om resources te exempten van specifieke aanbevelingen als ze niet van toepassing zijn of als er legitieme redenen zijn om van de aanbeveling af te wijken. Deze exemptions moeten zorgvuldig worden gedocumenteerd, inclusief de reden voor de exemption, de goedkeuringsautoriteit, en de reviewdatum. Exemptions moeten regelmatig worden gereviewd om ervoor te zorgen dat ze nog steeds gerechtvaardigd zijn, en moeten worden verwijderd wanneer de onderliggende reden niet meer van toepassing is. Het is belangrijk om exemptions niet te gebruiken als een manier om aanbevelingen te vermijden, maar alleen wanneer er legitieme technische of bedrijfsmatige redenen zijn om van een aanbeveling af te wijken.

Compliance & Frameworks

Automation

Gebruik het onderstaande PowerShell script om deze security control te monitoren en te implementeren. Het script bevat functies voor zowel monitoring (-Monitoring) als remediation (-Remediation).

PowerShell
<# ================================================================================ AZURE POWERSHELL SCRIPT - Nederlandse Baseline voor Veilige Cloud ================================================================================ .SYNOPSIS Azure Secure Score optimalisatie: analyse en prioritering van beveiligingsaanbevelingen. .DESCRIPTION Dit script analyseert de huidige Azure Secure Score, identificeert optimalisatiekansen, en categoriseert aanbevelingen op basis van impact en inspanning. Het script helpt organisaties om quick wins te identificeren en hoog-impact verbeteringen te prioriteren voor het systematisch verbeteren van de beveiligingspositie. Het script is bedoeld als optimalisatie- en monitoringtool waarmee cloud- en securityteams snel kunnen zien welke aanbevelingen de grootste impact hebben op de Secure Score en welke het gemakkelijkst te implementeren zijn. .NOTES Filename: secure-score-optimization.ps1 Author: Nederlandse Baseline voor Veilige Cloud Version: 1.0 Related JSON: content/azure/security-center/secure-score-optimization.json #> #Requires -Version 5.1 #Requires -Modules Az.Accounts, Az.Security [CmdletBinding()] param( [Parameter()] [switch]$Monitoring, [Parameter()] [switch]$Remediation, [Parameter()] [string]$SubscriptionId ) $ErrorActionPreference = 'Stop' $PolicyName = "Azure Secure Score Optimalisatie - Strategische Verbetering van Beveiligingspositie" function Connect-RequiredServices { if (-not (Get-AzContext)) { Connect-AzAccount -ErrorAction Stop | Out-Null } if ($SubscriptionId) { Set-AzContext -SubscriptionId $SubscriptionId -ErrorAction Stop | Out-Null } } function Get-SecureScoreData { <# .SYNOPSIS Haalt Secure Score gegevens op voor alle abonnementen of een specifiek abonnement. #> $subscriptions = @() if ($SubscriptionId) { $sub = Get-AzSubscription -SubscriptionId $SubscriptionId -ErrorAction SilentlyContinue if ($sub) { $subscriptions += $sub } } else { $subscriptions = Get-AzSubscription -ErrorAction Stop } $results = @() foreach ($sub in $subscriptions) { Set-AzContext -SubscriptionId $sub.Id -ErrorAction Stop | Out-Null try { $context = Get-AzContext $accessToken = [Microsoft.Azure.Commands.Common.Authentication.AzureSession]::Instance.AuthenticationFactory.Authenticate( $context.Account, $context.Environment, $context.Tenant.Id, $null, "Never", $null, "https://management.azure.com" ).AccessToken $headers = @{ 'Authorization' = "Bearer $accessToken" 'Content-Type' = 'application/json' } # Secure Score ophalen via REST API $secureScoreUrl = "https://management.azure.com/subscriptions/$($sub.Id)/providers/Microsoft.Security/secureScores?api-version=2020-01-01" try { $scoreResponse = Invoke-RestMethod -Uri $secureScoreUrl -Method Get -Headers $headers -ErrorAction SilentlyContinue if ($scoreResponse.value -and $scoreResponse.value.Count -gt 0) { $latestScore = $scoreResponse.value | Sort-Object -Property properties.displayName -Descending | Select-Object -First 1 $currentScore = $latestScore.properties.current $maxScore = $latestScore.properties.max $percentage = if ($maxScore -gt 0) { [math]::Round(($currentScore / $maxScore) * 100, 2) } else { 0 } # Aanbevelingen ophalen $recommendationsUrl = "https://management.azure.com/subscriptions/$($sub.Id)/providers/Microsoft.Security/assessments?api-version=2020-01-01" $recommendationsResponse = Invoke-RestMethod -Uri $recommendationsUrl -Method Get -Headers $headers -ErrorAction SilentlyContinue $totalRecommendations = 0 $highImpactCount = 0 $mediumImpactCount = 0 $lowImpactCount = 0 $quickWins = @() $highImpactItems = @() if ($recommendationsResponse.value) { $totalRecommendations = $recommendationsResponse.value.Count foreach ($rec in $recommendationsResponse.value) { $severity = $rec.properties.metadata.severity $state = $rec.properties.status.code if ($state -eq "Unhealthy") { $impact = $rec.properties.metadata.impact $effort = $rec.properties.metadata.remediationEffort if ($severity -eq "High") { $highImpactCount++ if ($effort -eq "Low" -or $effort -eq "Moderate") { $quickWins += [PSCustomObject]@{ Name = $rec.properties.displayName Impact = $impact Effort = $effort Severity = $severity } } else { $highImpactItems += [PSCustomObject]@{ Name = $rec.properties.displayName Impact = $impact Effort = $effort Severity = $severity } } } elseif ($severity -eq "Medium") { $mediumImpactCount++ } else { $lowImpactCount++ } } } } $results += [PSCustomObject]@{ SubscriptionName = $sub.Name SubscriptionId = $sub.Id CurrentScore = $currentScore MaxScore = $maxScore ScorePercentage = $percentage TotalRecommendations = $totalRecommendations HighImpactCount = $highImpactCount MediumImpactCount = $mediumImpactCount LowImpactCount = $lowImpactCount QuickWinsCount = $quickWins.Count QuickWins = $quickWins HighImpactItems = $highImpactItems NonCompliant = $percentage -lt 80 Notes = if ($percentage -lt 80) { "Secure Score is lager dan de aanbevolen 80% voor productieomgevingen. Focus op quick wins en hoog-impact aanbevelingen." } else { "Secure Score voldoet aan de aanbeveling van 80% of hoger. Blijf nieuwe aanbevelingen monitoren en implementeren." } } } else { $results += [PSCustomObject]@{ SubscriptionName = $sub.Name SubscriptionId = $sub.Id CurrentScore = 0 MaxScore = 0 ScorePercentage = 0 TotalRecommendations = 0 HighImpactCount = 0 MediumImpactCount = 0 LowImpactCount = 0 QuickWinsCount = 0 QuickWins = @() HighImpactItems = @() NonCompliant = $true Notes = "Geen Secure Score data beschikbaar. Controleer of Defender voor Cloud is ingeschakeld." } } } catch { $results += [PSCustomObject]@{ SubscriptionName = $sub.Name SubscriptionId = $sub.Id CurrentScore = 0 MaxScore = 0 ScorePercentage = 0 TotalRecommendations = 0 HighImpactCount = 0 MediumImpactCount = 0 LowImpactCount = 0 QuickWinsCount = 0 QuickWins = @() HighImpactItems = @() NonCompliant = $true Notes = "Fout bij het ophalen van Secure Score data: $($_.Exception.Message)" } } } catch { $results += [PSCustomObject]@{ SubscriptionName = $sub.Name SubscriptionId = $sub.Id CurrentScore = 0 MaxScore = 0 ScorePercentage = 0 TotalRecommendations = 0 HighImpactCount = 0 MediumImpactCount = 0 LowImpactCount = 0 QuickWinsCount = 0 QuickWins = @() HighImpactItems = @() NonCompliant = $true Notes = "Fout bij het verwerken van abonnement: $($_.Exception.Message)" } } } return $results } function Test-Compliance { $data = Get-SecureScoreData $totalSubscriptions = $data.Count $nonCompliantSubscriptions = ($data | Where-Object { $_.NonCompliant -eq $true }).Count $totalQuickWins = ($data | Measure-Object -Property QuickWinsCount -Sum).Sum $totalHighImpact = ($data | Measure-Object -Property HighImpactCount -Sum).Sum $avgScore = if ($data.Count -gt 0) { [math]::Round(($data | Measure-Object -Property ScorePercentage -Average).Average, 2) } else { 0 } return [PSCustomObject]@{ TotalSubscriptions = $totalSubscriptions NonCompliantSubscriptions = $nonCompliantSubscriptions TotalQuickWins = $totalQuickWins TotalHighImpact = $totalHighImpact AverageScore = $avgScore Details = $data } } try { Connect-RequiredServices if ($Monitoring) { $result = Test-Compliance Write-Host "" -ForegroundColor White Write-Host "========================================" -ForegroundColor Cyan Write-Host $PolicyName -ForegroundColor Cyan Write-Host "========================================" -ForegroundColor Cyan Write-Host ("Abonnementen totaal : {0}" -f $result.TotalSubscriptions) -ForegroundColor White Write-Host ("Gemiddelde Secure Score : {0}%" -f $result.AverageScore) -ForegroundColor (if ($result.AverageScore -ge 80) { 'Green' } else { 'Yellow' }) if ($result.NonCompliantSubscriptions -gt 0) { Write-Host ("Niet-conforme abonnementen : {0}" -f $result.NonCompliantSubscriptions) -ForegroundColor Yellow } else { Write-Host ("Niet-conforme abonnementen : {0}" -f $result.NonCompliantSubscriptions) -ForegroundColor Green } Write-Host ("Totaal quick wins beschikbaar : {0}" -f $result.TotalQuickWins) -ForegroundColor (if ($result.TotalQuickWins -gt 0) { 'Cyan' } else { 'Gray' }) Write-Host ("Totaal hoog-impact aanbevelingen : {0}" -f $result.TotalHighImpact) -ForegroundColor (if ($result.TotalHighImpact -gt 0) { 'Cyan' } else { 'Gray' }) if ($result.NonCompliantSubscriptions -gt 0 -or $result.TotalQuickWins -gt 0 -or $result.TotalHighImpact -gt 0) { Write-Host "" -ForegroundColor White if ($result.NonCompliantSubscriptions -gt 0) { Write-Host "[WAARSCHUWING] Eén of meer abonnementen hebben een Secure Score lager dan 80%." -ForegroundColor Yellow } if ($result.TotalQuickWins -gt 0) { Write-Host "[INFO] Er zijn quick wins beschikbaar die snel kunnen worden geïmplementeerd." -ForegroundColor Cyan } if ($result.TotalHighImpact -gt 0) { Write-Host "[INFO] Er zijn hoog-impact aanbevelingen beschikbaar voor prioritering." -ForegroundColor Cyan } } # Gedetailleerde tabel als JSON voor verdere verwerking $result.Details | ConvertTo-Json -Depth 4 } elseif ($Remediation) { $result = Test-Compliance $nonCompliant = $result.Details | Where-Object { $_.NonCompliant -eq $true } if ($nonCompliant) { Write-Host "" -ForegroundColor Yellow Write-Host "[INFO] Dit script identificeert abonnementen met optimalisatiekansen." -ForegroundColor Yellow Write-Host "[INFO] Focus op quick wins en hoog-impact aanbevelingen voor de grootste scorewinst." -ForegroundColor Yellow foreach ($sub in $nonCompliant) { Write-Host "" -ForegroundColor White Write-Host "Abonnement: $($sub.SubscriptionName)" -ForegroundColor Cyan Write-Host " Huidige Score: $($sub.ScorePercentage)% ($($sub.CurrentScore)/$($sub.MaxScore) punten)" -ForegroundColor Gray Write-Host " Status: $($sub.Notes)" -ForegroundColor Gray if ($sub.QuickWinsCount -gt 0) { Write-Host " Quick Wins beschikbaar: $($sub.QuickWinsCount)" -ForegroundColor Green Write-Host " Prioriteer deze aanbevelingen voor snelle scoreverbetering:" -ForegroundColor Green foreach ($qw in $sub.QuickWins | Select-Object -First 5) { Write-Host " - $($qw.Name) (Impact: $($qw.Impact), Inspanning: $($qw.Effort))" -ForegroundColor Green } } if ($sub.HighImpactItems.Count -gt 0) { Write-Host " Hoog-impact aanbevelingen: $($sub.HighImpactItems.Count)" -ForegroundColor Yellow Write-Host " Implementeer na quick wins voor verdere verbetering:" -ForegroundColor Yellow foreach ($hi in $sub.HighImpactItems | Select-Object -First 5) { Write-Host " - $($hi.Name) (Impact: $($hi.Impact), Inspanning: $($hi.Effort))" -ForegroundColor Yellow } } } } else { Write-Host "Alle gecontroleerde abonnementen hebben een Secure Score van 80% of hoger." -ForegroundColor Green } } else { $result = Test-Compliance Write-Host "" Write-Host ("Azure Secure Score optimalisatie status: {0} abonnement(en) gecontroleerd, gemiddelde score {1}%, {2} quick wins beschikbaar, {3} hoog-impact aanbevelingen." -f ` $result.TotalSubscriptions, $result.AverageScore, $result.TotalQuickWins, $result.TotalHighImpact) } } catch { Write-Error $_ exit 1 } # ================================================================================ # Standaard Invoke-* Functions # ================================================================================ function Invoke-Implementation { <# .SYNOPSIS Voert een baseline-assessment uit voor Azure Secure Score optimalisatie. .DESCRIPTION Deze functie analyseert de huidige Secure Score, identificeert optimalisatiekansen, en categoriseert aanbevelingen op basis van impact en inspanning. Gebruik deze informatie om quick wins te identificeren en hoog-impact verbeteringen te prioriteren. #> [CmdletBinding()] param() try { Connect-RequiredServices $result = Test-Compliance Write-Host "" -ForegroundColor White Write-Host "========================================" -ForegroundColor Cyan Write-Host $PolicyName -ForegroundColor Cyan Write-Host "========================================" -ForegroundColor Cyan Write-Host ("Abonnementen totaal : {0}" -f $result.TotalSubscriptions) -ForegroundColor White Write-Host ("Gemiddelde Secure Score : {0}%" -f $result.AverageScore) -ForegroundColor (if ($result.AverageScore -ge 80) { 'Green' } else { 'Yellow' }) Write-Host ("Niet-conforme abonnementen : {0}" -f $result.NonCompliantSubscriptions) -ForegroundColor (if ($result.NonCompliantSubscriptions -gt 0) { 'Yellow' } else { 'Green' }) Write-Host ("Totaal quick wins beschikbaar : {0}" -f $result.TotalQuickWins) -ForegroundColor (if ($result.TotalQuickWins -gt 0) { 'Cyan' } else { 'Gray' }) Write-Host ("Totaal hoog-impact aanbevelingen : {0}" -f $result.TotalHighImpact) -ForegroundColor (if ($result.TotalHighImpact -gt 0) { 'Cyan' } else { 'Gray' }) if ($result.NonCompliantSubscriptions -gt 0 -or $result.TotalQuickWins -gt 0 -or $result.TotalHighImpact -gt 0) { Write-Host "" -ForegroundColor White if ($result.NonCompliantSubscriptions -gt 0) { Write-Host "[WAARSCHUWING] Eén of meer abonnementen hebben een Secure Score lager dan 80%." -ForegroundColor Yellow } if ($result.TotalQuickWins -gt 0) { Write-Host "[INFO] Er zijn quick wins beschikbaar die snel kunnen worden geïmplementeerd." -ForegroundColor Cyan } if ($result.TotalHighImpact -gt 0) { Write-Host "[INFO] Er zijn hoog-impact aanbevelingen beschikbaar voor prioritering." -ForegroundColor Cyan } } $result.Details | ConvertTo-Json -Depth 4 } catch { Write-Error $_ exit 1 } } function Invoke-Monitoring { <# .SYNOPSIS Voert een monitoringcontrole uit en toont een samenvatting plus JSON-uitvoer. #> [CmdletBinding()] param() $Monitoring = $true try { Connect-RequiredServices $result = Test-Compliance Write-Host "" -ForegroundColor White Write-Host "========================================" -ForegroundColor Cyan Write-Host $PolicyName -ForegroundColor Cyan Write-Host "========================================" -ForegroundColor Cyan Write-Host ("Abonnementen totaal : {0}" -f $result.TotalSubscriptions) -ForegroundColor White Write-Host ("Gemiddelde Secure Score : {0}%" -f $result.AverageScore) -ForegroundColor (if ($result.AverageScore -ge 80) { 'Green' } else { 'Yellow' }) Write-Host ("Niet-conforme abonnementen : {0}" -f $result.NonCompliantSubscriptions) -ForegroundColor (if ($result.NonCompliantSubscriptions -gt 0) { 'Yellow' } else { 'Green' }) Write-Host ("Totaal quick wins beschikbaar : {0}" -f $result.TotalQuickWins) -ForegroundColor (if ($result.TotalQuickWins -gt 0) { 'Cyan' } else { 'Gray' }) Write-Host ("Totaal hoog-impact aanbevelingen : {0}" -f $result.TotalHighImpact) -ForegroundColor (if ($result.TotalHighImpact -gt 0) { 'Cyan' } else { 'Gray' }) if ($result.NonCompliantSubscriptions -gt 0 -or $result.TotalQuickWins -gt 0 -or $result.TotalHighImpact -gt 0) { Write-Host "" -ForegroundColor White if ($result.NonCompliantSubscriptions -gt 0) { Write-Host "[WAARSCHUWING] Eén of meer abonnementen hebben een Secure Score lager dan 80%." -ForegroundColor Yellow } if ($result.TotalQuickWins -gt 0) { Write-Host "[INFO] Er zijn quick wins beschikbaar die snel kunnen worden geïmplementeerd." -ForegroundColor Cyan } if ($result.TotalHighImpact -gt 0) { Write-Host "[INFO] Er zijn hoog-impact aanbevelingen beschikbaar voor prioritering." -ForegroundColor Cyan } } $result.Details | ConvertTo-Json -Depth 4 } catch { Write-Error $_ exit 1 } } function Invoke-Remediation { <# .SYNOPSIS Ondersteunt remediatie door prioritering van aanbevelingen en identificatie van optimalisatiekansen. .DESCRIPTION Deze functie identificeert abonnementen met optimalisatiekansen en categoriseert aanbevelingen op basis van impact en inspanning. Focus op quick wins en hoog-impact aanbevelingen voor de grootste scorewinst. #> [CmdletBinding()] param() try { Connect-RequiredServices $result = Test-Compliance $nonCompliant = $result.Details | Where-Object { $_.NonCompliant -eq $true } if ($nonCompliant) { Write-Host "" -ForegroundColor Yellow Write-Host "[INFO] Dit script identificeert abonnementen met optimalisatiekansen." -ForegroundColor Yellow Write-Host "[INFO] Focus op quick wins en hoog-impact aanbevelingen voor de grootste scorewinst." -ForegroundColor Yellow foreach ($sub in $nonCompliant) { Write-Host "" -ForegroundColor White Write-Host "Abonnement: $($sub.SubscriptionName)" -ForegroundColor Cyan Write-Host " Huidige Score: $($sub.ScorePercentage)% ($($sub.CurrentScore)/$($sub.MaxScore) punten)" -ForegroundColor Gray Write-Host " Status: $($sub.Notes)" -ForegroundColor Gray if ($sub.QuickWinsCount -gt 0) { Write-Host " Quick Wins beschikbaar: $($sub.QuickWinsCount)" -ForegroundColor Green Write-Host " Prioriteer deze aanbevelingen voor snelle scoreverbetering:" -ForegroundColor Green foreach ($qw in $sub.QuickWins | Select-Object -First 5) { Write-Host " - $($qw.Name) (Impact: $($qw.Impact), Inspanning: $($qw.Effort))" -ForegroundColor Green } } if ($sub.HighImpactItems.Count -gt 0) { Write-Host " Hoog-impact aanbevelingen: $($sub.HighImpactItems.Count)" -ForegroundColor Yellow Write-Host " Implementeer na quick wins voor verdere verbetering:" -ForegroundColor Yellow foreach ($hi in $sub.HighImpactItems | Select-Object -First 5) { Write-Host " - $($hi.Name) (Impact: $($hi.Impact), Inspanning: $($hi.Effort))" -ForegroundColor Yellow } } } } else { Write-Host "Alle gecontroleerde abonnementen hebben een Secure Score van 80% of hoger." -ForegroundColor Green } } catch { Write-Error $_ exit 1 } }

Risico zonder implementatie

Risico zonder implementatie
Medium: Zonder gestructureerde Secure Score optimalisatie blijven organisaties achter bij hun beveiligingsdoelen. Aanbevelingen stapelen zich op zonder duidelijke prioritering, resources worden verspild aan laag-impact verbeteringen, en management heeft geen inzicht in de voortgang van beveiligingsinitiatieven. Dit leidt tot een reactieve beveiligingscultuur en niet-naleving van compliance-vereisten zoals BIO, NIS2 en AVG. Het risico is hoog - zowel operationeel als compliance-gerelateerd.

Management Samenvatting

Secure Score Optimalisatie biedt een gestructureerd proces voor het systematisch verbeteren van de Azure beveiligingspositie. Het proces omvat baseline-assessment, prioritering via impact-inspanning matrix, bulk remediatie via Azure Policy, resource owner accountability, en continue monitoring. Doel: meer dan 80% score voor productieomgevingen. Implementatie: 20 uur (8 technisch, 12 organisatorisch). Doorlopend: 12 uur per maand (0,3 FTE) voor reviews, prioritering en monitoring. Essentieel voor proactieve beveiligingscultuur en compliance-naleving.