End of support heeft directe gevolgen voor je ISO 27001-certificering. Zodra een leverancier stopt met beveiligingsupdates voor software of hardware, ontstaat er een aantoonbaar beveiligingsrisico dat je moet adresseren in je Information Security Management System (ISMS). Auditors verwachten dat je dit risico hebt geïdentificeerd, beoordeeld en beheerst. De vragen hieronder geven je een helder beeld van wat dat in de praktijk betekent.
Wat telt als een beveiligingsrisico onder ISO 27001?
Onder ISO 27001 telt alles als beveiligingsrisico dat de vertrouwelijkheid, integriteit of beschikbaarheid van informatie in gevaar kan brengen. End-of-support-software valt hier rechtstreeks onder, omdat kwetsbaarheden na de einddatum niet meer worden gepatcht. Daarmee is het systeem aantoonbaar blootgesteld aan bedreigingen die de leverancier zelf niet meer verhelpt.
De norm vereist geen perfecte beveiliging, maar wel een systematische aanpak van risicobeheer. Dat betekent dat je elk systeem zonder actieve ondersteuning moet opnemen in je risicoregister. Factoren die het risiconiveau bepalen zijn onder andere de gevoeligheid van de gegevens die op het systeem staan, de netwerkpositie van het systeem, de mate van blootstelling aan externe dreigingen en de beschikbaarheid van alternatieve beveiligingsmaatregelen.
Een systeem dat end of support is, maar volledig geïsoleerd draait en geen persoonsgegevens verwerkt, heeft een ander risicoprofiel dan een server die centraal staat in je bedrijfsnetwerk. Beide moeten gedocumenteerd worden, maar de behandeling verschilt.
Hoe beoordeelt een ISO 27001-auditor end-of-support-software?
Een ISO 27001-auditor beoordeelt end-of-support-software niet automatisch als een non-conformiteit, maar wel als een risico dat aantoonbaar beheerst moet zijn. De auditor controleert of het systeem is opgenomen in je risicoregister, of er een risicobeoordeling is uitgevoerd en of er aantoonbare beheersmaatregelen zijn getroffen of gepland.
Wat auditors in de praktijk zoeken is consistentie en bewustzijn. Ze willen zien dat je weet welke systemen end of support zijn, dat je de risico’s hebt gewogen en dat je een bewuste keuze hebt gemaakt over hoe je daarmee omgaat. Een ontbrekende registratie of een systeem dat onbeheerd end of support is gegaan, is een veel groter probleem dan een systeem waarvoor je een gedocumenteerde tijdelijke maatregel hebt getroffen.
Auditors gebruiken doorgaans Annex A van de ISO 27001-norm als referentiekader, met name de controls rondom kwetsbaarheidsbeheer (A.8.8 in de 2022-versie). Als je geen proces hebt om end-of-support-situaties te signaleren en te registreren, is dat op zichzelf al een bevinding.
Welke compenserende maatregelen accepteert ISO 27001?
ISO 27001 accepteert compenserende maatregelen als tijdelijke of permanente beheersmaatregel voor end-of-support-systemen, mits ze aantoonbaar het risico verlagen en gedocumenteerd zijn. Voorbeelden van geaccepteerde maatregelen zijn netwerksegmentatie, aanvullende monitoring, applicatie-whitelisting en het beperken van toegangsrechten.
De sleutel is dat de maatregel proportioneel is aan het risico. Een webserver die publiek toegankelijk is en end of support is, vraagt om zwaardere compenserende maatregelen dan een intern beheersysteem zonder externe verbindingen. Gangbare compenserende maatregelen zijn:
- Netwerksegmentatie: het systeem isoleren van de rest van je netwerk om laterale beweging te beperken
- Verhoogde monitoring: extra logging en alerting instellen op verdacht gedrag rondom het systeem
- Toegangsbeperking: het aantal gebruikers en rechten op het systeem minimaliseren
- Aanvullende firewallregels: inkomend en uitgaand verkeer strikt beperken tot wat noodzakelijk is
- Versneld vervangingsplan: een gedocumenteerde tijdlijn voor migratie of vervanging
Compenserende maatregelen zijn geen vrijbrief om end-of-support-situaties onbeperkt te laten voortduren. Auditors verwachten een concreet plan voor een structurele oplossing.
Wat is het verschil tussen end of support en end of life?
End of support betekent dat de leverancier stopt met het leveren van beveiligingsupdates, patches en technische ondersteuning voor een product, terwijl het product zelf nog wel functioneert. End of life gaat een stap verder: de leverancier beschouwt het product als volledig afgeschreven en biedt geen enkele vorm van ondersteuning meer aan, inclusief documentatie en licentieverlening.
Voor ISO 27001 is het onderscheid relevant omdat de risicoklasse verschilt. Een systeem in de end-of-support-fase heeft nog werkende software, maar groeit elke dag risicovoller omdat nieuwe kwetsbaarheden ongepatcht blijven. Een end-of-life-systeem heeft bovendien vaak geen formele licentieondersteuning meer, wat compliance-vragen oproept op meerdere vlakken tegelijk.
In de praktijk gebruiken leveranciers deze termen niet altijd consistent. Controleer per product de exacte definitie van de leverancier en leg dat vast in je ISMS. Wat telt voor je auditor is niet de term, maar de vraag of er nog beveiligingsupdates worden geleverd.
Wanneer moet end-of-support-hardware worden vervangen voor ISO 27001?
ISO 27001 schrijft geen vaste vervangingstermijn voor end-of-support-hardware voor. De norm vereist dat je het risico beoordeelt en op basis daarvan een beslissing neemt. Hardware zonder firmwareupdates of beveiligingspatches van de fabrikant moet worden opgenomen in je risicoregister, en de beslissing om te vervangen of te compenseren moet aantoonbaar zijn gemaakt.
Hardware brengt specifieke risico’s met zich mee die software soms niet heeft. Denk aan firmwarekwetsbaarheden die niet meer worden gepatcht, ontbrekende ondersteuning voor moderne encryptiestandaarden of het wegvallen van fabrieksgaranties die relevant zijn voor je bedrijfscontinuïteitsplan. Factoren die bepalen wanneer vervanging noodzakelijk is:
- De hardware verwerkt of slaat gevoelige of persoonsgebonden data op
- Er zijn bekende, actief misbruikte kwetsbaarheden in de firmware
- Compenserende maatregelen zijn technisch niet uitvoerbaar of disproportioneel duur
- De hardware is onderdeel van kritieke bedrijfsprocessen zonder redundantie
Als vervanging op korte termijn niet haalbaar is, biedt multi-vendor support een praktische tussenoplossing. Hiermee kun je hardware langer veilig in gebruik houden terwijl je een gecontroleerde migratie voorbereidt.
Hoe documenteer je end-of-support-risico’s correct in je ISMS?
End-of-support-risico’s documenteer je correct in je ISMS door ze op te nemen in je risicoregister met minimaal de volgende elementen: een beschrijving van het systeem, de einddatum van ondersteuning, de risicobeoordeling (kans en impact), de gekozen beheersmaatregel en de eigenaar van het risico. Zonder deze onderdelen is de documentatie onvolledig voor een auditor.
Een goed gedocumenteerd end-of-support-risico bevat:
- Systeemidentificatie: naam, versie, locatie en functie van het systeem
- Einddatum ondersteuning: de officiële datum waarop de leverancier stopt met patches
- Risicobeoordeling: welke dreigingen zijn reëel, wat is de impact bij een incident
- Beheersmaatregel: welke compenserende maatregel is getroffen of gepland
- Risicobehandeling: accepteren, mitigeren, overdragen of vermijden
- Eigenaar en reviewdatum: wie is verantwoordelijk en wanneer wordt het risico opnieuw beoordeeld
Zorg dat je risicoregister actueel blijft. Een end-of-support-datum die je twee jaar geleden hebt geregistreerd maar sindsdien niet hebt gereviewd, is voor een auditor een signaal dat je risicobeheerproces niet volwassen genoeg is. Plan periodieke reviews in, minimaal jaarlijks of bij wijzigingen in je IT-omgeving.
Hoe REAL helpt bij end-of-support-risico’s en ISO 27001
End-of-support-situaties hoeven je ISO 27001-certificering niet in gevaar te brengen, mits je ze goed beheert. Wij helpen IT-managers bij middelgrote organisaties om end-of-support-hardware en software langer veilig en verantwoord in gebruik te houden, zonder afhankelijk te zijn van dure OEM-contracten.
Wat wij concreet bieden:
- Multi-vendor support voor hardware en software van vrijwel alle merken, inclusief systemen die de fabrikant niet meer ondersteunt
- Flexibele SLA’s die aansluiten op jouw risicoklasse en bedrijfscontinuïteitsvereisten
- Spare parts levering vanuit 34 Europese locaties voor maximale uptime
- Ondersteuning bij het documenteren van compenserende maatregelen voor je ISMS
- Begeleiding bij een gecontroleerde migratie of vervanging op jouw tempo
Wil je weten hoe REAL jouw organisatie kan helpen end-of-support-risico’s beheersbaar te maken? Neem contact met ons op voor een vrijblijvend gesprek, of download onze brochure voor een compleet overzicht van onze dienstverlening.
