Groepen maken: een deel van je organisatie apart behandelen

Waarvoor dient een groep?

Bij Bakkerij De Testoven installeren de engineers zelf hun tools. Met een groep "Engineers" kan de zaakvoerder:

• Een uitzondering vastleggen voor die groep, op één maatregel of één onderdeel ervan.
• Op Auditklaarheid zien hoe die groep ervoor staat.
• Iemand alleen die groep laten zien.
• Een risico voor die groep anders wegen. Ransomware op een kioskcomputer doet waarschijnlijk veel minder schade dan op een kantoorlaptop. Met een groep "Kioskcomputers" aanvaard je dat risico daar, en verlaag je het toch op de laptops. Zie De volgorde.

Zo maak je een groep

1. Open Risico's, dan Beveiligingsgroepen, en klik op Nieuwe groep.
2. Beantwoord Hoe bepaal je welke entiteiten er in een groep zitten? Kies Via een filter om een regel te laten vinden wat past, ook later. Kies Handmatig selecteren om de leden zelf te kiezen.
3. Geef een Naam, bijvoorbeeld "Engineers".
4. Kies bij Wat zit erin de soort, bijvoorbeeld Accounts.
5. Via een filter: kies bij Voorwaarden (alle moeten kloppen) een kenmerk, "is" of "is niet", en een waarde. Bijvoorbeeld: Groep in het register is Engineers. Met Voorwaarde toevoegen maak je de groep smaller. Naast de voorwaarden zie je meteen hoeveel er in de groep zitten, van het totaal. Klopt het getal niet, pas dan een voorwaarde aan.
6. Vul Waarom deze groep? in. De auditor leest dit.
7. Sla op. Je ziet dat de groep opgeslagen is, en ze staat in de lijst op Beveiligingsgroepen.

Waar een nieuwe groep in de lijst komt, en of je ze apart beoordeelt, lees je op De volgorde. Kort: een item hoort bij de eerste groep in de lijst waar het in past, en alleen groepen waar je Apart beoordelen aanvinkt krijgen een eigen assessment.

Een groep werkt zichzelf bij

Je typt nooit een regel of een formule. Je kiest uit wat je register al bevat, zoals het besturingssysteem, de vestiging of een groep uit Microsoft 365. Alleen een naam of een ID typ je zelf (zie hieronder). Komt er later een engineer bij, dan zit die vanzelf in de groep. Wie vertrekt, valt eruit.

Staan er nog geen kenmerken? Synchroniseer eerst een koppeling of vul het register aan. Een waarde uit de lijst met / + ! @ of = kan niet in een filter. Kies dan een andere waarde.

Op naam of ID: typ een deel ervan

Soms onderscheidt geen enkel kenmerk een groep, maar de namen wel. Stel dat je telefooncentrales host voor je eigen klanten, en ze heten allemaal zoiets als klant.3cx.be. Kies dan Naam, daarna bevat, en typ 3cx. Het getal toont meteen hoeveel toestellen 3cx in hun naam hebben.

• Naam werkt voor elke soort: toestellen, accounts, toepassingen en de rest. ID vindt alleen iets waar een koppeling of een import een ID meegeeft: vandaag toestellen en accounts. Toepassingen en netwerken hebben nog geen ID, dus een ID-voorwaarde vindt er geen.
• In een import tellen deze kolomnamen als ID, met of zonder hoofdletters of leestekens: ID, Serial, Serial Number, Serial No., Serienummer, Numéro de série, Asset ID, Asset Tag, Inventarisnummer, Instance ID, Device ID, E-mail, E-mailadres, Adresse e-mail, UPN.
• Je kunt kiezen: is, is niet, bevat, bevat geen, begint met, eindigt op. "Eindigt op .3cx.be" laat klant.my3cx.be weg.
• Hoofdletters en kleine letters tellen hetzelfde. Spaties voor of na wat je typt, vallen weg. Elk teken mag hier, ook / en +.
• De ID is een nummer dat een koppeling of een import meegeeft: het serienummer (uit Microsoft 365, SentinelOne en NinjaOne), de Microsoft Entra-toestel-ID, de instance-ID uit AWS, de ID-kolom van een import, of voor een account het e-mailadres. De naam telt nooit als ID, ook niet als je register er de sleutel van maakte: gebruik daarvoor Naam.
• Bitdefender, Check Point Harmony en Sophos geven vandaag geen ID. Een ID-voorwaarde vindt hun toestellen nooit, en "is niet" of "bevat geen" op de ID vindt ze allemaal.

De pagina van de groep en de export voor de auditor zeggen het in woorden, bijvoorbeeld "naam bevat 3cx".

Wat Microsoft 365 en SentinelOne je laten kiezen

Zodra deze koppelingen gesynchroniseerd zijn, kies je deze eigenschappen in een voorwaarde:

• Eigenaar: company (bedrijf) of private (privé), uit Microsoft 365. Een privételefoon of -laptop telt nooit mee voor de maatregelen over bedrijfstoestellen. "Alleen bedrijfstoestellen" is: Eigenaar is company.
• Categorie en nalevingsstatus van een toestel, uit Microsoft 365.
• Soort account: person (persoon), guest (gast) of unlicensed (zonder licentie), uit Microsoft 365. Gasten die je van buiten je bedrijf uitnodigt (Microsoft zet #EXT# in hun login) staan niet in het register en tellen dus nergens mee. Soort account is guest vindt de enkele gast die er wel in staat.
• Beheerdersrol en Beheerder (ja of nee), uit Microsoft 365.
• Soort account (vermoeden): shared (gedeeld). Een account met een mailadres maar zonder licentie is waarschijnlijk een gedeelde mailbox. Microsoft zegt dat niet zeker, dus het blijft een vermoeden en telt nooit als Soort account.
• Rol (laptop, desktop of server), besturingssysteem, vestiging en toestelgroep, uit SentinelOne.

Zien beide koppelingen hetzelfde toestel, onder dezelfde naam? Dan gebruikt één groep ze allebei: Eigenaar is company en Rol is laptop.

Werkt je IT-partner met één SentinelOne-sleutel voor meerdere klanten? Dan kiest die de site van deze klant. Alleen je IT-partner, of wie de sleutel invoerde, kan dat: de sleutel ziet ook hun andere klanten. Zolang er geen site gekozen is, lezen we niets. Toestellen die SentinelOne eerder zonder site las, kunnen van andere klanten zijn. Die gaan uit het register tot er een site gekozen is.

Wat NinjaOne, Bitdefender en Check Point je laten kiezen

• Rol, besturingssysteem en vestiging, uit NinjaOne RMM. De vestiging is de NinjaOne-locatie. Rol is server, workstation (werkstation) of mobile (mobiel), welk besturingssysteem het ook is: "Alle servers" is Rol is server, en dat vangt Windows-, Linux- en Mac-servers. NinjaOne zet zijn toestellen alleen in het register als het je enige koppeling voor toestellen is. Is Microsoft 365, SentinelOne, Bitdefender, Sophos, Check Point of AWS ook gekoppeld? Dan kan dezelfde laptop twee keer verschijnen onder twee namen, dus wacht NinjaOne tot we toestellen op serienummer kunnen koppelen.
• Rol (computer of virtual machine), besturingssysteem, vestiging en toestelgroep, uit Bitdefender. De vestiging is het Bitdefender-bedrijf.
• Rol (desktop, laptop of server), besturingssysteem en toestelgroep, uit Check Point. Een domeincontroller telt als server, desktops en laptops tellen als werkstation. Een toestel in meerdere Check Point-groepen hoort bij elk van die groepen.

Werkt je IT-partner met één Bitdefender-sleutel voor meerdere klanten? Dan kiest die het bedrijf van deze klant. Alleen je IT-partner, of wie de sleutel invoerde, kan dat: de sleutel ziet ook hun andere klanten. Voerde je de sleutel zelf in en heeft iemand anders hem sindsdien vervangen? Voer dan je sleutel opnieuw in om het bedrijf te kiezen. Zolang er geen bedrijf gekozen is, schrijven we niets. Toestellen die Bitdefender eerder zonder bedrijf las, kunnen van andere klanten zijn. Die gaan uit het register tot er een bedrijf gekozen is. NinjaOne vraagt bij het koppelen al naar de organisatie van de klant. Check Point leest het account van zijn sleutel.

Een groep aanpassen, vullen of verwijderen

Klik op een groep op Beveiligingsgroepen om ze te openen. Daar kan je:

• De Naam aanpassen en op Opslaan klikken. Een nieuwe naam houdt de leden en de uitzonderingen.
• Regel instellen of Regel aanpassen, met dezelfde voorwaarden als hierboven.
• Zien wat erin zit, en met Toevoegen iets toevoegen dat de regel mist. Je zoekt het op naam en geeft een reden.
• Uit deze groep halen wat er niet in hoort, ook met een reden.
• Groep verwijderen. Je krijgt de vraag waarom de groep verdwijnt, en die reden komt in de geschiedenis.

Een vaste groep, zoals Al de rest, kan je aanpassen maar niet verwijderen. Beperkt een groep wat iemand mag zien? Dan kan je ze niet verwijderen zolang die beperking loopt.

Wat niet meetelt: Buiten NIS2

Host je systemen voor je eigen klanten, zoals telefooncentrales? Maak er een groep voor en zet ze buiten NIS2 onder IT-omgeving, bij de stap Omvang, met Een groep buiten NIS2 zetten en een reden. Wat buiten NIS2 staat, wordt nergens beoordeeld. Losse items kunnen ook buiten. Zie De volgorde.

Een risico laten gelden voor één groep

Een risico geldt voor het hele bedrijf tot je een groep kiest. Bij het risico in je assessment:

1. Klik bij Voor welk deel van het bedrijf geldt dit risico? op een groep, zoals één vestiging.
2. Speelt het op meer plaatsen? Klik die groepen ook aan. Klik op Het hele bedrijf om het ongedaan te maken.

Elke groep toont wat ze telt, zoals "17 toestellen". Een knop met een stippellijn is een voorstel, met de reden erbij: het risico noemt een toestel van die groep, of een van zijn maatregelen gaat erover. Er verandert niets tot je erop klikt.

Enkele risico's starten al met een groep, omdat ze duidelijk over één soort gaan: updates gaan over toestellen. Start je een nieuw assessment, dan kies je over welk deel van het bedrijf het gaat. Elk risico start dan met die groep.

Voor hiaten stel je niets in: die volgen de toestellen en mensen in de groep. Op het risicoregister, de roadmap en Te doen kies je met Toon voor één groep. Wie alleen een eigen deel mag zien, ziet alleen de risico's die voor zijn groep gekozen zijn.

Eén risico, een andere inschatting per deel van het bedrijf

Ransomware op je kantoorlaptops is niet hetzelfde risico als ransomware op de telefooncentrales die je voor klanten beheert. Je houdt één risico en geeft elk deel een eigen inschatting. Dat doe je tijdens het nalopen van de beoordeling, of later in het risicoregister. Bij het risico:

1. Klik bij Inschatting per deel van het bedrijf op Groep toevoegen en kies de groep, bijvoorbeeld "Klanten".
2. De groep krijgt eerst dezelfde inschatting als nu. Klik Aanpassen voor de kans, de impact, de eigenaar en de aanpak.
3. De rest van het bedrijf houdt de oude inschatting, met nog niet beoordeeld erbij, tot je Bevestigen klikt.

De rest is altijd Alle andere: alles behalve de groepen die je toevoegde. Een toestel dat later opduikt en in geen van die groepen zit, komt vanzelf in de rest. Niets valt uit het register.

Geldt een risico helemaal niet voor een groep? Klik Geldt niet voor deze groep, geef de reden en, als je wil, een einddatum. Je auditor ziet die reden in de Verklaring van toepasselijkheid en in de auditexport. Weer laten gelden maakt het ongedaan.

Twee delen kunnen nooit hetzelfde toestel of dezelfde persoon bevatten. Probeer je dat, dan zie je welke items al in een ander deel zitten, en wordt er niets opgeslagen. Heeft een deel dezelfde inschatting als de rest? Dan krijg je het voorstel om samen te voegen: Samenvoegen met Alle andere (deze regel verdwijnt). Was er een actie voor dat deel, dan gaat ze vanzelf naar de rest.

Het register toont één rij per risico, met de hoogste score van zijn delen. Een actie telt voor de delen van de risico's die ze oplost. Acties blijven bij het hele risico.

Beperk je een risico bij Groepen kiezen, dan valt de rest er nooit stil uit. Je krijgt de vraag Wat met de overige ...?, met wat er overblijft, bijvoorbeeld "20 accounts". Kies Zelfde risico, eigen inschatting om de rest in het register te houden om te bevestigen, of Niet van toepassing met een reden. Annuleren verandert niets. Is een risico opgesplitst, dan beheer je de scope bij Delen beheren.

Wie kan groepen maken?

Eigenaars, beheerders en leden die het register mogen beheren. Wie alleen mag lezen, ziet de groepen zonder knoppen.