CyFun op Azure
CyberFundamentals op Azure: assurance-niveaus en het bewijs erachter
Het CyberFundamentals-framework van het CCB is in België de geprefereerde route om NIS2-conformiteit aan te tonen. Cloudivence, voorheen Governator, neemt de Azure-kant voor zijn rekening: bewijsverzameling, beoordeling van de controls, attestaties en een bewijspakket per assurance-niveau.
Wat CyberFundamentals is, en waarom het op Azure telt
CyberFundamentals (CyFun) is het cybersecurity-assurance-framework van het Belgische Centre for Cybersecurity (CCB). Het bundelt ISO/IEC 27001, NIST CSF en CIS Controls in vier assurance-niveaus en is het framework waarop het CCB de NIS2-handhaving heeft afgestemd: een organisatie die het juiste CyFun-niveau bereikt, wordt geacht het bijhorende deel van de NIS2 Artikel 21-maatregelen te hebben afgedekt.
Voor Azure-omgevingen maakt dat van CyFun concreet bewijswerk: elke control vraagt bewijs uit het platform of een attestatie van een persoon. De Azure-toestand afstemmen op de controlset is de laag die Cloudivence op zich neemt. Het beoordeelt de editie 2023 van het framework; de editie 2025 staat op de roadmap.
Het framework wordt door bilaterale afspraken ook in andere EU-lidstaten erkend, dus een CyFun-assurance-pakket reist verder dan België voor organisaties die over de grens werken.
De drie assurance-niveaus, en wat Cloudivence afdekt
Elk CyFun-niveau verwacht een uitgebreider Azure-bewijsmodel. Cloudivence beoordeelt alle 219 controls van de editie 2023, en de scores en het bewijspakket kunnen gefilterd worden op het niveau dat u beoogt.
Azure-aandachtsgebieden
Identiteitshygiëne (MFA, geen gedeelde admin), Defender free tier op elke subscription, basisback-up, encryption at rest, inventaris van publiek bereikbare resources.
Wat Cloudivence afdekt
De 34 controls die het framework aan Basic toewijst, beoordeeld op basis van bewijs uit Defender, Azure Policy, roltoewijzingen, storage en back-up. Controls die Azure niet kan aantonen, worden geattesteerd.
Azure-aandachtsgebieden
Defender Plan 2 op productieworkloads, gestructureerd exemption-proces, RBAC-drift-alerting, Conditional Access-houding, Key Vault-inventaris, Sentinel-onboarding voor kritieke resources.
Wat Cloudivence afdekt
De 106 Important-controls, op basis van hetzelfde bewijs plus de configuratie van netwerk, firewall en WAF en het activity log. Uitzonderingen hebben een vervaldatum, en het bewijspakket kan op dit niveau gefilterd worden.
Azure-aandachtsgebieden
BCDR over meerdere regio's met geteste runbooks, customer-managed keys, volledige Defender plan-dekking, bewijs van netwerksegmentatie, dedicated incident-response artefacten, supply-chain-attestaties.
Wat Cloudivence afdekt
De 79 Essential-controls. Veel daarvan, zoals geteste herstelrunbooks of attestaties van leveranciers, kunnen enkel geattesteerd worden: Cloudivence registreert de attestatie en de bewijslink, en leest ze niet uit Azure.
Hoe Cloudivence CyFun op Azure aanpakt
Controls gekoppeld aan uw Azure-bewijs
Elke beoordeling koppelt CyFun-controls aan de Defender-aanbevelingen en Azure Policy-resultaten in uw omgeving, en voor de back-upcontrols geldt een expliciete regelset. De koppeling wordt bij elke beoordeling opnieuw opgebouwd, zodat ze uw subscriptions volgt in plaats van een vaste lijst.
Zeven statussen, en onbekend is er één van
Elke control is conform, gedeeltelijk conform, niet conform, geattesteerd, gepland, niet beoordeeld of niet van toepassing. Een control zonder bewijs telt als nul tot iemand het bewijs levert, en enkel een control die niet van toepassing is, valt uit de score.
Attestaties en uitzonderingen
Controls die Azure niet kan aantonen, zoals trainingsregisters of hersteltests, worden geattesteerd met de naam van wie attesteert, een bewijslink en een optionele reviewdatum. Een uitzondering op een control heeft een vervaldatum en wordt als verlopen gemarkeerd zodra die datum voorbij is.
Een bewijspakket op uw doelniveau
Een Excel-werkmap met een executive summary, de control-bewijsmatrix, de gap-analyse, attestaties, bevindingen en uitzonderingen, gefilterd op Basic, Important of Essential en bewaard in de rapporthistoriek.
Optionele gap-narratieven als ontwerp
Met uw eigen Azure OpenAI-deployment geconfigureerd kan Cloudivence per control een gap-narratief als ontwerp opstellen, dat een persoon nakijkt. Die functie staat uit tenzij u ze instelt, en de ontwerpen maken geen deel uit van het bewijspakket.
Herbeoordeling wanneer u ze start
De beoordeling draait na een collectie, wanneer de operator ze start. Ingeplande herbeoordeling en drift-alerts staan op de roadmap.
Assessment of continue assurance?
CyFun-readiness assessment
Een eenmalige opdracht waarin GenioCT met Cloudivence een momentopname maakt, met expertinterpretatie. Resultaat: een roadmap naar uw doelniveau met geprioriteerde verbeteringen, attestaties en een bewijspakket voor uw auditor.
Typische looptijd: 3 tot 5 weken.
Cloudivence-pilot
Cloudivence in een begeleide pilot: collecties en herbeoordelingen lopen samen met u, bewijs, attestaties en uitzonderingen blijven bewaard tussen twee rondes, en het bewijspakket wordt opnieuw gegenereerd wanneer u het nodig hebt.
Engagement: doorlopend.
Begin met een Azure Health Check
Niet zeker waar te beginnen? Een snelle architectuurreview geeft u een helder beeld. Vrijblijvend.
- ✓ Risicoscorecard voor identiteit, netwerk, governance en beveiliging
- ✓ Top 10 problemen gerangschikt op impact en inspanning
- ✓ 30-60-90 dagen roadmap met quick wins