Cross-Tenant Replicatie Uitgeschakeld

Het uitschakelen van cross-tenant replicatie is essentieel voor het handhaven van een veilige omgeving en voorkomt bekende aanvalsvectoren door het afdwingen van beveiligingsbest practices. Zonder deze controle kunnen kwaadwillende actoren of gecompromitteerde accounts gegevens repliceren naar externe tenants, wat leidt tot ernstige datalekken en schending van gegevenssoevereiniteit. Deze beveiligingsmaatregel is met name kritisch voor Nederlandse overheidsorganisaties die werken met gevoelige en vertrouwelijke informatie, waarbij ongeautoriseerde gegevensuitwisseling tussen verschillende organisaties en tenants kan leiden tot schending van privacywetgeving, compliance-problemen, en aanzienlijke reputatieschade. De implementatie van deze controle draagt direct bij aan het naleven van de Algemene Verordening Gegevensbescherming (AVG), de Baseline Informatiebeveiliging Overheid (BIO), en andere relevante beveiligingsnormen die vereisen dat organisaties passende technische maatregelen treffen om persoonsgegevens en vertrouwelijke informatie te beschermen tegen ongeautoriseerde toegang en overdracht.

Implementatie

De instelling AllowCrossTenantReplication wordt ingesteld op false, waardoor objectreplicatie naar externe Azure AD-tenants wordt geblokkeerd. Dit voorkomt dat gegevens onbedoeld of kwaadwillend worden gekopieerd naar andere organisaties binnen de Azure-cloudomgeving. De controle werkt op het niveau van het Azure Storage-account en blokkeert alle pogingen tot objectreplicatie tussen storage-accounts die zich in verschillende Azure Active Directory-tenants bevinden, terwijl replicatie tussen storage-accounts binnen dezelfde tenant volledig ongemoeid blijft. Deze configuratie zorgt ervoor dat organisaties volledige controle behouden over waar hun gegevens worden opgeslagen en gerepliceerd, wat essentieel is voor het handhaven van gegevenssoevereiniteit en het naleven van geografische en organisatorische beperkingen die kunnen gelden voor bepaalde typen gegevens.

Vereisten

Het implementeren van de beveiligingscontrole voor het uitschakelen van cross-tenant replicatie vereist een grondige voorbereiding op zowel technisch als organisatorisch vlak. Voordat organisaties deze maatregel kunnen toepassen, moeten zij beschikken over een volledig geconfigureerd Azure Storage-account dat operationeel is binnen hun Azure Active Directory-tenant. De toegankelijkheid van het storage-account vormt een fundamentele vereiste, waarbij beheerders de mogelijkheid moeten hebben om configuratiewijzigingen door te voeren via de Azure Portal of via geautomatiseerde methoden zoals Azure PowerShell-modules. De beheerder die verantwoordelijk is voor de implementatie moet beschikken over voldoende rechten om storage-accountconfiguraties te wijzigen, wat betekent dat minimale roltoewijzingen zoals Storage Account Contributor of eigenaarsrechten op het betreffende storage-account essentieel zijn.

Vanuit technisch perspectief vormt de operationele status van de Azure Storage-service een kritieke voorwaarde voor het succesvol implementeren van deze beveiligingscontrole. Het storage-account kan verschillende typen aannemen, waaronder General Purpose v2-accounts of gespecialiseerde Blob Storage-accounts, zolang deze de functionaliteit voor objectreplicatie ondersteunen. Het is belangrijk voor organisaties om te begrijpen dat deze controle specifiek gericht is op het blokkeren van replicatie tussen verschillende Azure AD-tenants, wat betekent dat replicatie tussen storage-accounts binnen dezelfde tenant volledig ongemoeid blijft. Deze nuance is van groot belang voor organisaties die gebruik maken van objectreplicatie als onderdeel van hun disaster recovery-strategie of voor het optimaliseren van geografische datadistributie binnen hun eigen organisatiegrenzen.

De organisatorische vereisten voor deze implementatie omvatten niet alleen de technische toegangsrechten, maar ook de ontwikkeling van een duidelijk beleidskader dat definieert wanneer en onder welke omstandigheden objectreplicatie mag worden gebruikt binnen de organisatie. Dit beleidskader moet worden geïntegreerd in de bredere beveiligingsstrategie en moet expliciet maken dat cross-tenant replicatie onder geen enkele omstandigheid is toegestaan, tenzij er uitzonderlijke en gedocumenteerde zakelijke redenen zijn die door het management zijn goedgekeurd. Het beleid moet ook procedures bevatten voor het aanvragen van uitzonderingen, het documenteren van dergelijke uitzonderingen, en het implementeren van aanvullende beveiligingscontroles wanneer uitzonderingen worden verleend.

Voor monitoring en auditing doeleinden is het sterk aanbevolen om Azure Monitor en Azure Policy te configureren voordat de controle wordt geïmplementeerd. Deze tools maken het mogelijk om wijzigingen in de replicatie-instellingen te detecteren en te melden, wat cruciaal is voor het handhaven van de beveiligingspostuur op de lange termijn. De configuratie van diagnostische instellingen vormt een essentieel onderdeel van deze monitoringinfrastructuur, waarbij organisaties moeten zorgen dat alle relevante gebeurtenissen worden vastgelegd in Azure Activity Logs. Voor grotere organisaties of organisaties met strikte compliance-vereisten kan integratie met een Security Information and Event Management-systeem worden overwogen, wat centrale logaggregatie en geavanceerde analyse mogelijk maakt. Deze integratie vereist aanvullende configuratie en mogelijk de implementatie van log forwarding-mechanismen die ervoor zorgen dat alle relevante gebeurtenissen worden doorgestuurd naar het SIEM-systeem voor verdere analyse en correlatie met andere beveiligingsgebeurtenissen.

Naast de technische en organisatorische vereisten moeten organisaties ook rekening houden met de impact van deze controle op bestaande processen en workflows. Als organisaties momenteel gebruik maken van objectreplicatie, moeten zij een inventarisatie uitvoeren van alle actieve replicatieconfiguraties om te bepalen of deze binnen dezelfde tenant plaatsvinden of dat er sprake is van cross-tenant replicatie. Deze inventarisatie moet worden uitgevoerd voordat de controle wordt geïmplementeerd om te voorkomen dat legitieme replicatieprocessen worden verstoord. Daarnaast moeten organisaties communicatieplannen ontwikkelen om relevante stakeholders te informeren over de implementatie van deze controle en de mogelijke impact op hun dagelijkse werkzaamheden, met name voor teams die direct betrokken zijn bij data management en storage-beheer.

Monitoring

Effectieve monitoring van de cross-tenant replicatie-instelling vormt een cruciaal onderdeel van een robuuste beveiligingsstrategie en is essentieel voor het handhaven van beveiligingsnaleving en het tijdig detecteren van configuratiewijzigingen die mogelijk de beveiligingspostuur van de organisatie kunnen compromitteren. Organisaties moeten een gestructureerde en veelzijdige monitoringaanpak implementeren die zowel proactieve controle als reactieve detectie omvat, waarbij verschillende monitoringlagen worden gecombineerd om een volledig beeld te krijgen van de status van cross-tenant replicatie-instellingen in de gehele Azure-omgeving.

Gebruik PowerShell-script cross-tenant-replication-disabled.ps1 (functie Invoke-Monitoring) – Controleren.

De monitoringstrategie begint met het regelmatig en systematisch controleren van de AllowCrossTenantReplication-eigenschap op alle storage-accounts binnen de organisatie, ongeacht of deze accounts zich in productie-, test- of ontwikkelomgevingen bevinden. Deze eigenschap moet consistent op false staan voor alle productie-accounts, en idealiter ook voor test- en ontwikkelomgevingen tenzij er specifieke en gedocumenteerde redenen zijn om af te wijken van deze standaard. Het gebruik van geautomatiseerde monitoring scripts maakt het mogelijk om deze controle periodiek en op schaal uit te voeren, waarbij de frequentie kan variëren van wekelijks tot maandelijks afhankelijk van het risicoprofiel van de organisatie, de hoeveelheid storage-accounts, en de snelheid waarmee de Azure-omgeving verandert. Deze geautomatiseerde controles moeten worden geïntegreerd in de bestaande monitoring- en reporting-infrastructuur zodat de resultaten beschikbaar zijn voor beveiligingsteams en compliance officers.

Naast periodieke controles is het essentieel om real-time monitoring in te stellen via Azure Monitor en Azure Activity Logs, waardoor organisaties onmiddellijk kunnen reageren op wijzigingen in de replicatie-instellingen voordat deze kunnen leiden tot beveiligingsincidenten. Wanneer een beheerder, geautomatiseerd proces, of mogelijk kwaadwillende actor de replicatie-instelling wijzigt, moet dit onmiddellijk worden gedetecteerd en gemeld aan het beveiligingsoperatiecentrum of het beveiligingsteam. Dit kan worden bereikt door Azure Policy te configureren die automatisch waarschuwingen genereert bij wijzigingen in storage-accountconfiguraties, waarbij specifieke aandacht wordt besteed aan wijzigingen in de AllowCrossTenantReplication-eigenschap. Deze waarschuwingen moeten worden geconfigureerd met de juiste prioriteit en moeten worden doorgestuurd naar de relevante kanalen, zoals e-mail, SMS, of integratie met incident management systemen, zodat snelle respons mogelijk is wanneer een dergelijke wijziging wordt gedetecteerd.

Voor organisaties met meerdere Azure-abonnementen, resource groups, en honderden of duizenden storage-accounts is het sterk aanbevolen om een gecentraliseerde monitoringoplossing te implementeren die alle accounts in één overzicht presenteert en die het mogelijk maakt om snel afwijkingen te identificeren en te analyseren. Dit kan worden gerealiseerd door gebruik te maken van Azure Resource Graph queries die alle storage-accounts in de organisatie kunnen inventariseren en de status van de AllowCrossTenantReplication-eigenschap kunnen rapporteren, of door integratie met externe monitoringtools en Security Information and Event Management-systemen die Azure Management API's gebruiken om periodiek de configuratiestatus op te halen en te analyseren. Deze gecentraliseerde aanpak maakt het niet alleen mogelijk om de huidige status te monitoren, maar ook om trends te identificeren, historische wijzigingen te analyseren, en compliance-rapportages te genereren die aantonen dat de organisatie consistent voldoet aan de beveiligingsvereisten.

De monitoring moet ook uitgebreide aandacht besteden aan pogingen tot cross-tenant replicatie, zelfs wanneer deze zijn geblokkeerd door de configuratie, omdat deze pogingen belangrijke indicatoren kunnen zijn van kwaadwillende activiteit of gecompromitteerde accounts. Azure-logboeken kunnen gedetailleerde informatie bevatten over mislukte replicatiepogingen, inclusief informatie over de bron- en doelaccounts, de timing van de pogingen, en de identiteit van de gebruiker of service principal die de poging heeft geïnitieerd. Deze gebeurtenissen moeten worden geanalyseerd in de context van andere beveiligingsgebeurtenissen, zoals ongebruikelijke aanmeldingsactiviteiten, wijzigingen in toegangsrechten, of andere verdachte activiteiten, om potentiële bedreigingen vroegtijdig te identificeren en te reageren voordat er daadwerkelijk schade kan worden aangericht. De correlatie van deze gebeurtenissen kan worden geautomatiseerd door gebruik te maken van Azure Sentinel of andere SIEM-oplossingen die geavanceerde bedreigingsdetectie en responscapaciteiten bieden.

Naast de technische monitoringaspecten moeten organisaties ook procedures ontwikkelen voor het regelmatig reviewen van monitoringrapporten en het uitvoeren van periodieke audits om te verifiëren dat de monitoring zelf correct functioneert en dat alle relevante gebeurtenissen worden vastgelegd. Deze procedures moeten worden gedocumenteerd en moeten deel uitmaken van de reguliere beveiligingsworkflows, waarbij verantwoordelijkheden duidelijk zijn toegewezen aan specifieke teamleden of rollen. Het is ook belangrijk om regelmatig te testen of de monitoring en alerting correct functioneren door middel van gecontroleerde tests waarbij de replicatie-instelling tijdelijk wordt gewijzigd om te verifiëren dat de waarschuwingen correct worden gegenereerd en doorgestuurd naar de juiste personen en systemen.

Compliance en Auditing

Het uitschakelen van cross-tenant replicatie vormt een essentiële beveiligingsmaatregel die direct en significant bijdraagt aan de naleving van verschillende Nederlandse en internationale normen en regelgeving, waarbij deze controle een centrale rol speelt in het waarborgen van gegevenssoevereiniteit en het voorkomen van ongeautoriseerde gegevensuitwisseling. Voor Nederlandse overheidsorganisaties is deze controle met name relevant en kritisch binnen het kader van de Baseline Informatiebeveiliging Overheid (BIO) en de Algemene Verordening Gegevensbescherming (AVG), waarbij beide frameworks expliciete vereisten stellen aan de bescherming van gegevens en het voorkomen van ongeautoriseerde gegevensoverdracht tussen verschillende organisaties en systemen.

Binnen de BIO-normen valt deze controle specifiek onder BIO 11.02, dat betrekking heeft op gegevenssoevereiniteit en het voorkomen van ongeautoriseerde gegevensuitwisseling tussen verschillende organisaties en systemen. Deze norm vereist dat organisaties expliciete maatregelen treffen om te waarborgen dat gevoelige overheidsgegevens niet onbedoeld of zonder expliciete autorisatie worden gedeeld of gerepliceerd naar externe partijen. Door cross-tenant replicatie uit te schakelen, waarborgen organisaties dat gevoelige overheidsgegevens niet onbedoeld worden gerepliceerd naar externe tenants, wat essentieel is voor het handhaven van gegevenssoevereiniteit en het respecteren van de strikte grenzen tussen verschillende organisaties en tenants die vereist zijn voor de bescherming van vertrouwelijke overheidsinformatie. Deze maatregel draagt ook bij aan het naleven van het principe van need-to-know, waarbij gegevens alleen worden gedeeld met partijen die een legitieme en geautoriseerde behoefte hebben aan deze informatie.

De ISO 27001:2022 norm, specifiek controle A.5.15 over toegangscontrole en authenticatie, vereist dat organisaties passende en effectieve maatregelen treffen om ongeautoriseerde toegang tot gegevens te voorkomen en te detecteren. Cross-tenant replicatie kan worden beschouwd als een vorm van gegevensoverdracht die strikte controle en autorisatie vereist, waarbij elke overdracht van gegevens tussen verschillende organisaties moet worden geautoriseerd, gedocumenteerd, en gemonitord. Door deze functionaliteit standaard uit te schakelen, voldoen organisaties aan het principe van least privilege en voorkomen zij dat gegevens zonder expliciete autorisatie en zonder de juiste beveiligingscontroles worden gerepliceerd naar externe tenants. Deze aanpak sluit aan bij de ISO 27001-vereisten voor het implementeren van defense in depth, waarbij meerdere beveiligingslagen worden gecombineerd om de algehele beveiligingspostuur te versterken en het risico op gegevenslekken te minimaliseren.

Vanuit AVG-perspectief, zoals vastgelegd in Artikel 32 over beveiliging van verwerking, moeten organisaties passende technische en organisatorische maatregelen treffen om persoonsgegevens te beschermen tegen ongeautoriseerde toegang, verlies, vernietiging, of wijziging. Het voorkomen van ongeautoriseerde gegevensreplicatie tussen tenants is een cruciale technische maatregel die direct bijdraagt aan de beveiliging van persoonsgegevens en die helpt om te voldoen aan de AVG-vereisten voor gegevensbescherming by design en by default. Wanneer gegevens onbedoeld worden gerepliceerd naar externe tenants, kan dit leiden tot ernstige schending van de AVG, met name als het gaat om gegevens die onder specifieke bewaartermijnen of geografische beperkingen vallen, of wanneer de replicatie leidt tot verwerking van persoonsgegevens door partijen die niet zijn geautoriseerd om deze gegevens te verwerken. In dergelijke gevallen kunnen organisaties worden geconfronteerd met aanzienlijke boetes van de Autoriteit Persoonsgegevens, naast de potentiële schade aan hun reputatie en het vertrouwen van burgers en stakeholders.

Voor auditing doeleinden moeten organisaties kunnen aantonen dat de cross-tenant replicatie-instelling correct is geconfigureerd, wordt gehandhaafd, en regelmatig wordt geverifieerd door middel van geautomatiseerde controles en handmatige reviews. Dit vereist niet alleen regelmatige controles en documentatie van de configuratiestatus, maar ook de ontwikkeling van audit trails die aantonen wanneer de instelling is geconfigureerd, wanneer deze is gewijzigd, en wie verantwoordelijk was voor deze wijzigingen. Auditlogs moeten worden bewaard voor de vereiste bewaartermijn, zoals gespecificeerd in de auditEvidence-sectie, waarbij voor Nederlandse overheidsorganisaties vaak een bewaartermijn van zeven jaar wordt gehanteerd in overeenstemming met de Archiefwet. Deze logs moeten beschikbaar zijn voor auditors zodat zij kunnen verifiëren dat de organisatie consistent heeft voldaan aan deze beveiligingsvereiste en dat er geen perioden zijn geweest waarin de controle niet actief was of niet correct was geconfigureerd.

Daarnaast is deze controle zeer relevant voor naleving van de NIS2-richtlijn, die vereist dat essentiële en belangrijke entiteiten passende en effectieve beveiligingsmaatregelen implementeren om hun netwerk- en informatiesystemen te beschermen tegen cyberbeveiligingsbedreigingen en incidenten. Het voorkomen van ongeautoriseerde gegevensexfiltratie via cross-tenant replicatie is een concrete en meetbare maatregel die direct bijdraagt aan de algehele cyberbeveiligingspostuur van de organisatie en die helpt om te voldoen aan de NIS2-vereisten voor het implementeren van technische beveiligingsmaatregelen die bescherming bieden tegen ongeautoriseerde toegang en gegevenslekken. Deze maatregel draagt ook bij aan de NIS2-vereisten voor incident response en business continuity, omdat het voorkomen van gegevenslekken via cross-tenant replicatie helpt om de impact van beveiligingsincidenten te beperken en de continuïteit van kritieke dienstverlening te waarborgen.

Naast deze primaire compliance-frameworks draagt het uitschakelen van cross-tenant replicatie ook bij aan naleving van andere relevante normen en standaarden, zoals de Cloud Security Alliance Cloud Controls Matrix, die expliciete controles bevat voor het beheren van gegevenslocatie en gegevenssoevereiniteit, en de NIST Cybersecurity Framework, dat vereisten stelt aan het beschermen van gegevens tegen ongeautoriseerde toegang en overdracht. Organisaties die deze controle implementeren kunnen deze ook gebruiken als bewijs van due diligence in het kader van contractuele verplichtingen met klanten en partners, waarbij zij kunnen aantonen dat zij passende maatregelen hebben genomen om te voorkomen dat gegevens onbedoeld worden gedeeld of gerepliceerd naar externe partijen zonder expliciete autorisatie en controle.

Remediatie

Wanneer monitoring of periodieke controles aangeven dat cross-tenant replicatie is ingeschakeld op een of meerdere storage-accounts binnen de organisatie, moet onmiddellijk en zonder uitstel actie worden ondernomen om dit beveiligingsrisico te verhelpen en te voorkomen dat gevoelige gegevens worden blootgesteld aan ongeautoriseerde partijen. De remediatieprocedure moet worden uitgevoerd door een bevoegde en ervaren beheerder die beschikt over voldoende rechten om storage-accountconfiguraties te wijzigen, waarbij het belangrijk is dat deze persoon ook beschikt over de nodige kennis en ervaring om de impact van de wijziging te begrijpen en te beoordelen. In situaties waar de activering mogelijk het gevolg is van kwaadwillende activiteit, moet het beveiligingsoperatiecentrum of het incident response team worden betrokken om ervoor te zorgen dat de remediatie wordt uitgevoerd op een manier die forensisch onderzoek niet compromitteert en die mogelijk bewijs behoudt voor verdere analyse.

Gebruik PowerShell-script cross-tenant-replication-disabled.ps1 (functie Invoke-Remediation) – Herstellen.

De remediatieprocedure begint met een grondige en systematische identificatie van alle storage-accounts waar cross-tenant replicatie mogelijk is ingeschakeld, waarbij organisaties moeten zorgen dat geen enkel account wordt overgeslagen en dat zowel productie- als niet-productieomgevingen worden gecontroleerd. Dit kan worden gedaan via de Azure Portal door handmatig naar elk storage-account te navigeren en de Object Replication-instellingen te controleren, maar voor organisaties met veel storage-accounts is het sterk aanbevolen om gebruik te maken van geautomatiseerde scripts die alle accounts in de organisatie kunnen scannen en een overzicht kunnen genereren van alle accounts waar cross-tenant replicatie is ingeschakeld. Deze scripts kunnen worden uitgevoerd via Azure PowerShell, Azure CLI, of door gebruik te maken van Azure Resource Graph queries die alle storage-accounts kunnen inventariseren en de status van de AllowCrossTenantReplication-eigenschap kunnen rapporteren.

Voordat de instelling wordt gewijzigd en cross-tenant replicatie wordt uitgeschakeld, is het van cruciaal belang om een grondig onderzoek uit te voeren om te begrijpen waarom cross-tenant replicatie mogelijk is ingeschakeld en wat de context en achtergrond van deze configuratie is. Was dit een opzettelijke en geautoriseerde actie voor een specifiek gebruiksscenario dat is goedgekeurd door het management, of was het een onbedoelde configuratiefout die is ontstaan door menselijke fout of door onvoldoende beveiligingscontroles? Als er legitieme en gedocumenteerde redenen zijn voor cross-tenant replicatie, moet dit worden beoordeeld door het security team en het management, en moeten alternatieve beveiligingsmaatregelen worden geïmplementeerd, zoals strikte toegangscontroles, uitgebreide monitoring van replicatie-activiteiten, en regelmatige audits om te verifiëren dat de replicatie alleen plaatsvindt voor geautoriseerde doeleinden. In dergelijke gevallen moet ook worden overwogen of de zakelijke behoefte voor cross-tenant replicatie kan worden opgelost door alternatieve architecturale oplossingen die geen cross-tenant replicatie vereisen.

Voor de overgrote meerderheid van organisaties, en met name voor Nederlandse overheidsorganisaties, is de aanbevolen en meest veilige actie om de AllowCrossTenantReplication-eigenschap direct en zonder uitstel in te stellen op false, waarbij deze wijziging moet worden doorgevoerd op alle storage-accounts waar cross-tenant replicatie momenteel is ingeschakeld. Dit kan worden gedaan via de Azure Portal door te navigeren naar Storage Account → Object Replication → Cross-tenant replication settings, waar de instelling kan worden uitgeschakeld door de AllowCrossTenantReplication-eigenschap te wijzigen naar false. Alternatief kan deze wijziging worden doorgevoerd via Azure PowerShell met behulp van de Set-AzStorageAccount cmdlet, waarbij de AllowCrossTenantReplication-parameter wordt ingesteld op false. Na het wijzigen van de instelling moet onmiddellijk worden geverifieerd dat de wijziging succesvol is doorgevoerd door de configuratie opnieuw te controleren, en moet worden gecontroleerd of er geen actieve cross-tenant replicatiepaden meer bestaan die mogelijk nog gegevens kunnen repliceren naar externe tenants.

Na de technische remediatie is het essentieel om een uitgebreide analyse uit te voeren om te bepalen of er tijdens de periode dat cross-tenant replicatie was ingeschakeld, daadwerkelijk gegevens zijn gerepliceerd naar externe tenants, en zo ja, welke gegevens mogelijk zijn blootgesteld en wat de potentiële impact hiervan is. Dit vereist een grondige analyse van replicatielogs, Azure Activity Logs, en andere relevante logbronnen die informatie kunnen bevatten over replicatie-activiteiten, waarbij mogelijk ook forensisch onderzoek moet worden uitgevoerd om te bepalen welke specifieke bestanden, containers, of gegevenssets mogelijk zijn gerepliceerd naar externe tenants. Als er sprake is van een mogelijk datalek, moeten de relevante meldingsprocedures onmiddellijk worden gevolgd, inclusief mogelijke melding aan de Autoriteit Persoonsgegevens indien persoonsgegevens zijn betrokken, waarbij organisaties moeten zorgen dat zij voldoen aan de AVG-vereisten voor het melden van datalekken binnen 72 uur na ontdekking. Daarnaast moeten interne stakeholders, zoals het management en het privacy team, worden geïnformeerd over de situatie en de genomen maatregelen.

Om te voorkomen dat dit probleem opnieuw optreedt en om te waarborgen dat cross-tenant replicatie niet opnieuw kan worden ingeschakeld zonder expliciete autorisatie en controle, moeten organisaties Azure Policy implementeren die automatisch voorkomt dat cross-tenant replicatie wordt ingeschakeld op nieuwe of bestaande storage-accounts, of die automatisch waarschuwingen genereert wanneer deze instelling wordt gewijzigd of wanneer er pogingen worden gedaan om deze in te schakelen. Deze policies moeten worden geconfigureerd op het juiste scope-niveau, zoals op het niveau van management groups of subscriptions, zodat zij van toepassing zijn op alle storage-accounts binnen de organisatie. Daarnaast moeten toegangsrechten worden herzien en beperkt om ervoor te zorgen dat alleen bevoegde personen met een legitieme zakelijke behoefte wijzigingen kunnen aanbrengen in kritieke beveiligingsinstellingen zoals cross-tenant replicatie, waarbij het principe van least privilege moet worden toegepast zodat gebruikers alleen de minimale rechten hebben die nodig zijn voor hun functie. Deze toegangscontroles moeten worden gecombineerd met regelmatige access reviews om te verifiëren dat toegangsrechten nog steeds passend zijn en dat er geen overbodige rechten zijn toegekend die kunnen worden misbruikt.

Compliance & Frameworks

• BIO: 11.02 - Gegevenssoevereiniteit
• ISO 27001:2022: A.5.15 - Toegangscontrole en authenticatie

Automation

Gebruik het onderstaande PowerShell script om deze security control te monitoren en te implementeren. Het script bevat functies voor zowel monitoring (-Monitoring) als remediation (-Remediation).

Risico zonder implementatie

Management Samenvatting

Cross-Tenant Replicatie Uitgeschakeld: Blokkeer objectreplicatie naar andere Azure AD-tenants om gegevensexfiltratie te voorkomen. Activeren: Storage Account → Object Replication → Cross-tenant replicatie uitschakelen. Geen extra kosten. Verplicht voor AVG- en NIS2-naleving. Implementatietijd: 30 minuten. Beschermt gegevenssoevereiniteit en voorkomt ongeautoriseerde gegevensuitwisseling tussen verschillende organisaties.

• Implementatietijd: 1 uur
• FTE required: 0.01 FTE