Verdedigingslaag

Verdedigingslaag is een component binnen een gelaagde beveiligingsstrategie. Het verwijst naar een afzonderlijke voorziening, maatregel of capaciteit die bedoeld is om risico’s te verminderen door dreigingen te voorkomen, te detecteren of te beperken. In een bredere context maakt een combinatie van meerdere verdedigingslagen een organisatie minder kwetsbaar voor succesvolle aanvallen.

Het concept staat bekend als verdediging in diepte (verdediging in diepte). Door verschillende lagen achter elkaar te plaatsen, bestrijkt men verschillende aanvalsvectoren en risico’s. Een verdedigingslaag kan technisch van aard zijn, zoals firewalls, netwerksegmentatie, encryptie, antivirus en detectiesystemen; maar ook administratief of fysiek van aard, zoals toegangscontrole, beveiligingsbeleid, training, back-ups en incidentresponsprocedures.

Veelvoorkomende verdedigingslagen in informatieveiligheid omvatten perimeter- en netwerkbeveiliging (firewalls, VPN’s), identiteits- en toegangsbeheer (fair gebruik van MFA, principle of least privilege), gegevensbescherming (encryptie, DLP), end-pointbescherming, monitoring en dreigingsdetectie (SIEM, IDS/IPS), back-ups en herstel na incidenten, en beveiligingsbewustzijnstraining. Ook fysieke beveiliging en operationele processen spelen een rol.

Ontwerp en onderhoud van verdedigingslagen vereisen risico- en bedreigingsanalyse, afstemming op kritische activa en continue evaluatie. Belangrijke overwegingen zijn dekking, overlap en eenvoud, zodat er geen gaten ontstaan maar ook geen onnodige complexiteit of kosten ontstaan. Verdedigingslagen alleen bieden geen garantiegraad; hun effectiviteit hangt af van goede configuratie, toezicht en regelmatig onderhoud.

Zie ook: verdediging in diepte.