Infrastructuur Consultant

1. Aanleiding en Doel. DUO heeft sinds een aantal jaar de backupdienst uitbesteed aan ODC-N. Omdat we early adopter zijn van deze dienst, zijn we de eerste tijd tegen een groot aantal hacktest bevindingen aan gelopen. Een aantal bevindingen zijn opgelost. Een ander deel vergt meer tijd omdat we afhankelijk zijn van de leverancier (ODC-N), onderaannemer (Databalance) en de software leverancier (Commvault). Belangrijk is dat we voor het oplossen van deze bevindingen aan de DUO kant iemand hebben die kennis heeft van DUO processen, veel technische kennis van Commvault en van de hacktest bevindingen zelf en verder als onafhankelijk persoon de belangen voor DUO kan behartigen. 2. Resultaatgebieden en Deliverables De opdracht is resultaatgericht en omvat de volgende concrete deliverables: Het oplossen van +- 30 hacktestbevindingen van het project BaaS met ODC-N. Hieronder de belangrijkste bevindingen uitgelicht, overige hacktesten worden opgelost door of hangen samen met de hieronder beschreven hacktesten. Belangrijk is het om te weten dat deze trajecten veelal parallel aan elkaar kunnen lopen en niet opvolgend aan elkaar. De algehele deadline wordt initieel gezet op 1-8-2027. 2.1K02 BaaS

• PRD
• Het is mogelijk om een out-of-band restore uit te voeren, ondanks dat dit niet toegestaan is volgens het beleid. Medewerkers van DUO, de leverancier en onderaannemer kunnen restores uitvoeren buiten de oorspronkelijke locatie. Dit vergroot het risico op datadiefstal/ongeautoriseerde mutaties. We willen streven naar een aparte comcell server. Het is aan de Infrastructuur consultant om dit samen met de leverancier in te richten en de bestaande back-ups te migreren. Deliverable: Hacktest bevinding hertest en akkoord bevonden door hacktesters

2.2 H04 (M) BaaS – PRD – Geen vier ogen principe aanwezig Medewerkers van de leverancier (ODC-N) en dienst onderaannemer (Databalance) hebben volledige ongecontroleerde toegang tot de inhoud van de back-up en kunnen ongemerkt zaken verwijderen of toevoegen. Dit zorgt voor een onnodig groot aanvalsoppervlak waar een hacker gebruik van kan maken. Dit dient verkleint te worden door een 4 ogen principe in te voeren waar DUO bij meekijkt. De Infrastructuur consultant dient dit te onderzoeken en implementeren. Deliverable: Hacktest bevinding hertest en akkoord bevonden door hacktesters

2.3 H07 BaaS – PRD – De logging van het Commvault platform wordt niet opgestuurd naar DUO Op dit moment krijgt DUO geen logging vanuit Commvault omdat dit niet is te regelen in de huidige opzet met Commvault. Zodra we over zijn naar de nieuwe comcell server, kan dit wel

geregeld worden. Het is aan de Infrastructuur consultant om te zorgen deze logging bij DUO te krijgen en i.s.m. het DUO SOC te komen tot usecases in welk geval een alert moet afgaan. Deliverable: Hacktest bevinding hertest en akkoord bevonden door hacktesters 2.4 M09 BaaS

• PRD
• Er wordt gebruik gemaakt van LDAP in plaats van LDAPS, waardoor Credentials onversleuteld over de lijn gaan. I.s.m. DUO CD Windows en ODC-N zorgen dat er een SAML koppeling wordt opgetuigd voor veilige authenticatie met DUO accounts op het BaaS platform. Op dit moment zijn Credentials niet versleuteld. Deliverable: Hacktest bevinding hertest en akkoord bevonden door hacktesters 2.5 Begeleiden van de hacktesten ism hacktestteam Zodra de bevindingen zijn opgelost, dienen deze te worden aangeboden voor hertest. Dit moet begeleid worden zodat de hacktesters alles hebben wat nodig is voor de test. Denk aan authorisaties, etc. Deliverable: Hacktest bevinding hertest en akkoord bevonden door hacktesters 2.6 Eventuele nieuwe bevindingen die gaandeweg nog aan het licht komen Tijdens het oplossen en hertesten bestaat de mogelijkheid dat er nieuwe bevindingen aan het licht komen die opgelost dienen te worden, deze vallen buiten de algemene deadline die hierboven is genoemd en moeten apart worden beoordeeld. Deliverable: Hacktest bevinding hertest en akkoord bevonden door hacktesters 2.7 Schrijven initiële restore procedure in geval van DR Als DUO te maken heeft met een grootschalig disaster recovery event, zal er vanaf 0 begonnen moeten worden. DUO wil geïnventariseerd hebben welke stappen er tussen 0 en ‘kunnen restoren vanuit BaaS’ nodig zijn en wat de voorwaarden hiervoor zijn. Deliverable: Werkinstructie en stappenplan 2.8 Bijgewerkt TO met de geboden oplossingen Alle oplossingen voor bevindingen moeten in het TO en de wiki worden verwerkt zodat de Commvault beheerders hiermee aan de slag kunnen. Deliverable: Bijgewerkte TO en Wiki. 3. Werkwijze en Randvoorwaarden Zelfstandige uitvoering: De Infrastructuur consultant voert de functie in eigen beheer uit en heeft geen hiërarchische leiding af te leggen. Eigen middelen: Gebruik van eigen laptop en software. Er is geen toegang tot interne systemen, tenzij strikt noodzakelijk voor de opdracht. De Infrastructuur consultant neemt deel aan team overleggen voor zover dat noodzakelijk is voor de uitvoering van de opdracht. Hetzelfde geldt voor de aanwezigheid op kantoor, voor zover dat voor de uitvoering van de opdracht noodzakelijk is. 4. Tijdelijkheid en Uitstroom Looptijd: 1 augustus 2026 t/m 31 juli 2028 (1 jaar met optie op 2 x 6 maanden verlenging i.v.m. uitlopen werkzaamheden/oplossen hacktestbevindingen). 5. Acceptatie en Goedkeuring De opdracht is succesvol afgerond wanneer:
• Alle deliverables zijn goedgekeurd door de opdrachtgever. De meeste mensen kennen ons van de studiefinanciering. Maar wist je ook dat DUO in Noord-Nederland dé topspeler is als het gaat om ICT? Wij ontwikkelen en beheren honderden applicaties voor miljoenen gebruikers, en daar zitten geavanceerde en complexe infrastructuren achter. Deze infrastrucuur wordt niet alleen door DUO geconsumeerd, sinds 2019 bieden wij deze ook aan bij OCW. Je werkt in opdracht van het IaaS CSR Team. Wij zorgen dat de onderliggende infrastructuur 24/7 op-en-top functioneerd, zodat onze collega’s zich kunnen richten op het leveren van applicaties en diensten. Het IaaS team bestaat uit twee onderdelen, namelijk Compute, Storage & Recovery (CSR) en Netmatica. Als Infrastructuur consultant ga je o.a. zorgen dat de hacktestbevindingen van het project BaaS met ODC-N worden opgelost waar specifieke kennis voor nodig is en niet door een standaard beheerder Infrastructuur gedaan kan worden. Belangrijk is dat we voor het oplossen van deze bevindingen aan de DUO kant iemand hebben die kennis heeft van DUO processen, veel technische kennis van Commvault en van de hacktest bevindingen zelf en verder als onafhankelijk persoon de belangen voor DUO kan behartigen. Er wordt verwacht dat je in gesprek kan treden met de organisatie om deze te adviseren.