Webfilter voor bedrijven met Zenarmor: ISO 27001 A.8.23 praktisch en AVG-proof ingevuld

Een webfilter bepaalt welke websites medewerkers, gasten en apparaten mogen bezoeken, op basis van categorie en reputatie. ISO 27001:2022 vraagt daar met control A.8.23 expliciet om: de toegang tot externe websites moet worden beheerd om de blootstelling aan kwaadaardige inhoud te beperken. Zenarmor classificeert volgens de eigen documentatie meer dan 300 miljoen websites in 120+ categorieën, blokkeert phishing, malware en botnet-C&C via cloud threat intelligence en dwingt Safe Search af, per gebruiker, groep of VLAN.

In dit artikel leest u wat A.8.23 precies vraagt, hoe de webfilter van Zenarmor werkt (profielen, securitycategorieën, DNS-inspectie, uitzonderingen), hoe u het AVG-proof inricht en hoe u het in stappen uitrolt. We schrijven als onafhankelijk ISO 27001 Lead Auditor én als officiële Zenarmor-partner in Nederland. We beschrijven dus zowel de techniek als wat een auditor wil zien.

Wat vraagt ISO 27001:2022 control A.8.23 (webfiltering)?

Webfiltering is een van de nieuwe controls in de 2022-versie van de norm (zie ISO 27001:2022: wat is er veranderd). De control zelf is kort: beheer de toegang tot externe websites om blootstelling aan kwaadaardige inhoud te verminderen. De uitwerking staat in de richtlijn ISO/IEC 27002:2022, paragraaf 8.23. Samengevat noemt die richtlijn:

• Blokkeren van risicovolle bestemmingen, zoals bekende of vermoedelijk kwaadaardige sites (malware, phishing), command-and-control-servers, kwaadaardige sites uit threat intelligence en websites met illegale inhoud.
• Websites met een uploadfunctie overwegen te blokkeren, tenzij daar een zakelijke reden voor is.
• Regels voor veilig en passend gebruik van online bronnen, inclusief beperkingen voor ongewenste websites en webapplicaties, die actueel worden gehouden.
• Training van medewerkers in veilig en passend gebruik van internet.

In de praktijk hangt A.8.23 samen met A.5.7 (threat intelligence), A.8.7 (bescherming tegen malware), A.5.10 (aanvaardbaar gebruik), A.6.3 (bewustwording) en A.8.15/A.8.16 (logging en monitoring). Een auditor kijkt bij A.8.23 naar vier dingen: is er een vastgesteld beleid, is het technisch afgedwongen op alle relevante netwerken en apparaten, is er een uitzonderingsproces, en wordt de werking periodiek beoordeeld? Voor NIS2-plichtige organisaties sluit webfiltering bovendien aan op de basispraktijken voor cyberhygiëne uit de zorgplicht van de Cyberbeveiligingswet.

Hoe de webfilter van Zenarmor werkt

Categorieën en cloudclassificatie

Bij elke verbinding bepaalt Zenarmor de webcategorie van de bestemming. De documentatie over web controls spreekt van “300+ million websites in 120+ categories”. De classificatie komt uit de Zenarmor-cloud: de engine vraagt de dichtstbijzijnde cloudservers en houdt een snelle lokale cache bij. Wilt u weten hoe een site is ingedeeld? Gebruik de publieke site-classificatie-lookup.

Profielen: Permissive, Moderate, High en Custom

U hoeft niet 120 categorieën één voor één in te stellen. Zenarmor heeft vooraf gedefinieerde profielen:

Profiel	Wat wordt geblokkeerd (volgens Zenarmor-docs)	Typisch gebruik
Permissive	Geen contentcategorieën; onbeperkt surfen	Alleen in combinatie met securitycategorieën, bijv. voor IT-beheer
Moderate	Adult, Advertisements, Illegal Drugs, Pornography, Violence	Kantoor, zorg, gasten-wifi
High	Moderate plus o.a. Blogs, Chats, Dating, Gambling, Games, Social Networks, Software Downloads	Scholen, kiosken, gedeelde of publieke werkplekken
Custom	Uw eigen selectie; het profiel springt automatisch naar Custom als u een categorie wijzigt	Organisaties met een specifiek beleid

Het Custom-profiel is volgens de documentatie voorbehouden aan de betaalde edities; de gratis editie biedt drie vaste profielen. Voor zakelijke inzet met meerdere policies (per groep of VLAN) kiest u een zakelijk plan, vanaf Unified Secure.

Securitycategorieën: Essential en Advanced

Naast contentcategorieën kent Zenarmor securityregels in twee lagen. Deze regels zijn de kern van A.8.23:

• Essential: malware/virus, phishing, hacking, spamsites, potentially dangerous, parked domains en firstly seen sites (domeinen die de classificatie-engine nog niet eerder zag).
• Advanced: recente malware-, phishing- en virusuitbraken, botnet-C&C, gecompromitteerde websites, spyware en adware, keyloggers en monitoring, dynamische-DNS-sites, nieuw geregistreerde domeinen en recent heractiveerde domeinen.

Vooral nieuw geregistreerde domeinen en firstly seen sites zijn waardevol tegen phishing: campagnes gebruiken vaak domeinen die pas enkele dagen bestaan. De beschikbaarheid van Advanced Security hangt volgens Zenarmor af van uw abonnement.

Cloud threat intelligence

De reputatiegegevens komen uit de cloud threat intelligence van Zenarmor. Volgens Zenarmor worden queries versleuteld verstuurd en geanonimiseerd verwerkt, zonder persoonsgegevens, en worden ze niet langer dan zeven dagen bewaard. Dat is relevant voor uw verwerkingsregister en verwerkersafspraken: neem het mee in uw AVG-beoordeling.

Safe Search en YouTube Restricted Mode

Per policy kunt u Safe Search afdwingen voor zoekmachines als Google, Bing, DuckDuckGo en Yandex, plus YouTube. Expliciete afbeeldingen, video’s en resultaten worden dan uit de zoekresultaten gefilterd. YouTube Restricted Mode verbergt daarnaast seksueel expliciete en andere ongeschikte video’s. Voor scholen, kinderopvang, bibliotheken en publieke wifi is dit vaak de belangrijkste instelling. Omdat het per policy werkt, kunt u het voor het leerlingen- of gasten-VLAN aanzetten en voor medewerkers niet.

DNS deep inspection: tunnels en DGA-domeinen

Aanvallers gebruiken DNS graag als verborgen kanaal: om data naar buiten te smokkelen (DNS-tunneling) of om malware via algoritmisch gegenereerde domeinen (DGA) contact te laten maken met een botnet. De content inspection rules van Zenarmor bevatten daarom DNS deep inspection. Die herkent kwaadaardige DNS-tunnels, misvormde of afwijkende DNS-transacties en DGA-queries van botnets. Elke functie kent de standen Disabled, Log en Block. Begin met Log, kijk wat er gebeurt en zet daarna Block aan. DNS deep inspection zit in de betaalde edities.

Algemeen advies: zorg dat clients uw eigen DNS-resolver gebruiken en dat DNS buiten de gateway om wordt beperkt. Anders mist u zicht op een deel van het verkeer.

Uitzonderingen en allow-lists

Geen webfilter is perfect. Soms wordt een legitieme leverancierssite te streng geclassificeerd, of heeft een afdeling aantoonbaar toegang nodig tot een geblokkeerde categorie. Daarvoor zijn exclusions: een whitelist (altijd toestaan) en een blacklist (altijd blokkeren) voor IP-adressen, CIDR-reeksen, domeinen en hostnamen. Exclusions gaan voor op de security-, app- en webregels en kunnen globaal of per policy gelden.

Wilt u op URL-niveau blokkeren, met wildcards of reguliere expressies? Dat kan volgens de documentatie in de ZTNA-, SSE- en SASE-abonnementen, en alleen met volledige TLS-inspectie.

Belangrijker dan de techniek is het proces. Leg vast wie een uitzondering mag aanvragen, wie goedkeurt, met welke motivering en tot wanneer. Een auditor vraagt naar die registratie, en een whitelist zonder einddatum is een klassieke bevinding.

Privacy en AVG: proportioneel en transparant

Een webfilter verwerkt persoonsgegevens: wie bezocht welke bestemming en wanneer. Dat mag, maar binnen de kaders van de AVG. Volgens de Autoriteit Persoonsgegevens mag een werkgever regels stellen voor internetgebruik en daarop controleren, mits medewerkers vooraf weten wat de regels zijn en dat controle mogelijk is. Onze vuistregels:

• Blokkeren boven bekijken. Een webfilter die risicovolle categorieën tegenhoudt is proportioneler dan achteraf individueel surfgedrag analyseren.
• Transparantie. Neem de regels op in uw beleid voor aanvaardbaar gebruik of uw ICT-reglement, en communiceer ze vóór de livegang.
• Doelbinding en bewaartermijn. Gebruik de logs voor beveiliging en storingsanalyse. Stel een passende bewaartermijn in en beperk wie individuele gegevens mag inzien.
• OR en DPIA. Een systeem dat geschikt is om gedrag te controleren valt doorgaans onder het instemmingsrecht van de ondernemingsraad (art. 27 WOR). Bij stelselmatige monitoring kan een DPIA verplicht zijn. Meer daarover in ons artikel over TLS-inspectie, AVG en OR.

Hoe u informatiebeveiliging en privacy in één systeem borgt, leest u in AVG en ISO 27001 samen.

Rapportage: van blokkade naar bewijs

Zenarmor rapporteert lokaal (Elasticsearch of SQLite) of in de cloud, met volgens Zenarmor meer dan 60 rapporten. Sinds versie 2.7 kunt u bij cloudrapportage onder meer Nederland of Duitsland als regio kiezen. U kunt rapportagedata ook naar een externe Elasticsearch, Syslog of SIEM streamen. Voor A.8.23 zijn vooral relevant: geblokkeerde securitycategorieën in de tijd, top geblokkeerde domeinen, het effect van nieuwe dreigingen en de lijst met actieve exclusions. Hoe u dat als auditbewijs ordent, leest u in Zenarmor-rapportage voor NIS2 en ISO 27001.

A.8.23 vertaald naar Zenarmor-instellingen

Element uit ISO 27002 (8.23)	Zenarmor-functie	Bewijs voor de auditor
Kwaadaardige sites blokkeren (malware, phishing)	Essential Security: Malware/Virus, Phishing	Policy-export, rapport geblokkeerde dreigingen
Command-and-control-servers	Advanced Security: Botnet C&C; DNS deep inspection (DGA)	Rapport, eventueel SIEM-alerts
Threat intelligence (relatie met A.5.7)	Cloud threat intelligence, Newly Registered Sites	Documentatie van de bron, actieve categorieën
Illegale en ongewenste inhoud	Profiel Moderate/High/Custom, Safe Search	Beleid voor aanvaardbaar gebruik plus profielinstellingen
Sites met uploadfunctie	Categorieën file-sharing; actiecontrole via CASB (vanaf SSE)	Risicoafweging en policy
Regels actueel houden, uitzonderingen	Exclusions met tijdstempels, Zenconsole-audittrail	Uitzonderingsregister, reviewnotulen

Voor uploads naar file-sharingdiensten verwijzen we naar ons artikel over SSE, CASB en DLP. Voor app-gebaseerde blokkades (AI-tools, remote access, peer-to-peer) leest u applicatiecontrole met Zenarmor.

Sectorvoorbeelden

• Onderwijs: profiel High of Custom op het leerlingennetwerk, Safe Search en YouTube Restricted Mode aan, en een tijdschema voor lesuren. Medewerkers krijgen een ruimer profiel. Zenarmor publiceert klantverhalen uit het Europese onderwijs, onder andere van de stad Nordhorn (Duitsland) en GIP RECIA met DynFi (Frankrijk).
• Zorg: Moderate plus alle securitycategorieën op het zorgnetwerk, en een gescheiden patiënten-wifi met Safe Search. Dat sluit aan op NEN 7510 en de zorgplicht van de Cyberbeveiligingswet.
• Kantoor en zakelijke dienstverlening: Moderate of Custom, Essential en Advanced Security op Block, nieuw geregistreerde domeinen geblokkeerd en DNS deep inspection aan. Uitzonderingen alleen via het register.
• Gasten-wifi: eigen VLAN, captive portal, Moderate met Safe Search en alle securitycategorieën. Zo beschermt u uw publieke IP-adres en uw reputatie tegen misbruik.

Uitrol in zes stappen

Grenzen: HTTPS en apparaten buiten het netwerk

Categoriefiltering werkt zonder decryptie: Zenarmor gebruikt de hostnaam uit de TLS-handshake en DNS. Daarmee blokkeert u per domein. Wilt u op pad-niveau filteren (één pagina op een verder toegestane site) of uploads binnen een dienst tegenhouden, dan heeft u volledige TLS-inspectie nodig, met alle privacy- en beheervragen die daarbij horen. Encrypted Client Hello kan de hostnaam bovendien verbergen. Lees daarom vooraf ons artikel TLS-inspectie met Zenarmor. Laptops buiten kantoor beschermt u met de endpoint-agents, zodat dezelfde webpolicy ook thuis en onderweg geldt.