Kritiek op niet naleven securityregels overheidswebsites: geen rocketscience
De helft van de domeinnamen van overheden voldoet nog steeds niet aan verplichte securitystandaarden, zo werd half november 2022 duidelijk uit een meting van Forum Standaardisatie. IT politici van D66 en VVD, Dave Maasland van ESET Nederland en digitale burgerrechtenorganisatie Bits of Freedom zijn kritisch. Dit is echt het minimale wat je moet doen, zegt techonderzoeker Joran van Apeldoorn van Bits of Freedom bijvoorbeeld.
Forum Standaardisatie onderzocht voor ruim 2.500 domeinnamen in hoeverre zij voldoen aan de door de overheid verplicht gestelde informatiebeveiligingsstandaarden en of ze bereikbaar zijn via IPv6. Slechts 53 procent voldoet aan alle verplichte websitestandaarden en 44 procent voldoet aan de verplichte e-mailstandaarden. Dat terwijl de deadlines van de adoptieafspraken voor de beide sets standaarden al in 2019 en 2021 zijn verlopen.
Toch gaat het niet om hele ingewikkelde standaarden. Volgens de adoptieafspraken moeten bij alle overheidswebsites waar bij burgers of bedrijven gegevens in moeten voeren, TLS in de vorm van HTTPS toegepast zijn. Ook moet DNSSEC gebruikt worden voor elke domeinnaam waarmee een overheidsorganisatie met burgers of bedrijven communiceert en moet e-mailspoofing bestreden worden door SPF, DKIM en DMARC toe te passen op alle domeinnamen, ook als deze geen gebruikmaken van e-mail. En sinds eind 2021 moeten alle websites en e-maildomeinen ook bereikbaar zijn via IPv6.
De eerste van deze afspraken werd zeven jaar geleden al gemaakt, maar geen van de streefbeelden voor de overheid is als geheel gehaald, stelt Forum Standaardisatie. En de risico s daarvan kunnen groot zijn, vertelt Dave Maasland, directeur van ESET Nederland. Het probleem in dit geval is ook dat alle ministeries uiteindelijk onderdeel uitmaken van een orgaan: De overheid. Dus als 1 onderdeel slechts beveiligd is, dan zijn ze allemaal een stukje slechter beveiligd. Ministeries hebben onderling veel contact en dit maakt het voor aanvallers gemakkelijker om binnen te komen en over te springen op andere ministeries. Tot slot is de voorbeeldrol van de overheid belangrijk en wat dit zegt over de overige IT-beveiligingsmaatregelen. Het vertrouwen in overheden en instanties is belangrijk, zeker met de huidige geopolitieke spanningen. De dreiging op gerichte aanvallen, die vaak via phishing beginnen, zijn nog nooit zo groot geweest.
Verder lezen bij de bronLees ons boek
Gemeenten. Bewustzijn. Privacy.
Nieuwsbrief
Deze versturen we 3-4x per jaar.
Recente blogs
Meer recente berichten
Verkeerslichten maken contact met telefoons, zorgen om privacy | Verder lezen | |
Aantal datastelende malware infecties verzevenvoudigd sinds 2020 | Verder lezen | |
Digitaal inbreken eitje voor deze hackers: Beveiliging is bij bedrijven heel groot probleem | Verder lezen | |
Booking.com meldt datalekken op tijd na ingrijpen AP | Verder lezen | |
AVG verzoek frauderende ambtenaar toch geen misbruik van recht, KPMG moet alsnog inzage geven | Verder lezen | |
Bedrijven investeren jaarlijks ruim 92.000 euro voor bijscholing cybersecurityteams | Verder lezen | |
Gartner: Identiteitsbeheer cruciaal voor cyberbeveiliging | Verder lezen | |
AP wijst politieke partijen op risico s persoonsgegevens rondom verkiezingen | Verder lezen | |
Delen videobeelden van misdragingen werknemer vormen geen inbreuk op AVG | Verder lezen | |
Onderzoek Cisco: slechts 3 procent organisaties volledig voorbereid op cyberaanval | Verder lezen |