Kritiek op niet naleven securityregels overheidswebsites: geen rocketscience

De helft van de domeinnamen van overheden voldoet nog steeds niet aan verplichte securitystandaarden, zo werd half november 2022 duidelijk uit een meting van Forum Standaardisatie. IT politici van D66 en VVD, Dave Maasland van ESET Nederland en digitale burgerrechtenorganisatie Bits of Freedom zijn kritisch. Dit is echt het minimale wat je moet doen, zegt techonderzoeker Joran van Apeldoorn van Bits of Freedom bijvoorbeeld.

Forum Standaardisatie onderzocht voor ruim 2.500 domeinnamen in hoeverre zij voldoen aan de door de overheid verplicht gestelde informatiebeveiligingsstandaarden en of ze bereikbaar zijn via IPv6. Slechts 53 procent voldoet aan alle verplichte websitestandaarden en 44 procent voldoet aan de verplichte e-mailstandaarden. Dat terwijl de deadlines van de adoptieafspraken voor de beide sets standaarden al in 2019 en 2021 zijn verlopen.

Toch gaat het niet om hele ingewikkelde standaarden. Volgens de adoptieafspraken moeten bij alle overheidswebsites waar bij burgers of bedrijven gegevens in moeten voeren, TLS in de vorm van HTTPS toegepast zijn. Ook moet DNSSEC gebruikt worden voor elke domeinnaam waarmee een overheidsorganisatie met burgers of bedrijven communiceert en moet e-mailspoofing bestreden worden door SPF, DKIM en DMARC toe te passen op alle domeinnamen, ook als deze geen gebruikmaken van e-mail. En sinds eind 2021 moeten alle websites en e-maildomeinen ook bereikbaar zijn via IPv6.

De eerste van deze afspraken werd zeven jaar geleden al gemaakt, maar geen van de streefbeelden voor de overheid is als geheel gehaald, stelt Forum Standaardisatie. En de risico s daarvan kunnen groot zijn, vertelt Dave Maasland, directeur van ESET Nederland. Het probleem in dit geval is ook dat alle ministeries uiteindelijk onderdeel uitmaken van een orgaan: De overheid. Dus als 1 onderdeel slechts beveiligd is, dan zijn ze allemaal een stukje slechter beveiligd. Ministeries hebben onderling veel contact en dit maakt het voor aanvallers gemakkelijker om binnen te komen en over te springen op andere ministeries. Tot slot is de voorbeeldrol van de overheid belangrijk en wat dit zegt over de overige IT-beveiligingsmaatregelen. Het vertrouwen in overheden en instanties is belangrijk, zeker met de huidige geopolitieke spanningen. De dreiging op gerichte aanvallen, die vaak via phishing beginnen, zijn nog nooit zo groot geweest.

Verder lezen bij de bron
IB&P

Lees ons boek

Gemeenten. Bewustzijn. Privacy.

Het handboek voor informatiebewustzijn bij de lokale overheid.

Nieuwsbrief

Deze versturen we 3-4x per jaar.

Recente blogs

Hoe krijg je informatiebeveiliging op de bestuurstafel?
Het ambtelijk bestuur is eindverantwoordelijk voor informatiebeveiliging. Het is dus belangrijk dat zij een goed beeld hebben van de risico’s die informatiebeveiliging met zich mee brengt. Maar hoe krijg je als lijnmanager of CISO informatiebeveiliging op de bestuurstafel?
Hoe voer je een DPIA uit?
Het uitvoeren van een DPIA is soms niet eenvoudig. In deze blog lees je daarom wat een DPIA precies is, wanneer je een DPIA uitvoert en welke stappen daarbij worden doorlopen.
Klaar voor actie: De rol van workshops in het voorbereiden van calamiteitenteams
Het uitvallen van belangrijke ICT-voorzieningen kan leiden tot een verstoring van de gemeentelijke dienstverlening. Vanuit de BIO is het inrichten van bedrijfscontinuïteit daarom verplicht. Maar wat is bedrijfscontinuïteit precies en hoe zorg je dat het calamiteitenteam op de hoogte is van hun taken en verantwoordelijkheden? Je leest het in deze blog.

Meer recente berichten

Recordaantal deelnemers bij SURF cybercrisisoefening, ook uit de zorg
Verder lezen
Privegegevens van inwoners Stadskanaal op straat: Daar gaat je privacy
Verder lezen
Spyware als macht
Verder lezen
Kleine ondernemer eveneens interessant voor hacker
Verder lezen
Pentesting uitvoeren: waarom het belangrijk is
Verder lezen
Drone gaat controleren of Deventenaar zich wel aan de regels houdt
Verder lezen
Passend beveiligen, hoe doe je dat?
Verder lezen
QR codes steeds vaker gebruikt voor phishing
Verder lezen
Amper oog voor cybersecurity bij waterschapsverkiezing
Verder lezen
Kadaster ontvangt tientallen schadeclaims wegens datalek
Verder lezen