De beveiliging van internetdomeinnamen bij de overheid is onvoldoende, blijkt uit de meest recente meting van Forum Standaardisatie. Hoewel moderne internetstandaarden versneld moeten worden geïmplementeerd, voldoet de helft van de overheidsdomeinen nog niet aan de verplichte normen. Dit brengt aanzienlijke risico’s met zich mee, zoals phishing, ransomware en het afluisteren van web- en e-mailverkeer. Het forum roept overheidsorganisaties op tot snelle actie.
Internetdomeinnamen
Op 31 augustus 2024 heeft Forum Standaardisatie de veiligheid van 12.198 overheidsdomeinnamen geëvalueerd. Uit de meting blijkt dat 50 procent van de domeinen niet volledig voldoet aan de verplichtingen. Ondanks deze zorgwekkende cijfers hebben enkele ministeries, zoals Infrastructuur en Waterstaat en Justitie en Veiligheid, aanzienlijke vooruitgang geboekt. Dit bewijst dat verbetering haalbaar is als er prioriteit aan wordt gegeven.
Oproepen van Forum Standaardisatie
Het forum heeft verschillende aanbevelingen gedaan om de veiligheid van overheidsdomeinen te verbeteren:
- Plannen en prioriteren: Overheidsorganisaties moeten een concreet plan maken met een einddatum om achterstanden in te lopen.
- Implementeer RPKI: Resource Public Key Infrastructure moet vóór eind 2024 operationeel zijn. Dit voorkomt route hijacks waarbij internetverkeer wordt omgeleid naar niet-geautoriseerde netwerken.
- Activeer DANE en IPv6: Microsoft ondersteunt sinds kort DANE, een standaard die e-mailbeveiliging versterkt. Organisaties die gebruikmaken van Exchange Online worden opgeroepen DANE en IPv6 te activeren.
- Domeinbeheer verbeteren: Beperk het aantal domeinnamen om de beheerlast en kwetsbaarheid te verminderen.
- Toezicht en handhaving: Stel strikter toezicht en handhaving in om naleving van wettelijke standaarden te garanderen.
Advies
Organisaties kunnen controleren hoe zij scoren op verplichte standaarden, bijvoorbeeld via Internet.nl. Het is belangrijk om een plan op te stellen om binnen zes maanden aan de normen te voldoen en actief aan te sturen op de implementatie hiervan bij leveranciers. Voor vragen over specifieke standaarden, zoals DANE, kan contact worden opgenomen met Forum Standaardisatie.
Snelle actie is essentieel om de digitale veiligheid van de overheid te waarborgen en risico’s te minimaliseren.