Beveiligingsstandaarden in dip

Het overzicht Beveiligingsstandaarden in dip Insights laat zien in hoeverre je websites en e-maildomeinen voldoen aan de beveiligingsstandaarden van de Nederlandse overheid. De metingen komen van internet.nl. Waarom dip daarvoor internet.nl gebruikt en welke rol Forum Standaardisatie speelt, lees je in Waarom gebruikt dip Internet.nl en wat doet Forum Standaardisatie?

Waar vind je het?

Ga in het menu naar Insights → Beveiligingsstandaarden. Je ziet een tabel met al je websites en per website vier kolommen.

Wat de kolommen betekenen

Security.txt

Een security.txt-bestand vertelt beveiligingsonderzoekers bij wie ze terechtkunnen als ze een kwetsbaarheid vinden. Voor de overheid is dit een verplichte standaard.

• Ja: het bestand is aanwezig en voldoet aan de standaard
• Deels: het bestand is aanwezig, maar niet volledig juist
• Nee: het bestand ontbreekt

Meer hierover lees je in Security.txt.

IPv6

Overheidsorganisaties hebben afgesproken dat hun websites bereikbaar zijn via zowel IPv4 als IPv6.

• Ja: de website is volledig bereikbaar via IPv6
• Nee: de website is niet (volledig) IPv6-geschikt

Meer hierover lees je in IPv6.

Websitebeveiliging

Een percentage dat rechtstreeks van de internet.nl-websitetest komt. De test bestaat uit vijf onderdelen:

• IPv6: is de website bereikbaar via een modern internetadres?
• DNSSEC: is de domeinnaam ondertekend?
• HTTPS: is de verbinding veilig, inclusief TLS-instellingen en HSTS?
• Beveiligingsopties: zijn beveiligingsheaders ingesteld en is er een security.txt?
• RPKI: is de route naar de server geautoriseerd?

IPv6 en security.txt tellen dus ook mee in deze score. In de tabel staan ze daarnaast in een eigen kolom, zodat je ze snel terugvindt.

E-mailbeveiliging

Een percentage dat rechtstreeks van de internet.nl-e-mailtest komt. De test kijkt onder andere naar:

• SPF, DKIM en DMARC (inclusief hoe streng DMARC is ingesteld)
• STARTTLS en DANE
• DNSSEC voor het e-maildomein
• IPv6 voor de mailserver
• RPKI

De kleurindicator

Links in de tabel zie je per website een kleur: groen (in orde), oranje (aandacht nodig) of rood (actie vereist). Zo zie je in één oogopslag welke websites je als eerste wilt bekijken.

Wat doe je met een score onder de 100%?

Je ziet bijvoorbeeld een websitebeveiliging van 82%. Wat betekent dat, en moet je er iets mee?

Het is een signaal, geen rapportcijfer. De score vertelt je dat een of meer onderdelen van de test niet slagen. Welke dat zijn, zie je pas in het detailrapport. Een 82% kan één ontbrekende header zijn, maar ook een DNSSEC-configuratie die niet in orde is.

Voor de overheid is 100% het streven. De geteste standaarden staan op de 'pas toe of leg uit'-lijst van Forum Standaardisatie of zijn overheidsbreed afgesproken. Een score onder de 100% betekent dus dat de website op een of meer punten niet voldoet aan wat van overheidsorganisaties verwacht wordt. Wijk je bewust af, dan hoort daar een uitleg bij.

100% betekent niet dat een website volledig veilig is. Internet.nl toetst of moderne internetstandaarden worden toegepast. Dat draagt bij aan veiligheid, maar is geen volledige beveiligingstest.

De oplossing ligt meestal niet bij jou. Bijna alle onderdelen van de test gaan over de configuratie van de server, het domein of de mailomgeving. Dat is werk voor je hostingpartij, je leverancier of je eigen IT-afdeling. Jouw rol is signaleren en de juiste partij aanspreken. Zie ook Dip signaleert, jij hoeft het niet allemaal zelf op te lossen.

Begin bij de websites die er het meest toe doen. Heb je veel websites onder de 100%, kies dan eerst de websites waarop inwoners of klanten gegevens invullen, en je belangrijkste hoofdwebsites. Gebruik tags of filters om die groep in beeld te houden.

Veelvoorkomende oorzaken

• Beveiligingsheaders ontbreken, zoals Content-Security-Policy of X-Content-Type-Options. Vaak met een paar regels in de serverconfiguratie op te lossen.
• HSTS ontbreekt of is te kort ingesteld.
• DNSSEC staat niet aan. Dit regel je bij de registrar of de partij die je DNS beheert.
• Geen IPv6. De hostingomgeving ondersteunt het niet of het is niet geconfigureerd.
• Verouderde TLS-instellingen. Oude protocolversies of zwakke versleuteling staan nog aan.
• DMARC staat op een te lichte stand of ontbreekt. Een veelvoorkomende oorzaak van een lage e-mailscore.

Van score naar actie

Klik op een percentage in de tabel om het detailrapport te openen. Daar zie je wanneer de test is uitgevoerd en kun je doorklikken naar het volledige internet.nl-rapport. Dat rapport laat per onderdeel zien wat er misgaat en hoe je het oplost, en is bedoeld om te delen met de partij die de aanpassing moet doen. Heeft die partij iets aangepast, dan start je vanuit het detailrapport een nieuwe test met Opnieuw controleren.

Hoe dat stap voor stap werkt, lees je in Van dip naar internet.nl: het volledige rapport.