Meting Informatieveiligheidstandaarden overheid medio 2023

1.1. Adviezen

Net als in de vorige meting is de conclusie dat geen van de streefbeeldafspraken voor de overheid als geheel gehaald is. Het ontbreekt aan effectieve sturingsmechanismen om overheidsbrede afspraken eenduidig te laten landen en nageleefd te krijgen binnen alle individuele overheidsorganisaties. De op 1 juni 2023 van kracht zijnde Wet digitale overheid die de standaarden HTTPS en HSTS middels een AMvB wettelijk verplicht laat nog geen significante verandering in de adoptie van deze standaarden zien.

Advies 1: stuur als OBDO op de adoptie bij achterblijvers, door het gezamenlijke Plan van Aanpak (CIO-Rijk in afstemming met VNG en Manifestgroep) af te ronden en uit toe voeren, waartoe in de decembervergadering van december 2022 werd besloten. Neem een planning met deadlines op in dat plan (websites worden daarna afgesloten; dat leidt in 99% van de gevallen tot implementatie).

Advies 2: maak per individuele overheidsorganisatie een plan van aanpak om de streefbeeldafspraken effectief te laten landen in de uitvoering zodat de verplichte standaarden worden geïmplementeerd. Organisaties moeten zelf aan de slag (mandaat), maar benoem telkens op ‘koepel niveau’ ook een programmamanager van formaat. Een voorbeeld kan genomen worden aan de aanpak van de ministeries van AZ, BZK, EZK, SZW en VWS.

Advies 3: om de adoptieopgave behapbaar te maken en te houden, kan ook gekeken worden naar het beperken van het domeinnaamportfolio. Samenvoeging van verschillende websites, of het vaker inzetten van subdomeinen in plaats van nieuwe domeinnamen, verkleinen het digitale oppervlak waar de standaarden geïmplementeerd moeten worden. Het advies is in ieder geval om de registratie van nieuwe domeinnamen zoveel als mogelijk te beperken.

Als handreiking voor het beheersbaar maken van domeinnamen heeft Forum Standaardisatie vijf basisprincipes voor regie op internetdomeinen op een rij gezet. Voor de Rijksoverheid heeft het Rijksprogramma voor Duurzaam Digitale Informatiehuishouding (RDDI), in samenwerking met Forum Standaardisatie, in 2021 de Handreiking Beheer Internetdomeinen Rijksoverheid gepubliceerd. Deze informatie is ook in 2023 nog steeds actueel en kan helpen bij deze opgave.

Organiseer regie op internetdomeinen binnen individuele overheidsorganisaties. Zet in op een groeistop van het domeinnaamportfolio en stuur idealiter op een inkrimping.

Advies 4: Overheden besteden hun e‑mailvoorzieningen steeds vaker uit aan clouddienstverleners. Een aantal van dit soort dienstverleners ondersteunen niet alle verplichte standaarden. Conform het open-standaardenbeleid zou formeel moeten worden gekozen voor dienstverlening die de standaarden wel ondersteunt. Indien hiervan is afgeweken is het belangrijk dat overheden hun dienstverleners alsnog blijven vragen om ondersteuning van verplichte standaarden. Diverse dienstverleners geven in informele gesprekken aan dat een gebrek aan klantvraag een reden is om niet te investeren in ondersteuning van de voor overheid verplichte standaarden.

Tegelijkertijd kan ook gezien worden dat grotere leveranciers moeilijk in beweging te krijgen zijn. Dit terwijl steeds meer overheidsonderdelen overstappen naar cloudoplossingen, zoals Microsoft 365 voor e‑maildiensten. Deze beweging kan leiden tot een afname in adoptiegraad, wanneer de cloudoplossingen de verplichte standaarden niet ondersteunen.

Zorg ervoor dat de ondersteuning van verplichte open standaarden onderdeel zijn van het leveranciersmanagement van individuele overheidsorganisaties. Vraag leveranciers periodiek naar de planning voor ondersteuning van standaarden. Overweeg om over te stappen als een leverancier onvoldoende meebeweegt.

Advies 5: gebruik de collectieve slagkracht van de overheid om grotere leveranciers en techgiganten te bewegen naar adoptie van alle verplichte standaarden, bijvoorbeeld via Strategisch Leveranciersmanagement (SLM) Rijk.

1.2. Websitestandaarden

1.3. E-mailstandaarden

1.4. Vergelijking vorige meting

In de vorige meting van januari 2023 werd gewerkt met een kleinere set aan domeinnamen. Het gevolg hiervan was dat de meetresultaten niet goed te vergelijken zijn met deze metingen. Hierom is hier apart gekeken naar enkel de domeinnamen die in beide metingen voorkomen, wat een vergelijking met voorgaande meting mogelijk maakt.

De voorgaande secties laten zien dat adoptie nog steeds verre van volledig is binnen de overheid. Echter is het ook van belang om bewegingen in kaart te brengen. In deze vergelijking worden de verbeteringen en verslechteringen zichtbaar gemaakt door het verschil in procentpunten uit te drukken.

1.4.1. Vergelijking websitestandaarden

Kijkende naar de veranderingen in adoptie van webbeveiligingsstandaarden per overheidslaag (excl. IPv6 en excl. RPKI), zien we over de gehele breedte van de domeinnamenset een lichte stijging in het aantal domeinen dat aan alle afspraken voldoet. Helaas is er tegelijkertijd een lichte afname te zien bij de provincies, waterschappen en gemeenten. Bij provincies en waterschappen gaat het om een relatief kleine set aan domeinnamen.

Kijkende naar de centrale overheid, zien we een mooie verbetering in de adoptie van webbeveiligingsstandaarden. In het bijzonder heeft het ministerie van Sociale Zaken en Werkgelegenheid een achterstand ingelopen (verbetering van 20 procentpunt). De ministeries van Defensie en Landbouw, Natuur en Voedselkwaliteit laten een verslechtering zien in de webbeveiligingsstandaarden.

1.4.2. Vergelijking e-mailstandaarden

Bij de emailbeveiligingsstandaarden is over het totaal geen verbetering te zien ten opzichte van januari 2023.

Verder kijkende naar de veranderingen per ministerie, is wederom een enorme stijging te zien bij de ministeries van Buitenlandse Zaken en Sociale Zaken en Werkgelegenheid, maar ook bij Justitie en Veiligheid. Negatieve uitschieters zijn de ministeries van Defensie en Volksgezondheid, Welzijn en Sport.

3.1. E-mailstandaarden voor bestrijding van phishing

Om phishingmails uit naam van overheidsorganisaties (inclusief bewindspersonen) te voorkomen, moet voor 22% van de internetdomeinen nog een strikt DMARC-beleid worden ingesteld en omein niet mag mailen, vervalt automatisch ook de DKIM controle en zal dit cijfer meestijgen met de SPF implementatie. Het implementeren van SPF Het streefbeeld was om dit eind 2019 voor elkaar te hebben.

3.2. E-mailstandaarden voor vertrouwelijk e-mailverkeer

Bij nog 8% van de ontvangende e-mailservers is de STARTTLS-configuratie niet toekomstvast geconfigureerd. Overheden dienen hun TLS-verbindingen te configureren op basis van de ICT-beveiligingsrichtlijnen voor Transport Layer Security (TLS) van het NCSC.

DANE is de minst toegepaste standaard uit de meting met een adoptiegraad van 44%. DNSSEC bij mailserverdomein en DANE zorgen in samenhang voor geauthentiseerde versleuteling van e-mailtransport tussen de verzendende en ontvangende mailserver. Dit voorkomt dat een actieve aanvaller zomaar mailverkeer kan afluisteren.

De grootste implementatiedrempel voor DNSSEC en DANE is leveranciersondersteuning door met name clouddienstverleners. Het is belangrijk dat overheden die nog niet voldoen hun leverancier blijven vragen om ondersteuning van deze standaarden.

4.1. IPv6 voor webverkeer per overheidscategorie

De gemeenschappelijke regelingen scoren lager bij het gebruik van IPv6 voor webverkeer. De overheidsbrede afspraken hebben onvoldoende doorwerking gehad naar deze instanties, ondanks dat zij meestal gefinancierd worden vanuit de andere overheden.

4.2. IPv6 voor webverkeer per ministerie

Positieve uitschieters – met een klein webportfolio – zijn de ministeries van Algemene Zaken (94%), Binnenlandse Zaken (90%) en Defensie (90%). Negatieve opvaller is het ministerie van Onderwijs, Cultuur en Wetenschap (61%) en Infrastructuur en Waterstaat (62%), waarvan de websites het minst bereikbaar zijn via IPv6.

4.3. IPv6 voor e-mailverkeer per overheidscategorie

Ook bij het gebruik van IPv6 voor e-mailverkeer scoren de gemeenschappelijke regelingen ver onder de maat met een adoptiegraad van slechts 38%.

4.4. IPv6 voor e-mailverkeer per ministerie

Waar het ministerie van Defensie eerder helemaal geen IPv6 e-mailverkeer mogelijk had, heeft het een grote sprong omhoog gemaakt (63%). Het ministerie Algemene Zaken (17%) heeft ondanks een klein portfolio aan ontvangen e-maildomeinen een erg lage adoptiegraad.

De hoogste sores zijn voor ministeries Binnenlandse Zaken (82%) en Sociale Zaken en Werkgelegenheid (81%).

5.1. RPKI voor webverkeer per overheidscategorie

Bij de Waterschappen en de centrale overheid heeft RPKI bij de eerste keer van meten al een adoptie van boven de 90%. Enkel de provincies en gemeenschappelijke regelingen scoren ruim onder de 80%.

5.2. RPKI voor webverkeer per ministerie

De ministeries hebben bijna allemaal een zeer hoge adoptie rond de 90%. Enige achterblijver is Justitie en Veiligheid (78%) waar een paar niet ondertekende routes zorgt voor een lagere scores dan de overige ministeries. Het ministerie van Landbouw, Natuur en Voedselkwaliteit (98%) heeft al bijna de afspraak behaald voor RPKI op de IP-adressen gebruikt in het webverkeer.

5.3. RPKI voor e-mailverkeer per overheidscategorie

Het gebruik van RPKI voor e-mailverkeer is voor alle overheidscategorieën al op behoorlijk niveau. De verschillen in adoptie tussen de overheidscategorieën zijn klein, al blijven ook hier de provincies licht achter.

5.4. RPKI voor e-mailverkeer per ministerie

De ministeries hebben bijna allemaal een zeer hoge adoptie van rond de 90%. Enige achterblijver is wederom Justitie en Veiligheid (57%) waar een paar niet ondertekende routes zorgt voor een lagere scores dan de overige ministeries. Het ministerie van Defensie (100%) heeft mede dankzij een klein portfolio aan ontvangen e-maildomeinen de afspraak behaald voor RPKI op de IP-adressen gebruikt in het emailverkeer.

6.1. Centrale overheid

6.2. Provincies

6.3. Waterschappen

6.4. Gemeenten

6.5. Gemeenschappelijke regelingen

7.1. Totaalbeeld websites (incl. IPv6 en incl. RPKI)

Onderstaande cijfers laten zien in welke mate de verschillende ministeries – inclusief de instanties die onder hun beleidsverantwoordelijkheid vallen – alle afgesproken websitestandaarden voor veilig en modern webverkeer toepassen (inclusief IPv6 en RPKI).

Over het algemeen hebben ministeries met een klein webportfolio, zoals de ministeries van Algemene Zaken en Defensie, een hoge mate van adoptie. Het ministerie van Sociale Zaken en Werkgelegenheid, met een relatief beperkt portfolio, scoort hoger dan gemiddeld.

7.2. Totaalbeeld e-mail (incl. IPv6 en incl. RPKI)

Onderstaande cijfers laten zien in welke mate de verschillende ministeries – inclusief de instanties die onder hun beleidsverantwoordelijkheid vallen – alle afgesproken e-mailstandaarden voor veilig en modern e-mailverkeer toepassen (inclusief IPv6 en RPKI).

Vergelijkbaar met de adoptie van websitestandaarden, zien we dat ministeries met een beperkt portfolio, of actieve sturing op toepassing van standaarden, over het algemeen een hogere adoptiegraad bereiken.

De volgende paragrafen tonen de adoptiestatistieken per beveiligingsstandaard per ministerie.

7.3. Ministerie van Algemene Zaken

7.4. Ministerie van Binnenlandse Zaken en Koninkrijks­relaties

7.5. Ministerie van Buitenlandse Zaken

7.6. Ministerie van Defensie

7.7. Ministerie van Economische Zaken en Klimaat

7.8. Ministerie van Financiën

7.9. Ministerie van Infrastructuur en Waterstaat

7.10. Ministerie van Justitie en Veiligheid

7.11. Ministerie van Landbouw, Natuur en Voedsel­kwaliteit

7.12. Ministerie van Onderwijs, Cultuur en Weten­schap

7.13. Ministerie van Sociale Zaken en Werkgelegenheid

7.14. Ministerie van Volksgezondheid, Welzijn en Sport

8.1. Om welke standaarden gaat het

Het Nationaal Beraad en het OBDO hebben streefbeeldafspraken gemaakt met betrekking tot de volgende standaarden:

8.2. Om welke internetdomeinen gaat het

In totaal zijn in deze meting 5190 internetdomeinen van overheidsorganisaties getoetst, bestaande uit:

• Alle internetdomeinen uit het Websiteregister Rijksoverheid;
• Alle internetdomeinen uit het Register van Overheidsorganisaties;
• Internetdomeinen die als ontbrekend zijn gemeld bij een initiële teruglegging;
• Internetdomeinen uit voorgaande metingen.

De lijst betreft een selectie van alle overheidsdomeinnamen. De lijst is niet volledig en kan dat ook niet zijn omdat er binnen de overheid geen eenduidig overzicht is van domeinnamen. De gemeten internetdomeinen zijn bij lange na niet alle domeinen waar het OBDO direct en indirect voor verantwoordelijk is. Zo heeft het ministerie van Algemene Zaken zicht op meer internetdomeinen van de Rijksoverheid, maar dit overzicht is niet openbaar gepubliceerd. Een 100%-score op de gemeten domeinen garandeert geenszins dat hiermee alle overheidsdomeinen beschermd zijn.

8.3. Hoe wordt gemeten

De meting wordt uitgevoerd middels een bulktoets via de API van Internet.nl. Voor de webstandaarden wordt het hoofddomein getoetst met het subdomein www. (dus: www.forumstandaardisatie.nl), omdat het gebruikelijk is dat de website daarop bereikbaar is. Voor de maildomeinen wordt getoetst zonder enig voorvoegsel omdat dat doorgaans gebruikt wordt als e-maildomein (dus: @forumstandaardisatie.nl).

Op Internet.nl is eenvoudig te testen of een website of e-mail een aantal moderne internetstandaarden ondersteunen, ook de standaarden waarover streefbeeldafspraken zijn gemaakt zijn onderdeel van de test. De score die een domeinnaam op Internet.nl kan halen (namelijk max. 100%) heeft een directe relatie met het resultaat uit deze meting, aangezien deze meting alle standaarden bevat die de Internet.nl score kunnen beïnvloeden.

De website Internet.nl is een initiatief van het Platform Internetstandaarden. In het platform participeren verschillende partners uit de internetgemeenschap (zoals Internet Society, RIPE NCC, SIDN en SURFnet) en Nederlandse overheid (Forum Standaardisatie, het Ministerie van Economische Zaken en Klimaat, en NCSC). Het uitgangspunt is dat Internet.nl de adviezen van Forum Standaardisatie en NCSC met betrekking tot de Internetstandaarden volgt.

De meting geeft geen inzicht in het risiconiveau van een bepaald domein. Zo is het aannemelijk dat de aantrekkelijkheid van misbruik hoger is bij domeinen van grote uitvoerders (zoals phishing met aanmaningen) dan bij domeinen van kleine gemeenten.

8.4. Wat wordt niet gemeten

In de meting wordt alleen gekeken naar de toepassing van standaarden op domeinnamen. Er wordt in de meting (nog) niet gekeken naar de validatie op de standaarden. Dat betekent dat de volgende zaken niet worden gemeten:

• validatie van DNSSEC door de DNS-resolver van een overheidsorganisatie;
• validatie van de DMARC-, DKIM- en SPF-kenmerken door ontvangende mailservers van een overheidsorganisatie;
• validatie van DANE-kenmerken door verzendende mailservers van een overheidsorganisatie;
• validatie van RPKI door het netwerk van een overheidsorganisatie.

Voor optimale bescherming is het van belang dat ook validatie op standaarden wordt toegepast door overheden.

8.5. Over de standaarden

Er worden zowel web- als mailstandaarden gemeten. Hieronder per standaard een korte uitleg over wat deze doet. Overigens is meer (technische) informatie over wat er wordt getoetst te vinden op Internet.nl.