Veelgestelde vragen over Internetbeveiliging

1. Wat is jullie relatie met het Platform Internetstandaarden?

Het Bureau Forum Standaardisatie is medeoprichter en lid van het Platform Internetstandaarden. Samen met het Platform Internetstandaarden maken wij ons sterk voor de adoptie van Internetstandaarden die fraude met e-mail en websites tegengaan. Het Platform Internetstandaarden heeft het zelf test tool internet.nl ontwikkeld.

2. Wanneer moeten wij DNSSEC toepassen?

Het is altijd aan te bevelen om uw DNS te beveiligen met DNSSEC. Dit voorkomt dat cybercriminelen uw webverkeer kunnen omleiden naar valse sites. Het biedt ook bescherming aan de SPF, DKIM en DANE records die in uw DNS staan.

3. Mijn Internet provider biedt geen DNSSEC aan. Wat nu?

Geef uw domeinen bij AZ in beheer. Hiermee krijgt u gegarandeerd DNSSEC ondersteuning, en profiteert u van de DNS diensten die AZ aanbiedt voor de overheid. Indien dit geen optie is, eis dan dat uw Internet provider DNSSEC toepast. Overweeg van Internet provider te veranderen als uw provider niet meewerkt.

4. Met onze website worden geen gevoelige gegevens uitgewisseld. Hoeven we dan geen TLS te gebruiken?

Het gebruik van TLS is altijd aan te raden. Zelfs als uw website alleen informatief is, geen formulieren heeft, en niet gebruikt wordt voor het uitwisselen van gevoelige gegevens. Op die manier kan de gebruiker erop rekenen dat hij of zij echt verbonden is met uw organisatie, en dat niemand kan knoeien met de verbinding.

5. Hoeveel kost het om TLS te installeren?

De aanschaf van een PKIOverheid certificaat is de belangrijkste kostenpost bij het toepassen van TLS. De standaard zelf kan u met open source software installeren, wat nagenoeg geen kosten met zich meebrengt.

6. Wij verzenden geen e-mail vanaf ons domein. Moeten wij dan SPF en DKIM toepassen?

Juist als u geen e-mail stuurt vanaf een domein heeft het zin een SPF voor dit domein te nemen in uw DNS. Dit voorkomt dat anderen in naam van uw domein valse e-mails kunnen sturen. Het opnemen van een SPF record kost nagenoeg geen moeite.

7. Moet ik SPF en DKIM toepassen voor uitgaande of inkomende mail, of beiden?

SPF en DKIM zijn het meest effectief als ze aan de verzendende en aan de ontvangende kant toegepast worden. Pas SPF altijd toe voor al uw domeinen. Zo voorkomt u dat anderen in uw naam valse e-mails kunnen sturen. Teken uw uitgaande mail altijd met DKIM. Zo zorgt u ervoor dat de ontvanger de echtheid van uw mail kan controleren. En controleer inkomende mails op zowel SPF als DKIM. Hiermee voorkomt u dat er phishing e-mails en spam binnenkomen bij uw organisatie.

8. Wij werken met een heleboel subdomeinen. Moeten we SPF toepassen voor alle subdomeinen? Ook domeinen waar vanaf we geen e-mail sturen?

Het is verstandig om SPF voor ieder (sub)domein in uw beheer toe te passen. Ook domeinen van waaruit geen e-mail verstuurd wordt. Zo voorkomt u dat derden spam en phishing e-mail in naam van één van uw subdomeinen stuurt. Want ook dat kan uw reputatie schaden.

9. Hoeveel kost het om SPF, DKIM en DMARC te installeren?

SPF, DMARC en DKIM vereisen een kleine aanpassing in het DNS record van uw organisatie. Dit is eenvoudig en brengt nagenoeg geen kosten met zich mee. Het analyseren van mailstromen met DMARC heeft meer voeten in de aarde, maar u kunt dit stapsgewijs invoeren. In ieder geval wegen de geringe kosten gegarandeerd op tegen de (materiële-, organisatie- en imago-) schade die u voorkomt als gevolg van e-mail fraude.

10. Waar kan ik hulp krijgen met SPF, DKIM, DMARC, TLS of DNSSEC?

Het Bureau Forum Standaardisatie kan u helpen deze Internetstandaarden toe te passen in uw organisatie. Wij brengen u ook in contact met overheidspartijen die deze standaarden al toepassen en u met goede raad terzijde kunnen staan. Verder heeft het NCSC heeft uitstekende fact sheets die u op weg helpen met deze standaarden.

11. Is het risicovol om resultaten van metingen openbaar te publiceren?

Forum Standaardisatie publiceert halfjaarlijks resultaten van de Meting Informatieveiligheidstandaarden. Deze publicaties bevatten overzichten met overheidsdomeinen waaraan kan worden afgelezen in hoeverre verplichte informatieveiligheidstandaarden worden toegepast. Dit oogt als gevoelige informatie, maar is dat niet. Het gaat om bekende domeinnamen waarvan iedere internetgebruiker, via bijvoorbeeld Internet.nl, kan controleren of een domeinnaam aan de standaarden voldoet. Met andere woorden: de informatie is feitelijk al publiek. Kwaadwillenden met de juiste kennis om de kwetsbaarheden uit te kunnen buiten, zoals hackers, hebben deze overzichten niet nodig om de kwetsbaarheden te kunnen vinden.