Meting Informatieveiligheidstandaarden overheid begin 2024

Leeswijzer

Dit rapport is piramidaal gestructureerd en begint in hoofdstuk 1 met de conclusies, adviezen, en het totaalbeeld.

Hoofdstuk 2 en 3 gaan in op het algehele beeld rond de adoptie van respectievelijk websitebeveiligingsstandaarden en e‑mailbeveiligingsstandaarden.

Hoofdstuk 4 gaat in op de adoptie van IPv6 voor websites en e‑mail.

Hoofdstuk 5 gaat in op de adoptie van RPKI voor websites en e‑mail.

Hoofdstuk 6 en 7 gaan dieper in op de adoptiegraad per standaard van respectievelijk de verschillende overheidscategorieën en ministeries.

Hoofdstuk 8 beschrijft de achtergrond van de meting, waaronder de beleidsmatige afspraken, desbetreffende standaarden en de methodiek.

De bijlage geeft een detailinzicht per internetdomein, gecategoriseerd naar overheidscategorie of ministerie.

1. Samenvatting

Overheidsbreed zijn afspraken gemaakt om moderne internetstandaarden voor websites en e‑mail versneld te adopteren. Forum Standaardisatie meet op verzoek van het Overheidsbreed Beleidsoverleg Digitale Overheid (OBDO) halfjaarlijks de implementatievoortgang van deze afspraken. De afgesproken uiterlijke implementatiedata zijn voor alle standaarden buiten RPKI (voor betrouwbare internetroutering) al verstreken, waardoor verwacht mag worden dat alle webapplicaties en e‑mailsystemen deze standaarden correct toepassen. Daarnaast is een tweetal standaarden daarvan sinds 1 juli 2023 wettelijk verplicht. In dit document wordt gerapporteerd over de stand van zaken per 1 februari 2024. In de eerste maanden van 2024 is de analyse uitgevoerd en zijn eventuele correcties doorgevoerd. Bij de totstandkoming van dit rapport lag de focus op het toevoegen van de nieuwe domeinnamen uit het Register Internetdomeinen Overheid (RIO). De meting is teruggelegd bij de gemeten organisaties, maar nog niet alle reacties hieruit zijn verwerkt. Terugleggingen bij eerdere metingen waren vooral waardevol ter stimulering van de adoptie en zorgden in een zeer klein aantal gevallen tot correcties, maar hebben toen niet geleid tot grote wijzigingen van de geaggregeerde resultaten. Eventuele correcties en ontvangen motivaties voor afwijking zal Forum Standaardisatie in de uiteindelijke te publiceren versie van het rapport opnemen.

Overheden die internetdomeinen niet veilig configureren nemen onnodige risico’s. Het gaat daarbij om een verhoogde kans op phishing uit naam van overheidsorganisaties, en een verhoogde kans op manipulatie en afluisteren van web- en e‑mailverkeer. Een prominent voorbeeld van de gevolgen van onveilige configuratie van standaarden is een incident van e‑mailphishing namens @overheid.nl in 2018, toen van 200 burgers DigiD-inloggegevens zijn buitgemaakt. Een ander voorbeeld is een zeer serieus incident in 2020 waarbij e‑mail van de Tsjechische overheid werd afgeluisterd via een man-in-the-middle-aanval (in aanloop naar het voorzitterschap van de Raad van de Europese Unie). Merk op dat dit soort incidenten ook niet altijd aan het (publieke) licht komt. Hoe dan ook: des te meer domeinnamen voldoen aan de standaarden, des te kleiner de kans is dat dergelijke incidenten zich voordoen.

De nieuwe meting laat zien dat bij 64% van de internetdomeinen die ook in de vorige meting werden gemeten, alle verplichte website internetveiligheidstandaarden correct zijn toegepast (excl. IPv6 en RPKI). Dit is een stijging van 2 procentpunt ten opzichte van de vorige meting van juli 2023 (d.w.z. van 62% naar 64%). Het gaat om belangrijke beveiligingsstandaarden voor vertrouwelijk webverkeer. Inclusief IPv6 voor duurzame bereikbaarheid van online diensten voldoet 56%; hier is de toename 3 procentpunt (van 53% naar 56%). Het percentage websites met volledige adoptie van de webstandaarden (incl. RPKI en incl. IPv6) groeide van 49% naar 54% (d.w.z. een stijging van 5 procentpunt).

Bij 44% van de ook in de vorige meting gemeten internetdomeinen zijn alle verplichte e‑mailstandaarden correct toegepast (excl. IPv6 en excl. RPKI). Dit is een afname van 1 procentpunt ten opzichte van de vorige meting (van 45% naar 44%). Hier gaat het om belangrijke beveiligingsstandaarden die e‑mailvervalsing uit naam van de overheid kunnen voorkomen en het e‑mailverkeer vertrouwelijk kunnne houden. Inclusief IPv6 voor duurzame bereikbaarheid van online diensten voldoet 43%; dit is een afname van 2 procentpunt (van 45% naar 43%).

Er zijn in het algemeen zeer kleine verbeteringen zichtbaar ten opzichte van de vorige meting. Domeinnamen die niet eerder werden gemeten scoren slechter dan waarop al werd gemeten, er zijn veel misconfiguraties in niet hoofddomeinnamen, of domeinnamen die enkel doorverwijzen. Het laat zien dat het consequent meten en publiceren van de compliance van internetdomeinen helpt om de kwaliteit te verhogen.

In deze meting zijn in totaal 10943 overheidsdomeinen gecontroleerd. In de vorige meting waren dit 5190 overheidsdomeinen. Deze bijna verdubbeling komt voornamelijk door het toevoegen van het Register Internetdomeinen Overheid (RIO). In het register kan worden nagegaan of een website of e‑mailadres van een overheidsorganisatie is. Het RIO heeft ten doel om alle domeinnamen die door overheidsorganisaties zijn geregistreerd bij te houden en te publiceren. Daarnaast is er een stijging van nieuw geregistreerde domeinnamen en oudere domeinnamen die pas later aan de domeinnaamportfolio’s zijn toegevoegd. Het RIO is momenteel alleen gevuld met domeinen en domeinregistraties van de Rijksoverheid. Dit zijn nog niet alle overheidsdomeinnamen, het totaalportfolio heeft vele duizenden meer domeinen. Het ontbreekt vooral aan een register van de domeinnamen van decentrale overheden. Zo hebben gemeenten meer dan 10.000 websites, maar hiervan staat slechts een fractie in de officiële registers. De overheid zelf maar zeker ook de burger hebben daardoor geen zicht op het totaalportfolio. Dit rapport toont met diverse doorsnedes inzicht in de stand van zaken per overheidscategorie en per ministerie. De mate van adoptie van de standaarden kan gezien worden als een indicator voor de effectiviteit van sturing op kwaliteit van de informatievoorziening.

2. Adoptie per websitebeveiligingsstandaard

Dit hoofdstuk toont de algehele adoptiegraad per websitebeveiligingsstandaard.

Hoofdstuk 6 en 7 gaan in meer detail in op de adoptiegraad van specifieke standaarden per respectievelijk overheidscategorie en ministerie.

Onderstaande statistieken tonen onder meer aan dat bij een kwart van de internetdomeinen de TLS- en HSTS‑configuraties niet op orde zijn. Overheden moeten HTTPS en HSTS toepassen conform de ICT-beveiligingsrichtlijnen voor webapplicaties, en configureren hun TLS-verbindingen conform de ICT-beveiligingsrichtlijnen voor Transport Layer Security (TLS) van het NCSC.

3. Adoptie per e‑mailbeveiligingsstandaard

Dit hoofdstuk toont de algehele adoptiegraad per e‑mailbeveiligingsstandaard.

Hoofdstuk 6 en 7 gaan in meer detail in op de adoptiegraad van specifieke standaarden per respectievelijk overheidscategorie en ministerie.

4. Adoptie IPv6 voor websites en e‑mail

IPv6 is de open internetstandaard die iedere internetgebruiker nodig heeft om ook in de toekomst onbelemmerd gebruik te kunnen maken van internet. Er zijn verschillende goede redenen om voor IPv6 te kiezen, juist ook als overheid: groei en innovatie van internet, directere en snellere dienstverlening, en tegengaan van fraude.

De overheid heeft ook een voorbeeldfunctie om moderne internetstandaarden zoals IPv6 te gebruiken. Deze standaarden zorgen er namelijk voor dat het internet nu en in de toekomst voor iedereen wereldwijd veiliger en toegankelijker wordt waardoor ook nieuwe innovatie kan plaatsvinden. Brede ondersteuning van IPv6 binnen Nederland is ook belangrijk voor onze mondiale concurrentiepositie.

5. Adoptie RPKI voor websites en e‑mail

Resource Public Key Infrastructure (RPKI) is een standaard met als doel om zogenaamde route hijacks te voorkomen. Bij een route hijack wordt internetverkeer omgeleid naar de systemen van een niet geautoriseerd netwerk. Een hijack kan het gevolg zijn van een simpele typefout van een netwerkbeheerder die daarmee onbedoeld internetverkeer omleidt, of het gevolg zijn van een doelgerichte aanval op de infrastructuur van het internet om bijvoorbeeld websites onbereikbaar te maken of om gegevens van internetgebruikers afhandig te maken. In deze meting wordt enkel naar de publicerende Route Origin Authorisation (ROA) kant van RPKI gekeken.

De overheidsbrede afspraak is om RPKI voor het eind van 2024 te implementeren.

6. Adoptie per overheidscategorie

De volgende paragrafen tonen de adoptiestatistieken per beveiligingsstandaard per overheidscategorie.

7. Adoptie per ministerie

8. Achtergrond

Sinds 2015 biedt het Platform Internetstandaarden de mogelijkheid om via de website Internet.nl domeinen te toetsen op het gebruik van verschillende moderne internetstandaarden, waaronder een aantal informatieveiligheidstandaarden en IPv6, die op de ‘pas toe of leg uit’-lijst van Forum Standaardisatie staan. In datzelfde jaar is Forum Standaardisatie gestart om met behulp van Internet.nl een halfjaarlijkse meting van de adoptiegraad van informatieveiligheidsstandaarden voor overheidsdomeinen (web en e‑mail) uit te voeren.

Die metingen hebben ertoe geleid dat het Nationaal Beraad in februari 2016 de ambitie uitsprak bepaalde standaarden versneld te willen adopteren. Dit betekent concreet dat voor deze standaarden niet langer het tempo van ‘pas toe of leg uit’ wordt gevolgd (d.w.z. wachten op een volgend investeringsmoment en dan de standaarden implementeren), maar dat actief wordt ingezet op implementatie van de standaarden op de kortere termijn.

Na de eerste interbestuurlijke afspraak zijn er door het Overheidsbreed Beleidsoverleg Digitale Overheid (OBDO) aanvullende streefbeeldafspraken met verschillende uiterlijke implementatiedeadlines gemaakt. Van websites en e‑mail van de overheid wordt vereist dat deze na het verlopen van de deadlines aan de standaarden en juiste configuratie voldoet.

Onderdeel van de afspraken is dat Forum Standaardisatie de voortgang van de adoptie meet en inzichtelijk maakt. De halfjaarlijkse Meting Informatieveiligheidstandaarden is ook onderdeel van de jaarlijkse Monitor Open Standaarden.