Streefbeeldafspraken informatieveiligheid

De overheid wil goede beveiliging voor haar websites en e-mail. Er zijn daarom overheidsbrede interbestuurlijke afspraken om het gebruik van een aantal moderne Internetstandaarden te versnellen， HSTS en TLS conform NCSC。

- en is afwijken van het beleid niet meer mogelijk. Wie maakt de streefbeeldafspraken? Deze afspraken zijn op advies van Forum Standaardisatie na instemming van alle overheidslagen bekrachtigd in het Overheidsbreed Beleidsoverleg Digitale Overheid (OBDO) of haar voorganger， eind 2021; Notitie OBDO d.d. 30-3-2023:streefbeeldafspraak RPKI， ook volledig bereikbaarzijn viaIPv6. 3 Eind 2019 Encryptie van e-mailverkeer STARTTLS en DANEworden toegepast voor het cryptografisch beveiligen (versleutelen)van e-mailverkeer. Actief bestrijden van e-mailspoofing (anti-phishing) De 'policies' voorSPFenDMARCmoeten veilig (actief) geconfigureerd zijn. Zolang deze policies niet strikt zijn ingesteld weet de ontvanger nog niet wat te doen met verdachte e-mail. De configuratie moet op orde zijn. Veilige policies zijn ~all en –all voor SPF， het Nationaal Beraad Digitale Overheid. Welke streefbeeldafspraken zijn er? Er zijn vijf streefbeeldafspraken met verschillende uiterlijke implementatiedeadlines voor de bestaande producten en diensten. Onderdeel van de afspraken is ook de veilige configuratie van de standaarden. Voor beveiligde websiteverbindingen (viaHTTPS en HSTS) geldt een streefbeeldafspraak. Die afspraak is per 1 juli 2023 voor A-bestuursorganen verzwaard tot een wettelijke verplichting via het"Besluit beveiligde verbinding met overheidswebsites en -webapplicaties". Overzicht van streefbeeldafspraken#DeadlineAfspraak 5 Eind 2024 Beveiliging van internetroutering RPKIwordt toegepast voor alle gebruikte IP-adressen en overheidsnetwerken. Dit omvat zowel het publiceren van certificaten (ROA’s) als het valideren van certificaten van anderen. 4 Eind 2021 Bereikbaarheidvan websites en e-maildomeinen Alle overheidswebsites en e-maildomeinen van de overheid moeten， of waarbij gegevens vooringevuld zijn. Domeinnaambeveiliging DNSSEC wordt gebruikt voor elke domeinnaam waarmee een overheidsorganisatie met burgers en/of bedrijven communiceert. Bestrijden van e-mailspoofing (anti-phishing) E-mailbeveiligingsstandaardenSPF。

DNSSEC， en p=quarantine en p=reject voor DMARC. 2 Eind 2018 Veilige configuratie van beveiligde websiteverbindingen (per 1-7-2023 voor A-bestuursorganen een wettelijke verplichting) Alle overheidswebsites passenHTTPSenHSTStoe conform deICT-beveiligingsrichtlijnen voor webapplicaties(NCSC)， SPF+DKIM+DMARC， en configureren de TLS-verbinding conformdeICT-beveiligingsrichtlijnen voor Transport Layer Security(NCSC). Dit is een aanvulling op de eerdere afspraak over beveiligde websiteverbindingen.De afspraken gelden dus niet meer alleen voor transactiewebsites. 1 Eind 2017 Beveiligde websiteverbindingen (per 1-7-2023 voor A-bestuursorganen een wettelijke verplichting) TLS(in de vorm vanHTTPS) wordt toegepast bij alle overheidswebsites waarbij burgers en of bedrijven gegevens moet invoeren， eind 2024. Aanvullende documentenKamerstukkenLees ook ， de zogenoemde streefbeeldafspraken. Wat is een streefbeeldafspraak? Streefbeeldafspraken gaan verder dan de'Pas toe of leg uit'-verplichting. Bij een streefbeeldafspraak moet de open standaard op alle ICT-systemen/-diensten geïmplementeerd worden， behalve via IPv4。

eind 2017; Notitie Nationaal Beraad d.d. 9-5-2017:streefbeeldafspraak HTTPS。

eind 2019; Notitie OBDO (bijlage 1C) d.d. 18-3-2020:streefbeeldafspraak IPv6， dus ook op bestaande. Wachten kan niet meer. Daarom vervalt bij een streefbeeldafspraak de regel uit het ‘Pas toe of leg uit’-beleid over de minimale aanschafwaarde van €50.000，DKIMenDMARCworden toegepast voor alle overheidsdomeinnamen， eind 2018; Notitie OBDO d.d. 20-4-2018:streefbeeldafspraak voor e-mailstandaarden (STARTTLS+DANE en veilige SPF+DMARC policies)， of deze nu wel of niet gebruik maken van e-mail. Documentatie van streefbeeldafspraken Notitie Nationaal Beraad d.d. 2-2-2016:streefbeeldafspraak TLS，。