Kamervragen over gebruik van WordPress voor overheidswebsites
In de Tweede Kamer zijn vragen aan demissionair staatssecretaris Knops van Binnenlandse Zaken gesteld over het gebruik van WordPress voor overheidswebsites. Aanleiding is berichtgeving van dagblad Trouw dat de overheid door het gebruik van WordPress-sites waarvan de inlogpagina voor iedereen toegankelijk is het "hackers" eenvoudig maakt om in te breken.
Via de publieke inlogpagina kan iedereen proberen in te loggen. Het is echter mogelijk om het inloggen met tweefactorauthenticatie te beveiligen. Ook kunnen WordPress-beheerders bescherming tegen bruteforce-aanvallen toevoegen. Dat moet het geautomatiseerd raden van wachtwoorden voorkomen. Trouw laat niet weten of dat bij de onderzochte WordPress-sites het geval is, zo meldde Security.NL vorige week.
Het Nationaal Cyber Security Centrum (NCSC) raadt het organisaties af om inlogpagina's direct vanaf het internet toegankelijk te maken. Dat is wel het geval bij de WordPress-sites van onder andere het Fiod, de gemeenten Alkmaar en Gouda, veiligheidsregio’s, de douane en GGD's. De Rijksoverheid zou 165 websites tellen die op WordPress draaien.
DENK-Kamerlid Van Baarle wil nu opheldering van de staatssecretaris. "Wat vindt u van het feit dat tientallen websites van de overheid, waaronder websites van de Belastingdienst, GGD’s, veiligheidsregio's en waterschappen, niet voldoen aan de richtlijnen voor digitale beveiliging?" Ook moet Knops laten weten of hij vindt dat de overheid tekort heeft geschoten in het treffen van digitale beveiligingsmaatregelen tegen eventuele aanvallers.
"Bent u bekend met het feit dat het Nationaal Cyber Security Centrum (NCSC) al sinds 2014 waarschuwt voor 36 veiligheidsrisico's van WordPress en dat desondanks 165 openbare overheidswebsites op WordPress draaien? Wat is met deze waarschuwingen gedaan?", vraagt Van Baarle verder. Het DENK-Kamerlid wil tevens weten wat Knops ervan vindt dat de website van de Informatiebeveiligingsdienst (IBD), die gemeenten helpt bij cyberincidenten, draait op WordPress.
Afsluitend moet de staatssecretaris duidelijk maken wat hij gaat doen om de betreffende overheidssites te laten voldoen aan de veiligheidseisen en of hij met verder beleid komt om de digitale weerbaarheid van overheidswebsites te vergroten. Knops heeft drie weken de tijd om op de vragen te reageren (pdf).
Als dit al gevaarlijk is dan kan ie beter zijn telefoon en computer wegdoen en een aluminium hoedje nemen
DENK ga eens nadenken, het cyber niveau van kamerleden wordt weer eens pijnlijk duidelijk hier
Allemaal reactief gedoe.. Politici zitten allemaal security incidenten te behandelen. Waar is die securitymanager daar? Schrijft die nog plannen of slaapt die of wordt die continue tegen gewerkrt of laat die zich niet adviceren?
Tjezus.
Nu zijn de mensen die hier iets aan kunnen doen weer druk met het beantwoorden van de onzinvragen van DENK in plaats van de boel veiliger te maken.
Allemaal reactief gedoe.. Politici zitten allemaal security incidenten te behandelen. Waar is die securitymanager daar? Schrijft die nog plannen of slaapt die of wordt die continue tegen gewerkt of laat die zich niet adviseren?
Tjezus.
Bent u bekend met het feit dat het National Cyber Security Centrum (NCSC) als sinds 2014 waarschuwt voor 36 veiligheidsrisico's van Wordpress en dat desondanks 165 openbare overheidswebsites op Wordpress draaien? Wat is met deze waarschuwingen gedaan? (btw het zijn er 37. waarschijnlijk gewoon krantenbericht overgenomen)
Vraag 6a
Bent u bekend....waarschuwt voor 40 veiligheidsrisico's van Drupal en dat desondanks.....
vraag 6b
Bent u bekend....waarschuwt voor 37 veiligheidrisico's van Typo3 en dat desondanks.....
Vraag 6c
Bent u bekend met het feit dat dit allemaal open source code is waar deze veiligheidsissues makkelijker worden gevonden en worden opgelost en dat dit niet het geval is met close source oplossingen waar deze beveiligingsissues nog grotendeels in zitten?
vraag 6d
Bent u bekend met het feit dat we bij DENK gelukkig ook Wordpress gebruiken en hierdoor minder veiligheidsrisico's lopen?
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
