Het Nationaal Cyber Security Centrum (NCSC) raadt het gebruik van WordPress voor overheidssites niet af. Daarnaast is de hoeveelheid bekende kwetsbaarheden geen exacte maatstaf om de veiligheid van een product te beoordelen, zo stelt demissionair staatssecretaris Knops op Kamervragen van DENK.

Aanleiding voor de vragen was berichtgeving van dagblad Trouw dat de overheid door het gebruik van WordPress-sites waarvan de inlogpagina voor iedereen toegankelijk is het "hackers" eenvoudig maakt om in te breken. Knops laat weten dat sinds januari 2019 de Baseline Informatiebeveiliging Overheid (BIO) voor van kracht is. De BIO stelt dat voorafgaand aan het gebruik van een informatiesysteem een risicoafweging moet worden gemaakt die vervolgens richtinggevend is voor het nemen van beveiligingsmaatregelen.

"Proportionaliteit is daarbij het uitgangspunt. Met andere woorden: gaat het om zeer vertrouwelijke informatie, dan worden andere afwegingen gemaakt dan wanneer het om openbare informatie gaat waarvan de beschikbaarheid belangrijk is", aldus de staatssecretaris. Daarnaast verplicht de BIO verschillende acties, waaronder het nemen van beveiligingsmaatregelen voor publieke inlogpagina's waar een gebruikersnaam en wachtwoord moeten worden ingevuld.

Dat zijn het verplichte gebruik van tweefactorauthenticatie. Als dat niet aan de orde is, dan worden eisen gesteld aan de complexiteit van de wachtwoorden. De BIO schrijft ook voor dat beveiligingsupdates voor ernstige kwetsbaarheden in hard- en software binnen een week moeten worden geïnstalleerd en dat in de tussentijd op basis van een expliciete risicoafweging mitigerende maatregelen getroffen moeten worden.

Trouw stelde dat het inloggen met alleen een gebruikersnaam en wachtwoord niet voldoet aan de richtlijn van het NCSC. In de beveiligingsrichtlijnen voor webapplicaties adviseert het NCSC om sterke authenticatiemechanismen voor de toegang tot systemen te overwegen. "Publieke webpagina’s waarin het volstaat om met een gebruikersnaam en wachtwoord in te loggen, voldoen niet zonder meer aan de overweging uit de hierboven genoemde richtlijn van het NCSC", laat Knops daarover weten.

De staatssecretaris voegt toe dat beveiliging het resultaat is van een risico-afweging om wat voor informatie het gaat. Daarnaast gaat het bij beveiliging om de samenhang van getroffen maatregelen en niet om het richten op slechts één maatregel, laat hij verder weten. "Dat kan betekenen dat bij een authenticatie met alleen gebruikersnaam en wachtwoord op andere plaatsen in het systeem aanvullende maatregelen zijn getroffen (segmentering, beperking van rechten, etc.). Welke dat zijn, zal per geval verschillen", merkt Knops op.

Volgens de staatssecretaris houdt dit in dat het NCSC het gebruik van Wordpress op zich niet afraadt. "Het is aan overheidsorganisaties om door het treffen van de verplichte maatregelen uit de BIO en aanvullende maatregelen, voortvloeiend uit een risicoafweging, te bepalen hoe Wordpress veilig kan worden ingezet."

DENK-Kamerlid Van Baarle vroeg ook naar de mening van de minister dat de website van de Informatiebeveiligingsdienst (IBD) op WordPress draait. Knops laat daarover weten dat de IBD periodiek penetratietesten uitvoert op de website en aan de hand van de uitkomsten maatregelen neemt. "Ik zie daarom geen bezwaar tegen het gebruik van individuele softwarepakketten, zoals Wordpress, als risicoafwegingen zijn gemaakt en maatregelen zijn getroffen."

Verder wilde het Kamerlid weten wat de staatssecretaris ervan vindt dat het NCSC tientallen keren beveiligingsbulletins heeft uitgebracht met informatie over kwetsbaarheden in WordPress. Volgens Knops zijn dergelijke waarschuwingen aan de orde van de dag en worden die voor heel veel programma's door het NCSC verstuurd. "Ik heb niet het beeld dat de hoeveelheid bekende kwetsbaarheden een exacte maatstaf is om de veiligheid van een product te beoordelen."

"Erkent u dat de overheid tekort heeft geschoten in het treffen van digitale beveiligingsmaatregelen tegen eventuele hackers?", vroeg Van Baarle verder. "Dat beeld deel ik niet", antwoordt de staatssecretaris daarop.