Nederlandse overheid moet security.txt voortaan verplicht gebruiken
De Nederlandse overheid moet voortaan verplicht van security.txt gebruikmaken. Een bestand waarmee organisaties en websites hun beleid voor het omgaan met beveiligingslekken kunnen vermelden. Security.txt is toegevoegd aan de 'Pas toe of leg uit'-lijst van Forum Standaardisatie. Dit houdt in dat Nederlandse gemeenten, provincies, rijk, waterschappen en alle uitvoeringsorganisaties verplicht zijn om deze open standaard toe te passen.
Volgens de bedenkers van security.txt beschikken onafhankelijke beveiligingsonderzoekers vaak niet over de kanalen om kwetsbaarheden te melden. Hierdoor kan het gebeuren dat gevonden beveiligingslekken niet worden gerapporteerd. Via security.txt moet het proces rond het melden en afhandelen van gevonden beveiligingsproblemen worden gestroomlijnd en versneld.
"De verplichting sluit aan bij de Baseline Informatiebeveiliging Overheid (BIO), die voorschrijft dat overheidsorganisaties een procedure moeten hebben voor het ontvangen en afhandelen van kwetsbaarheidsmeldingen. Een zogenoemde Coordinated Vulnerability Disclosure (CVD) procedure. Security.txt leidt ethische hackers direct naar de juiste ingang voor deze procedure", aldus het Forum Standaardisatie.
Begin dit jaar werd een meting gedaan, waaruit bleek dat bijna twintig procent van de gemeten overheidswebsites een security.txt-bestand heeft. Met de verplichting wil het Forum Standaardisatie het gebruik verder vergroten. Ruim 88.000 .nl-domeinnamen maken inmiddels gebruik van security.txt. Het Forum Standaardisatie is een adviescommissie die de publieke sector adviseert over het gebruik van open standaarden en de adoptie en naleving van het open standaardenbeleid monitort.
Doen ze dat niet, gewoon uit de lucht trekken.
Of als het toch wel een kritische website is, boete als alternatief.
Ruimt ook meteen al die gefragmenteerde overheidswebsites op.
https://www.ncsc.nl/.well-known/security.txt
ik verwacht hier niet veel meer van, tenzij dit allemaal uit handen genomen wordt door een hoster.
https://www.ncsc.nl/.well-known/security.txt
Dat geldt alleen voor organisaties van de Rijksoverheid:
"De meting laat ook zien dat verschillende Rijksoverheidsorganisaties al verwijzen naar het centrale security.txt-bestand van NCSC. Forum Standaardisatie roept alle Rijksoverheidsorganisaties die gebruik willen maken van het centrale CVD-beleid van de Rijksoverheid, op om dat ook te doen. NCSC heeft daarvoor een Handreiking security.txt (https://www.ncsc.nl/documenten/publicaties/2023/maart/2/handreiking-security.txt) met uitleg gepubliceerd."
ik verwacht hier niet veel meer van, tenzij dit allemaal uit handen genomen wordt door een hoster.
Dit heeft toch niks met design, protocollen of een hoster te maken???
Het is puur en alleen een informatief document voor mensen die geen gebruik willen maken van normale "contact"
pagina's of -info op een website, of zichzelf te goed vinden om daar naar op zoek te gaan.
ik verwacht hier niet veel meer van, tenzij dit allemaal uit handen genomen wordt door een hoster.
Eens. De vermoedelijke inside jokes druipen er weer eens vanaf bij de instructies.
Correcte HTML is ook verplicht, maar ...........
Doen ze dat niet, gewoon uit de lucht trekken.
Of als het toch wel een kritische website is, boete als alternatief.
Ruimt ook meteen al die gefragmenteerde overheidswebsites op.
Ja, laten we boetes uitdelen die door de burgers opgehoest moeten worden. Goed plan zeg.
In dat bestandje moet de contact mogelijkheid van de kverheidsinstantie staan. Een persoonsnaam dan wel te herleiden iet tot een persoon mag niet (AVG).
Daar is echt geen betere oplossing voor te vinden dan iets wat veelvoudig overal geplaatst moet gaan worden?
Verweesde sites met achterhaalde informatie los je er niet mee op.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Information Security Officer (2fte)
Een uitdagende rol waarbij jij, op basis van security, de vertaalslag maakt tussen business en IT en direct bijdraagt aan de veiligheid van informatie binnen de gemeente Almere. Dat is in een notendop waar jij als Information Security Officer mee bezig bent. Interesse gewekt? Door groei van de organisatie zijn we op zoek naar twee nieuwe collega’s.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
