VIAG THEMADAG State of the art internet beveiliging

Transcriptie

1 VIAG THEMADAG State of the art internet beveiliging Marijke Salters Bureau Forum Standaardisatie 27 juli 2014

2 Aanleiding 2 Standaardiseren doe je niet alleen!

3 Dus actueel 3

4 Standaarden voor Internet beveiliging 4

5 DNSSEC (veilig telefoonboek van internet) Koppelt domeinnaam aan ip-adres met handtekening. Effect: 1. Voorkomt misleiding door DNS 'cache pollution (zoals Dan Kaminsky -kwetsbaarheid sinds 2008) 2. Biedt fundament voor DANE (extra beveiliging SSL-certs) en DKIM ( authenticatie) Wie? Signing: Rijksoverheid.nl, Crisis.nl (>25 overheden), paypal.nl, >25% van alle.nl-domeinen, Rijksregistrar AZ/DPC Validating: SURFnet, T-mobile, RijksDNS Filmpje 5

6 Voorbeeld Gemeenten controleren echtheid internetadres Heerlen, Den Bosch en Woerden hebben DNSSEC Door SIDN in samenwerking met Forum Standaardisatie Zorgt voor de beveiliging van domeinnamen. De standaard biedt de gebruiker de mogelijkheid om te controleren of hij wordt doorverbonden met het juiste internetnummer. Sinds juni 2012 staat DNSSEC op de pas toe of leg uit -lijst van Forum en College Standaardisatie en heeft daarmee een verplichte status gekregen voor overheden en semi-publieke instellingen. Inmiddels zijn bijna 1,5 miljoen.nl-domeinnamen, waaronder die van meer dan 30 overheden, ondertekend. De gemeenten Heerlen en Den Bosch zijn ook bezig met de andere kant, namelijk de controle op de geldigheid van de DNSSEC-handtekening van opgevraagde domeinnamen. DNSSEC 6

7 DKIM ( authenticatie / anti-phishing) Koppelt aan domeinnaam met handtekening. Overheid als betrouwbare afzender Effect: 1. Stelt ontvanger in staat om phishing-mails te filteren; 2. Vergroot de zekerheid van aflevering; 3. Geeft inzicht in misbruik van eigen domein (DMARC). Wie? ING, Rabobank, Hyves, Marktplaats, Wehkamp, XS4ALL, Gmail, Yahoo!, Hotmail Belastingdienst, Den Bosch, rijksoverheid.nl en Mijnoverheid.nl 7

8 Nieuwe ontwikkelingen: DMARC Adoptie: 80% bescherming in US, 40% bescherming in Nederland Inzicht in phishing aanvallen per domein via XML dagrapportages Kopie van phishing s automatisch realtime in abuse box! 8

9 Rol Forum en College Standaardisatie? 9

10 Beveiliging en interoperabiliteit Bron plaatjes: Presentatie Karel de Smet (Nictiz) d.d. 1 maart

11 Onderhanden werk: 1. Beveiliging in samenhang: strategisch NEN/ISO 27001/27002 tactisch Baselines IB (BIR/BIG/BIWA/IBI) operationeel DNSSEC, DKIM, SAML, Digikoppeling, TLS 2. Folder voor bestuur in relatie tot Clausontwikkeling samen met Taskforce BID 3. Handreiking betrouwbaarheidsniveaus 11

12 Logius voorzieningen en beveiligingsstandaarden Logius en pas toe of leg uit -standaarden: SAML: ondersteund door DigiD, DigiD-machtigen en eherkenning ISO27001/27002: o eherkenning onlangs geaudit o Baseline Informatiebeveiliging Rijksdienst (BIR) DNSSEC: o wordt aan gewerkt i.s.m. Rijksregistrar AZ/DPC o implementatie in RijksDNS opgestart DKIM: voor s van DigiD / MijnOverheid 12 Een standaard-oplossing voor DigiNotar?

13 Mogelijk Internet.nl: Netwerksamenleving Enorme economische waarde Meer dan 2,3 miljard internetgebruikers Internetverkeer in 2011: 27,483 petabyte/maand Het netwerk dat zijn wij! 13 Standaardiseren doe je niet alleen!

14 Overheid is onderdeel van het netwerk Massale gegevensuitwisseling met burgers, bedrijven, overheden Bron plaatje: 14

15 Standaardisatie van koppelvlakken is cruciaal 15 Standaardiseren doe je niet alleen!

16 Oplossing: open standaarden Gelijk speelveld Interoperabiliteit Keuzevrijheid en geen uitsluiting Concurrentie op de standaard en niet om de standaard. 16 Standaardiseren doe je niet alleen!

17 Open standaarden zijn de norm! Beleid: Digitale Agenda.nl en inup Pas toe of leg uit -lijst Status: verplicht Nuttig, maar duwtje in rug nodig Sinds medio 2008 Eerste versie: 5 standaarden, nu: 28 standaarden Lijst met gangbare standaarden Status: aanbevolen Reeds breed geaccepteerd 17 Standaardiseren doe je niet alleen!

18 Voorbeelden van standaarden op PToLU-lijst Financieel SEPA (betalingsverkeer) XBRL (financiële rapportage) Beveiliging en netwerk NEN-ISO/IEC 27001&27002 (Code voor informatiebeveiliging) DNSSEC (veilig telefoonboek van internet) DKIM ( authenticatie / anti-phishing) IPv6 (internetadressen) SAML (authenticatiegegevens) Stelsel van basisregistraties en Ruimtelijke ordening StUF (administratieve overheidsgegevens) Digikoppeling (veilig berichtenverkeer) Aquo-standaard (watermanagement) Geo-standaarden (geografische informatie) 18 Standaardiseren doe je niet alleen!

19 Toetsingsprocedure Melding Status: -Verplicht ( pas toe of leg uit ) -Aanbevolen (gangbaar) Intake Expertonderzoek Lijst College besluit Forum adviseert Consultatie 19 Eenieder kan verzoek tot opname doen Criteria: - Open standaardisatieproces - Toegevoegde waarde - Draagvlak - Nut van opname Eenieder kan reageren op resultaat expertonderzoek

20 Pas toe of leg uit -regime Pas toe: bij aanschaf van ICT-systemen Leg uit: Alleen als zwaarwegende reden; Verantwoording via jaarverslag. Doelgroep: (semi) publieke organisaties Doel: gebruik van open standaarden 20 Standaardiseren doe je niet alleen!

21 Wat kan ik als opdrachtgever doen? -Resultaatverplichting 20 van I-NUP -Logius voorzieningen -Nu vraag stellen aan ons -Later contact opnemen via -Contact opnemen met NCSC Wat kan ik als leverancier IT bedrijf doen? -Zo snel mogelijk implementeren, of door uw provider laten implementeren -Nu vraag stellen aan ons -Later contact opnemen via -Contact opnemen met NCSC 21

22 EN ja hoor 22