“Een goede online basisbeveiliging is onze gezamenlijke verantwoordelijkheid.”

Uitrollen van Basisbeveiliging.nl

“Het is voor organisaties, zeker voor overheids- en zorginstellingen, belangrijk dat ze de basisbeveiliging van hun website en e-mailservers op orde hebben. Die basis bleek lang niet altijd goed”, stelt Elger. “Tijdens een conferentie in 2016, presenteerde ik daarom het eerste format van het initiatief aan gemeenten, toen nog onder de naam Faalkaart. Door middel van een online kaart, maakte ik inzichtelijk hoe het was gesteld met de basisveiligheid van onder andere overheidsinstanties. Groen is goed, oranje is matig en rood is slecht. De presentatie trok de aandacht en zorgde onmiddellijk voor reacties. Het eerste weekend na de presentatie waren zo’n 150 TLS-verbindingen van gemeenten beter beveiligd. De kaart maakte direct impact. Dat motiveerde me om het idee verder uit te rollen. In de zoektocht naar partners die het initiatief wilden ondersteunen, kwam ik terecht bij SIDN fonds. Mijn inschrijving op hun call in 2016, werd unaniem goedgekeurd. Dat gaf ruimte om het prototype te herschrijven, op te schalen en verder te ontwikkelen vanuit de Internet Cleanup Foundation. We veranderden de naam van de kaart naar Basisbeveiliging en lanceerden in 2019 de website Basisbeveiliging.nl. Binnen de stichting werken we met een gedreven team aan het project. We houden ons onder andere bezig met business development en de technische kant van de digitale kaart.”

“Sinds eind juni 2021, maken we ook data over de basisveiligheid van Nederlandse ziekenhuizen en GGD’s inzichtelijk. Denk aan gegevens over domeinnaambeveiliging (DNSSEC) en de aanwezigheid en kwaliteit van https-versleuteling.” Er zijn bijna 6.000 domeinen van deze zorginstellingen onderzocht op basisveiligheid en inmiddels zijn er ruim 500 verbeteringen doorgevoerd. “Je merkt dat instellingen gedreven zijn om de veiligheid van hun websites te verbeteren, zodra de kwetsbaarheden bekend worden en de bevindingen media-aandacht krijgen”, aldus Elger.

Figuur 1: De kaart op Basisbeveiliging.nl laat zien waar in Nederland zich organisaties bevinden die hun beveiliging nog niet op orde hebben.

Tools en scanners

“Om kwetsbaarheden te kunnen meten, gebruiken we voornamelijk tools van derden. Denk aan internet.nl om websites, e-mails en internetverbindingen te testen of ssllabs.com om servers of browsers te controleren. Ook ontwikkelden we zelf een aantal scanners. Dankzij verschillende tools, kunnen we domeinnamen en e-mailservers meten en op vrij hoog niveau controleren of de basisbeveiliging op orde is. We publiceren alleen kwetsbaarheden die ethisch verantwoord zijn om te publiceren en die de veiligheid van organisaties niet in gevaar brengen. Zo brengen we nooit cross-site scripting naar buiten.” Bij cross-site scripting worden beveiligingslekken van een website met opzet door kwaadwillenden uitgebuit, door bijvoorbeeld kwaadaardige JavaScript-codes te injecteren in een website. “We staan nauw in contact met koepelorganisaties zoals Z-CERT voor ziekenhuis en GGD’s en de VNG voor gemeenten. Zij hebben zelf belang bij onze bevindingen en zorgen ervoor dat de gemeenten, ziekenhuizen en GGD’s op de hoogte zijn van de veiligheidsstatus van hun websites, verbindingen en e-mailservers. Op die manier hoeven we niet met iedere individuele organisatie contact te leggen. Ook bieden we de monitoringsdienst Basisbeveiliging Plus aan, waarmee we organisaties via mail op de hoogte houden van nieuwe onderdelen die ze kunnen verbeteren. Zo blijven hun websites altijd groen. Het doorvoeren van verbeteringen, gebeurt door de gemeenten en organisaties zelf. Vervolgens zorgen wij ervoor dat de kaarten op Basisbeveiliging.nl up-to-date blijven, door wijzigingen binnen enkele dagen door te voeren.”

Figuur 2: Het aantal risico's neemt af. Op 1 juni werden er 3.368 geregistreerd, op 1 juli waren dat er 2.634 en op 19 juli zijn dat er nog 2.219. 

Steun van SIDN fonds

“SIDN fonds is een partij die zich inzet voor een doel dat wij van harte ondersteunen: een sterk internet. Met ons initiatief leveren wij een belangrijke bijdrage aan een veilige online omgeving. Dankzij de waardevolle financiële steun van SIDN fonds hebben we de pilot van Basisbeveiliging kunnen doorontwikkelen, uitbreiden en verbeteren. Daarnaast denkt SIDN fonds regelmatig mee in het ontwikkelproces, oppert zij open calls waarop we kunnen inschrijven en organiseert zij conferenties en netwerkbijeenkomsten. Dankzij een van deze bijeenkomsten kwam ik in contact met de partij achter Internet.nl.” “Basisbeveiliging.nl werkt”, stelt Mieke van Heesewijk, programmamanager bij SIDN fonds. “Aan het begin van het project, in 2026, stond er een prototype waarmee bij gemeenten het gesprek werd aangegaan om verbetering te stimuleren. De afgelopen jaren zijn er grote stappen gemaakt. De impact van Basisbeveiliging.nl was vooral bij gemeenten merkbaar. Inmiddels worden ook ziekenhuizen en GGD’s gescand om online kwetsbaarheden inzichtelijk te maken. Het is een prachtig en impactvol project!”

Een volledig groene kaart

“Mijn ultieme doel met Basisbeveiliging.nl is een volledig groene kaart van Nederland, wat betekent dat alle websites die we controleren qua basisbeveiliging op orde zijn én blijven. Om dat te bereiken, is het belangrijk dat we tijd, ruimte en budget hebben om domeinen en servers continu te scannen, kaarten up-to-date te houden en steeds meer veiligheidsgegevens inzichtelijk te maken. Toen we een aantal jaar terug startten met de ontwikkeling van de kaart, waren vrijwel alle gemeenten in Nederland rood. Inmiddels zijn er een flink aantal gemeenten, maar ook provincies, ziekenhuizen en GGD’s, oranje- of zelfs groengekleurd. Bij gemeenten die nog roodgekleurd zijn, gaat het vaak om kleine zaken. Daarom verwacht ik dat alle gemeenten over drie tot vijf jaar hun basisbeveiliging volledig op orde hebben”, stelt Elger. “De komende maanden verwachten we nieuwe veiligheidsgegevens inzichtelijk te kunnen maken op de website. Daarnaast kondigen we binnenkort een interface aan op Basisbeveiliging.nl, waarmee je kaarten naast elkaar kunt leggen om de inhoud te vergelijken. Om ervoor te zorgen dat we ons initiatief kunnen blijven verbeteren en doorontwikkelen, zijn we altijd op zoek naar nieuwe partijen die ons financieel willen ondersteunen. Want een veilig internet is voor iedereen belangrijk.” Wil je meer weten over Basisbeveiliging of wil je het initiatief ondersteunen? Ga dan naar https://basisbeveiliging.nl/ of neem contact op met Internet Cleanup Foundation via info@internetcleanup.foundation.