Amsterdam brengt e-mailbeveiliging op orde

Gemeente Amsterdam is bezig om de beveiliging van haar gemeentelijke e-mail op orde te brengen. Uit de onderzoek van Binnenlands Bestuur bleek in juni dat deze, net zoals bij veel andere gemeenten, niet volgens moderne standaarden was beveiligd. Amsterdam hoopt in oktober in ieder geval te voldoen aan de standaarden DKIM en DMARC en implementeerde in juli al DNSsec.

Gemeenten zakken massaal door het ijs

Uit een steekproef met e-maildomeinen van vijftig verschillende gemeenten bleek dat slechts drie gemeenten van hen aan de moderne standaarden voor veilige e-mail te voldoen: Den Haag, ‘s-Hertogenbosch en Woerden. Grote gemeenten als Amsterdam, Rotterdam en Utrecht lukte dat niet. Criminelen kunnen daardoor schade aanrichten met phishingmails, terwijl goede beveiliging volgens Internet Society Nederland (ISOC) vrij eenvoudig is te regelen. ISOC noemde het 'een probleem’ en ‘een slechte zaak’. De landelijke vereniging van internetprofessionals is van mening dat iedere organisatie met een publieke taak in Nederland al lang had kunnen en moeten voldoen aan de minimale standaarden. Amsterdam is inmiddels flink aan de slag gegaan om toch te voldoen aan de standaarden, zo blijkt uit antwoorden op vragen van Groenlinks.

 

Stap voor stap een betere beveiliging
Uit de de test bleek dat Amsterdam zich niet hield aan de moderne verplichte beveiligingsstandaarden DNSsec, DKIM en DMARC van Platform Internetstandaarden, waar het ministerie al enige tijd op aandringt. Inmiddels staat de gemeente er een stuk beter voor. ‘DNSSEC is per 1 juli geactiveerd, DKIM en DMARC zullen beiden voor 1 oktober 2016 ingevoerd zijn’, zo valt te lezen in de antwoorden. Het College stelt dat het verbeteren van de e-mailbeveiliging 'hoge prioriteit' heeft. Het project Amsterdamse Digitale Poort (@DP) dat nu in gang is gezet, moet ertoe leiden dat het gemeentelijk netwerk stap voor stap op een goede manier beveilig wordt en verbonden is met de buitenwereld. De genoemde protocollen moeten uiteindelijk stuk voor stuk allemaal geactiveerd worden. 

'Extra drempel tegen misbruik'
Amsterdam stelt dat met gebruik van de protocollen er een extra drempel opgeworpen wordt tegen misbruik van emailadressen en mailsystemen voor phishing en verspreiding van spam en malware. 'Het zijn maatregelen bovenop de beveiligingsmaatregelen tegen cybercriminaliteit die nu al actief is.'

‘Kwaadwillenden misbruikten gemeentelijke e-mail Amsterdam’

GroenLinks wilde ook weten of er recentelijk gevallen bekend zijn waarin kwaadwillenden uit naam van de gemeente e-mails hebben verstuurd. Dat blijkt inderdaad zo te zijn. ‘Begin 2016 is mondeling gemeld in de raadscommissie voor Verkeer en Vervoer en ICT (ID) dat er eind vorig jaar één phishing-incident geweest waarbij kwaadwillenden het gemeentelijk mailsysteem hebben misbruikt om 'valse' e-mails te versturen. Om herhaling van het incident te voorkomen zijn inmiddels beveiligingsinstellingen en -procedures verder aangescherpt. Zoals gemeld heeft het incident geen impact gehad op de betrouwbaarheid van de bedrijfsvoering en dienstverlening van de gemeente.’

Ook Bergen op Zoom aan de slag

Amsterdam is niet de enige gemeente die aan de slag is gegaan met een betere e-mailbeveiliging. Gemeente Bergen op Zoom stelde onlangs in antwoorden op vragen uit de politiek 'open standaarden' in de toekomst te willen ondersteunen. Volgens het College is het niet mogelijk om alle standaarden in één keer op te pakken. Toch worden DNSsec en TLS snel 'opgepakt'. 
Adoptie-impuls afgesproken Het Nationaal Beraad Digitale Overheid heeft onlangs een adoptie-impuls afgesproken voor de implementatie van moderne beveiligingstandaarden bij e-mail. Het streven is dat overheden de standaarden die op de pas-toe-of-leg-uit-lijst staan eind 2017 gebruiken.   

Lees hier een uitleg van de moderne standaarden voor e-mailbeveiliging.