FS:Https-en-hsts

Deze gegevens zijn afkomstig van https://www.forumstandaardisatie.nl/open-standaarden/Https-en-hsts

Uitleg: Koppeling standaarden van Forum Standaardisatie

Over de standaard
Lijst status
Beschrijving	Veilig Webverkeer
Uitleg
Nut	HTTPS is een uitbreiding op het HTTP-protocol met als doel de veilige uitwisseling van gegevens tussen een (web)server en client. Bij gebruik van HTTPS worden de gegevens tussen een client en server versleuteld, waardoor de gegevens voor een derde -bijvoorbeeld een aanvaller die probeert de gegevens te onderscheppen- niet leesbaar zijn. De HSTS standaard zorgt ervoor dat een client -doorgaans een browser- weet dat een server met HTTPS bereikbaar is, en voor alle vervolgbezoeken een versleutelde verbinding gebruikt. Dit helpt voorkomen dat een derde -bijvoorbeeld een kwaadaardige WiFi hotspot- een browser kan omleiden naar een valse website. Daarom heeft het veel zin om HTTPS samen met HSTS te gebruiken.
Werking	Dit veld kan nog niet overgenomen worden van forumstandaardisatie.nl
Waarvoor geldt de verplichting	De verplichting om HTTPS en HSTS te gebruiken geldt voor websites en webservers (server to client).
Aanvullende verplichtingen
Trefwoorden
Detailinformatie
Beheerorganisatie	IETF
Uitstekend beheer
Specificatiedocument	https://datatracker.ietf.org/doc/rfc2818/, https://tools.ietf.org/html/rfc6797
Volledige naam	HyperText Transfer Protocol Secure en HTTPS Strict Transport Security
Versie	RFC2818, RFC6797
Inkoop
Aandachtspunten
Sjabloon-bestektekst
CPV-code(s)	48000000-8 Software en informatiesystemen
Implementatie
Conformiteitstest	Qualys SSL Labs Internet.nl
Domein
Relatie met andere standaarden
Toelichting
Toetsingsinformatie
Hulpmiddelen
Functioneel toepassingsgebied	HTTPS en HSTS moeten worden toegepast op de communicatie tussen clients (zoals webbrowsers) en servers voor alle websites en webservices.Op 24 mei 2018 is de omschrijving van het functioneel toepassingsgebied door het Overheidsbrede Beleidsoverleg Digitale Overheid (OBDO) opnieuw bekrachtigd.
Organisatorisch werkingsgebied	Nederlandse overheden (Rijk, provincies, gemeenten en waterschappen) en instellingen uit de (semi-) publieke sector.
Toelichting bij opname
Datum van aanmelding
Datum van besluit
Europese status (MSP)
Documentatie
Forum-Adviezen
Advies aan beheerder
Adoptieadviezen	Het Forum Standaardisatie stelt als doel dat alle overheidswebsites HTTPS en HSTS met de veilige configuratie conform NCSC uiterlijk eind 2018 hebben ingevoerd. Deze adoptie-impuls komt bovenop de bestaande afspraak van het Nationaal Beraad Digitale Overheid dat HTTPS voor eind 2017 moet zijn ingevoerd voor die overheidswebsites waar burgers en/of bedrijven gegevens invoeren (zoals in een contactformulier) of waarbij gegevens vooringevuld zijn. Bij de opname op de ‘pas toe of leg uit’-lijst doet het Forum Standaardisatie de volgende oproepen: Aan NCSC om de ontwikkelingen rondom HTTPS en HSTS te volgen en de genoemde ICT-beveiligingsrichtlijnen te actualiseren wanneer hier aanleiding toe is. Daarnaast wordt het NCSC opgeroepen om de ICT-beveiligingsrichtlijnen ook in het Engels beschikbaar te maken. Aan de minister van Binnenlandse Zaken en Koninkrijksrelaties om, na inwerkingtreding van de wet GDI, niet alleen HTTPS maar ook HSTS en de veilige configuratie conform NCSC in onderzoek te nemen voor verplichting via een algemene maatregel van bestuur (AMvB). Aan overheden de aanbevelingen uit de NCSC-factsheet ‘Veilig beheer van digitale certificaten’ (2012) te volgen. Onderdeel van deze factsheet is ook de aanschaf van een extra set ‘back up’-certificaten. Hierdoor kan de impact van een hack bij of faillissement van een CA, zoals bij DigiNotar, worden beperkt. Aan Platform Internetstandaarden om meer toelichting en achtergrondinformatie te geven bij de test op Internet.nl. Hiervoor kan met onder andere KING/IBD samengewerkt worden. Zij krijgt regelmatig vragen van gemeenten over de testresultaten. Aan het Forum Standaardisatie om de voortgang van de adoptie van HTTPS en HSTS inclusief de veilige configuratie conform NCSC te monitoren en hierover aan het Nationaal Beraad te rapporteren. Overheden met websites met digitale dienstverlening, bijvoorbeeld door middel van DigiD, dienen te overwegen om hun domein op een pre-loading lijst te plaatsen om te voorkomen dat de landingspagina via HTTP benaderd kan worden. De opgeroepen partijen worden gevraagd om één jaar na opname van de standaard over de voortgang op deze punten te rapporteren aan het Forum Standaardisatie.
Leveranciers	De volgende leveranciers hebben het leveranciersmanifest ondetekend en geven aan expertise m.b.t. deze standaard te bezitten: SIMgroep

bijlagen:

Copyright: Door Forum Standaardisatie vrijgegeven onder Creative Commons zero

FS:Https-en-hsts

Navigatiemenu

Zoeken