security.txt

Deze gegevens zijn afkomstig van https://www.forumstandaardisatie.nl/open-standaarden/Securitytxt

• Uitleg: Koppeling standaarden van Forum Standaardisatie

Over de standaard
Lijst status	Verplicht (pas toe leg uit)
Beschrijving	Publicatie van contactinformatie voor beveiligingsmeldingen
Uitleg
Nut	Elke dag vinden beveiligingsonderzoekers (ook wel goedwillende of ethische hackers) digitale kwetsbaarheden in websites of IT-systemen. Vaak is het niet duidelijk wáár een beveiligingsonderzoeker een gevonden kwetsbaarheid kan melden. Er gaat daardoor mogelijk kostbare tijd verloren aan het bereiken van de juiste afdeling of persoon binnen de verantwoordelijke organisatie. Het gebruik van de security.txt-standaard kan helpen om dit te voorkomen. De standaard beschrijft hoe een organisatie onder meer contactinformatie kan publiceren die een beveiligingsonderzoeker vervolgens kan gebruiken om een gevonden kwetsbaarheid aan de betreffende organisatie te melden.
Werking	Met een security.txt-bestand kan een organisatie security-contactinformatie op haar webserver publiceren. Beveiligingsonderzoekers kunnen deze informatie gebruiken om direct contact met de juiste afdeling of persoon binnen de organisatie op te nemen over kwetsbaarheden die zij in de website of IT-systemen van de organisatie hebben gevonden. Het formaat van het bestand is bedoeld om machinaal en menselijk leesbaar te zijn. De contactinformatie kan een e-mailadres, een telefoonnummer en/of een webpagina (bijvoorbeeld een webformulier) zijn. Merk op dat gepubliceerde contactinformatie openbaar is en ook kan worden misbruikt, bijvoorbeeld om spam te sturen naar een gepubliceerd e-mailadres. Naast contactinformatie moet het security.txt bestand ook een vervaldatum bevatten. Het is optioneel om ook andere relevante informatie voor beveiligingsonderzoekers op te nemen, zoals een link naar het beleid voor het omgaan met meldingen van beveiligingskwetsbaarheden (meestal Coordinated Vulnerability Disclosure policy genoemd).
Waarvoor geldt de verplichting
Aanvullende verplichtingen
Trefwoorden	Informatiebeveiliging, Internet, Website
Detailinformatie
Beheerorganisatie	IETF
Uitstekend beheer	Nee
Specificatiedocument	Specificatiedocument security.txt
Volledige naam	security.txt
Versie	RFC 9116
Inkoop
Aandachtspunten
Sjabloon-bestektekst
CPV-code(s)
Implementatie
Conformiteitstest	Internet.nl
Domein	Veilig internet
Relatie met andere standaarden	HTTPS en HSTS DNSSEC
Toelichting
Toetsingsinformatie
Hulpmiddelen	securitytxt.org-website “Handreiking security.txt, Centraal security.txt-bestand voor organisaties van de Rijksoverheid” door NCSC “Wat is security.txt?” door Digital Trust Center
Functioneel toepassingsgebied	security.txt moet worden toegepast op alle systemen die via HTTPS publiek benaderbaar zijn, zodat securitycontactinformatie duidelijk is.
Organisatorisch werkingsgebied	Nederlandse overheden (Rijk, provincies, gemeenten en waterschappen) en instellingen uit de (semi-)publieke sector.
Toelichting bij opname
Datum van aanmelding	2022-06-02
Datum van besluit	2023-05-25
Europese status (MSP)	Nee
Documentatie
Forum-Adviezen
Advies aan beheerder
Adoptieadviezen	Het Forum Standaardisatie geeft de volgende adviezen bij plaatsing van security.txt op de ‘pas toe of leg uit’-lijst: aan de koepel- en netwerkorganisaties binnen de overheid, zoals CIO-Rijk, het Centrum Informatiebeveiliging en Privacybescherming (CIP), het Interprovinciaal Overleg (IPO), de Unie van Waterschappen (UvW) en Vereniging van Nederlandse Gemeenten (VNG), om binnen een jaar een campagne te starten naar de leden en de leveranciers om security.txt te implementeren, en om de leden ondersteuning te bieden bij de implementatie. aan Rijksoverheidorganisaties om voortaan op hun domeinnamen te verwijzen naar de centrale security.txt die door NCSC wordt beheerd indien zij gebruik (willen) maken van het centrale CVD-beleid van de Rijksoverheid. NCSC heeft een Handreiking security.txt met uitleg gepubliceerd. aan Shared Service Organizations (SSO) van de Rijksoverheid (zoals DPC, SSC-ICT, en DICTU) om te zorgen dat de domeinnamen die zij beheren, verwijzen naar de centrale door NCSC beheerde security.txt. aan NCSC en DTC (indieners van de standaard) om security.txt voor langere termijn te promoten en ondersteuning te bieden aan overheidsorganisaties. Een van de middelen is het publiceren van een factsheet over inhoudelijke implementatie security.txt voor (semi) overheidsorganisaties, met daarin opgenomen een nadere uitwerking van de volgende adviezen: richt een CVD-beleid in (conform BIO overheidsmaatregel 16.1.3.1). host op een goed beheerde plek een centrale security.txt en laat individuele applicaties en sites van de organisatie middels HTTP(S) redirect (expliciet toegestaan in de standaard) doorverwijzen. bij een gefaseerde implementatie is het inrichten van een security.txt op hoofddomeinen de eerste prioriteit. security.txt kan niet worden gebruikt om eenzijdig voorwaarden op te leggen aan de melder van een kwetsbaarheid. naast het up-to-date houden van security.txt (in het bijzonder de contactgegevens), dienen ook de contactgegevens in WHOIS, DNS (SOA) en andere plekken up-to-date gehouden te houden worden. hoe aan te sluiten bij bestaande standaard tooling (zodat geautomatiseerde melders geen nieuwe standaarden hoeven te implementeren), wanneer voor het melden van een kwetsbaarheid in plaats van een e-mailadres wordt verwezen naar een webformulier of API aan NCSC en Logius om security.txt op te nemen in respectievelijk de eerstvolgende versie van de 'ICT-beveiligingsrichtlijnen voor webapplicaties' en eerstvolgende versie van het ‘DigiD Normenkader’. aan Forum Standaardisatie om voortaan het gebruik van security.txt op domeinnamen van de overheid structureel te meten en daarover te rapporteren, in de marge van de metingen Informatieveiligheidstandaarden. De tool Internet.nl bevat de mogelijkheid voor meting van security.txt.
Leveranciers

bijlagen:

• 20220928-Intakeadvies-securitytxt.pdf (Intakeadvies,https://forumstandaardisatie.nl/sites/default/files/BFS/3-lijsten/standaarden/security.txt/20220928-Intakeadvies-securitytxt.pdf,PDF Document)
• 20230209-Expertadvies-securitytxt (Expertadvies,https://forumstandaardisatie.nl/sites/default/files/BFS/3-lijsten/standaarden/security.txt/20230209-Expertadvies-securitytxt.pdf,PDF Document)
• 20230412-Forumadvies-securitytxt (Forumadvies,https://forumstandaardisatie.nl/sites/default/files/BFS/3-lijsten/standaarden/security.txt/20230412-Forumadvies-securitytxt.pdf,PDF Document)

Copyright

Door Forum Standaardisatie vrijgegeven onder Creative Commons zero

De omschrijving van het functionele gebruik van de voorziening

Het domein (organisatorisch, taakvelden) binnen de overheid waarin het element (principe, standaard, voorziening..) wordt of kan worden toegepast. Bijvoorbeeld: gemeenten, provincies, waterschappen, Rijk, zorginstellingen, primair onderwijs.