De VNG geeft op haar website antwoord op de meest gestelde vragen over de beveiliging van websites. Een nuttig startpunt.
Is mijn gemeentelijke website kwetsbaar voor SQL injecties?
Applicaties die informatie in een database opslaan maken gebruik van Structured Query Language (SQL) om met de database te communiceren. Indien invoer van een gebruiker in bijvoorbeeld een zoekveld van de website onvoldoende wordt gevalideerd is het mogelijk dat door de gebruiker SQL-instructies worden ingegeven en vervolgens door de webapplicatie worden uitgevoerd. Dit fenomeen wordt 'SQL-injectie' genoemd. Via SQL-injectie kan een hacker gegevens in de database toevoegen, wijzigen en verwijderen. Deze vorm van inbreken op de website kan potentieel veel schade toebrengen en heeft daarmee een grote impact hebben op de veiligheid van uw site.
Is mijn gemeentelijke website kwetsbaar voor Cross-site scripting (XSS)?
XSS is de naam van een fout in de beveiliging van een webapplicatie. Het probleem wordt veroorzaakt doordat de invoer die de webapplicatie ontvangt (zoals cookies, url, request parameters) niet afdoende wordt gevalideerd en hierdoor in de uitvoer terecht komt naar de eindgebruiker. Via deze bug in de website kan er kwaadaardige code (JavaScript, VBScript, ActiveX, HTML, Flash, etc) geïnjecteerd worden. Hiermee kunnen onder meer sessiecookies worden bekeken, sessie van een gebruiker worden overgenomen, functionaliteit van een website worden verrijkt of onbedoelde acties voor een gebruiker worden uitgevoerd.
Wat kan ik op de korte termijn doen om de beveiliging van mijn ICT voorzieningen te verbeteren?
Alle recente beveiligingspatches doorvoeren. Bij uw afdeling ICT navraag doen of er beveiligingsscans zijn uitgevoerd, en zo nee opdracht geven dat zo spoedig mogelijk uit te voeren. Nagaan of een en ander in overeenstemming is met de geldende normen (ISO 27001/2, NORA, GEMMA). Contact opnemen met leveranciers van website, CMS en service providers en hen vragen welke garanties ze kunnen afgeven over de beveiliging van hun producten.
Lees ook:
