Het is tijd voor actie. Alle overheden moeten eind 2019 de e-mailbeveiliging op orde hebben en maatregelen tegen o.a. phishing en spoofing hebben uitgerold. Dat heeft het Overheidsbrede Beleidsoverleg Digitale Overheid (OBDO) bepaald. Concreet is DMARC hiertoe op de ‘pas toe of leg uit’ lijst opgenomen, dat wil zeggen dat (semi)overheidsinstellingen dit moeten implementeren wanneer ze nieuwe ICT systemen en/of diensten aankopen.

Waarom nu iets doen?

Dat je iets moet ondernemen tegen phishing, lijkt ons duidelijk. Stel dat andere organisaties phishing e-mails ontvangen uit jouw naam en daardoor duizenden euro’s schade oplopen of privacygevoelige gegevens uit handen geven. Dit heeft een enorme reputatieschade als gevolg. Het is als overheidsinstelling dan ook jouw verantwoordelijkheid om je eigen domein op orde te hebben.

Optimale beveiliging

In een eerdere blog hebben we al uitgelegd dat de basisbeveiliging met SPF en DKIM helaas onvoldoende is. SPF geeft aan welke mailservers een mail namens jouw organisatie mogen versturen. DKIM voorziet iedere mail die verstuurd wordt van een cryptografische handtekening, waarna de ontvanger deze handtekening kan valideren. Met DMARC kun je vervolgens beleid instellen over de manier waarop een ontvanger om moet gaan met mail waarvan niet kan worden vastgesteld of deze daadwerkelijk afkomstig is van jouw domein.

‘Reject’ policy

Steeds meer overheden hebben DMARC inmiddels al omarmd, maar velen beperken zich tot de ‘none’ policy terwijl volgens genoemde afspraken de meest strikte instelling, de ‘reject’ policy, moet worden uitgevoerd. Uiteindelijk wil je immers dat het ontvangende systeem de mails gaat weigeren wanneer de validaties mislukken. Er is nog wel wat werk aan de winkel om dit voor elkaar te krijgen. Je moet immers zelf het beleid ontwikkelen dat bepaalt welke mails al dan niet legitiem in jouw naam worden verzonden.

Stap voor stap

Heb je de ‘none’ policy ingesteld? Dan ben je sowieso al op de goede weg! Je kunt nu stap voor stap overgaan op de ‘reject’ policy:

1. Analyseer je mailstromen

Analyseer alle mailstromen van jouw organisatie aan de hand van de rapportages die je via DMARC toegestuurd krijgt. Dit geeft inzicht in welke ‘legitieme en niet legitieme’ email stromen er namens jouw email domein rondgaan op Internet. Helaas zijn de rapportages in xml formaat dus je hebt wel een programma als DMARCIAN nodig om deze goed te kunnen interpreteren.

2. Bepaal je strategie

Aan de hand van voorgaande analyse stel je je beleid vast, zodat ontvangers precies weten welke e-mails ze veilig kunnen blokkeren (deze missen dan namelijk de vereiste ‘SPF en DKIM authenticatie’ en worden dus niet afgeleverd).

Aandachtspunt

Goed om te weten: Als je de ‘reject’ policy van DMARC hebt ingericht, wordt het erg lastig om nog phishing mails in jouw naam te versturen, maar het is uiteraard nog steeds mogelijk dat je phishing mails ontvangt van bedrijven die hun zaken nog niet op orde hebben. Om je daar tegen te wapenen, kun je gebruik maken van speciale beveiligingsdiensten, zoals Windows Defender en Advanced Thread Protection (ATP).

Onderneem nu actie! Wij helpen je graag dus neem vooral contact op voor een vrijblijvende afspraak.

Door de site te te blijven gebruiken, gaat u akkoord met het gebruik van cookies. meer informatie

Platani.nl is wettelijk verplicht om je toestemming te vragen voor het gebruik van cookies en soortgelijke technieken, en je te informeren over het gebruik daarvan op de site. Platani.nl gebruikt cookies, JavaScript en soortgelijke technieken voor de volgende doeleinden: het optimaliseren van de website de integratie van social media het verzamelen en analyseren van statistieken het gebruik, beheer en gericht kunnen tonen van advertenties en het vaststellen van de goede werking hiervan Voor een aantal van bovenstaande punten is het vastleggen van bezoekersgedrag noodzakelijk.

Sluiten