44% websites gemeentehuizen niet optimaal beveiligd

Vorige week bleek uit nieuwe cijfers van de Autoriteit Persoonsgegevens dat het aantal datalekken door gemeenten is toegenomen. In het eerste kwartaal van 2017 werden er 331 incidenten gemeld, tegenover 533 meldingen in heel 2016. In ruim 40 procent van de gevallen gaat het om persoonsgegevens die verstuurd zijn naar de verkeerde ontvanger; bij ongeveer 13 procent gaat het om gegevens die 'per ongeluk' gepubliceerd zijn. Als burger zit je natuurlijk niet te wachten op zo'n slordige omgang met jouw persoonlijke gegevens. Telefoonboek.nl zocht daarom uit of de gemeentewebsites wél zorgvuldig beveiligd zijn.

SSL

SSL is simpel gezegd een beveiligingsprotocol dat voor een beveiligd kanaal zorgt tussen twee computers, bijvoorbeeld tussen een website en een bezoeker daarvan. Het zorgt ervoor dat de overgebrachte informatie niet door derden bekeken kan worden. Een beveiligde verbinding is simpelweg te herkennen aan de letters 'https' en de aanwezigheid van een hangslotje in de adresbalk.

Onderzoek

Van de 387 gemeentewebsites bezitten er 217 een SSL-certificaat. Dat betekent dat 170 websites niet in het bezit zijn van een SSL-certificaat, hetgeen neerkomt op ongeveer 43,9%. In deze gevallen kan het zo zijn dat een gedeelte van de website waar met persoonsgegevens wordt gehandeld, zoals bijvoorbeeld een digitaal loket, zich wel achter een (vaak externe) beveiligde verbinding bevindt. De hoofdwebsites daarvan zijn echter nog niet in het bezit van een SSL-certificaat. Gegevens die daar worden ingevuld zijn daardoor nog altijd niet beveiligd.

Grote steden

De websites zonder https zijn voornamelijk afkomstig uit kleinere gemeenten. De meeste grote gemeenten maken gewoon gebruik van een beveiligde verbinding. De grootste gemeente zonder hoofdwebsite met SSL-beveiliging is Nijmegen. Het digitale loket draait daar wel op https. Ook Zoetermeer is wat dat betreft een negatieve uitzondering.

Volledig

Ronny Oonk, manager van Places Websites en onderzoeker van Telefoonboek.nl, vindt het raar dat het bezit van een SSL-certificaat geen algemene voorwaarde is voor gemeentehuizen. "De aanvraag van een SSL-certificaat is zo gepiept. Waarom dan niet meteen de hele website beveiligen in plaats van alleen een extern portaal?"