RFC0045 Beveiligingsrichtlijnen NCSC

Samenvatting

Goedkeuring

Principe's

Uitwerking

Optie 1

Na onderzoek is gebleken dat versie 1.3 van TLS nog niet door iedereen ondersteund kan worden. In dit geval zal verwezen moeten blijven worden naar versie 2.0 van de NCSC ICT-beveiligingsrichtlijnen. In een volgende release moet opnieuw gekeken worden of dan wel verwezen kan worden naar de nieuwe richtlijnen. In de tussentijd kunnen we onze deelnemers wel stimuleren TLS versie 1.3 als primaire versie te ondersteunen, met als backup TLS versie 1.2. Op een later moment is het dan eenvoudiger om TLS versie 1.2 uit te schakelen en te voldoen aan de versie 2.1 van de NCSC ICT-beveiligingsrichtlijnen.

In dit geval moet de tekst van hoofdstuk Netwerk worden aangepast:

Optie 2

Uit onderzoek is gebleken dat TLS versie 1.3 prima te ondersteunen is. In dat geval moet de tekst van het hoofdstuk Netwerk worden aangepast.

Optie 3

We kiezen voor een combinatie van de twee voorgaande opties. Voor backchannelverkeer moet TLS 1.3 gebruikt worden. Omdat we de zorggebruikers niet willen/kunnen verplichten gebruik te maken van een nieuwe(re) browser, moet voor het frontchannelverkeer primair gebruikgemaakt worden van TLS 1.3, maar blijft versie 1.2 als backup bestaan. Hierbij verwijzen we in het afsprakenstelsel naar versie 2.1 van de ICT-beveiligingsrichtlijnen van NCSC en accepteren we dat een TLS versie gebruikt wordt die als voldoende staat geclassificeerd.

Optie 4

We kiezen voor een combinatie van de twee voorgaande opties. We zullen verwijzen naar versie 2.1 van de ICT-beveiligingsrichtlijnen van NCSC, waardoor de ondersteuning van TLS 1.3 verplicht is. Echter, omdat een aantal deelnemers gebruikmaken van systemen die dit nog niet ondersteunen, beschrijven wij een uitzondering. Deze uitzondering zorgt er voor dat TLS 1.2 gebruikt mag worden, indien dit strikt noodzakelijk is.

Optie 5

We kiezen voor een combinatie van de twee voorgaande opties. We zullen verwijzen naar versie 2.1 van de ICT-beveiligingsrichtlijnen van NCSC, maar verplichten niet meer de classificatie goed. Voldoende mag ook gebruikt worden, hierbij veronderstellen we dat iedereen een TLS versie voldoende moet ondersteunen en goed mag ondersteunen. Daarnaast benoemen we dat als een TLS versie goed mogelijk is, dat deze dan boven een voldoende geclassificeerde geprioriteerd moet worden. In de huidige situatie betekent dit dat TLS 1.3 ondersteund moet worden als dit door beide partijen ondersteund wordt, anders mag TLS 1.2 gebruikt worden.

Te onderzoeken

• Kunnen onze deelnemers TLS versie 1.3 ondersteunen? Dit geldt voor backchannel verkeer, maar zeker ook voor frontchannel verkeer.
  
• Kunnen onze omgevingen (R&A en Zandbak) TLS versie 1.3 ondersteunen?
• Moeten we rekening houden met de richtlijnen van DigiD?
• Kunnen de browsers van zorggebruikers dit ondersteunen?

Richtlijnen van DigiD

De richtlijnen van DigiD benoemen het volgende: 'een https-verbinding (TLS 1.0 en/of 1.2 ondersteund)'. De vraag is of dit invloed heeft op de richtlijnen vanuit het afsprakenstelsel. Op dit moment wijken wij hier ook al van af, door alleen met "goed" geclassificeerde TLS versies te ondersteunen. In versie 2.0 van de NCSC ICT-beveiligingsrichtlijnen zijn dit TLS 1.2 en TLS 1.3. TLS 1.0 en TLS 1.1 zijn sinds Maart 2020 end-of-life en mogen niet meer ondersteund worden.

Ondersteuning door browsers

In de (versie van de) browsers die niet als groen zijn gemarkeerd, zijn meerdere problemen gevonden. Deze zijn niet veilig. Vraag is of wij zorggebruikers willen verplichten deze browsers niet meer te gebruiken.

Eindoordeel

In release 1.4.0 van het afsprakenstelsel voeren we Optie 4 door. We verwijzen naar de NCSC ICT-beveiligingsrichtlijnen 2.1 en beschrijven een uitzondering voor het gebruik van TLS 1.2. Bij de volgende release(s) onderzoeken we opnieuw of het haalbaar is het gebruik van TLS 1.2 te stoppen.

Risico's

Omschrijf de (privacy)risico's die kunnen ontstaan als deze RFC wordt aangenomen. In het onwaarschijnlijke geval dat deze RFC's geen risico's introduceert, geef dat dan wel aan.

Bijlagen