De Duitse overheid wil dat meer websites van een security.txt-bestand gebruikmaken. Op dit moment telt slechts 1,8 procent van de Duitse websites een security.txt-bestand, aldus onderzoek van het Bundesamt für Sicherheit in der Informationstechnik (BSI), onderdeel van het Duitse ministerie van Binnenlandse Zaken. Security.txt is een bestand waarmee organisaties en websites hun beleid voor het omgaan met beveiligingslekken kunnen vermelden.

Volgens de bedenkers van security.txt beschikken onafhankelijke beveiligingsonderzoekers vaak niet over de kanalen om kwetsbaarheden te melden. Hierdoor kan het gebeuren dat gevonden beveiligingslekken niet worden gerapporteerd. Via security.txt moet het proces rond het melden en afhandelen van gevonden beveiligingsproblemen worden gestroomlijnd en versneld. Zo bevat het bestand onder andere contactgegevens voor het melden van kwetsbaarheden.

Het BSI stelt dat het gebruik van security.txt bijdraagt aan het verbeteren van de cybersecurity en voor een digitaal weerbaar Duitsland zorgt. De Duitse overheidsinstantie merkt op dat aankomende Europese wetgeving, zoals de Cyber Resilience Act (CRA), eisen stelt aan organisaties voor het omgaan met kwetsbaarheden en bugmeldingen. Het BSI roept webmasters, beheerders en websites op om een security.txt-bestand te implementeren.

De implementatie is eenvoudig, aldus het Nationaal Cyber Security Centrum (NCSC): “Nee, het is niet moeilijk. In de basis is de security.txt technisch vrij eenvoudig. Voor het maken van de security.txt voor je organisatie zijn maar 2 variabelen verplicht: contactadres en vervaldatum. Met deze waarden zet je al een grote stap als het gaat om het ontvangen van meldingen over kwetsbaarheden.” Volgens SIDN Labs beschikt zo’n veertien procent van de .NL-sites over een security.txt-bestand.

Bron: Security.nl