Een publiek beveiligingsbadge controleren vóór gebruik

Een badge is een afbeelding. Iedereen kan hem op een pagina plaatsen, ook zonder dat er iets achter zit. Hij bewijst dus op zichzelf niets. Wat telt, is wat eraan ten grondslag ligt: een certificering of toets door een identificeerbare partij, voor een afgebakend onderwerp, binnen een geldigheidsperiode.

Zelfs een echte badge heeft een grens. Hij zegt iets over het onderdeel dat is beoordeeld, niet over je hele bedrijf. Een label over een betaalomgeving zegt niets over de beveiliging van je klantenlijst, en een controle uit het verleden zegt niet dat alles nu nog klopt.

Behandel een badge daarom als een bewering die je moet kunnen verdedigen. De vraag is niet 'ziet het er betrouwbaar uit?', maar 'welke concrete uitspraak doe ik hiermee, en welk document staat achter die uitspraak?'.

Begin bij de bron. Controleer in deze volgorde:

1. Noteer wie de badge uitgeeft en wat de volledige naam is van het label of de certificering.
2. Zoek de website van de uitgever zelf op, niet via de link die onder de badge staat. Een link op je eigen pagina kan naar een nagemaakte pagina leiden.
3. Ga na of de uitgever een openbaar register of een verificatiepagina heeft waarin jouw organisatie voorkomt. Bestaat er geen manier om dit te verifiëren, behandel de badge dan als onbevestigd.
4. Vraag het certificaat of de bevestigingsbrief op bij degene die de badge heeft besteld of gekocht, en bewaar een kopie bij je dossier.
5. Controleer de naam van de gecertificeerde entiteit: staat daar jouw bedrijf, of een andere partij, zoals je leverancier of platform?

Zit de badge in een thema, plug-in of sjabloon dat je hebt overgenomen, dan is dat een veelvoorkomende bron van onverdiende labels. Ga na of iemand die badge bewust heeft gekozen.

Een echte badge kan toch onjuist worden gebruikt als de scope niet klopt of de geldigheid is verlopen. Gebruik deze checklist voor elke badge:

• Onderwerp: waarop slaat de certificering precies? Een proces, een product, een betaalomgeving, een locatie?
• Entiteit: geldt ze voor je volledige organisatie of voor één onderdeel?
• Geldigheid: wat zijn de begin- en einddatum, en wie bewaakt de vervaldatum?
• Voorwaarden: staat er een gebruiksregeling voor het logo, bijvoorbeeld waar en hoe je het mag tonen?
• Intrekking: wat gebeurt er met je pagina als de certificering stopt of wordt ingetrokken?
• Beschrijving: komt de tekst naast de badge overeen met wat het document werkelijk dekt?

Beantwoord je een van deze punten niet, dan weet je nog niet of de badge verantwoord is. Verwijder hem dan tijdelijk tot je dat wel weet, in plaats van hem te laten staan 'tot er iemand klaagt'.

Naast badges staan er vaak zinnen als '100% veilig', 'volledig beschermd tegen hackers' of 'je gegevens zijn bij ons altijd veilig'. Zulke uitspraken kun je praktisch nooit onderbouwen, want veiligheid is geen eindtoestand. MDN's beveiligingsoverzicht beschrijft websitebeveiliging als het beschermen van sites en gebruikers tegen schade door kwaadwillende derden, met aandacht voor aanvallen, verdedigingen en dreigingsmodellering. Dat is een doorlopende praktijk met meerdere lagen, geen garantie.

Herschrijf absolute beloften naar concrete, controleerbare uitspraken. Gebruik dit schema:

Schrijf uitspraken zo dat een bezoeker kan nagaan wat je bedoelt. Een concrete zin die klopt, is geloofwaardiger dan een groot woord dat niemand kan verifiëren.

Sommige beveiligingsonderdelen kun je als eigenaar zelf nagaan zonder specialist te zijn. Andere vragen een expert. Wees eerlijk over die grens, ook in je tekst.

Voorbeelden van zaken die je zelf kunt bekijken: of je site via een beveiligde verbinding wordt aangeboden, of je beheeraccounts extra verificatie hebben en of er nog accounts bestaan van personen die niet meer meewerken. Voor accounts verwijst de Google-hulppagina over tweestapsverificatie naar een extra beveiligingslaag voor het geval een wachtwoord wordt gestolen, met onder meer toegangssleutels als optie. Dezelfde pagina merkt op dat codes via sms of telefoontjes kwetsbaar kunnen zijn voor aanvallen op telefoonnummers. Exacte schermen, rechten en instellingen kunnen wijzigen en verschillen per accounttype, dus controleer dit in je eigen beheeromgeving. Werk je met een account via een werkgever, school of organisatie, dan kan de beheerder bepalen wat mogelijk is.

Een extra verificatiestap op een account is trouwens iets anders dan een badge op een website. Het eerste beschermt een inlog, het tweede is een communicatiemiddel. Verwar ze niet in je tekst: noem een accountmaatregel niet 'een gecertificeerde beveiliging' als er geen certificering achter zit.

Wat een penetratietest, een formele audit of juridische conformiteit betreft, laat je dat over aan wie daarvoor bevoegd is. Jouw taak is dat je tekst niet méér zegt dan zo'n beoordeling zou bevestigen.

Dit is een denkbeeldig voorbeeld zonder echte uitkomsten. Een kmo neemt een sjabloon over waarin op de afrekenpagina een groot 'beveiligd'-logo staat, naast de zin 'Je gegevens zijn 100% veilig'.

Invoer: de afrekenpagina, het logo, de zin en de documenten die iemand kan terugvinden.

Verwachte controles:

1. Wie geeft het logo uit, en is er een verificatiepagina van die uitgever waar het bedrijf op staat?
2. Welk onderwerp dekt het label, en geldt het voor de afrekenomgeving van deze kmo of voor een ander onderdeel?
3. Wat zijn de begin- en einddatum, en wie noteert de vervaldatum?
4. Kan de zin '100% veilig' worden onderbouwd? Zo niet, dan herschrijf je hem naar een controleerbare uitspraak.

Het verwachte resultaat is een beslissing per element: behouden, aanpassen of verwijderen, met naam van de verantwoordelijke en een datum voor de volgende controle. Is er geen bewijs te vinden, dan verwijder je het logo tot er een document is.

Wil je weten welke zichtbare signalen je website van buitenaf toont, dan kun je dat bekijken via Marketing Scan. Een publieke scan meet zichtbare signalen en bewijst geen volledige technische beveiliging, en beoordeelt evenmin of een badge terecht is.