WordPress Website Beveiligingsprotocollen Standaard Werkwijze (SOP)

Beveiligingsmaatregelen die u moet overwegen bij het beheren van een WordPress website

In uw voortdurende streven om digitale activa te beschermen en de veiligheid van websites te verbeteren, implementeren we uitgebreide beveiligingsprotocollen voor WordPress websitebeheer. Deze maatregelen zijn ontworpen om bescherming te bieden tegen ongeautoriseerde toegang en ervoor te zorgen dat uw team zich houdt aan de best practices op het gebied van digitale beveiliging.

Twee-factor authenticatie (2FA) introduceren

De hoeksteen van het beveiligingsprotocol is het verplichte gebruik van twee-factor authenticatie (2FA). Deze extra beveiligingslaag zorgt ervoor dat de toegang tot je WordPress backend streng wordt gecontroleerd en alleen toegankelijk is voor bevoegd personeel. Het vereisen van een tweede verificatieformulier kan het risico op ongeautoriseerde toegang aanzienlijk verlagen.

Geen wachtwoorden meer in browsers

Om uw digitale omgeving nog beter te beveiligen, kunt u een beleid instellen dat het opslaan van browserwachtwoorden verbiedt. Hoewel het handig is, vormt deze praktijk een beveiligingsrisico. Het beste zou zijn om het gebruik van veilige wachtwoordmanagers aan te moedigen om wachtwoorden op te slaan, wat de veiligheid en het gemak ten goede komt zonder compromissen te sluiten.

Verplichte beveiligde webverbindingen

Omdat je de kwetsbaarheid van openbare internetverbindingen inziet, moet je alle teamleden verplichten om beveiligde webverbindingen te gebruiken wanneer ze je WordPress sites beheren. Dit betekent dat ze VPN's moeten gebruiken en openbare Wi-Fi-netwerken ten koste van alles moeten vermijden. Elke afwijking van dit beleid zal worden bestraft met strenge disciplinaire maatregelen om je hoge beveiligingsstandaarden te handhaven.

Gedetailleerde websitedocumentatie

Elk teamlid houdt een gedetailleerd document bij voor elke WordPress site die hij beheert. Dit document bevat onder andere een uitgebreide lijst van geïnstalleerde plugins, huidige gebruikers en een logboek van handmatige maandelijkse scans. Dit initiatief is bedoeld om transparantie te behouden en een efficiënt beheer van uw websites te vergemakkelijken.

Plugin installeren en beheren

In je streven om een veilige WordPress-omgeving te onderhouden, is voor het installeren van nieuwe plugins of het verwijderen van bestaande plugins nu uitdrukkelijke schriftelijke toestemming vereist. Dit beleid voorkomt ongeoorloofde wijzigingen die kwetsbaarheden kunnen introduceren. Plugins voor bestandsbeheer, die bekend staan om hun beveiligingsrisico's, zijn ten strengste verboden.

Zet in op veiligheid

Deze verbeteringen van het WordPress websitebeheerprotocol weerspiegelen uw niet-aflatende inzet voor beveiliging. Door deze maatregelen te implementeren, kunt u uw digitale activa en de integriteit van de informatie die aan u, uw klanten of uw teamleden is toevertrouwd, beschermen.

Begrijp dat de aanpassing aan deze veranderingen een aanpassingsperiode kan vereisen. De voordelen op lange termijn - verbeterde beveiliging, verbeterde compliance en een robuustere digitale infrastructuur - wegen echter ruimschoots op tegen de aanvankelijke ongemakken.

We hebben een Standard Operating Procedure (SOP) gemaakt voor de WordPress Website Beveiligingsprotocollen Sjabloon die je hier als PDF kunt downloaden.

We hebben ook een lijst hieronder voor als je wilt kopiëren en plakken.

Standard Operating Procedure (SOP) voor WordPress Website Beveiligingsprotocollen

Documentcontrole

• Versie: 1.0
• Datum: 04/08/2024
• Documenteigenaar:
• Goedkeuring:

Doel

Deze SOP beschrijft de beveiligingsprotocollen voor het beheer van WordPress-websites om bescherming te bieden tegen ongeautoriseerde toegang en potentiële beveiligingsrisico's. De primaire focus ligt op het inschakelen van twee-factor authenticatie (2FA) en het voorkomen dat wachtwoorden worden opgeslagen in browsers.

Toepassingsgebied

Deze procedure is van toepassing op alle medewerkers die de backend van de WordPress website beheren, onderhouden of er toegang toe hebben.

Verantwoordelijkheden

• Websitebeheerders: Verantwoordelijk voor het handhaven van beveiligingsprotocollen.
• IT-beveiligingsteam: Biedt ondersteuning en toezicht bij het implementeren van beveiligingsmaatregelen.
• Alle gebruikers: Voldoe aan de beveiligingsprotocollen.

Procedure

1. Authenticatie met twee factoren (2FA)
   
   • Implementatie:
     1. Installeer en activeer een 2FA plugin, zoals "Two Factor Authentication" of "Wordfence Security".
     2. Navigeer naar de plugin-instellingen en schakel 2FA in voor alle gebruikersrollen.
     3. Kies de gewenste 2FA-methode (bijv. e-mail, sms, authenticatie-app) en configureer dienovereenkomstig.
   • Gebruikersregistratie:
     1. Informeer alle gebruikers over de 2FA-vereiste via een officiële mededeling.
     2. Zorg voor een stap-voor-stap handleiding of trainingssessie over het instellen van 2FA.
     3. Stel een deadline in voor alle gebruikers om 2FA in te schakelen op hun accounts.
   • Toezicht op naleving:
     1. Controleer regelmatig gebruikersaccounts om er zeker van te zijn dat 2FA is ingeschakeld.
     2. Pak problemen met naleving of gebruikersproblemen direct aan.
2. Geen wachtwoorden opgeslagen in browsers
   
   • Richtlijnen:
     1. Informeer gebruikers over de risico's van het opslaan van wachtwoorden in browsers.
     2. Stimuleer het gebruik van een veilige wachtwoordmanager voor het opslaan van wachtwoorden.
     3. Implementeer indien mogelijk technische oplossingen om het opslaan van wachtwoorden in browsers te blokkeren.
   • Naleving:
     1. Periodieke audits uitvoeren om de naleving van dit beleid te garanderen.
     2. Ondersteuning en alternatieven bieden aan gebruikers voor veilig wachtwoordbeheer.

Aanvullende best practices

• Regelmatige updates: Zorg ervoor dat WordPress core, thema's en plugins regelmatig worden bijgewerkt.
• Sterke wachtwoorden: Dwing het gebruik van sterke wachtwoorden af voor alle accounts.
• Inlogpogingen beperken: Installeer een plugin om aanmeldpogingen te beperken en IP-adressen te blokkeren na herhaalde mislukte pogingen.
• Beheer van gebruikersrollen: Wijs de minimaal noodzakelijke rechten toe aan gebruikers om hun taken uit te voeren.
• SSL-certificaat: Gebruik een SSL-certificaat om gegevens te versleutelen die van en naar uw website worden verzonden.
• Website back-ups: Plan regelmatig back-ups van je website en sla deze veilig op.
• Beveiligingsaudits: Periodieke beveiligingsaudits en penetratietests uitvoeren om kwetsbaarheden te identificeren en aan te pakken.

Vereiste websitedocumentatie

• Beleidsverklaring: Elk teamlid moet een gedetailleerd document bijhouden voor elke WordPress site die hij beheert. Dit document dient als een uitgebreid dossier dat onder andere de volgende informatie bevat:
  • Plugins: Een lijst van alle geïnstalleerde plugins, hun doel en de datum van de laatste update. Deze sectie moet ook eventuele aanpassingen of specifieke instellingen vermelden die relevant zijn voor de werking van de plugin.
  • Huidige gebruikers: Een actueel overzicht van alle gebruikers met toegang tot de WordPress backend, inclusief hun rollen en de datum waarop ze zijn toegevoegd. Er moeten regelmatig controles worden uitgevoerd om ervoor te zorgen dat alleen bevoegde gebruikers toegang hebben.
  • Beveiligingsmaatregelen: Alle specifieke beveiligingsmaatregelen die op de site zijn geïmplementeerd, waaronder 2FA-instellingen, SSL-certificaten en aangepaste firewallregels.
  • Handmatige maandelijkse scans: Een logboek van handmatige maandelijkse scans die zijn uitgevoerd met Immunify of een vergelijkbaar hulpmiddel, inclusief de datum van de scan en eventuele bevindingen of acties die naar aanleiding daarvan zijn ondernomen.
  • Wijzigingslogboek: Een gedetailleerd wijzigingslogboek van alle updates, wijzigingen of belangrijke acties die op de site zijn uitgevoerd, inclusief de datum en de verantwoordelijke persoon.

Plugin installeren en beheren

• Beleidsverklaring: Onder geen enkele omstandigheid zal een teamlid plugins installeren, bijwerken of verwijderen zonder uitdrukkelijke schriftelijke toestemming van een aangewezen autoriteit binnen de organisatie. Dit beleid is opgesteld om ongeoorloofde wijzigingen te voorkomen die de veiligheid of functionaliteit van de site in gevaar kunnen brengen.
  
  • Uitzonderingen: Verzoeken voor plugin-installatie of updates moeten schriftelijk worden ingediend bij de aangewezen autoriteit, inclusief een rechtvaardiging voor het verzoek en een beoordeling van mogelijke gevolgen voor de beveiliging.
  • Verboden plugins: Het gebruik van plugins voor bestandsbeheer of andere plugins waarvan bekend is dat ze beveiligingsproblemen opleveren, is ten strengste verboden. Dit omvat, maar is niet beperkt tot, plugins die directe bestandsmanipulatie binnen het WordPress dashboard mogelijk maken.

Naleving en handhaving

• Controle en audits: Regelmatige audits zorgen ervoor dat deze SOP wordt nageleefd. Dit omvat het controleren van websitedocumentatie op volledigheid, het verifiëren van de autorisatie van geïnstalleerde plugins en ervoor zorgen dat handmatige scans worden uitgevoerd zoals vereist.
• Niet-naleving: Elke afwijking van deze SOP zal onmiddellijk worden aangepakt. Niet-naleving kan leiden tot disciplinaire maatregelen, waaronder intrekking van de toegang tot de website en mogelijke beëindiging van het dienstverband.

Training en bewustwording

• Regelmatige training: Alle teamleden krijgen regelmatig training over deze SOP, inclusief het belang van beveiliging in websitebeheer, het proces voor plugin-installatieaanvragen en hoe effectieve handmatige scans uit te voeren.
• Bewustzijnscampagnes: Voortdurende bewustmakingscampagnes zullen het belang van het volgen van beveiligingsprotocollen en het bijhouden van gedetailleerde documentatie van websitebeheeractiviteiten versterken.

Vereiste voor beveiligde webverbinding

Beleidsverklaring

Om het hoogste beveiligingsniveau te garanderen en bescherming te bieden tegen ongeautoriseerde toegang en mogelijke beveiligingsschendingen, moeten alle teamleden toegang krijgen tot de WordPress backend of websitebeheeractiviteiten uitvoeren via een beveiligde webverbinding. Openbare internetverbindingen, die inherent onveilig en kwetsbaar voor interceptie zijn, zijn ten strengste verboden.

Richtlijnen voor beveiligde verbindingen

• VPN-gebruik: Als gebruikers de website op afstand bezoeken, moeten ze een Virtual Private Network (VPN) gebruiken om ervoor te zorgen dat hun verbinding veilig en versleuteld is. De IT-afdeling kan aanbevelingen doen voor goedgekeurde VPN-services.
• Wi-Fi-beveiliging: Als je de site vanuit huis of een privé-netwerk bezoekt, zorg er dan voor dat het Wi-Fi-netwerk beveiligd is met WPA2- of WPA3-encryptie en dat het netwerkwachtwoord sterk en uniek is.
• Verbod op openbare netwerken: Onder geen enkele omstandigheid mag een teamlid gebruik maken van een openbaar Wi-Fi netwerk (bijv. coffeeshops, bibliotheken, hotels) om toegang te krijgen tot het WordPress dashboard, updates uit te voeren of content te beheren. Dit geldt ook voor tethering via openbare Wi-Fi-netwerken.

Naleving en handhaving

• Bewaking en detectie: Het IT-beveiligingsteam zal monitoringoplossingen implementeren om pogingen tot toegang tot de websitebeheertools vanaf onveilige of openbare netwerken te detecteren en waarschuwen.
• Disciplinaire maatregelen: Tegen teamleden die dit beleid overtreden, worden onmiddellijk disciplinaire maatregelen genomen, waaronder beëindiging van het dienstverband. Deze strikte handhaving is noodzakelijk om de integriteit en veiligheid van onze digitale activa te beschermen.

Gebruikersverantwoordelijkheid en rapportage

• Persoonlijke verantwoordelijkheid: Alle gebruikers zijn persoonlijk verantwoordelijk voor de veiligheid van hun webverbinding wanneer ze toegang krijgen tot de backend van de website. Onbekendheid met het beleid of technische problemen worden niet beschouwd als een geldig excuus voor niet-naleving.
• Melden van incidenten: Gebruikers worden aangemoedigd om incidenten te melden waarbij al dan niet opzettelijk inbreuk is gemaakt op protocollen voor beveiligde webverbindingen. Een snelle melding kan helpen om potentiële beveiligingsrisico's te beperken.

Training en bewustwording

• Voortdurende educatie: De organisatie zorgt voor voortdurende voorlichting en hulpmiddelen voor alle teamleden over het beveiligen van hun internetverbinding, de risico's van openbare netwerken en het effectieve gebruik van VPN's.
• Bewustmakingscampagnes over beveiliging: Er zullen regelmatig bewustmakingscampagnes worden gevoerd om het belang van dit beleid te benadrukken en alle teamleden op de hoogte te houden van de beste praktijken voor het onderhouden van een veilige webverbinding.