Beveiligingsprotocollen voor WordPress-websites Standaard operationele procedure (SOP)

Beveiligingsmaatregelen waarmee u rekening moet houden bij het beheren van een WordPress-website

In uw voortdurende toewijding aan het beschermen van digitale activa en het verbeteren van de websitebeveiliging, implementeren we uitgebreide beveiligingsprotocollen voor het beheer van WordPress-websites. Deze maatregelen zijn bedoeld om te beschermen tegen ongeoorloofde toegang en ervoor te zorgen dat uw team zich houdt aan de best practices op het gebied van digitale beveiliging.

Introductie van tweefactorauthenticatie (2FA)

De hoeksteen van het beveiligingsprotocol is het verplichte gebruik van tweefactorauthenticatie (2FA). Deze extra beveiligingslaag zorgt ervoor dat de toegang tot uw WordPress-backend streng wordt gecontroleerd en alleen toegankelijk is voor geautoriseerd personeel. Het vereisen van een tweede verificatieformulier kan het risico op ongeoorloofde toegang aanzienlijk verkleinen.

Geen wachtwoorden meer in browsers

Om uw digitale omgeving verder te beveiligen, moet u een beleid afdwingen tegen het opslaan van browserwachtwoorden. Hoewel handig, vormt deze praktijk een beveiligingsrisico. Het is het beste om het gebruik van veilige wachtwoordmanagers aan te moedigen om wachtwoorden op te slaan, waardoor de beveiliging en het gemak zonder compromissen worden verbeterd.

Verplichte beveiligde webverbindingen

Als u de kwetsbaarheden erkent die verband houden met openbare internetverbindingen, moet u van alle teamleden eisen dat ze beveiligde webverbindingen gebruiken bij het beheren van uw WordPress-sites. Dit betekent het gebruik van VPN's en het koste wat kost vermijden van openbare wifi-netwerken. Elke afwijking van dit beleid zal worden beantwoord met strikte disciplinaire maatregelen om uw hoge beveiligingsnormen te handhaven.

Gedetailleerde websitedocumentatie

Elk teamlid houdt een gedetailleerd document bij voor elke WordPress-site die ze beheren. Dit document bevat een uitgebreide lijst van geïnstalleerde plug-ins, huidige gebruikers en een logboek met handmatige maandelijkse scans, naast andere kritieke informatie. Dit initiatief heeft tot doel de transparantie te behouden en een efficiënt beheer van uw websites te vergemakkelijken.

Installatie en beheer van plug-ins

In uw streven naar het onderhouden van een veilige WordPress-omgeving, is voor het installeren van nieuwe plug-ins of het verwijderen van bestaande nu uitdrukkelijke schriftelijke toestemming vereist. Dit beleid voorkomt ongeoorloofde wijzigingen die kwetsbaarheden kunnen introduceren. Plug-ins voor bestandsbeheer, die bekend staan om hun beveiligingsrisico's, zijn ten strengste verboden.

Zet je in voor beveiliging

Deze verbeteringen in het WordPress-websitebeheerprotocol weerspiegelen uw niet-aflatende toewijding aan beveiliging. Door deze maatregelen te implementeren, kunt u ernaar streven uw digitale activa en de integriteit van de informatie die aan u, uw klanten of uw teamleden wordt toevertrouwd, te beschermen.

Begrijp dat aanpassing aan deze veranderingen een aanpassingsperiode kan vergen. De voordelen op de lange termijn - verbeterde beveiliging, verbeterde compliance en een robuustere digitale infrastructuur - wegen echter ruimschoots op tegen de aanvankelijke ongemakken.

We hebben een Standard Operating Procedure (SOP) opgesteld voor de WordPress Website Security Protocols Template voor u om download hier als PDF .

We hebben hieronder ook vermeld of u wilt kopiëren en plakken.

---

Standaard operationele procedure (SOP) voor beveiligingsprotocollen voor WordPress-websites

Controle van documenten

• Versie: 1.0
• Datum: 04/08/2024
• Eigenaar van het document:
• Goedkeuring:

Doel

Deze SOP schetst de beveiligingsprotocollen voor het beheren van WordPress-websites om te beschermen tegen ongeoorloofde toegang en mogelijke beveiligingsbedreigingen. De primaire focus ligt op het mogelijk maken van tweefactorauthenticatie (2FA) en het voorkomen dat wachtwoorden in browsers worden opgeslagen.

Draagwijdte

Deze procedure is van toepassing op alle medewerkers die de backend van de WordPress-website beheren, onderhouden of openen.

Verantwoordelijkheden

• Website beheerders: Verantwoordelijk voor het handhaven van beveiligingsprotocollen.
• IT-beveiligingsteam: Biedt ondersteuning en toezicht op de uitvoering van beveiligingsmaatregelen.
• Alle gebruikers: Voldoen aan beveiligingsprotocollen.

Procedure

1. Twee-factor-authenticatie (2FA)
   
   • Implementatie:
     1. Install and activate a 2FA plugin, such as “Two Factor Authentication” or “Wordfence Security”.
     2. Navigeer naar de instellingen van de plug-in en schakel 2FA in voor alle gebruikersrollen.
     3. Kies de gewenste 2FA-methode (bijv. e-mail, sms, authenticator-app) en configureer dienovereenkomstig.
   • Inschrijving van gebruikers:
     1. Informeer alle gebruikers over de 2FA-vereiste via een officiële mededeling.
     2. Zorg voor een stap-voor-stap handleiding of trainingssessie over het instellen van 2FA.
     3. Stel een deadline in voor alle gebruikers om 2FA in te schakelen op hun accounts.
   • Toezicht op naleving:
     1. Controleer regelmatig gebruikersaccounts om er zeker van te zijn dat 2FA is ingeschakeld.
     2. Pak eventuele nalevingsproblemen of gebruikersproblemen onmiddellijk aan.
2. Geen wachtwoorden opgeslagen in browsers
   
   • Richtsnoeren:
     1. Informeer gebruikers over de risico's van het opslaan van wachtwoorden in browsers.
     2. Stimuleer het gebruik van een veilige wachtwoordbeheerder voor het opslaan van wachtwoorden.
     3. Implementeer technische oplossingen om het opslaan van wachtwoorden in browsers te blokkeren, indien mogelijk.
   • Naleving:
     1. Voer periodieke audits uit om ervoor te zorgen dat dit beleid wordt nageleefd.
     2. Ondersteuning en alternatieven bieden aan gebruikers voor veilig wachtwoordbeheer.

Aanvullende best practices

• Regelmatige updates: Zorg ervoor dat de WordPress-kern, thema's en plug-ins regelmatig worden bijgewerkt.
• Sterke wachtwoorden: Dwing het gebruik van sterke wachtwoorden af voor alle accounts.
• Beperk inlogpogingen: Installeer een plug-in om inlogpogingen te beperken en IP-adressen te blokkeren na herhaalde mislukte pogingen.
• Beheer van gebruikersrollen: Wijs de minimaal noodzakelijke machtigingen toe aan gebruikers om hun taken uit te voeren.
• SSL-certificaat: Gebruik een SSL-certificaat om gegevens te versleutelen die van en naar uw website worden verzonden.
• Back-ups van websites: Plan regelmatig back-ups van uw website en bewaar ze veilig.
• Beveiligingsaudits: Voer periodieke beveiligingsaudits en penetratietests uit om kwetsbaarheden te identificeren en aan te pakken.

Vereiste voor websitedocumentatie

• Beleidsverklaring: Elk teamlid is verplicht om een gedetailleerd document bij te houden voor elke WordPress-site die ze beheren. Dit document dient als een uitgebreid document dat de volgende informatie bevat, maar niet beperkt is tot:
  • Plug-ins: Een lijst van alle geïnstalleerde plug-ins, hun doel en de datum van de laatste update. In dit gedeelte moeten ook alle aanpassingen of specifieke instellingen worden vermeld die relevant zijn voor de werking van de plug-in.
  • Huidige gebruikers: Een actueel overzicht van alle gebruikers met toegang tot de WordPress-backend, inclusief hun rollen en de datum waarop ze zijn toegevoegd. Er moeten regelmatig audits worden uitgevoerd om ervoor te zorgen dat alleen geautoriseerde gebruikers toegang hebben.
  • Veiligheidsmaatregelen: Alle specifieke beveiligingsmaatregelen die op de site zijn geïmplementeerd, inclusief 2FA-instellingen, SSL-certificaten en aangepaste firewallregels.
  • Handmatige maandelijkse scans: Een logboek van handmatige maandelijkse scans die zijn uitgevoerd met Immunify of een vergelijkbare tool, inclusief de datum van de scan en eventuele bevindingen of acties die als gevolg daarvan zijn ondernomen.
  • Logboek van wijzigingen: Een gedetailleerd wijzigingslogboek van alle updates, wijzigingen of belangrijke acties die op de site zijn ondernomen, inclusief de datum en de verantwoordelijke persoon.

Installatie en beheer van plug-ins

• Beleidsverklaring: In geen geval zal een teamlid plug-ins installeren, bijwerken of verwijderen zonder uitdrukkelijke schriftelijke toestemming van een aangewezen autoriteit binnen de organisatie. Dit beleid is opgesteld om ongeoorloofde wijzigingen te voorkomen die de beveiliging of functionaliteit van de site in gevaar kunnen brengen.
  
  • Uitzonderingen proces: Verzoeken voor de installatie of updates van plug-ins moeten schriftelijk worden ingediend bij de aangewezen autoriteit, inclusief een rechtvaardiging voor het verzoek en een beoordeling van eventuele beveiligingsimplicaties.
  • Verboden plug-ins: Het gebruik van plug-ins voor bestandsbeheer of plug-ins waarvan bekend is dat deze beveiligingsproblemen met zich meebrengt, is ten strengste verboden. Dit omvat, maar is niet beperkt tot, plug-ins die directe bestandsmanipulatie binnen het WordPress-dashboard mogelijk maken.

Naleving en handhaving

• Monitoring en audits: Regelmatige audits zorgen ervoor dat deze SOP wordt nageleefd. Dit omvat het controleren van de websitedocumentatie op volledigheid, het verifiëren van de autorisatie van geïnstalleerde plug-ins en ervoor zorgen dat handmatige scans worden uitgevoerd zoals vereist.
• Niet-naleving: Eventuele afwijkingen van deze SOP worden direct aangepakt. Niet-naleving kan leiden tot disciplinaire maatregelen, waaronder intrekking van toegangsrechten tot de website en mogelijke beëindiging van het dienstverband.

Training en bewustwording

• Regelmatige training: Alle teamleden krijgen regelmatig training over deze SOP, inclusief het belang van beveiliging bij websitebeheer, het proces voor installatieverzoeken van plug-ins en het uitvoeren van effectieve handmatige scans.
• Bewustmakingscampagnes: Voortdurende bewustmakingscampagnes zullen het belang van het volgen van beveiligingsprotocollen en het bijhouden van gedetailleerde documentatie van websitebeheeractiviteiten versterken.

Vereiste voor een beveiligde webverbinding

Beleidsverklaring

Om het hoogste beveiligingsniveau te garanderen en te beschermen tegen ongeoorloofde toegang en mogelijke inbreuken op de beveiliging, moeten alle teamleden toegang hebben tot de WordPress-backend of websitebeheeractiviteiten uitvoeren via een beveiligde webverbinding. Openbare internetverbindingen, die inherent onveilig en kwetsbaar zijn voor onderschepping, zijn ten strengste verboden.

Richtlijnen voor beveiligde verbinding

• VPN-gebruik: Wanneer gebruikers op afstand toegang krijgen tot de website, moeten ze een Virtual Private Network (VPN) gebruiken om ervoor te zorgen dat hun verbinding veilig en versleuteld is. De IT-afdeling kan aanbevelingen doen voor goedgekeurde VPN-diensten.
• Wi-Fi-beveiliging: Voor degenen die de site vanuit thuis- of privénetwerken bezoeken, moet u ervoor zorgen dat het Wi-Fi-netwerk is beveiligd met WPA2- of WPA3-codering en dat het netwerkwachtwoord sterk en uniek is.
• Verbod op openbare netwerken: In geen geval mag een teamlid een openbaar Wi-Fi-netwerk (bijv. coffeeshops, bibliotheken, hotels) gebruiken om toegang te krijgen tot het WordPress-dashboard, updates uit te voeren of inhoud te beheren. Dit omvat tethering via openbare wifi-netwerken.

Naleving en handhaving

• Monitoring en detectie: Het IT-beveiligingsteam zal monitoringoplossingen implementeren om pogingen om toegang te krijgen tot de websitebeheertools vanaf onveilige of openbare netwerken te detecteren en te waarschuwen.
• Disciplinaire maatregelen: Elk teamlid dat dit beleid overtreedt, zal onmiddellijk disciplinaire maatregelen nemen, tot en met beëindiging van het dienstverband. Deze strikte handhaving is nodig om de integriteit en veiligheid van onze digitale activa te beschermen.

Verantwoordelijkheid van de gebruiker en rapportage

• Persoonlijke verantwoordelijkheid: Alle gebruikers zijn persoonlijk verantwoordelijk voor het waarborgen van de veiligheid van hun webverbinding tijdens het openen van de backend van de website. Onwetendheid over het beleid of technische uitdagingen worden niet beschouwd als geldige excuses voor niet-naleving.
• Melding van incidenten: Gebruikers worden aangemoedigd om incidenten te melden waarbij protocollen voor beveiligde webverbindingen opzettelijk of onopzettelijk zijn geschonden. Snelle rapportage kan helpen potentiële beveiligingsrisico's te beperken.

Training en bewustwording

• Permanente educatie: De organisatie zal alle teamleden doorlopende educatie en middelen bieden over het beveiligen van hun internetverbinding, de risico's die gepaard gaan met openbare netwerken en het effectief gebruiken van VPN's.
• Campagnes voor beveiligingsbewustzijn: Regular awareness campaigns will be conducted to reinforce this policy’s importance and keep all team members updated on best practices for maintaining a secure web connection.

---