Met DigiD, de digitale identiteitsdienst van de Nederlandse overheid, kunnen burgers zich aanmelden bij overheidsinstanties en bij steeds meer private organisaties. DigiD begon als toegang tot overheidsdiensten zoals DUO, de gemeentelijke websites en de Belastingdienst. Inmiddels gebruiken ook zorgverzekeraars, energieleveranciers, pensioenfondsen en andere organisaties die persoonsgegevens verwerken DigiD.
Omdat miljoenen Nederlanders zich met DigiD aanmelden, draagt elke organisatie met een DigiD-koppeling een grote verantwoordelijkheid. Een kwetsbaarheid in zo’n webapplicatie kan leiden tot ongeautoriseerde toegang tot persoonlijke gegevens, tot identiteitsfraude en tot een inbreuk op de privacy. Daarom heeft Logius, de beheerorganisatie van DigiD, samen met het NCSC en NOREA een strikt normenkader opgesteld. Sinds 2013 moet elke organisatie met een DigiD-koppeling jaarlijks een ICT-beveiligingsassessment laten uitvoeren, met daarin een penetratietest volgens het NOREA-normenkader versie 3.0.
Een DigiD pentest (kort voor penetratietest) onderzoekt een webapplicatie met DigiD-koppeling tegen de beveiligingsnormen uit dat normenkader. De test gaat verder dan een reguliere webapplicatie pentest en kijkt nadrukkelijk naar de NCSC-beveiligingsrichtlijnen, naar hardening en naar de infrastructuur die bij DigiD-authenticatie hoort.
Voor elke DigiD-aansluithouder is een DigiD pentest een wettelijke verplichting. Voert u het assessment niet uit, of slaagt u er niet voor, dan kan Logius uw DigiD-koppeling afsluiten en ligt uw dienstverlening stil. Het ICT-beveiligingsassessment DigiD, inclusief de penetratietest, moet elk jaar vóór 1 mei zijn afgerond.
Een DigiD pentest is verstandig in de volgende situaties:
Plan de test vroeg in het jaar, in januari of februari. In maart en april zit de agenda van pentestleveranciers vol vanwege de deadline van 1 mei die voor alle aansluithouders geldt.
Wat een DigiD pentest precies omvat, hangt af van welke DigiD-normen op uw webapplicatie en infrastructuur van toepassing zijn. We lopen alle relevante normen uit het NOREA-normenkader 3.0 langs en leveren een NOREA-conform rapport op dat de RE-auditor direct kan gebruiken.
De webapplicatie is het belangrijkste aanvalsoppervlak van een DigiD-koppeling. We testen hier alle beveiligingsmaatregelen en controles die beschermen tegen injectie, XSS en andere webapplicatie kwetsbaarheden.
We testen de volgende webapplicatie-normen:
De webserver en de platformconfiguratie vormen de basis onder elke webapplicatie. We testen hier de security headers, de SSL/TLS-configuratie, de hardening en de beheerprotocollen die bij DigiD-authenticatie horen.
We testen de volgende platform-normen:
Een DigiD pentest op de webserver en het platform combineert u goed met een webapplicatie pentest. Zo onderzoekt u zowel de applicatie als de infrastructuur eronder.
De inrichting van uw netwerk bepaalt hoe goed uw webapplicatie is afgeschermd van het interne netwerk en de beheersystemen. We testen hier de netwerksegmentatie, de DMZ-configuratie en de netwerk-hardening die voorkomen dat een aanvaller lateraal kan bewegen.
We testen de volgende netwerk-normen:
Een DigiD pentest op het netwerk en de infrastructuur combineert u goed met een bedrijfsnetwerk pentest, zodat u uw hele netwerkinfrastructuur laat onderzoeken.
De controle- en procesnormen gaan na of u uw beveiligingsprocessen netjes uitvoert en vastlegt. We kijken hier naar uw kwetsbaarheidsbeheer, uw patchmanagement en uw procedures rond penetratietesten.
We testen de volgende controle-normen:
Meer over onze aanpak en expertise leest u op onze over ons-pagina.
Wij voeren de pentest uit conform het DigiD-normenkader en zorgen dat het rapport aansluit op de audit-eisen. Vraag een voorstel op maat aan.
Neem contact opOf mail ons direct via [email protected]
Een DigiD pentest is een webapplicatie pentest die voldoet aan de Nederlandse compliance-eisen rond DigiD.
DigiD pentest:
Reguliere webapplicatie pentest:
Een DigiD pentest gaat technisch verder en moet voldoen aan de strikte NOREA-richtlijnen, zodat een auditor de resultaten kan gebruiken.
Het DigiD-normenkader is meerdere keren herzien. Versie 3.0 geldt sinds augustus 2022.
Versie 1.0 (2013-2017):
Versie 2.0 (2017-2022):
Versie 3.0 (augustus 2022 tot nu):
De grootste verandering in 3.0 zit in de CSP. Veel bestaande implementaties met unsafe-inline voldoen niet meer en vragen om aanpassingen in de code.
Een geslaagd DigiD-assessment begint met goede planning.
Planning (zes weken of meer voor 1 mei):
Alle DigiD-aansluithouders hebben dezelfde deadline van 1 mei. Daardoor zit de agenda van pentestleveranciers in maart en april vol. Plan op tijd, dan bent u verzekerd van een plek.