DigiD pentest: wat het ICT-beveiligingsassessment van uw pentest vraagt
Iedere DigiD-aansluithouder levert jaarlijks tussen 1 januari en 1 mei een assessmentrapportage in bij Logius. De Norm ICT-beveiligingsassessments DigiD 3.0 (21 richtlijnen, van kracht sinds 1 augustus 2022) eist daarvoor vulnerability scans (C.03) en penetratietests op de infrastructuur van de webapplicatie (C.04). De pentest is het bewijs voor uw auditor, niet het assessment zelf.
Hieronder leest u wat die pentest moet dekken, wie welk deel uitvoert en wanneer u hem inplant zodat het rapport op tijd bij uw auditor ligt. Wilt u de testdatum nu al vastleggen? [Plan uw pentest](/nl/pentest-bestellen/): OSCP-gecertificeerde testers, start binnen 7 dagen, €849 per testdag excl. btw.
Wat is het ICT-beveiligingsassessment DigiD?
Met het ICT-beveiligingsassessment DigiD houdt Logius toezicht op alle DigiD-aansluitingen. Elke organisatie die DigiD gebruikt, laat jaarlijks een onafhankelijke IT-auditor toetsen of de webapplicatie en de omliggende ICT-omgeving aan de 21 richtlijnen van Norm 3.0 voldoen. In de praktijk noemen veel organisaties dit de DigiD audit of kortweg het DigiD-assessment.
De auditor toetst elke richtlijn op opzet (is er een beleid of procedure?) en bestaan (is die procedure aantoonbaar uitgevoerd?). Voor bestaande aansluitingen toetst de auditor vijf normen ook op werking, over de hele toetsperiode: U/TV.01, U/WA.02, C.07, C.08 en C.09. Een nieuwe aansluiting levert binnen twee maanden na activatie een eerste assessmentrapport in, daarna loopt de aansluiting mee in de jaarlijkse cyclus.
Belangrijk om vast te houden: het assessment is het oordeel van de auditor. De pentest is één van de bewijsstukken waarop dat oordeel rust. Logius legt de verantwoordelijkheid duidelijk neer: de aansluithouder "blijft wel te allen tijde verantwoordelijk voor de veiligheid van de webapplicatie en de ICT-omgeving", ook als een leverancier de applicatie host of beheert.
Welke normen gaan over testen?
Twee richtlijnen uit Norm 3.0 gaan direct over technisch testen. Logius formuleert ze zo:
C.03: "Vulnerability assessments (security scans) worden procesmatig en procedureel uitgevoerd op de ICT-componenten van de webapplicatie (scope)."
C.04: "Penetratietests worden procesmatig en procedureel, ondersteund door richtlijnen, uitgevoerd op de infrastructuur van de webapplicatie (scope)."
Drie dingen vallen op. Ten eerste zijn het twee aparte normen: een scan vervult C.03, een pentest vervult C.04. Een scanrapport inleveren als pentest werkt dus niet. Ten tweede staat er "procesmatig en procedureel". De auditor wil geen eenmalige actie zien, maar een vastgelegde werkwijze: wie test, hoe vaak, met welke methode, en wat er met de bevindingen gebeurt. Ten derde: C.04 noemt "de infrastructuur van de webapplicatie". De scope is dus breder dan de applicatiecode alleen.
C.03 en C.04 horen niet bij de vijf normen die op werking worden getoetst. De auditor toetst ze op opzet en bestaan. Concreet: een beschreven testprocedure plus een pentestrapport uit de lopende toetsperiode, met zichtbare opvolging van de bevindingen.
Wat moet de DigiD-pentest dekken?
De scope is de webapplicatie met de DigiD-koppeling, plus de infrastructuur die haar draagt: webservers, reverse proxy of load balancer, de TLS-terminatie en de koppelvlakken naar achterliggende systemen. Alles wat een burger vanaf de inlogpagina tot aan de persoonlijke gegevens kan raken, hoort erbij.
Een DigiD-pentest die een auditor overtuigt, toetst minimaal deze onderdelen:
- Authenticatieflow. De afhandeling van de DigiD-inlog en de terugkeer naar uw applicatie: kan een aanvaller de inlog overslaan, een ander BSN meegeven of een onderbroken sessie overnemen?
- Sessiebeheer. Levensduur, vernieuwing en beëindiging van sessies, cookie-attributen, uitloggen aan beide kanten.
- Autorisatie. Kan gebruiker A de gegevens van gebruiker B opvragen door een ID aan te passen? Kan een burgerprofiel beheerdersfuncties bereiken? Dit vindt u alleen met testaccounts per rol.
- Invoervalidatie. Injecties, cross-site scripting, bestandsuploads en alle andere plekken waar invoer van buiten uw applicatie bereikt.
- TLS-configuratie en security headers. Getoetst aan de ICT-beveiligingsrichtlijnen voor TLS 2.1 en de ICT-beveiligingsrichtlijnen voor webapplicaties van het NCSC, de richtlijnen waar Norm 3.0 op leunt.
- Infrastructuur. Open poorten, verouderde software en configuratiefouten op de servers en netwerkcomponenten rond de applicatie.
Kies voor een grey box pentest: de tester krijgt testaccounts per rol en de documentatie van de koppeling, maar geen broncode. Zo komt de testtijd terecht bij autorisatie en bedrijfslogica in plaats van bij het raden van URL's. Een black box test zonder accounts laat precies de onderdelen liggen waar een auditor op let.
Buiten scope valt DigiD zelf: de inlogdienst bij Logius en de infrastructuur van een eventuele DigiD-broker vallen onder hun eigen assessment. U test wat u beheert of laat beheren.
Wie voert wat uit?
Drie partijen, drie rollen. Houd ze gescheiden, dan loopt het assessment zonder discussie.
| Rol | Wie | Levert |
|---|---|---|
| Pentester | Onafhankelijk testbedrijf met gecertificeerde testers (OSCP) | Pentestrapport met scope, methode, bevindingen en bewijs; hertest na herstel |
| IT-auditor | Register EDP-auditor (RE), zie het NOREA-register | Beoordeelt alle bewijsstukken en stelt de assessmentrapportage op |
| Aansluithouder | Uw organisatie | Dient de rapportage in bij Logius en blijft verantwoordelijk voor de veiligheid |
Budget Security vult de eerste rol. Wij voeren de pentest uit en leveren het rapport. Wij voeren het assessment niet uit en ondertekenen de rapportage niet; dat is het werk van uw auditor. Sommige auditors vragen naar de kwalificaties van de tester. Onze testers zijn OSCP-gecertificeerd, een deel ook OSWE.
Host of ontwikkelt een leverancier dezelfde DigiD-dienst voor meerdere aansluithouders via een clusteraansluiting, dan kan die leverancier onder voorwaarden van Logius als serviceorganisatie kiezen voor het meervoudig assessment. De Register EDP-auditor bij de serviceorganisatie stelt dan één assessmentrapport op dat geldt voor alle aangesloten aansluithouders. De pentest op het gedeelde platform is in dat geval een bewijsstuk voor de leverancier. Elke aansluithouder blijft volgens Logius ook dan eindverantwoordelijk voor de eigen aansluiting.
Timing: wanneer plant u de pentest?
De toetsperiode loopt minstens tot 31 december. De auditor geeft het oordeel niet eerder dan 1 januari en u levert de rapportage in tussen 1 januari en 1 mei. Wie de pentest in december laat uitvoeren, heeft geen tijd meer om bevindingen te herstellen en dat herstel aantoonbaar te maken. Plan daarom achterstevoren:
| Wanneer | Wat |
|---|---|
| September of oktober | Scope vastleggen, testaccounts aanmaken, pentest uitvoeren |
| Oktober of november | Bevindingen herstellen, status per bevinding bijhouden |
| November of begin december | Hertest op de herstelde bevindingen, bewijs van herstel vastleggen |
| Januari tot april | Auditor beoordeelt, rapportage opstellen en indienen bij Logius |
Voor een nieuwe aansluiting ligt het anders: test vóór de livegang, zodat het eerste assessmentrapport binnen twee maanden na activatie klaar kan zijn. Een pentest op een applicatie die al burgers bedient, met open bevindingen, is een slechte start van uw dossier.
Bij Budget Security start de test binnen 7 dagen na boeking en ontvangt u het rapport binnen 48 uur nadat de test is afgerond. U betaalt na oplevering van het rapport. De hertest boekt u apart als optionele extra van één testdag, zodat het bewijs van herstel als eigen document in uw dossier zit.
Wat moet er in het rapport staan voor de auditor?
Uw auditor leest het pentestrapport als bewijsstuk voor C.04 en kijkt eerst naar de scope. Controleer vóór u het rapport doorstuurt of deze onderdelen erin staan:
- Scopeverklaring met de geteste URL's, IP-adressen en de gebruikte testaccounts per rol
- Testperiode en testvorm (black, grey of white box)
- Methode en gebruikte richtlijnen, bijvoorbeeld OWASP en de NCSC-richtlijnen
- Per bevinding: ernst, CVSS-score, beschrijving, impact, reproductiestappen, bewijs en een concreet hersteladvies
- Managementsamenvatting met het totale risicobeeld
- Status van het herstel per bevinding en, na de hertest, het bewijs dat de bevinding is opgelost
Het rapport van Budget Security is hierop ingericht: een pdf per getest asset met managementsamenvatting, scope en per bevinding ernst, CVSS-score, beschrijving, impact, herstel, reproductiestappen, getroffen onderdelen, referenties en bewijs. In het portaal volgt u de status per bevinding (open, in behandeling, opgelost, gemitigeerd of geaccepteerd risico), zodat u de auditor een actueel overzicht kunt geven. Wilt u een mapping van de bevindingen op de DigiD-normen, dan is dat op aanvraag beschikbaar. Voor auditors die een aparte verklaring willen, is het Pentest Statement een optionele extra: een attestatiebrief over de uitgevoerde test.
Wat een DigiD-pentest kost, hangt af van het aantal testdagen; in onze gids over pentest kosten ziet u de tarieven per testtype en rekent u uw eigen scope door.
Veelgemaakte fouten
Vier fouten die een auditor direct opmerkt:
- Een scan inleveren als pentest. C.03 en C.04 zijn twee normen. Een geautomatiseerde scan zonder handmatige verificatie dekt C.04 niet.
- Scope zonder infrastructuur. Alleen de applicatie testen en de servers, proxy en TLS-configuratie overslaan, terwijl C.04 juist "de infrastructuur van de webapplicatie" noemt.
- Geen bewijs van herstel. Een rapport met tien open bevindingen en een mail "is opgelost" overtuigt niet. Laat de herstelde punten hertesten en leg dat vast.
- Het rapport van vorig jaar hergebruiken. De auditor toetst de lopende toetsperiode. Na een grote release of migratie is zelfs een rapport van zes maanden oud discutabel.
Bronnen
- Logius, Norm ICT-beveiligingsassessments DigiD 3.0 (versie 3.0, ingangsdatum 1 augustus 2022)
- Logius, Hoe werkt het toezicht voor DigiD-dienstverleners
- Logius, Het meervoudig assessment
- NCSC, ICT-beveiligingsrichtlijnen voor webapplicaties (2019)
- NCSC, ICT-beveiligingsrichtlijnen voor Transport Layer Security 2.1 (2021)
- NOREA, register van IT-auditors en handreikingen
FAQ
Veelgestelde vragen over de DigiD-pentest
Is een vulnerability scan genoeg voor het DigiD-assessment?
Hoe vaak moet een DigiD-pentest worden uitgevoerd?
Mag onze eigen hostingpartij de pentest uitvoeren?
Plan uw DigiD-pentest op tijd
Plan de test in het najaar, dan ligt het rapport met herstelbewijs op tijd bij uw auditor. Grey box test met testaccounts, OSCP-gecertificeerde testers, start binnen 7 dagen, rapport binnen 48 uur na afloop van de test, betaling na oplevering, €849 per testdag excl. btw.