DigiD Pentest

DigiD is belangrijk voor organisaties die te maken hebben met persoonlijke gegevens van burgers. Dit zijn bijvoorbeeld:

• Overheidsinstanties zoals gemeenten, ministeries en de belastingdienst.
• Zorginstellingen zoals ziekenhuizen en zorgverzekeraars.
• Onderwijsinstellingen zoals universiteiten en hogescholen.
• Pensioenfondsen die pensioenregelingen beheren.

Deze organisaties moeten DigiD gebruiken, omdat ze het Burgerservicenummer (BSN) nodig hebben om mensen te identificeren.

DigiD stelt strenge eisen aan de beveiliging van systemen die ermee werken. Je moet hierbij bijvoorbeeld denken aan het verplicht stellen van tweefactorauthenticatie (2FA), zoals inloggen met een SMS-code of de DigiD-app. Ook moeten gegevens altijd versleuteld worden verzonden en opgeslagen, zodat bijvoorbeeld burgerservicenummers (BSN) niet zomaar uitlekken.

Daarnaast moeten webapplicaties die DigiD gebruiken beschermd zijn tegen veelvoorkomende cyberdreigingen, zoals SQL-injecties en XSS-aanvallen. Een verkeerd ingerichte website kan ervoor zorgen dat hackers toegang krijgen tot gevoelige gegevens of zelfs sessies van gebruikers kunnen overnemen.

Omdat deze systemen een aantrekkelijk doelwit zijn voor cybercriminelen, moeten organisaties jaarlijks een ICT-beveiligingsassessment laten uitvoeren door een onafhankelijke auditor. Dit is vergelijkbaar met een APK-keuring: als een organisatie niet aan de eisen voldoet, kan Logius de toegang tot DigiD blokkeren. Wij voeren de verplichte pentest uit als onderdeel van dit proces, waarbij we kwetsbaarheden in systemen in kaart brengen voordat kwaadwillenden dat doen. Zo kunnen organisaties tijdig actie ondernemen om hun DigiD-koppeling veilig te houden.

Volgens de “Handreiking ICT-beveiligingsassessment DigiD 2024” van NOREA moeten organisaties die DigiD gebruiken minimaal jaarlijks een penetratietest uitvoeren op hun DigiD-webapplicatie en de bijbehorende infrastructuur. Daarnaast is het verplicht om een pentest uit te voeren na significante wijzigingen, zoals:

• Vervanging van de applicatie
• Implementatie van een nieuwe versie
• Migratie van webservers
• Database-migratie

Het wordt aanbevolen om, op basis van een risicoafweging, meerdere keren per jaar een pentest uit te voeren om netjes in te spelen op nieuwe bedreigingen. Dit proactieve testbeleid helpt bij het tijdig identificeren en verhelpen van potentiele kwetsbaarheden, waardoor de beveiliging van DigiD-implementaties continu wordt versterkt.

Een DigiD pentest en een normale pentest verschillen voornamelijk in scope en eisen. Een normale pentest onderzoekt de beveiliging van een systeem, applicatie of netwerk op kwetsbaarheden, waarbij de aanpak en methodologie afhankelijk zijn van de specifieke behoeften van de opdrachtgever. Dit kan varieren van black-box testing (zonder voorkennis) tot white-box testing (met volledige toegang tot de code en infrastructuur).

Een DigiD pentest is daarentegen een streng gereguleerde beveiligingstest specifiek voor organisaties die DigiD integreren in hun systemen. Deze pentest moet voldoen aan de eisen van Logius, de beheerder van DigiD, en richt zich op de beveiliging van DigiD-koppelingen en de bescherming van persoonsgegevens. De testmethodologie en rapportage moeten aan vastgestelde richtlijnen voldoen, en de resultaten worden door Logius beoordeeld voordat een systeem goedgekeurd wordt voor het gebruik van DigiD.

Een DigiD pentest is een grondige beveiligingstest waarbij een ethische hacker kwetsbaarheden in de DigiD-koppeling opspoort. De pentest moet voldoen aan de richtlijnen van Logius die de eisen laat opstellen door NOREA. De resultaten van deze pentest worden meegenomen in het DigiD Assessment.

Een DigiD assessment is een bredere audit die niet alleen de technische beveiliging (inclusief de pentest), maar ook de organisatorische en procedurele maatregelen rondom DigiD-gebruik beoordeelt. Dit assessment is verplicht en moet worden uitgevoerd door een door Logius geaccrediteerde auditor.

Een DigiD pentest is dus onderdeel van het DigiD assessment.

Een goede voorbereiding op een DigiD-pentest helpt een organisatie om kwetsbaarheden vroegtijdig te ontdekken en ervoor te zorgen dat het jaarlijkse DigiD-assessment soepel verloopt.

• Documentatie verzamelen: Maak het gemakkelijker voor de pentesters om documenten die eventueel relevant zijn klaar te leggen, zoals architectuur documenten, netwerkdiagrammen en configuraties. Mocht er ooit een eerder uitgevoerde pentest of security scan zijn uitgevoerd, lever die aan als referentie.
• Toegang en testomgeving regelen: Zorg ervoor dat pentesters toegang hebben tot een testomgeving die zoveel mogelijk lijkt op de productieomgeving. Geef de pentester(s) ook toegang tot een testaccount. Het is natuurlijk verstandig om te testen in een testomgeving, mocht er ooit wat kapot gaan.

Het niet voldoen aan de DigiD-vereisten kan voor organisaties verschillende ernstige consequenties hebben:

• Opschorting of beeindiging van DigiD-dienstverlening: Als een organisatie haar jaarlijkse assessmentrapportage niet tijdig indient, kan Logius overgaan tot het opschorten of zelfs deactiveren van de DigiD-aansluiting. Dit betekent dat de organisatie geen gebruik meer kan maken van DigiD voor haar diensten.
• Formele aanmaning: Bij het niet op tijd aanleveren van de assessmentrapportage stuurt Logius een aangetekende aanmaningsbrief. Hierin wordt de organisatie in gebreke gesteld en krijgt zij een laatste kans om aan de verplichtingen te voldoen.
• Reputatieschade: Het niet naleven van DigiD-standaarden kan leiden tot negatieve publiciteit en een verminderd vertrouwen van klanten en partners in de organisatie.