DigiD-assessment checklist: de 21 normen langs en wat je per norm klaar moet hebben

Het DigiD-assessment toetst tegen het Normenkader 3.0: 21 beveiligingsrichtlijnen, geselecteerd uit de ICT-beveiligingsrichtlijnen voor webapplicaties van het NCSC en vastgesteld door het ministerie van BZK in overleg met Logius, de Auditdienst Rijk en het NCSC. Deze checklist loopt de normgroepen langs met per groep de vraag die er in de praktijk toe doet: welk bewijs kun je vandaag op tafel leggen?

Eerst dit: opzet, bestaan en werking

Bij een nieuwe aansluiting worden alle 21 normen getoetst op opzet en bestaan. Is het geregeld, en bestaat het ook echt?

Bij een bestaande aansluiting komt daar voor vijf normen een toets op werking bij: U/TV.01 (identiteits- en toegangsmiddelen), U/WA.02 (webapplicatiebeheer), C.07 (monitoring van logging en detectie), C.08 (wijzigingsbeheer) en C.09 (patchmanagement).

Dat onderscheid bepaalt je voorbereiding. Voor werking is een procedure niet genoeg: je moet over een periode kunnen laten zien dat het proces daadwerkelijk is uitgevoerd. Denk aan een steekproef van wijzigingen met goedkeuring en test, patchrapportages over meerdere maanden, en logboeken van opgevolgde alerts. Wie deze vijf pas een maand voor het assessment oppakt, heeft simpelweg geen historie om te tonen.

Beleid en uitbesteding

B.01 vraagt om een informatiebeveiligingsbeleid dat expliciet ingaat op webapplicaties, met onderwerpen als dataclassificatie, toegangsvoorziening en kwetsbaarhedenbeheer. Een algemeen beleid zonder die specifieke paragrafen levert een bevinding op.

B.05 gaat over uitbesteding. Laat je de webapplicatie bouwen of beheren door een derde, dan moeten de beveiligingseisen in het contract staan en op het juiste niveau zijn vastgesteld. Controleer of jouw contract die eisen bevat en of ze aansluiten op de normen waarvoor die partij het bewijs levert. Een verwerkersovereenkomst dekt dit niet.

Toegang en beheer

U/TV.01 gaat over identiteits- en toegangsmiddelen: betrouwbaar vaststellen wie iemand is, rechten toekennen, gebruik controleerbaar maken. Zorg dat je een actueel overzicht hebt van accounts en rechten, dat je periodieke herbeoordeling aantoonbaar is, en dat uitdiensttreding aantoonbaar tot intrekking leidt. Deze norm wordt op werking getoetst.

U/WA.02 vraagt dat het webapplicatiebeheer procesmatig is ingericht, met geautoriseerde beheerders die werken op basis van functieprofielen. Leg vast wie welke beheerrol heeft en waarop die toekenning is gebaseerd. Ook deze norm wordt op werking getoetst.

De webapplicatie zelf

U/WA.03 en U/WA.04 gaan over invoer en uitvoer: invoer normaliseren en valideren voordat je die verwerkt, en uitvoer beperken tot waarden die veilig verwerkt kunnen worden. In de praktijk betekent dit dat je moet kunnen laten zien hoe je applicatie omgaat met injectie en cross-site scripting, niet alleen dat een framework dat standaard afvangt.

U/WA.05 gaat over cryptografische en privacybevorderende technieken. Zorg dat je vastlegt welke algoritmen en sleutellengtes je gebruikt, waar gegevens versleuteld worden opgeslagen en verzonden, en hoe het sleutelbeheer is geregeld.

Webserver en platform

U/PW.02, U/PW.03, U/PW.05 en U/PW.07 draaien om de serverkant: kenmerken van de protocollen die de webserver afdwingt, inrichting volgens een configuratie-baseline, beheer via veilige protocollen conform operationeel beleid, en een hardeningsrichtlijn voor het configureren van platformen.

Het bewijs zit hier in twee lagen. Je hebt de richtlijn of baseline nodig als document, en je moet kunnen aantonen dat de draaiende systemen daaraan voldoen. Een baseline zonder toets op de werkelijke configuratie is de meest voorkomende bevinding in deze groep.

Netwerk

U/NW.03 vraagt scheiding in fysieke en logische zones, met een DMZ tussen het interne netwerk en internet. U/NW.04 gaat over protectie- en detectiemechanismen voor netwerkcomponenten en verkeer. U/NW.05 vraagt dat beheerverkeer en productieverkeer binnen de productieomgeving van elkaar zijn afgeschermd. U/NW.06 vraagt om een hardeningrichtlijn voor netwerken.

Zorg voor een actuele netwerktekening waarop de zones, het DMZ en de beheerpaden zichtbaar zijn. Die tekening is vaak het eerste wat een auditor opvraagt en vaak ook het eerste wat verouderd blijkt.

Scans en penetratietests

C.03 vraagt dat vulnerability assessments procesmatig worden uitgevoerd op de ICT-componenten binnen de scope. C.04 vraagt hetzelfde voor penetratietests op de infrastructuur van de webapplicatie, ondersteund door richtlijnen.

Twee dingen gaan hier mis. Ten eerste dekt de test niet de volledige scope, bijvoorbeeld omdat een koppelvlak of de beheeromgeving buiten de opdracht viel. Ten tweede zijn bevindingen wel hersteld maar nooit opnieuw getest, waardoor je het herstel niet kunt aantonen. Plan de test daarom ruim voor de deadline, met tijd voor herstel en hertest.

Logging, monitoring en detectie

C.06 vraagt dat signaleringsfuncties in de webapplicatieomgeving actief en beveiligd zijn ingericht. C.07 vraagt dat de logging- en detectie-informatie regelmatig wordt gemonitord en dat bevindingen worden gerapporteerd. Die laatste wordt op werking getoetst.

Voor C.07 heb je dus meer nodig dan een SIEM-licentie. Laat zien welke alerteringsregels er zijn, welke alerts er in de afgelopen periode zijn afgegaan, wat ermee is gedaan en waar dat is vastgelegd. Een logbestand dat niemand leest, voldoet niet.

Wijzigingsbeheer en patchmanagement

C.08 vraagt dat wijzigingen tijdig, geautoriseerd en getest worden doorgevoerd. C.09 vraagt dat beveiligingspatches tijdig worden geïnstalleerd, ondersteund door richtlijnen. Beide worden op werking getoetst.

Bereid hiervoor een steekproef voor: een aantal wijzigingen uit de periode met aanvraag, goedkeuring, testbewijs en doorvoering, plus patchrapportages waaruit blijkt hoe snel patches na publicatie zijn uitgerold. Definieer je eigen termijn en houd je eraan, want de auditor toetst tegen jouw norm.

Wanneer je begint

Reken terug vanaf de datum waarop de rapportage bij Logius moet liggen. Voor de vijf normen met werkingstoets heb je historie nodig, dus die processen moeten al maanden lopen. De penetratietest plan je zo dat herstel en hertest erin passen. Ketenpartijen vraag je als eerste om hun assurance, want daar zit doorgaans de langste doorlooptijd.

Bron: Logius, Normenkader 3.0 voor ICT-beveiligingsassessments DigiD: https://www.logius.nl/onze-dienstverlening/toegang/digid/ict-beveiligingsassessments-digid/documentatie/norm-ict-beveiligingsassessments-digid

Secure Audit voert DigiD-assessments uit en begeleidt organisaties bij de voorbereiding. Neem contact op voor een nulmeting tegen de 21 normen.