DigiD Assessment
Maak de beveiliging van je DigiD-omgeving aantoonbaar.
We onderzoeken de technische beveiliging van de afgesproken DigiD-webomgeving. Met onderbouwde bevindingen en hersteladviezen kun je gericht werken aan de voorbereiding en onderbouwing van het assessment.
Technisch onderzoek voor je assessment
Drie vragen die we beantwoorden
- Welke onderdelen vallen binnen het technische onderzoek?
- Welke kwetsbaarheden vragen om herstel?
- Welke onderbouwing heeft de betrokken auditor nodig?
Wanneer is dit relevant?
Stem technisch onderzoek en audit tijdig op elkaar af.
Een DigiD-omgeving bestaat vaak uit meerdere onderdelen en leveranciers. Door vooraf af te stemmen wat onderzocht moet worden, sluiten resultaten en herstelwerk beter aan op het assessmenttraject.
- Je bereidt een DigiD-beveiligingsassessment voor.
- De webomgeving, hosting of beheerinrichting verandert.
- De betrokken auditor vraagt om technische onderbouwing.
- Je wilt eerder gevonden kwetsbaarheden laten hertesten.
Het onderzoek
Wat onderzoeken we?
Je omgeving en onderzoeksvraag bepalen de inhoud. We spreken vooraf af welke onderdelen we onderzoeken.
01
Onderzoeksgrenzen en afhankelijkheden
We bepalen met de betrokken partijen welke applicatieonderdelen en infrastructuur technisch onderzocht moeten worden. We leggen vast welke leveranciers en beheerders bij de uitvoering nodig zijn.
02
Webapplicatie en toegang
We onderzoeken de afgesproken webfuncties, sessies en toegangscontroles. Daarbij toetsen we of gegevens en handelingen bereikbaar zijn buiten de bedoelde gebruikersrechten.
03
Technische omgeving
Binnen de vastgestelde scope beoordelen en testen we de bereikbare diensten, configuratie en relevante beheerinterfaces. Mogelijke kwetsbaarheden worden gericht geverifieerd.
04
Bewijs en herstel
We rapporteren de bevindingen met technische onderbouwing en adviezen. Met de betrokken partijen spreken we af welke herstelmaatregelen en eventuele hertesten nodig zijn voor het vervolg.
Samen afbakenen
Een scope die past bij je vraag.
Vooraf stemmen we de technische scope en rapportagebehoefte af met jou, de leveranciers en de betrokken RE-auditor. Het voorstel beschrijft welke werkzaamheden SECWATCH uitvoert.
Wat stemmen we vooraf af?
- Applicaties, URL’s, infrastructuur en relevante leveranciers.
- De onderzoeksbehoefte en planning van het assessmenttraject.
- Testaccounts, testgegevens en uitvoeringsafspraken.
- Rapportage, herstelperiode en eventuele hertest.
Het formele DigiD-assessment en de assessmentrapportage vallen onder de verantwoordelijkheid van een RE-auditor. Ons technische onderzoek levert daarvoor onderbouwing; we leggen vooraf vast hoe de werkzaamheden op elkaar aansluiten.
Het resultaat
Inzicht waarmee je verder kunt.
01
Technisch onderbouwde bevindingen
Een beschrijving van het onderzoek, aangetroffen kwetsbaarheden en het bijbehorende bewijs.
02
Een gerichte herstelopgave
Concrete adviezen waarmee ontwikkelaars, beheerders en leveranciers verbeteringen kunnen doorvoeren.
03
Afstemming voor het vervolg
Duidelijkheid over de onderzochte scope, resterende aandachtspunten en eventuele hertesten.
Onze aanpak
Van eerste vraag tot opvolging.
01
Afstemmen met betrokkenen
We bepalen scope, technische onderzoeksvragen en rapportagebehoefte.
02
Technisch onderzoeken
We voeren de afgesproken controles uit en bespreken ernstige bevindingen direct.
03
Rapporteren en herstellen
Je ontvangt de onderbouwing en stemt herstel af met de betrokken partijen.
04
Vervolg onderbouwen
Een afgesproken hertest kan het herstel verifiëren en aanvullende informatie voor het traject leveren.
Veelgestelde vragen
Dit wil je vooraf weten.
Is deze pentest het volledige DigiD-assessment?
De formele assessmentrapportage wordt opgesteld door een RE-auditor. We stemmen af welke technische onderzoeken en onderbouwing daarvoor nodig zijn en leggen onze werkzaamheden vast in het voorstel.
Kunnen jullie samenwerken met onze auditor en leverancier?
We stemmen de technische scope, benodigde toegang en rapportagebehoefte af met de betrokken partijen. Zo kan iedereen zijn deel van het traject plannen.
Wanneer moeten we het technische onderzoek plannen?
Plan ruimte voor onderzoek, herstel en eventueel een hertest. De concrete planning stemmen we af op het assessmenttraject en de beschikbaarheid van je leveranciers.
Garandeert een afgeronde pentest een positief assessment?
Het oordeel over het formele assessment ligt bij de RE-auditor en ziet op het toepasselijke geheel van eisen. Ons rapport beschrijft het uitgevoerde technische onderzoek en de bevindingen binnen die scope.
Bespreek je situatie
Breng je technische onderzoek en assessment samen.
Vertel ons waar je staat in het traject. Samen bepalen we welke technische onderbouwing nodig is.