Organisaties die DigiD gebruiken, moeten jaarlijks een ICT-beveiligingsassessment DigiD uitvoeren. Met deze assessments houdt Logius toezicht op DigiD-aansluitingen en op het veilige gebruik van DigiD.

Het assessment is gebaseerd op de Norm ICT-beveiligingsassessments DigiD. Deze norm is bedoeld voor organisaties die DigiD gebruiken en jaarlijks moeten aantonen dat hun aansluiting en relevante online dienstverlening aan de beveiligingseisen voldoen. De norm is gebaseerd op een selectie uit de NCSC-richtlijnen voor webapplicaties.

Voor Cilde is DigiD daarom niet alleen een jaarlijks auditmoment. Het raakt direct aan digitale governance: welke applicaties en portalen zijn gekoppeld aan DigiD, wie is eigenaar, welke techniek en leveranciers zijn betrokken, welke maatregelen zijn ingericht en waar staat de bewijsvoering?

Het DigiD-assessment geldt voor organisaties die DigiD gebruiken om burgers toegang te geven tot online diensten. Denk aan overheden, uitvoeringsorganisaties en organisaties met een publieke taak.

De scope van het assessment wordt bepaald vanuit het perspectief van de burger die met DigiD inlogt. De NOREA-handreiking beschrijft dat de scope bestaat uit de internet-facing webpagina’s waarmee interactie met de gebruiker plaatsvindt nadat deze via DigiD is geïdentificeerd en geauthentiseerd, de systeemkoppelingen, de infrastructuur die met DigiD is gekoppeld en betrekking heeft op het identificatie- en authenticatieproces, en relevante vormen van beheer op de webapplicatie.

Dat betekent dat de scope vaak breder is dan alleen de DigiD-koppeling zelf. Ook de achterliggende webapplicatie, beheersprocessen, technische infrastructuur, koppelingen en leveranciers kunnen relevant zijn.

Het DigiD-assessment toetst of de organisatie passende beveiligingsmaatregelen heeft ingericht rond de DigiD-aansluiting en de gekoppelde online dienstverlening.

In de Logius-documentatie staat dat het DigiD Normenkader 3.0 bestaat uit 21 beveiligingsrichtlijnen. Deze zijn gebaseerd op de ICT-beveiligingsrichtlijnen voor webapplicaties.

De onderwerpen raken onder meer aan:

• beveiligingsbeleid;
• authenticatie en toegangsbeveiliging;
• webapplicatiebeveiliging;
• TLS en veilige verbindingen;
• beheerprocessen;
• logging en monitoring;
• wijzigingsbeheer;
• incidentafhandeling;
• infrastructuur en koppelingen;
• aantoonbaarheid van maatregelen.

Een belangrijk aandachtspunt is dat Logius organisaties adviseert om naast de maatregelen uit de DigiD-norm ook andere maatregelen uit de ICT-beveiligingsrichtlijnen voor webapplicaties te adopteren.

Veel organisaties behandelen het DigiD-assessment als een jaarlijks project. Er wordt bewijs verzameld, een auditor wordt betrokken, bevindingen worden opgevolgd en daarna verdwijnt het onderwerp weer naar de achtergrond.

Dat zorgt voor terugkerende druk. Elk jaar moeten dezelfde vragen opnieuw worden beantwoord:

• Welke DigiD-aansluitingen hebben we?
• Welke applicaties en URL’s vallen binnen scope?
• Wie is eigenaar van de dienst?
• Welke leverancier beheert de applicatie of infrastructuur?
• Welke normen zijn van toepassing?
• Welke bewijsstukken zijn actueel?
• Welke technische controles zijn uitgevoerd?
• Welke bevindingen staan nog open?
• Welke maatregelen overlappen met ITGC, BIO2 of NIS2?
• Welke wijzigingen zijn sinds het vorige assessment doorgevoerd?

Zonder centraal overzicht wordt het DigiD-assessment al snel een zoekactie door mailboxen, Excel-bestanden, ticketingtools, leveranciersdocumentatie en oude rapportages.