Wat houdt deze control in?
Beveiligingstestprocessen moeten worden uitgevoerd bij ontwikkeling, waaronder penetratietesten en kwetsbaarheidsscans.
Waarom is dit verplicht?
Alleen testen bevestigt of beveiligingsmaatregelen daadwerkelijk effectief zijn.
Praktische implementatie
- Voer penetratietests uit voor livegang van nieuwe systemen
- Plan jaarlijkse pentests voor kritieke systemen
- Gebruik DAST-tools voor geautomatiseerde applicatietests
- Documenteer bevindingen en volg op
Aandachtspunten voor de overheid
DigiD-koppelingen vereisen jaarlijkse penetratietests conform Logius-richtlijnen.
Relatie met andere controls
Gerelateerd aan 8.26 (beveiligingseisen) en 8.8 (kwetsbaarheden).
← Terug naar alle BIO 2.0 controls
Wat deze control praktisch betekent
Je voert beveiligingstestprocessen uit bij ontwikkeling, waaronder penetratietesten en kwetsbaarheidsscans. De overheidsmaatregel vereist dat voor acceptatietesten gestructureerde testmethodieken worden gebruikt (waar mogelijk geautomatiseerd) en dat van de resultaten verslag wordt gemaakt. Alleen testen bevestigt of beveiligingsmaatregelen daadwerkelijk effectief zijn. DigiD-koppelingen vereisen jaarlijkse penetratietests conform Logius-richtlijnen.
Passende maatregelen
3 basismaatregelen + 1 verdieping.
- ›Gebruik gestructureerde, waar mogelijk geautomatiseerde testmethodieken voor acceptatietesten en maak verslag van de resultaten.
- ›Voer penetratietests uit vóór livegang van nieuwe systemen.
- ›Plan jaarlijkse pentests voor kritieke systemen (en DigiD-koppelingen conform Logius).
- ›Gebruik DAST-tools voor geautomatiseerde applicatietests en volg bevindingen op.verdieping
Bewijs dat je kunt verzamelen
- ›Gestructureerde acceptatietestmethodiek met verslagen
- ›Pentestrapporten vóór livegang
- ›Jaarlijkse pentests van kritieke systemen/DigiD
- ›DAST-resultaten en opvolging
Wat je bij een audit moet kunnen aantonen
- ›Dat acceptatietesten gestructureerd en gerapporteerd zijn
- ›Dat nieuwe systemen vóór livegang worden getest
- ›Dat kritieke systemen/DigiD jaarlijks worden gepentest
- ›Dat bevindingen worden opgevolgd
Voorbeeldactiviteiten: opzet, bestaan, werking
- ›Is een gestructureerde acceptatietestmethodiek vastgesteld?
- ›Zijn pentests vóór livegang belegd?
- ›Is de jaarlijkse pentestcyclus bepaald?
- ›Worden acceptatietesten uitgevoerd en gerapporteerd?
- ›Zijn pentests vóór livegang uitgevoerd?
- ›Zijn recente pentests aanwezig?
- ›Vinden jaarlijkse pentests structureel plaats?
- ›Worden bevindingen opgevolgd?
- ›Blijven DigiD-koppelingen jaarlijks getest?
Gekoppelde overheidsmaatregel(en)
Van de resultaten van de testen wordt verslag gemaakt.
Deze uitwerking is indicatief en generiek. Ze vervangt geen eigen risicoafweging of professioneel advies afgestemd op jouw organisatie.