Tenminste jaarlijks MOET een greybox applicatiepenetratietesten worden uitgevoerd op de externe koppelvlakken door een externe, onafhankelijke organisatie.

De volgende specifieke MedMij eisen moeten ook aantoonbaar getoetst zijn in de pentest rapportage;

• DNSSEC zie core.dns.300 en  core.dns.301

• TLS zie verantwoordelijkheid core.tls.301 in combinatie met core.tls.302 en core.tls.304

• NCSC webapplicatie richtlijnen U/PW.02, U/PW.03, U/WA.03, U/WA.04 NB deze zijn voor DigiD assessments al verplicht. Zie NOREA Handreiking DigiD assessments

Voor toetreding heeft deze minimaal al één keer plaatsgevonden en MOETEN de hoog en middel risico bevindingen op externe MedMij koppelvlakken zijn opgelost.

Voor penetratietesten die worden uitgevoerd na toetreding, dient een adequaat actieplan opgesteld te worden voor minimaal de hoge en midden risico's (CVSS-score (Common Vulnerability Scoring System) van 4,0 of hoger) ten aanzien van de MedMij dienstverlening. Dit actieplan wordt gedeeld met de beheerorganisatie. De corrigerende maatregelen worden tijdig doorgevoerd.

Tenminste jaarlijks MOET een greybox applicatiepenetratietesten worden uitgevoerd op de externe koppelvlakken door een externe, onafhankelijke organisatie.

De volgende specifieke MedMij eisen moeten ook aantoonbaar getoetst zijn in de pentest rapportage;

• Voor alle deelnemers:

  • DNSSEC, zie core.dns.300 en core.dns.301

  • TLS, zie verantwoordelijkheid core.tls.301 in combinatie met core.tls.302 en core.tls.304

  • NCSC webapplicatie richtlijnen U/PW.02, U/PW.03, U/WA.03, U/WA.04 NB deze zijn voor DigiD assessments al verplicht. Zie NOREA Handreiking DigiD assessments

• In geval van een Authorization server:

  • De uniciteit van de uitgegeven Authorization codes en Access tokens door middel van een code review, zie core.autorisatie.208
    

Voor toetreding heeft deze minimaal al één keer plaatsgevonden en MOETEN de hoog en middel risico bevindingen op externe MedMij koppelvlakken zijn opgelost.

Voor penetratietesten die worden uitgevoerd na toetreding, dient een adequaat actieplan opgesteld te worden voor minimaal de hoge en midden risico's (CVSS-score (Common Vulnerability Scoring System) van 4,0 of hoger) ten aanzien van de MedMij dienstverlening. Dit actieplan wordt gedeeld met de beheerorganisatie. De corrigerende maatregelen worden tijdig doorgevoerd.