Tenminste jaarlijks MOET een greybox applicatiepenetratietest worden uitgevoerd op de externe koppelvlakken door een externe, onafhankelijke organisatie.
De volgende specifieke MedMij eisen moeten ook aantoonbaar getoetst zijn in de pentest rapportage;
- In geval van een Authorization server:
- De uniciteit van de uitgegeven Authorization codes, Access tokens en Access Refresh tokens door middel van een code review, zie core.autorisatie.208
De externe koppelvlakken zijn: - DVP: Burgerfrontend, OAuth Client Redirect
- DVA: Resourceserver koppelvlak, Autorization server interface(s) eindgebruiker en voor de DVP.
- BO: Stelselnode en administratieve front-end
Voor toetreding heeft een greybox applicatiepenetratietest minimaal al één keer plaatsgevonden en MOETEN de hoog en middel risico bevindingen op externe MedMij koppelvlakken zijn opgelost. Voor penetratietesten die worden uitgevoerd na toetreding, dient een adequaat actieplan opgesteld te worden voor minimaal de hoge en midden risico's (CVSS-score (Common Vulnerability Scoring System) van 4,0 of hoger) ten aanzien van de MedMij dienstverlening. Dit actieplan wordt gedeeld met de beheerorganisatie. De corrigerende maatregelen worden tijdig doorgevoerd. Bij grootschalige wijziging of herbouw vereisen eenmalig een greybox applicatiepenetratietest. Voor penetratietesten die worden uitgevoerd na toetreding, dient een adequaat actieplan opgesteld te worden voor minimaal de hoge en midden risico's ten aanzien van de MedMij dienstverlening. Dit actieplan wordt gedeeld met de beheerorganisatie. De corrigerende maatregelen worden tijdig doorgevoerd.
| 