Pentest DigiD

DigiD es importante para las organizaciones que manejan datos personales de ciudadanos. Por ejemplo:

• Organismos públicos como ayuntamientos, ministerios y la agencia tributaria.
• Instituciones sanitarias como hospitales y aseguradoras médicas.
• Instituciones educativas como universidades y centros de formación superior.
• Fondos de pensiones que gestionan planes de pensiones.

Estas organizaciones deben utilizar DigiD porque necesitan el Número de Servicio Ciudadano (BSN) para identificar a las personas.

DigiD exige requisitos estrictos para la seguridad de los sistemas que trabajan con él. Piensa, por ejemplo, en la obligatoriedad de la autenticación de doble factor (2FA), como iniciar sesión con un código SMS o la app DigiD. Además, los datos siempre deben transmitirse y almacenarse cifrados, para que, por ejemplo, los números de servicio ciudadano (BSN) no se filtren fácilmente.

Además, las aplicaciones web que utilizan DigiD deben estar protegidas contra ciberamenazas habituales, como inyecciones SQL y ataques XSS. Un sitio web mal configurado puede permitir que los hackers accedan a datos sensibles o incluso tomen el control de las sesiones de los usuarios.

Dado que estos sistemas son un objetivo atractivo para los ciberdelincuentes, las organizaciones deben someterse anualmente a una evaluación de seguridad TIC realizada por un auditor independiente. Esto es comparable a una ITV: si una organización no cumple los requisitos, Logius puede bloquear el acceso a DigiD. Nosotros realizamos el pentest obligatorio como parte de este proceso, identificando vulnerabilidades en los sistemas antes de que lo hagan los actores malintencionados. Así, las organizaciones pueden actuar a tiempo para mantener segura su conexión DigiD.

Según la guía “Handreiking ICT-beveiligingsassessment DigiD 2024” de NOREA, las organizaciones que utilizan DigiD deben realizar como mínimo anualmente un test de penetración sobre su aplicación web DigiD y la infraestructura asociada. Además, es obligatorio realizar un pentest tras cambios significativos, como:

• Sustitución de la aplicación
• Implementación de una nueva versión
• Migración de servidores web
• Migración de bases de datos

Se recomienda, en función de una valoración de riesgos, realizar un pentest varias veces al año para responder adecuadamente a nuevas amenazas. Esta política de pruebas proactiva ayuda a identificar y solucionar a tiempo posibles vulnerabilidades, reforzando de forma continua la seguridad de las implementaciones DigiD.

Un pentest DigiD y un pentest normal se diferencian principalmente en el alcance y los requisitos. Un pentest normal examina la seguridad de un sistema, aplicación o red en busca de vulnerabilidades, y el enfoque y la metodología dependen de las necesidades específicas del cliente. Esto puede variar desde pruebas black-box (sin conocimiento previo) hasta pruebas white-box (con acceso completo al código y la infraestructura).

Un pentest DigiD, en cambio, es una prueba de seguridad estrictamente regulada específica para organizaciones que integran DigiD en sus sistemas. Este pentest debe cumplir los requisitos de Logius, el gestor de DigiD, y se centra en la seguridad de las conexiones DigiD y en la protección de los datos personales. La metodología de prueba y el informe deben cumplir las directrices establecidas, y Logius evalúa los resultados antes de aprobar un sistema para el uso de DigiD.

Un pentest DigiD es una prueba de seguridad exhaustiva en la que un hacker ético detecta vulnerabilidades en la conexión DigiD. El pentest debe cumplir las directrices de Logius, que encarga a NOREA la elaboración de los requisitos. Los resultados de este pentest se incorporan a la evaluación DigiD.

Una evaluación DigiD es una auditoría más amplia que valora no solo la seguridad técnica (incluido el pentest), sino también las medidas organizativas y de procedimiento en torno al uso de DigiD. Esta evaluación es obligatoria y debe ser realizada por un auditor acreditado por Logius.

Un pentest DigiD forma, por tanto, parte de la evaluación DigiD.

Una buena preparación para un pentest DigiD ayuda a una organización a descubrir vulnerabilidades a tiempo y garantiza que la evaluación DigiD anual transcurra sin contratiempos.

• Recopilar documentación: facilita el trabajo a los pentesters teniendo preparados los documentos que puedan ser relevantes, como documentos de arquitectura, diagramas de red y configuraciones. Si en algún momento se ha realizado un pentest o un escaneo de seguridad anterior, aportadlo como referencia.
• Organizar el acceso y el entorno de pruebas: aseguraos de que los pentesters tengan acceso a un entorno de pruebas que se parezca lo máximo posible al entorno de producción. Dad también a los pentesters acceso a una cuenta de prueba. Por supuesto, es recomendable probar en un entorno de pruebas, por si alguna vez algo se rompe.

No cumplir con los requisitos DigiD puede tener varias consecuencias graves para las organizaciones:

• Suspensión o finalización del servicio DigiD: si una organización no presenta a tiempo su informe de evaluación anual, Logius puede suspender o incluso desactivar la conexión DigiD. Esto significa que la organización ya no podrá utilizar DigiD para sus servicios.
• Requerimiento formal: si no se entrega a tiempo el informe de evaluación, Logius envía una carta de requerimiento certificada. En ella se pone en mora a la organización y se le da una última oportunidad para cumplir con sus obligaciones.
• Daño reputacional: el incumplimiento de las normas DigiD puede provocar publicidad negativa y una menor confianza de clientes y socios en la organización.