Communicatiebeveiliging

VERSIE: 15-05-2023 STATUS: CONSULTATIE

  • 15-05-2023

    • Nummeringssystematiek aangepast en consistent gemaakt.

  • 07-04-2021

    • Tekstuele aanpassing doorgevoerd

  • 24-02-2021

    • Verwijzing naar nieuwe versie van “ICT-beveiligingsrichtlijnen voor Transport Layer Security (TLS)” van NCSC opgenomen

  • 7-12-2020

    • Termen 'actor' en ‘actoren’ (architectuurlaag Applicatie) vervangen door Node en Nodes (architectuurlaag IT-Infrastructuur)

    • Eis 10 anders verwoord, eis 25 toegevoegd, eis 30 anders verwoord

    • Dubbelingen in eisen verwijderd

    • Bronverwijzing artikel Netwerk MedMij opgenomen

  • 1-7-2020 (versie 1.0)

    • Eerste versie gepubliceerd

Toelichting
De rollen op de architectuurlaag IT-Infrastructuur worden nodes genoemd. De communicatie tussen de nodes die betrokken zijn bij transacties in het kader van het Afsprakenstelsel Interoperabiliteit Geboortezorg dient zorgvuldig te worden beveiligd. Dit artikel beschrijft de eisen aan deze communicatiebeveiliging. In dit artikel zijn enkele onderdelen hergebruikt uit het artikel Netwerk van het MedMij Afsprakenstelsel.

#

Omschrijving

Domein

Opmerking

5.010

Om zich te kunnen authentiseren, kunnen alle Nodes betrokken bij transacties in het kader van het Afsprakenstelsel Interoperabiliteit Geboortezorg, een geldig PKI-certificaat overleggen.

 

Een geldig PKI-certificaat is een UZI-servercertifcaat of een PKIoverheid-certficaat.

5.020

Alle transacties in het kader van het Afsprakenstelsel Interoperabiliteit Geboortezorg zijn beveiligd met Mutual Transport Layer Security (mTLS).

 

 

5.030

Er wordt enkel gebruik gemaakt van TLS-versies en -algoritmen die zijn geclassificeerd als "goed" of “voldoende“ in de ICT-beveiligingsrichtlijnen voor Transport Layer Security (TLS), versie 2.1 van het NCSC.

 

Een Node biedt alleen TLS 1.3 aan als hij ook TLS 1.2 aanbiedt. Het is niet verplicht om alle algoritmen aan te bieden die in de genoemde richtlijnen als "goed" zijn geclassificeerd.

5.040

Transacties in het kader van het Afsprakenstelsel Interoperabiliteit Geboortezorg worden versleuteld volgens TLS, zoals bedoeld in eis 5.020.

 

 

5.050

Voordat daadwerkelijk transport plaats vindt, controleren de Nodes de geldigheid van elkaars certificaten door middel van CRL of OCSP

 

 

5.060

Nodes die de geldigheid van het UZI-servercertficaat van de andere Node dienen te controleren, voldoen aan de verplichting van het Certification Practice Statement (CPS) UZI-register

 

Zie https://www.zorgcsp.nl/certification-practice-statement-cps, artikel 4.5.2

5.070

Nodes die de geldigheid van het PKIo-servercertficaat van de andere Node dienen te controleren, doen dit door middel van de meest recent gepubliceerde Certificaten Revocatie Lijst (CRL) of via het Online Certificate Status Protocol (OCSP).

 

Zie https://cps.pkioverheid.nl/CPS_PA_PKIoverheid_G2_G3_Root_v4.3.pdf, paragraaf 2.2.

 

Samen komen we verder
Dit artikel is tot stand gekomen met de kennis en inzichten van professionals, experts, beleidsmakers en bestuurders. Bij VIPP Babyconnect geloven we dat er vele perspectieven nodig zijn om te gaan zien wat voor iedereen werkt. En die afweging kan altijd beter. Zie jij mogelijkheden voor verbetering in dit artikel? Vraag via info@carecodex.org een review-account aan en laat een reactie achter.
Samen weten we meer. Samen komen we verder.