Communicatiebeveiliging

#

Omschrijving

Domein

Opmerking

5.010

Om zich te kunnen authentiseren, kunnen alle Nodes betrokken bij transacties in het kader van het Afsprakenstelsel Interoperabiliteit Geboortezorg, een geldig PKI-certificaat overleggen.

Een geldig PKI-certificaat is een UZI-servercertifcaat of een PKIoverheid-certficaat.

5.020

Alle transacties in het kader van het Afsprakenstelsel Interoperabiliteit Geboortezorg zijn beveiligd met Mutual Transport Layer Security (mTLS).

5.030

Er wordt enkel gebruik gemaakt van TLS-versies en -algoritmen die zijn geclassificeerd als "goed" of “voldoende“ in de ICT-beveiligingsrichtlijnen voor Transport Layer Security (TLS), versie 2.1 van het NCSC.

Een Node biedt alleen TLS 1.3 aan als hij ook TLS 1.2 aanbiedt. Het is niet verplicht om alle algoritmen aan te bieden die in de genoemde richtlijnen als "goed" zijn geclassificeerd.

5.040

Transacties in het kader van het Afsprakenstelsel Interoperabiliteit Geboortezorg worden versleuteld volgens TLS, zoals bedoeld in eis 5.020.

5.050

Voordat daadwerkelijk transport plaats vindt, controleren de Nodes de geldigheid van elkaars certificaten door middel van CRL of OCSP

5.060

Nodes die de geldigheid van het UZI-servercertficaat van de andere Node dienen te controleren, voldoen aan de verplichting van het Certification Practice Statement (CPS) UZI-register

Zie https://www.zorgcsp.nl/certification-practice-statement-cps, artikel 4.5.2

5.070

Nodes die de geldigheid van het PKIo-servercertficaat van de andere Node dienen te controleren, doen dit door middel van de meest recent gepubliceerde Certificaten Revocatie Lijst (CRL) of via het Online Certificate Status Protocol (OCSP).

Zie https://cps.pkioverheid.nl/CPS_PA_PKIoverheid_G2_G3_Root_v4.3.pdf, paragraaf 2.2.