Collegeverklaring ENSIA 2021.pdf

Collegeverklaring informatiebeveiliging DigiD en Suwinet Gemeente Albrandswaard

Gemeentelijk kenmerk collegeverklaring ENSIA: 469749

p. 1/9

Collegeverklaring informatiebeveiliging DigiD en Suwinet Gemeente Albrandswaard Doel en achtergrond verklaring Met deze verklaring geven wij, het college van burgemeester en wethouders, aan in welke mate de gemeente Albrandswaard voldoet aan de informatiebeveiligingsnormen voor DigiD en Suwinet. Deze verklaring maakt onderdeel uit van de verantwoording over informatiebeveiliging middels ENSIA ( 1 ) en is tot stand gekomen door een zelfevaluatie over informatiebeveiligingsnormen. De inhoud wordt getoetst door een onafhankelijke IT-auditor. De verklaring is bestemd voor de stelselhouders van DigiD en Suwinet, te weten het ministerie van Binnenlandse Zaken en Koninkrijksrelaties en het ministerie van Sociale Zaken en Werkgelegenheid.

Reikwijdte en diepgang verklaring De toetsing gaat over de opzet en het bestaan van de beheersingsmaatregelen om te kunnen voldoen aan de relevante beveiligingsnormen voor DigiD en Suwinet op 31 december 2021. De beheersingsmaatregelen inzake DigiD en Suwinet die zijn uitbesteed aan dienstverlener(s) worden niet getoetst door de auditor. Deze collegeverklaring en de verantwoording van de dienstverlener(s) dekken tezamen de normen inzake DigiD en Suwinet af. Het overzicht van normen [eventuele afwijkingen] en waar deze belegd zijn, is opgenomen in de bijlagen: bijlage 1 DigiD met kenmerk 276070 bijlage 2 Suwinet met kenmerk 276070

Verklaring college Het college verklaart dat voor DigiD en Suwinet aan alle normen wordt voldaan.

(1) ENSIA ondersteunt de gemeente bij de verantwoording over informatiebeveiliging richting de gemeenteraad en de rijksoverheid. ENSIA gaat uit van de Baseline Informatiebeveiliging Overheid (BIO), alsmede van informatiebeveiligingsnormen vanuit Basisregistratie Personen (BRP), wet- en regelgeving reisdocumenten (PUN, PNIK), Digitale persoonsidentificatie (DigiD), Basisregistratie Adressen en Gebouwen (BAG), Basisregistratie Grootschalige Topografie (BGT), Basisregistratie Ondergrond (BRO) en de Gezamenlijke Elektronische Voorzieningen Structuur uitvoeringsorganisatie Werk en Inkomen (GeVS/Suwinet).

p. 2/9

Samenvattend beeld Onderwerp

Wordt aan alle normen voldaan?

Zijn de uitzonderingen in [een] verbeterplan[nen] opgenomen en zijn de verbetermaatregelen belegd en worden deze gemonitord?

DigiD 1003345

Ja

Ja, zie TPM leverancier

Suwinet voor SUWI-taken

Ja

Ja

Suwinet voor niet-SUWI-taken Ja

Niet van toepassing

Albrandswaard, 17 mei 2022 het college van de gemeente Albrandswaard, de secretaris, de burgemeester,

Hans Cats

drs. Jolanda de Witte

handtekening@

Naam auditfirma:

3angles BV

Naam auditor:

Charles Beusenberg

Kenmerk:

2204R.CB25

Datum:

p. 3/9

Gemeentelijk kenmerk bijlage 1 DigiD:

276070

Bijlage 1 DigiD Totaaloverzicht getoetste normen ICT-beveiligingsassessment DigiD-aansluiting Gemeente Albrandswaard – digitaal loket Burgerzaken en aansluitnummer 1003345 Albrandswaard biedt de volgende functionaliteit aan waarvoor DigiD-aansluiting Gemeente Albrandswaard – digitaal loket Burgerzaken voor authenticatie wordt gebruikt:  Doorgeven verhuizing  Wijzigen aanschrijfnaam  Wijzigen geheimhouding  Aangifte overlijden  Aangifte geboorte  Aanvragen uittreksel BRP  Aanvragen afschrift Burgerlijke Stand  Doorgeven vermissing reisdocument  Aangifte huwelijk en partnerschap  Aanvragen reisdocument  Doorgeven emigratie  Doorgeven beschikbaarheid stembureauleden  Aanvragen stempas Deze functionaliteit wordt geboden door de volgende webapplicatie:  eDiensten Burgerzaken Deze applicatie betreft een geheel standaardpakket en wordt onderhouden door Albrandswaard en Centric Nederland B.V..  Deze applicatie is extern benaderbaar via het volgende internetadres: https://edienstenburgerzaken.Albrandswaard.nl DigiD aansluiting Gemeente Albrandswaard – digitaal loket Burgerzaken bevindt zich in de Demilitarized Zone (DMZ). De infrastructuur waar deze applicatie op draait wordt beheerd door Centric Nederland B.V. in de vorm van, fysieke hosting /SAAS. Het object van zelfevaluatie is de web-omgeving van DigiD aansluiting Gemeente Albrandswaard – digitaal loket Burgerzaken.

De zelfevaluatie heeft zich gericht op de webapplicatie, de internetadressen waarmee deze kan worden benaderd, de infrastructuur (binnen de DMZ waar de webapplicatie zich bevindt) en een aantal ondersteunende processen conform de “Norm ICTbeveiligingsassessments DigiD” van Logius. Albrandswaard heeft een deel van de DigiD web-omgeving uitbesteed aan Centric Nederland B.V. Als gevolg hiervan is een aantal maatregelen belegd bij deze serviceorganisatie. Het onderzoeken van deze maatregelen is dan ook uitgevoerd door de IT-auditor van deze serviceorganisatie. De normen waar deze maatregelen betrekking op hebben maken geen onderdeel uit van de zelfevaluatie, tenzij sprake is van een gedeelde norm. Een DigiD-aansluiting dient aan het gehele normenkader te voldoen. Deze zelfevaluatie ENSIA voor DigiD is toegepast op dat deel van het normenkader dat niet onder uitbesteding aan de leverancier van de gemeente valt. De overige normen worden afgedekt door onderstaande van de gemeentelijke serviceorganisatie:

p. 4/9

Leverancier 1 Naam serviceorganisatie:

Centric Nederland B.V.

Referentie/rapportnummer:

REQ6122941NKjb_A

Afgiftedatum:

28 oktober 2021

Naam RE-auditor:

Ir. Peter Kornelisse RE CISA CIPP/e

Ondertekend door RE-auditor:

Ja

Onze IT-auditor heeft tevens getoetst of de zelfevaluatie en de TPM van onze serviceorganisatie het gehele normenkader afdekken. Het kan voorkomen dat een norm deels bij een leverancier en deels bij de gemeente getoetst is (zogenaamde gedeelde norm). De uitkomst uit de zelfevaluatie is getoetst door onze RE-gecertificeerde IT-auditor. De conclusie van de auditor is opgenomen in het Assurance rapport met kenmerk 2204R.CB25. Onderstaande tabel toont de uitkomsten van de zelfevaluatie per norm inclusief de normen die getoetst zijn bij leverancier. DigiD Norm B.05

Getoetst bij Gemeente

Getoetst bij leverancier 1

Totaal oordeel norm

Contractmanagement 

Voldoet



Voldoet



Voldoet

 

Voldoet



Voldoet



Voldoet



Voldoet



Voldoet



Voldoet



Niet van toepassing



Voldoet



Voldoet



Niet van toepassing



Voldoet



Voldoet



Voldoet



Voldoet



Voldoet



Niet van toepassing



Voldoet



Voldoet



Niet van toepassing



Voldoet



Voldoet

U/PW.05 Toegang tot beheermechanismen



Niet van toepassing



Voldoet



Voldoet

U/PW.07 Hardening van platformen



Niet van toepassing



Voldoet



Voldoet

U/TV.01 Identificatie en authenticatie

U/WA.02 Webapplicatiebeheer proces

U/WA.03 Automatische data invoer controle U/WA.04 Normaliseren uitvoer

U/WA.05 Cryptografie/Privacybevordering

U/PW.02 Garanderen webprotocollen

U/PW.03 Configureren webserver

p. 5/9

U/NW.03 DMZ



Niet van toepassing

U/NW.04 Protectie- en detectiemechanismen



Niet van toepassing

U/NW.05 Scheiding beheer- en productieomgeving



Voldoet



Voldoet



Voldoet



Voldoet



Niet van toepassing



Voldoet



Voldoet



Voldoet



Voldoet



Voldoet



Niet van toepassing



Voldoet



Voldoet

Niet van toepassing



Voldoet



Voldoet

Niet van toepassing



Voldoet



Voldoet

Niet van toepassing



Voldoet



Voldoet



Voldoet



Voldoet



Voldoet



Niet van toepassing



Voldoet



Voldoet

U/NW.06 Hardening van netwerken

C.03

C.04

C.06

C.07

C.08

C.09

Vulnerability-assessments

Penetratietesten

Signaleringsfuncties

Monitoring functies







Wijzigingenbeheer

Patchmanagement

Hoeft volgens de gemeente en volgens hoofdstuk “verantwoordelijkheden gebruikersorganisatie” van de TPM van de serviceorganisatie niet bij de gemeente en/of bij leverancier getoetst te worden.

p. 6/9

Gemeentelijk kenmerk bijlage 2 Suwinet:

276070

Bijlage 2 Gebruik van Suwinet Deze bijlage is een afzonderlijk onderdeel van de Collegeverklaring ENSIA 2021 van de gemeente Albrandswaard. Onderwerp van de verklaring is het gebruik van Suwinet. Deze verklaring heeft betrekking op de Verantwoordingsrichtlijn GeVS 2021 welke is gebaseerd op geselecteerde controls uit de Baseline Informatieveiligheid Overheid (BIO). Suwinet-gegevens worden ten behoeve van de dienstverlening aan onze burgers wel door serviceorganisaties verwerkt. Hierbij is de eventuele aanwezigheid van IT-serviceorganisaties in aanmerking genomen. Het college van B en W is als opdrachtgever verantwoordelijk voor de kwaliteit en veiligheid van het gebruik van Suwinet en legt hierover verantwoording af. Albrandswaard heeft een deel van de Suwinet taken en niet-SUWI-taken uitbesteed aan de BAR-organisatie en het Samenwerkingsverband Vastgoedinformatie Heffing en Waardebepaling (SVHW). Als gevolg hiervan is een aantal maatregelen belegd bij deze serviceorganisaties. In de navolgende tabellen is opgenomen of het onderzoeken over het al dan niet voldoen aan deze maatregelen is uitgevoerd door de IT-auditor van deze serviceorganisaties. De controls die betrekking hebben op de taken die belegd zijn bij de serviceorganisatie(s) maken geen onderdeel uit van de zelfevaluatie van onze gemeente, tenzij sprake is van een gedeelde norm.

De zelfevaluatie ENSIA voor Suwinet is toegepast op dat deel van het gebruik en normenkader dat niet onder uitbesteding aan onze serviceorganisaties valt. De overige normen worden afgedekt door onderstaande Third Party Mededeling TPM van onze serviceorganisatie. Leverancier 1 Naam serviceorganisatie:

Samenwerkingsverband Vastgoedinformatie Heffing en Waardebepaling (SVHW)

Referentie/rapportnummer:

20211124 DBA-SVHW Assurance-rapport Suwinet taken

Afgiftedatum:

24 november 2021

Naam RE-auditor:

Frank Kossen RE Drs. M. El Aarbaoui RE

Ondertekend door RE-auditor:

Ja

Gebruik van Suwinet voor SUWI-taken Voor de volgende taken wordt Suwinet op de volgende plaatsen gebruikt: Taak

Organisatie

Participatiewet (Pw)

Binnen de gemeente. De taken worden uitgevoerd door de BAR-organisatie.

Nee/Nee

Inkomensvoorziening voor Oudere Binnen de gemeente. De en gedeeltelijk Arbeidsongeschikte taken worden uitgevoerd door de Werknemers (IOAW) BAR-organisatie.

Nee/Nee

Wet inkomensvoorziening oudere Binnen de gemeente. De en gedeeltelijk arbeidsongeschikte taken worden uitgevoerd door de gewezen zelfstandigen (IOAZ) BAR-organisatie.

Nee/Nee

p. 7/9

TPM/AR

Gebruik van Suwinet voor niet-SUWI-taken Voor de volgende niet-SUWI-taken wordt Suwinet op de volgende plaatsen gebruikt: Taak

Organisatie

Hulp aan vroegtijdig schoolverlaters Niet van toepassing door Regionaal Meld- en Coördinatiecentrum (RMC) Onderzoek loonbeslag door Gemeentelijke Belastingdeurwaarders

Samenwerkingsverband Vastgoedinformatie Heffing en Waardebepaling (SVHW).

Adresonderzoek door Burgerzaken Binnen de gemeente. De taken worden uitgevoerd door de BAR-organisatie.

p. 8/9

TPM/AR Niet van toepassing

TPM -> nee AR -> ja TPM -> Nee AR -> Nee

Naleving BIO-maatregelen Zoals in de Collegeverklaring vermeld, voldoet de gemeente Albrandswaard aan alle interne beheersmaatregelen inzake Suwinet op 31 december 2021 in opzet en bestaan aan de geselecteerde controls.

p. 9/9