07 Verantwoordingsrapportage bij het gebruik van Suwinet 2023.pdf

ENSIA-verantwoording 2023 - Bijlage bij het gebruik van Suwinet Kenmerk: AD2024-022541 Classificatie: Openbaar Deze bijlage is een afzonderlijk onderdeel van de collegeverklaring ENSIA Suwinet 2023 van de gemeente Amsterdam. Onderwerp van de verklaring is het gebruik van Suwinet. Deze verklaring heeft betrekking op de Verantwoordingsrichtlijn GeVS 2022 die is gebaseerd op geselecteerde controls uit de Baseline Informatieveiligheid Overheid (BIO). Suwinet-gegevens worden ten behoeve van de dienstverlening aan onze burgers door de serviceorganisatie Wigo4it verwerkt. Het college van B en W is als opdrachtgever verantwoordelijk voor de kwaliteit en veiligheid van het gebruik van Suwinet en legt hierover verantwoording af. Gemeente Amsterdam heeft een deel van de Suwinet-taken uitbesteed aan Wigo4it. Als gevolg hiervan is een aantal maatregelen belegd bij deze serviceorganisatie. In de navolgende tabellen is opgenomen of het onderzoeken over het al dan niet voldoen aan deze maatregelen is uitgevoerd door de IT-auditor van deze serviceorganisatie. De controls die betrekking hebben op de taken die belegd zijn bij de serviceorganisatie maken geen onderdeel uit van de zelfevaluatie van onze gemeente, tenzij sprake is van een gedeelde norm. De zelfevaluatie ENSIA voor Suwinet is toegepast op dat deel van het gebruik en normenkader dat niet onder uitbesteding aan Wigo4it valt.

De overige normen worden afgedekt door onderstaande Third Party Mededeling (TPM) van Wigo4it.

Samenwerkingsverband Naam serviceorganisatie:

Wigo4it

Referentie/rapportnummer:

AA2023-1736

Afgiftedatum:

30 november 2023

Naam RE-auditor:

P.C.M. Holierhoek RE RA

Ondertekend door RE-auditor:

Ja

Gemeente Amsterdam

Pagina 2 van 4

Gebruik van Suwinet voor SUWI-taken Voor de volgende taken wordt Suwinet op de volgende plaatsen gebruikt:

Taak

Organisatie

TPM

Participatiewet (Pw)

Binnend de gemeente en samenwerkingsverband Wigo4it

Ja

Inkomensvoorziening voor Oudere en gedeeltelijk Arbeidsongeschikte Werknemers (IOAW)

Binnend de gemeente en samenwerkingsverband Wigo4it

Ja

Wet inkomensvoorziening oudere en gedeeltelijk arbeidsongeschikte gewezen zelfstandigen (IOAZ)

Binnend de gemeente en samenwerkingsverband Wigo4it

Ja

Wet gemeentelijke schuldhulpverlening (Wgs)

Niet van toepassing

Niet van toepassing

Gebruik van Suwinet voor niet-SUWI-taken Voor de volgende niet-SUWI-taken wordt Suwinet op de volgende plaatsen gebruikt:

Taak

Organisatie

TPM

Hulp aan voortijdig schoolverlaters door Doorstroompuntregio Agglomeratie het Doorstroompunt (RMC) Amsterdam

Niet van toepassing

Onderzoek loonbeslag door Gemeentelijke Belastingdeurwaarders

Binnen de gemeente

Niet van toepassing

Adresonderzoek door Burgerzaken

Binnen de gemeente

Niet van toepassing

Gebruik van Suwinet voor Gemeentelijke Regelingen1 Voor de volgende gemeentelijke regelingen wordt Suwinet op de volgende plaatsen gebruikt:

Taak

TPM

Wet Maatschappelijke Ondersteuning, Binnen de gemeente te weten de Regeling Tegemoetkoming Meerkosten

Niet van toepassing

Binnen de gemeente

Niet van toepassing

Tegemoetkoming aanvullend openbaar Binnen de gemeente vervoer, OV voor mantelzorgers

Niet van toepassing

Gemeentewet2, art. 108, te weten de Stadspas en gratis OV voor ouderen

1

Organisatie

Het gebruik van deze inkijkfunctie van Suwinet is geen onderdeel van de Participatiewet of valt niet strikt binnen de kaders van de Participatiewet; daardoor ontbreekt de wettelijke grondslag

Gemeente Amsterdam

Pagina 3 van 4

Naleving BIO-maatregelen Met uitzondering van de volgende BIO-maatregelen voldoen de interne beheersingsmaatregelen voor de Suwi-taken in opzet en bestaan aan alle geselecteerde normen: Organisatie SUWI-taak Binnen de gemeente

Applicatie

Taken vallend onder 7.2.2.2 Alle medewerkers en contractanten Suwinet-Inkijk de Participatiewet, die gebruikmaken van de Inkomensvoorziening informatiesystemen en -diensten hebben voor Oudere en binnen drie maanden na indiensttreding gedeeltelijk een training I-bewustzijn succesvol Arbeidsongeschikte gevolgd. Werknemers (IOAW), 9.2.2.3 Er is een actueel mandaatregister of Wet er zijn functieprofielen waaruit blijkt welke inkomensvoorziening personen bevoegdheden hebben voor het oudere en verlenen van toegangsrechten. gedeeltelijk 9.2.5.2 De opvolging van bevindingen is arbeidsongeschikte gedocumenteerd en wordt behandeld als gewezen beveiligingsincident. zelfstandigen (IOAZ)

Organisatie SUWI-taak Binnen de gemeente

BIO-maatregel

BIO-maatregel

Applicatie

Taken vallend onder 7.2.2.2 Alle medewerkers en contractanten Suwinetde Participatiewet, die gebruikmaken van de Inlezen Inkomensvoorziening informatiesystemen en -diensten hebben voor Oudere en binnen drie maanden na indiensttreding gedeeltelijk een training I-bewustzijn succesvol Arbeidsongeschikte gevolgd. Werknemers (IOAW), 9.2.5.2 De opvolging van bevindingen is Wet gedocumenteerd en wordt behandeld als inkomensvoorziening beveiligingsincident. oudere en 10.1.1 Beleid inzake het gebruik van gedeeltelijk cryptografische beheersmaatregelen. arbeidsongeschikte gewezen zelfstandigen (IOAZ)

Gemeente Amsterdam

Pagina 4 van 4

Met uitzondering van de volgende BIO-maatregelen voldoen de interne beheersingsmaatregelen voor de niet-Suwi-taken in opzet en bestaan aan alle geselecteerde normen: Organisatie Niet-SUWI-taak

BIO-maatregel

Binnen de gemeente

7.2.2.2 Alle medewerkers en contractanten Suwinet-Inkijk die gebruikmaken van de informatiesystemen en -diensten hebben binnen drie maanden na indiensttreding een training I-bewustzijn succesvol gevolgd.

Hulp aan voortijdig schoolverlaters door het Doorstroompunt (RMC)

Applicatie

9.2.5.2 De opvolging van bevindingen is gedocumenteerd en wordt behandeld als beveiligingsincident.

Organisatie Niet-SUWI-taak Binnen de gemeente

BIO-maatregel

Adresonderzoek 6.1.2.1 Er zijn maatregelen getroffen die door Burgerzaken onbedoelde of ongeautoriseerde toegang tot bedrijfsmiddelen waarnemen of voorkomen. 9.2.1.1 Er is een sluitende formele registratieen afmeldprocedure voor het beheren van gebruikersidentificaties. 9.2.2.1 Er is uitsluitend toegang verleend tot informatiesystemen na autorisatie door een bevoegde functionaris. 9.2.2.3 Er is een actueel mandaatregister of er zijn functieprofielen waaruit blijkt welke personen bevoegdheden hebben voor het verlenen van toegangsrechten. 9.2.5.2 De opvolging van bevindingen is gedocumenteerd en wordt behandeld als beveiligingsincident. 9.2.5.3 Alle uitgegeven toegangsrechten worden minimaal eenmaal per halfjaar beoordeeld. 18.1.4.2 Organisaties controleren regelmatig de naleving van de privacyregels en informatieverwerking en -procedures binnen hun verantwoordelijkheidsgebied aan de hand van de desbetreffende beleidsregels, normen en andere eisen betreffende beveiliging.

Applicatie Suwinet-Inkijk