Collegeverklaring informatiebeveiliging Suwinet 2021 incl verantwoordingsrapportage.pdf

Collegeverklaring informatiebeveiliging Suwinet 2021 Kenmerk: VN2022-008047 Classificatie: Openbaar

Doel en achtergrond verklaring Met deze verklaring geven wij, het college van burgemeester en wethouders, aan in welke mate Gemeente Amsterdam voldoet aan de informatiebeveiligingsnormen voor Suwinet. Deze verklaring maakt onderdeel uit van de verantwoording over informatiebeveiliging middels ENSIA en is tot stand gekomen door een zelfevaluatie over informatiebeveiligingsnormen. De inhoud wordt getoetst door een onafhankelijke IT-auditor. De verklaring is bestemd voor de stelselhouders van Suwinet, te weten het ministerie van Sociale Zaken en Werkgelegenheid.

Reikwijdte en diepgang verklaring De toetsing gaat over de opzet en het bestaan van de beheersingsmaatregelen om te kunnen voldoen aan de relevante beveiligingsnormen voor Suwinet op 31 december 2021. De beheersingsmaatregelen inzake Suwinet die zijn uitbesteed aan dienstverlener(s) worden niet getoetst door de auditor. Deze collegeverklaring en de verantwoording van de dienstverlener(s) dekken tezamen de normen inzake Suwinet af. Het overzicht van normen en eventuele afwijkingen en waar deze belegd zijn, is opgenomen in de bijlagen: · Bijlage Verantwoordingsrapportage Suwinet met kenmerk VN2022-008047.

Verklaring college Het college verklaart dat voor Suwinet niet aan alle normen wordt voldaan. Wij hebben een verbeterplan opgesteld om aan de normen te voldoen, de acties zijn belegd en worden gemonitord.

Samenvattend beeld Onderwerp

Wordt aan alle normen voldaan?

Zijn de uitzonderingen in verbeterplannen opgenomen en zijn de verbetermaatregelen belegd en worden deze gemonitord?

Suwinet voor SUWI-taken

Nee

Ja

Suwinet voor niet-SUWI-taken

Ja

Niet van toepassing

Amsterdam, 19 april 2022 College van B&W gemeente Amsterdam

Femke Halsema burgemeester

Peter Teesink gemeentesecretaris

ir. drs. D.J.A. Koot, RI RE cn=ir. drs. D.J.A. Koot, RI RE, o=Inergy Auditservices, email=daan.koot@inergy.nl, c=NL Ik verklaar dat de inhoud van dit document nauwkeurig en volledig is 2022.04.20 12:44:32 +02'00'

Bijlage bij de collegeverklaring ENSIA 2021 VN2022-008047 Classificatie: Openbaar

ir. drs. D.J.A. Koot, RI RE cn=ir. drs. D.J.A. Koot, RI RE, o=Inergy Auditservices, email=daan.koot@inergy.nl, c=NL Ik verklaar dat de inhoud van dit document nauwkeurig en volledig is 2022.04.20 12:43:25 +02'00'

Gemeentelijk kenmerk bijlage 1 Verantwoordingsrapportage Suwinet:

VN2022-008047

Gebruik van Suwinet Deze bijlage is een afzonderlijk onderdeel van de Collegeverklaring ENSIA 2021 van de gemeente Amsterdam. Onderwerp van de verklaring is het gebruik van Suwinet. Deze verklaring heeft betrekking op de Verantwoordingsrichtlijn GeVS 2020 welke is gebaseerd op geselecteerde controls uit de Baseline Informatieveiligheid Overheid (BIO). Suwinet-gegevens worden ten behoeve van de dienstverlening aan onze burgers door de serviceorganisatie Wigo4it verwerkt. Het college van B en W is als opdrachtgever verantwoordelijk voor de kwaliteit en veiligheid van het gebruik van Suwinet en legt hierover verantwoording af. Amsterdam heeft een deel van de Suwinet-taken uitbesteed aan Wigo4it. Als gevolg hiervan is een aantal maatregelen belegd bij deze serviceorganisatie. In de navolgende tabellen is opgenomen of het onderzoeken over het al dan niet voldoen aan deze maatregelen is uitgevoerd door de IT-auditor van deze serviceorganisatie. De controls die betrekking hebben op de taken die belegd zijn bij de serviceorganisatie maken geen onderdeel uit van de zelfevaluatie van onze gemeente, tenzij sprake is van een gedeelde norm. De zelfevaluatie ENSIA voor Suwinet is toegepast op dat deel van het gebruik en normenkader dat niet onder uitbesteding aan onze serviceorganisatie valt.

De overige normen worden afgedekt door onderstaande Third Party Mededeling (TPM) van onze serviceorganisatie. Samenwerkingsverband Naam serviceorganisatie:

Wigo4it

Referentie/rapportnummer:

AAS2021-1098 en AAS2021-1099

Afgiftedatum:

29 oktober 2021 en 15 december 2021

Naam RE-auditor:

N.M. van der Meij RE

Ondertekend door RE-auditor:

Ja

Bijlage bij de collegeverklaring ENSIA 2021 VN2022-008047 Classificatie: Openbaar

Gebruik van Suwinet voor SUWI-taken Voor de volgende taken wordt Suwinet op de volgende plaatsen gebruikt: Taak

Organisatie

TPM

Participatiewet (Pw)

Binnen de gemeente en samenwerkingsverband Wigo4it

Ja

Inkomensvoorziening voor Oudere en Binnen de gemeente en gedeeltelijk Arbeidsongeschikte samenwerkingsverband Wigo4it Werknemers (IOAW)

Ja

Wet inkomensvoorziening oudere en gedeeltelijk arbeidsongeschikte gewezen zelfstandigen (IOAZ)

Ja

Binnen de gemeente en samenwerkingsverband Wigo4it

Gebruik van Suwinet voor niet-SUWI-taken Voor de volgende niet-SUWI-taken wordt Suwinet op de volgende plaatsen gebruikt: Taak

Organisatie

Hulp aan vroegtijdig schoolverlaters door Regionaal Meld- en Coördinatiecentrum (RMC)

RMC-regio Agglomeratie Amsterdam

TPM n.v.t.

Onderzoek loonbeslag door Binnen de gemeente gemeentelijk belastingdeurwaarders

n.v.t.

Adresonderzoek door Burgerzaken

n.v.t.

Binnen de gemeente

Bijlage bij de collegeverklaring ENSIA 2021 VN2022-008047 Classificatie: Openbaar

Gebruik van Suwinet voor gemeentelijke regelingen1 Voor de volgende specifieke taken wordt Suwinet op de volgende plaatsen gebruikt:

Taak

Organisatie

TPM

Wet Maatschappelijke Ondersteuning, te weten de Regeling Tegemoetkoming Meerkosten

Binnen de gemeente

N.v.t.

Gemeentewet2, art. 108, te weten de Stadspas en gratis OV voor ouderen;

Binnen de gemeente

N.v.t.

Tegemoetkoming aanvullend openbaar vervoer, OV voor mantelzorgers

Binnen de gemeente

N.v.t.

Naleving BIO-maatregelen Met uitzondering van de volgende maatregelen voldoen de interne beheersingsmaatregelen voor de SUWI-taken op 31 december 2021 in opzet en bestaan aan de doelstellingen uit de verantwoordingsrichtlijn GeVS 2020.

1

Organisatie

SUWI-taak

BIO-maatregel

Applicatie

Binnen de gemeente

Participatiewet 12.4.1 - Logbestanden van Suwinet gebeurtenissen en gebruikersactiviteiten, DKDuitzonderingen en Inlezen informatiebeveiligingsgebeurtenissen registreren, behoren te worden gemaakt, bewaard en regelmatig te worden beoordeeld. 12.4.2 – Logfaciliteiten en informatie in logbestanden behoren te worden beschermd tegen vervalsing en onbevoegde toegang.

Het gebruik van deze inkijkfunctie van Suwinet is geen onderdeel van de Participatiewet; daardoor ontbreekt de wettelijke grondslag