Document · PDF

220428 Verantwoording ENSIA inzake Informatiebeveiliging DigiD en Suwinet (384853)

Informatie in de Raad 11 mei 2022, gemeente BaarnBij agendapunt: Verantwoording ENSIA inzake Informatiebeveiliging DigiD en Suwinet3.786 woorden

Open het PDF bij iBabs ↗Naar de vergadering →

Tekst van het document

Uit het bestand gehaald, zonder opmaak, tabellen en afbeeldingen

inlichtingen bij

Eric Hartog

doorkiesnummer

(035) 5481774

Aan de raadsleden en steunfractieleden van de gemeente Baarn

uw kenmerk ons kenmerk

datum portefeuillehouder(s) onderwerp

375489 / 384853

28 april 2022 Wethouder Prakke Verantwoording ENSIA inzake Informatiebeveiliging DigiD en Suwinet

Geachte leden van de raad en steunfractieleden, In het kader van de ENSIA (Eenduidige Normatiek Single Information Audit) hebben er audits plaatsgevonden met betrekking tot het gemeentelijk gebruik van DigiD en Suwinet. Met deze verklaring legt het college van burgemeester en wethouders van de gemeente Baarn verantwoording af over geselecteerde informatiebeveiligingsnormen inzake DigiD en Suwinet op basis van de ENSIA systematiek. De resultaten zijn vastgelegd in verantwoordingsrapportages. ENSIA staat voor Eenduidige Normatiek Single Information Audit en betekent eenmalige informatieverstrekking en eenmalige IT-audit. ENSIA helpt gemeenten om in één keer verantwoording af te leggen over informatieveiligheid gebaseerd op de BIO (Baseline Informatiebeveiliging Overheid). De verantwoordingssystematiek over de Basisregistratie Personen (BRP), Paspoortuitvoeringsregeling (PUN), Digitale persoonsidentificatie (DigiD), Basisregistratie Adressen en Gebouwen (BAG), Inkomen (SUWInet) is samengevoegd en gestroomlijnd. Uitgangspunt van ENSIA is het horizontale verantwoordingsproces aan de gemeenteraad door middel van een collegeverklaring en een assurancerapport. Deze verantwoording vormt de basis voor het verticale verantwoordingsproces aan de nationale partijen die een rol hebben in het toezicht op informatieveiligheid.

Over het verantwoordingsjaar 2021 richt de IT-audit zich op de DigiD-normen en een selectie van de Suwinet-normen. Dit is verwoord in de bijgevoegde collegeverklaring. Met deze verklaring geeft het College van B&W aan in hoeverre bij de gemeente Baarn de beheersingsmaatregelen hebben voldaan aan de voor de ENSIA-verantwoording geselecteerde normen. Een externe IT-auditor controleert vervolgens de collegeverklaring en stelt een assurancerapport op. De collegeverklaring ENSIA wordt gezamenlijk met het Assurancerapport separaat van het Stationsweg 18 Postbus 1003 3740 BA Baarn t (035) 548 16 11 e gemeente@baarn.nl I Voor ons privacybeleid zie www.baarn.nl Bank Nederlandse Gemeenten NL28BNGH0285000594. Bij beantwoording graag datum en kenmerk brief vermelden

gemeentelijk jaarverslag aan de gemeenteraad aangeboden. Daarnaast wordt in de jaarrekening een toelichting gegeven over informatieveiligheid. Collegeverklaring dient als verantwoording aan toezichthouders en gemeenteraad In kader van ENSIA is afgesproken dat het college de collegeverklaring ENSIA 2021 vaststelt en samen met het Assurancerapport als verantwoording voorlegt aan de gemeenteraad; dit in het kader van het horizontaal toezicht. De vastgestelde collegeverklaring moet, in het kader van de verticale verantwoording, voor 1 juni 2022 aan de toezichthouders voorgelegd zijn. Interne beheersingsmaatregelen voldoen geheel aan de geselecteerde normen Kort samengevat zijn de resultaten dat de interne beheersingsmaatregelen in 'opzet en bestaan' geheel voldoen aan de geselecteerde normen voor DigiD en Suwinet. Het gebruik van Suwinet vindt niet plaats binnen de gemeente Baarn. Deze taken zijn uitbesteed aan het Samenwerkingsverband BBS. Het BBS voert de wettelijke SUWI-taken uit; dit betreft de Participatiewet, IOAW en IOAZ. Bij de BBS heeft een onafhankelijk auditor in opdracht van de gemeente onderzocht of wordt voldaan aan de geselecteerde Suwinet normen. De uitbestede taken zijn onderdeel van de Collegeverklaring omdat wij voor de uitbestede taken de volledige verantwoordelijkheid dragen.

Het oordeel van de auditor luidt, voor wat het gebruik van Suwinet betreft, dat wordt voldaan aan alle onderzochte normen.

Met vriendelijke groet, burgemeester en wethouders van Baarn,

drs. C.E. Creveld gemeentesecretaris

Stationsweg 18 Postbus 1003 3740 BA Baarn t (035) 548 16 11 e gemeente@baarn.nl I Voor ons privacybeleid zie www.baarn.nl Bank Nederlandse Gemeenten NL28BNGH0285000594. Bij beantwoording graag datum en kenmerk brief vermelden

M.A. Röell burgemeester

Bijlagen: - 375489 ENSIA Brief Baarn (AAS2021-1146).pdf - 375489 ENSIA Collegeverklaring ENSIA 2021 inzake informatiebeveiliging DigiD en Suwinet.pdf

Gemeente Baarn Voorlopige oordelen en aanbevelingen ENSIA-audit DigiD en Suwinet

Datum brief: 2 december 2021 Briefnummer: AAS2021-1146 Deze brief heeft 12 pagina’s

Gemeente Baarn Ter attentie van Eric Hartog Postbus 1003, 3740 BA Baarn Zoetermeer, 26 november 2021 Onze referentie: AAS2021-1146 Betreft: Voorlopige oordelen en aanbevelingen ENSIA-audit Geachte heer Hartog, beste Eric, Ingevolge de opdracht van het College van burgemeester en wethouders van gemeente Baarn hebben wij in het kader van ENSIA onze audit afgerond met betrekking tot DigiD en Suwinet. Tot ons genoegen kunnen wij u berichten dat deze audits goed zijn verlopen. Hierbij ontvangt u onze voorlopige oordelen en eventuele aanbevelingen. Wij hebben auditwerkzaamheden uitgevoerd op de ICT-beveilingsassessments die betrekking hebben op de volgende onderdelen: -

DigiD Zaaksysteem met aansluitnummer 1000001 en aansluitnaam ‘Zaaksysteem gemeente Baarn’; DigiD VRIS met aansluitnummer 541985 en aansluitnaam ‘Gemeente Baarn2’; Suwi-inkijk gebruikt door serviceorganisatie Gemeenschappelijke Regeling Sociaal domein Baarn, Bunschoten en Soest (BBS) voor de Participatiewet/IOAW/IOAZ;

DigiD Voor DigiD (Zaaksysteem) maakt uw organisatie gebruik van de DigiD-aansluiting 1000001 met kenmerk ‘Zaaksysteem gemeente Baarn’, waarop de Third Party Mededeling (TPM) van IT-auditor Mazars inzake de serviceorganisatie Zaaksysteem.nl betrekking heeft en voor DigiD (VRIS) maakt uw organisatie gebruik van de DigiD-aansluiting 541985 met kenmerk ‘Gemeente Baarn2’, waarop de TPM van onze collega IT-auditor Duijnborgh Audit inzake de serviceorganisatie TOG Nederland B.V. betrekking heeft. Uw gemeente heeft het ICT-beveiligingsassessment van deze DigiD-aansluiting correct uitgevoerd. Suwinet Inzake Suwinet heeft uw gemeente de werkzaamheden uitbesteed aan de serviceorganisatie BBS, die de Suwinet-inkijk functionaliteit gebruikt voor de Participatiewet/IOAW/IOAZ. Het ICT-beveiligingsassessment inzake Suwinet omvat een selectie van 14 BIO-controls. Van deze 14 BIO controls zijn er 12 relevant voor Suwinet Inkijk. De gemeenten zijn eindverantwoordelijk voor de 12 voor suwinet inkijk relevante normen en dienen een toereikende PDCA-cyclus rond de uitbesteding van wettelijke taken aan gemeente Baarn te hebben ingericht. ENSIA Conform de ENSIA-systematiek dient het College van burgemeester en wethouders van gemeente Baarn na 31 december 2021 een collegeverklaring op te stellen op basis van de ENSIA-vragenlijst, waarna wij ons assurancerapport hierbij zullen verstrekken.

In dit assurancerapport zullen wij onze definitieve oordelen rapporteren.

Rapport inzake gemeente Baarn dd. 2 december 2021 AAS2021-1146 ICT-beveiligingsassessment DigiD en Suwinet

Pagina 2 van 12

Oordelen en aanbevelingen Om onze oordelen en de door u ingevulde oordelen in de ENSIA-vragenlijst en bijlagen bij de collegeverklaring in overeenstemming met elkaar te brengen, delen wij u hierbij onze voorlopige oordelen mee. In de bijlagen vindt u per onderdeel een overzicht van onze voorlopige oordelen en mogelijke adviezen die wij voornemens zijn te geven in deze brief. De definitieve oordelen worden opgenomen in ons assurancerapport bij de collegeverklaring.

Accoris Audit Services B.V.

Rapport inzake gemeente Baarn dd. 2 december 2021 AAS2021-1146 ICT-beveiligingsassessment DigiD en Suwinet

Pagina 3 van 12

Bijlage A DigiD Zaaksysteem met aansluitnummer 1000001 In de volgende tabel hebben wij per beveiligingsrichtlijn van de ‘Norm ICT-beveiligingsassessments DigiD versie 2.0’ van Logius een voorlopig oordeel weergegeven over de opzet en het bestaan van de interne beheersingsmaatregelen van gemeente Baarn. Tevens hebben wij indien van toepassing adviezen opgenomen die kunnen worden gebruikt voor verbetering van de informatiebeveiliging met betrekking tot de DigiD-webomgeving. Met VOLDOET is in de navolgende tabel aangegeven dat wij voornemens zijn de interne beheersingsmaatregelen te beoordelen als effectief in opzet en bestaan, met een redelijke mate van zekerheid. Nr

Beschrijving van de beveiligingsrichtlijn

Voorlopig oordeel en adviezen

B.05

In een contract met een derde partij voor de uitbestede levering of beheer van een webapplicatie (als dienst) zijn de beveiligingseisen en -wensen vastgelegd en op het juiste (organisatorische) niveau vastgesteld.

VOLDOET

U/TV.01

De inzet van identiteit- en toegangsmiddelen levert betrouwbare en effectieve mechanismen voor het vastleggen en vaststellen van de identiteit van gebruikers, het toekennen van rechten aan gebruikers, het controleerbaar maken van het gebruik van deze middelen en het automatiseren van arbeidsintensieve taken.

VOLDOET

U/WA.02

Het webapplicatiebeheer is procesmatig en procedureel ingericht, waarbij geautoriseerde beheerders op basis van functieprofielen taken verrichten.

VOLDOET

U/WA.05

De webapplicatie garandeert de betrouwbaarheid van informatie door toepassing van privacybevorderende en cryptografische technieken.

VOLDOET

U/NW.06

Voor het configureren van netwerken is een hardeningsrichtlijn beschikbaar.

VOLDOET

C.08

Wijzigingenbeheer is procesmatig en procedureel zodanig uitgevoerd dat wijzigingen in de ICT-voorzieningen van webapplicaties tijdig, geautoriseerd en getest worden doorgevoerd.

VOLDOET

In de volgende tabel brengen wij de (voorlopige) oordelen samen, op basis van de door ons uitgevoerde werkzaamheden met betrekking tot gemeente Baarn en het rapport Mazars over serviceorganisatie Zaaksysteem.nl (kenmerk ITAA/DIGID/BAAR13102021, 13 oktober 2021), ondertekend door J.H. Matto RE RI & A. Bouazza RE CISA. In de kolommen 1 en 2 worden per richtlijn de na te leven beveiligingsrichtlijnen van de ‘Norm ICTbeveiligingsassessments DigiD’ van Logius opgenomen. In kolom 3 hebben wij de resultaten van ons onderzoek bij gemeente Baarn weergegeven. Rapport inzake gemeente Baarn dd. 2 december 2021 AAS2021-1146 ICT-beveiligingsassessment DigiD en Suwinet

Pagina 4 van 12

Kolom 4 betreft de onderzoeksresultaten van Mazars inzake Zaaksysteem.nl. In kolom 5 hebben wij een samenvatting van de (voorlopige) oordelen van de verschillende assessments opgenomen. Met VOLDOET is aangegeven dat wij (voorlopig) van oordeel zijn, respectievelijk de bovengenoemde auditor van oordeel is, dat de interne beheersingsmaatregelen die verband houden met de op die regel aangegeven beveiligingsrichtlijn in alle materiële opzichten en met een redelijke mate van zekerheid effectief zijn. In het geval dat de richtlijnen volgens de NOREA-handreiking inzake DigiD-assessments specifiek geen betrekking hebben op gemeente Baarn respectievelijk Zaaksysteem.nl, is dit met een *) aangegeven. Nr

Beschrijving van de beveiligingsrichtlijn

(1) B.05

(2) In een contract met een derde partij voor de uitbestede levering of beheer van een webapplicatie (als dienst) zijn de beveiligingseisen en -wensen vastgelegd en op het juiste (organisatorische) niveau vastgesteld. De inzet van identiteit- en toegangsmiddelen levert betrouwbare en effectieve mechanismen voor het vastleggen en vaststellen van de identiteit van gebruikers, het toekennen van rechten aan gebruikers, het controleerbaar maken van het gebruik van deze middelen en het automatiseren van arbeidsintensieve taken. Het webapplicatiebeheer is procesmatig en procedureel ingericht, waarbij geautoriseerde beheerders op basis van functieprofielen taken verrichten. De webapplicatie beperkt de mogelijkheid tot manipulatie door de invoer te normaliseren en te valideren, voordat deze invoer wordt verwerkt. De webapplicatie beperkt de uitvoer tot waarden die (veilig) verwerkt kunnen worden door deze te normaliseren. De webapplicatie garandeert de betrouwbaarheid van informatie door toepassing van privacybevorderende en cryptografische technieken. De webserver garandeert specifieke kenmerken van de inhoud van de protocollen.

U/TV.01

U/WA.02

U/WA.03

U/WA.04 U/WA.05

U/PW.02

Rapport inzake gemeente Baarn dd. 2 december 2021 AAS2021-1146 ICT-beveiligingsassessment DigiD en Suwinet

Voorlopig oordeel Accoris Audit Services BV betreffende gemeente Baarn

Oordeel Mazars betreffende Zaaksysteem. nl

Samenvatting van (voorlopige) oordelen

(3) VOLDOET

(4) VOLDOET

(5) VOLDOET

VOLDOET

Pagina 5 van 12

Voorlopig oordeel Accoris Audit Services BV betreffende gemeente Baarn

Oordeel Mazars betreffende Zaaksysteem. nl

Samenvatting van (voorlopige) oordelen

(2) De webserver is ingericht volgens een configuratie-baseline. Het beheer van platformen maakt gebruik van veilige (communicatie)protocollen voor het ontsluiten van beheermechanismen en wordt uitgevoerd conform het operationeel beleid voor platformen. Voor het configureren van platformen een hardeningsrichtlijn beschikbaar is.

(3) *)

(4) VOLDOET

(5) VOLDOET

VOLDOET

Het netwerk is gescheiden in fysieke en logische domeinen (zones), in het bijzonder is er een DMZ die tussen het interne netwerk en het internet gepositioneerd is. De netwerkcomponenten en het netwerkverkeer worden beschermd door middel van detectie- en protectiemechanismen. Binnen de productieomgeving zijn beheer- en productieverkeer van elkaar afgeschermd.

VOLDOET

U/NW.06

Voor het configureren van netwerken is een hardeningsrichtlijn beschikbaar.

VOLDOET

C.03

Vulnerability assessments (security scans) worden procesmatig en procedureel uitgevoerd op de ICT-componenten van de webapplicatie (scope). Penetratietests worden procesmatig en procedureel, ondersteund door richtlijnen, uitgevoerd op de infrastructuur van de webapplicatie (scope). In de webapplicatieomgeving zijn signaleringsfuncties (registratie en detectie) actief en efficiënt, effectief en beveiligd ingericht. De loggings- en detectie-informatie (registraties en alarmeringen) en de condities van de beveiliging van ICT-systemen worden regelmatig gemonitord (bewaakt, geanalyseerd) en de bevindingen gerapporteerd.

VOLDOET

(1) U/PW.03 U/PW.05

U/PW.07

U/NW.03

U/NW.04

U/NW.05

C.04

C.06

C.07

Beschrijving van de beveiligingsrichtlijn

Rapport inzake gemeente Baarn dd. 2 december 2021 AAS2021-1146 ICT-beveiligingsassessment DigiD en Suwinet

Pagina 6 van 12

Beschrijving van de beveiligingsrichtlijn

Voorlopig oordeel Accoris Audit Services BV betreffende gemeente Baarn

Oordeel Mazars betreffende Zaaksysteem. nl

Samenvatting van (voorlopige) oordelen

(1) C.08

(2) Wijzigingenbeheer is procesmatig en procedureel zodanig uitgevoerd dat wijzigingen in de ICT-voorzieningen van webapplicaties tijdig, geautoriseerd en getest worden doorgevoerd.

(3) VOLDOET

(4) VOLDOET

(5) VOLDOET

C.09

Patchmanagement is procesmatig en procedureel, ondersteund door richtlijnen, zodanig uitgevoerd dat de laatste (beveiligings)patches tijdig zijn geïnstalleerd in de ICT-voorzieningen.

VOLDOET

Rapport inzake gemeente Baarn dd. 2 december 2021 AAS2021-1146 ICT-beveiligingsassessment DigiD en Suwinet

Pagina 7 van 12

Bijlage B DigiD VRIS met aansluitnummer 541985 In de volgende tabel hebben wij per beveiligingsrichtlijn van de ‘Norm ICT-beveiligingsassessments DigiD versie 2.0’ van Logius een voorlopig oordeel weergegeven over de opzet en het bestaan van de interne beheersingsmaatregelen van gemeente Baarn. Tevens hebben wij indien van toepassing adviezen opgenomen die kunnen worden gebruikt voor verbetering van de informatiebeveiliging met betrekking tot de DigiD-webomgeving. Met VOLDOET is in de navolgende tabel aangegeven dat wij voornemens zijn de interne beheersingsmaatregelen te beoordelen als effectief in opzet en bestaan, met een redelijke mate van zekerheid. Nr

Beschrijving van de beveiligingsrichtlijn

Voorlopig oordeel en adviezen

B.05

VOLDOET

U/WA.02

Het webapplicatiebeheer is procesmatig en procedureel ingericht, waarbij geautoriseerde beheerders op basis van functieprofielen taken verrichten.

VOLDOET

U/WA.05

De webapplicatie garandeert de betrouwbaarheid van informatie door toepassing van privacybevorderende en cryptografische technieken.

VOLDOET

U/NW.06

Voor het configureren van netwerken is een hardeningsrichtlijn beschikbaar.

VOLDOET

C.08

Wijzigingenbeheer is procesmatig en procedureel zodanig uitgevoerd dat wijzigingen in de ICT-voorzieningen van webapplicaties tijdig, geautoriseerd en getest worden doorgevoerd.

VOLDOET

In de volgende tabel brengen wij de (voorlopige) oordelen samen, op basis van de door ons uitgevoerde werkzaamheden met betrekking tot gemeente Baarn en het rapport Duijnborgh Audit over serviceorganisatie TOG Nederland (kenmerk 20211008 DBA-TOG-57, 8 oktober 2021), ondertekend door F. Kossen RE en drs. M. El Aarbaoui RE. In de kolommen 1 en 2 worden per richtlijn de na te leven beveiligingsrichtlijnen van de ‘Norm ICTbeveiligingsassessments DigiD’ van Logius opgenomen. In kolom 3 hebben wij de resultaten van ons onderzoek bij gemeente Baarn weergegeven. Kolom 4 betreft de onderzoeksresultaten van Duijnborgh Audit inzake TOG Nederland. In kolom 5 hebben wij een samenvatting van de (voorlopige) oordelen van de verschillende assessments opgenomen.

Rapport inzake gemeente Baarn dd. 2 december 2021 AAS2021-1146 ICT-beveiligingsassessment DigiD en Suwinet

Pagina 8 van 12

Met VOLDOET is aangegeven dat wij (voorlopig) van oordeel zijn, respectievelijk de bovengenoemde auditor van oordeel is, dat de interne beheersingsmaatregelen die verband houden met de op die regel aangegeven beveiligingsrichtlijn in alle materiële opzichten en met een redelijke mate van zekerheid effectief zijn. In het geval dat de richtlijnen volgens de NOREA-handreiking inzake DigiD-assessments specifiek geen betrekking hebben op gemeente Baarn respectievelijk TOG Nederland, is dit met een *) aangegeven. Nr

Beschrijving van de beveiligingsrichtlijn

(1) B.05

U/TV.01

U/WA.02

U/WA.03

U/WA.04 U/WA.05

U/PW.02 U/PW.03

Rapport inzake gemeente Baarn dd. 2 december 2021 AAS2021-1146 ICT-beveiligingsassessment DigiD en Suwinet

Voorlopig oordeel Accoris Audit Services BV betreffende gemeente Baarn

Oordeel Duijnborgh Audit betreffende TOG Nederland

Samenvatting van (voorlopige) oordelen

(3) VOLDOET

(4) VOLDOET

(5) VOLDOET

VOLDOET

Pagina 9 van 12

Voorlopig oordeel Accoris Audit Services BV betreffende gemeente Baarn

Oordeel Duijnborgh Audit betreffende TOG Nederland

Samenvatting van (voorlopige) oordelen

(2) Het beheer van platformen maakt gebruik van veilige (communicatie)protocollen voor het ontsluiten van beheermechanismen en wordt uitgevoerd conform het operationeel beleid voor platformen. Voor het configureren van platformen een hardeningsrichtlijn beschikbaar is.

(3) *)

(4) VOLDOET

(5) VOLDOET

VOLDOET

U/NW.06

Voor het configureren van netwerken is een hardeningsrichtlijn beschikbaar.

VOLDOET

C.03

VOLDOET

(1) U/PW.05

U/PW.07

U/NW.03

U/NW.04

U/NW.05

C.04

C.06

C.07

Beschrijving van de beveiligingsrichtlijn

Rapport inzake gemeente Baarn dd. 2 december 2021 AAS2021-1146 ICT-beveiligingsassessment DigiD en Suwinet

Pagina 10 van 12

Beschrijving van de beveiligingsrichtlijn

Voorlopig oordeel Accoris Audit Services BV betreffende gemeente Baarn

Oordeel Duijnborgh Audit betreffende TOG Nederland

Samenvatting van (voorlopige) oordelen

(1) C.08

(2) Wijzigingenbeheer is procesmatig en procedureel zodanig uitgevoerd dat wijzigingen in de ICT-voorzieningen van webapplicaties tijdig, geautoriseerd en getest worden doorgevoerd.

(3) VOLDOET

(4) VOLDOET

(5) VOLDOET

C.09

Patchmanagement is procesmatig en procedureel, ondersteund door richtlijnen, zodanig uitgevoerd dat de laatste (beveiligings)patches tijdig zijn geïnstalleerd in de ICT-voorzieningen.

VOLDOET

Rapport inzake gemeente Baarn dd. 2 december 2021 AAS2021-1146 ICT-beveiligingsassessment DigiD en Suwinet

Pagina 11 van 12

Bijlage C Suwi-inkijk Op basis van onze TPM over serviceorganisatie BBS (AAS2021-1161, 30 september 2021), ondertekend door J.R. Möhle RE, zijn wij voornemens in het kader van ENSIA geselecteerde richtlijnen te beoordelen met voldoet. Met VOLDOET is in de navolgende tabel aangegeven dat de interne beheersmaatregelen die verband houden met de op die regel aangegeven beveiligingsrichtlijn in alle materiële opzichten en met een redelijke mate van zekerheid effectief te zijn. In het geval dat de richtlijnen volgens de NOREAhandreiking inzake ENSIA-assessments specifiek geen betrekking hebben op gemeente Baarn, is dit met een *) aangegeven. Nr

Beschrijving van de beveiligingsrichtlijn

Oordeel

5.1.1

Beleidsregels voor informatiebeveiliging

VOLDOET

5.1.2

Beoordeling van het informatiebeveiligingsbeleid

VOLDOET

6.1.1

Rollen en verantwoordelijkheden bij informatiebeveiliging

VOLDOET

6.1.2

Scheiding van taken

VOLDOET

7.2.2

VOLDOET

9.2.1

Bewustzijn, opleiding en training ten aanzien van informatiebeveiliging Registratie en afmelden van gebruikers

9.2.2

Gebruikers toegang verlenen

VOLDOET

9.2.5

Beoordeling van toegangsrechten van gebruikers

VOLDOET

9.2.6

Gebruikers toegangsrechten intrekken of aanpassen

VOLDOET

10.1.1

Beleid inzake het gebruik van cryptografische beheersmaatregelen

12.1.1

Gedocumenteerde bedieningsprocedures

VOLDOET

12.4.1

Gebeurtenissen registreren

VOLDOET

12.4.2

Beschermen van informatie in logbestanden

18.1.4

Privacy en bescherming van persoonsgegevens

VOLDOET

Rapport inzake gemeente Baarn dd. 2 december 2021 AAS2021-1146 ICT-beveiligingsassessment DigiD en Suwinet

VOLDOET

Pagina 12 van 12

Gemeentelijk kenmerk collegeverklaring ENSIA: 375489-ENSIA2021

Collegeverklaring informatiebeveiliging DigiD en Suwinet Gemeente Baarn

Gemeentelijk kenmerk collegeverklaring ENSIA: 375489-ENSIA2021

Collegeverklaring informatiebeveiliging DigiD en Suwinet Gemeente Baarn Doel en achtergrond verklaring Met deze verklaring geven wij, het college van burgemeester en wethouders, aan in welke mate gemeente Baarn voldoet aan de informatiebeveiligingsnormen voor DigiD en Suwinet. Deze verklaring maakt onderdeel uit van de verantwoording over informatiebeveiliging middels ENSIA1 en is tot stand gekomen door een zelfevaluatie over informatiebeveiligingsnormen. De inhoud wordt getoetst door een onafhankelijke IT-auditor. De verklaring is bestemd voor de stelselhouders van DigiD en Suwinet, te weten het ministerie van Binnenlandse Zaken en Koninkrijksrelaties en het ministerie van Sociale Zaken en Werkgelegenheid.

Reikwijdte en diepgang verklaring De toetsing gaat over de opzet en het bestaan van de beheersingsmaatregelen om te kunnen voldoen aan de relevante beveiligingsnormen voor DigiD en Suwinet op 31 december 2021. De beheersingsmaatregelen inzake DigiD en Suwinet die zijn uitbesteed aan dienstverlener(s) worden getoetst door de auditor van de dienstverlener(s). Deze collegeverklaring en de verantwoording van de dienstverlener(s) dekken tezamen de normen inzake DigiD en Suwinet af. Het overzicht van normen en waar deze belegd zijn, is opgenomen in de bijlagen: • Bijlage 1 DigiD met kenmerk 375489-ENSIA2021-DigiD. • Bijlage 2 Suwinet met kenmerk 375489-ENSIA2021-Suwinet.

Verklaring college Het college verklaart dat bij gemeente Baarn op 31 december 2021 de beheersingsmaatregelen (in opzet en bestaan) voldoen aan de geselecteerde normen inzake DigiD en Suwinet.

1 ENSIA ondersteunt de gemeente bij de verantwoording over informatiebeveiliging richting de gemeenteraad en de rijksoverheid.

ENSIA gaat uit van de Baseline Informatiebeveiliging Overheid (BIO), alsmede van informatiebeveiligingsnormen vanuit Basisregistratie Personen (BRP), wet- en regelgeving reisdocumenten (PUN, PNIK), Digitale persoonsidentificatie (DigiD), Basisregistratie Adressen en Gebouwen (BAG), Basisregistratie Grootschalige Topografie (BGT), Basisregistratie Ondergrond (BRO), de Gezamenlijke Elektronische Voorzieningen Structuur uitvoeringsorganisatie Werk en Inkomen (GeVS/Suwinet) en de Wet Onroerende Zaken (WOZ).

Gemeentelijk kenmerk collegeverklaring ENSIA: 375489-ENSIA2021

Samenvattend beeld

Onderwerp DigiD 541985

Wordt aan alle normen voldaan? Ja

Zijn de uitzonderingen in een verbeterplan opgenomen en zijn de verbetermaatregelen belegd en worden deze gemonitord? Nee

DigiD 1000001

Nee

Suwinet voor SUWI-taken Suwinet voor niet-SUWI-taken

Ja Niet van toepassing

Nee Niet van toepassing

Baarn, 30 maart 2021 College van B&W gemeente Baarn

De tekst is automatisch uit het bestand gehaald en kan afwijken van het origineel (kolommen, tabellen en koppen lopen door elkaar). Het officiële stuk bij iBabs is leidend. Bron: https://api.notubiz.nl/document/11455704/1