230406 Verantwoording ENSIA inzake Informatiebeveiliging DigiD en Suwinet (729066) Beantwoording technische vraag VoorBaarn

Memo Aan Onderwerp Portefeuillehouder Datum

: Gemeenteraad Baarn : Technische vragen over RIB Verantwoording ENSIA inzake Informatiebeveiliging DigiD en Suwinet : H. Prakke : 15-05-2023

Geachte raadsleden en steunfractieleden, De fractie van VoorBaarn heeft een technische vraag gesteld over RIB Verantwoording ENSIA inzake Informatiebeveiliging DigiD en Suwinet. Hieronder vindt u de antwoorden. Vraag: Er wordt in het rapport gesproken over de aansluithouder. Wie is dit? De Gemeente Baarn of de TOG Nederland B.V. Deze is gevrijwaard van o.a een Pentest. Klopt dit en moet dit niet juist ook daar getoetst worden? Verder is de waardering voldoende als goed beschouwd, is dit goed of zit hier nog een onder en bovenkant aan vast?

Antwoord: De gemeente Baarn is de aansluithouder van de DigiD aansluitingen welke we hebben voor de Vris applicatie. De leverancier van de applicatie wordt jaarlijks geaudit op hun informatie beveiliging en daarvoor wordt een TPM rapport afgegeven. Een Third Party Memorandum (TPM) is een verklaring die wordt afgegeven door een onafhankelijke auditpartij. De verklaring heeft betrekking op de kwaliteit van de ICT-dienstverlening en beheersing van een organisatie. Daarnaast is de gemeente Baarn onderdeel van het RID(Regionale Informatie Dienst Utrecht). Het RID is de partij die voor de gemeente Baarn de ICT regelt. Bij het RID vind jaarlijks een pentest plaats. Met betrekking tot de vraag dat de waardering voldoende als goed wordt beschouwt kunnen we stellen dat we de VRIS applicatie en de veiligheid van de informatie voldoet aan alle eisen. Was dat niet het geval zou de leverancier (TOG-Nederland) geen TPM ontvangen van hun auditor. We kunnen dus stellen dat de waardering goed is. Ik ga er van uit u hiermee voldoende te hebben geïnformeerd. Met vriendelijke groet, Hugo Prakke Wethouder

1