Document · PDF

230406 Verantwoording ENSIA inzake Informatiebeveiliging DigiD en Suwinet (729066)

Informatie in de Raad 10 mei 2023, gemeente BaarnBij agendapunt: Verantwoording ENSIA inzake Informatiebeveiliging DigiD en Suwinet2.776 woorden

Open het PDF bij iBabs ↗Naar de vergadering →

Tekst van het document

Uit het bestand gehaald, zonder opmaak, tabellen en afbeeldingen

inlichtingen bij

doorkiesnummer

Mariëlle Visser-Copier

Aan de raadsleden en steunfractieleden van de gemeente Baarn

(035) 548 17 86

uw kenmerk ons kenmerk

datum portefeuillehouder(s) onderwerp

674847 / 729066

6 april 2023 Wethouder Prakke Verantwoording ENSIA inzake Informatiebeveiliging DigiD en Suwinet

Geachte leden van de raad en steunfractieleden, In het kader van de ENSIA (Eenduidige Normatiek Single Information Audit) hebben er audits plaatsgevonden met betrekking tot het gemeentelijk gebruik van DigiD en Suwinet. Met deze verklaring legt het college van burgemeester en wethouders van de gemeente Baarn verantwoording af over geselecteerde informatiebeveiligingsnormen inzake DigiD en Suwinet op basis van de ENSIA systematiek. De resultaten zijn vastgelegd in verantwoordingsrapportages. ENSIA staat voor Eenduidige Normatiek Single Information Audit en betekent eenmalige informatieverstrekking en eenmalige IT-audit. ENSIA helpt gemeenten om in één keer verantwoording af te leggen over informatieveiligheid gebaseerd op de BIO (Baseline Informatiebeveiliging Overheid). De verantwoordingssystematiek over de Basisregistratie Personen (BRP), Paspoortuitvoeringsregeling (PUN), Digitale persoonsidentificatie (DigiD), Basisregistratie Adressen en Gebouwen (BAG), Inkomen (SUWInet) is samengevoegd en gestroomlijnd. Uitgangspunt van ENSIA is het horizontale verantwoordingsproces aan de gemeenteraad door middel van een collegeverklaring en een assurancerapport. Deze verantwoording vormt de basis voor het verticale verantwoordingsproces aan de nationale partijen die een rol hebben in het toezicht op informatieveiligheid.

Over het verantwoordingsjaar 2022 richt de IT-audit zich op de DigiD-normen en een selectie van de Suwinetnormen. Dit is verwoord in de bijgevoegde collegeverklaring. Met deze verklaring geeft het College van B&W aan in hoeverre bij de gemeente Baarn de beheersingsmaatregelen hebben voldaan aan de voor de ENSIAverantwoording geselecteerde normen. Een externe IT-auditor controleert vervolgens de collegeverklaring en stelt een assurancerapport op. De collegeverklaring ENSIA wordt gezamenlijk met het Assurancerapport separaat van het gemeentelijk

Stationsweg 18 Postbus 1003 3740 BA Baarn t (035) 548 16 11 e gemeente@baarn.nl I Voor ons privacybeleid zie www.baarn.nl Bank Nederlandse Gemeenten NL28BNGH0285000594. Bij beantwoording graag datum en kenmerk brief vermelden

jaarverslag aan de gemeenteraad aangeboden. Daarnaast wordt in de jaarrekening een toelichting gegeven over informatieveiligheid. Collegeverklaring dient als verantwoording aan toezichthouders en gemeenteraad In het kader van ENSIA is afgesproken dat het college de collegeverklaring ENSIA 2022 vaststelt en samen met het Assurancerapport als verantwoording voorlegt aan de gemeenteraad; dit in het kader van het horizontaal toezicht. De vastgestelde collegeverklaring moet, in het kader van de verticale verantwoording, voor 1 juni 2023 aan de toezichthouders voorgelegd zijn. Interne beheersingsmaatregelen voldoen geheel aan de geselecteerde normen Kort samengevat zijn de resultaten dat de interne beheersingsmaatregelen in 'opzet en bestaan' geheel voldoen aan de geselecteerde normen voor DigiD en Suwinet. Het gebruik van Suwinet vindt niet plaats binnen de gemeente Baarn. Deze taken zijn uitbesteed aan het Samenwerkingsverband BBS. Het BBS voert de wettelijke SUWI-taken uit; dit betreft de Participatiewet, IOAW en IOAZ. Bij de BBS heeft een onafhankelijk auditor in opdracht van de gemeente onderzocht of wordt voldaan aan de geselecteerde Suwinet normen. De uitbestede taken zijn onderdeel van de Collegeverklaring omdat wij voor de uitbestede taken de volledige verantwoordelijkheid dragen.

Het oordeel van de auditor luidt, voor wat het gebruik van Suwinet betreft, dat wordt voldaan aan alle onderzochte normen. Met vriendelijke groet, burgemeester en wethouders van Baarn,

drs. C.E. Creveld gemeentesecretaris

M.A. Röell burgemeester

Bijlagen: ● 674847 - Collegeverklaring ENSIA 2022 DigiD en Suwinet ● 674847 - Collegeverklaring ENSIA 2022 DigiD en Suwinet (Bijlage1A-DigiD 541985) ● 674847 - Collegeverklaring ENSIA 2022 DigiD en Suwinet (Bijlage1B-DigiD 1000001) ● 674847 - Collegeverklaring ENSIA 2022 DigiD en Suwinet (Bijlage2-Suwinet)

Collegeverklaring informatiebeveiliging DigiD en Suwinet Gemeente Baarn

1/3

Gemeentelijk kenmerk collegeverklaring ENSIA: 674847-ENSIA2022

Collegeverklaring informatiebeveiliging DigiD en Suwinet Gemeente Baarn Doel en achtergrond verklaring Met deze verklaring geven wij, het college van burgemeester en wethouders, aan in welke mate gemeente Baarn voldoet aan de informatiebeveiligingsnormen voor DigiD en Suwinet. Deze verklaring maakt onderdeel uit van de verantwoording over informatiebeveiliging middels ENSIA 1 en is tot stand gekomen door een zelfevaluatie over informatiebeveiligingsnormen. De inhoud wordt getoetst door een onafhankelijke IT-auditor. De verklaring is bestemd voor de stelselhouders van DigiD en Suwinet, te weten het ministerie van Binnenlandse Zaken en Koninkrijksrelaties en het ministerie van Sociale Zaken en Werkgelegenheid.

Reikwijdte en diepgang verklaring De toetsing gaat over de opzet en het bestaan van de beheersingsmaatregelen om te kunnen voldoen aan de relevante beveiligingsnormen voor DigiD en Suwinet op 31 december 2022. De beheersingsmaatregelen inzake DigiD en Suwinet die zijn uitbesteed aan dienstverlener(s) worden getoetst door de auditor van de dienstverlener(s). Deze collegeverklaring en de verantwoording van de dienstverlener(s) dekken tezamen de normen inzake DigiD en Suwinet af. Het overzicht van normen en waar deze belegd zijn, zijn opgenomen in de bijlagen:  Bijlage 1 DigiD met kenmerk 674847-ENSIA2022-DigiD  Bijlage 2 Suwinet met kenmerk 674847-ENSIA2022-Suwinet

Verklaring college Het college verklaart dat bij gemeente Baarn op 31 december 2022 de beheersingsmaatregelen (in opzet en bestaan) voldoen aan de geselecteerde normen inzake DigiD en Suwinet

ENSIA ondersteunt de gemeente bij de verantwoording over informatiebeveiliging richting de gemeenteraad en de rijksoverheid. ENSIA gaat uit van de Baseline Informatiebeveiliging Overheid (BIO), alsmede van informatiebeveiligingsnormen vanuit Basisregistratie Personen (BRP), wet- en regelgeving reisdocumenten (PUN, PNIK), Digitale persoonsidentificatie (DigiD), Basisregistratie Adressen en Gebouwen (BAG), Basisregistratie Grootschalige Topografie (BGT), Basisregistratie Ondergrond (BRO), de Gezamenlijke Elektronische Voorzieningen Structuur uitvoeringsorganisatie Werk en Inkomen (GeVS/Suwinet) en de Wet Onroerende Zaken (WOZ).

Gemeentelijk kenmerk collegeverklaring ENSIA: 674847-ENSIA2022

Samenvattend beeld

Onderwerp DigiD 541985 DigiD 1000001 Suwinet voor SUWI-taken Suwinet voor niet-SUWI-taken

Wordt aan alle normen voldaan? Ja Ja Ja Niet van toepassing

Baarn, College van B&W gemeente Baarn

Drs. C.E. Creveld gemeentesecretaris

M.A. Röell burgemeester

Zijn de uitzonderingen in een verbeterplan opgenomen en zijn de verbetermaatregelen belegd en worden deze gemonitord? Niet van toepassing Niet van toepassing Niet van toepassing Niet van toepassing

Gemeentelijk kenmerk bijlage 1 DigiD: 674847-ENSIA2022-DigiD

Naam auditfirma:

Accoris Audit Services B.V.

Naam auditor:

J.L.C. Holierhoek RE

Datum :

Bijlage 1 DigiD (1) - Gemeente Baarn2 - 541985 Totaaloverzicht getoetste normen ICT-beveiligingsassessment DigiD-aansluiting Gemeente Baarn2 met aansluitnummer 541985 Gemeente Baarn biedt de volgende functionaliteit aan waarvoor DigiD-aansluiting Gemeente Baarn2 voor authenticatie wordt gebruikt:  Het VRiS E-loket biedt de mogelijkheid om de WOZ-gegevens van particulieren op te vragen en bezwaar in te dienen bij de betreffende gemeente Deze functionaliteit wordt geboden door de volgende webapplicatie:  VRiS E-Loket

Deze applicatie betreft een geheel standaardpakket en wordt onderhouden door Tog Nederland B.V. Deze applicatie is extern benaderbaar via het volgende internetadres(sen): https://www.woz-portaal.baarn.nl/ DigiD-aansluiting Gemeente Baarn2 bevindt zich in de Demilitarized Zone (DMZ). De infrastructuur waar deze applicatie op draait, wordt beheerd door Tog nederland B.V. in de vorm van SaaS. Het object van zelfevaluatie is de webapplicatie van DigiD-aansluiting Gemeent baarn 2. De zelfevaluatie heeft zich gericht op de internet-facing webpagina’s waarmee de interactie naar de gebruiker plaatsvindt nadat deze is geïdentificeerd en geauthentiseerd via DigiD, de systeemkoppelingen, de infrastructuur die met DigiD gekoppeld is en betrekking heeft op het DigiD identificatie en authenticatieproces en de verschillende vormen van beheer op de webapplicatie voor zover relevant voor de doelstelling van de audit. Gemeente Baarn heeft een deel van de DigiD web-omgeving uitbesteed aan Tog nederland B.V. Als gevolg hiervan is een aantal maatregelen belegd bij deze serviceorganisatie(s). Het onderzoeken van deze maatregelen is dan ook uitgevoerd door de IT-auditor van deze serviceorganisatie(s). De normen waar deze maatregelen betrekking op hebben maken geen onderdeel uit van de zelfevaluatie, tenzij sprake is van een gedeelde norm.

Een DigiD-aansluiting dient aan het gehele normenkader te voldoen. Deze zelfevaluatie ENSIA voor DigiD is toegepast op dat deel van het normenkader dat niet onder uitbesteding aan de leverancier(s) van de gemeente valt. De overige normen worden afgedekt door onderstaande TPM / assurancerapportage van de leverancier(s): SaaS-leverancier Naam serviceorganisatie:

Tog Nederland B.V.

Referentie/rapportnummer:

20221024 DBA-Tog DigiD VRiS E-loket Baarn

Afgiftedatum:

24 oktober 2022

1/2

Gemeentelijk kenmerk bijlage 1 DigiD: 674847-ENSIA2022-DigiD

SaaS-leverancier Naam RE-auditor:

F. Kossen RE

Ondertekend door RE-auditor:

Onze IT-auditor heeft tevens getoetst of de zelfevaluatie en de TPM’s / assurancerapportage(s) van onze leverancier(s) het gehele normenkader afdekken. Het kan voorkomen dat een norm deels bij een leverancier en deels bij de gemeente getoetst is (zogenaamde gedeelde norm). De uitkomst uit de zelfevaluatie is getoetst door onze RE-gecertificeerde IT-auditor. De conclusie van de auditor is opgenomen in het assurancerapport met kenmerk AAS2022-1459 Onderstaande tabel toont de uitkomsten van de zelfevaluatie per norm inclusief de normen die getoetst zijn bij leverancier(s).

DigiD-norm

Getoetst bij aansluithouder

Getoetst bij SaaSleverancier

Totaaloordeel norm

B.01

Informatiebeveiligingsbeleid

Voldoet

B.05

Contractmanagement

Voldoet

U/TV.01

Identificatie en authenticatie

Niet van toepassing

Voldoet

U/WA.02

Webapplicatiebeheerproces

Voldoet

U/WA.03

Automatische data-invoercontrole

Niet van toepassing

Voldoet

U/WA.04

Normaliseren uitvoer

Niet van toepassing

Voldoet

U/WA.05

Cryptografie/ Privacybevordering

Voldoet

U/PW.02

Garanderen webprotocollen

Niet van toepassing

Voldoet

U/PW.03

Configureren webserver

Niet van toepassing

Voldoet

U/PW.05

Toegang tot beheermechanismen

Niet van toepassing

Voldoet

U/PW.07

Hardening van platformen

Niet van toepassing

Voldoet

U/NW.03

DMZ

Niet van toepassing

Voldoet

U/NW.04

Protectie- en detectiemechanismen

Niet van toepassing

Voldoet

U/NW.05

Scheiding beheer- en productieomgeving

Niet van toepassing

Voldoet

U/NW.06

Hardening van netwerken

Voldoet

C.03

Vulnerability-assessments

Niet van toepassing

Voldoet

C.04

Penetratietesten

Niet van toepassing

Voldoet

C.06

Signaleringsfuncties

Niet van toepassing

Voldoet

C.07

Monitoringfuncties

Niet van toepassing

Voldoet

C.08

Wijzigingenbeheer

Voldoet

C.09

Patchmanagement

Niet van toepassing

Voldoet

2/2

Gemeentelijk kenmerk bijlage 1 DigiD: 674847-ENSIA2022-DigiD

Bijlage 1 DigiD (2) - Zaaksysteem Gemeente Baarn - 1000001 Totaaloverzicht getoetste normen ICT-beveiligingsassessment DigiD-aansluiting Zaaksysteem Gemeente Baarn met aansluitnummer 1000001 Gemeente Baarn biedt de volgende functionaliteit aan waarvoor DigiD-aansluiting Zaaksysteem Gemeente Baarn voor authenticatie wordt gebruikt:  Webformulieren voor het aanvragen van digitale processen Deze functionaliteit wordt geboden door de volgende webapplicatie:  Zaaksysteem.nl Deze applicatie betreft een geheel standaardpakket en wordt onderhouden door Zaaksysteem.nl. Deze applicatie is extern benaderbaar via het volgende internetadres(sen): https://mijn.baarn.nl/ DigiD-aansluiting Zaaksysteem Gemeente Baarn bevindt zich in de Demilitarized Zone (DMZ). De infrastructuur waar deze applicatie op draait, wordt beheerd door Zaaksysteem.nl in de vorm van IaaS. Het object van zelfevaluatie is de webapplicatie van DigiD-aansluiting Zaaksysteem Gemeente Baarn. De zelfevaluatie heeft zich gericht op de internet-facing webpagina’s waarmee de interactie naar de gebruiker plaatsvindt nadat deze is geïdentificeerd en geauthentiseerd via DigiD, de systeemkoppelingen, de infrastructuur die met DigiD gekoppeld is en betrekking heeft op het DigiD identificatie en authenticatieproces en de verschillende vormen van beheer op de webapplicatie voor zover relevant voor de doelstelling van de audit.

Gemeente Baarn heeft een deel van de DigiD web-omgeving uitbesteed aan Zaaksysteem.nl. Als gevolg hiervan is een aantal maatregelen belegd bij deze serviceorganisatie(s). Het onderzoeken van deze maatregelen is dan ook uitgevoerd door de IT-auditor van deze serviceorganisatie(s). De normen waar deze maatregelen betrekking op hebben maken geen onderdeel uit van de zelfevaluatie, tenzij sprake is van een gedeelde norm. Een DigiD-aansluiting dient aan het gehele normenkader te voldoen. Deze zelfevaluatie ENSIA voor DigiD is toegepast op dat deel van het normenkader dat niet onder uitbesteding aan de leverancier(s) van de gemeente valt. De overige normen worden afgedekt door onderstaande TPM / assurancerapportage van de leverancier(s): SaaS-leverancier Naam serviceorganisatie:

Zaaksysteem.nl

Referentie/rapportnummer:

ITAA/DIGID/BAAR26102022

Afgiftedatum:

26 oktober 2022

Naam RE-auditor:

J.H. Matto RE RI en A. Bouazza RE CISA

Ondertekend door RE-auditor:

1/2

Gemeentelijk kenmerk bijlage 1 DigiD: 674847-ENSIA2022-DigiD

Onderstaande tabel toont de uitkomsten van de zelfevaluatie per norm inclusief de normen die getoetst zijn bij leverancier(s). DigiD-norm

Getoetst bij aansluithouder

Getoetst bij SaaS-leverancier

Totaaloordeel norm

B.01

Informatiebeveiligingsbeleid

Voldoet

B.05

Contractmanagement

Voldoet

U/TV.01

Identificatie en authenticatie

Voldoet

U/WA.02

Webapplicatiebeheerproces

Voldoet

U/WA.03

Automatische data-invoercontrole

Niet van toepassing

Voldoet

U/WA.04

Normaliseren uitvoer

Niet van toepassing

Voldoet

U/WA.05

Cryptografie/ Privacybevordering

Voldoet

U/PW.02

Garanderen webprotocollen

Niet van toepassing

Voldoet

U/PW.03

Configureren webserver

Niet van toepassing

Voldoet

U/PW.05

Toegang tot beheermechanismen

Niet van toepassing

Voldoet

U/PW.07

Hardening van platformen

Niet van toepassing

Voldoet

U/NW.03

DMZ

Niet van toepassing

Voldoet

U/NW.04

Protectie- en detectiemechanismen

Niet van toepassing

Voldoet

U/NW.05

Scheiding beheer- en productieomgeving

Niet van toepassing

Voldoet

U/NW.06

Hardening van netwerken

Voldoet

C.03

Vulnerability-assessments

Niet van toepassing

Voldoet

C.04

Penetratietesten

Niet van toepassing

Voldoet

C.06

Signaleringsfuncties

Niet van toepassing

Voldoet

C.07

Monitoringfuncties

Niet van toepassing

Voldoet

C.08

Wijzigingenbeheer

Voldoet

C.09

Patchmanagement

Niet van toepassing

Voldoet

2/2

Gemeentelijk kenmerk bijlage 2 Suwinet: 674847-ENSIA2022-Suwinet

Naam auditfirma:

Accoris Audit Services B.V.

Naam auditor: Datum :

J.L.C. Holierhoek RE

Bijlage 2 Gebruik van Suwinet Deze bijlage is een afzonderlijk onderdeel van de Collegeverklaring ENSIA 2022 van gemeente Baarn. Onderwerp van de verklaring is het gebruik van Suwinet. Deze verklaring heeft betrekking op de Verantwoordingsrichtlijn GeVS 2022 welke is gebaseerd op geselecteerde controls uit de Baseline Informatieveiligheid Overheid (BIO). Suwinet-gegevens worden ten behoeve van de dienstverlening aan onze burgers wel door serviceorganisaties verwerkt. Hierbij is de eventuele aanwezigheid van IT-serviceorganisaties in aanmerking genomen. Het college van B en W is als opdrachtgever verantwoordelijk voor de kwaliteit en veiligheid van het gebruik van Suwinet en legt hierover verantwoording af. Gemeente Baarn heeft een deel van de Suwinet taken uitbesteed aan Uitvoeringsorganisatie Baarn, Bunschoten en Soest (UO BBS). Als gevolg hiervan is een aantal maatregelen belegd bij deze serviceorganisatie. In de navolgende tabellen is opgenomen of het onderzoeken over het al dan niet voldoen aan deze maatregelen is uitgevoerd door de IT-auditor van deze serviceorganisatie. De controls die betrekking hebben op de taken die belegd zijn bij de serviceorganisatie maken geen onderdeel uit van de zelfevaluatie van onze gemeente, tenzij sprake is van een gedeelde norm.

De zelfevaluatie ENSIA voor Suwinet is toegepast op dat deel van het gebruik en normenkader dat niet onder uitbesteding aan onze serviceorganisatie valt. De overige normen worden afgedekt door onderstaande Third Party Mededeling (TPM) / assurancerapportage (AR) van onze serviceorganisatie. Leverancier 1

Uitvoeringsorganisatie baarn, Bunschoten en Soest (UO-BBS) AAS2022-1476 18 oktober 2022 J.R. Möhle RE Ja

Naam serviceorganisatie: Referentie/rapportnummer: Afgiftedatum: Naam RE-auditor: Ondertekend door RE-auditor:

1/2

Gemeentelijk kenmerk bijlage 2 Suwinet: 674847-ENSIA2022-Suwinet

Gebruik van Suwinet voor SUWI-taken Voor de volgende taken wordt Suwinet op de volgende plaatsen gebruikt:

Taak

Organisatie

TPM/AR

Participatiewet (Pw)

Uitvoeringsorganisatie Baarn, Bunschoten en Soest (UO-BBS)

Inkomensvoorziening voor Oudere en gedeeltelijk Arbeidsongeschikte Werknemers (IOAW)

Uitvoeringsorganisatie Baarn, Bunschoten en Soest (UO-BBS)

Wet inkomensvoorziening oudere en gedeeltelijk arbeidsongeschikte gewezen zelfstandigen (IOAZ)

Uitvoeringsorganisatie Baarn, Bunschoten en Soest (UO-BBS)

Wet gemeentelijke schuldhulpverlening (Wgs)

Uitvoeringsorganisatie Baarn, Bunschoten en Soest (UO-BBS)

n.v.t1

Voor Baarn voert BBS deze taak niet uit

Gebruik van Suwinet voor niet-SUWI-taken Voor de volgende niet-SUWI-taken wordt Suwinet op de volgende plaatsen gebruikt: Taak

Organisatie

TPM/AR

Hulp aan vroegtijdig schoolverlaters door Regionaal Meld- en Coördinatiecentrum (RMC)

Niet van toepassing

Nee

Onderzoek loonbeslag door Niet van toepassing Gemeentelijke Belastingdeurwaarders

Nee

Adresonderzoek door Burgerzaken

Nee

Niet van toepassing

Naleving BIO-maatregelen Zoals in de Collegeverklaring vermeld, voldoet gemeente Baarn in opzet en bestaan aan alle geselecteerde interne beheersingsmaatregelen inzake Suwinet op 31 december 2022.

2/2

De tekst is automatisch uit het bestand gehaald en kan afwijken van het origineel (kolommen, tabellen en koppen lopen door elkaar). Het officiële stuk bij iBabs is leidend. Bron: https://api.notubiz.nl/document/12635728/1