Document · PDF

E 210428 Verantwoording ENSIA inzake Informatiebeveiliging DigiD en Suwinet (270835)

Informatie in de Raad 19 mei 2021, gemeente BaarnBij agendapunt: Raadsinformatiebrieven2.210 woorden

Open het PDF bij iBabs ↗Naar de vergadering →

Tekst van het document

Uit het bestand gehaald, zonder opmaak, tabellen en afbeeldingen

inlichtingen bij

Eric Hartog

doorkiesnummer

(035) 5481774

uw kenmerk ons kenmerk

datum portefeuillehouder(s) onderwerp

257268 / 270835

Aan de raadsleden en steunfractieleden van de gemeente Baarn

28 april 2021 Wethouder Prakke Verantwoording ENSIA inzake Informatiebeveiliging DigiD en Suwinet

Geachte leden van de raad en steunfractieleden, In het kader van de ENSIA (Eenduidige Normatiek Single Information Audit) hebben er audits plaatsgevonden met betrekking tot het gemeentelijk gebruik van DigiD en Suwinet. Met deze verklaring legt het college van burgemeester en wethouders van de gemeente Baarn verantwoording af over geselecteerde informatiebeveiligingsnormen inzake DigiD en Suwinet op basis van de ENSIA systematiek. De resultaten zijn vastgelegd in verantwoordingsrapportages. ENSIA staat voor Eenduidige Normatiek Single Information Audit en betekent eenmalige informatieverstrekking en eenmalige IT-audit. ENSIA helpt gemeenten om in één keer verantwoording af te leggen over informatieveiligheid gebaseerd op de BIO (Baseline Informatiebeveiliging Overheid). De verantwoordingssystematiek over de Basisregistratie Personen (BRP), Paspoortuitvoeringsregeling (PUN), Digitale persoonsidentificatie (DigiD), Basisregistratie Adressen en Gebouwen (BAG), Inkomen (SUWInet) is samengevoegd en gestroomlijnd. Uitgangspunt van ENSIA is het horizontale verantwoordingsproces aan de gemeenteraad door middel van een collegeverklaring en een assurancerapport. Deze verantwoording vormt de basis voor het verticale verantwoordingsproces aan de nationale partijen die een rol hebben in het toezicht op informatieveiligheid.

Over het verantwoordingsjaar 2020 richt de IT-audit zich op de DigiD-normen en een selectie van de Suwinet-normen. Dit is verwoord in de bijgevoegde collegeverklaring. Met deze verklaring geeft het College van B&W aan in hoeverre bij de gemeente Baarn de beheersingsmaatregelen hebben voldaan aan de voor de ENSIA-verantwoording geselecteerde normen. Een externe IT-auditor controleert vervolgens de collegeverklaring en stelt een assurancerapport op. De collegeverklaring ENSIA wordt gezamenlijk met het Assurancerapport separaat van het gemeentelijk jaarverslag aan de gemeenteraad aangeboden. Daarnaast wordt in de jaarrekening een toelichting gegeven over informatieveiligheid. Collegeverklaring dient als verantwoording aan toezichthouders en gemeenteraad In kader van ENSIA is afgesproken dat het college de collegeverklaring ENSIA 2020 vaststelt en samen met het Assurancerapport als verantwoording voorlegt aan de gemeenteraad; dit in het

kader van het horizontaal toezicht. De vastgestelde collegeverklaring moet, in het kader van de verticale verantwoording, voor 1 juni 2021 aan de toezichthouders voorgelegd zijn . Interne beheersingsmaatregelen voldoen geheel aan de geselecteerde normen Kort samengevat zijn de resultaten dat de interne beheersingsmaatregelen in 'opzet en bestaan' geheel voldoen aan de geselecteerde normen voor DigiD en Suwinet. Het gebruik van Suwinet vindt niet plaats binnen de gemeente Baarn. Deze taken zijn uitbesteed aan het Samenwerkingsverband BBS. Het BBS voert de wettelijke SUWI-taken uit; dit betreft de Participatiewet, IOAW en IOAZ. Bij de BBS heeft een onafhankelijk auditor in opdracht van de gemeente onderzocht of wordt voldaan aan de geselecteerde Suwinet normen. De uitbestede taken zijn onderdeel van de Collegeverklaring omdat wij voor de uitbestede taken de volledige verantwoordelijkheid dragen. Het oordeel van de auditor luidt, voor wat het gebruik van Suwinet betreft, dat wordt voldaan aan alle onderzochte normen. Met vriendelijke groet, burgemeester en wethouders van Baarn,

drs. C.E. Creveld gemeentesecretaris

M.A. Röell burgemeester

Bijlagen: - AAS2019-654 ENSIA brief bevindingen en aanbevelingen V2.pdf - Collegeverklaring ENSIA 2020 inzake informatiebeveiliging DigiD en Suwinet.pdf

Naam auditfirma:

Accoris Audit Services B.V.

Naam auditor:

J.R. Möhle RE

Datum [ondertekening auditor]:

Gemeentelijk kenmerk bijlage 1 DigiD:

257268-ENSIA2020-DigiD

Bijlage 1 DigiD (1) Totaaloverzicht getoetste normen ICT-beveiligingsassessment DigiD-aansluiting Zaaksysteem Gemeente Baarn en aansluitnummer 1000001 Gemeente Baarn biedt de volgende functionaliteit aan waarvoor DigiD aansluiting Zaaksysteem Gemeente Baarn voor authenticatie wordt gebruikt: • Webformulieren voor het aanvragen van digitale processen Deze functionaliteit wordt geboden door de volgende webapplicatie: • Zaaksysteem.nl Deze applicatie betreft standaard software en wordt onderhouden door Zaaksysteem.nl. Daarbij geldt wel dat gemeente Baarn – binnen de mogelijkheden van de standaard software – webformulieren zelf kan inrichten. Deze worden door gemeente Baarn onderhouden. Deze applicatie is extern benaderbaar via het volgende internetadres: mijn.baarn.nl. DigiD-aansluiting Zaaksysteem Gemeente Baarn bevindt zich in de Demilitarized Zone (DMZ). De infrastructuur waar deze applicatie op draait wordt beheerd door Zaaksysteem.nl in de vorm van SAAS. Het object van zelfevaluatie is de web-omgeving van DigiD-aansluiting Zaaksysteem Gemeente Baarn. De zelfevaluatie heeft zich gericht op de webapplicatie, het internetadres waarmee deze kan worden benaderd, de infrastructuur (binnen de DMZ waar de webapplicatie zich bevindt) en een aantal ondersteunende processen conform de “Norm ICT-beveiligingsassessments DigiD” van Logius.

Gemeente Baarn heeft een deel van de DigiD web-omgeving uitbesteed aan Zaaksysteem.nl Als gevolg hiervan is een aantal maatregelen belegd bij deze serviceorganisatie. Het onderzoeken van deze maatregelen is dan ook uitgevoerd door de IT-auditor van deze serviceorganisatie. De normen waar deze maatregelen betrekking op hebben maken geen onderdeel uit van de zelfevaluatie, tenzij sprake is van een gedeelde norm. Een DigiD-aansluiting dient aan het gehele normenkader te voldoen. Deze zelfevaluatie ENSIA voor DigiD is toegepast op dat deel van het normenkader dat niet onder uitbesteding aan onze leverancier valt. De overige normen worden afgedekt door onderstaande TPM / assurancerapportage van onze serviceorganisatie:

p. 1/6

Leverancier 1 Naam serviceorganisatie:

Zaaksysteem.nl

Referentie/rapportnummer:

ITAA/DIGID/BAAR16092020

Afgiftedatum:

16-09-2020

Naam RE-auditor:

Jan Matto RI RE en Achmed Bouazza RE CISA

Ondertekend door RE-auditor:

Aanvullende verklaring

Referentienummer: ZKS/090421 Afgiftedatum: 09-04-2021 Jan Matto RI RE en Achmed Bouazza RE CISA

Onze IT-auditor heeft tevens getoetst of de zelfevaluatie en de TPM / assurancerapportage van onze serviceorganisatie het gehele normenkader afdekken. Het kan voorkomen dat een norm deels bij een leverancier en deels bij de gemeente getoetst is (zogenaamde gedeelde norm). De uitkomst uit de zelfevaluatie is getoetst door onze RE-gecertificeerde IT-auditor. De conclusie van de auditor is opgenomen in het assurancerapport met kenmerk AAS2021-883. Onderstaande tabel toont de uitkomsten van de zelfevaluatie per norm inclusief de normen die getoetst zijn bij leverancier. DigiD Norm

Getoetst bij Gemeente

Getoetst bij leverancier 1

Totaal oordeel norm

B.05

Voldoet

U/TV.01 Identificatie en authenticatie

Voldoet

U/WA.02 Webapplicatiebeheer proces

Voldoet

U/WA.03 Automatische data invoer controle

Voldoet

U/WA.04 Normaliseren uitvoer

Voldoet

U/PW.02 Garanderen webprotocollen

Voldoet

U/PW.03 Configureren webserver

Voldoet

U/PW.05 Toegang tot beheermechanismen

Voldoet

U/PW.07 Hardening van platformen

Voldoet

U/NW.03 DMZ

Voldoet

U/NW.04 Protectie- en detectiemechanismen

Voldoet

Contractmanagement

U/WA.05 Cryptografie/Privacybevordering

p. 2/6

Voldoet

U/NW.05 Scheiding beheer- en productieomgeving U/NW.06 Hardening van netwerken

Voldoet

C.03

Vulnerability-assessments

Voldoet

C.04

Penetratietesten

Voldoet

C.06

Signaleringsfuncties

Voldoet

C.07

Monitoring functies

Voldoet

C.08

Wijzigingenbeheer

Voldoet

C.09

Patchmanagement

Voldoet

Hoeft volgens de gemeente en volgens hoofdstuk “verantwoordelijkheden gebruikersorganisatie” van de TPM van de serviceorganisatie niet bij de gemeente en/of bij leverancier getoetst te worden.

p. 3/6

Naam auditfirma:

Accoris Audit Services B.V.

Naam auditor:

J.R. Möhle RE

Datum [ondertekening auditor]:

Gemeentelijk kenmerk bijlage 1 DigiD

257268-ENSIA2020-DigiD

Bijlage 1 DigiD (2) Totaaloverzicht getoetste normen ICT-beveiligingsassessment DigiD-aansluiting Gemeente Baarn2 en aansluitnummer 541985 Gemeente Baarn biedt de volgende functionaliteit aan waarvoor DigiD aansluiting Gemeente Baarn2 voor authenticatie wordt gebruikt: • Het Vris E-loket biedt de mogelijkheid om de WOZ-gegevens van particulieren op te vragen en bezwaar in te dienen bij de betreffende gemeenten. Deze functionaliteit wordt geboden door de volgende webapplicatie: • VRIS- E-Loket Deze applicatie een combinatie van maatwerk en standaard software en wordt onderhouden door TOG Nederland. Deze applicatie is extern benaderbaar via het volgende internetadres: https://www.wozportaal.baarn.nl. DigiD aansluiting Gemeente Baarn2 bevindt zich in de Demilitarized Zone (DMZ). De infrastructuur waar deze applicatie op draait wordt beheerd TOG Nederland in de vorm van SAAS. Het object van zelfevaluatie is de web-omgeving van DigiD-aansluiting Gemeente Baarn2. De zelfevaluatie heeft zich gericht op de webapplicatie, het internetadres: https:// www.wozportaal.baarn.nl waarmee deze kan worden benaderd, de infrastructuur (binnen de DMZ waar de webapplicatie zich bevindt) en een aantal ondersteunende processen conform de “Norm ICTbeveiligingsassessments DigiD” van Logius. Gemeente Baarn heeft een deel van de DigiD webomgeving uitbesteed aan TOG Nederland.

Als gevolg hiervan is een aantal maatregelen belegd bij deze serviceorganisatie. Het onderzoeken van deze maatregelen is dan ook uitgevoerd door de IT auditor van deze serviceorganisatie. De normen waar deze maatregelen betrekking op hebben maken geen onderdeel uit van de zelfevaluatie, tenzij sprake is van een gedeelde norm. Een DigiD-aansluiting dient aan het gehele normenkader te voldoen. Deze zelfevaluatie ENSIA voor DigiD is toegepast op dat deel van het normenkader dat niet onder uitbesteding aan onze leverancier valt. De overige normen worden afgedekt door onderstaande TPM / assurancerapportage van onze serviceorganisatie:

p. 4/6

Leverancier 1 Naam serviceorganisatie:

TOG Nederland B.V

Referentie/rapportnummer:

20201013 DBA-TOG-57

Afgiftedatum:

13 oktober 2020

Naam RE-auditor:

Frank Kossen RE Drs. M. El Aarbaoui RE

Ondertekend door RE-auditor:

Onze IT-auditor heeft tevens getoetst of de zelfevaluatie en de TPM / assurancerapportage van onze serviceorganisatie het gehele normenkader afdekken. Het kan voorkomen dat een norm deels bij een leverancier en deels bij de gemeente getoetst is (zogenaamde gedeelde norm). De uitkomst uit de zelfevaluatie is getoetst door onze RE-gecertificeerde IT-auditor. De conclusie van de auditor is opgenomen in het assurancerapport met kenmerk AAS2021-883. Onderstaande tabel toont de uitkomsten van de zelfevaluatie per norm, inclusief de normen die getoetst zijn bij leverancier. DigiD Norm

Getoetst bij Gemeente

Getoetst bij leverancier 1

Totaal oordeel norm

Voldoet

B.05

Contractmanagement

U/TV.01

Identificatie en authenticatie

U/WA.02

Webapplicatiebeheer proces

U/WA.03

Automatische data invoer controle

Voldoet

U/WA.04

Normaliseren uitvoer

Voldoet

U/WA.05

Cryptografie/ Privacy bevordering

Voldoet

U/PW.02

Garanderen webprotocollen

Voldoet

U/PW.03

Configureren webserver

Voldoet

U/PW.05

Toegang tot beheermechanismen

Voldoet

U/PW.07

Hardening van platformen

Voldoet

U/NW.03

DMZ

Voldoet

U/NW.04

Protectie- en detectiemechanismen

Voldoet

U/NW.05

Scheiding beheer- en productieomgeving

Voldoet

U/NW.06

Hardening van netwerken

Voldoet

C.03

Vulnerability-assessments

Voldoet

C.04

Penetratietesten

Voldoet

C.06

Signaleringsfuncties

Voldoet

C.07

Monitoring functies

Voldoet

C.08

Wijzigingenbeheer

Voldoet

C.09

Patchmanagement

Voldoet

p. 5/6

Voldoet Voldoet

Voldoet

Hoeft volgens de gemeente en volgens hoofdstuk “verantwoordelijkheden gebruikersorganisatie” van de TPM van de serviceorganisatie niet bij de gemeente getoetst te worden.

p. 6/6

Naam auditfirma:

Accoris Audit Services B.V.

Naam auditor:

J.R. Möhle RE

Datum [ondertekening auditor]:

Gemeentelijk kenmerk bijlage 2 Suwinet

257268-ENSIA2020-Suwinet

Bijlage 2 Gebruik van Suwinet Deze bijlage is een afzonderlijk onderdeel van de Collegeverklaring ENSIA 2020 van de gemeente Baarn. Onderwerp van de verklaring is het gebruik van Suwinet. Deze verklaring heeft betrekking op de Verantwoordingsrichtlijn GeVS 2020 welke is gebaseerd op geselecteerde controls uit de Baseline Informatieveiligheid Overheid (BIO). Suwinet-gegevens worden ten behoeve van de dienstverlening aan onze burgers wel door serviceorganisaties verwerkt. Hierbij is de eventuele aanwezigheid van IT-serviceorganisaties in aanmerking genomen. Het college van B en W is als opdrachtgever verantwoordelijk voor de kwaliteit en veiligheid van het gebruik van Suwinet en legt hierover verantwoording af. Gemeente Baarn heeft een deel van de Suwinet taken uitbesteed aan Uitvoeringsorganisatie Baarn, Bunschoten en Soest (UO BBS). Als gevolg hiervan is een aantal maatregelen belegd bij deze serviceorganisatie. In de navolgende tabellen is opgenomen of het onderzoeken over het al dan niet voldoen aan deze maatregelen is uitgevoerd door de IT-auditor van deze serviceorganisatie. De controls die betrekking hebben op de taken die belegd zijn bij de serviceorganisatie maken geen onderdeel uit van de zelfevaluatie van onze gemeente, tenzij sprake is van een gedeelde norm.

De zelfevaluatie ENSIA voor Suwinet is toegepast op dat deel van het gebruik en normenkader dat niet onder uitbesteding aan onze serviceorganisatie valt. De overige normen worden afgedekt door onderstaande Third Party Mededeling (TPM) / assurancerapportage (AR) van onze serviceorganisatie. Leverancier 1 Naam serviceorganisatie:

Uitvoeringsorganisatie Baarn, Bunschoten en Soest (BBS)

Referentie/rapportnummer:

AAS2020-896

Afgiftedatum:

20-10-2020

Naam RE-auditor:

J.R. Möhle RE

Ondertekend door RE-auditor:

p. 1/2

Gebruik van Suwinet voor SUWI-taken Voor de volgende taken wordt Suwinet op de volgende plaatsen gebruikt: Taak

Organisatie

TPM/AR

Participatiewet (Pw)

Uitvoeringsorganisatie Baarn, Bunschoten en Soest (BBS)

Ja/Ja

Inkomensvoorziening voor Oudere Uitvoeringsorganisatie Baarn, en gedeeltelijk Arbeidsongeschikte Bunschoten en Soest (BBS) Werknemers (IOAW)

Ja/Ja

Wet inkomensvoorziening oudere Uitvoeringsorganisatie Baarn, en gedeeltelijk arbeidsongeschikte Bunschoten en Soest (BBS) gewezen zelfstandigen (IOAZ)

Ja/Ja

Gebruik van Suwinet voor niet-SUWI-taken Voor de volgende niet-SUWI-taken wordt Suwinet op de volgende plaatsen gebruikt: Taak

Organisatie

TPM/AR

Hulp aan vroegtijdig schoolverlaters door Regionaal Meld- en Coördinatiecentrum (RMC)

Niet van toepassing

Onderzoek loonbeslag door Gemeentelijke Belastingdeurwaarders

Binnen de gemeente

Niet van toepassing

Adresonderzoek door Burgerzaken Niet van toepassing

Niet van toepassing

Naleving BIO-maatregelen Zoals in de Collegeverklaring vermeld, voldoet de gemeente Baarn aan alle interne beheersmaatregelen inzake Suwinet op 31 december 2020 in opzet en bestaan aan de geselecteerde controls.

p. 2/2

De tekst is automatisch uit het bestand gehaald en kan afwijken van het origineel (kolommen, tabellen en koppen lopen door elkaar). Het officiële stuk bij iBabs is leidend. Bron: https://api.notubiz.nl/document/10073728/1