RIS315012 Bijlage 1

Gemeentelijk kenmerk bijlage 1 DigiD: DBV/10498572 /1

geheim ogv art. 86 lid 2 Gem. wet juncto art. 5.1, lid 2, sub b en h WOO

Bijlage 1 DigiD - MijnGeldzaken - 1003623 Totaaloverzicht getoetste normen ICT-beveiligingsassessment DigiD-aansluiting MijnGeldzaken met aansluitnummer 1003623 Gemeente Den Haag biedt de volgende functionaliteit aan waarvoor DigiD-aansluiting MijnGeldzaken voor authenticatie wordt gebruikt: • De burger kan hier de eigen schuldregelingen en budgetbeheer inzien. Tevens kan de burger de eigen (mail en telefoonnummer) gegevens wijzigen. Deze functionaliteit wordt geboden door de volgende webapplicatie: • De module schuldregeling van Allegro van Kredit (MijnGeldzaken) Deze applicatie betreft een geheel standaardpakket en wordt onderhouden door Innovadis. Deze applicatie is extern benaderbaar via het volgende internetadres[sen]: https://mijngeldzaken.denhaag.nl/ DigiD-aansluiting MijnGeldzaken bevindt zich in de Demilitarized Zone (DMZ). De infrastructuur waar deze applicatie op draait, wordt beheerd door Previder in de vorm van PaaS. Het object van zelfevaluatie is de web-omgeving van DigiD-aansluiting MijnGeldzaken. De zelfevaluatie heeft zich gericht op de webapplicatie, de internetadressen waarmee deze kan worden benaderd, de infrastructuur (binnen de DMZ waar de webapplicatie zich bevindt) en een aantal ondersteunende processen conform de “Norm ICT-beveiligingsassessments DigiD” van Logius. Gemeente Den Haag heeft een deel van de DigiD web-omgeving uitbesteed aan Previder.

Als gevolg hiervan is een aantal maatregelen belegd bij deze serviceorganisatie(s). Het onderzoeken van deze maatregelen is dan ook uitgevoerd door de IT-auditor van deze serviceorganisatie(s). De normen waar deze maatregelen betrekking op hebben maken geen onderdeel uit van de zelfevaluatie, tenzij sprake is van een gedeelde norm. Een DigiD-aansluiting dient aan het gehele normenkader te voldoen. Deze zelfevaluatie ENSIA voor DigiD is toegepast op dat deel van het normenkader dat niet onder uitbesteding aan de leverancier(s) van de gemeente valt. De overige normen worden afgedekt door onderstaande TPM’s van de leveranciers: IT-leverancier Naam serviceorganisatie:

Previder

Referentie/rapportnummer:

TPM 1: AAS2022-1499 TPM 2: N.v.t.

Afgiftedatum:

TPM 1: 27-10-2022 TPM 2: N.v.t.

Naam RE-auditor:

J.R. Möhle RE

Ondertekend door RE-auditor:

Ja

Applicatieleverancier Naam serviceorganisatie:

Innovadis

Referentie/rapportnummer:

TPM 1: AAS2022-1425 TPM 2: N.v.t.

Afgiftedatum:

TPM 1: 27-10-2022 TPM 2: N.v.t.

[1] T.a.v. norm B.01 merken we op dat het (formeel) volledig vastleggen en/of vaststellen van een apart informatiebeveilingsbeleid voor webapplicaties, of een hiervoor apart ontwikkeld beleid, voor de aansluithouder een langere termijn vergt dan de termijn tot 1 mei 2023. Naast het oordeel van de auditor is een verbeterplan opgesteld waarbij de auditor er kennis van heeft genomen dat de tekortkoming voor 1 mei 2024 zal zijn opgelost. Aan alle andere beheersmaatregelen van deze norm wordt wel voldaan. Voor nadere informatie kan Logius zich wenden tot de auditor.

Gemeentelijk kenmerk bijlage 1 DigiD: DBV/10498572 /1

IT-leverancier Naam RE-auditor:

J.R. Möhle RE

Ondertekend door RE-auditor:

Ja

Onze IT-auditor heeft tevens getoetst of de zelfevaluatie en de TPM’s / assurancerapportages onze serviceorganisatie(s) het gehele normenkader afdekken. Het kan voorkomen dat een norm deels bij een leverancier en deels bij de gemeente getoetst is (zogenaamde gedeelde norm). De uitkomst uit de zelfevaluatie is getoetst door onze RE-gecertificeerde IT-auditor. De conclusie van de auditor is opgenomen in het assurancerapport met kenmerk GAD/2023.21 . Onderstaande tabel toont de uitkomsten van de zelfevaluatie per norm inclusief de normen die getoetst zijn bij leveranciers.

DigiD-norm

Getoetst bij aansluithouder

Getoetst bij ITleverancier

Getoetst bij applicatieleverancier

Totaaloordeel norm

B.01

Informatiebeveiligingsbeleid

Voldoet niet [1]

Voldoet

Voldoet

Voldoet niet [1]

B.05

Contractmanagement

Voldoet

Voldoet

Voldoet

Voldoet

U/TV.01

Identificatie en authenticatie

Voldoet

Voldoet

Voldoet

Voldoet

U/WA.02

Webapplicatiebeheerproces

Voldoet

Niet van toepassing

Voldoet

Voldoet

U/WA.03

Automatische data-invoercontrole

Niet van teopassing

Niet van toepassing

Voldoet

Voldoet

U/WA.04

Normaliseren uitvoer

Niet van toepassing

Niet van toepassing

Voldoet

Voldoet

U/WA.05

Cryptografie/ Privacybevordering

Voldoet

Voldoet

Voldoet

Voldoet

U/PW.02

Garanderen webprotocollen

Niet van toepassing

Niet van toepassing

Voldoet

Voldoet

U/PW.03

Configureren webserver

Niet van toepassing

Niet van toepassing

Voldoet

Voldoet

U/PW.05

Toegang tot beheermechanismen

Niet van toepassing

Voldoet

Niet van toepassing

Voldoet

U/PW.07

Hardening van platformen

Niet van toepassing

Voldoet

Niet van toepassing

Voldoet

U/NW.03

DMZ

Niet van toepassing

Voldoet

Niet van toepassing

Voldoet

U/NW.04

Protectie- en detectiemechanismen

Niet van toepassing

Voldoet

Niet van toepassing

Voldoet

U/NW.05

Scheiding beheer- en productieomgeving

Niet van toepassing

Voldoet

Niet van toepassing

Voldoet

U/NW.06

Hardening van netwerken

Voldoet

Voldoet

Niet van toepassing

Voldoet

C.03

Vulnerability-assessments

Niet van toepassing

Voldoet

Niet van toepassing

Voldoet

C.04

Penetratietesten

Niet van toepassing

Niet van toepassing

Voldoet

Voldoet

[1] T.a.v. norm B.01 merken we op dat het (formeel) volledig vastleggen en/of vaststellen van een apart informatiebeveilingsbeleid voor webapplicaties, of een hiervoor apart ontwikkeld beleid, voor de aansluithouder een langere termijn vergt dan de termijn tot 1 mei 2023. Naast het oordeel van de auditor is een verbeterplan opgesteld waarbij de auditor er kennis van heeft genomen dat de tekortkoming voor 1 mei 2024 zal zijn opgelost. Aan alle andere beheersmaatregelen van deze norm wordt wel voldaan. Voor nadere informatie kan Logius zich wenden tot de auditor.

Gemeentelijk kenmerk bijlage 1 DigiD: DBV/10498572 /1

DigiD-norm

Getoetst bij aansluithouder

Getoetst bij ITleverancier

Getoetst bij applicatieleverancier

Totaaloordeel norm

C.06

Signaleringsfuncties

Niet van toepassing

Voldoet

Niet van toepassing

Voldoet

C.07

Monitoringfuncties

Niet van toepassing

Voldoet

Voldoet

Voldoet

C.08

Wijzigingenbeheer

Voldoet

Voldoet

Voldoet

Voldoet

C.09

Patchmanagement

Niet van toepassing

Voldoet

Voldoet

Voldoet

[1] T.a.v. norm B.01 merken we op dat het (formeel) volledig vastleggen en/of vaststellen van een apart informatiebeveilingsbeleid voor webapplicaties, of een hiervoor apart ontwikkeld beleid, voor de aansluithouder een langere termijn vergt dan de termijn tot 1 mei 2023. Naast het oordeel van de auditor is een verbeterplan opgesteld waarbij de auditor er kennis van heeft genomen dat de tekortkoming voor 1 mei 2024 zal zijn opgelost. Aan alle andere beheersmaatregelen van deze norm wordt wel voldaan. Voor nadere informatie kan Logius zich wenden tot de auditor.