Z/25/054861 - D/25/178039 -
Tekst van het document
Gemeente Doesburg - Z/25/054861 - Bijlage 1 DigiD
Bijlage 1 DigiD - Gemeente Doesburg - Digitaal Loket - 1001378 Totaaloverzicht getoetste normen ICT-beveiligingsassessment DigiD-aansluiting Gemeente Doesburg - Digitaal Loket met aansluitnummer 1001378 Gemeente Doesburg biedt de volgende functionaliteit aan waarvoor DigiD-aansluiting Gemeente Doesburg Digitaal Loket voor authenticatie wordt gebruikt: • Een digitaal loket voor burgers met onder meer het inzien van gegevens en het indienen van formulieren. Deze functionaliteit wordt geboden door de volgende webapplicatie: • Naam: Gemeente Doesburg - Digitaal Loket • Versie: SIMForm versie 1.78.0 en PIP versie 2.113.0 Deze webapplicatie is extern benaderbaar via het volgende internetadres: • https://mijn.doesburg.nl Het object van zelfevaluatie is de web-omgeving van DigiD-aansluiting Gemeente Doesburg - Digitaal Loket. De zelfevaluatie heeft zich gericht op de webapplicatie, de internetadressen waarmee deze kan worden benaderd, de infrastructuur (binnen de DMZ waar de webapplicatie zich bevindt) en een aantal ondersteunende processen conform de “Norm ICT-beveiligingsassessments DigiD versie 3.0” van Logius. Deze webapplicatie betreft Geheel standaardpakket. De webapplicatie wordt onderhouden door Shift2. DigiD-aansluiting Gemeente Doesburg - Digitaal Loket bevindt zich in de Demilitarized Zone (DMZ).
De infrastructuur waar deze applicatie op draait, wordt beheerd door Shift2 met beheervorm SaaS. Gemeente Doesburg heeft de DigiD web-omgeving uitbesteed aan Shift2. Als gevolg hiervan is een aantal maatregelen belegd bij deze serviceorganisatie. Het onderzoeken van deze maatregelen is dan ook uitgevoerd door de IT-auditor van deze serviceorganisatie. De normen waar deze maatregelen betrekking op hebben maken geen onderdeel uit van de zelfevaluatie, tenzij sprake is van een gedeelde norm. De DigiD-webomgeving moet aan het gehele normenkader voldoen. Deze zelfevaluatie ENSIA voor DigiD is toegepast op dat deel van het normenkader dat niet onder uitbesteding aan de leverancier van de gemeente valt voor de periode: Aansluithouder Oordeelsdatum:
31-12-2024
Controleperiode:
01-07-2024 - 31-12-2024
De overige normen worden afgedekt door onderstaande TPM / assurancerapportage(s) van de (toe)leverancier(s): SaaS-leverancier Naam SaaS-leverancier:
Shift2
Referentie/rapportnummer:
TPM: 230/422400/2024/22527_15 Sub-TPM: N.v.t.
Oordeelsdatum:
TPM: 26-09-2024 Sub-TPM: N.v.t.
Controleperiode:
TPM: 15-03-2024 - 26-09-2024 Sub-TPM: N.v.t.
1/2
Gemeente Doesburg - Z/25/054861 - Bijlage 1 DigiD
SaaS-leverancier Naam RE-auditor
TPM: F.W. Hanekamp RE Sub-TPM: N.v.t.
Ondertekend door RE-auditor:
TPM: Ja Sub-TPM: N.v.t.
Onze IT-auditor heeft tevens getoetst of de zelfevaluatie en de TPM’s / assurancerapportages van onze serviceorganisatie(s) het gehele normenkader afdekken. De conclusie van de auditor is opgenomen in het assurancerapport met kenmerk 2C-2025-681. Onderstaande tabel toont de uitkomsten van de zelfevaluatie per norm inclusief de normen die getoetst zijn bij de bovengenoemde leveranciers. Aansluithouder
SaaS-leverancier
DigiD-norm
Toetsing op
Oordeel
Oordeel TPM
Totaaloordeel
B.01 Informatiebeveiligingsbeleid
Opzet en bestaan
Voldoet
Voldoet
Voldoet
B.05 Contractmanagement
Opzet en bestaan
Voldoet
Voldoet
Voldoet
U/TV.01 Identificatie en authenticatie
Opzet en bestaan
Voldoet
Voldoet
Voldoet
Werking
Voldoet
Voldoet
Voldoet
Opzet en bestaan
Voldoet
Voldoet
Voldoet
Werking
Voldoet
Voldoet
Voldoet
U/WA.02 Webapplicatiebeheerproces
U/WA.03 Automatische data-invoercontrole
Opzet en bestaan
Niet van toepassing
Voldoet
Voldoet
U/WA04. Normaliseren uitvoer
Opzet en bestaan
Niet van toepassing
Voldoet
Voldoet
U/WA.05 Cryptografie/ Privacybevordering
Opzet en bestaan
Voldoet
Voldoet
Voldoet
U/PW.02 Garanderen webprotocollen
Opzet en bestaan
Niet van toepassing
Voldoet
Voldoet
U/PW.03 Configureren webserver
Opzet en bestaan
Niet van toepassing
Voldoet
Voldoet
U/PW.05 Toegang tot beheermechanismen
Opzet en bestaan
Niet van toepassing
Voldoet
Voldoet
U/PW.07 Hardening van platformen
Opzet en bestaan
Niet van toepassing
Voldoet
Voldoet
U/NW.03 DMZ
Opzet en bestaan
Niet van toepassing
Voldoet
Voldoet
U/NW.04 Protectie- en detectiemechanismen
Opzet en bestaan
Niet van toepassing
Voldoet
Voldoet
U/NW.05 Scheiding beheer- en productieomgeving
Opzet en bestaan
Niet van toepassing
Voldoet
Voldoet
U/NW.06 Hardening van netwerken
Opzet en bestaan
Voldoet
Voldoet
Voldoet
C.03 Vulnerability-assessments
Opzet en bestaan
Niet van toepassing
Voldoet
Voldoet
C.04 Penetratietesten
Opzet en bestaan
Niet van toepassing
Voldoet
Voldoet
C.06 Signaleringsfuncties
Opzet en bestaan
Niet van toepassing
Voldoet
Voldoet
C.07 Monitoringfuncties
Opzet en bestaan
Niet van toepassing
Voldoet
Voldoet
Werking
Niet van toepassing
Voldoet
Voldoet
Opzet en bestaan
Voldoet
Voldoet
Voldoet
Werking
Voldoet
Voldoet
Voldoet
Opzet en bestaan
Niet van toepassing
Voldoet
Voldoet
Werking
Niet van toepassing
Voldoet
Voldoet
C.08 Wijzigingenbeheer
C.09 Patchmanagement
2/2