7604 - gemeente Dordrecht - ENSIA rapport - Bijlage deel 1.pdf
Tekst van het document
DIGID AANSLUITING - BIJLAGE 1 Gemeentelijk kenmerk bijlage 1 DigiD:
2020-0010420A
Bijlage 1 DigiD (1) Totaaloverzicht getoetste normen ICT-beveiligingsassessment DigiD-aansluiting Digitaal loket gemeente Dordrecht en aansluitnummer 1002815 Dordrecht biedt de volgende functionaliteit aan waarvoor DigiD aansluiting Digitaal loket gemeente Dordrecht voor authenticatie wordt gebruikt: • Het genereren van aanvraagformulieren voor de gemeentelijke dienstverlening. Deze functionaliteit wordt geboden door de volgende webapplicatie: • InProces Deze applicatie betreft een geheel standaard pakket en wordt onderhouden door Brein B.V. Deze applicatie is extern benaderbaar via de volgende URL‘s: loket.dordrecht.nl Digitaal loket gemeente Dordrecht bevindt zich in een DMZ. De infrastructuur waar deze applicatie op draait wordt beheerd door Brein B.V. in de vorm van SAAS. Het object van zelfevaluatie is de webomgeving van DigiD aansluiting Digitaal loket gemeente Dordrecht. De zelfevaluatie heeft zich gericht op de webapplicatie, de URL‘s waarmee deze kan worden benaderd, de infrastructuur (binnen de DMZ waar de webapplicatie zich bevindt) en een aantal ondersteunende processen conform de “Norm ICT-beveiligingsassessments DigiD” van Logius. Gemeente Dordrecht heeft een deel van de DigiD webomgeving uitbesteed aan Brein B.V. Als gevolg hiervan is een aantal maatregelen belegd bij deze service organisatie.
Het onderzoeken van deze maatregelen is dan ook uitgevoerd door de IT-auditor van deze service organisatie. De normen waar deze maatregelen betrekking op hebben maken geen onderdeel uit van de zelfevaluatie, tenzij sprake is van een gedeelde norm. Een DigiD-aansluiting dient aan het gehele normenkader te voldoen. Deze zelfevaluatie ENSIA voor DigiD is toegepast op dat deel van het normenkader dat niet onder uitbesteding aan onze leverancier valt. De overige normen worden afgedekt door onderstaande TPM / assurancerapportage van onze serviceorganisatie: Leverancier 1 Naam serviceorganisatie:
Brein BV
Referentie/rapportnummer:
AC/BT/BR/11112019.1
Afgiftedatum:
26-11-2019
Naam RE-auditor:
Agnes ter Agter
Ondertekend door RE-auditor:
Ja
Onze IT-auditor heeft tevens getoetst of de zelfevaluatie en de TPM / assurance-rapportage van onze serviceorganisatie het gehele normenkader afdekken. Het kan voorkomen dat een norm deels bij een leverancier en deels bij de gemeente getoetst is (zogenaamde gedeelde norm). Kenmerk: wdn/spn/7604
-12/18-
Voor identificatiedoeleinden
19 mei 2020 BDO Audit & Assurance B.V. Behorende bij briefnummer wdn/spn/7604 Auditor: drs. W. Dalhuisen RE CISA, Partner
Paraaf:
De uitkomst uit de zelfevaluatie is getoetst door onze RE-gecertificeerde IT-auditor. De conclusie van de auditor is opgenomen in het assurance-rapport met kenmerk wdn/spn/7604. Onderstaande tabel toont de uitkomsten van de zelfevaluatie per norm inclusief de normen die getoetst zijn bij leverancier. DigiD Norm
B.05
Contractmanagement
U/TV.01 Identificatie en authenticatie
Getoetst bij Gemeente
(Optioneel) Getoetst bij leverancier 1
Totaal oordeel norm
•
Voldoet
•
Voldoet
•
Voldoet
•
Voldoet
•
Voldoet
•
Voldoet
•
Voldoet
•
Voldoet
•
Voldoet
U/WA.0 2
Webapplicatiebeheer proces
U/WA.0 3
Automatische data invoer controle
•
Voldoet
•
Voldoet
U/WA.0 4
Normaliseren uitvoer
•
Voldoet
•
Voldoet
U/WA.0 5
Cryptografie/ Privacy bevordering
•
Voldoet
•
Voldoet
U/PW.0 2
Garanderen webprotocollen
•
Voldoet
•
Voldoet
U/PW.0 3
Configureren webserver
•
Voldoet
•
Voldoet
U/PW.0 5
Toegang tot beheermechanismen
•
Voldoet
•
Voldoet
U/PW.0 7
Hardening van platformen
•
Voldoet
•
Voldoet
U/NW.0 3
DMZ
•
Voldoet
•
Voldoet
U/NW.0 4
Protectie- en detectiemechanisme n
•
Voldoet
•
Voldoet
Kenmerk: wdn/spn/7604
•
Voldoet
-13/18-
Voor identificatiedoeleinden
19 mei 2020 BDO Audit & Assurance B.V. Behorende bij briefnummer wdn/spn/7604 Auditor: drs. W. Dalhuisen RE CISA, Partner
Paraaf:
U/NW.0 5
Scheiding beheer- en productieomgeving
U/NW.0 6
Hardening van netwerken
C.03
•
Voldoet
•
Voldoet
•
Voldoet
•
Voldoet
Vulnerabilityassessments
•
Voldoet
•
Voldoet
C.04
Penetratietesten
•
Voldoet
•
Voldoet
C.06
Signaleringsfuncties
•
Voldoet
•
Voldoet
C.07
Monitoring functies
•
Voldoet
•
Voldoet
C.08
Wijzigingenbeheer
•
Voldoet
•
Voldoet
C.09
Patchmanagement
•
Voldoet
•
Voldoet
•
•
Voldoet
Voldoet
Hoeft volgens de gemeente en volgens hoofdstuk “verantwoordelijkheden gebruikersorganisatie” van de TPM van de serviceorganisatie niet bij de gemeente getoetst te worden.
DigiD Norm B.05
In een contract met een derde partij voor de uitbestede levering of beheer van een webapplicatie (als dienst) zijn de beveiligingseisen en -wensen vastgelegd en op het juiste (organisatorische) niveau vastgesteld.
U/TV.01
De inzet van identiteit- en toegangsmiddelen levert betrouwbare en effectieve mechanismen voor het vastleggen en vaststellen van de identiteit van gebruikers, het toekennen van rechten aan gebruikers, het controleerbaar maken van het gebruik van deze middelen en het automatiseren van arbeidsintensieve taken.
U/WA.02
Het webapplicatiebeheer is procesmatig en procedureel ingericht, waarbij geautoriseerde beheerders op basis van functieprofielen taken verrichten.
Kenmerk: wdn/spn/7604
-14/18-
Voor identificatiedoeleinden
19 mei 2020 BDO Audit & Assurance B.V. Behorende bij briefnummer wdn/spn/7604 Auditor: drs. W. Dalhuisen RE CISA, Partner
Paraaf:
U/WA.03
De webapplicatie beperkt de mogelijkheid tot manipulatie door de invoer te normaliseren en te valideren, voordat deze invoer wordt verwerkt.
U/WA.04
De webapplicatie beperkt de uitvoer tot waarden die (veilig) verwerkt kunnen worden door deze te normaliseren.
U/WA.05
De webapplicatie garandeert de betrouwbaarheid van informatie door toepassing van privacybevorderende en cryptografische technieken.
U/PW.02
De webserver garandeert specifieke kenmerken van de inhoud van de protocollen.
U/PW.03
De webserver is ingericht volgens een configuratiebaseline.
U/PW.05
Het beheer van platformen maakt gebruik van veilige (communicatie)protocollen voor het ontsluiten van beheermechanismen en wordt uitgevoerd conform het operationeel beleid voor platformen.
U/PW.07
Voor het configureren van platformen is een hardeningsrichtlijn beschikbaar.
U/NW.03
Het netwerk is gescheiden in fysieke en logische domeinen (zones), in het bijzonder is er een DMZ die tussen het interne netwerk en het internet gepositioneerd is.
U/NW.04
De netwerkcomponenten en het netwerkverkeer worden beschermd door middel van detectie- en protectiemechanismen.
U/NW.05
Binnen de productieomgeving zijn beheer- en productieverkeer van elkaar afgeschermd.
U/NW.06
Voor het configureren van netwerken is een hardeningrichtlijn beschikbaar.
C.03
Vulnerability assessments (security scans) worden procesmatig en procedureel uitgevoerd op de ICTcomponenten van de webapplicatie (scope).
C.04
Penetratietests worden procesmatig en procedureel, ondersteund door richtlijnen, uitgevoerd op de infrastructuur van de webapplicatie (scope).
C.06
In de webapplicatieomgeving zijn signaleringsfuncties (registratie en detectie) actief en efficiënt, effectief en beveiligd ingericht.
C.07
De loggings- en detectie-informatie (registraties en alarmeringen) en de condities van de beveiliging van ICT-systemen worden regelmatig gemonitord (bewaakt, geanalyseerd) en de bevindingen gerapporteerd.
C.08
Wijzigingenbeheer is procesmatig en procedureel zodanig uitgevoerd dat wijzigingen in de ICTvoorzieningen van webapplicaties tijdig, geautoriseerd en getest worden doorgevoerd.
Kenmerk: wdn/spn/7604
-15/18-
Voor identificatiedoeleinden
19 mei 2020 BDO Audit & Assurance B.V. Behorende bij briefnummer wdn/spn/7604 Auditor: drs. W. Dalhuisen RE CISA, Partner
Paraaf: