Bijlage 1 DigiD 2024 SaaS leverancier e250018311
Tekst van het document
Gemeente Ermelo - 02330000272504 - Bijlage 1 DigiD
Bijlage 1 DigiD - eDiensten Burgerzaken Gemeente Ermelo - 1003067 Totaaloverzicht getoetste normen ICT-beveiligingsassessment DigiD-aansluiting eDiensten Burgerzaken Gemeente Ermelo met aansluitnummer 1003067 Gemeente Ermelo biedt de volgende functionaliteit aan waarvoor DigiD-aansluiting eDiensten Burgerzaken Gemeente Ermelo voor authenticatie wordt gebruikt: • Inwoners kunnen bv. een digitaal een verhuizing, geboorte, overlijden, naamswijziging doorgeven. Deze functionaliteit wordt geboden door de volgende webapplicatie: • Naam: Centric Ediensten • Versie: 1.10.0 Deze webapplicatie is extern benaderbaar via het volgende internetadres: • https://edienstenburgerzaken.ermelo.nl Het object van zelfevaluatie is de web-omgeving van DigiD-aansluiting eDiensten Burgerzaken Gemeente Ermelo. De zelfevaluatie heeft zich gericht op de webapplicatie, de internetadressen waarmee deze kan worden benaderd, de infrastructuur (binnen de DMZ waar de webapplicatie zich bevindt) en een aantal ondersteunende processen conform de “Norm ICT-beveiligingsassessments DigiD versie 3.0” van Logius. Deze webapplicatie betreft een geheel standaardpakket. De webapplicatie wordt onderhouden door Centric Netherlands B.V. De infrastructuur waar deze applicatie op draait, wordt beheerd door Centric Netherlands B.V. met beheervorm SaaS.
Gemeente Ermelo heeft de DigiD web-omgeving uitbesteed aan: • Centric Netherlands B.V. Als gevolg hiervan is een aantal maatregelen belegd bij deze serviceorganisatie(s). Het onderzoeken van deze maatregelen is dan ook uitgevoerd door de IT-auditor van deze serviceorganisatie(s). De normen waar deze maatregelen betrekking op hebben maken geen onderdeel uit van de zelfevaluatie, tenzij sprake is van een gedeelde norm. De DigiD-webomgeving moet aan het gehele normenkader voldoen. Deze zelfevaluatie ENSIA voor DigiD is toegepast op dat deel van het normenkader dat niet onder uitbesteding aan de leverancier(s) van de gemeente valt voor de periode: Aansluithouder Oordeelsdatum:
31-12-2024
Controleperiode:
01-07-2024 t/m 31-12-2024
De overige normen worden afgedekt door onderstaande TPM / assurancerapportage(s) van de (toe)leverancier(s): SaaS-leverancier Naam SaaS-leverancier:
Centric Netherlands B.V
Referentie/rapportnummer:
24X00195119AVN_CEDB
Oordeelsdatum:
12 november 2024
Controleperiode:
1 maart 2024 t/m 30 september 2024
Naam RE-auditor
KPMG Accountants N.V | B. Beugelaar RE RA
Ondertekend door RE-auditor:
Ja
1/3
Gemeente Ermelo - 02330000272504 - Bijlage 1 DigiD
Onze IT-auditor heeft tevens getoetst of de zelfevaluatie en de TPM’s / assurancerapportages van onze serviceorganisatie(s) het gehele normenkader afdekken. De conclusie van de auditor is opgenomen in het assurancerapport met kenmerk 312024020.25.008_AR.
2/3
Gemeente Ermelo - 02330000272504 - Bijlage 1 DigiD
Onderstaande tabel toont de uitkomsten van de zelfevaluatie per norm inclusief de normen die getoetst zijn bij de bovengenoemde leveranciers. Aansluithouder
SaaS-leverancier
DigiD-norm
Toetsing op
Oordeel
Oordeel TPM
Totaaloordeel
B.01 Informatiebeveiligingsbeleid
Opzet en bestaan
Voldoet
Voldoet
Voldoet
B.05 Contractmanagement
Opzet en bestaan
Voldoet
Voldoet
Voldoet
U/TV.01 Identificatie en authenticatie
Opzet en bestaan
Niet van toepassing
Voldoet
Voldoet
Werking
Niet van toepassing
Voldoet
Voldoet
Voldoet
Voldoet
Voldoet
Geen oordeel1
Voldoet
Voldoet
U/WA.02 Webapplicatiebeheerproces
Opzet en bestaan Werking
U/WA.03 Automatische data-invoercontrole
Opzet en bestaan
Niet van toepassing
Voldoet
Voldoet
U/WA.04 Normaliseren uitvoer
Opzet en bestaan
Niet van toepassing
Voldoet
Voldoet
U/WA.05 Cryptografie/ Privacybevordering
Opzet en bestaan
Voldoet
Voldoet
Voldoet
U/PW.02 Garanderen webprotocollen
Opzet en bestaan
Niet van toepassing
Voldoet
Voldoet
U/PW.03 Configureren webserver
Opzet en bestaan
Niet van toepassing
Voldoet
Voldoet
U/PW.05 Toegang tot beheermechanismen
Opzet en bestaan
Niet van toepassing
Voldoet
Voldoet
U/PW.07 Hardening van platformen
Opzet en bestaan
Niet van toepassing
Voldoet
Voldoet
U/NW.03 DMZ
Opzet en bestaan
Niet van toepassing
Voldoet
Voldoet
U/NW.04 Protectie- en detectiemechanismen
Opzet en bestaan
Niet van toepassing
Voldoet
Voldoet
U/NW.05 Scheiding beheer- en productieomgeving
Opzet en bestaan
Niet van toepassing
Voldoet
Voldoet
U/NW.06 Hardening van netwerken
Opzet en bestaan
Voldoet
Voldoet
Voldoet
C.03 Vulnerability-assessments
Opzet en bestaan
Niet van toepassing
Voldoet
Voldoet
C.04 Penetratietesten
Opzet en bestaan
Niet van toepassing
Voldoet
Voldoet
C.06 Signaleringsfuncties
Opzet en bestaan
Niet van toepassing
Voldoet
Voldoet
C.07 Monitoringfuncties
Opzet en bestaan
Niet van toepassing
Voldoet
Voldoet
Werking
Niet van toepassing
Voldoet
Voldoet
Voldoet
Voldoet
Voldoet
C.08 Wijzigingenbeheer
Opzet en bestaan Werking
C.09 Patchmanagement
Voldoet
Voldoet
Voldoet
Opzet en bestaan
Niet van toepassing
Voldoet
Voldoet
Werking
Niet van toepassing
Voldoet
Voldoet
1 Voor beveiligingsrichtlijn U/WA.02 verklaart de gemeente Ermelo dat zij maatregelen heeft ontworpen (opzet) met betrekking tot deze
norm. Wij zijn van mening dat gemeente Ermelo voldoet aan deze norm. Vanwege non-occurrence kan de effectieve werking niet worden vastgesteld en daarom geven wij daarover geen oordeel binnen deze zelfevaluatie.
3/3