3 Bijlage 1 DigiD(2) 1003227 MijnHaarlem getekend
Tekst van het document
Gemeente Haarlem
Kenmerk 2024/337443
Bijlage 1 Digi0(2) - Gemeente Haarlem - MijnHaarlem -1003227 Deze bijlage is een afzonderlijk onderdeel van de Collegeverklaring ENSIA 2023 van gemeente Haarlem.
Totaaloverzicht getoetste normen ICT-beveiligingsassessment
DigiD-aansluiting Gemeente Haarlem - MijnHaarlem met aansluitnummer 1003227 Gemeente Haarlem biedt de volgende functionaliteit aan waarvoor DigiD-aansluiting Gemeente Haarlem - MijnHaarlem voor authenticatie wordt gebruikt:
•
Identificatie voor toegang tot persoonlijke zaken in het zaaksysteem, digitaal postvak, afspraken en inzage in de brp gegevens.
Deze functionaliteit wordt geboden door de volgende webapplicatie: • MijnHaarlem
Deze applicatie betreft een combinatie van maatwerk en standaard software en wordt onderhouden door gemeente Haarlem. Deze applicatie is extern benaderbaar via het volgende internetadres: https://mijn.haarlem.nl/
DigiD-aansluiting Gemeente Haarlem - MijnHaarlem bevindt zich in de Demilitarized Zone (DMZ). De infrastructuur waar deze applicatie op draait wordt beheerd door gemeente Haarlem in de vorm van fysieke hosting. Het object van de zelfevaluatie ENSIA is de webomgeving van DigiD-aansluiting Gemeente Haarlem - MijnHaarlem. De zelfevaluatie heeft zich gericht op de webapplicatie die gebruik maakt van DigiD voor de identificatie en authenticatie van de gebruikers. Specifiek zijn in scope de internet-facing webpagina's waarmee de interactie naar de gebruiker plaatsvindt als deze is geïdentificeerd en geauthentiseerd via DigiD, de systeemkoppelingen en de infrastructuur die met DigiD gekoppeld is en betrekking heeft op het DigiD identificatie en authenticatieproces. Ook de verschillende vormen van beheer op de webapplicaties zijn in scope voor zover relevant voor de doelstelling van het zelfassessment. De URL www.digid.nl, de token uitwisseling tussen Logius en de Webserver, de systemen die gegevens leveren of ophalen uit de webapplicatie, zoals backoffice informatiesystemen vallen buiten de scope. Subsystemen en koppelvlakken zijn in scope indien de primaire authenticatie van het systeem op basis van DigiD tot stand is gekomen.
Onze onafhankelijke IT-auditor/RE heeft tevens getoetst of de zelfevaluatie, waarin opgenomen de TPMj's] / assurancerapportage[s] van onze serviceorganisatiejs], het gehele normenkader afdekken. Het kan voorkomen dat een norm deels bij een serviceorganisatie en deels bij de gemeente is getoetst (zogenaamde gedeelde norm).
De uitkomst uit de zelfevaluatie is getoetst door onze onafhankelijke IT-auditor/RE. De conclusie van deze onafhankelijke IT-auditor/RE is opgenomen in het assurancerapport met kenmerk AAS2024-2280.
4*
Gemeente Haarlem
Kenmerk 2024/337443
DigiD-norm
Getoetst bij gemeente Haarlem
Totaaloordeel norm
B.01
Informatiebeveiligingsbeleid
Voldoet
Voldoet
B.05
Contractmanagement
Voldoet
Voldoet
U/TV.01
Identificatie en authenticatie
Voldoet
Voldoet
U/WA.02
Webapplicatiebeheerproces
Voldoet
Voldoet
U/WA.03
Automatische data-invoercon- trole
Voldoet
Voldoet
U/WA.04
Normaliseren uitvoer
Voldoet
Voldoet
U/WA.05
Cryptografie/ Privacybevordering
Voldoet
Voldoet
U/PW.02
Garanderen webprotocollen
Voldoet
Voldoet
U/PW.03
Configureren Webserver
Voldoet
Voldoet
U/PW.05
Toegangtot beheermechanismen
Voldoet
Voldoet
U/PW.07
Hardening van platformen
Voldoet
Voldoet
U/NW.03
DMZ
Voldoet
Voldoet
U/NW.04
Protectie- en detectiemechanismen
Voldoet
Voldoet
U/NW.05
Scheiding beheer- en productieomgeving__________________
Voldoet
Voldoet
U/NW.06
Hardeningvan netwerken_____
Voldoet
Voldoet
C.03
Vulnerability-assessments
Voldoet
Voldoet
C.04
Penetratietesten
Voldoet
Voldoet
C.06
Signaleringsfuncties
Voldoet
Voldoet
C.07
Monitoringfuncties
Voldoet
Voldoet
C.08
Wijzigingenbeheer
Voldoet
Voldoet
C.09
Patchmanagement
Voldoet
Voldoet
Namens het college van burgemeester en wethouders,
Haarlem, 16 april 2024
de secretaris,
de burgemeester.
mr. C.M. Lenstra
drs. J. Wienen