3 Bijlage 1 DigiD(3) 1004599 Parkeren Haarlem getekend

*ƒ* Gemeente Haarlem

4*

Kenmerk 2024/337443

Bijlage 1 DigiD(3) - Parkeren Gemeente Haarlem -1004599 Deze bijlage is een afzonderlijk onderdeel van de Collegeverklaring ENSIA 2023 van gemeente Haarlem.

Totaaloverzicht getoetste normen ICT-beveiligingsassessment

DigiD-aansluiting Parkeren Gemeente Haarlem met aansluitnummer 1004599 Gemeente Haarlem biedt de volgende functionaliteit aan waarvoor DigiD-aansluiting Gemeente Haarlem - Parkeren voor authenticatie wordt gebruikt:

•

Het aanvragen, wijzigen en verlenen van parkeervergunningen.

Deze functionaliteit wordt geboden door de volgende webapplicatie: • Citypermit (versie 2.1) Deze applicatie betreft standaard software en wordt onderhouden door Sigmax Law Enforcement B.V. Deze applicatie is extern benaderbaar via het volgende internetadres: https://parkeren.haarlem.nl/ DigiD-aansluiting Gemeente Haarlem - Parkeren bevindt zich in de Demilitarized Zone (DMZ). De applicaties worden beheerd en ontwikkeld door Sigmax Law Enforcement B.V., in de vorm van een Software-as-a-service (SaaS) oplossing. De onderliggende laag wordt beheerd door Sigmax Law Enforcements B.V. De infrastructuur wordt beheerd, onderhouden en ontwikkeld door Fundaments B.V. Het object van de zelfevaluatie ENSIA is de webomgeving van DigiD-aansluiting Gemeente Haarlem - Parkeren. De zelfevaluatie heeft zich gericht op de webapplicatie die gebruik maakt van DigiD voor de identificatie en authenticatie van de gebruikers. Specifiek zijn in scope de internet-facing webpagina's waarmee de interactie naar de gebruiker plaatsvindt als deze is geïdentificeerd en geauthentiseerd via DigiD, de systeemkoppelingen en de infrastructuur die met DigiD gekoppeld is en betrekking heeft op het DigiD identificatie en authenticatieproces. Ook de verschillende vormen van beheer op de webapplicaties zijn in scope voor zover relevant voor de doelstelling van het zelfassessment.

De URL www.digid.nl, de token uitwisseling tussen Logius en de Webserver, de systemen die gegevens leveren of ophalen uit de webapplicatie, zoals backoffice informatiesystemen vallen buiten de scope. Subsystemen en koppelvlakken zijn in scope indien de primaire authenticatie van het systeem op basis van DigiD tot stand is gekomen. Een DigiD-aansluiting dient aan het gehele normenkader te voldoen. Gemeente haarlem heeft een deel van de DigiD-webomgeving uitbesteed aan Sigmax Law Enforcement B.V. Als gevolg hiervan is een aantal interne beheersingsmaatregelen betreffende dit normenkader belegd bij deze serviceorganisatie. Het onderzoeken van deze maatregelen is uitgevoerd door de onafhankelijke IT-auditor/RE van deze serviceorganisatie. De normen waar deze maatregelen betrekking op hebben zijn onderdeel van de zelfevaluatie. Over de uitkomsten van dit onderzoek heeft de onafhankelijke IT-auditor/RE van de

*;< Gemeente Haarlem

4*

Kenmerk 2024/337443

serviceorganisatie de onderstaande TPM/ assurancerapportage opgesteld. Serviceorganisatie

Naam serviceorganisatie:

Sigmax Law Enforcement B.V.

Referentie/rapportnummer:

2309R.AH62

Afgiftedatum:

20 september 2023

Naam onafhankelijke IT-auditor/RE:

A.J.A. Hassing RE RA

Ondertekend door onafhankelijke IT-auditor/RE:

Ja

Serviceorganisatie

Fundaments B.V.

Naam serviceorganisatie:

Referentie/rapportnummer:

1 juli 2022 t/m 30 juni 2023

Afgiftedatum:

15 september 2023

Naam onafhankelijke IT-auditor/RE:

Ronald Snoep RE

Ondertekend door onafhankelijke IT-auditor/RE:

Ja

Onze onafhankelijke IT-auditor/RE heeft tevens getoetst of de zelfevaluatie, waarin opgenomen de TPM / assurancerapportage van onze serviceorganisatie, het gehele normenkader afdekken. Het kan voorkomen dat een norm deels bij een serviceorganisatie en deels bij de gemeente is getoetst (zogenaamde gedeelde norm).

De uitkomst uit de zelfevaluatie is getoetst door onze onafhankelijke IT-auditor/RE. De conclusie van deze onafhankelijke IT-auditor/RE is opgenomen in het assurancerapport met kenmerk AAS2024-2280. Onderstaande tabel toont de uitkomsten van de zelfevaluatie per norm die zijn getoetst bij de serviceorganisatie.

DigiD-norm

B.01

Informatiebeveiligingsbeleid

Getoetst bij gemeente Haarlem

Getoetst bij

Getoetst bij

Totaaloordeel

Sigmax Law Enforcement B.V.

Fundaments B.V.1

norm

Voldoet

Voldoet

Niet van

Voldoet

toepassing

B.05

Contractmanagement

Voldoet

Voldoet

Niet van

Voldoet

toepassing U/TV.01 U/WA.02

U/WA.03

Identificatie en authenticatie

Voldoet

Voldoet

Webapplicatiebeheerproces

Voldoet

Automatische data-invoercon- trole

Niet van

Voldoet

Voldoet

Voldoet

Voldoet

Voldoet

Voldoet

Niet van toepassing

Voldoet

Niet van

Voldoet

toepassing

U/WA.04

Normaliseren uitvoer

Niet van

Voldoet

toepassing U/WA.05

Cryptografie/ Privacybevordering

Voldoet

toepassing Voldoet

Niet van toepassing

1 De auditor van de serviceorganisatie is verantwoordelijk voor het vaststellen van de overeenkomst van het DigiD normenkader en het normenkader van de subserviceorganisatie. Voor de in deze kolom vermelde oordelen wordt verwezen naar de bevindingen en de daarop gebaseerde conclusie van de auditor van de subserviceorganisatie, die zijn opgenomen in de rapportage over de subserviceorganisatie.

Voldoet

111ee111 *ï* Gemeente Haarlem DigiD-norm

U/PW.02

Garanderen webprotocollen

Kenmerk 2024/337443

Getoetst bij

Getoetst bij gemeente Haarlem

Sigmax Law Enforcement B.V.

Niet van

Voldoet

Configureren Webserver

Toegangtot beheermechanismen

U/PW.07

Hardening van platformen

B.V.1

Niet van

Voldoet

Voldoet

Niet van toepassing

Voldoet

Niet van toepassing

Voldoet

Niet van toepassing

Voldoet

Niet van

Voldoet

Niet van toepassing

Voldoet

Niet van

toepassing U/PW.05

Totaaloordeel norm

toepassing

toepassing U/PW.03

Getoetst bij Fundaments

toepassing U/NW.03

DMZ

Niet van toepassing

Voldoet

Niet van toepassing

Voldoet

U/NW.04

Protectie- en detectiemechanismen

Niet van toepassing

Voldoet

Niet van toepassing

Voldoet

U/NW.05

Scheiding beheer- en productieomgeving

Niet van toepassing

Voldoet

Niet van toepassing

Voldoet

U/NW.06

Hardening van netwerken

Voldoet

Voldoet

Niet van toepassing

Voldoet

C.03

Vulnerability-assessments

Niet van

Voldoet

Niet van toepassing

Voldoet

Voldoet

Niet van toepassing

Voldoet

toepassing

C.04

Penetratietesten

Niet van

toepassing

C.06

Signaleringsfuncties

Niet van toepassing

Voldoet

Niet van toepassing

Voldoet

C.07

Monitoringfuncties

Niet van toepassing

Voldoet

Niet van toepassing

Voldoet

C.08

Wijzigingenbeheer

Voldoet

Voldoet

Niet van toepassing

Voldoet

C.09

Patchmanagement

Niet van

Voldoet

Niet van toepassing

Voldoet

toepassing

Namens het college van burgemeester en wethouders, Haarlem, 16 april 2024

de secretaris,

de burgemeester.

mr. C.M. Lenstra

drs. J. Wienen