Document · PDF

Bijlage bij nr. 34 - 4. Collegeverklaring bijlage 1 DigiD

raadsvergadering openbaar 4 oktober 2021, gemeente Hendrik-Ido-AmbachtBij agendapunt: Lijst van ingekomen stukken en eventuele mededelingen1.104 woorden

Open het PDF bij de gemeente ↗Naar de vergadering →

Tekst van het document

Uit het bestand gehaald, zonder opmaak, tabellen en afbeeldingen

Gemeentelijk kenmerk bijlage 1 DigiD:

2021-0026800a

Bijlage 1 DigiD (1) Totaaloverzicht getoetste normen ICT-beveiligingsassessment DigiD-aansluiting Digitaal loket Hendrik-Ido-Ambacht en aansluitnummer 1002821 Hendrik-Ido-Ambacht biedt de volgende functionaliteit aan waarvoor DigiD-aansluiting Digitaal loket Hendrik-Ido-Ambacht voor authenticatie wordt gebruikt:  Het genereren van aanvraagformulieren voor de gemeentelijke dienstverlening. Deze functionaliteit wordt geboden door de volgende webapplicatie:  Inproces (Klant, zaak- en archiefsysteem). Deze applicatie betreft een geheel standaardpakket en wordt onderhouden door Visma Roxit B.V. Deze applicatie is extern benaderbaar via de volgende URL‘s: loket.h-i-ambacht.nl DigiD-aansluiting Digitaal loket Hendrik-Ido-Ambacht bevindt zich in de Demilitarized Zone (DMZ). De infrastructuur waar deze applicatie op draait wordt beheerd door Visma Roxit B.V.in de vorm van SAAS. Het object van zelfevaluatie is de web-omgeving van DigiD-aansluiting Digitaal loket HendrikIdo-Ambacht. De zelfevaluatie heeft zich gericht op de webapplicatie, de internetadressen waarmee deze kan worden benaderd, de infrastructuur (binnen de DMZ waar de webapplicatie zich bevindt) en een aantal ondersteunende processen conform de “Norm ICTbeveiligingsassessments DigiD” van Logius. Gemeente Hendrik-Ido-Ambacht heeft een deel van de DigiD webomgeving uitbesteed aan Visma Roxit B.V.

Als gevolg hiervan is een aantal maatregelen belegd bij deze service organisatie. Het onderzoeken van deze maatregelen is dan ook uitgevoerd door de IT auditor van deze service organisatie. De normen waar deze maatregelen betrekking op hebben maken geen onderdeel uit van de zelfevaluatie, tenzij sprake is van een gedeelde norm. Een DigiD-aansluiting dient aan het gehele normenkader te voldoen. Deze zelfevaluatie ENSIA voor DigiD is toegepast op dat deel van het normenkader dat niet onder uitbesteding aan de leverancier van de gemeente valt. De overige normen worden afgedekt door onderstaande TPM van de gemeentelijke serviceorganisatie: Leverancier 1 Naam serviceorganisatie:

Visma Roxit B.V.

Referentie/rapportnummer:

AC/KV/RSN/09122020.2

Afgiftedatum:

09 december 2020

Naam RE-auditor:

Audit Connect BV , Agnes ter Agter RE

Ondertekend door RE-auditor:

Onze IT-auditor heeft tevens getoetst of de zelfevaluatie en de TPM van onze serviceorganisatie het gehele normenkader afdekken. De uitkomst uit de zelfevaluatie is getoetst door onze RE-gecertificeerde IT-auditor. De conclusie van de auditor is opgenomen in het assurancerapport met kenmerk wdn/esc/8110. Onderstaande tabel toont de uitkomsten van de zelfevaluatie per norm: DigiD Norm Getoetst bij Getoetst bij Gemeente Visma Roxit BV B.05

Totaal oordeel norm

Contractmanagement 

Voldoet



Voldoet



Voldoet



Voldoet



Voldoet



Voldoet



Voldoet



Voldoet



Voldoet



Voldoet



Voldoet



Voldoet



Voldoet



Voldoet



Voldoet



Voldoet



Voldoet



Voldoet



Voldoet



Voldoet



Voldoet



Voldoet



Voldoet

U/TV.01 Identificatie en authenticatie

U/WA.02 Webapplicatiebeheer proces

U/WA.03 Automatische data invoer controle U/WA.04 Normaliseren uitvoer

U/WA.05 Cryptografie/Privacybevordering 

Voldoet

U/PW.02 Garanderen webprotocollen

U/PW.03 Configureren webserver

U/PW.05 Toegang tot beheermechanismen U/PW.07 Hardening van platformen

U/NW.03 DMZ

U/NW.04 Protectie- en detectiemechanismen U/NW.05 Scheiding beheer- en productieomgeving



Voldoet



Voldoet



Voldoet



Voldoet



Voldoet



Voldoet



Voldoet



Voldoet



Voldoet



Voldoet



Voldoet



Voldoet



Voldoet



Voldoet



Voldoet



Voldoet



Voldoet



Voldoet



Voldoet



Voldoet

U/NW.06 Hardening van netwerken  C.03

C.04

C.06

C.07

Voldoet

Vulnerability-assessments

Penetratietesten

Signaleringsfuncties

Monitoring functies

C.08

Wijzigingenbeheer

C.09

Patchmanagement



Voldoet

Bijlage 1 DigiD (2) Totaaloverzicht getoetste normen ICT-beveiligingsassessment DigiD-aansluiting e-diensten Hendrik-Ido-Ambacht en aansluitnummer 1003447 Hendrik-Ido-Ambacht biedt de volgende functionaliteit aan waarvoor DigiD-aansluiting ediensten Hendrik-Ido-Ambacht voor authenticatie wordt gebruikt:  Het genereren van aanvraagformulieren voor e-diensten burgerzaken. Deze functionaliteit wordt geboden door de volgende webapplicatie: 

e-dienst Burgerzaken

Deze applicatie betreft een combinatie van maatwerk en standaard software en wordt onderhouden door Centric Nederland B.V Deze applicatie is extern benaderbaar via het volgende internetadres: https://edienstenburgerzaken.h-i-ambacht.nl/Geboorte/login/ DigiD aansluiting gemeente Hendrik-Ido-Ambacht - eDiensten bevindt zich in de Demilitarized Zone (DMZ). De infrastructuur waar deze applicatie op draait wordt beheerd Centric Nederland B.V in de vorm van SAAS. Het object van zelfevaluatie is de web-omgeving van DigiD aansluiting gemeente Hendrik-IdoAmbacht - eDiensten. De zelfevaluatie heeft zich gericht op de webapplicatie, de internetadressen waarmee deze kan worden benaderd, de infrastructuur (binnen de DMZ waar de webapplicatie zich bevindt) en een aantal ondersteunende processen conform de “Norm ICT-beveiligingsassessments DigiD” van Logius. Gemeente Hendrik-Ido-Ambacht heeft een deel van de DigiD web-omgeving uitbesteed aan Centric Nederland B.V. Als gevolg hiervan is een aantal maatregelen belegd bij deze serviceorganisatie. Het onderzoeken van deze maatregelen is dan ook uitgevoerd door de ITauditor van deze serviceorganisatie. De normen waar deze maatregelen betrekking op hebben maken geen onderdeel uit van de zelfevaluatie, tenzij sprake is van een gedeelde norm. Een DigiD-aansluiting dient aan het gehele normenkader te voldoen.

Deze zelfevaluatie ENSIA voor DigiD is toegepast op dat deel van het normenkader dat niet onder uitbesteding aan de leverancier van de gemeente valt. De overige normen worden afgedekt door onderstaande TPM's van de gemeentelijke serviceorganisatie: Leverancier 1 Naam serviceorganisatie:

Centric Nederland BV

Referentie/rapportnummer:

NP9AQ7B_B en REQ5157460_B2

Afgiftedatum:

04-12-2020 en 08-03-2021

Naam RE-auditor:

Ernst & Young Accountants LLP, Peter Kornelisse RE CISA CIPP

Ondertekend door RE-auditor:

Onze IT-auditor heeft tevens getoetst of de zelfevaluatie en de TPM's van onze serviceorganisatie het gehele normenkader afdekken. Het kan voorkomen dat een norm deels bij een leverancier en deels bij de gemeente getoetst is (zogenaamde gedeelde norm). De uitkomst uit de zelfevaluatie is getoetst door onze RE-gecertificeerde IT-auditor. De conclusie van de auditor is opgenomen in het assurancerapport met kenmerk wdn/esc/8110. Onderstaande tabel toont de uitkomsten van de zelfevaluatie per norm: DigiD Norm Getoetst bij Getoetst bij Centric Totaal oordeel norm Gemeente Nederland BV B.05

Contractmanagement 

Voldoet



Voldoet



Voldoet



Voldoet



Voldoet



Voldoet



Voldoet



Voldoet



Voldoet



Voldoet



Voldoet



Voldoet



Voldoet



Voldoet



Voldoet



Voldoet niet



Voldoet niet



Voldoet



Voldoet



Voldoet



Voldoet

U/TV.01 Identificatie en authenticatie

U/WA.02 Webapplicatiebeheer proces 

Voldoet

U/WA.03 Automatische data invoer controle U/WA.04 Normaliseren uitvoer

U/WA.05 Cryptografie/Privacybevordering 

Voldoet

U/PW.02 Garanderen webprotocollen

U/PW.03 Configureren webserver

U/PW.05 Toegang tot beheermechanismen

U/PW.07 Hardening van platformen

U/NW.03 DMZ

U/NW.04 Protectie- en detectiemechanismen U/NW.05 Scheiding beheer- en productieomgeving



Voldoet



Voldoet



Voldoet



Voldoet



Voldoet



Voldoet



Voldoet



Voldoet



Voldoet



Voldoet



Voldoet



Voldoet



Voldoet



Voldoet



Voldoet



Voldoet



Voldoet



Voldoet



Voldoet



Voldoet

U/NW.06 Hardening van netwerken  C.03

C.04

C.06

C.07

C.08

Vulnerability-assessments

Penetratietesten

Signaleringsfuncties

Monitoring functies

Wijzigingenbeheer 

C.09

Voldoet

Patchmanagement

De tekst is automatisch uit het bestand gehaald en kan afwijken van het origineel (kolommen, tabellen en koppen lopen door elkaar). Het officiële stuk bij de gemeente is leidend. Bron: https://api.notubiz.nl/document/10465918/1