Document · PDF

Totaaloverzicht getoetste normen ICT-beveiligingsassessment

Besluitronde (raadsvergadering) 11 mei 2022, gemeente NijmegenBij agendapunt: D13 d.d. 5 april 2022 inzake Eenduidige Normatiek Single Information Audit (ENSIA) 20212.830 woorden

Open het PDF bij de gemeente ↗Naar de vergadering →

Tekst van het document

Uit het bestand gehaald, zonder opmaak, tabellen en afbeeldingen

Gemeentelijk kenmerk bijlage 1 DigiD: E22.000034

Bijlage 1 DigiD - Digitaal Loket - 1000281 Totaaloverzicht getoetste normen ICT-beveiligingsassessment DigiD-aansluiting Digitaal Loket met aansluitnummer 1000281 Gemeente Nijmegen biedt de volgende functionaliteit aan waarvoor DigiD-aansluiting Digitaal Loket voor authenticatie wordt gebruikt: • Digitaal Loket Deze functionaliteit wordt geboden door de volgende webapplicatie: • Exxellence Suite (Digitaal Loket en eFormulieren Deze applicatie betreft een geheel standaardpakket en wordt onderhouden door Exxellence. Deze applicatie is extern benaderbaar via het volgende internetadres: www.nijmegen.nl via call to action knoppen op diverse plekken op deze site. DigiD-aansluiting Digitaal Loket bevindt zich in de Demilitarized Zone (DMZ). De infrastructuur waar deze applicatie op draait, wordt beheerd door Exxellence in de vorm van SaaS. Het object van zelfevaluatie is de web-omgeving van DigiD-aansluiting Digitaal Loket. De zelfevaluatie heeft zich gericht op de webapplicatie, de internetadressen waarmee deze kan worden benaderd, de infrastructuur (binnen de DMZ waar de webapplicatie zich bevindt) en een aantal ondersteunende processen conform de “Norm ICT-beveiligingsassessments DigiD” van Logius. Gemeente Nijmegen heeft een deel van de DigiD web-omgeving uitbesteed aan Exxellence. Als gevolg hiervan is een aantal maatregelen belegd bij deze serviceorganisatie(s).

Het onderzoeken van deze maatregelen is dan ook uitgevoerd door de IT-auditor van deze serviceorganisatie(s). De normen waar deze maatregelen betrekking op hebben maken geen onderdeel uit van de zelfevaluatie, tenzij sprake is van een gedeelde norm. Een DigiD-aansluiting dient aan het gehele normenkader te voldoen. Deze zelfevaluatie ENSIA voor DigiD is toegepast op dat deel van het normenkader dat niet onder uitbesteding aan de leverancier(s) van de gemeente valt. De overige normen worden afgedekt door onderstaande TPM / assurancerapportage van de leverancier(s): SaaS-leverancier Naam serviceorganisatie:

Exxellence

Referentie/rapportnummer:

AB/1024473/01

Afgiftedatum:

14-10-2021

Naam RE-auditor:

Mazars

Ondertekend door RE-auditor:

Jan Matto RI RE en Achmed Bouazza RE CISA

Onze IT-auditor heeft tevens getoetst of de zelfevaluatie en de TPM’s / assurancerapportage(s) van onze leverancier(s) het gehele normenkader afdekken. Het kan voorkomen dat een norm deels bij een leverancier en deels bij de gemeente getoetst is (zogenaamde gedeelde norm). De uitkomst uit de zelfevaluatie is getoetst door onze RE-gecertificeerde IT-auditor. De conclusie van de auditor is opgenomen in het assurancerapport met kenmerk 2C-2022-307 Onderstaande tabel toont de uitkomsten van de zelfevaluatie per norm inclusief de normen die getoetst zijn bij leverancier(s). DigiD-norm

Getoetst bij gemeente

Getoetst bij SaaSleverancier

Totaaloordeel norm

B.05

Contractmanagement

Voldoet

U/TV.01

Identificatie en authenticatie

Voldoet

1/10

Gemeentelijk kenmerk bijlage 1 DigiD: E22.000034

DigiD-norm

Getoetst bij gemeente

Getoetst bij SaaSleverancier

Totaaloordeel norm

U/WA.02

Webapplicatiebeheer proces

Voldoet

U/WA.03

Automatische data-invoercontrole

Voldoet

U/WA.04

Normaliseren uitvoer

N.v.t. N.v.t.

Voldoet

U/WA.05

Cryptografie/ Privacybevordering

Voldoet

U/PW.02

Garanderen webprotocollen

Voldoet

U/PW.03

Configureren webserver

Voldoet

U/PW.05

Toegang tot beheermechanismen

Voldoet

U/PW.07

Hardening van platformen

Voldoet

U/NW.03

DMZ

Voldoet

U/NW.04

Protectie- en detectiemechanismen

Voldoet

U/NW.05

Scheiding beheer- en productieomgeving

N.v.t. N.v.t. N.v.t. N.v.t. N.v.t. N.v.t. N.v.t.

Voldoet

U/NW.06

Hardening van netwerken

Voldoet

C.03

Vulnerability-assessments

Voldoet

C.04

Penetratietesten

Voldoet

C.06

Signaleringsfuncties

Voldoet

C.07

Monitoringfuncties

N.v.t. N.v.t. N.v.t. N.v.t.

Voldoet

C.08

Wijzigingenbeheer

Voldoet

C.09

Patchmanagement

N.v.t.

Voldoet

2/10

Gemeentelijk kenmerk bijlage 1 DigiD: E22.000034

Bijlage 1 DigiD - Parkeerproducten gemeente Nijmegen - 1000397 Totaaloverzicht getoetste normen ICT-beveiligingsassessment DigiD-aansluiting Parkeerproducten gemeente Nijmegen met aansluitnummer 1000397 Gemeente Nijmegen biedt de volgende functionaliteit aan waarvoor DigiD-aansluiting Parkeerproducten gemeente Nijmegen voor authenticatie wordt gebruikt: • Het aanvragen, wijzigen en verlengen van parkeervergunningen • De DigiD-koppeling zelf Deze functionaliteit wordt geboden door de volgende webapplicatie: • CityPermit versie 1.24 Deze applicatie betreft een geheel standaardpakket en wordt onderhouden door Sigmax Law Enforcement. Deze applicatie is extern benaderbaar via het volgende internetadres: https://parkeerproducten.nijmegen.nl. DigiD-aansluiting Parkeerproducten gemeente Nijmegen bevindt zich in de Demilitarized Zone (DMZ). De infrastructuur waar deze applicatie op draait, wordt beheerd door Sigmax Law Enforcement in de vorm van SaaS. Het object van zelfevaluatie is de web-omgeving van DigiD-aansluiting Parkeerproducten gemeente Nijmegen. De zelfevaluatie heeft zich gericht op de webapplicatie, de internetadressen waarmee deze kan worden benaderd, de infrastructuur (binnen de DMZ waar de webapplicatie zich bevindt) en een aantal ondersteunende processen conform de “Norm ICT-beveiligingsassessments DigiD” van Logius.

Gemeente Nijmegen heeft een deel van de DigiD web-omgeving uitbesteed aan Sigmax Law Enforcement. Als gevolg hiervan is een aantal maatregelen belegd bij deze serviceorganisatie(s). Het onderzoeken van deze maatregelen is dan ook uitgevoerd door de IT-auditor van deze serviceorganisatie(s). De normen waar deze maatregelen betrekking op hebben maken geen onderdeel uit van de zelfevaluatie, tenzij sprake is van een gedeelde norm. Een DigiD-aansluiting dient aan het gehele normenkader te voldoen. Deze zelfevaluatie ENSIA voor DigiD is toegepast op dat deel van het normenkader dat niet onder uitbesteding aan de leverancier(s) van de gemeente valt. De overige normen worden afgedekt door onderstaande TPM / assurancerapportage van de leverancier(s): SaaS-leverancier Naam serviceorganisatie:

Sigmax Law Enforcement

Referentie/rapportnummer:

2109R.AH82

Afgiftedatum:

21-09-2021

Naam RE-auditor:

3angles

Ondertekend door RE-auditor:

drs. A.J.A. Hassing RE RA

Onze IT-auditor heeft tevens getoetst of de zelfevaluatie en de TPM’s / assurancerapportage(s) van onze leverancier(s) het gehele normenkader afdekken. Het kan voorkomen dat een norm deels bij een leverancier en deels bij de gemeente getoetst is (zogenaamde gedeelde norm). De uitkomst uit de zelfevaluatie is getoetst door onze RE-gecertificeerde IT-auditor. De conclusie van de auditor is opgenomen in het assurancerapport met kenmerk 2C-2022-307. Onderstaande tabel toont de uitkomsten van de zelfevaluatie per norm inclusief de normen die getoetst zijn bij leverancier(s).

3/10

Gemeentelijk kenmerk bijlage 1 DigiD: E22.000034

DigiD-norm B.05

Contractmanagement

U/TV.01

Identificatie en authenticatie

U/WA.02

Webapplicatiebeheer proces

U/WA.03

Automatische data-invoercontrole

U/WA.04

Normaliseren uitvoer

U/WA.05

Cryptografie/ Privacybevordering

U/PW.02

Garanderen webprotocollen

U/PW.03

Configureren webserver

U/PW.05

Toegang tot beheermechanismen

U/PW.07

Hardening van platformen

U/NW.03

DMZ

U/NW.04

Protectie- en detectiemechanismen

U/NW.05

Scheiding beheer- en productieomgeving

U/NW.06

Hardening van netwerken

C.03

Vulnerability-assessments

C.04

Penetratietesten

C.06

Signaleringsfuncties

C.07

Monitoringfuncties

C.08

Wijzigingenbeheer

C.09

Patchmanagement

Getoetst bij gemeente

Getoetst bij SaaSleverancier

Totaaloordeel norm

Voldoet Voldoet Voldoet N.v.t. N.v.t. Voldoet N.v.t. N.v.t. N.v.t. N.v.t. N.v.t. N.v.t. N.v.t. Voldoet N.v.t. N.v.t. N.v.t. N.v.t. Voldoet N.v.t.

Voldoet Voldoet Voldoet Voldoet Voldoet Voldoet Voldoet Voldoet Voldoet Voldoet Voldoet Voldoet Voldoet Voldoet Voldoet Voldoet Voldoet Voldoet Voldoet Voldoet

4/10

Gemeentelijk kenmerk bijlage 1 DigiD: E22.000034

Bijlage 1 DigiD - IRMA - 1000697 Totaaloverzicht getoetste normen ICT-beveiligingsassessment DigiD-aansluiting IRMA met aansluitnummer 1000697 Gemeente Nijmegen biedt de volgende functionaliteit aan waarvoor DigiD-aansluiting IRMA voor authenticatie wordt gebruikt: • Het opladen van persoonsgegevens in de IRMA-app Deze functionaliteit wordt geboden door de volgende webapplicatie: • IRMA Deze applicatie betreft een combinatie van maatwerk en standaard software en wordt onderhouden door Gemeente Nijmegen. Deze applicatie is extern benaderbaar via het volgende internetadres: https://services.nijmegen.nl/irma/gemeente/start . DigiD-aansluiting IRMA bevindt zich in de Demilitarized Zone (DMZ). De infrastructuur waar deze applicatie op draait, wordt beheerd door Gemeente Nijmegen in de vorm van fysieke hosting. Het object van zelfevaluatie is de web-omgeving van DigiD-aansluiting IRMA. De zelfevaluatie heeft zich gericht op de webapplicatie, de internetadressen waarmee deze kan worden benaderd, de infrastructuur (binnen de DMZ waar de webapplicatie zich bevindt) en een aantal ondersteunende processen conform de “Norm ICT-beveiligingsassessments DigiD” van Logius. De uitkomst uit de zelfevaluatie is getoetst door onze RE-gecertificeerde IT-auditor.

De conclusie van de auditor is opgenomen in het assurancerapport met kenmerk 2C-2022-307 Onderstaande tabel toont de uitkomsten van de zelfevaluatie per norm. DigiD-norm B.05

Contractmanagement

U/TV.01

Identificatie en authenticatie

Getoetst bij gemeente

Totaaloordeel norm

Voldoet Voldoet Voldoet Voldoet Voldoet Voldoet Voldoet Voldoet Voldoet Voldoet Voldoet Voldoet Voldoet Voldoet Voldoet Voldoet Voldoet Voldoet Voldoet

U/WA.02 Webapplicatiebeheer proces U/WA.03 Automatische data-invoercontrole U/WA.04 Normaliseren uitvoer U/WA.05 Cryptografie/ Privacybevordering U/PW.02 Garanderen webprotocollen U/PW.03 Configureren webserver U/PW.05 Toegang tot beheermechanismen U/PW.07 Hardening van platformen U/NW.03 DMZ U/NW.04 Protectie- en detectiemechanismen U/NW.05 Scheiding beheer- en productieomgeving U/NW.06 Hardening van netwerken C.03

Vulnerability-assessments

C.04

Penetratietesten

C.06

Signaleringsfuncties

C.07

Monitoringfuncties

C.08

Wijzigingenbeheer

5/10

Gemeentelijk kenmerk bijlage 1 DigiD: E22.000034

DigiD-norm C.09

Getoetst bij gemeente

Totaaloordeel norm

Voldoet

Patchmanagement

6/10

Gemeentelijk kenmerk bijlage 1 DigiD: E22.000034

Bijlage 1 DigiD - Inkomensondersteuning - 1003381 Totaaloverzicht getoetste normen ICT-beveiligingsassessment DigiD-aansluiting Inkomensondersteuning met aansluitnummer 1003381 Gemeente Nijmegen biedt de volgende functionaliteit aan waarvoor DigiD-aansluiting Inkomensondersteuning voor authenticatie wordt gebruikt: • Aanvraag van sociale regelingen. Deze functionaliteit wordt geboden door de volgende webapplicatie: • Forus & Me versie 0.8.2 Deze applicatie betreft een geheel standaardpakket en wordt onderhouden door Forus Operations BV. Deze applicatie is extern benaderbaar via het volgende internetadres: https://inkomensondersteuning.nijmegen.nl. DigiD-aansluiting Inkomensondersteuning bevindt zich in de Demilitarized Zone (DMZ). De infrastructuur waar deze applicatie op draait, wordt beheerd door Forus Operations BV in de vorm van SaaS. Het object van zelfevaluatie is de web-omgeving van DigiD-aansluiting Inkomensondersteuning. De zelfevaluatie heeft zich gericht op de webapplicatie, de internetadressen waarmee deze kan worden benaderd, de infrastructuur (binnen de DMZ waar de webapplicatie zich bevindt) en een aantal ondersteunende processen conform de “Norm ICT-beveiligingsassessments DigiD” van Logius. Gemeente Nijmegen heeft een deel van de DigiD web-omgeving uitbesteed aan Forus Operations BV.

Als gevolg hiervan is een aantal maatregelen belegd bij deze serviceorganisatie(s). Het onderzoeken van deze maatregelen is dan ook uitgevoerd door de IT-auditor van deze serviceorganisatie(s). De normen waar deze maatregelen betrekking op hebben maken geen onderdeel uit van de zelfevaluatie, tenzij sprake is van een gedeelde norm. Een DigiD-aansluiting dient aan het gehele normenkader te voldoen. Deze zelfevaluatie ENSIA voor DigiD is toegepast op dat deel van het normenkader dat niet onder uitbesteding aan de leverancier(s) van de gemeente valt. De overige normen worden afgedekt door onderstaande TPM / assurancerapportage van de leverancier(s): SaaS-leverancier Naam serviceorganisatie:

Forus Operations BV

Referentie/rapportnummer:

BKBO/200916-1/V2/TPM

Afgiftedatum:

10-12-2021

Naam RE-auditor:

BKBO

Ondertekend door RE-auditor:

drs M.B.H. Ijpelaar RE CEH CISA, directeur; mr W.R. Nanninga RE CISA MMC, partner; E.W.M. Sturkenboom CISA, auditor

Onze IT-auditor heeft tevens getoetst of de zelfevaluatie en de TPM’s / assurancerapportage(s) van onze leverancier(s) het gehele normenkader afdekken. Het kan voorkomen dat een norm deels bij een leverancier en deels bij de gemeente getoetst is (zogenaamde gedeelde norm). De uitkomst uit de zelfevaluatie is getoetst door onze RE-gecertificeerde IT-auditor. De conclusie van de auditor is opgenomen in het assurancerapport met kenmerk 2C-2022-307. Onderstaande tabel toont de uitkomsten van de zelfevaluatie per norm inclusief de normen die getoetst zijn bij leverancier(s).

7/10

Gemeentelijk kenmerk bijlage 1 DigiD: E22.000034

DigiD-norm B.05

Contractmanagement

U/TV.01

Identificatie en authenticatie

U/WA.02

Webapplicatiebeheer proces

U/WA.03

Automatische data-invoercontrole

U/WA.04

Normaliseren uitvoer

U/WA.05

Cryptografie/ Privacybevordering

U/PW.02

Garanderen webprotocollen

U/PW.03

Configureren webserver

U/PW.05

Toegang tot beheermechanismen

U/PW.07

Hardening van platformen

U/NW.03

DMZ

U/NW.04

Protectie- en detectiemechanismen

U/NW.05

Scheiding beheer- en productieomgeving

U/NW.06

Hardening van netwerken

C.03

Vulnerability-assessments

C.04

Penetratietesten

C.06

Signaleringsfuncties

C.07

Monitoringfuncties

C.08

Wijzigingenbeheer

C.09

Patchmanagement

Getoetst bij gemeente

Getoetst bij SaaSleverancier

Totaaloordeel norm

Voldoet Voldoet Voldoet N.v.t. N.v.t. N.v.t. N.v.t. N.v.t. N.v.t. N.v.t. N.v.t. N.v.t. N.v.t. Voldoet N.v.t. N.v.t. N.v.t. N.v.t. Voldoet N.v.t.

Voldoet Voldoet Voldoet Voldoet Voldoet Voldoet Voldoet Voldoet Voldoet Voldoet Voldoet Voldoet Voldoet Voldoet Voldoet Voldoet Voldoet Voldoet Voldoet Voldoet

8/10

Gemeentelijk kenmerk bijlage 1 DigiD: E22.000034

Bijlage 1 DigiD - Gemeente Nijmegen Belasting prod CGI - 1003431 Totaaloverzicht getoetste normen ICT-beveiligingsassessment DigiD-aansluiting Gemeente Nijmegen Belasting prod CGI met aansluitnummer 1003431 Gemeente Nijmegen biedt de volgende functionaliteit aan waarvoor DigiD-aansluiting Gemeente Nijmegen Belasting prod CGI voor authenticatie wordt gebruikt: • Digitaal belastingloket voor belastingzaken Deze functionaliteit wordt geboden door de volgende webapplicatie: • eGouw7R2 versie 2022 Deze applicatie betreft een geheel standaardpakket en wordt onderhouden door Gouw IT. Deze applicatie is extern benaderbaar via het volgende internetadres(sen): belastingen.nijmegen.nl. DigiD-aansluiting Gemeente Nijmegen Belasting prod CGI bevindt zich in de Demilitarized Zone (DMZ). De infrastructuur waar deze applicatie op draait, wordt beheerd door Gouw IT in de vorm van SaaS. Het object van zelfevaluatie is de web-omgeving van DigiD-aansluiting Gemeente Nijmegen Belasting prod CGI. De zelfevaluatie heeft zich gericht op de webapplicatie, de internetadressen waarmee deze kan worden benaderd, de infrastructuur (binnen de DMZ waar de webapplicatie zich bevindt) en een aantal ondersteunende processen conform de “Norm ICT-beveiligingsassessments DigiD” van Logius. Gemeente Nijmegen heeft een deel van de DigiD web-omgeving uitbesteed aan Gouw IT.

Gouw IT

Referentie/rapportnummer:

IAS0988_21_6511

Afgiftedatum:

20-10-2021

Naam RE-auditor:

Inergy Auditservices

Ondertekend door RE-auditor:

ir. drs.D.J.A. Koot, RI RE

Onze IT-auditor heeft tevens getoetst of de zelfevaluatie en de TPM’s / assurancerapportage(s) van onze leverancier(s) het gehele normenkader afdekken. Het kan voorkomen dat een norm deels bij een leverancier en deels bij de gemeente getoetst is (zogenaamde gedeelde norm). De uitkomst uit de zelfevaluatie is getoetst door onze RE-gecertificeerde IT-auditor. De conclusie van de auditor is opgenomen in het assurancerapport met kenmerk 2C-2022-307. Onderstaande tabel toont de uitkomsten van de zelfevaluatie per norm inclusief de normen die getoetst zijn bij leverancier(s). DigiD-norm B.05

Getoetst bij gemeente

Getoetst bij SaaSleverancier

Totaaloordeel norm

Voldoet

Contractmanagement

9/10

Gemeentelijk kenmerk bijlage 1 DigiD: E22.000034

DigiD-norm U/TV.01

Identificatie en authenticatie

U/WA.02

Webapplicatiebeheer proces

U/WA.03

Automatische data-invoercontrole

U/WA.04

Normaliseren uitvoer

U/WA.05

Cryptografie/ Privacybevordering

U/PW.02

Garanderen webprotocollen

U/PW.03

Configureren webserver

U/PW.05

Toegang tot beheermechanismen

U/PW.07

Hardening van platformen

U/NW.03

DMZ

U/NW.04

Protectie- en detectiemechanismen

U/NW.05

Scheiding beheer- en productieomgeving

U/NW.06

Hardening van netwerken

C.03

Vulnerability-assessments

C.04

Penetratietesten

C.06

Signaleringsfuncties

C.07

Monitoringfuncties

C.08

Wijzigingenbeheer

C.09

Patchmanagement

Getoetst bij gemeente

Getoetst bij SaaSleverancier

Totaaloordeel norm

Voldoet Voldoet N.v.t. N.v.t. Voldoet N.v.t. N.v.t. N.v.t. N.v.t. N.v.t. N.v.t. N.v.t. Voldoet N.v.t. N.v.t. N.v.t. N.v.t. Voldoet N.v.t.

Voldoet Voldoet Voldoet Voldoet Voldoet Voldoet Voldoet Voldoet Voldoet Voldoet Voldoet Voldoet Voldoet Voldoet Voldoet Voldoet Voldoet Voldoet Voldoet

10/10

De tekst is automatisch uit het bestand gehaald en kan afwijken van het origineel (kolommen, tabellen en koppen lopen door elkaar). Het officiële stuk bij de gemeente is leidend. Bron: https://api1.ibabs.eu/publicdownload.aspx?site=Nijmegen&id=6d619b81-2c0b-4972-9c48-b00df126c2da