Verbeterplan ENSIA 2020
Tekst van het document
Verbeterplan ENSIA 2020
1
Inhoud Inleiding ...................................................................................................................................................3 Samenvattend beeld..............................................................................................................................3 DigiD aansluiting 1000397- CityPermit ...............................................................................................3 DigiD aansluiting 1000697- Layer 7 ....................................................................................................4 Suwinet DKD-inlezen ............................................................................................................................4 Suwinet Inkijk..........................................................................................................................................4
2
Inleiding In de collegeverklaring ENSIA over 2020 geeft het college aan dat voor DigiD niet aan alle geselecteerde normen wordt voldaan. De op de uitzonderingen gerichte beheersmaatregelen zijn in dit plan opgenomen, zijn belegd en worden gemonitord. Verbeteracties zijn inmiddels gestart en zullen voor de volgende ENSIA verantwoording over 2021 gereed en door de auditor getoetst zijn.
Samenvattend beeld Onderwerp
Wordt aan alle normen voldaan?
Zijn de uitzonderingen in een verbeterplan opgenomen en zijn de verbetermaatregelen belegd en worden deze gemonitord?
Digid (1) 1000281
Ja
Nee
Digid (2) 1000397
Nee
Ja
Digid (3) 1000697
Nee
Ja
Digid (4) 1003381
Ja
Nee
Suwinet voor SUWI-taken
Nee
Ja
Suwinet voor niet-SUWI-taken Ja
Nee
Er is een tweetal DigiD aansluitingen waar aanpassingen op gedaan moeten worden, met name in verband met een aanscherping op een van de normen U/PW.03. Deze norm heeft betrekking op het onderscheppen van malafide invoer voor een website. Er zijn twee tekortkomingen op het vlak van Suwinet. De eerste wordt veroorzaakt door het feit dat gebleken is dat Gemeente Nijmegen verantwoordelijk is voor DKD inlezen functionaliteit zoals die gebruikt wordt door de Decos Inkomensassistent, die gegevens ophaalt via EnableU. De tweede is gelegen in de frequentie van de controle op toegang tot Suwinet (rollen en rechten). Deze controle dient twee maal per jaar plaats te vinden.
DigiD aansluiting 1000397- CityPermit Eigenaar Sigmax
Norm U/PW.03
Verbeterplan
Gemeente Nijmegen
U/WA.05
TLS uitfasering (gevolgd door upgrade naar versie 1.24)
Opvoeren nieuwe TPM
Eind datum 31-10-2021 01-07-2021
Verantwoordelijke Proceseigenaar Parkeren Proceseigenaar Parkeren
Opmerking van de leverancier: Sigmax Law Enforcement B.V. heeft voor het gebruik van ‘unsafe-inline’ en ‘unsafeeval’ een ontwikkelplan opgesteld waarbij redelijkerwijs kan worden aangenomen dat vóór 1 november 2021 aan de gehele testaanpak voor de norm kan worden voldaan, 3
dan wel dat er afdoende maatregelen zijn genomen om het gebruik van ‘unsafe-inline’ en ‘unsafe-eval’ te mitigeren. Ten behoeve van het uitfaseren van TLS 1.0/1.1 zullen wij een patch release uitvoeren op de huidige CP omgeving (versie 1.20) en wordt vervolgens gemigreerd naar een nieuw platform. Bij de migratie wordt de VPN uit gefaseerd en krijgt gemeente Nijmegen de meest recente TLS beveiliging (conform NCSC). Hiermee voldoet de aansluiting voor 1 juli aan de DigiD eisen.
DigiD aansluiting 1000697- Layer 7 Eigenaar Gemeente Nijmegen
Norm U/PW.03
Verbeterplan
Gemeente Nijmegen
C.04
Laten uitvoeren pen test en heraudit.
Testen en aanpassen instelling in Layer7
Eind datum 31-8-2021 Q2 2021
Verantwoordelijke Manager Informatie en Applicatiebeheer Manager Informatie en Applicatiebeheer
Opmerking van Gemeente Nijmegen in samenwerking met de iRvN: U/PW.03: Om het probleem met ‘unsafe-inline’ op te lossen, zijn er verschillende mogelijkheden. De verschillende oplossingen zullen moeten worden onderzocht om te kijken of deze toe te passen zijn op de pagina’s van IRMA. Het ontwikkelen en testen zal ongeveer drie maanden in beslag nemen waardoor naar verwachting het probleem voor september opgelost zal zijn. C.04: De pen test is opnieuw aanbesteed via GGI-Veilig. De uitvoering wordt gepland in Q1. Het rapport zal binnen de herstel termijn van Logius ontvangen zijn.
Suwinet DKD-inlezen Eigenaar Gemeente Nijmegen
Norm alle
Verbeterplan
Norm 9.2.5
Verbeterplan
Inrichten procedure voor het uitvoeren van benodigde controles op alle normen. Toewijzen van rollen en taken ten behoeve van de controles.
Eind datum 31-10-2021
Verantwoordelijke Hoofd Zorg en Inkomen
Eind datum 31-10-2021
Verantwoordelijke Hoofd Zorg en Inkomen
Suwinet Inkijk Eigenaar Gemeente Nijmegen
Inrichten halfjaarlijkse inhoudelijke controle van de rechten/rollen.
Opmerking van Gemeente Nijmegen: We hebben kennis genomen van de reflectie van de auditors op de genoemde punten. We nemen de verbeteringen zo snel mogelijk ter hand, waar nodig in overleg met de leverancier (DKD-inlezen). Het streven is om ruimschoots voor de einddatum gereed te zijn.
4