Document · PDF

Bijlage 1 DigiD (2)

Gemeenteraad 7 juli 2021, gemeente NissewaardBij agendapunt: Jaarstukken 2020 gemeente Nissewaard653 woorden

Open het PDF bij de gemeente ↗Naar de vergadering →

Tekst van het document

Uit het bestand gehaald, zonder opmaak, tabellen en afbeeldingen

Bijlage 1 DigiD (2) Totaaloverzicht getoetste normen ICT-beveiligingsassessment DigiD-aansluiting Gemeente Nissewaard Schuidbemiddeling en aansluitnummer 1000837 Nissewaard biedt de volgende functionaliteit aan waarvoor DigiD-aansluiting Gemeente Nissewaard Schuidbemiddeling voor authenticatie wordt gebruikt: « Het door de burger uitvoeren van diverse handelingen noodzakelijk in het kader van een schuldhulpverleningstraject. Deze functionaliteit wordt geboden door de volgende webapplicatie: » Schuldhulpverlening Deze applicatie betreft een geheel standaard pakket en wordt onderhouden door Innovadis. Deze applicatie is extern benaderbaar via het volgende internetadres(sen): mijnschuldbemiddeling.nissewaard.nl DigiD aansluiting Gemeente Nissewaard Schuidbemiddeling bevindt zich in de Demilitarized Zone (DMZ). De infrastructuur waar deze applicatie op draait wordt beheerd door Previder in de vorm van PAAS. Het object van zelfevaluatie is de web-omgeving van DigiD aansluiting Gemeente Nissewaard Schuidbemiddeling. De zelfevaluatie heeft zich gericht op de webapplicatie, de internetadressen waarmee deze kan worden benaderd, de infrastructuur (binnen de DMZ waar de webapplicatie zich bevindt) en een aantal ondersteunende processen conform de “Norm ICT-beveiligingsassessments DigiD" van Logius. Nissewaard heeft een deel van de DigiD web-omgeving uitbesteed aan Innovadis en Previder.

Als gevolg hiervan is een aantal maatregelen belegd bij deze serviceorganisaties. Het onderzoeken van deze maatregelen is dan ook uitgevoerd door de IT-auditor van deze serviceorganisatie. De normen waar deze maatregelen betrekking op hebben maken geen onderdeel uit van de zelfevaluatie, tenzij sprake is van een gedeelde norm. Een DigiD-aansluiting dient aan het gehele normenkader te voldoen. Deze zelfevaluatie ENSIA voor DigiD is toegepast op dat deel van het normenkader dat niet onder uitbesteding aan de leveranciers van de gemeente valt. De overige normen worden afgedekt door onderstaande TPM’s van de serviceorganisaties:

Leverancier 1 Naam serviceorganisatie:

Previder BV

Referentie/rapportnummer:

AAS2020-873

Afgiftedatum:

28 oktober 2020

Naam RE-auditor:

ézmtr

Ondertekend door RE-auditor:

BKBO bv zhlul^i p. 3/12

NţíİPÄ'

Voorstraat 20 5251 CP Vľ.imen

WWW',.

Leverancier 2 Naam serviceorganisatie:

Innovadis

Referentie/rapportnummer:

AAS2020-874

Afgiftedatum:

28 oktober 2020

Naam RE-auditor:

J.R. Möhle

Ondertekend door RE-auditor:

Onze IT-auditor heeft tevens getoetst of de zelfevaluatie en de TPM van onze serviceorganisaties het gehele normenkader afdekken. Het kan voorkomen dat een norm deels bij een leverancier en deels bij de gemeente getoetst is (zogenaamde gedeelde norm). De uitkomst uit de zelfevaluatie is getoetst door onze RE-gecertificeerde IT-auditor. De conclusie van de auditor is opgenomen in het assurancerapport met kenmerk BKBO/200204-3/AR. Onderstaande tabel toont de uitkomsten van de zelfevaluatie per norm (inclusief de normen die getoetst zijn bij leveranciers.

DigiD Norm

Getoetst bij (Optioneel) Gemeente Getoetst bij leverancier 1

(Optioneel) Getoetst bij leverancier 2

Totaal oordeel norm

B.05

Contractmanagement

Voldoet

U/TV.01

Identificatie en authenticatie

Voldoet

U/WA.02 Webapplicatiebeheer proces

Voldoet

U/WA.03 Automatische data invoer controle

Voldoet

U/WA.04 Normaliseren uitvoer

Voldoet

U/PW.02 Garanderen webprotocollen

Voldoet

U/PW.03 Configureren Webserver

Voldoet

U/WA.05 Cryptografie/Privacybevordering Voldoet

U/PW.05 Toegang tot beheermechanismen

Voldoet

U/PW.07 Hardening van platformen

Voldoet

U/NW.03 DMZ

Voldoet

U/NW.04 Protectie-en detectiemechanismen

Voldoet

U/NW.05 Scheiding beheer- en productieomgeving

Voldoet

Voldoet Voldoet

U/NW.06 Hardening van netwerken

Voldoet

C.03

Vulnerability-assessments

Voldoet

C.04

Penetratietesten

Voldoet

p. 4/12

••Tá

hizi

skbq bv26

ą mrraanmmnui

«■■«l II'1 «"■■1'*'

Voorstraat 20

[v 4A' :___ —.......

Voldoet

C.06

Signaleringsfuncties

Voldoet

C.07

Monitoring functies

Voldoet

C.08

Wijzigingenbeheer

Voldoet

C.09

Patchmanagement

Voldoet

ļGriļS hoeft volgens de gemeente en volgens hoofdstuk “verantwoordelijkheden gebruikersorganisatie” van de TPM van de serviceorganisatie niet bij de gemeente en/of bij leverancier getoetst te worden.

RKBO bv ?bļuhr Voorstraat 20 p. 5/12

52-1 CP Vlijmen r.v, -211 03 37

RE CF.H

t I

De tekst is automatisch uit het bestand gehaald en kan afwijken van het origineel (kolommen, tabellen en koppen lopen door elkaar). Het officiële stuk bij de gemeente is leidend. Bron: https://api.notubiz.nl/document/10255779/2