Document · PDF

Bijlage 1 DigiD (3)

Gemeenteraad 7 juli 2021, gemeente NissewaardBij agendapunt: Jaarstukken 2020 gemeente Nissewaard594 woorden

Open het PDF bij de gemeente ↗Naar de vergadering →

Tekst van het document

Uit het bestand gehaald, zonder opmaak, tabellen en afbeeldingen

Bijlage 1 DigiD (3) Totaaloverzicht getoetste normen ICT-beveiligingsassessment DigiD-aanslüîting Gemeente Nissewaard Snelbalie en aansluitnummer 1001933 Nissewaard biedt de volgende functionaliteit aan waarvoor DigiD-aansluiting Gemeente Nissewaard Snelbalie voor authenticate wordt gebruikt: « Informatievoorziening aan en documentuitwisseling met burgers die een uitkering van de gemeente (willen) ontvangen. Deze functionaliteit wordt geboden door de volgende webapplicatie: » Snelbalie Deze applicatie betreft een geheel standaardpakket en wordt onderhouden door Centric Netherlands BV Deze applicatie is extern benaderbaar via het volgende internetadres: snelbalie.nissewaard.nl DigiD aansluiting Gemeente Nissewaard Snelbalie bevindt zich in de Demilitarized Zone (DMZ). De infrastructuur waar deze applicatie op draait wordt beheerd door Centric in de vorm van SAAS. Het object van zelfevaluatie is de web-omgeving van DigiD aansluiting Gemeente Nissewaard Snelbalie. De zelfevaluatie heeft zich gericht op de webapplicatie, de internetadressen waarmee deze kan worden benaderd, de infrastructuur (binnen de DMZ waar de webapplicatie zich bevindt) en een aantal ondersteunende processen conform de "Norm ICT-beveiligingsassessments DigiD” van Logius. Nissewaard heeft een deel van de DigiD web-omgeving uitbesteed aan Centric.

Als gevolg hiervan is een aantal maatregelen belegd bij deze serviceorganisatie. Het onderzoeken van deze maatregelen is dan ook uitgevoerd door de IT-auditor van deze serviceorganisatie. De normen waar deze maatregelen betrekking op hebben maken geen onderdeel uit van de zelfevaluatie, tenzij sprake is van een gedeelde norm. Een DigiD-aansluiting dient aan het gehele normenkader te voldoen. Deze zelfevaluatie ENSIA voor DigiD is toegepast op dat deel van het normenkader dat niet onder uitbesteding aan de leverancier van de gemeente valt. De overige normen worden afgedekt door onderstaande TPM van de serviceorganisatie:

Leverancier 1 Naam serviceorganisatie:

Centric Netherlands BV

Referentie/rapportnummer:

REQ515746CL.D

Afgiftedatum:

12 februari 2021

Naam RE-auditor: Ja

Ondertekend door RE-auditor:

Onze IT-auditor heeft tevens getoetst of de zelfevaluatie en de TPM van onze serviceorganisatie het gehele normenkader afdekken. Het kan voorkomen dat een norm deels bij een leverancier en deels bij de gemeente getoetst is (zogenaamde gedeelde norm) De uitkomst uit de zelfevaluatie is getoetst door onze RE-gecertificeerde IT-auditor. De conclusie van de auditor is opgenomen in het assurancerapport met kenmerk BKBO/200204-3/AR. Onderstaande tabel toont de uitkomsten van de zelfevaluatie per norm inclusief de normen die getoetst zijn bij leverancier.

ļ b::so bv p. 6/12

Voorstraat 20 r'"i ro Viiimp.n

DigīD Norm

Getoetst bij (Optioneel) Gemeente Getoetst bij leverancier 1

Totaal oordeel norm

B.05

Contractmanagement

Voldoet

U/TV.01

Identificatie en authenticatie

Voldoet

U/WA.02 Webapplicatiebeheer proces

Voldoet

U/WA.03 Automatische data invoer controle

Voldoet

U/WA.04 Normaliseren uitvoer

Voldoet

U/WA.05 Cryptografie/Privacybevordering Voldoet

Voldoet

U/PW.02 Garanderen webprotocollen

Voldoet

U/PW.03 Configureren Webserver

Voldoet niet

U/PW.05 Toegang tot beheermechanismen

Voldoet

U/PW.07 Hardening van platformen

Voldoet

U/NW.03 DMZ

Voldoet

U/NW.04 Protectie- en detectiemechanismen

Voldoet

U/NW.05 Scheiding beheer- en productieomgeving

Voldoet

U/NW.06 Hardening van netwerken

Voldoet

C.03

Vulnerability-assessments

Voldoet

C.04

Penetratietesten

Voldoet

C.06

Signaleringsfuncties

Voldoet

C.07

Monitoring functies

Voldoet

C.08

Wijzigingenbeheer

Voldoet

C.09

Patchmanagement

Voldoet

Grijs hoeft volgens de gemeente en volgens hoofdstuk “verantwoordelijkheden gebruikersorganisatie” van de TPM van de serviceorganisatie niet bij de gemeente en/of bij leverancier getoetst te worden.

gp BKBÖ bv zhi ïå&A Voorstraat 20 »..jaBXl-aBOa»»-

p. 7/12

5251 CP Vlijmen

ui’ f.ï-TÎ

De tekst is automatisch uit het bestand gehaald en kan afwijken van het origineel (kolommen, tabellen en koppen lopen door elkaar). Het officiële stuk bij de gemeente is leidend. Bron: https://api.notubiz.nl/document/10255772/2