Document · PDF

Bijlage 1 DigiD (4)

Gemeenteraad 7 juli 2021, gemeente NissewaardBij agendapunt: Jaarstukken 2020 gemeente Nissewaard575 woorden

Open het PDF bij de gemeente ↗Naar de vergadering →

Tekst van het document

Uit het bestand gehaald, zonder opmaak, tabellen en afbeeldingen

Bijlage 1 DigiD (4) Totaaloverzicht getoetste normen ICT-beveiiigingsassessment DigiD-aansluiting Nissewaard - Mijnuitkering en aansluitnummer 1002947 Nissewaard biedt de volgende functionaliteit aan waarvoor DigiD-aansluiting Nissewaard Mijnuitkering voor authenticate wordt gebruikt: » Informatievoorziening aan en documentuitwisseling met burgers die een uitkering van de gemeente ontvangen. Deze functionaliteit wordt geboden door de volgende webapplicatie: » Mijninkomen Deze applicatie betreft een geheel standaard pakket en wordt onderhouden door Centric netherlands BV. Deze applicatie is extern benaderbaar via het volgende internetadres: mijnuitkering.nissewaard.nl. DigiD aansluiting Nissewaard - Mijnuitkering bevindt zich in de Demilitarized Zone (DMZ). De infrastructuur waar deze applicatie op draait wordt beheerd door Centric in de vorm van SAAS. Het object van zelfevaluatie is de web-omgeving van DigiD aansluiting Nissewaard - Mijnuitkering. De zelfevaluatie heeft zich gericht op de webapplicatie, de internetadressen waarmee deze kan worden benaderd, de infrastructuur (binnen de DMZ waar de webapplicatie zich bevindt) en een aantal ondersteunende processen conform de "Norm ICT-beveiligingsassessments DigiD” van Logius. Nissewaard heeft een deel van de DigiD web-omgeving uitbesteed aan Centric.

Als gevolg hiervan is een aantal maatregelen belegd bij deze serviceorganisatie. Het onderzoeken van deze maatregelen is dan ook uitgevoerd door de IT-auditor van deze serviceorganisatie. De normen waar deze maatregelen betrekking op hebben maken geen onderdeel uit van de zelfevaluatie, tenzij sprake is van een gedeelde norm. Een DigiD-aansluiting dient aan het gehele normenkader te voldoen. Deze zelfevaluatie ENSIA voor DigiD is toegepast op dat deel van het normenkader dat niet onder uitbesteding aan de leverancier van de gemeente valt. De overige normen worden afgedekt door onderstaande TPM van de serviceorganisatie: Leverancier 1 Naam serviceorganisatie:

Centric Netherlands BV

Referentie/rapportnummer:

REQ5157460„C

Afgiftedatum:

12 februari 2020

Naam RE-auditor: Ja

Ondertekend door RE-auditor:

Onze IT-auditor heeft tevens getoetst of de zelfevaluatie en de TPM van onze serviceorganisatie[s] het gehele normenkader afdekken. Het kan voorkomen dat een norm deels bij een leverancier en deels bij de gemeente getoetst is (zogenaamde gedeelde norm). De uitkomst uit de zelfevaluatie is getoetst door onze RE-gecertìficeerde IT-auditor. De conclusie van de auditor is opgenomen in het assurancerapport met kenmerk BKBO/200204-3/AR.

p. 8/12

BKBO bv Voorstraat 20

Onderstaande tabel toont de uitkomsten van de zelfevaluatie per norm inclusief de normen die getoetst zijn bij leverancier. DigiD Norm

Getoetst bij Gemeente

(Optioneel) Getoetst bij leverancier 1

Totaal oordeel norm

B.05

Contractmanagement

Voldoet

U/TV.01

Identificatie en authenticate

Voldoet

U/WA.02 Webapplicatiebeheer proces

Voldoet

U/WA.03 Automatische data invoer controle

Voldoet

U/WA.04 Normaliseren uitvoer

Voldoet

U/WA.05 Cryptografie/Privacybevordering Voldoet

Voldoet

U/PW.02 Garanderen webprotocollen

Voldoet

U/PW.03 Configureren Webserver

Voldoet niet

U/PW.05 Toegang tot beheermechanismen

Voldoet

U/PW.07 Hardening van platformen

Voldoet

U/NW.03 DMZ

Voldoet

U/NW.04 Protectie- en detectiemechanismen

Voldoet

U/NW.05 Scheiding beheer- en productieomgeving

Voldoet

U/NW.06 Hardening van netwerken

Voldoet

C.03

Vulnerability-assessments

Voldoet

C.04

Penetratietesten

Voldoet

C.06

Signaleringsfuncties

Voldoet

C.07

Monitoring functies

Voldoet

C.08

Wijzigingenbeheer

Voldoet

C.09

Patchmanagement

Voldoet

Grijs hoeft volgens de gemeente en volgens hoofdstuk ‘Verantwoordelijkheden gebruikersorganisatie" van de TPM van de serviceorganisatie niet bij de gemeente en/of bij leverancier getoetst te worden.

BKBQ bv p. 9/12

Voorstraat 20 ‘: ŕ*’ K...

TP Viiimen

De tekst is automatisch uit het bestand gehaald en kan afwijken van het origineel (kolommen, tabellen en koppen lopen door elkaar). Het officiële stuk bij de gemeente is leidend. Bron: https://api.notubiz.nl/document/10255797/2