Document · PDF

Bijlage 1 DigiD (5)

Gemeenteraad 7 juli 2021, gemeente NissewaardBij agendapunt: Jaarstukken 2020 gemeente Nissewaard617 woorden

Open het PDF bij de gemeente ↗Naar de vergadering →

Tekst van het document

Uit het bestand gehaald, zonder opmaak, tabellen en afbeeldingen

Bijlage 1 DigiD (5) Totaaloverzicht getoetste normen ICT-beveiligingsassessment DìgiD-aansluiíing Burger- en bedrijvenportaal Gemeente Nissewaard en aansluitnummer 1003397 Nissewaard biedt de volgende functionaliteit aan waarvoor DigiD-aansluiting Burger- en bedrijvenportaal Gemeente Nissewaard voor authenticatie wordt gebruikt: * portaal voor burgers op internet dat belastingplichtigen in staat stelt om zelf gegevens over de ontvangen aanslagen in te zien of bijvoorbeeld de taxatieverslagen te bekijken. Maar men kan ook zelf de hondenbelasting aan- of afmelden of bezwaarschriften op aanslagen indienen. Deze functionaliteit wordt geboden door de volgende webapplicatie: « Webis digitale balie Deze applicatie betreft een geheel standaardpakket en wordt onderhouden door BakerWare BV.. Deze applicatie is extern benaderbaar via het volgende internetadres(sen): belastingbalie.nissewaard.nl DigiD aansluiting Burger- en bedrijvenportaal Gemeente Nissewaard bevindt zich in de Demilitarized Zone (DMZ). De infrastructuur waar deze applicatie op draait wordt beheerd door BakerWare BV in de vorm van SAAS. Het object van zelfevaluatie is de web-omgeving van DigiD aansluiting Burger- en bedrijvenportaal Gemeente Nissewaard.

De zelfevaluatie heeft zich gericht op de webapplicatie, de internetadressen waarmee deze kan worden benaderd, de infrastructuur (binnen de DMZ waar de webapplicatie zich bevindt) en een aantal ondersteunende processen conform de “Norm ICT-beveiligingsassessments DigiD" van Logius. Nissewaard heeft een deel van de DigiD web-omgeving uitbesteed aan BakerWare BV. Als gevolg hiervan is een aantal maatregelen belegd bij deze serviceorganisatìe. Het onderzoeken van deze maatregelen is dan ook uitgevoerd door de IT-auditor van deze serviceorganisatìe. De normen waar deze maatregelen betrekking op hebben maken geen onderdeel uit van de zelfevaluatie, tenzij sprake is van een gedeelde norm. Een DigiD-aansluiting dient aan het gehele normenkader te voldoen. Deze zelfevaluatie ENSIA voor DigiD is toegepast op dat deel van het normenkader dat niet onder uitbesteding aan de leveranciers] van de gemeente valt. De overige normen worden afgedekt door onderstaande TPM van de serviceorganisatìe: Leverancier 1 Naam serviceorganisatìe:

BakerWare BV

Referentie/rapportnummer:

[BKBO/200109-1/1/TPM

Afgiftedatum:

22 oktober 2020

Naam RE-auditor: Ja

Ondertekend door RE-auditor:

BKBO bv p. 10/12

Voorstraat 20 oçi rP Vlìimpn

Onze IT-auditor heeft tevens getoetst of de zelfevaluatie en de TPM van onze serviceorganisatìe het gehele normenkader afdekken. Het kan voorkomen dat een norm deels bij een leverancier en deels bij de gemeente getoetst is (zogenaamde gedeelde norm). De uitkomst uit de zelfevaluatie is getoetst door onze RE-gecertificeerde IT-auditor. De conclusie van de auditor is opgenomen in het assuraneerapport met kenmerk BKBO/200204-3/AR. Onderstaande tabel toont de uitkomsten van de zelfevaluatie per norm inclusief de normen die getoetst zijn bij leverancier. DigiD Norm

Getoetst bij Gemeente

(Optioneel) Getoetst bij leverancier 1

Totaal oordeel norm

B.05

Contractmanagement

Voldoet

U/TV.01

Identificatie en authenticatie

Voldoet

U/WA.02 Webapplicatiebeheer proces

Voldoet

U/WA.03 Automatische data invoer controle

Voldoet

U/WA.04 Normaliseren uitvoer

Voldoet

U/WA.05 Cryptografìe/Privacybevordering Voldoet

Voldoet

U/PW.02 Garanderen webprotocollen

Voldoet

U/PW.03 Configureren Webserver

Voldoet niet

U/PW.05 Toegang tot beheermechanismen

Voldoet

U/PW.07 Hardening van platformen

Voldoet

U/NW.03 DMZ

Voldoet

U/NW.04 Protectie-en detectiemechanismen

Voldoet

U/NW.05 Scheiding beheer- en productieomgeving

Voldoet

U/NW.06 Hardening van netwerken

Voldoet

C.03

Vulnerability-assessments

Voldoet

C.04

Penetratietesten

Voldoet

C.06

Signaleringsfuncties

Voldoet

C.07

Monitoring functies

Voldoet

C.08

Wijzigingenbeheer

Voldoet

C.09

Patchmanagement

Voldoet

p. 11/12 251 CP Vlijmen

Grijs hoeft volgens de gemeente en volgens hoofdstuk "verantwoordelijkheden gebruikersorganisatie” van de TPM van de serviceorganisatie niet bij de gemeente en/of bij leverancier getoetst te worden.

De tekst is automatisch uit het bestand gehaald en kan afwijken van het origineel (kolommen, tabellen en koppen lopen door elkaar). Het officiële stuk bij de gemeente is leidend. Bron: https://api.notubiz.nl/document/10255800/2