21-46 Jaarstukken 2020 Oisterwijk- bijlage 2 accountantsverslag

Formele onrechtmatigheid

G4

identificatie DigiD in combinatie met BRP of Suwinet Tozo 1_fundamentele rechtmatigheidseisen exclusief

Fout

G4

identificatie volgens artikel 17, lid 3 Participatiewet Tozo 1_fundamentele rechtmatigheidseisen exclusief

Onzekerheid

G4

identificatie volgens artikel 17, lid 3 Participatiewet Tozo 1_belangrijke rechtmatigheidseisen (toepassing

Fout

G4

artikel 21, lid 3 Besluit 17 april) Tozo 1_belangrijke rechtmatigheidseisen (toepassing

Onzekerheid

G4

artikel 21, lid 3 Besluit 17 april) Tozo 2_geen identificatie volgens artikel 17, lid 3

Fout

FINANCIËLE OMVANG IN €

TOELICHTING FOUT/ONZEKERHEID

Participatiewet en geen identificatie DigiD in G4

combinatie met BRP of Suwinet Tozo 2_geen identificatie volgens artikel 17, lid 3

Onzekerheid

Participatiewet en geen identificatie DigiD in G4

combinatie met BRP of Suwinet Tozo 2_geen identificatie volgens artikel 17, lid 3

Formele onrechtmatigheid

Participatiewet, maar wel identificatie DigiD in combinatie met BRP of Suwinet

DASHBOARD

JAARREKENING

FINANCIËLE POSITIE

BEVINDINGEN

BIJLAGEN

B. Bevindingen SiSa-bijlage (3/3) - Tozo

37

Tozo (vervolg) NR.

SPECIFIEKE UITKERING OF OVERIG

FOUT OF ONZEKERHEID

G4

Tozo 2, exclusief identificatie volgens artikel 17, lid 3 Participatiewet

Fout

G4

Tozo 2, exclusief identificatie volgens artikel 17, lid 3 Participatiewet

Onzekerheid

G4

Tozo 3_geen identificatie volgens artikel 17, lid 3 Participatiewet en geen

Fout

G4

identificatie DigiD in combinatie met BRP of Suwinet Tozo 3_geen identificatie volgens artikel 17, lid 3 Participatiewet en geen

Onzekerheid

G4

identificatie DigiD in combinatie met BRP of Suwinet Tozo 3_geen identificatie volgens artikel 17, lid 3 Participatiewet, maar wel

Formele onrechtmatigheid

G4

identificatie DigiD in combinatie met BRP of Suwinet Tozo 3, exclusief identificatie volgens artikel 17, lid 3 Participatiewet

Fout

G4

Tozo 3, exclusief identificatie volgens artikel 17, lid 3 Participatiewet

Onzekerheid

G4

Omvang vorderingen levensonderhoud (jaar T) Tozo 1 (i.v.m. verstrekte

Fout

FINANCIËLE OMVANG IN €

TOELICHTING FOUT/ONZEKERHEID

voorschotten op Tozo-aanvragen levensonderhoud welke zijn ingediend vóór 22 april 2020) Omvang vorderingen levensonderhoud (jaar T) Tozo 1 (i.v.m. verstrekte G4

voorschotten op Tozo-aanvragen levensonderhoud welke zijn ingediend vóór 22

Onzekerheid

april 2020)

DASHBOARD

JAARREKENING

FINANCIËLE POSITIE

BEVINDINGEN

BIJLAGEN

38

C. IT-beheersing

C.1 Bevindingen IT-beheersing | Overall beeld C.2 Bevindingen IT-beheersing | Detailbevindingen

C.1. Bevindingen IT-beheersing | Overall beeld

Logische toegangsbeveiliging (criteria 2) nog ontoereikend. Change management is toereikend. Continuïteit is toereikend. Voor een nadere onderbouwing van de norm, bevindingen en aanbevelingen verwijzen wij naar Bijlage C.2.

PROCES

K2F

39

KORTE OMSCHRIJVING RESULTATEN

1. Procedure autorisatiebeheer

1

2. Periodieke controle op juistheid ingerichte autorisaties

2

Er worden geen (aantoonbare) periodieke review uitgevoerd op juistheid van ingerichte autorisaties en/of de actualiteit van gebruikersaccounts.

3. Identificatie van gebruikers voor toegang tot systemen en data

3

Generieke accounts binnen applicatie K2F zijn verklaarbaar bevonden.

4. Wachtwoordbeleid (authenticatie)

4

De wachtwoordvereisten voldoen aan de BDO minimum best practice. *1

5. Administrators en superusers

5

Er is 1 applicatiebeheerder met een dubbelfunctie (financieel medewerker) met superuserrechten, waardoor superusers niet beperkt zijn tot uitsluitend medewerkers met een IT-beheerfunctie.

6. Wijzigingenbeheer updates en gescheiden omgevingen (ontwikkel-test-productie)

6

Er is een wijzigingsbeheerproces ingericht, waarbij gebruik wordt gemaakt van standaard testprotocollen. Testwerkzaamheden worden gedocumenteerd en uitgevoerd door eindgebruikers. Daarnaast wordt inzichtelijk akkoord gegeven voor inproductiename van de wijziging.

7

Continuiteitsmaatregelen zijn getroffen door de serviceorganisatie en de gemeente ontvangt hier assurance over. *₁

7. Continuïteit (fysieke toegang, back-up, monitoring en restoretest).

onvoldoende

DASHBOARD

Er is een normpositie opgesteld waarin de rollen worden weergegeven. De toekenning van rollen geschiedt op basis van inzicht van de leidinggevende en/of de applicatiebeheerder. Bestaan en werking nog vast te stellen bij de interim-controle 2021.

JAARREKENING

verbeterpunten

FINANCIËLE POSITIE

voldoende

*1 = Hoewel dit punt toereikend is, zijn in bijlage C aanbevelingen opgenomen.

BEVINDINGEN

BIJLAGEN

C.2. Bevindingen IT-beheersing | Detailbevindingen Bevinding

PROCEDURE AUTORISATIEBEHEER & PERIODIEKE CONTROLE OP JUISTHEID INGERICHTE AUTORISATIES

40

Gerelateerde BIO normen:

KANS: Middel

9.2.1 | 9.2.2.1 | 9.2.5.1 Jaar van constatering

2020

IMPACT: Middel

9.2.2.2 | 9.2.3.1

We hebben geconstateerd dat de volgende controles aanwezig zijn:  Voor 1 gebruiker vastgesteld dat de aanvraag voor toekennen en intrekken structureel wordt vastgelegd in het ticketsysteem;  Voor 1 gebruiker vastgesteld dat de juiste autorisaties worden toegekend door middel van het toekennen van een functiegroep o.b.v. de functie in de aanvraag. Vastgesteld op basis van inspectie en observaties rondom de procedure autorisatiebeheer dat:  Autorisaties worden toegekend door de applicatiebeheerder o.b.v. functiegroepen waarbij een duidelijke koppeling is tussen de functie en de toe te kennen autorisatiegroep. Daarnaast is er een normpositie beschikbaar, echter worden rechten toegekend o.b.v. kopiegebruiker. Dit geeft vanwege de vaste groepen in tegenstelling tot aparte rollen geen verhoogd risico. 

Wij hebben vastgesteld dat er gedurende het boekjaar geen aantoonbare structurele periodieke review is uitgevoerd op:  De juistheid van toegekende rollen/rechten;  Actualiteit van gebruikersaccounts (controle achteraf of uitdiensttreders adequaat zijn geblokkeerd in K2F). Het risico op gebruikers met teveel rechten, achten wij beperkt gezien het systeem per 1 januari 2020 in gebruik is genomen. Dit zou echter in de komende jaren tot een risico van gebruikers te met teveel rechten kunnen leiden.

De tijdigheid van blokkering van gebruikersaccounts (welke uitdienst gaan) in de Active Directory wordt vastgesteld op basis van de assuranceverklaring (ISAE3402) van Equalit. Risico/Gevolg

In algemene zin bestaat het risico dat bij het ontbreken van adequate naleving op gebruikersbeheerprocedures er mogelijk personen teveel of onterechte rollen/rechten bezitten en hierdoor de functie-scheidingsprincipes mogelijk doorbroken kunnen worden met het risico op ongeautoriseerde handelingen. Tevens bestaat het risico dat een medewerker na uitdiensttreding toegang behoudt tot de betreffende applicaties en hierin transacties kan uitvoeren.

Ons advies/ Uw aanvullende werkzaamheden

Procedure autorisatiebeheer (bij toekennen en intrekken van rechten) Gemeente Oisterwijk (en de samenwerking GHO) beschikt over een normpositie voor de Key2Financiën waarin de belangrijkste gewenste functiescheidingsprincipes zichtbaar zijn gemaakt. Om administratieve lasten te voorkomen raden we aan om voornamelijk te focussen op de belangrijkste functiescheidingen (en wijzigingen) in de systemen. In navolging hierop raden we aan om dit jaarlijks vooraf door het management te laten goedkeuren, zodat dit organisatie-breed wordt gedragen en baseline biedt. Aan de hand van deze normpositie dienen de verzoeken tot het aanvragen en muteren van gebruikers met rollen en rechten beoordeeld te worden alvorens deze autorisatiegroep/rechten worden toegekend. Periodieke review (achteraf) Hoewel uitdienst medewerkers worden geblokkeerd in de Active Directory (en daarmee via single-sign-on dus ook voor Key2Financiën verdient het de aanbeveling om een periodieke review (bijv. halfjaarlijks, jaarlijks) uit te voeren waarin achteraf tegen de bovengenoemde normpositie wordt nagegaan of gebruikers teveel rollen/rechten toegekend hebben gekregen. Daarnaast zou u op basis van de uitdienstlijst periodiek achteraf een controle kunnen uitvoeren om na te gaan of alle uitdiensttreders (tijdig) zijn geblokkeerd voor de applicaties in scope.

DASHBOARD

JAARREKENING

FINANCIËLE POSITIE

BEVINDINGEN

BIJLAGEN

C.2. Bevindingen IT-beheersing | Detailbevindingen

Bevinding

41

Gerelateerde

IDENTIFICATIE VAN GEBRUIKERS

KANS: Laag

BIO normen: Jaar van constatering

2020 (geen bevinding)

9.2.1.1 & 9.2.1.2

IMPACT: Laag

Wij hebben vastgesteld dat aanwezige niet-persoonsgebonden (hierna: generieke) gebruikers binnen Key2Financiën verklaarbaar zijn vanuit gebruiksdoeleinden. 

Binnen applicatie Key2Financiën is er 1 generieke account aanwezig, welke een systeemaccount betreft. Dit is verklaarbaar vanuit beheerdoeleinden.

Risico/Gevolg

In algemene zin bestaat het risico op generiek genaamde accounts dat met deze accounts ongeautoriseerde wijzigingen worden doorgevoerd, waarnaar op basis van naamgeving niet te achterhalen is wie deze wijzigingen heeft doorgevoerd.

Ons advies/ Uw aanvullende werkzaamheden

Hoewel dit geen bevinding is, raden we in algemene zin aan om:  Het aantal generieke (beheer)accounts en generiek genaamde accounts binnen de applicatie zoveel mogelijk in te perken, door onnodige accounts te blokkeren of op naam te stellen;  Generieke accounts (met superuser-rechten) waar mogelijk de rechten in te perken naar strikt noodzakelijk en eventueel na te gaan of kritieke handelingen (bijv. toekennen/intrekken van rollen/rechten, fiatteren van uitkeringen) gelogd kunnen worden.

DASHBOARD

JAARREKENING

FINANCIËLE POSITIE

BEVINDINGEN

BIJLAGEN

C.2. Bevindingen IT-beheersing | Detailbevindingen

Bevinding

42

Gerelateerde

WACHTWOORDBELEID

KANS: N.V.T.

BIO normen: Jaar van constatering

2020 - geen negatieve bevinding, slechts ter informatie opgenomen

9.4.3.1 - 9.4.3.5

IMPACT: N.V.T.

Op basis van systeemwaarneming en inspectie van het ISAE3402 assurance-rapport hebben wij vastgesteld dat de volgende wachtwoordvereisten worden afgedwongen: WACHTWOORDINSTELLINGEN

Key2Financiën (via SSO)

Minimale wachtwoordlengte

8 karakters

Maximale wachtwoordleeftijd

60 dagen

De laatste # wachtwoorden mogen niet hergebruikt worden

6 laatste wachtwoorden

Het account wordt na # foutieve inlogpogingen geblokkeerd

3 foutieve inlogpogingen

Wachtwoordcomplexiteit *

Ingeschakeld

Initiële wachtwoordwijziging

Afgedwongen

* = het wachtwoord dient minimaal 1 cijfer, 1 hoofdletter en 1 kleine letter te bevatten. Gebruik van speciale tekens wordt niet afgedwongen. Risico/Gevolg

Het potentiële risico op het niet streng genoeg instellen van de complexiteiteis waardoor wachtwoorden kunnen worden geraden na verloop van tijd, wordt gemitigeerd doordat de overige wachtwoordvereisten strenger zijn ingeregeld dan de BDO minimum best practice voorschrijft.

Ons advies/ Uw aanvullende werkzaamheden

Er wordt hiermee voldaan aan de minimale wachtwoordeisen. Ter informatie zijn deze hieronder opgenomen: WACHTWOORDINSTELLINGEN

BDO best practice norm

BIO norm (excl. 2-factor authenticatie)*²

Minimale wachtwoordlengte

6 karakters

8 karakters (of 20 karakters)

Maximale wachtwoordleeftijd

180 dagen

180 dagen

De laatste # wachtwoorden mogen niet hergebruikt worden

3 wachtwoorden

Niet expliciet benoemd (1 werkdag verschil)

Het account wordt na # foutieve inlogpogingen geblokkeerd

7 foutieve inlogpogingen

10 foutieve inlogpogingen

Ingeschakeld

Ingeschakeld (vervalt bij min. lengte van 20 karakters)

Wachtwoordcomplexiteit

Dit wachtwoordbeleid dient periodiek te worden beoordeeld op naleving in de organisatie. * ²= De BIO-normen zijn overgenomen uit het document ‘Baseline Informatiebeveiliging Overheid v1.04’ en hier kunnen geen rechten aan ontleend worden.

DASHBOARD

JAARREKENING

FINANCIËLE POSITIE

BEVINDINGEN

BIJLAGEN

C.2. Bevindingen IT-beheersing | Detailbevindingen

Bevinding

43

Gerelateerde

SUPERUSER-RECHTEN

KANS: laag

BIO normen: Jaar van constatering

2020

9.2.3

IMPACT: hoog

Wij hebben vastgesteld dat onderstaande eindgebruikers beschikken over rollen/rechten om autorisaties toe te kennen (superuser-rechten): 

In Key2Financiën zijn 4 accounts aanwezig die beschikken over superuser-rechten. Dit zijn:  1 Systeemaccount  2 Applicatiebeheerders  1 Applicatiebeheerder met een dubbelfunctie (financieel medewerker)

Doordat het account gebruikt wordt door een medewerker met een dubbelfunctie, is de functiescheiding tussen lijnorganisatie en IT-organisatie doorbroken.

Risico/gevolg

Accounts met beheerrechten bezitten alle rechten en kunnen hiermee gewenste functiescheidingen doorbreken en eventueel ongeautoriseerde wijzigingen (bijvoorbeeld stamgegevens of financiële transacties) doorvoeren. Dit is een inherent risico van beheeraccounts. Echter wordt dit risico aanzienlijk verhoogd door deze accounts te beleggen in de lijnorganisatie. Tevens bestaat het risico op generiek en/of verouderde genaamde accounts dat met deze accounts ongeautoriseerde wijzigingen worden doorgevoerd, waarnaar op basis van naamgeving niet te achterhalen is wie deze wijzigingen heeft doorgevoerd.

Ons advies/ uw aanvullende werkzaamheden

Het verdient aanbeveling om een duidelijke functiescheiding aan te brengen tussen het gebruik en het (IT-)beheer binnen de applicatie (Key2Financiën). Dit bijvoorbeeld door de kritische applicatiebeheer processen (zoals o.a. het aanmaken, verwijderen, wijzigen van gebruikers en rechten, het wijzigen van systeeminstellingen zoals wachtwoordinstellingen, loginstellingen, het installeren van updates) te centraliseren bij de ICT-afdeling.

DASHBOARD

JAARREKENING

FINANCIËLE POSITIE

BEVINDINGEN

BIJLAGEN

C.2. Bevindingen IT-beheersing | Detailbevindingen

Bevinding

44

Gerelateerde

WIJZIGINGENBEHEER UPDATES

KANS: laag

BIO normen: Jaar van constatering

2020

12.1.2 & 12.1.4

IMPACT: middel

We hebben geconstateerd dat de volgende controles aanwezig zijn:  Wij hebben voor 1 doorgevoerde wijziging vastgesteld dat releasenotes worden ontvangen van Centric en beoordeeld door de applicatiebeheerders;  De aanvraag bij Equalit wordt gedaan voor het doorvoeren installatie-updates worden vastgelegd in het ticketsysteem;  Er wordt akkoord gegeven op de doorvoer van wijzigingen in de productieomgeving.  De applicaties in scope beschikken over een logisch gescheiden test- en productie omgeving. Wij hebben voor 1 doorgevoerde wijziging (patch) vastgesteld dat:  De beoordeling van releasenotes niet inzichtelijk is.  Testprotocollen door de applicatiebeheerder beschikbaar gemaakt worden voor Key-users welke eindgebruikers zijn.  Testwerkzaamheden verricht worden door de Key-users.  Bevindingen en/of akkoord worden genoteerd in de testprotocollen en worden teruggekoppeld aan de applicatiebeheerders.  Applicatiebeheerders geven akkoord voor inproductiename aan partij Equalit. Wij hebben voor de productieomgeving vastgesteld dat:  De applicatie Key2Financiën beschikt over een logisch gescheiden test- en productie omgeving. Risico/Gevolg

In algemene zin bestaat het risico dat testwerkzaamheden niet op basis van specifieke criteria vanuit de lijnorganisatie worden uitgevoerd. Hierdoor wordt mogelijk niet effectief en efficiënt getest wat ten koste kan gaan van de kwaliteit van de testwerkzaamheden en de productiviteit. Indien de testresultaten voor het in productie nemen van de wijziging niet structureel worden vastgelegd, bestaat het risico achteraf niet kan worden vastgesteld of een softwarewijziging terecht in de productieomgeving is geplaatst. Als gevolg van de constatering van het actieve testaccount en de standaard toegang van de IT-leverancier Centric in de productieomgeving, bestaat het risico dat mogelijk verstoringen ontstaan doordat, zonder akkoord, onbeheerste wijzigingen worden doorgevoerd in de productieomgeving.

Ons advies/ Uw aanvullende werkzaamheden

DASHBOARD

In algemene zin verdient het de aanbeveling om een procedure voor wijzigingsbeheer te beschrijven en te hanteren. In deze procedure zijn een aantal (OTAP) fases van belang, namelijk:  Aanvragen wijziging;  Risico/impact analyse;  Goedkeuring van wijzigingsverzoek;  Testen in testomgeving (aanpak en resultaten);  Goedkeuring voor in-productie name van wijziging;  Migratie naar productie. We raden aan om bovengenoemde stappen structureel vast te leggen voor belangrijke wijzigingen en tenminste de belangrijkste functionaliteiten/handelingen conform een testscenario te testen. Voor kleinere wijzigingen (bijv. patches, bug-fixes) raden we aan de minimale stappen (testvastleggingen en akkoord) minimaal te documenteren. Het verdient aanbeveling om een duidelijke functiescheiding aan te brengen tussen het gebruik en het (IT-)beheer van applicaties Key2Financïen. Daarom raden we aan om de leveranciersaccounts alleen in te schakelen wanneer een inproductiename uitgevoerd dient te worden.

JAARREKENING

FINANCIËLE POSITIE

BEVINDINGEN

BIJLAGEN

C.2. Bevindingen IT-beheersing | Detailbevindingen

Bevinding

IT CONTINUÏTEIT

Jaar van constatering

2020

45

Gerelateerde BIO normen: 11.2| 12.3.1.1 – 12.3.1.4 | 12.3.1.5

KANS: laag IMPACT: laag

We hebben geconstateerd dat de volgende controles aanwezig zijn:  De verantwoordelijkheid voor de back-ups en recovery ligt bij serviceorganisatie Equalit;  De verantwoordelijkheid voor de hosting van data van Key2Financiën ligt bij Equalit en sub-service organisatie KPN NL datacenter en Global-E en beschikt over een ISAE3402 verklaring type II;  Serviceorganisatie Equalit (en subserviceorganisatie KPN NLDC en Global) beschikt in opzet over:  Fysieke beveiligingsmaatregelen tot de serverruimte (UPS, brandmelder, blusser en temperatuurregeling);  Een ingericht back-upschema met bijhorende retentietijden en monitoring op foutieve back-ups;  Een periodieke restore-test van de productie-data uit de systemen.  Over de fysieke beveiligingsmaatrelen wordt per jaareinde zekerheid afgegeven over de effectiviteit van deze beheersmaatregelen middels de ISAE3402-assurance verklaring (werking over de gehele periode); 

De assurance-rapportage stelt dat ‘Beheersmaatregelen bij de deelnemer’ inzake continuïteit dienen te zijn ingericht. Deze verantwoordelijkheden zijn niet formeel opgenomen in de Service Level Agreement met serviceorganisatie Equalit. Dit omvat onder andere maatregelen zoals een uitwijklocatie en Disaster recovery Plan voor de fysieke deelnemerlocatie van de Gemeente Oisterwijk (en de samenwerking GHO)

Risico/Gevolg

Wanneer de uitwijktesten nog niet zijn uitgevoerd, bestaat het risico dat de kantoorruimte niet beschikbaar is in geval van nood. Het risico is echter beperkt vanwege het feit dat er tot op heden nog geen verstoringen hebben voorgedaan en een thuiswerkplek-faciliteiten zijn georganiseerd.

Ons advies/ Uw aanvullende werkzaamheden

Dit punt behoeft nuancering vanwege het feit dat de ISAE3402-verklaring jaarlijks gepubliceerd wordt aan het begin van 2021. Vanuit een kritische blik raden wij aan om per jaareinde de assurance-verklaring op te vragen bij de serviceorganisatie Equalit en na te gaan:  Wat de scope van de assurance-verklaring betreft en of dit overeenkomt met de afgenomen diensten bij deze partij;  Wat de periode van de assurance-verklaring betreft (gehele boekjaar of gedeelte van het jaar);  In hoeverre de controlemaatregelen rondom fysieke toegangsbeveiliging, back-up/monitoring en periodieke restore-test toereikend zijn;  Welke aanvullende controlemaatregelen (ref: beheersmaatregelen bij de deelnemer) worden verwacht van de samenwerking GHO. Wij raden aan om bijzonderheden ten opzichte van bovengenoemde aandachtspunten te bespreken met de serviceorganisatie, indien hier aanleiding toe is.

DASHBOARD

JAARREKENING

FINANCIËLE POSITIE

BEVINDINGEN

BIJLAGEN

46

bdo.nl