Document · PDF

2 Collegeverklaring informatiebeveiliging DigiD en Suwinet gemeente Oss 2021.DOCX

Adviescommissie Sociaal Bestuurlijk 12 mei 2022, gemeente OssBij agendapunt: B Stand van zaken informatiebeveiliging gemeente Oss 20212.370 woorden

Open het PDF bij de gemeente ↗Naar de vergadering →

Tekst van het document

Uit het bestand gehaald, zonder opmaak, tabellen en afbeeldingen

Collegeverklaring informatiebeveiliging DigiD en Suwinet Gemeente Oss

1/10

Gemeentelijk kenmerk collegeverklaring ENSIA: Oss-ENSIA-2021

Collegeverklaring informatiebeveiliging DigiD en Suwinet Gemeente Oss Doel en achtergrond verklaring Met deze verklaring geven wij, het college van burgemeester en wethouders, aan in welke mate Gemeente Oss voldoet aan de informatiebeveiligingsnormen voor DigiD en Suwinet. Deze verklaring maakt onderdeel uit van de verantwoording over informatiebeveiliging middels ENSIA1 en is tot stand gekomen door een zelfevaluatie over informatiebeveiligingsnormen. De inhoud wordt getoetst door een onafhankelijke IT-auditor. De verklaring is bestemd voor de stelselhouders van DigiD en Suwinet, te weten het ministerie van Binnenlandse Zaken en Koninkrijksrelaties en het ministerie van Sociale Zaken en Werkgelegenheid.

Reikwijdte en diepgang verklaring De toetsing gaat over de opzet en het bestaan van de beheersingsmaatregelen om te kunnen voldoen aan de relevante beveiligingsnormen voor DigiD en Suwinet op 31 december 2021. De beheersingsmaatregelen inzake DigiD en Suwinet die zijn uitbesteed aan dienstverlener(s) worden niet getoetst door de auditor. Deze collegeverklaring en de verantwoording van de dienstverlener(s) dekken tezamen de normen inzake DigiD en Suwinet af. Het overzicht van normen en eventuele afwijkingen en waar deze belegd zijn, is opgenomen in de bijlagen: • •

Bijlage 1 DigiD met kenmerk Oss-ENSIA-2021-DigiD. Bijlage 2 Suwinet met kenmerk Oss-ENSIA-2021-Suwinet.

Verklaring college Het college verklaart dat bij gemeente Oss op 31 december 2021 de beheersingsmaatregelen (in opzet en bestaan) voldoen aan de geselecteerde normen inzake DigiD en Suwinet.

1 ENSIA ondersteunt de gemeente bij de verantwoording over informatiebeveiliging richting de gemeenteraad en de rijksoverheid.

ENSIA gaat uit van de Baseline Informatiebeveiliging Overheid (BIO), alsmede van informatiebeveiligingsnormen vanuit Basisregistratie Personen (BRP), wet- en regelgeving reisdocumenten (PUN, PNIK), Digitale persoonsidentificatie (DigiD), Basisregistratie Adressen en Gebouwen (BAG), Basisregistratie Grootschalige Topografie (BGT), Basisregistratie Ondergrond (BRO), de Gezamenlijke Elektronische Voorzieningen Structuur uitvoeringsorganisatie Werk en Inkomen (GeVS/Suwinet) en de Wet Onroerende Zaken (WOZ).

Gemeentelijk kenmerk collegeverklaring ENSIA: Oss-ENSIA-2021

Samenvattend beeld

Onderwerp DigiD 999621

Wordt aan alle normen voldaan? Ja

Zijn de uitzonderingen in [een] verbeterplan[nen] opgenomen en zijn de verbetermaatregelen belegd en worden deze gemonitord? Niet van toepassing

DigiD 1002739

Niet van toepassing

DigiD 1002991

Niet van toepassing

Suwinet voor SUWI-taken Suwinet voor niet-SUWI-taken

Ja Ja

Niet van toepassing Niet van toepassing

Oss, 29 maart 2022 College van B&W gemeente Oss

De secretaris,

De burgemeester,

Henk Mensink

Wobine Buijs

Naam auditfirma: Naam auditor: Datum:

2-Control B.V. Jeroen de Klerk RE

Gemeentelijk kenmerk collegeverklaring ENSIA: Oss-ENSIA-2021

Bijlage 1 DigiD - Gemeente Oss - digitaal loket - 999621 Totaaloverzicht getoetste normen ICT-beveiligingsassessment DigiD-aansluiting Gemeente Oss - digitaal loket met aansluitnummer 999621 Gemeente Oss biedt de volgende functionaliteit aan waarvoor DigiD-aansluiting Gemeente Oss digitaal loket voor authenticatie wordt gebruikt: •

Via de webapplicatie Exxellence Suite kan Oss zaakgericht werken en communiceren hierover met de burger. Voor het doen en inzien van een aanvraag dient de burger met DigiD in te loggen op het Exxellence Suite platform.

Deze functionaliteit wordt geboden door de volgende webapplicatie: • Exxellence Suite. Deze applicatie betreft een geheel standaardpakket en wordt onderhouden door XXLLNC. Deze applicatie is extern benaderbaar via het volgende internetadres: https://loket.oss.nl. DigiD-aansluiting Gemeente Oss - digitaal loket bevindt zich in de Demilitarized Zone (DMZ). De infrastructuur waar deze applicatie op draait, wordt beheerd door XXLLNC in de vorm van SaaS. Het object van zelfevaluatie is de web-omgeving van DigiD-aansluiting Gemeente Oss - digitaal loket. De zelfevaluatie heeft zich gericht op de webapplicatie, de internetadressen waarmee deze kan worden benaderd, de infrastructuur (binnen de DMZ waar de webapplicatie zich bevindt) en een aantal ondersteunende processen conform de “Norm ICT-beveiligingsassessments DigiD” van Logius. Gemeente Oss heeft een deel van de DigiD web-omgeving uitbesteed aan XXLLNC. Als gevolg hiervan is een aantal maatregelen belegd bij deze serviceorganisatie(s). Het onderzoeken van deze maatregelen is dan ook uitgevoerd door de IT-auditor van deze serviceorganisatie. De normen waar deze maatregelen betrekking op hebben maken geen onderdeel uit van de zelfevaluatie, tenzij sprake is van een gedeelde norm. Een DigiD-aansluiting dient aan het gehele normenkader te voldoen.

Deze zelfevaluatie ENSIA voor DigiD is toegepast op dat deel van het normenkader dat niet onder uitbesteding aan de leverancier van de gemeente valt. De overige normen worden afgedekt door onderstaande TPM van de leverancier: SaaS-leverancier Naam serviceorganisatie:

XXLLNC

Referentie/rapportnummer:

AB/1024473/01

Afgiftedatum:

14-10-2021

Naam RE-auditor:

Mazars N.V.

Ondertekend door RE-auditor:

Jan Matto RI RE en Achmed Bouazza RE CISA

Onze IT-auditor heeft tevens getoetst of de zelfevaluatie en de TPM van onze leveranciers het gehele normenkader afdekt. Het kan voorkomen dat een norm deels bij een leverancier en deels bij de gemeente getoetst is (zogenaamde gedeelde norm). De uitkomst uit de zelfevaluatie is getoetst door onze RE-gecertificeerde IT-auditor. De conclusie van de auditor is opgenomen in het assurancerapport met kenmerk 2C-2022-309. Onderstaande tabel toont de uitkomsten van de zelfevaluatie per norm inclusief de normen die getoetst zijn bij leverancier(s).

Gemeentelijk kenmerk collegeverklaring ENSIA: Oss-ENSIA-2021

DigiD-norm

Getoetst bij gemeente

Getoetst bij SaaSleverancier

Totaaloordeel norm

B.05

Contractmanagement

Voldoet

U/TV.01

Identificatie en authenticatie

Voldoet

U/WA.02

Webapplicatiebeheer proces

Voldoet

U/WA.03

Automatische data-invoercontrole

Voldoet

U/WA.04

Normaliseren uitvoer

Voldoet

U/WA.05

Cryptografie/ Privacybevordering

Voldoet

U/PW.02

Garanderen webprotocollen

Voldoet

U/PW.03

Configureren webserver

Voldoet

U/PW.05

Toegang tot beheermechanismen

Voldoet

U/PW.07

Hardening van platformen

Voldoet

U/NW.03

DMZ

Voldoet

U/NW.04

Protectie- en detectiemechanismen

Voldoet

U/NW.05

Scheiding beheer- en productieomgeving

Voldoet

U/NW.06

Hardening van netwerken

Voldoet

C.03

Vulnerability-assessments

Voldoet

C.04

Penetratietesten

Voldoet

C.06

Signaleringsfuncties

Voldoet

C.07

Monitoringfuncties

Voldoet

C.08

Wijzigingenbeheer

Voldoet

C.09

Patchmanagement

Voldoet

Gemeentelijk kenmerk collegeverklaring ENSIA: Oss-ENSIA-2021

Bijlage 1 DigiD - Gemeente Oss - Centric eDiensten Burgerzaken - 1002739 Totaaloverzicht getoetste normen ICT-beveiligingsassessment DigiD-aansluiting Gemeente Oss - Centric eDiensten Burgerzaken met aansluitnummer 1002739 Gemeente Oss biedt de volgende functionaliteit aan waarvoor DigiD-aansluiting Gemeente Oss Centric eDiensten Burgerzaken voor authenticatie wordt gebruikt: •

het verlenen van diensten door burgerzaken, zoals verstrekken van paspoorten, rijbewijzen, uittreksels e.d.

Deze functionaliteit wordt geboden door de volgende webapplicatie: •

eDiensten Burgerzaken.

Deze applicatie betreft een geheel standaardpakket en wordt onderhouden door Centric Netherlands B.V.. Deze applicatie is extern benaderbaar via het volgende internetadres: https://edienstenburgerzaken.oss.nl. DigiD-aansluiting Gemeente Oss - Centric eDiensten Burgerzaken bevindt zich in de Demilitarized Zone (DMZ). De infrastructuur waar deze applicatie op draait, wordt beheerd door Centric Netherlands B.V. in de vorm van SaaS. Het object van zelfevaluatie is de web-omgeving van DigiD-aansluiting Gemeente Oss - Centric eDiensten Burgerzaken. De zelfevaluatie heeft zich gericht op de webapplicatie, de internetadressen waarmee deze kan worden benaderd, de infrastructuur (binnen de DMZ waar de webapplicatie zich bevindt) en een aantal ondersteunende processen conform de “Norm ICT-beveiligingsassessments DigiD” van Logius. Gemeente Oss heeft een deel van de DigiD web-omgeving uitbesteed aan Centric Netherlands B.V.. Als gevolg hiervan is een aantal maatregelen belegd bij deze serviceorganisatie. Het onderzoeken van deze maatregelen is dan ook uitgevoerd door de IT-auditor van deze serviceorganisatie. De normen waar deze maatregelen betrekking op hebben maken geen onderdeel uit van de zelfevaluatie, tenzij sprake is van een gedeelde norm. Een DigiD-aansluiting dient aan het gehele normenkader te voldoen.

Deze zelfevaluatie ENSIA voor DigiD is toegepast op dat deel van het normenkader dat niet onder uitbesteding aan de leverancier van de gemeente valt. De overige normen worden afgedekt door onderstaande TPM assurancerapportage van de leverancier: SaaS-leverancier Naam serviceorganisatie:

Centric Netherlands B.V.

Referentie/rapportnummer:

REQ6122941NKjb_A

Afgiftedatum:

28-10-2021

Naam RE-auditor:

Ernst & Young Accountants LLP

Ondertekend door RE-auditor:

Peter Kornelisse RE CISA CIPP/e

Onze IT-auditor heeft tevens getoetst of de zelfevaluatie en de TPM van onze leverancier het gehele normenkader afdekt. Het kan voorkomen dat een norm deels bij een leverancier en deels bij de gemeente getoetst is (zogenaamde gedeelde norm). De uitkomst uit de zelfevaluatie is getoetst door onze RE-gecertificeerde IT-auditor. De conclusie van de auditor is opgenomen in het assurancerapport met kenmerk 2C-2022-309.

Gemeentelijk kenmerk collegeverklaring ENSIA: Oss-ENSIA-2021

Onderstaande tabel toont de uitkomsten van de zelfevaluatie per norm inclusief de normen die getoetst zijn bij leverancier(s). DigiD-norm

Getoetst bij gemeente

Getoetst bij SaaSleverancier

Totaaloordeel norm

Voldoet

B.05

Contractmanagement

U/TV.01

Identificatie en authenticatie

U/WA.02

Webapplicatiebeheer proces

U/WA.03

Automatische data-invoercontrole

U/WA.04

Normaliseren uitvoer

U/WA.05

Cryptografie/ Privacybevordering

U/PW.02

Garanderen webprotocollen

Voldoet

U/PW.03

Configureren webserver

Voldoet

U/PW.05

Toegang tot beheermechanismen

Voldoet

U/PW.07

Hardening van platformen

Voldoet

U/NW.03

DMZ

Voldoet

U/NW.04

Protectie- en detectiemechanismen

Voldoet

U/NW.05

Scheiding beheer- en productieomgeving

Voldoet

U/NW.06

Hardening van netwerken

Voldoet

C.03

Vulnerability-assessments

Voldoet

C.04

Penetratietesten

Voldoet

C.06

Signaleringsfuncties

Voldoet

C.07

Monitoringfuncties

Voldoet

C.08

Wijzigingenbeheer

Voldoet

C.09

Patchmanagement

Voldoet

Gemeentelijk kenmerk collegeverklaring ENSIA: Oss-ENSIA-2021

Bijlage 1 DigiD - Gemeente Oss - Centric Mijn Inkomen - 1002991 Totaaloverzicht getoetste normen ICT-beveiligingsassessment DigiD-aansluiting Gemeente Oss - Centric Mijn Inkomen met aansluitnummer 1002991 Gemeente Oss biedt de volgende functionaliteit aan waarvoor DigiD-aansluiting Gemeente Oss Centric Mijn Inkomen voor authenticatie wordt gebruikt: •

Diensten voor sociale domein zoals uitkeringen verstrekken, zorg plannen, etc.

Deze functionaliteit wordt geboden door de volgende webapplicatie: • Selfservice Sociaal Domein eDiensten Mijn Inkomen Mijn Regie. Deze applicatie betreft een geheel standaardpakket en wordt onderhouden door Centric. Deze applicatie is extern benaderbaar via het volgende internetadres: https://mijninkomen.oss.nl. DigiD-aansluiting Gemeente Oss - Centric Mijn Inkomen bevindt zich in de Demilitarized Zone (DMZ). De infrastructuur waar deze applicatie op draait, wordt beheerd door Centric in de vorm van SaaS. Het object van zelfevaluatie is de web-omgeving van DigiD-aansluiting Gemeente Oss - Centric Mijn Inkomen. De zelfevaluatie heeft zich gericht op de webapplicatie, de internetadressen waarmee deze kan worden benaderd, de infrastructuur (binnen de DMZ waar de webapplicatie zich bevindt) en een aantal ondersteunende processen conform de “Norm ICT-beveiligingsassessments DigiD” van Logius. Gemeente Oss heeft een deel van de DigiD web-omgeving uitbesteed aan Centric. Als gevolg hiervan is een aantal maatregelen belegd bij deze serviceorganisatie. Het onderzoeken van deze maatregelen is dan ook uitgevoerd door de IT-auditor van deze serviceorganisatie. De normen waar deze maatregelen betrekking op hebben maken geen onderdeel uit van de zelfevaluatie, tenzij sprake is van een gedeelde norm. Een DigiD-aansluiting dient aan het gehele normenkader te voldoen.

Centric Netherlands B.V.

Referentie/rapportnummer:

REQ6122941NKjb_B

Afgiftedatum:

28-10-2021

Naam RE-auditor:

Ernst & Young Accountants LLP

Ondertekend door RE-auditor:

Peter Kornelisse RE CISA CIPP/e

Gemeentelijk kenmerk collegeverklaring ENSIA: Oss-ENSIA-2021

Onderstaande tabel toont de uitkomsten van de zelfevaluatie per norm inclusief de normen die getoetst zijn bij leverancier(s). DigiD-norm

Getoetst bij gemeente

Getoetst bij SaaSleverancier

Totaaloordeel norm

B.05

Contractmanagement

Voldoet

U/TV.01

Identificatie en authenticatie

Voldoet

U/WA.02

Webapplicatiebeheer proces

Voldoet

U/WA.03

Automatische data-invoercontrole

Voldoet

U/WA.04

Normaliseren uitvoer

Voldoet

U/WA.05

Cryptografie/ Privacybevordering

Voldoet

U/PW.02

Garanderen webprotocollen

Voldoet

U/PW.03

Configureren webserver

Voldoet

U/PW.05

Toegang tot beheermechanismen

Voldoet

U/PW.07

Hardening van platformen

Voldoet

U/NW.03

DMZ

Voldoet

U/NW.04

Protectie- en detectiemechanismen

Voldoet

U/NW.05

Scheiding beheer- en productieomgeving

Voldoet

U/NW.06

Hardening van netwerken

Voldoet

C.03

Vulnerability-assessments

Voldoet

C.04

Penetratietesten

Voldoet

C.06

Signaleringsfuncties

Voldoet

C.07

Monitoringfuncties

Voldoet

C.08

Wijzigingenbeheer

Voldoet

C.09

Patchmanagement

Voldoet

Gemeentelijk kenmerk collegeverklaring ENSIA: Oss-ENSIA-2021

Bijlage 2 Gebruik van Suwinet Deze bijlage is een afzonderlijk onderdeel van de Collegeverklaring ENSIA 2021 van Gemeente Oss. Onderwerp van de verklaring is het gebruik van Suwinet. Deze verklaring heeft betrekking op de Verantwoordingsrichtlijn GeVS 2020 welke is gebaseerd op geselecteerde controls uit de Baseline Informatieveiligheid Overheid (BIO). Suwinet-gegevens worden ten behoeve van de dienstverlening aan onze burgers niet door serviceorganisaties verwerkt. Hierbij is de eventuele aanwezigheid van IT-serviceorganisaties in aanmerking genomen.

Gebruik van Suwinet voor SUWI-taken Voor de volgende taken wordt Suwinet op de volgende plaatsen gebruikt: Taak

Organisatie

TPM/AR

Participatiewet (Pw)

binnen de gemeente

nee

Inkomensvoorziening voor Oudere en gedeeltelijk Arbeidsongeschikte Werknemers (IOAW)

binnen de gemeente

nee

Wet inkomensvoorziening oudere en gedeeltelijk arbeidsongeschikte gewezen zelfstandigen (IOAZ)

binnen de gemeente

nee

Gebruik van Suwinet voor niet-SUWI-taken Voor de volgende niet-SUWI-taken wordt Suwinet op de volgende plaatsen gebruikt: Taak

Organisatie

TPM/AR

Hulp aan vroegtijdig schoolverlaters door Regionaal Meld- en Coördinatiecentrum (RMC)

binnen de gemeente

nee

Onderzoek loonbeslag door binnen de gemeente Gemeentelijke Belastingdeurwaarders

nee

Adresonderzoek door Burgerzaken

nee

binnen de gemeente

Naleving BIO-maatregelen Zoals in de Collegeverklaring vermeld, voldoet Gemeente Oss aan alle interne beheersmaatregelen inzake Suwinet op 31 december 2021 in opzet en bestaan aan de geselecteerde controls.

De tekst is automatisch uit het bestand gehaald en kan afwijken van het origineel (kolommen, tabellen en koppen lopen door elkaar). Het officiële stuk bij de gemeente is leidend. Bron: https://api1.ibabs.eu/publicdownload.aspx?site=Oss&id=ee80206f-fd64-4088-af10-e0027be76188