Collegeverklaring Bijlage 1b DigiD 2023 - Combi Infra- en applicatieleverancier_DigiD 1002569 ENSIA

Gemeentelijk kenmerk bijlage 1 DigiD: 6400-2024

Bijlage 1 DigiD - Raalte loket - 1002569 Totaaloverzicht getoetste normen ICT-beveiligingsassessment DigiD-aansluiting Raalte loket met aansluitnummer 1002569 Gemeente Raalte biedt de volgende functionaliteit aan waarvoor DigiD-aansluiting Raalte loket voor authenticatie wordt gebruikt: • Aangifte geboorte • Aangifte verhuizing • Aanvraag afschrift Burgerlijke stand • Aanvraag afschrift Burgerlijke stand voor bedrijven • Aanvraag bewijs van in leven zijn • Aanvraag bewijs van Nederlanderschap • Aanvraag uittreksel BRP • Aanvraag uittreksel BRP voor bedrijven • Verstrekking beperking • Wijziging naamgebruik • Melding huwelijk/geregistreerd partnerschap • Aangifte overlijden Deze functionaliteit wordt geboden door de volgende webapplicatie: • iBurgerzaken versie 4.15.3. De webapplicatie iBurgerzaken betreft Software as a Service (SaaS) en wordt onderhouden door PinkRoccade Local Government met technische ondersteuning van Yonder Nederland. De infrastructuur waarop de applicatie draait wordt eveneens beheerd door PinkRoccade Local Government, met ondersteuning van KPN voor Cloud Hostingdiensten. Deze applicatie is extern benaderbaar via het volgende internetadres: https://iburgerzaken.raalte.nl. DigiD-aansluiting Raalte loket bevindt zich in de Demilitarized Zone (DMZ). De infrastructuur waar deze applicatie op draait, wordt beheerd door Pink Roccade L.G.

in de vorm van fysieke hosting. Het object van zelfevaluatie is de web-omgeving van DigiD-aansluiting Raalte loket. De zelfevaluatie heeft zich gericht op de webapplicatie, de internetadressen waarmee deze kan worden benaderd, de infrastructuur (binnen de DMZ waar de webapplicatie zich bevindt) en een aantal ondersteunende processen conform de “Norm ICT-beveiligingsassessments DigiD” van Logius. Gemeente Raalte heeft een deel van de DigiD web-omgeving uitbesteed aan Pink Roccade L.G.. Als gevolg hiervan is een aantal maatregelen belegd bij deze serviceorganisatie(s). Het onderzoeken van deze maatregelen is dan ook uitgevoerd door de IT-auditor van deze serviceorganisatie(s). De normen waar deze maatregelen betrekking op hebben maken geen onderdeel uit van de zelfevaluatie, tenzij sprake is van een gedeelde norm. Een DigiD-aansluiting dient aan het gehele normenkader te voldoen. Deze zelfevaluatie ENSIA voor DigiD is toegepast op dat deel van het normenkader dat niet onder uitbesteding aan de leverancier van de gemeente valt. De overige normen worden afgedekt door onderstaande TPM / assurancerapportage van de leverancier: IT-leverancier Naam serviceorganisatie:

Pink Roccade L.G.

Referentie/rapportnummer:

20231012 DBA-PRLG DigiD iBurgerzaken Raalte

Afgiftedatum:

12-10-2023

Naam RE-auditor:

Duijnborgh Audit B.V.

Ondertekend door RE-auditor:

Ja

1/2

Gemeentelijk kenmerk bijlage 1 DigiD: 6400-2024

Onze IT-auditor heeft tevens getoetst of de zelfevaluatie en de TPM / assurancerapportage van onze serviceorganisatie het gehele normenkader afdekken. Het kan voorkomen dat een norm deels bij een leverancier en deels bij de gemeente getoetst is (zogenaamde gedeelde norm). De uitkomst uit de zelfevaluatie is getoetst door onze RE-gecertificeerde IT-auditor. De conclusie van de auditor is opgenomen in het assurancerapport met kenmerk 202403ERaalte. Onderstaande tabel toont de uitkomsten van de zelfevaluatie per norm inclusief de normen die getoetst zijn bij leveranciers. DigiD-norm

Getoetst bij aansluithouder

Getoetst bij ITleverancier

Totaaloordeel norm

B.01

Informatiebeveiligingsbeleid

Voldoet

Voldoet

Voldoet

B.05

Contractmanagement

Voldoet

Voldoet

Voldoet

U/TV.01

Identificatie en authenticatie

Voldoet

Voldoet

Voldoet

U/WA.02

Webapplicatiebeheerproces

Voldoet

Voldoet

Voldoet

U/WA.03

Automatische data-invoercontrole

Niet van toepassing

Voldoet

Voldoet

U/WA.04

Normaliseren uitvoer

Niet van toepassing

Voldoet

Voldoet

U/WA.05

Cryptografie/ Privacybevordering

Voldoet

Voldoet

Voldoet

U/PW.02

Garanderen webprotocollen

Niet van toepassing

Voldoet

Voldoet

U/PW.03

Configureren webserver

Niet van toepassing

Voldoet

Voldoet

U/PW.05

Toegang tot beheermechanismen

Niet van toepassing

Voldoet

Voldoet

U/PW.07

Hardening van platformen

Niet van toepassing

Voldoet

Voldoet

U/NW.03

DMZ

Niet van toepassing

Voldoet

Voldoet

U/NW.04

Protectie- en detectiemechanismen

Niet van toepassing

Voldoet

Voldoet

U/NW.05

Scheiding beheer- en productieomgeving

Niet van toepassing

Voldoet

Voldoet

U/NW.06

Hardening van netwerken

Voldoet

Voldoet

Voldoet

C.03

Vulnerability-assessments

Niet van toepassing

Voldoet

Voldoet

C.04

Penetratietesten

Niet van toepassing

Voldoet

Voldoet

C.06

Signaleringsfuncties

Niet van toepassing

Voldoet

Voldoet

C.07

Monitoringfuncties

Niet van toepassing

Voldoet

Voldoet

C.08

Wijzigingenbeheer

Voldoet

Voldoet

Voldoet

C.09

Patchmanagement

Niet van toepassing

Voldoet

Voldoet

2/2