B. Col-Assurancerapport Renswoude

Gemeente Renswoude ENSIA 2020 Datum rapport: 23 april 2021 Rapportnummer: AAS2021-924 Dit rapport heeft 15 pagina's

Colofon Rapport Betreft organisatie Opgesteld ten behoeve van Datum Rapportnummer Versie Status

Assurancerapport bij de Collegeverklaring Gemeente Renswoude Gemeente Renswoude, Logius en SZW 23 april 2021 AAS2021-924 1.0 Definitief

Auditor Mobiel E-mail

J.R. Möhle RE +31 (0)6 47 11 22 73 jacko.mohle@accoris.nl

Auditorganisatie Vestigingsadres

Accoris Audit Services B.V. Bredewater 26 2715 CA Zoetermeer Nederland +31 (0)85 086 63 01 info@accoris.nl www.accoriszm.nl

Telefoon E-mail Website

Pagina 2 van 6

Naam auditfirma:

Accoris Audit Services B.V.

Naam auditor:

J.R. Möhle RE

Datum:

23 april 2021

Handtekening of paraaf auditor:

Assurance-rapport van de onafhankelijke IT-auditor (Bij gebruik DigiD en Suwinet)

Aan: Het college van Burgemeester en Wethouders van gemeente Renswoude Ingevolge uw opdracht hebben wij de bijgevoegde collegeverklaring ENSIA 2020 inzake Informatiebeveiliging van DigiD en Suwinet (hierna: collegeverklaring), inclusief de bijlagen 1 DigiD en 2 Suwinet waarnaar in de collegeverklaring wordt verwezen, van gemeente Renswoude onderzocht. Scope De scope van ons onderzoek bestond uit de hierna genoemde Suwinet gegevensverwerkingen en DigiD aansluitingen: Onderzochte gegevensverwerkingen Suwinet: Gebruik van Suwinet voor SUWI-taken Taak Participatiewet (Pw) Inkomensvoorziening voor Oudere en gedeeltelijk Arbeidsongeschikte Werknemers (IOAW) Wet Inkomensvoorziening Oudere en gedeeltelijk Arbeidsongeschikte gewezen Zelfstandigen (IOAZ) Gebruik van Suwinet voor niet-SUWI-taken Taak Hulp aan vroegtijdig schoolverlaters door Regionaal Meld- en Coördinatiecentrum (RMC) Onderzoek loonbeslag door Gemeentelijke Belastingdeurwaarders Adresonderzoek door Burgerzaken

Organisatie Gemeente Veenendaal Gemeente Veenendaal

Gemeente Veenendaal

Organisatie Gemeente Amersfoort Niet van toepassing Niet van toepassing

Pagina 3 van 6

Onderzochte DigiD aansluitingen: Aansluitnummer 1002427

Aansluitnaam Gemeente Renswoude

Wij hebben geen onderzoek uitgevoerd naar hierboven niet genoemde DigiD aansluitingen en gegevensverwerkingen Suwinet en doen daar derhalve ook geen uitspraak over. Ons oordeel Wij hebben de bijgevoegde collegeverklaring ENSIA 2020 inzake informatiebeveiliging van DigiD en Suwinet (hierna: collegeverklaring), inclusief de bijlagen 1 DigiD en 2 Suwinet waarnaar in de collegeverklaring wordt verwezen, van gemeente Renswoude onderzocht. Naar ons oordeel is bijgevoegde collegeverklaring, inclusief de bijlagen 1 DigiD en 2 Suwinet waarnaar in de collegeverklaring wordt verwezen, van gemeente Renswoude, in alle van materieel belang zijnde aspecten, juist. De collegeverklaring omvat het op 31 december 2020 in opzet en bestaan voldoen van de beheersingsmaatregelen aan de geselecteerde normen voor DigiD en Suwinet. Wij benadrukken dat het specifiek geselecteerde normen zijn en daarmee geen uitspraak wordt gedaan over de informatiebeveiliging als geheel. De basis voor ons oordeel Wij hebben onze assurance-opdracht met betrekking tot de collegeverklaring verricht in overeenstemming met Richtlijn 3000-A (Herzien) ‘Assuranceopdrachten door IT-auditors’ van NOREA. Deze assurance-opdracht is gericht op het verkrijgen van een redelijke mate van zekerheid.

Onze verantwoordelijkheden op grond hiervan zijn beschreven in de sectie 'Onze verantwoordelijkheden voor de assurance-opdracht betreffende de collegeverklaring’. Wij hebben de vereisten van het Reglement Gedragscode (‘Code of Ethics’) van NOREA nageleefd, welke is gebaseerd is op de fundamentele beginselen van integriteit, objectiviteit, deskundigheid en zorgvuldigheid, geheimhouding en professioneel gedrag. Wij vinden dat de door ons verkregen assurance-informatie voldoende en geschikt is als basis voor ons oordeel. Beperking in gebruik en verspreidingskring Dit assurance-rapport is bestemd voor gebruikers van de collegeverklaring. De collegeverklaring is opgesteld voor de gemeenteraad en voor de departementen die toezien op de veiligheid van DigiD en Suwinet. Doel van de collegeverklaring is om de gemeenteraad en de departementen die toezien op de veiligheid van DigiD en Suwinet te informeren over het in opzet en bestaan voldoen van de beheersingsmaatregelen aan de geselecteerde normen DigiD en Suwinet. Ons assurance-rapport is derhalve uitsluitend bestemd voor de gemeenteraad en de departementen die toezien op de veiligheid van DigiD en Suwinet en dient niet te worden verspreid aan of te worden gebruikt door anderen.

Pagina 4 van 6

Verantwoordelijkheden van het college van gemeente Renswoude Het college van burgemeester en wethouders van gemeente Renswoude is verantwoordelijk voor het opstellen van de collegeverklaring. Het college is verantwoordelijk voor het onderkennen van de beveiligingsrisico’s en het opzetten en implementeren van beveiligingsmaatregelen in relatie tot DigiD en Suwinet en het afwegen van en reageren op de resterende risico’s uit hoofde van afwijkingen van materieel belang. De criteria waarvan bij het maken van deze verklaring gebruik werd gemaakt hielden in dat: -

de risico’s die het bereiken van de geselecteerde normen voor DigiD en Suwinet in gevaar brengen, werden geïdentificeerd; en de onderkende interne beheersingsmaatregelen, indien zij werkzaam zijn zoals beschreven, een redelijke mate van zekerheid zouden verschaffen dat die risico’s het bereiken van de vermelde interne beheersingsdoelstellingen niet zouden verhinderen.

Het college is ook verantwoordelijk voor een zodanige interne beheersing als het noodzakelijk acht om het opstellen van de collegeverklaring mogelijk te maken zonder afwijkingen van materieel belang als gevolg van fraude of fouten. Onze verantwoordelijkheden voor de assurance-opdracht betreffende de collegeverklaring Onze verantwoordelijkheid is het zodanig plannen en uitvoeren van een assurance-opdracht dat wij daarmee, met een redelijke mate van zekerheid voldoende en geschikte assurance-informatie verkrijgen voor het door ons af te geven oordeel. Een redelijke mate van zekerheid wil zeggen dat onze assurance-opdracht is uitgevoerd met een hoge mate maar geen absolute mate van zekerheid waardoor het mogelijk is dat wij tijdens onze assurance-opdracht niet alle materiële fouten en fraude ontdekken. Voor zo ver wij bij onze audit gebruik hebben gemaakt van werkzaamheden van een andere ITauditor/RE, hebben wij geëvalueerd of die werkzaamheden adequaat zijn voor onze doeleinden. In dit kader hebben wij de door de andere IT-auditor/RE opgestelde Third Party Mededeling (TPM) beoordeeld op geschiktheid voor vermelding in ons assurance-rapport. Wij hanteren de carve-out methode en nemen derhalve geen verantwoordelijkheid voor de door de andere IT-auditor/RE uitgevoerde werkzaamheden, de formuleringen in zijn rapport en de juistheid van zijn oordelen.

Wij passen het Reglement Kwaliteitsbeheersing NOREA (RKBN) toe. Op grond daarvan beschikken wij over een samenhangend stelsel van kwaliteitsbeheersing inclusief vastgelegde richtlijnen en procedures inzake de naleving van de ethische voorschriften, professionele standaarden en andere wet- en regelgeving. Afwijkingen kunnen ontstaan als gevolg van fraude of fouten en zijn materieel indien redelijkerwijs kan worden verwacht dat deze, afzonderlijk of gezamenlijk, van invloed kunnen zijn op de beslissingen die gebruikers op basis van de collegeverklaring nemen. De materialiteit beïnvloedt de aard, timing en omvang van onze assurance-werkzaamheden en de evaluatie van het effect van onderkende afwijkingen op ons oordeel. Wij hebben deze assurance-opdracht professioneel kritisch uitgevoerd en hebben waar relevant professionele oordeelsvorming toegepast in overeenstemming met de Richtlijn 3000 (Herzien) ‘Assuranceopdrachten door IT-auditors’ van NOREA.

Pagina 5 van 6

Onze assurance-opdracht bestond onder andere uit: het verkrijgen van kennis omtrent de collegeverklaring en andere omstandigheden rond de opdracht waaronder het verkrijgen van kennis omtrent de interne beheersingsmaatregelen; het op basis van deze kennis inschatten van de risico's dat de collegeverklaring onjuistheden van materieel belang bevat; het reageren op de ingeschatte risico's, waaronder het ontwikkelen van een algehele aanpak, en het bepalen van de aard, de tijdsfasering en de omvang van verdere procedures; het uitvoeren van verdere procedures die duidelijk zijn gekoppeld aan de gesignaleerde risico's, waarbij gebruik wordt gemaakt van een combinatie van inspectie, waarnemingen ter plaatse en inwinnen van inlichtingen; en het evalueren van de toereikendheid van de assurance-informatie zoals opgenomen in de collegeverklaring en bijbehorende bijlage(n). Zoetermeer, 23 april 2021 Accoris Audit Services B.V.

J.R. Möhle RE Partner

Pagina 6 van 6

Collegeverklaring informatiebeveiliging DigiD en Suwinet Gemeente Renswoude

gemeente

Renswoude Gemeentelijk kenmerk collegeverklaring ENSIA:

5240831533704

Collegeverklar¡ng informatiebeveiliging DigiD en Suwinet

Gemeente Renswoude Doel en achtergrond verklaring Met deze verklaring geven wij, het college van burgemeester en wethouders, aan in welke mate de gemeente Renswoude voldoet aan de informatiebeveiligingsnormen voor DigiD en Suwinet. Deze verklaring maakt onderdeel uit van de verantwoording over informatiebeveiliging middels ENSIA ( 1 ) en is tot siãnd gekomen door een zelfevaluatie over informatiebeveiligingsnormen. De inhoud wordt getoetst door een onafhankelijke lT-auditor. De verklaring is bestemd voor de stelselhouders van DigiD en Suwinet, te weten het ministerie van

Binnenlandse Zaken en Koninkrijksrelaties en het ministerie van Sociale Zaken en Werkgelegenheid.

Reikwijdte en diepgang verklar¡ng De toetsing gaat over de opzet en het bestaan van de beheersingsmaatregelen^om te kunnen voldoen aan de relãvãnte beveiligingsnormen voor DigiD en Suwinet op 31 december 2020.

De beheersingsmaatregelen inzake DigiD en Suwinet die zijn uitbesteed aan dienstverleners worden niet getoetst dloor de aud¡tor. Deze collégeverklaring en de verantwoording van de dienstverleners dekkãn tezamen de normen inzake DigiÓ en Suwinet af. Het ovezicht van normen [eventuele atwijkingenl en waar deze belegd zijn, is opgenomen in de bijlagen: bijlage 1 DigiD met kenmerk 533705 bijlage 2 Suwinet met kenmerk 533707

Verklaring college Het college verklaart dat bij gemeente Renswoude op 31 december 2O2O de beheersingsmaatregelen (in opzetãn bestaan) voldóen aan de geselecteerde normen inzake DigiD en Suwinet.

(1) ENSIA ondersteunt de gemeente bijde verantwoording over informatiebeveiliging richting de

Informatiebeveiliging Overheid þemeenteraad en de rijksoierheid. ENS/A gaat uit van de Baseline Persgnel @.RP), wet- en vanuit Basisregistratie van iniormatiebeveiligingsnormen alsmede \Ap¡, (DigiDLBasisregtsfrafie rege'tgeving reisdocumenten (PUN, ÞNtþ, Digitate persoonsidentificatie ¡Jreõsen án Gebouwen @AG), Basisregistralie Grootschatige Topografie (BGT), Basisregistratie Ondergrond (BRO) en dà Gez'amentijke-Etektronische Voonieningen Structuur uitvoeringsorganisatie Werk en Inkomen (GeVS/Suwinet) .

gemeente

Renswoude Samenvattend beeld I .1¡

¡ {,i

',vrv,{")ri,ili' -:Ì iln ,t ]lIr ìr]lllrlirllfrìrl

l:X ,t,'1r¡ r 11

,¡ il,,l.i.rrl

u]if ¡.,i t,, ¡ ¡{;,.¡o¡ lid h) iii i!,9(;) jr I {r,, rdl) û

\vlilrl¡]rl(rXrlc)[rìjt (UlIllil0](.0)(il(rlri :,tr¡ :.lip¡¡ d

i(: \y,{r) rl ¡lil r(rì,1 ¡ ¡¡r ¡r{ rl ilr,t9 f rl [r) r ] i}l;J frl.0 {d

rtü J,,td),r¡fi)i: ;[r],.(r 0[1)ûl1loJn{{þlf¡o'

DigiD (1) 1002427

Ja

Nee

Suwinet voor SUWI-taken

Ja

Nee

Suwinet voor niet-SUW-taken

Niet van Toepassing

Niet van Toepassing

Renswoude, 20 april 2021 College van B en W gemeente Renswoude

Burgemeester

a. i. gemeentesecretaris

P. Doornenbal-van der Vlist

W.C.M. Lissenberg-van Dam

J-

Naam auditfirma:

Accoris Audit Services B.V.

Naam auditor:

J.R. Möhle RE

Datum: 23 april 2021

Gemeentelijk kenmerk bijlage 1 DigiD:

533705

Bijlage 1 DigiD (1) Totaaloverzicht getoetste normen ICT-beveiligingsassessment DigiD-aansluiting Gemeente Renswoude en aansluitnummer 1002427 Gemeente Renswoude biedt de volgende functionaliteit aan waarvoor DigiD-aansluiting Gemeente Renswoude voor authenticatie wordt gebruikt: • Een digitaal loket voor burgers voor onder meer het inzien van gegevens en het indienen van formulieren. Deze functionaliteit wordt geboden door de volgende webapplicatie: • PIP (persoonlijke Internet Pagina); • SIMform Deze applicatie betreft een geheel standaardpakket en wordt onderhouden door SIMgroep. Deze applicatie is extern benaderbaar via het volgende internetadres: https://www.renswoude.nl/ DigiD-aansluiting Gemeente Renswoude bevindt zich in de Demilitarized Zone (DMZ). De infrastructuur waar deze applicatie op draait wordt beheerd door SIMgroep in de vorm van SAAS. Het object van zelfevaluatie is de web-omgeving van DigiD-aansluiting Gemeente Renswoude. De zelfevaluatie heeft zich gericht op de webapplicatie, de internetadressen waarmee deze kan worden benaderd, de infrastructuur (binnen de DMZ waar de webapplicatie zich bevindt) en een aantal ondersteunende processen conform de “Norm ICT-beveiligingsassessments DigiD” van Logius. Gemeente Renswoude heeft een deel van de DigiD web-omgeving uitbesteed aan SIMgroep.

Als gevolg hiervan is een aantal maatregelen belegd bij deze serviceorganisatie. Het onderzoeken van deze maatregelen is dan ook uitgevoerd door de IT-auditor van deze serviceorganisatie. De normen waar deze maatregelen betrekking op hebben maken geen onderdeel uit van de zelfevaluatie, tenzij sprake is van een gedeelde norm. Een DigiD-aansluiting dient aan het gehele normenkader te voldoen. Deze zelfevaluatie ENSIA voor DigiD is toegepast op dat deel van het normenkader dat niet onder uitbesteding aan de leverancier van de gemeente valt. De overige normen worden afgedekt door onderstaande TPM / assurancerapportage van de serviceorganisatie: Leverancier 1 Naam serviceorganisatie:

SIMgroep

Referentie/rapportnummer:

SIMGR-2001-11.501

Afgiftedatum:

30 september 2020

Naam RE-auditor:

Drs. F.W. (Wilfred) Hanekamp RE en Drs. Ing. P.A. Reezigt

Ondertekend door RE-auditor:

Ja

Onze IT-auditor heeft tevens getoetst of de zelfevaluatie en de TPM van onze serviceorganisatie het gehele normenkader afdekken. De uitkomst uit de zelfevaluatie is getoetst door onze RE-gecertificeerde IT-auditor. De conclusie van de auditor is opgenomen in het assurancerapport met kenmerk AAS2020-1021. Onderstaande tabel toont de uitkomsten van de zelfevaluatie per norm inclusief de normen die getoetst zijn bij leverancier. DigiD Norm B.05

Contractmanagement

Getoetst bij Gemeente

Getoetst bij leverancier 1

Totaal oordeel norm

•

Voldoet

•

Voldoet

•

Voldoet

•

Voldoet

•

Voldoet

•

Voldoet

•

Voldoet

•

Voldoet

•

Voldoet

•

Voldoet

•

Voldoet

•

Voldoet

•

Voldoet

•

Voldoet

•

Voldoet

•

Voldoet

•

Voldoet

•

Voldoet

•

Voldoet

•

Voldoet

•

Voldoet

•

Voldoet

•

Voldoet

•

Voldoet

•

Voldoet

U/NW.04 Protectie- en detectiemechanismen

•

Voldoet

•

Voldoet

U/NW.05 Scheiding beheer- en productieomgeving

•

Voldoet

•

Voldoet

U/TV.01 Identificatie en authenticatie

U/WA.02 Webapplicatiebeheer proces

U/WA.03 Automatische data invoer controle U/WA.04 Normaliseren uitvoer

U/WA.05 Cryptografie/Privacybevordering

U/PW.02 Garanderen webprotocollen

U/PW.03 Configureren webserver

U/PW.05 Toegang tot beheermechanismen U/PW.07 Hardening van platformen

U/NW.03 DMZ

•

Voldoet

U/NW.06 Hardening van netwerken

C.03

Vulnerability-assessments

C.04

Penetratietesten

C.06

Signaleringsfuncties

C.07

Monitoring functies

C.08

Wijzigingenbeheer

C.09

Patchmanagement

•

•

Voldoet Voldoet

Voldoet

•

Voldoet

•

Voldoet

•

Voldoet

•

Voldoet

•

Voldoet

•

Voldoet

•

Voldoet

•

Voldoet

•

Voldoet

•

Voldoet

•

Voldoet

•

Voldoet

•

Voldoet

•

Voldoet

Hoeft volgens de gemeente en volgens hoofdstuk ‘’verantwoordelijkheden gebruikersorganisatie’’ van de TPM van de serviceorganisatie niet bij de gemeente en/of bij leverancier getoetst te worden

Naam auditfirma:

Accoris Audit Services B.V.

Naam auditor:

J.R. Möhle RE

Datum: 23 april 2021

Gemeentelijk kenmerk bijlage 2 Suwinet:

533707

Bijlage 2 Gebruik van Suwinet Deze bijlage is een afzonderlijk onderdeel van de Collegeverklaring ENSIA 2020 van de gemeente Renswoude. Onderwerp van de verklaring is het gebruik van Suwinet. Deze verklaring heeft betrekking op de Verantwoordingsrichtlijn GeVS 2020 welke is gebaseerd op geselecteerde controls uit de Baseline Informatieveiligheid Overheid (BIO). Suwinet-gegevens worden ten behoeve van de dienstverlening aan onze burgers wel door serviceorganisaties verwerkt. Hierbij is de eventuele aanwezigheid van IT-serviceorganisaties in aanmerking genomen. Het college van B en W is als opdrachtgever verantwoordelijk voor de kwaliteit en veiligheid van het gebruik van Suwinet en legt hierover verantwoording af. Gemeente Renswoude heeft een deel van de Suwinet taken uitbesteed aan de gemeente Veenendaal. Als gevolg hiervan is een aantal maatregelen belegd bij gemeente Veenendaal. In de navolgende tabellen is opgenomen of het onderzoeken over het al dan niet voldoen aan deze maatregelen is uitgevoerd door de IT-auditor van deze serviceorganisatie. De controls die betrekking hebben op de taken die belegd zijn bij de serviceorganisatie maken geen onderdeel uit van de zelfevaluatie van onze gemeente, tenzij sprake is van een gedeelde norm.

De zelfevaluatie ENSIA voor Suwinet is toegepast op dat deel van het gebruik en normenkader dat niet onder uitbesteding aan onze serviceorganisatie valt. De overige normen worden afgedekt door onderstaande Third Party Mededeling (TPM) / assurancerapportage (AER) van de gemeente Veenendaal. Leverancier 1 Naam serviceorganisatie:

Gemeente Veenendaal

Referentie/rapportnummer:

AAS2021-906

Afgiftedatum:

7 januari 2021

Naam RE-auditor:

J.R. Möhle RE

Ondertekend door RE-auditor:

ja

Gebruik van Suwinet voor SUWI-taken Voor de volgende taken wordt Suwinet op de volgende plaatsen gebruikt: Taak

Organisatie

TPM/AR

Participatiewet (Pw)

Gemeente Veenendaal

Ja /Ja

Inkomensvoorziening voor Oudere en gedeeltelijk Arbeidsongeschikte Werknemers (IOAW)

Gemeente Veenendaal

Ja /Ja

Wet inkomensvoorziening oudere en gedeeltelijk arbeidsongeschikte gewezen zelfstandigen (IOAZ)

Gemeente Veenendaal

Ja /Ja

p. 1/3

Gebruik van Suwinet voor niet-SUWI-taken Voor de volgende niet-SUWI-taken wordt Suwinet op de volgende plaatsen gebruikt: Taak

Organisatie

TPM/AR

Hulp aan vroegtijdig schoolverlaters door Regionaal Meld- en Coördinatiecentrum (RMC)

Gemeente Amersfoort

Nee /Nee

Onderzoek loonbeslag door Gemeentelijke Belastingdeurwaarders

Niet van toepassing

Nee /Nee

Adresonderzoek door Burgerzaken

Niet van toepassing

Nee /Nee

p. 2/3

Naleving BIO-maatregelen Zoals in de Collegeverklaring vermeld, voldoet de gemeente Renswoude aan alle interne beheersmaatregelen inzake Suwinet op 31 december 2020 in opzet en bestaan aan de geselecteerde controls.

p. 3/3