Document · PDF

B3. Bijlage 1 DigiD

Gemeenteraad 2 juli 2024, gemeente RenswoudeBij agendapunt: Collegeverklaring informatiebeveiliging DigiD en Suwinet869 woorden

Open het PDF bij iBabs ↗Naar de vergadering →

Tekst van het document

Uit het bestand gehaald, zonder opmaak, tabellen en afbeeldingen

Niet gevonden in dit document.

Gemeentelijk kenmerk collegeverklaring ENSIA over 2023

[587960]

Bijlage 1 DigiD – Gemeente Renswoude - 1002427 Deze bijlage is een afzonderlijk onderdeel van de Collegeverklaring ENSIA 2023 van gemeente Renswoude.

Totaaloverzicht getoetste normen ICT-beveiligingsassessment DigiD-aansluiting Gemeente Renswoude met aansluitnummer 1002427 Gemeente Renswoude biedt de volgende functionaliteit aan waarvoor DigiD-aansluiting Gemeente Renswoude voor authenticatie wordt gebruikt: • Een digitaal loket voor burgers met onder meer het inzien van gegevens en het indienen van formulieren. Deze functionaliteit wordt geboden door de volgende webapplicatie: • SIMform • PIP (Persoonlijke Internet Pagina) Deze applicatie betreft een geheel standaard pakket en wordt onderhouden door SIMgroep. Deze applicatie is extern benaderbaar via het volgende internetadres: https://renswoude.nl/ DigiD-aansluiting Gemeente Renswoude bevindt zich in de Demilitarized Zone (DMZ). De infrastructuur waar deze applicatie op draait wordt beheerd door SIMgroep in samenwerking met Amazon Web Services (AWS) in de vorm van PaaS. Het object van de zelfevaluatie ENSIA is de webomgeving van DigiD-aansluiting Gemeente Renswoude. De zelfevaluatie heeft zich gericht op de webapplicatie die gebruik maakt van DigiD voor de identificatie en authenticatie van de gebruikers.

Specifiek zijn in scope de internet-facing webpagina’s waarmee de interactie naar de gebruiker plaatsvindt als deze is geïdentificeerd en geauthentiseerd via DigiD, de systeemkoppelingen en de infrastructuur die met DigiD gekoppeld is en betrekking heeft op het DigiD identificatie en authenticatieproces. Ook de verschillende vormen van beheer op de webapplicaties zijn in scope voor zover relevant voor de doelstelling van het zelfassessment. De URL www.digid.nl, de token uitwisseling tussen Logius en de webserver, de systemen die gegevens leveren of ophalen uit de webapplicatie, zoals backoffice informatiesystemen vallen buiten de scope. Subsystemen en koppelvlakken zijn in scope indien de primaire authenticatie van het systeem op basis van DigiD tot stand is gekomen. Een DigiD-aansluiting dient aan het gehele normenkader te voldoen. Gemeente Renswoude heeft een deel van de DigiD-webomgeving uitbesteed aan SIMgroep. Als gevolg hiervan is een aantal interne beheersingsmaatregelen betreffende dit normenkader belegd bij deze serviceorganisatie. Het onderzoeken van deze maatregelen is uitgevoerd door de onafhankelijke IT-auditor/RE van deze serviceorganisatie. De normen waar deze maatregelen betrekking op hebben zijn onderdeel van de zelfevaluatie.

Over de uitkomsten van dit onderzoek heeft de onafhankelijke IT-auditor/RE van de serviceorganisaties de onderstaande TPM/assurancerapportage opgesteld.

Gemeentelijk kenmerk collegeverklaring ENSIA over 2023

[587960]

Serviceorganisatie Naam serviceorganisatie:

SIMgroep

Referentie/rapportnummer:

230/422400/2023/21155_41

Afgiftedatum:

29 september 2023

Naam onafhankelijke IT-auditor/RE:

drs. F.W. Hanekamp RE

Ondertekend door onafhankelijke IT-auditor/RE:

Subserviceorganisatie Naam serviceorganisatie:

Amazon Web Services (AWS)

Referentie/rapportnummer:

System_and_Organization_Controls_(SOC)_2_Rep ort_-_Current_(Oct_1_20022_-_Mar_31_2023)

Afgiftedatum:

12 mei 2023

Naam onafhankelijke IT-auditor/RE:

Ernst + Young LLP

Ondertekend door onafhankelijke IT-auditor/RE:

Onze onafhankelijke IT-auditor/RE heeft tevens getoetst of de zelfevaluatie, waarin opgenomen de TPM/assurancerapportage van onze serviceorganisaties, het gehele normenkader afdekt. Het kan voorkomen dat een norm deels bij een serviceorganisatie en deels bij de gemeente is getoetst (zogenaamde gedeelde norm). De uitkomst uit de zelfevaluatie is getoetst door onze onafhankelijke IT-auditor/RE. De conclusie van deze onafhankelijke IT-auditor/RE is opgenomen in het assurancerapport met kenmerk AAS2023-1908. Onderstaande tabel toont de uitkomsten van de zelfevaluatie per norm die zijn getoetst bij de serviceorganisaties.

DigiD-norm

Getoetst bij gemeente Renswoude

Getoetst bij SIMgroep

Getoetst bij Amazon Web Services (AWS)1

Totaaloordeel norm

B.01

Informatiebeveiligingsbeleid

Voldoet

B.05

Contractmanagement

Voldoet

U/TV.01

Identificatie en authenticatie

Voldoet

U/WA.02

Webapplicatiebeheerproces

Voldoet

U/WA.03

Automatische data-invoercontrole

Niet van toepassing

Voldoet

Niet van toepassing

Voldoet

U/WA.04

Normaliseren uitvoer

Niet van toepassing

Voldoet

Niet van toepassing

Voldoet

U/WA.05

Cryptografie/ Privacybevordering

Voldoet

Niet van toepassing

Voldoet

U/PW.02

Garanderen webprotocollen

Niet van toepassing

Voldoet

U/PW.03

Configureren webserver

Niet van toepassing

Voldoet

Niet van toepassing

Voldoet

1 De auditor van de serviceorganisatie is verantwoordelijk voor het vaststellen van de overeenkomst

van het DigiD normenkader en het normenkader van de subserviceorganisatie. Voor de in deze kolom vermelde oordelen wordt verwezen naar de bevindingen en de daarop gebaseerde conclusie van de auditor van de subserviceorganisatie, die zijn opgenomen in de rapportage over de subserviceorganisatie.

Gemeentelijk kenmerk collegeverklaring ENSIA over 2023 DigiD-norm

[587960]

Getoetst bij gemeente Renswoude

Getoetst bij SIMgroep

Getoetst bij Amazon Web Services (AWS)1

Totaaloordeel norm

U/PW.05

Toegang tot beheermechanismen

Niet van toepassing

Voldoet

Niet van toepassing

Voldoet

U/PW.07

Hardening van platformen

Niet van toepassing

Voldoet

Niet van toepassing

Voldoet

U/NW.03

DMZ

Niet van toepassing

Voldoet

U/NW.04

Protectie- en detectiemechanismen

Niet van toepassing

Voldoet

U/NW.05

Scheiding beheer- en productieomgeving

Niet van toepassing

Voldoet

U/NW.06

Hardening van netwerken

Voldoet

C.03

Vulnerability-assessments

Niet van toepassing

Voldoet

C.04

Penetratietesten

Niet van toepassing

Voldoet

C.06

Signaleringsfuncties

Niet van toepassing

Voldoet

C.07

Monitoringfuncties

Niet van toepassing

Voldoet

C.08

Wijzigingenbeheer

Voldoet

C.09

Patchmanagement

Niet van toepassing

Voldoet

De tekst is automatisch uit het bestand gehaald en kan afwijken van het origineel (kolommen, tabellen en koppen lopen door elkaar). Het officiële stuk bij iBabs is leidend. Bron: https://api.notubiz.nl/document/14274185/1