Document · PDF

F3. bijlage 1

Gemeenteraad 4 juli 2023, gemeente RenswoudeBij agendapunt: Ingekomen stuk F: Collegeverklaring inzake informatiebeveiliging gemeente Renswoude via ENSIA625 woorden

Open het PDF bij iBabs ↗Naar de vergadering →

Tekst van het document

Uit het bestand gehaald, zonder opmaak, tabellen en afbeeldingen

Gemeentelijk kenmerk bijlage 1 DigiD: 569927

Naam auditfirma:

Accoris Audit Services B.V.

Naam auditor:

J.L.C. Holierhoek RE

Datum: 20 april 2023

Bijlage 1 DigiD - Gemeente Renswoude met aansluitnummer 1002427 Totaaloverzicht getoetste normen ICT-beveiligingsassessment DigiD-aansluiting Gemeente Renswoude met aansluitnummer 1002427 Gemeente Renswoude biedt de volgende functionaliteit aan waarvoor DigiD-aansluiting 1002427 voor authenticatie wordt gebruikt: • Een digitaal loket voor burgers voor onder meer het inzien van gegevens en het indienen van formulieren. Deze functionaliteit wordt geboden door de volgende webapplicatie: Simform, versie 1.52 Deze applicatie betreft een geheel standaardpakket en wordt onderhouden door SlMgroep. Deze applicatie is extern benaderbaar via het volgende internetadres(sen): https://www.renswoude.nl/ en http://mijn.renswoude.nl/. DigiD-aansluiting Gemeente Renswoude bevindt zich in de Demilitarized Zone (DMZ). De infrastructuur waar deze applicatie op draait, wordt beheerd door SlMgroep in samenwerking met Amazon Web Services in de vorm van SAAS. Het object van zelfevaluatie is de webapplicatie van DigiD-aansluiting Gemeente Renswoude.

De zelfevaluatie heeft zich gericht op de internet-facing webpagina's waarmee de interactie naar de gebruiker plaatsvindt nadat deze is geïdentificeerd en geauthentiseerd via DigiD, de systeemkoppelingen, de infrastructuur die met DigiD gekoppeld is en betrekking heeft op het DigiD identificatie en authenticatieproces en de verschillende vormen van beheer op de webapplicatie voor zover relevant voor de doelstelling van de audit. Gemeente Renswoude heeft een deel van de DigiD web-omgeving uitbesteed aan SlMgroep. Als gevolg hiervan is een aantal maatregelen belegd bij deze serviceorganisatie(s). Het onderzoeken van deze maatregelen is dan ook uitgevoerd door de IT-auditor van deze serviceorganisatie(s). De normen waar deze maatregelen betrekking op hebben maken geen onderdeel uit van de zelfevaluatie, tenzij sprake is van een gedeelde norm. Een DigiD-aansluiting dient aan het gehele normenkader te voldoen. Deze zelfevaluatie ENSIA voor DigiD is toegepast op dat deel van het normenkader dat niet onder uitbesteding aan de leverancier(s) van de gemeente valt. De overige normen worden afgedekt door onderstaande TPM / assurancerapportage van de leverancier(s): SaaS-leverancier Naam serviceorganisatie: Referentie/rapportnummer: Afgiftedatum: Naam RE-auditor: Ondertekend door RE-auditor:

SlMgroep 230/42240012022/19887_41 18 oktober 2022 Drs F.W. Hanekamp RE Ja

1/2

Gemeentelijk kenmerk bijlage 1 DigiD: 569927

Onze IT-auditor heeft tevens getoetst of de zelfevaluatie en de TPM's / assurancerapportage(s) van onze leverancier(s) het gehele normenkader afdekken. Het kan voorkomen dat een norm deels bij een leverancier en deels bij de gemeente getoetst is (zogenaamde gedeelde norm). De uitkomst uit de zelfevaluatie is getoetst door onze RE-gecertificeerde IT- auditor. De conclusie van de auditor is opgenomen in het assurancerapport met kenmerk AAS2022-1478. Onderstaande tabel toont de uitkomsten van de zelfevaluatie per norm inclusief de normen die getoetst zijn bij leverancier(s).

Voldoet

Totaaloordeel norm Voldoet

Voldoet

U/TV.01

Contractmanagement Identificatie en authenticatie

Voldoet

UIWA.02

Webapplicatiebeheerproces

Voldoet

UIWA.03 U/WA.04

Automatische data-invoercontrole

Voldoet Voldoet

Normaliseren uitvoer

Voldoet

UIWA.05

Cryptografiel Privacybevordering

Voldoet

U/PW.02

Garanderen webprotocollen Configureren webserver

Voldoet Voldoet

DigiD-norm B.01 Informatiebeveiligingsbeleid B.05

U/PW.03

Getoetst bij aansluithouder

Getoetst bij SaaSleverancier

Voldoet

U/PW.05

Toegang tot beheermechanismen

Voldoet

U/PW.07

Hardening van platformen

Voldoet

U/NW.03 U/NW.04

DMZ

Voldoet Voldoet

Voldoet

Voldoet Voldoet

U/NW.05

Protectie- en detectiemechanismen Scheiding beheer- en productieomgeving

U/NW.06

Hardening van netwerken

C.03

Vulnerability-assessments

C.04 C.06

Penetratietesten Signaleringsfuncties

Voldoet

C.07

Voldoet

C.08

Monitoringfuncties Wijzigingenbeheer

Voldoet

Voldoet Voldoet

C.09

Patchmanagement

Voldoet

20 Apr 2023 11:23 +0200 Zoetermeer

J.LC. -/iofierhoek

212

Voldoet

De tekst is automatisch uit het bestand gehaald en kan afwijken van het origineel (kolommen, tabellen en koppen lopen door elkaar). Het officiële stuk bij iBabs is leidend. Bron: https://api.notubiz.nl/document/12909888/1