J2. Bijlage 1 DigiD1
Tekst van het document
Gemeente Renswoude - 604451- Bijlage 1 DigiD
Bijlage 1 DigiD – Gemeente Renswoude - 1002427 Totaaloverzicht getoetste normen ICT-beveiligingsassessment DigiD-aansluiting Gemeente Renswoude met aansluitnummer 1002427 Gemeente Renswoude biedt de volgende functionaliteit aan waarvoor DigiD-aansluiting Gemeente Renswoude voor authenticatie wordt gebruikt: • Een digitaal loket voor burgers met onder meer het inzien van gegevens en het indienen van formulieren. Deze functionaliteit wordt geboden door de volgende webapplicatie: • Naam: SIMform en PIP (Persoonlijke Internet Pagina) • Versie: 1.78.0 en 2.113. Deze webapplicatie is extern benaderbaar via het volgende internetadres: • https://renswoude.nl/ Het object van zelfevaluatie is de web-omgeving van DigiD-aansluiting Gemeente Renswoude. De zelfevaluatie heeft zich gericht op de webapplicatie, de internetadressen waarmee deze kan worden benaderd, de infrastructuur (binnen de DMZ waar de webapplicatie zich bevindt) en een aantal ondersteunende processen conform de “Norm ICT-beveiligingsassessments DigiD versie 3.0” van Logius. Deze webapplicatie betreft een geheel standaard pakket. De webapplicatie wordt onderhouden door Shift2. DigiD-aansluiting Gemeente Renswoude bevindt zich in de Demilitarized Zone (DMZ). De applicatie wordt beheerd en ontwikkeld door Shift2 in een Private Cloud oplossing van Amazon Web Services (AWS), in de vorm van Platform-as-a-Service (PaaS).
De onderliggende infrastructuur van de Private Cloud wordt beheerd door Amazon Web Services (AWS). Gemeente Renswoude heeft de DigiD web-omgeving uitbesteed aan: • Shift2 Als gevolg hiervan is een aantal maatregelen belegd bij deze serviceorganisatie(s). Het onderzoeken van deze maatregelen is dan ook uitgevoerd door de IT-auditor van deze serviceorganisatie(s). De normen waar deze maatregelen betrekking op hebben maken geen onderdeel uit van de zelfevaluatie, tenzij sprake is van een gedeelde norm. De DigiD-webomgeving moet aan het gehele normenkader voldoen. Deze zelfevaluatie ENSIA voor DigiD is toegepast op dat deel van het normenkader dat niet onder uitbesteding aan de leverancier(s) van de gemeente valt voor de periode: Aansluithouder Oordeelsdatum:
20 februari 2025
Controleperiode:
1 juli 2024 tot en met 31 december 2024
De overige normen worden afgedekt door onderstaande TPM / assurancerapportage(s) van de (toe)leverancier(s): SaaS-leverancier Naam SaaS-leverancier:
Shift2
Referentie/rapportnummer:
TPM: 230/422400/2024/22527_43 Sub-TPM: System and Organization_Controls (SOC) 2 Report Brugletter: SOC Continued Operations Letter
Pagina 1 van 3
Gemeente Renswoude - 604451- Bijlage 1 DigiD
SaaS-leverancier Oordeelsdatum:
TPM: 26 september 2024 Sub-TPM: 14 mei 2024 Brugletter: 1 juli 2024
Controleperiode:
TPM: 15 maart 2024 tot 26 september 2024 Sub-TPM: 1 april 2023 tot en met 31 maart 2024 Brugletter: 1 juli 2024
Naam RE-auditor
TPM: drs. F.W. Hanekamp RE Sub-TPM: Ernst & Young LLP Brugletter: Sara Duffer
Ondertekend door RE-auditor:
TPM: Ja Sub-TPM: Ja Brugletter: Ja
Onze IT-auditor heeft tevens getoetst of de zelfevaluatie en de TPM’s / assurancerapportages van onze serviceorganisatie(s) het gehele normenkader afdekken. De conclusie van de auditor is opgenomen in het assurancerapport met kenmerk AAS2024-2497.
Pagina 2 van 3
Gemeente Renswoude - 604451- Bijlage 1 DigiD
Onderstaande tabel toont de uitkomsten van de zelfevaluatie per norm inclusief de normen die getoetst zijn bij de bovengenoemde leveranciers. Aansluithouder
SaaS-leverancier
DigiD-norm
Toetsing op
Oordeel
Oordeel TPM
Oordeel sub-TPM
Totaaloordeel
B.01 Informatiebeveiligingsbeleid
Opzet en bestaan
Voldoet
Voldoet
Voldoet
Voldoet
B.05 Contractmanagement
Opzet en bestaan
Voldoet
Voldoet
Voldoet
Voldoet
U/TV.01 Identificatie en authenticatie
Opzet en bestaan
Voldoet
Voldoet
Voldoet
Voldoet
Werking
Voldoet
Voldoet
Voldoet
Voldoet
Opzet en bestaan
Voldoet
Voldoet
Voldoet
Voldoet
Werking
Voldoet
Voldoet
Voldoet
Voldoet
U/WA.02 Webapplicatiebeheerproces
U/WA.03 Automatische data-invoercontrole
Opzet en bestaan
Niet van toepassing
Voldoet
Niet van toepassing
Voldoet
U/WA04. Normaliseren uitvoer
Opzet en bestaan
Niet van toepassing
Voldoet
Niet van toepassing
Voldoet
U/WA.05 Cryptografie/ Privacybevordering
Opzet en bestaan
Voldoet
Voldoet
Niet van toepassing
Voldoet
U/PW.02 Garanderen webprotocollen
Opzet en bestaan
Niet van toepassing
Voldoet
Voldoet
Voldoet
U/PW.03 Configureren webserver
Opzet en bestaan
Niet van toepassing
Voldoet
Niet van toepassing
Voldoet
U/PW.05 Toegang tot beheermechanismen
Opzet en bestaan
Niet van toepassing
Voldoet
Niet van toepassing
Voldoet
U/PW.07 Hardening van platformen
Opzet en bestaan
Niet van toepassing
Voldoet
Niet van toepassing
Voldoet
U/NW.03 DMZ
Opzet en bestaan
Niet van toepassing
Voldoet
Voldoet
Voldoet
U/NW.04 Protectie- en detectiemechanismen
Opzet en bestaan
Niet van toepassing
Voldoet
Niet van toepassing
Voldoet
U/NW.05 Scheiding beheer- en productieomgeving
Opzet en bestaan
Niet van toepassing
Voldoet
Niet van toepassing
Voldoet
U/NW.06 Hardening van netwerken
Opzet en bestaan
Voldoet
Voldoet
Voldoet
Voldoet
C.03 Vulnerability-assessments
Opzet en bestaan
Niet van toepassing
Voldoet
Voldoet
Voldoet
C.04 Penetratietesten
Opzet en bestaan
Niet van toepassing
Voldoet
Voldoet
Voldoet
C.06 Signaleringsfuncties
Opzet en bestaan
Niet van toepassing
Voldoet
Voldoet
Voldoet
Opzet en bestaan
Niet van toepassing
Voldoet
Voldoet
Voldoet
Werking
Niet van toepassing
Voldoet
Voldoet
Voldoet
Voldoet
Voldoet
Voldoet
Voldoet Voldoet
C.07 Monitoringfuncties C.08 Wijzigingenbeheer
Opzet en bestaan
Voldoet
Voldoet
Voldoet
Opzet en bestaan
Niet van toepassing
Voldoet
Voldoet
Voldoet
Werking
Niet van toepassing
Voldoet
Voldoet
Voldoet
Werking C.09 Patchmanagement
Pagina 3 van 3