Document · PDF

RIB 22 095 (Bijlage 1) DigiD bij Collegeverklaring ENSIA 2021

Forum Samenleving 10 januari 2023, gemeente RijswijkBij agendapunt: Lijst van ingekomen stukken: vaststelling wijze van afdoening2.212 woorden

Open het PDF bij de gemeente ↗Naar de vergadering →

Tekst van het document

Uit het bestand gehaald, zonder opmaak, tabellen en afbeeldingen

Gemeentelijk kenmerk bijlage 1 DigiD: 22.020797

Bijlage 1 DigiD - Gemeente Rijswijk - 1000433 Totaaloverzicht getoetste normen ICT-beveiligingsassessment DigiD-aansluiting Gemeente Rijswijk met aansluitnummer 1000433 Gemeente Rijswijk biedt de volgende functionaliteit aan waarvoor DigiD-aansluiting Gemeente Rijswijk voor authenticatie wordt gebruikt: •

Het aanvragen en volgen van gemeentelijke producten en diensten;

•

Het maken van afspraken.

Deze functionaliteit wordt geboden door de volgende webapplicatie: •

Mijn Rijswijk

Deze applicatie een combinatie van maatwerk en standaard software en wordt onderhouden door Gemeente Rijswijk. Deze applicatie is extern benaderbaar via het volgende internetadres: secure.rijswijk.nl. DigiD-aansluiting Gemeente Rijswijk bevindt zich in de Demilitarized Zone (DMZ). De infrastructuur waar deze applicatie op draait wordt beheerd door de gemeenschappelijke regeling bedrijfsvoering Delft-Rijswijk in de vorm van fysieke hosting. Het object van zelfevaluatie is de web-omgeving van DigiD-aansluiting Gemeente Rijswijk. De zelfevaluatie heeft zich gericht op de webapplicatie, de internetadressen waarmee deze kan worden benaderd, de infrastructuur (binnen de DMZ waar de webapplicatie zich bevindt) en een aantal ondersteunende processen conform de “Norm ICT-beveiligingsassessments DigiD” van Logius. De uitkomst uit de zelfevaluatie is getoetst door onze RE-gecertificeerde IT-auditor. De conclusie van de auditor is opgenomen in het assurancerapport met kenmerk VDB.20220414.01.

1/8

Gemeentelijk kenmerk bijlage 1 DigiD: 22.020797

Onderstaande tabel toont de uitkomsten van de zelfevaluatie per norm. DigiD-norm

Getoetst bij gemeente

Totaaloordeel norm

B.05

Contractmanagement

Voldoet

U/TV.01

Identificatie en authenticatie

Voldoet

U/WA.02 Webapplicatiebeheer proces

Voldoet

U/WA.03 Automatische data-invoercontrole

Voldoet

U/WA.04 Normaliseren uitvoer

Voldoet

U/WA.05 Cryptografie/ Privacybevordering

Voldoet

U/PW.02 Garanderen webprotocollen

Voldoet

U/PW.03 Configureren webserver

Voldoet

U/PW.05 Toegang tot beheermechanismen

Voldoet

U/PW.07 Hardening van platformen

Voldoet

U/NW.03 DMZ

Voldoet

U/NW.04 Protectie- en detectiemechanismen

Voldoet

U/NW.05 Scheiding beheer- en productieomgeving

Voldoet

U/NW.06 Hardening van netwerken

Voldoet

C.03

Vulnerability-assessments

Voldoet

C.04

Penetratietesten

Voldoet

C.06

Signaleringsfuncties

Voldoet

C.07

Monitoringfuncties

Voldoet

C.08

Wijzigingenbeheer

Voldoet

C.09

Patchmanagement

Voldoet

2/8

Gemeentelijk kenmerk bijlage 1 DigiD: 22.020797

Bijlage 1 DigiD - Gemeente Rijswijk - Belastingbalie - 1003797 Totaaloverzicht getoetste normen ICT-beveiligingsassessment DigiD-aansluiting Gemeente Rijswijk - Belastingbalie met aansluitnummer 1003797 Gemeente Rijswijk biedt de volgende functionaliteit aan waarvoor DigiD-aansluiting Gemeente Rijswijk - Belastingbalie voor authenticatie wordt gebruikt: • het inzien van belastinggegevens • het betalen van belasting. Deze functionaliteit wordt geboden door de volgende webapplicatie: • Webis Digitale Balie Deze applicatie betreft een geheel standaardpakket en wordt onderhouden door Centric. Deze applicatie is extern benaderbaar via het volgende internetadres(sen): belastingbalie.rijswijk.nl DigiD-aansluiting Gemeente Rijswijk - Belastingbalie bevindt zich in de Demilitarized Zone (DMZ). De infrastructuur waar deze applicatie op draait, wordt beheerd door Centric in de vorm van SaaS. Het object van zelfevaluatie is de web-omgeving van DigiD-aansluiting Gemeente Rijswijk Belastingbalie. De zelfevaluatie heeft zich gericht op de webapplicatie, de internetadressen waarmee deze kan worden benaderd, de infrastructuur (binnen de DMZ waar de webapplicatie zich bevindt) en een aantal ondersteunende processen conform de “Norm ICT-beveiligingsassessments DigiD” van Logius. Gemeente Rijswijk heeft een deel van de DigiD web-omgeving uitbesteed aan Centric.

Als gevolg hiervan is een aantal maatregelen belegd bij deze serviceorganisatie(s). Het onderzoeken van deze maatregelen is dan ook uitgevoerd door de IT-auditor van deze serviceorganisatie(s). De normen waar deze maatregelen betrekking op hebben maken geen onderdeel uit van de zelfevaluatie, tenzij sprake is van een gedeelde norm. Een DigiD-aansluiting dient aan het gehele normenkader te voldoen. Deze zelfevaluatie ENSIA voor DigiD is toegepast op dat deel van het normenkader dat niet onder uitbesteding aan de leverancier(s) van de gemeente valt. De overige normen worden afgedekt door onderstaande TPM / assurancerapportage van de leverancier(s): SaaS-leverancier Naam serviceorganisatie:

Centric

Referentie/rapportnummer:

BKBO/210517-1/1/TPM

Afgiftedatum:

21-10-2021

Naam RE-auditor:

Bureau voor Kwaliteitsborging Bij de Overheid b.v.

Ondertekend door RE-auditor:

drs. M.B.H. IJpelaar RE CEH CISA mr W.R. Nanninga RE CISA MMC drs. M.T.C. Akay CISA

Onze IT-auditor heeft tevens getoetst of de zelfevaluatie en de TPM’s / assurancerapportage(s) van onze leverancier(s) het gehele normenkader afdekken. Het kan voorkomen dat een norm deels bij een leverancier en deels bij de gemeente getoetst is (zogenaamde gedeelde norm). De uitkomst uit de zelfevaluatie is getoetst door onze RE-gecertificeerde IT-auditor. De conclusie van de auditor is opgenomen in het assurancerapport met kenmerk VDB.20220414.01. Onderstaande tabel toont de uitkomsten van de zelfevaluatie per norm inclusief de normen die getoetst zijn bij leverancier(s).

3/8

Gemeentelijk kenmerk bijlage 1 DigiD: 22.020797

DigiD-norm

Getoetst bij gemeente

Getoetst bij SaaSleverancier

Totaaloordeel norm

B.05

Contractmanagement

Voldoet

U/TV.01

Identificatie en authenticatie

N.v.t.

Voldoet

U/WA.02

Webapplicatiebeheer proces

Voldoet

U/WA.03

Automatische data-invoercontrole

N.v.t.

Voldoet

U/WA.04

Normaliseren uitvoer

N.v.t.

Voldoet

U/WA.05

Cryptografie/ Privacybevordering

Voldoet

U/PW.02

Garanderen webprotocollen

N.v.t.

Voldoet

U/PW.03

Configureren webserver

N.v.t.

Voldoet

U/PW.05

Toegang tot beheermechanismen

N.v.t.

Voldoet

U/PW.07

Hardening van platformen

N.v.t.

Voldoet

U/NW.03

DMZ

N.v.t.

Voldoet

U/NW.04

Protectie- en detectiemechanismen

N.v.t.

Voldoet

U/NW.05

Scheiding beheer- en productieomgeving

N.v.t.

Voldoet

U/NW.06

Hardening van netwerken

Voldoet

C.03

Vulnerability-assessments

N.v.t.

Voldoet

C.04

Penetratietesten

N.v.t.

Voldoet

C.06

Signaleringsfuncties

N.v.t.

Voldoet

C.07

Monitoringfuncties

N.v.t.

Voldoet

C.08

Wijzigingenbeheer

Voldoet

C.09

Patchmanagement

N.v.t.

Voldoet

4/8

Gemeentelijk kenmerk bijlage 1 DigiD: 22.020797

Bijlage 1 DigiD - Gemeente Rijswijk - Parkeren - 1002318 Totaaloverzicht getoetste normen ICT-beveiligingsassessment DigiD-aansluiting Gemeente Rijswijk - Parkeren met aansluitnummer 1002318 Gemeente Rijswijk biedt de volgende functionaliteit aan waarvoor DigiD-aansluiting Gemeente Rijswijk - Parkeren voor authenticatie wordt gebruikt: •

Het aanvragen, wijzigen en verlengen van parkeervergunningen.

Deze functionaliteit wordt geboden door de volgende webapplicatie: •

CityPermit

Deze applicatie betreft een geheel standaardpakket en wordt onderhouden door Sigmax b.v.. Deze applicatie is extern benaderbaar via het volgende internetadres: parkeren.rijswijk.nl. DigiD-aansluiting Gemeente Rijswijk - Parkeren bevindt zich in de Demilitarized Zone (DMZ). De infrastructuur waar deze applicatie op draait, wordt beheerd door Sigmax b.v. in de vorm van SaaS. Het object van zelfevaluatie is de web-omgeving van DigiD-aansluiting Gemeente Rijswijk - Parkeren. De zelfevaluatie heeft zich gericht op de webapplicatie, de internetadressen waarmee deze kan worden benaderd, de infrastructuur (binnen de DMZ waar de webapplicatie zich bevindt) en een aantal ondersteunende processen conform de “Norm ICT-beveiligingsassessments DigiD” van Logius. Gemeente Rijswijk heeft een deel van de DigiD web-omgeving uitbesteed aan Sigmax b.v.. Als gevolg hiervan is een aantal maatregelen belegd bij deze serviceorganisatie(s). Het onderzoeken van deze maatregelen is dan ook uitgevoerd door de IT-auditor van deze serviceorganisatie(s). De normen waar deze maatregelen betrekking op hebben maken geen onderdeel uit van de zelfevaluatie, tenzij sprake is van een gedeelde norm. Een DigiD-aansluiting dient aan het gehele normenkader te voldoen. Deze zelfevaluatie ENSIA voor DigiD is toegepast op dat deel van het normenkader dat niet onder uitbesteding aan de leverancier(s) van de gemeente valt.

De overige normen worden afgedekt door onderstaande TPM / assurancerapportage van de leverancier(s): SaaS-leverancier Naam serviceorganisatie:

Sigmax b.v.

Referentie/rapportnummer:

2109R.AH84

Afgiftedatum:

21-09-2021

Naam RE-auditor:

3angles B.V.

Ondertekend door RE-auditor:

drs. A.J.A. Hassing RE RA

5/8

Gemeentelijk kenmerk bijlage 1 DigiD: 22.020797

DigiD-norm

Getoetst bij gemeente

Getoetst bij SaaSleverancier

Totaaloordeel norm

B.05

Contractmanagement

Voldoet

U/TV.01

Identificatie en authenticatie

Voldoet

U/WA.02

Webapplicatiebeheer proces

Voldoet

U/WA.03

Automatische data-invoercontrole

N.v.t.

Voldoet

U/WA.04

Normaliseren uitvoer

N.v.t.

Voldoet

U/WA.05

Cryptografie/ Privacybevordering

Voldoet

U/PW.02

Garanderen webprotocollen

N.v.t.

Voldoet

U/PW.03

Configureren webserver

N.v.t.

Voldoet

U/PW.05

Toegang tot beheermechanismen

N.v.t.

Voldoet

U/PW.07

Hardening van platformen

N.v.t.

Voldoet

U/NW.03

DMZ

N.v.t.

Voldoet

U/NW.04

Protectie- en detectiemechanismen

N.v.t.

Voldoet

U/NW.05

Scheiding beheer- en productieomgeving

N.v.t.

Voldoet

U/NW.06

Hardening van netwerken

Voldoet

C.03

Vulnerability-assessments

N.v.t.

Voldoet

C.04

Penetratietesten

N.v.t.

Voldoet

C.06

Signaleringsfuncties

N.v.t.

Voldoet

C.07

Monitoringfuncties

N.v.t.

Voldoet

C.08

Wijzigingenbeheer

Voldoet

C.09

Patchmanagement

N.v.t.

Voldoet

6/8

Gemeentelijk kenmerk bijlage 1 DigiD: 22.020797

Bijlage 1 DigiD - Gemeente Rijswijk - eDiensten Burgerzaken - 1003611 Totaaloverzicht getoetste normen ICT-beveiligingsassessment DigiD-aansluiting Gemeente Rijswijk - eDiensten Burgerzaken met aansluitnummer 1003611 Gemeente Rijswijk biedt de volgende functionaliteit aan waarvoor DigiD-aansluiting Gemeente Rijswijk - eDiensten Burgerzaken voor authenticatie wordt gebruikt: • het doorgeven van een verhuizing • aangifte doen van overlijden. Deze functionaliteit wordt geboden door de volgende webapplicatie: • eDiensten Burgerzaken Deze applicatie betreft een geheel standaardpakket en wordt onderhouden door Centric Netherlands B.V.. Deze applicatie is extern benaderbaar via het volgende internetadres(sen): edienstenburgerzaken.rijswijk.nl DigiD-aansluiting Gemeente Rijswijk - eDiensten Burgerzaken bevindt zich in de Demilitarized Zone (DMZ). De infrastructuur waar deze applicatie op draait, wordt beheerd door Centric Netherlands B.V. in de vorm van SaaS. Het object van zelfevaluatie is de web-omgeving van DigiD-aansluiting Gemeente Rijswijk - eDiensten Burgerzaken. De zelfevaluatie heeft zich gericht op de webapplicatie, de internetadressen waarmee deze kan worden benaderd, de infrastructuur (binnen de DMZ waar de webapplicatie zich bevindt) en een aantal ondersteunende processen conform de “Norm ICT-beveiligingsassessments DigiD” van Logius.

Gemeente Rijswijk heeft een deel van de DigiD web-omgeving uitbesteed aan Centric Netherlands B.V.. Als gevolg hiervan is een aantal maatregelen belegd bij deze serviceorganisatie(s). Het onderzoeken van deze maatregelen is dan ook uitgevoerd door de IT-auditor van deze serviceorganisatie(s). De normen waar deze maatregelen betrekking op hebben maken geen onderdeel uit van de zelfevaluatie, tenzij sprake is van een gedeelde norm. Een DigiD-aansluiting dient aan het gehele normenkader te voldoen. Deze zelfevaluatie ENSIA voor DigiD is toegepast op dat deel van het normenkader dat niet onder uitbesteding aan de leverancier(s) van de gemeente valt. De overige normen worden afgedekt door onderstaande TPM / assurancerapportage van de leverancier(s): SaaS-leverancier Naam serviceorganisatie:

Centric Netherlands B.V.

Referentie/rapportnummer:

REQ6122941NKjb_A

Afgiftedatum:

28-10-2021

Naam RE-auditor:

Ernst & Young Accountants LLP

Ondertekend door RE-auditor:

Peter Kornelisse

7/8

Gemeentelijk kenmerk bijlage 1 DigiD: 22.020797

Onderstaande tabel toont de uitkomsten van de zelfevaluatie per norm inclusief de normen die getoetst zijn bij leverancier(s). DigiD-norm

Getoetst bij gemeente

Getoetst bij SaaSleverancier

Totaaloordeel norm

B.05

Contractmanagement

Voldoet

U/TV.01

Identificatie en authenticatie

Voldoet

U/WA.02

Webapplicatiebeheer proces

Voldoet

U/WA.03

Automatische data-invoercontrole

N.v.t.

Voldoet

U/WA.04

Normaliseren uitvoer

N.v.t.

Voldoet

U/WA.05

Cryptografie/ Privacybevordering

Voldoet

U/PW.02

Garanderen webprotocollen

N.v.t.

Voldoet

U/PW.03

Configureren webserver

N.v.t.

Voldoet

U/PW.05

Toegang tot beheermechanismen

N.v.t.

Voldoet

U/PW.07

Hardening van platformen

N.v.t.

Voldoet

U/NW.03

DMZ

N.v.t.

Voldoet

U/NW.04

Protectie- en detectiemechanismen

N.v.t.

Voldoet

U/NW.05

Scheiding beheer- en productieomgeving

N.v.t.

Voldoet

U/NW.06

Hardening van netwerken

Voldoet

C.03

Vulnerability-assessments

N.v.t.

Voldoet

C.04

Penetratietesten

N.v.t.

Voldoet

C.06

Signaleringsfuncties

N.v.t.

Voldoet

C.07

Monitoringfuncties

N.v.t.

Voldoet

C.08

Wijzigingenbeheer

Voldoet

C.09

Patchmanagement

N.v.t.

Voldoet

8/8

De tekst is automatisch uit het bestand gehaald en kan afwijken van het origineel (kolommen, tabellen en koppen lopen door elkaar). Het officiële stuk bij de gemeente is leidend. Bron: https://api1.ibabs.eu/publicdownload.aspx?site=Rijswijk&id=a92ec9ba-b16a-43a1-b07e-cae853e598e0