Document · PDF

RIB 24 020 Bijlage B DigiD bij Collegeverklaring ENSIA 2023

Forum Samenleving 9 april 2024, gemeente RijswijkBij agendapunt: Lijst van ingekomen stukken: vaststelling wijze van afdoening2.624 woorden

Open het PDF bij de gemeente ↗Naar de vergadering →

Tekst van het document

Uit het bestand gehaald, zonder opmaak, tabellen en afbeeldingen

Gemeentelijk kenmerk bijlage 1 DigiD: 24.019474

Bijlage 1 DigiD - Gemeente Rijswijk - Belastingbalie - 1003797 Totaaloverzicht getoetste normen ICT-beveiligingsassessment DigiD-aansluiting Gemeente Rijswijk - Belastingbalie met aansluitnummer 1003797 Gemeente Rijswijk biedt de volgende functionaliteit aan waarvoor DigiD-aansluiting Gemeente Rijswijk - Belastingbalie voor authenticatie wordt gebruikt: • •

het inzien van belastinggegevens het betalen van belasting.

Deze functionaliteit wordt geboden door de volgende webapplicatie: •

Webis Digitale Balie

Deze applicatie betreft een geheel standaardpakket en wordt onderhouden door Centric. Deze applicatie is extern benaderbaar via het volgende internetadres: belastingbalie.rijswijk.nl DigiD-aansluiting Gemeente Rijswijk - Belastingbalie bevindt zich in de Demilitarized Zone (DMZ). De infrastructuur waar deze applicatie op draait, wordt beheerd door Centric in de vorm van SaaS. Het object van zelfevaluatie is de web-omgeving van DigiD-aansluiting Gemeente Rijswijk Belastingbalie. De zelfevaluatie heeft zich gericht op de webapplicatie, de internetadressen waarmee deze kan worden benaderd, de infrastructuur (binnen de DMZ waar de webapplicatie zich bevindt) en een aantal ondersteunende processen conform de “Norm ICT-beveiligingsassessments DigiD” van Logius. Gemeente Rijswijk heeft een deel van de DigiD web-omgeving uitbesteed aan Centric. Als gevolg hiervan is een aantal maatregelen belegd bij deze serviceorganisatie(s). Het onderzoeken van deze maatregelen is dan ook uitgevoerd door de IT-auditor van deze serviceorganisatie(s). De normen waar deze maatregelen betrekking op hebben maken geen onderdeel uit van de zelfevaluatie, tenzij sprake is van een gedeelde norm. Een DigiD-aansluiting dient aan het gehele normenkader te voldoen.

Deze zelfevaluatie ENSIA voor DigiD is toegepast op dat deel van het normenkader dat niet onder uitbesteding aan de leverancier(s) van de gemeente valt. De overige normen worden afgedekt door onderstaande TPM / assurancerapportage van de leverancier(s): SaaS-leverancier Naam serviceorganisatie:

Centric

Referentie/rapportnummer:

TPM 1: BKBO/230705-01/1/TPM TPM 2: N.v.t.

Afgiftedatum:

TPM 1: 25-09-2023 TPM 2: N.v.t.

Naam RE-auditor:

drs. M.B.H. IJpelaar RE CEH CISA, directeur mr W.R. Nanninga RE CISA MMC, partner drs. M.T.C. Akay CISA, auditor

Ondertekend door RE-auditor:

Onze IT-auditor heeft tevens getoetst of de zelfevaluatie en de TPM’s / assurancerapportage(s) van onze leverancier(s) het gehele normenkader afdekken. Het kan voorkomen dat een norm deels bij een leverancier en deels bij de gemeente getoetst is (zogenaamde gedeelde norm). De uitkomst uit de zelfevaluatie is getoetst door onze RE-gecertificeerde IT-auditor. De conclusie van de auditor is opgenomen in het assurancerapport met kenmerk VDB.20240404.02.

pagina 1 van 8

Gemeentelijk kenmerk bijlage 1 DigiD: 24.019474

Onderstaande tabel toont de uitkomsten van de zelfevaluatie per norm inclusief de normen die getoetst zijn bij leverancier(s). DigiD-norm

24.019474

Getoetst bij aansluithouder

Getoetst bij SaaSleverancier

Totaaloordeel norm

Voldoet

B.01

Informatiebeveiligingsbeleid

B.05

Contractmanagement

Voldoet

U/TV.01

Identificatie en authenticatie

Niet van toepassing

Voldoet

U/WA.02

Webapplicatiebeheerproces

Voldoet

U/WA.03

Automatische data-invoercontrole

Niet van toepassing

Voldoet

U/WA.04

Normaliseren uitvoer

Niet van toepassing

Voldoet

U/WA.05

Cryptografie/ Privacybevordering

Voldoet

U/PW.02

Garanderen webprotocollen

Niet van toepassing

Voldoet

U/PW.03

Configureren webserver

Niet van toepassing

Voldoet

U/PW.05

Toegang tot beheermechanismen

Niet van toepassing

Voldoet

U/PW.07

Hardening van platformen

Niet van toepassing

Voldoet

U/NW.03

DMZ

Niet van toepassing

Voldoet

U/NW.04

Protectie- en detectiemechanismen

Niet van toepassing

Voldoet

U/NW.05

Scheiding beheer- en productieomgeving

Niet van toepassing

Voldoet

U/NW.06

Hardening van netwerken

Voldoet

C.03

Vulnerability-assessments

Niet van toepassing

Voldoet

C.04

Penetratietesten

Niet van toepassing

Voldoet

C.06

Signaleringsfuncties

Niet van toepassing

Voldoet

C.07

Monitoringfuncties

Niet van toepassing

Voldoet

C.08

Wijzigingenbeheer

Voldoet

C.09

Patchmanagement

Niet van toepassing

Voldoet

pagina 2 van 8

Gemeentelijk kenmerk bijlage 1 DigiD: 24.019474

Bijlage 1 DigiD - Gemeente Rijswijk - Parkeren - 1002318 Totaaloverzicht getoetste normen ICT-beveiligingsassessment DigiD-aansluiting Gemeente Rijswijk - Parkeren met aansluitnummer 1002318 Gemeente Rijswijk biedt de volgende functionaliteit aan waarvoor DigiD-aansluiting Gemeente Rijswijk - Parkeren voor authenticatie wordt gebruikt : •

Het aanvragen, wijzigen en verlengen van parkeervergunningen.

Deze functionaliteit wordt geboden door de volgende webapplicatie: •

CityPermit

Deze applicatie betreft een geheel standaardpakket en wordt onderhouden door Sigmax Law Enforcement B.V.. Deze applicatie is extern benaderbaar via het volgende internetadres: parkeren.rijswijk.nl. DigiD-aansluiting Gemeente Rijswijk - Parkeren bevindt zich in de Demilitarized Zone (DMZ). De infrastructuur waar deze applicatie op draait, wordt beheerd door Sigmax Law Enforcement B.V. in de vorm van SaaS. Het object van zelfevaluatie is de web-omgeving van DigiD-aansluiting Gemeente Rijswijk - Parkeren. De zelfevaluatie heeft zich gericht op de webapplicatie, de internetadressen waarmee deze kan worden benaderd, de infrastructuur (binnen de DMZ waar de webapplicatie zich bevindt) en een aantal ondersteunende processen conform de “Norm ICT-beveiligingsassessments DigiD” van Logius. Gemeente Rijswijk heeft een deel van de DigiD web-omgeving uitbesteed aan Sigmax Law Enforcement B.V.. Als gevolg hiervan is een aantal maatregelen belegd bij deze serviceorganisatie(s). Het onderzoeken van deze maatregelen is dan ook uitgevoerd door de IT-auditor van deze serviceorganisatie(s). De normen waar deze maatregelen betrekking op hebben maken geen onderdeel uit van de zelfevaluatie, tenzij sprake is van een gedeelde norm. Een DigiD-aansluiting dient aan het gehele normenkader te voldoen.

Sigmax Law Enforcement B.V.

Referentie/rapportnummer:

TPM 1: 2309R.AH80 TPM 2: N.v.t.

Afgiftedatum:

TPM 1: 05-10-2023 TPM 2: N.v.t.

Naam RE-auditor:

drs. A.J.A. Hassing RE RA

Ondertekend door RE-auditor:

24.019474

pagina 3 van 8

Gemeentelijk kenmerk bijlage 1 DigiD: 24.019474

Onderstaande tabel toont de uitkomsten van de zelfevaluatie per norm inclusief de normen die getoetst zijn bij leverancier(s). DigiD-norm

24.019474

Getoetst bij aansluithouder

Getoetst bij SaaSleverancier

Totaaloordeel norm

B.01

Informatiebeveiligingsbeleid

Voldoet

B.05

Contractmanagement

Voldoet

U/TV.01

Identificatie en authenticatie

Voldoet

U/WA.02

Webapplicatiebeheerproces

Voldoet

U/WA.03

Automatische data-invoercontrole

Niet van toepassing

Voldoet

U/WA.04

Normaliseren uitvoer

Niet van toepassing

Voldoet

U/WA.05

Cryptografie/ Privacybevordering

Voldoet

U/PW.02

Garanderen webprotocollen

Niet van toepassing

Voldoet

U/PW.03

Configureren webserver

Niet van toepassing

Voldoet

U/PW.05

Toegang tot beheermechanismen

Niet van toepassing

Voldoet

U/PW.07

Hardening van platformen

Niet van toepassing

Voldoet

U/NW.03

DMZ

Niet van toepassing

Voldoet

U/NW.04

Protectie- en detectiemechanismen

Niet van toepassing

Voldoet

U/NW.05

Scheiding beheer- en productieomgeving

Niet van toepassing

Voldoet

U/NW.06

Hardening van netwerken

Voldoet

C.03

Vulnerability-assessments

Niet van toepassing

Voldoet

C.04

Penetratietesten

Niet van toepassing

Voldoet

C.06

Signaleringsfuncties

Niet van toepassing

Voldoet

C.07

Monitoringfuncties

Niet van toepassing

Voldoet

C.08

Wijzigingenbeheer

Voldoet

C.09

Patchmanagement

Niet van toepassing

Voldoet

pagina 4 van 8

Gemeentelijk kenmerk bijlage 1 DigiD: 24.019474

Bijlage 1 DigiD - Gemeente Rijswijk - eDiensten Burgerzaken - 1003611 Totaaloverzicht getoetste normen ICT-beveiligingsassessment DigiD-aansluiting Gemeente Rijswijk - eDiensten Burgerzaken met aansluitnummer 1003611 Gemeente Rijswijk biedt de volgende functionaliteit aan waarvoor DigiD-aansluiting Gemeente Rijswijk - eDiensten Burgerzaken voor authenticatie wordt gebruikt: •

De eDienst Burgerzaken stelt de inwoners in de gelegenheid om informatie op te vragen uit de BRP en of door te geven binnen het burgerzaken domein. Zo is het onder andere mogelijk om uittreksels en afschriften aan te vragen en huwelijken of geboortes door te geven. Ook kunnen inwoners wijzigingen in hun situatie doorgeven aan de gemeente zoals verhuizingen en of emigraties..

Deze functionaliteit wordt geboden door de volgende webapplicatie: •

eDiensten Burgerzaken

Deze applicatie betreft een geheel standaardpakket en wordt onderhouden door Centric Netherlands B.V.. Deze applicatie is extern benaderbaar via het volgende internetadres: edienstenburgerzaken.rijswijk.nl DigiD-aansluiting Gemeente Rijswijk - eDiensten Burgerzaken bevindt zich in de Demilitarized Zone (DMZ). De infrastructuur waar deze applicatie op draait, wordt beheerd door Centric Netherlands B.V. in de vorm van SaaS. Het object van zelfevaluatie is de web-omgeving van DigiD-aansluiting Gemeente Rijswijk - eDiensten Burgerzaken. De zelfevaluatie heeft zich gericht op de webapplicatie, de internetadressen waarmee deze kan worden benaderd, de infrastructuur (binnen de DMZ waar de webapplicatie zich bevindt) en een aantal ondersteunende processen conform de “Norm ICT-beveiligingsassessments DigiD” van Logius. Gemeente Rijswijk heeft een deel van de DigiD web-omgeving uitbesteed aan Centric Netherlands B.V.. Als gevolg hiervan is een aantal maatregelen belegd bij deze serviceorganisatie(s). Het onderzoeken van deze maatregelen is dan ook uitgevoerd door de IT-auditor van deze serviceorganisatie(s). De normen waar deze maatregelen betrekking op hebben maken geen onderdeel uit van de zelfevaluatie, tenzij sprake is van een gedeelde norm. Een DigiD-aansluiting dient aan het gehele normenkader te voldoen.

24.019474

Naam serviceorganisatie:

Centric Netherlands B.V.

Referentie/rapportnummer:

TPM 1: 23X00190221AVN-EDB_v2 TPM 2: N.v.t.

Afgiftedatum:

TPM 1: 17-11-2023 TPM 2: N.v.t.

Naam RE-auditor:

B. Beugelaar RE RA

Ondertekend door RE-auditor:

pagina 5 van 8

Gemeentelijk kenmerk bijlage 1 DigiD: 24.019474

24.019474

Getoetst bij aansluithouder

Getoetst bij SaaSleverancier

Totaaloordeel norm

B.01

Informatiebeveiligingsbeleid

Voldoet

B.05

Contractmanagement

Voldoet

U/TV.01

Identificatie en authenticatie

Niet van toepassing

Voldoet

U/WA.02

Webapplicatiebeheerproces

Voldoet

U/WA.03

Automatische data-invoercontrole

Niet van toepassing

Voldoet

U/WA.04

Normaliseren uitvoer

Niet van toepassing

Voldoet

U/WA.05

Cryptografie/ Privacybevordering

Voldoet

U/PW.02

Garanderen webprotocollen

Niet van toepassing

Voldoet

U/PW.03

Configureren webserver

Niet van toepassing

Voldoet

U/PW.05

Toegang tot beheermechanismen

Niet van toepassing

Voldoet

U/PW.07

Hardening van platformen

Niet van toepassing

Voldoet

U/NW.03

DMZ

Niet van toepassing

Voldoet

U/NW.04

Protectie- en detectiemechanismen

Niet van toepassing

Voldoet

U/NW.05

Scheiding beheer- en productieomgeving

Niet van toepassing

Voldoet

U/NW.06

Hardening van netwerken

Voldoet

C.03

Vulnerability-assessments

Niet van toepassing

Voldoet

C.04

Penetratietesten

Niet van toepassing

Voldoet

C.06

Signaleringsfuncties

Niet van toepassing

Voldoet

C.07

Monitoringfuncties

Niet van toepassing

Voldoet

C.08

Wijzigingenbeheer

Voldoet

C.09

Patchmanagement

Niet van toepassing

Voldoet

pagina 6 van 8

Gemeentelijk kenmerk bijlage 1 DigiD: 24.019474

Bijlage 1 DigiD - formulieren.rijswijk.nl - 1004679 Totaaloverzicht getoetste normen ICT-beveiligingsassessment DigiD-aansluiting formulieren.rijswijk.nl met aansluitnummer 1004679 Gemeente Rijswijk biedt de volgende functionaliteit aan waarvoor DigiD-aansluiting formulieren.rijswijk.nl voor authenticatie wordt gebruikt: •

Een digitaal loket voor burgers met onder meer het inzien van gegevens en het indienen van formulieren.

Deze functionaliteit wordt geboden door de volgende webapplicaties: • •

SIMform, PIP (Persoonlijke Internet Pagina)

Deze applicatie betreft een geheel standaardpakket en wordt onderhouden door SIMgroep. Deze applicatie is extern benaderbaar via het volgende internetadres: formulieren.rijswijk.nl. DigiD-aansluiting formulieren.rijswijk.nl bevindt zich in de Demilitarized Zone (DMZ). De infrastructuur waar deze applicatie op draait, wordt beheerd door SIMgroep in de vorm van SaaS. Het object van zelfevaluatie is de web-omgeving van DigiD-aansluiting formulieren.rijswijk.nl. De zelfevaluatie heeft zich gericht op de webapplicatie, de internetadressen waarmee deze kan worden benaderd, de infrastructuur (binnen de DMZ waar de webapplicatie zich bevindt) en een aantal ondersteunende processen conform de “Norm ICT-beveiligingsassessments DigiD” van Logius. Gemeente Rijswijk heeft een deel van de DigiD web-omgeving uitbesteed aan SIMgroep. Als gevolg hiervan is een aantal maatregelen belegd bij deze serviceorganisatie(s). Het onderzoeken van deze maatregelen is dan ook uitgevoerd door de IT-auditor van deze serviceorganisatie(s). De normen waar deze maatregelen betrekking op hebben maken geen onderdeel uit van de zelfevaluatie, tenzij sprake is van een gedeelde norm. Een DigiD-aansluiting dient aan het gehele normenkader te voldoen. Deze zelfevaluatie ENSIA voor DigiD is toegepast op dat deel van het normenkader dat niet onder uitbesteding aan de leverancier(s) van de gemeente valt.

De overige normen worden afgedekt door onderstaande TPM / assurancerapportage van de leverancier(s): SaaS-leverancier Naam serviceorganisatie:

SIMgroep

Referentie/rapportnummer:

TPM 1: 230/422400/2023/21155_43 TPM 2: N.v.t.

Afgiftedatum:

TPM 1: 29-09-2023 TPM 2: N.v.t.

Naam RE-auditor:

drs. F.W. (Wilfred) Hanekamp RE (Afier ITAuditors B.V.)

Ondertekend door RE-auditor:

24.019474

pagina 7 van 8

Gemeentelijk kenmerk bijlage 1 DigiD: 24.019474

Onderstaande tabel toont de uitkomsten van de zelfevaluatie per norm inclusief de normen die getoetst zijn bij leverancier(s). DigiD-norm

24.019474

Getoetst bij aansluithouder

Getoetst bij SaaSleverancier

Totaaloordeel norm

B.01

Informatiebeveiligingsbeleid

Voldoet

B.05

Contractmanagement

Voldoet

U/TV.01

Identificatie en authenticatie

Voldoet

U/WA.02

Webapplicatiebeheerproces

Voldoet

U/WA.03

Automatische data-invoercontrole

Niet van toepassing

Voldoet

U/WA.04

Normaliseren uitvoer

Niet van toepassing

Voldoet

U/WA.05

Cryptografie/ Privacybevordering

Voldoet

U/PW.02

Garanderen webprotocollen

Niet van toepassing

Voldoet

U/PW.03

Configureren webserver

Niet van toepassing

Voldoet

U/PW.05

Toegang tot beheermechanismen

Niet van toepassing

Voldoet

U/PW.07

Hardening van platformen

Niet van toepassing

Voldoet

U/NW.03

DMZ

Niet van toepassing

Voldoet

U/NW.04

Protectie- en detectiemechanismen

Niet van toepassing

Voldoet

U/NW.05

Scheiding beheer- en productieomgeving

Niet van toepassing

Voldoet

U/NW.06

Hardening van netwerken

Voldoet

C.03

Vulnerability-assessments

Niet van toepassing

Voldoet

C.04

Penetratietesten

Niet van toepassing

Voldoet

C.06

Signaleringsfuncties

Niet van toepassing

Voldoet

C.07

Monitoringfuncties

Niet van toepassing

Voldoet

C.08

Wijzigingenbeheer

Voldoet

C.09

Patchmanagement

Niet van toepassing

Voldoet

pagina 8 van 8

De tekst is automatisch uit het bestand gehaald en kan afwijken van het origineel (kolommen, tabellen en koppen lopen door elkaar). Het officiële stuk bij de gemeente is leidend. Bron: https://api1.ibabs.eu/publicdownload.aspx?site=Rijswijk&id=af93692b-81cd-4151-bc55-f726efb387af