Document · PDF

RIB 25 017 Bijlage B Bijlage over de DigiD aansluitingen bij de collegeverklaring ENSIA 2024

Forum Samenleving 8 april 2025, gemeente RijswijkBij agendapunt: Lijst van ingekomen stukken: vaststelling wijze van afdoening3.775 woorden

Open het PDF bij de gemeente ↗Naar de vergadering →

Tekst van het document

Uit het bestand gehaald, zonder opmaak, tabellen en afbeeldingen

Gemeente Rijswijk – 25.012226 - Bijlage 1 DigiD

Bijlage 1 DigiD - Gemeente Rijswijk - Belastingbalie - 1003797 Totaaloverzicht getoetste normen ICT-beveiligingsassessment DigiD-aansluiting Gemeente Rijswijk - Belastingbalie met aansluitnummer 1003797 Gemeente Rijswijk biedt de volgende functionaliteit aan waarvoor DigiD-aansluiting Gemeente Rijswijk Belastingbalie voor authenticatie wordt gebruikt: • •

het inzien van belastinggegevens het betalen van belasting.

Deze functionaliteit wordt geboden door de volgende webapplicatie: • Naam: Digitale Balie • Versie: 2.4.0 Deze webapplicatie is extern benaderbaar via het volgende internetadres: • belastingbalie.rijswijk.nl. Het object van zelfevaluatie is de web-omgeving van DigiD-aansluiting Gemeente Rijswijk - Belastingbalie. De zelfevaluatie heeft zich gericht op de webapplicatie, de internetadressen waarmee deze kan worden benaderd, de infrastructuur (binnen de DMZ waar de webapplicatie zich bevindt) en een aantal ondersteunende processen conform de “Norm ICT-beveiligingsassessments DigiD versie 3.0” van Logius. Deze webapplicatie betreft een geheel standaardpakket. De webapplicatie wordt onderhouden door Centric. DigiD-aansluiting Gemeente Rijswijk - Belastingbalie bevindt zich in de Demilitarized Zone (DMZ). De infrastructuur waar deze applicatie op draait, wordt beheerd door Centric met beheervorm Saas. Gemeente Rijswijk heeft de DigiD web-omgeving uitbesteed aan: • Centric. Als gevolg hiervan is een aantal maatregelen belegd bij deze serviceorganisatie. Het onderzoeken van deze maatregelen is dan ook uitgevoerd door de IT-auditor van deze serviceorganisatie. De normen waar deze maatregelen betrekking op hebben maken geen onderdeel uit van de zelfevaluatie, tenzij sprake is van een gedeelde norm. De DigiD-webomgeving moet aan het gehele normenkader voldoen.

Deze zelfevaluatie ENSIA voor DigiD is toegepast op dat deel van het normenkader dat niet onder uitbesteding aan de leverancier(s) van de gemeente valt voor de periode: Aansluithouder Oordeelsdatum:

31-12-2024

Controleperiode:

1 juli 2024 tot 31 december 2024

1/15

Gemeente Rijswijk – 25.012226 - Bijlage 1 DigiD

De overige normen worden afgedekt door onderstaande TPM / assurancerapportage(s) van de (toe)leverancier(s): SaaS-leverancier Naam SaaS-leverancier:

Centric

Referentie/rapportnummer:

TPM: BKBO/240322-01/1/TPM Sub-TPM: N.v.t.

Oordeelsdatum:

TPM: 07-10-2024 Sub-TPM: N.v.t.

Controleperiode:

TPM: 1 maart 2024 tot 7 oktober 2024 Sub-TPM: N.v.t.

Naam RE-auditor

TPM:

Ondertekend door RE-auditor:

TPM: Ja Sub-TPM: N.v.t.

drs. M.B.H. IJpelaar RE CEH CISA CIPP/e, directeur drs. M.T.C. Akay CISA, auditor Sub-TPM: N.v.t.

Onze IT-auditor heeft tevens getoetst of de zelfevaluatie en de TPM’s / assurancerapportages van onze serviceorganisatie(s) het gehele normenkader afdekken. De conclusie van de auditor is opgenomen in het assurancerapport met kenmerk VDB.20250403.01.

2/15

Gemeente Rijswijk - 25.012226 - Bijlage 1 DigiD

Onderstaande tabel toont de uitkomsten van de zelfevaluatie per norm inclusief de normen die getoetst zijn bij de bovengenoemde leveranciers. Aansluithouder

SaaS-leverancier

DigiD-norm

Toetsing op

Oordeel

Oordeel TPM

Totaaloordeel

B.01 Informatiebeveiligingsbeleid

Opzet en bestaan

Voldoet

B.05 Contractmanagement

Opzet en bestaan

Voldoet

U/TV.01 Identificatie en authenticatie

Opzet en bestaan

Niet van toepassing

Voldoet

Werking

Niet van toepassing

Voldoet

U/WA.02 Webapplicatiebeheerproces

Opzet en bestaan

Voldoet

U/WA.03 Automatische data-invoercontrole

Werking Opzet en bestaan

Niet van toepassing

Voldoet

U/WA04. Normaliseren uitvoer

Opzet en bestaan

Niet van toepassing

Voldoet

U/WA.05 Cryptografie/ Privacybevordering

Opzet en bestaan

Voldoet

U/PW.02 Garanderen webprotocollen

Opzet en bestaan

Niet van toepassing

Voldoet

U/PW.03 Configureren webserver

Opzet en bestaan

Niet van toepassing

Voldoet

U/PW.05 Toegang tot beheermechanismen

Opzet en bestaan

Niet van toepassing

Voldoet

U/PW.07 Hardening van platformen

Opzet en bestaan

Niet van toepassing

Voldoet

U/NW.03 DMZ

Opzet en bestaan

Niet van toepassing

Voldoet

U/NW.04 Protectie- en detectiemechanismen

Opzet en bestaan

Niet van toepassing

Voldoet

U/NW.05 Scheiding beheer- en productieomgeving

Opzet en bestaan

Niet van toepassing

Voldoet

U/NW.06 Hardening van netwerken

Opzet en bestaan

Voldoet

C.03 Vulnerability-assessments

Opzet en bestaan

Niet van toepassing

Voldoet

C.04 Penetratietesten

Opzet en bestaan

Niet van toepassing

Voldoet

C.06 Signaleringsfuncties

Opzet en bestaan

Niet van toepassing

Voldoet

C.07 Monitoringfuncties

Opzet en bestaan

Niet van toepassing

Voldoet

Werking

Niet van toepassing

Voldoet

C.08 Wijzigingenbeheer

Opzet en bestaan Werking

C.09 Patchmanagement

Voldoet

Opzet en bestaan

Niet van toepassing

Voldoet

Werking

Niet van toepassing

Voldoet

3/15

Gemeente Rijswijk - 25.012226 - Bijlage 1 DigiD

Bijlage 1 DigiD - Gemeente Rijswijk - Parkeren - 1002318 Totaaloverzicht getoetste normen ICT-beveiligingsassessment DigiD-aansluiting Gemeente Rijswijk - Parkeren met aansluitnummer 1002318 Gemeente Rijswijk biedt de volgende functionaliteit aan waarvoor DigiD-aansluiting Gemeente Rijswijk Parkeren voor authenticatie wordt gebruikt: •

Het aanvragen, wijzigen en verlengen van parkeervergunningen.

Deze functionaliteit wordt geboden door de volgende webapplicatie: • Naam: CityPermit • Versie: 2.1. Deze webapplicatie is extern benaderbaar via het volgende internetadres: • parkeren.rijswijk.nl Het object van zelfevaluatie is de web-omgeving van DigiD-aansluiting Gemeente Rijswijk - Parkeren. De zelfevaluatie heeft zich gericht op de webapplicatie, de internetadressen waarmee deze kan worden benaderd, de infrastructuur (binnen de DMZ waar de webapplicatie zich bevindt) en een aantal ondersteunende processen conform de “Norm ICT-beveiligingsassessments DigiD versie 3.0” van Logius. Deze webapplicatie betreft een geheel standaardpakket. De webapplicatie wordt onderhouden door Sigmax Law Enforcement B.V.. DigiD-aansluiting Gemeente Rijswijk - Parkeren bevindt zich in de Demilitarized Zone (DMZ). De infrastructuur waar deze applicatie op draait, wordt beheerd door Sigmax Law Enforcement B.V. met beheervorm SaaS. Gemeente Rijswijk heeft de DigiD web-omgeving uitbesteed aan: • Sigmax Law Enforcement B.V.. Als gevolg hiervan is een aantal maatregelen belegd bij deze serviceorganisatie. Het onderzoeken van deze maatregelen is dan ook uitgevoerd door de IT-auditor van deze serviceorganisatie. De normen waar deze maatregelen betrekking op hebben maken geen onderdeel uit van de zelfevaluatie, tenzij sprake is van een gedeelde norm.

De DigiD-webomgeving moet aan het gehele normenkader voldoen. Deze zelfevaluatie ENSIA voor DigiD is toegepast op dat deel van het normenkader dat niet onder uitbesteding aan de leverancier(s) van de gemeente valt voor de periode: Aansluithouder Oordeelsdatum:

31-12-2024

Controleperiode:

01-07-2024 - 31-12-2024

4/15

Gemeente Rijswijk - 25.012226 - Bijlage 1 DigiD

De overige normen worden afgedekt door onderstaande TPM / assurancerapportage(s) van de (toe)leverancier(s): SaaS-leverancier Naam SaaS-leverancier:

Sigmax Law Enforcement B.V.

Referentie/rapportnummer:

TPM: 2410R.AH98 Sub-TPM: N.v.t.

Oordeelsdatum:

TPM: 10-10-2024 Sub-TPM: N.v.t.

Controleperiode:

TPM: 10-04-2024 -10-10-2024 Sub-TPM: N.v.t.

Naam RE-auditor

TPM: drs. A.J.A. Hassing RE RA Sub-TPM: N.v.t.

Ondertekend door RE-auditor:

TPM: Ja Sub-TPM: N.v.t.

5/15

Gemeente Rijswijk - 25.012226 - Bijlage 1 DigiD

Onderstaande tabel toont de uitkomsten van de zelfevaluatie per norm inclusief de normen die getoetst zijn bij de bovengenoemde leveranciers.

Aansluithouder

SaaS-leverancier

DigiD-norm

Toetsing op

Oordeel

Oordeel TPM

Totaaloordeel

B.01 Informatiebeveiligingsbeleid

Opzet en bestaan

Voldoet

B.05 Contractmanagement

Opzet en bestaan

Voldoet

U/TV.01 Identificatie en authenticatie

Opzet en bestaan

Voldoet

Werking

Voldoet

Opzet en bestaan

Voldoet

U/WA.02 Webapplicatiebeheerproces

Voldoet

U/WA.03 Automatische data-invoercontrole

Werking Opzet en bestaan

Niet van toepassing

Voldoet

U/WA04. Normaliseren uitvoer

Opzet en bestaan

Niet van toepassing

Voldoet

U/WA.05 Cryptografie/ Privacybevordering

Opzet en bestaan

Voldoet

U/PW.02 Garanderen webprotocollen

Opzet en bestaan

Niet van toepassing

Voldoet

U/PW.03 Configureren webserver

Opzet en bestaan

Niet van toepassing

Voldoet

U/PW.05 Toegang tot beheermechanismen

Opzet en bestaan

Niet van toepassing

Voldoet

U/PW.07 Hardening van platformen

Opzet en bestaan

Niet van toepassing

Voldoet

U/NW.03 DMZ

Opzet en bestaan

Niet van toepassing

Voldoet

U/NW.04 Protectie- en detectiemechanismen

Opzet en bestaan

Niet van toepassing

Voldoet

U/NW.05 Scheiding beheer- en productieomgeving

Opzet en bestaan

Niet van toepassing

Voldoet

U/NW.06 Hardening van netwerken

Opzet en bestaan

Voldoet

C.03 Vulnerability-assessments

Opzet en bestaan

Niet van toepassing

Voldoet

C.04 Penetratietesten

Opzet en bestaan

Niet van toepassing

Voldoet

C.06 Signaleringsfuncties

Opzet en bestaan

Niet van toepassing

Voldoet

C.07 Monitoringfuncties

Opzet en bestaan

Niet van toepassing

Voldoet

Werking

Niet van toepassing

Voldoet

C.08 Wijzigingenbeheer

Opzet en bestaan Werking

C.09 Patchmanagement

Voldoet

Opzet en bestaan

Niet van toepassing

Voldoet

Werking

Niet van toepassing

Voldoet

6/15

Gemeente Rijswijk - 25.012226 - Bijlage 1 DigiD

Bijlage 1 DigiD - Gemeente Rijswijk - eDiensten Burgerzaken - 1003611 Totaaloverzicht getoetste normen ICT-beveiligingsassessment DigiD-aansluiting Gemeente Rijswijk - eDiensten Burgerzaken met aansluitnummer 1003611 Gemeente Rijswijk biedt de volgende functionaliteit aan waarvoor DigiD-aansluiting Gemeente Rijswijk eDiensten Burgerzaken voor authenticatie wordt gebruikt: • De eDienst Burgerzaken stelt de inwoners in de gelegenheid om informatie op te vragen uit de BRP en of door te geven binnen het burgerzaken domein. Zo is het onder andere mogelijk om uittreksels en afschriften aan te vragen en huwelijken of geboortes door te geven. Ook kunnen inwoners wijzigingen in hun situatie doorgeven aan de gemeente zoals verhuizingen en of emigraties.. Deze functionaliteit wordt geboden door de volgende webapplicatie: • Naam: eDiensten Burgerzaken • Versie: 1.9.5 Deze webapplicatie is extern benaderbaar via het volgende internetadres: • edienstenburgerzaken.rijswijk.nl. Het object van zelfevaluatie is de web-omgeving van DigiD-aansluiting Gemeente Rijswijk - eDiensten Burgerzaken. De zelfevaluatie heeft zich gericht op de webapplicatie, de internetadressen waarmee deze kan worden benaderd, de infrastructuur (binnen de DMZ waar de webapplicatie zich bevindt) en een aantal ondersteunende processen conform de “Norm ICT-beveiligingsassessments DigiD versie 3.0” van Logius.

Deze webapplicatie betreft een geheel standaardpakket. De webapplicatie wordt onderhouden door Centric Netherlands B.V.. DigiD-aansluiting Gemeente Rijswijk - eDiensten Burgerzaken bevindt zich in de Demilitarized Zone (DMZ). De infrastructuur waar deze applicatie op draait, wordt beheerd door Centric Netherlands B.V. met beheervorm Saas. Gemeente Rijswijk heeft de DigiD web-omgeving uitbesteed aan: • Centric Netherlands B.V.. Als gevolg hiervan is een aantal maatregelen belegd bij deze serviceorganisatie. Het onderzoeken van deze maatregelen is dan ook uitgevoerd door de IT-auditor van deze serviceorganisatie. De normen waar deze maatregelen betrekking op hebben maken geen onderdeel uit van de zelfevaluatie, tenzij sprake is van een gedeelde norm. De DigiD-webomgeving moet aan het gehele normenkader voldoen. Deze zelfevaluatie ENSIA voor DigiD is toegepast op dat deel van het normenkader dat niet onder uitbesteding aan de leverancier(s) van de gemeente valt voor de periode: Aansluithouder Oordeelsdatum:

31-12-2024

Controleperiode:

1 juli 2024 tot 31 december 2024

7/15

Gemeente Rijswijk - 25.012226 - Bijlage 1 DigiD

De overige normen worden afgedekt door onderstaande TPM / assurancerapportage(s) van de (toe)leverancier(s): SaaS-leverancier Naam SaaS-leverancier:

Centric Netherlands B.V.

Referentie/rapportnummer:

TPM: 24X00195119AVN_EDB Sub-TPM: N.v.t.

Oordeelsdatum:

TPM: 30-09-2024 Sub-TPM: N.v.t.

Controleperiode:

TPM: 1 maart 2024 tot en met 30 september 2024 Sub-TPM: N.v.t.

Naam RE-auditor

TPM: B. Beugelaar Sub-TPM: N.v.t.

Ondertekend door RE-auditor:

TPM: Ja Sub-TPM: N.v.t.

8/15

Gemeente Rijswijk - 25.012226 - Bijlage 1 DigiD

Onderstaande tabel toont de uitkomsten van de zelfevaluatie per norm inclusief de normen die getoetst zijn bij de bovengenoemde leveranciers.

Aansluithouder

SaaS-leverancier

DigiD-norm

Toetsing op

Oordeel

Oordeel TPM

Totaaloordeel

B.01 Informatiebeveiligingsbeleid

Opzet en bestaan

Voldoet

B.05 Contractmanagement

Opzet en bestaan

Voldoet

U/TV.01 Identificatie en authenticatie

Opzet en bestaan

Niet van toepassing1

Voldoet

Werking

Niet van toepassing

Voldoet

U/WA.02 Webapplicatiebeheerproces

Opzet en bestaan

Voldoet

U/WA.03 Automatische data-invoercontrole

Werking Opzet en bestaan

Niet van toepassing

Voldoet

U/WA04. Normaliseren uitvoer

Opzet en bestaan

Niet van toepassing

Voldoet

U/WA.05 Cryptografie/ Privacybevordering

Opzet en bestaan

Voldoet

U/PW.02 Garanderen webprotocollen

Opzet en bestaan

Niet van toepassing

Voldoet

U/PW.03 Configureren webserver

Opzet en bestaan

Niet van toepassing

Voldoet

U/PW.05 Toegang tot beheermechanismen

Opzet en bestaan

Niet van toepassing

Voldoet

U/PW.07 Hardening van platformen

Opzet en bestaan

Niet van toepassing

Voldoet

U/NW.03 DMZ

Opzet en bestaan

Niet van toepassing

Voldoet

U/NW.04 Protectie- en detectiemechanismen

Opzet en bestaan

Niet van toepassing

Voldoet

U/NW.05 Scheiding beheer- en productieomgeving

Opzet en bestaan

Niet van toepassing

Voldoet

U/NW.06 Hardening van netwerken

Opzet en bestaan

Voldoet

C.03 Vulnerability-assessments

Opzet en bestaan

Niet van toepassing

Voldoet

C.04 Penetratietesten

Opzet en bestaan

Niet van toepassing

Voldoet

C.06 Signaleringsfuncties

Opzet en bestaan

Niet van toepassing

Voldoet

C.07 Monitoringfuncties

Opzet en bestaan

Niet van toepassing

Voldoet

Werking

Niet van toepassing

Voldoet

C.08 Wijzigingenbeheer

Opzet en bestaan Werking

C.09 Patchmanagement

Voldoet

Opzet en bestaan

Niet van toepassing

Voldoet

Werking

Niet van toepassing

Voldoet

1 Het beheerportaal is niet in scope van het DigiD Assessment (zie paragraaf 1.4.1 van de assurancerapportage van Centric).

9/15

Gemeente Rijswijk - 25.012226 - Bijlage 1 DigiD

Bijlage 1 DigiD - formulieren.rijswijk.nl - 1004679 Totaaloverzicht getoetste normen ICT-beveiligingsassessment DigiD-aansluiting formulieren.rijswijk.nl met aansluitnummer 1004679 Gemeente Rijswijk biedt de volgende functionaliteit aan waarvoor DigiD-aansluiting formulieren.rijswijk.nl voor authenticatie wordt gebruikt: • Een digitaal loket voor burgers met onder meer het inzien van gegevens en het indienen van formulieren. Deze functionaliteit wordt geboden door de volgende webapplicaties: • Naam: SIMform en PIP • Versie: 1.78.0 en 2.113.0 Deze webapplicatie is extern benaderbaar via het volgende internetadres: • formulieren.rijswijk.nl. Het object van zelfevaluatie is de web-omgeving van DigiD-aansluiting formulieren.rijswijk.nl. De zelfevaluatie heeft zich gericht op de webapplicatie, de internetadressen waarmee deze kan worden benaderd, de infrastructuur (binnen de DMZ waar de webapplicatie zich bevindt) en een aantal ondersteunende processen conform de “Norm ICT-beveiligingsassessments DigiD versie 3.0” van Logius. Deze webapplicatie betreft een geheel standaardpakket. De webapplicatie wordt onderhouden door Shift2. DigiD-aansluiting formulieren.rijswijk.nl bevindt zich in de Demilitarized Zone (DMZ). De infrastructuur waar deze applicatie op draait, wordt beheerd door Shift2 met beheervorm Saas. Gemeente Rijswijk heeft de DigiD web-omgeving uitbesteed aan: • Shift2.

Als gevolg hiervan is een aantal maatregelen belegd bij deze serviceorganisatie. Het onderzoeken van deze maatregelen is dan ook uitgevoerd door de IT-auditor van deze serviceorganisatie. De normen waar deze maatregelen betrekking op hebben maken geen onderdeel uit van de zelfevaluatie, tenzij sprake is van een gedeelde norm. De DigiD-webomgeving moet aan het gehele normenkader voldoen. Deze zelfevaluatie ENSIA voor DigiD is toegepast op dat deel van het normenkader dat niet onder uitbesteding aan de leverancier(s) van de gemeente valt voor de periode: Aansluithouder Oordeelsdatum:

31-12-2024

Controleperiode:

1 juli 2024 tot 31 december 2024

10/15

Gemeente Rijswijk - 25.012226 - Bijlage 1 DigiD

De overige normen worden afgedekt door onderstaande TPM / assurancerapportage(s) van de (toe)leverancier(s): SaaS-leverancier Naam SaaS-leverancier:

Shift2

Referentie/rapportnummer:

TPM: 230/422400/2024/22527_45 Sub-TPM: N.v.t.

Oordeelsdatum:

TPM: 26-09-2024 Sub-TPM: N.v.t.

Controleperiode:

TPM: 15 maart 2024 tot 26 september 2024 Sub-TPM: N.v.t.

Naam RE-auditor

TPM: drs. F.W. Hanekamp RE Sub-TPM: N.v.t.

Ondertekend door RE-auditor:

TPM: Ja Sub-TPM: N.v.t.

11/15

Gemeente Rijswijk - 25.012226 - Bijlage 1 DigiD

Onderstaande tabel toont de uitkomsten van de zelfevaluatie per norm inclusief de normen die getoetst zijn bij de bovengenoemde leveranciers. Aansluithouder

SaaS-leverancier

DigiD-norm

Toetsing op

Oordeel

Oordeel TPM

Totaaloordeel

B.01 Informatiebeveiligingsbeleid

Opzet en bestaan

Voldoet

B.05 Contractmanagement

Opzet en bestaan

Voldoet

U/TV.01 Identificatie en authenticatie

Opzet en bestaan

Voldoet

Werking

Voldoet

Opzet en bestaan

Voldoet

U/WA.02 Webapplicatiebeheerproces

Voldoet

U/WA.03 Automatische data-invoercontrole

Werking Opzet en bestaan

Niet van toepassing

Voldoet

U/WA04. Normaliseren uitvoer

Opzet en bestaan

Niet van toepassing

Voldoet

U/WA.05 Cryptografie/ Privacybevordering

Opzet en bestaan

Voldoet

U/PW.02 Garanderen webprotocollen

Opzet en bestaan

Niet van toepassing

Voldoet

U/PW.03 Configureren webserver

Opzet en bestaan

Niet van toepassing

Voldoet

U/PW.05 Toegang tot beheermechanismen

Opzet en bestaan

Niet van toepassing

Voldoet

U/PW.07 Hardening van platformen

Opzet en bestaan

Niet van toepassing

Voldoet

U/NW.03 DMZ

Opzet en bestaan

Niet van toepassing

Voldoet

U/NW.04 Protectie- en detectiemechanismen

Opzet en bestaan

Niet van toepassing

Voldoet

U/NW.05 Scheiding beheer- en productieomgeving

Opzet en bestaan

Niet van toepassing

Voldoet

U/NW.06 Hardening van netwerken

Opzet en bestaan

Voldoet

C.03 Vulnerability-assessments

Opzet en bestaan

Niet van toepassing

Voldoet

C.04 Penetratietesten

Opzet en bestaan

Niet van toepassing

Voldoet

C.06 Signaleringsfuncties

Opzet en bestaan

Niet van toepassing

Voldoet

C.07 Monitoringfuncties

Opzet en bestaan

Niet van toepassing

Voldoet

Werking

Niet van toepassing

Voldoet

C.08 Wijzigingenbeheer

Opzet en bestaan Werking

C.09 Patchmanagement

Voldoet

Opzet en bestaan

Niet van toepassing

Voldoet

Werking

Niet van toepassing

Voldoet

12/15

Gemeente Rijswijk - 25.012226 - Bijlage 1 DigiD

Bijlage 1 DigiD - Gemeente Rijswijk - Mijnhulpvraag - 1005651 Totaaloverzicht getoetste normen ICT-beveiligingsassessment DigiD-aansluiting Gemeente Rijswijk - Mijnhulpvraag met aansluitnummer 1005651 Gemeente Rijswijk biedt de volgende functionaliteit aan waarvoor DigiD-aansluiting Gemeente Rijswijk Mijnhulpvraag voor authenticatie wordt gebruikt: • Het ondersteunen van cliëntprocessen voor Wmo, Jeugd en Sociaal Wijkteam. Het cliëntportaal voorziet in het uitwisselen van documenten met cliënten. Deze functionaliteit wordt geboden door de volgende webapplicatie: • Naam: MijnGemeente • Versie: 2024-4.6 Deze webapplicatie is extern benaderbaar via het volgende internetadres: • mijnhulpvraag.rijswijk.nl. Het object van zelfevaluatie is de web-omgeving van DigiD-aansluiting Gemeente Rijswijk - Mijnhulpvraag. De zelfevaluatie heeft zich gericht op de webapplicatie, de internetadressen waarmee deze kan worden benaderd, de infrastructuur (binnen de DMZ waar de webapplicatie zich bevindt) en een aantal ondersteunende processen conform de “Norm ICT-beveiligingsassessments DigiD versie 3.0” van Logius. Deze webapplicatie betreft een geheel standaardpakket. De webapplicatie wordt onderhouden door ZorgNed Automatisering BV. DigiD-aansluiting Gemeente Rijswijk - Mijnhulpvraag bevindt zich in de Demilitarized Zone (DMZ).

De infrastructuur waar deze applicatie op draait, wordt beheerd door ZorgNed Automatisering BV met beheervorm SaaS. Gemeente Rijswijk heeft de DigiD web-omgeving uitbesteed aan: • ZorgNed Automatisering BV. Als gevolg hiervan is een aantal maatregelen belegd bij deze serviceorganisatie. Het onderzoeken van deze maatregelen is dan ook uitgevoerd door de IT-auditor van deze serviceorganisatie. De normen waar deze maatregelen betrekking op hebben maken geen onderdeel uit van de zelfevaluatie, tenzij sprake is van een gedeelde norm. De DigiD-webomgeving moet aan het gehele normenkader voldoen. Deze zelfevaluatie ENSIA voor DigiD is toegepast op dat deel van het normenkader dat niet onder uitbesteding aan de leverancier(s) van de gemeente valt voor de periode: Aansluithouder Oordeelsdatum:

31-12-2024

Controleperiode:

01-07-2024 - 31-12-2024

13/15

Gemeente Rijswijk - 25.012226 - Bijlage 1 DigiD

De overige normen worden afgedekt door onderstaande TPM / assurancerapportage(s) van de (toe)leverancier(s): SaaS-leverancier Naam SaaS-leverancier:

ZorgNed Automatisering BV

Referentie/rapportnummer:

TPM: ZORGNED/DIGID/1005651 Sub-TPM: N.v.t.

Oordeelsdatum:

TPM: 02-10-2024 Sub-TPM: N.v.t.

Controleperiode:

TPM: 01-04-2024 - 30-09-2024 Sub-TPM: N.v.t.

Naam RE-auditor

TPM: M.J. van Zitteren RE Sub-TPM: N.v.t.

Ondertekend door RE-auditor:

TPM: Ja Sub-TPM: N.v.t.

14/15

Gemeente Rijswijk - 25.012226 - Bijlage 1 DigiD

Onderstaande tabel toont de uitkomsten van de zelfevaluatie per norm inclusief de normen die getoetst zijn bij de bovengenoemde leveranciers.

Aansluithouder

SaaS-leverancier

DigiD-norm

Toetsing op

Oordeel

Oordeel TPM

Totaaloordeel

B.01 Informatiebeveiligingsbeleid

Opzet en bestaan

Voldoet

B.05 Contractmanagement

Opzet en bestaan

Voldoet

U/TV.01 Identificatie en authenticatie

Opzet en bestaan

Voldoet

Werking

Voldoet

Opzet en bestaan

Voldoet

U/WA.02 Webapplicatiebeheerproces

Voldoet

U/WA.03 Automatische data-invoercontrole

Werking Opzet en bestaan

Niet van toepassing

Voldoet

U/WA04. Normaliseren uitvoer

Opzet en bestaan

Niet van toepassing

Voldoet

U/WA.05 Cryptografie/ Privacybevordering

Opzet en bestaan

Voldoet

U/PW.02 Garanderen webprotocollen

Opzet en bestaan

Niet van toepassing

Voldoet

U/PW.03 Configureren webserver

Opzet en bestaan

Niet van toepassing

Voldoet

U/PW.05 Toegang tot beheermechanismen

Opzet en bestaan

Niet van toepassing

Voldoet

U/PW.07 Hardening van platformen

Opzet en bestaan

Niet van toepassing

Voldoet

U/NW.03 DMZ

Opzet en bestaan

Niet van toepassing

Voldoet

U/NW.04 Protectie- en detectiemechanismen

Opzet en bestaan

Niet van toepassing

Voldoet

U/NW.05 Scheiding beheer- en productieomgeving

Opzet en bestaan

Niet van toepassing

Voldoet

U/NW.06 Hardening van netwerken

Opzet en bestaan

Voldoet

C.03 Vulnerability-assessments

Opzet en bestaan

Niet van toepassing

Voldoet

C.04 Penetratietesten

Opzet en bestaan

Niet van toepassing

Voldoet

C.06 Signaleringsfuncties

Opzet en bestaan

Niet van toepassing

Voldoet

C.07 Monitoringfuncties

Opzet en bestaan

Niet van toepassing

Voldoet

Werking

Niet van toepassing

Voldoet

C.08 Wijzigingenbeheer

Opzet en bestaan Werking

C.09 Patchmanagement

Voldoet

Opzet en bestaan

Niet van toepassing

Voldoet

Werking

Niet van toepassing

Voldoet

pagina 15 van 15

De tekst is automatisch uit het bestand gehaald en kan afwijken van het origineel (kolommen, tabellen en koppen lopen door elkaar). Het officiële stuk bij de gemeente is leidend. Bron: https://api1.ibabs.eu/publicdownload.aspx?site=Rijswijk&id=dcaa0369-4c49-4fca-93b0-0dca66dd6604