Document · PDF

[22bb008084] Bijlage d behorende bij 22bb8095 - bijlage 1 behorende bij 21bb4969 over Collegeverklaring ENSIA + bijlagen DigiD en Suwinet 21bb4971 GEHEIM OPGEHEVEN

Gemeenteraad 15 december 2022, gemeente RotterdamBij agendapunt: Het voorstel tot opheffing van geheimhouding van twaalf documenten.4.374 woorden

Open het PDF bij de gemeente ↗Naar de vergadering →

Tekst van het document

Uit het bestand gehaald, zonder opmaak, tabellen en afbeeldingen

Collegeverklaring ENSIA 2020 inzake Informatiebeveiliging DigiD en Suwinet Gemeente Rotterdam

p. 1/21

Collegeverklaring ENSIA 2020 inzake Informatiebeveiliging DigiD en Suwinet Gemeentelijk kenmerk collegeverklaring ENSIA:

21bb04968

Gemeente Rotterdam Doel en achtergrond verklaring Het college van burgemeester en wethouders geeft met deze verklaring aan in hoeverre de gemeente Rotterdam voldoet aan de voor DigiD en Suwinet geselecteerde informatiebeveiligingsnormen op basis van de Eenduidige Normatiek Single Information Audit (ENSIA) systematiek. ENSIA ondersteunt de gemeente bij de verantwoording over informatiebeveiliging richting de gemeenteraad en de rijksoverheid. ENSIA gaat uit van de Baseline Informatiebeveiliging Gemeenten (BIG), alsmede van informatiebeveiligingsnormen vanuit Basisregistratie Personen (BRP), wet- en regelgeving reisdocumenten, Digitale persoonsidentificatie (DigiD), Basisregistratie Adressen en Gebouwen (BAG), Basisregistratie Grootschalige Topografie (BGT), Basisregistratie Ondergrond (BRO) en de Gezamenlijke Elektronische Voorzieningen Structuur uitvoeringsorganisatie Werk en Inkomen (GeVS/Suwinet). Naast deze verklaring bestaat ENSIA onder meer uit het uitvoeren van de ENSIA-zelfevaluatie, waarmee de genoemde informatiebeveiligingsnormen zijn getoetst onder verantwoordelijkheid van het management.

Reikwijdte en diepgang verklaring Deze verklaring betreft de onderdelen van de ENSIA-systematiek waarover assurance wordt gevraagd van een onafhankelijke IT-auditor. Het is de verantwoordelijkheid van het college dat het proces voor de totstandkoming van deze collegeverklaring met zorg is uitgevoerd. Dit proces borgt dat de strekking van de collegeverklaring een juiste weergave is van de onderzochte domeinen. Voor gemeente Rotterdam betreft dit in 2020 DigiD en Suwinet. De verklaring omvat het op 31 december 2020 voldoen van de beoogde (opzet) en ingerichte (bestaan) beheersingsmaatregelen aan de geselecteerde normen inzake DigiD en Suwinet. De collegeverklaring omvat niet het functioneren (werking) van de maatregelen over 2020. De beheersingsmaatregelen inzake DigiD die zijn uitbesteed aan dienstverleners] vallen buiten de reikwijdte van deze collegeverklaring. Uit de bijlage bij de collegeverklaring (bijlage 1 DigiD met kenmerk 21bb04968 blijkt welke beheersingsmaatregelen door de gemeente en door de dienstverleners worden uitgevoerd. Over de beheersingsmaatregelen die door de dienstverleners worden uitgevoerd, wordt door de dienstverleners verantwoording afgelegd aan de gemeente. Deze collegeverklaring en de verantwoording van de dienstverleners dekken tezamen de normen inzake DigiD af.

Deze collegeverklaring is opgesteld voor de gemeenteraad en de departementen die toezien op de veiligheid van DigiD en Suwinet. De verklaring geeft weer in hoeverre de beoogde (opzet) en ingerichte (bestaan) beheersingsmaatregelen voldoen aan de geselecteerde normen inzake DigiD en Suwinet. In de bij deze verklaring behorende afzonderlijke bijlagen voor DigiD (bijlage 1 DigiD met kenmerk 21bb04968 en Suwinet (bijlage 2 Suwinet met kenmerk 21bb04968 zijn de eventuele afwijkingen van de normen opgenomen.

p. 2/21

Verklaring college Het college verklaart dat voor DigiD en voor Suwinet nog niet aan alle gestelde normen wordt voldaan. De op de uitzonderingen gerichte beheersmaatregelen zijn in afzonderlijke verbeterplannen opgenomen, zijn belegd en worden gemonitord.

Samenvattend beeld Object

Wordt aan alle geselecteerde normen voldaan?

Zijn de uitzonderingen in verbeterplannen opgenomen en zijn de verbetermaatregelen belegd en worden deze gemonitord?

DigiD 1001269 | MijnKBR

Niet van toepassing

DigiD 1000161 | Mijn Loket

Nee

DigiD 1002211 | Digitaal loket

Niet van toepassing

DigiD 1001749 | Edison

Niet van toepassing

Suwinet DKD Inlezen

Nee

Suwinet

Nee

Rotterdam, 20-04-2021 Burgemeester en Wethouders van Rotterdam, De secretaris,

De burgemeester,

V.J.M. Roozen

A. Aboutaleb Concern Auditing Gemeente Rotterdam

Naam auditfirma: Naam auditor:

Gemeentelijk kenmerk bijlage 1 DigiD:

Bijlage 1 DigiD (1) p. 3/21

21bb04968

Totaaloverzicht getoetste normen ICT-beveiligingsassessment DigiD-aansluiting Gemeente Rotterdam “ Mijn Loket” en aansluitnummer 1000161 Het object van zelfevaluatie is de webomgeving van DigiD aansluiting Gemeente Rotterdam “ mijn Loket”. De zelfevaluatie heeft zich gericht op de webapplicatie, https://sso.ir.rotterdam.nl, de infrastructuur (binnen de DMZ waar de webapplicatie zich bevindt) en een aantal ondersteunende processen conform de “Norm ICT-beveiligingsassessments DigiD” van Logius. Een DigiD-aansluiting dient aan het gehele normenkader te voldoen. Deze zelfevaluatie ENSIA voor DigiD is toegepast op dat deel van het normenkader dat niet onder uitbesteding aan onze leveranciers valt. De overige normen worden afgedekt door onderstaande TPM / assurancerapportage ’s van onze serviceorganisaties: Onze IT-auditor heeft tevens getoetst of de zelfevaluatie het gehele normenkader afdekken. Onderstaande tabel toont de uitkomsten van de zelfevaluatie per norm (Optioneel) DigiD Norm Getoetst bij Totaal oordeel Gemeente Getoetst bij norm leverancier 1 B.05

Contractmanagement

Voldoet

nvt

Voldoet

U/TV.01

Identificatie en authenticate

Voldoet Niet

nvt

Voldoet Niet

U/WA.02 Webapplicatiebeheer proces

Voldoet

nvt

Voldoet

U/WA.03 Automatische data invoer controle

Voldoet

nvt

Voldoet

U/WA.04 Normaliseren uitvoer

Voldoet

nvt

Voldoet

U/WA.05 Cryptografie/ Privacy bevordering

Voldoet Niet

nvt

Voldoet Niet

U/PW.02 Garanderen webprotocollen

Voldoet

nvt

Voldoet

U/PW.03 Configureren webserver

Voldoet Niet

nvt

Voldoet Niet

p. 4/21

U/PW.05 Toegang tot beheermechanismen

Voldoet

nvt

Voldoet

U/PW.07 Hardening van platformen

Voldoet

nvt

Voldoet

U/NW.03 DMZ

Voldoet

nvt

Voldoet

U/NW.04 Protectie- en detectiemechanismen

Voldoet

nvt

Voldoet

U/NW.05 Scheiding beheer- en productieomgeving

Voldoet

nvt

Voldoet

U/NW.06 Hardening van netwerken

Voldoet

nvt

Voldoet

C.03

Vulnerabilityassessments

Voldoet

nvt

Voldoet

C.04

Penetratietesten

Voldoet

nvt

Voldoet

C.06

Signaleringsfuncties

Voldoet

nvt

Voldoet

C.07

Monitoring functies

Voldoet

nvt

Voldoet

C.08

Wijzigingenbeheer

Voldoet

nvt

Voldoet

C.09

Patchmanagement

Voldoet

nvt

Voldoet

DigiD Norm

p. 5/21

B.05

In een contract met een derde partij voor de uitbestede levering of beheer van een webapplicatie (als dienst) zijn de beveiligingseisen en -wensen vastgelegd en op het juiste (organisatorische) niveau vastgesteld.

U/TV.01

De inzet van identiteit- en toegangsmiddelen levert betrouwbare en effectieve mechanismen voor het vastleggen en vaststellen van de identiteit van gebruikers, het toekennen van rechten aan gebruikers, het controleerbaar maken van het gebruik van deze middelen en het automatiseren van arbeidsintensieve taken.

U/WA.02

Het webapplicatiebeheer is procesmatig en procedureel ingericht, waarbij geautoriseerde beheerders op basis van functieprofielen taken verrichten.

U/WA.03

De webapplicatie beperkt de mogelijkheid tot manipulatie door de invoer te normaliseren en te valideren, voordat deze invoer wordt verwerkt.

U/WA.04

De webapplicatie beperkt de uitvoer tot waarden die (veilig) verwerkt kunnen worden door deze te normaliseren.

U/WA.05

De webapplicatie garandeert de betrouwbaarheid van informatie door toepassing van privacybevorderende en cryptografische technieken.

U/PW.02

De webserver garandeert specifieke kenmerken van de inhoud van de protocollen.

U/PW.03

De webserver is ingericht volgens een configuratiebaseline.

U/PW.05

Het beheer van platformen maakt gebruik van veilige (communicatie)protocollen voor het ontsluiten van beheermechanismen en wordt uitgevoerd conform het operationeel beleid voor platformen.

U/PW.07

Voor het configureren van platformen is een hardeningsrichtlijn beschikbaar.

U/NW.03

Het netwerk is gescheiden in fysieke en logische domeinen (zones), in het bijzonder is er een DMZ die tussen het interne netwerk en het internet gepositioneerd is.

U/NW.04

De netwerkcomponenten en het netwerkverkeer worden beschermd door middel van detectie- en protectiemechanismen.

U/NW.05

Binnen de productieomgeving zijn beheer- en productieverkeer van elkaar afgeschermd.

U/NW.06

Voor het configureren van netwerken is een hardeningrichtlijn beschikbaar.

C.03

Vulnerability assessments (security scans) worden procesmatig en procedureel uitgevoerd op de ICTcomponenten van de webapplicatie (scope).

C.04

Penetratietests worden procesmatig en procedureel, ondersteund door richtlijnen, uitgevoerd op de infrastructuur van de webapplicatie (scope).

p. 6/21

C.06

In de webapplicatieomgeving zijn signaleringsfuncties (registratie en detectie) actief en efficiënt, effectief en beveiligd ingericht.

C.07

De loggings- en detectie-informatie (registraties en alarmeringen) en de condities van de beveiliging van ICT-systemen worden regelmatig gemonitord (bewaakt, geanalyseerd) en de bevindingen gerapporteerd.

C.08

Wijzigingenbeheer is procesmatig en procedureel zodanig uitgevoerd dat wijzigingen in de ICTvoorzieningen van webapplicaties tijdig, geautoriseerd en getest worden doorgevoerd.

C.09

Patchmanagement is procesmatig en procedureel, ondersteund door richtlijnen, zodanig uitgevoerd dat laatste (beveiligings)patches tijdig zijn geïnstalleerd in de ICT voorzieningen.

p. 7/21

Bijlage 1 DigiD (2) Totaaloverzicht getoetste normen ICT-beveiligingsassessment DigiD-aansluiting Mijn KBR en aansluitnummer 1001269 Het object van zelfevaluatie is de webomgeving van DigiD aansluiting Mijn KBR. De zelfevaluatie heeft zich gericht op de webapplicatie, de infrastructuur (binnen de DMZ waar de webapplicatie zich bevindt) en een aantal ondersteunende processen conform de “Norm ICT-beveiligingsassessments DigiD” van Logius. Gemeente Rotterdam heeft een deel van de DigiD webomgeving uitbesteed aan Innovadis. Het onderzoeken van deze maatregelen is dan ook uitgevoerd door de IT-auditor van deze service organisatie[s]. De normen waar deze maatregelen betrekking op hebben maken geen onderdeel uit van de zelfevaluatie, tenzij sprake is van een gedeelde norm. Een DigiD-aansluiting dient aan het gehele normenkader te voldoen. Deze zelfevaluatie ENSIA voor DigiD is toegepast op dat deel van het normenkader dat niet onder uitbesteding aan onze leveranciers valt. De overige normen worden afgedekt door onderstaande TPM’s van onze serviceorganisaties: Leverancier 1 Naam serviceorganisatie:

Innovadis

Referentie/rapportnummer:

AAS2020-874

Afgiftedatum:

28-10-2020

Naam RE-auditor:

■■HUH

Ondertekend door RE-auditor:

Leverancier 2 Naam serviceorganisatie:

Previder B.V.

Referentie/rapportnummer:

AAS2020-873

Afgiftedatum:

28 - 10- 2020

Naam RE-auditor: Ondertekend door RE-auditor:

Onze IT-auditor heeft tevens getoetst of de zelfevaluatie en de TPM’s I assurance rapportages van onze serviceorganisaties het gehele normenkader afdekken. Het kan voorkomen dat een norm deels bij een leverancier en deels bij de gemeente getoetst is (zogenaamde gedeelde norm). De uitkomst uit de zelfevaluatie is getoetst door onze RE-gecertificeerde IT-auditor. Onderstaande tabel toont de uitkomsten van de zelfevaluatie per norm DigiD Getoetst bij (Optioneel) (Optioneel) Totaal Norm Gemeente Getoetst bij Getoetst bij oordeel leverancier leverancier norm 1 2 B.05

p. 8/21

Contractmanagem ent

Voldoet

Voldo et

U/TV.0 1

Identificatie en authenticatie

U/WA.0 Webapplicatiebehe er proces 2

Voldoet

Voldo et

Voldoet

Voldo et

U/WA.0 Automatische data 3 invoer controle

U/WA.0 Normaliseren uitvoer 4

U/WA.0 Cryptografie/ 5 Privacy bevordering

U/PW.0 Garanderen 2 webprotocollen

U/PW.0 Configureren Webserver 3

U/PW.0 Toegang tot 5 beheermechanism en

U/PW.0 Hardening van platformen 7

U/NW.0 DMZ 3

U/NW.0 Protectie- en 4 detectiemechanism en

p. 9/21

Voldoet

Voldo et

U/NW.0 Scheiding beheer5 en productieomgeving

U/NW.0 Hardening van 6 netwerken

C.03

Vulnerabilityassessments

C.04

Penetratietesten

C.06

Signaleringsfunctie s

C.07

Monitoring functies

C.08

Wijzigingenbeheer

C.09

Patchmanagement

Voldoet

Voldo et

Voldoet

Voldo et

Hoeft volgens de gemeente en volgens hoofdstuk “verantwoordelijkheden gebruikersorganisatie” van de TPM van de serviceorganisatie niet bij de gemeente getoetst te worden.

DigiD Norm B.05

p. 10/21

In een contract met een derde partij voor de uitbestede levering of beheer van een webapplicatie

(als dienst) zijn de beveiligingseisen en -wensen vastgelegd en op het juiste (organisatorische) niveau vastgesteld. U/TV.01

U/WA.02

Het webapplicatiebeheer is procesmatig en procedureel ingericht, waarbij geautoriseerde beheerders op basis van functieprofielen taken verrichten.

U/WA.03

De webapplicatie beperkt de mogelijkheid tot manipulatie door de invoer te normaliseren en te valideren, voordat deze invoer wordt verwerkt.

U/WA.04

De webapplicatie beperkt de uitvoer tot waarden die (veilig) verwerkt kunnen worden door deze te normaliseren.

U/WA.05

De webapplicatie garandeert de betrouwbaarheid van informatie door toepassing van privacybevorderende en cryptografische technieken.

U/PW.02

De webserver garandeert specifieke kenmerken van de inhoud van de protocollen.

U/PW.03

De webserver is ingericht volgens een configuratiebaseline.

U/PW.05

Het beheer van platformen maakt gebruik van veilige (communicatie)protocollen voor het ontsluiten van beheermechanismen en wordt uitgevoerd conform het operationeel beleid voor platformen.

U/PW.07

Voor het configureren van platformen is een hardeningsrichtlijn beschikbaar.

U/NW.03

Het netwerk is gescheiden in fysieke en logische domeinen (zones), in het bijzonder is er een DMZ die tussen het interne netwerk en het internet gepositioneerd is.

U/NW.04

De netwerkcomponenten en het netwerkverkeer worden beschermd door middel van detectie- en protectiemechanismen.

U/NW.05

Binnen de productieomgeving zijn beheer- en productieverkeer van elkaar afgeschermd.

U/NW.06

Voor het configureren van netwerken is een hardeningrichtlijn beschikbaar.

C.03

Vulnerability assessments (security scans) worden procesmatig en procedureel uitgevoerd op de ICTcomponenten van de webapplicatie (scope).

C.04

Penetratietests worden procesmatig en procedureel, ondersteund door richtlijnen, uitgevoerd op de infrastructuur van de webapplicatie (scope).

p. 11/21

C.06

In de webapplicatieomgeving zijn signaleringsfuncties (registratie en detectie) actief en efficiënt, effectief en beveiligd ingericht.

C.07

C.08

Wijzigingenbeheer is procesmatig en procedureel zodanig uitgevoerd dat wijzigingen in de ICTvoorzieningen van webapplicaties tijdig, geautoriseerd en getest worden doorgevoerd.

C.09

Patchmanagement is procesmatig en procedureel, ondersteund door richtlijnen, zodanig uitgevoerd dat laatste (beveiligings)patches tijdig zijn geïnstalleerd in de ICT voorzieningen.

p. 12/21

Bijlage 1 DigiD (3) Totaaloverzicht getoetste normen ICT-beveiligingsassessment DigiD-aansluiting Edison W&I Rotterdam en aansluitnummer 1001749 Het object van zelfevaluatie is de webomgeving van DigiD aansluiting Edison W&I Rotterdam. De zelfevaluatie heeft zich gericht op de webapplicatie de infrastructuur (binnen de DMZ waar de webapplicatie zich bevindt) en een aantal ondersteunende processen conform de “Norm ICTbeveiligingsassessments DigiD” van Logius. Gemeente Rotterdam heeft een deel van de DigiD webomgeving uitbesteed aan WIGO4iT. Als gevolg hiervan is een aantal maatregelen belegd bij deze service organisatie. Het onderzoeken van deze maatregelen is dan ook uitgevoerd door de IT-auditor van deze service organisatie. De normen waar deze maatregelen betrekking op hebben maken geen onderdeel uit van de zelfevaluatie, tenzij sprake is van een gedeelde norm. Een DigiD-aansluiting dient aan het gehele normenkader te voldoen. Deze zelfevaluatie ENSIA voor DigiD is toegepast op dat deel van het normenkader dat niet onder uitbesteding aan onze leverancier[s] valt. De overige normen worden afgedekt door onderstaande TPM/ assurancerapportage van onze serviceorganisatie: Leverancier 1 Naam serviceorganisatie:

Wigo4it

Referentie/rapportnummer:

AAS2020-867

Afgiftedatum:

01-12-2020

Naam RE-auditor: Ondertekend door RE-auditor:

Onze IT-auditor heeft tevens getoetst of de zelfevaluatie en de TPM Z assurancerapportage van onze serviceorganisatie het gehele normenkader afdekken. Het kan voorkomen dat een norm deels bij een leverancier en deels bij de gemeente getoetst is (zogenaamde gedeelde norm). De uitkomst uit de zelfevaluatie is getoetst door onze RE-gecertificeerde IT-auditor. De conclusie van de auditor is opgenomen in het assurancerapport met kenmerk AAS2020-797 Onderstaande tabel toont de uitkomsten van de zelfevaluatie per norm DigiD Norm Getoetst bij (Optioneel) Gemeente Getoetst bij leverancier 1

Totaal oordeel norm

B.05

Contractmanagement

Voldoet

U/TV.01

Identificatie en authenticatie

Voldoet

U/WA.02

Webapplicatiebeheer proces

Voldoet

p. 13/21

U/WA.03

Automatische data invoer controle

Voldoet

U/WA.04

Normaliseren uitvoer

Voldoet

U/WA.05

Cryptografie/ Privacy bevordering

Voldoet

U/PW.02

Garanderen webprotocollen

Voldoet

U/PW.03

Configureren Webserver

Voldoet Niet

Voldoet

U/PW.05

Toegang tot beheermechanismen

Voldoet

U/PW.07

Hardening van platformen

Voldoet

U/NW.03

DMZ

Voldoet

U/NW.04

Protectie- en detectiemechanismen

Voldoet

U/NW.05

Scheiding beheer- en productieomgeving

Voldoet

U/NW.06

Hardening van netwerken

Voldoet

C.03

Vulnerabilityassessments

Voldoet

C.04

Penetratietesten

Voldoet

C.06

Signaleringsfuncties

Voldoet

p. 14/21

Voldoet

C.07

Monitoring functies

Wijzigingenbeheer

Patchmanagement

Voldoet

Hoeft volgens de gemeente en volgens hoofdstuk “verantwoordelijkheden gebruikersorganisatie” van de TPM van de serviceorganisatie niet bij de gemeente getoetst te worden.

DigiD Norm B.05

U/TV.01

U/WA.02

Het webapplicatiebeheer is procesmatig en procedureel ingericht, waarbij geautoriseerde beheerders op basis van functieprofielen taken verrichten.

U/WA.03

De webapplicatie beperkt de mogelijkheid tot manipulatie door de invoer te normaliseren en te valideren, voordat deze invoer wordt verwerkt.

U/WA.04

De webapplicatie beperkt de uitvoer tot waarden die (veilig) verwerkt kunnen worden door deze te normaliseren.

U/WA.05

De webapplicatie garandeert de betrouwbaarheid van informatie door toepassing van privacy bevorderende en crypto grafische technieken.

U/PW.02

De webserver garandeert specifieke kenmerken van de inhoud van de protocollen.

U/PW.03

De webserver is ingericht volgens een configuratiebaseline.

U/PW.05

Het beheer van platformen maakt gebruik van veilige (communicatie)protocollen voor het ontsluiten van beheermechanismen en wordt uitgevoerd conform het operationeel beleid voor platformen.

p. 15/21

U/PW.07

Voor het configureren van platformen is een hardeningsrichtlijn beschikbaar.

U/NW.03

Het netwerk is gescheiden in fysieke en logische domeinen (zones), in het bijzonder is er een DMZ die tussen het interne netwerk en het internet gepositioneerd is.

U/NW.04

De netwerkcomponenten en het netwerkverkeer worden beschermd door middel van detectie- en protectiemechanismen.

U/NW.05

Binnen de productieomgeving zijn beheer- en productieverkeer van elkaar afgeschermd.

U/NW.06

Voor het configureren van netwerken is een hardeningrichtlijn beschikbaar.

C.03

Vulnerability assessments (security scans) worden procesmatig en procedureel uitgevoerd op de ICTcomponenten van de webapplicatie (scope).

C.04

Penetratietests worden procesmatig en procedureel, ondersteund door richtlijnen, uitgevoerd op de infrastructuur van de webapplicatie (scope).

C.06

In de webapplicatieomgeving zijn signaleringsfuncties (registratie en detectie) actief en efficiënt, effectief en beveiligd ingericht.

C.07

C.08

Wijzigingenbeheer is procesmatig en procedureel zodanig uitgevoerd dat wijzigingen in de ICTvoorzieningen van webapplicaties tijdig, geautoriseerd en getest worden doorgevoerd.

C.09

Patchmanagement is procesmatig en procedureel, ondersteund door richtlijnen, zodanig uitgevoerd dat laatste (beveiliging)patches tijdig zijn geïnstalleerd in de ICT voorzieningen.

p. 16/21

Bijlage 1 DigiD (4) Totaaloverzicht getoetste normen ICT-beveiligingsassessment DigiD-aansluiting Aansluiting Digitaal loket - Gemeente Rotterdam en aansluitnummer 1002211 Het object van zelfevaluatie is de web omgeving van DigiD aansluiting Digitaal Loket (Dimpact). De zelfevaluatie heeft zich gericht op de webapplicatie de infrastructuur (binnen de DMZ waar de webapplicatie zich bevindt) en een aantal ondersteunende processen conform de “Norm ICTbeveiligingsassessments DigiD” van Logius. Gemeente Rotterdam heeft een deel van de DigiD we omgeving uitbesteed aan het bedrijf DIMPACT. Als gevolg hiervan is een aantal maatregelen belegd bij deze serviceorganisatie. Het onderzoeken van deze maatregelen is dan ook uitgevoerd door de IT-auditor van deze serviceorganisatie. De normen waar deze maatregelen betrekking op hebben maken geen onderdeel uit van de zelfevaluatie, tenzij sprake is van een gedeelde norm. Een DigiD-aansluiting dient aan het gehele normenkader te voldoen. Deze zelfevaluatie ENSIA voor DigiD is toegepast op dat deel van het normenkader dat niet onder uitbesteding aan onze leverancier valt. De overige normen worden afgedekt door onderstaande TPM/ assurancerapportage van onze serviceorganisatie: Leverancier 1 Naam serviceorganisatie:

Dimpact

Referentie/rapportnummer:

2011R.AH132

Afgiftedatum:

4- 12-2020

Naam RE-auditor:

WĒ

Ondertekend door RE-auditor:

ĒI Ē IĒ Ē

ĒI

ĒĒI

ĒM

ĒĒĒĒĒĒĒ

Onze IT-auditor heeft tevens getoetst of de zelfevaluatie en de TPM Z assurancerapportage van onze serviceorganisatie[s] het gehele normenkader afdekken. Het kan voorkomen dat een norm deels bij een leverancier en deels bij de gemeente getoetst is (zogenaamde gedeelde norm). De uitkomst uit de zelfevaluatie is getoetst door onze RE-gecertificeerde IT-auditor. De conclusie van de auditor is opgenomen in het assurancerapport. Onderstaande tabel toont de uitkomsten van de zelfevaluatie per norm DigiD Norm Getoetst bij (Optioneel) Gemeente Getoetst bij leverancier 1

Totaal oordeel norm

B.05

Contractmanagement

Voldoet

U/TV.01

Identificatie en authenticatie

Voldoet

U/WA.02 Webapplicatiebeheer proces

p. 17/21

U/WA.03 Automatische data invoer controle

Voldoet

U/WA.04 Normaliseren uitvoer

Voldoet

U/WA.05 Cryptografie/ Privacy bevordering

Voldoet

U/PW.02 Garanderen webprotocollen

U/PW.03 Configureren Webserver

U/PW.05 Toegang tot beheermechanismen

U/PW.07 Hardening van platformen U/NW.03 DMZ

U/NW.04 Protectie- en detectiemechanismen

U/NW.05 Scheiding beheer- en productieomgeving

U/NW.06 Hardening van netwerken

Voldoet

Voldoet Niet

Voldoet

C.03

Vulnerabilityassessments

C.04

Penetratietesten

Voldoet

C.06

Signaleringsfuncties

Voldoet

p. 18/21

C.07

Monitoring functies

C.08

Wijzigingenbeheer

C.09

Patchmanagement

Voldoet

DigiD Norm B.05

U/TV.01

U/WA.02

Het webapplicatiebeheer is procesmatig en procedureel ingericht, waarbij geautoriseerde beheerders op basis van functieprofielen taken verrichten.

U/WA.03

De webapplicatie beperkt de mogelijkheid tot manipulatie door de invoer te normaliseren en te valideren, voordat deze invoer wordt verwerkt.

U/WA.04

De webapplicatie beperkt de uitvoer tot waarden die (veilig) verwerkt kunnen worden door deze te normaliseren.

U/WA.05

De webapplicatie garandeert de betrouwbaarheid van informatie door toepassing van privacy bevorderende en crypto grafische technieken.

U/PW.02

De webserver garandeert specifieke kenmerken van de inhoud van de protocollen.

U/PW.03

De webserver is ingericht volgens een configuratiebaseline.

U/PW.05

Het beheer van platformen maakt gebruik van veilige (communicatie)protocollen voor het ontsluiten van beheermechanismen en wordt uitgevoerd conform het operationeel beleid voor platformen.

U/PW.07

Voor het configureren van platformen is een hardeningsrichtlijn beschikbaar.

U/NW.03

Het netwerk is gescheiden in fysieke en logische domeinen (zones), in het bijzonder is er een DMZ die tussen het interne netwerk en het internet gepositioneerd is.

p. 19/21

U/NW.04

De netwerkcomponenten en het netwerkverkeer worden beschermd door middel van detectie- en protectiemechanismen.

U/NW.05

Binnen de productieomgeving zijn beheer- en productieverkeer van elkaar afgeschermd.

U/NW.06

Voor het configureren van netwerken is een hardeningrichtlijn beschikbaar.

C.03

Vulnerability assessments (security scans) worden procesmatig en procedureel uitgevoerd op de ICTcomponenten van de webapplicatie (scope).

C.04

Penetratietests worden procesmatig en procedureel, ondersteund door richtlijnen, uitgevoerd op de infrastructuur van de webapplicatie (scope).

C.06

In de webapplicatieomgeving zijn signaleringsfuncties (registratie en detectie) actief en efficiënt, effectief en beveiligd ingericht.

C.07

C.08

Wijzigingenbeheer is procesmatig en procedureel zodanig uitgevoerd dat wijzigingen in de ICTvoorzieningen van webapplicaties tijdig, geautoriseerd en getest worden doorgevoerd.

C.09

Patchmanagement is procesmatig en procedureel, ondersteund door richtlijnen, zodanig uitgevoerd dat laatste (beveiliging)patches tijdig zijn geïnstalleerd in de ICT voorzieningen.

p. 20/21

Gemeentelijk kenmerk bijlage 2 Suwinet:

21 bb04968

Bijlage 2 Gebruik van Suwinet

Deze bijlage is een afzonderlijk onderdeel van de collegeverklaring ENSIA 2020 van de gemeente Rotterdam. Deze verklaring heeft betrekking op het op 31 december 2020 in opzet en bestaan voldoen van de beheersingsmaatregelen aan de geselecteerde normen inzake Suwinet (Specifiek Suwinet normenkader Afnemers, versie 1.01 op website BKWI en bijlage 1 van de notitie Verantwoordingsstelsel ENSIA). Deze bijlage is opgesteld voor de gemeenteraad en het Ministerie van Sociale Zaken en Werkgelegenheid. Onderwerp van de verklaring is het gebruik van Suwinet. Suwinet wordt niet in samenwerkingsverbanden gebruikt. Alle Suwinet voorzieningen waar de gemeente gebruik van maakt, zijn opgenomen in de collegeverklaring

Gebruik van Suwinet voor SUWI-taken Voor de volgende taken wordt Suwinet op de volgende plaatsen gebruikt: Taak Organisatie Participatiewet Z IOAW/ IOAZ

binnen de gemeente

Gebruik van Suwinet voor niet-SUWI-taken Voor de volgende niet-SUWI-taken wordt Suwinet op de volgende plaatsen gebruikt: Taak Organisatie Hulp aan vroegtijdig schoolverlaters door Regionaal Meld- en Coördinatiecentrum (RMC)

binnen de gemeente

Onderzoek loonbeslag door Gemeentelijke Belastingdeurwaarders

binnen de gemeente

Adresonderzoek door Burgerzaken

binnen de gemeente

Normnaleving Zoals in de Collegeverklaring vermeld, voldoen de interne beheersmaatregelen inzake Suwinet op 31 december 2020 in opzet en bestaan aan de geselecteerde normen. Met uitzondering van de volgende normen voldoen de interne beheersingsmaatregelen voor de SUWI-taken op 31 december 2020 in opzet en bestaan aan alle geselecteerde normen: Organisatie SUWI Taak BIG-nummer en Applicatie nummer SUWI-norm Gemeente Rotterdam

Participatiewet/IOAW/IOAZ 10.1.1 12.1.1 12.4.1

GUS

Gemeente Rotterdam

Participatiewet/IOAW/IOAZ 6.12 7.2.2

Suwi Inkijk Socrates RMW GUS Edison

Met uitzondering van de volgende normen voldoen de interne beheersingsmaatregelen voor de nietSUWI-taken in opzet en bestaan aan alle geselecteerde normen ONS Gemeente IOAW/IOAZ 12.4.1 Rotterdam

p. 21/21

De tekst is automatisch uit het bestand gehaald en kan afwijken van het origineel (kolommen, tabellen en koppen lopen door elkaar). Het officiële stuk bij de gemeente is leidend. Bron: https://api1.ibabs.eu/publicdownload.aspx?site=RotterdamRaad&id=65994810-7d0d-4f4c-9d17-f4e6abee5e3a