4.1 Collegeverklaring ENSIA 2020 inzake informatiebeveiliging DigiD en Suwinet

Zaak- en documentnummer: Z.051750 / D.169741

Collegeverklaring ENSIA 2020 inzake Informatiebeveiliging DigiD en Suwinet Gemeente West Maas en Waal

Gemeente West Maas en Waal

p. 1/11

Ontvangstdatum: - Documentdatum: 6 april 2021

Zaak- en documentnummer: Z.051750 / D.169741

Collegeverklaring ENSIA 2020 inzake Informatiebeveiliging DigiD en Suwinet Gemeente West Maas en Waal Doel en achtergrond verklaring Het college van burgemeester en wethouders geeft met deze verklaring aan in hoeverre de gemeente West Maas en Waal voldoet aan de voor DigiD en Suwinet geselecteerde informatiebeveiligingsnormen op basis van de Eenduidige Normatiek Single Information Audit (ENSIA) systematiek. ENSIA ondersteunt de gemeente bij de verantwoording over informatiebeveiliging richting de gemeenteraad en de rijksoverheid. ENSIA gaat uit van de Baseline Informatiebeveiliging Gemeenten (BIG), alsmede van informatiebeveiligingsnormen vanuit Basisregistratie Personen (BRP), wet- en regelgeving reisdocumenten, Digitale persoonsidentificatie (DigiD), Basisregistratie Adressen en Gebouwen (BAG), Basisregistratie Grootschalige Topografie (BGT), Basisregistratie Ondergrond (BRO) en de Gezamenlijke Elektronische Voorzieningen Structuur uitvoeringsorganisatie Werk en Inkomen (GeVS/Suwinet). Naast deze verklaring bestaat ENSIA onder meer uit het uitvoeren van de ENSIA-zelfevaluatie, waarmee de genoemde informatiebeveiligingsnormen zijn getoetst onder verantwoordelijkheid van het management.

Reikwijdte en diepgang verklaring Deze verklaring betreft de onderdelen van de ENSIA-systematiek waarover assurance wordt gevraagd van een onafhankelijke IT-auditor. Het is de verantwoordelijkheid van het college dat het proces voor de totstandkoming van deze collegeverklaring met zorg is uitgevoerd. Dit proces borgt dat de strekking van de collegeverklaring een juiste weergave is van de onderzochte domeinen. Voor gemeente West Maas en Waal betreft dit in 2020 DigiD en Suwinet. De verklaring omvat het op 31 december 2020 voldoen van de beoogde (opzet) en ingerichte (bestaan) beheersingsmaatregelen aan de geselecteerde normen inzake DigiD en Suwinet. De collegeverklaring omvat niet het functioneren (werking) van de maatregelen over 2020. De beheersingsmaatregelen inzake DigiD die zijn uitbesteed aan dienstverlener vallen buiten de reikwijdte van deze collegeverklaring. Uit de bijlage bij de collegeverklaring (bijlage 1 DigiD met kenmerk [kenmerk]) blijkt welke beheersingsmaatregelen door de gemeente en door de dienstverlener worden uitgevoerd. Over de beheersingsmaatregelen die door de dienstverlener worden uitgevoerd, wordt door de dienstverlener verantwoording afgelegd aan de gemeente. Deze collegeverklaring en de verantwoording van de dienstverlener dekken tezamen de normen inzake DigiD af.

Inzake Suwinet heeft deze collegeverklaring zowel betrekking op de beheersingsmaatregelen van de gemeente als op die van de uitbestede diensten aan Werkzaak Rivierenland en Belastingsamenwerking Rivierenland (BSR). Deze collegeverklaring is opgesteld voor de gemeenteraad en de departementen die toezien op de veiligheid van DigiD en Suwinet. De verklaring geeft weer in hoeverre de beoogde (opzet) en ingerichte (bestaan) beheersingsmaatregelen voldoen aan de geselecteerde normen inzake DigiD en Suwinet. In de bij deze verklaring behorende afzonderlijke bijlagen voor DigiD (bijlage 1 DigiD) en Suwinet (bijlage 2 Suwinet) zijn de eventuele afwijkingen van de normen opgenomen. De gemeenteraad en de departementen die toezien op de veiligheid van DigiD en Suwinet worden via bij deze collegeverklaring behorende afzonderlijke bijlagen voor DigiD (bijlage 1 DigiD) en voor Suwinet (bijlage 2 Suwinet) geïnformeerd over de afwijkingen van de normen.

Verklaring college p. 2/11

Ontvangstdatum: - Documentdatum: 6 april 2021

Zaak- en documentnummer: Z.051750 / D.169741

Het college verklaart dat bij gemeente West Maas en Waal op 31 december 2020 de beoogde en ingerichte beheersingsmaatregelen voldoen aan de geselecteerde normen inzake DigiD. Voor Suwinet zijn er enkele tekortkomingen geconstateerd, welke als verbetermaatregelen zullen worden belegd. Om specifiek te zijn wordt niet voldaan aan BIO maatregel 5.1.1. inzake het Informatiebeveiligingsbeleid.

Samenvattend beeld Object

Wordt aan alle geselecteerde normen voldaan?

Zijn de uitzonderingen in [een] verbeterplannen] opgenomen en zijn de verbetermaatregelen belegd en worden deze gemonitord?

DigiD 1001389

Ja

Nee

Suwinet voor SUWI-taken

Nee

Ja

Suwinet voor niet-SUWItaken

Nee

Ja

Beneden-Leeuwen, datum: 6 april 2021 Burgemeester en wethouders van West Maas en Waal,

p. 3/11

Ontvangstdatum: - Documentdatum: 6 april 2021

Zaak- en documentnummer: Z.051750 / D.169741

Naam auditfirma:

BKBO BV.

Naam auditor:

drs. M.B.H. IJpelaar RE CEH CISA, directeur

Datum [ondertekenen auditor]

Handtekening of paraaf auditor:

p. 4/11

Ontvangstdatum: - Documentdatum: 6 april 2021

Zaak- en documentnummer: Z.051750 / D.169741

Gemeente West Maas en Waal

Bijlage 1 DigiD (1) Totaaloverzicht getoetste normen ICTbeveiligingsassessment

DigiD-aansluiting Gemeente West Maas en Waal en aansluitnummer 1001389 West Maas en Waal biedt de volgende functionaliteit aan waarvoor DigiD aansluiting Gemeente West Maas en Waal voor authenticatie wordt gebruikt: • Een digitaal loket voor burgers voor onder meer het inzien van gegevens en het indienen van formulieren. Deze functionaliteit wordt geboden door de volgende webapplicatie: • PIP (Persoonlijke Internet Pagina), versie 2.62.0 • SIMform, versie 1.29.0 De bovenstaande webapplicatie bieden de front-end functionaliteit. De volgende modules kunnen, indien afgenomen, geactiveerd zijn: • Mijn Aanslagen • Mijn Belastingen • Mijn Gegevens • Mijn Inkomen • Mijn Taken • Mijn Zaken Deze applicatie betreft geheel standaardsoftware en wordt onderhouden door SIMgroep. Deze applicatie is extern benaderbaar via de volgende URL: https://www.westmaasenwaal.nl/. DigiD aansluiting Gemeente West Maas en Waal bevindt zich in een DMZ. De infrastructuur waar deze applicatie op draait wordt deels beheerd door Amazon in de vorm van Managed services. Het object van zelfevaluatie is de webomgeving van DigiD aansluiting Gemeente West Maas en Waal.

De zelfevaluatie heeft zich gericht op de webapplicatie, de URL waarmee deze kan worden benaderd, de infrastructuur (binnen de DMZ waar de webapplicatie zich bevindt) en een aantal ondersteunende processen conform de “Norm ICT-beveiligingsassessments DigiD’’ van Logius. Gemeente West Maas en Waal heeft een deel van de DigiD webomgeving uitbesteed aan SIM groep. Als gevolg hiervan is een aantal maatregelen belegd bij deze service organisatie. Het onderzoeken van deze maatregelen is dan ook uitgevoerd door de IT auditor van deze service organisatie. De normen waar deze maatregelen betrekking op hebben maken geen onderdeel uit van de zelfevaluatie, tenzij sprake is van een gedeelde norm. Een DigiD-aansluiting dient aan het gehele normenkader te voldoen. Deze zelfevaluatie ENSIA voor DigiD is toegepast op dat deel van het normenkader dat niet onder uitbesteding aan onze leverancier valt. De overige normen worden afgedekt door onderstaande TPM / assurancerapportage van onze serviceorganisatie: Leverancier 1 Naam serviceorganisatie:

SIM Groep

Referentie/rapportnummer:

SIMGR-2001-11.501

Afgiftedatum:

30 september 2020

Naam RE-auditor:

Qbit Assurance/F.W. Hanekamp

p. 5/11

Ontvangstdatum: - Documentdatum: 6 april 2021

Zaak- en documentnummer: Z.051750 / D.169741

Ondertekend door RE-auditor:

Ja

Onze IT-auditor heeft tevens getoetst of de zelfevaluatie en de TPM / assurancerapportage van onze serviceorganisatie het gehele normenkader afdekken. Het kan voorkomen dat een norm deels bij een leverancier en deels bij de gemeente getoetst is (zogenaamde gedeelde norm). De uitkomst uit de zelfevaluatie is getoetst door onze RE-gecertificeerde IT-auditor. De conclusie van de auditor is opgenomen in het assurancerapport met kenmerk SIMGR-2001-11.501. Onderstaande tabel toont de uitkomsten van de zelfevaluatie per norm. DigiD Norm

Getoetst bij Gemeente

(Optioneel) Getoetst bij leverancier 1

Totaal oordeel norm

B.05

Contractmanagement

•

Voldoet

•

Voldoet

•

Voldoet

U/TV.01

Identificatie en authenticatie

•

Voldoet

•

Voldoet

•

Voldoet

•

Voldoet

•

Voldoet

•

Voldoet

U/WA.03 Automatische data invoer controle

•

Voldoet

•

Voldoet

U/WA.04 Normaliseren uitvoer

•

Voldoet

•

Voldoet

•

Voldoet

•

Voldoet

U/PW.02 Garanderen webprotocollen

•

Voldoet

•

Voldoet

U/PW.03 Configureren Webserver

•

Voldoet

•

Voldoet

U/PW.05 Toegang tot beheermechanismen

•

Voldoet

•

Voldoet

U/PW.07 Hardening van platformen

•

Voldoet

•

Voldoet

U/NW.03 DMZ

•

Voldoet

•

Voldoet

U/WA.02 Webapplicatiebeheer proces

U/WA.05 Cryptografie/ Privacy bevordering

•

Voldoet

p. 6/11

Ontvangstdatum: - Documentdatum: 6 april 2021

Zaak- en documentnummer: Z.051750 / D.169741

U/NW.04 Protectie- en detectiemechanismen

•

Voldoet

•

Voldoet

U/NW.05 Scheiding beheer- en productieomgeving

•

Voldoet

•

Voldoet

•

Voldoet

•

Voldoet

U/NW.06 Hardening van netwerken

•

Voldoet

C.03

Vulnerabilityassessments

•

Voldoet

•

Voldoet

C.04

Penetratietesten

•

Voldoet

•

Voldoet

C.06

Signaleringsfuncties

•

Voldoet

•

Voldoet

C.07

Monitoring functies

•

Voldoet

•

Voldoet

C.08

Wijzigingenbeheer

•

Voldoet

•

Voldoet

C.09

Patchmanagement

•

Voldoet

•

Voldoet

•

Voldoet

DigiD Norm B.05

In een contract met een derde partij voor de uitbestede levering of beheer van een webapplicatie (als dienst) zijn de beveiligingseisen en -wensen vastgelegd en op het juiste (organisatorische) niveau vastgesteld.

U/TV.01

De inzet van identiteit- en toegangsmiddelen levert betrouwbare en effectieve mechanismen voor het vastleggen en vaststellen van de identiteit van gebruikers, het toekennen van rechten aan gebruikers, het controleerbaar maken van het gebruik van deze middelen en het automatiseren van arbeidsintensieve taken.

U/WA.02

Het webapplicatiebeheer is procesmatig en procedureel ingericht, waarbij geautoriseerde

p. 7/11

Ontvangstdatum: - Documentdatum: 6 april 2021

Zaak- en documentnummer: Z.051750 / D.169741

beheerders op basis van functieprofielen taken verrichten U/WA.03

De webapplicatie beperkt de mogelijkheid tot manipulatie door de invoer te normaliseren en te valideren, voordat deze invoer wordt verwerkt.

U/WA.04

De webapplicatie beperkt de uitvoer tot waarden die (veilig) verwerkt kunnen worden door deze te normaliseren.

U/WA.05

De webapplicatie garandeert de betrouwbaarheid van informatie door toepassing van privacybevorderende en cryptografische technieken.

U/PW.02

De Webserver garandeert specifieke kenmerken van de inhoud van de protocollen.

U/PW.03

De Webserver is ingericht volgens een configuratiebaseline.

U/PW.05

Het beheer van platformen maakt gebruik van veilige (communicatie)protocollen voor het ontsluiten van beheermechanismen en wordt uitgevoerd conform het operationeel beleid voor platformen.

U/PW.07

Voor het configureren van platformen is een hardeningsrichtlijn beschikbaar.

U/NW.03

Het netwerk is gescheiden in fysieke en logische domeinen (zones), in het bijzonder is er een DMZ die tussen het interne netwerk en het internet gepositioneerd is.

U/NW.04

De netwerkcomponenten en het netwerkverkeer worden beschermd door middel van detectie- en protectiemechanismen.

U/NW.05

Binnen de productieomgeving zijn beheer- en productieverkeer van elkaar afgeschermd.

U/NW.06

Voor het configureren van netwerken is een hardeningrichtlijn beschikbaar.

C.03

Vulnerability assessments (security scans) worden procesmatig en procedureel uitgevoerd op de ICTcomponenten van de webapplicatie (scope).

C.04

Penetratietests worden procesmatig en procedureel, ondersteund door richtlijnen, uitgevoerd op de infrastructuur van de webapplicatie (scope).

C.06

In de webapplicatieomgeving zijn signaleringsfuncties (registratie en detectie) actief en efficiënt, effectief en beveiligd ingericht.

C.07

De loggings- en detectie-informatie (registraties en alarmeringen) en de condities van de beveiliging van ICT-systemen worden regelmatig gemonitord (bewaakt, geanalyseerd) en de bevindingen gerapporteerd.

C.08

Wijzigingenbeheer is procesmatig en procedureel zodanig uitgevoerd dat wijzigingen in de ICTvoorzieningen van webapplicaties tijdig, geautoriseerd en getest worden doorgevoerd.

C.09

Patchmanagement is procesmatig en procedureel, ondersteund door richtlijnen, zodanig uitgevoerd dat

p. 8/11

Ontvangstdatum: - Documentdatum: 6 april 2021

Zaak- en documentnummer: Z.051750 / D.169741

laatste (beveiligings)patches tijdig zijn geïnstalleerd in de ICT voorzieningen.

p. 9/11

Ontvangstdatum: - Documentdatum: 6 april 2021

Zaak- en documentnummer: Z.051750 / D.169741

Bijlage 2 Gebruik van Suwinet Deze bijlage is een afzonderlijk onderdeel van de collegeverklaring ENSIA 2020 van de gemeente West Maas en Waal. Deze verklaring heeft betrekking op het op 31 december 2020 in opzet en bestaan voldoen van de beheersingsmaatregelen aan de geselecteerde normen inzake Suwinet (Specifiek Suwinet normenkader Afnemers, versie 1.01 op website BKWI en bijlage 1 van de notitie Verantwoordingsstelsel ENSIA). Deze bijlage is opgesteld voor de gemeenteraad en het Ministerie van Sociale Zaken en Werkgelegenheid. Onderwerp van de verklaring is het gebruik van Suwinet. Suwinet wordt wel in samenwerkingsverbanden gebruikt. Het gebruik van Suwinet door samenwerkingsverbanden valt binnen de reikwijdte van de verklaring.

Gebruik van Suwinet voor SUWI-taken Voor de volgende taken wordt Suwinet op de volgende plaatsen gebruikt: Taak Organisatie Participatiewet (Pw)

Werkzaak rivierenland

Wet inkomensvoorziening oudere en gedeeltelijk arbeidsongeschikte werkloze werknemers (IOAW)

Werkzaak rivierenland

Wet inkomensvoorziening oudere en gedeeltelijk arbeidsongeschikte gewezen zelfstandigen (IOAZ)

Werkzaak rivierenland

Gebruik van Suwinet voor niet-SUWI-taken Voor de volgende niet-SUWI-taken wordt Suwinet op de volgende plaatsen gebruikt: Taak Organisatie Hulp aan vroegtijdig schoolverlaters door Regionaal Meld- en Coördinatiecentrum (RMC)

Niet van toepassing

Onderzoek loonbeslag door Gemeentelijke Belastingdeurwaarders

Belastingsamenwerking Rivierenland (BSR)

Adresonderzoek door Burgerzaken

Niet van toepassing

Naleving BlO-maatregelen Met uitzondering van de volgende maatregelen voldoen de interne beheersingsmaatregelen voor de SUWI-taken op 31 december 2020 in opzet en bestaan aan de doelstellingen uit de verantwoordingsrichtlijn GeVS 2020: Organisatie

SUWI-taak

BlO-maatregel

Applicatie

Werkzaak Rivierenland

Participatiewet (Pw)

5.1.1. Beleid

Suwinet Inkijk

Organisatie

Niet SUWI-taak

BlO-maatregel

Applicatie

Belastingsamenwerking Rivierenland (BSR)

Onderzoek loonbeslag 5.1.1. Beleid door Gemeentelijke Belastingdeurwaarders

p. 11/11

Ontvangstdatum: - Documentdatum: 6 april 2021

Suwinet Inkijk

Gemeente West Maas en Waal