Document · PDF

4.2.1 ENSIA Bijlage A1 West Maas en Waal DigiD SIM

Gemeenteraad 20 mei 2021, gemeente West Maas en WaalBij agendapunt: a. Ingekomen stukken college en raadscommissies/werkgroepen7.377 woorden

Open het PDF bij iBabs ↗Naar de vergadering →

Tekst van het document

Uit het bestand gehaald, zonder opmaak, tabellen en afbeeldingen

Bijlage A1 Rapport van bevindingen DigiD SIM Aansluitnaam “Gemeente West Maas en Waal” Aansluitnummer “1001389” 30 maart 2021 Rapport BKBO/180820-3/V2/AR

Bijlage A1 - Rapport van bevindingen DigiD SIM Bij een ENSIA opdracht geeft de IT auditor assurance op basis van een attest opdracht volgens richtlijn 3000/A op basis van de collegeverklaring en bijlagen. Hoewel de collegeverklaring het object van controle vormt, is de ingevulde en gedocumenteerde zelfevaluatie uit de ENSIA tool en de bijbehorende bewijsstukken voor de IT auditor het basismateriaal waar elke IT auditor vanuit kan en moet gaan. In het kader van deze assurance opdracht hebben wij de volgende werkzaamheden uitgevoerd: • Het verkrijgen van inzicht in de relevante kenmerken van de DigiD-webomgeving. • Het vaststellen van de scope van het assessment, inclusief het vaststellen van de maatregelen die bij de service organisatie moeten worden onderzocht. • Het houden van (telefonische/video) interviews met verantwoordelijke functionarissen Beaubine Adriaansen, Chief information security officer, vooral gericht op het onderkennen van risico’s en het onderzoek in hoeverre deze risico’s worden afgedekt door maatregelen. • Het inventariseren van de opzet en het vaststellen van het bestaan van de relevante maatregelen. Dit door middel van het kennis nemen van documentatie, het kennis nemen van de resultaten van de uitgevoerde interne controles en uitgevoerde pentesten, alsmede eigen waarnemingen.

• Het analyseren van de uitkomsten van onze werkzaamheden met als doel het geven van oordelen per beveiligingsrichtlijn van de ‘Norm ICT-beveiligingsassessments DigiD’ van Logius. Hieronder treft u een korte beschrijving van de uitgevoerde werkzaamheden en onze oordelen ter verbetering van de DigiD-webomgeving. Onze oordelen zijn verwoord als voldoet/voldoet niet (met reden) per beveiligingsrichtlijn. Om de leesbaarheid van dit rapport te vergroten zijn de conclusies in deze tabel weergegeven als “voldoet” of “voldoet niet”. Hierbij moet “voldoet” worden geïnterpreteerd als “Wij zijn van oordeel dat de interne beheersingsmaatregelen die verband houden met de op die regel aangegeven beveiligingsrichtlijn volgens de criteria genoemd in hoofdstuk 2 in alle materiële opzichten effectief zijn”. “Voldoet niet” moet worden geïnterpreteerd als “Wij zijn van oordeel dat de interne beheersingsmaatregelen die verband houden met de op die regel aangegeven beveiligingsrichtlijn volgens de criteria genoemd in hoofdstuk 2 niet in alle materiële opzichten effectief zijn”. De uitspraak “voldoet” of “voldoet niet” beperkt zich tot de eigen oordeelsvorming van de auditor.

Ons onderzoek was namelijk beperkt tot de beveiligingsrichtlijnen die de verantwoordelijkheid zijn van de opdrachtgever en waarvan de auditor van de serviceorganisatie heeft aangegeven 210330 ENSIA Bijlage A1 West Maas En Waal Digid SIM (1.0) © Copyright 2020 BKBO b.v. Alle rechten zijn voorbehouden. Reproductie zonder schriftelijke toestemming van de eigenaar is verboden. Wanneer u vragen heeft over dit document kunt u zich 1 van 18 richten tot BKBO 073-2110337

Bijlage A1 Rapport van bevindingen DigiD SIM Aansluitnaam “Gemeente West Maas en Waal” Aansluitnummer “1001389” 30 maart 2021 Rapport BKBO/180820-3/V2/AR

dat, om te voldoen aan deze beveiligingsrichtlijnen, interne beheersingsmaatregelen door de gebruikersorganisaties dienen worden geïmplementeerd. In Bijlage 1 bij de Collegeverklaring is ten dienste van Logius door de gemeente een totaaloverzicht opgenomen van de door ons onderzochte normen en de normen die door de IT-auditor van de serviceorganisatie zijn onderzocht. Uitdrukkelijk merken wij op dat we geen onderzoek hebben uitgevoerd naar de juistheid van de oordelen die zijn vermeld in de TPM van de serviceorganisatie. Wij kunnen dan ook geen verantwoordelijkheid nemen m.b.t. de in die rapportage vermelde oordelen. Ingeval van een geldige TPM, verwijzen wij -daar waar richtlijnen zijn onderzocht door de IT auditor van de dienstverlener SIMgroep, naar het rapport en onderzoeksresultaten van SIMgroep. Indien bij een beveiligingsrichtlijn wel voldaan is aan de opzet van de interne beheersmaatregel, maar het bestaan niet vastgesteld kan worden omdat de relevante gebeurtenis zich niet heeft voorgedaan tijdens de uitvoering van de audit, dan is er sprake van “non-occurence en wordt dit weergegeven als “voldoet”. In een voetnoot wordt de volgende zin opgenomen: ‘‘Wij hebben vastgesteld dat deze organisatie maatregelen heeft ontworpen en ingericht met betrekking tot deze norm en hebben deze gevalideerd.

Vanwege het feit dat zich geen situatie heeft voorgedaan waarop deze maatregel betrekking heeft, hebben wij het bestaan niet kunnen vaststellen. Wij zijn echter van oordeel dat de organisatie voldoet aan deze norm.”

B.05

Beschrijving van de beveiligingsrichtlijn

Uitgevoerde werkzaamheden

Oordeel

Aanbevelingen en/of opmerkingen

In een contract met een derde partij voor de uitbestede levering of beheer van een webapplicatie (als dienst) zijn de beveiligingseisen en -wensen vastgelegd en op het juiste (organisatorische) niveau vastgesteld.

Er is kennis genomen van de door de gemeente West Maas en Waal overlegde Third Party Mededeling. Deze TPM is beoordeeld als geldig en actueel. Hierbij wordt “gesteund” op de TPM van SIMgroep.

Voldoet

Doelstelling: Het handhaven van het beveiligingsniveau, wanneer de verantwoordelijkheid voor de ontwikkeling en/of het beheer van de webapplicatie is uitbesteed aan een andere organisatie.

Onderzoek van de door de gemeente West Maas en Waal aangeleverde documenten plus het uitvoeren van gerichte deelwaarnemingen.

Vastgesteld is dat er een formele overeenkomst is, welke op het juiste (organisatorische) niveau is vastgesteld/geaccordeerd tussen de gemeente West Maas en Waal en leverancier met als doel te garanderen dat er geen misverstanden bestaan tussen betrokken partijen. Geconstateerd is dat in het contract c.q. de bijlagen met SIMgroep het volgende is opgenomen: • de van toepassing zijnde leveringsvoorwaarden; • informatiebeveiligingseisen met de relevante eisen vanuit het beveiligingsbeleid;

210330 ENSIA Bijlage A1 West Maas En Waal Digid SIM (1.0) © Copyright 2020 BKBO b.v. Alle rechten zijn voorbehouden. Reproductie zonder schriftelijke toestemming van de eigenaar is verboden. Wanneer u vragen heeft over dit document kunt u zich 2 van 18 richten tot BKBO 073-2110337

Bijlage A1 Rapport van bevindingen DigiD SIM Aansluitnaam “Gemeente West Maas en Waal” Aansluitnummer “1001389” 30 maart 2021 Rapport BKBO/180820-3/V2/AR

Beschrijving van de beveiligingsrichtlijn Betrokken rol(len): • Applicatie-, hosting- of SAAS leverancier. • Houder van de DigiD-aansluiting. Scope: •

De contracten en/of Service Level Agreements voor de levering hosting-, applicatie- of SAAS diensten.

Uitleg: De gemeente West Maas en Waal dient een, door beide partijen ondertekend, contract te hebben waarin tenminste de volgende zaken zijn opgenomen: • een beschrijving van de te leveren diensten die onder het contract vallen; • de van toepassing zijnde leveringsvoorwaarden; • informatiebeveiligingseisen met de relevante eisen vanuit het beveiligingsbeleid; • het melden van beveiligingsincidenten; • de behandeling van gevoelige gegevens; • wanneer en hoe de leverancier toegang tot de systemen/ data van de gebruikersorganisatie mag hebben; • Service Level Reporting; • het jaarlijks uitvoeren van audits bij de leverancier(s); • een beding dat deze voorwaarden back-to-back worden doorgegeven aan mogelijke sub-leveranciers.

Uitgevoerde werkzaamheden

Oordeel

Aanbevelingen en/of opmerkingen • • • • • •

het melden van beveiligingsincidenten en datalekken; de behandeling van gevoelige gegevens; wanneer en hoe de leverancier toegang tot de systemen/ data van de gebruikersorganisatie mag hebben; Service Level Reporting; het jaarlijks uitvoeren van audits bij de leverancier(s); een beding dat deze voorwaarden back-to-back worden doorgegeven aan mogelijke sub-leveranciers.

SIMgroep verwerkt persoonsgegevens in de zin van de Algemene Verordening Gegevensbescherming. Er is een verwerkersovereenkomst in de zin van AVG opgesteld en geformaliseerd tussen partijen. Er is een rapportage aangeleverd over de prestaties van SIMgroep. SIMGroep heeft naar eigen zeggen verschillende processen ingericht om ervoor te zorgen dat webapplicaties en diensten voldoen aan de eisen met betrekking tot het ontwikkelen webapplicaties: •

•

“Secure System Engineering Principles”: dit zijn de principes die worden gehanteerd binnen software development en hosting in het kader van informatiebeveiliging binnen SIM. Deze principes zijn als baseline gedefinieerd. “Definition of Done”: de definition of done beschrijft de randvoorwaarden waaraan een oplevering moet voldoen voordat deze in productie genomen kan worden. Software development vindt plaats aan de hand van de agile software developmentmethode Scrum. Code review maakt hier ook onderdeel van uit. “Team-versus-Team”: om de naleving van werkinstructies te borgen en te controleren, vindt minimaal tweemaal per jaar een team versus team controle plaats. Het doel van deze controle is het aanwijzen van zaken die verbetering behoeven per team. Naast het ontvangen van feedback, zorgt het zelf uitvoeren van deze controle naar andere teams ook voor awareness van de werkafspraken. “Vulnerability scans”: Vulnerability scans worden dagelijks zowel vanuit een extern als een intern perspectief uitgevoerd. Hierbij wordt gebruikt gemaakt van: o McAfee secure (extern) o Pkg-audit (intern) o SSL labs TLS scan (extern).

Bijlage A1 Rapport van bevindingen DigiD SIM Aansluitnaam “Gemeente West Maas en Waal” Aansluitnummer “1001389” 30 maart 2021 Rapport BKBO/180820-3/V2/AR

Beschrijving van de beveiligingsrichtlijn

Uitgevoerde werkzaamheden

Oordeel

Aanbevelingen en/of opmerkingen Daarnaast wordt gebruik gemaakt van de volgende mailing-lists om vulnerabilities te ontdekken: o IBD waarschuwingsdienst o OSS-security o Seclists.org o “Pentesten”: pentesten worden uitgevoerd. Zeker in kader van DigiD assessment minimaal 1x per jaar met scope van de NCSC richtlijnen. Aanbevelingen voor de gemeente West Maas en Waal: • •

•

U/TV.01

De inzet van identiteit- en toegangsmiddelen levert betrouwbare en effectieve mechanismen voor het vastleggen en vaststellen van de identiteit van gebruikers, het toekennen van rechten aan gebruikers, het controleerbaar maken van het gebruik van deze middelen en het automatiseren van arbeidsintensieve taken. Doelstelling: Het efficiënter maken van het identiteit- en toegangsbeheer en zorgen dat functies en gegevens uitsluitend beschikbaar worden gesteld aan diegenen waarvoor deze bedoeld zijn als waarborg voor vertrouwelijkheid en integriteit. Betrokken rol(len): • Applicatie-, hosting- of SAAS leverancier. • Houder van de DigiD-aansluiting.

Er is kennis genomen van de door de opdrachtgever overlegde Third Party Mededeling. Deze TPM is beoordeeld als geldig en actueel. Hierbij wordt “gesteund” op de TPM van SIMgroep. Onderzoek van de door de gemeente West Maas en Waal aangeleverde documenten plus het uitvoeren van gerichte deelwaarnemingen.

Voldoet

Aanvullen van de SLA met afspraken over het zorgdragen voor uitwijk bij een calamiteit. Aanvullen van de SLA met afspraken over het minimaal jaarlijks laten uitvoeren van broncode reviews op de webapplicatie door het gebruik van codereview tools door een erkende onafhankelijke partij (Register EDP auditor). Aanvullen van de SLA met afspraken over het opvragen van rapportages over uitgevoerde audits, tests, certificeringen bij SIMgroep om de prestaties van SIMgroep op basis van externe bronnen te kunnen beoordelen.

De gemeente West Maas en Waal heeft de ontwikkeling, beheer en het onderhoud van de webapplicatie plus het beheer van de infrastructuur uitbesteed aan de serviceorganisatie SIMgroep. Hiervoor geldt de TPM. Vastgesteld is op basis van de TPM dat wachtwoorden niet in leesbare vorm worden opgeslagen. Vastgesteld is dat er een relevante procedurebeschrijving is met betrekking tot toegangsbeveiliging (identiteit- en toegangsbeheer) voor de DigiD applicatie inclusief het controleren van de accounts en de bijbehorende autorisaties. Tevens is vastgesteld dat een strikt wachtwoordbeleid is geïmplementeerd. In een wachtwoordbeleid worden de minimale wachtwoordlengte, lengte van de wachtwoordhistorie, complexiteit van het wachtwoord en account lock-outs vastgelegd. Er zijn actuele overzichten beschikbaar van geautoriseerde beheerders en eindgebruikers.

Bijlage A1 Rapport van bevindingen DigiD SIM Aansluitnaam “Gemeente West Maas en Waal” Aansluitnummer “1001389” 30 maart 2021 Rapport BKBO/180820-3/V2/AR

Beschrijving van de beveiligingsrichtlijn

Uitgevoerde werkzaamheden

Oordeel

Alle accounts waarbij dat mogelijk is, kunnen tot individuen worden herleid. Het systeem is niet toegankelijk op basis van ‘anonieme’ accounts zoals een gastaccount of standaard bij installatie gebruikte accounts. Ongebruikte en standaard aanwezige accounts zijn inmiddels verwijderd of geblokkeerd.

Scope: • De DigiD webapplicatie., DigiD webservers en beheerinterfaces van de firewalls, routers, IDS/IPS, etc.

Er is een autorisatiematrix, waarin tot uitdrukking komt welke autorisaties aan welke beheerrollen (b.v. administrator, publicist, auteur, redacteur) zijn toegekend.

Uitleg: De focus ligt op de beheerprocessen. Dit betreft enerzijds toegang tot de DigiDapplicatie en anderzijds toegang tot de DigiD webservers en de firewalls, IDS/IPS, etc. die een koppeling hebben met de DigiD omgeving. Aandachtspunten hierbij zijn: • Toekennen, controleren en intrekken van autorisaties • Eisen aan wachtwoordinstellingen. • Aantoonbare controle op joiners/movers/leavers. • Wijzigen van de standaard wachtwoorden van administrator accounts. • Beperken eventuele shared accounts. • Uitvoeren periodieke reviews.

Er worden minimaal jaarlijks periodieke reviews uitgevoerd om te onderzoeken of de autorisatiematrix correct en volledig is. Onvolkomenheden worden meteen opgelost. Het controleren van de accounts en de bijbehorende autorisaties is daadwerkelijk gebeurd. Alle beheerders/gebruikers zijn nog in dienst dan wel ingehuurd. De gemeente West Maas en Waal maakt gebruik van SIMiam, de Identity & Access management tool van SIM. Hiermee kan voldaan worden aan de BIO door o.a. 2-stap verificatie, sign-on policies, logging etc. Voor alle gebruikers is Two factor authenticatie gerealiseerd. Two factor authentication vereist twee of meer authenticatiemiddelen (factoren), deze zijn: • Iets wat de gebruiker weet, • iets wat de gebruiker heeft, • iets wat de gebruiker is.

Specifieke aandacht gaat uit naar wachtwoorden die leveranciers hebben om toegang tot de systemen of data van de houder van de DigiD aansluiting te krijgen (wie hebben die wachtwoorden, hoe worden die opgeslagen en wie hebben toegang. Hoe vaak worden ze gewijzigd). U/WA.02

Het webapplicatiebeheer is procesmatig en procedureel ingericht, waarbij geautoriseerde beheerders op basis van functieprofielen taken verrichten. Doelstelling: Effectief en veilig realiseren van de dienstverlening.

Aanbevelingen en/of opmerkingen

Aanbeveling voor de gemeente West Maas en Waal: •

Er is kennis genomen van de door de gemeente West Maas en Waal overlegde Third Party Mededeling. Deze TPM is beoordeeld als geldig en actueel. Hierbij wordt “gesteund” op de TPM van SIMgroep.

Voldoet

Monitor of er pogingen worden gedaan tot (ongeoorloofde) toegang, en log daarom elke aanmelding. Maak via rapportagetools een overzicht met “foutieve aanmeldingen” en de “geslaagde aanmeldingen”.

De gemeente West Maas en Waal heeft de ontwikkeling, beheer en het onderhoud van de webapplicatie plus het beheer van de infrastructuur uitbesteed aan de serviceorganisatie SIMgroep. Hiervoor geldt de TPM. Het webapplicatiebeheer is procesmatig en procedureel zowel qua opzet als bestaan door de de gemeente West Maas en Waal ingericht en bestaat vooral uit autorisatie en contentbeheer. Taken, verantwoordelijkheden en bevoegdheden

Bijlage A1 Rapport van bevindingen DigiD SIM Aansluitnaam “Gemeente West Maas en Waal” Aansluitnummer “1001389” 30 maart 2021 Rapport BKBO/180820-3/V2/AR

Beschrijving van de beveiligingsrichtlijn

Uitgevoerde werkzaamheden

Betrokken rol(len): • Applicatie of SAAS leverancier. • Houder van de DigiD-aansluiting.

Onderzoek van de door de gemeente West Maas en Waal aangeleverde documenten plus het uitvoeren van gerichte deelwaarnemingen.

Scope: • De DigiD webapplicatie.

Uitleg: Deze norm richt zich meer op de procesmatige aspecten van het functioneel en het applicatiebeheer. Aandachtspunten hierbij zijn: • Beschrijving van taken, verantwoordelijkheden en bevoegdheden van de verschillende beheerrollen. • Een incidentenprocedure is opgesteld. • Meldingen van het NCSC of IBD of ZCERT of andere CERTS worden geanalyseerd en zo nodig opgevolgd. • Incidenten worden geregistreerd, geanalyseerd, opgevolgd en afgehandeld. • Er is een periodieke rapportage aan het management inzake beveiligingsincidenten.

Oordeel

Aanbevelingen en/of opmerkingen zijn beschreven. Op basis van functieprofielen verrichten beheerders beheertaken. Op basis van de door de gemeente West Maas en Waal aangeleverde evidence, vragen we ons af of het functioneel beheer bij in de praktijk adequaat is geregeld. Goed ingericht functioneel beheer is essentieel voor een voorspelbare IT dienstverlening. Functioneel beheerders moeten: • •

• • •

Voldoende tijd hebben om het applicatieportfolio te kunnen beheren. Voldoende kwaliteit hebben om het applicatieportfolio te kunnen beheren. Dit betekent dat functioneel beheerders goed zijn opgeleid en niet alleen in de vorm van een “knoppencursus” voor de applicatie zelf, maar ook van de werkprocessen die er mee worden ondersteund om de behoefte aan IT ondersteuning te kunnen verwoorden en op lange termijn vorm te kunnen geven. Voldoende kennis hebben van functioneel beheer als evident belangrijke rol in de gebruikersorganisatie. Een opleiding BiSL (Business Information Services Library (BiSL) is daarbij o.i. van belang. Regelmatig overleg hebben met andere beheerders om ervaringen uit te wisselen, organisatiebrede applicaties en andere IT problemen te analyseren en van een oplossingsrichting te voorzien. Een directe ingang hebben bij de proceseigenaar om deze te kunnen ondersteunen bij zijn of haar rol om de informatievoorziening en ICTdienstverlening vanuit een gebruiksoptiek aan te kunnen sturen.

Er is een incidentenprocedure opgesteld, waarbij o.a. meldingen vanuit de eigen organisatie, het NCSC of IBD of Z-CERT of andere CERTS worden geanalyseerd en zo nodig opgevolgd. Incidenten worden geregistreerd, geanalyseerd, opgevolgd en afgehandeld. Daarnaast is er een periodieke rapportage aan het management inzake beveiligingsincidenten. Aanbevelingen voor de gemeente West Maas en Waal: •

•

Mogelijk wordt deze beveiligingsrichtlijn in de toekomst ook op “werking” onderzocht, hetgeen betekent dat u de afhandeling een nader te bepalen periode voorafgaand aan het assessment achteraf dient aan te kunnen tonen. Zorg dat het beheren van de operationele websites aantoonbaar onderdeel is van het proces “wijzigingsbeheer” en voer periodiek (= minimaal jaarlijks) controles uit of de operationele websites nog worden gebruikt en/of verouderde informatie kan worden verwijderd en/of bestaande koppelingen met midoffice systemen of webservices kunnen vervallen.

Bijlage A1 Rapport van bevindingen DigiD SIM Aansluitnaam “Gemeente West Maas en Waal” Aansluitnummer “1001389” 30 maart 2021 Rapport BKBO/180820-3/V2/AR

Beschrijving van de beveiligingsrichtlijn

Uitgevoerde werkzaamheden

Oordeel

Aanbevelingen en/of opmerkingen • •

U/WA.03

De webapplicatie beperkt de mogelijkheid tot manipulatie door de invoer te normaliseren en te valideren, voordat deze invoer wordt verwerkt. Doelstelling: Voorkom (on)opzettelijke manipulatie van de webapplicatie, waardoor de vertrouwelijkheid, integriteit en/of beschikbaarheid van de webapplicatie aangetast worden.

Voer periodiek controles uit of koppelingen met mid- of backofficesystemen nog adequaat functioneren. Versterk het functioneel beheer. Draag zorg voor goed opgeleide medewerkers (BiSL) en stel een functioneel beheerhandboek samen en dwing af dat dit wordt toegepast.

Er is kennis genomen van de door de gemeente West Maas en Waal overlegde Third Party Mededeling. Deze TPM is beoordeeld als geldig en actueel. Hierbij wordt “gesteund” op de TPM van SIMgroep.

Voldoet

Er is kennis genomen van de door de gemeente West Maas en Waal overlegde Third Party Mededeling. Deze TPM is beoordeeld als geldig en actueel. Hierbij wordt “gesteund” op de TPM van SIMgroep.

Voldoet

Er is kennis genomen van de door de gemeente West Maas en Waal overlegde Third Party Mededeling. Deze TPM is beoordeeld als geldig en actueel. Hierbij

Voldoet

Betrokken rol(len): • Applicatie- of SAAS leverancier. Scope: De DigiD webapplicatie en webserver De webapplicatie beperkt de uitvoer tot waarden die (veilig) verwerkt kunnen worden door deze te normaliseren. • U/WA.04

Doelstelling: •

Voorkom manipulatie van het systeem van andere gebruikers.

Betrokken rol(len): • Applicatie- of SAAS leverancier.

U/WA.05

Scope: • De DigiD webapplicatie. De webapplicatie garandeert de betrouwbaarheid van informatie door

Bijlage A1 Rapport van bevindingen DigiD SIM Aansluitnaam “Gemeente West Maas en Waal” Aansluitnummer “1001389” 30 maart 2021 Rapport BKBO/180820-3/V2/AR

Beschrijving van de beveiligingsrichtlijn

Uitgevoerde werkzaamheden

toepassing van privacy bevorderende en cryptografische technieken.

wordt “gesteund” op de TPM van SIMgroep.

SIMgroep heeft een adequate gegevens- en risicoanalyse uitgevoerd en daarin vastgesteld dat:

Onderzoek van de door de gemeente West Maas en Waal aangeleverde documenten plus het uitvoeren van gerichte deelwaarnemingen.

•

Doelstelling: •

Gegevens in opslag en transport beschermen tegen ongeautoriseerde kennisname en manipulatie.

Betrokken rol(len): • Applicatie-, hosting- of SAAS leverancier. • Houder van de DigiD-aansluiting. Scope: • De DigiD webapplicatie en webserver en bijbehorende infrastructuur.

Uitleg: Deze norm raakt diverse aspecten van privacybevorderende en cryptografische technieken. Dit betreft de classificatie van gegevens, de encryptie van gevoelige gegevens tijdens de opslag en de encryptie van gegevens tijdens transport. Aandachtspunten hierbij zijn: • de classificatie van gegevens door de houder van de DigiD aansluiting op basis van een risico analyse; • mogelijke versleuteling of hashing van gevoelige gegevens. Het gaat hier in ieder geval om het BSN als bijzonder persoonsgegeven. Overigens geldt dit alleen voor gegevens die in dezelfde DMZ worden opgeslagen als waar de webapplicatie draait. Gegevens in de backoffice vallen buiten de scope van dit onderzoek; • de HTTPS configuratie en de TLS configuratie. TLS kent veilige en minder veilige instellingen. Het NCSC

Oordeel

Aanbevelingen en/of opmerkingen

• • • •

Er (bijzondere of daaraan gelijkgestelde) persoonsgegevens worden verwerkt. Er persoonsgegevens buiten de scope van het DigiD assessment worden opgeslagen. Er dus geen bijzondere persoonsgegevens worden opslagen binnen de scope. Er alleen persoonsgegevens worden gecached gedurende de verbinding tussen de browser van betrokkene en het digitaal loket. De risico’s in voldoende mate worden beperkt doordat de berichten via de webapplicatie direct worden doorgestuurd via beveiligd berichtenverkeer naar een apart netwerkdomein buiten de scope van het DigiD assessment.

De gemeente West Maas en Waal heeft ook zelf een risicoanalyse uitgevoerd en de verwerkte persoonsgegevens geclassificeerd. Er is geconstateerd voor de webserver dat de HTTPS en de TLS configuratie aan de meest recente industriestandaard voldoet. Aanbevelingen voor de gemeente West Maas en Waal: •

•

Ga na of het authenticatieniveau van DigiD dat u voor uw dienst gebruikt nog wel passend is bij de vertrouwelijkheid van de gegevens die worden uitgewisseld. Gebruik hiervoor de Regelhulp Betrouwbaarheidsniveaus voor digitale dienstverlening. Hiermee kan een beredeneerde keuze worden gemaakt voor het juiste betrouwbaarheidsniveau voor digitale diensten. De Regelhulp is gebaseerd op de handreiking Betrouwbaarheidsniveaus voor digitale dienstverlening van Forum Standaardisatie. De aanwezigheid van uw organisatie op het internet is veel omvangrijker dan alleen de door ons beoordeelde DigiD aansluiting. Ga via https://basisbeveiliging.nl/#/reports na welke mogelijke kwetsbaarheden er op andere URL’s van uw organisatie zijn en draag zorg voor het oplossen ervan.

Bijlage A1 Rapport van bevindingen DigiD SIM Aansluitnaam “Gemeente West Maas en Waal” Aansluitnummer “1001389” 30 maart 2021 Rapport BKBO/180820-3/V2/AR

Beschrijving van de beveiligingsrichtlijn

Uitgevoerde werkzaamheden

Oordeel

Aanbevelingen en/of opmerkingen

Er is kennis genomen van de door de gemeente West Maas en Waal overlegde Third Party Mededeling. Deze TPM is beoordeeld als geldig en actueel. Hierbij wordt “gesteund” op de TPM van SIMgroep.

Voldoet

Er is kennis genomen van de door de gemeente West Maas en Waal overlegde Third Party Mededeling. Deze TPM is beoordeeld als geldig en actueel. Hierbij wordt “gesteund” op de TPM van SIMgroep.

Voldoet

maakt onderscheid in ‘Goede’, ‘Voldoende’ en ‘Onvoldoende’ instellingen2. Voor de DigiD webserver geldt dat minimaal de op dat moment als ‘Voldoende’ bestempelde instellingen vereist zijn. Compromittering of verlies van cryptografische sleutels kan de vertrouwelijkheid, authenticiteit en/of integriteit van informatie in gevaar brengen. Deze compromittering is te vergelijken met de recente Heart Bleed bug in OpenSSL. Criminelen kunnen via de private key een valse website in de lucht brengen die doet alsof hij de originele website is, compleet dus met een volledig betrouwbare versleutelde verbinding.

U/PW.02

De webserver garandeert specifieke kenmerken van de inhoud van de protocollen. Doelstelling: Voorkom inzage, wijziging of verlies van gegevens door manipulatie van de logica van de webserver of webapplicatie. Betrokken rol(len): • Applicatie-, hosting- of SAAS leverancier. Scope: •

U/PW.03

De webserver

De webserver is ingericht volgens een configuratie-baseline. Doelstelling: Ongewenste vrijgave van informatie tot een minimum beperken, met name waar het

Bijlage A1 Rapport van bevindingen DigiD SIM Aansluitnaam “Gemeente West Maas en Waal” Aansluitnummer “1001389” 30 maart 2021 Rapport BKBO/180820-3/V2/AR

Beschrijving van de beveiligingsrichtlijn

Uitgevoerde werkzaamheden

Oordeel

Aanbevelingen en/of opmerkingen

Er is kennis genomen van de door de gemeente West Maas en Waal overlegde Third Party Mededeling. Deze TPM is beoordeeld als geldig en actueel. Hierbij wordt “gesteund” op de TPM van SIMgroep.

Voldoet

Er is kennis genomen van de door de gemeente West Maas en Waal overlegde Third Party Mededeling. Deze TPM is beoordeeld als geldig en actueel. Hierbij wordt “gesteund” op de TPM van SIMgroep.

Voldoet

gaat om informatie die inzicht geeft in de opbouw van de beveiliging. Betrokken rol(len): • Applicatie-, hosting- of SAAS leverancier. Scope: •

U/PW.05

De webserver.

Het beheer van platformen maakt gebruik van veilige (communicatie)protocollen voor het ontsluiten van beheermechanismen en wordt uitgevoerd conform het operationeel beleid voor platformen. Doelstelling: Voorkomen van misbruik van beheervoorzieningen. Betrokken rol(len): • Hosting- of SAAS leverancier. Scope: •

U/PW.07

De webserver en andere servers in het DMZ van de DigiD webapplicatie.

Voor het configureren van platformen is een hardeningsrichtlijn beschikbaar. Doelstellingen: Beperken van de functionaliteit tot hetgeen noodzakelijk is voor het correct functioneren van de geleverde ICTdiensten. Betrokken rol(len): • Hosting- of SAAS leverancier. Scope: •

De webserver en andere servers in het DMZ van de DigiD webapplicatie.

Bijlage A1 Rapport van bevindingen DigiD SIM Aansluitnaam “Gemeente West Maas en Waal” Aansluitnummer “1001389” 30 maart 2021 Rapport BKBO/180820-3/V2/AR

U/NW.03

Beschrijving van de beveiligingsrichtlijn

Uitgevoerde werkzaamheden

Oordeel

Aanbevelingen en/of opmerkingen

Het netwerk is gescheiden in fysieke en logische domeinen (zones), in het bijzonder is er een DMZ die tussen het interne netwerk en het internet gepositioneerd is.

Er is kennis genomen van de door de gemeente West Maas en Waal overlegde Third Party Mededeling. Deze TPM is beoordeeld als geldig en actueel. Hierbij wordt “gesteund” op de TPM van SIMgroep.

Voldoet

Er is kennis genomen van de door de gemeente West Maas en Waal overlegde Third Party Mededeling. Deze TPM is beoordeeld als geldig en actueel. Hierbij wordt “gesteund” op de TPM van SIMgroep.

Voldoet

Er is kennis genomen van de door de gemeente West Maas en Waal overlegde Third Party Mededeling. Deze TPM is beoordeeld als geldig en actueel. Hierbij wordt “gesteund” op de TPM van SIMgroep.

Voldoet

Doelstelling: Een beveiligde (of robuuste) netwerkinfrastructuur bieden voor de bedrijfstoepassingen. Betrokken rol(len): • Hosting- of SAAS leverancier. Scope: • U/NW.04

Het DMZ van de DigiD webapplicatie.

De netwerkcomponenten en het netwerkverkeer worden beschermd door middel van detectie- en protectiemechanismen. Doelstelling: Het detecteren van aanvallen (onder andere (D)DoS) om te voorkomen dat de vertrouwelijkheid, integriteit en/of beschikbaarheid van geleverde services negatief wordt beïnvloed. Betrokken rol(len): • Hosting- of SAAS leverancier. Scope: •

U/NW.05

Het DMZ van de DigiD webapplicatie.

Binnen de productieomgeving zijn beheeren productieverkeer van elkaar afgeschermd. Doelstelling: Het voorkomen van misbruik van de beheervoorzieningen vanaf het internet.

Bijlage A1 Rapport van bevindingen DigiD SIM Aansluitnaam “Gemeente West Maas en Waal” Aansluitnummer “1001389” 30 maart 2021 Rapport BKBO/180820-3/V2/AR

Beschrijving van de beveiligingsrichtlijn

Uitgevoerde werkzaamheden

Oordeel

Aanbevelingen en/of opmerkingen

Er is kennis genomen van de door de gemeente West Maas en Waal overlegde Third Party Mededeling. Deze TPM is beoordeeld als geldig en actueel. Hierbij wordt “gesteund” op de TPM van SIMgroep.

Voldoet

Betrokken rol(len): • Hosting- of SAAS leverancier. Scope: •

U/NW.06

Het netwerksegment met de webservers die een koppeling hebben met de DigiD omgeving van Logius inclusief de toegang vanuit internet.

Voor het configureren van netwerken is een hardeningrichtlijn beschikbaar. Doelstelling: Beperken van het netwerkverkeer tot hetgeen noodzakelijk is voor het correct functioneren van de geleverde ICTdiensten. Betrokken rol(len): • Hosting- of SAAS leverancier • Houder van de DigiD aansluiting Scope: •

De webserver en andere servers in het DMZ van de DigiD webapplicatie.

Uitleg: Door de vitale rol die het Domain Name System speelt in het bereikbaar houden van webapplicaties, verdient de beveiliging van DNS-services extra aandacht. Onder deze beveiligingsrichtlijn valt dan ook het verplicht gebruik van DNSSEC (DNS Security Extensions) voor de URL van het object van onderzoek. Met DNSSEC wordt de authenticiteit van DNS-antwoorden geverifieerd om misbruik te voorkomen.

Onderzoek van de door de gemeente West Maas en Waal aangeleverde documenten plus het uitvoeren van gerichte deelwaarnemingen.

We hebben geconstateerd dat DNSSEC (DNS Security Extensions) wordt gebruikt voor de URL van het object van onderzoek. Met DNSSEC wordt de authenticiteit van DNS-antwoorden geverifieerd om misbruik te voorkomen. We hebben vastgesteld dat de gemeente West Maas en Waal verantwoordelijk is voor het regelen van DNSSEC. We hebben vastgesteld dat de gemeente West Maas en Waal geen voorschrift heeft opgesteld dat DNSSEC moet worden toegepast op alle domeinnamen én op DNS-resolvers die clients van de gemeente West Maas en Waal direct of indirect van DNS-antwoorden voorzien. Het toepassen van DNSSEC is op basis van de "pas toe of leg uit" lijst van het College Standaardisatie verplicht voor het openbaar bestuur (rijk, provincies, gemeenten en waterschappen en instellingen uit de (semi-)publieke sector). Zie hiervoor https://www.forumstandaardisatie.nl/standaard/dnssec. Aanbeveling voor de gemeente West Maas en Waal: •

Adopteer de internet en beveiligingsstandaarden van het Forum Standaardisatie, neem deze standaarden over in uw beveiligingsbeleid en draag zorg voor implementatie in uw bedrijfsvoering. Stel aan (nieuwe) informatiesystemen de eis dat ze voldoen aan deze standaarden. Zie hiervoor https://www.forumstandaardisatie.nl/openstandaarden/lijst/verplicht.

DNS is het registratiesysteem van namen en bijbehorende nummers op het Internet. Het is vergelijkbaar met een telefoonboek. De 210330 ENSIA Bijlage A1 West Maas En Waal Digid SIM (1.0) © Copyright 2020 BKBO b.v. Alle rechten zijn voorbehouden. Reproductie zonder schriftelijke toestemming van de eigenaar is verboden. Wanneer u vragen heeft over dit document kunt u zich 12 van 18 richten tot BKBO 073-2110337

Bijlage A1 Rapport van bevindingen DigiD SIM Aansluitnaam “Gemeente West Maas en Waal” Aansluitnummer “1001389” 30 maart 2021 Rapport BKBO/180820-3/V2/AR

Beschrijving van de beveiligingsrichtlijn

Uitgevoerde werkzaamheden

Oordeel

Aanbevelingen en/of opmerkingen

namen van bestemmingen op Internet heten domeinnamen. Iedere computer op Internet is bereikbaar via een eigen uniek IP-adres. Voorbeelden daarvan zijn 192.0.2.26 (IPv4) en 2001:db8:1:26 (IPv6). DNS, een afkorting van Domain Name System, zorgt op de achtergrond voor de vertaling van domeinnamen naar IPadressen zodat de webbrowser op de juiste bestemming terechtkomt. DNSSEC, een afkorting van Domain Name System Security Extensions, breidt DNS uit met een extra beveiliging. De vertaling van domeinnaam naar IP-adres wordt daartoe voorzien van een digitale handtekening. Een internetgebruiker kan die handtekening automatisch laten controleren. Dat voorkomt dat hij misleid wordt naar een vals IP-adres. DNSSEC is in het DigiD assessment verplicht gesteld. Voor organisaties die DNSSEC ondersteunen wordt er voor beide partijen direct een sterke beveiliging aan het DNS-systeem toegevoegd. Een valse website of een valse brievenbus wordt dan simpelweg geblokkeerd. Internetgebruikers die nog geen DNSSEC ondersteunen kunnen beveiligde domeinnamen zonder problemen blijven gebruiken. HTTPS wordt voor alle overheidssites overigens ook wettelijk verplicht na invoering van de Wet Generieke Digitale Infrastructuur, waarin digitale overheidsvoorzieningen zoals DigiD en MijnOverheid.nl in worden geregeld.

Bijlage A1 Rapport van bevindingen DigiD SIM Aansluitnaam “Gemeente West Maas en Waal” Aansluitnummer “1001389” 30 maart 2021 Rapport BKBO/180820-3/V2/AR

C.03

Beschrijving van de beveiligingsrichtlijn

Uitgevoerde werkzaamheden

Oordeel

Aanbevelingen en/of opmerkingen

Vulnerability assessments (security scans) worden procesmatig en procedureel uitgevoerd op de ICT-componenten van de webapplicatie (scope).

Er is kennis genomen van de door de gemeente West Maas en Waal overlegde Third Party Mededeling. Deze TPM is beoordeeld als geldig en actueel. Hierbij wordt “gesteund” op de TPM van SIMgroep.

Voldoet

Er is kennis genomen van de door de gemeente West Maas en Waal overlegde Third Party Mededeling. Deze TPM is beoordeeld als geldig en actueel. Hierbij wordt “gesteund” op de TPM van SIMgroep.

Voldoet

Doelstelling: Identificeren van de kwetsbaarheden en zwakheden in de ICT-componenten van de webapplicatie zodat tijdig de juiste beschermende maatregelen kunnen worden getroffen. Betrokken rol(len): • Hosting- of SAAS leverancier. Scope: •

C.04

De infrastructuur voor het netwerksegment met de DigiD webapplicatie.

Penetratietests worden procesmatig en procedureel, ondersteund door richtlijnen, uitgevoerd op de infrastructuur van de webapplicatie (scope). Doelstelling Het verkrijgen van inzicht in de weerstand die een webapplicatie kan bieden aan pogingen om het te compromitteren (binnendringen of misbruiken van webapplicatie). Betrokken rol(len): • Applicatie-, hosting- of SAAS leverancier. Scope: •

De DigiD webapplicatie, de webserver en andere servers in het DMZ van de DigiD webapplicatie.

Bijlage A1 Rapport van bevindingen DigiD SIM Aansluitnaam “Gemeente West Maas en Waal” Aansluitnummer “1001389” 30 maart 2021 Rapport BKBO/180820-3/V2/AR

C.06

Beschrijving van de beveiligingsrichtlijn

Uitgevoerde werkzaamheden

Oordeel

Aanbevelingen en/of opmerkingen

In de webapplicatieomgeving zijn signaleringsfuncties (registratie en detectie) actief en efficiënt, effectief en beveiligd ingericht.

Er is kennis genomen van de door de gemeente West Maas en Waal overlegde Third Party Mededeling. Deze TPM is beoordeeld als geldig en actueel. Hierbij wordt “gesteund” op de TPM van SIMgroep.

Voldoet

Er is kennis genomen van de door de gemeente West Maas en Waal overlegde Third Party Mededeling. Deze TPM is beoordeeld als geldig en actueel. Hierbij wordt “gesteund” op de TPM van SIMgroep.

Voldoet

Doelstelling: Het maakt mogelijk eventuele schendingen van functionele en beveiligingseisen te kunnen detecteren en achteraf de juistheid van de uitgevoerde acties, zowel op strategisch als operationeel niveau te kunnen vaststellen. Betrokken rol(len): • Hosting- of SAAS leverancier. Scope: •

C.07

De infrastructuur voor het netwerksegment met de DigiD webapplicatie.

De loggings- en detectie-informatie (registraties en alarmeringen) en de condities van de beveiliging van ICTsystemen worden regelmatig gemonitord (bewaakt, geanalyseerd) en de bevindingen gerapporteerd. Doelstelling: Tijdig inzetten van correctieve maatregelen en informatie verschaffen over activiteiten van gebruikers en beheerders van de ICTdiensten en de status van de componenten waarmee deze worden voortgebracht. Betrokken rol(len): • Hosting- of SAAS leverancier. Scope:

Bijlage A1 Rapport van bevindingen DigiD SIM Aansluitnaam “Gemeente West Maas en Waal” Aansluitnummer “1001389” 30 maart 2021 Rapport BKBO/180820-3/V2/AR

Beschrijving van de beveiligingsrichtlijn

Uitgevoerde werkzaamheden

Oordeel

Aanbevelingen en/of opmerkingen

Er is kennis genomen van de door de gemeente West Maas en Waal overlegde Third Party Mededeling. Deze TPM is beoordeeld als geldig en actueel. Hierbij wordt “gesteund” op de TPM van SIMgroep.

Voldoet

De infrastructuur voor het netwerksegment met de DigiD webapplicatie. C.08

Wijzigingsbeheer is procesmatig en procedureel zodanig uitgevoerd dat wijzigingen in de ICT-voorzieningen van webapplicaties tijdig, geautoriseerd en getest worden doorgevoerd. Doelstelling: Zeker stellen dat wijzigingen op een correcte en gecontroleerde wijze worden doorgevoerd waardoor de veilige werking van ICT-voorziening wordt gegarandeerd. Betrokken rol(len): • Applicatie-, hosting- of SAAS leverancier. • Houder van DigiD aansluiting.

Onderzoek van de door de gemeente West Maas en Waal aangeleverde documenten plus het uitvoeren van gerichte deelwaarnemingen.

De webapplicatie wordt door SIMgroep getest en nieuwe versies worden geaccepteerd voordat deze in de productie worden genomen. Bij het testen worden testscript gehanteerd en de testresultaten vastgelegd. De gemeente West Maas en Waal heeft aantoonbaar kennisgenomen van de releasedocumentatie van SIMgroep. Aanbeveling voor de gemeente West Maas en Waal: •

Scope: •

De DigiD webapplicatie en de infrastructuur voor het netwerksegment met de DigiD webapplicatie.

Uitleg: De focus ligt op het vaststellen dat het proces wijzigingsbeheer zodanig is opgezet en geïmplementeerd dat alle wijzigingen altijd eerst worden getest voordat deze in productie worden genomen en via wijzigingsbeheer worden doorgevoerd. In sommige gevallen kunnen formulieren worden gebouwd die beveiligingsrisico's introduceren en valt wijzigingenbeheer met betrekking tot formulieren wel in scope van de DigiD-assessment. Is dit niet het geval dan valt wijzigingenbeheer met betrekking tot formulieren niet in scope. Welke 210330 ENSIA Bijlage A1 West Maas En Waal Digid SIM (1.0) © Copyright 2020 BKBO b.v. Alle rechten zijn voorbehouden. Reproductie zonder schriftelijke toestemming van de eigenaar is verboden. Wanneer u vragen heeft over dit document kunt u zich 16 van 18 richten tot BKBO 073-2110337

Bijlage A1 Rapport van bevindingen DigiD SIM Aansluitnaam “Gemeente West Maas en Waal” Aansluitnummer “1001389” 30 maart 2021 Rapport BKBO/180820-3/V2/AR

Beschrijving van de beveiligingsrichtlijn

Uitgevoerde werkzaamheden

Oordeel

Aanbevelingen en/of opmerkingen

specifieke situatie zich voordoet hangt af van de applicatie (formulierengenerator) en de wijze waarop deze wordt gebruikt. Het is aan de auditor om te bepalen of er aanleiding is om wijzigingenbeheer ten aanzien van de formulieren in de DigiDscope op te nemen. Ingeval van SAAS-toepassingen ligt de verantwoordelijkheid voor het testen van wijzigingen aan de applicatie doorgaans bij de leverancier en/of gebruikersgroep. Aandachtspunten hierbij zijn: • Wijzigingsbeheer procedure, waarbij zo nodig onderscheid wordt gemaakt tussen wijzigingen op de applicatie, de servers en de netwerkcomponenten. • Het inrichten van een OTAP omgeving zodat wijzigingen eerst in een testomgeving worden getest voordat zij in productie kunnen worden genomen (N.B. voor netwerk wijzigingen is een testomgeving vaak niet mogelijk). • Het hanteren van een testscript en de vastlegging van de testresultaten. • Een formele acceptatie voor het in productie nemen van de wijziging. • Het beperken van het aantal personen die wijzigingen in productie kunnen nemen. • Bij het uitbrengen van een nieuwe release van de applicatie of een grote upgrade van het onderliggende platform moet, bij voorkeur door middel van een penetratietest, worden onderzocht of er geen nieuwe kwetsbaarheden zijn geïntroduceerd.

Bijlage A1 Rapport van bevindingen DigiD SIM Aansluitnaam “Gemeente West Maas en Waal” Aansluitnummer “1001389” 30 maart 2021 Rapport BKBO/180820-3/V2/AR

C.09

Beschrijving van de beveiligingsrichtlijn

Uitgevoerde werkzaamheden

Oordeel

Aanbevelingen en/of opmerkingen

Patchmanagement is procesmatig en procedureel, ondersteund door richtlijnen, zodanig uitgevoerd dat laatste (beveiligings)patches tijdig zijn geïnstalleerd in de ICT voorzieningen.

Er is kennis genomen van de door de gemeente West Maas en Waal overlegde Third Party Mededeling. Deze TPM is beoordeeld als geldig en actueel. Hierbij wordt “gesteund” op de TPM van SIMgroep.

Voldoet

Doelstelling: Zeker stellen dat technische en software kwetsbaarheden tijdig en effectief worden aangepakt en zo een stabiele omgeving wordt gecreëerd. Betrokken rol(len): • Hosting- of SAAS leverancier. Scope: • Hypervisor (VM Ware, etc.). • Operating system (Windows, etc.). • Databases. • Netwerk componenten. • Firewall.

De tekst is automatisch uit het bestand gehaald en kan afwijken van het origineel (kolommen, tabellen en koppen lopen door elkaar). Het officiële stuk bij iBabs is leidend. Bron: https://api.notubiz.nl/document/10015297/1