02.g Gemeente Woudenberg_Bijlage 1 DigiD - Applicatieleverancier_DigiD 1003423_2021 ENSIA.pdf
Tekst van het document
Gemeentelijk kenmerk bijlage 1 DigiD: 2339717/D246395 _ Bijlage 1 DigiD - E-diensten - 1003423 Totaaloverzicht getoetste normen ICT-beveiligingsassessment DigiD-aansluiting E-diensten met aansluitnummer 1003423 Gemeente Woudenberg
biedt de volgende functionaliteit aan waarvoor DigiD-aansluiting E-diensten
voor authenticatie wordt gebruikt: e Het genereren van aanvraagformulieren voor een diensten mbt burgerzaken (bijv aanvragen uittreksels, doorgeven verhuizing) Deze functionaliteit wordt geboden door de volgende webapplicatie: e eDiensten Burgerzaken Deze applicatie betreft een geheel standaardpakket en wordt onderhouden door Centric. Deze applicatie is extern benaderbaar via het volgende internetadres
https://edienstenburgerzaken.woudenberg.nl
DigiD-aansluiting E-diensten bevindt zich in de Demilitarized Zone (DMZ). De infrastructuur waar deze applicatie op draait, wordt beheerd door Centric in de vorm van SaaS. Het object van zelfevaluatie is de web-omgeving van DigiD-aansluiting E-diensten. De zelfevaluatie heeft zich gericht op de webapplicatie, de internetadressen waarmee deze kan worden benaderd, de
infrastructuur (binnen de DMZ waar de webapplicatie zich bevindt) en een aantal ondersteunende processen conform de “Norm ICT-beveiligingsassessments DigiD” van Logius.
Gemeente Woudenberg heeft een deel van de DigiD web-omgeving uitbesteed aan Centric. Als gevolg hiervan is een aantal maatregelen belegd bij deze serviceorganisatie(s). Het onderzoeken van deze maatregelen is dan ook uitgevoerd door de IT-auditor van deze serviceorganisatie(s). De
normen waar deze maatregelen betrekking op hebben maken geen onderdeel uit van de zelfevaluatie, tenzij sprake is van een gedeelde norm.
Een DigiD-aansluiting dient aan het gehele normenkader te voldoen. Deze zelfevaluatie ENSIA voor
DigiD is toegepast op dat deel van het normenkader dat niet onder uitbesteding aan de leverancier(s)
van de gemeente valt. De overige normen worden afgedekt door onderstaande TPM / assurancerapportage van de leverancier(s): SaaS-leverancier Naam serviceorganisatie:
Centric
Referentie/rapportnummer:
TPM
Afgiftedatum:
TPM 1: 14-10-2022
Naam RE-auditor: Ondertekend door RE-auditor:
KPMG Accountants Ja
1: A2200025558
Onze IT-auditor heeft tevens getoetst of de zelfevaluatie en de TPM's / assurancerapportage(s) van onze leverancier(s) het gehele normenkader afdekken. Het kan voorkomen dat een norm deels bij een leverancier en deels bij de gemeente getoetst is (Zogenaamde gedeelde norm).
De uitkomst uit de zelfevaluatie is getoetst door onze RE-gecertificeerde IT-auditor. De conclusie van de auditor is opgenomen in het assurancerapport met kenmerk IAS1241_0351_22.
Ke
z
1/2
Gemeentelijk kenmerk bijlage 1 DigiD:
7339717/D246395
Onderstaande tabel toont de uitkomsten van de zelfevaluatie per norm inclusief de normen die getoetst zijn bij leverancier(s). DigiD-norm
Getoetst bij aansluithouder
Getoetst bij SaaSleverancier
Totaaloordeel norm
Voldoet
Voldoet
B.01
Informatiebeveiligingsbeleid
Voldoet
B.05
Contractmanagement
Voldoet
Voldoet
Voldoet
U/TV.01
Identificatie en authenticatie
Voldoet
Voldoet
Voldoet
UMWA.02 __ | Webapplicatiebeheerproces
Voldoet
Voldoet
Voldoet
U/WA.03 _ | Automatische data-invoercontrole
Niet van toepassing
Voldoet
Voldoet
U/WA.04 _ | Normaliseren uitvoer
Niet van toepassing
Voldoet
Voldoet
U/WA.05
| Cryptografie/ Privacybevordering
Voldoet
Voldoet
Voldoet
U/PW.02
Garanderen webprotocollen
Niet van toepassing
Voldoet
Voldoet
U/PW.03
Configureren webserver
Niet van toepassing
Voldoet
Voldoet
Niet van toepassing
Voldoet
Voldoet
Niet van toepassing
Voldoet
Voldoet
Voldoet
Voldoet
U/PW.05 U/PW.07
‘| Toegang tot beheermechanismen Hardening van platformen
U/NW.03
| DMZ
Niet van toepassing
U/NW.04
| Protectie- en detectiemechanismen
Niet van toepassing
Voldoet
Voldoet
U/NW.05
‘| Scheiding beheer- en productieomgeving
Niet van toepassing
Voldoet
Voldoet
U/NW.06
| Hardening van netwerken
Voldoet
Voldoet
Voldoet
C.03
Vulnerability-assessments
Niet van toepassing
Voldoet
Voldoet
C.04
Penetratietesten
Niet van toepassing
Voldoet
Voldoet
C.06
Signaleringsfuncties
Niet van toepassing
Voldoet
Voldoet
C.07
Monitoringfuncties
Niet van toepassing
Voldoet
Voldoet
C.08
Wijzigingenbeheer
Voldoet
Voldoet
Voldoet
C.09
Patchmanagement
Niet van toepassing
Voldoet
Voldoet
2/2