05A3c Raadsinformatiebrief ENSIA verantwoording 2024_bijlage 1 DigiD 2024 Saas leverancier
Tekst van het document
Gemeente Zeewolde - 00500000403876 - Bijlage 1 DigiD
Bijlage 1 DigiD - Gemeente Zeewolde - 1003069 Totaaloverzicht getoetste normen ICT-beveiligingsassessment DigiD-aansluiting Gemeente Zeewolde met aansluitnummer 1003069 Gemeente Zeewolde biedt de volgende functionaliteit aan waarvoor DigiD-aansluiting Gemeente Zeewolde voor authenticatie wordt gebruikt: • Inwoners kunnen bv. een digitaal een verhuizing, geboorte, overlijden, naamswijziging doorgeven. Deze functionaliteit wordt geboden door de volgende webapplicatie: • Naam: Centric Ediensten • Versie: 1.10.0 Deze webapplicatie is extern benaderbaar via het volgende internetadres: • https://edienstenburgerzaken.zeewolde.nl. Het object van zelfevaluatie is de web-omgeving van DigiD-aansluiting Gemeente Zeewolde. De zelfevaluatie heeft zich gericht op de webapplicatie, de internetadressen waarmee deze kan worden benaderd, de infrastructuur (binnen de DMZ waar de webapplicatie zich bevindt) en een aantal ondersteunende processen conform de “Norm ICT-beveiligingsassessments DigiD versie 3.0” van Logius. Deze webapplicatie betreft een geheel standaardpakket. Centric Netherlands B.V. De infrastructuur waar deze applicatie op draait, wordt beheerd door Centric Netherlands B.V. met beheervorm SaaS. Gemeente Zeewolde heeft de DigiD web-omgeving uitbesteed aan: • Centric Netherlands B.V Als gevolg hiervan is een aantal maatregelen belegd bij deze serviceorganisatie(s).
Het onderzoeken van deze maatregelen is dan ook uitgevoerd door de IT-auditor van deze serviceorganisatie(s). De normen waar deze maatregelen betrekking op hebben maken geen onderdeel uit van de zelfevaluatie, tenzij sprake is van een gedeelde norm. Aansluithouder Oordeelsdatum:
31-12-2024
Controleperiode:
01-07-2024 t/m 31-12-2024
De overige normen worden afgedekt door onderstaande TPM / assurancerapportage(s) van de (toe)leverancier(s): SaaS-leverancier Naam SaaS-leverancier:
Centric Netherlands B.V
Referentie/rapportnummer:
24X00195119AVN_CEDB
Oordeelsdatum:
12 november 2024
Controleperiode:
1 maart 2024 t/m 30 september 2024
Naam RE-auditor
KPMG Accountants N.V | B. Beugelaar RE RA
Ondertekend door RE-auditor:
Ja
Onze IT-auditor heeft tevens getoetst of de zelfevaluatie en de TPM’s / assurancerapportages van onze serviceorganisatie(s) het gehele normenkader afdekken. De conclusie van de auditor is opgenomen in het assurancerapport met kenmerk 312024020.25.009_AR.
1/2
Gemeente Zeewolde - 00500000403876 - Bijlage 1 DigiD
Onderstaande tabel toont de uitkomsten van de zelfevaluatie per norm inclusief de normen die getoetst zijn bij de bovengenoemde leveranciers. Aansluithouder
SaaS-leverancier
DigiD-norm
Toetsing op
Oordeel
Oordeel TPM
Totaaloordeel
B.01 Informatiebeveiligingsbeleid
Opzet en bestaan
Voldoet
Voldoet
Voldoet
B.05 Contractmanagement
Opzet en bestaan
Voldoet
Voldoet
Voldoet
U/TV.01 Identificatie en authenticatie
Opzet en bestaan
Niet van toepassing
Voldoet
Voldoet
Werking
Niet van toepassing
Voldoet
Voldoet
Voldoet
Voldoet
Voldoet
Geen oordeel1
U/WA.02 Webapplicatiebeheerproces
Opzet en bestaan
Voldoet
Voldoet
U/WA.03 Automatische data-invoercontrole
Werking Opzet en bestaan
Niet van toepassing
Voldoet
Voldoet
U/WA.04 Normaliseren uitvoer
Opzet en bestaan
Niet van toepassing
Voldoet
Voldoet
U/WA.05 Cryptografie/ Privacybevordering
Opzet en bestaan
Voldoet
Voldoet
Voldoet
U/PW.02 Garanderen webprotocollen
Opzet en bestaan
Niet van toepassing
Voldoet
Voldoet
U/PW.03 Configureren webserver
Opzet en bestaan
Niet van toepassing
Voldoet
Voldoet
U/PW.05 Toegang tot beheermechanismen
Opzet en bestaan
Niet van toepassing
Voldoet
Voldoet
U/PW.07 Hardening van platformen
Opzet en bestaan
Niet van toepassing
Voldoet
Voldoet
U/NW.03 DMZ
Opzet en bestaan
Niet van toepassing
Voldoet
Voldoet
U/NW.04 Protectie- en detectiemechanismen
Opzet en bestaan
Niet van toepassing
Voldoet
Voldoet
U/NW.05 Scheiding beheer- en productieomgeving
Opzet en bestaan
Niet van toepassing
Voldoet
Voldoet
U/NW.06 Hardening van netwerken
Opzet en bestaan
Voldoet
Voldoet
Voldoet
C.03 Vulnerability-assessments
Opzet en bestaan
Niet van toepassing
Voldoet
Voldoet
C.04 Penetratietesten
Opzet en bestaan
Niet van toepassing
Voldoet
Voldoet
C.06 Signaleringsfuncties
Opzet en bestaan
Niet van toepassing
Voldoet
Voldoet
C.07 Monitoringfuncties
Opzet en bestaan
Niet van toepassing
Voldoet
Voldoet
Werking
Niet van toepassing
Voldoet
Voldoet
Voldoet
Voldoet
Voldoet
C.08 Wijzigingenbeheer
Opzet en bestaan Werking
C.09 Patchmanagement
Voldoet
Voldoet
Voldoet
Opzet en bestaan
Niet van toepassing
Voldoet
Voldoet
Werking
Niet van toepassing
Voldoet
Voldoet
1 Voor beveiligingsrichtlijn U/WA.02 verklaart de gemeente Zeewolde dat zij maatregelen heeft ontworpen (opzet) met betrekking tot deze
norm. Wij zijn van mening dat gemeente Zeewolde voldoet aan deze norm. Vanwege non-occurrence kan de effectieve werking niet worden vastgesteld en daarom geven wij daarover geen oordeel binnen deze zelfevaluatie.
2/2