RIB22.163 Beleid Informatieveiligheid & Privacy beleid

Titel: DigiD aansluitbeleid / beveiligingsplan 10

Versie: 1.0 Datum: 29 november 2022

DIGID AANSLUITBELEID / BEVEILIGINGSPLAN

3.

UITVOERINGSDOMEIN

Centric De webapplicatie betreft Software as a Service (SaaS) en wordt onderhouden door Centric. De infrastructuur waarop de applicatie draait wordt eveneens beheerd door Centric, met ondersteuning van Centric in de vorm van een managed service contract (Managed Cloud Hosting). Met Centric zijn afspraken gemaakt en vast gelegd in het Dossier Afspraken en Procedures, Service Level Agreement (SLA) en de Verwerkersovereenkomst. Deze is beschikbaar en op te vragen bij applicatiebeheer. Centric zorgt ervoor dat informatiebeveiliging goed geregeld is. Centric is ISO 27001 gecertificeerd en is in het bezit van een assuranceverklaring op basis van ISAE 3402 SOC Type II. Centric verzorgt jaarlijks van een Derdenverklaring of Third Party Memor andum (TPM) van een onafhankelijke partij (Register EDP auditor) omtrent de relevante interne beheersing van processen, in het bijzonder de beveiligingsprocessen.

XXLNC De webapplicatie betreft Software as a Service (SaaS) en wordt onderhouden door XXLLNC De infrastructuur waarop de applicatie draait wordt eveneens beheerd door XXLLNC, met ondersteuning van XXLLNC in de vorm van een managed service contract (Managed Cloud Hosting). Met XXLLNC zijn afspraken gemaakt en vast gelegd in het Dossier Afspraken en Procedures, Service Level Agreement (SLA) en de Verwerkersovereenkomst. Deze is beschikbaar en op te vragen bij applicatiebeheer. XXLLNC zorgt ervoor dat informatiebeveiliging goed geregeld is. XXLLNC is ISO 27001 gecertificeerd en is in het bezit van een assuranceverklaring op basis van ISAE 3402 SOC Type II. XXLLNC verzorgt jaarlijks van een Derdenverklaring of Third Party Memor andum (TPM) van een onafhankelijke partij (Register EDP auditor) omtrent de relevante interne beheersing van processen, in het bijzonder de beveiligingsprocessen.

i

Titel: DigiD aansluitbeleid / beveiligingsplan 11

Versie: 1.0 Datum: 29 november 2022

DIGID AANSLUITBELEID / BEVEILIGINGSPLAN 3.1

WIJZIGINGSBEHEER

Centric Het functioneel applicatie- en autorisatiebeheer is gedelegeerd aan de applicatiebeheerder burgerzaken. Alleen de applicatiebeheerders heeft toegangsrechten op het beheer van rechten en accounts van het digitale loket. Hier is achtervang voor. Alle handelingen zijn tot één natuurlijke persoon te herleiden. Het beheer bestaat uit muteren van gebruikers, muteren van de geldigheidsperiode van de gebruikers en het uitvoeren van test en acceptatie bij een release, update of patch.

Naar aanleiding van releasenotes worden nieuwe releases, updates en patches eerst in de test- of ontwikkelomgeving getest alvorens deze wordt geïmplementeerd in de productie-omgeving. Op deze wijze wordt het risico van verstoringen beperkt. Bij de feitelijke implementatie van wijzigingen wordt overleg gevoerd. Applicatiebeheer accepteert of keurt af. Digitale formulieren kunnen alleen via een wijzigingsverzoek van applicatiebeheer door Centric gewijzigd worden. Publicatie van digitale formulieren worden alleen door Centric uitgevoerd.

XXLLNC Het functioneel applicatie- en autorisatiebeheer is gedelegeerd aan de applicatiebeheerder Zaaksysteem.nl. Alleen de applicatiebeheerders heeft toegangsrechten op het beheer van rechten en accounts van het digitale loket. Hier is achtervang voor. Alle handelingen zijn tot één natuurlijke persoon te herleiden. Het beheer bestaat uit muteren van gebruikers, muteren van de geldigheidsperiode van de gebruikers en het uitvoeren van test en acceptatie bij een release, update of patch.

Naar aanleiding van releasenotes worden nieuwe releases, updates en patches eerst in de test- of ontwikkelomgeving getest alvorens deze wordt geïmplementeerd in de productie-omgeving. Op deze wijze wordt het risico van verstoringen beperkt. Bij de feitelijke implementatie van wijzigingen wordt overleg gevoerd. Applicatiebeheer accepteert of keurt af. Digitale formulieren kunnen alleen gewijzigd worden door de applicatiebeheer van de Gemeente Zeist . Publicatie van digitale formulieren worden alleen door de Gemeente Zeist uitgevoerd.

i

Titel: DigiD aansluitbeleid / beveiligingsplan 12

Versie: 1.0 Datum: 29 november 2022

DIGID AANSLUITBELEID / BEVEILIGINGSPLAN 3.2

AUTORISATIE

De autorisaties worden toegekend op basis van de functie en rol die iemand vervult. Het is noodzakelijk gebruikers alleen toegang te geven tot gegevens die nodig zijn voor de uitvoering van de taak. Een weloverwogen toekenning van autorisaties beschermt de burger én de medewerker. De gemeente heeft hiertoe een autorisatieprofiel opgesteld die beschrijft welke rechten bij welke functie/rol combinatie hoort. De gemeente heeft een procedure voor aanmelding, wijziging en afmelding van gebruikers. Elk kwartaal wordt een overzicht van alle gebruikers met autorisatie en bevoegdheden als extra controlemiddel gemaakt. Deze rapportage moeten gecontroleerd worden door de afdelingshoofd en, na een eventuele correctieronde, geparafeerd naar de applicatiebeheerder worden gestuurd.

i

Titel: DigiD aansluitbeleid / beveiligingsplan 13

Versie: 1.0 Datum: 29 november 2022

DIGID AANSLUITBELEID / BEVEILIGINGSPLAN 3.3

NETWERKINFRASTRUCTUUR

Centric DigiD-aansluiting Gemeente Zeist bevindt zich bij onze hostingpartij Centric. De infrastructuur waar deze applicatie op draait, wordt beheerd door Centric in de vorm van SaaS. Centric. voert het onderhoud, controleert voortdurend op kwetsbaarheden en back-upt data volgens de afgesproken SLA.

i

Titel: DigiD aansluitbeleid / beveiligingsplan 14

Versie: 1.0 Datum: 29 november 2022

DIGID AANSLUITBELEID / BEVEILIGINGSPLAN XXLLNC DigiD-aansluiting Gemeente Zeist bevindt zich bij onze hostingpartij XXLLNC. De infrastructuur waar deze applicatie op draait, wordt beheerd door XXLLNC in de vorm van SaaS. XXLLNC. voert het onderhoud, controleert voortdurend op kwetsbaarheden en back-upt data volgens de afgesproken SLA.

i

Titel: DigiD aansluitbeleid / beveiligingsplan 15

Versie: 1.0 Datum: 29 november 2022

DIGID AANSLUITBELEID / BEVEILIGINGSPLAN 3.4

BEWUSTWORDING

De gemeente Zeist is verantwoordelijk voor de integrale beveiliging van haar organisatieonderdelen. De directie stuurt op houding en gedrag, beveiligingsbewustzijn, bedrijfscontinuïteit en naleving van regels en richtlijnen (risicobewustzijn). Binnen het inwerkprogramma is een onderdeel opgenomen over veilig werken en integer omgaan met gegevens. Door de TSO is in samenwerking met team Veilig werken een bewustzijnscampagne (e-learning) opgezet. Uitgangpunt is dat alle medewerkers training krijgen in de procedures en werkwijze die binnen de Gemeente Zeist geldt voor veilig en integer werken. Deze training dient regelmatig te worden herhaald om het beveiligingsbewustzijn op peil te houden. Het e-learning programma krijgt vanaf 2023 een verplicht karakter.

3.5

MELDEN DATALEKKEN & BEVEILIGINGS INCIDENTEN

In naleving van de Wet Meldplicht Datalekken is de gemeente Zeist verplicht om een inbreuk op de beveiliging te melden. Wanneer het lekken een ernstig nadelig gevolg kan hebben op de bescherming van verwerkte persoonsgegevens, moet de melding aan de Autoriteit Persoonsgegevens worden gedaan. Om deze verplichting te borgen heeft Gemeente Zeist een beleidsplan privacy vastgesteld. In het beleidsplan is het protocol ‘Procedure meldpunt datalekken’ beschreven. Het beschrijft de verschillende stappen die binnen gemeente genomen worden bij een datalek. De Applicatiebeheerder meldt beveiligingsincidenten aan de SIO en datalekken via het meldpunt datalekken aan de CISO.

i

Titel: DigiD aansluitbeleid / beveiligingsplan 16

Versie: 1.0 Datum: 29 november 2022

DIGID AANSLUITBELEID / BEVEILIGINGSPLAN 4.

BEHEERSINGSDOMEIN (CONTROL)

Aan een aansluiting op DigiD zijn beveiligingseisen verbonden, bedoeld om de integriteit van de bestaande infrastructuur te kunnen blijven garanderen. Via een jaarlijkse audit, ook wel assessment genoemd, toont gemeente Zeist aan te voldoen aan de gestelde eisen. Deze verplichting is opgenomen in de aansluitvoorwaarden van DigiD en maakt ook onderdeel uit van de Wet digitale overheid. Voor de duidelijkheid refereren we naar het assessment als ‘DigiD-assessment’. De beveiliging van de informatievoorziening effectief en efficiënt inrichten vraagt om eenduidige normen (en verantwoording). Dat geldt voor DigiD. De basis voor de controle van al deze normen en verantwoording daarover wordt gelegd in het project ENSIA (Eenduidige Normatiek Single Information Audit). Het project heeft gewerkt aan één integrale set van vragen die alle bestaande normen en maatregelen in één keer uitvraagbaar moet maken, inclusief een eindrapportage, een controle door een auditor en een verantwoording (horizontaal en verticaal). Deze vragen set is ontwikkeld door BZK, VNG (IBO) en de betrokken ministeries en een aantal gemeenten. Controle op adequate beveiliging van DigiD. Dit betekent dat de Gemeente Zeist zorg moet dragen voor het treffen van adequate maatregelen om de beveiligingsrisico's rondom alle aspecten van het werken met DIGID voldoende af te dekken.

Gemeente Zeist is zelf verantwoordelijk voor juist gebruik van gegevens en voor een beveiligingsbeleid conform de Algemene Verordening Gegevensbescherming (AVG).

i

Titel: DigiD aansluitbeleid / beveiligingsplan 17

Versie: 1.0 Datum: 29 november 2022