IT Auditor en de ENSIA-normen

Transcriptie

1 IT Auditor en de ENSIA-normen NOREA-werkgroep ENSIA: Raymond de Keijzer Maarten Mennen VNG: Sanneke van der Linden 31 oktober 2018

2 ENSIA Normen (2018) ENSIA-normen zijn ongewijzigd aan uitvraag ENSIA 2017, maar wel verscherpt bijgesteld. Herijking toewijzing normen aan voorzieningen op basis van intensieve samenwerking tussen VNG NOREA (en afstemming Ministerie SZW / BKWI) Navigatietool voor gemeente en auditor met betrekking tot onderkenning SUWI normen uit de ENSIA vragenlijst Onderscheid Suwi-taken (Participatie) en niet Suwi-taken (RMC/Burgerzaken/Belastingdeurwaarder) in rapportage Onderscheid inkijk BKWI applicatie-/ Inlezen&DKD eigen applicatie Belang ITGC bij Suwi-Inlezen/-DKD Logging (C.05/C.06) benadrukt Kwaliteit ITGC in navigatietool ter ondersteuning van de IT Auditor Vervallen: de normen (te weten U.11 -m.b.t. BIG a toegangsbeleid organisatie-, en C.07) uit ENSIA 2017 zijn vervallen 2

3 ENSIA-normen zijn ongewijzigd ENSIA-normen in principe ongewijzigd aan uitvraag 2017, maar wel verscherpt bijgesteld. Vervallen: de normen (te weten U.11 -m.b.t. BIG a toegangsbeleid organisatie-, en C.07) uit ENSIA 2017 zijn vervallen In de Handreiking ENSIA voor IT Auditors is de toelichting en test aanpak verduidelijkt Referentie opgenomen naar de ENSIA-vragenlijst die door VNG met de gemeente is gedeeld. 3

4 Herijking toewijzing normen aan voorzieningen (1) Intensieve samenwerking tussen VNG NOREA Opstellen Beslisboom voor scoping normen aan voorzieningen Navigatietool is gedeeld met zowel gemeenten als auditoren Toewijzing normen is geaccordeerd door SZW en BKWI 4

5 Herijking toewijzing normen aan voorzieningen (2) Navigatietool 5

6 Herijking toewijzing normen aan voorzieningen (3) Tabblad per Voorziening 6

7 Onderscheid Suwi-taken (Participatie) en niet Suwi-taken Rapportage in Suwi-taken en Niet Suwi-taken opgenomen Collegeverklaring template Suwi-taken Participatiewet Niet Suwi-taken RMC Burgerzaken Belastingdeurwaarder 7

8 Beoordeling van logging (C.05/C.06) eigen applicatie- Eisen aan logging Suwi-Inlezen / DKD-Inlezen Een logregel bevat minimaal: Datum en tijdstip van de handeling Een tot natuurlijk persoon herleidbare gebruikersnaam of ID Waar mogelijk de identiteit van het werkstation of de locatie De handeling; Het object waarop de handeling werd uitgevoerd Het resultaat van de handeling Afnemer analyseert periodiek (maandelijks) en actief: de gelogde gebruikersgegevens ten aanzien van het gebruik van Suwinet diensten Het optreden van verdachte gebeurtenissen en mogelijke schendingen van de beveiligingseisen Eventuele ongeautoriseerde toegang tot en wijzigingen/verwijderen van logbestanden 8

9 ITGC ten behoeve van logging: randvoorwaardelijk Beoordeling van logging (C.05/C.06) Randvoorwaardelijk beoordeling ITGC LTB Wachtwoordpolicy op applicatieniveau Wachtwoordpolicy op netwerkniveau Hoge bijzondere rechten Wijzigingsbeheer Huidige versie van software waarin de Suwinet data wordt ingelezen Wijzigingslog over de afgelopen periode Releasemanagement 9

10 Overige aandachtspunten Gemeente versus GR versus Sociale Dienst Insteek is dezelfde werkwijze als voor 2017, in goed overleg tussen auditor wordt een TPM beschikbaar gesteld. Inclusive-methodiek (in afwijking met DigiD) Vanuit de werkgroep ENSIA wordt dit punt op dit moment opgepakt en voorbereid voor overleg met SZW / BKWI. Verwachting is niet voor ENSIA 2019 bekrachtigd. Extra norm AP Betreft aanvullende norm vanuit AVG, waarbij de awareness ten aanzien van informatiebeveiliging wordt getoetst. 10

11 Handleiding voor IT auditor De handleiding ENSIA-normen is opgesteld naar de analogie van DigiD. 11

12 Bedankt Voor meer informatie kun je contact opnemen met: De werkgroep NOREA: Raymond de Keijzer Maarten Mennen Govers Accountants / Adviseurs NOREA 31 oktober 2018