Verantwoording: horizontaal en verticaal
Het ENSIA-stelsel sluit aan op de planning-en-controlcyclus van de gemeente en kent twee vormen van verantwoording:
-
Horizontale verantwoording: Het college van B&W legt verantwoording af aan de gemeenteraad via een zelfevaluatie, IT-audit, collegeverklaring en een passage in het jaarverslag.
-
Verticale verantwoording: De gemeente rapporteert aan landelijke toezichthouders over specifieke domeinen zoals:
- Basisregistratie Personen (BRP)
- DigiD & Suwinet
- Paspoortuitvoeringsregeling (PUN)
- BAG, BGT en BRO
Rollen en Verantwoordelijkheden
Binnen het ENSIA-proces zijn de rollen als volgt verdeeld:
- College van B&W: Verantwoordelijk voor het opstellen en goedkeuren van de rapportages.
- ENSIA-coördinator: Beheert het proces, vult vragenlijsten in en verzamelt bewijsmateriaal.
- Gekwalificeerde RE-auditor: Controleert de collegeverklaring en tekent het assurance rapport.
- Kwaliteitsmonitor: Waarborgt de tijdigheid en kwaliteit van de rapportages binnen het systeem.
ENSIA aanpak 2-Control en pre audit
- Ondersteuning bij zelfevaluatie (pre-audit)
Door eerst na te laten gaan in hoeverre uw systemen voldoen, krijgt u inzicht in maatregelen die u in ieder geval moet treffen. Wij kunnen deze pre-audit voor u uitvoeren. Daarbij beoordelen wij, idealiter vóórdat de gemeente de zelfevaluaties in de ENSIA tool upload, de resultaten van de zelfevaluatie met focus op de aantoonbaarheid. Hiermee voorkomen we zoveel mogelijk verrassingen achteraf. De uitkomst van de pre-audit geeft u een duidelijk beeld of u wel of niet voldoet aan de criteria van de zelfevaluatie en welke maatregelen u moet treffen om aan de criteria en beveiligingsrichtlijnen te voldoen. - Maatregelen treffen
Voer na aanleiding van de pre-audit zelf de noodzakelijke maatregelen door om uw systemen beter te beschermen tegen misbruik van buitenaf. - Penetratietest (Pentest) uitvoeren
Indien u eigen hosting of softwareontwikkeling uitvoert dient u voor uw DigiD-aansluiting een penetratietest (ethical hacking test) uit te laten voeren op uw webomgeving als onderdeel van de eisen. Hierbij wordt uw informatiesysteem gecontroleerd op hun kwetsbaarheid en ontvangt u een rapport met bevindingen. Wij adviseren hiervoor gebruik te maken van Dong-IT. Bekijk hier de verschillende aanbiedingen voor penetratietesten.
Neem zelf maatregelen om de bevindingen uit de pentest op te volgen en op te lossen. Als uit de pentest blijkt dat in uw omgeving hoge risico's aanwezig zijn dan dienen deze vooraf aan de audit te worden opgelost. - Audit over Suwinet en DigiD en beoordelen collegeverklaring
Als de voorgaande fases zijn afgerond dan wordt de uiteindelijke ENSIA-audit uitgevoerd. Het object van onderzoek is de collegeverklaring inzake ENSIA met de bijbehorende bijlagen voor DigiD en Suwinet. De audit wordt uitgevoerd door een van onze RE-auditors. - Rapportage
Het oordeel over de collegeverklaring wordt verwerkt in een gestandaardiseerde (vormvaste) rapportage. Dit format is in overleg met de VNG en de beroepsgroep van de auditors (NOREA) tot stand gekomen. Het rapport moet ondertekend zijn door een van onze RE-auditors.
Waarom kiezen voor ondersteuning?
Het doel van ENSIA is niet alleen het 'vinken' van lijstjes, maar het professionaliseren van uw informatieveiligheid. Door tekortkomingen tijdig te identificeren en aanbevelingen effectief te implementeren, verhoogt u de digitale weerbaarheid van uw gemeente.
Ons advies: Plan uw pre-audit tijdig in om tijdsdruk aan het einde van de cyclus te voorkomen.
2-Control
Neem contact met ons op
Heeft u vragen of opmerkingen over onze IT-auditdiensten? Wij horen graag van u. Vul uw gegevens in het onderstaande formulier in en wij nemen zo snel mogelijk contact met u op. U kunt ook rechtstreeks contact met ons opnemen via het telefoonnummer aan de linkerkant.
Ons toegewijde team staat klaar om u te helpen met eventuele vragen of problemen. Wij streven ernaar om u de best mogelijke service te bieden.
