Schriftelijke vragen : Het bericht 'Ambtenaar vervalste meerdere rapporten over beveiliging DigiD-aansluiting'

Vraag 1

Bent u bekend met het bericht «Ambtenaar vervalste meerdere rapporten over beveiliging
DigiD-aansluiting» van security.nl van 14 juni 2023?1

Vraag 2

In opdracht van wie heeft deze ambtenaar deze taken uitgevoerd?

Vraag 3

Is hier het vierogenprincipe gebruikt door een andere persoon? Zo ja, is deze persoon
in zicht en zo nee, kunt u uitleggen waarom geen gebruik is gemaakt van het vierogenprincipe?

Vraag 4

Heeft de desbetreffende ambtenaar ook op andere ministeries gewerkt? Zo ja, op welke?

Vraag 5

Is er aan de hand van het digitaal forensisch onderzoek aanleiding om ook binnen andere
ministeries en uitvoeringsorganisatie te onderzoeken of daar ook dergelijke praktijken
plaatsvinden of hebben gevonden?

Vraag 6

Welke structurele oplossingen ziet u om dit in de toekomst te voorkomen?

Vraag 7

Wat is er in het rapport voor Suwinet van 2020 aangepast en waarom?

Vraag 8

Wat zijn de verschillen tussen de beveiligingsassessments van DigiD die de Auditdienst
Rijk (ADR) aan Justis levert en de beveiligingsassessments die Justis naar Logius
stuurt? Is de informatieveiligheid in gevaar geweest en/of zijn er gegevens gelekt?

Vraag 9

Kan de Staatssecretaris ons mededelen of de weggestuurde persoon betrokken was bij
de opzet van de exploited audit en zo ja, welke andere personen in een identieke rol
betrokken waren, of mogelijk betrokken zijn? En zijn deze personen ook betrokken bij
het implementeren van de reparatie van deze exploit?

Vraag 10

Zien de toegezegde vervolgacties op de verbetering van de interne auditfunctie of
op de compliance office bij Justis zelf?

Vraag 11

Is er vastgesteld of de betrokken fraudeur ook andere mogelijke exploits heeft gezocht
bij Justis en bij Suwinet in die vijf jaren?

Vraag 12

Heeft het onderzoek kunnen vaststellen of deze medewerkers ook zicht en vermoedens
hebben gehad dat deze medewerker deze vervalsingen kon en wilde aanleggen?