TenderNed Standaardenmonitor

© 2024, Erasmus MC, ICT Services Pagina 11/23 Datum 15 april 2025 Hoofdstuk Aansluitvoorwaarden netwerkinfrastructuur Titel Aansluitvoorwaarden Erasmus MC Infrastructuur 2.3.3 Transport Layer Security (TLS) De versie van het TLS protocol moet minimaal v1.2 of hoger zijn.

© 2024, Erasmus MC, ICT Services 1/23 Document Aansluitvoorwaarden Erasmus MC Infrastructuur Versie 11.2 Datum 15 april 2025 Opsteller(s) Pieter van Dorp, Lars Hameeteman, Jasper Klaren, Danjan Mudde Beheerder(s) Pieter van Dorp en Danjan Mudde Opdrachtgever Bob Maas Aansluitvoorwaarden Erasmus MC Infrastructuur © 2024, Erasmus MC, ICT Services Pagina 2/23 Datum 15 april 2025 Titel Aansluitvoorwaarden Erasmus MC Infrastructuur Inhoudsopgave 1 Algemeen 5 1.1 Doel 5 1.2 Vaststelling en wijziging 5 1.2.1 Aansluitvoorwaarden 5 1.2.2 Uitzonderingen 5 1.3 Publicatie 5 2 Aansluitvoorwaarden netwerkinfrastructuur 6 2.1 Leeswijzer 6 2.2 Algemene aansluitvoorwaarden 7 2.2.1 Het netwerk van het Erasmus MC is onderverdeeld in netwerkzones (geïmplementeerd als zgn. VRF’s), waarvan de belangrijkste zijn: 7 2.2.2 NAC Netwerk Access Control (802.1x) 9 2.3 Protocollen 10 2.3.1 Algemeen 10 2.3.2 Netbios 10 2.3.3 Transport Layer Security (TLS) 11 2.3.4 Lightweight Directory LDAP 11 2.3.5 Server Message Block (SMB) 11 2.4 Aansluitvoorwaarden voor clients op het draadgebonden LAN 11 2.4.1 Algemeen 11 2.4.2 Netwerkaansluiting 11 2.4.3 Regels ten aanzien van inrichting en gebruik 12 2.5 Aansluitvoorwaarden voor systemen op draadloze LANs 13 2.5.1 Algemeen 13 2.5.2 Structuur 13 2.5.3 Algemene aansluitvoorwaarden WLANs 14 2.5.4 Aansluitvoorwaarden voor clients op SSID ‘ErasmusMC’ 15 2.5.5 Aansluitvoorwaarden voor de SSID’s ‘Voip-messaging(-a)’, ‘Patmon’ en ‘Med-App’ 15 2.5.6 Aansluitvoorwaarden voor SSID=‘eduroam’ 16 2.5.7 Aansluitvoorwaarden voor SSID=‘Hotspot’ 16 2.6 Aansluitvoorwaarden voor fysieke en virtuele servers 17 2.6.1 Algemeen 17 2.6.2 Aansluitvoorwaarden voor Windows servers 17 2.6.3 Aansluitvoorwaarden voor Databases 18 2.7 Aansluitvoorwaarden voor externe toegang 19 © 2024, Erasmus MC, ICT Services Pagina 3/23 Datum 15 april 2025 Titel Aansluitvoorwaarden Erasmus MC Infrastructuur 3 Toezicht op naleven van de aansluitvoorwaarden en sancties 20 3.1 Toezichthouder 20 3.2 Overtreding aansluitvoorwaarden 20 3.3 Aansprakelijkheid 20 4 Appendix A: Literatuurlijst 21 5 Appendix B: Verklarende afkortingen en woordenlijst 22 © 2024, Erasmus MC, ICT Services Pagina 4/23 Datum 15 april 2025 Hoofdstuk Algemeen Titel Aansluitvoorwaarden Erasmus MC Infrastructuur Revisiedatum: 27-3-2025 Versiebeheer: Versie datum Versie Samenvatting van de aanpassing Uitgevoerd door 8-4-2021 10.1 802.1x en DNS naamgeving Danjan Mudde 01-09-2022 10.2 Toevoeging van beschrijving toestaan Multicast binnen netwerk Danjan Mudde 01-09-2022 10.2 Hoofdstuk nummering aangepast Danjan Mudde 16-01-2023 10.3 Onder kopje Netwerkaansluiting Power Over Ethernet eis toegevoegd Danjan Mudde 12-5-2023 10.4 WOL niet meer mogelijk na introductie 802.1x met dynamische VLAN toewijzing Danjan Mudde 29-8-2024 11.0 Toevoeging TLS protocollen Danjan Mudde 27-3-2025 11.1 - Aanpassing bescherming anti virus en mallware - Voorkeur verbinden op 5 GHz Danjan Mudde 15-4-2026 11.2 - Div.

TLS Transport Layer Security (TLS) is een cryptografisch protocol dat is ontworpen om communicatiebeveiliging te bieden via een computernetwerk.

Gebruik van WPA2-Enterprise is verplicht, behoudens door ICT Services goedgekeurde uitzonderingen per SSID.

Transport en beveiliging • De JSON‐koppeling moet gebruikmaken van beveiligde transportprotocollen zoals HTTPS (moderne TLS‐versies).

Transport en beveiliging • De JSON‐koppeling moet gebruikmaken van beveiligde transportprotocollen zoals HTTPS (moderne TLS‐versies).

IPv6 wordt niet ondersteund.

IPv6 wordt niet ondersteund.

• Het informatiesysteem van de Opdrachtnemer (waar de informatie van Amsterdam UMC in worden verwerkt) voldoet aantoonbaar aan de eisen voor NEN-EN-ISO/IEC 27001:2023 (Managementsysteem voor informatiebeveiliging, cybersecurity en bescherming van de privacy).

Binnen 10 dagen na mededeling van de voorlopige gunning dient de gegunde partij de volgende documenten te tonen: - GVA; (Eis 11 TN (TenderNed)) - Verklaring van de Belastingsdienst; (Eis 12 TN) - Bewijs van aansprakelijkheidsverzekering; (Eis 3 TN en bijlage B 1.1) - Bewijs van kwaliteitsmanagementsysteem ISO 9001 of gelijkwaardig;(Eis 4 TN en bijlage B 1.2) - Bewijs van milieumanagementsysteem; (Eis 5 TN en bijlage B 1.3) - Een geldig ISO 27001-certificaat (of een vergelijkbare specifieke norm voor cloud/software zoals ISO 27017 / ISO 27018), dat is afgegeven door een onafhankelijke, geaccrediteerde certificatie-instelling. (Eis 13 TN) 4.3 Beoordeling gunningscriteria Gunning zal plaatsvinden op basis van het gunningscriterium beste prijs-kwaliteitverhouding op basis van de volgende subgunningscriteria: Subgunningscriteria Inhoud van het subgunningscriterium Wegings- Maximale 18 van 21 Factor Punten Kwaliteit 70% 700 1 Patiëntveiligheid 35% 245 2 Uniformiteit in dienstverlening 25% 175 3 Koppeling planbord verpleging en organisatie 10% 70 4 Beleving 25% 175 5 Kwaliteitsgarantie 5% 35 Prijs 30% Prijsblad De gehanteerde prijsstelling en overige kosten 300 Totaal 100% De kwaliteit van de dienstverlening van de inschrijvers wordt (mede) beoordeeld aan de hand van open vragen (Bijlage F).

• Het informatiesysteem van de Opdrachtnemer (waar de informatie van Amsterdam UMC in worden verwerkt) voldoet aantoonbaar aan de eisen voor NEN-EN-ISO/IEC 27001:2023 (Managementsysteem voor informatiebeveiliging, cybersecurity en bescherming van de privacy).

Beschrijving IEEE 802.1x WPA2-Enterprise authenticatie en autorisatie is op verschillende manieren mogelijk.

De voorkeur gaat uit naar gebruik van: 1a – PEAP-MSCHAPv2 1b – EAP-TLS Alleen als WPA2-Enterprise niet mogelijk is, mag met toestemming gebruikgemaakt worden van WPA2-Personal (PSK).

Beschrijving IEEE 802.1x WPA2-Enterprise authenticatie en autorisatie is op verschillende manieren mogelijk.

AD beheer 2 Het Erasmus MC is voor 100% eigenaar van de data opgenomen in de SAAS dienst. Data kan in zijn geheel worden geexporteerd door een bevoegd Erasmus MC SAAS beheerder AD beheer 3 Op verzoek dient de SAAS leverancier binnen 48 uur alle data gestructureerd te kunnen overhandigen aan het Erasmus MC AD beheer 4 De applicatie blijft goed presteren ongeacht de groei AD beheer 5 De leverancier voldoet aan relevante normen (bijv. ISO 27001, SOC 2, GDPR/AVG) AD beheer 6 De responsetijd bij incidenten is 30 min. na digitaal of telefonisch melden van het incident AD beheer 7 Oplostijd van een incident is binnen 4 uur AD beheer 8 De uptime van de SAAS dienst is 99,98% AD beheer 9 De SAAS dienst leverancier maakt eens per week een volledige backup van de data en per dag tenminste 4 incremental backups van de volledige dataset.

Netwerkbeheer 2 Authenticatie op basis van WPA2-Enterprise wordt ondersteunt Netwerkbeheer 3 Authenticatie op basis van WPA2-PSK in combinatie met MAC authenticatie wordt ondersteunt Netwerkbeheer 4 Het systeem kan zowel op 2,4 als op 5Ghz functioneren binnen het radiospectrum Netwerkbeheer 5 Op de 2,4Ghz radio dienen de kanalen 1,6 en 11 te worden ondersteund Op de 5Ghz radio dienen de kanalen 36,40,44,48,100,104,108 en 112 te worden ondersteund Netwerkbeheer 6 Het team netwerkbeheer bepaald op welk SSID de apparatuur wordt aangesloten Netwerkbeheer 7 I.v.m. strikte security maatregelen levert u de verkeersstromen aan voor het functioneren van de dienst. Deze verkeersstromen worden vertaald naar configuratie van de WLAN firewall zodat communicatie mogelijk is.

Gebruik van WPA2-Enterprise is verplicht, behoudens door ICT Services goedgekeurde uitzonderingen per SSID.

IPv6 wordt niet ondersteund.

Beschrijving IEEE 802.1x WPA2-Enterprise authenticatie en autorisatie is op verschillende manieren mogelijk.

De voorkeur gaat uit naar gebruik van: 1a – PEAP-MSCHAPv2 1b – EAP-TLS Alleen als WPA2-Enterprise niet mogelijk is, mag met toestemming gebruikgemaakt worden van WPA2-Personal (PSK).

A.1 UMCU-Controlled Voorkeur: Techniek: Voorwaarde: SSID UMCU-Intern Authentication (min.) WPA2-Enterprise Encryption (min.) AES EAP-Method EAP-TLS Inner Auth method TLS Certificate Hashing (min.) SHA-256 WiFi band support 5GHz Reg.

A.2 UMCU-BYOD Techniek: Voorwaarde: SSID UMCU-Intern Authentication (min.) WPA2-Enterprise Encryption (min.) AES EAP-Method EAP-PEAP Inner Auth method MSCHAPv2 Certificate Hashing (min.) SHA-256 WiFi band support 2.4GHz en/of 5GHz Reg.

A.3 Eduroam UMC Utrecht 3.4 Datum : 12 januari 2024 Inhoudsopgave 12 Techniek: Voorwaarde: SSID Eduroam Authentication (min.) WPA2-Enterprise Encryption (min.) AES EAP-Method EAP-PEAP Inner Auth method MSCHAPv2 Certificate Hashing (min.) SHA-256 WiFi band support 2.4GHz en/of 5GHz Reg.