Bijlage 3 - Addendum gemeente Alblasserdam.pdf
Tekst van het document
Addendum gemeente Alblasserdam In dit addendum is voor de gemeente Alblasserdam aangegeven op welke wijze er op het regionale informatiebeveiligingsbeleid Drechtsteden wordt afgeweken of wordt voortgeborduurd. I. Afwijkingen Waar in het informatiebeveiligingsbeleid wordt gesproken over lijnmanagement, spreken wij binnen Alblasserdam over het managementteam (MT). II.
Aanvullingen
Strategische kaders Tactisch informatiebeveiligingsbeleid/ -plan Naast het regionale strategische informatiebeveiligingsbeleid en -plan is er in Alblasserdam voor gekozen om een lokaal tactisch informatiebeveiligingsplan op te stellen, te implementeren en daarna te borgen. In dit plan wordt nadere tactische inrichting gegeven aan informatiebeveiliging binnen onze organisatie. Wanneer nodig, stelt de adviseur informatiebeveiliging met ondersteuning of advies van de CISO het lokale informatiebeveiligingsplan bij. Als deze wijzigingen financiële gevolgen hebben, dient het College van Burgemeester en Wethouders het herziene plan vast te stellen. Als deze wijzigingen geen financiële gevolgen hebben, stelt het MT (managementteam) het herziene plan vast. Kwaliteit op orde Naast deze missie heeft de gemeente de komende 3-4 jaar de belangrijke taak om de basis op orde te brengen. Dit geldt ook voor de informatievoorziening, bijbehorende besturing en kosten. Dit mag echter niet leiden tot stilstand. Innoveren zal een belangrijkere rol gaan spelen. Uitgangspunten - Het managementteam bepaalt, op basis van de uitgangspunten van dit beleid, de prioriteiten voor de organisatie op het gebied van informatieveiligheid. - Iedereen binnen de organisatie is bekend met de verantwoordelijkheden die bij zijn of haar rol horen.
- Binnen de gemeente is de business (proces- of systeemeigenaren) aan zet om middels risicoafwegingen prioriteit te geven aan beveiliging en te sturen wat de business belangrijk vindt. Het perspectief wordt bepaald door de proces- of systeemeigenaar. Business ambities worden vastgesteld aan de hand risico's. - Conform het “Pas toe of leg uit”· beginsel. Dit betekent dat de verantwoordelijke systeem- of proceseigenaren alleen mogen afwijken van Informatiebeveiligingsrichtlijnen (strategische en tactisch niveau) in geval van redenen van bijzonder gewicht, rekening houdend met de geldende wetgeving. Rollen en verantwoordelijkheden Vanuit strategisch en tactisch oogpunt zijn er voor Alblasserdam verschillende rollen belegd met bijbehorende verantwoordelijkheden. Zij zorgen ervoor dat het veilig omgaan met informatie door de gehele organisatie heen wordt nagestreefd en dat verantwoordelijkheden bij de juiste personen binnen de organisatie belegd zijn. In dit addendum worden verantwoordelijkheden benoemd die aanvullend zijn op de verantwoordelijkheden die in het informatiebeveiligingsbeleid staan beschreven.
E. Weemering & M. Bouziane
4 december 2020
1
Organogram gemeente Alblasserdam
Eindverantwoordelijke portefeuillehouders Voor harde kant is de eindverantwoordelijke wethouder voor informatiebeveiliging en privacy, en voor de zachte kant is dit de burgemeester. Algemeen directeur De algemeen directeur (gemeente secretaris) is verantwoordelijk voor het vaststellen van het gewenste niveau1 van continuïteit en vertrouwelijkheid. De algemeen directeur draagt zorg voor het uitwerken van tactische informatiebeveiligings- beleidsonderwerpen en laat zich hierin bijstaan door de adviseur informatiebeveiliging van de gemeente. De algemeen directeur zorgt dat alle processen en systemen en de daarbij behorende middelen altijd onder de verantwoordelijkheid van het managementteam vallen. De directie zorgt dat het managementteam zich verantwoordt over de beveiliging van de informatie die onder hen valt. De algemeen directeur zorgt dat de eindverantwoordelijke portefeuillehouders binnen het college gevraagd en ongevraagd geïnformeerd worden over de mate waarin informatiebeveiliging een onderdeel is van het handelen van de bedrijfsvoering. Op die manier kan het college zich ook verantwoorden naar de raad. Afdelingshoofd Informatiebeveiliging valt onder de verantwoordelijkheden van alle afdelingshoofden. Deze verantwoordelijkheid kunnen zij niet delegeren, uitvoerende werkzaamheden wel.
Voor alle processen, systemen, data, applicaties moet altijd minimaal één eigenaar zijn; er moet dus altijd iemand verantwoordelijk zijn. Zij zijn ervoor verantwoordelijk om voor de lokale informatie(systemen) een functioneel beheerder aan te stellen
1 Het vaststellen van het volwassenheidsniveau informatiebeveiliging zal plaats vinden aan de hand van het NBA-LIO model van Auditdienst
Rijk (ADR).
E. Weemering & M. Bouziane
4 december 2020
2
Proces- en systeemeigenaren Proces- en systeemeigenaren hebben de belangrijkste uitvoerende en controlerende taak en verantwoordelijkheid om de beveiligingsmaatregelen te treffen, bij te houden en te borgen. Binnen de gemeente is de business (proces- of systeemeigenaren) aan zet om middels risicoafwegingen prioriteit te geven aan beveiliging en te sturen wat de business belangrijk vindt. Het perspectief wordt bepaald door de proces- of systeemeigenaar. Business ambities worden vastgesteld aan de hand risico's. ENSIA-coördinator Deze zorgt ervoor dat de informatie die nodig is voor het beantwoorden van vragen binnen ENSIA wordt opgehaald bij de verantwoordelijke afdelingshoofden. Adviseur informatiebeveiliging De adviseur informatiebeveiliging ondersteunt net als De Chief Information Security Officer (CISO) vanuit een onafhankelijke positie de organisatie bij het bewaken en verhogen van de betrouwbaarheid van de informatievoorziening en rapporteert hierover rechtstreeks aan de algemeen directeur, voorafgaand aan de P&C-gesprekken. De adviseur werkt samen met de CISO bij het opleveren van rapportages. De adviseur informatiebeveiliging zorgt mede ervoor dat regionale initiatieven bij de gemeente bekend zijn en ziet toe op de toepassing hiervan. Voor lokale initiatieven biedt de adviseur informatiebeveiliging ondersteuning en advies, ook rechtstreeks aan de algemeen directeur.
En biedt tweedelijns ondersteuning aan de afdelingshoofden, zodat zij hun verantwoordelijkheid waar kunnen maken. Functioneel beheer Voor informatiesystemen en applicaties die enkel binnen de gemeente Alblasserdam in gebruik zijn, zijn functioneel beheerders aangesteld. Zij zijn verantwoordelijk voor het treffen van de juiste maatregelen rondom de autorisaties van het systeem of de applicatie. Dit doen zij vanaf de beginfase: bij het aanschaffen van een nieuw systeem of applicatie dient rekening te worden gehouden met aspecten van informatiebeveiliging. Bij geconstateerde gebreken aan informatiesystemen of applicaties zijn de functioneel beheerders verantwoordelijk voor het zoeken naar de oorzaak en mogelijke oplossingen. Wanneer dit niet binnen het kenniskader van de beheerder ligt, zijn zij verantwoordelijk voor het ondersteunen van of adviseren in een regionaal of extern onderzoek. Medewerkers Iedere medewerker draagt verantwoordelijkheid voor het toepassen van opgestelde beveiligingsmaatregelen. Wanneer een medewerker constateert onvoldoende kennis te hebben over het implementeren van maatregelen of uitvoeren van acties binnen processen, is er binnen elk team een aanspreekpunt. Bij het zien van onvolledigheden, gebreken of incidenten zijn medewerkers geïnstrueerd een melding te doen.
Concerncontroller Zij leveren een objectief oordeel voorzien met mogelijkheden tot verbetering. Bespreken de authenticatie en autorisatie van (oud) medewerkers met de lijnmanagers in het kader van hun controlerende en adviserende rol binnen Identity Access Management. III. PDCA-model gemeente Alblasserdam De P&C-cyclus is een bestaand proces binnen onze gemeente waar informatiebeveiliging idealiter op aan zou moet sluiten. Via de P&C-cyclus kan gerapporteerd worden aan verschillende stakeholders over de doelen van informatiebeveiliging en de voortgang op deze doelen (verantwoording). Do en
E. Weemering & M. Bouziane
4 december 2020
3
act ontbreekt vaak in een gemeentelijk organisatie. Vanuit de BIO is hier een oplossing voor, de BIO geeft aan dat gemeenten moeten beschikken over een ISMS-systeem. Dit staat voor Information Security Management System en is een managementsysteem voor informatiebeveiliging. Het doel van het ISMS is – naast het borgen van de maatregelen - onder andere het continu beoordelen van welke beveiligingsmaatregelen passend en effectief zijn en deze indien nodig bij te stellen. Het ISMS is een proces dat de basis legt voor passende beveiligingsmaatregelen voor de gemeente over de langere termijn. Het ISMS wordt uitgevoerd door de informatiebeveiligingsorganisatie met verschillende activiteiten in de PDCA-cyclus (kwaliteitscirkel) van het ISMS. Gemeente Alblasserdam investeert in een ISMS-systeem. Wanneer we uitgaan van DATA-gedreven werken (in plaats van FINANCE gedreven in de huidige situatie) moeten we informatiebeveiliging een centrale rol geven in de PDCA-cyclus.
Afbeelding inrichting PDCA binnen gemeente Alblasserdam
Information Security Management System (ISMS) De BIO geeft aan dat gemeenten moeten beschikken over een ISMS-systeem. Dit staat voor Information Security Management System en is een managementsysteem voor informatiebeveiliging. De norm ISO 27001 informatiebeveiliging is dé standaard voor het opzetten en implementeren van een ISMS en beschrijft hoe informatiebeveiliging procesmatig kan worden ingericht. Het doel van het ISMS is – naast het borgen van de maatregelen - onder andere het continu beoordelen van welke beveiligingsmaatregelen passend en effectief zijn en deze indien nodig bij te stellen. Het ISMS is een proces dat de basis legt voor passende beveiligingsmaatregelen voor de gemeente over de langere termijn. Het ISMS wordt uitgevoerd door de informatiebeveiligingsorganisatie met verschillende activiteiten in de PDCA-cyclus (kwaliteitscirkel) van het ISMS. Gemeente Alblasserdam gaat investeren in een ISMS-systeem. IV. Overlegstructuur Overleg informatiebeveiligingsdriehoek. Binnen de gemeente Alblasserdam vindt standaardoverleg plaats conform de discipline informatiebeveiligingsdriehoek. Je kunt namelijk geen besluiten nemen zonder dat dit impact heeft op de ander. Dit overleg vindt eens in de drie weken plaats via het Privacy en Informatiebeveiligingsteam (PIT). Het team bestaat uit een privacy adviseur, informatieadviseur en gemandateerde.
E. Weemering & M. Bouziane
4 december 2020
4
Afbeelding informatiebeveiligingsdriehoek
Indien noodzakelijk wordt vanuit informatiebeveiligingsdriehoek opgeschaald naar: Managementoverleg In het managementteam (MT) vindt de afstemming plaats tussen de algemeen directeur en afdelingshoofden. Het managementoverleg vormt daarnaast een adviesorgaan voor de algemeen directeur op het terrein van bedrijfsvoering, strategische beleidsontwikkeling en complexe projecten. In het MT vindt de terugkoppeling plaats van college- en directiebesluiten en wordt de voortgang van complexe en bestuurlijk gevoelige projecten besproken en afgestemd. Samenstelling: 1. De algemeen directeur 2. De afdelingshoofden Andere overlegvormen Naast het MT zijn er binnen de organisatie vanzelfsprekend andere overlegvormen aanwezig. Ook over de afdelingen heen zullen diverse vormen van overleg worden georganiseerd. Het is aan de afdelingshoofden om hier (binnen door de directie te stellen kaders) afspraken over te maken, om zodoende effectief en efficiënt werkende afdelingen en taakvelden te realiseren.
E. Weemering & M. Bouziane
4 december 2020
5