Raadsinformatiebrief Ensia 2021.pdf

Raadsinformatiebrief Onderwerp

: Raadsinfomatienota ENSIA-verantwoording 2021

Aanleiding

:

Datum

: 24 mei 2022

Portefeuillehouder

: J.G.A. Paans

Schrijver

: N. Sijrier

Geachte leden van de gemeenteraad,

INLEIDING Gemeenten hebben de wettelijke taak om een groot aantal diensten te leveren aan inwoners en ondernemers. Deze diensten worden steeds meer digitaal afgehandeld. De gemeente is dan ook in transitie naar een digitaal georiënteerde dienstverlening en bedrijfsvoering. Een goede ontwikkeling voor burgers en ondernemers die daardoor minder afhankelijk worden van openingstijden. Toegenomen digitalisering betekent echter ook meer verantwoordelijkheid voor de gemeente. Traditioneel beschikt de gemeente al over privacy- en concurrentiegevoelige datasets over en voor inwoners en ondernemers. In een tijd waarin de gemeente steeds meer zorgtaken vanuit het Rijk krijgt overgeheveld, waarbij de hoeveelheid privacygevoelige informatie toeneemt, wordt de informatieveiligheid- en privacy-taak van gemeenten dan ook steeds breder. Tegelijkertijd groeit het maatschappelijk bewustzijn over veiligheid en privacy bij inwoners en ondernemers. Inwoners en ondernemers moeten en willen zeker zijn dat hun informatie veilig. Als professionele organisatie is het van belang dat ook deze gemeente de beveiliging van informatie, en de bescherming van persoonsgegevens, adequaat organiseren. Informatie moet immers beschikbaar, actueel, volledig en betrouwbaar zijn en mag alleen door bevoegden zijn in te zien.

Ook bij de uitwisseling van informatie moet de gemeente te allen tijde rekening houden met beveiligings- en privacyaspecten. De gemeente heeft een maatschappelijke en wettelijke verantwoordelijkheid de gegevens van hun inwoners en ondernemers onder alle omstandigheden te beschermen en moeten zich daarover kunnen verantwoorden. VERANTWOORDING INFORMATIEBEVEILIGING & SCOPE Het college van burgemeester en wethouders van de gemeente legt sinds 2017 verantwoording af over informatieveiligheid en privacybescherming. Dit op basis van landelijke en Europese wet- en regelgeving en landelijke normenkaders zoals de Baseline Informatiebeveiliging Overheid (BIO). De belangrijkste gemeentelijke informatiebeveiligingsdoelstellingen zijn:  Het zorgvuldig omgaan met informatie en betreffende gegevens beschermen tegen onrechtmatige toegang en/of misbruik en/of manipulatie;  Het waarborgen van de beschikbaarheid, integriteit en vertrouwelijkheid van deze (persoons)gegevens en de continuïteit van de dienstverlening van de gemeente.  Het voldoen aan wet- en regelgeving;  Het beheersen van risico’s. Middels het Eenduidige Normatiek Single Information Audit systematiek (ENSIA) wordt hier via een eenmalige uitvraag de duiding aan meerdere toetsingskaders. De scope van ENSIA is als volgt: Pagina 1 van 3

Implementatie Baseline Informatiebeveiliging Overheid (BIO) (Systemen achter de) Digitale persoonsidentificatie (DigiD) Basisregistratie Personen (BRP) Wet- en regelgeving Reisdocumenten (PUN en PNIK) Basisregistratie Adressen en Gebouwen (BAG) Basisregistratie Grootschalige Topografie (BGT) Basisregistratie Ondergrond (BRO) Gezamenlijke Elektronische Voorzieningen Structuur uitvoeringsorganisatie Werk en Inkomen (GeVS/Suwinet)  WOZ (Wet Waardering Onroerende Zaken).        

De horizontale verantwoording aan de gemeenteraad sluit met ENSIA dan ook goed aan op de gemeentelijke Planning- en Control-cyclus. Vanuit de horizontale verantwoording wordt de verantwoording aan de stelselhouders bij het Rijk afgeleid, de zogenaamde verticale verantwoording. Een verkorte gemeente specifieke weergave van de uitkomsten treft u aan in deze nota in bijlage 1. ACTIVITEITEN REGIONAAL IN 2021 In 2021 heeft de Drechtsteden, zeker binnen het SCD, te maken gehad met een aantal organisatorische wisselingen van de wacht, zoals het vertrek van de beide regionale CISO's en de aanstelling van een parttime tijdelijke CISO, en verloop in de groep met lokale informatiebeveiligings-adviseurs. Dit tegelijkertijd met een aantal technische veranderingen, zoals die van een nieuwe Cloud-werkplek en het nieuwe Cloud-datacenter, gecombineerd met de insourcing van de Gemeenschappelijke Regeling Drechtsteden (GRD) naar Servicegemeente Dordrecht (SGD). Desondanks is er in 2021 veel werk verzet op het gebied van informatiebeveiliging en privacy met het verder implementeren en borgen van passende maatregelen op het gebied van informatieveiligheid en privacy.

Zo is er veel aandacht gegaan naar het meer robuust maken van de digitale omgeving zodat deze in geval van bijvoorbeeld een Ransomware aanval beter weerstand kan bieden, waarvoor aanvullend een aparte offline back-up omgeving opgetuigd is. Het is goed om te merken dat de basis voor de beveiliging voldoende robuust is en op korte termijn voldoende weerstand biedt. Activiteiten lokaal in 2021 Een van de belangrijke speerpunten binnen zowel informatiebeveiliging als privacy is bewustwording. Binnen de gemeente Alblasserdam is de bewustwording bij de medewerkers rondom informatiebeveiliging en privacy een belangrijk speerpunt. Dit heeft zich onder andere geuit in bewustwordingscampagnes en de 'week van de privacy en security' Naast lokale aandacht is er ook veel aandacht voor de regionale samenwerking en afstemming op het gebied van informatiebeveiliging, privacy en ENSIA. Zo is er een structureel en periodiek overleg tussen de informatiebeveiligingsadviseurs samen met de regionale CISO's (het PIO-D Periodiek InformatieveiligheidsOverleg-Drechtsteden), overleg tussen de Privacy Coördinatoren gezamenlijk met de regionale FG en AVG-adviseurs (het PCO - Privacy Coördinatoren Overleg) en een ENSIA-Coördinatoren overleg. Jaarrapportage Privacy & Gegevensbescherming

De jaarrapportage Privacy & Gegevensbescherming (april 2020 tot april 2021) is door de FG opgeleverd. Daaruit blijkt dat iedere organisatie aan de slag is gegaan met de aanbevelingen uit de eerdere rapportage en stappen zijn gezet in de goede richting. Genoemde aanbevelingen en maatregelen uit de jaarrapportage worden in een jaarplan verwerkt.

Pagina 2 van 3

DOORKIJK PRIORITEITEN ONDERWERPEN INFORMATIEVEILIGHEID 2022  Duiden en beleggen van eigenaarschap ten behoeve van informatiebeveiliging  Herzien van het strategische informatiebeveiligingsbeleid  Aanbesteden, implementeren en verplicht maken van awareness-momenten.  Inrichten governance, risk en compliance (GRC)  Opnieuw aanbesteden extern auditor  Monitoren van Cloud migraties, inclusief ondersteunend beleid  Onderzoek naar capaciteit en implementatie van informatiebeveiliging  Implementatie BIO en AVG DREIGINGSBEELD Om de context te duiden van de prioriteiten, en waarom deze verantwoording met onderliggende maatregelen nemen, is dit jaar als bijlage het 'Dreigingsbeeld informatiebeveiliging IBD 20212022' toegevoegd. Zie bijlage 2. Hierin wordt de wereld geschetst in welke omgeving(en) met welke dreigingen gemeenten te maken hebben. Het is goed om te zien dat de activiteiten die afgelopen jaar (2021) zijn ondernomen in lijn liggen met de in dat rapport genoemde handelsperspectieven. Waar vanuit de raad op toegezien kan worden richting het college staat duidelijk uiteen geschreven op pagina's 16 tot en met 18 van deze 'bijlage 2'-rapportage RESULTATEN Gebleken is dat gemeente Alblasserdam over het algeheel voldoende scoort in de zelfevaluaties en verantwoording aan het Rijk.

Zie Bijlage 1 "Resultaten in 2021" Verbeterpunten en aandachtspunten zijn opgenomen in specifieke verbeterplannen en/of het strategische Regio Drechtsteden informatiebeveiligingsplan 2022. VERVOLG De verantwoording op het gebied van informatieveiligheid en privacy is een jaarlijks terugkerend proces als onderdeel van de Plan-DO-Check-Act (PDCA-) cyclus. In de vernieuwde rapportagelijn zal er, zoals eerder gecommuniceerd, periodiek een update gecommuniceerd worden over de status van informatieveiligheid. En natuurlijk ook indien er eerder urgent relevante ontwikkelingen zijn. BIJLAGEN Bijlage 1 Resultaten in 2021 Bijlage 2 Dreigingsbeeld informatiebeveiliging IBD 2021-2022

Met vriendelijke groet, burgemeester en wethouders,

de secretaris S. van Heeren

de burgemeester J.G.A. Paans

Pagina 3 van 3