20210622 Bijlage samenvatting verbeterplan IV en digitale veiligheid en weerbaarheid versie 11.docx

Managementsamenvatting Verbeterplan Informatievoorziening en digitale veiligheid en weerbaarheid

Aanleiding Het bestuurlijk afstemmingsoverleg Amsterdam-AGV Digitalisering en digitale veiligheid heeft namens de beide bestuurlijk opdrachtgevers van Waternet aan de CIO a.i. (Waternet) de opdracht gegeven om een plan op te stellen omdat Waternet onbeheerste risico’s loopt op het vlak van de informatiebeveiliging en daarmee ook op de bedrijfscontinuïteit. Het voorliggende document is de managementsamenvatting van dit plan (Verbeterplan Informatievoorziening (IV) en digitale veiligheid en weerbaarheid, versie 1.1). Achtergrond Onderzoeken naar informatiebeveiliging Uitkomsten van verschillende Informatiebeveiligingsonderzoeken (o.a. Accenture en Gorter) hebben eind vorig jaar uitgewezen dat Waternet niet voldoet aan vigerende normenkaders voor informatiebeveiliging (IB). U bent daarover in een bijeenkomst op 3 december 2020 geïnformeerd. Ook op dit moment voldoet Waternet nog niet aan deze normenkaders. Huis op orde In de commissievergaderingen van 20 januari 2021, 11 februari en middels het memo “Huis op orde” van 10 maart 2021 is het algemeen bestuur AGV geïnformeerd over de noodzakelijke maatregelen voor het waarborgen van de digitale veiligheid en weerbaarheid, en het aanpakken van de bevindingen vanuit de onderzoeken. Op korte termijn werd gewerkt aan het mitigeren van de risico’s die door de (urgente) bevindingen waren geconstateerd.

Voor de middellange termijn werd toegezegd dat er een plan digitale veiligheid en weerbaarheid zou worden opgesteld. Aanstelling CIO a.i. en voorlopige inrichting MT IV De CIO ad interim is in februari 2021 gestart met zijn werkzaamheden. De afdelingen IT, PA (proces automatisering) en domeinen zijn samengebracht en onder functionele aansturing gebracht van de CIO a.i. Voor proces automatisering is een afdelingshoofd aangetrokken. Verscherpt toezicht ILT Waternet staat daarnaast sinds 2 april 2021 onder verscherpt toezicht door de ILT. De sterke samenhang in techniek, dienstverlenings- en beheerprocessen, maakt dat de Drinkwatervoorziening geen losstaand eiland is. In het rapport van de ILT waarin ook breder dan alleen de Drinkwatervoorziening wordt gekeken komt dit duidelijk tot uitdrukking. Werkgroep Besturen van Digitalisering en Klankbordgroep Digitalisering Het algemeen bestuur heeft op 22 april 2021 het advies van de AB-werkgroep Besturen van digitaliseren overgenomen. Aan het dagelijks bestuur is bij besluit gevraagd uitvoering te geven door de werkgroep Besturen van digitalisering geformuleerde opdrachten aan het DB en AB. Geformuleerde uitgangspunten, bouwblokken en bouwstenen van de werkgroep zijn nu meegenomen als kaders bij de totstandkoming van het ‘Verbeterplan Directie Informatievoorziening (IV) en digitale veiligheid en weerbaarheid’.

Op 2 juni is de KlankbordGroep Digitalisering ingesteld. Verschillende onderdelen van het plan zullen voor advies worden voorgelegd aan de Klankbordgroep. Algemene Ontwikkelingen Relevante algemene ontwikkelingen zijn: Belang van IT en OT neemt toe Voor de digitale transformatie zal Informatietechnologie (IT) en Operational Technology (OT) steeds belangrijker worden. Operational technology (OT) is de hard- en software die industriële apparatuur en processen monitort of bestuurt, bijvoorbeeld de industriële technologie die de motoren van een waterzuiveringsinstallatie bestuurt. Door de nieuwe mogelijkheden en ook de bedreigingen van de nieuwe informatietechnologie, zal de organisatie en de medewerkers zich daarop moeten aanpassen en weerbaar maken. Samenkomen van OT en IT Van oorsprong ging het bij OT om informatietechnologie voor industriële apparatuur en bij IT om informatietechnologie voor een kantooromgeving. In het verleden waren deze landschappen volledig gescheiden. Ze werden in verschillende omgevingen gebruikt en de eindverantwoordelijken verschilden ook. Doordat industriële apparatuur steeds vaker is voorzien van sensoren en software en deze zijn gekoppeld aan het bedrijfsapplicaties, komen deze werelden de laatste jaren steeds meer samen.

Classificatie: Openbaar

Cyberdreiging neemt toe Cyberdreiging neemt elk jaar weer wereldwijd toe en daarmee ook voor Waternet. Cybersecurity en informatiebeveiliging is inmiddels ‘chefsache’ geworden. Uitbreiding normen en toezicht De wet- en regelgeving en normkaders worden steeds verder uitgebreid en aangescherpt. Samenwerken In het addendum van het Bestuursakkoord Water van oktober 2018 heeft de watersector afspraken gemaakt over samenwerking op het gebied van cybersecurity. Via het programma ‘Versterken Cyberweerbaarheid in de Watersector’ (van het ministerie van Infrastructuur en Waterstaat)’ werken de waterpartners samen aan projecten, die moeten leiden tot een daadwerkelijke versterking van de cyberweerbaarheid. In de ledenvergadering van de Unie van Waterschappen in september 2018 is in de baseline “Basis op orde” afgesproken beschreven welke stappen de waterschappen willen zetten om bij te kunnen blijven op het gebied van digitalisering. In het voorjaar van 2021 is een geactualiseerde versie van de baseline opnieuw onderschreven door de waterschappen. Onderdeel van die baseline is de ambitie om in 2021 te voldoen aan niveau 3 (opzet en bestaan) van de norm die is beschreven voor informatieveiligheid. Eind 2021 zal een gezamenlijke audit plaatsvinden op dit onderdeel. Problematiek De problematiek binnen Waternet ten aanzien van de informatievoorziening is breed en omvangrijk.

De problematiek bevindt zich op het vlak van:  cybersecurity en informatiebeveiliging  techniek  governance  dienstverlening  organisatie  processen  cultuur en bewustzijn  sturing en beheersing  financiën De organisatie is achtergebleven bij het belang van IT en OT voor de watertaken die Waternet uitvoert en daarmee ook voor (verdere) digitalisering. De bestuurlijke opdrachtgevers hebben daarbij onvoldoende kunnen sturen op informatievoorziening en de bijbehorende risico’s. Voor de cybersecurity en de informatiebeveiliging geldt dat Waternet niet voldoet aan het vigerende normkader Waternet loopt daarmee onbeheerste risico’s op het vlak van de informatiebeveiliging en daarmee ook op de bedrijfscontinuïteit. Eindsituatie en doelen Om de aangegeven problematiek structureel op te lossen en de geschetste ontwikkelingen het hoofd te kunnen bieden wordt toegewerkt naar de volgende eindsituatie:  Een toekomstvaste directie IV binnen Waternet die door het leveren van efficiënte, betrouwbare en veilige diensten - met weloverwogen gebruik van diensten uit de markt - voorziet in de behoefte van haar afnemers en bestuurlijke opdrachtgevers met inachtneming van relevante wet- en regelgeving en sectorale afspraken.

 De samenwerking van directie IV met de andere directies binnen Waternet is vormgegeven waarbij rollen ten aanzien van de informatievoorziening (IV), bijvoorbeeld de eigenaar van een bedrijfsapplicatie, juist zijn belegd en worden ingevuld.  De bestuurlijke opdrachtgevers (AGV en Gemeente Amsterdam) zijn in staat om hun rol ten aanzien van digitalisering en digitale informatiebeveiliging ook daadwerkelijk in te invullen. Het verbeterplan legt het fundament voor dit toekomstbeeld en faciliteert de organisatie hierbij dusdanig dat na afronding van het verbeterplan de organisatie in control is op de dienstverlening en zelfredzaam is in haar streven om door te groeien in volwassenheid. Na de looptijd van het verbeterplan is er een directie IV, met een verankerde PDCA-cyclus en cultuur, die stuurt op een betrouwbare en veilige dienstverlening volgens afspraak en binnen de financiële kaders. De doelen van het programma zijn daarmee: 1. Sturing en beheersing op Informatievoorziening en digitale veiligheid en weerbaarheid ingericht; 2. Informatiebeveiliging in de basis structureel op orde;

Classificatie: Openbaar

3. Bewustzijn ten aanzien van informatiebeveiliging binnen heel Waternet structureel geborgd; 4. Fundament voor een professionele, gezonde en wendbare directie IV; 5. In control op de levenscyclus van alle IV systemen. De onderstaande tabel geeft voor elk doel de te behalen resultaten weer voor eind 2021 en 2022.

Opzet Verbeteren van de digitale veiligheid en weerbaarheid is niet alleen techniek. Andere facetten, namelijk proces en de mens-factor (bewustzijn), zijn minstens zo belangrijk. Het programma richt zich in haar doelen en activiteiten op al deze aspecten. Het verbeterplan richt zich niet alleen op het verhogen van de digitale veiligheid en weerbaarheid (processen, cultuur en techniek), maar ook op het op orde brengen van de bedrijfsvoering van de directie IV, waaronder HR, financiën en service management processen. Het verbeterplan heeft een programmatische opzet, die faciliterend is aan de lijnorganisatie van Waternet waarbij de procesaanpak centraal staat. In de procesaanpak worden proceseigenaren in de staande organisatie aangewezen. Onder regie en verantwoordelijkheid van deze proceseigenaren worden de ontbrekende of onvoldoende ingerichte processen initieel opgezet, ingevoerd, geborgd en vervolgens continu verbeterd. Door deze aanpak wordt ook de PDCA-cirkel voor het desbetreffende proces zo snel mogelijk volledig gesloten. Door deze procesaanpak worden de noodzakelijke veranderingen beter geborgd in de organisatie en wordt voorkomen dat er een organisatie naast de staande organisatie ontstaat.

Vijf sporen Aan de hand van de beoogde eindsituatie, de aangegeven doelen, geschetste problematiek en de bevindingen uit de verschillende informatiebeveiligingsonderzoeken, waaronder Accenture, Gorter, Rekenkamer en de Inspectie Leefomgeving en Transport, is een vijftal sporen gedefinieerd om deze programmadoelen te bereiken. Deze sporen zijn: 1. Versterken cybersecurity-functie en architectuur-functie; 2. Verhogen digitale veiligheid en weerbaarheid; 3. Verhogen cybersecurity bewustzijn en kennis; 4. Bedrijfsvoering Informatievoorziening op orde; 5. Fundament voor toekomst vaste IV-directie (incl. cultuur). In het verbeterplan wordt per spoor inzicht en beeld gegeven over de subdoelen, aanpak, resultaten, sturing en kosten. Het onderstaande figuur geeft sporen en de onderdelen binnen elk spoor weer.

Classificatie: Openbaar

Hieronder volgt een korte toelichting op elke spoor. Veel van de onderdelen in de sporen zijn wettelijk verplicht, bijvoorbeeld het invoeren en borgen van een management systeem voor informatiebeveiliging (spoor 1) of de inrichting en borging van een Security Operations Center. Spoor 1: versterken Informatiebeveiligingsfunctie en architectuurfunctie Spoor 1 richt zich op het versterken van de informatiebeveiligings- en architectuurfunctie. De informatiebeveiligingsfunctie bestaat uit de informatiebeveiligingsorganisatie zelf en het managementsysteem (proces) voor de informatiebeveiliging. Gegeven de veranderopgave moet de informatiebeveiligingsorganisatie binnen Waternet op een aantal rollen tijdelijk worden versterkt. Deze versterking is onder meer noodzakelijk om het managementsysteem voor de informatiebeveiliging binnen Waternet goed in te voeren en te borgen. Met dit managementsysteem worden onder meer de risico’s ten aanzien van de informatiebeveiliging continu in kaart gebracht in de vorm van een bevindingenregister en wordt beoordeeld of informatiebeveiligingsbeleid, -richtlijnen en -maatregelen die passend en effectief zijn, en of deze bijgesteld moeten worden. Het bevindingenregister vormt een belangrijke input voor de dialoog tussen de directie Waternet en de bestuurlijke opdrachtgevers om de juiste prioriteiten te kunnen stellen.

Met de invoering en borging van de architectuurfunctie binnen Waternet ontstaat een consistent geheel van principes en modellen dat richting geeft aan ontwerp en realisatie van de processen, organisatorische inrichting, informatievoorziening en technische ICT-infrastructuur van Waternet. Hierdoor wordt onder meer invulling geven aan het beleid en principes van security-by-design, privacy-by-design en archivering-by-design. Bij security-bydesign wordt informatiebeveiliging ingebouwd vanaf het begin zodat een bestendiger informatiesysteem ontstaat. De rol van security architect is onmisbaar in dit proces. Tot op heden is deze rol nog niet ingevuld bij Waternet. In dit spoor wordt de rol van security architect ingevuld. Spoor 2: verhogen digitale veiligheid en weerbaarheid Spoor 2 richt zich op het inrichten van een centrale tafel (portfolioboard) waarin prioriteiten en afhankelijkheden van alles met een informatievoorzieningscomponent en het gehele portfolio (PA, IT en domeinen) integraal bestuurd wordt. Waternet werkt al enkele jaren met een Agile aanpak op basis van een 3 maandelijkse cyclus (3MC). Elke 3 maanden worden keuzes gemaakt over de resource allocatie (mensen en middelen), financiering en prioriteitstelling (risico gebaseerd) van lopende en nieuwe initiatieven.

Op basis van onder meer het bevindingenregister en risicoafweging worden op deze centrale tafel de prioriteiten gesteld voor de komende 3MC(s). Aan deze centrale tafel zitten de bestuurlijke opdrachtgevers en sluit de directie Waternet aan in een adviserende rol. Op deze manier kunnen de bestuurlijke opdrachtgevers gezamenlijk sturen op prioriteiten op basis van risico’s, toegevoegde waarde en kosten. Bij de opstart van deze centrale tafel zal uitgebreid aandacht aan de noodzakelijke rollen, in het bijzonder naar de rol van eigenaar van een bedrijfsapplicatie (=primair proceseigenaar), worden besteed. De centrale tafel gaat dus voor een deel over de beveiligingsmaatregelen die getroffen moeten worden, bijvoorbeeld het aanpassen van een bedrijfsapplicatie om afwijkende situaties op het vlak van informatiebeveiliging te registreren.

Classificatie: Openbaar

Binnen dit spoor 2 wordt de technische expertise binnen Waternet, bijvoorbeeld netwerk beveiligingsspecialisten, tijdelijk versterkt om de bevindingen uit het bevindingenregister met de juiste prioriteit versneld weg te werken. Verder valt binnen spoor 2 het project Security Operations Centre (SOC). Het doel van dit project is het vergroten van de weerbaarheid van Waternet. Vroegtijdige detectie door een SOC van een afwijking in de systemen is essentieel voor de weerbaarheid van Waternet. Het project inrichting SOC loopt al. Op dit project zal een herijking plaatsvinden waarbij gekeken zal worden of en op welke wijze samengewerkt kan worden met andere partijen (bijvoorbeeld Rijkswaterstaat of via het Waterschapshuis met de andere waterschappen) en of diensten uit de markt kunnen worden afgenomen. Een ander belangrijk onderdeel binnen dit spoor en dat in alle onderzoeken wordt aanbevolen, is het invoeren en borgen van identiteit- en toegangsbeheer. Identiteit- en toegangsbeheer moet ervoor zorgen dat medewerkers de juiste toegangsrechten tot bedrijfsapplicaties en gegevens hebben en dat van vertrekkende werknemers de toegangsrechten op het juiste moment worden ingetrokken. Spoor 3: verhogen Informatiebeveiliging bewustzijn en kennis Veel risico’s op het gebied van informatiebeveiliging liggen in het handelen als onderdeel van het menselijk gedrag.

Spoor 3 richt zich op het verhogen van het bewustzijn binnen de organisatie en het bestuur met betrekking tot informatiebeveiliging. Bewustwording betekent het bewust zijn van de risico’s die er bestaan op het vlak van informatiebeveiliging. Bepaalde risico’s kunnen worden beperkt door het treffen van technische maatregelen. Veel risico’s liggen echter in het handelen als onderdeel van menselijk gedrag. Voorbeelden hiervan zijn het klikken op een verdachte e-mail (phishing) of het gebruiken van externe voorzieningen, zoals WeTransfer, om even gemakkelijk informatie te delen. Spoor 4: bedrijfsvoering Informatievoorziening op orde Spoor 4 richt zich op het op orde krijgen van de bedrijfsvoering van IV. Belangrijk onderdeel in dit spoor is het inrichten van service management processen op tactisch en operationeel niveau die niet of onvoldoende zijn ingericht. Een voorbeeld van een proces dat niet is ingericht is het meldplicht proces in het kader van de Wet Beveiliging Netwerk en Informatiesystemen (Wbni). In dit spoor worden verder HR, financiën, interne sturing en beheersing, contract- en leveranciersmanagement en de software ontwikkel- en beheerprocessen van IV op orde gebracht. Spoor 5: fundament voor toekomstvaste IV-directie (incl. cultuur) Spoor 5 richt zich op het realiseren van een toekomstvaste directie IV binnen Waternet.

Bepaalde resultaten in de andere sporen, bijvoorbeeld op gebied van personeel (spoor 4 HRM IV op orde), zijn randvoorwaardelijk voor spoor 5. Een van de eerste stappen in spoor 5 is het opstellen van een sourcing strategie. Een sourcing strategie geeft richting aan wat Waternet zelf doet, waar ze samenwerkt met andere partijen of wat ze als dienst volledig uit de markt afneemt. Deze sourcing strategie bepaalt in sterke mate hoe de nieuwe organisatie van directie IV er uit komt te zien. Het resultaat van spoor 5 is een geformaliseerde directie IV die in staat is om de gekozen sourcing strategie uit te voeren. De dienstverlening aan de andere directies binnen Waternet, proceseigenaren (primair) processen, is eenduidig vastgelegd, inclusief risicoprofielen en vereiste middelen. Planning Het onderstaande figuur geeft de planning weer van het programma. Het programma stopt in december 2022.

Classificatie: Openbaar

De sporen lopen parallel in tijd en duren tot eind 2022. In het plan is per spoor inzicht en beeld gegeven over de subdoelen, aanpak, resultaten en sturing. Bestuurlijke betrokkenheid Gedurende de looptijd van het plan, zowel in 2021 als in 2022, moeten keuzes gemaakt worden. De strategische keuzes zullen worden voorgelegd aan de bestuurlijke opdrachtgevers. Een voorbeeld van een strategische keuze is de uitbesteding (sourcing) strategie zoals hierboven beschreven. In het verbeterplan zijn de strategische keuzes die nu voorzien zijn bij elke spoor aangegeven. Kwaliteitsborging Kwaliteitsborging binnen het programma vindt op verschillende manieren plaats. Ten eerste worden de processen bij directie IV door Concern Control (second line) van directie Financiën & Control gecontroleerd (interne audit). Daarnaast gaan er onderzoeken door onafhankelijke gespecialiseerde partijen plaatsvinden naar het managementsysteem informatiebeveiliging (opzet, bestaan en werking) en de softwareontwikkel- en beheerprocessen. Daarnaast vinden er twee grote onafhankelijke onderzoeken plaats in het derde kwartaal 2021 en het vierde kwartaal 2022. Onafhankelijke rapportage (dashboard) over bevindingen informatiebeveiliging In het bevindingenregister zijn alle bevindingen van de onderzoeken (oa. Accenture, Gorter en ILT) die de afgelopen jaren zijn uitgevoerd opgenomen.

De Chief Information Security Officer (CISO) houdt vanuit zijn onafhankelijke positie toezicht op de mate waarin de bevindingen zijn opgelost. In het eerste kwartaal 2021 is prioriteit gegeven aan de negen meest urgente bevindingen (zogenaamde high risks). Voor het tweede kwartaal van 2021 is prioriteit gegeven aan 12 fundamentele focuspunten, die onder te verdelen zijn in risico-mitigatie, detectie, huis op orde en complexiteit reductie. De directie IV rapporteert maandelijks over de voortgang van de realisatie, van zowel de negen urgente punten, als de 12 fundamentele verbeterpunten. De CISO actualiseert op basis van de voortgang en eventuele nieuwe bevindingen het bevindingenregister. De rapportage van de CISO is aanvullend op de rapportages (dashboard) van directie IV. De rapportage over het bevindingenregister tezamen met de rapportage van de CIO a.i. geven een goed beeld van de actuele stand van zaken en de voortgang om te komen tot een digitale veilige situatie en geeft input aan de keuzes die gemaakt worden als onderdeel van de bestuurlijke cyclus die vorm krijgt in de aanpak voor het portfoliomanagement in de tweede helft 2021.

Classificatie: Openbaar

Bijlage A: projectie onderzoeken op sporen

Classificatie: Openbaar

Classificatie: Openbaar