6 Compacte versie verbeterplan Suwinet ENSIA 2024.pdf

Ref BIO 2021, BIO 1.04 Control Verantwoordingsrichtlijn GeVS 2022 6. Organiseren informatiebeveiliging6. Organiseren informatiebeveiliging Criterium BIO: Conflicterende taken en verantwoordelijkheden behoren te worden gescheiden om de kans op onbevoegd of onbedoeld wijzigen of misbruik van de bedrijfsmiddelen van de organisatie te verminderen.

6.1.2 Scheiding van taken

Specifieke overheidsmaatregelen BIO

conclusie auditor

6.1.2.1 Er zijn maatregelen getroffen die onbedoelde of ongeautoriseerde toegang tot bedrijfsmiddelen* waarnemen of voorkomen. * Onder bedrijfsmiddelen worden in dit verband de Suwinet gegevens (mede) begrepen.

Wij hebben een autorisatiematrix ontvangen. Hierin is niet Suwi-Doorstroompunt: Zodra de aangegeven welke specifieke rollen conflicterend zijn. Er is vacature van de kwartiermaker 1 medewerker die per abuis de rol Gebruikersbeheerder Doorstroompunt zal dde en RMC medewerker heeft gehad in 2024 in tegenstelling kwartiermaker een verbeterde tot de autorisatiematrix aangeeft. autorisatiematrix opstellen en dit aanleveren. Planning: mei/juni 2025

Doelstelling: Ervoor zorgen dat de juiste taken en verantwoordelijkheden binnen de onderkende rollen juist worden uitgevoerd met inachtneming van de juiste functiescheiding voor zover de organisatiegrootte dit toelaat.

Risico: Onduidelijke taken en verantwoordelijkheden en het ontbreken van juiste functiescheiding kunnen leiden tot: - misbruik van bevoegdheden, - te ruim toegekende bevoegdheden, - over het hoofd zien van en/of tot implementatie van tegenstrijdige beveiligingsmaatregelen. 7. Veilig personeel tijdens dienstverband Criterium BIO: 7.2.2.1 Alle medewerkers hebben de verantwoordelijkheid bedrijfsinformatie te Alle medewerkers van de organisatie en, voor zover relevant, contractanten beschermen. Iedereen kent de regels en verplichtingen met betrekking tot behoren een passende bewustzijnsopleiding en -training te krijgen en regelmatige informatiebeveiliging en daar waar relevant de speciale eisen voor gerubriceerde bijscholing van beleidsregels en procedures van de organisatie, voor zover omgevingen. relevant voor hun functie. 7.2.2.2 Alle medewerkers en contractanten die gebruikmaken van de Doelstelling: informatiesystemen en -diensten hebben binnen drie maanden na indiensttreding een Het bewustmaken van gebruikers van Suwinet gegevens training I-bewustzijn succesvol gevolgd.

7.2.2 Bewustzijn, opleiding en training ten aanzien van informatiebeveiliging

9. Toegangsbeveiliging

Risico: Indien gebruikers van Suwinet gegevens zich niet of onvoldoende bewust zijn van de (hoge) vertrouwelijkheid, bestaat het risico dat deze gegevens onvoldoende worden beschermd.

Verbetermaatregel Suwi Doorstroompunt - Actiehouders Verbetermaatregel Suwi-Inkijk en planning Actiehouders en planning

7.2.2.3 Het management benadrukt bij aanstelling en interne overplaatsing en bijvoorbeeld in werkoverleggen of in personeelsgesprekken bij zijn medewerkers en contractanten het belang van opleiding en training op het gebied van informatiebeveiliging en stimuleert hen actief deze periodiek te volgen.

We hebben vastgesteld dat er binnen de organisatie De managers van de stedelijke beleidsregels en procedures aanwezig zijn. Wij medewerkers die nog geen Ihebben echter niet kunnen vaststellen dat alle bewustzijn training hebben medewerkers en contractanten die gebruikmaken van de gevolgd of dat nog niet hebben informatiesystemen en -diensten binnen drie maanden na aangetoond zijn aangeschreven indiensttreding een training I-bewustzijn succesvol hebben met het verzoek dit eind januari gevolgd. 2025 geregeld te hebben. De nieuwe kwartiermaker Doorstroompunt zal hier achteraan gaan en een nieuw overzicht aanleveren van wie de training hebben gevolgd. Planning: me/juni 2025

Wij zullen er extra op gaan inzetten dat alle gebruikers van Suwinet binnen 3 maanden na indiensttreding de elearning hebben gevolgd. Ook zullen wij eraan werken dat dit aantoonbaar is. Daarnaast zullen wij extra inzetten op het trainen van leidinggevenden. Om dit te realiseren ontbreekt bovendien nog een rol in de organisatie, namelijk de rol van proceseigenaar. De directeur Inkomen verbindt zich aan de afspraak om een proceseigenaar aan te wijzen.

Criterium BIO: Deze control kent in de BIO geen maatregel. De toegangsrechten van alle medewerkers en externe gebruikers voor informatie NB: voor deze control is een aanvullende maatregel opgesteld in de ENSIA-vragenlijst: en informatie verwerkende faciliteiten behoren bij beëindiging van hun Het lijnmanagement heeft een procedure vastgesteld en geïmplementeerd voor dienstverband, contract of overeenkomst te worden verwijderd, en bij wijzigingen verandering van functie binnen de organisatie, waarin minimaal aandacht besteed behoren ze te worden aangepast. Doelstelling: wordt aan het intrekken van toegangsrechten en innemen van bedrijfsmiddelen die Het tijdig beëindigen of wijzigen van de toegangsrechten. niet meer nodig zijn na het beëindigen van de oude functie

Zie norm 9.2.1 en 9.2.2. en norm 9.2.5. Wij hebben niet kunnen vaststellen dat bij wijzigingen van autorisatie de aanvraag wordt vastgelegd.

Suwinet-Inkijk, specifiek voor adresonderzoek: autorisatiematrix bijhouden

Risico: Als toegangsrechten niet bijtijds worden beëindigd of gewijzigd, bestaat het risico op onbevoegde kennisname van Suwinet gegevens.

9.2.6 Toegangsrechten intrekken of aanpassen

18. Naleving Criterium BIO: Privacy en bescherming van persoonsgegevens behoren, voor zover van toepassing, te worden gewaarborgd in overeenstemming met relevante wet- en regelgeving.

18.1.4.1 In overeenstemming met de AVG heeft iedere organisatie een Functionaris Wij hebben op basis van de verwerkingsoverzichten en Gegevensbescherming (FG) met voldoende mandaat om zijn/haar functie uit te voeren. rollen en verantwoordelijkheden vastgesteld dat: - In overeenstemming met de AVG heeft de gemeente 18.1.4.2 Organisaties controleren regelmatig de naleving van de privacyregels en Amsterdam een Functionaris Gegevensbescherming (FG) informatieverwerking en -procedures binnen hun verantwoordelijkheidsgebied aan de heeft met voldoende mandaat om zijn/haar functie uit te Doelstelling: hand van de desbetreffende beleidsregels, normen en andere eisen betreffende voeren. Voorkomen van schendingen van wettelijke, statutaire, regelgevende of beveiliging. contractuele verplichtingen betreffende het verwerken van persoonsgegevens. - Het proces RMC zijn verwerkingen van SUWI gegevens niet herleidbaar heeft opgenomen in een verwerkingen Risico: register en daarmee regelmatig de naleving van de 18.1.4 Privacy en bescherming Als de verwerking van Suwinet (persoons)gegevens niet overeenkomstig privacyregels en informatieverwerking en -procedures van persoonsgegevens toepasselijke wet- en regelgeving plaatsvindt, wordt hierdoor de AVG overtreden.

binnen hun verantwoordelijkheidsgebied aan de hand van de desbetreffende beleidsregels, normen en andere eisen betreffende beveiliging niet heeft gewaarborgd

De nieuwe kwartiermaker Doorstroompunt zal ervoor zorgen dat de gegevens in een verwerkingsregister komen en dit terugkoppelen aan de ACAM. Planning: mei/juni 2025.