b. Rapportage Informatiebeveiliging 2021.pdf

Rapportage 2021

Informatiebeveiliging Chief Information Security Officer (CISO) I mei 2021

Inhoud

2 | Rapportage informatiebeveiliging 2021 | mei 2022

1. Terugblik 2021 1.1 Eigen huis op orde 1.1.1 V  ersterken digitale en organisatorische weerbaarheid 1.2 Veilige digitale stad 1.2.1 Ecosysteem publiek-private organisaties 1.3 Incidenten 1.3.1 Leren van incidenten 1.4 Verantwoording 1.4.1 Baseline Informatie­beveiliging Overheid 1.4.2 Derde partijen en leveranciers 1.4.3 ENSIA 1.4.4 DigiD 1.4.5 Webrichtlijnen

4 4 4 5 5 6 6 7 7 8 8 8 8

2. Risico’s en dreigingen 2.1 Risico’s 2.2 Dreigingsbeeld 2.2.1 Internationaal en nationaal 2.2.2 Lokale overheid

10 10 10 10 11

3. Vooruitblik 2022 en verder 3.1 Voldoen aan wet- en regelgeving 3.2 Continuïteit 3.3 Ontwikkelingen I-domein 3.3.1 Transformatie naar opgavegericht en wendbaar werken 3.4 Bereiken volwassenheidsniveau

13 13 13 13 13 14

1

Terugblik 2021

1

Terugblik 2021 Ook het jaar 2021 stond in het teken van de coronapandemie, met voor de informatieveiligheid aandachtspunten bij het thuiswerken en werken op mobiele apparatuur. Samen met de vernieuwingen in het I-domein en de transformatie naar opgavegericht en wend­ baar werken, zijn er op dit vlak structurele verbeteringen ingezet. Enkele van de richtinggevende uitgangspunten hierbij zijn dat we: • gedurende de gehele levensloop van onze digitale diensten borgen dat deze passend, betrouwbaar, beschikbaar, actueel en veilig zijn met in achtneming van wettelijke en beleidskaders; • onze gemeentelijke producten en diensten standaardiseren en daarbij zoveel mogelijk standaard informatievoorzieningen, administraties en koppelvlakken gebruiken. Het belang van voldoende informatiebeveiliging neemt steeds meer toe. In toenemende mate zien we dat organisaties te maken hebben met cybercriminelen die (ook bij overheidsorganisaties) informatie willen stelen of door middel van gijzelsoftware (ransomware) processen willen verstoren. Als hoofdstad van Nederland zijn we ons zeer bewust van onze verantwoordelijkheid om de informatie waarover wij beschikken te beschermen. Amsterdam blijft werken aan het op peil brengen en houden van onze digitale weerbaarheid.

Dit doen we in goede afstemming met zowel landelijke organisaties als met andere gemeenten, waarbij het delen van kennis en informatie steeds meer vorm krijgt. Er is in het informatielandschap doorlopend aandacht voor beveiligings­ risico’s, het bevorderen van beveiligingsbewustzijn, en het beschikbaar houden van de informatievoorzieningen. De belangrijkste ontwikke­lingen en leerpunten worden in deze rapportage toegelicht.

4 | Rapportage informatiebeveiliging 2021 | mei 2022

1.1 Eigen huis op orde 1.1.1 Versterken digitale en organisatorische weerbaarheid Met de toenemende cyberdreigingen is continu verbeteren van de digi­tale weerbaarheid cruciaal. Voor het verder verhogen van de digitale weerbaarheid van de Amster­ damse informatievoorziening zijn meerdere maatregelen getroffen: Nationaal Detectie Netwerk Amsterdam is als een van de eerste gemeenten aangesloten op het Nationaal Detectie Netwerk (NDN) van de Rijksoverheid. In het NDN werken rijksoverheidsorganisaties en vitale private organisaties samen aan een veilige digitale samenleving door onderling dreigingsinformatie te delen om risico’s en gevaren sneller waar te nemen. Baseline Informatiebeveiliging Overheid We blijven werken aan het doorvoeren en handhaven van de Baseline Informatiebeveiliging Overheid (BIO), waarmee in 2020 is gestart. De gemeente heeft 3-4 jaar nodig voor de volledige implementatie. De BIO legt de basis voor een weerbare organisatie, waarbij de nadruk ligt op het continu verbeteren door in te spelen op actualiteit en vernieuwing. Bij de meest risicovolle informatiestromen worden de beheersmaatregelen als eerste doorgevoerd. Het afgelopen jaar zijn met de implementatie van de BIO belangrijke stappen gezet. Zo zijn de rollen en verantwoordelijkheden bij de

beheersmaatregelen van de BIO toebedeeld, en is de risicogebaseerde aanpak vastgesteld, waarbij rekening gehouden wordt met functiescheiding en scheiding van taken. Bij een groot aantal directies is gewerkt aan het uitvoeren van scans en gap-analyses. Deze aanpak wordt in 2022 voortgezet. Verdere vastlegging van de mate waarin wordt voldaan aan de BIO wordt in 2022 opgepakt met een vernieuwd informatiesysteem voor risicomanagement. Red Teaming Een red team-oefening is een cyberweerbaarheidsoefening in de vorm van een realistische aanvalssimulatie, en levert een beeld op van de feitelijke veiligheid van een organisatie. Zo kunnen zwakheden worden vastgesteld, kan het personeel verder worden getraind en wordt gemeten in welke mate de organisatie in control is op het gebied van informatiebeveiliging. De eerste red team-oefening bij de gemeente Amsterdam is eind 2021 gehouden in het ICT-domein met als doel het verbeteren van de digitale weerbaarheid door te focussen op mens, techniek en proces.

De resultaten van de red team-oefening worden gebruikt bij het beantwoorden van de volgende vraagstukken: • Hoe weerbaar is de gemeente Amsterdam tegen dreigings­ factoren versus wat is onze risico-acceptatie? • Hoe kan de gemeente Amsterdam de menselijke as versterken op weerbaarheid? • Hoe kan techniek verbeterd worden als defense line en als middel voor detectie en respons? In navolging van de rijksoverheid heeft de gemeente de ambitie om deze vorm van cyberweerbaarheidsoefeningen standaard op te nemen in de planning-en-controlcyclus. Beheerste toegang tot informatie Het stedelijke autorisatiebeheerproces is in 2021 volledig herzien. De implementatie hiervan loopt door tot eind 2022. De verantwoordelijkheid hiervoor is op één plek in de organisatie belegd, zodat

5 | Rapportage informatiebeveiliging 2021 | mei 2022

een uniform en eenduidig proces kan worden geborgd. Het toetsen en opschonen van autorisaties in alle informatiesystemen vindt vanaf 2022 jaarlijks plaats. In 2021 is dit uitgevoerd bij de meest kritische informatiesystemen. De organisatie pakt hierbij de bevindingen op die de accountant op dit gebied heeft gedaan. Beveiliging mobiele apparatuur We hebben in 2021 het project Mobile Device Management afgerond. Daarmee zijn duizenden telefoons, tablets en laptops beveiligd en beheerd.

1.2 Veilige digitale stad Amsterdam werkt niet alleen aan de eigen weerbare informatiehuishouding maar via de Agenda Digitale Veiligheid ook aan de digitale veiligheid en weerbaarheid van bewoners, bedrijven, instellingen en infrastructuur met als doel deze te verbeteren. Of het nu gaat om online gepeste jongeren, het hacken van een vitale infrastructuur of een aanval op de gemeentelijke systemen en dienstverlening: de stad wordt in toenemende mate kwetsbaar voor digitale aanvallen, misbruik of uitval. Met diverse publieke en private partijen werkt Amsterdam aan het verhogen van veiligheid en weerbaarheid. Over de Agenda Digitale Veiligheid, die onder de portefeuille van de burgemeester valt, wordt separaat verslag uitgebracht.

1.2.1 Ecosysteem publiek-private organisaties Een onderdeel van de agenda Digitale Veiligheid dat de veiligheid van de eigen gemeentelijke informatie raakt, is het opzetten en uitbouwen van een ecosysteem waarin publieke en private organisaties de laatste dreigingsinformatie met elkaar kunnen delen, elkaar op de hoogte stellen van incidenten en kwetsbaarheden en samenwerken bij de afhandeling van grote incidenten en calamiteiten. Deze samen­ werking is in 2021 gestart en wordt de komende jaren geformaliseerd en verder uitgebouwd. Gemeente Amsterdam heeft daarbij een

leidende rol zodat haar kennis en ervaring ook door andere organi­saties in de stad en regio kan worden benut.

De meeste incidenten deden zich voor als gevolg van menselijk handelen. In de tabel hieronder is dit weergegeven.

1.3 Incidenten

Menselijk handelen-bewust

32

6

Menselijk handelen-onbewust

73

ICT

2

Totaal

107

In december 2021 werd de ICT-wereld opgeschrikt door wat we daarna de Log4j-crisis zijn gaan noemen. Door een kwetsbaarheid in Apache-software (specifiek Log4j) bleek het mogelijk om ongeautoriseerd toegang te krijgen tot informatiesystemen en ICT-omgevingen van organisaties die via internet toegankelijk waren. Gemeente Amsterdam heeft direct een crisisteam geformeerd om daarmee de mogelijke risico’s in kaart te brengen en maatregelen te nemen om deze risico’s weg te werken. Volledigheidshalve dient vermeld te worden dat er in de Amsterdamse omgeving geen misbruik is geconstateerd van deze kwetsbaarheden en er daardoor ook niet sprake was van een incident. Informatiebeveiligingsincidenten worden centraal geregistreerd, geanalyseerd en afgehandeld. Daarbij werken we met een classificatie van incidenten.

Een incident krijgt de classificatie Hoog als: • Het een concernbreed incident betreft; • Het incident impact heeft op de dienstverlening; • Het een concernbreed systeem betreft (zoals e-mail en internet); • Er reputatieschade is; • Er manipulatie van vertrouwelijke of financiële gegevens of van persoonsgegevens heeft plaatsgevonden als gevolg waarvan de organisatie benadeeld wordt en/of tot onterechte besluiten komt; • Vertrouwelijke gegevens openbaar worden (datalekken worden gerapporteerd via de rapportage gegevensbescherming); • De financiële schade meer dan €10.000,– bedraagt. In 2021 zijn er 124 informatiebeveiligingsincidenten geregistreerd. Daarbij zijn vooral incidenten met classificatie “hoog” van belang, dat zijn er in het afgelopen jaar twee geweest. In drie gevallen bleek er sprake te zijn van beveiligingsincidenten vanwege softwarelekken.

6 | Rapportage informatiebeveiliging 2021 | mei 2022

Laag

Midden

Hoog

Totaal 1

39

9

–

82

–

1

3

15

2

124

In 58 gevallen was er sprake van (mogelijk) misbruik door phishing. Medewerkers werden hierbij verleid om op een hyperlink in een e-mail of sms te klikken, zodat daardoor inloggegevens prijs werden gegeven aan criminelen. Hier werpt het gemeentelijke bewustwordingsprogramma zijn vruchten af. Medewerkers melden nu eerder dergelijke verdachte berichten dan we in voorgaande jaren zagen. Wel moet opgemerkt worden dat er wereldwijd een fikse toename is van phishing door criminelen.

1.3.1 Leren van incidenten In zijn algemeenheid slagen we er als organisatie goed in om bij incidenten en kwetsbaarheden (zoals Log4j) de juiste stappen te zetten om problemen te voorkomen en risico’s te beperken. Wel is een aantal leerpunten boven water gekomen, die we in 2022 gebruiken om voortaan beter voorbereid te zijn op een crisis. De verbeterpunten bestaan uit het verder inrichten van een crisis­ organisatie in het I-domein, daarbij aansluiten op bestaande crisis­ plannen in andere organisatieonderdelen, en het aanpassen van processen op de veranderende organisatie waarbij steeds meer met derde partijen en SaaS-leveranciers wordt gewerkt. Daarnaast is het verbeteren van inzicht in het applicatielandschap een aandachtspunt, en zijn verbeteringen nodig in de sturing, samenwerking, en beschikbaarheid van contactpersonen.

1.4 Verantwoording 1.4.1 Baseline Informatie­ beveiliging Overheid De ENSIA-methodiek houdt ook in dat jaarlijks een zelfevaluatie wordt uitgevoerd over de naleving van de Baseline Informatiebeveiliging Overheid (BIO). Naarmate de implementatie van de BIO vordert, ontstaat een steeds gedetail­ leerder beeld. Over 2021 komt uit de evaluatie het volgende globale beeld naar voren, waarbij opgemerkt moet worden dat dit in specifieke situaties kan afwijken. Hoewel hiermee alleen een globaal beeld kan worden gegeven, zijn er meerdere onderwerpen waarbij verbetering nodig is:

Onderwerp

Hoofdstuk BIO

Bevindingen

Beleid en organisatie (22 normen)

H5: Informatiebeveiligings­beleid (2) H6: Organisatie van informatie­beveiliging (10) H18: Naleving (10)

Positief: • Er is een actueel en vastgesteld beleidskader waarin de eisen, uitgangs­punten en organisatie van de informatiebeveiliging en verantwoordelijk­heden zijn opgenomen. Informatiesystemen worden regelmatig getoetst. Jaarlijks wordt een auditplan vast­gesteld met een selectie van onder­werpen.

Actueel beleid, organisa­tie van informatie­beveiliging, controle op naleving

Personeel en toegang (53 normen) Juiste toegang voor mede­ werkers tot gebouwen, systemen en gegevens

Continuïteit en incidenten (20 normen) Zekerstellen van de continuïteit van dienstverlening en opvolging van incidenten

Informatie­systemen (54 normen) Veilige omgang met informatie­ systemen en afspraken hierover met leveranciers

Gegevensbescherming (31 normen) Veilige omgang met de data

7 | Rapportage informatiebeveiliging 2021 | mei 2022

Aandachtspunten: • De verantwoordelijkheden inzake risicomanagement, naleving en verantwoording over de BIO moeten worden uitgewerkt. • Verdere digitalisering, thuiswerken en hybride werken, mobiele apparatuur, en de modernisering van het I-domein vraagen nog meer aandacht voor digitale vaardigheden om bewust en zorgvuldig met informatie om te gaan. H7: Veilig personeel (8) H9: Toegangsbeveiliging (25) H11: Fysieke beveiliging en beveiliging van de omgeving (20)

Positief: • Medewerkers worden bij indiensttreding gescreend en ondertekenen een gedragscode of leggen de ambtseed af. • Zonering van gebouwen is ingericht. • Er is een veilige digitale werkomgeving, die wordt vernieuwd. Aandachtspunten: • Bij functiewisseling worden de toegangs­rechten niet altijd aangepast. • Nieuwe medewerkers volgen nog niet binnen 3 maanden na indiensttreding een training I-bewustzijn.

H16: Beheer van informatiebeveiligings­ incidenten (14) H17: Informatiebeveiligingsaspecten van continuïteits­management (6)

Positief: • Incidenten worden volgens een vastgestelde procedure gemeld en gerapporteerd. • Met ketenpartijen zijn samenwerkingen opgezet voor het delen van kennis.

H12: Beveiliging bedrijfs­voering (30) H14: Acquisitie, ontwikkeling en onderhoud van informatie­­systemen (12) H15: Leveranciersrelaties (12)

Positief: • Er zijn up-to-date beheersmaatregelen tegen kwaad­aardige software. • Bij draadloze verbindingen zoals WiFi wordt gebruik gemaakt van een beveiligde voorziening. • Wijzigingen in het informatielandschap worden beheerst doorgevoerd.

Aandachtspunten: • Niet alle informatiesystemen worden minimaal jaarlijks getest op back-up en herstel. • Er is nog geen meldpunt voor ethisch hackers. • Er is nog geen vastgesteld continuïteitsplan.

Aandachtspunten: • Voor nog niet alle informatiesystemen wordt de beheersing van informatiebeveiliging gelogd en gemonitord. • Security by design is een ontwikkelpunt. H8: Beheer van bedrijfs­middelen (14) H10: Cryptografie (4) H13: Communicatie­beveiliging (13)

Positief: • Het dataverkeer dat de organisatie binnenkomt of uitgaat wordt door het Security Operations Center bewaakt/geanalyseerd op kwaadaardige elementen middels detectievoorzieningen. Aandachtspunten: • Niet van alle data en informatiesystemen is een recente classificatie aanwezig. • Niet van alle informatiesystemen is het beheer en de archivering volledig op orde. • Niet alle (web)toepassingen voldoen aan de passende standaarden.

1.4.2 Derde partijen en leveranciers De directie ICT heeft ervoor gezorgd dat we nu jaarlijks beschikken over certificeringen en audits van de leveranciers van ICT-diensten. Het inzicht in de door derde partijen beheerde IT-omgevingen is daarmee sterk verbeterd. Het inzicht in de staat van informatieveiligheid bij leveranciers van SaaS-applicaties behoeft nog verbetering.

Aansluiting

Toepassing

Resultaat

Formulieren Amsterdam

Algemeen portaal voor digitale

Voldoet

dienstverlening van de gemeente Amsterdam.

niet*

Langparkeren

Vergunninghouders kunnen zich via dit portaal registreren voor de subsidieregeling Langparkeren.

Voldoet

GGD Sarphati Cohort

Toepassing waarbij burgers via DigiD toestemming verlenen voor het verzamelen van gegevens voor het Sarphati Cohort.

Voldoet

GGD Ouderportaal Amsterdam

Ouders kunnen via het ouderportaal online afspraken maken en het cliëntdossier van hun kind inzien.

Voldoet

GGD Ouderportaal Amstelland

Ouders kunnen via het ouderportaal online afspraken maken en het cliëntdossier van hun kind inzien.

Voldoet

Mijn Amsterdam

Dit portaal fungeert als toegangs­ makelaar tot diverse digitale dienstverlening van de gemeente Amsterdam.

Voldoet niet**

1.4.3 ENSIA ENSIA staat voor Eenduidige Normatiek Single Information Audit. Dit is een methodiek die door de rijksoverheid is ontwikkeld en waarbij gemeenten jaarlijks aan de diverse landelijke toezichthouders verantwoording afleggen over de kwaliteit en veiligheid van verschillende informatiestelsels. De ENSIA-rapportages over 2021 zijn op 19 april 2022 in het college behandeld.

1.4.4 DigiD Via de landelijke DigiD-voorziening kunnen burgers toegang krijgen tot de digitale dienstverlening van de overheid. Voor elke DigiD-aansluiting moet via een jaarlijkse audit verantwoording worden afgelegd aan de landelijk toezichthouder Logius. Over 2021 betreft dat zes DigiD-aansluitingen. Geconstateerde bevindingen moeten binnen de door de toezichthouder gestelde termijn zijn opgelost.

1.4.5 Webrichtlijnen De beveiliging van webdomeinen van de gemeente Amsterdam is nog niet op niveau. Aan meerdere landelijke beveiligingsnormen wordt niet voldaan. In 2021 is projectmatig gewerkt aan het ver­­be­teren van de beveiliging van webdomeinen. Daarbij is een

8 | Rapportage informatiebeveiliging 2021 | mei 2022

** Het onderdeel patchmanagement is bij een achterliggende applicatie als onvoldoende beoordeeld. ** Er zijn bevindingen dat niet voor alle achterliggende applicaties het contract­ management met derde partijen, het proces rond penetratietesten en de controle op rapportages daarover, het proces rond toegangsbeheer en het webapplicatie­ beheer t.a.v. encryptie op orde is. De bevindingen moeten binnen de door de landelijk toezichthouder gestelde termijn worden opgelost.

aantal domeinen veiliger gemaakt danwel uitgefaseerd. Eind 2021 is besloten om: • Een webloket in te richten, dat moeten worden geraadpleegd als een nieuw webdomein wordt ingericht • Meer effort in te zetten op het in beheer brengen danwel uitfaseren van bestaande webdomeinen.

2

Risico’s en dreigingen

2

Risico’s en dreigingen 2.1 Risico’s Het risicomanagement voor het I-domein is ingericht in lijn met het risicomanagement(proces) van de gemeente als geheel. Organisatieonderdelen rapporteren vanaf 2022 ook over hun I-risico’s via de P&C-cyclus. Het stedelijke risicomanagementsysteem wordt in 2022 vernieuwd, zodat compliance en risicomanagement optimaal worden ondersteund. Risico’s ten aanzien van informatiebeveiliging kunnen dan ook integraal worden beheerst.

2.2 Dreigingsbeeld 2.2.1 Internationaal en nationaal CSBN2021 De Nationaal Coördinator Terrorismebestrijding & Veiligheid (NCTV) brengt jaarlijks het Cyber Security Beeld Nederland uit (CSBN) met aandachtspunten die ook op gemeente Amsterdam van toepassing (kunnen) zijn. Samengevat staat hierin dat digitale veiligheid onlos­ makelijk verbonden blijft met de nationale veiligheid. Een aantasting ervan kan leiden tot maatschappelijke ontwrichting. De digitale

10 | Rapportage informatiebeveiliging 2021 | mei 2022

dreiging blijft zich ontwikkelen doordat actoren zich blijven ontwik­ kelen, de geopolitieke context aan verandering onderhevig is en actuele gebeurtenissen als COVID-19 daarop van invloed zijn. Ook de weerbaarheid blijft in ontwikkeling. Het is een vraagstuk van governance en/of risicomanagement of de belangen, de digitale dreiging en de weerbaarheid voldoende in balans zijn. De NCTV signaleert in het CSBN 2021 vier risico’s voor de nationale veiligheid: 1. Ongeautoriseerde inzage in informatie (en eventueel publicatie daarvan), in het bijzonder door spionage. Denk aan spionage van communicatie binnen de Rijksoverheid of de ontwikkeling van innovatieve technologieën. 2.  Ontoegankelijkheid van processen, als gevolg van (voorbereidingen voor) sabotage en de inzet van ransomware. Denk aan de innesteling in processen die zorgdragen voor de distributie van elektriciteit. 3. Schending van de (veiligheid van de) digitale ruimte, bijvoorbeeld door misbruik van mondiale ICT-leveranciersketens. 4. Grootschalige uitval: een situatie waarin één of meer processen zijn verstoord als gevolg van natuurlijke of technische oorzaken of als gevolg van niet-moedwillig menselijk handelen.

Begin 2022 – strikt genomen buiten de verslagperiode van deze rapportage – wordt duidelijk dat de spanning tussen Rusland en Oekraïne en de daaropvolgende inval van Rusland in de Oekraïne ook voor andere landen effect heeft op het dreigingsbeeld. NCTV en NCSC waarschuwen dat Nederland en (overheids)organisaties in Nederland alert moeten zijn op digitale aanvallen. Gemeente Amsterdam heeft daarop direct extra checks gedaan op geïmplementeerde maatregelen, haar monitoring aangescherpt en ook op dit gebied de samenwerking met externe partijen uitgebreid.

11 | Rapportage informatiebeveiliging 2021 | mei 2022

2.2.2 Lokale overheid Het dreigingsbeeld voor gemeenten 2021/2022, dat tweejaarlijks wordt opgesteld door de informatiebeveiligingsdienst voor gemeenten IBD, laat samengevat het volgende beeld zien: • De bedrijfscontinuïteit is in het geding. Gemeenten lopen het risico dat dienstverlening (langdurig) niet beschikbaar is door uitval van systemen, met mogelijk ontwrichting van alledaagse processen tot gevolg. • Integriteit van informatie kan niet gewaarborgd worden. Door onvoldoende beveiliging van de informatie lopen gemeenten het risico dat gegevens worden aangepast door onbevoegden. • Vertrouwelijke gegevens vallen in verkeerde handen. Door toegang tot informatie door onbevoegden kunnen vertrouwelijke gegevens in verkeerde handen vallen.

3

Vooruitblik 2022 en verder

3

Vooruitblik 2022 en verder 3.1 Voldoen aan wet- en regelgeving

3.3 Ontwikkelingen I-domein

In 2022 wordt het stedelijk risicomanagementsysteem vernieuwd en uitgebreid met risicobeheersing voor informatie. Hierdoor wordt het mogelijk om op stedelijk niveau beter inzicht te krijgen in de mate van beheersing van informatiebeveiligingsrisico’s en in hoeverre wordt voldaan aan wet- en regelgeving.

De reorganisatie van het i-domein, die formeel zijn beslag krijgt op 1 juli 2022, wordt benut om de experts op het gebied van informatiebeveiliging dichter bij elkaar te brengen onder één nieuwe directie. De beweging om het beheer van ICT en informatiesystemen bij elkaar te brengen betekent dat hierop effectiever kan worden gestuurd.

Binnen het I-domein wordt gewerkt aan risico-overzichten waarbij elke directie rapporteert over de specifieke risico’s. Met name de nieuwe directie Digitale Voorzieningen is hierbij essentieel.

3.3.1 Transformatie naar opgavegericht en wendbaar werken

3.2 Continuïteit In voorgaande jaren is er te weinig voortgang geweest op het vlak van continuïteitsmanagement. Er zal een business continuity manager worden aangesteld, die als opdracht heeft om de plannen/acties op dit gebied uit te werken en daarmee de continuïteit van de ICT-voorzieningen in relatie tot de business-eisen in te regelen. Ook worden in 2022 crisisoefeningen georganiseerd, zodat de organisatie beter is voorbereid op mogelijke calamiteiten.

13 | Rapportage informatiebeveiliging 2021 | mei 2022

In het I-domein vinden veel vernieuwingen plaats; zo is een nieuwe toekomstbestendige Amsterdamse Werkplek (ADW) ontwikkeld, die in 2022 wordt uitgerold naar alle medewerkers, en is een transformatie gestart naar het werken ‘in de cloud’, met mobiele apparatuur, en naar standaardisatie, opgavegericht en wendbaar werken.

3.4 Bereiken volwassenheidsniveau Voor het vakgebied informatiebeveiliging zijn ontwikkelingen om volwassenheidsniveaus aan te geven. In het algemeen bestaan deze uit 5 niveaus:

14 | Rapportage informatiebeveiliging 2021 | mei 2022

Volwassenheidsniveaus

Omschrijving

1

Ad hoc

Beheersingsmaatregelen zijn niet of gedeeltelijk gedefinieerd en/of worden op inconsistent wijze uitgevoerd. Grote afhankelijkheid van individuen.

2

Herhaalbaar

Beheersingsmaatregelen zijn aanwezig en worden op consistente en gestructureerde maar op informele wijze uitgevoerd.

3

Bepaald

Beheersingsmaatregelen zijn gedocumenteerd en worden op gestructureerde en geformali­ seerde wijze uitgevoerd. De uitvoering is aantoonbaar en wordt getoetst.

4

Beheerst en meetbaar

De effectiviteit van de beheersingsmaatregelen wordt periodiek geëvalueerd.

5

Geoptimaliseerd

De beheersingsmaatregelen zijn verankerd in het integrale risicomanagementraamwerk, waarbij continu gezocht wordt naar verbetering.

De gemeente heeft strategische uitdagingen en ambities in de informatie­voorziening om het ‘Eigen huis op orde’ te brengen, digitaal te transformeren en datagedreven te werken. Om dit waar te kunnen maken is minimaal een volwassenheidsniveau 3 en liefst niveau 4 voor informatieveiligheid en gegevensbescherming nodig. Dat is nu nog niet op alle vlakken het geval en dit vormt dus een bedreiging voor het realiseren van de strategische ambitie. Zonder betrouwbare en beveiligde data is datagedreven werken immers niet goed uitvoerbaar. De gemeente Amsterdam participeert in landelijke overleggen met de VNG en landelijke toezichthouders om toe te werken naar een praktische volwassenheidsmodel voor informatiebeveiliging, waarop de ENSIA-methodiek moet gaan aansluiten. Daarmee kunnen gemeenten beter hun ambities en feitelijke status qua volwassenheid rapporteren.