Bijlage 1 Stedelijk kader informatiebeveiliging gemeente Amsterdam.pdf

Stedelijk kader informatiebeveiliging gemeente Amsterdam Strategisch beleidskader voor informatiebeveiliging

Gemeente Amsterdam CIO

Versie 1.0

Stedelijk beleidskader informatiebeveiliging gemeente Amsterdam

Voorwoord

Dit document beschrijft het strategisch beleidskader informatiebeveiliging voor de gemeente Amsterdam. Het is nadrukkelijk geen uitputtende weergave van alle wettelijke bepalingen, maatregelen en controles die we uitvoeren. Dat zou een zeer omvangrijk document opleveren, dat bovendien ook bij iedere wijziging opnieuw vastgesteld moet worden. Net als alle overheidsinstellingen is de gemeente Amsterdam gebonden aan de Baseline Informatiebeveiliging Overheid (BIO). De BIO schrijft voor dat elke overheidsinstelling een informatiebeveiligingsbeleid opstelt en wat er in moet worden opgenomen: a) de strategische uitgangspunten en randvoorwaarden die de organisatie hanteert voor informatiebeveiliging en in het bijzonder de inbedding in, en afstemming op het informatievoorzieningsbeleid en andere relevante beleidsterreinen; b) de organisatie van de informatiebeveiligingsfunctie, waaronder verantwoordelijkheden, taken en bevoegdheden; c) de toewijzing van de verantwoordelijkheden voor ketens van informatiesystemen aan lijnmanagers; d) de gemeenschappelijke betrouwbaarheidseisen en normen die op de organisatie van toepassing zijn; e) de frequentie waarmee het informatiebeveiligingsbeleid wordt geëvalueerd; f) de bevordering van het beveiligingsbewustzijn. Deze onderwerpen –en een analyse van de risico’s en de dreigingen- zijn in dit document uitgewerkt.

Dit document bevat dus de belangrijkste beleidsuitgangspunten (het ‘wat en waarom’). De taken, verantwoordelijkheden en bevoegdheden (‘wie’) worden nader uitgewerkt in een apart document, waarbij het 3-lijnsmodel om in control te kunnen zijn en blijven uitgangspunt is. Het ‘hoe’ wordt in onderliggende kaders en procedures op deelterreinen als toegangsbeveiliging, autorisatie of flexwerken, in separate documenten beschreven, die ambtelijk worden vastgesteld. Marco van Beek, CISO

Gemeente Amsterdam CIO

Versie 1.0

Stedelijk beleidskader informatiebeveiliging gemeente Amsterdam

1 Samenvatting

Onder informatiebeveiliging wordt verstaan het treffen en onderhouden van een samenhangend geheel aan activiteiten, methoden, maatregelen en middelen om de informatievoorziening zeker te stellen. Kernpunten daarbij zijn:  beschikbaarheid (de informatie is (blijvend) toegankelijk en leesbaar);  integriteit (de informatie is juist en actueel);  vertrouwelijkheid (de informatie is beschermd). Amsterdam wil een veilige digitale stad zijn, weerbaar tegen dreigingen of schade veroorzaakt door uitval van ICT of misbruik van gegevens. Burgers moeten erop kunnen vertrouwen dat hun gegevens en hun identiteit worden beschermd. Het beleidskader informatiebeveiliging vormt de kapstok voor aanvullende specifieke documenten, procedures en werkinstructies binnen de gemeente en samenwerkingsverbanden. In de wetenschap dat 100% veiligheid niet bestaat, vormt dit beleid een werkbaar kader voor een weerbare, betrouwbare informatievoorziening. Het strategisch beleidskader informatiebeveiliging is van toepassing op alle processen van de gemeente, onderliggende informatiesystemen, informatie en gegevens die de gemeente verwerkt en opslaat, het gebruik daarvan door medewerkers en (keten)partners in de breedste zin van het woord, ongeacht locatie, tijdstip en gebruikte apparatuur.

De hoofddoelstelling van dit beleidskader informatiebeveiliging is het richting geven aan de wijze waarop informatie van de gemeente Amsterdam wordt beveiligd. In het beleidskader worden doelen gesteld, verantwoordelijkheden beschreven, de structuur geschetst, en de middelen benoemd waarmee dit beleid wordt vormgegeven. De Baseline Informatiebeveiliging Overheid (BIO) vormt het basisnormenkader voor de gehele overheid. De beheersmaatregelen uit de BIO zijn gebaseerd op (inter)nationale normen. De werkwijze van de BIO is gericht op risicomanagement. Dit houdt in dat beslissers op voorhand keuzes maken en continu afwegingen maken om informatie op passende wijze beveiligd te houden in termen van beschikbaarheid, integriteit en vertrouwelijkheid. Naast dit basisniveau kunnen specifieke beveiligingsmaatregelen vereist zijn; deze zijn veelal vastgelegd in wet- en regelgeving of als resultaat van een risicoafweging. Waar tot nu toe de aandacht vooral uitging naar het doorvoeren van maatregelen om informatie te beveiligen, is de aanpak nu nog meer risico-gebaseerd, waarbij een standaard niveau het uitgangspunt is en daardoor al veel maatregelen standaard worden getroffen. Met deze risico-gebaseerde aanpak sluit informatiebeveiliging aan op de doorontwikkeling van het controlframework van de gemeente en op de ambities uit de Agenda Digitale Veiligheid.

Gemeente Amsterdam CIO

Versie 1.0

Stedelijk beleidskader informatiebeveiliging gemeente Amsterdam

Inhoud

Voorwoord

1 Samenvatting ......................................................................................................... 3 2 Versiebeheer ........................................................................................................... 6 2.1 Versie ....................................................................................................................................... 6 2.2 Eigenaarschap en vaststelling ................................................................................................... 6 2.3 Periodieke actualisering ............................................................................................................ 6 3 Inleiding ................................................................................................................. 7 4 Definitie en uitgangspunten ..................................................................................... 7 5 Reikwijdte en structuur ............................................................................................ 8 5.1 Basisniveau ............................................................................................................................... 8 5.1.1 Aanvullende eisen ..................................................................................................................

8 5.1.2 Aanvullende documenten ...................................................................................................... 9 6 Doelstellingen....................................................................................................... 10 6.1 Richting geven aan het beleidskader informatiebeveiliging .....................................................10 6.2 Continu verbeteren..................................................................................................................10 6.2.1 Information Security Management System ..........................................................................10 6.3 Ambitie.................................................................................................................................... 11 6.4 Bewustzijn en gedrag ..............................................................................................................12 6.5 Randvoorwaarden ...................................................................................................................12 7 Ontwikkelingen – trends, risico’s en dreigingen ........................................................ 13 7.1 Trends ......................................................................................................................................

13 7.2 Risico’s ..................................................................................................................................... 13 7.3 Externe dreigingen ................................................................................................................... 13 7.4 Interne dreigingen ...................................................................................................................14 8 Investeren in weerbaarheid .................................................................................... 15 9 Governance, het 3-lijnsmodel ................................................................................. 16 10 Naleving en verantwoording ................................................................................. 17 11 Financiën ............................................................................................................ 17

Gemeente Amsterdam CIO

Versie 1.0

Stedelijk beleidskader informatiebeveiliging gemeente Amsterdam

12 Samenhang met andere beleidsterreinen............................................................... 18 12.1 Beleid en beleidskaders ..........................................................................................................18 12.2 Normenkaders .......................................................................................................................19 12.2.1 ISO-27001/2 en NEN-7510 ...................................................................................................19 12.2.2 Baseline Informatiebeveiliging Overheid ............................................................................19

Gemeente Amsterdam CIO

Versie 1.0

Stedelijk beleidskader informatiebeveiliging gemeente Amsterdam

2 Versiebeheer

2.1 Versie Versie 0.1 0.2

Datum Mei 2019 Augustus 2019

Door CISO CISO

0.3

September 2019

CISO

0.4 0.9

Oktober 2019 November 2019

CISO CISO

1.0

Februari 2020

CISO

Opmerkingen Initiële versie Tekstuele wijzigingen n.a.v. afstemming team CISO Aanpassingen n.a.v. afstemming met ISO’s en CIO-office Voorwoord toegevoegd Ter afstemming in Management -domein (MID) Opmerkingen uit het MID verwerkt

2.2 Eigenaarschap en vaststelling Het college van B&W is de formele eigenaar van het beleidskader informatiebeveiliging en stelt dit vast. Versie 1.0

Datum

Door College van B&W

Opmerkingen Definitieve versie

2.3 Periodieke actualisering Dit beleidskader treedt in werking na vaststelling en vervangt alle voorgaande versies van het informatiebeveiligingsbeleid. Onderhoud en actualisatie van het beleidskader informatiebeveiliging is belegd bij de CISO. Het beleid heeft een looptijd van drie jaar. Jaarlijks toetst de CISO of het beleidskader moet worden bijgesteld. Aanleidingen voor bijstelling kunnen zijn: voortschrijdend inzicht, gewijzigde wet- en regelgeving, substantiële veranderingen in ontwikkelingen, dreigingen of weerbaarheid, of noodzakelijke (tekstuele) aanpassingen als gevolg van organisatorische of technische wijzigingen. Minimaal driejaarlijks of zo nodig eerder wordt het beleidskader informatiebeveiliging volledig herzien. Mocht een nieuw beleidskader binnen deze termijn nog niet zijn vastgesteld, dan blijft het huidige beleidskader van toepassing.

3 Inleiding

Dit document beschrijft het strategisch beleidskader informatiebeveiliging voor de gemeente Amsterdam en vervangt het in juli 2016 door het college vastgestelde “Informatiebeveiligingsbeleid Gemeente Amsterdam”. Het beleidskader is bijgesteld op de meest recente nationale en internationale richtlijnen en normenkaders, is aangepast op de sinds 2016 de gewijzigde organisatie, en aan ontwikkelingen ten aanzien van (nieuwe) cyberdreigingen en risico’s. Het beleidskader is gebaseerd op actuele nationale en internationale standaarden. Als basis wordt hiervoor de Baseline Informatiebeveiliging Overheid (BIO) gebruikt, een afgeleide van ISO/IEC 27001/2:2017. Naast dit basisniveau kan een hoger niveau aan informatiebeveiliging vereist zijn, veelal vastgelegd in specifieke wet- en regelgeving of als resultaat van een risicoafweging. Waar tot nu toe de aandacht vooral uitging naar het doorvoeren van maatregelen om informatie te beveiligen, is de aanpak met de BIO nu nog meer risico-gebaseerd, waarbij een standaardniveau het uitgangspunt is en daardoor al veel maatregelen standaard worden getroffen. Met deze risico-gebaseerde aanpak sluit informatiebeveiliging aan op het controlframework van de gemeente en op de ambities uit de Agenda Digitale Veiligheid.

Het beleidskader informatiebeveiliging vormt de kapstok voor aanvullende specifieke documenten, procedures en werkinstructies binnen de gemeente en samenwerkingsverbanden. In de wetenschap dat 100% veiligheid niet bestaat, vormt dit beleid een werkbaar kader voor een weerbare, betrouwbare informatievoorziening.

4 Definitie en uitgangspunten

Onder informatiebeveiliging wordt verstaan het treffen en onderhouden van een samenhangend geheel aan activiteiten, methoden, maatregelen en middelen om de informatievoorziening zeker te stellen. Kernpunten daarbij zijn:  beschikbaarheid (de informatie is (blijvend) toegankelijk en leesbaar);  integriteit (de informatie is juist en actueel);  vertrouwelijkheid (de informatie is beschermd). De belangrijkste uitgangspunten zijn:  De aanpak van informatiebeveiliging is risico-gebaseerd;  De uitvoering van de informatiebeveiliging is een verantwoordelijkheid van het lijnmanagement;

7



  





Elk informatiesysteem heeft een eigenaar die verantwoordelijk is voor de kwaliteitsaspecten van deze systemen en de bijbehorende maatregelen voor informatiebeveiliging op basis van dit beleidskader informatiebeveiliging; Informatiebeveiliging is een continu verbeterproces. ‘Plan, do, check en act’ vormen samen het managementsysteem van informatiebeveiliging; Toegang tot informatie wordt alleen verstrekt wanneer dit nodig is voor de functie/rol of taak die iemand heeft, volgens het principe ‘need to know’; Elke medewerker, vast of tijdelijk en zowel intern als extern, is verplicht gegevens en informatiesystemen waar nodig te beschermen tegen onbevoegde toegang, gebruik, verandering, openbaring, vernietiging, verlies of overdracht; Elke medewerker meldt geconstateerde of vermoede inbreuken op de informatievoorziening direct aan het lijnmanagement en aan een daarvoor bestemde servicedesk en/of meldpunt; Er is een CISO aangesteld conform een vastgesteld CISO-functieprofiel.

5 Reikwijdte en structuur

Het strategisch beleidskader informatiebeveiliging is van toepassing op alle processen van de gemeente, onderliggende informatiesystemen, informatie en gegevens die de gemeente verwerkt en opslaat, het gebruik daarvan door medewerkers en (keten)partners in de breedste zin van het woord, ongeacht locatie, tijdstip en gebruikte apparatuur.

5.1 Basisniveau Dit beleidskader op basis van de BIO is een algemene basis en dekt daarmee tevens grotendeels de beveiligingseisen uit specifieke wetgeving af.

5.1.1 Aanvullende eisen Voor bepaalde processen of stelsels kunnen op grond van wet- en regelgeving nog andere specifieke (aanvullende) beveiligingseisen gelden, bijvoorbeeld door de wet Structuur Uitvoeringsregeling Werk en Inkomen (Suwi), Digitale Identificatie (DigiD), Basisregistratie Personen (BRP), Paspoort Uitvoeringsregeling Nederland (PUN), en de Algemene Verordening Gegevensbescherming (AVG). Bewust wordt in het strategisch beleid geen limitatief overzicht van onderliggende documenten opgenomen maar wordt in onderliggende documenten verwezen naar dit strategisch beleidskader.

8

Via een risicoanalyse wordt vastgesteld of voor een bepaald proces of informatiestelsel aanvullingen nodig zijn. Deze aanvullende maatregelen worden opgenomen in aparte documenten.

5.1.2 Aanvullende documenten Hoe de gemeente de doelen wil bereiken wordt op basis van de BIO beschreven in specifieke kaders, procedures en werkinstructies. Onderstaande figuur toont een voorbeeld van de onderwerpen (niet uitputtend):

Beveiliging ICT infrastructuur en netwerken

Logische toegang en wachtwoordeisen

Fysieke toegang

Antivirus/antimalware

Patchmanagement/ updates

Classificatie

Cryptografie

Back-up en restore

Logging en monitoring

Eigenaarschap

Mobiel werken/mobiele apparatuur

Huisregels/Clean desk Clear screen

Veilig ontwikkelen applicaties

Incidentmanagement

flexwerken/telewerken

Informatietransport

Vereisten leveranciers en ketenpartners

(Digitale) vaardigheden/bewustzijn personeel

Weerbaarheid en Continuïteit

Overig

Figuur1 Overzicht van tactische kaders en beheersmaatregelen

9

6 Doelstellingen

6.1 Richting geven aan het beleidskader informatiebeveiliging De hoofddoelstelling van dit beleidskader informatiebeveiliging is het richting geven aan de wijze waarop informatie van de gemeente Amsterdam wordt beveiligd. In het beleid worden doelen gesteld, verantwoordelijkheden beschreven, de structuur geschetst, en de middelen benoemd waarmee dit beleid moet worden vormgegeven. De doelen van informatiebeveiliging zijn het:  organiseren van informatiebeveiliging  op adequate wijze beschermen van bedrijfsmiddelen die al dan niet informatie bevatten  zorgen voor een weerbare informatievoorziening  minimaliseren en afwegen van risico’s  voorkomen van onbevoegde toegang tot informatie  garanderen van correcte en veilige informatievoorzieningen  beheersen van de toegang tot informatiesystemen  waarborgen van veilige informatieverwerkingen  op adequate wijze reageren op incidenten

6.2 Continu verbeteren Het beleidskader informatiebeveiliging is tevens de basis voor het inrichten van een procesgerichte benadering van informatiebeveiliging, ook wel Information Security Management System (ISMS) genoemd. Het beveiligen van informatie is een proces van continu verbeteren: kwetsbaarheden in de informatievoorziening wijzigen met de tijd en dreigingen nemen almaar toe, zorgvuldig omgaan met informatie vereist steeds weer andere (digitale) vaardigheden. Continu verbeteren is noodzakelijk om weerbaar te blijven tegen inbreuken op de informatieveiligheid.

6.2.1 Information Security Management System Het doel van een ISMS is het continu beoordelen of beveiligingsmaatregelen passend en effectief zijn, en of deze bijgesteld moeten worden. Dit proces wordt vormgegeven aan de hand van een Plan-Do-Check-Act-cyclus (PDCA).

10

Figuur2 Overzicht van de PDCA-cyclus voor informatiebeveiliging

De governance van de informatiebeveiliging wordt nader uitgewerkt. Hierin wordt uiteengezet welke specifieke taken, verantwoordelijkheden en bevoegdheden met betrekking tot informatiebeveiliging op welke plaats belegd zijn binnen de organisatie, kortweg de organisatie die benodigd is voor een goed werkend ISMS. Met een goed ingericht ISMS wordt inzicht verkregen in:  De werking van informatiebeveiliging  De effectiviteit van beleid versus maatregelen  De werking van algemene ICT-beheersmaatregelen  De resultaten van systeem- en procesaudits Op basis van de verkregen inzichten kunnen verbeteringen worden doorgevoerd. Over het functioneren van de informatiebeveiliging wordt conform de P&C-cyclus binnen de gemeente aan het bestuur verantwoording afgelegd.

6.3 Ambitie Door een proces van continu verbeteren sluit Amsterdam aan op de ambitie en uitgangspunten in het college-akkoord voor de Agenda Digitale Veiligheid, de datastrategie, het stedelijk kader verwerken persoonsgegevens, en andere beleidsterreinen waarbij een betrouwbare, controleerbare en transparante overheid wordt nagestreefd. Hierbij geldt:

11

Amsterdamse informatievoorziening is weerbaar De informatievoorziening is weerbaar tegen (cyber)dreigingen, wordt gedocumenteerd beheerst, geformaliseerd en gestructureerd, waarbij de beheersing aantoonbaar is. Informatiebeveiliging by design Informatiebeveiliging is de basis voor een goed functionerende organisatie met een betrouwbare informatievoorziening. Het is daarbij van belang dat informatie passend wordt beschermd. De organisatie treft daarvoor integraal en vóóraf - niet pas achteraf - passende beschermende maatregelen, op alle niveaus. Amsterdamse informatie is beschikbaar, toegankelijk en leesbaar Informatie is beschikbaar; geplande en ongeplande uitval van informatiesystemen wordt tot het minimum beperkt. De informatie is toegankelijk en wordt in een leesbaar formaat bewaard. Amsterdamse informatie is betrouwbaar De informatie is juist, volledig en actueel, controleerbaar en transparant. Amsterdamse informatie is beschermd De informatie is beschermd tegen onbevoegde toegang en tegen verlies/diefstal.

6.4 Bewustzijn en gedrag Zorgvuldig omgaan met informatie kan alleen als de medewerkers zich bewust zijn van de risico’s van informatiebeveiliging en beschikken over voldoende kennis en (digitale) vaardigheden. Het bevorderen van dit bewustzijn over informatieveiligheid vormt dan ook een belangrijk onderdeel in het proces van continu verbeteren.

6.5 Randvoorwaarden Informatiebeveiliging vormt een combinatie van organisatorische en technische maatregelen en is voor een groot deel afhankelijk van zorgvuldig en bewust gedrag van medewerkers, van afspraken met ketenpartners, en van een weerbare fysieke en logische infrastructuur. Op alle vlakken moet aandacht worden besteed aan informatiebeveiliging.

12

7 Ontwikkelingen – trends, risico’s en dreigingen

7.1 Trends Door de almaar verdergaande digitalisering, gebruik van nieuwe technologie en samenwerking in (informatie)ketens wordt ook de gemeentelijke dienstverlening steeds afhankelijker van een goede informatievoorziening. Vrijwel alle vitale processen en diensten zijn afhankelijk van ICT. Analoge alternatieven zijn daarbij vrijwel verdwenen en terugvalopties zijn beperkt. Bij de gemeentelijke informatievoorziening is een trend te zien ‘van zelf doen naar laten doen’. Dit heeft gevolgen voor de invulling van de rollen rond informatiebeveiliging, die steeds verder zullen verschuiven naar een regierol.

7.2 Risico’s Naast kansen en mogelijkheden door deze trends nemen ook de (cyber)risico’s toe. De digitale weerbaarheid dreigt bij al deze ontwikkelingen achter te lopen. Zo is er een afhankelijkheid van een beperkt aantal aanbieders uit een beperkt aantal landen, nemen met ketensamenwerking en het delen van informatie ook kwetsbaarheden toe, en wordt het risico op onbevoegde toegang tot informatie groter.

7.3 Externe dreigingen Externe dreigingen voor de informatieveiligheid in het algemeen zijn er op verschillende vlakken, waarbij de dreigingen ook op gemeenten van toepassing kunnen zijn. Deze dreigingen door menselijke actoren, gericht op ontwrichting van de samenleving (verstoring, sabotage, spionage, diefstal, manipulatie) kunnen afkomstig zijn van:  Statelijke actoren, door geopolitieke spanningen  Criminaliteit, vandalisme  Terrorisme, hacktivisme Daarnaast kunnen zich dreigingen voordoen die ontstaan uit natuurrampen zoals overstromingen en aardbevingen, die van invloed kunnen zijn op de informatieveiligheid. Genoemde dreigingen zijn gebaseerd op het nationale cyberdreigingsbeeld - het Cyber Security

13

Beeld Nederland (CSBN) - dat jaarlijks door de Nationaal Coördinator Terrorismebestrijding en Veiligheid (NCTV) wordt opgesteld en ook voor gemeenten bruikbaar is. De Informatiebeveiligingsdienst voor gemeenten (IBD) vertaalt dit beeld naar een Dreigingsbeeld Nederlandse Gemeenten. Voor het programma Agenda Digitale Veiligheid is een Amsterdams cyberdreigingsbeeld ontwikkeld.

7.4 Interne dreigingen Interne dreigingen voor de informatieveiligheid bestaan uit technisch falen van apparatuur en/of menselijke fouten door onzorgvuldigheid, fouten, misbruik van bevoegdheden, fraude, verlies of diefstal, onvoldoende kennis en vaardigheden, of uitval van personeel.

14

8 Investeren in weerbaarheid

Veiligheid van informatie is een belangrijk vraagstuk en vraagt om een gemeentebrede aanpak. Het ‘eigen huis’ moet op orde zijn om weerstand te kunnen bieden aan de toenemende dreigingen. Met het invoeren van de BIO als basisnormenkader voor de gehele overheid is een goede start gemaakt om een basisbeveiligingsniveau te realiseren. Door het standaard nemen van maatregelen tegen (digitale) dreigingen op de informatieveiligheid ontstaat steeds beter inzicht in de aard en omvang van de dreigingen. Voor de gemeente Amsterdam betekent dit concreet dat de komende jaren wordt ingezet op: 1. Werken aan bewustzijn Vergroten van bewustwording van risico’s en het noodzakelijke niveau van digitale weerbaarheid en zorgvuldig gedrag. Hiervoor ontwikkelt de gemeente een gemeentebreed bewustzijnsprogramma; 2. Beheersmaatregelen en toezicht Door invoering van de BIO wordt de digitale weerbaarheid structureel verhoogd en het toezicht wordt versterkt. Hiervoor is het implementatieplan BIO opgesteld, dat vanaf 2020 wordt uitgevoerd. Om goed toezicht te kunnen houden, is inzicht nodig in de status van de beveiliging, ook bij externe partijen. Hiervoor zal gebruik worden gemaakt ‘in control verklaringen.

Ondersteunend zal gebruik worden gemaakt van een applicatie waarin de risico’s en de genomen maatregelen waarmee die risico’s zijn afgedekt worden bijgehouden (GRC-tool – waarbij GRC staat voor Governance, Risk, Compliance); 3. Oefenen en testen Door oefenen en testen wordt inzicht verkregen in de effectiviteit van genomen maatregelen. Hierbij is het belangrijk dat we van elkaar kunnen leren, zowel binnen de gemeentelijke organisatie zelf als tussen overheidsorganisaties; het delen van resultaten van oefeningen en testen dragen bij aan dat leereffect. Vanaf 2020 zullen naast de bestaande ICT-toetsen andere wijzen van oefenen en testen worden gepland; 4. Regie en interventie Alle betrokken partijen nemen hun verantwoordelijkheid en waar nodig wordt ingegrepen. Hierbij is een goed werkende PDCA-cyclus en inzicht in de status van informatiebeveiliging een randvoorwaarde. Het komende jaar wordt de governance, de onderliggende samenhang van de bestaande informatiebeveiligingsorganisatie, tegen het licht gehouden en waar nodig aangescherpt. Het hierna beschreven 3-lijnsmodel blijft daarbij het uitgangspunt.

15

9 Governance, het 3-lijnsmodel

De gemeente maakt gebruik van 3-lijnsmodel om in control te kunnen zijn en blijven op het gebied van informatiebeveiliging. Dit model wordt ook bij andere control-disciplines binnen de gemeente Amsterdam gebruikt. Dit wil zeggen dat de risico’s worden beheerst, niet dat er geen informatiebeveiligingsincidenten kunnen optreden. Eerste lijn – lijnsturing In het 3-lijnsmodel bestaat de eerste lijn uit het lijnmanagement, dat verantwoordelijk is voor de informatiebeveiliging in de eigen processen. Voor de beheersing maakt het lijnmanagement onder meer gebruik van meer gespecialiseerde kennis uit het I-domein, zoals IV-managers, information security officers, privacy officers, functioneel beheerders, (keten)informatiemanagers en overige specialisten. Het gaat bij de eerste lijn vooral om advies en toezicht met betrekking tot de beheersmaatregelen in de processen zelf. Tweede lijn – functionele sturing De tweede lijn bestaat uit medewerkers of afdelingen die een kaderstellende en toetsende rol hebben. Voor informatie betreft dat de Chief Information Officer (CIO), specifiek voor informatiebeveiliging de Chief Information Security Officer (CISO) en de Functionaris Gegevensbescherming (FG) als het gaat om bescherming van persoonsgegevens.

De CISO heeft in de gemeente een zelfstandige en onafhankelijke rol en kan zich, indien dit naar zijn oordeel gewenst is, rechtstreeks tot de gemeentesecretaris en/of wethouder ICT wenden voor gevraagd en ongevraagd advies met betrekking tot informatiebeveiliging. Derde lijn – controlerende sturing De derde lijn wordt gevormd door de concernaudit. Deze richt zich op de beoordeling van en advisering over de interne beheersing en kwaliteitsverbetering van de organisatie. Het model strekt zich uit over alle control-gebieden die binnen de gemeente onderscheiden worden (onder andere DMC, Juridische Zaken, CIO-office, Facilitair, Personeel en Organisatie). Het beleidskader informatiebeveiliging is bedoeld voor iedereen in en rond de gemeentelijke organisatie: Doelgroep Rol College van B&W Integrale verantwoordelijkheid CIO/CISO/Functionaris Gegevensbescherming Kaderstelling en tweedelijns toezicht Lijnmanagers Proceseigenaarschap IV-eenheden Advies en eerstelijns toezicht Personeelszaken Arbeidsvoorwaarden en personeelsinformatie Facilitaire Zaken Fysieke toegangsbeveiliging

16

Inkoop ICT Auditors Leveranciers en ketenpartners Medewerkers

Leveranciersmanagement en contracten ICT-beveiliging Onafhankelijke toetsing, derdelijns toezicht Naleving Zorgvuldig gedrag en naleving

10 Naleving en verantwoording

Directies geven mede richting en sturing aan het onderwerp informatiebeveiliging middels rapportages en voorbeeldgedrag. De bestuurlijke verantwoording over de toepassing van de BIO en andere informatiebeveiligingseisen is onderdeel van de verantwoording over de beveiliging van informatie(systemen). De gemeente verantwoordt zich over informatiebeveiliging middels de landelijke ENSIAsystematiek (Eenduidige Normatiek Single Information Audit). De verantwoording komt tot uitdrukking in de collegeverklaring Informatiebeveiliging. Hiermee geeft het college weer in hoeverre wordt voldaan aan de onderdelen van de BIO en aan de stelsels waarover aan toezichthouders moet worden gerapporteerd.

11 Financiën

Inherent aan het beleid waarin het lijnmanagement verantwoordelijk is voor de uitvoering van de informatiebeveiliging, komen de kosten voor informatiebeveiliging ten laste van het betreffende organisatieonderdeel. De kosten voor de beveiliging van gemeenschappelijke (ICT-)voorzieningen komen ten laste van het hiervoor verantwoordelijke organisatieonderdeel.

17

12 Samenhang met andere beleidsterreinen

12.1 Beleid en beleidskaders Het beleidskader informatiebeveiliging heeft op een aantal punten een directe relatie met andere beleidsgebieden, te weten: • het stedelijk kader verwerken persoonsgegevens De Algemene Verordening Gegevensbescherming is het centrale kader voor het beveiligen van persoonsgegevens en biedt dus een belangrijke houvast voor de wijze waarop de gemeente omgaat met persoonsgegevens en wat de Amsterdammer kan doen. Met het Stedelijk kader verwerken persoonsgegevens zorgt de gemeente ervoor dat iedereen in Amsterdam weet waar hij of zij aan toe is wat betreft het verwerken van persoonsgegevens door de gemeente. • het personeels- en organisatiebeleid De relatie met informatiebeveiliging ligt vooral op het terrein van de inrichting van de administratieve organisatie, waarbij kan worden gedacht aan: taken, bevoegdheden, verantwoordelijkheden, functiescheiding, richtlijnen, procedures en werkinstructies. het integriteitsbeleid Dit beleid heeft betrekking op ongeoorloofde handelingen op het gebied van o.a. belangenverstrengeling, manipulatie van of misbruik van (de toegang tot) informatie, misbruik van bevoegdheden of positie, onverenigbare functies/bindingen/activiteiten, strafbare feiten zoals diefstal, verduistering fraude en corruptie en verspilling en misbruik van gemeentelijke eigendommen.

• de gemeentelijke IV-strategie en -kaders In de IV-kaders zijn richtlijnen gedefinieerd ten aanzien van de informatievoorziening van de gemeente Amsterdam. Voor informatiebeveiliging is de toepassing van deze kaders van groot belang, met name op het gebied van architectuur (onderhoud en beheer van een veilige IV- en ICTarchitectuur) en de wijze waarop op IV/ICT projecten worden gestuurd (project portfolio management, waarmee informatiesystemen worden ontwikkeld en aangeschaft die aantoonbaar veilig zijn). Richtlijn vijf van de IV-kaders heeft betrekking op informatiebeveiliging. In dit beleidskader informatiebeveiliging is deze richtlijn geconcretiseerd. • het beleid dat is gericht op fysieke beveiliging en facility management Dit beleid heeft betrekking op de beveiliging van gebouwen, materieel en personen. De maatregelen die op basis van dit beleid worden getroffen hebben een nauwe relatie met informatiebeveiliging. Hierbij moet gedacht worden aan de veiligheid van het personeel, de fysieke beveiliging van het gebouw, kritische ruimten (o.a. rekencentra), de technische infrastructuur en de nutsvoorzieningen.

18

12.2 Normenkaders De basis voor dit strategisch beleidskader is de (inter)nationale norm NEN-ISO/IEC 27001/2:2017 en de daarvan afgeleide Baseline Informatiebeveiliging Overheid (BIO).

12.2.1 ISO-27001/2 en NEN-7510 De ISO-27001 norm is een internationaal erkende norm op het gebied van informatiebeveiliging, waar de ISO-27002 als het ware een verdieping op is. De NEN-7510 is de Nederlandse norm die van toepassing is op de zorgsector (en daarmee op o.a. gemeentelijke GGD’s) en is gebaseerd op de ISO-27001/2. Met de controls ofwel de beheersing van informatiebeveiliging die in de ISO-27001/2 en in de NEN-7510 is beschreven, wordt informatiebeveiliging als continu proces ingericht.

12.2.2 Baseline Informatiebeveiliging Overheid De Baseline Informatiebeveiliging Overheid (BIO) is het basisnormenkader voor de gehele overheid. De beheersmaatregelen zijn gebaseerd op de bovenstaande ISO-normen. De werkwijze van de BIO is gericht op risicomanagement. Dit houdt in dat beslissers op voorhand keuzes maken en continu afwegingen maken om informatie op passende wijze beveiligd te houden in termen van beschikbaarheid, integriteit en vertrouwelijkheid. De BIO onderscheidt drie basis beveiligingsniveaus (BBN), te weten BBN1, BBN2 en BBN3, waarbij BBN2 als uitgangspunt wordt gebruikt tenzij uit een risicoanalyse blijkt dat een ander niveau van toepassing is. Specifieke wet- en regelgeving Voor het adequaat beveiligen van informatie kan sprake zijn van een aanvullend beveiligingsniveau of specifieke maatregelen, zoals vereist kan zijn in materiewetten of beleidskaders.

Dit betreft onder meer (niet uitputtend) de:  Wet Digitale Overheid en Wet Open Overheid (nog niet van kracht per november 2019)  Cybersecuritywet  Wet computercriminaliteit  Algemene Verordening Gegevensbescherming  Wet basisregistratie Personen  Wet basisregistratie Adressen en Gebouwen  Wet basisregistratie Grootschalige Topografie  Wet basisregistratie Ondergrond  Wet basisregistratie Waarde Onroerende Zaken (WOZ)  Paspoort Uitvoeringsregeling Nederland (PUN)  Wet Structuur Uitvoeringsorganisatie Werk en Inkomen (SUWI)  Auteurswet  Archiefwet

19