Bijlage 2 Organisatie van informatiebeveiliging bij de gemeente Amsterdam.pdf

Organisatie van informatiebeveiliging bij de gemeente Amsterdam

Taken en verantwoordelijkheden

Gemeente Amsterdam

Pagina 2 van 12

Inhoudsopgave 1 Versiebeheer ........................................................................................................... 3 1.1 Versie ........................................................................................................................................ 3 1.2 Eigenaarschap en vaststelling ................................................................................................... 3 1.3 Periodieke actualisering ............................................................................................................ 3 2 Organisatie van de informatiebeveiliging .................................................................. 4 3 Bestuurlijke verantwoordelijkheden .......................................................................... 4 3.1 College van B&W ...................................................................................................................... 4 4 Ambtelijke verantwoordelijkheden, stelselverantwoordelijkheid ................................ 5 4.1 Gemeentelijk Management Team (GMT).................................................................................. 5 4.2 De Chief Information Officer (CIO) ...........................................................................................

5 4.3 Chief Information Security Officer (CISO) ................................................................................. 6 5 Ambtelijke verantwoordelijkheden, lijnverantwoordelijkheid ..................................... 6 5.1 Lijnmanager........................................................................Fout! Bladwijzer niet gedefinieerd. 5.2 . Proceseigenaar ....................................................................................................................... 6 5.3 Dienstenleverancier ...................................................................................................................7 5.3.1 ICT ..........................................................................................................................................7 5.3.2 Fysieke toegangsbeveiliging .................................................................................................. 8 5.3.3 Facilitaire zaken ..................................................................................................................... 8 5.3.4 Apparatuur ............................................................................................................................ 8 5.3.5 Personeel en informatiebeveiliging ........................................................................................

8 5.3.6 Inkoop en contracten ............................................................................................................. 9 5.4 IV-organisatie ........................................................................................................................... 9 5.4.1 Privacy Officers (PO) .............................................................................................................. 9 5.4.2 Information Security Officer (ISO) ......................................................................................... 9 5.5 Medewerkers, gebruikers van informatiesystemen ..................................................................10 6 Specifieke rollen en taken ...................................................................................... 11 6.1 Security Officer Suwinet .......................................................................................................... 11 6.2 Beveiligingsbeheerder basisregistratie Personen .................................................................... 11 6.3 Beveiligingsbeheerder Reisdocumenten .................................................................................. 11 6.4 Algemene en vertrouwde contactpersonen IBD ...................................................................... 11

Versie 1.2 Organisatie van informatiebeveiliging bij de gemeente Amsterdam – taken en verantwoordelijkheden

Gemeente Amsterdam

Pagina 3 van 12

1 Versiebeheer

1.1 Versie Versie 0.1 1.0 1.1 1.2

Datum September 2019 Februari 2020 Maart 2020 April 2020

Door CISO

Opmerkingen Initiële versie

CISO

Concept versie

CISO CISO

Concept versie na MID Concept ter vaststelling door GMT

1.2 Eigenaarschap en vaststelling

Versie 1.0

Datum

Door

1.3 Periodieke actualisering Onderhoud en actualisatie van het beleidskader informatiebeveiliging en dit bijbehorende document over de organisatie van informatiebeveiliging is belegd bij de CISO. Jaarlijks toetst de CISO of het moet worden bijgesteld.

Versie 1.2 Organisatie van informatiebeveiliging bij de gemeente Amsterdam – taken en verantwoordelijkheden

Gemeente Amsterdam

Pagina 4 van 12

2 Organisatie van de informatiebeveiliging

Dit organisatorisch kader voor taken en verantwoordelijkheden informatiebeveiliging maakt duidelijk wat de rol, taken en verantwoordelijkheden zijn van de betrokken bestuurlijke en ambtelijke actoren op het gebied van informatiebeveiliging in de gemeente Amsterdam, en beschrijft daarmee op hoofdlijnen het zogeheten Information Security Management System (ISMS).

3 Bestuurlijke verantwoordelijkheden

In het kader van het stedelijk beleidskader informatiebeveiliging worden de volgende verantwoordelijkheden, taken en bevoegdheden toebedeeld:

3.1 College van B&W Het college van B&W, dan wel de Burgemeester, ieder vanuit hun eigen taak en bevoegdheid  is bestuurlijk verantwoordelijk voor het voldoen aan het stedelijk beleidskader informatiebeveiliging;  stelt het informatiebeveiligingsbeleid vast;  verwerkt informatiebeveiliging in de bestuurlijke doelstellingen van de gemeente Amsterdam;  geeft jaarlijks bij het jaarverslag een in-control-verklaring af over informatiebeveiliging zoals aangegeven in de Baseline Informatiebeveiliging Overheid;  rapporteert jaarlijks bij het jaarverslag aan de gemeenteraad op hoofdlijnen over de status van de informatiebeveiliging, conform de landelijke afspraken hierover; Binnen het college is een coördinerend wethouder Digitale Stad aangewezen die de centrale flankerende activiteiten en beleidsbepaling met betrekking tot gemeentebrede informatiebeveiliging coördineert. Kortgezegd: deze wethouder is namens het college verantwoordelijk voor het stelsel, de instandhouding daarvan en het toezicht daarop; de overige wethouders zijn elk verantwoordelijkheid voor de naleving van de informatiebeveiliging binnen hun portefeuille(s).

Versie 1.2 Organisatie van informatiebeveiliging bij de gemeente Amsterdam – taken en verantwoordelijkheden

Gemeente Amsterdam

Pagina 5 van 12

4 Ambtelijke verantwoordelijkheden, stelselverantwoordelijkheid

4.1 Gemeentelijk Management Team (GMT) Het GMT is verantwoordelijk voor het: Vaststellen van een beheerkader om de implementatie en uitvoering van de informatiebeveiliging binnen de gemeente te initiëren en te beheersen (zie 6.1 BIO). Het GMT:  draagt zorg voor de naleving van de kaders uit het beleidsdocument;  stelt jaarlijks aandachtspunten vast die de auditcommissie meeneemt in haar toetsing van de uitvoering van dit beleid;  neemt kennis van periodieke rapportages van de clusters en stadsdelen ten aanzien van informatiebeveiliging;  rapporteert jaarlijks aan het college van B&W over de status van de informatiebeveiliging binnen de gemeente. De CIO is binnen het GMT sturend op informatiebeveiliging.

4.2 De Chief Information Officer (CIO) De Chief Information Officer (CIO) is verantwoordelijk voor het laten vaststellen van beleidskader informatiebeveiliging. De Chief Information Security Officer (CISO) ziet toe op de naleving van het informatiebeveiligingsbeleid. De CIO, de CISO en de Functionaris Gegevensbescherming werken samen daar waar informatiebeveiliging en privacy in elkaar grijpen. De Chief Information Officer (CIO) heeft de volgende taken:  In opdracht van de Wethouder Digitale Stad formuleren en beheren van kaderstellende afspraken voor informatiebeveiliging;  Stimuleren van bewustzijn van medewerkers op het gebied van informatiebeveiliging;  Het inrichten van het risicomanagement ten aanzien van informatiebeveiliging.  Organiseren van de samenhang tussen flankerende functionarissen, te weten: CISO, FG en Informatiecommissaris.  Namens het GMT besluiten inzake grote beveiligingsrisico’s bij projecten of systemen.

Versie 1.2 Organisatie van informatiebeveiliging bij de gemeente Amsterdam – taken en verantwoordelijkheden

Gemeente Amsterdam

Pagina 6 van 12

4.3 Chief Information Security Officer (CISO) De CISO:  Stelt het strategisch beleidskader Informatiebeveiliging van de gemeente Amsterdam op;  Zorgt dat dit beleid wordt ingevuld met maatregelen op generiek niveau;  Ziet toe op de ontwikkeling, onderhoud en implementatie van het beleid, gericht op de beveiliging van de informatievoorziening en informatiesystemen, door de IV-eenheden en de directie ICT en overige organisatieonderdelen, zodanig dat de integriteit van de informatievoorziening en informatiesystemen is gewaarborgd;  Coördineert de aanpak voor implementatie en borging van de Baseline Informatiebeveiliging Overheid (BIO);  Onderhoudt de landelijke contacten bij grote informatiebeveiligingsincidenten, rapporteert direct aan het betrokken management;  Stuurt interne of externe onderzoeken naar de oorzaken van de incidenten;  Analyseert en rapporteert periodieke over risico’s op gemeentelijk niveau en stelt doelen voor informatiebeveiliging voor;  Organiseert en faciliteert overleg voor sturing en coördinatie op het gebied van informatiebeveiliging;  Verzorgt de tweedelijns control ten aanzien van de gemeentelijke informatiebeveiliging;  Geeft opdracht tot het verrichten van interne onderzoeken en audits op het gebied van informatiebeveiliging;  Signaleert en adviseert inzake grote beveiligingsrisico’s bij projecten of systemen via een “rode knop procedure”

, zodat de CIO hierop namens het GMT kan acteren.  Houdt een centrale registratie bij van informatiebeveiligingsincidenten en de afhandeling;  Stelt periodiek verslag op over informatiebeveiliging aan het GMT en ook de jaarlijkse collegeverklaring en verantwoording informatieveiligheid ten behoeve van de gemeenteraad.

5 Ambtelijke verantwoordelijkheden, lijnverantwoordelijkheid

5.1 . Proceseigenaar Onder de proceseigenaar wordt de lijnmanager verstaan die verantwoordelijk is voor de beveiliging van het betreffende proces/informatiesysteem. De proceseigenaar heeft de volgende taken en verantwoordelijkheden:

Versie 1.2 Organisatie van informatiebeveiliging bij de gemeente Amsterdam – taken en verantwoordelijkheden

Gemeente Amsterdam

 

   

  

Pagina 7 van 12

Bewerkstelligen dat informatie een passend beschermingsniveau krijgt dat in overeenstemming is met het belang ervan voor de organisatie (zie 8.2 BIO) Waarborgen dat informatiebeveiliging integraal deel uitmaakt van informatiesystemen in de gehele levenscyclus. Hiertoe behoren ook de eisen voor informatiesystemen die diensten verlenen via openbare netwerken (zie 14.1 BIO); Bewerkstelligen dat informatiebeveiliging wordt ontworpen en geïmplementeerd binnen de ontwikkelingslevenscyclus van informatiesystemen (zie 14.2 BIO) Bescherming waarborgen van gegevens die voor het testen zijn gebruikt (zie 14.3 BIO) De bescherming waarborgen van bedrijfsmiddelen van de organisatie die toegankelijk zijn voor leveranciers (zie 15.1 BIO) Een consistente en doeltreffende aanpak bewerkstelligen van het beheer van informatiebeveiligingsincidenten, met inbegrip van communicatie over beveiligingsgebeurtenissen en zwakke plekken in de beveiliging (zie 16.1 BIO) Opnemen van informatiebeveiligingscontinuïteit in de systemen van het bedrijfscontinuïteitsbeheer van de organisatie (zie 17.1 BIO) Voorkomen van schendingen van wettelijke, statutaire, regelgevende of contractuele verplichtingen betreffende informatiebeveiliging en beveiligingseisen (zie 18.1 BIO) Verzekeren dat informatiebeveiliging wordt geïmplementeerd en uitgevoerd in overeenstemming met de beleidsregels en procedures van de organisatie

(zie 18.2 BIO).

5.2 Dienstenleverancier Met dienstenleverancier wordt bedoeld een interne dienstenleverancier (een directie) of externe dienstenleverancier binnen de overheid (zoals een Shared Service Organisatie) of andere organisaties waaraan het college/de directie (een deel van) de beveiligingstaak inbesteedt respectievelijk uitbesteedt.

5.2.1 ICT De dienstenleverancier ICT heeft de volgende taken en verantwoordelijkheden:  Waarborgen van de veiligheid van telewerken en het gebruik van mobiele apparatuur (zie 6.2 BIO)  Onbevoegde openbaarmaking, wijziging, verwijdering of vernietiging van informatie die op media is opgeslagen voorkomen (zie 8.3 BIO)  Correcte en veilige bediening van informatieverwerkende faciliteiten waarborgen (zie 12.1 BIO);  Waarborgen dat informatie en informatieverwerkende faciliteiten beschermd zijn tegen malware (zie 12.2 BIO);  Beschermen tegen het verlies van gegevens (zie 12.3 BIO);  Gebeurtenissen vastleggen en bewijs verzamelen (zie 12.4 BIO);  De integriteit van operationele systemen waarborgen (zie 12.5 BIO);  Benutting van technische kwetsbaarheden voorkomen (zie 12.6 BIO);

Versie 1.2 Organisatie van informatiebeveiliging bij de gemeente Amsterdam – taken en verantwoordelijkheden

Gemeente Amsterdam

        

Pagina 8 van 12

De impact van auditactiviteiten op uitvoeringssystemen zo gering mogelijk maken (zie 12.7 BIO); De bescherming van informatie in netwerken en de ondersteunende informatieverwerkende faciliteiten waarborgen (zie 13.1 BIO); Handhaven van de beveiliging van informatie die wordt uitgewisseld binnen een organisatie en met een externe entiteit (zie 13.2 BIO); Toegang tot informatie en informatieverwerkende faciliteiten beperken (zie 9.1 BIO) Toegang voor bevoegde gebruikers bewerkstelligen en onbevoegde toegang tot systemen en diensten voorkomen (zie 9.2 BIO) Gebruikers verantwoordelijk maken voor het beschermen van hun authenticatieinformatie (zie 9.3 BIO) Onbevoegde toegang tot systemen en toepassingen voorkomen (zie 9.4 BIO) Zorgen voor correct en doeltreffend gebruik van cryptografie om de vertrouwelijkheid, authenticiteit en/of integriteit van informatie te beschermen (zie 10.1 BIO) Bewerkstelligen van beschikbaarheid van informatieverwerkende faciliteiten (zie 17.2 BIO)

5.2.2 Fysieke toegangsbeveiliging De dienstenleverancier Fysieke toegangsbeveiliging heeft de volgende taken:  Onbevoegde fysieke toegang tot, schade aan en interferentie met informatie en informatie verwerkende faciliteiten van de organisatie voorkomen (zie 11.1 BIO).

5.2.3 Facilitaire zaken De dienstenleverancier Facilitaire zaken met de verantwoordelijkheid voor bedrijfsmiddelen heeft de volgende taken en verantwoordelijkheden:  Bedrijfsmiddelen van de organisatie identificeren en passende verantwoordelijkheden ter bescherming definiëren (zie 8.1 BIO).

5.2.4 Apparatuur De dienstenleverancier Apparatuur heeft de volgende taken en verantwoordelijkheden:  Verlies, schade, diefstal of compromitteren van bedrijfsmiddelen en onderbreking van de bedrijfsvoering van de organisatie voorkomen (zie 11.2 BIO).

5.2.5 Personeel en informatiebeveiliging De dienstenleverancier Personeelszaken heeft de volgende taken en verantwoordelijkheden: Voorafgaand aan het dienstverband:  Waarborgen dat medewerkers en contractanten hun verantwoordelijkheden begrijpen en geschikt zijn voor de rollen waarvoor zij in aanmerking komen (zie 7.1 BIO); Versie 1.2 Organisatie van informatiebeveiliging bij de gemeente Amsterdam – taken en verantwoordelijkheden

Gemeente Amsterdam

Pagina 9 van 12

Tijdens het dienstverband:  Ervoor zorgen dat medewerkers en contractanten zich bewust zijn van hun verantwoordelijkheden op het gebied van informatiebeveiliging en deze nakomen (Zie 7.2 BIO);  Gebruikers (medewerkers) verantwoordelijk maken voor het beschermen van hun authenticatie-informatie (zie 9.3 BIO). Na beëindiging en bij wijziging van het dienstverband:  Het beschermen van de belangen van de organisatie als onderdeel van de wijzigings- of beëindigingsprocedure van het dienstverband (zie 7.3 BIO).

5.2.6 Inkoop en contracten De dienstenleverancier voor Inkoop en contracten heeft de volgende taken en verantwoordelijkheden:  Een overeengekomen niveau van informatiebeveiliging en dienstverlening in overeenstemming met de leveranciersovereenkomsten handhaven (zie 15.2 BIO)

5.3 IV-organisatie De IV-organisatie verzorgt het informatiebeheer, functioneel beheer, en proces- en informatiemanagement voor de directies en stadsdelen. De IV-eenheden zijn per cluster ingericht en worden elk aangestuurd door een IV-manager. De IV-manager ondersteunt en adviseert de directies binnen het cluster en neemt daarbij informatieveiligheid mee. Binnen de IV-organisatie zijn expertisepools met privacy officers en information security officers ingericht, die een specifieke rol hebben in de beleidsuitvoering op het gebied van informatiebeveiliging. Elke pool wordt aangestuurd door een IV-manager.

5.3.1 Privacy Officers (PO) Een privacy officer is belast met de coördinatie en uitvoering van het beleid inzake het verwerken van persoonsgegevens. De taken van de privacy officer staan beschreven in het IV-functiehuis.

5.3.2 Information Security Officer (ISO) Een information security officer is belast met de coördinatie en uitvoering van het beleidskader informatiebeveiliging. De taken van de information security officer staan beschreven in het IVfunctiehuis.

Versie 1.2 Organisatie van informatiebeveiliging bij de gemeente Amsterdam – taken en verantwoordelijkheden

Gemeente Amsterdam

Pagina 10 van 12

5.4 Medewerkers, gebruikers van informatiesystemen Elke medewerker heeft ook zelf verantwoordelijkheden ten aanzien van informatiebeveiliging. De medewerker:  is zich bewust van risico’s op het gebied van informatiebeveiliging;  leeft gestelde maatregelen over zorgvuldig omgaan met informatie na;  meldt incidenten aan het lijnmanagement.

Versie 1.2 Organisatie van informatiebeveiliging bij de gemeente Amsterdam – taken en verantwoordelijkheden

Gemeente Amsterdam

Pagina 11 van 12

6 Specifieke rollen en taken

Voor bepaalde informatiestelsels en volgens specifieke wet- en regelgeving is de benoeming van specifieke beveiligingsfuncties en/of –rollen vereist.

6.1 Security Officer Suwinet De gemeente heeft, volgens de eisen uit het Suwinet-normenkader voor Afnemers, een of meerdere personen in de Beveiligingsfunctie Suwinet (GeVS) benoemd en de taken en verantwoordelijkheden vastgesteld. Binnen de Beveiligingsfunctie Suwinet is geregeld dat contact wordt onderhouden met de beveiligingsfunctionaris van de beheerder, te weten het Bureau Keteninformatisering Werk & Inkomen (BKWI), wanneer sprake is van beveiligingsincidenten die het stelsel aangaan. De rol/taakomschrijving is door het BKWI omschreven als Security Officer Suwinet. Deze heeft als taken de activiteiten die impact hebben op de bescherming van de Suwinet-keten of de bescherming van de via Suwinet uitgewisselde gegevens door te geven aan de Security Officer van BKWI (beveiligingsincidenten). De Security Officer Suwinet controleert regulier in welke mate de getroffen maatregelen in relatie tot Suwinet volstaat en/of escalatie of aanvullende maatregelen nodig zijn.

6.2 Beveiligingsbeheerder basisregistratie Personen De gemeente heeft, volgens de eisen uit de Wet Basisregistratie Personen, een of meerdere personen benoemd in de rol beveiligingsbeheerder BRP.

6.3 Beveiligingsbeheerder Reisdocumenten De gemeente heeft, volgens de eisen uit de Paspoort Uitvoeringsregeling Nederland (PUN), een of meerdere personen benoemd in de rol beveiligingsbeheerder reisdocumenten.

6.4 Algemene en vertrouwde contactpersonen IBD Elke gemeente benoemt een of meerdere algemene en vertrouwde contactpersonen bij de Informatiebeveiligingsdienst voor gemeenten (IBD). De algemene contactpersoon (ACIB) ontvangt algemene waarschuwingen en informatie met een niet-vertrouwelijk karakter over

Versie 1.2 Organisatie van informatiebeveiliging bij de gemeente Amsterdam – taken en verantwoordelijkheden

Gemeente Amsterdam

Pagina 12 van 12

algemene dreigingen en incidenten. De vertrouwde contactpersoon (VCIB) ontvangt waarschuwingen en informatie met een vertrouwelijk karakter over mogelijke dreigingen en incidenten die niet met anderen gedeeld mogen worden. De CISO onderhoudt de registratie van de contactpersonen.

Versie 1.2 Organisatie van informatiebeveiliging bij de gemeente Amsterdam – taken en verantwoordelijkheden