Bijlage 3 Rapportage informatiebeveiliging 2018-2019.pdf

Rapportage informatiebeveiliging 2018/2019 CISO gemeente Amsterdam

Gemeente Amsterdam

Versie 0.3 Opsteller: CISO

Rapportage informatiebeveiliging 2018/2019

Inhoud

1 Samenvatting ......................................................................................................... 3 2 Toenemende risico’s en dreigingen ........................................................................... 4 Risico’s ...................................................................................................................................... 4 Dreigingen................................................................................................................................ 4 3 Terugblik 2018 en 2019 ............................................................................................ 6 Implementatie BIG .................................................................................................................... 6 Beleid, verantwoording en naleving .......................................................................................... 6 3.2.1 Beleid ..................................................................................................................................... 6 3.2.2 Verantwoording......................................................................................................................7 3.2.3 Naleving.................................................................................................................................

8 Incidenten ................................................................................................................................10 Bewustzijn, kennis en vaardigheden ........................................................................................10 3.4.1 Bewustwordingscampagne ...................................................................................................10 3.4.2 Introductieprogramma nieuwe medewerkers ....................................................................... 11 Weerbaarheid .......................................................................................................................... 11 3.5.1 Digitale weerbaarheid ........................................................................................................... 11 3.5.2 Organisatorische weerbaarheid ............................................................................................12 4 Vooruitblik 2020 .................................................................................................... 13 Baseline Informatiebeveiliging Overheid ................................................................................. 13 Bewustzijnsprogramma, training en opleiding.........................................................................

13 Versterking risicomanagement ................................................................................................14 Sturing op specifieke organisatieonderdelen ...........................................................................14 Websites ..................................................................................................................................14 Mobiele apparatuur .................................................................................................................14 Toezicht ...................................................................................................................................14 Veilige Digitale Stad ................................................................................................................ 15 5 Bijlage – meting bewustwordingscampagne ............................................................ 16

Gemeente Amsterdam

Versie 0.3 Opsteller: CISO

Rapportage informatiebeveiliging 2018/2019

1 Samenvatting

De vele voorbeelden van langdurige verstoringen van informatievoorziening als gevolg van cybercrime of – zowel nationaal als internationaal – tonen aan dat bescherming van beschikbaarheid, integriteit en vertrouwelijkheid van informatie van cruciaal belang is. Met de almaar toenemende digitalisering, verdergaande ketensamenwerking en toename van cybercrime nemen ook kwetsbaarheden en risico’s toe. Hoewel niet alle risico’s kunnen worden weggenomen en 100% informatieveiligheid niet bestaat, besteedt de gemeente bij informatievoorzieningsprojecten structureel aandacht aan informatiebeveiliging door het uitvoeren van risicoanalyses en het doorvoeren van maatregelen. Het blijft van belang continu de vinger aan de pols te houden: of de getroffen maatregelen voldoende zijn om beveiligingsrisico’s af te dekken, of er door achterstallig onderhoud geen zogeheten achterdeurtjes zijn ontstaan in de informatiebeveiliging, of de informatievoorziening voldoende weerbaar is tegen cybercrime, en of de kennis en (digitale) vaardigheden van het personeel op peil zijn. In 2018 is een nieuwe landelijke methodiek doorgevoerd voor de verantwoording over informatieveiligheid (ENSIA) door gemeenten. Dit betekent dat jaarlijks vóór 1 mei verantwoording wordt afgelegd aan de gemeenteraad conform de landelijke regels.

Hierbij wordt gefocust op de specifieke toepassingen waarover ook verantwoording aan de landelijke toezichthouders wordt afgelegd. Het college heeft de collegeverklaring ENSIA 2018 op 23 april 2019 vastgesteld (VN2019-005289) en de raad heeft hiervan op 5 juni 2019 kennisgenomen (BD2019-004653). Deze rapportage informatiebeveiliging beschrijft de activiteiten, incidenten en ontwikkelingen ten aanzien van informatieveiligheid bij de gemeente Amsterdam over de afgelopen kalenderjaren 2018 en 2019. In het informatiebeveiligingsbeleid van de gemeente Amsterdam is opgenomen dat het college van B&W jaarlijks op hoofdlijnen rapporteert aan de gemeenteraad over de status van de informatiebeveiliging. Dat gebeurt via het jaarverslag, via ENSIA en via deze rapportage.

3

Gemeente Amsterdam

Versie 0.3 Opsteller: CISO

Rapportage informatiebeveiliging 2018/2019

2 Toenemende risico’s en dreigingen

Met de steeds toenemende digitalisering en verdergaande ketensamenwerking nemen ook kwetsbaarheden toe. Risico’s op inbreuk op de beveiliging van informatie worden beheerst door informatiebeveiliging als continu verbeterproces in te richten, rekening houdend met de toenemende dreigingen.

Risico’s De generieke risico’s die er voor elke gegevensverwerking en informatievoorziening zijn, worden door de vele technische en organisatorische maatregelen die de gemeente treft voor een groot deel afgedekt. Deze generieke risico’s zijn:  verlies of diefstal van gegevens;  uitval van ICT;  onbevoegde kennisname of manipulatie van informatie;  niet duurzame toegankelijkheid van informatie. Hoewel niet alle risico’s kunnen worden weggenomen en 100% informatieveiligheid niet bestaat, besteedt de gemeente bij informatievoorzieningsprojecten structureel aandacht aan informatiebeveiliging door het uitvoeren van risicoanalyses en het doorvoeren van maatregelen. Het blijft van belang continu de vinger aan de pols te houden: of de getroffen maatregelen voldoende zijn om beveiligingsrisico’s af te dekken, of er door achterstallig onderhoud geen zogeheten achterdeurtjes zijn ontstaan in de informatievoorziening, of deze voldoende weerbaar is tegen cybercrime, en of de kennis en vaardigheden van het personeel op peil zijn.

Dreigingen Internationaal/nationaal Jaarlijks brengt het Nationaal Cyber Security Centrum (NCSC) het Cybersecuritybeeld Nederland uit. Hierin staan de dreigingen en trends vermeld waar Nederland mee te maken heeft of kan krijgen. Het laatst uitgebrachte beeld getiteld “Ontwrichting van de maatschappij ligt op de loer” geeft geen geruststellend nationaal beeld:  Grootste dreiging is spionage, verstoring en sabotage vanuit statelijke actoren. Landen zetten digitale middelen in om geopolitieke en economische doelstellingen te bereiken, ten koste van Nederlandse belangen;  Vrijwel alle vitale processen en diensten zijn volledig afhankelijk van ICT. Aantasting kan leiden tot maatschappij-ontwrichtende schade. Terugvalopties en analoge alternatieven zijn vrijwel afwezig;

4

Gemeente Amsterdam

Versie 0.3 Opsteller: CISO

Rapportage informatiebeveiliging 2018/2019



Weerbaarheid is niet overal op orde. Maatregelen worden niet altijd genomen omdat de kostendrager niet altijd de baten ervaart. Onveilige producten en diensten vormen een achilleshiel voor de digitale veiligheid. Nederland is afhankelijk van een beperkt aantal aanbieders en landen. Dit maakt ons kwetsbaar voor veranderende intenties.

Gemeenten De informatiebeveiligingsdienst voor gemeenten (IBD), onderdeel van de VNG, brengt tweejaarlijks het dreigingsbeeld Informatiebeveiliging Nederlandse Gemeenten uit. Het beeld richt zich vooral op de interne organisatie van gemeenten. Uit het beeld 2019/2020 komt naar voren dat bij gemeenten in het algemeen:  informatiebeveiliging laag op de politieke agenda staat;  risico’s niet integraal in beeld zijn;  de basis niet op orde is;  er teveel werk is, en te weinig gekwalificeerde specialisten;  de complexiteit toeneemt, mede door innovatieve ontwikkelingen. Amsterdam Bovenstaande dreigingsbeelden worden benut om binnen de Amsterdamse gemeentelijke organisatie waar nodig maatregelen aan te scherpen. Gemeentebreed zicht op risico’s is daarbij cruciaal om de juiste maatregelen te kunnen treffen. Voorbeelden van langdurige verstoringen van informatievoorziening bij instellingen en bedrijven als gevolg van cybercrime – zowel nationaal als internationaal – tonen aan dat bescherming van beschikbaarheid, integriteit en vertrouwelijkheid van informatie van cruciaal belang is. Amsterdam staat als hoofdstad van Nederland en als grootste gemeente nadrukkelijk in de spotlights, ook op het gebied van informatieveiligheid. De dreigingen zijn in Amsterdam groter dan bij een gemiddelde gemeente, alleen al vanwege de informatie die in Amsterdam aanwezig is.

Het College heeft in november 2019 de agenda “Veilige digitale stad” vastgesteld. Dit betekent dat Amsterdam ten opzichte van andere gemeenten extra alert moet zijn.

5

Gemeente Amsterdam

Versie 0.3 Opsteller: CISO

Rapportage informatiebeveiliging 2018/2019

3 Terugblik 2018 en 2019

Implementatie BIG Na de introductie van de Baseline Informatiebeveiliging Gemeenten (BIG) is in 2015 een uitvoeringsplan voor de BIG opgesteld. De gemeentelijke clusters hebben elk een top-5 van hun meest kritische processen benoemd als het gaat om informatieveiligheid en hebben over de voortang van de implementatie BIG viermaandelijks gerapporteerd. Daarnaast is er veel aandacht geweest voor een meer generieke beheersing en maatregelen, die ook voor minder kritische processen van toepassing zijn. Denk aan de beveiliging van de ICTinfrastructuur, in/uitdienstprocessen en autorisatiebeheer. Eind 2018 is het bovengenoemde traject grotendeels afgerond. De BIG is inmiddels vervangen door de Baseline Informatiebeveiliging Overheid (BIO), wat betekent dat de beveiligingseisen voor gemeenten verder worden aangescherpt.

Beleid, verantwoording en naleving 3.2.1 Beleid De processen van de gemeente Amsterdam worden ondersteund door informatiesystemen en ICT-voorzieningen. Verlies van gegevens, uitval van ICT, onbevoegde kennisname of manipulatie van informatie kan ernstige gevolgen hebben voor het functioneren van de gemeente. Incidenten kunnen negatieve gevolgen hebben voor burgers en bedrijven. Informatie is daarmee één van de belangrijkste bedrijfsmiddelen van de organisatie. De toenemende digitalisering, elektronische dienstverlening aan burgers en bedreigingen via internet maken het steeds belangrijker om ook op dit vlak in control te zijn. Dat betekent niet dat er geen informatiebeveiligingsincidenten meer kunnen gebeuren, wel dat de gemeente zicht heeft op de risico’s en in staat is om deze risico’s te beheersen. Om de basis te leggen voor informatiebeveiliging bij gemeenten zijn landelijke afspraken gemaakt. Gemeenten hebben zich gecommitteerd aan de Baseline Informatiebeveiliging Gemeenten (BIG), het landelijke basisnormenkader dat door de VNG wordt beheerd. Vanaf 2020 wordt de BIG vervangen door de Baseline Informatiebeveiliging Overheid (BIO), die voor de gehele overheid van toepassing is. Gemeente Amsterdam beschikt over een door het college vastgesteld informatiebeveiligingsbeleid (ZD2016-004922) dat de basis vormt voor de gemeentelijke informatiebeveiliging.

Het informatiebeveiligingsbeleid van de gemeente Amsterdam bepaalt - op basis van de baseline de algemene richtlijnen die voor de gehele gemeentelijke organisatie gelden inclusief de uitbestede diensten. Op basis van het beleid worden waar nodig informatiebeveiligings-

6

Gemeente Amsterdam

Versie 0.3 Opsteller: CISO

Rapportage informatiebeveiliging 2018/2019

maatregelen in technische en organisatorische zin gedefinieerd. De Chief Information Security Officer (CISO) houdt namens de Chief Information Officer (CIO) toezicht op de informatiebeveiliging en stelt het beleid hiervoor op. Het beleid wordt in 2020 geëvalueerd en aangepast aan de actuele situatie.

3.2.2 Verantwoording

Verantwoording over de staat van informatiebeveiliging vindt op verschillende wijzen en op meerdere niveaus plaats, zowel ambtelijk en bestuurlijk als intern en extern. Het blijvend en op al deze niveaus aandacht schenken aan het onderwerp draagt ertoe bij dat de informatieveiligheid naar een hoger niveau wordt getild. De gemeente verantwoordt zich door middel van: Jaarrapportage In het informatiebeveiligingsbeleid van de gemeente Amsterdam is opgenomen dat het college van B&W jaarlijks op hoofdlijnen rapporteert aan de gemeenteraad over de status van de informatiebeveiliging. Dat gebeurt via het jaarverslag, via ENSIA en via deze rapportage. ENSIA Sinds 2017 verantwoorden gemeenten zich via de ENSIA-methodiek over de staat van informatieveiligheid. Tot nu toe gebeurt dit alleen nog voor de stelsels DigiD, Suwinet en de basisregistraties Adressen en Gebouwen (BAG), Grootschalige Topografie (BGT) en vanaf 2019 2019 ook de basisregistratie Ondergrond (BRO), waarover ook aan de landelijke toezichthouder wordt gerapporteerd. ENSIA staat goed op de rails maar is nog lang niet af; zo luidde ook de conclusie die tijdens de landelijke evaluatie werd getrokken. De komende jaren zullen verbeteringen worden doorgevoerd, onder leiding van de VNG.

Amsterdam neemt actief deel aan het Partneroverleg ENSIA en is daarmee in staat om samen met andere partijen (VNG, BZK, toezichthouders) te werken aan verdere verbeteringen van deze methodiek, zodat Raad en College dankzij een heldere verantwoordingsrapportage inzicht krijgen in de staat van informatieveiligheid in de gemeente. Onderhavige rapportage is daarvoor de volgende stap. Jaarverslag In het jaarverslag wordt een passage over informatiebeveiliging opgenomen waarin verschillende aspecten over ICT en informatievoorziening zijn belicht. Waar staat je gemeente Net als andere gemeentelijke informatie staan de gegevens over informatieveiligheid vermeld op de website www.waarstaatjegemeente.nl. Hierbij kunnen gegevens tussen verschillende gemeenten worden vergeleken. Deze gegevens zijn niet alleen toegankelijk voor gemeentelijke bestuurders maar ook voor andere geïnteresseerde partijen, zoals inwoners, onderzoekers en media.

7

Gemeente Amsterdam

Versie 0.3 Opsteller: CISO

Rapportage informatiebeveiliging 2018/2019

Dashboards De CISO ziet toe op naleving van het informatiebeveiligingsbeleid en rapporteert daarover aan het GMT. Eind 2019 is een start gemaakt met het compacter en overzichtelijker maken van deze verantwoording op basis van dashboards.

3.2.3 Naleving Om de naleving van het beleid te toetsen, maken we gebruik van audits en kwetsbaarheidstesten. Met deze instrumenten krijgen we inzicht in de staat van de informatieveiligheid en de informatiebeveiligingsrisico’s. Jaarlijks worden op diverse gebieden audits en onderzoeken uitgevoerd, zowel ten aanzien van specifieke informatiesystemen als ten aanzien van de ICT-infrastructuur. De opvolging van de auditresultaten wordt bewaakt. DigiD en Suwinet Jaarlijks wordt getoetst of de gemeentelijke aansluitingen op DigiD en Suwinet voldoen aan de wet- en regelgeving. DigiD is een landelijke voorziening waarmee een burger zich kan identificeren als hij digitaal zaken doet met de overheid. De gemeente beschikt over meerdere DigiDaansluitingen. Suwinet is een landelijke voorziening waarmee overheidsinstellingen gegevens uitwisselen over werk, inkomen, uitkeringen en dergelijke. De afgelopen jaren zijn uit de toetsen meerdere verbeterpunten naar voren gekomen. De verantwoordelijk directeuren hebben hierop actie ondernomen en de verbeteringen binnen de gestelde termijnen doorgevoerd. Accountantscontrole ACAM neemt bij haar accountantscontrole ook het aspect informatiebeveiliging mee. In haar generaal verslag over 2018 heeft ACAM specifiek gerefereerd aan het onderwerp autorisatiebeheer.

In 2017 / 2018 is het autorisatiebeheer stedelijk ingericht en voor de belangrijkste processen en informatiesystemen van elk cluster geïmplementeerd, en vervolgens de overige processen en systemen. SOC Amsterdam Het Security Operating Centre (SOC) dat sinds 2019 in gebruik is, monitort continu (24/7) op verdachte situaties in het ICT-netwerk van de gemeente. Kwetsbaarheden in de digitale infrastructuur worden opgespoord door speciale kwetsbaarheidsscanners. Deze scanners toetsen of aan de standaard beveiligingsniveaus wordt voldaan. De scope van het SOC wordt de komende tijd steeds verder uitgebreid. Websites Periodiek wordt getoetst of aan de actuele eisen aan websites wordt voldaan, zoals voor www.amsterdam.nl. Op dit moment kent Amsterdam duizenden domeinnamen voor toepassingen of websites. Het is niet voor alle domeinen duidelijk waar deze zich bevinden, of ze

8

Gemeente Amsterdam

Versie 0.3 Opsteller: CISO

Rapportage informatiebeveiliging 2018/2019

daadwerkelijk in gebruik zijn, of ze beheerd worden. Wel is duidelijk dat Amsterdam hierdoor ook beveiligingsrisico’s loopt. De ontstane situatie is het gevolg van het niet naleven van het huidige internetbeleid en het ontbreken van adequaat beheer. Er loopt een traject voor het structureel inrichten van processen om nieuwe versnippering te voorkomen en het beheer te borgen. Penetratietesten Bij implementatie van nieuwe informatiesystemen wordt conform stedelijk beleid altijd een zogeheten penetratietest uitgevoerd. Als er kwetsbaarheden worden geconstateerd, dan worden deze verholpen. Dit wordt actief gemonitord. Amsterdam is hierbij voorloper binnen gemeenteland, zodat in opdracht van Amsterdam geïnitieerde verbeteringen ook ten goed komen aan andere gemeenten. Fysieke beveiliging In 2018 zijn bij de 19 grootste gemeentelijke gebouwen zogeheten mystery visits uitgevoerd. Via social engineering – het misleiden van personeel - is onderzocht of het mogelijk is om ongeautoriseerd het gebouw binnen te komen en of het vervolgens mogelijk is om binnen het gebouw toegang te krijgen tot vertrouwelijke en/of gevoelige informatie. De kleinere fysieke, bouwtechnische kwetsbaarheden zijn direct aangepakt en verholpen. Kwetsbaarheden die grotere aanpassingen vereisen, zijn opgenomen in een planning op langere termijn.

Het tegengaan van overige kwetsbaarheden, die te maken hebben met menselijk gedrag, wordt meegenomen in de bewustwordingsactiviteiten.

9

Gemeente Amsterdam

Versie 0.3 Opsteller: CISO

Rapportage informatiebeveiliging 2018/2019

Incidenten Ondanks alle maatregelen die de gemeente treft, kunnen zich toch incidenten voordoen. Er is een stedelijk proces ingericht voor het melden en afhandelen van incidenten met betrekking tot informatiebeveiliging. Hierdoor heeft de gemeente inzicht in de opgetreden incidenten, die worden ingedeeld in de categorieën hoog, middel en laag. In 2018 zijn 20 incidenten met een hoge impact gemeld, in 2019 32. Het aantal incidenten waarbij wordt gepoogd om van buitenaf toegang te krijgen tot gegevens danwel de gemeentelijke ICT-infrastructuur neemt toe. Dit is in lijn met landelijke en wereldwijde ontwikkelingen, zoals beschreven in het “Cybersecuritybeeld Nederland 2019” van de Nationaal Coördinator Terrorismebestrijding en veiligheid.

Oorzaak/impact Mens ICT Totaal

Laag

Oorzaak/impact Mens ICT Totaal

Laag

Middel 335 39 374

Hoog 29 4 33

Middel 224 12 230

Totaal 15 5 20

Hoog 23 6 29

379 48 427 Totaal

16 16 32

257 34 291

Bron: interne rapportage incidenten informatiebeveiliging (2018 en 2019)

Bewustzijn, kennis en vaardigheden Het is van belang dat medewerkers alert zijn en blijven op signalen van mogelijke inbreuk op informatieveiligheid. Bewustzijn van risico’s en digitale vaardigheden spelen daarbij een grote rol. Dit vormt een permanent aandachtspunt. In 2017/2018 is heeft de gemeentebrede campagne “Weet wat je deelt” plaatsgevonden.

3.4.1 Bewustwordingscampagne Eind 2018 is de stedelijke bewustwordingscampagne Weet Wat Je Deelt afgerond. Deze campagne bestond onder andere uit:  e-learningmodules waarin tips & tricks worden gegeven over veilig omgaan met informatie. Bijna 4.000 medewerkers hebben de e-learning over informatiebeveiliging gevolgd;  een speciale intranetpagina met tips over zorgvuldig met informatie omgaan;

10

Gemeente Amsterdam

Versie 0.3 Opsteller: CISO

Rapportage informatiebeveiliging 2018/2019



een dilemmaspel, waarin medewerkers keuzes kregen voorgeschoteld waarbij zorgvuldig gedrag wordt gestimuleerd;  bijeenkomsten voor managers en medewerkers, en er zijn activiteiten georganiseerd voor de Amsterdamse Summerschool;  Een lezing van een expert/schrijver over privacy, identiteitsfraude en computerbeveiliging. Enkele honderden medewerkers hebben deze lezing bijgewoond. Daarnaast is in de campagne gebruik gemaakt van verschillende media zoals posters en intranetberichten om het bewustzijn over veilig omgaan met informatie te verhogen. Na afloop van de bewustwordingscampagne is in 2019 een meting gehouden onder de medewerkers waarin zij bevraagd zijn over hun kennis van informatiebeveiliging. De uitkomsten hiervan vormen de basis voor een vervolg op de activiteiten voor bewustzijn en vaardigheden ten aanzien van informatiebeveiliging. Medewerkers wensen merendeels verdieping op bestaande onderwerpen en hebben behoefte aan tips & tricks om zorgvuldig te kunnen werken.

3.4.2 Introductieprogramma nieuwe medewerkers Sinds 2018 maken informatiebeveiliging en privacy onderdeel uit van Ervaar Amsterdam, het introductieprogramma voor nieuwe medewerkers. Maandelijks nemen alle nieuwe Amsterdamse medewerkers deel aan dit programma.

Weerbaarheid Door toename van (cyber)dreigingen en risico’s moet de gemeente continu investeren in het verhogen van de weerbaarheid tegen steeds veranderende dreigingen. Dit gebeurt zowel door het nemen van organisatorische en technische maatregelen (ICT) als door het trainen en bewust maken van medewerkers.

3.5.1 Digitale weerbaarheid Amsterdam maakt al een aantal jaren gebruik van de Amsterdamse digitale poort, waarmee ingaan en uitgaand verkeer kan worden gemonitord op beveiligingsaspecten. De beveiliging van de Amsterdamse ICT-infrastructuur is in 2018 verder aangescherpt door de oprichting van een Security Operations Center (SOC). Hiermee vindt 24x7 monitoring plaats op mogelijke beveiligingsproblemen. Het SOC is met behulp van een gespecialiseerde externe partij ingericht. De komende jaren zal de scope van monitoring door het SOC worden uitgebreid. Daarnaast zijn proactief maatregelen getroffen op basis van waarschuwingen die we onder andere ontvangen van de Informatiebeveiligingsdienst voor gemeenten (IBD).

11

Gemeente Amsterdam

Versie 0.3 Opsteller: CISO

Rapportage informatiebeveiliging 2018/2019

3.5.2 Organisatorische weerbaarheid Governance De governance van de informatiebeveiliging is in 2017 vastgesteld, en ingericht volgens het drielijnsprincipe. De eerstelijns control is belegd bij het lijnmanagement. De eerste lijn treft maatregelen (met behulp van de IV-organisatie) en controleert deze. De tweedelijns control is belegd bij de Chief Information Security Officer. De derdelijns control ligt bij de auditor. In 2018 is de coördinerende rol van de CISO versterkt. De CISO en de medio 2018 aangestelde Functionaris Gegevensbescherming (FG) werken nauw samen als toezichthouders voor hun respectievelijke domeinen informatiebeveiliging en privacy. Naast een CISO kent de gemeentelijke organisatie ook Information Security Officers (ISO’s) . Zij hebben een belangrijke rol bij het adviseren over en het toezien op de informatiebeveiliging. In 2018 zijn de ISO’s in één expertisepool bijeen gebracht, zodat beter kan worden samengewerkt en de beschikbare capaciteit optimaal kan worden benut. In 2019 is de bezetting van information security-functies aangevuld en geprofessionaliseerd.

12

Gemeente Amsterdam

Versie 0.3 Opsteller: CISO

Rapportage informatiebeveiliging 2018/2019

4 Vooruitblik 2020

Baseline Informatiebeveiliging Overheid De Baseline Informatiebeveiliging Overheid (BIO) is in 2019 vastgesteld door de ministerraad en van toepassing verklaard op alle overheden. Deze nieuwe norm – een vervolg op de baseline informatiebeveiliging gemeenten BIG - moet vanaf 2020 door alle overheden worden ingevoerd, en raakt de gehele gemeentelijke organisatie. Amsterdam heeft een aanpak opgesteld “Implementatie BIO” waarin beschreven staat hoe de organisatie de komende jaren in control komt en blijft op het gebied van informatiebeveiliging op basis van de beheersmaatregelen uit de BIO. Kenmerken van deze aanpak zijn:  Inspelen op actuele dreigingen.  Eenduidige implementatie van beheersmaatregelen.  Inzicht in en sturing op risico’s, zowel per organisatieonderdeel als op stedelijk niveau.  Implementatie van de in de BIO verplichte beheersmaatregelen.  Inrichten van samenhang van andere control-onderdelen van de Amsterdamse organisatie.

Bewustzijnsprogramma, training en opleiding Van onze medewerkers verwachten we dat ze zorgvuldig met informatie omgaan; zo is dat ook opgenomen in de ambtseed en de gedragscode. De bescherming van (persoons)gegevens gaat ook over de vraag of bepaalde gegevens verwerkt mogen worden, of deze gedeeld mogen worden met anderen en hoe lang deze mogen worden bewaard. Informatiebeveiliging, waaronder fysieke beveiliging en privacy zijn dan ook onlosmakelijk met elkaar verbonden. In 2017/2018 is daarom de bewustwordingscampagne Weet Wat Je Deelt gehouden. Uit een onderzoek naar de effecten van de eerder gehouden campagne kwam naar voren dat collega’s behoefte hebben aan meer verdieping. Daarom komt er in 2020 een vervolg. Het doel is om onze collega’s te voorzien van tips en tricks om zorgvuldig met informatie om te gaan. Daarbij kijken we deze keer breder dan alleen naar integriteit, informatiebeveiliging, fysieke beveiliging en privacybescherming. Het begint eigenlijk allemaal met de basis: een goede informatiehuishouding, zodat de gemeentelijke informatie duurzaam toegankelijk is. Weten welke informatie er is, waar deze is opgeslagen, wat daar de regels voor zijn, wie toegang heeft en waarbij we erop kunnen vertrouwen dat de informatie betrouwbaar, volledig en actueel is en blijft. Zeker in de digitale wereld waarin we nu leven.

13

Gemeente Amsterdam

Versie 0.3 Opsteller: CISO

Rapportage informatiebeveiliging 2018/2019

Versterking risicomanagement Eind 2019 zijn dashboards ontwikkeld, op basis waarvan kan worden gerapporteerd over informatiebeveiligingsrisico’s. Deze dashboards worden in 20202 stedelijk uitgerold en periodiek toegepast. In 2019 zijn stappen gezet om te komen tot een integraal controlframework voor de gemeente Amsterdam, waarin meerdere control-onderdelen hun risicosturing bij elkaar brengen. Dit krijgt in 2020 verder vorm.

Sturing op specifieke organisatieonderdelen De gemeentelijke organisatie heeft organisatieonderdelen waar extra aandacht en sturing voor informatiebeveiliging nodig is gezien hun rol en taak. Hierop wordt stedelijk gestuurd.

Websites Belangrijk aandachtspunt in 2020 is de wijze waarop informatie van de gemeente Amsterdam via internet benaderbaar is. Denk aan websites, webapplicaties en apps. In 2019 is een traject ingezet om ervoor te zorgen allee websites aan de verplichte standaarden op dit gebied gaan voldoen. Dit traject wordt voortgezet. De veiligheid verdient extra aandacht, omdat eventuele issues hierbij rechtstreeks de burger of ondernemers kunnen raken.

Mobiele apparatuur De focus bij digitaal werken ligt tot nu toe vooral op de ‘vaste’ werkplekken (ADW- de Amsterdamse Werkomgeving). We werken echter steeds vaker plaats- en tijdonafhankelijk digitaal met gebruik van mobiele apparatuur zoals laptops, tablets en smartphones. De beveiliging van deze apparatuur en het up-to-date houden van de software die op de apparaten draait is een speerpunt in 2020: er wordt Mobile Device Management doorgevoerd voor alle Amsterdamse mobiele apparaten. Dit is een belangrijke stap.

Toezicht Toezicht op de informatiebeveiliging ligt primair bij de CISO, en voor persoonsgegevens bij de Functionaris Gegevensbescherming (FG). Voor 2020 is samen met andere organisatieonderdelen (DMC, ACAM,) een gecombineerd auditen onderzoeksprogramma opgesteld, waarmee het Gemeentelijk Management Team in staat is om integraal te sturen.

14

Gemeente Amsterdam

Versie 0.3 Opsteller: CISO

Rapportage informatiebeveiliging 2018/2019

Veilige Digitale Stad Naar aanleiding van de door het College vastgestelde Agenda Digitale Stad is in november 2019 de agenda “veilige digitale stad” vastgesteld. . Hiermee wordt de verbinding gelegd tussen de veiligheid van de eigen informatiehuishouding van de gemeente en de informatie van burgers en bedrijven. De uitvoering hiervan wordt in 2020 opgestart.

15

Gemeente Amsterdam

Versie 0.3 Opsteller: CISO

Rapportage informatiebeveiliging 2018/2019

5 Bijlage – meting bewustwordingscampagne

Meting bewustwordingscampagne 2019 t.o.v. 2017

16