Bijlage 5 Raadsbrief informatiebeveiligingsbeleid.pdf

Bezoekadres Amstel 1 1011 PN Amsterdam Postbus 202 1000 AE Amsterdam Telefoon 14 020 amsterdam.nl

Retouradres: Postbus 202, 1000 AE Amsterdam

Aan de leden van de Gemeenteraad

Datum

15 december 2020

Ons kenmerk Uw kenmerk Behandeld door Bijlage(n)

Marco van Beek (CISO) / Hanne-Esther Kruijt (FG) 3

Onderwerp

Aanbieding informatiebeveiligingsbeleid en rapportages informatiebeveiliging en gegevensbescherming

Geachte leden van de gemeenteraad, Het college heeft in haar collegeprogramma een speerpunt gemaakt van de digitale veiligheid. Amsterdammers moeten erop kunnen vertrouwen dat de gemeentelijke organisatie hun gegevens en hun identiteit beschermt. Informatiebeveiliging en gegevensbescherming zijn daarom de basis voor een goed functionerende organisatie met een weerbare informatievoorziening. Voor beide onderwerpen hanteert de gemeente specifiek beleid, te weten het Informatiebeveiligingsbeleid gemeente Amsterdam (12-7-2016 (ZD2016-004922)) en het Stedelijk Kader verwerken persoonsgegevens door de gemeente Amsterdam (25-9-2018). Omdat ontwikkelingen niet stil staan wordt het beleid elke drie jaar herijkt. In beide oude en herijkte beleidsdocumenten staat tevens de plicht om jaarlijks over de informatiebeveiliging en gegevensbescherming te rapporteren. Omdat het college transparantie over informatiebeveiliging in toenemende mate belangrijk vindt, heb ik een uitgebreide rapportage laten opstellen, waarmee ik u informeer over de activiteiten die wij op dat gebied hebben ondernomen in 2018 en 2019. U ontvangt beiden uitgebreidere rapportages echter nu pas omdat het opstellen en afstemmen van de rapportages langer heeft geduurd dan gewenst. Vanaf 2021 zal ik u steeds in het 1e halfjaar de rapportages verstrekken over het voorafgaande jaar.

In het vervolg van deze brief ga ik in op het aangepaste informatiebeveiligingsbeleid dat u ter kennisname ontvangt, de rapportage informatiebeveiliging 2018-2019 en de rapportage gegevensbescherming 2018-2019.

Een routebeschrijving vindt u op www.amsterdam.nl

Gemeente Amsterdam

Datum 15 december 2020 Pagina 2 van 5

Landelijke ontwikkeling: een nieuwe uniforme standaard voor informatiebeveiliging De gemeente zet zich al sinds jaar en dag in voor een adequate informatiebeveiliging. Daarbij dient zich de vraag aan wanneer de beveiliging op het juiste niveau is ingericht. Alle gemeenten tezamen hadden hiervoor een standaard (ook wel normenkader of baseline genoemd) opgesteld waarin stond aan welke normen voldaan moest worden. Op basis van die standaard is in 2016 het huidige informatiebeveiligingsbeleid vastgesteld. Ook de provincies, waterschappen en het rijk hadden hun eigen standaard. Hoewel deze standaarden veel op elkaar leken, waren er toch ook verschillen. Die verschillen werden steeds meer merkbaar naar mate deze bestuursorganen meer gegevens met elkaar gingen uitwisselen. Daarom is er door deze bestuurslagen inmiddels één gezamenlijk normenkader vastgesteld, waaraan alle bestuursorganen zich moeten houden: de Baseline Informatiebeveiliging Overheid (BIO). Hiermee vervallen de eerdere standaarden. Met deze gezamenlijke baseline kan er makkelijker samengewerkt worden in ketens omdat we één gemeenschappelijke taal spreken; we hanteren allemaal dezelfde beveiligingsmaatregelen die in lijn zijn met de wet- en regelgeving.

De BIO biedt niet alleen uniformiteit, maar kent ook een aantal vernieuwingen ten opzichte van zijn voorgangers: • De BIO heeft ook betrekking op actuele ontwikkelingen, zoals mobiel werken, apps en de cloud; • De beheersmaatregelen zijn verplicht (in plaats van pas-toe-of-leg-uit); • De BIO kent drie basisbeveiligingsniveaus die concreet zijn uitgewerkt in beheersmaatregelen. De verschillende bestuurslagen hebben afgesproken dat zij de BIO vanaf 2020 toepassen; vooruitlopend op de wettelijke verankering van de BIO in de Wet Digitale Overheid (waarvan de parlementaire behandeling nog loopt). Geactualiseerd beleid: Stedelijk kader informatiebeveiliging Gemeente Amsterdam Om deze gezamenlijke baseline te implementeren was herijking van het beleid noodzakelijk. De BIO schrijft voor dat elk bestuursorgaan moet beschikken over strategisch beleid waarin de uitgangspunten zijn benoemd die we hanteren voor de informatiebeveiliging en dat richting geeft aan de uitvoering. Dat strategische beleid is vastgelegd in het Stedelijk kader informatiebeveiliging Gemeente Amsterdam. De belangrijkste punten uit dit beleid zijn:  Onze informatiebeveiliging heeft ten doel dat Amsterdamse informatie beschikbaar, betrouwbaar en beschermd is. Het is daarbij van belang dat informatie passend wordt beschermd, op basis van risicoanalyses.

 We treffen integraal en vóóraf passende beschermende maatregelen, op alle niveaus.  De uitvoering van de maatregelen is een verantwoordelijkheid van alle organisatieonderdelen.  We geven alleen toegang tot informatie op need-to–know-basis.  Informatiebeveiliging is een continu verbeterproces (‘Plan, do, check en act’). Ook de afzonderlijke rollen en verantwoordelijkheden binnen de gemeentelijke organisatie zijn opnieuw beschreven en aangepast aan de huidige organisatiestructuur.

Een routebeschrijving vindt u op www.amsterdam.nl

Gemeente Amsterdam

Datum 15 december 2020 Pagina 3 van 5

Rapportage informatiebeveiliging 2018-2019 Uitgangspunt van de BIO is dat bestuur en management zicht hebben op de status van de informatiebeveiliging in hun organisatie. Verantwoording hierover vindt sinds 2017 jaarlijks plaats op basis van de landelijk voorgeschreven Eenduidige Normatiek Single Information Audit (ENSIA)rapportage, maar deze heeft tot nu toe een nogal technisch en specialistisch karakter. U bent hierover geïnformeerd via de ENSIA-rapportage 2018 op 5 juni 2019 (BD2019-0046553) en die over 2019 op 17 juni 2020 (BD2020-002256). Omdat het college het belangrijk vindt dat u meer inhoudelijk geïnformeerd wordt over de stand van zaken rond de informatiebeveiliging, zult u vanaf nu jaarlijks een rapportage over dit onderwerp ontvangen. Hierin worden de status en ontwikkelingen uitgebreider beschreven. Bijgevoegd treft u de uitgebreide rapportage aan over de jaren 2018 en 2019 over de informatieveiligheid bij de gemeente Amsterdam. De rapportage over 2020 ontvangt u in de eerste helft van 2021. Met de steeds toenemende digitalisering, verdergaande ketensamenwerking en toename van cybercrime1 nemen ook kwetsbaarheden en risico’s toe binnen de gehele Nederlandse overheid.

De technische en organisatorische maatregelen die de gemeente Amsterdam treft dekken voor een groot deel risico’s af zoals het verlies of diefstal van gegevens, uitval van ICT, onbevoegde toegang tot informatie of het niet toegankelijk zijn van informatie. 100% informatieveiligheid bestaat niet en er zullen altijd risico’s op de loer liggen. Daarom houden we continu de vinger aan de pols: zijn de getroffen maatregelen voldoende om beveiligingsrisico’s af te dekken, doen er zich nieuwe soorten dreigingen voor, zijn we voldoende weerbaar tegen cybercrime en zijn de kennis en (digitale) vaardigheden van het personeel op peil? Belangrijkste aandachtspunten Bij informatiebeveiligingsincidenten wordt veelal gedacht aan kwaadwillenden die zich op ongeoorloofde wijze toegang verschaffen tot onze gegevens. Hoewel dit zeker een beveiligingsincident is, hanteren wij een ruimer begrip. Het doel van onze informatiebeveiliging is informatie beschikbaar, betrouwbaar en beschermd is. Als informatie niet beschikbaar is door bijvoorbeeld technische storingen aan netwerken of systemen, dan zien wij dit ook als een informatiebeveiligingsincident. Bij informatiebeveiliging is het leren van eventuele incidenten heel belangrijk. Daarom worden informatiebeveiligingsincidenten geregistreerd en geanalyseerd.

Incidenten met een hoge impact op de beschikbaarheid, integriteit of vertrouwelijkheid van informatie, zoals het niet-beschikbaar zijn van generieke voorzieningen2 of belangrijke applicaties zijn opgenomen in onderstaand overzicht van de incidenten in 2018, 2019. De aantallen informatiebeveiligingsincidenten zijn vergelijkbaar met andere grote gemeenten.

1

Denk hierbij aan phishing, waarbij ‘gehengeld’ wordt naar gevoelige informatie en ransomeware, waarbij computers als het ware gegijzeld worden en er losgeld wordt geëist om de informatie weer vrij te geven. 2 voorzieningen die iedere gebruiker nodig heeft zoals kantoorautomatisering (Amsterdamse Digitale Werkomgeving).

Een routebeschrijving vindt u op www.amsterdam.nl

Gemeente Amsterdam

Datum 15 december 2020 Pagina 4 van 5

Tabel 1: informatiebeveiligingsincidenten 2018 Aantal 20

2019 32

De meeste incidenten zijn het gevolg van hardware- of software storingen. Daarnaast neemt binnen Amsterdam het aantal pogingen toe om van buitenaf toegang te krijgen tot gegevens of de gemeentelijke ICT-infrastructuur. Deze trend ligt in lijn met landelijke en internationale ontwikkelingen. Daarom zet het college de komende jaren in op het verder verhogen van de digitale weerbaarheid (o.a. door uitbreiding van het security operations center en het doorvoeren van mobile device management) en het vergroten van het beveiligingsbewustzijn bij medewerkers. Rapportage gegevensbescherming 2018-2019 De Algemene verordening gegevensbescherming (AVG) schrijft voor dat de interne toezichthouder, de Functionaris Gegevensbescherming (FG), het college en de raad inhoudelijk informeert over de stand van zaken ten aanzien van de gegevensbescherming (privacy). Daarom zult u vanaf nu jaarlijks een rapportage ontvangen over de gegevensbescherming in de eerste helft van het jaar. U ontvangt nu de rapportages over 2018 en 2019 waarin staat beschreven welke acties en maatregelen de gemeente Amsterdam heeft getroffen en waar vervolgacties zullen plaatsvinden. Om privacy structureel te kunnen borgen, is het belangrijk dat het bewustzijn binnen de organisatie wordt onderhouden en vergroot.

De gemeentesecretaris draagt zorg voor de opvolging van de door de Functionaris Gegevensbescherming aangedragen aandachtspunten en activiteiten. De rapportage geeft ook inzicht in het aantal datalekken bij de gemeente. Bij een datalek gaat het om toegang tot of vernietiging, wijziging of vrijkomen van persoonsgegevens bij een organisatie zonder dat dit de bedoeling is van deze organisatie. Of zonder dat dit wettelijk is toegestaan. Er is al sprake van een datalek bij een verkeerd geadresseerde brief of het verlies van een USB-stick met documenten. Vanaf 25 mei 2018, met het van kracht worden van de AVG, is de organisatie verplicht om datalekken apart te registeren. Hieronder is in een tabel aangegeven hoeveel datalekken er zijn geregistreerd en hoeveel daarvan zijn gemeld bij de Autoriteit Persoonsgegevens (de landelijk toezichthouder). Tabel 2: datalekken Geregistreerd Melding AP

2018 85 45

2019 156 38

Uit de rapportage komt naar voren dat er bij twee-derde van de datalekken van de gemeente Amsterdam sprake is van het versturen of afgeven van persoonsgegevens aan een verkeerde ontvanger. Niet alle datalekken hoeven te worden gemeld bij de Autoriteit Persoonsgegevens. Datalekken worden niet gemeld wanneer er geen sprake is van nadelige gevolgen voor de burger of werknemer zoals bij het verlies van versleutelde gegevens. Bij het bepalen of sprake is van nadelige gevolgen wordt het advies van de Functionaris Gegevensbescherming ingewonnen.

Een routebeschrijving vindt u op www.amsterdam.nl

Gemeente Amsterdam

Datum 15 december 2020 Pagina 5 van 5

De toename van gemelde datalekken is te verklaren uit een groter bewustzijn bij medewerkers dat datalekken gemeld moeten worden. De lichte daling van het aantal bij de AP gemelde datalekken lijkt er op te wijzen dat het aantal ernstige datalekken iets is afgenomen. De FG vermoedt echter dat nog niet alle datalekken binnen de organisatie worden gemeld. Daarom blijven we inzetten op het verhogen van het bewustzijn bij medewerkers. Voor zover bekend ontlopen de aantallen door gemeenten gemelde datalekken elkaar niet veel. Tenslotte Als gemeente hebben wij een grote verantwoordelijkheid om veilig om te gaan met de gegevens van Amsterdamse burgers en organisaties, en ook met onze eigen informatie. Juist daarom hecht ik eraan om u hierover doorlopend te informeren, zowel bij grote incidenten als met rapportages over onze activiteiten en de trends die wij zien. Ik vertrouw erop u hiermee voldoende te hebben geïnformeerd. Met vriendelijke groet, Namens het college van burgemeester en wethouders van Amsterdam,

Touria Meliani Wethouder ICT en Digitale Stad

Een routebeschrijving vindt u op www.amsterdam.nl