Extra bijlage: 1. Accountsverslagen 2018-2019-2020 onderdeel Informatievoorziening

Accountantsverslag 2019 Gemeente Amsterdam

Accountantsverslag Auditdienst ACAM 14 mei 2020

5.1 Ontwikkelingen in ICT Infrastructuur en I-domein Koers op digitalisering en onderliggende ambities Op 9 juli 2019 heeft het college de bestuursopdracht voor het I-domein vastgesteld. Met de bestuursopdracht geeft het college de ambtelijke organisatie de opdracht om te komen met een voorstel dat de volgende hoofdpunten bevat: (1) de uitwerking van de koers op digitalisering, (2) een voorgestelde werkwijze, aanpak en inrichting voor het gehele I-domein en (3) een uitwerking van een financieringsmechanisme dat het mogelijk maakt om de budgetten optimaal in te zetten en een voorstel voor de toedeling van middelen binnen I-domein. De digitaliseringsopgave resulteert in zes ambities. Het I-Domein en de gemeente hebben een duidelijke richting en regie, leveren effectief, bouwen aan de juiste technische fundamenten, maken gebruik van een sterke datafunctie, opereren met kennis en expertise en bouwen op een sterke financiële basis. Op basis van de zes ambities zijn twee plateaus gedefinieerd waarmee stapsgewijs de lange termijn doelstellingen worden gerealiseerd. In plateau 1 wordt de huidige werkwijze zichtbaar aangepast om samenwerking te bevorderen. Onder de korte termijn interventies zijn het uitbreiden en versterken van generieke voorzieningen en het

samenbrengen van gemeentelijke ICT, het migreren van de infrastructuur naar een cloudbased oplossing, het uitbouwen van het dataplatform en centrale datafunctie en het aantrekken van/investeren in specifieke kennis en competenties voor verdere digitalisering. Daarnaast worden de verantwoordelijkheden van de CIO-rol versterkt en komt er meer regie op de keten. In plateau 2 wordt de inrichting van de organisatie verder aangepast aan de nieuwe werkwijze. Het I-domein richt functionele gebieden in: het Idomein zal bestaan uit een functioneel gebied dat stuurt op lange termijn doelstellingen door portfoliomanagement en kaderstelling, een gebied dat de clusters ondersteunt om de vraag te definiëren, gebieden die diensten leveren, een gebied dat expertise brengt en een datafunctie en ICT-en data-fundament. ICT infrastructuur blijvend vernieuwen In het Coalitieakkoord van mei 2018 en in de Amsterdamse Agenda van de Digitale stad, zet het college ambities neer die ook gevolgen heeft voor hoe de gemeente zelf gaat werken. De digitaliseringsopdracht van de gemeente stelt eisen aan de ICT-infrastructuur en dienstverlening van de directie ICT. Ten aanzien van deze dienstververlening is het noodzakelijk om de aan de stad te leveren infrastructurele diensten blijvend te vernieuwen.

32

Na afronding van het programma ICT Centraal waarbij is ingezet op het uitbesteden van de ICT dienstverlening, ligt er met de Agenda Digitale Stad een verdere uitdaging voor de gemeente Amsterdam. Deze uitdaging is verder uitgewerkt in de bestuursopdracht I-domein. De ICT infrastructuur is integraal onderdeel van deze bestuursopdracht en uitgewerkt in de doelstelling “Moderne ICT- en datafundament”: betrouwbaar, veilig, gestandaardiseerd en schaalbaar. Realisatie verloopt via drie pijlers: Pijler 1 – Uitbesteden; Pijler 2 - Transitie van de directie ICT tot regie-organisatie; Pijler 3 - Borgen van continuïteit en blijvend vernieuwen. Sturing op de realisatie vindt plaats via de uitgewerkte sporen van de bestuursopdracht. Wij onderschrijven dat het noodzakelijk is blijvend te vernieuwen om de continuïteit van de ICT-dienstverlening en de eisen die daaraan worden gesteld te kunnen borgen.

5.2 Naleven wet- en regelgeving op gebied van informatiebeveiliging en privacy Op het gebied van informatiebeveiliging en privacy volgen de ontwikkelingen zich in een snel tempo op en dit vraagt veel van de

gemeente Amsterdam. In het verleden signaleerden wij vertragingen in de implementatie van de Algemene Verordening Gegevensbescherming (AVG) en de Baseline Informatiebeveiliging Gemeenten (BIG). Algemene verordening gegevensbescherming Gegevensbescherming als onderdeel van de organisatie en aantoonbaar voldoen aan de relevante wet- en regelgeving is geen “afvinklijst”, maar een continu proces. Het vraagt om structurele borging van dit onderwerp. De komende tijd staat in het teken van het borgen van de governance, het verder op orde brengen van de basis en de training en bewustwording van de organisatie. Baseline informatiebeveiliging Overheid (BIO) Per 1 januari 2020 vervangt de BIO de sectorale baselines, onder meer BIG bij de gemeenten. Hierdoor is er nu één gezamenlijk normenkader voor informatiebeveiliging binnen de gehele overheid, gebaseerd op de actuele en internationale regelgeving voor informatiebeveiliging. Het bestaande Stedelijk informatiebeveiligingsbeleid Gemeente Amsterdam is opgevolgd door het “Beleidskader Informatiebeveiliging” en het governance document “Organisatie van informatiebeveiliging bij de gemeente Amsterdam”. Het beleidskader wordt door het college vastgesteld. Voor de implementatie van de BIO is een Implementatieplan opgesteld dat in maart 2020 is vastgesteld.

De implementatie van de BIO binnen de gemeente omvat een meerjarige aanpak waarbij aangesloten wordt op de jaarlijkse P&C cyclus.

33

Implementatie van de BIO vergt de nodige tijd, een herhaling van hetzelfde scenario als bij de invoering van de BIG moet worden voorkomen. ENSIA ENSIA staat voor Eenduidige Normatiek Single Information Audit en betekent dat jaarlijks een collegeverklaring wordt afgelegd inzake informatiebeveiliging. Daarnaast wordt een jaarlijkse audit uitgevoerd. Over beide zaken wordt gerapporteerd aan de gemeenteraad en externe toezichthouders, waaronder het ministerie van BZK. De deadline voor deze rapportage is vanwege de coronacrisis vastgesteld op 1 juni 2020.

5.3 Autorisatiebeheer In het accountantsverslag 2018 adviseerden wij om autorisatiebeheer voor alle processen en bedrijfsonderdelen op een redelijke termijn te implementeren. In opvolging van deze aanbeveling heeft het college toegezegd de implementatie van het stedelijk IV-proces autorisatiebeheer voor alle processen en systemen eind 2019 te hebben afgerond. In opdracht van de CIO office loopt momenteel nog een onderzoek naar de mate van implementatie. De uitkomsten worden in het tweede kwartaal van 2020 verwacht. Uit onze werkzaamheden als onderdeel van de jaarrekeningcontrole 2019 blijkt dat bij de door ons geselecteerde systemen een uniform stedelijk autorisatiebeheer proces nog niet overal is aangetroffen.

34

Accountantsverslag 2020 Gemeente Amsterdam

Datum: 19 mei 2021

Auditdienst ACAM Auditdienst ACAM

Oudezijds Voorburgwal 300, 1012 GL Amsterdam

Postbus 1078, 1000 BB Amsterdam

Telefoon (020) 2549000

Email info@acam.amsterdam.nl

>

4. Informatievoorziening

Inhoudsopgave Aanbieding Samenvatting Overzicht fouten, onzekerheden en overige bevindingen

Risicomanagement, fraude en rechtmatigheid Informatievoorziening Risicomanagement Idomein, Business Continuity Management Voldoen aan wet- en regelgeving voor I(V)domein Stedelijke IV-werkproces autorisatiebeheer Cloud-strategie, inzicht in SaaS oplossingen Bijlagen

<

> | 28

Auditdienst ACAM

Oudezijds Voorburgwal 300, 1012 GL Amsterdam

Postbus 1078, 1000 BB Amsterdam

Telefoon (020) 2549000

Email info@acam.amsterdam.

4.1 Risicomanagement I-domein, Business Continuity Management

Inhoudsopgave Aanbieding Samenvatting Overzicht fouten, onzekerheden en overige bevindingen

Risicomanagement, fraude en rechtmatigheid Informatievoorziening Risicomanagement Idomein, Business Continuity Management

De ambities in het I(V)-domein nog in voorbereiding- en planvormingsfase Op 27 februari 2020 is de eindrapportage van de bestuursopdracht I-domein uitgebracht. Deze eindrapportage geeft inzicht in hoe invulling wordt gegeven aan de digitaliseringsopgave voor de stad. In 2020 heeft de focus gelegen op het voorbereiden van de transformatie (programmaorganisatie, uitwerken plannen op deelsporen) en is gestart met wegwerken van achterstallig onderhoud. Wij onderkennen dat er in 2020 stappen zijn gezet, zoals het borgen van de CIO rol binnen het GMT en de start van de reorganisatie van I-domein die moet leiden tot minder verkokering.

Voldoen aan wet- en regelgeving voor I(V)domein

Tegelijk zien we ook dat veel van de ambities nog zitten in de fase van voorbereiding en planvorming. Hierdoor blijven, zeker als het gaat om zaken waarbij de basis nog

Stedelijke IV-werkproces autorisatiebeheer

speelt dit rondom informatiebeveiliging en continuïteit.

Cloud-strategie, inzicht in SaaS oplossingen Bijlagen

Risicomanagement I-domein krijgt vorm in NARIS I-domein in het risicomanagement(proces) van de gemeente. Dit valt binnen het breder project versterking operationeel risicomanagement (VORM) van de gemeente. Het risicomanagementsysteem (NARIS) van de gemeente wordt aangevuld met de domeinen: Informatiebeheer

<

>

Informatiebeveiliging en privacy

Auditdienst ACAM

Oudezijds Voorburgwal 300, 1012 GL Amsterdam

Dit inzicht moet bijdragen aan het beter besturen en beheersen van de activiteiten in het I-domein om de programmadoelen te bereiken en compliant te zijn met wet- en regelgeving. Heden ontbreken deze inzichten op concernniveau. Wij zien deze positieve ontwikkeling en adviseren om de ingeslagen weg voort te zetten en een beter inzicht te krijgen in de risico´s en kwaliteit van de interne beheersing in het I-domein. Business Continuity Management (BCM) onvoldoende geborgd Begin 2020 heeft de gemeente te maken gehad met het wereldwijd spelende Citrix incident waarbij hackers misbruik maakten van kwetsbaarheden in de Citrixsoftware om toegang te krijgen tot netwerken. Mede door het moment waarop dit incident speelde (op een donderdagavond) was de invloed op de interne en externe dienstverlening te overzien, maar het vestigde opnieuw de aandacht op het onderwerp Business Continuity Management (BCM). Verder hebben er in 2020 een aantal andere incidenten gespeeld waarbij ADW niet bereikbaar was. Gevolg hiervan was ook dat de stadsloketten en het CCA een bepaalde tijd geen dienstverlening konden leveren. De gemeente onderkent dat Business Continuity Management nog onvoldoende is geborgd binnen de gemeente. Per 1 maart 2021 is een Business Continuity Manager gestart om verder invulling te geven aan BCM binnen de gemeente.

Wij willen hier het belang van BCM benadrukken en adviseren de gemeente hier prioriteit aan te geven gezien | 29 de recente incidenten in het land.

Postbus 1078, 1000 BB Amsterdam

Telefoon (020) 2549000

Email info@acam.amsterdam.

4.2 Voldoen aan wet- en regelgeving voor I(V)-domein

Inhoudsopgave Aanbieding Samenvatting Overzicht fouten, onzekerheden en overige bevindingen

Risicomanagement, fraude en rechtmatigheid Informatievoorziening Risicomanagement Idomein, Business Continuity Management Voldoen aan wet- en regelgeving voor I(V)domein Stedelijke IV-werkproces autorisatiebeheer Cloud-strategie, inzicht in SaaS oplossingen Bijlagen

Voldoen aan wet- en regelgeving en NV NOCLAR Het belang van informatiebeveiliging en privacy staat niet meer ter discussie. Dit wordt des te meer onderstreept door de hack bij de Overijsselse gemeente Hof van Twente, het datalek bij de GGD en de recente diefstal van gegevens van directie Belastingen. Daarnaast geldt dat op deze onderwerpen wet- en regelgeving van toepassing is, zoals de Baseline Informatiebeveiliging Overheid (BIO) en de Algemene Verordening Gegevensbescherming (AVG).

>

privacy en (de mate van) compliant zijn met AVG en BIO te integreren in het risicomanagementsysteem NARIS. In 2020 hebben risicosessies plaatsgevonden om na te gaan wat er nog moet gebeuren om aan de BIO te voldoen. Het beeld daaruit is dat gemeente Amsterdam nog niet compliant is met de BIO.

Vanuit de Nadere voorschriften Non Compliance with Law and Regulations (NV NOCLAR) hebben wij als Accountant een verantwoordelijkheid indien wij ons bewust worden van informatie die wijst op relevante nietnaleving van wet- en regelgeving die van fundamenteel belang kan zijn voor de operationele aspecten van de gemeente, de mogelijkheid van de gemeente om de activiteiten voort te zetten of het voorkomen van sancties van materieel belang. Van ons wordt verwacht dat wij hiervan melding maken.

In het implementatieplan is gekozen voor een meerjarige stedelijke aanpak van 3 à 4 jaar om volledig compliant te worden met de BIO. De uitvoering van dit plan in 2020 heeft vertraging opgelopen als gevolg van corona en gebrek aan menskracht. In de begroting 2021 zijn middelen beschikbaar gesteld om de bemensing op peil te brengen en uitvoering te geven aan het implementatieplan.

Op het gebied van informatiebeveiliging en privacy loopt

In de algemene verordening gegevensbescherming (AVG) is voorgeschreven dat de Functionaris Gegevensbescherming (FG) rechtstreeks verslag uitbrengt aan de hoogste leidinggevende van de verwerkingsverantwoordelijke (in dit geval het college en de raad).

compliant is met de Baseline Informatiebeveiliging Overheid (BIO) en de Algemene verordening Gegevensbescherming (AVG). Gemeente nog niet compliant met Baseline Informatiebeveiliging Overheid (BIO)

<

In het implementatieplan is beschreven wat de gemeente Amsterdam vanaf 2020 wil gaan doen op het gebied van informatiebeveiliging. Onderdeel van het plan is ook

De Baseline Informatiebeveiliging Overheid (BIO) is vanaf 1 januari 2020 van kracht en vervangt de BIG. In 2020 is opgesteld. Auditdienst ACAM

Oudezijds Voorburgwal 300, 1012 GL Amsterdam

Gemeente voldoet nog niet aan de Algemene verordening gegevensbescherming (AVG)

Eind 2020 heeft dit (in een gecombineerd verslag over 2018 en 2019) ook plaatsgevonden. De FG heeft in haar verslag toegelicht dat het jaar 2019 in het teken stond van het borgen van de governance, het verder op orde brengen van de basis en de training en bewustwording | 30 van de gemeentelijke organisatie.

Postbus 1078, 1000 BB Amsterdam

Telefoon (020) 2549000

Email info@acam.amsterdam.

4.2 Voldoen aan wet- en regelgeving voor I(V)-domein

Inhoudsopgave Aanbieding Samenvatting Overzicht fouten, onzekerheden en overige bevindingen

Risicomanagement, fraude en rechtmatigheid Informatievoorziening Risicomanagement Idomein, Business Continuity Management Voldoen aan wet- en regelgeving voor I(V)domein Stedelijke IV-werkproces autorisatiebeheer Cloud-strategie, inzicht in SaaS oplossingen Bijlagen

<

Dit is in 2020 gecontinueerd, maar heeft ook in 2021 nog verdere opvolging nodig om compliant te zijn met de AVG. Wij bevelen aan te onderzoeken op welke gebieden intensivering/versnelling van de verbeteracties mogelijk is, en hier middelen voor beschikbaar te stellen, om spoedig compliant te worden met AVG en BIO. Informatiebeheer Provincie Noord-Holland concludeerde als Interbestuurlijk Toezichthouder (IBT) in januari 2020 dat het beeld van het informatiebeheer van Amsterdam onvolledig was. In 2020 is vanuit de gemeentearchivaris een kwaliteitssysteem rondom informatiebeheer opgezet en is samen met de CIO sterk gestuurd op het verkrijgen van meer zicht op de staat van het informatiebeheer. De toezichthouder IBT heeft na hertoetsing geconcludeerd Wel blijft er ruimte voor verbetering om aan de wettelijke eisen vanuit de Archiefwet 1995 te voldoen. In haar meest recente jaarverslag komt de gemeentearchivaris ook tot deze conclusie. Wij zien deze positieve ontwikkelingen en juichen de ingeslagen weg toe.

ENSIA ENSIA staat voor Eenduidige Normatiek Single Information Audit. Onderdeel hiervan is dat jaarlijks een collegeverklaring wordt afgelegd inzake informatiebeveiliging. De collegeverklaring is opgesteld aan de hand van de uitkomsten van de zelfevaluaties die door de lijnverantwoordelijken zijn uitgevoerd. Een bevoegde IT-auditor controleert de collegeverklaring. Na vaststelling van de collegeverklaring zal de auditor zijn Assurance verklaring afgeven. De IT-auditor verklaart hierin dat de collegeverklaring een getrouw beeld geeft. De collegeverklaring wordt gezamenlijk met de Assurance verklaring aangeboden aan de landelijke toezichthouder. De ondertekende collegeverklaring moet uiterlijk 1 mei 2021 zijn aangeboden aan de landelijke toezichthouder (het ministerie van Sociale Zaken en Werkgelegenheid). De gemeente legt via een aparte paragraaf in het jaarverslag verantwoording af over haar informatiebeveiliging. Wij merken op dat in de paragraaf bedrijfsvoering wordt ingegaan op ICT en informatievoorziening. De tekst beschrijft in algemene termen enkele in 2020 uitgevoerde acties en gaat feitelijk niet in op de staat van informatiebeveiliging van de gemeente. Wij adviseren in het jaarverslag meer inzicht te geven in de staat van de informatiebeveiliging. Daarnaast adviseren we relevante bevindingen vanuit ENSIA ook in het jaarverslag te rapporteren.

Mogelijk is hiervoor een eerdere afronding van het ENSIA verantwoordingstraject nodig.

>

| 31

Auditdienst ACAM

Oudezijds Voorburgwal 300, 1012 GL Amsterdam

Postbus 1078, 1000 BB Amsterdam

Telefoon (020) 2549000

Email info@acam.amsterdam.

4.3 Stedelijke IV-werkproces autorisatiebeheer

Inhoudsopgave Aanbieding Samenvatting Overzicht fouten, onzekerheden en overige bevindingen

Risicomanagement, fraude en rechtmatigheid Informatievoorziening Risicomanagement Idomein, Business Continuity Management Voldoen aan wet- en regelgeving voor I(V)domein Stedelijke IV-werkproces autorisatiebeheer Cloud-strategie, inzicht in SaaS oplossingen Bijlagen

Autorisatiebeheer blijft kwetsbaar proces Begin 2020 hebben wij aan de CIO gerapporteerd over de implementatie van de stedelijke IV-werkprocessen autorisatiebeheer. Deze werkprocessen hebben als doel om ongeautoriseerd toegang tot en gebruik van ITsystemen en informatie te voorkomen.

Wij bevelen aan de uitkomsten uit het rapport autorisatiebeheer expliciet mee te nemen in het programma IAM-next en in de tussentijd in elk geval de periodieke review uit te voeren zoals voorgeschreven in de stedelijke IV werkprocessen autorisatiebeheer.

Uit deze audit bleek dat de werkprocessen slechts deels zijn geïmplementeerd. CIO heeft aandacht gevraagd voor implementatie van gemeentebrede werkprocessen autorisatiebeheer. Eind 2020 heeft de CIO-office een inventarisatie uitgevoerd waaruit wederom blijkt dat nog niet alle organisatieonderdelen de werkprocessen hebben ingevoerd. In het kader van de jaarrekeningcontrole 2020 hebben wij ook beoordeeld of periodieke review plaatsvindt op het uitgeven van (en van bestaande) toegangsrechten tot ITsystemen. Deze periodieke review wordt ook in de stedelijke IV werkprocessen autorisatiebeheer voorgeschreven. Van de door ons beoordeelde ITsystemen blijkt dat de periodieke review niet altijd plaatsvindt. Waar dit wel plaatsvindt is deze review niet altijd eenduidig vastgelegd. Het risico dat informatie (data) wordt ingezien dan wel gemuteerd door onbevoegde personen wordt daarom nog maar deels beheerst. In 2020 is gestart met het programma IAM-next 2020 2024 dat onder andere als doel heeft om ongeautoriseerd toegang tot systemen en informatie te voorkomen.

<

> | 32

Auditdienst ACAM

Oudezijds Voorburgwal 300, 1012 GL Amsterdam

Postbus 1078, 1000 BB Amsterdam

Telefoon (020) 2549000

Email info@acam.amsterdam.

4.4 Cloud-strategie, inzicht in SaaS oplossingen

Inhoudsopgave Aanbieding Samenvatting Overzicht fouten, onzekerheden en overige bevindingen

Risicomanagement, fraude en rechtmatigheid Informatievoorziening Risicomanagement Idomein, Business Continuity Management Voldoen aan wet- en regelgeving voor I(V)domein Stedelijke IV-werkproces autorisatiebeheer Cloud-strategie, inzicht in SaaS oplossingen Bijlagen

Cloud-strategie 2021-2025 Op 21 februari 2021 is de Cloud strategie 2021-2025 binnen de stuurgroep vastgesteld om de overstap te maken naar de Cloud. Besluitvorming in GMT en college is voorzien voor april en mei 2021. In deze strategie wordt bijvoorbeeld genoemd het realiseren van een cloudportfolio, het implementeren van een gedegen cloud governance en het opstellen van risico- en compliancy kaders. De cloud-strategie wordt verder nog uitgewerkt door de gemeente. Binnen de gemeente Amsterdam wordt momenteel waarbij verschillende soorten Cloud-omgevingen mogelijk zijn. Een relevante ontwikkeling hierbinnen is de start van het Cloud Competence Center (CCC) in 2020. Gepland is op dit platform eind 2021 meerdere applicaties te hebben draaien. De cloud-strategie zal ook impact hebben op bestaande en nieuwe SaaS-toepassingen in de gemeente.

De afgelopen jaren hebben wij geadviseerd om op concernniveau inzicht te krijgen in het gebruik van SAASconstateren dat in 2020 op concernniveau deze inzichten er nog niet zijn. Aan de Rekeningencommissie hebben wij afzonderlijk gerapporteerd over stand van zaken rondom de beheersing van SAAS oplossingen. De uitkomsten zijn opgenomen in bijlage 5.1 van dit verslag. Hierin hebben wij aanbevelingen gedaan die kunnen dienen als handvatten om verder vorm te geven aan de implementatie van de cloud-strategie.

Inzicht in gebruik van SaaS-toepassingen nog beperkt De gemeente gebruikt ter ondersteuning van haar bedrijfsprocessen sinds een aantal jaren steeds meer toepassingen op basis van software-as-a-service (SaaS) in plaats van het in eigen beheer ontwikkelen en onderhouden van IT-systemen. Met het gebruik van deze beheersvraagstukken ten aanzien van informatiebeveiliging, privacy en continuïteit.

<

> | 33

Auditdienst ACAM

Oudezijds Voorburgwal 300, 1012 GL Amsterdam

Postbus 1078, 1000 BB Amsterdam

Telefoon (020) 2549000

Email info@acam.amsterdam.