Raadsinformatiebrief opvolging aanbevelingen ICT en i-domein_DEF.pdf

Raadsinformatiebrief

Aan: Datum Portefeuille(s) Portefeuillehouder(s): Behandeld door Kopie aan Onderwerp

De leden van de raadscommissie Kunst, Diversiteit en Democratisering 29 oktober 2021 ICT en Digitale Stad Touria Meliani CIO Office(bestuurszaken.ict@amsterdam.nl) Rekeningencommissie Voortgang aanbevelingen Rekeningencommissie en Accountantsverslag met betrekking tot het I-domein

Geachte leden van de raadscommissie Kunst, Diversiteit en Democratisering, Eén van de aanbevelingen van de rekeningencommissie over het jaar 2020 is dat het proces van de monitoring op de voortgang van de aanbevelingen effectiever moet en dat gerapporteerd moet worden over de daadwerkelijke uitvoering van verbeterplannen. Op basis hiervan en in afstemming met de rekeningencommissie worden de aanbevelingen van de rekeningencommissie, ACAM en de rekenkamer voortaan apart behandeld in de daarvoor bestemde commissie. Bij de Najaarsnota en het Jaarverslag wordt een monitor opgenomen waarin te zien is of een aanbeveling is afgedaan of niet, in welke gevallen een voortgangsbrief of -rapportage aan de orde is en wanneer die is of zal worden ingebracht. In deze brief informeer ik u over de voortgang van de opvolging van de (lopende) aanbevelingen die betrekking hebben op het i-domein.

Aanbeveling 2018-3, Aanbeveling 2019-9 en Aanbeveling 2020-12, die betrekking hebben op het voldoen aan de wet- en regelgeving op gebied van informatiebeveiliging en privacy Het college onderschrijft het belang om continu aandacht te geven aan het voldoen aan wet- en regelgeving op het gebied van gegevensbescherming en informatiebeveiliging en heeft aangegeven dat zij deze aanbevelingen opvolgt. Het college heeft u op 7 juli 2021 geïnformeerd over de stand van zaken op beide gebieden door middel van een raadsinformatiebrief en de toezending van de Rapportage 2020 Informatiebeveiliging en de Rapportage 2020 Functionaris gegevensbescherming. Daarin wordt aangegeven dat we op deze gebieden al veel hebben gerealiseerd, maar dat we nog niet zijn waar we willen zijn. We werken hard aan de verdere implementatie. In de komende jaren zal het college u via vergelijkbare rapportages jaarlijks blijven informeren. In het najaar organiseert het college daarnaast een technische sessie voor de gemeenteraad om de genoemde rapportages verder toe te lichten en vragen te beantwoorden. Ook zal er in het eerstvolgende Jaarverslag van de gemeente meer worden ingegaan op de stand van de informatiebeveiliging.

Gemeente Amsterdam, raadsinformatiebrief

Datum 29 oktober 2021 Pagina 2 van 6

Onze informatiebeveiliging moet voldoen aan de eisen in de Baseline Informatiebeveiliging Overheid (BIO). Dit is een set aan beveiligingsnormen en voorgeschreven maatregelen die gelden voor de gehele overheid. De BIO is sinds 2020 van toepassing. Het volledig implementeren van de BIO raakt alle 48 organisatieonderdelen, werkprocessen en informatiesystemen van de gemeente en is een grote opgave. De uitgevoerde ENSIA-zelfevaluatie naar de BIO (eind 2020) laat zien dat alle aspecten van de BIO globaal op orde zijn, maar dat er nog verbeteringen nodig zijn in de beheersing van risico’s en het voldoen aan de normen van de BIO. De BIO hanteert drie basisbeveiligingsniveaus en per proces en informatiesysteem moet worden bepaald welk niveau er van toepassing is. Om het basisbeveiligingsniveau te realiseren maken we zoveel mogelijk gebruik van generieke beheersmaatregelen: maatregelen die we in één keer treffen voor de gehele gemeente. In sommige gevallen kunnen er nog specifieke aanvullende maatregelen nodig zijn omdat er sprake is van specifieke risico’s bij een bepaald systeem. De gemeente Amsterdam werkt sinds 2020 aan de implementatie van de vereiste maatregelen op basis van een vastgesteld implementatieplan met een tijdhorizon van 3-4 jaar. Dit is in lijn met andere grote / complexe overheidsorganisaties (ministeries en G4-gemeenten).

Daarbij is ervoor gekozen om risicogericht te werk te gaan. Per directie wordt beoordeeld of de processen en informatiesystemen op het juiste niveau zijn beveiligd en of er specifieke aanvullende maatregelen nodig zijn en verbeterpunten worden geprioriteerd naar ernst en urgentie. De capaciteit die hierop wordt ingezet is in 2020 en 2021 uitgebreid. In 2021 voeren we onder andere de risico-analyses uit bij de directies die verantwoordelijk zijn voor de generieke beheersmaatregelen (Personeel & Organisatie, ICT, Dienstverlening, Communicatie en Facilitair Bureau). Deze organisatieonderdelen dekken een groot percentage (80%) van de beheersmaatregelen uit de BIO voor de gehele organisatie, bijvoorbeeld door veilige ICT-werkplekken aan te bieden, onze kantoren goed te beveiligen en het in- en uitstroomproces van medewerkers op orde te hebben. Parallel daaraan doen we dat in 2021 bij 12 directies die werken met gevoelige gegevens van heel veel Amsterdammers (Grond en Ontwikkeling, Verkeer en Openbare Ruimte, GGD, Werk, Participatie en Inkomen, Belastingen, Parkeren, OIS, Openbare Orde & Veiligheid, Financiën en Stadswerken). In 2022 worden de resterende directies aangepakt, zodat alle organisatieonderdelen zijn afgerond. Het implementeren en borgen van informatiebeveiliging is geen eenmalig proces; ook na de afronding van het BIO-programma blijven we daarmee doorgaan.

Zoals we dagelijks in de krant kunnen lezen is het weerbaar houden van de organisatie en ICT-infrastructuur noodzakelijk om gewapend te zijn tegen nieuwe dreigingen. Daarom is een security operations center opgericht dat waakt over de digitale veiligheid en worden waar nodig externe toetsingen uitgevoerd. Ook realiseert Amsterdam dit jaar een aansluiting op het Nationaal Detectie Netwerk van de Rijksoverheid en worden er vanaf eind 2021 ethische hackers ingezet. De gegevensbescherming (privacy) moet voldoen aan de Algemene verordening gegevensbescherming (AVG) en aanverwante wet- en regelgeving. Op dat vlak hebben we al veel gerealiseerd. Zo hebben we een interne toezichthouder (de Functionaris gegevens-bescherming) aangesteld, is het Stedelijk kader verwerken persoonsgegevens door de gemeente Amsterdam vastgesteld, een verwerkingenregister en een datalekregister ingericht, het risicoanalyse-

Een routebeschrijving vindt u op amsterdam.nl

Gemeente Amsterdam, raadsinformatiebrief

Datum 29 oktober 2021 Pagina 3 van 6

instrument Data Protection Impact Assessments (DPIA) ingevoerd, privacy-verklaringen gepubliceerd en een Loket Persoonsgegevens ingericht. Een belangrijk punt waarop we nog niet voldoen aan de AVG betreft de bewaartermijnen van persoonsgegevens. Voor elke verwerking van persoonsgegevens moet een bewaartermijn zijn bepaald en deze moet worden nageleefd. Gegevens moeten worden vernietigd als ze niet meer nodig zijn voor het doel waarvoor ze zijn ingewonnen. Dat is nu niet goed geregeld: bewaartermijnen zijn (te) vaak niet vastgesteld en er wordt te weinig informatie vernietigd. Dit hangt samen met de staat van het informatiebeheer binnen de gemeente en wordt opgepakt in een meerjarenplan om de informatiehuishouding op orde te brengen. De benodigde middelen hiervoor zijn opgenomen in de Voorjaarsnota 2021. Daarnaast wordt er een extra inspanning geleverd ten aanzien van het verwerkingenregister. Dit is een register dat waarin we al onze verwerkingen van persoonsgegevens moeten bijhouden. Dit is een verplichting uit de AVG. Eind 2020 bleek dat het register niet goed genoeg actueel gehouden wordt door de directies. De directies zijn door de interne toezichthouder op de naleving van de AVG (de Functionaris Gegevensbescherming) opgeroepen om hun verwerkingen in het register te controleren en bij te werken. De Functionaris Gegevensbescherming ziet hierop toe.

De Functionaris gegevensbescherming heeft ook onderzoek laten doen naar de stand van zaken met betrekking tot de Data Protection Impact Assessments (DPIA’s). Dit zijn wettelijk voorschreven risicoanalyses. Het eerste deel van het onderzoek is afgerond en daaruit blijkt dat de gemeente nog niet voor al haar risicovolle verwerkingen een DPIA heeft uitgevoerd. De organisatieonderdelen die dit betreft, gaan hiermee aan de slag. Hierbij wordt een prioritering aangebracht, waarbij de vanuit oogpunt van gegevensbescherming risicovolle gegevensverwerkingen die worden opgestart, met voorrang worden opgepakt.

Aanbeveling 2019-8, die betrekking heeft op de noodzaak om blijvend te vernieuwen Het college heeft aangegeven dat dat zij deze aanbeveling opvolgt. In het voorjaar van 2020 is de eindrapportage bestuursopdracht I-domein vastgesteld. Hierin zijn de uitgangspunten opgenomen voor een modern fundament voor de digitaliserende gemeente om de opgaven in de stad mogelijk te maken. Dit fundament moet efficiënt omgaan met de beschikbare middelen, betrouwbare en veilige (digitale) diensten leveren, zorgen voor duurzame toegankelijkheid en openbaarheid van informatie, voorzien in competenties voor de toekomst en een ICT- en datainfrastructuur opleveren die betrouwbaar, veilig, gestandaardiseerd en schaalbaar is. Dit is nodig omdat we tegen de grenzen van de huidige infrastructuur aanlopen en de organisatie steeds meer afhankelijk is van data en technologie. De transitie is een traject dat 5 jaar zal beslaan. Het derde en vierde kwartaal van 2020 zijn vooral besteed aan voorbereidende werkzaamheden en het uitvoeren van achterstallig onderhoud. Vanaf de begroting 2021 zijn middelen opgenomen voor deze transitie en zijn in 2021 de eerste stappen in de uitvoering gezet. Zo werken we bijvoorbeeld aan het wegwerken van achterstallig onderhoud in de bestaande infrastructuur (door applicaties vanuit ons verouderde datacenter op de Amstel 1 over te brengen naar een modern datacenter).

Ook zetten we de eerste stappen in de overgang naar de nieuwe infrastructuur in de cloud. Bij zo’n cloudplatform nemen we feitelijk de

Een routebeschrijving vindt u op amsterdam.nl

Gemeente Amsterdam, raadsinformatiebrief

Datum 29 oktober 2021 Pagina 4 van 6

gehele infrastructuur af als een dienst van een externe leveranciers: servers, netwerken, opslagcapaciteit en andere infrastructuur. Het belangrijkste voordeel daarvan is dat de infrastructuur in de cloud niet veroudert, maar continu wordt bijgewerkt door de leverancier. De cloudaanbieders kunnen heel eenvoudig de capaciteit opschalen of snel aanpassen als dat noodzakelijk is en doordat zij op grote schaal opereren kunnen zij ook grootschalige beveiligingsen privacymaatregelen treffen. Daarnaast zijn we begonnen aan de vervanging van de Amsterdamse Digitale Werkomgeving (ADW). Dit is de omgeving waar medewerkers van Amsterdam hun data, applicaties en andere digitale services effectief en veilig kunnen benaderen, ongeacht welk apparaat hiervoor wordt gebruikt. De ADW wordt ook als dienst afgenomen van een externe leverancier, die de werkplek doorlopend up-to-date houdt.

Aanbeveling 2020-11, die betrekking heeft op risicomanagement en business continuity management Deze aanbeveling bevat een aansporing aan het college om door te gaan op de ingeslagen weg van het inrichten van het risicomanagement en het Business Continuity Management in het idomein. Het college vervolgt zeker deze activiteiten. In 2021 wordt het risicomanagement voor het I-domein ingericht in lijn met het risicomanagement(proces) van de gemeente als geheel. In de eindrapportage van de bestuursopdracht i-domein, waarvan u op 26 augustus 2020 kennis hebt genomen, werd geconcludeerd dat er meer risicogestuurde control nodig is in het i-domein. Daarom heeft het i-domein deelgenomen aan een project dat het risicomanagement binnen de gehele gemeentelijke organisatie versterkt: VORM (=Versterking Operationeel RisicoManagement). De risico’s binnen het i-domein en de benodigde beheersmaatregelen worden vanaf eind 2021 opgenomen in het gemeentelijke systeem voor risicomanagement (NARIS). Het gaat daarbij om risico’s op het gebied van informatiebeheer, informatiebeveiliging, privacy, juridische risico’s en procesrisico’s. Hierdoor ontstaat inzicht op centraal niveau, waardoor er beter op gestuurd kan worden.

Daarnaast is dit jaar gestart met het implementeren van Business Continuity Management binnen de gemeentelijke organisatie om de veerkracht te vergroten in geval van incidenten en crises. Het college heeft begin 2021 een business continuity manager aangesteld. Dit is een functionaris die zich bezighoudt met het borgen van de continuïteit van onze bedrijfsprocessen. Hij onderzoekt waar het in de werkprocessen en systemen mis kan gaan en draagt oplossingen aan ter verbetering. De business continuity manager kijkt bijvoorbeeld of er voldoende maatregelen zijn om verstoringen van onze processen te voorkomen. En of er voldoende maatregelen zijn om te zorgen dat we na een opgetreden verstoring weer snel de draad op kunnen pakken.

Aanbeveling 2020-13, die betrekking heeft op het autorisatiebeheer Het college heeft aangegeven dat dat zij deze aanbeveling opvolgt, door de inrichting van het autorisatiebeheer mee te nemen in de projecten voor realisatie van een nieuwe digitale werkomgeving (ADW) en nieuwe toegangsvoorzieningen (IAM). Het autorisatiebeheer gaat over wie toegang krijgt tot welke systemen en gegevens. Daarvoor is een uniform proces opgesteld, zodat dit door de gehele gemeentelijke organisatie op dezelfde manier wordt ingericht. Uit een onderzoek naar de voortgang van de implementatie bleek dat het nieuwe proces voor autorisatie

Een routebeschrijving vindt u op amsterdam.nl

Gemeente Amsterdam, raadsinformatiebrief

Datum 29 oktober 2021 Pagina 5 van 6

nog niet overal volledig werd uitgevoerd. Eén van de zaken waar het aan schortte is de periodieke check of de uitgegeven rechten nog terecht zijn. Het stedelijke autorisatiebeheerproces is inmiddels herschreven, waarbij ook periodieke review van autorisaties is meegenomen. De implementatie hiervan vindt plaats in 2021. De uitkomsten van het onderzoek naar het autorisatiebeheer worden ook meegenomen in de lopende projecten rond toegangs- en autorisatiebeheer.

Aanbeveling 2020-14, die betrekking heeft op het inzicht in SaaS-oplossingen Het college werkt aan beter inzicht in de risico´s en verhoging van de kwaliteit van de beheersing in het I-domein en heeft aangegeven dat zij deze aanbeveling opvolgt. De gemeente maakt al jaren gebruik van Software-as-a-Service(SaaS) toepassingen, waarbij de leverancier zowel de servers als de applicaties beheert en de gemeente die als een dienst afneemt. Hiervoor zijn er uitgebreide overeenkomsten afgesloten met de leveranciers, waarin de eisen waaraan de leverancier zich moet houden zijn opgenomen. Er is in 2020 een nieuwe verwerkersovereenkomst vastgesteld waarin scherpe eisen worden gesteld aan leveranciers van SaaS-diensten en hierop wordt al geacteerd. ACAM heeft geconstateerd dat er op concernniveau onvoldoende inzicht is in het gebruik van SaaS-toepassingen, de risico’s en de mate waarin we de risico’s beheersen. Het college onderschrijft die constatering: de kennis en informatie over de SaaS-toepassingen is er wel binnen de gemeentelijke organisatie, maar is nog (te) versnipperd over meerdere organisatieonderdelen. Het college maakt dit integraal inzichtelijk, zodat er vanuit het i-domein effectief gestuurd kan worden. Hiervoor wordt op één punt de informatie samengebracht over: - welke SaaS-toepassingen we gebruiken.

Dit hebben we geïnventariseerd; - of we hieraan de juiste eisen op het gebied van informatieveiligheid gesteld hebben. Eigenaars en beheerders van deze toepassingen stellen vast of de juiste maatregelen genomen zijn. Daarbij wordt (conform de aanpak van de BIO) gestart met de meest kritische processen en systemen; - of is afgesproken dat de SaaS-leverancier jaarlijks aan ons rapporteert over de status hiervan. Dit moet met een auditrapport van een onafhankelijke derde partij (een zogeheten TPM = Third Party Mededeling); - of de verantwoordelijke directies deze rapportages goed analyseren en ze gebruiken om te sturen. Dit past binnen de activiteiten die we ondernemen om het risicomanagement en de kwaliteit van de interne beheersing binnen het gehele i-domein te verbeten. Het past ook binnen onze inzet op Business Continuity Management.

Een routebeschrijving vindt u op amsterdam.nl

Gemeente Amsterdam, raadsinformatiebrief

Datum 29 oktober 2021 Pagina 6 van 6

Tot slot Wij vertrouwen erop dat we u hiermee goed hebben geïnformeerd over de voortgang van deze aanbeveling en behandelen deze voortgangsbrief graag in de raadscommissie KDD op 17 november 2021.

Met vriendelijke groet,

Touria Meliani Wethouder ICT en Digitale Stad

Een routebeschrijving vindt u op amsterdam.nl