Verbeterplan IV en digitale veiligheid en weerbaarheid versie 112_markeringen.pdf

Verbeterplan Verbeterplan informatievoorziening (IV) en digitale veiligheid en weerbaarheid

Marco Jansen 22 juni 2021 Versie 1.12

Inleiding Het voorliggende document betreft het verbeterplan om de directie IV verder vorm te geven, op orde te brengen en de digitale veiligheid en weerbaarheid te vergroten. Dit verbeterplan is in opdracht van het bestuurlijk afstemmingsoverleg Digitaliseren en Digitale Veiligheid opgesteld. De CIO a.i. (D. Ravensbergen) van Waternet is de programmaopdrachtgever. Hij is eindverantwoordelijk voor het programma en het programmaresultaat. De looptijd van het verbeterplan is van medio 2021 tot en met eind 2022.

SvZ

Distributielijst De onderstaande tabel geeft een overzicht van alle betrokkenen die een versie van het verbeterplan hebben ontvangen en daarop eventueel ook feedback op hebben gegeven. Naam

Rol

Naam

Rol

Naam

Rol

Wiard Gorter

Adviseur bestuur

Henk Struving

ISO (WN)

Marieke van Benten

Adviseur HR (WN)

Marco van Beek

CISO (Gem. Adam)

Dennis Ravensbergen

CIO a.i. (WN)

Angele van Gent

Digitalisering (WN)

Erica Beems

ISO (Gem. Adam)

Danny Groen

Teamleider PA (WN)

Laurette van Halen

Bestuursadviseur (WN)

Edwin van Buuren

Cybersecurity inspecteur (ILT)

Jan Willem de Jong

Teamleider IT (WN)

Thomas Blokhuis

Bestuursadviseur (WN)

Marc Le Riviere

Inspecteur (ILT)

Merrel Mara

Domeinen (WN)

Sylvia Bunte

CISO (WN)

Taco Elskamp

Portfoliomanager (WN)

Ron Rietveld

Projectleider SOC (WN)

Cynthia Vloeijberghs

Adviseur / Secretaris IV (WN)

Simon Rientsma

Afdelingshoofd IT (WN)

Andries Zwikstra

Teamleider IT (WN)

Reinder Koop

Afdelingshoofd Domeinen (WN)

John Mellendijk

Risicomanager (WN)

Simon Bouwman

Strategisch adviseur (WN)

Roelof Kruize

Algemeen directeur (WN)

Corine Hoogenbosch

Afdelingshoofd PA (WN)

Saskia de Haas

Arno Sierkstra

Afdelingshoofd Drinkwater (WN)

Directeur Assets en Operatie (WN)

Renze van Houten

Directeur Strategie en Ontwikkeling (WN)

Kees van den Berge

Directeur F&C (WN)

Linda Riemer

Assetmanager (WN)

Taco Elskamp

Portfoliomanager (WN)

Siete Land

ISO (WN)

Paulette van den Broek

Directeur Dienstverlening (WN)

Soner Solak

ISO (WN)

Paul Stroet

Domein architect (WN)

SvZ

Inhoud

1. Aanleiding 2. Kader en ontwikkelingen 3. Onderzoeken 4. Problematiek 5. Doelstellingen en aanpak 6. Sporen 7. Planning 8. Governance 9. Risicomanagement 10. Begroting 11. Resumé

SvZ

Aanleiding • Aandacht in de media over de digitale beveiliging van Waternet • Uitkomsten van verschillende IB onderzoeken (o.a. Accenture en ILT) • Niet voldoen aan BIO en Drinkwaternormering • Verscherpt toezicht door ILT • Samenbrengen van de afdelingen IT, PA en domeinen • Aanstelling CIO a.i. (IT, PA en Domeinen) • Werkgroep Besturen van Digitalisering • Memo “Huis op orde” aan algemeen bestuur AGV met toezegging verbeterplan → Verbeterplan informatievoorziening (IV) en digitale veiligheid en weerbaarheid

SvZ

PDCA-cycli die ten grondslag ligt aan verbeterplan • • • • •

First line P

Doelen Bestuurlijk kader Budget Digitaliseringskader Risicoprofielen (RLA)

• • • •

Second line

Cybersecurity beleid Cybersecurity richtlijnen Controle …

Waternet

Besturen door A bestuurlijke D opdrachtgevers (AGV/Adam)

P • •

Rapportages Dashboards

A

C

Cybersecurity

D

•

C

• •

A Escalaties Excepties Bestuurlijke of strategische keuzes

Tactisch besturen

• •

P

P

Rapportages Dashboards

• • •

• •

Domeinarchitectuur Kaders en richtlijnen

Domein D A Architectuur

D

A

Enterprise D Architectuur C

C

C

•

P

P

Toelichting: De aangegeven relaties tussen de verschillende PDCA-cycli heeft niet de intentie compleet te zijn. Het figuur is vooral bedoeld om aan te geven dat er verschillende PDCA-cycli zijn en dat er tussen deze PDCA-cycli relaties zijn. In het figuur zijn alleen die PDCA-cycli opgenomen die het meest relevant zijn voor dit verbeterplan.

Enterprise architectuur Principes Kaders en richtlijnen

P

P •

Third line

A Privacy D A

Operationeel D besturen C

C • • •

Archiveringsbeleid Richtlijnen en principes …

A P

Privacybeleid Privacy richtlijnen Waternet …

• • •

Risicomanagementbeleid Risicomethodiek Waternet …

Risico D mngmt C

ArchiD A vering C

• • •

Externe auditors Toezichthouders

SvZ

Inhoud

1. Aanleiding 2. Kader en ontwikkelingen 3. Onderzoeken 4. Problematiek 5. Doelstellingen en aanpak 6. Sporen 7. Planning 8. Governance 9. Risicomanagement 10. Begroting 11. Resumé

SvZ

Cybersecurity drinkwater (gemeent. taak) Kader • Drinkwaterwet (beveiligingseisen), opgenomen in Leveringsplan Waternet 2020-2024 • Wet beveiliging netwerk- en informatiesystemen (Wbni); zorgplicht en meldplicht • Besluit beveiliging netwerk- en informatiesystemen (Bbni) • Ministeriële regeling beveiliging netwerk- en informatiesystemen IenW (MR) per 1 juli 2021 • PA-beveiligingsnorm (42 criticals), gebaseerd op IEC 62443 Industrial Automation & Control Systems • Afspraak over externe sectorale audits tussen Ministerie I&W Beleid en VEWIN Opmerkingen: • Acht vereisten van MR moeten nog in PA-norm worden opgenomen. • Met de maatregelen uit het PA-normenkader, tezamen met de maatregelen in het wettelijk verplichte Leveringsplan (Drinkwaterwet) en bepalingen in het kader van de Wbni, wordt door de drinkwatersector invulling gegeven aan de zorgplicht. • Waternet moet aantoonbaar voldoen aan veel normkaders

SvZ

Cybersecurity overige gemeentelijke taken Overige gemeentelijke taken, waaronder: • Riool • Centrale Object Bediening Kader • Baseline Informatiebeveiliging Overheid (BIO)

SvZ

Cybersecurity waterschapstaken Kader • Baseline Informatiebeveiliging Overheid (BIO) De richtlijn is dat vanaf 2021 elk waterschap de Baseline Informatiebeveiliging Overheid (BIO) geïmplementeerd heeft op het volwassenheidsniveau 4 en dat aanvullende maatregelen worden getroffen op basis van risicoanalyses. Afspraak over BIO • vastgelegd in Baseline Basis op Orde (inspanningsverplichting), Ledenvergadering Unie van Waterschappen • Bestuur AGV volgt sectorale afspraken, maar heeft nog niet expliciet een ambitie voor het volwassenheidsniveau vastgesteld.

SvZ

Rapportage werkgroep AGV Bestuur - Besturen van Digitalisering 1. Vertaal ambities vanuit het bestuursakkoord door naar beleid, concreet en meetbaar geformuleerd. De afweging van toegevoegde waarde ten opzichte van kosten voorleggen aan het algemeen bestuur. 2. Investeer in kennisontwikkeling van het dagelijks en algemeen bestuur om keuzes te kunnen maken 3. Organiseer de inzet in cultuur en organisatie als het gaat om bestuurlijke sensitiviteit, verantwoordingslijnen en verantwoordelijkheden. 4. Evalueer het huidige digitaliseringsplan en leg vanuit deze evaluatie een set doelen voor aan het algemeen bestuur. Deze gaan de nieuwe beleidskaders vormen. Een geïntegreerde aanpak vanuit de watercyclusgedachte met de gemeente Amsterdam kan daarbij aan de orde komen. 5. Ontwikkel met het bestuur een risicoprofiel, in de vorm van Risico Level Agreements. 6. Bepaal de escalatie route naar het bestuur bij calamiteiten. Geef vervolgens bij de uitwerking van de onderdelen van het digitaliseringsplan invulling aan de PDCA-cyclus. Richt als onderdeel van de cyclus een dashboard in en stel een handreiking op handreiking digitale transformatie op, waarin thema’s voor AGV met betrekking tot digitalisering (incl. veiligheid) en digitale transformatie samenkomen. Een leidraad om per thema beleidskeuzes te kunnen maken.

In de PDCA-cyclus geldt dat voor elke ambitie dat: a) doelen worden geformuleerd, b) acceptabele budgetten worden bepaald, c) acceptabele risiconiveaus worden opgesteld, inclusief profielen en escalatie. d) beleid, handreiking en richtlijnen inclusief keuze en financiële verantwoording vorm krijgen e) voortgangrapportage worden gedeeld, g) de gewenste frequentie van onderdelen wordt bepaald h) beschikbaarheid van informatie wordt geborgd i) ervaringen worden gedeeld op structurele basis j) ervaringen worden vertaald naar beleidsplannen. SvZ

Agenda Digitale Veiligheid Amsterdam https://www.amsterdam.nl/innovatie/digitalisering-technologie/digitaleveiligheid-online-veilige/ • Samenwerken is belangrijk • Gezamenlijk voorbereiden op digitale incidenten • Werken aan huis op orde Digitale veiligheid in coalitieakkoord Amsterdam 2018 TADA (https://tada.city)

Opmerkingen: • in het kader van de Amsterdamse agenda digitale veiligheid zoekt de gemeente de samenwerking met allerlei partijen. Met name bij het onderdeel "Amsterdamse vitale infrastructuur" worden acties opgezet om meer te doen aan uitwisseling van kennis, ervaringen, het delen van risicobeelden en informatie over incidenten. Waternet zal daarvoor worden uitgenodigd. SvZ

IB-beleid Waternet (dd 12/2/2020) • ISO27001/2 norm (als basis gebruikt in VEWIN criticals, BeNeWater en BIO) • Zowel de VEWIN criticals, BeNeWater als BIO zijn gebaseerd op de ISO27001/2 norm en daarna sectorspecifiek gemaakt.

• Wbni (Wet Beveiliging Netwerk- en Informatiesystemen) • AVG (Algemene Verordening Gegevensbescherming) • IEC62443 • norm voor procesautomatisering VEWIN

• WPG (Wet politiegegevens) • NIST Cybersecurity Framework • voor rapportage over cybersecurity binnen Waternet

SvZ

*: Operational technology (OT) is de hard- en software die industriële

Ontwikkelingen

apparatuur en processen monitort of bestuurt. Denk daarbij bijvoorbeeld aan industriële technologie die de motoren van een waterzuiveringsinstallatie bestuurt.

• Digitale transformatie waardoor Informatietechnologie (IT) en Operational Technology* (OT) steeds belangrijker worden • Digitale transformatie stelt andere eisen aan de Waternet organisatie • Cyberdreiging neem toe • Cybersecurity en informatiebeveiliging is ‘chefsache’ geworden • Uitbreiding en aanscherping van wet- en regelgeving en normkaders • Strenger toezicht • Meer samenwerking in de waterketen • Meer focus op procesautomatisering • Veranderende arbeidsmarkt technische specialisten

SvZ

Inhoud

1. Aanleiding 2. Kader en ontwikkelingen 3. Onderzoeken 4. Problematiek 5. Doelstellingen en aanpak 6. Sporen 7. Planning 8. Governance 9. Risicomanagement 10. Begroting 11. Resumé

SvZ

Onderzoeken naar cybersecurity • Afgelopen periode zijn er verschillende onderzoeken uitgevoerd naar cybersecurity van Waternet • Pentest Hoffman (2020) • Digitaal beveiligingsonderzoek door Accenture (november 2020) • Status update aan het Stichtingsbestuur door Wiard Gorter (11 februari 2021)

• Onderzoeksrapport Stichting Waternet door ILT (31 maart 2021)

• Elk onderzoek had een specifieke scope en diepgang • In elk onderzoek zijn veel bevindingen in naar voren gekomen

SvZ

Onderzoeken (1/3) Onderzoek

Datum

Scope

Toegepast normkader

Conclusies/aanbevelingen (kernpunten)

Digitaal beveiligingsonderzoek Accenture

11-’20

Focus op kantoorautomatisering (KA) Time-box

BIO

1. CREËER een security organisatiemodel dat bestuurlijke beslissingen kan vertalen in securitymaatregelen en vice versa 2. INTENSIFIEER informatiebeveiligings- en bewustwordingstraining. 3. DEFINIEER een risicobeoordelingsmodel van informatiebeveiliging. 4. INTEGREER informatiebeveiliging in de software ontwikkelingslevenscyclus. 5. PRIORITEER de automatisering van identiteit- en toegangsbeheer. 6. CONCENTREER op gegevensbescherming en privacy-standaarden. 7. VERSTERK het vermogen om cyberaanvallen tijdig te kunnen detecteren en mitigeren

Status update Stichtingsbestuur – Wiard Gorter

11-2-’21

Huis op orde Waternet breed

-

1. Regie door interim CIO 2. Invoering project portfolio board 3. Risicolandschap in beeld en inzicht in impact op dienstverlening 4. Invoering Risico-level-management 5. Aanvullend onderzoek (audit) 6. Enterprise architectuur 7. …..

Hoffman

2020

Pen-test

-

Bevindingen in het Hoffman rapport zijn, in verband met informatiebeveiliging, te specifiek van technische aard om in dit verbeterplan op te nemen. Bevindingen liggen op het vlak van authenticatie, netwerkfiltering en life-cycle-management en zijn gedeeltelijk door het treffen van maatregelen opgelost.

SvZ

Onderzoeken (2/3) Onderzoek

Datum

Scope

Toegepast normkader

Conclusies/aanbevelingen (kernpunten)

Onderzoeksrapport Stichting Waternet - ILT

31-3’21

Procesautomatisering drinkwatervoorziening en besturing bij Waternet

PA norm Wbni Bbni BIO

Status implementatie BIO (conclusies) 1. Lage volwassenheids-score. Kwaliteit en herhaalbaarheid van processen beperkt geborgd. 2. Onvoldoende inzicht in hoeverre verbetermaatregelen zijn gerealiseerd. 3. Aanvullende beheersmaatregelen op basis van risicoanalyse zijn nodig Status implementatie PA (conclusies) 1. Actuele status van verbeterplan nav Audit 2020 onbekend 2. Is het gehanteerde risicoprofiel dat Waternet hanteert representatief 3. Niet of te laat detecteren van ongewenste acties of aanvallen op PA systemen Risicoanalyse 1. Volledigheid van onderkennen risico’s, alsmede het effect/werking van genomen maatregelen, wordt niet geborgd Verbeter- en evaluatie proces 1. Bij Waternet zijn Check en Act minder goed ontwikkeld 2. Generiek proces voor het oppakken en monitoren van verbeteringen is niet aangetroffen. 3. Mogelijke input voor verbeterproces, bv resultaten pen-testen, worden niet als zodanig gebruikt Lifecycle management 1. Kwetsbaarheid door het in het bedrijf hebben van niet meer door de leverancier ondersteunde applicatie en/of systemen Zonering/kennis van systemen/CMDB 1. Ontbreekt een volledig en compleet assetoverzicht 2. Systeemdocumentatie is up-to-date Patchmanagement 1. Ontbreken van een rapportage die inzicht geeft in algehele patch-/kwetsbaarheidsstatus

SvZ

Onderzoeken (3/3) Onderzoek

Datum

Scope

Onderzoeksrapport Stichting Waternet - ILT

31-3’21

Procesautomatisering drinkwatervoorziening en besturing bij Waternet

Toegepast normkader PA norm Wbni Bbni BIO

Conclusies/aanbevelingen (kernpunten) Derden-overeenkomsten 1. Onvoldoende borging in het meenemen van security-eisen bij verlenen van opdrachten (nieuwbouw, vervanging, onderhoud) 2. Logische toegangsbeveiliging 3. Processen voor het toekennen en evalueren van toegangsrechten verloopt (grotendeesl) handmatig → rechtenvervuiling Logging/monitoring & response 1. Controleren van logging vindt niet vol continu plaats (9ux5) 2. Logging/detectie is nog te beperkt ingericht 3. Onvoldoende uitgewerkte incident-response processen (risico dat onder meer meldingen ihkv meldplicht niet worden gedaan) Meldplicht 1. Processen tav meldplicht niet formeel of expliciet vastgelegd Tekortkomingen zorgplicht 1. Risicomanagement onvoldoende ingericht. Cyber-gerelateerde risico’s worden laag ingeschat 2. Ontbreken van structurele en periodieke toetsing op bestaan en werking/effectiviteit van maatregelen 3. Ontbreken van structurele (management)rapportages/dashboards over cybersecurity 4. Beperkte opsporingsmogelijkheden icm niet tijdig afhandelen bestaat risico van niet(tijdig) detectie Tekortkomingen meldplicht 1. Ontbreken van procedures voor de meldplicht, in geval van ICT-inbreuk, aan het NCSC

SvZ

Inhoud

1. Aanleiding 2. Kader en ontwikkelingen 3. Onderzoeken 4. Problematiek 5. Doelstellingen en aanpak 6. Sporen 7. Planning 8. Governance 9. Risicomanagement 10. Begroting 11. Resumé

SvZ

Problematiek IV op hoofdlijnen (1/5) Algemeen • Bestuurlijke opdrachtgevers onvoldoende in staat gesteld om te kunnen sturen op IV • Organisatie en sturing is achtergebleven bij belang van IT en OT voor Waternet • Governance (o.a. definiëren van rollen en het toewijzen van deze rollen) rondom IV onvoldoende ingericht

• Risicomanagement niet/onvoldoende ingericht waardoor risico’s worden niet of onvoldoende op waarde worden ingeschat • Niet alle noodzakelijke kaderstellende richtlijnen (oa. cybersecurity en archivering) beschikbaar en of toepasbaar

• Gebrek aan bestuurlijke sensitiviteit en communicatielijnen • PDCA-cycli zijn vaak niet volledig gesloten (“geen echte cirkels”) • Onvoldoende aandacht voor daadwerkelijke invoering en borging

SvZ

Problematiek IV op hoofdlijnen (2/5) Cybersecurity • Niet compliant met vigerend normenkader (cybersecurity en privacy) • Opvolging van en sturing op cybersecurity-bevindingen (o.a. externe onderzoek) onvoldoende • Cybersecurity-kaders (o.a. beleid en richtlijnen) onvoldoende compleet of toepasbaar • Cybersecurity-organisatie onvoldoende ingericht en verantwoordelijkheden niet, onvoldoende, verkeerd of te laag in de Waternet organisatie belegd • Cybersecurity bevindingenregister is van onvoldoende kwaliteit om het als stuurinstrument te kunnen inzetten

Dienstverlening • Verwachtingen t.a.v. dienstverlening (service levels) zijn niet/onvoldoende expliciet gemaakt en of met de juiste actor afgesproken • Continuïteit van sommige IV-diensten is onvoldoende gewaarborgd

Techniek • Op sommige punten achterstallig onderhoud in infrastructuur en applicatielandschap • Onvoldoende overzicht en inzicht in overall status applicatielandschap en infrastructuur en de risico’s die daarbij worden gelopen • Niet alle systeemdocumentatie is aanwezig of up-to-date SvZ

Problematiek IV op hoofdlijnen (3/5) Organisatie en processen • Medewerkers ervaren al langere periode een (te) hoge werkdruk • Kennisniveau op bepaalde onderdelen is niet bij alle medewerkers voldoende • Essentiele processen, waaronder service management, niet of onvoldoende ingericht • Synergie voordelen van de verschillende afdelingen worden niet benut

• Security-by-design, privacy-by-design en archivering-by-design onvoldoende geborgd in alle ontwikkelprocessen

Governance op IV • Onvoldoende centrale regie op het stellen van prioriteiten en niet vanuit bestuurlijke opdrachtgevers • Keuzes m.b.t. informatievoorziening en cybersecurity worden te laag in de organisatie e/o verkeerde plek gemaakt • Keuzes digitalisering en digitale veiligheid worden onvoldoende expliciet en bestuurlijk gemaakt • Geen echte keuzes maken, alles tegelijk willen doen en oppakken SvZ

Problematiek IV op hoofdlijnen (4/5) Governance op IV (vervolg) • Proces voor een gedegen afweging tussen enerzijds business eisen/wensen en anderzijds cybersecurity/privacy/technical fit/regulier onderhoud is onvoldoende • Risico’s en implicaties van IV-keuzes worden onvoldoende expliciet gemaakt • Acceptatie van risico’s en implicaties van een IV-keuze (door de juiste actor) is onvoldoende geborgd • Agile teams zijn te veel zelfsturend door gebrek aan richting vanuit directie en bestuur, eigenaarschap directie onvoldoende • Eigenaar van (bedrijfs)applicaties vaak niet bekend of op het juiste niveau belegd waardoor sturing door proceseigenaar (business) niet plaatsvindt

Cultuur en bewustzijn • Problemen probeert men te lang zelf op te lossen, men moet eerder escaleren • ‘Polderen’ (lang met elkaar spreken zonder snel een besluit te nemen) • Situaties worden te rooskleurig ingeschat • Onvoldoende tegenspraak SvZ

Problematiek IV op hoofdlijnen (5/5) Cultuur en bewustzijn (vervolg) • Onvoldoende besef van bestuurlijke dimensies • Onvoldoende bewustzijn (Waternet breed) met betrekking tot cybersecurity • Onvoldoende bewustzijn privacy en archivering

Sturing en beheersing • Rapportages voor bestuurlijke opdrachtgevers niet aanwezig en of “to-the-point” • Rapportageproces niet ingericht waardoor integraal inzicht en overzicht ontbreekt • Onvoldoende scheiding van en scherpte in rollen/taken (bv kaders en toetsing daarop) en “checks and balances” • Governance en sturing op lopende projecten is niet altijd voldoende

Financieel • Onvoldoende inzicht in IV kosten om adequaat te kunnen sturen en te beheersen • Ontbreken van een integrale (meerjarige) IV begroting • Financieel mandaat ligt laag in de organisatie, hierdoor ontbreekt eigenaarschap op directie niveau • Financiële middelen om gevraagde dienstverlening te bieden ontbreken

SvZ

Wat moet behouden blijven 1. 2. 3. 4. 5.

Trots en betrokkenheid van medewerkers Inzet om te leveren en keihard werken om boel draaiende te houden, geen ‘9 tot 5 mentaliteit’ Flexibiliteit Agile manier van werken Hoge bereidheid tot dienstverlening

Inhoud

1. Aanleiding 2. Kader en ontwikkelingen 3. Onderzoeken 4. Problematiek 5. Doelstellingen en aanpak 6. Sporen 7. Planning 8. Governance 9. Risicomanagement 10. Begroting 11. Resumé

SvZ

Programmavisie “Waar gaat het programma voor?” • Een toekomstvaste directie IV die door het leveren van efficiënte, betrouwbare en veilige diensten met weloverwogen gebruik van diensten uit de markt - voorziet in de behoefte van haar afnemers en bestuurlijke opdrachtgevers met inachtneming van relevante wet- en regelgeving en sectorale afspraken. De samenwerking tussen de verschillende directies binnen de Waternet organisatie met betrekking tot informatievoorziening en digitale veiligheid en weerbaarheid is vormgegeven waarbij rollen ten aanzien van de informatievoorziening (IV), bijvoorbeeld de eigenaar van een bedrijfsapplicatie, juist zijn belegd en worden ingevuld. De bestuurlijke opdrachtgevers (AGV en Gemeente Amsterdam) zijn in staat om hun rol ten aanzien van digitalisering en cybersecurity ook daadwerkelijk te kunnen nemen. • Het verbeterplan IV en digitale veiligheid en weerbaarheid legt het fundament voor dit toekomstbeeld en faciliteert de organisatie hierbij dusdanig dat na afronding van het verbeterplan de organisatie in control is op de dienstverlening en zelfredzaam is in haar streven om door te groeien in volwassenheid. • Na de looptijd van het verbeterplan is er een directie IV, met een verankerde PDCA-cyclus en cultuur, die stuurt op een betrouwbare en veilige dienstverlening volgens afspraak en binnen de financiële kaders. SvZ

Doelen van het programma “Wat wil het programma bereiken?”

1. Sturing en beheersing op IV en digitale veiligheid en weerbaarheid ingericht op verschillende niveaus (bestuurlijk, tactisch en operationeel) 2. Cybersecurity in de basis structureel op orde 3. Bewustzijn ten aanzien van cybersecurity binnen heel Waternet structureel geborgd 4. Fundament voor een professionele, gezonde en wendbare directie IV 5. In control op de levenscyclus van alle IV systemen

Opmerkingen: • Elk systeem heeft een levenscyclus waarbij bijvoorbeeld de support door de leverancier voor een bepaalde periode is gegarandeerd en daarna niet meer. • In control op levenscyclus betekent niet dat alle risico’s en problemen zijn opgelost. Wel dat een proces is ingevoerd en geborgd waarmee risico’s en problemen in beeld zijn, dat essentiële maatregelen getroffen zijn, dat er een (meerjaren)plan is voor elk systeem in een (primair) bedrijfsproces en dat eventuele restrisico’s zijn geaccepteerd door de eigenaar van het (primaire) bedrijfsproces. • Rapportages en dashboards worden beschikbaar gesteld en bestuurlijke keuzes worden voorgelegd aan bestuurlijke opdrachtgevers (AGV en Adam) om hen daadwerkelijk in staat te stellen om te kunnen controleren en te sturen. SvZ

*: zie bijlage A voor definitie van in control

Resultaten op doelen eind 2021 en 2022 Doel

Eind 2021

Eind 2022

1. Sturing en beheersing op IV en digitale veiligheid en weerbaarheid ingericht op verschillende niveaus

• Interne hiërarchische sturing binnen IV ingericht • Maandelijkse verantwoording van directie IV aan Directie en bestuurlijke opdrachtgevers • Centrale tafel met directie Waternet en bestuurders waarin prioriteiten en afhankelijkheden van alles met een IV-component (gehele portfolio) integraal wordt bestuurd mede gebaseerd op risico-afweging (portfoliomanagementproces opzet en bestaan)

• • • •

Doel 2: cybersecurity in de basis structureel op orde

• 50% van de bevindingen die voortkomen uit de onderzoeken en direct betrekking hebben op directie IV gemitigeerd • IB-organisatie en IB-processen (opzet en bestaan) • IB-register icm risicomethodiek Waternet

• Security structureel op orde en geen ontoelaatbare situatie (risicomethodiek Waternet) meer die direct betrekking hebben op directie IV • IB-processen (werking), inclusief PDCA-cyclus • Security-by-design, privacy-by-design en archivering-by-design geborgd in processen • Operationeel SOC (7x24x365) • In control op Baseline Informatiebeveiliging Overheid (BIO-controls)*

Doel 3: bewustzijn ten aanzien van cybersecurity binnen heel Waternet structureel geborgd

• Proces voor algemene bewustzijn cybersecurity (opzet en bestaan)

• Proces voor generiek en specifieke kennis en bewustzijn cybersecurity (opzet, bestaan en werking) • Bewustzijn cybersecurity structureel geborgd in HR processen (oa. instroom nieuwe medewerker)

Doel 4: fundament voor een professionele, gezonde en wendbare directie IV

• Operationele basisprocessen voor service management (opzet en bestaan) • Architectuur functie en proces (opzet en bestaan) • Personeelsadministratie 100% op orde, inclusief vlootschouw • Goedgekeurde exploitatiebegroting IV 2022

• Overige relevante processen voor service management (opzet, bestaan en werking) • Sourcingstrategie IV (“wat doet Waternet zelf, wat besteed ze uit”) • Strategisch personeelsplan • Directie IV geformaliseerd • Enterprise architectuur Waternet en doelarchitecturen PA, IT en Domeinen • Duidelijke afspraken met bestuurlijke opdrachtgevers over alle IVdienstverlening inclusief risicoprofiel, vereiste middelen • Goedgekeurde meerjarig exploitatiebegroting IV obv afgesproken dienstverlening

Doel 5: in control op de levenscyclus van alle IV systemen

• Life-cycle-management proces (opzet en bestaan) • in control op levenscyclus van 30% van alle IV-systemen*

• Life-cycle-management proces (werking) • in control op levenscyclus van alle IV-systemen (100%)*

Uitfasering legacy applicaties (75% minder legacy applicaties dan medio 2021) Enterprise architectuur is onderdeel van het portfolioproces Portfoliomanagementproces (werking) Roadmap

SvZ

Strategie van het programma

“Op welke wijze wil het programma haar doelen bereiken?” • Verbeteren van de digitale veiligheid en weerbaarheid is niet alleen techniek, andere facetten, namelijk proces en de mens-factor (bewustzijn), zijn minstens zo belangrijk. Het programma richt zich in haar doelen en activiteiten op al deze aspecten • Cybersecurity (cultuur, proces en techniek) is nooit af • Inrichten van ontbrekende/onvoldoende ingerichte IV-processen (strategisch, tactisch en operationeel) • Toepassen van PDCA-cyclus op processen en het daadwerkelijk sluiten van PDCA-cirkels • Het programma is niet voor de Waternet-organisatie, maar door Waternet-organisatie! Faciliterend programma met eigenaarschap in de lijn, waarbij de programmaorganisatie monitort en eventueel ondersteuning biedt • Proces-aanpak: proceseigenaren aanwijzen, starten, initieel opzetten, invoeren, borgen en vervolgens continu verbeteren • Toepassen van best-practices op en in processen en, voor zover mogelijk, direct aan de slag (starten) • Samen met bestuurlijke opdrachtgevers en directie wordt op basis van Waternet brede risicoafwegingen (risicomethode) de prioriteiten gesteld (o.a. maatregelen cybersecurity) • Tijdelijk versterken van cruciale IB-rollen en technisch specialisten voor veranderopgave SvZ

Aanpak programma Realisatie van de programma doelen via vijf sporen: • Spoor 1: versterken cybersecurity-functie en architectuur-functie • Spoor 2: verhogen digitale veiligheid en weerbaarheid • Spoor 3: verhogen cybersecurity bewustzijn en kennis • Spoor 4: bedrijfsvoering IV op orde • Spoor 5: fundament voor toekomst vaste IV-directie (incl. cultuur)

Opmerkingen: • Resultaten en tempo in spoor 2 worden bepaald op basis van een integrale Waternet brede risicoafweging met de business, directie en bestuur → accepteren van implicaties en risico door directie en/of bestuur • Versterking op cruciale rollen (oa. network engineers en security engineers) in IV organisatie maakt een hoger tempo in spoor 2 mogelijk. • Continu kritisch kijken welke aanvullende verbetermaatregelen getroffen moeten worden • Sporen lopen gedeeltelijk parallel aan elkaar (zie planning)

SvZ

Programmadoelen en sporen Doel 1 Sturing en beheersing op digitalisering en digitale veiligheid ingericht

Doel 2 Cybersecurity in de basis structureel op orde

Doel 3 Bewustzijn ten aanzien van cybersecurity binnen heel Waternet

Doel 4 Fundament voor een professionele, gezonde en wendbare directie IV

Doel 5 In control op de levenscyclus van alle systemen

Spoor 1 Versterken IB-functie en architectuur-functie

Spoor 2 verhogen veiligheid en weerbaarheid

Spoor 3 verhogen informatiebeveiliging bewustzijn en kennis

Spoor 4 bedrijfsvoering IV op orde

Spoor 5 fundament voor toekomst vaste IV-directie (incl. cultuur)

Onderdelen 1. Versterking en invulling rollen IB-organisatie 2. Invoering en borging proces Information Security Management System (ISMS) 3. Invoering en borging architectuur-functie

Onderdelen: 1. Portfoliomanagement mede gebaseerd op risicoafweging 2. Inrichting en borging van Security Operations Center (SOC) 3. Invoering en borging identiteit- en toegangsbeheer 4. Tijdelijk versterking technische expertise in IVorganisatie

Onderdelen: 1. Invoering en borging kennis en bewustzijn cybersecurity

Onderdelen: 1. Service management processen (ITSM) op orde 2. Interne sturing en beheersing op orde 3. HRM op orde 4. Financiën op orde 5. Software-ontwikkel- en beheerproces op orde 6. Contract- en leveranciersmanagement IV op orde

Onderdelen: 1. Toekomst vaste directie IV (fundament)

SvZ

Scope Binnen de afbakening van het verbeterplan valt: • • • • • • • •

Cybersecurity, financiën IV, bewustwording IB en dienstverlening door IV Inrichten van een efficiënte en effectieve IV bedrijfsvoering Zorgdragen dat de bestuurlijke opdrachtgevers Amsterdam en AGV kunnen sturen en controleren op IV Rapportagecyclus en formats uitwerken richting de bestuurlijke opdrachtgevers Borgen van cybersecurity, privacy en risicomanagement in IV processen (first line) PDCA-cyclus cybersecurity in de second line (Three-Lines-Model) PDCA-cyclus domein architectuur (first line) en enterprise architectuur (second line) Organisatie inrichting van de nieuwe directie IV – het fundament staat

Buiten de afbakening van het verbeterplan valt: • • • •

PDCA-cyclus van de bestuurlijke opdrachtgevers (bestuurlijke opdrachtgevers) Uitwerken uitgangspunten, bouwblokken en bouwstenen tot kader digitaliseringsbeleid (bestuurlijke opdrachtgevers) Verbetertraject governance Waternet (Algemeen directeur Waternet) PDCA-cyclus privacy in second line (oa bewustzijn campagne) en PDCA-cyclus risicomanagement in second line (directeur F&C) • PDCA-cyclus archivering in second line (directeur F&C) • Leveringsplan Drinkwater en het testen daarvan (directie Drinkwater)

SvZ

Uitgangspunten • Principes van Three-Lines-Model • Methodiek voor risicomanagement Waternet • Aansluiten met activiteiten en projecten, voor zover mogelijk en van toepassing, op de 3MC-cycli • Rollen van proceseigenaar en procesmanager worden altijd toegewezen aan het lijnmanagement • Programmafinanciering conform financieringsstructuur programma’s Waternet • Uitvoering van het verbeterplan mag de continuïteit van de dienstverlening (instandhouding) niet in gevaar brengen • Programma ondersteunt bij de implementatie van het normenkader. De primaire verantwoordelijkheid voor het realiseren van afdoende informatieveiligheid ligt bij de lijnorganisatie zelf (lijnmanagement) • Eventuele knelpunten worden afgestemd en opgelost aan de centrale tafel (bestuurlijke opdrachtgevers, directie Waternet)

SvZ

Randvoorwaarden • De bestuurlijke opdrachtgevers (AGV en Gemeente Amsterdam) vullen hun rol ten aanzien van digitalisering en cybersecurity ook daadwerkelijk in en geven doelen, middelen, kaders etc. mee aan Waternet (bestuurlijke opdrachtgevers) • Directies binnen Waternet vullen hun rollen, bijvoorbeeld de rol van systeemeigenaren, ten aanzien van informatievoorziening en digitale veiligheid en weerbaarheid ook daadwerkelijk in (directie Waternet) • Brede acceptatie van het verbeterplan en de onderdelen daarvan door bestuurlijke opdrachtgevers en directie Waternet (bestuurlijke opdrachtgevers en directie Waternet) • Goede afstemming en sturen op wederzijdse afhankelijkheden en invullen van randvoorwaarden door verbetertraject governance Waternet • Voldoende financiële middelen (bestuurlijke opdrachtgevers) • Voldoende kennisniveau over informatievoorziening bij andere directies en bestuurlijke opdrachtgevers (bestuurlijke opdrachtgevers en directies Waternet) • Risicomethodiek Waternet is inhoudelijk afgestemd met bestuurlijke opdrachtgevers (directeur F&C) • Invulling van de PDCA-cycli voor risicomanagement en archivering (directeur F&C)

SvZ

Inhoud

1. Aanleiding 2. Kader en ontwikkelingen 3. Onderzoeken 4. Problematiek 5. Doelstellingen en aanpak 6. Sporen 7. Planning 8. Governance 9. Risicomanagement 10. Begroting 11. Resumé

SvZ

Spoor 1 Versterken cybersecurity -functie en architectuur-functie Onderdelen 1. Versterking en invulling rollen cybersecurity -organisatie 2. Invoering en borging proces ISMS 3. Invoering en borging architectuur-functie

P

Versterking en invulling rollen cybersecurity-organisatie

Cyber-

A security D C

Doelen:

1. 2. 3.

•

Aanpak:

•

• Stakeholders:

• • • • • •

Alle rollen in IB-organisatie gedefinieerd en ingevuld Cruciale IB-rollen voor veranderopgave tijdelijk versterkt Betere scheiding first line en second line en vergroten rol zuiverheid

• • •

•

CISO vervult een sleutelrol bij de verbetering van de security-functie Veranderopgave IB is groot en vereist extra capaciteit en een tijdelijk meer proactieve invulling van de CISO-office

Virtueel CISO-office tijdelijk onder verantwoordelijkheid CIO a.i. Eerst op orde brengen en dan terug naar directie F&C CISO a.i. neemt regie over virtueel CISOoffice, huidige CISO in nevengeschikte rol, en zorgt voor de verdere ontwikkeling van CISO-office Verdere vorming virtuele CISO-office onder aansturing CISO a.i.

Sturingsmodel:

• •

Verantwoordelijkheid en verantwoording in de lijn Indirect sturingsmodel vanuit programma (o.a. monitoring voortgang op mijlpalen, risico’s en signalering van afwijkingen)

Verwachte strategische keuzes:

•

Positionering, doel, rollen, mandatering, werkwijze en aansturing binnen virtueel CISOoffice (voorstel CISO-office)

ILT CIO a.i. Directeur F&C CISO ISO’s Afdelingshoofden (PA, IT en Domeinen)

Kwaliteitsborging:

•

(C)ISO Adam: selectiecommissie CISO a.i

Relaties:

•

Spoor 1 – ISMS: start CISO a.i. is randvoorwaardelijk voor dit onderdeel Spoor 3 – bewustzijn: start CISO a.i. is randvoorwaardelijk voor dit onderdeel Spoor 5 en Directie F&C: formele vorming van CISO-office bij directie F&C

3MC26 (4 mei-26 juli ‘21) Mijlpalen

•

Rationale:

Aanscherping rol ISO (CIO a.i.) ISO’s koppelen aan specifiek domeinen (CIO a.i.) Start CISO a.i. (CIO a.i.)

• •

3MC27 (27 juli-18 okt ‘21) • • •

Voorstel virtueel CISOoffice (CISO a.i.) Besluit virtueel CISO-office (directie Waternet) Start virtueel CISO-office (CISO a.i.)

3MC28 (19 okt ‘21-10 jan ‘22) •

Tussenevaluatie CISO a.i. (CIO a.i. en F&C)

3MC29 (11 jan - 4 apr ‘22)

3MC30 (5 apr - 27 jun ‘22)

3MC31 (28 jun - 19 sept ‘22) • •

Overdracht virtueel CISOoffice naar directeur F&C (directeur F&C) Formalisatie CISO-office bij directie F&C (directeur F&C)

3MC32 (20 sept - 12 dec ‘22) •

Stop ISO inhuur (CISO)

SvZ

P

Invoering en borging proces Information Security Management Systeem (ISMS) Doelen:

1. 2. 3.

Aanpak:

Stakeholders:

Invoering van een managementsysteem voor cybersecurity (ISMS) om veiligheidsrisico’s in kaart te brengen en het beheersen (ISMS is een continu proces met een PDCA-cyclus) voor heel Waternet Het continu beoordelen of beleid, richtlijnen en beveiligingsmaatregelen passend en effectief zijn, en of deze bijgesteld moeten worden. Risico’s beheersen, passende beveiligingsmaatregelen te treffen, lering te trekken uit incidenten en daarmee de betrouwbaarheid en de kwaliteit van de informatievoorziening en bedrijfscontinuïteit te waarborgen

Hier en nu • Verbeteren bevindingenregister • Verbeteren IB-richtlijnen Structureel • Procesaanpak • Opstellen stappenplan • Onderzoeken mogelijkheden tot hergebruik bij oa Het Waterschapshuis en Gemeente Amsterdam • Doorlopen PDCA-cyclus • Externe audit op proces • Verbeteren uit PDCA en audit meenemen in nieuwe cyclus

Sturingsmodel:

• • • •

Kwaliteitsborging:

ILT Directeur IV en directeur F&C CISO a.i/CISO/ISO Alle medewerkers Waternet

• • •

• • • •

Rationale:

• • •

Procesaanpak: proceseigenaar (CISO a.i.) → proces (opzet)→proces (bestaan) → volledig PDCA-cyclus doorlopen → continu verbeteren Proceseigenaar legt verantwoording af in lijn en rapporteert daarover Indirect sturingsmodel vanuit programma (o.a. monitoring voortgang en signaleert afwijkingen)

Verwachte strategische keuzes:

Concern Control (directie F&C) (C)ISO Adam Adviseur bestuurlijke opdrachtgever AGV Onafhankelijke externe audit op ISMS (third line)

Relaties:

• • •

• • • •

3MC26 (4 mei-26 juli ‘21) Mijlpalen

•

•

Actueel bevindingenregister icm risicomethodiek in Excel (CISO a.i.) Stappenplan invoering proces ISMS (CISO a.i.)

3MC27 (27 juli-18 okt ‘21) • • • • • • •

Proces ISMS obv PDCA - opzet (CISO a.i.) Dreiging- en risicoanalyse Waternet breed (CISO a.i.) Voorstel weerstandsniveau Waternet (CISO a.i.) Besluit weerstandsniveau Waternet (bestuurlijke opdrachtgevers) Nieuwe versie IB-beleid (CISO a.i.) Nieuwe versie IB-richtlijnen (CISO a.i.) Start ISMS rapportage (oa. bestuur) (CISO a.i.)

3MC28 (19 okt ‘21-10 jan ‘22) • • • •

Proces ISMS obv PDCA – bestaan (CISO a.i.) Volledige PDCA-cyclus proces ISMS doorlopen (CISO a.i.) Interne audit op ISMS (CC) Mijlpalen uit stappenplan ISMS (CISO a.i.)

3MC29 (11 jan - 4 apr ‘22) • • •

Verbeter maatregelen proces ISMS uit pdcA (CISO a.i.) Mijlpalen uit stappenplan ISMS (CISO a.i.) GRC-tool voor ISMS geïmplementeerd en beheer geborgd (CISO a.i.)

• • •

C

ISMS is een onmisbaar managementsysteem voor de CISO-office voor invulling rol Eis in normkader ISO27k en PA-norm ISMS kan ook de processen ondersteunen die voortvloeien uit AVG Vaststellen weerstandniveau Waternet Aanscherping in normkader dat van toepassing is voor IT en PA (IB-beleid) Rollen en de bijbehorende verantwoordelijkheden ten aanzien van IB (o.a. acceptatie van implicaties en risico’s) (IB-beleid)

Spoor 1: start CISO a.i Spoor 1: overdracht CISO-office naar directie F&C Spoor 2: prioritering portfoliomanagement mede o.b.v. bevindingenregister Spoor 4: IB geïntegreerd in processen, en sturing

3MC30 (5 apr - 27 jun ‘22) •

Cyber-

A security D

Volledige PDCA-cyclus proces ISMS doorlopen (CISO a.i.) Verbeter maatregelen proces ISMS uit pdcA Mijlpalen uit stappenplan ISMS (CISO a.i.) Externe audit op ISMS (CISO a.i.)

3MC31 (28 jun - 19 sept ‘22) •

3MC32 (20 sept - 12 dec ‘22)

Mijlpalen uit verbeterplan ISMS (CISO a.i.)

SvZ

Invoering en borging architectuur-functie Doelen:

1.

2. 3.

Invoering en borging architectuurfunctie binnen Waternet waardoor een consistent geheel van principes en modellen ontstaat dat richting geeft aan ontwerp en realisatie van de processen, organisatorische inrichting, informatievoorziening en technische ICT-infrastructuur van Waternet. Invoering en borging van het architectuur proces op basis van PDCA-cyclus binnen Waternet. Invullen van de rol van security architect (rol in vigerend IB-beleid) die tot op heden niet is ingevuld.

Rationale:

• • •

Aanpak:

Stakeholders:

Hier en nu • Start architectuurboard • Start security architect Structureel • Procesaanpak • Vorm geven van enterprise architectuur (EA) en domein-architecturen (DA) Waternet • Prioritering vindt plaats in architectuurboard mede obv risicomethodiek

Sturingsmodel:

• • • • • • •

Kwaliteitsborging:

ILT Bestuurlijke opdrachtgevers Directie Waternet Directeur IV en directeur F&C Afdelingshoofden (PA, IT en Domeinen) Architecten Medewerkers Waternet 3MC26 (4 mei-26 juli ‘21)

Mijlpalen

• • • • •

Start architectuurboard (CIO a.i.) Start Security architect (inhuur) (CIO a.i.) Voorstel positionering architectuur-functie (CIO a.i.) Besluitenregister architectuur (incl. besluiten afgelopen jaren) (CIO a.i.) Architectuur richtlijn voor monitoring en logging (CIO a.i.)

• •

3MC27 (27 juli-18 okt ‘21) •

•

•

Architectuurproces (incl. PDCA-cyclus en relatie EA=DA-SA) opzet (CIO a.i.) Start Enterprise architect inhuur (CIO a.i.)

•

Procesaanpak: proceseigenaar (CIO a.i.) → proces (opzet)→proces (bestaan) → volledig PDCA-cyclus doorlopen → continu verbeteren Proceseigenaar legt verantwoording af in lijn (oa mijlpalen) en rapporteert daarover Indirect sturingsmodel vanuit programma (oa monitoring voortgang en signaleert afwijkingen)

Verwachte strategische keuzes:

Concern Control (directie F&C)

Relaties:

3MC28 (19 okt ‘21-10 jan ‘22) • • • •

Architectuurproces obv PDCA-cyclus bestaan (CIO a.i.) DA voor PA versie 1.0 (CIO a.i.) DA voor IT versie 1.0 (CIO a.i.) DA voor domeinen versie 1.0 (CIO a.i.).

3MC29 (11 jan - 4 apr ‘22) • • •

Volledige PDCA-cyclus proces architectuur doorlopen (CIO a.i.) Verbetermaatregelen architectuur proces uit pdcA (CIO a.i.) Architectual runway voor domeinen (CIO a.i.)

• • •

• • • • •

• • •

P

Domein

Enterprise

A architec- D A architec- D tuur

tuur

C

C

Invulling geven aan het beleid en principes van security-bydesign, privacy-by-design en archivering-by-design Architectuur is een managementinstrument om van veranderingen in processen, informatie en systemen in samenhang te kunnen besturen. Security architect vervult sleutelrol in IB-organisatie maar is niet ingevuld Positionering, rollen, mandatering, scope en reikwijdte architectuur-functie (voorstel positionering architectuurfunctie) Keuze referentiearchitectuur voor Waternet Diverse architectuurkeuzes op strategisch en tactisch niveau in enterprise-architectuur en domein architecturen voor PA, IT en Domeinen

NORA Waterschaphuis: architectuur WILMA Gemeente Amsterdam: architectuur/TADA Spoor 2: portfoliomanagement en –board Spoor 5: sourcingstrategie, i-strategie, formalisatie security architect functie

3MC30 (5 apr - 27 jun ‘22) •

P

Verbetermaatregelen architectuur proces uit pdcA (CIO a.i.) Architectuur tool (CIO a.i.) EA versie 1.0 (bedrijfs-, informatie-, technische architectuur) (CIO a.i.) Interne audit op architectuur proces (CC)

3MC31 (28 jun - 19 sept ‘22) •

•

Verbetermaatregelen architectuur proces uit pdcA (CIO a.i.) Volledige PDCAcyclus proces architectuur doorlopen (CIO a.i.)

3MC32 (20 sept - 12 dec ’22) • • •

Verbetermaat-regelen architectuur proces uit pdcA (CIO a.i.) Stop Security architect (inhuur) (CIO a.i.) Overdracht Enterprise architectuur naar directie F&C (directeur F&C)

SvZ

Spoor 2 Verhogen digitale veiligheid en weerbaarheid Onderdelen 1. Portfoliomanagement mede gebaseerd op risicoafweging 2. Security Operations Center (SOC) 3. Invoering en borging identiteit- en toegangsbeheer 4. Tijdelijk versterking technische expertise in IV-organisatie

Portfoliomanagement mede gebaseerd op risicoafweging Doelen:

1.

2. 3. 4. • •

Aanpak:

•

Sturingsmodel:

•

Procesaanpak Oprichting van portfolioboard = centrale tafel (maandelijks met directie Waternet en elk 3MC met bestuurlijke opdrachtgevers erbij) Integreren risicomethodiek en Agile-SAFe/3MC cyclus in portfolio proces Bestuurlijke keuzes inzichtelijk maken

• • • • •

Bestuurlijke opdrachtgevers Directie Waternet Medewerkers IV ILT Directie Assets en Operatie

Kwaliteitsborging:

•

Stakeholders:

Inrichten van centrale tafel waarin prioriteiten en afhankelijkheden van alles met een IV-component en gehele portfolio (PA, IT en domeinen) integraal bestuurd worden (o.a. resource-, benefits-, financieel-, risicomanagement) en waarbij de consequenties van keuzes transparant worden gemaakt en termen van bedrijfsrisico’s. Rust in organisatie door mbv een integrale planning vooruit te kijken en actief bij te sturen op afwijkingen​ Versnellen van opleveringen door keuzes vroegtijdig te maken & het voorkomen/oplossen van knelpunten​ Juiste (bestuurlijke) niveau en door juiste functionaris worden de risico’s en implicaties geaccepteerd

• • • •

•

Rationale:

• •

Procesaanpak: proceseigenaar (CIO a.i.) → proces (opzet)→proces (bestaan) → volledig PDCA-cyclus doorlopen → continu verbeteren Proceseigenaar (CIO a.i.) en legt verantwoording af in lijn en rapporteert daarover Indirect sturingsmodel vanuit programma (oa monitoring voortgang en signaleert afwijkingen)

Verwachte strategische keuzes:

Risicomanager (Third line): controle op toepassen van risicomanagement methodiek Concern Control (directie F&C)

Relaties:

•

• • • • • • • •

3MC26 (4 mei-26 juli ‘21) Mijlpalen

•

• • • • • • • •

Start portfoliomanager (inhuur 50%) (proceseigenaar) Strategische uitgangspunten voor portfolioproces (proceseigenaar) Start portfolioboard (proceseigenaar) Voorstel positionering portfoliomanagement en -board (proceseigenaar) Eigenaren van IV-systemen op directie niveau aangewezen (portfolioboard) Besluit legacy-systemen (portfolioboard) PI-dag i.c.m. portfoliomanagement (proceseigenaar) Start Assetmngr/opdrchtgvr PA (directie Assets en Operatie ) Retrospective portfoliomanagement

3MC27 (27 juli-18 okt ‘21) • •

•

Portfolio proces – opzet (proceseigenaar) Structureel inzicht in (externe) afhankelijkheden (proceseigenaar) Retrospective portfoliomanagement

3MC28 (19 okt ‘21-10 jan ‘22) • • •

•

•

Portfolio proces – bestaan (proceseigenaar) Portfolio (jaarlijks) (proceseigenaar) Portfoliomanagement 3mc verder vooruit kijken (proceseigenaar) Retrospective portfoliomanagement Benen op tafel sessie (reflectiemoment) met bestuur

3MC29 (11 jan - 4 apr ‘22) • • • •

• •

Verbeteringen in portfolioproces door continu verbeteren Portfolio roadmap (proceseigenaar) Product visions Enterprise architectuur onderdeel portfolio process (proceseigenaar) Retrospective portfoliomanagement Interne audit op portfoliomanagement (CC)

3MC30 (5 apr - 27 jun ‘22) • •

Verbeteringen in portfolioproces door continu verbeteren Retrospective portfoliomanageme nt

P

P

Bestuurlijk

Tactisch

C

C

D A besturen D A besturen

Bestuurlijke opdrachtgevers en directie Waternet moeten de keuzes kunnen maken t.a.v. prioriteit Bestuur en directie moeten de implicaties en risico's van deze keuze accepteren Advies Gorter Positionering, rol, scope, rollen in board, rol systeemeigenaar en reikwijdte portfoliomanagement (voorstel positionering portfoliomanagement) Aanwijzen systeemeigenaren op directieniveau Vaststellen van de legacy systemen PDCA-cyclus bestuur: kaders, doelen, middelen Directies Waternet: beleid, plannen Governance traject (Directie Waternet): Sturingsvisie o.b.v. PDCA Waternet breed Spoor 1-ISMS: risicoregister en kaders Spoor 1-architectuur: architectuur kaders Onderzoek en Advies (O&A)

3MC31 (28 jun - 19 sept ‘22) •

•

Verbeteringen in portfolioproces door continu verbeteren Evaluatie totale portfolio proces bestuur+Waternet (proceseigenaar)

3MC32 (20 sept - 12 dec ’22) • • •

Verbeteringen in portfolioproces door continu verbeteren Stop portfoliomanager (inhuur) (proceseigenaar) Stop Assetmngr/opdrchtgvr PA (directie Assets en Operatie)

SvZ

Toelichting op portfoliomanagement • Portfolioboard moet keuzes maken en prioriteiten stellen over onder meer: • Nieuwe HR systeem • Wisselen van huisbankier • Complexiteitsreductie door sanering van legacy-bedrijfsapplicaties en systemen (verlaagt beheerlast en verlaagt kwetsbaarheid van Waternet) • Verhuizing datacenter • Netwerk-segmentering (risico gestuurd op basis van legacy) • Aanpassingen in applicaties voor koppeling met IAM • Volgorde waarin uitfasering van legacy applicaties plaatsvind met eventueel mitigerende maatregelen

• Inzet komt uit bestaande menscapaciteit en de tijdelijke versterking (oa network engineer)

SvZ

P

Inrichting en borging Security Operations Center

A

Operationeel besturen

D

C Doelen:

1. 2. 3.

• •

Aanpak:

• • •

Stakeholders:

• • • • • • •

Basis Cyber weerbaarheid - Huidige operationeel basis SOC 0.5 verder operationaliseren en gefaseerd verbeteren. (best effort) Herijking van het SOC & planning en alignement met de IV verbeterplannen (Inzicht in de Waternet risico’s & randvoorwaarden) Effectieve Cyber weerbaarheid - Gefaseerde projectmatige implementatie van SOC 2.0 en borging van een toekomst vast operationele SOC, die conform afgesproken service levels en service windows, cyberdreigingen vroegtijdig detecteert en mitigerende actie initieert, om de continuïteit van de Waternet dienstverlening te kunnen waarborgen. Uitvoeren No-regret verbeter acties SOC. Inzicht in de Waternet technische risico’s, meest kritische systemen/applicaties & randvoorwaarden voor Effectieve Cyber weerbaarheid voor Waternet Identificeren van strategische keuzes en voorleggen aan bestuurlijke opdrachtgevers Herijking van de SOC business case Herijking SOC project (opdracht, scope, aanpak, planning, budget & resources)

Sturingsmodel:

Bestuurlijke opdrachtgevers Eigenaren primaire processen Waternet CISO a.i. Directeur IV Afdelingshoofden PA en IT Medewerkers IV Toezichthouders en ILT

Kwaliteitsborging:

3MC26 (4 mei-26 juli ‘21) Mijlpalen

• • • • • • •

Basismonitoring network en Office365 operationeel (best effort) SOC proces – opzet (projectleider) PoC vulnerability scanning (projectleider) Prioritering & planning No-regret verbeter acties SOC (projectleider) Training SOC team (nieuwe tools) (projectleider) Gesprekken RWS Verbeteren toegang tot bestaande IT/PA tools voor SOC analyse (projectleider)

• • •

• •

• • • •

Direct sturingsmodel vanuit programma Projectleider staat onder directe aansturing van programmamanager Stuurgroep SOC (sr. Executive: CIO a.i., sr. User: CISO a.i., afdelingshoofden IT, sr.Supplier: programmamanager, domein Architect)

Verwachte strategische keuzes:

• • • • • •

• • • • • •

CISO a.i. SOC stuurgroep Samenwerkingsverbanden (zoals RWS) Externe audit in Q4 2022 Blue/Red-teaming (op termijn) Toezichthouders

Relaties:

• • • • •

3MC27 (27 juli-18 okt ‘21) • • •

Rationale:

SOC proces - bestaan (projectleider) Uitvoeren No-regret acties SOC Inzicht in de waternet technische risico’s, meest kritische processen, systemen, applicaties & randvoorwaarden voor Effectieve Cyber weerbaarheid (projectleider) Voorstel ambitie bepaling Security detectie niveau, diepgang & scope (projectleider) Strategische keuzes voorleggen aan bestuurlijke opdrachtgevers (projectleider)

3MC28 (19 okt ‘21-10 jan ‘22) • • •

•

No-regret acties SOC Vulnerability tool operationeel Herijkt projectplan SOC (opdracht, scope, aanpak, planning, budget & resources) (projectleider) Besluit herdefinitie project (stuurgroep SOC)

• •

3MC29 (11 jan - 4 apr ‘22)

3MC30 (5 apr - 27 jun ‘22)

No-regret verbeter acties SOC (projectleider) Mijlpalen uit nieuw projectplan (projectleider)

• •

No-regret acties SOC Mijlpalen uit nieuw projectplan (projectleider)

Waternet levert kritieke diensten Vroegtijdige detectie is essentieel Detectie is eis in normkader ISO27k, PA-norm, WBNI en de toezichthouders Waternet moet aantoonbaar in control zijn. Risico gebaseerde prioritering verder uitrol & verbeteringen huidige operationele SOC. Vast stelling meest kritische processen, systemen, applicaties & eigenaren Bepalen Ambitie detectie niveau & scope Keuze SOC operationeel 5x8 of 365x7x24 en termijn waarop Wel of niet uitbesteden van SOC activiteiten en de mate waarin (sourcing) De mate waarin invulling wordt gegeven aan de samenwerking met andere partijen (bv RWS)

Spoor 1: Invoering en borging (ISMS) Spoor 2:borging identiteit- en toegangsbeheer Spoor 3:borging kennis en bewustzijn IB Spoor 4-ITSM processen: o.a.. incidentproces voor gedetecteerde cybersecurity incidenten en meldplichtproces Spoor 5: outsourcingstrategie 3MC31 (28 jun - 19 sept ‘22)

• •

No-regret acties SOC Mijlpalen uit nieuw projectplan (projectleider)

3MC32 (20 sept - 12 dec ’22) • • •

Project Deliverables Overdracht aan staande organisatie Decharge project SOC (Directeur IV)

SvZ

*: zie bijlage D voor verdeling van verantwoordelijkheden tussen deze 3 rollen

Invoering en borging identiteit- en toegangsbeheer Doelen:

1. 2. 3. •

Aanpak:

• • •

Stakeholders:

• • • • •

Processen voor identiteit- en toegangsbeheer ingericht zodat allen de juiste individuen toegang krijgen tot de juiste bronnen op het juiste moment en om de juiste redenen. Identificeren van noodzakelijke rollen voor toegangsbeheer en deze juist beleggen. Inrichting van de centrale IAM voorziening One Identity. IAM is ter ondersteuning van het instroom-doorstroom-uitstroom proces en toegang tot systemen. Sturingsmodel:

Directeuren (primair) proces (eigenaren van bedrijfsapplicaties) Directeur IV Medewerkers IV (intern en extern) Afdeling M&O Alle afdelingshoofden en teamleiders bij Waternet

Kwaliteitsborging:

3MC26 (4 mei-26 juli ‘21) Mijlpalen

• • •

•

3 relevante rollen*: proceseigenaar instroomdoorstroom-uitstroom, eigenaar bedrijfsproces/systeem en eigenaar IAM Definiëren rollen en autorisatiematrix voor elk bedrijfsapplicatie (eigenaar bedrijfsapplicatie) Procesaanpak voor Instroom-doorstroomuitstroom (afdelingshoofd M&O) Procesaanpak voor IAM waarbij 2 lijnen worden gevolgd: • Top-10 kritische applicaties • Per afdeling (totaal 25 afdelingen): inventariseren van gebruikte applicaties → opstellen rollenmodel voor die afdeling → realiseren rollenmodel in One Identity → aansluiten/export van systemen

Stappenplan Identiteit- en toegangsbeheer (afd.hoofd domeinen) Proces instroom en uitstroom – opzet (afd.hoofd M&O) Proces periodieke controle rechten – opzet (afd.hoofd domeinen)

• • • •

• •

Proces doorstroom – opzet (afd.hoofd M&O) Autorisatiematrix voor bedrijfsapplicaties (eigenaar bedrijfsapplicatie) Proces instroom en uitstroom – bestaan (afd.hoofd M&O)

• •

Eis in normkader ISO27k, BIO en PA-norm Medewerkers hebben de juiste toegangsrechten en van vertrekkende werknemer worden de toegangsrechten op het juiste moment ingetrokken

Verwachte strategisch e keuzes:

•

Wel of niet meenemen van legacy applicaties “oud proces” (stappenplan Identiteit- en toegangsbeheer) Selectie van de kritische systemen (Top-10) die als eerst opgepakt gaan worden (stappenplan Identiteit- en toegangsbeheer) obv risicoafweging Volgorde waarin de afdelingen overgaan naar IAM (stappenplan Identiteit- en toegangsbeheer)

• •

Relaties:

•

•

•

3MC27 (27 juli-18 okt ‘21) •

Procesaanpak: proceseigenaar → proces (opzet)→proces (bestaan) → volledig PDCA-cyclus doorlopen → continu verbeteren Proceseigenaar instroom-doorstroom-uitstroom (afdelingshoofd M&O) legt verantwoording af in lijn en rapporteert daarover Eigenaren van bedrijfsapplicaties (directeuren primaire processen) Eigenaar van IAM-voorziening (afdelingshoofd domeinen) legt verantwoording af in lijn en rapporteert daarover Indirect sturingsmodel vanuit programma (oa monitoring voortgang en signaleert afwijkingen)

Rationale:

3MC28 (19 okt ‘21-10 jan ‘22) •

20% van alle medewerkers op IAM (afd.hoofd domeinen)

3MC29 (11 jan - 4 apr ‘22) •

40% van alle medewerkers op IAM (afd.hoofd domeinen)

•

Spoor 2 - portfoliomanagement: vaststellen systeemeigenaren, autorisatiematrix door systeemeigenaren, aanpassen systemen om aan te kunnen sluiten op IAM Spoor 2 - portfoliomanagement: vaststellen van lijst van legacy systemen Spoor 2 – portfoliomanagement: stappenplan

3MC30 (5 apr - 27 jun ‘22)

3MC31 (28 jun - 19 sept ‘22)

6-% van alle medewerkers op IAM (afd.hoofd domeinen)

•

80% van alle medewerkers op IAM (afd.hoofd domeinen)

3MC32 (20 sept - 12 dec ’22) • •

100% van alle medewerkers op IAM (afd.hoofd domeinen) Proces periodieke controle rechten op alle afdelingen - bestaan (afd.hoofd domeinen) SvZ

P

Tijdelijk versterking technische expertise

A

Operationeel besturen

C Doelen:

1.

Aanpak:

•

Versterken van cruciale technische rollen om de noodzakelijke maatregelen ter verbetering van de IB door te voeren.

Afdelingshoofd PA en IT werven technisch specialisten

Sturingsmodel:

• • •

Stakeholders:

• •

Afdelingshoofd PA Afdelingshoofd IT

Wervingstraject onder verantwoordelijkheid van afdelingshoofden PA en IT Aansturing technisch specialisten door PA en IT Programma monitort voortgang en signaleert afwijkingen op onderstaande mijlpalen

Kwaliteitsborging:

Rationale:

•

Technische expertise op sommige posities (kwantitatief) te laag om noodzakelijke technische aanpassingen (oa. patching, segmentering) door te kunnen voeren

Verwachte strategische keuzes:

•

Niet van toepassing

Relaties:

•

Spoor 2: randvoorwaarde om tempo te maken in spoor 2

1 3MC26 (4 mei-26 juli ‘21) Mijlpalen

• • • •

Start Desktop specialisten - 1 FTE (afdelingshoofd IT) Start Security engineer - 1 FTE (afdelingshoofd IT) Start technisch PO voor PA – 1 FTE (afdelingshoofd PA) Start Network engineer - 1 FTE (afdelingshoofd IT)

3MC27 (27 juli-18 okt ‘21)

3MC28 (19 okt ‘21-10 jan ‘22) •

Stop Network engineer - 1 FTE (afdelingshoofd IT)

3MC29 (11 jan - 4 apr ‘22) • •

Start Solution architecten - 2 FTE (afdelingshoofd IT) Start Packing engineers 1 FTE (afdelingshoofd IT)

3MC30 (5 apr - 27 jun ‘22)

3MC31 (28 jun - 19 sept ‘22)

3MC32 (20 sept - 12 dec ’22) • • • • •

Stop Desktop specialisten - 1 FTE (afdelingshoofd IT ) Stop Security engineer - 1 FTE (afdelingshoofd IT) Stop Solution architecten 2 FTE (afdelingshoofd IT) Stop technisch PO voor PA – 1 FTE (afdelingshoofd PA) Stop Packing engineers 1 FTE (afdelingshoofd IT)

SvZ

D

Spoor 3 Verhogen bewustzijn en kennis cybersecurity Onderdelen 1. Invoering en borging kennis en bewustzijn cybersecurity

P

Invoering en borging kennis en bewustzijn cybersecurity

Cyber-

A security D

(Waternet breed) Doelen:

1. 2. 3.

Aanpak:

• • • •

• • • • •

Stakeholders:

C Vergroten bewustzijn over cybersecurity Waternet breed Verhogen kennisniveau bij directie en bestuurlijke opdrachtgevers Verhogen kennisniveau bij medewerkers Bewustzijn is eigenlijk onderdeel van proces ISMS (PDCA-cyclus) In eerste instantie apart traject, daarna opnemen in ISMS proces Onderzoeken mogelijkheden tot hergebruik bij oa Waterhuis en Gemeente Amsterdam Periodieke bijsturing aanpak en inzet instrumenten o.b.v. metingen en rapportages (bewustzijn en kennis)

Sturingsmodel:

Directie en management Waternet CISO a.i. Medewerkers Waternet Afdeling communicatie Directie HR

Kwaliteitsborging:

3MC26 (4 mei-26 juli ‘21) Mijlpalen

•

Stappenplan bewustzijn (CISO a.i.)

•

• • • •

Gedragsregels en gedragscode cybersecurity (CISO a.i.) Op maat gemaakte, herkenbare communicatiemiddelen over IB en privacy voor elk domein/doelgroep (communicatie) E-learning en webinars met algemene content (CISO a.i.) Informatieportaal op Bron voor IB en privacy, incl FAQ (CISO a.i.) Security & privacy ambassadeur voor elke afdeling aangewezen (afdelingshoofden) Overige mijlpalen uit stappenplan Bewustzijn (CISO a.i.)

• • •

•

Procesaanpak: proceseigenaar (CISO a.i.) → proces (opzet)→proces (bestaan) → volledig PDCA-cyclus doorlopen → continu verbeteren Proceseigenaar legt verantwoording af in lijnorganisatie en rapporteert daarover Indirect sturingsmodel vanuit programma (oa monitoring voortgang en signaleert afwijkingen)

Verwachte strategische keuzes:

Onafhankelijke externe audit op ISMS (third line)

Relaties:

•

Veel risico’s op het gebied van cybersecurity liggen in het handelen als onderdeel van het menselijk gedrag

• •

Privacy programma (privicay officers) Spoor 1 – IB-organisatie: start CISO a.i en overdracht CISO-office naar directie F&C Spoor 1: bewustwording is onderdeel van ISMS

•

3MC27 (27 juli-18 okt ‘21) •

Rationale:

3MC28 (19 okt ‘21-10 jan ‘22) • • • • • • •

Awareness en kennis sessie met directie (CISO a.i.) Awareness en kennis sessie met bestuurlijke opdrachtgevers (CISO a.i.) Train de trainer sessie voor ambassadeurs (CISO a.i.) IB en privacy onderdeel van onboarding proces nieuwe medewerkers (afdeling O&M) Meetinstrument awareness operationeel (CISO a.i.) Overige mijlpalen uit stappenplan Bewustzijn (CISO a.i.) Presentaties over IB in alle afdelingsoverleggen (WN) (CISO a.i.)

3MC29 (11 jan - 4 apr ‘22) •

•

• • •

E-learning en webinarsmet doelgroepgerichte content (CISO a.i.) Opleidingsplan voor bepaalde doelgroepen (inclusief certf./examen) (CISO a.i.) Overige mijlpalen uit stappenplan Bewustzijn (CISO a.i.) Volledige PDCA-cyclus proces bewustzijn doorlopen (CISO a.i.) Opname in PDCA-cyclus ISMS (CISO a.i.)

3MC30 (5 apr - 27 jun ‘22)

3MC31 (28 jun - 19 sept ‘22)

3MC32 (20 sept - 12 dec ’22)

SvZ

Spoor 4 Bedrijfsvoering IV op orde Onderdelen 1. Service management processen IV op orde 2. Interne sturing en beheersing op orde 3. HRM IV op orde 4. Financiën IV op orde 5. Software ontwikkel- en beheerproces IV op orde 6. Contract- en leveranciersmanagement IV op orde

P

Service management processen IV op orde

A

Operationeel besturen

D

C Doelen:

1. 2. 3. •

Aanpak:

• •

Stakeholders:

• • • •

Noodzakelijke service management processen zijn ingericht, ingevoerd en geborgd (opzet, bestaan en werking) Grip op processen Voor de bestuurlijke opdrachtgevers is duidelijk wat de geboden dienstverlening is en hierover wordt ook over gerapporteerd. •

Eerst basisprocessen van service management (incident-, problem-, configuratie-, Life-CycleManagement incl. patchmanagement) en meldplichtproces inrichten en borgen Elk proces is inclusief KPI’s en rapportages en inrichting in ondersteunend systeem Daarna stapsgewijs de overige noodzakelijke servicemanagement processen (oa. service level management)