Verbeterplan IV en digitale veiligheid en weerbaarheid versie 112_markeringen.pdf
Tekst van het document
Sturingsmodel:
ILT Bestuurlijke opdrachtgevers Directeur IV en lijnmanagement Medewerkers IV
Kwaliteitsborging:
• • • •
Rationale:
• • •
Procesaanpak: proceseigenaar → proces (opzet)→proces (bestaan) → volledig PDCA-cyclus doorlopen → continu verbeteren Proceseigenaar legt verantwoording af in lijn en rapporteert daarover Vanuit programma wordt de proceseigenaar ondersteund (processpecialisten) Indirect sturingsmodel vanuit programma (o.a. monitoring voortgang en signaleert afwijkingen)
Verwachte strategische keuzes:
Concern Control (directie F&C)
Relaties:
• • • • • •
Sturing en beheersing van processen en daarmee op dienstverlening Voldoen aan normenkader Borgen continuïteit dienstverlening Rolbeschrijving van proceseigenaar en procesmanager Verankering van procesgericht werken in een lijnorganisatie Bepalen dienstverlening (o.a. beschikbaarheid, service window) en de middelen die daarvoor nodig zijn Keuze in ITSM tool Spoor 2 - portfoliomanagement: kaders en doelen vanuit bestuurlijke opdrachtgevers Crisisorganisatie: aansluiten van service management processen op crisisorganisatie
DAP DAP opgeleverd opgeleverd
3MC26 (4 mei-26 juli ‘21) Mijlpalen
• • • • • •
Rolbeschrijving PE en PM (Directeur IV) Configuratiemanagement - opzet (Afd.hoofd Do.) Incidentmanagement opzet (Afd.hoofd IT) Life-Cycle-Management opzet (Directeur IV) Meldplicht - opzet (Afd.hoofd IT) Start ITSM tooling specialist 1 FTE (inhuur) (Afd.hoofd Do.)
3MC27 (27 juli-18 okt ‘21) • • •
• • • •
Configuratiemanagement (incl. KPI’s en rapportages) - bestaan (Afd.hoofd Do.) Incidentmanagement (incl. KPI’s en rapportages) - bestaan (Afd.hoofd IT) DAP opgeleverd (Afd.hoofd IT) Duidelijke proces afspraken vastgelegd in DAP (dossier afspraken en procedures) Life-Cycle-Managemen (incl. KPI’s en rapportages) - bestaan (Directeur IV) Changemanagement - opzet (Afd.hoofd Do.) Meldplicht (incl. KPI’s en rapportages) - bestaan (Afd.hoofd IT) Start procesmanager 2 FTE
3MC28 (19 okt ‘21-10 jan ‘22) •
• • •
CMBD up-to-date en voldoet aan gestelde kwaliteitseisen (Afd.hoofd Do.) Pre-audit op processen (opzet en bestaan) (programma) Service level management opzet (proceseigenaar) Changemanagement (incl. KPI’s en rapportages) bestaan (Afd.hoofd Do.)
3MC29 (11 jan - 4 apr ‘22) • • •
Interne audit basis processen (CC) Service level management – bestaan (proceseigenaar) Problemmanagement opzet (Afd.hoofd IT)
3MC30 (5 apr - 27 jun ‘22) •
•
•
Producten en diensten catalogus IV – concept (proceseigenaar) Software Assetmanagement opzet (proceseigenaar) Problemmanageme nt (incl. KPI’s en rapportages) bestaan (Afd.hoofd IT)
3MC31 (28 jun - 19 sept ‘22) • • • •
SLA IV incl. rapportages – opzet (proceseigenaar) Dossier afspraken en procedures (proceseigenaar) Stop ITSM tooling specialisten (inhuur) (Afd.hoofd Do.) Software Assetmanagement bestaan (proceseigenaar)
3MC32 (20 sept - 12 dec ’22) •
•
SLA IV rapportages – bestaan (proceseigenaar) Stop procesmanager 2 FTE (inhuur) (Afd.hoofd IT+Do.)
SvZ
P
Interne sturing en beheersing IV op orde
A
P
Tactisch besturen
D
A
Operationeel besturen
C Doelen:
1. 2.
Aanpak:
• • • •
Stakeholders:
• • •
Versterken van de hiërarchische sturing Inrichten en borgen van sturing en verantwoording
Versterken hiërarchische sturing Inrichten van verantwoording (oa KPI’s, rapportages, voortgangsoverleggen etc) Opnemen van risicomanagementmethodiek in de sturing en beheersing In kaart brengen van risico’s en maatregelen voor IV processen
Sturingsmodel:
Directeur IV en lijnmanagement IV HR adviseur Controller IV
Kwaliteitsborging:
3MC26 (4 mei-26 juli ‘21) Mijlpalen
• • • • • • • • •
Structureel maandelijks bestuurlijk overleg Digitalisering (CIO a.i.) Structureel wekelijks MT IV (CIO a.i.) Structureel wekelijks Obeya overleg (CIO a.i.) Structureel periodiek overleg CIO a.i.afdelingshoofd (CIO a.i.) Start structureel IV breed 2-maandelijkse update (CIO a.i.) Start afdelingshoofd PA a.i. (CIO a.i.) Proces managementcyclus (maand, 3MC en jaar) - opzet (CIO a.i.) Rapportages maandelijks opzet en bestaan - (CIO a.i.) Communicatieplan (CIO a.i.)
Rationale:
•
Verwachte strategische keuzes:
•
Procesaanpak: proceseigenaar (CIO a.i.)→ proces (opzet)→proces (bestaan) → volledig PDCA-cyclus doorlopen → continu verbeteren Indirect sturingsmodel vanuit programma (oa monitoring voortgang op mijlpalen, risico’s en signalering van afwijkingen) Vanuit programma wordt de directeur ondersteunt
• •
Kwaliteitsmanagement F&C Concern Control (directie F&C)
Relaties:
•
3MC27 (27 juli-18 okt ‘21) • • •
Proces managementcyclus (maand, 3MC en jaar) bestaan (CIO a.i.) P&C op financiën, HR, AVG, IB en dienstverlening/processen (KPI’S) Mijlpalen managementcyclus (CIO a.i.)
3MC28 (19 okt ‘21-10 jan ‘22) •
Mijlpalen managementcyclus (CIO a.i.)
3MC29 (11 jan - 4 apr ‘22) •
Mijlpalen managementcyclus (CIO a.i.)
3MC30 (5 apr - 27 jun ‘22) •
Mijlpalen managementcycl us (CIO a.i.)
C
• •
Zelf-organiserend is zelf-sturend geworden Rol van bestuurlijke opdrachtgevers pas niet bij een volledig zelfsturende organisatie waarin besluitvorming laag in de organisatie ligt
•
Spoor 5: formalisering en definitieve invulling van afdelingshoofd PA
3MC31 (28 jun - 19 sept ‘22) •
Mijlpalen managementcyclus (CIO a.i.)
3MC32 (20 sept - 12 dec ‘22) •
Stop afdelingshoofd PA a.i.
SvZ
D
P
HRM IV op orde
A
Tactisch besturen
C Doelen:
1. 2. 3. 4.
• •
Aanpak:
Sturingsmodel:
• •
Procesaanpak Inventariseren van externe en externe medewerkers Beoordelen kwaliteit en volledigheid van P-dossiers Uitvoeren strategische HR planning Uitkomsten meenemen in P-gesprekken
• • •
Directeur IV en lijnmanagement IV HR-adviseur Medewerkers IV (intern en extern)
Kwaliteitsborging:
•
Stakeholders:
HRM processen binnen afdeling IV ingevoerd (opzet en bestaan) en geborgd in managementcyclus Inzicht in aanwezige kennis, talenten en competenties van alle IV-medewerkers (internen en externen) Strategische HR planning (internen en externen) en proces ingevoerd en geborgd (opzet en bestaan) HR-administratie, inclusief P-dossiers (intern), zijn 100% op orde
3MC26 (4 mei-26 juli ‘21) Mijlpalen
• • • • •
Start HR adviseur (intern) voor IV (CIO a.i.) Procesafspraak: aanvraag/verlenging pas na akkoord CIO (CIO a.i.) Inventarisatie interne en externe medewerkers (CIO a.i.) Inzicht in alle contractgegevens (extern) (CIO a.i.) Vlootschouw IV (strategische HR planning) (CIO a.i.)
• •
3MC27 (27 juli-18 okt ‘21) • •
• • •
HR proces (o.a. definitie, beschrijving en KPI’s) – opzet (CIO a.i.) HR in managementcyclus en kalender – opzet (CIO a.i.) Beoordeling P-dossiers (HR adviseur) HR domeinen inrichten (R. Koop) Start HR adviseur (inhuur 50%) voor IV (CIO a.i.)
•
• • •
• • •
• •
•
D
A
Operationeel besturen
C
•
Inzicht en overzicht krijgen in internen en externen (kwantiteit, aansturing, kwaliteit etc.) Op basis van deze inzichten uitvoeren van gerichte (bijstuur)acties Grip krijgen op inhuur
•
Procesaanpak: proceseigenaar → proces (opzet)→proces (bestaan) → volledig PDCA-cyclus doorlopen → continu verbeteren Proceseigenaar legt verantwoording af in lijn en rapporteert daarover Indirect sturingsmodel vanuit programma (oa monitoring voortgang en signaleert afwijkingen)
Verwachte strategische keuzes:
•
Niet van toepassing
HR adviseur Kwaliteitsmanagement F&C Directie HRM
Relaties:
•
Spoor 5: huidige HRM situatie moet op orde zijn voor start van spoor 5
3MC28 (19 okt ‘21-10 jan ‘22) •
Rationale:
P
3MC29 (11 jan - 4 apr ‘22)
3MC30 (5 apr - 27 jun ‘22)
3MC31 (28 jun - 19 sept ‘22)
3MC32 (20 sept - 12 dec ‘22)
HR proces ingevoerd – bestaan (CIO a.i.) P-dossiers (intern) 100% op orde (afdelingshoofden PA/IT/Domeinen en CIO a.i.) Overzicht alle rollen minimale kennisen opleidingseisen o.a. IB en privacy (CIO a.i.) Flower-gespreken 100% gevoerd en vastgelegd (incl. afspraken over kennis, houding en gedrag) (afdelingshoofden PA/IT/Domeinen en CIO a.i.) Opleidingsplan 2022 (CIO a.i.) Stop HR adviseur (inhuur 50%) voor IV in dit spoor (CIO a.i.)
SvZ
D
P
Financiën IV op orde
A
Tactisch besturen
C Doelen:
1. 2. 3. 4.
Afdeling IV heeft een transparant opbouw van de kosten die financiële beheersing mogelijk maakt Onderscheid in kosten en in financiële dekking Bestuurlijk opdrachtgevers hebben inzicht in de IV kosten ‘Uitbannen’ van Excel rapportages en administratie voor IV
Rationale:
• • •
Aanpak:
Stakeholders:
Procesaanpak • Proceseigenaar en -manager aanwijzen en direct verantwoordelijk maken • Proceseigenaar en –manager worden inhoudelijk ondersteund vanuit programma
Sturingsmodel:
• • • • •
Kwaliteitsborging:
•
Mijlpalen
• •
•
Directeur IV en lijnmanagement IV i-Controller Directie F&C Directie Assets en operatie Controllers domeinen PA, IT en Domeinen Medewerkers IV (intern en extern)
• • •
Procesaanpak: proceseigenaar (CIO a.i.) → proces (opzet)→proces (bestaan) → volledig PDCA-cyclus doorlopen → continu verbeteren Proceseigenaar legt verantwoording af in lijn en rapporteert daarover Indirect sturingsmodel vanuit programma (oa monitoring voortgang en signaleert afwijkingen)
P D
A
Operationeel besturen
C
Inzicht krijgen in de financiën Inzicht gebruiken voor het beheersen van de financiële middelen en keuzes die gemaakt moeten worden Inzicht noodzakelijk voor financiering van verbeterplan en andere investeringen
Verwachte strategische keuzes:
•
Besluit om 3MC’s beter aan te laten sluiten op reguliere managementcyclus (kalendermaanden) (managementcyclus)
Relaties:
•
Directie Assets en operatie: investeringsbudgetten Assets-PA Spoor 2 - portfoliomanagement: inzicht in kosten en investeringen
•
3MC26
3MC27
3MC28
3MC29
3MC30
3MC31
3MC32
(4 mei-26 juli ‘21)
(27 juli-18 okt ‘21)
(19 okt ‘21-10 jan ‘22)
(11 jan - 4 apr ‘22)
(5 apr - 27 jun ‘22)
(28 jun - 19 sept ‘22)
(20 sep - 12 dec ‘22)
Start I-controller 1 FTE (inhuur) (CIO a.i.) Managementcyclus financiën IV (maand, 3MC en jaar) - opzet (CIO a.i.) Input voor voorjaarsnota (2021 en 2022 grove doorkijk) (CIO a.i.)
• • • • •
IV exploitatiebegroting 2021 (CIO a.i.) IV investeringsbegroting 2021 (CIO a.i.) Input voor najaarsnota okt (aanscherping 2022 en eventuele funding) (CIO a.i.) Architectuurvisie op financiële processen IV irt operationele processen (architectuurboard) Productvision op financiële administratie IV (architectuurboard)
• • • • • • • • •
Integrale IV exploitatiebegroting 2022 (CIO a.i.) Integrale IV Investeringsbegroting 2022 (CIO a.i.) Meerjarig integrale IV exploitatiebegroting (incl. LCM) (CIO a.i.) Meerjarig integrale IV investeringsbegroting (CIO a.i.) Doorbelastingsmodel IV (AGV, Amsterdam en generiek) (CIO a.i.) Financiële benchmark op IV (CIO a.i.) Managementcyclus financiën IV (maand, 3MC en jaar) - bestaan Stop I-controller (inhuur) (CIO a.i.) Financiële rapportages IV (CIO a.i.)
SvZ
D
P
Software ontwikkel- en beheerproces IV op orde
A
Tactisch besturen
C Doelen:
1. 2.
Agile softwareontwikkel- en beheerprocessen zijn eenduidig ingericht, ingevoerd en geborgd (opzet, bestaan en werking). Cybersecurity, privacy, risicomanagement, kwaliteitsmanagement en architectuur zijn geïntegreerd in de Agile softwareontwikkel- en beheerprocessen.
Rationale:
• •
•
Aanpak:
•
Stakeholders:
Mijlpalen
•
•
• • • • • •
•
Afdelingen Domeinen en PA doen eerst een self-assesment en voeren de belangrijke verbeterpunten zelf door Onderzoek door onafhankelijk partij naar Agile softwareontwikkel- en beheerprocessen (opzet, bestaan en werking) met specifieke aandacht voor (risico’s tav) (pen)testen, DoD, chapterss, tooling, productvisions, mastertestplanen, kwaliteitsborging, softwarekwaliteit, metrieken (oa productiviteit), ontwikkelen onder architectuur
Sturingsmodel:
Directeur IV Afdelingshoofd Domeinen Afdelingshoofd PA Medewerkers IV Architectuurboard Directie F&C
Kwaliteitsborging:
• •
• •
Procesaanpak: proceseigenaar (afd.hoofd Domeinen Domeinen en afd.hoofd PA) → proces (opzet)→proces (bestaan) → volledig PDCA-cyclus doorlopen → continu verbeteren Proceseigenaar legt verantwoording af in lijn en rapporteert daarover Indirect sturingsmodel vanuit programma (oa monitoring voortgang en signaleert afwijkingen)
Verwachte strategische keuzes:
Extern onderzoek door onafhankelijke partij Concern Control (directie F&C)
Relaties:
• • • •
• • •
P D
A
Operationeel besturen
C
Toepassen van principes en richtlijnen van security-by-design, privacy-by-design en archivering-by-design in Agile omgeving Continuïteit van de dienstverlening Doel, scope, resultaten en aanpak van extern onderzoek (opdrachtbeschrijving) Richtlijnen omtrent pentesten Richtlijnen omtrent testen (oa. risicogericht testen) Besluiten omtrent tooling en softwarekwaliteit
Spoor 1- ISMS: IB richtlijn voor pentesten (oa systematiek) Spoor 1 - Architectuur functie: richtlijnen Spoor 5: inzicht noodzakelijk voor vorming directie IV
3MC26
3MC27
3MC28
3MC29
3MC30
3MC31
3MC32
(4 mei-26 juli ‘21)
(27 juli-18 okt ‘21)
(19 okt ‘21-10 jan ‘22)
(11 jan - 4 apr ‘22)
(5 apr - 27 jun ‘22)
(28 jun - 19 sept ‘22)
(20 sept - 12 dec ‘22)
Mijlpalen uit stappenplan Domeinen (afdelingshoofd Domeinen) Mijlpalen uit stappenplan PA (afdelingshoofd PA
Interne audit op softwareontwikkelen beheerprocessen (opzet, bestaan en werking) (CC)
Self assessment Domeinen op safe framework (afdelingshoofd Domeinen) Self assessment PA (afdelingshoofd PA)
•
•
•
Invoering verbeterpunten (risicoafweging) uit self assessment (afdelingshoofd Domeinen) Invoering verbeterpunten (risicoafweging) uit self assessment (afdelingshoofd PA) Opdrachtbeschrijving extern assesment (PA en Domeinen) (programmamanager)
• • • • •
Invoering verbeterpunten (risicoafweging) uit self assessment (afdelingshoofd Domeinen) Invoering verbeterpunten (risicoafweging) uit self assessment (afdelingshoofd PA) Eindrapportage extern assesment, inclusief aanbevelingen (programmamanager) Architectuurrichtlijnen Security-by-design, Archivering-by-design, Privacy-by-design (architectuurboard) Stappenplan obv extern onderzoek (afdelingshoofd Domeinen en PA)
•
•
Mijlpalen uit stappenplan Domeinen (afdelingshoofd Domeinen) Mijlpalen uit stappenplan (afdelings hoofd PA)
•
• •
Mijlpalen uit stappenplan Domeinen (afdelingshoofd Domeinen) Mijlpalen uit stappenplan PA (afdelingshoofd PA) Architectuur runway (architectuurboard)
•
•
SvZ
D
P
Contract- en leveranciersmanagement IV op orde
A
P
Tactisch besturen
D
A
Operationeel besturen
C Doelen:
1.
Proces voor contractmanagement (IB breed) is eenduidig ingericht, ingevoerd en geborgd waarbij, op basis van verkregen input, getekende contracten en wijzigingen hierop eenduidig worden vastgelegd, beheerd en bewaakt, met als doel het faciliteren van de volledige benutting van contracten en het genereren van managementrapportages. Proces voor leveranciersmanagement (IB breed) is eenduidig ingericht, ingevoerd en geborgd waarbij de relatie met de leveranciers wordt gemanaged en beheerd en ook de afspraken met en prestaties van de leveranciers in termen van omvang, kwaliteit en kosten.
2.
Aanpak:
• • •
Proceseigenaar en -manager aanwijzen en direct verantwoordelijk maken Procesaanpak Waternet breed inventariseren van alle IV contracten
Sturingsmodel:
• • •
Stakeholders:
Mijlpalen
• • •
Directeur IV en lijnmanagement IV Directie F&C Medewerkers IV (intern en extern)
Procesaanpak: proceseigenaar → proces (opzet)→proces (bestaan) → volledig PDCA-cyclus doorlopen → continu verbeteren Proceseigenaar legt verantwoording af in lijn en rapporteert daarover Indirect sturingsmodel vanuit programma (oa monitoring voortgang en signaleert afwijkingen)
Rationale:
C
• •
Compliance Beheersing van de kosten
•
Contractmanagement proces Waternet breed
Verwachte strategische keuzes:
Kwaliteitsborging:
Relaties:
3MC26
3MC27
3MC28
3MC29
3MC30
3MC31
3MC32
(4 mei-26 juli ‘21)
(27 juli-18 okt ‘21)
(19 okt ‘21-10 jan ‘22)
(11 jan - 4 apr ‘22)
(5 apr - 27 jun ‘22)
(28 jun - 19 sept ‘22)
(20 sept - 12 dec ‘22)
• • •
Contractmanagement proces IV opzet (proceseigenaar) Inventarisatie van alle IV contracten Waternet breed (proceseigenaar) Leveranciersmanagement proces IV - opzet (proceseigenaar)
• •
Contractmanagement proces IV - bestaan (proceseigenaar) Leveranciersmanagemen t proces IV - opzet (proceseigenaar)
•
Alle IV contracten woorden beheerd (proceseigenaar)
SvZ
D
Spoor 5 Fundament voor toekomst vaste IV-directie (incl. cultuur) Onderdelen 1. Toekomst vaste directie IV (fundament)
Toekomstvaste directie IV (fundament) Doelen:
1. 2. 3. 4. 5. 6. 7.
Aanpak:
• •
• Stakeholders:
• • • • • • •
Formele vorming van een directie IV Strategische kader voor sourcing en IV Proces georiënteerde directie IV met PDCA cyclus Een directie IV die bestuurlijke sensitief is Synergie voordelen benutten van het samenvoegen van drie afdelingen (PA, IT en domeinen) Cultuur van aanspreekbaarheid en openheid (o.a. benoemen van problemen) Innovatieproces (onderscheid tussen verbeteren en echt innoveren) Vooruitlopend organisatie- en formatieplan opstarten van een virtueel CIO-office Opstellen van een sourcingstrategie. Sourcingsstrategie bepaalt wat Waternet zelf doet en wat uitbesteedt. Sourcingstrategie is bepalend voor de inrichting van de directie IV Participatie medewerkers in de verdere ontwikkeling – initiatie klankboardgroep
Sturingsmodel:
Bestuur Directie Waternet Directeur IV HR-adviseur Medewerkers IV (intern en extern) OR – open stoel bij klankboardgroep Gemeente Amsterdam
Kwaliteitsborging:
3MC26 (4 mei-26 juli ‘21) Mijlpalen
• •
Voorstel virtueel CIOoffice (CIO a.i.) Start virtuele CIO-office (CIO a.i.) Normen en waarden (cultuur) directie IV (CIO a.i.)
• •
Verantwoordelijkheid en verantwoording ligt in de lijn bij CIO a.i. Indirect sturingsmodel vanuit programma (o.a. monitoring voortgang op mijlpalen, risico’s en signalering van afwijkingen) Vanuit programma wordt de directeur ondersteunt
• •
Waternet kan niet meer zonder IT en OT Benutten van optimaliseringsmogelijkheden over de afdelingen IT, PA en domeinen heen (bv SLM-proces en beleid)
Verwachte strategische keuzes:
•
Wat doe je zelf en wat besteed je uit (sourcingstrategie) Organisatie & formatieplan nieuwe directie IV Checks en balances binnen directie IV (bv postionering van de CIO-office) De wijze waarop je omgaat met innovaties vs. verbeteren – hoe innovatief willen we zijn?
• • •
•
Relaties:
• • •
3MC27 (27 juli-18 okt ‘21) •
•
Rationale:
3MC28 (19 okt ‘21-10 jan ‘22) • • • • •
Sourcingstrategie IV (“wat doet Waternet zelf en wat besteedt ze uit) (CIO a.i.) Missie en visie directie IV (CIO a.i.) Training afdelingshoofden IV en teamleiders IV op verandering (o.a. cultuur) (CIO a.i.) Plan voor verandering cultuur (CIO a.i.) Evaluatie voortgang verbeterplan IV middels PDCA (CIO a.i.)
3MC29 (11 jan - 4 apr ‘22) • • • • •
Proces- en sturingsmodel directie IV Meerjarig opleidingsplan directie IV IV-strategie (IT en PA) (CIOoffice) Strategische uitgangspunten en principes vorming directie IV Start HR adviseur (inhuur 50%) voor IV in dit spoor (CIO a.i.)
3MC30 (5 apr - 27 jun ‘22) •
Concept Organisatie- en formatieplan voor directie IV (CIO a.i.)
Bestuurlijke opdrachtgevers: doelen, kaders etc. Andere directies Waternet: beleid, plannen etc. Spoor 1-Architectuur: EA en DA vormen belangrijke input voor oa sourcingstrategie Bestuurlijk bouwstenen klankboardgroep t.a.v. o.a. innovatie
3MC31 (28 jun - 19 sept ‘22) •
•
Definitief Organisatie- en formatieplan voor directie IV (CIO a.i.) Strategisch personeelsplan (CIO a.i.)
3MC32 (20 sept - 12 dec ‘22) • •
•
Stop virtuele CIOoffice (CIO a.i.) Formele start nieuwe directie IV (fundament) (CIO a.i.) Stop HR adviseur (inhuur 50%) voor IV in dit spoor (CIO a.i.) SvZ
Inhoud
1. Aanleiding 2. Kader en ontwikkelingen 3. Onderzoeken 4. Problematiek 5. Doelstellingen en aanpak 6. Sporen 7. Planning 8. Governance 9. Risicomanagement 10. Begroting 11. Resumé
SvZ
Planning 2021 Spoor 1 Versterken cybersecurity- en architectuurfunctie
3MC26
3MC27
2022
3MC28
3MC29
3MC30
Versterking en invulling rollen cybersecurity-organisatie
3MC31
3MC31
Invoering en borging proces Information Security Management System Invoering en borging architectuur functie (kaders en naleving) Portfoliomanagement gebaseerd op risicoafweging
Spoor 2 Verhogen digitale veiligheid en weerbaarheid
Security Operations Center (SOC) Invoering en borging identiteit- en toegangsbeheer Tijdelijk versterken technische expertise in IV-organisatie
Spoor 3 kennis en bewustzijn cybersecurity
Invoering en borging kennis en bewustzijn cybersecurity
Servicemanagementprocessen op orde Sturing en beheersing
Spoor 4 Bedrijfsvoering IV op orde
HR op orde Financiën op orde Softwareontwikkel- en beheerproces op orde Contract- en leveranciersmanagement IV op orde
Spoor 5 Fundament voor toekomst vaste IVdirectie (incl. cultuur)
Toekomst vaste directie IV (fundament)
SvZ
Inhoud
1. Aanleiding 2. Kader en ontwikkelingen 3. Onderzoeken 4. Problematiek 5. Doelstellingen en aanpak 6. Sporen 7. Planning 8. Governance 9. Risicomanagement 10. Begroting 11. Resumé
SvZ
Programma organisatie
Bestuurlijk afstemmingsoverleg Het “Bestuurlijk afstemmingsoverleg Digitaliseren en Digitale Veiligheid” bestaat uit bestuurders van AGV en Gemeente Amsterdam. Dit bestuurlijk afstemmingsoverleg is primair verantwoordelijk is voor: • prioriteren op basis van toegevoegde waarde, risico’s en kosten; • het programma in lijn houden met deze strategische richting. In dit overleg wordt aan de bestuurders gerapporteerd en vindt afstemming plaats over voorstellen. Besluitvorming geschiedt door B&W en DB en bekrachtiging vindt vervolgens plaats in het Stichtingsbestuur. Het “Bestuurlijk afstemmingsoverleg Digitaliseren en Digitale Veiligheid” wijst de opdrachtgever voor het programma aan: de senior responsible owner. De senior responsible owner is CIO a.i. (Dennis Ravensbergen)
Bestuurlijk afstemmingsoverleg Digitaliseren en Digitale Veiligheid
Directeur IV
Programmamanager Programma bureau
Directeur IV (SRO) De CIO a.i. (senior responsible owner) is de programmaopdrachtgever. Hij is eindverantwoordelijk voor het programma en het programmaresultaat. Programmamanager De programmamanager richt zich op de inrichting en dagelijkse aansturing van het programma.
Project SOC
Adviseurs Programma bureau Een programmabureau is het informatieknooppunt van het programma. Het programmabureau heeft twee basisverantwoordelijkheden, namelijk de ondersteuning van programma, maar ook op controle van projecten en initiatieven. SvZ
Lijnorganisatie en programma organisatie Bestuurlijk afstemmingsoverleg Digitaliseren en Digitale Veiligheid
*: virtueel CISO-office tijdelijk ondergebracht bij directie IV
Programma board Algemeen directeur Waternet
Indirect sturingsmodel door programma
Afdelingshoofd Domeinen
Directeur IV
Directeur Waternet
Virtueel CISO-office *
Afdelingshoofd PA
Direct sturingsmodel door programma Programma manager
Afdelingshoofd IT
Programma bureau
Medewerkers
Medewerkers
Lijnorganisatie
Medewerkers
Project SOC
Adviseurs
Programma organisatie
SvZ
Sturingsmodellen programma • Direct sturingsmodel door programma • Programmamanager stuurt projectleider SOC en het team van adviseurs (processpecialisten) aan • Programmamanager is verantwoordelijk voor behalen projectresultaten SOC • Team adviseurs ondersteunen de proceseigenaren en procesmanagers • Programmamanager is verantwoordelijk voor de kwaliteit, effectiviteit en efficiëntie van de adviseurs
• Indirect sturingsmodel door programma • Proceseigenaar (lijnmanager) is verantwoordelijk voor behalen resultaten (o.a. mijlpalen in verbeterplan), invoeren en borgen veranderingen • Proceseigenaar (lijnmanager) legt in de lijnorganisatie verantwoording af • Programma heeft een adviserende en facilitaire verantwoordelijkheid • Programma monitort op: • mijlpalen uit verbeterplan en risico’s • Of daadwerkelijk nieuwe werkwijze wordt toegepast en vooral of het effect tot stand komt
SvZ
Rapportages • Lijnorganisatie • Maandelijkse managementrapportage • Dienstverlening (Run) • Veranderingen (Change) (alles in indirect sturingsmodel) • Gecascadeerde managementrapportage (afdelingen PA, IT en Domeinen → directie IV)
• Programmamanager • Maandelijkse managementrapportage
• CISO(-office) • Maandelijkse managementrapportage • Vanuit onafhankelijke positie toezicht op de mate waarin de IB bevindingen zijn opgelost
Deze drie rapportagelijnen tezamen geven een volledig beeld van de actuele stand van zaken en de voortgang om te komen tot een digitale veilige situatie
SvZ
Overlegstructuur programma Overleg
Deelnemers
Frequentie
Bestuurlijk afstemmingsoverleg Digitaliseren en Digitale Veiligheid
• • •
Bestuurlijke opdrachtgever Adam Bestuurlijke opdrachtgever AGV Directeur IV
1 x maand
Security overleg WN Amsterdam
• • • • •
Directeur IV CISO a.i. CISO Amsterdam ISO Amsterdam Programmamanager
1 x 2 weken
Stuurgroep SOC
• • • •
Directeur IV (sr. executive) Afdelingshoofd IT en/of PA (sr. user) CISO a.i. Programmamanager (sr. supplier)
1 x maand
Voortgangsoverleg project SOC
• • •
Programmanager Projectleider SOC PMO (programmabureau)
1 x 2 weken
Voortgangsoverleg team adviseurs
• •
Programmanager Team adviseurs
1 x week
Overleg Managementteam IV
• • • • • • •
Directeur IV Afdelingshoofden (PA, IT en domeinen) Programmamanager HR-adviseur Controller i Bestuur adviseur Secretaris/adviseur IV
1 x week
Stand-up Managementteam IV
• • • • • • •
Directeur IV Afdelingshoofden (PA, IT en domeinen) Programmamanager HR-adviseur Controller i Bestuur adviseur Secretaris/adviseur IV
1 x week
Opmerking
Rollen conform Prince2
SvZ
Kwaliteitsborging op en binnen programma Kwaliteitsborging op cybersecurity • Conform IB-beleid • Three lines model
• Externe audit cybersecurity: Q3 2021 en Q4 2022 • Externe audit op proces ISMS: Q2 2022 • Adviseur van bestuur • Gevraagd en ongevraagd advies op programma, projecten of andere activiteiten • Adviseur kan gevraagd en ongevraagd deelnemen aan elk overleg (hij krijgt voor elk overleg een uitnodiging)
• CISO-organisatie Adam • Gevraagd advies/second opinion op oa informatiebeveiligingsbeleid, richtlijnen, security architectuur en gedragsregels
Kwaliteitsborging op financiën en processen • Conform management-cyclus • Interne audits • Externe audit
• Extern assesment op software ontwikkel- en beheerprocessen SvZ
Inhoud
1. Aanleiding 2. Kader en ontwikkelingen 3. Onderzoeken 4. Problematiek 5. Doelstellingen en aanpak 6. Sporen 7. Planning 8. Governance 9. Risicomanagement 10. Begroting 11. Resumé
SvZ
Opmerkingen: •
Risicomanagement programma
• •
In de verschillende processen die in dit verbeterplan worden ontwikkeld/verbeterd, waaronder portfoliomanagementproces en ISMS, wordt de risicomanagement methodiek Waternet geïncorporeerd. Risicomethodiek in bevindingenregister is afgestemd met risicomanager Waternet. Onderstaand overzicht is een momentopname. Door de programmaorganisatie zal actief het risicoregister voor het behalen van de mijlpalen in het verbeterplan worden onderhouden, gestuurd en over worden gerapporteerd.
Risico
Gevolgen
Kans
Impact
Risicoprofiel
Portfolioboard geeft onvoldoende prioriteit aan cybersecurity
•
(Sectorale) norm afspraken worden later gehaald Vertraging in behalen compliance
Hoog
Groot
Hoog
Preventief • Integrale risicoafweging (business en IB) opnemen in portfoliomanagement proces Repressief • Acceptatie van implicaties en (rest)risico’s door systeemeigenaren (directieniveau) en eventueel bestuurlijke opdrachtgevers
•
Maatregelen
Niet alle issues en risico’s mbt cybersecurity zijn in beeld
•
Onjuiste prioritering van risico’s en bijbehorende in portfolioboard
Hoog
Groot
Hoog
Preventief • Vroegtijdig uitvoeren van uitgebreide onafhankelijke audit (incl. technische testen) Repressief • Bevindingen opnemen in bevindingenregister en in brengen in portfoliomanagement proces
Momentum security 'crisis' is verdwenen, organisatie gaat weer terug naar waan van de dag.
• •
Onvoldoende voortgang op mijlpalen Niveau van digitale veiligheid en weerbaarheid te laag
Middel
Groot
Hoog
Preventief • Aanwijzen proceseigenaren die verantwoording in de lijn aflegt • Sturen op voortgang vanuit lijn, vanuit programma actief monitoren op voortgang • Mijlpalen expliciet maken
Niet alle applicaties zijn in beeld bij directie IV. Vooral SAAS applicaties worden door directies zelf aangeschaft
•
Onjuiste prioritering van risico’s en bijbehorende in portfolioboard
Hoog
Middel
Hoog
Preventief • Onderzoek
Onvoldoende financiële middelen, kosten te hoog
•
Programma kan niet (helemaal) worden uitgevoerd Toezeggingen (verbeterplan) aan bestuur en toezichthouder worden niet nagekomen
Middel
Groot
Middel
Preventief • Kosten vooraf, voor zover mogelijk, inzichtelijk maken • Tussentijds bijsturing, op basis van bijvoorbeeld nieuwe inzichten, mogelijk
• Prioriteren en keuzes maken lukt niet
•
Onjuiste prioritering van risico’s
Middel
Groot
Middel
Preventief • Inrichten van portfoliomanagement proces • Prioritering objectiveren door toepassen van onder meer risicomanagement methodiek
Door escalaties mbt de dienstverlening is er minder capaciteit beschikbaar voor het uitvoeren van actie in verbeterplan
•
(Sectorale) norm afspraken worden later gehaald Vertraging in behalen compliance Onvoldoende voortgang op mijlpalen
Hoog
Groot
Hoog
Preventief • Extra verstrekking op technische functies Repressief • Acceptatie van implicaties en (rest)risico’s door systeemeigenaren (directieniveau) en eventueel bestuurlijke opdrachtgevers
Niet/slecht ingevuld krijgen van de functies voor tijdelijke versterking
•
(Sectorale) norm afspraken worden later gehaald Vertraging in behalen compliance Onvoldoende voortgang op mijlpalen
Middel
Groot
Middel
Preventief • Samenwerking opzoeken met gemeente Adam • Netwerk van alle betrokkenen organisaties gebruiken
• •
• •
SvZ
Inhoud
1. Aanleiding 2. Kader en ontwikkelingen 3. Onderzoeken 4. Problematiek 5. Doelstellingen en aanpak 6. Sporen 7. Planning 8. Governance 9. Risicomanagement 10. Begroting 11. Resumé
SvZ
Uitgangspunten • Initiële kostenbegroting voor 2022 wordt bijgesteld in najaarsnota • Reguliere begroting PA, IT en domeinen valt buiten de scope van deze programmabegroting • Bedragen zijn exclusief BTW
SvZ
*: onderstaand overzicht is de financiële samenvatting. Zie bijlage voor de gedetailleerde programmabegroting
Programmabegroting* Totale kosten Algemeen spoor 1 spoor 2 spoor 3 spoor 4 spoor 5 Totaal
2021
2022
Totaal
1.150.000 505.000 2.145.000 150.000 650.000 85.000 4.685.000
1.495.000 700.000 4.405.000 100.000 460.000 300.000 7.460.000
2.645.000 1.205.000 6.550.000 250.000 1.110.000 385.000 12.145.000
SvZ
Inhoud
1. Aanleiding 2. Kader en ontwikkelingen 3. Onderzoeken 4. Problematiek 5. Doelstellingen en aanpak 6. Sporen 7. Planning 8. Governance 9. Risicomanagement 10. Begroting 11. Resumé
SvZ
Projectie onderzoeken op sporen (1/4) Onderzoek
Aanbevelingen (kernpunten)
Borging in programma (hoofdlijnen)
Digitaal beveiligingsonderzoek Accenture
1. CREËER een security organisatiemodel dat bestuurlijke beslissingen kan vertalen in securitymaatregelen en vice versa
Spoor 1 - Versterken en invulling rollen IB-organisatie Spoor 1 - Invoering en borging Information Security Management System (ISMS) Spoor 2 - Portfoliomanagement mede gebaseerd op risicoafweging Spoor 5 - Fundament voor toekomst vaste IV-directie (incl. cultuur)
2. INTENSIFIEER informatiebeveiligings- en bewustwordingstraining.
Spoor 3 - Invoering en borging kennis en bewustzijn cybersecurity
3. DEFINIEER een risicobeoordelingsmodel van informatiebeveiliging.
Spoor 1 - Invoering en borging Information Security Management System (ISMS)
4. INTEGREER informatiebeveiliging in de software ontwikkelingslevenscyclus.
Spoor 1 - Invoering en borging architectuur-functie Spoor 4 - Softwareontwikkel- en beheerproces op orde
5. PRIORITEER de automatisering van identiteit- en toegangsbeheer.
Spoor 2 - Portfoliomanagement mede gebaseerd op risicoafweging Spoor 2 - Invoering en borging identiteit- en toegangsbeheer
6. CONCENTREER op gegevensbescherming en privacy-standaarden.
Spoor 2 - Invoering en borging architectuur-functie Spoor 4 - Softwareontwikkel- en beheerproces op orde
7. VERSTERK het vermogen om cyberaanvallen tijdig te kunnen detecteren en mitigeren
Spoor 2 - Security Operations Center (SOC) Spoor 2 - Portfoliomanagement mede gebaseerd op risicoafweging
Regie door interim CIO
Aanstelling CIO a.i. Aanstelling van een programmamanager
Invoering project portfolio board
Spoor 2 - Portfoliomanagement mede gebaseerd op risicoafweging
Risicolandschap in beeld en inzicht in impact op dienstverlening
Spoor 2 - Portfoliomanagement mede gebaseerd op risicoafweging Spoor 4 - Service management processen (ITSM) op orde
Invoering Risico-level-management
Spoor 2 - Portfoliomanagement mede gebaseerd op risicoafweging Spoor 4 - Service management processen (ITSM) op orde
Aanvullend onderzoek (audit)
Opdracht aan onafhankelijke partij voor onderzoek (Wiard Gorter)
Bevindingen liggen op het vlak van authenticatie, netwerkfiltering en lifecycle-management.
Spoor 2 - Portfoliomanagement mede gebaseerd op risicoafweging Spoor 4 - Service management processen (ITSM) op orde
Status update Stichtingsbestuur – Wiard Gorter
Hoffman
SvZ
Projectie onderzoeken op sporen (2/4) Onderzoek
Aanbevelingen (kernpunten)
Borging in programma (hoofdlijnen)
Onderzoeksrapport Stichting Waternet - ILT
Status implementatie BIO (conclusies) 1. Lage volwassenheids-score. Kwaliteit en herhaalbaarheid van processen beperkt geborgd. 2. Onvoldoende inzicht in hoeverre verbetermaatregelen zijn gerealiseerd. 3. Aanvullende beheersmaatregelen op basis van risicoanalyse zijn nodig
Ad 1 Spoor 1 - Invoering en borging Information Security Management System (ISMS) Spoor 4 - Servicemanagement processen (ITSM) op orde Spoor 4 - Softwareontwikkel- en beheerproces op orde Ad. 2 Spoor 1 - Invoering en borging Information Security Management System (ISMS) Ad 3 Spoor 1 - Invoering en borging Information Security Management System (ISMS) Spoor 2 - Portfoliomanagement mede gebaseerd op risicoafweging
Status implementatie PA (conclusies) 1. Actuele status van verbeterplan nav Audit 2020 onbekend 2. Is het gehanteerde risicoprofiel dat Waternet hanteert representatief 3. Niet of te laat detecteren van ongewenste acties of aanvallen op PA systemen
Ad. 1 Formele reactie via directie Waternet Ad. 2 Spoor 1 - Invoering en borging Information Security Management System (ISMS) Ad 3 Spoor 2 - Security Operations Center (SOC)
Risicoanalyse 1. Volledigheid van onderkennen risico’s, alsmede het effect/werking van genomen maatregelen, wordt niet geborgd
Spoor 1 - Versterken en invulling rollen cybersecurity-organisatie Spoor 1 - Invoering en borging Information Security Management System (ISMS) Spoor 2 - Portfoliomanagement mede gebaseerd op risicoafweging
Verbeter- en evaluatie proces 1. Bij Waternet zijn Check en Act minder goed ontwikkeld 2. Generiek proces voor het oppakken en monitoren van verbeteringen is niet aangetroffen. 3. Mogelijke input voor verbeterproces, bv resultaten pen-testen, worden niet als zodanig gebruikt
Ad. 1 Spoor 1 - Invoering en borging Information Security Management System (ISMS) Spoor 2 - Portfoliomanagement mede gebaseerd op risicoafweging Spoor 1 - Invoering en borging architectuur-functie Spoor 3 - Invoering en borging kennis en bewustzijn cybersecurity Spoor 4 - Servicemanagement processen (ITSM) op orde Spoor 4 - Softwareontwikkel- en beheerproces op orde Ad. 2 Spoor 4 - Interne sturing en beheersing op orde Ad. 3 Spoor 1 - Invoering en borging Information Security Management System (ISMS) Spoor 4 - Softwareontwikkel- en beheerproces op orde
Lifecycle management 1. Kwetsbaarheid door het in het bedrijf hebben van niet meer door de leverancier ondersteunde applicatie en/of systemen
Spoor 4 - Servicemanagement processen (ITSM) op orde
SvZ
Projectie onderzoeken op sporen (2/3) Onderzoek
Aanbevelingen (kernpunten)
Borging in programma (hoofdlijnen)
Onderzoeksrapport Stichting Waternet - ILT
Zonering/kennis van systemen/CMDB 1. Ontbreekt een volledig en compleet assetoverzicht 2. Systeemdocumentatie is up-to-date
Ad 1 Spoor 4 - Servicemanagement processen (ITSM) op orde Ad 2 Spoor 4 - Softwareontwikkel- en beheerproces op orde
Patchmanagement 1. Ontbreken van een rapportage die inzicht geeft in algehele patch/kwetsbaarheidsstatus
Ad 1 Spoor 2 - Security Operations Center (SOC) Spoor 4 - Servicemanagement processen (ITSM) op orde Spoor 4 - Interne sturing en beheersing op orde
Derden-overeenkomsten 1. Onvoldoende borging in het meenemen van security-eisen bij verlenen van opdrachten (nieuwbouw, vervanging, onderhoud) 2. Logische toegangsbeveiliging 3. Processen voor het toekennen en evalueren van toegangsrechten verloopt (grotendeesl) handmatig → rechtenvervuiling
Ad. 1 Spoor 1 - Invoering en borging architectuur-functie Spoor 1 - Invoering en borging Information Security Management System (ISMS) Ad. 2 Spoor 2 - Invoering en borging identiteit- en toegangsbeheer Ad. 3 Spoor 2 - Invoering en borging identiteit- en toegangsbeheer
Logging/monitoring & response 1. Controleren van logging vindt niet vol continu plaats (9ux5) 2. Logging/detectie is nog te beperkt ingericht 3. Onvoldoende uitgewerkte incident-response processen (risico dat onder meer meldingen ihkv meldplicht niet worden gedaan)
Ad. 1 Spoor 2 - Security Operations Center (SOC) Ad 2 Spoor 2 - Security Operations Center (SOC) Spoor 2 - Portfoliomanagement mede gebaseerd op risicoafweging Ad 3 Spoor 4 - Servicemanagement processen (ITSM) op orde
Meldplicht 1. Processen tav meldplicht niet formeel of expliciet vastgelegd
Ad 1 Spoor 4 - Servicemanagement processen (ITSM) op orde
SvZ
Projectie onderzoeken op sporen (3/3) Onderzoek
Aanbevelingen (kernpunten)
Borging in programma (hoofdlijnen)
Tekortkomingen zorgplicht 1. Risicomanagement onvoldoende ingericht. Cyber-gerelateerde risico’s worden laag ingeschat 2. Ontbreken van structurele en periodieke toetsing op bestaan en werking/effectiviteit van maatregelen 3. Ontbreken van structurele (management)rapportages/dashboards over cybersecurity 4. Beperkte opsporingsmogelijkheden icm niet tijdig afhandelen bestaat risico van niet(tijdig) detectie
Ad. 1 Spoor 1 - Invoering en borging Information Security Management System (ISMS) Spoor 1 - Invoering en borging architectuur-functie Spoor 2 - Portfoliomanagement mede gebaseerd op risicoafweging Ad. 2 Spoor 1 - Invoering en borging architectuur-functie Spoor 1 - Invoering en borging Information Security Management System (ISMS) Ad. 3 Spoor 1 - Invoering en borging Information Security Management System (ISMS) Ad 4 Spoor 2 - Security Operations Center (SOC) Spoor 4 - Service management processen (ITSM) op orde
Tekortkomingen meldplicht 1. Ontbreken van procedures voor de meldplicht, in geval van ICT-inbreuk, aan het NCSC
Ad 1 Spoor 4 - Servicemanagement processen (ITSM) op orde
SvZ
Projectie problematiek op sporen (1/5) Problematiek
Aanbevelingen (kernpunten)
Borging in programma (hoofdlijnen)
Algemeen
Bestuurlijke opdrachtgevers onvoldoende in staat gesteld om te kunnen sturen op IV
Spoor 2 - Portfoliomanagement mede gebaseerd op risicoafweging Spoor 4 - Interne sturing en beheersing op orde
Organisatie en sturing is achtergebleven bij belang van IT en OT voor Waternet
Aanstelling CIO a.i. Spoor 4 - Service management processen (ITSM) op orde Spoor 4 - Interne sturing en beheersing op orde Spoor 5 - Fundament voor toekomst vaste IV-directie (incl. cultuur)
Governance (o.a. definiëren van rollen en het toewijzen van deze rollen) rondom IV onvoldoende ingericht
Spoor 2 - Portfoliomanagement mede gebaseerd op risicoafweging
Risicomanagement niet/onvoldoende ingericht waardoor risico’s worden niet of onvoldoende op waarde worden ingeschat
Spoor 1 - Invoering en borging Information Security Management System (ISMS) Spoor 2 - Portfoliomanagement mede gebaseerd op risicoafweging Spoor 3 - Invoering en borging kennis en bewustzijn cybersecurity Spoor 4 - Softwareontwikkel- en beheerproces op orde
Niet alle noodzakelijke kaderstellende richtlijnen (oa. informatiebeveiliging en archivering) beschikbaar en of toepasbaar
Spoor 1 - Invoering en borging architectuur-functie
Gebrek aan bestuurlijke sensitiviteit en communicatielijnen
Spoor 2 - Portfoliomanagement mede gebaseerd op risicoafweging Spoor 5 - Fundament voor toekomst vaste IV-directie (incl. cultuur)
PDCA-cycli zijn vaak niet volledig gesloten (“geen echte cirkels”)
Spoor 1 - Invoering en borging Information Security Management System (ISMS) Spoor 1 - Invoering en borging architectuur-functie Spoor 3 - Invoering en borging kennis en bewustzijn cybersecurity Spoor 4 - Service management processen (ITSM) op orde Spoor 4 - Interne sturing en beheersing op orde
Onvoldoende aandacht voor daadwerkelijke invoering en borging
Aanstelling CIO a.i. Aanstelling van een programmamanager
SvZ
Projectie problematiek op sporen (2/5) Problematiek
Aanbevelingen (kernpunten)
Borging in programma (hoofdlijnen)
Informatiebeveiliging
Niet compliant met vigerend normenkader (IB en privacy)
Spoor 1 - Invoering en borging Information Security Management System (ISMS) Spoor 1 - Invoering en borging architectuur-functie Spoor 2 - Portfoliomanagement mede gebaseerd op risicoafweging Spoor 2 - Security Operations Center (SOC) Spoor 2 - Invoering en borging identiteit- en toegangsbeheer Spoor 2 - Tijdelijk versterking technische expertise in IV-organisatie Spoor 3 - Invoering en borging kennis en bewustzijn cybersecurity Spoor 4 - Service management processen (ITSM) op orde
Opvolging van en sturing op IB-bevindingen (o.a. externe onderzoek) onvoldoende
Aanstelling CIO a.i. Spoor 1 - Versterken en invulling rollen IB-organisatie Spoor 1 - Invoering en borging Information Security Management System (ISMS) Spoor 4 - Interne sturing en beheersing op orde Spoor 5 - Fundament voor toekomst vaste IV-directie (incl. cultuur)
IB-kaders (o.a. beleid en richtlijnen) onvoldoende compleet of toepasbaar
Spoor 1 - Versterken en invulling rollen IB-organisatie Spoor 1 - Invoering en borging Information Security Management System (ISMS)
IB-organisatie onvoldoende ingericht en verantwoordelijkheden niet, onvoldoende, verkeerd of te laag in de Waternet organisatie belegd
Spoor 1 - Versterken en invulling rollen IB-organisatie Spoor 1 - Invoering en borging Information Security Management System (ISMS)
IB-bevindingenregister is van onvoldoende kwaliteit om het als stuurinstrument te kunnen inzetten
Spoor 1 - Versterken en invulling rollen IB-organisatie Spoor 1 - Invoering en borging Information Security Management System (ISMS)
Verwachtingen t.a.v. dienstverlening (service levels) zijn niet/onvoldoende expliciet gemaakt en of met de juiste actor afgesproken
Aanstelling CIO a.i. Spoor 2 - Portfoliomanagement mede gebaseerd op risicoafweging Spoor 4 - Service management processen (ITSM) op orde Spoor 5 - Fundament voor toekomst vaste IV-directie (incl. cultuur)
Continuïteit van sommige IV-diensten is onvoldoende gewaarborgd
Aanstelling CIO a.i. Spoor 4 - Service management processen (ITSM) op orde Spoor 5 - Fundament voor toekomst vaste IV-directie (incl. cultuur)
Op sommige punten achterstallig onderhoud in infrastructuur en applicatielandschap
Spoor 2 - Portfoliomanagement mede gebaseerd op risicoafweging Spoor 4 - Service management processen (ITSM) op orde Spoor 4 - Financiën IV op orde
Dienstverlening
Techniek
SvZ
Projectie problematiek op sporen (3/5) Problematiek
Aanbevelingen (kernpunten)
Borging in programma (hoofdlijnen)
Techniek (vervolg)
Op sommige punten achterstallig onderhoud in infrastructuur en applicatielandschap
Spoor 4 - Service management processen (ITSM) op orde Spoor 4 - Interne sturing en beheersing op orde Spoor 4 - Financiën IV op orde
Onvoldoende overzicht en inzicht in overall status applicatielandschap en infrastructuur en de risico’s die daarbij worden gelopen
Spoor 4 - Service management processen (ITSM) op orde Spoor 4 - Interne sturing en beheersing op orde
Niet alle systeemdocumentatie is aanwezig of up-to-date
Spoor 4 - Service management processen (ITSM) op orde Spoor 4 - Interne sturing en beheersing op orde Spoor 4 - Softwareontwikkel- en beheerproces op orde
Medewerkers ervaren al langere periode een (te) hoge werkdruk
Spoor 2 - Portfoliomanagement mede gebaseerd op risicoafweging Spoor 5 - Fundament voor toekomst vaste IV-directie (incl. cultuur)
Kennisniveau op bepaalde onderdelen is niet bij alle medewerkers voldoende
Spoor 4 - HRM IV op orde Spoor 5 - Fundament voor toekomst vaste IV-directie (incl. cultuur)
Essentiele processen, waaronder service management, niet of onvoldoende ingericht
Spoor 4 - Service management processen (ITSM) op orde Spoor 4 - Softwareontwikkel- en beheerproces op orde
Synergie voordelen van de verschillende afdelingen worden niet benut
Spoor 5 - Fundament voor toekomst vaste IV-directie (incl. cultuur)
Security-by-design, privacy-by-design en archivering-by-design onvoldoende geborgd in alle ontwikkelprocessen
Spoor 1 - Invoering en borging architectuur-functie Spoor 4 - Softwareontwikkel- en beheerproces op orde
Onvoldoende centrale regie op het stellen van prioriteiten en niet vanuit bestuurlijke opdrachtgevers
Spoor 2 - Portfoliomanagement mede gebaseerd op risicoafweging
Keuzes m.b.t. informatievoorziening en informatiebeveiliging worden te laag in de organisatie e/o verkeerde plek gemaakt
Aanstelling CIO a.i. Spoor 2 - Portfoliomanagement mede gebaseerd op risicoafweging Spoor 5 - Fundament voor toekomst vaste IV-directie (incl. cultuur)
Keuzes digitalisering en digitale veiligheid worden onvoldoende expliciet en bestuurlijk gemaakt
Aanstelling CIO a.i. Spoor 1 - Invoering en borging Information Security Management System (ISMS) Spoor 2 - Portfoliomanagement mede gebaseerd op risicoafweging Spoor 5 - Fundament voor toekomst vaste IV-directie (incl. cultuur)
Geen echte keuzes maken, alles tegelijk willen doen en oppakken
Aanstelling CIO a.i.or 1 - Invoering en borging Information Security Management System (ISMS) SvZ Spoor 2 - Portfoliomanagement mede gebaseerd op risicoafweging
Organisatie en processen
Governance op IV
Projectie problematiek op sporen (4/5) Problematiek
Aanbevelingen (kernpunten)
Borging in programma (hoofdlijnen)
Governance op IV (vervolg)
Proces voor een gedegen afweging tussen enerzijds business eisen/wensen en anderzijds informatiebeveiliging/privacy/technical fit/regulier onderhoud is onvoldoende
Spoor 1 - Invoering en borging Information Security Management System (ISMS) Spoor 2 - Portfoliomanagement mede gebaseerd op risicoafweging Spoor 4 - Service management processen (ITSM) op orde
Risico’s en implicaties van IV-keuzes worden onvoldoende expliciet gemaakt
Spoor 2 - Portfoliomanagement mede gebaseerd op risicoafweging Spoor 4 - Interne sturing en beheersing op orde Spoor 5 - Fundament voor toekomst vaste IV-directie (incl. cultuur)
Acceptatie van risico’s en implicaties van een IV-keuze (door de juiste actor) is onvoldoende geborgd
Spoor 2 - Portfoliomanagement mede gebaseerd op risicoafweging
Agile teams zijn te veel zelfsturend door gebrek aan richting vanuit directie en bestuur, eigenaarschap directie onvoldoende
Spoor 4 - Interne sturing en beheersing op orde Spoor 5 - Fundament voor toekomst vaste IV-directie (incl. cultuur)
Eigenaar van (bedrijfs)applicaties vaak niet bekend of op het juiste niveau belegd waardoor sturing door proceseigenaar (business) niet plaatsvindt
Spoor 2 - Portfoliomanagement mede gebaseerd op risicoafweging
Problemen probeert men te lang zelf op te lossen, men moet eerder escaleren
Spoor 4 - Interne sturing en beheersing op orde Spoor 5 - Fundament voor toekomst vaste IV-directie (incl. cultuur)
‘Polderen’ (lang met elkaar spreken zonder snel een besluit te nemen)
Spoor 4 - Interne sturing en beheersing op orde Spoor 5 - Fundament voor toekomst vaste IV-directie (incl. cultuur)
Situaties worden te rooskleurig ingeschat
Spoor 1 - Invoering en borging Information Security Management System (ISMS) Spoor 2 - Portfoliomanagement mede gebaseerd op risicoafweging Spoor 3 - Invoering en borging kennis en bewustzijn cybersecurity
Onvoldoende tegenspraak
Spoor 4 - Interne sturing en beheersing op orde Spoor 5 - Fundament voor toekomst vaste IV-directie (incl. cultuur)
Onvoldoende besef van bestuurlijke dimensies
Spoor 2 - Portfoliomanagement mede gebaseerd op risicoafweging Spoor 5 - Fundament voor toekomst vaste IV-directie (incl. cultuur)
Onvoldoende bewustzijn (Waternet breed) met betrekking tot de informatiebeveiliging
Spoor 3 - Invoering en borging kennis en bewustzijn cybersecurity
Onvoldoende bewustzijn privacy en archivering
Spoor 3 - Invoering en borging kennis en bewustzijn cybersecurity
Cultuur en bewustzijn
SvZ
Projectie problematiek op sporen (5/5) Problematiek
Aanbevelingen (kernpunten)
Borging in programma (hoofdlijnen)
Sturing en beheersing
Rapportages voor bestuurlijke opdrachtgevers niet aanwezig en of “to-thepoint”
Spoor 2 - Portfoliomanagement mede gebaseerd op risicoafweging Spoor 4 - Interne sturing en beheersing op orde Spoor 5 - Fundament voor toekomst vaste IV-directie (incl. cultuur)
Rapportageproces niet ingericht waardoor integraal inzicht en overzicht ontbreekt
Spoor 2 - Portfoliomanagement mede gebaseerd op risicoafweging Spoor 4 - Interne sturing en beheersing op orde Spoor 5 - Fundament voor toekomst vaste IV-directie (incl. cultuur)
Onvoldoende scheiding van en scherpte in rollen/taken (bv kaders en toetsing daarop) en “checks and balances”
Spoor 2 - Portfoliomanagement mede gebaseerd op risicoafweging Spoor 4 - Interne sturing en beheersing op orde Spoor 5 - Fundament voor toekomst vaste IV-directie (incl. cultuur)
Governance en sturing op lopende projecten is niet altijd voldoende
Aanstelling van een programmamanager Spoor 4 - Interne sturing en beheersing op orde
Onvoldoende inzicht in IV kosten om adequaat te kunnen sturen en te beheersen
Spoor 4 - Financiën IV op orde
Ontbreken van een integrale (meerjarige) IV begroting
Spoor 4 - Financiën IV op orde
Financieel mandaat ligt laag in de organisatie, hierdoor ontbreekt eigenaarschap op directie niveau
Spoor 5 - Fundament voor toekomst vaste IV-directie (incl. cultuur)
Financiële middelen om gevraagde dienstverlening te bieden ontbreken
Spoor 4 - Service management processen (ITSM) op orde Spoor 4 - Financiën IV op orde
Financieel
SvZ
Colofon
Auteur:
Marco Jansen 06-54756498
Versie:
1.12
Datum:
22 juni 2021
SvZ
Bijlagen A: afkortingen en definities B: stakeholdermatrix C: structuur IB beleid Waternet D: verdeling verantwoordelijkheden voor identiteit- en toegangsbeheer
Bijlage A: afkortingen Afkorting
Betekenis
EA
Enterprise Architectuur
DO
Domein Architectuur
IAM
Identity and Access Management
IV
Informatie Voorziening
MT IV
Management team IV
OT
Operational Technology
PA
ProcesAutomatisering
PE
Proceseigenaar
PM
Procesmanager
SAFe
Scaled agile framework
SOC
Security Operations Center
SvZ
Bijlage A: definities Term
Definitie
Bestuurlijke opdrachtgevers
Met bestuurlijke opdrachtgevers worden AGV en Gemeente Amsterdam bedoeld
Enterprise architectuur
Architectuur die de huidige en toekomstige organisatiehuishouding en het transformatiepad daartussen beschrijft (“van Ist naar Soll”).
IAM
Identity and Access Management (IAM) is vrij vertaald het beheer om er voor te zorgen dat de juiste "identiteiten" (denk daarbij vooral aan personen of computers), voor de juiste redenen en op het juiste moment toegang krijgen tot de juiste faciliteiten.
In control
In control betekent niet dat alle risico’s en problemen zijn opgelost. Wel dat een proces is ingevoerd en geborgd waarmee risico’s en problemen in beeld zijn, dat essentiële maatregelen getroffen zijn, dat er een (meerjaren)plan is voor elk systeem in een (primair) bedrijfsproces en dat eventuele restrisico’s zijn geaccepteerd door de eigenaar van het (primaire) bedrijfsproces.
Informatievoorziening
De informatievoorziening van een organisatie is het geheel van mensen, middelen en maatregelen, gericht op de informatiebehoefte van die organisatie.
Legacy
Voor architectuur geldt een applicatie als legacy als: • Het “oude” proces wordt ondersteund • De applicatie past niet in de nieuwe architectuur (key platformen oa), niet meer aan eisen kan voldoen • De onderliggende techniek wordt niet meer ondersteund, of ligt achter qua security/onderhoud
Operational Technology
Operational technology is de hard- en software die industriële apparatuur, activa en processen monitort of bestuurt. Denk daarbij bijvoorbeeld aan industriële technologie die de motoren van een waterzuiveringsinstallatie bestuurt.
Programma
Programma’s realiseren een visie; zij focussen zich op het managen van een verandering, van complexiteit en van integratie, en bereiken van baten (business benefits) door middel van concrete én niet-concrete resultaten. Sturing gericht op bereiken strategische doelen
Project
Projecten leveren concrete resultaten, en gebruiken daarvoor een gestructureerde aanpak, en deze resultaten worden geaccepteerd met een vastgesteld acceptatie proces. Sturing gericht op bereiken vooraf bepaalde resultaten (sturingscriteria: Geld, Organisatie, Kwaliteit, Informatie, Tijd)
SAFe
SAFe een soort framework voor grote organisaties waar grote groepen medewerkers samenwerken aan complexe producten in veranderlijke omgevingen. SAFe combineert principes van Lean en Agile
SvZ
Middel
Informeren Journalisten Het Waterschapshuis Unie van Waterschappen VEWIM
Bijdragen Medewerkers Waternet Corporate Control (directie F&C) Risicomanager (directie F&C)
Sturen Wethouder Amsterdam Dijkgraaf Amstel ILT Directieteam Waternet
Consulteren CISO Amsterdam ISO Amsterdam
Participeren
Informatie beschikbaar stellen Bewoners Amsterdam e.o.
Informeren
Laag
Mate van interesse in het project
Hoog
Bijlage B: stakeholdermatrix
Laag
Middel
Hoog
Mate van invloed op project
SvZ
concretisering
Bijlage C: structuur IB beleid Waternet
SvZ
Bijlage D: verdeling verantwoordelijkheden voor identiteit- en toegangsbeheer Afdeling M&O Gebruikersbeheer Beheren van identiteiten van alle interne en externe medewerkers (instroom-doorstroom-uitstroom)
Afdeling
Rollenbeheer Waternet breed Beheren van de rollen die Waternetbreed worden onderkend.
•
Kwaliteitsborging Periodieke controle op: • identiteiten toegekende Waternet brede rollen aan identiteiten
Rollenbeheer afdeling Beheren van de rollen die afdeling specifiek worden onderkend
•
Kwaliteitsborging Periodieke controle op: • Identiteiten toegekende afdeling specifieke rollen aan identiteiten
Eigenaar IV-systeem Rollen beheer IV systeem Eigenaar IV-systeem (oa bedrijfsapplicaties) is verantwoordelijk voor definiëren van de toegangsrechten tot en binnen het IV-systeem (autorisatiematrix).
•
Kwaliteitsborging Periodieke controle op: identiteiten die toegang hebben tot IV-systeem • het toepassen van de autorisatiematrix
Directie IV Provisioning (IAM) Aanmaken/verwijderen van accounts en het toekennen dan wel afnemen van autorisaties voor deze accounts in IV-systemen
Kwaliteitsborging Periodieke controle op: • de geïmplementeerde toegangsrechten (íst) met de geadministreerde toegangsrechten (soll)
SvZ