Voortgangsbrief aanbevelingen I-domein november 2022.pdf

Raadsinformatiebrief

Aan:

De leden van de gemeenteraad van Amsterdam 1 november 2022 Portefeuille(s) ICT en Digitale Stad Portefeuillehouder(s): Shula Rijxman Behandeld door Directie Digitale Strategie en Informatie, Bestuurszaken.DII@Amsterdam.nl Datum

Onderwerp

Voortgangsbrief aanbevelingen I-domein

Geachte leden van de gemeenteraad,

Met deze brief informeert het college u over het volgende.

Op basis van het jaarverslag worden jaarlijks door ACAM, en vervolgens door de Rekeningencommissie, aanbevelingen gedaan aan het college. Het betreft dan punten die, volgens de Rekeningencommissie, verbetering behoeven. Als het college de aanbevelingen overneemt dient de organisatie de verbeteringen door te voeren. Een deel van de aanbevelingen betreft het I-domein, in totaal gaat het daarbij om elf aanbevelingen over de periode 2018-2021. Gebleken is dat de monitoring op de voortgang van de aanbevelingen te wensen overlaat. Daarom is afgesproken dat in de najaarsnota en het jaarverslag een monitor wordt opgenomen waarin onder meer duidelijk wordt of een aanbeveling is afgedaan of niet, en dat jaarlijks in de vakcommissie de voortgang van de aanbevelingen wordt behandeld aan de hand van een “voortgangsbrief”. Dat is de brief die nu voorligt. Het betreft de voortgang van alle openstaande aanbevelingen voor het I-domein over de periode 2018-2021. Sommige aanbevelingen komen in meerdere jaren voor, dan zijn ten behoeve van het overzicht de oudere aanbevelingen samengevoegd met de meest recente. Op de volgende pagina is een overzicht van alle openstaande aanbevelingen opgenomen. Op de pagina’s daarna wordt de stand van zaken per aanbeveling behandeld. Hierbij is enige technische terminologie noodzakelijk, maar ik heb geprobeerd het leesbaar te houden.

Gemeente Amsterdam, raadsinformatiebrief

Datum 1 november 2022 Pagina 2 van 13

Aanbevelingen In het verslag van de Rekeningencommissie en/ of het accountantsverslag bij de jaarverslagen 2018-2021 zijn de volgende aanbevelingen opgenomen: Nr.

Aanbeveling

2018-3

Beheersing IT-landschap en voldoen aan wet- en regelgeving met betrekking tot informatiebeveiliging en privacy wekt zorgen Ontwikkelingen in ICT Infrastructuur en Idomein Naleven wet en regelgeving op gebied van informatiebeveiliging en privacy en autorisatiebeheer Risicomanagement I-domein, Business Continuity Management Voldoen aan wet- en regelgeving voor I(V)domein/ Het niet voldoen aan wet en regelgeving voor het I(V)-domein is zorgelijk

2019-8 2019-9

2020-11 2020-12

2020-13

Stedelijke IV-werkproces autorisatiebeheer

2020-14

Cloud-strategie, inzicht in SaaS oplossingen/ Inzicht in SaaS-toepassingen nog steeds beperkt, actie op korte termijn noodzakelijk

2021-4 2021-5

Uitbesteding IT-diensten vraagt aandacht Afbouw Datacenter 1 (DC1) loopt en kan nog niet volledig worden afgerond Business Continuity Management (BCM) is nog niet structureel geborgd Openbaarheid

2021-6 2021-7

Bron aanbeveling Rek.cie. p.3.3, blz.6 ACAM p.5.2, blz. 25 ACAM p. 5.1, blz.32

Status

ACAM p. 5.2 en 5.3, blz.33

Samengevoegd met 2020-12

ACAM p 4.1, blz. 29 ACAM p 4.2, blz. 30 Rek.cie. p 1, blz. 3 ACAM p 4.3, blz. 32 ACAM p 4.4 blz. 33 Rek.cie. p 1, blz. 4 ACAM pag. 24 ACAM pag. 26

Samengevoegd met 2021-6 Voortgang

ACAM pag. 27

Voortgang

ACAM pag. 53

Afgedaan

Samengevoegd met 2020-12

Afgedaan

Voortgang Voortgang

Voortgang Voortgang

In deze voortgangsbrief wordt de follow-up over de voortgang van de aanbevelingen behandeld. Eerdere update In de vergadering van de Tijdelijke Algemene Raadscommissie op 9 juni 2022 is de laatste voortgangsbrief over de aanbevelingen over het I-domein behandeld.

Een routebeschrijving vindt u op amsterdam.nl

Gemeente Amsterdam, raadsinformatiebrief

Datum 1 november 2022 Pagina 3 van 13

Voortgang en afhandeling Hieronder de voortgang c.q. afhandeling van de aanbevelingen. Per aanbeveling zijn de belangrijkste aandachtspunten vermeld, incl. status (afgehandeld, samengevoegd of geplande afhandeling), met daaronder een korte toelichting. Aanbeveling 2018-3, Beheersing IT-landschap en voldoen aan wet- en regelgeving met betrekking tot informatiebeveiliging en privacy wekt zorgen Aandachtspunten: (status: √ staat voor afgehandeld, => staat voor samengevoegd, anders planning afhandeling)

a) b)

c) d) e) f)

Aandachtspunten AVG (Algemene Verordening Gegevensbescherming) op orde Voldoende intern tegengewicht organiseren om adequaat toezicht te kunnen houden op de juiste naleving van afspraken en de werking van SaaS oplossingen De geconstateerde bevindingen rondom de ICT beheerprocessen oplossen Prioriteit geven aan het voldoen aan wet- en regelgeving op het gebied van informatiebeveiliging en bescherming van gegevens De keuze voor SaaS op het juiste niveau beleggen Expliciete kaders opstellen voor de toepassing van SaaS-oplossingen

Status => 2023, => √ √ √ √

Ad. a): Zie aanbeveling 2020-12 op pagina 5. Ad. b): Per 5 oktober is van alle applicaties die het I-domein beheert inzichtelijk en centraal geregistreerd wat voor soort (SaaS)-applicatie dit is (SAAS: Software-as-a-Service, dit is software die als een online dienst wordt aangeboden). Eind Q4 van 2022 is dit ook het geval voor de overige applicaties die nog bij de lijndirecties in beheer zijn. Vanuit het I-domein wordt er toegepast beleid ontwikkeld op het gebied van SAAS om hiermee adequaat beheer en regie in te richten op onze SAAS-leveranciers. In 2023 zal worden getoetst of onze systemen hieraan voldoen en zullen de acties worden ondernomen om de samenwerking met en het conformeren aan dit beleid door de leveranciers te borgen. Voorgesteld wordt dit aandachtspunt toe te voegen aan aanbeveling 2021-4 (pagina 7) die over SaaS-diensten gaat. Ad. c): Door de reorganisatie van het I-domein is een einde gekomen aan de versnippering van de IV-organisatie (IV staat voor Informatie Voorziening) en haar beheerprocessen. In de huidige situatie gelden uniforme beheerprocessen voor de gehele organisatie. Bovendien vindt er integratie en standaardisatie van de processen plaats. Uiteraard worden de beheerprocessen permanent geactualiseerd waar nodig, zie o.a. het autorisatiebeheer.

Een routebeschrijving vindt u op amsterdam.nl

Gemeente Amsterdam, raadsinformatiebrief

Datum 1 november 2022 Pagina 4 van 13

Ad. d): De prioriteit is gegeven via het BIO-programma 2021-2023 (BIO staat voor Baseline Informatiebeveiliging Overheid, het normenkader voor informatiebeveiliging binnen alle overheidslagen), inrichten en diverse acties inzake gegevensbescherming zoals het verwerkingsregister dat wordt geactualiseerd en in onderhoud genomen (2021/2022), het prioriteren (2022) en doorlopend uitvoeren van DPIA’s (Data Protection Impact Assessment, een privacy-gerelateerde risicoanalyse) en de maatregelen die daar uit voortkomen, vaststellen en (mogelijk maken van) de uitvoering van bewaartermijnen en de inrichting van de privacy/security functies in het I-domein. De status en prioriteit komt terug in de jaarlijkse bestuurlijke rapportages. Ad. e): Het college heeft een cloudstrategie vastgesteld waarmee organisatieonderdelen (met advies vanuit het I-domein) kunnen bepalen voor welke mate van uitbesteding (SAAS of geen SAAS) wordt gekozen. Ad. f): Voor SAAS-oplossingen gelden geen specifieke kaders maar de algemene inkoopvoorwaarden van Amsterdam. Daarin zijn landelijke eisen (GIBIT, Gemeentelijke Inkoop bij IT Toolbox, een hulpmiddel van de VNG) meegenomen en daarvan maakt de standaard verwerkersovereenkomst deel uit. Aantoonbare naleving aan gemeentelijke eisen is daarin meegenomen, audit-verplichtingen zijn standaard. Aanbeveling 2019-8, Ontwikkelingen in ICT Infrastructuur en I-domein

a) b)

Aandachtspunten Ontwikkeling I-domein o.b.v. bestuursopdracht Infrastructuur (ICT-dienstverlening) blijven vernieuwen en de eisen die daaraan gesteld worden

Status √ √

Ad. a): Op basis van de door het college op 19 mei 2020 vastgestelde rapportage over de bestuursopdracht is een traject van organisatieverandering ingezet. Het college heeft daar op 21 december 2021 het besluit over genomen. Per 1 juli 2022 is de reorganisatie afgerond, waarbij 10 door de organisatie verspreide organisatieonderdelen zijn samengebracht in één cluster Digitalisering, Innovatie & Informatie (DII) onder leiding van de CIO. Het directieteam DII stuurt op de verdere ontwikkeling en op de samenhang met de businessdirecties. Ad. b): Op basis van de bestuursopdracht is ook invulling gegeven aan het “moderne ICT- en datafundament”. Het belangrijkste element daarin is de overgang naar de cloud, zie aanbeveling 2020-14 op pagina 6. Verder is de uitrol van de nieuwe Amsterdamse Digitale Werkomgeving in 2022 van start gegaan. Dit is feitelijk het sluitstuk van de uitbesteding van de ICT-infrastructuur. Met de strategische partners waarmee wordt samengewerkt zijn/worden afspraken gemaakt om de ICT-dienstverlening blijvend te vernieuwen.

Een routebeschrijving vindt u op amsterdam.nl

Gemeente Amsterdam, raadsinformatiebrief

Datum 1 november 2022 Pagina 5 van 13

Aanbeveling 2019-9, Naleven wet- en regelgeving op gebied van informatiebeveiliging en privacy en autorisatiebeheer

a) b) c)

Aandachtspunten AVG op orde BIO op orde implementatie van het stedelijk IV-proces autorisatiebeheer voor alle processen en systemen

Status => => 2023, =>

Ad. a): Zie aanbeveling 2020-12 op pagina 5. Ad. b): Zie aanbeveling 2020-12 op pagina 5. Om de BIO te implementeren is een stedelijk programma opgezet. Daarin werken alle 55 directies aan het in kaart brengen van risico’s en het implementeren en borgen van maatregelen. Het programma loopt door tot en met 2023. Ad. c): Zie aanbeveling 2020-13 op pagina 6. Er is een standaardproces voor autorisatiebeheer opgesteld en vastgesteld. Op dit moment is dit proces geïmplementeerd bij alle bij het I-domein in beheer zijnde applicaties. Ook is de monitoring hierop verzorgd. Nu gaan we aan de slag om dit proces ook verder bij de lijndirecties te implementeren voor de applicaties die daar in beheer zijn, dat zal tot eind 2023 lopen. Aanbeveling 2020-11, Risicomanagement I-domein, Business Continuity Management Aanbeveling samengevoegd met de (recentere) aanbeveling 2021-6, zie pagina 8. Aanbeveling 2020-12, Voldoen aan wet- en regelgeving voor I(V)-domein/ Het niet voldoen aan wet en regelgeving voor het I(V)-domein is zorgelijk

a) b)

Aandachtspunten Verder op orde brengen van basis en training bewustwording AVG Risico’s m.b.t. non-compliancy AVG/BIO opnemen in Naris

Status √ 2023

Ad. a): Er zijn basis e-learnings ontwikkeld voor alle medewerkers die voorzien in basiskennis over informatiebeveiliging en privacy. Er loopt een traject om die verplicht te stellen, zodat elke nieuwe medewerker de e-learnings binnen drie maanden na indiensttreding heeft gevolgd. Het volgen van zo’n basistraining is een verplichting vanuit de BIO. Ad. b): In 2022 is een programma opgezet waarmee de risico’s ten aanzien van informatiebeveiliging, privacy en informatiebeheer in het stedelijke

Een routebeschrijving vindt u op amsterdam.nl

Gemeente Amsterdam, raadsinformatiebrief

Datum 1 november 2022 Pagina 6 van 13

risicomanagementsysteem worden opgenomen waarmee het stellen van prioriteiten wordt ondersteund. De invoering van een nieuw systeem in 2022 biedt daarvoor de mogelijkheid. De inrichting zal eind 2022 gereed zijn, de organisatie start begin 2023 met het vullen van het register. Ik heb u op 14 juli 2022 de rapportages van de Functionaris Gegevensbescherming (FG), Chief Information Security Officer (CISO) en Gemeentearchivaris (GA) aangeboden. De aanbevelingen van deze functionarissen hangen nauw samen met de bovengenoemde aanbevelingen van Rekeningencommissie en ACAM. In de bijlage bij deze brief vindt u de aanbevelingen van FG, CISO en GA, incl. een korte stand van zaken m.b.t. de realisatie daarvan. Aanbeveling 2020-13, Stedelijke IV-werkproces autorisatiebeheer

a) b)

Aandachtspunten Neem de uitkomsten uit het rapport autorisatiebeheer expliciet mee in het programma IAM-next Voer de periodieke review uit zoals voorgeschreven in de stedelijke IV werkprocessen autorisatiebeheer

Status 2023 Q4 ‘22

Ad. a): Het programma IAM-Next (IAM staat voor Identity and Access Management, de administratie van gebruikers en hun toegangsrechten op applicaties en systemen) heeft voor alle ‘medewerkers’ via Nieuwe ADW (Amsterdamse Digitale Werkplek) een moderne IAM oplossing geïmplementeerd. Tevens worden koppelingen en SingleSign-on (SSO) verder uitgerold (geplande oplevering Q2-2023). Ook treffen we voorbereidingen om IAM geschikt te maken voor andere gebruikers, zoals Burger, Ondernemer, Bezoeker en Internet of Things (IoT), hetgeen een goede basis vormt voor het vervolg traject van het IAM-Next programma in 2023. Ad. b): Review vindt op dit moment plaats en is eind kalenderjaar gereed voor de applicaties die in beheer zijn bij het I-domein. Aanbeveling 2020-14, Cloud-strategie, inzicht in SaaS oplossingen/ Inzicht in SaaStoepassingen nog steeds beperkt, actie op korte termijn noodzakelijk

a) b) c) d)

Aandachtspunten Cloud strategie Inzicht in het gebruik van SaaS Risico- en compliance kaders voor SaaS- en andere clouddiensten te realiseren (tijdelijke) beheersingsmaatregelen treffen die risico’s rond SaaS- en andere clouddiensten mitigeren

Een routebeschrijving vindt u op amsterdam.nl

Status √ => 2023 2023

Gemeente Amsterdam, raadsinformatiebrief

Datum 1 november 2022 Pagina 7 van 13

Ad. a): Het college heeft op 19 april 2022 ingestemd met de cloudstrategie 2022-2025 en de raadscommissie FKD heeft deze op 29 september 2022 besproken. In de cloudstrategie 2022-2025 wordt de voorkeur voor public cloud toegelicht. Ook is het uitgangspunt opgenomen dat we standaardsoftware afnemen als Software-as-aService (SaaS) en niet als software die we zelf moeten beheren. De organisatie is erop aangepast, o.a. door het gespecialiseerde cloud competence center. De komende jaren worden stap voor stap verbeteringen doorgevoerd zoals beschreven in de Eindrapportage Bestuursopdracht I-domein. Ad. b): Zie aanbeveling 2021-4 punt b op pagina 7) Ad. c): (deels gelijk aan 2018-3, zie de tekst op pagina 3). Specifiek voor clouddiensten zijn een cloud security framework en een privacy security framework ontwikkeld en vastgesteld, waarmee het Amsterdamse cloudplatform wordt beheerst. Dit framework richt zich ook op de toepassingen die op dit cloudplatform worden geïmplementeerd. De risico’s rondom het gebruik van cloud worden in kaart gebracht. Hierover ontvangt de raad een brief. Wat betreft de risico- en compliancy-kaders van het cloudplatform kan worden gemeld dat deze gereed zijn en volledig geïmplementeerd. De scope van deze kaders is zowel het platform zelf als het gebruik dat van het platform wordt gemaakt. Afwijkingen van de kaders worden vastgelegd. Ad.

d): Binnen het I-domein (directie Digitale Voorzieningen) is een goed inzicht in de SAASsystemen die onze kritische processen ondersteunen. Ook is er een 24x7 piket ingeregeld over de gehele beheerketen. Op dit moment vindt er een inventarisatie plaats van alle beheerverantwoordelijken in de lijndirecties. Aanbeveling 2021-4, Uitbesteding IT-diensten vraagt aandacht

a) b)

Aandachtspunten Assurance-rapporten IT-beheerprocessen uitbesteed aan externe dienstverleners (afspraken met leveranciers, leveranciersmanagement) Nog geen compleet inzicht bestaat in afgenomen SaaS-diensten

Status 2023 Q4 ‘22

Ad. a): Met de vier strategische partners (Sogeti, Atos-Motiv, KPN en Telindus) zijn er afspraken over de assurance-rapporten. Deze worden jaarlijks ontvangen en beoordeeld, onduidelijkheden worden besproken, er wordt gerapporteerd aan CIO en CISO via de risk-rapportage. Voor de overige (SaaS-)leveranciers zijn assurance-rapporten verplicht via de standaard verwerkersovereenkomst, maar nog niet alle leveranciers komen dit na. Zij zullen daar op worden aangesproken, zodat naar verwachting in 2023 dit punt op orde zal zijn.

Een routebeschrijving vindt u op amsterdam.nl

Gemeente Amsterdam, raadsinformatiebrief

Datum 1 november 2022 Pagina 8 van 13

Ad. b): Vanuit onze centrale registratie hebben we dit inzicht voor de applicaties die in beheer zijn bij het I-domein per oktober van dit jaar. Voor de applicaties niet in beheer bij het I-domein is het streven om dit inzicht eind dit jaar te hebben. Aanbeveling 2021-5, Afbouw Datacenter 1 (DC1) loopt en kan nog niet volledig worden afgerond

a) b) c)

Aandachtspunten Afbouw Datacenter-1 nog niet volledig afgerond (Erfpacht) Uitwijkvoorzieningen voor resterende applicaties Datacenter-1 Aandacht voor lifecycle management

Status 2023 2023 2023

Ad. a) Het verplaatsen van applicaties van het verouderde eigen datacenter naar een modern datacenter zal goeddeels in 2022 worden afgerond. Er zijn 60 applicaties gemigreerd en 190 applicaties vervangen en uitgefaseerd. In Q4 zullen de laatste opruimacties worden uitgevoerd, m.u.v. het project voor eDepot dat een vertraging heeft tot 31 maart 2023. Er is één uitzondering, t.w. de applicaties m.b.t. Erfpacht. De vervanging van deze applicaties loopt een traject tot 2024. Ad. b) Omdat de Erfpacht-applicaties nog tot 2024 in ons oude datacenter blijven draaien, hebben we uitwijkmaatregelen getroffen voor de continuïteit bij calamiteiten in dit datacenter. Als onderdeel van de ingebruikname van deze uitwijkvoorziening is een (technische) test uitgevoerd om de werking te verifiëren. Dit betreft echter geen formele uitwijktest; deze moet nog plaats vinden, onder verantwoordelijkheid van het Programma Erfpacht zelf. Ad. c): Met Life Cycle Management (LCM) wordt beheer, onderhoud, vernieuwing en uitzetten van applicaties planmatig opgepakt, rekening houdend met de ouderdom van de applicaties. Dat gebeurt nu via de uitrol van de nieuwe werkplek (nieuwe ADW). Parallel wordt een programma geschreven om LCM structureel voor alle applicaties in te richten. Dit zal in 2023 zijn beslag krijgen. Aanbeveling 2021-6, Business Continuity Management (BCM) is nog niet structureel geborgd

a)

Aandachtspunten Geef meer aandacht aan het onderwerp business continuity management en borg dit structureel in de organisatie

Status 2023

Ad. a): In 2021 is hiermee gestart. In 2022 wordt een BCM’er aangesteld en wordt het plan om BCM structureel te borgen verder uitgewerkt. In 2022 is een start gemaakt met het periodiek uitvoeren van crisisoefeningen in het digitale domein.

Een routebeschrijving vindt u op amsterdam.nl

Gemeente Amsterdam, raadsinformatiebrief

Datum 1 november 2022 Pagina 9 van 13

Aanbeveling 2021-7, Openbaarheid

a)

Aandachtspunten Neem beleidsvoornemens inzake de uitvoering van de Woo op in de jaarlijkse begroting (naast de openbaarheidsparagraaf in het jaarverslag)

Status √

Ad. a): Het college heeft in de begroting 2023 een openbaarheidsparagraaf opgenomen. Hierin staat beschreven hoe we uitvoering geven aan de wet c.q. beleidsvoornemens die we hebben als gemeente Amsterdam. De openbaarheidsparagraaf is onderverdeeld in drie onderwerpen namelijk passieve openbaarheid, actieve openbaarheid en informatiebeheer. Daarnaast worden er ook doelen genoemd. Deze worden nader uitgewerkt in de voorjaarsnota 2023. Het college is voornemens om ook in het jaarverslag van 2022 een openbaarheidsparagraaf toe te voegen. Afgedaan Op grond van het bovenstaande constateer ik dat:  De aanbevelingen 2018-3, 2019-9 en 2020-11 zijn samengevoegd met meer recente aanbevelingen en dus kunnen vervallen  De aanbevelingen 2019-8 en 2021-7 zijn afgedaan  En dat de overige openstaande aanbevelingen naar verwachting in 2023 zullen worden afgerond.

Ik vertrouw erop u hiermee voldoende te hebben geïnformeerd over de voortgang van deze aanbevelingen.

Met vriendelijke groet, Namens het college van burgemeester en wethouders van de gemeente Amsterdam,

Shula Rijxman Wethouder ICT en digitale stad

Een routebeschrijving vindt u op amsterdam.nl

Gemeente Amsterdam, raadsinformatiebrief

Datum 1 november 2022 Pagina 10 van 13

BIJLAGE Hieronder de aanbevelingen van de FG, de CISO en de GA (nauw samenhangend met de desbetreffende aanbevelingen van Rekeningencommissie en ACAM) en de stand van zaken daarvan.

Funct. FG-1

FG-2

FG-3

CISO-1

Aanbeveling en status Breng de ‘basis op orde’. Dit omvat o.a. de structurele borging van het onderhoud van het verwerkingsregister en de opvolging van de maatregelen die met een risicoanalyse (DPIA) zijn vastgesteld. Het op orde brengen van de basis voor gegevensbescherming wordt risico gebaseerd uitgevoerd, zie FG-3. Het betreft verschillende onderwerpen die bij alle directies spelen. Actualisatie en publicatie van het verwerkingsregister zal in 2023 worden afgerond. De directies OOV en GGD hebben een eigen privacy organisatie ingericht, dat versnelt het op orde brengen van de basis aldaar. Vergroot het bewustzijn rondom gegevensbescherming, zorg voor meer zichtbaarheid en effectiviteit van het bestaande programma ‘Weet wat je deelt’ en waar mogelijk synergie met andere programma’s. Er zijn basis e-learnings ontwikkeld voor alle medewerkers die voorzien in basiskennis over informatiebeveiliging en privacy. Er loopt een traject om die verplicht te stellen, zodat elke nieuwe medewerker de e-learnings binnen drie maanden na indiensttreding heeft gevolgd. Het volgen van zo’n basistraining is een verplichting vanuit de BIO. Draag zorg voor de invulling van het operationeel risicomanagement, waarmee geïnformeerd kan worden gestuurd.

In 2022 is een programma opgezet waarmee de risico’s ten aanzien van informatiebeveiliging, privacy en informatiebeheer in het stedelijke risicomanagementsysteem worden opgenomen waarmee het stellen van prioriteiten wordt ondersteund. De invoering van een nieuw systeem in 2022 biedt daarvoor de mogelijkheid. De inrichting zal eind 2022 gereed zijn, de organisatie start begin 2023 met het vullen van het register Er wordt verder ingezet op het verhogen van digitale weerbaarheid en voldoen aan wet- en regelgeving. Het stedelijk risicomanagementsysteem wordt vernieuwd en uitgebreid met risicobeheersing voor informatie. Hierdoor is het vanaf 2022 mogelijk om op stedelijk niveau beter inzicht te krijgen in de mate van beheersing van informatiebeveiligingsrisico’s en in hoeverre wordt voldaan aan wet- en regelgeving Digitale weerbaarheid: binnen het programma BIO wordt gemeentebreed gewerkt aan digitale weerbaarheid. Dit krijgt daarnaast aandacht door implementatie van nieuwe voorzieningen (nieuwe Amsterdamse digitale

Een routebeschrijving vindt u op amsterdam.nl

Gemeente Amsterdam, raadsinformatiebrief

CISO-2

CISO-3

CISO-4

GA-1

Datum 1 november 2022 Pagina 11 van 13

werkomgeving, Cloudplatform, nieuwe IAM voorziening, uitfasering van het eigen datacenter). Zie verder FG-2 Risicomanagement: zie FG-3 In voorgaande jaren is er te weinig voortgang geweest op het vlak van continuïteitsmanagement. Er wordt een BCM-manager aangesteld (BCM staat voor Business Continuity Management), die als opdracht heeft om de plannen/acties op dit gebied uit te werken en daarmee de continuïteit van de ICT-voorzieningen te borgen In 2021 is hiermee gestart. In 2022 wordt een BCM’er aangesteld en wordt het beleid / plan om BCM structureel te borgen verder uitgewerkt. In 2022 is een start gemaakt met het periodiek uitvoeren van crisisoefeningen in het digitale domein. De gemeente heeft strategische uitdagingen en ambities in de informatievoorziening om het ‘Eigen huis op orde’ te brengen, digitaal te transformeren en datagedreven te werken. In het I-domein vinden veel vernieuwingen plaats; zo is een nieuwe toekomstbestendige Amsterdamse Werkplek (ADW) ontwikkeld, die in 2022 wordt uitgerold naar alle medewerkers, en is een transformatie gestart naar het werken ‘in de cloud’, met mobiele apparatuur, en naar standaardisatie, opgavegericht en wendbaar werken. Daarbij wordt het uitgangspunt “security by design” gehanteerd De nieuwe Amsterdamse werkplek is gereed en wordt momenteel uitgerold.

Het cloudplatform is gerealiseerd en wordt nu gebruikt voor het ontwikkelen van toepassingen. Migratie van bestaande toepassingen naar dit nieuwe (veilige) platform loopt. Bij het opgavegericht en wendbaar werken wordt informatiebeveiliging expliciet meegenomen bij ontwerp, bouw en implementatie van processen en systemen. De gemeente Amsterdam participeert actief in landelijke overleggen met de VNG en landelijke toezichthouders om toe te werken naar een praktisch volwassenheidsmodel voor informatiebeveiliging, waarop de ENSIA-methodiek moet gaan aansluiten. Daarmee kunnen gemeenten beter hun ambities en feitelijke status qua volwassenheid rapporteren In 2023 wordt dit volwassenheidsmodel landelijk uitgewerkt. Maak werk van informatiebeheer in de Amsterdamse Digitale Werkplek 3 (ADW3): maak richtlijnen voor het controleren van de duurzaam toegankelijke omgang met informatie in de nieuwe digitale werkplek. Controleer in verschillende fases de kwaliteit van de werkomgeving De uitrol van nieuwe ADW biedt de gelegenheid om de informatiehuishouding structureel te verbeteren met gestructureerde opslag van informatie, verbeterde zoekmogelijkheden, richtlijnen voor medewerkers en een toolkit om dit te ondersteunen. Binnen het Programma Nieuwe ADW vereist dit expliciete

Een routebeschrijving vindt u op amsterdam.nl

Gemeente Amsterdam, raadsinformatiebrief

GA-2

GA-3

GA-4

Datum 1 november 2022 Pagina 12 van 13

aandacht voor metadatering, vernietiging en archivering van informatie. Er wordt onderzocht wat nodig is aan extra capaciteit bij de verdere uitrol, implementatie, adoptie en aanvullend beheer bij alle andere directies in 2023 en verder. Nieuwe ADW is een onderwerp binnen het op orde krijgen van de informatiehuishouding. In Q4 zal een plan daarvoor worden besproken in het College. Maak heldere en werkbare richtlijnen voor berichtenapps: let op de openbaarheid en archiveerbaarheid van tekstberichten uit berichtenapplicaties Berichten (Signal, WhatsApp en SMS) van oud-wethouders uit de vorige collegeperiode zijn veiliggesteld, hetzij via een aanpak zoals Capstone, hetzij via nadere afspraken. Openbaarheid, archiveerbaarheid en doorzoekbaarheid van berichten zijn aandachtspunten binnen het op te stellen integraal beleid voor mail- en berichtenverkeer zoals bedoeld bij GA-3. Parallel met de uitrol van de nieuwe ADW wordt onderzocht wat nodig en haalbaar is ten aanzien van de toegankelijkheid, doorzoekbaarheid en beheer van ongestructureerde informatie op G-schijven, in mailboxen en in berichtenapps.

Maak e-mailarchivering makkelijker: maak op basis van de beschikbare selectielijst voor e- mailarchivering, heldere en werkbare richtlijnen voor mailarchivering Er is een positief advies van de Gemeentearchivaris voor het aansluiten van de Gemeente Amsterdam bij de ontwerp-selectielijst voor e-mailbewaring op basis van Capstone methodiek. Besluitvorming moet nog plaatsvinden en zal moeten leiden tot een daarmee samenhangende implementatie van een integraal nieuw beleid voor mail- en berichtenverkeer. Parallel met de uitrol van de nieuwe ADW wordt onderzocht wat nodig en haalbaar is ten aanzien van de toegankelijkheid, doorzoekbaarheid en beheer van ongestructureerde informatie op G-schijven, in mailboxen en in berichtenapps. Maak vernietiging mogelijk: zoek oplossingen voor vernietiging in protocol, proces en/of vakapplicatie Onderdeel van het onder GA-1 genoemde plan voor informatiehuishouding op orde (Q4 bij College) is een aanpak voor beheer en achterstallige vernietiging van informatie in DMS'en en taakapplicaties. Parallel met de uitrol van de nieuwe ADW wordt onderzocht wat nodig en haalbaar is ten aanzien van de toegankelijkheid, doorzoekbaarheid en beheer van ongestructureerde informatie op G-schijven, in mailboxen en in berichtenapps.

Een routebeschrijving vindt u op amsterdam.nl

Gemeente Amsterdam, raadsinformatiebrief

GA-5

Datum 1 november 2022 Pagina 13 van 13

Sluit aan op de behoeften vanuit de business: beleg de rollen, taken en bevoegdheden voor het informatiebeheer van organisatie zodat er structureel vormen van beheer en kwaliteitsmanagement plaatsvindt Zie FG-3. Het risicomanagement en kwaliteitsmanagement gaat over de business en vereist business nabijheid, wat zich doorvertaalt naar de rollen en taken die worden benoemd in het nieuwe risicomanagementsysteem.

Een routebeschrijving vindt u op amsterdam.nl