SB24.09.10D 03 RIB Informatiebeveiligingsbeleid 2024-2026

RAADSINFORMATIEBRIEF ZAAKNUMMER : 07431008957 AAN

: de raad, t.a.v. commissie Samenleving en Bestuur

VAN Namens deze:

: College van B&W : Wethouder L.J.M. van de Moosdijk

DATUM

: 4 juni 2024

ONDERWERP

: Informatiebeveiligingsbeleid 2024 - 2026

Samenvatting De huidige mate van digitalisering vereist de nodige aandacht voor informatiebeveiliging op dat vlak. En met het oog op de Baseline Informatiebeveiliging Overheid (BIO) en de verplichte Eenduidige Normatiek Single Information Audit (ENSIA) is het ontbreken van een actueel informatiebeveiligingsbeleid geen optie. Het bestaande informatiebeveiligingsbeleid is geschreven voor de periode 2021-2023. Hiermee is de houdbaarheidsdatum ervan verstreken en is dit geactualiseerd en opnieuw vastgesteld. Tevens is het beveiligingsplan Suwinet geactualiseerd en opnieuw vastgesteld. Inleiding Verder doorgevoerde digitalisering, hogere mate van afhankelijkheid van (digitale) systemen en strengere wet- en regelgeving stellen andere en hogere eisen aan ons informatiebeveiligingsbeleid. Het vastgestelde beleid gaat mee met deze ontwikkelingen en voldoet daarom beter aan de huidige eisen. In het nieuwe informatiebeveiligingsbeleid: is er meer nadruk gelegd op de samenwerking tussen Informatiemanagement, Privacy en Informatiebeveiliging; zijn bevoegdheden en verantwoordelijkheden van verschillende organisatorische eenheden scherper geformuleerd; wordt er nadrukkelijker gestuurd op PDCA cyclus; wordt er in de gemeentelijke organisatie meer aandacht besteedt aan awareness.

Inhoud bericht In het informatiebeveiligingsbeleid worden richting en kaders vastgesteld waarbinnen de gemeente Asten de komende jaren opereert wat betreft informatiebeveiliging. Zodat activiteiten in de jaarplannen en andere nieuwe projecten bijdragen aan hetzelfde doel en elkaar versterken. Dit is ook getoetst aan het informatiebeleid. Argumenten 1.1 Kwetsbaarheid Gemeente Asten verminderen Updaten van het informatiebeveiligingsbeleid dwingt ons ertoe om na te denken wat de gemeente Asten de komende jaren nodig heeft. Wetende wat er nu aan projecten, (organisatiebreed) en uitdagingen op ons afkomt. Aan de hand daarvan checken we of de kaders in het informatiebeveiligingsbeleid daar nog bij passen.

Onder andere taken, bevoegdheden en verantwoordelijkheden zijn tegen het licht gehouden. Zo kunnen we beter adequaat handelen. En aan de hand van het jaarlijks open vast te stellen jaarplan hebben we een instrument in handen om proactief verbetertrajecten uit te voeren die ook bijdragen aan de vermindering van de kwetsbaarheid. 1.2 Voldoen aan normen De ENSIA toetst in hoeverre de Gemeente Asten voldoet aan de BIO (Baseline Informatiebeveiliging Overheid). Het voldoen aan deze norm is geen doel op zich. Maar een hulpmiddel om scherp te blijven op informatiebeveiliging en een veilige werkomgeving. Vaststellen van het informatiebeveiligingsbeleid en beveiligingsplan Suwinet draagt bij aan deze veilige werkomgeving. 1.2 De organisatie helderheid verschaffen Het genoemde jaarplan geeft inzicht in de activiteiten die we in het betreffende jaar gaan uitvoeren. We hebben daarmee een (project)overzicht waarmee we inzichtelijk hebben wanneer we de organisatie bij projecten moeten betrekken en moeten informeren. 1.3 Een instrument om per jaar te plannen en verantwoording af te leggen Tevens is het jaarplan een sturings- en verantwoordingsinstrument. Het jaarplan wordt voorafgaand van het jaar vastgesteld. Tegen het einde van het jaar wordt teruggeblikt, zodat het jaarverslag en het volgende jaarplan kunnen worden opgesteld. Tevens draagt dit bij aan een pro-actieve houding.

Waarbij we vooraf nadenken over informatiebeveiliging. In plaats van achteraf reparaties te moeten uitvoeren. 2.0 Extra controle op veilig omgaan specifieke set privacy gevoelige gegevens De gemeente Asten maakt voor adresonderzoeken Burgerzaken gebruik van Suwinet inkijk. Omdat deze functionaliteit een set privacygevoelige gegevens bevat, worden er extra eisen gesteld aan het raadplegen ervan. Deze eisen zijn vastgelegd in het beveiligingsplan Suwinet. Jaarlijks toetst een auditor op de naleving ervan. Kanttekeningen en risico’s Het informatiebeveiligingsbeleid richt zich op bescherming van gegevens, wettelijke eisen, risicobeheer en bedrijfscontinuïteit. Daarnaast volgen we trends en ontwikkelingen waar evt. beleid op moet worden gemaakt. Kantekeningen Informatiebeveiligingsjaarplan 2024 In het informatiebeveiligingsbeleid is de bevoegdheid voor het opstellen van een informatiebeveiligingsjaarplan bij het MT belegd. Het Informatiebeveiligingsjaarplan 2024, document 1002647, wordt voor vaststelling naar het MT gestuurd. Meterkastkaart Op het moment dat er een digitale calamiteit plaatsvindt, moet er snel worden gehandeld. Taken en verantwoordelijkheden zijn in het informatiebeveiligingsbeleid vastgelegd. Maar we willen die ook in een stroomschema, en voorzien van werkafspraken en praktische informatie, voorhanden hebben. De uitwerking daarvan is opgenomen in document 1004451.

Artificial Intelligence Het informatiebeveiligingsbeleid bevat geen richtlijnen ten aanzien van AI. Dat zou te specifiek zijn voor beleid. AI is wel een ontwikkeling waar we als gemeente mee te maken hebben. Om die reden wordt er binnenkort een separaat collegevoorstel opgesteld met als voorstel om uitgangspunten vast te stellen die we in acht nemen bij het werken met AI. Sensoren en SmartCity Sensoren spelen een enorme rol in onze maatschappij en hebben een groeiende impact op vele facetten van onze samenleving. Van passantentellers in winkelstraten, tot bijhouden van beschikbare parkeerplaatsen en ook temperatuur- en watermetingen in buurtparken. Deze slimme technologie helpt om te meten, te controleren en te reageren op zaken. Op de schaal van Asten zal de variatie in sensoren beperkter zijn. Indien nodig zal er via een jaarplan een actie hierop worden uitgezet. Risico’s Het informatiebeveiligingsbeleid is opgesteld om drie jaar mee vooruit te kunnen. We opereren in een wereld waar dreigingen steeds meer toenemen en aan verandering onderhevig zijn. Middels een informatiebeveiligingsbeleid en het beveiligingsplan Suwinet voldoen we aan onze plicht om vooraf adequaat maatregelen te nemen. Maar dat is geen garantie dat er geen incidenten plaatsvinden.

Bij incidenten kan er gedacht worden aan: - inbreuk op privacy van inwoners; - verstoring van de dienstverlening; - verminking of misbruik van gegevens. met mogelijk financiële schade (claims, boetes en mislopen van inkomsten) en imagoschade als gevolg. Vervolg De concrete uitvoering vindt plaats in het Informatiebeveiligingsjaarplan 2024, en de daarna op te stellen jaarplannen. Input voor deze nog op te stellen jaarplannen zijn: jaarverslagen informatiebeveiliging; input van de auditor naar aanleiding van de ENSIA; nieuwe wet- en regelgeving. Bijlage Naam

Document nummer

1.

Informatiebeveiligingsbeleid 2024 - 2026 gemeente Asten

1002646

2.

--

3.

--

4.

--

3/3