3.9-Memo Managementletter 2020
Tekst van het document
Gemeente In-control
Overlap
Graag denken wij tijdig met u mee over de gevolgen van de BIO voor de interne beheersing van de processen.
* = De BIO-normen zijn overgenomen uit het document ‘Baseline Informatiebeveiliging Overheid v1.04’ en hier kunnen geen rechten aan ontleend worden.
DASHBOARD
AANDACHTSPUNTEN
INTERNE CONTROLE
SIGNIFICANTE PROCESSEN
IT-BEHEERSING
BIJLAGEN
5.4 IT-audit | Benchmark Overheid
28
Wij hebben een benchmark ontwikkeld welke uw scores afzet tegen het gemiddelde van onze klanten binnen de Overheidssector. Een impressie van deze benchmark is hier weergegeven.
Op basis van onze kennis en inzichten die wij hebben opgedaan bij de uitvoering van IT audits, hebben wij een benchmark ontwikkeld. Deze benchmark geeft inzicht in de IT audit uitkomsten van uw organisatie afgezet tegen het gemiddelde van 50 BDO-klanten binnen de overheidssector. Bovendien laat deze benchmark zien hoe uw organisatie zich heeft ontwikkeld op het gebied van IT-beheersing over de afgelopen jaar. Hierin is een score van 1 tot en met 5 per norm weergegeven, waarbij BDO een score van minimaal 4 toereikend acht. Deze pagina geeft een korte impressie van onze interactieve benchmark. Graag presenteren wij u de aanvullende inzichten en gaan wij met u in gesprek over het vervolg. * De norm periodieke review
DASHBOARD
AANDACHTSPUNTEN
INTERNE CONTROLE
SIGNIFICANTE PROCESSEN
IT-BEHEERSING
BIJLAGEN
5.5 Ontwikkelingen en risico’s van cloudoplossingen
“The cloud is just someone else’s computer”
Digitale overheid
Cloud computing is niet zonder risico’s
Cloud computing is inmiddels stevig ingeburgerd bij overheidsinstanties en wordt steeds innovatiever toegepast, denk aan Smart Cities. Steeds meer overheidsinstanties gaan over tot het opstellen van grondige cloudstrategieën.
Transitie naar cloud Een veel voorkomende valkuil is het onderschatten van de datamigratie en het realiseren van de aansluiting van de cloud op bestaande oplossingen. Dit resulteert in hogere kosten dan begroot. Daarnaast vergt de ‘nieuwe’ regierol op ICT wezenlijk andere competenties dan het traditioneel functionerend houden van de ITomgeving.
Inmiddels gebruikt ruim driekwart van de organisaties een hybridcloud- of multi-cloud-model. Deze modellen bieden de voordelen van cloud computing, maar streven tegelijkertijd na de hieruit voortkomende risico’s te mitigeren. Te denken valt hierbij aan risico’s op het gebied van cybersecurity en dataprivacy, maar ook aan overmatige afhankelijkheid van leveranciers. De voortgaande digitalisering gaat geen enkel organisatieproces voorbij. Ook de inrichting en het beheer van de IT-infrastructuur niet; in toenemende mate wordt de infrastructuur softwaredefined. Beschikbaarheid van IT blijft derhalve kostbaarder worden. Dit onderstreept te meer de noodzaak van het in staat zijn om data binnen korte tijd volledig te kunnen herstellen. Public cloud-leveranciers bieden hiertoe kwalitatief goede mogelijkheden.
DASHBOARD
29
AANDACHTSPUNTEN
INTERNE CONTROLE
Leverancier ‘lock-in’ Ook neemt de afhankelijkheid van leverancier ten opzichte van onpremise software toe. Dit kan zich in geval van gebrekkige governance uiten in onverwacht hoge kosten en hogere drempels om van leverancier te wisselen. Informatiebeveiliging en privacy Een ander groot risico is dat de data onvoldoende beveiligd is. Als gegevens onvoldoende beveiligd zijn kunnen ze gehackt worden of in handen komen van derden met enorme imagoschade en boetes als gevolg. Ook is vaak onbekend waar de data wordt opgeslagen. Het kan dus zo zijn dat uw data wordt opgeslagen in een land waar ze het niet zo nauw nemen met de privacywetgeving.
SIGNIFICANTE PROCESSEN
IT-BEHEERSING
BIJLAGEN
5.5 Ontwikkelingen en risico’s van cloudoplossingen
“The cloud is just someone else’s computer”
De 7 aandachtsgebieden van cloud Wij hebben zeven aandachtsgebieden geformuleerd om grip te houden op cloudrisico’s: 1. Cloud Governance: Duidelijke afstemming en vastlegging van verantwoordelijkheden tussen uw organisatie en de cloudleverancier zijn belangrijk om efficiënte bedrijfsvoering en informatiebeveiliging te borgen in de processen. Heldere afspraken omtrent performance, processen en escalaties met de cloudleverancier en een exit procedure zijn key; 2. Access Management: Toegang tot de cloudoplossing heeft u meestal zelf in beheer. Een helder proces zorgt ervoor dat medewerkers alleen toegang hebben tot de data die zij nodig hebben voor hun functie en dat ongeautoriseerde personen er niet bij kunnen; 3. Compliance: Het gebruik van cloudoplossingen is steeds meer aan regels gebonden, ook in internationale context. Een overzicht van welke cloudoplossingen u gebruikt en in welke landen de data wordt opgeslagen en verwerkt helpt u om te bepalen welke wet- en regelgeving op uw organisatie van toepassing is;
30
6. Network Security: Er moet een veilige verbinding zijn met de cloudoplossing zodat verkeer niet onderschept kan worden. Penetratietesten helpen u om zowel externe als interne kwetsbaarheden op te sporen; 7. Security Monitoring: Een SOC- of SIEM-oplossing monitort verdacht verkeer en rapporteert over verdachte events, zodat u op de hoogte bent wat in uw IT-omgeving plaatsvindt. Graag gaan wij met u in gesprek over de status van cloud binnen uw organisatie en wat voor effect dit heeft en/of kan hebben op de interne beheersing en continuïteit van de dienstverlening.
Cloud governance
Cloud techniek
5. Secure Configuration: Voorkomen is beter dan genezen: het veilig configureren van cloudsystemen helpt u om uw bedrijfsvoering veilig te houden. De systemen in de cloud worden veilig geconfigureerd volgens geldende standaarden en periodiek geëvalueerd;
AANDACHTSPUNTEN
INTERNE CONTROLE
Leveranciers management
Compliance
SAAS
4. Leveranciersmanagement: Als regieorganisatie dient u actief de dienstverlening, performance, beveiliging en kosten van uw belangrijkste cloudleveranciers te monitoren. Dat kan bijvoorbeeld door het opvragen, beoordelen en opvolgen van service level rapporten en assurancerapporten;
DASHBOARD
Access management
Governance
SIGNIFICANTE PROCESSEN
PAAS
IAAS
Secure configuration
Network security Security monitoring
IT-BEHEERSING
BIJLAGEN
31
A. Overzicht detailbevindingen
A. Detailbevindingen
32
ONDERWERP
OBSERVATIE
IMPLICATIE
AANBEVELING
REACTIE GEMEENTE
1. Formaliseren procesbeschrijvingen
De organisatie heeft voor verschillende processen beschrijvingen gemaakt waar taken en verantwoordelijkheden in zijn uiteengezet. Deze procesbeschrijvingen zijn niet geformaliseerd.
Taken en verantwoordelijkheden zijn niet geformaliseerd waardoor verantwoordelijkheden mogelijk onduidelijk zijn. Daarnaast zijn de leemtes ten aanzien van de interne beheersing binnen de processen niet inzichtelijk waardoor risico’s onvoldoende worden ondervangen en de kans/omvang op materiële fouten in de jaarrekening wordt vergroot.
Wij adviseren de organisatie om de procesbeschrijvingen te formaliseren, intern aan betrokken functionarissen kenbaar te maken en te bespreken.
Richting het ‘in control statement’ dat vanaf 2021 verplicht wordt voor decentrale overheden zullen wij de procesbeschrijvingen, zoals wij die nu beschreven hebben, actualiseren en vast laten stellen door de directie van de ABGorganisatie.
2. Interne controle werkzaamheden
De organisatie heeft een intern controleplan opgesteld. Dit intern controleplan wordt niet consequent nageleefd. Daarnaast is de verbijzonderde interne controle onderdeel van de afdeling Financiën en control waardoor er geen sprake is van een onafhankelijke functionaris. Tussentijds worden bevindingen niet formeel gerapporteerd en inzichtbare opvolging van de bevindingen niet duidelijk waarneembaar.
Hierdoor bestaat het risico dat er onvoldoende opvolging wordt gegeven aan leemtes in de administratieve organisatie en interne beheersing. Daarnaast bestaat het risico dat getrouwheidsfouten en rechtmatigheidsfouten niet tijdig worden geadresseerd en geëvalueerd.
Wij adviseren de organisatie om een intern controleplan op te stellen en na te leven gericht op het beheersen van de administratieve organisatie en interne beheersing. Daarnaast adviseren wij om de plaats van de verbijzonderde interne controle in de organisatie te heroverwegen gericht op een onafhankelijke uitoefening van deze functie. Tevens adviseren wij om per uitgevoerde controle een rapportage op te stellen die met de procesverantwoordelijke wordt besproken en waaruit opvolging van de bevindingen blijkt.
Voor 2020 is een intern controleplan vastgesteld. Richting het ‘in control statement’ dat vanaf 2021 verplicht wordt voor decentrale overheden, zullen wij het intern controleplan actualiseren. Daarbij zullen wij de organisatie van de interne controle tegen het licht houden. Het advies om een rapportage op te stellen op basis van de uitgevoerde controles nemen wij over en zullen wij met ingang van 2021 effectueren.
DASHBOARD
AANDACHTSPUNTEN
INTERNE CONTROLE
SIGNIFICANTE PROCESSEN
IT-BEHEERSING
BIJLAGEN
A. Detailbevindingen
33
ONDERWERP
OBSERVATIE
IMPLICATIE
AANBEVELING
REACTIE GEMEENTE
3. Controle memoriaalboekingen
De controle op memoriaalboekingen wordt uitgevoerd op basis van het vierogenprincipe. Deze controle wordt echter niet afgedwongen door Key2Financiën.
Het risico bestaat dat middels memoriaalboekingen belangrijke processen en functiescheidingen worden doorbroken. Hierdoor neemt het risico op fraude en fouten toe.
Wij adviseren de organisatie om deze controlemaatregel in te bedden in de financiële administratie om de volledigheid van de gekozen procedure te waarborgen.
Memorialen zijn op te splitsen in twee soorten. Enerzijds betreft het boekingen die voortkomen uit andere systemen dan het financiële systeem, zoals uitkeringenadministratie. De juistheid en volledigheid van dergelijke boekingen wordt vastgesteld door het maken van de aansluiting tussen de verschillende systemen. Anderzijds kennen we de reguliere memorialen. De reguliere memorialen betreffen voornamelijk administratieve boekingen in het jaarrekeningtraject. Denk hierbij aan boekingen met betrekking tot reserves, voorzieningen, etc. Deze boekingen worden aangeleverd door de financiële adviseurs en worden verwerkt op de financiële administratie. Tijdens de werkzaamheden van de accountant in het jaarrekeningtraject worden deze boekingen gecontroleerd. Het technisch inbedden van controles in het boekhoudpakket is naar onze mening niet werkbaar. Wij achten de risico’s erg klein en zijn daarom van mening dat de huidige werkwijze verantwoord is.
4. Interne risico-analyse en fraude-analyse
De organisatie kent geen procedure omtrent het opstellen en evalueren van een (fraude)risico-analyse. Deze is dan ook niet geformaliseerd. In de risico-analyse kunnen ook fiscal risico’s meegenomen worden.
Het risico bestaat dat risico’s niet tijdig worden geadresseerd en dat er daarmee ook niet tijdig op risico’s kan worden ingespeeld.
Wij adviseren de organisatie om jaarlijks een risico-analyse op te stellen en deze intern te bespreken gericht op het verhogen van de interne beheersing van de organisatie.
De frauderisicoanalyse stellen wij in 2021 op. De analyse zullen wij jaarlijks actualiseren.
DASHBOARD
AANDACHTSPUNTEN
INTERNE CONTROLE
SIGNIFICANTE PROCESSEN
IT-BEHEERSING
BIJLAGEN
A. Detailbevindingen
34
ONDERWERP
OBSERVATIE
IMPLICATIE
AANBEVELING
REACTIE GEMEENTE
5. Naleven wet- en regelgeving Europese aanbestedingsrichtlijnen
Wij hebben vastgesteld dat de organisatie verschillende maatregelen heeft getroffen voor het waarborgen naleven wet- en regelgeving Europese aanbestedingsrichtlijnen. Wij zien echter geen preventieve controlemaatregel die dit risico mitigeert.
Wij stellen vast dat de organisatie gebruik maakt van een inkoopadviseur voor wat betreft aanbestedingstrajecten. Daarnaast stellen wij vast dat er jaarlijks een spendanalyse wordt uitgevoerd om risico’s ten aanzien van de Europese aanbestedingsrichtlijnen te mitigeren. Wij zien echter dat het gebruik maken van de inkoopadviseur niet voor alle opdrachten wordt afgedwongen. Daarnaast betreft de jaarlijkse controle middels de spendanalyse een repressieve controlemaatregel.
Wij adviseren de organisatie om aan de voorkant van het proces een maatregel in te bouwen waarbij een advies voor nieuwe projecten van een inkoopadviseur wordt afgedwongen boven een normbedrag. Daarnaast adviseren wij om periodiek een spendanalyse te maken om gerealiseerde kosten per project te monitoren en mogelijk ook bij te sturen in het geval dit noodzakelijk is.
Op dit moment wordt het inkoop- en aanbestedingsbeleid geactualiseerd. In het nieuwe inkoopbeleid heeft de inkoopadviseur een duidelijkere positie gekregen in het inkoop- een aanbestedingsproces. Wij zullen toetsen en rapporteren op de naleving van het inkoopproces. Zoals nu al gebruikelijk is, zullen wij tweemaal per jaar een spendanalyse uitvoeren.
6. Consistente procedure omtrent vastlegging en onderbouwing prestatielevering bij inkopen
Wij hebben vastgesteld dat er geen consistente procedure bestaat omtrent het vaststellen van prestaties wat betreft de inkopen ten aanzien van het vaststellen of inkopen rechtmatig zijn.
In het geval er geen controle plaatsvindt op de prestatie wat betreft ingekochte producten of diensten, bestaat het risico dat inkopen onrechtmatig zijn betaald.
Wij adviseren om de verantwoordelijkheden binnen het inkoopproces te formaliseren gericht op functiescheiding tussen budgethouder en controle van prestaties. Daarnaast gericht op het consistent uitvoeren van de controle op prestatieverklaringen voor inkopen.
In 2021 zullen wij de routing van inkoopfacturen in de applicatie Key2Fin zodanig inrichten dat functiescheiding binnen het proces is gewaarborgd.
7. Sociaal domein - JGZ
De aansturing en coördinatie van de uitvoering van de jeugdzorg is over gebracht van de regio WBO (Gemeente Breda) naar Hart van Brabant (gemeente Tilburg) (in mandaat). Voor de doorlopende contracten zijn tijdelijke maatwerkovereenkomsten gesloten om de continuïteit van de zorg te borgen.
Ten aanzien van de maatwerkovereenkomsten zijn geen duidelijke afspraken gemaakt over een eventuele productieverantwoording voorzien van controleverklaring. De gemeente heeft daarmee mogelijk onvoldoende onderbouwing ten aanzien van het recht op zorg (bij doorverwijzingen) en prestatielevering.
Wij zijn reeds in overleg met uw medewerkers om te komen tot een sluitende controleaanpak (intern en extern). Afhankelijk van de resterende onzekerheid ten aanzien van prestatielevering na ontvangst van de productieverantwoordingen en de vastgelegde evaluatiegesprekken met leveranciers kunnen mogelijk nog enquêtes nodig zijn om de onzekerheid tot een acceptabel laag niveau terug te brengen.
In het kader van de jaarrekeningcontrole 2020 zullen wij deze bevinding samen met de accountant verder vormgeven.
8. Sociaal domein - Wmo
De prestatielevering op client/ factuur niveau wordt niet preventief gecontroleerd.
Afhankelijk van de evaluaties met leveranciers, afhandeling van klachten en ontvangen productieverantwoordingen voorzien van een goedkeurende controleverklaring kan er mogelijk een onzekerheid blijven bestaan ten aanzien van de prestatielevering.
Wij zijn reeds in overleg met uw medewerkers om te komen tot een sluitende controleaanpak (intern en extern). Afhankelijk van de resterende onzekerheid ten aanzien van prestatielevering na ontvangst van de productieverantwoordingen en de vastgelegde evaluatiegesprekken met leveranciers kunnen mogelijk nog enquêtes nodig zijn om de onzekerheid tot een acceptabel laag niveau terug te brengen.
In het kader van de jaarrekeningcontrole 2020 zullen wij deze bevinding samen met de accountant verder vormgeven.
DASHBOARD
AANDACHTSPUNTEN
INTERNE CONTROLE
SIGNIFICANTE PROCESSEN
IT-BEHEERSING
BIJLAGEN
A. Detailbevindingen
35
ONDERWERP
OBSERVATIE
IMPLICATIE
AANBEVELING
REACTIE GEMEENTE
9. Vaststellen subsidie niet binnen de vastgestelde termijnen
Tijdens onze interimcontrole is vastgesteld dat niet altijd tijdige vaststelling plaatsvindt van beschikte subsidies in het voorgaande boekjaar. Conform de geldende subsidieverordening van de gemeente dienen subsidies uiterlijk op 1 juli in het opvolgende boekjaar vastgesteld te worden.
Het risico is aanwezig dat subsidiegelden onrechtmatig worden verstrekt.
Wij raden u aan om het proces rondom vaststelling van subsidies te versnellen en dit plaats te laten vinden binnen de termijnen welke door de Raad zijn meegegeven in de subsidieverordening.
Wij onderkennen de ‘niet tijdige vaststelling’ van enkele subsidies. De vaststellingsdata worden gedeeld met de behandelaars, maar er wordt tot op heden geen controle uitgevoerd of de daadwerkelijke data gehaald worden. Vanaf 2021 zullen wij strakker gaan sturen op dit proces.
10. Volledigheid opgelegde aanslagen door Brabant Water (riool- en afvalstoffenheffing)
Het opleggen van riool- en afvalstoffenheffing is uitbesteed aan Brabant Water. We hebben geconstateerd dat geen controle plaatsvindt op de volledigheid van de wijzigingen in objecten en subjecten die aan Brabant Water worden doorgegeven.
Risico dat opgelegde aanslagen niet volledig zijn.
We adviseren de gemeente gedurende het jaar een controle uit te voeren op volledigheid van de wijzigingen in objecten en subjecten die aan Brabant Water worden doorgeven. Door Brabant Water wordt wel vastgesteld of zij alle wijzigingen die zij hebben doorgekregen hebben verwerkt, maar niet of de gemeente ook alle benodigde wijzigingen heeft doorgeven.
Wij onderkennen het door de accountant geconstateerde risico en zullen met prioriteit het controleproces voor wat betreft de riool- en afvalstoffenheffing actualiseren en vervolgens toezien op de naleving van het proces.
11. Betalingsbevoegdheden Rabobank
Tijdens onze interim hebben we vastgesteld dat de betalingsbevoegdheden binnen de Rabobank te ruim ingeregeld zijn. De 2 bevoegde medewerkers hebben namelijk de mogelijkheid om zelfstandig betalingen aan te maken en uit te voeren tot een bedrag van € 50.000.
Hierdoor bestaat het risico dat er onrechtmatige gelden uit de organisatie uitstromen.
Aanbevolen wordt om de betalingsbevoegdheden te beperken voor de medewerkers en altijd een 2de handtekening benodigd te laten zijn.
Wij kunnen ons vinden in de aanbeveling van de accountant en zullen de aanpassingen doorvoeren in het online bankieren van de Rabobank.
12. Niet altijd aanwezig zijn van vierogenprincipe in mutaties crediteurenstamgegevens voor het Sociaal Domein
We hebben niet bij alle mutaties in crediteurenstamgegevens kunnen vaststellen dat sprake is geweest van scheiding tussen muteren en controleren.
Hierdoor ontstaat het risico op onrechtmatige betalingen sociaal domein
Wij adviseren om in te richten dat altijd sprake is van vierogenprincipe bij het wijzigen en autoriseren van crediteurenstamgegevens binnen Suites voor het Sociaal Domein.
Het vierogenprincipe is deels ingericht in het systeem. Wij zorgen ervoor dat de inrichting dusdanig wordt aangepast dat het vierogenprincipe altijd van toepassing wordt bij dergelijke mutaties.
DASHBOARD
AANDACHTSPUNTEN
INTERNE CONTROLE
SIGNIFICANTE PROCESSEN
IT-BEHEERSING
BIJLAGEN
36
B. Detailbevindingen IT
Detailbevindingen IT
Bevinding
37
PROCEDURE AUTORISATIEBEHEER & PERIODIEKE CONTROLE OP JUISTHEID INGERICHTE AUTORISATIES
Gerelateerde BIO-normen:
KANS: Middel
9.2.1 | 9.2.2.1 | 9.2.5.1 Jaar van constatering
2020
9.2.2.2 | 9.2.3.1
IMPACT: Middel
We hebben geconstateerd dat de volgende controles aanwezig zijn: Voor 1 gebruiker vastgesteld dat de aanvraag voor toekennen en intrekken structureel wordt vastgelegd in het ticketsysteem; Voor 1 gebruiker vastgesteld dat de juiste autorisaties worden toegekend door middel van het toekennen van een functiegroep o.b.v. de functie in de aanvraag. Vastgesteld op basis van inspectie en observaties rondom de procedure autorisatiebeheer dat: Autorisaties worden toegekend naar inzicht van de applicatiebeheerder. En niet op basis van een formele normpositie, die goedgekeurd is door het management van de ABGorganisatie. Blokkering van gebruikers welke uitdienst gaan, gebeurt niet altijd tijdig. Bij de betreffende willekeurig geselecteerde uitdienstreder vastgesteld dat de uitdienstdatum lag op 1-9-2020 en het ticket naar Equalit voor verwijdering/blokkering verstuurd en verwerkt is op 15-11-2020. Dit komt neer op een periode van ongeveer anderhalve maand. Wij hebben vastgesteld dat er geen aantoonbare structurele periodieke review (tijdens of achteraf) is uitgevoerd op: De juistheid van toegekende rollen/rechten; Actualiteit van gebruikers (wanneer uitdienst).
Voor S4SD en GISVG hebben wij vastgesteld dat er gedurende het boekjaar geen aantoonbare structurele periodieke review is uitgevoerd op De juistheid van toegekende rollen/rechten; Actualiteit van gebruikers (wanneer uitdienst).
Risico/Gevolg
Door het ontbreken van adequate naleving op gebruikersbeheerprocedures bestaat het risico dat personen te veel of onterechte rollen/rechten bezitten en hierdoor de functiescheidingsprincipes mogelijk doorbroken kunnen worden met het risico op ongeautoriseerde handelingen. Tevens bestaat het risico dat een medewerker na uitdiensttreding toegang behoudt tot de betreffende applicaties en hierin transacties kan uitvoeren.
Ons advies/ Uw aanvullende werkzaamheden
Het verdient de aanbeveling om een formele normpositie voor de Key2Financiën, S4SD en GISVG op te stellen welke applicatie overstijgend is zodat de belangrijkste gewenste functiescheidingsprincipes zichtbaar zijn gemaakt. Om administratieve lasten te voorkomen raden we aan om voornamelijk te focussen op de belangrijkste functiescheidingen in de systemen. In navolging hierop raden we aan om dit jaarlijks vooraf door het management te laten goedkeuren, zodat dit organisatie-breed wordt gedragen en baseline biedt. Aan de hand van deze normpositie dienen de verzoeken tot het aanvragen en muteren van gebruikers met rollen en rechten beoordeeld te worden alvorens deze autorisatiegroep/rechten worden toegekend. Tevens verdient het de aanbeveling om een periodieke review (bijv. halfjaarlijks, jaarlijks) uit te voeren waarin achteraf tegen de bovengenoemde normpositie wordt nagegaan of gebruikers te veel rollen/rechten toegekend hebben gekregen. Daarnaast zou u op basis van de uitdienstlijst periodiek een controle kunnen uitvoeren om na te gaan of alle uitdiensttreders (tijdig) zijn geblokkeerd voor de applicaties in scope.
Reactie management/ Opvolging
DASHBOARD
De periodieke review wordt nu uitgevoerd en vastgelegd door de functioneel beheerders. Tevens zal de procedure op korte termijn worden beschreven en vastgesteld.
AANDACHTSPUNTEN
INTERNE CONTROLE
SIGNIFICANTE PROCESSEN
IT-BEHEERSING
BIJLAGEN
Detailbevindingen IT
Bevinding
38
Gerelateerde
IDENTIFICATIE VAN GEBRUIKERS
KANS: Middel
BIO normen: Jaar van constatering
2020 (geen bevinding)
9.2.1.1 & 9.2.1.2
IMPACT: Laag
Wij hebben vastgesteld dat aanwezige niet-persoonsgebonden (hierna: generieke) gebruikers binnen Key2Financiën en Suite4SociaalDomein verklaarbaar zijn vanuit gebruiksdoeleinden.
Binnen applicatie GISVG zijn er 6 generieke accounts aanwezig, welke wegens het samenwerkingsverband niet langer nodig zouden zijn. Blokkering van deze accounts is niet aantoonbaar.
Risico/Gevolg
In algemene zin bestaat het risico op generiek genaamde accounts dat met deze accounts ongeautoriseerde wijzigingen worden doorgevoerd, waarnaar op basis van naamgeving niet te achterhalen is wie deze wijzigingen heeft doorgevoerd.
Ons advies/ Uw aanvullende werkzaamheden
We raden de ABG-organisatie aan om: Het aantal generieke (beheer)accounts en generiek genaamde accounts binnen de applicatie zoveel mogelijk in te perken, door onnodige accounts te blokkeren of op naam te stellen; Generieke accounts (met superuserrechten ) waar mogelijk de rechten in te perken naar strikt noodzakelijk en eventueel na te gaan of kritieke handelingen (bijv. toekennen/intrekken van rollen/rechten, fiatteren van uitkeringen) gelogd kunnen worden.
Reactie management/ Opvolging
Met de functioneel beheerders is afgesproken dat zij gebruikersaccounts opschonen. Er is reeds gestart met het opschonen van de accounts.
DASHBOARD
AANDACHTSPUNTEN
INTERNE CONTROLE
SIGNIFICANTE PROCESSEN
IT-BEHEERSING
BIJLAGEN
Detailbevindingen IT
Bevinding
39
Gerelateerde
WACHTWOORDBELEID
KANS: N.V.T.
BIO normen: Jaar van constatering
2020 - geen negatieve bevinding, slechts ter informatie opgenomen
9.4.3.1 - 9.4.3.5
IMPACT: N.V.T.
Op basis van systeemwaarneming en inspectie van het ISAE3402 assurance-rapport hebben wij vastgesteld dat de volgende wachtwoordvereisten worden afgedwongen: WACHTWOORDINSTELLINGEN
Key2Financiën en GISVG (via SSO)
Suite4SociaalDomein
Minimale wachtwoordlengte
8 karakters
10 karakters
Maximale wachtwoordleeftijd
60 dagen
100 dagen
De laatste # wachtwoorden mogen niet hergebruikt worden
6 laatste wachtwoorden
Tenminste het laatste wachtwoord
Het account wordt na # foutieve inlogpogingen geblokkeerd
3 foutieve inlogpogingen
3 foutieve inlogpogingen
Wachtwoordcomplexiteit *
Ingeschakeld
Ingeschakeld
Initiële wachtwoordwijziging
Afgedwongen
Niet afgedwongen
* = het wachtwoord dient minimaal 1 cijfer, 1 hoofdletter en 1 kleine letter te bevatten. Gebruik van speciale tekens wordt niet afgedwongen. Risico/Gevolg
Het potentiële risico op het niet streng genoeg instellen van de complexiteiteis waardoor wachtwoorden kunnen worden geraden na verloop van tijd, wordt gemitigeerd doordat de overige wachtwoordvereisten strenger zijn ingeregeld dan de BDO minimum best practice voorschrijft.
Ons advies/ Uw aanvullende werkzaamheden
Er wordt hiermee voldaan aan de minimale wachtwoordeisen. Ter informatie zijn deze hieronder opgenomen: WACHTWOORDINSTELLINGEN
BDO best practice norm
BIO norm (excl. 2-factor authenticatie)*²
Minimale wachtwoordlengte
6 karakters
8 karakters (of 20 karakters)
Maximale wachtwoordleeftijd
180 dagen
180 dagen
De laatste # wachtwoorden mogen niet hergebruikt worden
3 wachtwoorden
Niet expliciet benoemd (1 werkdag verschil)
Het account wordt na # foutieve inlogpogingen geblokkeerd
7 foutieve inlogpogingen
10 foutieve inlogpogingen
Ingeschakeld
Ingeschakeld (vervalt bij min. lengte van 20 karakters)
Wachtwoordcomplexiteit
Dit wachtwoordbeleid dient periodiek te worden beoordeeld op naleving in de organisatie. * ²= De BIO-normen zijn overgenomen uit het document ‘Baseline Informatiebeveiliging Overheid v1.04’ en hier kunnen geen rechten aan ontleend worden. Reactie management / Opvolging
DASHBOARD
Geen reactie nodig.
AANDACHTSPUNTEN
INTERNE CONTROLE
SIGNIFICANTE PROCESSEN
IT-BEHEERSING
BIJLAGEN
Detailbevindingen IT
Bevinding
40
Gerelateerde
superuserrechten
KANS: middel
BIO normen: Jaar van constatering
2020
9.2.3
IMPACT: hoog
Wij hebben vastgesteld dat onderstaande eindgebruikers beschikken over rollen/rechten om autorisaties toe te kennen (superuserrechten):
In Key2Financiën zijn 2 financiële medewerkers aanwezig die beschikken over superuserrechten . In Suite4SociaalDomein is één kwaliteitsmedewerker aanwezig die beschikt over superuserrechten . In GISVG zijn 2 medewerkers Vergunning & Handhaving en 2 medewerkers Belastingen aanwezig die beschikken over superuserrechten.
Doordat medewerkers uit de lijnorganisatie (financiële medewerkers) beschikken over superuserrechten, is de functiescheiding tussen lijnorganisatie en IT-organisatie doorbroken.
Risico/gevolg
Accounts met beheerrechten bezitten alle rechten en kunnen hiermee gewenste functiescheidingen doorbreken en eventueel ongeautoriseerde wijzigingen (bijvoorbeeld stamgegevens of financiële transacties) doorvoeren. Dit is een inherent risico van beheeraccounts. Echter wordt dit risico aanzienlijk verhoogd door deze accounts te beleggen in de lijnorganisatie. Tevens bestaat het risico op generiek en/of verouderde genaamde accounts dat met deze accounts ongeautoriseerde wijzigingen worden doorgevoerd, waarnaar op basis van naamgeving niet te achterhalen is wie deze wijzigingen heeft doorgevoerd. Door de aanwezigheid van deze superusers in de primaire processen zijn achteraf aanvullende controles nodig op de door de superusers uitgevoerde werkzaamheden.
Ons advies/ uw aanvullende werkzaamheden
Het verdient aanbeveling om een duidelijke functiescheiding aan te brengen tussen het gebruik en het (IT-)beheer van applicaties Key2Financiën, Suite4SociaalDomein en GISVG. Dit bijvoorbeeld door de kritische applicatiebeheerprocessen (zoals o.a. het aanmaken, verwijderen, wijzigen van gebruikers en rechten, het wijzigen van systeeminstellingen zoals wachtwoordinstellingen, loginstellingen, het installeren van updates) te centraliseren bij de ICT-afdeling.
Reactie management/ opvolging
In samenspraak met de functioneel beheerders en software leveranciers worden de mogelijkheden onderzocht tot aanpassing van de inrichting van de applicaties zodanig dat functiescheiding gewaarborgd wordt.
DASHBOARD
AANDACHTSPUNTEN
INTERNE CONTROLE
SIGNIFICANTE PROCESSEN
IT-BEHEERSING
BIJLAGEN
Detailbevindingen IT Bevinding
41
Gerelateerde
WIJZIGINGENBEHEER UPDATES
KANS: middel
BIO normen: Jaar van constatering
2020
12.1.2 & 12.1.4
IMPACT: hoog
We hebben geconstateerd dat de volgende controles aanwezig zijn: Wij hebben voor 1 doorgevoerde wijziging vastgesteld dat releasenotes worden ontvangen van Centric en beoordeeld door de applicatiebeheerders; De aanvraag bij Equalit wordt gedaan voor het doorvoeren installatie-updates worden vastgelegd in het ticketsysteem; Er wordt akkoord gegeven op de doorvoer van wijzigingen in de productieomgeving. De applicaties in scope beschikken over een logisch gescheiden test- en productieomgeving. Wij hebben voor 1 doorgevoerde wijziging (patch) vastgesteld dat: Vastlegging aanwezig is van de beoordeling (op de impact) van de nieuwe functionaliteiten in de releasenotes door functioneel beheer. De functioneel beheerder vraagt een testomgeving aan voor het testen van de wijziging. Testwerkzaamheden worden niet gedocumenteerd. De functioneel beheerder goedkeuring geeft om de wijziging in productie te nemen. De serviceorganisatie Equalit de wijziging in productie neemt. Wij hebben voor de productieomgeving vastgesteld dat: De applicaties Key2Financiën en GISVG beschikken over een logisch gescheiden test- en productie omgeving. De applicatie S4SD beschikt over een test- en productie omgeving, hier bevinden zich 2 leveranciers/consultant accounts in. Risico/Gevolg
In algemene zin bestaat het risico dat testwerkzaamheden niet op basis van specifieke criteria vanuit de lijnorganisatie worden uitgevoerd. Hierdoor wordt mogelijk niet effectief en efficiënt getest wat ten koste kan gaan van de kwaliteit van de testwerkzaamheden en de productiviteit. Indien de testresultaten voor het in productie nemen van de wijziging niet structureel worden vastgelegd, bestaat het risico dat achteraf niet kan worden vastgesteld of een softwarewijziging terecht in de productieomgeving is geplaatst. Als gevolg van de constatering van het actieve testaccount en de standaard toegang van de IT-leverancier Centric in de productieomgeving, bestaat het risico dat mogelijk verstoringen ontstaan doordat, zonder akkoord, onbeheerste wijzigingen worden doorgevoerd in de productieomgeving.
Ons advies/ Uw aanvullende werkzaamheden
In algemene zin verdient het de aanbeveling om een procedure voor wijzigingsbeheer te beschrijven en te hanteren. In deze procedure zijn een aantal (OTAP) fases van belang, namelijk: Aanvragen wijziging; Risico/impactanalyse; Goedkeuring van wijzigingsverzoek; Testen in testomgeving (aanpak en resultaten); Goedkeuring voor inproductiename van wijziging; Migratie naar productie. We raden aan om bovengenoemde stappen structureel vast te leggen voor belangrijke wijzigingen en tenminste de belangrijkste functionaliteiten/handelingen conform een testscenario te testen. Voor kleinere wijzigingen (bijv. patches, bug-fixes) raden we aan de minimale stappen (testvastleggingen en akkoord) minimaal te documenteren. Het verdient aanbeveling om een duidelijke functiescheiding aan te brengen tussen het gebruik en het (IT-)beheer van applicaties Suite4SociaalDomein. Daarom raden we aan om de leveranciersaccounts alleen in te schakelen wanneer een inproductiename uitgevoerd dient te worden.
Reactie management/ Opvolging
Met de functioneel beheerders is afgesproken dat zij op korte termijn de werkprocessen voor het wijzigingsbeheer beschrijven en laten vaststellen.
DASHBOARD
AANDACHTSPUNTEN
INTERNE CONTROLE
SIGNIFICANTE PROCESSEN
IT-BEHEERSING
BIJLAGEN
Detailbevindingen IT
Bevinding
IT CONTINUÏTEIT
Jaar van constatering
2020
42
Gerelateerde BIO normen: 11.2| 12.3.1.1 – 12.3.1.4 | 12.3.1.5
KANS: laag IMPACT: laag
We hebben geconstateerd dat de volgende controles aanwezig zijn: De verantwoordelijkheid voor de back-ups en recovery ligt bij serviceorganisatie Equalit; De verantwoordelijkheid voor de hosting van data van Key2Financiën, Suite4SociaalDomein en GISVG ligt bij Equalit en sub-service organisatie KPN NL datacenter en Global-E en beschikt over een ISAE3402 verklaring type II; Serviceorganisatie Equalit (en subserviceorganisatie KPN NLDC en Global) beschikt in opzet over: Fysieke beveiligingsmaatregelen tot de serverruimte (UPS, brandmelder, blusser en temperatuurregeling); Een ingericht back-upschema met bijhorende retentietijden en monitoring op foutieve back-ups; Een periodieke restore-test van de productie-data uit de systemen. Over de fysieke beveiligingsmaatrelen wordt per jaareinde zekerheid afgegeven over de effectiviteit van deze beheersmaatregelen middels de ISAE3402-assurance verklaring (werking over de gehele periode);
De assurance-rapportage stelt dat ‘Beheersmaatregelen bij de deelnemer’ inzake continuïteit dienen te zijn ingericht. Deze verantwoordelijkheden zijn niet formeel opgenomen in de Service Level Agreement met serviceorganisatie Equalit. Dit omvat onder andere maatregelen zoals een uitwijklocatie en Disaster recovery Plan voor de fysieke deelnemerlocatie van de ABG-organisatie.
Risico/Gevolg
Wanneer de uitwijktesten nog niet zijn uitgevoerd, bestaat het risico dat de kantoorruimte niet beschikbaar is in geval van nood. Het risico is echter beperkt vanwege het feit dat er tot op heden nog geen verstoringen hebben voorgedaan en een thuiswerkplek-faciliteiten zijn georganiseerd.
Ons advies/ Uw aanvullende werkzaamheden
Dit punt behoeft nuancering vanwege het feit dat de ISAE3402-verklaring jaarlijks gepubliceerd wordt aan het begin van het nieuwe jaar. Wij raden aan om per jaareinde de assuranceverklaring op te vragen bij de serviceorganisatie Equalit en na te gaan: Wat de scope van de assuranceverklaring betreft en of dit overeenkomt met de afgenomen diensten bij deze partij; Wat de periode van de assuranceverklaring betreft (gehele boekjaar of gedeelte van het jaar); In hoeverre de controlemaatregelen rondom fysieke toegangsbeveiliging, back-up/monitoring en periodieke restore-test toereikend zijn; Welke aanvullende controlemaatregelen (ref: beheersmaatregelen bij de deelnemer) worden verwacht van de ABG-organisatie. Wij raden aan om bijzonderheden ten opzichte van bovengenoemde aandachtspunten te bespreken met de serviceorganisatie.
Reactie management/ Opvolging
DASHBOARD
Dit heeft continue aandacht in samenspraak met onze IT-partner Equalit.
AANDACHTSPUNTEN
INTERNE CONTROLE
SIGNIFICANTE PROCESSEN
IT-BEHEERSING
BIJLAGEN
43
bdo.nl