Presentatie Informatie in veilige handen.pdf

Informatie in veilige handen John van der Sluis Teamleider I&P / CISO 26 juni 2023

Disclaimer

• In deze presentatie is nog niet de IT-audit 2023 meegenomen • Dit zal op een later moment nog worden gepresenteerd • Wel zijn de te nemen maatregelen / aanbevelingen IT-audit 2022 meegenomen

Brede inzet om kwaliteit Informatieveiligheid en Privacy(I&P)op orde te brengen Uitgangspunt: voldoen aan wet- en regelgeving Programma I&P bestond uit de volgende stappen: • Verbeterplan BMC • Beschikbaar stellen van structureel budget • Opzetten en inrichten van een team I&P • Baseline Informatieveiligheid Overheid (BIO) • Eenduidige Normatiek Single Information Audit (ENSIA) • Algemene Verordening Gegevensbescherming (AVG) • Wet Politie Gegevens (WPG)-audit

Waar staan we anno 2023 met het team I&P • In dienst: Chief Information Security Officer (CISO), Functionaris Gegevensbescherming (FG), ENSIA coördinator en Information Security Officer (ISO) • Inhuur: 2 privacy officers (PO) (vacant) • Overspannen arbeidsmarkt: moeilijk aan goed personeel te komen • Extra druk: ondersteuning ‘Nieuwe Organisaties 2024’

Wat is in 2022 concreet opgepakt en vastgesteld? • Nieuw Beleid op Informatieveiligheid alsook op Privacy • Bewustwordingsprogramma 2023

• Beleid Incidentmanagement • Beleid op Logging en monitoring • Beleid Logische Toegangsbeveiliging • Authenticatiebeleid • Wachtwoordenbeleid • Wijzigingsbeleid (Changemanagement) • Op technisch gebied veel maatregelen genomen om beveiligingsincidenten te voorkomen

Beveiligingsincidenten • 2022 110 incidenten/meldingen ontvangen • Phishing, virussen, meldingen vanuit IBD, verlies apparaat, email en post aan verkeerde ontvanger, data per ongeluk gepubliceerd, papier of post kwijt, onnodige toegang of autorisatie, etc. • De gebruikelijke procedure tot verlies hardware/datalekken is bij alle meldingen gevolgd (behandeld als datalek, interne registratie, wel of geen melding AP) • Geen van de 110 beveiligingsincidenten hebben geleid tot dataverlies en/of disruptie van de organisatie

Wat in 2023 op te pakken? • Uitvoeren acties uit Bewustwordingsprogramma 2023 • NIS2 (Netwerk- en Informatiesystemen / Europese wetgeving) implementeren 2024 (o.a. Cyberplan Digitaal 2023-2025) • Nieuwe BIO 2.0 implementeren / ENSIA audit 2023 • Ondersteunen werkgroepen ‘Nieuwe organisaties 2024’ op het gebied van I&P • Borgen van I&P in ‘Nieuwe Organisaties 2024’

Zijn we veilig met onze informatie? Goed op weg maar nog veel te doen • Al veel stappen gezet met behulp van het Programma I&P.

• In Opzet en Bestaan ‘in control’ en in 2023-2024 nadruk meer op het toetsen van de Werking. • Verdergaan met inrichten van het team I&P. Knelpunt: moeilijk vinden van goed personeel.

• Gevolgen ‘Nieuwe organisaties 2024’ op het in control komen en blijven op I&P. • De wereld van I&P constant in beweging (Dreigingsbeeld 20232025).