Raadsvoorstel vervolgonderzoek informatiebeveiliging

Voorstel aan de gemeenteraad Datum 8 november 2022

Portefeuillehouder Datum vergadering Rekenkamercommissie 13 december 2022

Onderwerp Voorstel tot instemming met de aanbevelingen uit het rekenkamercommissierapport ‘Please close the door’ (vervolgonderzoek informatiebeveiliging) Aan de raad, In november 2019 hebben wij uw raad geïnformeerd over de resultaten van de Quick scan Informatiebeveiliging. In dit rapport hebben wij aangegeven dat verdiepend onderzoek gewenst is. Voor ons was dit de aanleiding om verder aan de slag te gaan. Het doel van ons vervolgonderzoek was: 1. Inzicht geven in de huidige staat van de informatiebeveiliging bij de Gemeente Bergen en 2. Indien nodig, formuleren van concrete verbeteracties. De centrale vraag van dit onderzoek luidde dan ook: Bieden de genomen maatregelen voldoende waarborgen tegen het benaderen van gevoelige informatie? De centrale onderzoeksvraag is uitgewerkt in 2 deelvragen: 1. Gericht op de structuur: Is het binnen de huidige technische infrastructuur mogelijk oneigenlijk toegang tot (belangrijke) systemen en bestanden te krijgen? 2. Gericht op de mens: Is het binnen de huidige werkwijze van gemeente Bergen mogelijk oneigenlijk toegang tot (belangrijke) systemen en bestanden te krijgen? De bevindingen zijn: Deelvraag 1: De belangrijkste bevinding is dat het zonder de hulp van de ICT-afdeling van gemeente Bergen niet mogelijk is gebleken om toegang tot (belangrijke) systemen en bestanden te krijgen.

De technische infrastructuur is bijzonder goed beveiligd. Zonder hier afbreuk aan te doen, is het belangrijk expliciet te vermelden dat deze bevinding een momentopname betreft. Deelvraag 2: De belangrijkste bevinding is de constatering dat het gedrag van medewerkers van de gemeente Bergen onveiligheid in de hand werkt. Zie voor een toelichting ons rapport. Uit de beantwoording van deze twee deelvragen blijkt dat: 1. Het gedrag van medewerkers van gemeente Bergen met betrekking tot informatiebeveiliging (op dit moment) onvoldoende waarborgen biedt tegen het benaderen van gevoelige informatie. 2. De technische ICT-beveiligingsmaatregelen van gemeente Bergen (op dit moment) voldoende waarborgen bieden tegen het benaderen van gevoelige gegevens. Op basis van ons onderzoek doen wij de volgende aanbevelingen: Voor uw raad: Neem maatregelen om de bewustwording van informatieveiligheid bij ieder naar het gewenste niveau te brengen. 1 Maak met het college afspraken over de manier waarop het de kennis en het bewustzijn binnen de organisatie over informatieveiligheid vergroot en daarmee de gewenste gedragsverandering realiseert. Houd informatiebeveiliging op de agenda Informatieveiligheid is kerntaak van raad en college. De gemeentelijke dienstverlening staat immers op het spel als de veiligheid niet goed geregeld is.

Zelfs wanneer alle audits worden gehaald en de vinkjes allemaal op groen staan, is dat niet voldoende. Informatieveiligheid is bovendien een dynamisch werkterrein, waarin ontwikkelingen, kansen en bedreigingen elkaar in een hoog tempo opvolgen. Het is daarom cruciaal dat een gemeente tijd en middelen reserveert voor informatiebeveiliging en dat raad en college het onderwerp op hun agenda houden. 2 Maak met het college afspraken over de voortgang van het bouwen aan en vasthouden van

Pagina 1 van 2

een veilige werkomgeving, waarin medewerkers zich bewust zijn van hun rol en verantwoordelijkheden als het gaat om informatieveiligheid. 3 Maak met het college afspraken over de wijze waarop uw raad periodiek geïnformeerd wordt. Voor het college: Versterk de menselijke schakel Bij de onderstaande aanbevelingen voor het college is rekening gehouden met de balans die gevonden moet worden tussen gebruikersgemak en veiligheid. De aanbevelingen zijn: 1 Verbeter de naleving van de toegangsregels in beide onderzochte panden. 2 Houdt in de panden tussendeuren te allen tijde gesloten. 3 Beperk de toegangsrechten van bezoekerspassen en laat bezoekers nooit alleen achter. 4 Maak medewerkers bewust van insluipers, tailgating (achterdeur) en de daaraan verbonden mogelijke risico’s. 5 Introduceer of zie toe op de naleving clean desk (geen onbeheerde informatie op bureaus) en clean screen (vergrendeling scherm tijdens afwezigheid) 6 Laat geen datadragers, waaronder ook laptops en iPads, onbeheerd achter. Ook niet op het eigen bureau of in het eigen kantoor. 7 Sluit lades en kasten af en verwijder alle briefjes met daarop inlogcodes en wachtwoorden. 8 Zie erop toe dat alle medewerkers standaard wachtwoorden aanpassen. 9 In algemene zin: houdt de firewall configuratie actueel en controleer wekelijks het netwerkverkeer (log-bestanden en real-time).

Voorstel Wij stellen u voor: In te stemmen met de in het rekenkamercommissierapport ‘Please close the door’ (vervolgonderzoek informatiebeveiliging) genoemde aanbevelingen. De rekenkamercommissie van de gemeente Bergen (L), ValidSigned door Walter Elemans op 05-04-2023

I.C. van ‘t Hof De secretaris

W.F.J.P. Elemans De voorzitter

Bijlage(n) - Raadsbesluit - Rapport ‘Please close the door’ (vervolgonderzoek informatiebeveiliging)

Pagina 2 van 2