5. Rekenkameronderzoek Weten wat je moet weten - Bijlagenboek Berg en Dal, Wijchen en Beuningen
Tekst van het document
Rekenkamer(commissie)s
Berg en Dal, Beuningen, Nijmegen en Wijchen
BIJLAGENBOEK GEMEENTEN BERG EN DAL / BEUNINGEN / WIJCHEN
Weten wat je moet weten Regionaal rekenkameronderzoek naar informatiebeveiliging en privacybescherming Juli 2022
COLOFON Dit bijlagenboek hoort bij het rapport dat op basis van een gezamenlijk onderzoek naar informatiebeveiliging en privacybescherming is opgesteld door de rekenkamer(commissie)s van de gemeenten Berg en Dal, Beuningen, Nijmegen en Wijchen. De bijlagen 1 tot en met 7 zijn voor alle gemeenten gelijk. Deze zijn in voorliggend bijlagenboek opgenomen. Voor de gemeente Nijmegen is er een extra bijlage: bijlage 8, en ook een eigen bijlagenboek. Voor elk van de vier gemeenten die zijn onderzocht is een aparte versie van het rapport opgesteld. Op onderdelen verschillen die versies van elkaar, omdat er behalve veel gezamenlijke bevindingen ook verschillen zijn tussen de gemeenten. Elk rapport is te vinden op de website van de betreffende rekenkamer of bij de rekenkamer op te vragen.
Telefoon
Website
www.bergendal.nl/rekenkamer
griffie@bergendal.nl
Berg en Dal 06 28 74 38 98 Beuningen 14 024
Gemeente Beuningen / Rekenkamer
Nijmegen 024 – 329 23 38
https://www.nijmegen.nl/over-de-
rekenkamer@nijmegen.nl
gemeente/rekenkamer/onderzoeksrapporten/ Wijchen 088 – 432 72 03
www.wijchen.nl
griffie@wijchen.nl
Bij de uitvoering van het onderzoek zijn de rekenkamer(commissie)s ondersteund door onderzoekers van: •
DMC Group (onderdeel informatiebeveiliging): drs. Chris P.J. Deben CISM, ing. Henk Struving CISA CISSP CISM Lead auditor ISO 27001 en Mick Deben BSc CISSP CRISC;
•
Legal2Practice (onderdeel privacybescherming): mr. Jean Paul van Schoonhoven BBA CCO SIO FIP CIPM CIPT CIPP/E, Meindert Boon RA CDPP CIPM CIPP/e, Philippe Dauphin MA BCS Data Protection en Wilfred Brom BC;
Bij het opstellen van de rapportage zijn de rekenkamer(commissie)s ondersteund door drs. Etienne Lemmens van Prae Advies & Onderzoek.
Weten wat je moet weten
INHOUDSOPGAVE BIJLAGENBOEK Bijlage 1: Aanpak van het onderzoek: deelvragen en gesprekspartners Bijlage 2: Normenkader, inclusief een toelichting op de gehanteerde volwassenheidsmodellen Bijlage 3: 10 bestuurlijke principes informatiebeveiliging en VNG-resoluties Bijlage 4: Overzicht van verplichte BIO-documenten Bijlage 5: Strategische, tactische en operationele kaders uit Basisafspraken gemeenten - iRvN Bijlage 6: Voorbeeld verantwoordingsrapportage aan de gemeenteraad Bijlage 7: Verklaring van gebruikte begrippen en afkortingen De bijlagen 1 tot en met 7 zijn voor alle vier gemeenten identiek. Voor de gemeente Nijmegen is er één extra bijlage (bijlage 8: P&C-documenten over informatiebeveiliging en privacybescherming).
Rekenkamer(commissie)s Berg en Dal, Beuningen, Nijmegen en Wijchen
Weten wat je moet weten
BIJLAGE 1:
AANPAK VAN HET ONDERZOEK: DEELVRAGEN EN GESPREKSPARTNERS
In hoofdstuk 1 van het regionale rekenkamerrapport ‘Weten wat je moet weten’ over informatiebeveiliging en privacybescherming is een toelichting gegeven op de aanleiding, opzet en aanpak van het onderzoek. Op een aantal onderdelen is in deze bijlage meer in detail ingegaan, namelijk: •
de deelvragen die leidend geweest zijn bij het onderzoek;
•
de geïnterviewde bestuurders en functionarissen;
•
de deelnemers aan de expertmeeting.
Deelvragen die leidend waren bij de uitvoering van het onderzoek De vraagstelling van het onderzoek is: 1. Is de informatiebeveiliging en privacybescherming van de gemeenten Berg en Dal, Beuningen, Nijmegen en Wijchen voldoende op orde, is er voldoende zicht op de risico’s en werken de gemeenten op effectieve en efficiënte wijze aan verbetering van de onderdelen die niet voldoende op orde zijn? 2. Hoe kunnen de gemeenteraden de komende jaren hun kaderstellende en controlerende taak op deze thema’s goed vervullen? Om deze vragen te beantwoorden zijn deelvragen geformuleerd. We onderscheiden: •
onderzoeksdeel A voor de informatiebeveiliging;
•
onderzoeksdeel B voor privacybescherming;
•
onderzoeksdeel C voor de rol van de raad.
De deelvragen zijn leidend geweest bij de uitvoering van het onderzoek. Deelvragen onderzoeksdeel A: Informatiebeveiliging A1. Hoe zijn de taken en verantwoordelijkheden op het terrein van ICT- en informatiesystemen en met name de informatiebeveiliging tussen de gemeenten en iRvN verdeeld? A2. Wat zijn de beleidskaders van de gemeenten en de iRvN t.a.v. hun informatiebeveiliging, met name van persoonsgegevens? A3. Voldoen deze beleidskaders aan de gangbare standaarden en wetgeving op het vlak van privacy en informatiebeveiliging? A4.
Wat
is
het
beschikbare
budget
van
de
deelnemende
gemeenten
en
iRvN
voor
informatiebeveiliging, en is het mogelijk om een oordeel te geven (bijvoorbeeld door benchmarking) over de toereikendheid hiervan? A5. In hoeverre worden de beleidskaders in de praktijk in de gemeenten en de iRvN nageleefd?
Rekenkamer(commissie)s gemeenten Berg en Dal, Beuningen, Nijmegen en Wijchen Bijlage 1, bladzijde 1
Weten wat je moet weten
A6.
Op
welke
manier
worden
gemeentelijke
medewerkers
bewust
gemaakt
van
hun
verantwoordelijkheden ten aanzien van het bewaken van de informatiebeveiliging? Daarbij kan worden gedacht aan onder meer trainingen en ondersteuning, maar ook via functieomschrijvingen, aandacht in functioneringsgesprekken etc. A7.
Heeft
de
gemeente
een
proces
van
continue
verbeteren
in
werking
voor
haar
informatiebeveiliging en opslag en beheer van persoonsgegevens in het bijzonder? A8. Hebben de gemeenten en de iRvN voldoende zicht op de risico’s (zowel veiligheidsrisico’s als financiële risico’s ingeval van lekken of incidenten) op het gebied van informatiebeveiliging, en zijn er maatregelen getroffen om de grootste risico’s te kunnen ondervangen? A9. Hebben de gemeenten en de iRvN een concreet plan voor het effectief en efficiënt verkleinen van de risico’s, en voldoet dat plan aan de gebruikelijke standaarden? Deelvragen onderzoeksdeel B: Privacybescherming Onderzoeksdeel B richt zich op de omgang met persoonlijke gegevens van burgers door de gemeenten, waar relevant ook door iRvN. Om het onderzoek uitvoerbaar te houden, hebben wij ervoor gekozen ons bij onderzoeksdeel B te focussen op het sociaal domein, in het bijzonder: •
de verwerkingen van persoonsgevens door gemeenten in het kader van de Jeugdwet;
•
het verstrekken van persoonsgegevens: •
binnen gemeenten aan medewerkers Openbare Orde en Veiligheid
•
door gemeenten aan samenwerkingsverbanden op het gebied van openbare orde en veiligheid (zoals Veiligheidshuizen en RIECS 1).
B1. Wat zijn de gemeentelijke beleidskaders t.a.v. privacybescherming in het sociaal domein? Hoe wordt er geanticipeerd op de AVG? B2. Voldoen deze beleidskaders aan de gangbare standaarden en wetgeving? B3. Hoe is het beleid uitgewerkt en geborgd in processen? Hierbij moet ook aandacht zijn voor de samenwerking met eventuele (keten)partners. B4. Hoe is de toegang tot dossiers (autorisaties) geregeld? Hierbij moet ook aandacht zijn voor de samenwerking met eventuele (keten)partners.
1
RIEC: Regionaal Informatie- en Exptertise Centrum. De tien RIECs en het LIEC (landelijk Inforamtie- en
Exptertisecentrum) ondersteunen partners bij de aanpak van georganiseerde criminaliteit. Rekenkamer(commissie)s gemeenten Berg en Dal, Beuningen, Nijmegen en Wijchen Bijlage 1, bladzijde 2
Weten wat je moet weten
B5. In hoeverre worden de beleidskaders en vastgestelde processen en regels nageleefd in de praktijk in de gemeenten (en binnen de iRvN)? Hierbij moet ook aandacht zijn voor de samenwerking met eventuele (keten)partners. B6. Wanneer en op welke manier geven burgers toestemming voor het gebruik en verwerken van gegevens? B7. Op welke manier worden burgers geïnformeerd over het gebruik en de verwerking van hun persoonsgegevens? B8. Hoe ziet het toezicht op de omgang met de persoonsgegevens eruit, op papier en in de praktijk? Hierbij moet ook aandacht zijn voor de samenwerking met eventuele (keten)partners. B9.
Op
welke
manier
worden
gemeentelijke
medewerkers
bewust
gemaakt
van
hun
verantwoordelijkheden ten aanzien van het bewaken van de privacy van persoonsgegevens? Daarbij kan worden gedacht aan onder meer trainingen en ondersteuning, maar ook via functieomschrijvingen, aandacht in functioneringsgesprekken etc. B10. In hoeverre heeft de gemeente een balans gevonden tussen regels en procedures rondom de bescherming van privacy enerzijds en een goede dienstverlening aan de burger anderzijds? Deelvragen onderzoeksdeel C: Kaderstelling en controle door de gemeenteraden C1. Op welke wijze verloopt het proces van kaderstelling en controle door de gemeenteraden tot op heden t.a.v. de informatiebeveiliging en privacybescherming in hun gemeente, en hoe moet dit proces en het resultaat ervan worden beoordeeld? C2. Op welke wijze faciliteren de colleges de kaderstelling en controle door de gemeenteraden, met name ten aanzien van de informatievoorziening aan de raden? C3. Welke voorwaarden en vereisten kunnen worden geïdentificeerd om de kaderstelling en controle beter te laten verlopen? In het bijzonder moet daarbij aandacht zijn voor de inrichting van de informatievoorziening. C4. Zijn er elders in het land relevante best practices ten aanzien van een goed verlopend proces van kaderstelling en controle door de gemeenteraad op dit gebied, en wat zijn de belangrijkste lessen die daaruit kunnen worden geleerd?
Rekenkamer(commissie)s gemeenten Berg en Dal, Beuningen, Nijmegen en Wijchen Bijlage 1, bladzijde 3
Weten wat je moet weten
Gesprekken met betrokkenen In de volgende tabel is aangegeven met welke bestuurders en functionarissen 2 binnen gemeente en iRvN is gesproken en op welk(e) onderde(e)l(en) van het onderzoek de focus lag: informatiebeveiliging (A), privacybescherming (B) of de rol van de gemeenteraden (C). Geïnterviewde bestuurders en
Informatie
Privacy
Rol gemeenteraad
functionarissen
Beveiliging (A)
Bescherming (B)
(C)
Gemeente Berg en Dal Portefeuillehouder ICT
X
Chief Information Security Officer
X
/ENSIA-coördinator Functioneel beheerder
X
Functionaris Gegevensbescherming
X
Gemeentesecretaris
X
Kwaliteitsmedewerker Documentaire
X
X
Informatievoorziening Kwaliteitsmedewerker Jeugd/Wmo (2) Opgavemanager
X X
Teamleider Sociaal Team en Regieteam Teamleider Team Informatie
X X
X
Vertegenwoordiger griffie
X Gemeente Beuningen
Burgemeester / portefeuillehouder ICT
X
Beleidsmedewerker Integrale Veiligheid
X X
en Openbare Orde Chief Information Security Officer
X
Functioneel beheerder
X
Functionaris Gegevensbescherming
X
Gemeentesecretaris
X
Informatie Adviseur
X
Juridisch Kwaliteitsadv. Sociaal Domein
X
Kwaliteitsmedewerker Dienstverlening
X
Manager Informatie & Bedrijfsvoering
X
Vertegenwoordiger griffie
2
X
Met het oog op privacybescherming zijn geen namen opgenomen, alleen functie-aanduidingen. Rekenkamer(commissie)s gemeenten Berg en Dal, Beuningen, Nijmegen en Wijchen Bijlage 1, bladzijde 4
Weten wat je moet weten
Geïnterviewde bestuurders en
Informatie
Privacy
Rol gemeenteraad
functionarissen
Beveiliging (A)
Bescherming (B)
(C)
Gemeente Nijmegen Burgemeester
X
Portefeuillehouder ICT
X
Chief Information Security Officer
X
X
(CISO) Concernmanager Veiligheid, Juridishce
X
Zaken en Bestuursondersteuning Concernmanager Personeel, Informatie
X
en Facilitair Functionaris Ggegevensbescherming
X
Functioneel beheerder (2)
X
Gemeentesecretaris
X
Informatiecoördinator Zorg- en
X
X
Veiligheidshuis Inhoudelijk Coördinator Back Office
X
Wmo/Jeugd Klachtencoördinator
X
Kwaliteitsmedewerker Regionaal
X
Ondersteuningsbureau Manager Basis- en GEO-informatie
X
Manager Ontwikkel Informatisering en
X
Automatisering (I&A) / Chief Information Officer Manager Zorg- en Veiligheidshuis
X
Privacy Officer
X
Procesmanager Cluster Ondermijning &
X
Informatiegestuurd Werken Senior Juridisch Beleidsadviseur
X
Vertegenwoordigers griffie
X
Rekenkamer(commissie)s gemeenten Berg en Dal, Beuningen, Nijmegen en Wijchen Bijlage 1, bladzijde 5
Weten wat je moet weten
Geïnterviewde bestuurders en
Informatie
Privacy
Rol gemeenteraad
functionarissen
Beveiliging (A)
Bescherming (B)
(C)
Gemeente Wijchen Burgemeester
X
Portefeuillehouder ICT
X
Beleidsadviseur Openbare Orde en
X
X
Veiligheid Beleidsadviseur Zorg en Veiligheid
X
Beleidsmedewerker Jeugd, Wmo,
X
Gezondheid Chief Information Security Officer
X
Funtionaris Ggegevensbescherming
X
Functioneel beheerder
X
Gemeentesecretaris
X
i-adviseur
X
Kwartiermaker Informatiemanagement
X
Manager Bedrijfsvoering
X
Strategisch Informatiemanager
X
X
Vertegenwoordiger griffie
X iRvN
Lid DB iRvN met ICT-portefeuille
X
Afdelingshoofd ICT
X
Afdelingshoofd Informatie- en
X
applicatiebeheer Lid Cyber Security Incident Response
X
Team Chief Information Security Officer
X
Coördinator ICT-beheer
X
Coördinator informatie- en
X
X
applicatiebeheer (2) Coördinator informatie- en
X
X
Directeur iRvN
X
X
Security Officer
X
applicatiebeheer Sociaal Domein
Rekenkamer(commissie)s gemeenten Berg en Dal, Beuningen, Nijmegen en Wijchen Bijlage 1, bladzijde 6
Weten wat je moet weten
Van alle gesprekken is een verslag op hoofdlijnen gemaakt, dat voor verificatie is teruggelegd bij de geïnterviewde. Deelnemers expertmeeting In de expertmeeting is met (ervarings)deskundigen 3 uit het land gesproken over de (mogelijke) invulling van de kaderstellende en controlerende rol van de gemeenteraad en wat hij daarvoor nodig heeft. Deelnemers aan de expertmeeting waren: •
CISO van een gemeente die recent slachtoffer was van een hack, tevens raadslid en voormalig rekenkamerlid;
•
Onafhankelijk toezichthouder naleving AvG, tevens FG in een aantal gemeenten en ondersteuner van de VNG bij AVG-management;
•
Deskundige op het gebied van informatiebeveiliging, tevens extern (rekenkamer)onderzoeker;
•
Vertegenwoordigers van drie rekenkamers met ervaring met rekenkameronderzoek op het gebied van informatiebeveiliging en privacybescherming en zicht op de verbetertrajecten die naar aanleiding daarvan – mede op basis van besluitvorming door gemeenteraden - gestart zijn;
•
Directeur Nederlandse Vereniging van Rekenkamers en Rekenkamercommissies, tevens raadslid.
3
Met het oog op privacybescherming zijn geen namen opgenomen, alleen functie-aanduidingen. Rekenkamer(commissie)s gemeenten Berg en Dal, Beuningen, Nijmegen en Wijchen Bijlage 1, bladzijde 7
Weten wat je moet weten
BIJLAGE 2: NORMENKADER In deze bijlage is voor de deelvragen die leidend waren bij de uitvoering van het onderzoek aangegeven welke beoordelings- of toetsingsnormen wij daarbij gebruikt hebben: •
Onderzoeksdeel A: informatiebeveiliging;
•
Onderzoeksdeel B: privacybescherming;
•
Onderzoeksdeel C: de rol van de raad.
Beoordelings- en toetsingsnormen Informatiebeveiliging In de volgende tabel zijn de beoordelings- of toetsingsnormen voor onderzoeksdeel A (Informatiebeveiliging) opgenomen.
Deelvragen met beoordelings- of toetsingsnormen onderzoeksdeel A. Informatiebeveiliging Deelvraag
Beoordelings- of toetsingsnormen
A1. Hoe zijn de taken en verantwoordelijkheden op
Beschrijvende vraag.
het terrein van ICT- en informatiesystemen en met name de informatiebeveiliging tussen de gemeenten en iRvN verdeeld? A2. Wat zijn de beleidskaders van de gemeenten en
Aanvullende norm: is de taakverdeling duidelijk voor de betrokken partijen? Geen normen / beschrijvende vraag.
iRvN t.a.v. hun informatiebeveiliging, met name van persoonsgegevens? A3. Voldoen deze beleidskaders aan de gangbare
In algemene zin moet beleid duidelijkheid geven
standaarden en wetgeving op het vlak van privacy
over doelstellingen, middelen en voorziene
en informatiebeveiliging?
activiteiten (de 3 W-vragen). Voor het bepalen van het volwassenheidsniveau worden de volgende normenkaders en richtlijnen gehanteerd: -
Baseline Informatiebeveiliging Overheid (BIO)
-
ISO 27001: 2013
-
Center for Internet Security (CIS) top 20 (versie 8)
-
NIST Cybersecurity Framework (CSF) (v1.1)
De relevante onderdelen hieruit zijn opgenomen in een afzonderlijke tabel. Dat geldt ook voor de omschrijvingen en criteria voor de verschillende stadia van volwassenheid. A4. Wat is het beschikbare budget van de
-
De beschikbare middelen zijn voldoende voor
deelnemende gemeenten en iRvN voor
het realiseren van de voorgenomen doelen en
informatiebeveiliging, en is het mogelijk om een
activiteiten.
oordeel te geven (bijvoorbeeld door benchmarking) over de toereikendheid hiervan?
-
Advies CyberSecurityRaad 2017: 10% van het IT-budget als maatstaf nemen voor digitale veiligheid.
Rekenkamer(commissie)s gemeenten Berg en Dal, Beuningen, Nijmegen en Wijchen Bijlage 2, bladzijde 1
Weten wat je moet weten
Deelvragen met beoordelings- of toetsingsnormen onderzoeksdeel A. Informatiebeveiliging Deelvraag
Beoordelings- of toetsingsnormen
A5. In hoeverre worden de beleidskaders in de
Geen / beschrijvende vraag.
praktijk in de gemeenten en iRvN nageleefd? A6. Op welke manier worden gemeentelijke
Voor een goed proces van bewustwording geldt:
medewerkers bewust gemaakt van hun
-
verantwoordelijkheden ten aanzien van het bewaken van de informatiebeveiliging? Daarbij kan worden
De bewustwordingsacties worden gericht ingezet voor de diverse categorieën medewerkers;
-
gedacht aan onder meer trainingen en
De bewustwordingsacties zijn onderdeel van een proces van continu verbeteren (zie A7);
ondersteuning, maar ook via functieomschrijvingen,
-
aandacht in functioneringsgesprekken etc.
Gegeven de steeds nieuwe veiligheidsdreigingen en – risico’s wordt de PDCA-cyclus (ook) met een hoge frequentie doorlopen.
A7. Heeft de gemeente een proces van continu
Als norm voor een proces van continu verbeteren
verbeteren in werking voor haar
wordt de toepassing van de PDCA-cyclus (cyclische
informatiebeveiliging en opslag en beheer van
manier van werken) gehanteerd.
persoonsgegevens in het bijzonder? A8. Hebben de gemeenten en iRvN voldoende zicht
Voldoende zicht op de risico’s betekent:
op de risico’s (zowel veiligheidsrisico’s als financiële
1.
risico’s ingeval van lekken of incidenten) op het gebied van informatiebeveiliging, en zijn er
Er is een actuele en volledige risicoinventarisatie;
2.
De risico’s zijn geanalyseerd op de kans dat
maatregelen getroffen om de grootste risico’s te
deze zich voordoet en het effect daarvan
kunnen ondervangen?
(inhoudelijk en financieel); 3.
Voor de risico’s is bepaald welke geaccepteerd worden en voor welke maatregelen worden genomen;
A9. Hebben de gemeenten en iRvN een concreet plan
In vervolg op de risico-inventarisatie en analyse:
voor het effectief en efficiënt verkleinen van de
1.
risico’s, en voldoet dat plan aan de gebruikelijke standaarden?
Zijn de te nemen maatregelen uitgewerkt in een actieplan.
2.
Wordt actief (bij)gestuurd op de uitvoering van het actieplan volgens de principes van de PDCAcyclus (cyclisch werken).
Rekenkamer(commissie)s gemeenten Berg en Dal, Beuningen, Nijmegen en Wijchen Bijlage 2, bladzijde 2
Weten wat je moet weten
Volwassenheidsmodel informatiebeveiliging Voor het bepalen van het volwassenheidsniveau voor informatiebeveiliging is het NBA-LIO en NOREA-volwassenheidsmodel 1 gebruikt. Dit model onderscheid 15 aandachtsgebieden, die een relatie hebben met de volgende normenkader en richtlijnen: •
Baseline Informatiebeveiliging Overheid (BIO) De Baseline Informatiebeveiliging Overheid (BIO) is het basisnormenkader voor informatiebeveiliging binnen de overheid (Rijk, gemeenten, provincies, waterschappen). De BIO is afgeleid van de ISO 27002:2013 norm.
•
ISO 27001:2013 Dit betreft de internationaal erkende norm voor het inrichten, onderhouden en continu verbeteren van een managementsysteem voor informatiebeveiliging. De BIO verplicht Nederlandse overheden om het managementsysteem in te richten volgens deze norm.
•
Center for Internet Security (CIS) top 20 (versie 8) CIS heeft een top 20 ‘Critical Security Controls’ ontwikkeld, waarmee de meest voorkomende cyberaanvullen kunnen worden afgewend.
•
NIST Cybersecurity Framework (CSF) (v1.1) Framework is een reeks richtlijnen voor het beperken van organisatorische cyberbeveiligingsrisico's, gepubliceerd door het Amerikaanse National Institute of Standards and Technology op basis van bestaande normen, richtlijnen en praktijken. Framework biedt organisaties de mogelijkheid om: 1) hun huidige volwassenheid te bepalen, 2) hun gewenste volwassenheid te bepalen, 3) mogelijkheden voor verbetering en de prioritering daarvan te duiden, 4) voortgang te toetsen en 5) communicatie over informatiebeveiliging te vereenvoudigen.
In de volgende tabel zijn de 15 aandachtsgebieden uit het NBA-LIO en NOREAvolwassenheidsmodel opgenomen en is: •
de korte beschrijving uit het model overgenomen;
•
een verwijzing opgenomen naar de bijbehorende normenkaders en richtlijnen;
•
een verwijzing opgenomen naar de bijbehorende beheersmaatregel(en) uit het betreffende normenkader of de betreffende richtlijn.
1
https://www.nba.nl/intern-en-overheidsaccountants/volwassenheidsmodel-informatiebeveiliging/ Rekenkamer(commissie)s gemeenten Berg en Dal, Beuningen, Nijmegen en Wijchen Bijlage 2, bladzijde 3
Weten wat je moet weten
1. Bestuur
Geeft richting en ondersteuning aan informatiebeveiliging c.q. cyber security in lijn met bedrijfsdoelstellingen, risicobereidheid en van toepassing zijnde wet- en regelgeving en vergewist zich van de effectieve naleving ervan. 2. Organisatie
Informatiebeveiliging (inclusief cyber security) is op het hoogst mogelijk organisatieniveau geadresseerd en het beheer van informatiebeveiliging is in lijn met de bedrijfsdoelstellingen en van toepassing zijnde risico’s en compliance eisen. 3. Risicobeheer
Draagt zorg voor het op gestructureerde wijze identificeren en beheersen van informatiebeveiligings- en cyber securityrisico’s zodanig dat de risico’s in lijn zijn met de risicobereidheid en het risicoraamwerk van de organisatie. 4. Personeelsbeheer
Draagt er zorg voor dat alle medewerkers, inhuurkrachten en derde partijen zich bewust zijn van informatiebeveiligings- en cyber securityrisico’s en voldoende geschoold zijn om in lijn met het beveiligingsbeleid hun werkzaamheden te kunnen verrichten. 5. Configuratiebeheer
Draagt zorg voor de vastlegging en ontsluiting van gegevens over de IT-middelen, IT-koppelingen en ITdiensten.
Referentie
Referentie
normenkader(s)
beheersmaatregelen
BIO (v1.04)
5, 18.2
ISO 27001 (2013)
5, 6
CIS top 20 (v8)
18
NIST CSF (v1.1)
ID.GV
Referentie
Referentie
normenkader(s)
beheersmaatregelen
BIO (v1.04)
6
ISO 27001 (2013)
5.3, 7.1
CIS top 20 (v8)
-
NIST CSF (v1.1)
ID.AM
Referentie
Referentie
normenkader(s)
beheersmaatregelen
BIO (v1.04)
-
ISO 27001 (2013)
6, 8.2, 8.3
CIS top 20 (v8)
-
NIST CSF (v1.1)
ID.RA
Referentie
Referentie
normenkader(s)
beheersmaatregelen
BIO (v1.04)
7
ISO 27001 (2013)
7.2, 7.3, 7.4
CIS top 20 (v8)
14
NIST CSF (v1.1)
PR.AT
Referentie
Referentie
normenkader(s)
beheersmaatregelen
BIO (v1.04)
8
ISO 27001 (2013)
-
CIS top 20 (v8)
1, 2, 4
NIST CSF (v1.1)
ID.AM
Rekenkamer(commissie)s gemeenten Berg en Dal, Beuningen, Nijmegen en Wijchen Bijlage 2, bladzijde 4
Weten wat je moet weten
6. Incident/probleembeheer
Draagt zorg voor het afhandelen van verstoringen in de IT-dienstverlening en voor het tijdig herstellen van de afgesproken dienstenniveaus. Probleembeheer draagt zorg voor het wegnemen of voorkomen van structurele fouten in de IT-dienstverlening.
Referentie
Referentie
normenkader(s)
beheersmaatregelen
BIO (v1.04)
16
ISO 27001 (2013)
9.1, 10.2
CIS top 20 (v8)
17
NIST CSF (v1.1)
PR-IP.9, DE-AE.5, RSAN.2, RS-AN.4, RS-MI, PR-IP.9
7. Wijzigingsbeheer
Draagt zorg voor het beheerst doorvoeren van wijzigingen in IT-middelen, IT-koppelingen en ITdiensten (o.a. applicaties).
8. Systeemontwikkeling
Draagt zorg voor het ontwikkelen van geautomatiseerde oplossingen in lijn met ontwerpspecificaties, ontwikkelen documentatiestandaarden en kwaliteits- en acceptatiecriteria (inclusief wet- en regelgeving).
9. Gegevensbeheer
Draagt zorg voor het onderhouden van de volledigheid, juistheid, beschikbaarheid en bescherming van gegevens.
10. Identiteits- en toegangsbeheer
Draagt zorg voor het beheren van de logische toegang tot informatie, informatiediensten (o.a. applicaties) en externe koppelingen.
Referentie
Referentie
normenkader(s)
beheersmaatregelen
BIO (v1.04)
12.1.2
ISO 27001 (2013)
-
CIS top 20 (v8)
1, 2, 4
NIST CSF (v1.1)
PR-IP.3
Referentie
Referentie
normenkader(s)
beheersmaatregelen
BIO (v1.04)
14
ISO 27001 (2013)
-
CIS top 20 (v8)
16
NIST CSF (v1.1)
-
Referentie
Referentie
normenkader(s)
beheersmaatregelen
BIO (v1.04)
8, 13, 18.1
ISO 27001 (2013)
-
CIS top 20 (v8)
3, 11
NIST CSF (v1.1)
PR.DS, PR.IP
Referentie
Referentie
normenkader(s)
beheersmaatregelen
BIO (v1.04)
9
ISO 27001 (2013)
-
CIS top 20 (v8)
5, 6
NIST CSF (v1.1)
PR-AC
Rekenkamer(commissie)s gemeenten Berg en Dal, Beuningen, Nijmegen en Wijchen Bijlage 2, bladzijde 5
Weten wat je moet weten
11. Beveiligingsbeheer
Draagt zorg voor het in kaart brengen, adresseren en mitigeren van de risico’s van beschikbaarheid, integriteit en vertrouwelijkheid die van toepassing zijn op de informatievoorziening.
Referentie
Referentie
normenkader(s)
beheersmaatregelen
BIO (v1.04)
6.2, 9, 10, 12, 13, 14
ISO 27001 (2013)
-
CIS top 20 (v8)
7, 8, 9, 10, 12, 13
NIST CSF (v1.1)
PR.PT, DE-AE, DE-CM, DE.DP,
12. Fysieke beveiliging
Draagt zorg voor het toegangsbeheer tot ruimtes en de bescherming van personen en objecten tegen incidenten die een fysieke schade aan personen of objecten tot gevolg kunnen hebben.
Referentie
Referentie
normenkader(s)
beheersmaatregelen
BIO (v1.04)
11
ISO 27001 (2013)
-
CIS top 20 (v8)
-
NIST CSF (v1.1)
PR-AC.2, PR-AT.5, PRIP.5, DE-CM.2
13. IT-operatie
Draagt zorg voor het operationeel houden van de ITdiensten.
14. Bedrijfscontinuïteitsbeheer
Draagt zorg voor het herstellen en voorzetten van de bedrijfsvoering na het optreden van een calamiteit in overeenstemming met de hiervoor afgesproken dienstenniveaus.
15. Ketenbeheer
Draagt zorg voor het bewaken van de levering van de afgesproken dienstverlening door (interne en externe) leveranciers.
Referentie
Referentie
normenkader(s)
beheersmaatregelen
BIO (v1.04)
12.1.3, 12.3
ISO 27001 (2013)
-
CIS top 20 (v8)
11
NIST CSF (v1.1)
PR-DS.4, PR-IP.4
Referentie
Referentie
normenkader(s)
beheersmaatregelen
BIO (v1.04)
17
ISO 27001 (2013)
-
CIS top 20 (v8)
11
NIST CSF (v1.1)
PR-IP.9, PR-IP.10
Referentie
Referentie
normenkader(s)
beheersmaatregelen
BIO (v1.04)
15
ISO 27001 (2013)
6, 8.2, 8.3
CIS top 20 (v8)
15
NIST CSF (v1.1)
ID-BE, ID-AM.6 PRAT-3
Rekenkamer(commissie)s gemeenten Berg en Dal, Beuningen, Nijmegen en Wijchen Bijlage 2, bladzijde 6
Weten wat je moet weten
Beoordelings- of toetsingsnormen privacybescherming In de volgende tabel zijn de beoordelings- of toetsingsnormen voor onderzoeksdeel B (Privacybescherming) opgenomen.
Deelvragen met beoordelings- of toetsingsnormen onderzoeksdeel B. Privacybescherming Deelvraag
Beoordelings- of toetsingsnormen
B1. Wat zijn de gemeentelijke beleidskaders t.a.v.
1e deel: geen / beschrijvende vraag.
privacybescherming in het sociaal domein? Hoe wordt er geanticipeerd op de AVG?
2e deel: er is een implementatieplan gericht op het voldoen aan de regels uit de AVG.
B2. Voldoen deze beleidskaders aan de gangbare
Als beoordelings- of toetsingsnorm voor ‘gangbare
standaarden en wetgeving?
standaarden en wetgeving’ zijn de thema’s en bijbehorende artikelen uit de AVG gehanteerd. Deze zijn opgenomen in een afzonderlijke tabel.
B3. Hoe is het beleid uitgewerkt en geborgd in
Een goede uitwerking en borging betekent:
processen? Hierbij moet ook aandacht zijn voor de
-
samenwerking met eventuele (keten)partners.
Het beleid is vertaald in activiteiten in een volledig en actueel uitvoeringsprogramma, met per activiteit toegekende: -
bevoegdheden en verantwoordelijkheden
-
beschikbare middelen (personeel en financieel). / Advies CyberSecurityRaad 2017: 10% van het IT-budget als maatstaf nemen voor digitale veiligheid.
-
De uitvoering wordt actief (bijgestuurd) op basis van de principes van de PDCA-cyclus (cyclisch werken).
B4. Hoe is de toegang tot dossiers (autorisaties)
Een goed geregelde toegang/autorisaties betekent
geregeld? Hierbij moet ook aandacht zijn voor de
dat toegang tot persoonsgegevens functiegebonden
samenwerking met eventuele (keten)partners.
is en gebaseerd is op het ‘need to know’ principe. En dat er: -
een actuele autorisatiematrix voor de belangrijkste applicaties is;
-
een monitoringsproces is ingericht, waarmee periodiek gecontroleerd wordt of de uitgegeven autorisaties nog actueel zijn;
-
verwerkersovereenkomsten en/of convenanten zijn afgesloten met ketenpartners, waarin de vereisten en benodigde maatregelen met betrekking tot de gegevensuitwisseling zijn vastgelegd.
Rekenkamer(commissie)s gemeenten Berg en Dal, Beuningen, Nijmegen en Wijchen Bijlage 2, bladzijde 7
Weten wat je moet weten
Deelvragen met beoordelings- of toetsingsnormen onderzoeksdeel B. Privacybescherming Deelvraag
Beoordelings- of toetsingsnormen
B5. In hoeverre worden de beleidskaders en
Geen normen / beschrijvende vraag.
vastgestelde processen en regels nageleefd in de
Kernwoorden bij beschrijving:
praktijk in de gemeenten (en binnen iRvN)? Hierbij
-
opzet – bestaan – werking
moet ook aandacht zijn voor de samenwerking met
-
situatie in vergelijkbare gemeenten
eventuele (keten)partners. B6. Wanneer en op welke manier geven burgers
Geen normen / beschrijvende vraag.
toestemming voor het gebruik en verwerken van
Kernwoorden bij beschrijving:
gegevens?
-
opzet – bestaan – werking
-
situatie in vergelijkbare gemeenten
B7. Op welke manier worden burgers geïnformeerd
Geen / beschrijvende vraag.
over het gebruik en de verwerking van hun
Kernwoorden bij beschrijving:
persoonsgegevens?
-
opzet – bestaan – werking
-
situatie in vergelijkbare gemeenten
B8. Hoe ziet het toezicht op de omgang met de
Geen / beschrijvende vraag.
persoonsgegevens eruit, op papier en in de praktijk?
Kernwoorden bij beschrijving:
Hierbij moet ook aandacht zijn voor de
-
opzet – bestaan – werking
samenwerking met eventuele (keten)partners.
-
situatie in vergelijkbare gemeenten
B9. Op welke manier worden gemeentelijke
Voor een goed proces van bewustwording geldt:
medewerkers bewust gemaakt van hun
-
verantwoordelijkheden ten aanzien van het bewaken van de privacy van persoonsgegevens? Daarbij kan
voor de diverse categorieën medewerkers; -
worden gedacht aan onder meer trainingen en ondersteuning, maar ook via functie-omschrijvingen,
de bewustwordingsacties worden gericht ingezet de bewustwordingsacties zijn onderdeel van een proces van continu verbeteren (zie A7);
-
aandacht in functioneringsgesprekken etc.
gegeven de steeds nieuwe veiligheidsdreigingen en – risico’s wordt de PDCA-cyclus (ook) met een hoge frequentie doorlopen.
B10. In hoeverre heeft de gemeente een balans
Een goede balans betekent:
gevonden tussen regels en procedures rondom de
-
aandacht voor mogelijke tegenstellingen tussen
bescherming van privacy enerzijds en een goede
regels en procedures rondom de bescherming
dienstverlening aan de burger anderzijds?
van privacy en een goede dienstverlening in het privacybeschermingsbeleid en de vertaling daarvan naar de uitvoering; -
het actief uitdragen van het privacybeschermingsbeleid van bovenaf in de organisatie;
-
een hoge mate van bewustzijn onder medewerkers (zie B9);
-
een goede informatieverstrekking aan burgers;
-
het bieden van een platform aan burgers om de privacyrechten uit te kunnen oefenen;
-
dat het zoeken daarnaar onderdeel is van een continu proces van verbeteren (zie A7).
Rekenkamer(commissie)s gemeenten Berg en Dal, Beuningen, Nijmegen en Wijchen Bijlage 2, bladzijde 8
Weten wat je moet weten
Volwassenheidsmodel Privacybescherming Voor het bepalen van het volwassenheidsniveau voor privacybescherming is de Privacy Baseline (versie 3.3) van het Centrum Informatiebeveiliging en Privacybescherming (CIP) gehanteerd. Deze Privacy Baseline is gebaseerd op de AVG, de basiswet die sinds 25 mei 2018 in de hele Europese Unie het verzamelen, verwerken en beveiligen van persoonsgegevens regelt. In onderstaande tabel zijn de 13 thema’s uit de Privacy Baseline opgenomen en is: •
de korte beschrijving uit de Privacy Baseling overgenomen;
•
een verwijzing opgenomen naar de bijbehorende artikelen uit de AVG.
1. Privacybeleid
Artikel AVG
De organisatie heeft een privacybeleid en procedures ontwikkeld en vastgesteld
5, 24, 40
waarin is vastgelegd op welke wijze persoonsgegevens worden verwerkt en invulling wordt gegeven aan de wettelijke beginselen 2. Organisatie
Artikel AVG
Het doel van een heldere verdeling van taken en bevoegdheden, van middelen en
5, 37, 38, 39
rapportagelijnen is waarborgen dat op de juiste wijze invulling wordt gegeven aan de eisen van het privacybeleid en de AVG. Daarnaast omvat het thema organisatie ook de bewustwording op de werkvloer van het bestaan van privacy, de privacyregels en hoe dit intern is georganiseerd. 3. Risicobeheer
Artikel AVG
Beoordeling van de privacy risico’s (de kans en hun potentiële omvang/impact) is
24, 25, 35, 36, 42
nodig om te bepalen hoe deze, door het treffen van maatregelen, teruggebracht kunnen worden tot binnen grenzen die de organisatie acceptabel acht. De verwerkingsverantwoordelijke neemt passende technische en organisatorische maatregelen om de waarborgen van de AVG in de verwerking in te bouwen. 4. Doelbinding gegevensverwerking
Artikel AVG
De verwerkingsverantwoordelijke heeft van alle verzamelingen en verwerkingen van
5, 6, 9, 10, 22, 23
persoonsgegevens tijdig, welbepaald en uitdrukkelijk omschreven: de doeleinden en de rechtvaardigingsgronden. 5. Register van verwerkingsactiviteiten
Artikel AVG
De verwerkingsverantwoordelijke en de verwerker hebben hun gegevens over de
30
gegevensverwerkingen in een register vastgelegd, daarbij biedt het register een actueel en samenhangend beeld van de gegevensverwerkingen, processen en technische systemen die betrokken zijn bij het verzamelen, verwerken en doorgeven van persoonsgegevens.
Rekenkamer(commissie)s gemeenten Berg en Dal, Beuningen, Nijmegen en Wijchen Bijlage 2, bladzijde 9
Weten wat je moet weten
6. Kwaliteitsmanagement
Artikel AVG
De verwerkingsverantwoordelijke heeft kwaliteitsmanagement ingericht ten
7 lid 3, 11 lid 2, 12,
behoeve van de bewaking van de juistheid en nauwkeurigheid van
16, 17, 18, 19, 20,
persoonsgegevens. De verwerking is zo ingericht dat de persoonsgegevens kunnen
21, 22, 23
worden gecorrigeerd, gestaakt of overgedragen. Als dit op verzoek van betrokkene gebeurt wordt deze over de status van de afhandeling geïnformeerd. 7. Beveiligen van de verwerking van persoonsgegevens
Artikel AVG
Elke organisatie die persoonsgegevens verwerkt dient passende technische en
26, 28 en 32
organisatorische maatregelen te nemen om de veiligheid van de persoonsgegevens te waarborgen. 8. Informatieverstrekking aan betrokkenen bij verzameling
Artikel AVG
persoonsgegevens De verwerkingsverantwoordelijke stelt bij elke verzameling van persoonsgegevens
12, 13, 14, 15
tijdig en op een vastgelegde en vastgestelde wijze informatie aan de betrokkene beschikbaar, zodat de betrokkene, tenzij een uitzondering geldt, toestemming kan geven voor de verwerking. 9. Bewaren van persoonsgegevens
Artikel AVG
Door het treffen van de benodigde maatregelen hanteert de organisatie voor
5
persoonsgegevens bewaartermijnen die niet worden overschreden. 10. Doorgifte persoonsgegevevens
Artikel AVG
Bij doorgifte aan een andere verwerkingsverantwoordelijke zijn de onderlinge
26, 27, 28, 29, 44,
verantwoordelijkheden duidelijk en bij de doorgifte aan een verwerker zijn er
45, 46, 47, 48, 49,
afdoende garanties. Bij de doorgifte naar landen buiten de EU:
96
• is er een vertegenwoordiger, en; • is geen sprake van uitzonderingsgronden en; • geldt een door de Europese Commissie genomen adequaatheidsbesluit, of; • zijn er passende waarborgen, of; • geldt een afwijking voor een specifieke situatie. 11. Intern toezicht
Artikel AVG
Door of namens de verwerkingsverantwoordelijke vindt evaluatie plaats van de
5, 37, 38, 39
gegevensverwerkingen en is de rechtmatigheid aangetoond. 12. Toegang gegevensverwerking voor betrokkene
Artikel AVG
De verwerkingsverantwoordelijke biedt de betrokkene informatie over de verwerking
11, 12, 15, 22 en
van persoonsgegevens en doet dit tijdig en in een passende vorm, zodat de
86
betrokkene zijn rechten kan uitoefenen, tenzij er een specifieke uitzonderingsgrond geldt.
Rekenkamer(commissie)s gemeenten Berg en Dal, Beuningen, Nijmegen en Wijchen Bijlage 2, bladzijde 10
Weten wat je moet weten
13. Meldplicht datalekken
Artikel AVG
De verwerkingsverantwoordelijke meldt een datalek binnen de daaraan gestelde
33, 34
termijn aan de AP, documenteert de inbreuk en informeert de betrokkene. Tenzij hiervoor een uitzondering geldt.
Rekenkamer(commissie)s gemeenten Berg en Dal, Beuningen, Nijmegen en Wijchen Bijlage 2, bladzijde 11
Weten wat je moet weten
Stadia van volwassenheid: omschrijving en indicatieve criteria Op basis van de geanalyseerde documenten en gevoerde gesprekken hebben de externe onderzoekers een inschatting gemaakt van het volwassenheidsniveau van de gemeenten en iRvN per aandachtsgebied (informatiebeveiliging) en thema (privacybescherming). Volwassenheidsniveau 1 is het laagste en volwassenheidsniveau 5 het hoogste niveau. De onderscheiden niveaus zijn in onderstaande tabel toegelicht.
Niveau
Omschrijving
Indicatieve criteria
1. Ad-hoc
Beheersmaatregelen zijn
•
Geen of beperkte beheersmaatregelen
gedefinieerd en/of worden
•
Niet of ad-hoc uitgevoerd
op inconsistente wijze
•
Niet/deels gedocumenteerd
uitgevoerd. Grote
•
Wijze van uitvoering afhankelijk van individu
Beheermaatregelen zijn
•
Beheersmaatregelen zijn geïmplementeerd
aanwezig en worden op
•
Uitvoering is consistent en standaard
consistente en
•
Ad-hoc en grotendeels gedocumenteerd
•
Beheersmaatregel gedefinieerd op basis van
niet of gedeeltelijk
geïmplementeerd
afhankelijkheid van individuen. 2. Beheerst
gestructureerde, maar op informele wijze uitgevoerd. 3. Vastgesteld
Beheersmaatregelen zijn gedocumenteerd en worden
risico assessment
op gestructureerde en
•
geformaliseerde wijze
•
uitgevoerd. De uitvoering is aantoonbaar en wordt
Gedocumenteerd en geformaliseerd Verantwoordelijkheden en taken eenduidig toegewezen
•
getoetst.
Opzet, bestaan en effectieve werking aantoonbaar
•
Rapportage van uitvoering van beheersmaatregelen aan management
•
Effectieve werking van beheersmaatregelen wordt periodiek getoetst, gebaseerd op het risicoprofiel van de organisatie
•
De toetsing toont aan dat de beheersmaatregel effectief is
4. Voorspelbaar
De effectiviteit van de
•
beheersmaatregelen wordt periodiek geëvalueerd.
Periodieke (beheersmaatregel) evaluatie en opvolging vindt plaats
•
Evaluatie is gedocumenteerd en geformaliseerd
•
Frequentie waarop wordt geëvalueerd is gebaseerd op het risicoprofiel van de organisatie en is minimaal jaarlijks
•
Rapportage van de evaluatie aan management
Rekenkamer(commissie)s gemeenten Berg en Dal, Beuningen, Nijmegen en Wijchen Bijlage 2, bladzijde 12
Weten wat je moet weten
Niveau
Omschrijving
Indicatieve criteria
5. Geoptimaliseerd
De beheermaatregelen zijn
•
Continue evalueren van de beheersmaatregelen
verankerd in het integrale
om de effectiviteit te verbeteren. Gebruik
risicomanagement
makend van resultaten uit self-assessments,
raamwerk, waarbij continu
gap- en root cause analyses
gezocht wordt naar
•
verbetering.
De getroffen beheersmaatregelen worden gebenchmarkt en zijn ‘best practice’ in vergelijking met andere organisaties
•
Real time monitoring
•
Inzet automated tooling
Rekenkamer(commissie)s gemeenten Berg en Dal, Beuningen, Nijmegen en Wijchen Bijlage 2, bladzijde 13
Weten wat je moet weten
Beoordelings- of toetsingsnormen kaderstellende en controlerende rol van de raad In de volgende tabel zijn de beoordelings- of toetsingsnormen voor onderzoeksdeel C opgenomen (de kaderstellende en controlerende rol van de raad).
Deelvragen met beoordelings- of toetsingsnormen voor onderzoeksdeel C. Kaderstelling en controle door de gemeenteraden Deelvraag
Beoordelings- of toetsingsnormen
C1. Op welke wijze verloopt het proces van
Deels beschrijvende, en deels beoordelende vraag.
kaderstelling en controle door de gemeenteraden tot op heden t.a.v. de informatiebeveiliging en
-
Geven de gemeenteraden daadwerkelijk invulling aan hun kaderstellende rol, dat wil
privacybescherming in hun gemeente, en hoe moet
zeggen het vaststellen van de hoofdlijnen van
dit proces en het resultaat ervan worden beoordeeld?
het beleid? -
Geven de gemeenteraden daadwerkelijk invulling aan hun controlerende rol, dat wil zeggen het controleren of het beleid is uitgevoerd binnen de gestelde kaders?
Deels beschrijvende, en deels beoordelende vraag.
C2. Op welke wijze faciliteren de colleges de kaderstelling en controle door de gemeenteraden, met name ten aanzien van de informatievoorziening aan de raden?
-
Doen de colleges voldoende in termen van hun passieve en actieve informatieplicht jegens de raden? Actieve informatieplicht = verstrekken van alle informatie, die de raad nodig heeft voor de uitoefening van zijn taken.
C3. Welke voorwaarden en vereisten kunnen worden
Geen normen / beschrijvende vraag.
geïdentificeerd om de kaderstelling en controle beter te laten verlopen? In het bijzonder moet daarbij aandacht zijn voor de inrichting van de informatievoorziening. C4. Zijn er elders in het land relevante best practices
Geen normen / beschrijvende vraag.
ten aanzien van een goed verlopend proces van kaderstelling en controle door de gemeenteraad op dit gebied, en wat zijn de belangrijkste lessen die daaruit kunnen worden geleerd?
Rekenkamer(commissie)s gemeenten Berg en Dal, Beuningen, Nijmegen en Wijchen Bijlage 2, bladzijde 14
Weten wat je moet weten
BIJLAGE 3: 10 BESTUURLIJKE PRINCIPES VOOR INFORMATIEBEVEILIGING VNG RESOLUTIES DIGITALE VEILIGHEID (2021) EN INFORMATIEBEVEILIGING (2013) In deze bijlage zijn achtereenvolgens de hoofdlijnen opgenomen uit: •
de 10 bestuurlijke principes voor informatiebeveiliging;
•
VNG-resolutie digitale veiligheid (2021);
•
VNG-resolutie informatiebeveiliging (2013).
10 bestuurlijke principes voor informatiebeveiliging In 2019 heeft de VNG 10 bestuurlijke principes voor informatiebeveiliging benoemd. Het gaat om een aanvulling op de BIO voor bestuurders. In deze bijlage hebben wij de 10 principes en de toelichting daarop opgenomen. In het document met de 10 bestuurlijke principes wordt per principe ook nog ingegaan op de rol van bestuurders bij het borgen van informatiebeveiliging. Voor het gehele document verwijzen wij naar de betreffende webpagina van de VNG. 1. Bestuurders bevorderen een veilig cultuur Menselijk gedrag en cultuur beïnvloeden op significante wijze alle aspecten van risicomanagement op elk niveau en in elk stadium. 2. Informatiebeveiliging is van iedereen Passende en tijdige betrokkenheid van belanghebbenden maakt het mogelijk dat hun kennis, opvattingen en percepties in aanmerking worden genomen. Dit resulteert in een verbeterd bewustzijn en goed geïnformeerd risicomanagement. 3. Informatiebeveiliging is risicomanagement Risicomanagement wordt bewust toegepast bij alle organisatie activiteiten. 4. Risicomanagement is onderdeel van de besluitvorming Risicomanagement is onderdeel van alle besluiten en risicomanagement is chefsache. 5.
Informatiebeveiliging behoeft ook aandacht in (keten)samenwerking Het risicomanagementproces is aangepast en staat in verhouding tot de externe en interne context van de organisatie die verband houdt met haar doelstellingen. 6. Informatiebeveiliging is een proces Risico’s kunnen ontstaan, veranderen of verdwijnen als de externe en interne context van een organisatie verandert. Risicomanagement detecteert en anticipeert op die veranderingen en gebeurtenissen op een gepaste en tijdige manier. 7. Informatiebeveiliging kost geld Risico’s moeten behandeld worden en er zijn vele manieren om veiligheid te realiseren, maar aan alle zijn kosten verbonden.
Rekenkamer(commissie)s gemeenten Berg en Dal, Beuningen, Nijmegen en Wijchen Bijlage 3, bladzijde 1
Weten wat je moet weten
8. Onzekerheid dient te worden ingecalculeerd De input voor risicomanagement is gebaseerd op historische en actuele informatie, evenals op toekomstige verwachtingen. Risicomanagement houdt expliciet rekening met eventuele beperkingen en onzekerheden die aan dergelijke informatie en verwachtingen zijn verbonden. Informatie moet tijdig, duidelijk en beschikbaar zijn voor relevante belanghebbenden. 9. Verbetering komt voort uit leren en ervaring Risicobeheer wordt voortdurend verbeterd door leren en ervaring. 10. Het bestuur controleert en evalueert Risicomanagement is het controleren en evalueren van resultaten, evenals het nemen van eindverantwoordelijkheid en het doorhakken van lastige knopen. VNG-resolutie digitale veiligheid (2021) Op 12 februari 2021 is de resolutie ‘Digitale Veiligheid: kerntaak voor gemeenten’ unaniem aangenomen door de leden van de VNG. In de resolutie worden de leden van de VNG opgeroepen: •
incidenten te delen met de IBD wanneer een dergelijk incident ook zou kunnen optreden bij andere gemeenten en / of andere sectoren;
•
jaarlijks een incidentoverzicht op categorieniveau te delen met de IBD, zodat een compleet inzicht bestaat van dreigingen, trends en ontwikkelingen;
•
een digitaal incidentbestrijdingsplan vast te stellen en jaarlijks te actualiseren;
•
invulling te geven aan de noodzakelijke intergemeentelijke solidariteit bij (gemeentelijke) digitale incidenten mede op aangeven van de Informatiebeveiligingsdienst;
•
periodiek te oefenen met cyberincidenten om daarmee de gemeentelijke weerbaarheid te toetsen en te vergroten;
•
periodiek het onderwerp digitale veiligheid in het college van B&W te agenderen;
•
in de Integrale Veiligheidsplannen ook de digitale aspecten expliciet te benoemen: •
de veiligheid van de samenleving bij het optreden van digitale incidenten;
•
het voorkomen en bestrijden van cybercriminaliteit;
•
het beveiligen van de informatie waarvoor zij verantwoordelijkheid draagt.
De tekst van de hele resolutie is te lezen via de hiervoor opgenomen link. VNG-resolutie informatieveiligheid (2013) Op 29 november 2013 is de resolutie ‘Informatieveiligheid, randvoorwaarde voor de professionele gemeente’ aangenomen door de leden van de VNG. In de resolutie hebben de leden van de VNG ingestemd met de volgende punten: 1. Informatieveiligheid wordt onderdeel van de collegeambities 2014-2018 en wordt opgenomen in de portefeuille van een van de leden van het college van B&W. 2. Gemeenten zorgen voor verankering van informatieveiligheid op de gemeentelijke agenda, waarbij het college de gemeenteraad informeert. Dit gebeurt door middel van een aparte paragraaf informatieveiligheid in het jaarverslag.
Rekenkamer(commissie)s gemeenten Berg en Dal, Beuningen, Nijmegen en Wijchen Bijlage 3, bladzijde 2
Weten wat je moet weten
3. Gemeenten stellen de Baseline Informatiebeveiliging Gemeenten vast als hét gemeentelijke basisnormenkader voor informatieveiligheid. 4. Gemeenten stellen informatieveiligheidsbeleid vast aan de hand van de Baseline Informatiebeveiliging Gemeenten. 5. Uitvoering van dat beleid wordt gebaseerd op eigenstandige risicoafwegingen. Gemeenten zijn zich daarbij bewust van de (continu veranderende) informatieveiligheidsrisico’s die ze lopen en nemen hierop adequate maatregelen. 6. Gemeenten borgen informatieveiligheid bestuurlijk en organisatorisch door aansluiting in de reeds bestaande planning- en controlcyclus. Gemeenten creëren hiernaast, door middel van leren en ontwikkelen, blijvend bewustzijn op informatieveiligheid. 7. Gemeenten maken de lokale invulling rondom het thema van informatieveiligheid transparant voor burgers, bedrijven en (keten)partners. Deze transparantie wordt ondermeer behaald door gebruik te maken van waarstaatjegemeente.nl. Deze openbare informatie vormt de basis voor jaarlijkse collegiale beoordeling (peer reviews). Daarnaast toetst een interbestuurlijke visitatiecommissie, tenminste eens in de vijf jaar, of het systeem van ‘verplichtende zelfregulering’ voldoende werkt. Daarnaast hebben de leden met het vaststellen van de resolutie een aantal opdrachten aan het bestuur van de VNG gegeven.
De tekst van de hele resolutie is te lezen via de hiervoor opgenomen link.
Rekenkamer(commissie)s gemeenten Berg en Dal, Beuningen, Nijmegen en Wijchen Bijlage 3, bladzijde 3
Weten wat je moet weten
BIJLAGE 4: OVERZICHT 60 VERPLICHTE BIO-DOCUMENTEN De Baseline Informatiebeveiliging Overheid (BIO) is het basisnormenkader voor informatiebeveiliging binnen de overheid (Rijk, provincies, gemeenten, waterschappen). De BIO vervangt voor gemeenten de sinds 2012 geldende Baseline Informatiebeveiliging Nederlandse Gemeenten (BIG). Afgesproken is dat alle overheidslagen 2019 als overgangsjaar zouden gebruiken voor de implementatie van de BIO en dat ze deze vanaf 1 januari 2020 verplicht hanteren. Op basis van de BIO dienen overheden te beschikken over de volgende 60 verplichte documenten:
#
Referentie beheersmaatregel
Referentie normenkader ISO 27001 1
1
1
4.3
Toepassingsgebied van het ISMS
2
5.2
Informatiebeveiligingsbeleid
3
6.1.2
Risicobeoordelingsprocedure
4
6.1.3
Risico Behandelprocedure
5
6.2
Informatiebeveiligingsdoelstellingen
6
7.2
Competenties
7
7.5.1
Informatie noodzakelijk voor de doeltreffendheid van het ISMS
8
7.5.3
Informatie van externe oorsprong nodig voor de planning en uitvoering van het ISMS
9
8.1
Informatie die nodig is om te zien dat de processen volgens planning zijn uitgevoerd
10
8.2
Resultaten van de risicobeoordelingen
11
8.3
Rapport risicobehandeling
12
9.1
Resultaten van het monitoren en meten
13
9.2
Interne auditprogramma en de auditresultaten
14
9.3
Resultaten van de directiebeoordeling
15
10.1
Afwijkingen, de genomen maatregelen en het resultaat van de maatregelen
16
A.6.1.1
Rollen en verantwoordelijkheden voor IB
17
A.6
Governance en rapportagelijn
18
A.6.2.1.
Beleid voor mobiele apparatuur
19
A.6.2.2
Beleid voor telewerken
De BIO is gebaseerd op de ISO 27001. Zie bijlage 2 voor een nadere toelichting. Rekenkamer(commissie)s gemeenten Berg en Dal, Beuningen, Nijmegen en Wijchen Bijlage 4, bladzijde 1
Weten wat je moet weten
#
Referentie
Referentie beheersmaatregel
normenkader ISO 27001 20
A.6.1.5
Informatiebeveiliging in projecten
21
A.7.1.1
Screening
22
A.7.2.2
Training en awareness
23
A.8.1.1
Inventariseren van bedrijfsmiddelen
24
A.8.1.3
Aanvaardbaar gebruik van bedrijfsmiddelen
25
A.8.2.2
Procedure informatie labelen en classificatie
26
A.8.2.3
Procedures voor het behandelen van bedrijfsmiddelen
27
A.8.3.1
Procedure beheer van verwijderbare media
28
A.9.1.1
Beleid voor toegangsbeveiliging
29
A.9.1.2
Registratie- en uitschrijvingsprocedure voor toegangsrechten
30
A.9.2.2
Gebruikerstoegangsverleningsprocedure
31
A.9.2.4
Beheersproces voor het beheer van geheime authenticatie- informatie van gebruikers
32
A.9.4.2
Beveiligde inlogprocedures
33
A.10.1.1
Beleid inzake het gebruik van cryptografische beheersmaatregelen
34
A.10.1.2
Beleid m.b.t. sleutelbeheer
35
A.11
Fysiek beleid inclusief zonering
36
A.11.1.5
Procedure werken in beveiligde gebieden
37
A.11.2.9
‘Clear desk’- en ‘clear screen’-beleid
37
A.12.1.2
Wijzigingsbeheer
39
A.12.3.1
Backup beleid
40
A.12.1.1
Gedocumenteerde bedieningsprocedures
41
A.12.4.1
Logbestanden van gebeurtenissen
42
A.12.4.3
Logbestanden van beheerders en operators
43
A.12.5.1
Procedure software installeren op operationele systemen
44
A.12.6
Patchmanagement
45
A.12.6
Kwetsbaarhedenbeheer
46
A.13.2.1
Beleid en procedures voor Informatietransport
47
A.13.2.4
Vertrouwelijkheids- of geheimhoudingsovereenkomst
Rekenkamer(commissie)s gemeenten Berg en Dal, Beuningen, Nijmegen en Wijchen Bijlage 4, bladzijde 2
Weten wat je moet weten
#
Referentie
Referentie beheersmaatregel
normenkader ISO 27001 48
A.14.2.1
Beleid voor beveiligd ontwikkelen
49
A.14.2.2
Procedures voor wijzigingsbeheer met betrekking tot systemen
50
A.14.2.5
Principes voor engineering van beveiligde systemen
51
A.15.1.1
Informatiebeveiligingsbeleid voor leveranciersrelaties
52
A.15.1.2
Opnemen van beveiligingsaspecten in leveranciersovereenkomsten
53
A.16.1.1
Verantwoordelijkheden en procedures m.b.t. incidenten
54
A.16.1.2
Rapportage van informatiebeveiligingsgebeurtenissen
55
A.16.1.3
Rapportage van zwakke plekken in de informatiebeveiliging
56
A.16.1.5
Respons op informatiebeveiligingsincidenten
57
A.16.1.7
Procedure verzamelen van bewijsmateriaal
58
A.17.1.2
Informatiebeveiligingscontinuïteit implementeren
59
A.18.1.1
Vaststellen van toepasselijke wetgeving en contractuele eisen
60
A.18.1.2
Procedure intellectuele eigendomsrechten
Rekenkamer(commissie)s gemeenten Berg en Dal, Beuningen, Nijmegen en Wijchen Bijlage 4, bladzijde 3
Weten wat je moet weten
BIJLAGE 5: STRATEGISCHE, TACTISCHE EN OPERATIONELE KADERS UIT DE BASISAFSPRAKEN ICT-DIENSTEN De dienstverlening van iRvN aan de deelnemende gemeenten is vastgelegd in het document ‘Basisafafspraken ICT-diensten’ (verder: Basisafspraken) 1. Daarin zijn ook strategische-, tactische en operationele kaders opgenomen. De aard van de kaders is in de Basisafspraken als volgt toegelicht: De strategische kaders zijn algemeen van aard, bestrijken een langere periode (vier tot vijf
•
jaar) en vragen besluitvorming/bepaling door bestuurders; De tactische kaders zijn een uitwerking van de strategische kaders, zijn gesteld in heldere
•
afspraken over het handelen die gemanaged kunnen worden en bestrijken een kortere periode (één tot drie jaar); De operationele kaders betreffen de uitvoering, het ‘doen’, en zijn concreet verwoord.
•
In deze bijlage zijn de strategische kaders overgenomen. Om een indruk te krijgen, is ook een aantal tactische en operationele kaders opgenomen. Strategische kaders 1.
We werken samen, tenzij… 2;
2.
We zetten in op optimale inzet van binnen de regio beschikbare ICT-middelen, met het oog op bedrijfscontinuïteit;
3.
We werken onder architectuur, zoals gemeentelijk architectuur, GEMMA 3 en NORA 4;
4.
We sluiten aan bij landelijke ontwikkelingen, wettelijke ontwikkelingen, programma's (zoals Open Overheid) en plannen etc, tenzij…;
5.
iRvN is het samenwerkingsplatform op het gebied van technologische ICT-innovaties en landelijke, Europese ICT-programma's;
6.
We streven naar gemeenschappelijk opdrachtgeverschap van gemeenten naar iRvN.
1
Voor dit onderzoek is de versie van de Basisafspraken bestudeerd die gelden vanaf 1 januari 2021.
2
Bij twee strategische kaders is een ‘tenzij’ opgenomen. Daarbij is toegelicht dat het voor een gemeente
mogelijk moet zijn om een afwijkende keuze te maken. Samenwerking is een (zwaarwegende) intentie genoemd, niet een verplichting. Aangegeven is dat afwijkingen geen probleem hoeven te zijn zolang beargumenteerd afgeweken wordt. 3
Voor een toelichting op GEMMA:
https://www.gemmaonline.nl/index.php/Gemeentelijke_Model_Architectuur_(GEMMA) 4
Voor een toelichting op NORA: https://www.digitaleoverheid.nl/overzicht-van-alle-
onderwerpen/standaardisatie-en-architectuur/nora/ Rekenkamer(commissie)s gemeenten Berg en Dal, Beuningen, Nijmegen en Wijchen Bijlage 5, bladzijde 1
Weten wat je moet weten
Tactische kaders Om een indruk te krijgen zijn hierna enkele voorbeelden van tactische kaders uit de Basisafspraken opgenomen. Het nummer achter het voorbeeld verwijst naar het strategisch kader waar het tactische kader een uitwerking van is. •
voor het kantoor-automatiseringsbeleid stellen we gezamenlijke uitgangspunten vast (1);
•
de werkplek is AVG/BIO-compliant (2) 5;
•
iRvN is voorbereid op de implementatie van ‘Common Ground’ 6 infrastructuur (3 en 4);
•
iRvN blijft haar personeelbestand kwalitatief en kwantitatief ontwikkelen in lijn met de landelijke en technologische ontwikkelingen en kaders (5);
•
we dragen gezamenlijk verantwoordelijkheid voor de naleving van privacy- en informatieveiligheid (6).
Operationele kaders Om een indruk te krijgen zijn hierna enkele voorbeelden van operationele kaders uit de Basisafspraken opgenomen. Het nummer achter het voorbeeld verwijst naar het strategisch kader waar het operationele kader aan gekoppeld is. •
we brengen gezamenlijk een prioritering aan in de projecten die in een jaar worden uitgevoerd (1 en 2);
•
alle data-uitwisseling tussen informatiesystemen loopt altijd via iRvN-ESB 7 (3);
•
als wij MFP’s 8 moeten vernieuwen, besteden we landelijk aan, tenzij er reden is dit niet te doen (4);
•
iRvN ondersteunt de gemeenten tijdig en pro-actief bij toekomstige maatschappelijke, technologische en wettelijke ontwikkelingen (5);
•
we stellen jaarlijks samen de Productcatalogus vast die leidend is voor de standaarddienstverlening (6).
5 AVG: Algemene verordening gegevensbescherming. BIO: Baseline Informatiebeveiliging Overheid. 6 Voor een toelichting op ‘Common Ground’: https://www.vngrealisatie.nl/roadmap/common-ground 7
ESB: Een Enterprise Service Bus (ESB) is een software oplossing waarmee de onderlinge communicatie wordt
uitgevoerd voor allerlei verschillende bedrijfssystemen binnen een organisatie. 8
MFP: multifunctionele printer. Rekenkamer(commissie)s gemeenten Berg en Dal, Beuningen, Nijmegen en Wijchen Bijlage 5, bladzijde 2
Weten wat je moet weten
BIJLAGE 6: VOORBEELD VAN RAPPORTAGE AAN DE GEMEENTERAAD In deze bijlage is een voorbeeld opgenomen van een rapportage aan de gemeenteraad voor privacybescherming: het jaarverslag van de Functionaris Gegevensbescherming (FG) van de gemeente Hilversum. De FG van de gemeente Hilversum stelt jaarlijks een compact jaarverslag op. De kern hiervan vormen de ‘bestuurlijke ontwikkellijn’ en de ‘ontwikkellijn per aandachtsgebied’. Aan de hand van een compacte set prestatie-indicatoren en met behulp van symbolen wordt voor beide lijnen op één A4 inzichtelijk gemaakt hoe ver de gemeente is. Daarbij geeft de FG ook steeds een advies. Aan de hand van de scores op de bestuurlijke ontwikkellijn, drukt de FG in één cijfer uit of de sturing op niveau is en, zolang dat nog niet zo is, of er een (voldoende) stijgende lijn te zien in. De gemeenteraad bespreekt het jaarverslag. In de gemeente Amersfoort wordt een ENSIA-verantwoording van het college aan de raad ontwikkeld met een vergelijkbare opzet: in die rapportage worden met behulp van indicatoren en symbolen onder andere de stand van zaken voor de verschillende BIO-domeinen en de landelijke voorzieningen toegelicht. Op dit moment (1 juli 2022) is deze rapportage nog niet openbaar.
Rekenkamer(commissie)s gemeenten Berg en Dal, Beuningen, Nijmegen en Wijchen Bijlage 6, bladzijde 1
FG-verslag 2020-2021 Aan: het college van B&W Gemeente Hilversum Van: de functionaris gegevensbescherming
Inleiding Sinds de invoering van de AVG in 2018, is de functionaris voor gegevensbescherming (FG) voor gemeenten de toezichthouder op de naleving van de AVG, gerelateerde wetgeving en beleidsafspraken. De FG adviseert de gemeente en brengt rechtstreeks verslag uit aan het college. 1 Doel van de AVG is de bescherming van personen bij verwerking van persoonsgegevens (’mens centraal’) en niet zozeer de bescherming van gegevens.2 Dat maakt wezenlijk verschil. Toch wordt in ons land vaak de nadruk gelegd op gegevensbescherming, met als gevolg dat de AVG onnodig restrictief wordt uitgelegd of zich problemen kunnen voordoen zoals de Toeslagenaffaire. FG’s hebben eraan bij te dragen dat de AVG conform de bedoeling wordt gehanteerd. Onder het FG-toezicht vallen zowel binnen- als buitengemeentelijke vormen van gegevensverwerking. Zo heeft Gemeente Hilversum taken op het gebied van jeugd en gezin opgedragen aan de gemeenschappelijke regeling Gooi en Vechtstreek. U blijft als college voor de AVG eindverantwoordelijk en aansprakelijk, mochten inwoners problemen ondervinden door de gegevensverwerking binnen dit samenwerkingsverband.3 De AVG prevaleert boven nationale wet- en regelgeving en reguleert het vermogen van de gemeente om persoonsgegevens te mogen verwerken of dit uit te besteden.
Hiervoor bevat de AVG voorwaarden in de vorm van kwaliteitseisen, transparantieverplichtingen en dienstverleningsvoorschriften zoals facilitering van individuele inzage- en correctiemogelijkheden. Door te handelen naar deze voorwaarden, bewerkstelligt u het groene licht van de AVG.
Beoordeling AVG-naleving Groen licht veronderstelt een volwassen digibewuste cultuur.4 Zover zijn gemeenten vaak nog niet en Hilversum vormt geen uitzondering. Om uw ontwikkeling inzichtelijk te maken, introduceerde ik in 2018 de dashboardrapportages die u aantreft op pagina’s 6 en 7 van dit verslag. • De bestuurlijke ontwikkellijn is meest wezenlijk omdat hieruit blijkt in hoeverre de gemeente beschikt over het vermogen om bescherming van persoonsgegevens duurzaam te waarborgen. • De ontwikkellijn per aandachtsgebied gaat over de vraag in hoeverre u erin slaagt om ook groen licht te verdienen op uitvoeringsniveau. 1 Artikel 37-39 AVG. 2 Artikel 1 AVG - waarbij aangetekend dat het niet alleen gaat om bescherming van de persoon in kwestie maar ook om de bescherming van
anderen zoals bijvoorbeeld omwonenden. 3 EU/EDPB Guidelines on the concepts of controller and processor, 07/2020. 4 Het tegenovergestelde van digibetocratie.
2/8
Naleving van de AVG is iets kwalitatiefs en laat zich niet gemakkelijk in een cijfer uitdrukken. Toch stelt met name de bestuurlijke ontwikkellijn in staat om een beoordeling af te geven, door de vraag te stellen in hoeverre het beleidsthema de aandacht krijgt die het verdient. Het is welbegrepen dat er andere beleidsthema’s zijn die belangrijk zijn, maar dat neemt niet weg dat de aandacht voor bescherming van personen bij gegevensverwerking 100% behoort te zijn, of in ieder geval meer dan 90%.5 Voor Gemeente Hilversum bedroeg dat percentage 2018 en 2019 nog 25% respectievelijk 50%, in 2020 is dit verder gestegen naar 63%. Dat is een opgaande lijn. De bestuurlijke ontwikkellijn had wellicht een steiler verloop gehad als in 2020 de coronacrisis niet was uitgebroken.