20221124 7 rv Onderzoek rekenkamercommissie digitale veiligheid en privacy.pdf

Raadsvoorstel Datum

: 24 november 2022

Kenmerk

: Z130403/Raad-00788

Portefeuillehouder

: auditcommissie gemeente Bronckhorst

Onderwerp

: Onderzoeksrapport rekenkamercommissie informatiebeveiliging en privacy

Geachte leden van de gemeenteraad, Voorstel 1. Het onderzoeksrapport ‘informatiebeveiliging en privacy’ vast te stellen. 2. De conclusies uit het onderzoek over te nemen. 3. Het college van b en w te verzoeken de aanbevelingen uit het rapport over te nemen, hiermee aan de slag te gaan en de raad daarvan actief op de hoogte te stellen. Inleiding De rekenkamercommissie van de gemeente Bronckhorst heeft een onderzoek uit laten voeren naar de informatieveiligheid en privacy in de gemeente Bronckhorst. Gemeenten verwerken steeds meer persoonlijke en gevoelige data en uit recente voorbeelden bij andere gemeenten is gebleken dat beveiligingsrisico’s kunnen leiden tot hacks en datalekken. Er is onderzocht welke kwetsbaarheden de beveiliging van de informatie van de gemeente kent en op welke wijze Bronckhorst omgaat met de privacygevoelige gegevens en informatie waarover zij beschikt. Uit het onderzoek is gebleken dat de gemeente Bronckhorst geen kritieke beveiligingsrisico’s kent en de nodige stappen zet om te voldoen aan de basisrichtlijnen voor informatiebeveiliging en privacy. Maar daarmee is Bronckhorst er nog niet: de gemeente is niet volledig in control. Zo beschikt de gemeente wel over relevante protocollen en richtlijnen, maar niet over een actueel, door het college vastgesteld, informatieveiligheidsbeleid.

Uit PEN-testen (toetsen van computersystemen op kwetsbaarheden) is gebleken dat de gemeente een kwetsbaarheid kent door de alertheid van medewerkers op het gebied van wachtwoordgebruik en het toepassen van de beveiligingsprotocollen. Ook is gebleken dat de gemeente posities op informatiebeveiliging ingevuld heeft, maar dat de formatie kwetsbaar is. De gemeente Bronckhorst is aangesloten bij een regionaal samenwerkingsverband op het gebied van ICT. Deze samenwerking kent diverse risico’s die momenteel onvoldoende worden onderkend. Zo kent de samenwerking geen afspraken over harmonisatie van beleid bij de aangesloten gemeenten en is er geen onderlinge aansprakelijkheid vastgelegd. Uit het rapport blijkt ook dat de raad onvoldoende wordt betrokken bij het onderwerp.

Afstemming Het onderzoeksrapport is besproken met het college van b en w en de ambtelijke organisatie Het college van B en W is in een bestuurlijke reactie inhoudelijk ingegaan op het onderzoek en de conclusies en aanbevelingen. De bestuurlijke reactie vindt u als separate bijlage. Het is de verantwoordelijkheid van uw raad om een vervolg te geven aan het onderzoek. Beoogd effect Uw raad is in het voortraject geïnformeerd over het rapport. Door middel van een inhoudelijk debat tijdens uw vergadering kunt u het belang van de informatiebeveiliging en privacy onderstrepen. Door de conclusies en aanbevelingen over te nemen en te implementeren waarborgt uw raad de informatie- en privacybeveiliging en verkleint u hiermee de risico’s op datalekken en hacks. De conclusies en aanbevelingen zijn concreet geformuleerd, waardoor u het college opdracht kan geven deze uit te voeren en de gevolgde stappen duidelijk gemonitord kunnen worden. U kunt hierdoor uw controlerende taak optimaal uitvoeren. Argumenten 1.1. Het rapport is gemaakt ten behoeve van uw raad De rekenkamercommissie voert onderzoeken uit ter ondersteuning van de gemeenteraad. Het onderzoek ‘informatieveiligheid en privacy’ heeft alle stappen doorlopen en kan door uw raad worden vastgesteld. 2.1. De conclusies zijn gebaseerd op onafhankelijk onderzoek Het rapport is gebaseerd op onafhankelijk onderzoek.

Door de conclusies en aanbevelingen over te nemen geeft u aan dat u de analyses van de onderzoeker deelt. Het college heeft in een bestuurlijke reactie aangegeven de conclusies te onderschrijven. 3.1.

De conclusies en aanbevelingen uit het rapport leiden tot een grotere mate van informatieveiligheid en waarborging van de privacy Door het college te verzoeken de aanbevelingen uit het rapport over te nemen, geeft u de opdracht om proactief te werken aan de verbetering van de informatieveiligheid en het waarborgen van de privacy en te zorgen dat de gemeente ‘in control’ is en blijft. Een actieve informatievoorziening richting uw raad stelt u in staat uw controlerende rol uit te oefenen en indien nodig bij te sturen. 3.1.1. Actualiseer het beleid op informatiebeveiliging en privacy Uit het onderzoek blijkt dat de gemeente Bronckhorst niet beschikt over een actueel informatiebeveiligingsbeleid dat door het college van b en w is vastgesteld. Het huidige beleid was geldig van 2019 tot 2021 en is niet geënt op het landelijk afgesproken basisnormenkader (BIO). In de bestuurlijke reactie onderschrijft het college de noodzaak van een actueel informatiebeveiligings- en privacybeleid. Door het overnemen van de aanbevelingen uit het rapport geeft u het college de opdracht om op korte termijn een actueel informatiebeveiligings- en privacybeleid op te stellen. Het college geeft in de bestuurlijke reactie aan te verwachten dit beleid in begin 2023 vast te kunnen stellen. 3.1.2. Verminder de kwetsbaarheid van de formatie op informatiebeveiliging en

privacy Uit het rapport blijkt dat de formatie op het gebied van informatiebeveiliging en privacy kwetsbaar is. Dit komt onder andere door de positionering van de functies binnen de lijn van Informatisering en Automatisering (I&A), door uitval en door de variabele uren voor de Chief Information Security Officer (CISO). Hierdoor lopen beleids- en implementatieprocessen vertraging op. De kwetsbaarheid kan verminderd worden door de functies los van de lijn te positioneren en een zo volledige mogelijke inzet van het vastgestelde aantal uren. In de bestuurlijke reactie geeft het college van b en w aan dat de CISO en de Functionaris Gegevensbescherming (FG) in de lijn van I&A ook vrij kunnen rapporteren, maar dat zij de posities van de CISO, FG en de Privacy Officer (PO) zal heroverwegen. 3.1.3. Houdt de technische kant van informatiebeveiliging op orde • in opdracht van de rekenkamercommissie zijn er zogenaamde PEN-testen uitgevoerd. Hieruit zijn beveiligingsrisico’s voor de gemeente Bronckhorst naar voren gekomen. In de bestuurlijke reactie geeft het college van b en w aan dat er naar aanleiding van de uitslagen van de PEN-testen verbeterpunten zijn uitgevoerd of in gang gezet; • de gemeentelijke organisatie werkt, met uitzondering van de raadsleden, met een 2 factor authenticatie (2FA).

Het college van b en w geeft aan dat in het najaar van 2022 deze 2FA ook voor u ingeregeld zal worden; • op basis van het rapport wordt aanbevolen de Outlook adresbestanden per partner in de samenwerking te scheiden. Het college van b en w geeft in haar reactie aan dat zij deze scheiding heeft aangevraagd bij de ICT-samenwerking, maar dat dit (technisch) nog niet mogelijk is, tenzij gekozen wordt voor een volledige scheiding binnen de Microsoft tenant. Deze volledige scheiding heeft grote organisatorische en financiële gevolgen voor de gemeentelijke organisatie. Het college geeft aan dat er, zodra er een softwarematige oplossing is, deze wordt uitgevoerd en geeft aan dat ook de ICTsamenwerking werkt aan een informatiebeveiligingsplan. Dit plan voldoet tezamen met het gemeentelijke informatiebeveiligingsplan aan de eisen van de BIO. 3.1.4. Versterk de governance en afspraken op de regionale samenwerking op ICT Gemeente Bronckhorst maakt gebruik van de regionale samenwerking op ICT. De governance op de ICT-samenwerking is echter licht ingeregeld. Er is bestuurlijk geen structureel overleg en niet alle deelnemende partijen zijn betrokken bij het secretarissenoverleg. Door de samenwerking ontstaat een onderlinge afhankelijkheid en kwetsbaarheid, waarbij in de overeenkomsten geen afspraken zijn gemaakt over harmonisatie van beleid of over onderlinge aansprakelijkheid.

Dit kan leiden tot risico’s. In de bestuurlijke reactie geeft het college van b en w aan dat er stappen zijn genomen ter verbetering en geeft zij aan in overleg te willen met uw raad over de wijze waarop u betrokken wilt worden bij de governance van de samenwerking. 3.1.5. Informeren van de raad over informatiebeveiliging en bepalen ambitieniveau In de bestuurlijke reactie op het rekenkamerrapport geeft het college van b en w aan in overleg te willen treden met uw raad om uw ambities te bepalen op het terrein van informatiebeveiliging en privacy. Uw ambities kunnen door het college verwerkt wordt in de jaarplannen en -rapportages. Dit geeft uw mogelijkheid om het college te controleren en te sturen op dit belangrijke onderwerp. Kanttekeningen 3.1. Gedeelte van de aanbevelingen valt onder collegebevoegdheid In het rapport zijn vijf aanbevelingen geformuleerd. Een aantal aanbevelingen zijn gericht op de uitvoering en daarmee gericht aan het college. Indien u het rapport vaststelt en de conclusies en aanbevelingen overneemt, spoort u het college aan de nodige stappen te zetten en verder te gaan met diverse verbeterprocessen.

Kosten, baten en dekking Dit voorstel heeft geen financiële consequenties. Uitvoering Op het moment dat het voorstel is aangenomen wordt het college middels beslispunt 3 opgedragen de aanbevelingen over te nemen en de raad hiervan op te hoogte te houden. Het college wordt verzocht om aan te geven op welke wijze hier gevolg aan gegeven wordt. Evaluatie De rekenkamercommissie wil graag op regelmatige basis de kijken naar de doorwerking van de rapporten en conclusies en aanbevelingen. Dit gebeurt in de jaarverslagen.

Hengelo (Gld), 24 november 2022 De auditcommissie van de gemeente Bronckhorst, de plv. griffier, H.M.P. Smits

de voorzitter, G.H. Tiecken

Bijlagen - rapport informatieveiligheid en privacy - aanbiedingsbrief gemeenteraad rapport informatieveiligheid en privacy - bestuurlijke reactie op informatie en veiligheid gemeente Bronckhorst