Bijlage 2. De Ronde Venen Informatiebeveiliging en privacy - versie aanbieding

Handhaving Met het team Integrale Veiligheid is in een gesprek nader ingezoomd op de aspecten informatiebeveiliging en privacy bij handhavingstaken.

Wet politiegegevens (Wpg)

De Wet politiegegevens (Wpg) is vanaf 2019 voor de gemeenten met Boa’s in werking getreden. Die wet regelt vanuit het kader van de politiewet en

Wpg Een gemeente moet volgens de Wet politiegegevens (Wpg) aan een aantal vereisten voldoen bij de verwerking van gegevens. Die moet plaatsvinden in afzonderlijke systemen en door aangewezen medewerkers. De reden voor deze strenge eisen ligt in de aard van de bevoegdheden. Hiermee kan diep op de privacy van burgers worden ingegrepen en dit vraagt om strenge regels om de privacy van burgers te beschermen. Voor de verwerking van politiegegevens stelt de Wpg net als de AVG een aantal algemene criteria. Dit betreft criteria over noodzakelijkheid, rechtmatigheid, juistheid, proportionaliteit, subsidiariteit en volledigheid. Daarnaast moet de verwerkingsverantwoordelijke gemeente een aantal technische en organisatorische maatregelen nemen: 1. 2. 3. 4. 5. 6. 7. 8.

Inspanningsverplichting verwerkingsverantwoordelijke Beveiliging Gegevensbeschermingseffectbeoordeling (GEB)/dpia Rechten betrokken burgers Registerplicht Meldplicht datalekken Documentatieplicht Voorwaarden ICT-systeem

26

de AVG hoe de gemeente om moet gaan met informatie uit de systemen waar de Boa's toegang toe hebben (zie kader). Audits

Op de Wpg is eind 2021 een interne audit of 0-meting uitgevoerd. Op basis van deze audit is een verbeterplan opgesteld met activiteiten die zo snel als mogelijk moeten zijn gerealiseerd. Eind van 2022 is een nieuwe audit gepland die uitgevoerd gaat worden door een externe partij.

Rapportages

De toezichthouders maken rapportages op in word-documenten die op een beveiligd deel van het systeem worden opgeslagen. Daar kunnen alleen de Boa’s en het afdelingshoofd bij, waar tot voor kort ook nog andere medewerkers van het team bij konden. Er is een applicatie in ontwikkeling waarin alle meldingen en rapportages beveiligd kunnen worden geregistreerd.

Processen verbaal

Boa’s mogen niet zomaar gevoelige politiegegevens verwerken. Zij gebruiken daarvoor de applicatie CityControl van Sigmax. Dat is een systeem om online te verbaliseren, een beveiligde omgeving waarmee politiegegevens verwerkt mogen worden. Daarin kan onder andere bij een foutparkeerder op basis van het kenteken de gegevens van de kentekenhouder ingezien worden. Citycontrol heeft een eigen check op het verwerken van politiegegevens. De boetemeldingen van de Boa’s worden via e-herkenning naar het CJIB-portaal geüpload. Met de politie zelf worden gegevens voornamelijk gedeeld via de mail. Dat gebeurt niet standaard via een beveiligde mailapplicatie en het is niet uit te sluiten dat hiermee ook persoonsgegevens gedeeld worden. In acties, zoals de verzegeling van (drugs)panden, verloopt de communicatie tussen Boa’s en politie via beveiligde portofoons.

Meld Misdaad Anoniem

Een van de medewerkers is contactpersoon voor Meld Misdaad Anoniem (MMA). Deze kan, samen met het teamhoofd, de meldingen lezen, maar niet verder verwerken. Wel kunnen ze gedeeld worden met het Regionaal Informatie- en Expertise Centrum (RIEC), bijvoorbeeld in het kader van de registratie van ondermijning en georganiseerde criminaliteit. Deze uitwisseling van gegevens gebeurt beveiligd.

Wet Bibob

De Wet Bibob is een bestuursrechtelijk instrument dat gebruikt wordt om misbruik van vergunningen (preventief) te voorkomen. Aanvragen en adviezen worden geregistreerd door de gemeente. Deze kan in het kader van de Wet Bibob justitiële gegevens bekijken en opvragen bij Justis, het portaal van het Ministerie van J&V. De meldingen staan op een beveiligd deel van het systeem, waar enkele geautoriseerden bij kunnen komen.

Agressieprotocol

De gemeente hanteert een intern agressieprotocol. Daarin is geregeld dat de gemeente persoonsgegevens bijhoudt van degene die agressief gedrag vertoont richting een ambtenaar. Ook wordt de melding van een zedendelinquent bijgehouden in het beveiligde deel van het systeem.

27

5 Gegevensbescherming Onderzoeksvraag 3

5.1

Onderzoeksvraag 3 wordt in dit hoofdstuk beantwoord: In hoeverre zijn gegevens bij de gemeente beschermd tegen de toegang door onbevoegden?

Beschermingsmaatregelen Zoals eerder aangegeven bestaat informatiebeveiliging uit drie dimensies: organisatie-techniek-mens. Alle drie zijn belangrijk om de beschikbaarheid, integriteit en vertrouwelijkheid (biv) van de door of namens de gemeente verwerkte gegevens te garanderen. Daartoe dient de gemeente op de drie dimensies maatregelen te treffen, te onderhouden en te controleren. Beleid is goeddeels in hoofdstuk 4 aan bod gekomen, techniek en mens grotendeels in hoofdstuk 5. In dit hoofdstuk gaan we na hoe de gemeente daadwerkelijk ervoor zorgt dat de gegevens technisch beveiligd worden, maar ook hoe de menselijke factor hierop acteert.

Maatregelen

Gemeenten nemen verschillende technische maatregelen om ervoor te zorgen dat kwaadwillenden niet gemakkelijk toegang kunnen krijgen tot de systemen en de gegevens. En als ze onverhoopt toegang hebben gekregen dat snel te kunnen detecteren en schade zoveel mogelijk te kunnen beperken. Dat betekent dat gemeenten onder andere: • de buitenste schil van de systemen/netwerken van de gemeente moeten beveiligen met onder andere firewalls; • de toegang tot de netwerken en systemen moeten kunnen beheren via een netwerktoegangsbeheer (Network Acces Control, NAC); • de (mobiele) apparaten van de medewerkers beveiligen; • via de autorisaties de toegang tot applicaties en gegevens moeten kunnen beveiligen en controleren. Op de meeste van deze terreinen heeft de gemeente beleid geformuleerd, technische maatregelen genomen en bewustwording gestimuleerd (zie ook hoofdstuk 3). Om de werking van deze inspanningen daadwerkelijk te checken voert de gemeente testen uit, of laat deze door externen uitvoeren. Jaarlijks worden pentesten (kort voor penetratietesten) uitgevoerd op de hardheid van de systemen, meerdere phishingmails uitgezet om bewustwording te testen en uitwijktesten om te bezien of de dienstverlening van de gemeente na een storing binnen bepaalde tijd weer opgestart kan worden.

Testen

5.2

Pentesten

Inleiding

Zoals aangegeven zijn in het kader van het rekenkameronderzoek pentesten uitgevoerd, door ethische hackers. Uitgevoerd zijn een externe en interne netwerk pentest, een Active directory audit, een phishing mail

28

aanval en een inlooptest door een mystery guest (zie hierna voor de resultaten). Bij de hoor en wederhoor zijn de resultaten van de pentesten vertrouwelijk gedeeld met de gemeentesecretaris. Voor de testen worden doelen gesteld die de ethische hackers trachten te bereiken, zoals het kunnen bereiken van de serverruimte tijdens het bezoek van de mystery guest. Afgesproken dat zij de mogelijkheid aantonen dat bijvoorbeeld de gemeentelijke dienstverlening kan worden verstoord, maar dat zij dat zoveel als mogelijk proberen te vermijden. De impact van de risico’s die met de testen kunnen worden aangetoond worden ingeschaald op onderstaande classificatieschaal

Voor de testen is afgesproken dat kritieke risico's meteen gemeld zouden worden, zodat de gemeente direct maatregelen zou kunnen treffen. Dat is niet aan de orde geweest. Hieronder gaan we nader in op de bij de pentesten gesignaleerde risico's, waarbij de rekenkamercommissie ervoor waakt bevindingen te delen waar kwaadwillenden profijt van zouden kunnen hebben. Externe netwerk pentest

Deze test is uitgevoerd in januari 2022. Door een ethisch hacker is de beveiliging van het externe netwerk getest, waarbij de kwetsbaarheden in kaart zijn gebracht en getracht is deze te exploiteren. Daarmee wordt de effectiviteit geverifieerd van de beveiligingsmaatregelen om kwaadwillenden buiten het netwerk te houden. Vooraf wordt de scope (het doel) van de test bepaald. Doelen zijn onder andere te proberen ongeautoriseerd toegang te krijgen tot servers en accounts, lezen en schrijven van gegevens of de dienstverlening te verstoren. Geen van de doelen is behaald, waardoor het risico als laag wordt ingeschat. Wel zijn een beperkt aantal verbeterpunten gevonden. Deze zijn in de vertrouwelijke rapportage van de pentest opgenomen.

Interne netwerk pentest

Deze test is uitgevoerd in maart 2022, en betreft de test van de beveiliging van het interne netwerk. Ook hierbij worden de kwetsbaarheden in kaart

29

gebracht, maar dan van binnen het netwerk. Daarmee wordt de effectiviteit geverifieerd van de beveiligingsmaatregelen om de schade zoveel mogelijk te beperken die kwaadwillenden kunnen aanrichten als ze eenmaal in het netwerk zijn doorgedrongen. Ook hier wordt het doel van de test vooraf bepaald. Doelen zijn min of meer dezelfde als bij de externe netwerk pentest. Hierbij is een van de gestelde doelen behaald, namelijk dat via het Wifi-netwerk onder andere een gebruikersnaam is achterhaald. Daardoor zou het mogelijk zijn dat een wachtwoord achterhaald kan worden. Dat is verder niet getest.14 Het risico dat de gemeente loopt op gemiddeld ingeschat. In totaal zijn 5 verbeterpunten uit deze test naar voren gekomen die in de vertrouwelijke rapportage van de pentest zijn opgenomen.

AD audit

Een active directory (AD) staat beheerders toe om het beleid met betrekking tot rechten van medewerkers en instellingen in het netwerk van een organisatie te beheren. De AD van de gebruikersaccounts van de medewerkers van de gemeente zijn in de test meegenomen die op 12 januari 2022 is uitgevoerd. De AD-audit checkt op zwakke en gekraakte wachtwoorden. Zwakke wachtwoorden worden gecheckt op complexiteitsgraad en wachtwoorden worden vergeleken met een lijst op internet met wachtwoorden die in relatie gebracht kunnen worden met de gemeente. Tijdens de test zijn 1.424 gebruikersaccounts gescand op kwetsbaarheden. Van deze zijn 462 accounts (ca 32%) aangetroffen met een wachtwoord dat een jaar oud of nog ouder is en van 39 accounts verlopen de wachtwoorden nooit.15 Twee zwakke en 31 niet unieke wachtwoorden zijn aangetroffen (ca 2%). In totaal zijn 5 accounts aangetroffen met een zwakke of kwetsbare beveiliging. Via een internetsearch zijn 64 wachtwoorden in combinatie met gebruikersnamen aangetroffen, die mogelijk nog in gebruik zijn. Dat is niet verder gecheckt. Ingezoomd is op 43 accounts van beheerders, daar deze meer rechten hebben dan andere accounts. Hierop zijn een aantal kwetsbaarheden aangetroffen.

14

15

Uit de ambtelijk reactie blijkt dat de gemeente met een pilot bezig is om via certificaten aan te melden. Hiermee wordt afgedwongen dat het apparaat waarmee ingelogd wordt te vertrouwen is. Daarmee zou het aanmelden met naam en wachtwoord komen te vervallen. Uit de ambtelijke reactie blijkt dat een aantal van de 462 accounts waarvan het wachtwoord 1 jaar of ouder is; 346 accounts van computers zijn, 10 gebruikersaccounts op ‘disabled’ stonden en inmiddels verwijderd zijn; 15 gebruikersaccounts nooit inloggen. 91 accounts staan op ‘never expires’ (wachtwoord verloopt nooit) omdat 28 nooit ingelogd zijn geweest; en van de 38 die wel ingelogd zijn geweest zijn 29 systeem accounts en 9 van raadsleden. Die laatste zijn inmiddels aangepast. Van 25 accounts die wel op ‘expires’ staan ingesteld zijn er 14 nog nooit ingelogd, 8 oud medewerkers die inmiddels verwijderd zijn en drie nieuwe medewerkers die nog niet waren ingelogd.

30

De met de AD audit gevonden kwetsbaarheden lijken voornamelijk voort te komen uit het niet consequent toepassen van het wachtwoordbeleid. De kwetsbaarheden en mogelijke verbetermaatregelen zijn in de vertrouwelijke rapportage opgenomen.16 Phishingmail

Kwaadwillenden proberen vaak via e-mails mensen naar een valse website te lokken, om inlog- of andere gegevens buit te maken. Ook kunnen daarmee ransomware of virussen geïnstalleerd worden, of datalekken ontstaan. Om de alertheid en bewustzijn van medewerkers van de gemeente De Ronde Venen op dat soort e-mails te testen is op 25 januari 2022 een phishing mail uitgezet. De e-mail is verstuurd vanaf een extern mailadres en bevatte een uitnodiging voor een werkoverleg. Als een medewerker op een van de links klikte kwam deze op een landingspagina waarop gemeld werd dat dit onderdeel was van een test in opdracht van de rekenkamercommissie. En werd uitleg gegeven over phishing mails en hoe deze te herkennen. Het resultaat van de phishingmail aanval is in bijlage 4 opgenomen. De medewerkers van de gemeente De Ronde Venen bleken iets meer dan gemiddeld vatbaar voor een phishingaanval. Dit was een standaard phishing mail, die vaker is uitgezet bij vergelijkbare organisaties zodat de scores vergeleken kunnen worden. Iets meer dan een derde van de medewerkers, 36,1% van de 504 uitgezette e-mails, heeft op een van de links in de mail geklikt. Het gemiddelde is ca. 35%. Positief is dat een deel van de medewerkers die niet op een van de links van de phishing mail heeft geklikt dat via de reguliere weg bij de CISO en privacy officer heeft gemeld.

Mystery guest

In landelijke richtlijnen is opgenomen dat er toegangsbeveiliging aanwezig is op de werk-, server- en technische ruimten. Dit geldt ook voor de ruimtes waar reisdocumenten zich bevinden en waar persoonsgegevens worden verwerkt. Op 2 maart 2022 is in het kader van het rekenkameronderzoek een inlooptest met behulp van een mystery guest uitgevoerd. Getracht is ongeautoriseerd toegang te krijgen de serverruimte, toegang te krijgen tot verdiepingen en ruimtes die gesloten zijn voor onbevoegden en ongestoord werkzaamheden op een (eigen/onbewaakt) computersysteem uit te voeren. Het doel dat vooraf beoordeeld is als een risico met kritieke impact, te weten toegang tot de serverruimte, is niet behaald. De overige doelen, met een hoge en medium impact wel. De beveiligingsdrempels konden relatief gemakkelijk genomen worden en de mystery guests zijn door niemand aangesproken. Daardoor konden zij zich toegang verschaffen tot beveiligde ruimtes. Er is geen toegang verkregen tot een ICT gerelateerde ruimte maar

16

Uit de ambtelijke reactie blijkt dat er op een aantal bevindingen maatregelen zijn genomen. En is gemeld dat voor de netwerkaccounts geen zwakke wachtwoorden worden toegelaten. Voor de systeemwachtwoorden gelden zware complexiteitseisen.

31

de ruimte waarin onder andere de verwarmingsapparatuur staat. De onderzoekers waren in de gelegenheid zich toegang te verschaffen tot computersystemen om een (fysieke) aanval te starten, die in enkele gevallen onbeheerd en niet vergrendeld waren. De onderzoekers waren in staat zonder aangesproken of gestopt te worden het gemeentehuis te verlaten via de hoofdingang. Op basis van de inlooptest wordt bevonden dat de gemeente serieus bezig is met fysieke beveiliging daar drempels voor toegang door onbevoegden zijn opgeworpen, tegelijkertijd zijn er naar aanleiding van de test enkele verbeterpunten geconstateerd op de fysieke beveiliging en risicobewustzijn van medewerkers. Deze zijn opgenomen in het rapport dat vertrouwelijk is overhandigd.

32

6 Betrokkenheid gemeenteraad Onderzoeksvraag 4

In dit hoofdstuk geven we antwoord op vraag 4: Hoe wordt de gemeenteraad betrokken bij het informatiebeveiligingsbeleid?

Budgetrecht raad

De raad heeft vanuit de gemeentewet het recht het budget voor de uitvoering van gemeentelijke taken vast te stellen. Dat geldt uiteraard ook voor informatiebeveiliging en privacy. Informatiebeveiliging wordt over het algemeen gezien als onderdeel van de gemeentelijke bedrijfsvoering, wat onder de beslissingsbevoegdheid van het college valt. Budget(wijzigingen) daarop moet evenwel door de raad worden vastgesteld. Het college heeft aan de raad aangegeven dat digitalisering en beveiliging van de gemeentelijke dienstverlening een blijvende en in de toekomst stijgende kostenpost zal vormen. In tijden van schaarste en in concurrentie met onderwerpen als het sociaal domein, wordt in het algemeen investeren in bedrijfsvoering politiek lastig ervaren. Uitgaven moeten goed beargumenteerd worden. De directie is bezig met een meerjarenplan met betrekking tot informatievoorziening en digitalisering. Onder andere informatiebeveiliging en privacy maken daar een vast onderdeel van uit.

Lastig onderwerp

Voor raadsleden in het algemeen zijn informatiebeveiliging en privacy lastige onderwerpen. Informatiebeveiliging is een redelijk technisch onderwerp, wat niet meteen in het voorfront van de aandacht ligt. Een deel van raad heeft affiniteit op het terrein, maar een deel ook niet. Een deel van de respondenten ziet de raad incidenteel vragen stellen over informatiebeveiliging en privacy. Zo blijkt onder andere uit de beantwoording van technische vragen over de Kadernota’s 2020 en 2022.17 Vanuit het ambtelijk apparaat zijn met raadsleden sessies geweest over ICT en beveiliging. Daarin zijn volgens de respondenten weinig vragen gesteld over informatiebeveiliging. De politieke gevoeligheid van informatiebeveiliging wordt in de interviews erkend. Zeker als de dienstverlening aan burgers in gevaar komt en persoonsgegevens van burgers door hackers gegijzeld worden of op het dark web worden aangeboden, zoals in recente voorbeelden van de gemeenten Hof van Twente en Buren. Uit een enkel interview komt echter het beeld naar voren dat informatiebeveiliging toch uiteindelijk onder bedrijfsvoering valt en de politieke dimensie beperkt moet blijven tot het college die daar uitvoering aan geeft.

Beleid

17

In de BIO is opgenomen dat de raad minimaal 1x per jaar in het kader van de P&C-cyclus geïnformeerd wordt over informatieveiligheid en privacy.

In 2019 zijn door twee fracties technische vragen gesteld over informatieveiligheid en privacy naar aanleiding van de Kadernota 2020. In 2021 is naar aanleiding van de Kadernota 2022 door een fractie een technische vraag gesteld over informatieveiligheid. In 2021 zijn min of meer aanpalend door een fractie vragen gesteld over datagestuurd werken, zoals het werken met algoritmen naar aanleiding van de toeslagenaffaire.

33

Zoals in veel gemeenten wordt daarbij in De Ronde Venen gebruik gemaakt van de paragraaf bedrijfsvoering in de jaarstukken van de gemeente. In de Programmarekening 2020 wordt op hoofdlijnen ingegaan op activiteiten op informatiebeveiliging en privacy. Gemeld wordt onder andere dat tijdelijke formatie is ingezet op informatiebeveiliging en privacy, de gemeente deelneemt aan de landelijke aanbesteding GGI-Veilig, dpia’s worden uitgevoerd, een Network Access Control (NAC) is geïmplementeerd en dat de audits in het kader van ENSIA succesvol zijn afgerond. Meldingen

Het college rapporteert jaarlijks ENSIA ook naar de raad toe in de jaarrapportage. Incidenteel komt informatiebeveiliging en privacy op de agenda van de raad. Met name bij incidenten, als de raad via een raadsinformatiebrief wordt geïnformeerd, zoals met de kwetsbaarheid in verband met Log4J.

Accountant

De accountant geeft in opdracht van de raad een oordeel over de rechtmatigheid van de financiën van de gemeente. Accountants gaan de laatste jaren ook in op ICT en informatieveiligheid in relatie tot de financiële rechtmatigheid. Zo maakte de accountant in de managementletter 2020 opmerkingen over autorisatiebeheer en wijzigingsbeheer in relatie tot de applicaties op financiën en het sociale domein. Vanuit het college is aangegeven aan de slag te gaan met de adviezen van de accountant met betrekking tot beter en zichtbaar vastleggen van procesactiviteiten.

Informatiebeveiliging raad

De raadsleden hebben Ipads van de gemeente gekregen en krijgen in de nieuwe raadsperiode laptops. De raadsleden hebben wel een mailadres van de gemeente gekregen, maar een enkeling gebruikt deze. Dat zagen we terug in de phishingmail die is uitgezet in het kader van dit onderzoek. Het streven dat uit de interviews naar voren komt is hierop meer ‘in control’ te komen op de risico’s en raadsleden ertoe te bewegen alleen de mailadressen van De Ronde Venen te gebruiken. Dat maakt het allicht omslachtiger, daar de raadsleden vaak via hun reguliere werkzaamheden al andere apparatuur gebruiken.

34

Bijlage 1. In informatiebeveiliging en privacy veel voorkomende termen en afkortingen 2FA 2-staps-verificatie ACIB Active Directory (AD) AP Applicatie AVG (GDPR)

BAG BIG

BIO BIV BRP CIO CISO Cloud

CYOD

DPIA (ook PIA)

ENSIA

FG Firewall GAP GAP-analyse GDPR

Twee factor authenticatie, zo wordt op 2 verschillende manieren gecheckt of degene die inlogt degene is die hij/zij aangeeft te zijn zie 2FA Algemeen Contactpersoon Informatiebeveiliging, ontvangt berichten van algemene aard van de Informatiebeveiligingsdienst voor gemeenten (IBD) De Active Directory is een database waarin onder andere accounts en inloggegevens zijn opgenomen. Autoriteit Persoonsgegevens Softwareprogramma, zoals de BAG, BRP, SUWInet enz. Algemene Verordening Gegevensbescherming, Europese regelgeving die de privacyregels in de Europese lidstaten harmoniseert (GDPR = General Data Protection Regulation) Basisregistratie Adressen en Gebouwen, applicatie met onder andere gegevens over adressen en gebouwen in de gemeente Baseline Informatiebeveiliging Gemeenten, maatregelen voor de informatiebeveiliging bij gemeenten, in 2013 als standaard afgesproken in VNG-verband Baseline Informatiebeveiliging Overheid Beschikbaarheid – Integriteit – Vertrouwelijkheid.

Termen waarop de beveiligingsrisico's van de informatie/applicaties zijn geënt Basisregistratie Personen, applicatie met persoonsgegevens van de inwoners Chief Information Officer Chief Information Security Officer De cloud staat voor een netwerk van computers die een soort 'wolk van computers' vormt, waarbij de eindgebruiker niet weet op hoeveel of welke computer(s) de software draait of waar die computers precies staan Choose your own device, beleid dat inhoudt dat medewerkers en eventueel externen apparaten (laptops, smartphones, usb-sticks enz.) kunnen kiezen uit een beperkt assortiment, waarop de veiligheidsmaatregelen al zijn aangebracht Data protection impact assessment, analyse op risico's in verband met privacy en gegevensbescherming bij verwerkingsprocessen. Onder de AVG verplicht bij gegevensverwerking met waarschijnlijk een hoog privacy risico. Eenduidige Normatiek Single Information Audit, eenmalige informatieverstrekking en eenmalige IT-audit voor de horizontale (richting gemeenteraad als toezichthouder) en verticale verantwoording (richting landelijke toezichthouders) Functionaris gegevensbescherming, verplicht voor overheden. Een firewall is een systeem dat de middelen van een netwerk of computer kan beschermen tegen misbruik van buitenaf. Is de Engelse term voor ‘kloof’.

Dat betekent hier het verschil tussen de bestaande situatie en de gewenste situatie Controle of en in welke mate de maatregelen uit de BIG geïmplementeerd zijn General Data Protection Regulation (zie AVG)

35

GBA GR IBD ICT ISMS Metadata NFC OWASP PO P&C-cyclus PDCA Phishing mail PIA (ook DPIA)

PKI-certificaat

Privacy by default Privacy by design RIVG SAAS Smart credentials SSO Spoofing Token TPM

Url

VCIB

Verwerkingsregister VNG Realisatie VPN

Gemeentelijke Basisadministratie, tegenwoordig BRP (zie daar) Gemeenschappelijke regeling Informatiebeveiligingsdienst voor gemeenten Informatie- en communicatietechnologie Information securitymanagement system Informatie over data, bijvoorbeeld in het kader van logging wie toegang heeft (gehad) tot gegevens in systemen Near Field Communication, contactloze communicatie op korte afstand (vergelijkbaar is de ov-chipkaart) Open Web Application Security Project Privacy Officer Planning & Control cyclus Plan-Do-Check-Act beleidsleercyclus Vorm van internet oplichting en fraude, door middel van een vals e-mail bericht 'hengelen' naar inlog- of andere persoonsgegevens Privacy impact assessment, analyse op risico's in verband met privacy en gegevensbescherming bij verwerkingsprocessen. Onder de AVG verplicht bij gegevensverwerking met waarschijnlijk een hoog privacy risico. Public Key Infrastructure. Een PKI(overheid)-certificaat is een internationale standaard voor de digitale ondertekening bij het versturen van gegevens en berichten. Onderdeel van privacy by design, waarbij de standaardinstellingen zo privacy-vriendelijk mogelijk zijn ingesteld Betekent dat bij het ontwerp van producten en diensten nagedacht wordt over privacy Rijksdienst voor Identiteitsgegevens Software-as-a-Service is een model waarbij softwaretoepassingen via internet worden aangeleverd.

Smartphone of smartwatch voorzien van een sleutel app Single Sign On, op 1 werkplek via 1 aanmelding toegang krijgen tot alle applicaties waar de gebruiker recht op heeft Het verzenden van e-mails waarbij het e-mailadres van de afzender vervalst is Een fysiek apparaat waarmee toegang verkregen kan worden tot een elektronisch beveiligde bron of netwerk Third Party Memorandum. Verklaring dat de derde partij, die de gegevens voor de gemeente bewerkt voldoet aan de geldende richtlijnen inzake informatiebeveiliging Uniform Resource Locator. Verwijst naar een uniek adres waarmee de locatie van een webpagina op internet wordt aangegeven of een emailadres Vertrouwd Contactpersoon Informatiebeveiliging, ontvangt berichten van vertrouwelijke aard van de Informatiebeveiligingsdienst voor gemeenten (IBD) Register waarin de gemeente bijhoudt welke persoonsgegevens de gemeente en de verwerkers die deze inschakelt verwerkt Kwaliteitsinstituut van de VNG (voorheen KING) Virtueel privé netwerk (versleutelde beveiligde verbinding)

36

Bijlage 2. Lijst geraadpleegde stukken en lijst respondenten De geraadpleegde stukken en de geïnterviewde personen zijn hieronder weergegeven.

Geraadpleegde stukken -

2021 bewustwordingsacties infosec 2021 Aansluiten Informatieveiligheid en privacy V2 Beantwoording technische vragen Kadernota 2020, mei 2019 Beantwoording technische vragen Kadernota 2022, mei 2021 Beleid en procedures veilig gebruik Suwinet-inkijk 2019-2022 Beleid Patch- en hardeningsmanagement v1 Changemanagement – Werkinstructie Emailbeveiliging De Ronde Venen sep 2021 Format Verwerkersovereenkomst 2020 (publieke versie) Incident- en datalekmanagement Stappenplan DRV v1.1 Informatiebeveiligingsbeleid 2018-21 vastgesteld Informatienota raad: Reactie op management letter 2020 van accountant BDO, maart 2021 Integriteits- en geheimhoudingsverklaring externe medewerkers – 2021 Integraal veiligheidsplan De Ronde Venen 2019-2022 definitief Meting en gap analyse Q2 2021 PO-Ciso-FG Jaarrapport 2020 definitief Privacyreglement Gemeente De Ronde Venen 2018 Procedure afvoer ICT vastgesteld Procedure Back-up en Herstel vastgesteld Procedure clean desk-screen-ruimte vastgesteld Procedure Wachtwoord gebruik en IAM 2019 vastgesteld Regeling beheer applicaties Responsible Disclosure Spelregels ingescande handtekening Thuiswerken, hoe zat het ook alweer Uitwijkplan DRV vertrouwelijk Vastgesteld beleid dataclassificatie Vastgesteld beleid logische toegangsbeveiliging Vastgesteld beleid mobiele gegevensdragers Vastgesteld Beleid uitwisseling van informatie getekend Vastgesteld Encryptiebeleid

gemeente De Ronde Venen Vastgesteld fysieke toegangsbeleid Websitebeveiliging De Ronde Venen sep 2021

37

Functies van geïnterviewde respondenten -

Beleidsadviseur Team Integrale Veiligheid Beleidsmedewerker automatisering Chief Information Security Officer (CISO) Functionaris Gegevensbescherming (FG) Functioneel beheerder, afdeling Burgerzaken Gemeentesecretaris Netwerkbeheerder Teamleider I&A Waarnemend teamleider Integrale Veiligheid Wethouder

38

Bijlage 3. Onderzoeksvragen en normen De onderstaande normen zijn voornamelijk ontleend aan de BIG en de AVG. Mogelijk kunnen de gemeentelijke beleidsplannen aanvullende normen opleveren, waaraan de uitvoering van de informatiebeveiliging getoetst wordt. Onderzoeksvragen

Normen

1. Beschikt de gemeente De Ronde Venen over een adequaat informatiebeveiligingsbeleid?

- Het college stelt het integrale beleid ten aanzien van informatiebeveiliging en privacy vast. - Er vindt sturing plaats op basis van de BIO. - Het informatiebeveiligingsbeleid is opgesteld aan de hand van een GAP-analyse. Jaarlijks wordt op basis van een risicoanalyse het informatiebeveiligingsplan ingevuld. De gemeente neemt maatregelen om risico’s te verlagen. - Op onderdelen van informatiebeveiliging is beleid geformuleerd en zijn richtlijnen opgesteld, zoals gebruik van wachtwoorden, 2 factor authenticatie, mobiele datadragers, autorisaties en monitoring, protocol datalekken, wijzigingsbeleid enz. - De CISO is gepositioneerd en geëquipeerd om diens taak adequaat uit te voeren. - Het bestuur en medewerkers dragen het beleid ten aanzien van informatiebeveiliging actief uit. - Medewerkers weten wat ze wel en niet mogen/moeten doen met gegevens, herkennen incidenten en rapporteren deze ook daadwerkelijk. - De gemeente heeft procedures om te leren van beveiligingsmeldingen met als doel beheersmaatregelen te verbeteren. - Over het functioneren van informatiebeveiliging wordt gerapporteerd aan het management, bij voorkeur op basis van een ISMS (Information Security Management System). - Het ISMS, indien aanwezig, is gekoppeld aan de PDCA-cyclus. - Op de systemen is logging geïnstalleerd en er is capaciteit aanwezig om deze te monitoren.

- Er is een procedure vastgesteld voor de wijze waarop informatiebeveiligingsgebeurtenissen en zwakke plekken in de beveiliging worden beheerd en gerapporteerd. - Gegevens die door en/of namens de gemeente worden verwerkt zijn beschermd tegen ongewenste invloeden van buitenaf en van binnenuit. - Er worden jaarlijks beveiligingsaudits uitgevoerd. - De gemeente heeft in beeld met welke partners gegevens worden gedeeld met behulp van het verwerkingsregister. - De gemeente maakt met partners en leveranciers afspraken over het veilig uitwisselen en verwerken van persoonsgegevens en de daarvoor te nemen maatregelen. - Over het functioneren van het informatiebeveiligingsbeleid wordt gerapporteerd aan de raad, in ieder geval jaarlijks in het kader van ENSIA.

2. Hoe wordt het beleid uitgevoerd en wordt de uitvoering gemonitord?

3. In hoeverre zijn gegevens bij de gemeente beschermd tegen de toegang door onbevoegden?

4. Hoe wordt de gemeenteraad betrokken bij het informatiebeveiligingsbeleid?

39

Bijlage 4. Resultaten Phishing mail

40

Bijlage 5. Volwassenheidsniveau NOREA Bron: Handreiking bij Volwassenheidsmodel Informatiebeveiliging, januari 2019, NBA.

41