Bijlage 4. Nawoord RKC Informatiebeveiliging

POSTADRES

BEZOEKADRES

Postbus 250

T

0297 29 16 16

3640 AG Mijdrecht

F

0297 28 42 81

Croonstadtlaan 111

E

gemeente@derondevenen.nl

3641 AL Mijdrecht

I

www.derondevenen.nl

Gemeenteraad De Ronde Venen

DATUM

8 november 2022

UW KENMERK

--

ONS KENMERK

0058193/Griffie

UW BERICHT VAN

--

CONTACTPERSOON

Laura van Harmelen

DOORKIESNUMMER E-MAIL

l.vanharmelen@derondevenen.nl

ONDERWERP

Nawoord RKC onderzoek informatiebeveiliging en privacy

Geachte leden van de raad,

Voordat wij ingaan op de bestuurlijke reactie van het college van B&W op ons onderzoek naar de informatiebeveiliging in de Ronde Venen, willen wij u wijzen op het actuele dreigingsbeeld van de Informatie Beveiligingsdienst voor 2023-2024 (https://vng.nl/nieuws/informatiebeveiligingsdienst-ziettoename-gevaren). De IBD geeft aan dat er steeds meer meldingen zijn van situaties zijn waar de dienstverlening en bedrijfsvoering bij gemeenten door gijzelsoftware langduriger verstoord zijn. Ook zouden criminelen niet aarzelen om privacygevoelige gegevens van inwoners, bedrijven en medewerkers online te publiceren. De IBD geeft aan dat het op orde hebben van de basismaatregelen, zoals meer-factor-authenticatie en monitoring, cruciaal blijft. Deze waarschuwingen vanuit de IBD geven aan hoe belangrijk het is dat u een goed beeld heeft van de informatiebeveiliging bij de gemeente De Ronde Venen en wat het college hierop onderneemt. Uit de bestuurlijke reactie van het college van gemeente de Ronde Venen op ons onderzoeksrapport maken wij op dat het college zich kan vinden in de bevindingen en stappen zet op de genoemde aandachtspunten. Het is goed om te lezen dat het college de ambitie uitspreekt om het risicobewustzijn bij medewerkers te blijven verhogen.

Het college streeft zowel naar een hoger volwassenheidsniveau als een continue (vernieuwing in de) ondersteuning van gebruikers in de dagelijkse praktijk. Het voornemen van het college om beleid en protocollen meer vast te leggen past ook goed bij dit hogere volwassenheidsniveau. We hopen met het college dat het spoedig lukt om het SIEM/SOC op andere wijze te beleggen. De netwerkscanner van de IBD dient om kwetsbaarheden in hard- en softwareconfiguraties te signaleren en gemeenten die deze gebruiken te waarschuwen. Het is echter niet volwaardig aan SIEM/SOC dat verdacht verkeer op de systemen kan monitoren. Gezien de risico’s wordt de raad aanbevolen om op dit onderwerp bij het college de vinger aan de pols te houden.

REGISTRATIENUMMER

VERZONDEN

De grip van uw raad op deze materie is wat ons betreft een ander belangrijk aandachtpunt. Het college geeft weliswaar aan dat de gemeenteraad elk jaar op basis van de ENSIA-rapportage wordt geïnformeerd. Onze aanbeveling strekt echter verder en betreft ook het gezamenlijk formuleren van ambities op informatieveiligheid. Relevant hierin is het (eventueel vertrouwelijk) gesprek aan te gaan over bijvoorbeeld de verbetermaatregelen naar aanleiding van pentesten en metingen van de taakvolwassenheid onder medewerkers. Wij beseffen dat wellicht niet ieder raadslid zich kundig acht in deze materie. Ook wij hebben in ons onderzoek gebruik moeten maken van externe deskundigheid op informatiebeveiliging. Met ons rapport hopen wij u niettemin op weg te helpen om meer betrokken te raken bij dit onderwerp. Wij zien uit naar de behandeling van het rapport door de raad. Met vriendelijke groet, namens de rekenkamercommissie De Ronde Venen,

Dr. Ir. A.J.H. Smets, voorzitter rekenkamercommissie Drs. B. Lettinga, lid rekenkamercommissie Drs. A. Eling, lid rekenkamercommissie

REGISTRATIENUMMER

Pagina 2 van 2