Bijlage 1 - Visie op Informatieveiligheid & Privacy 2022-2025 - Gemeente De Wolden v1 0def

Visie Informatieveiligheid & Privacy 2022-2025 Gemeente De Wolden

Jan Lemstra Wilbert Hepping v1.0def 23 mei 2022

Chief Information Officer | Chief Information Security Officer Information Security Officer

Inhoudsopgave 1.

2. 3. 4.

5.

Inleiding ............................................................................................................. 2 1.1 Wat is informatieveiligheid? ........................................................................ 2 1.2 Dreiging ................................................................................................... 3 1.3 Risico's en maatregelen .............................................................................. 4 De positionering van informatieveiligheid ................................................................ 5 2.1 Informatieveiligheid en bedrijfsarchitectuur ................................................... 5 2.2 Relatie informatieveiligheid & privacy en wet-/regelgeving .............................. 6 Uitgangspunten voor informatieveiligheid & privacy ................................................. 7 3.1 Principes vanuit andere visiedocumenten ...................................................... 7 3.2 Vertaling naar informatieveiligheid ............................................................... 8 Kernthema's informatieveiligheid ........................................................................... 9 4.1 Bewustzijn ................................................................................................

9 4.2 Fysieke beveiliging ..................................................................................... 9 4.3 Technische beveiliging ................................................................................ 9 4.4 Logische toegangsbeveiliging, vertrouwelijkheid & privacy .............................10 4.5 Personele beveiliging .................................................................................10 4.6 Integriteit/kwaliteit van gegevens ...............................................................11 4.7 Beschikbaarheid van gegevens ...................................................................11 Tot slot ............................................................................................................. 12

Visie Informatieveiligheid & Privacy 2022-2025 v1.0def

1

1.

Inleiding

Informatieveiligheid wordt steeds belangrijker… waarom? 1.1

Wat is informatieveiligheid?

De digitalisering in de samenleving zet door. Niet alleen in het dagelijkse werk wordt de mens in hoge mate ondersteund door ICT. Steeds vaker nemen slimme applicaties, algoritmes en innovaties werk van mensen over. Over de hele wereld worden systemen aan elkaar gekoppeld. Ook nemen digitale gegevens en informatieverwerking een steeds grotere plaats in. Door deze ontwikkeling zijn we in zeer hoge mate afhankelijk geworden van de beschikbaarheid van alle systemen en gegevens die we nodig hebben voor de dienstverlening en bedrijfsvoering. Daarbij is ook de kwaliteit (integriteit) van de gegevens belangrijk om de juiste beslissingen te kunnen nemen. Dit geldt zeker voor een overheidsinstantie als de gemeente, omdat daar een besluit verstrekkende gevolgen kan hebben voor de maatschappij, inwoner of ondernemer. Een derde aspect is vertrouwelijkheid van gegevens. De gemeentelijke organisatie werkt met enorm veel gegevens, die soms zeer privacygevoelig of bedrijfsgevoelig zijn. Door de toenemende ketensamenwerking worden deze gegevens steeds vaker gedeeld met ketenpartners. Een inwoner moet erop kunnen vertrouwen dat de gemeente en ketenpartners zorgvuldig omgaat met zijn/haar gegevens en dat niet zomaar iedereen toegang heeft tot deze gegevens. De overheid in het bijzonder heeft een belangrijke taak de privacy van de inwoners te waarborgen.

Deze drie aspecten (beschikbaarheid, integriteit en vertrouwelijkheid) komen bij elkaar in informatieveiligheid.

Visie Informatieveiligheid & Privacy 2022-2025 v1.0def

2

1.2

Dreiging

Helaas wordt het steeds moeilijker de informatieveiligheid te waarborgen. Onze maatschappij wordt steeds afhankelijker van digitale processen; terugvallen op papier kan vaak niet meer. Een verstoring in een digitaal proces of systeem kan dan grote gevolgen hebben. Veiligheidsincidenten raken niet alleen individuen of organisatie, maar kunnen onze maatschappij in het hart raken en gedurende korte of langere tijd verlammen. Het afgelopen jaar zijn er verschillende incidenten geweest waarbij duidelijk werd wat de impact van een digitale storing of aanval kan zijn. Voorbeelden daarvan zijn een ICT-storing bij ziekenhuizen waardoor afspraken afgezegd moesten worden, het datalek bij de GGD in een afsprakensysteem voor vaccinaties of de ransomware-aanval bij gemeente Hof van Twente en de universiteit Maastricht. Deze incidenten ontstaan vaak door menselijk handelen: soms onbewust en onbedoeld, maar steeds vaker wél bewust. Het doelgericht verstoren van digitale processen, frauderen met gegevens of illegaal bemachtigen van privégegevens is voor criminelen een lucratief verdienmodel geworden, omdat het op afstand kan, de pakkans klein is en het om grote bedragen gaat. Daarbij komt het steeds vaker voor dat er statelijke actoren achter zitten. Het leidt zelfs tot 'digitale oorlogsvoering' tussen landen.

De dreiging van verstoringen op grote schaal en inbreuk op privacy van inwoners neemt hierdoor daardoor alleen maar toe. Ook het Nationaal Cyber Security Centrum1 en de Informatiebeveiligingsdienst2 (VNG) wijzen op deze gevaarlijke ontwikkeling.

https://www.ncsc.nl/onderwerpen/cyber-security-beeld-nederland https://www.informatiebeveiligingsdienst.nl/wp-content/uploads/2020/09/Dreigingsbeeld-informatiebeveiligingIBD-2021-22-1.pdf 1 2

Visie Informatieveiligheid & Privacy 2022-2025 v1.0def

3

1.3

Risico's en maatregelen

Door de toenemende afhankelijkheid én dreiging, is de impact van een veiligheidsincident ook steeds groter. Er kan sprake zijn van identiteitsfraude, schending van de privacy, imagoschade of financiële schade door claims of boetes. Maar ook de continuïteit van de bedrijfsvoering van een organisatie of cruciale landelijke systemen kan in gevaar komen. En er zijn al incidenten bekend waarbij democratische processen zoals verkiezingen zijn verstoord door een cyberaanval. Hierdoor worden ook de risico's voor de gemeentelijke organisatie steeds groter. De organisatie zal dus voortdurend afdoende maatregelen moeten nemen om de informatieveiligheid van de data en systemen en de privacy van inwoners te waarborgen, de weerbaarheid te verhogen en de risico's te beperken tot een acceptabel niveau. Dat kan door het verhogen van bewustwording, aanpassen van houding en gedrag, opstellen van beleid, inrichten van processen en organisatie, treffen van passende beveiligingsmaatregelen, rapporteren en verantwoorden. Hierop wordt niet alleen internationaal geacteerd (bijvoorbeeld door de introductie van de Algemene Verordening Gegevensbescherming (AVG)), maar ook landelijk door handreikingen en kaders van bijvoorbeeld de NCSC3 en VNG (met de introductie van de Baseline Informatiebeveiliging Overheid (BIO)).

Bij gemeenten ontstaat het toenemende bewustzijn dat zij aan inwoners, ondernemers en ketenpartners (waaronder partijen in het verlengd lokaal bestuur) verplicht zijn hun verantwoordelijkheid te nemen in de digitale samenleving. Bestuurders streven naar een verdere verhoging van de digitale weerbaarheid in brede zin: in de eigen organisatie, bij ketenpartners en voor inwoners en ondernemers. Dat betekent dat permanent aandacht besteed wordt aan digitale veiligheid bij bestuur en ambtenaren. Voor de komende jaren bevat onder meer de Digitale Agenda Gemeenten 2024 4 en Agenda Digitale Veiligheid 2020-20245 belangrijke ontwikkelingen voor gemeenten op het gebied van informatievoorziening, digitalisering en veiligheid. Dit is ook vastgelegd in de resolutie "Digitale Veiligheid: kerntaak voor gemeenten" 6. Hierbij is ook betrokkenheid van het bestuur cruciaal. Dit is onder andere verwoord in de tien bestuurlijke principes voor informatiebeveiliging van de VNG7. Dit betekent dat ook onze organisatie continu moet investeren. Niet alleen in technische beveiligingsmaatregelen, maar juist ook in de mens (bewustwording, houding, gedrag), een veilige organisatie, veilige gereedschappen en een open cultuur.

https://www.ncsc.nl/onderwerpen/cyber-security-beeldnederland/documenten/publicaties/2021/juni/28/handreiking-cybersecuritymaatregelen 4 https://vng.nl/sites/default/files/2020-05/digitale_agenda_gemeenten-2024_vng.pdf 5 https://vng.nl/sites/default/files/2020-02/vng_agenda_digitale_veiligheid_2020-2024_def_0.pdf 6 https://vng.nl/sites/default/files/2020-12/resolutie-digitale-veiligheid-versie-3-december-2020.pdf 7 https://www.informatiebeveiligingsdienst.nl/wp-content/uploads/2019/01/De-10-bestuurlijke-principes-voorInformatiebeveiliging_20190109.pdf 3

Visie Informatieveiligheid & Privacy 2022-2025 v1.0def

4

2.

De positionering van informatieveiligheid

2.1

Informatieveiligheid en bedrijfsarchitectuur

Informatieveiligheidsbeleid en de activiteiten die van daaruit worden ontplooid staan nooit op zich, maar zijn afgeleid van de doelstellingen van de organisatie. Informatieveiligheid is in dat opzicht een kwaliteitsaspect wat de organisatie helpt haar doelen te bereiken.

Informatieveiligheid en privacy speelt op meerdere niveaus. a. Bij het onderwerp Informatieveiligheid denkt men in eerste instantie vaak aan het beveiligen van computers en netwerken tegen hackers, virussen en storingen. Hiervoor kunnen maatregelen genomen worden op de laag van de technische infrastructuur. In bovenstaande figuur is dit de onderste laag; b. Dit raakt ook meteen de tweede laag daarboven, namelijk het beveiligen van gegevens en applicaties. Een hacker gebruikt vaak de technische infrastructuur om vervolgens toegang te krijgen tot applicaties en gegevens met soms desastreuze gevolgen. Door authenticatie en autorisatie kan bepaald worden wie wanneer bij welke gegevens mag. Met een back-up kunnen gegevens veilig bewaard worden. Ook borging van integriteit (kwaliteit) van gegevens is een belangrijk aspect; c. Als men bepaalde gegevens gebruikt binnen een werkproces (door ze al dan niet te combineren met andere gegevens), dan ontstaat “informatie”. Dat is de derde laag. Ook deze laag kan beveiligd worden, onder andere door regels op te stellen hoe om te gaan met informatie (bijvoorbeeld welke informatie mag wel/niet gedeeld worden of gecombineerd worden met andere gegevens); d. De vierde laag die wordt geraakt door informatieveiligheid zijn de processen. Informatie wordt binnen allerlei werkprocessen gebruikt.

Het gaat in deze laag minder om de systemen, maar meer om de rol die informatie speelt én om de medewerker zelf. Hoe ga je binnen het werkproces om met informatie, wie mag welke informatie zien vanuit welke rol, welke rol speelt informatie in het proces enzovoort; e. In de bovenste laag vindt de strategische afweging plaats over de rol en positie van informatieveiligheid binnen de doelstellingen en het beleid van de organisatie en de vraag hoeveel risico de organisatie wil accepteren als het gaat om veiligheid. Menselijk handelen, ofwel bewustwording, houding en gedrag, is niet een op zichzelf staand niveau maar wel een factor die de werking van de gemaakte afspraken/procedures beïnvloedt. Het kan effect hebben op alle niveaus.

Visie Informatieveiligheid & Privacy 2022-2025 v1.0def

5

2.2

Relatie informatieveiligheid & privacy en wet-/regelgeving

Belangrijke wettelijke kaders voor informatieveiligheid en privacy zijn de BIO en AVG. Daarnaast kunnen de collegeprogramma's een kader vormen voor informatieveiligheid en privacy. Verder heeft de gemeente een Visie Dienstverlening 2021-2025 vastgesteld. Daarnaast is door de Samenwerkingsorganisatie De Wolden Hoogeveen (hierna: SWO) een Visie op Informatievoorziening (iVisie, 2019) en een IT-strategie (2021) vastgesteld. Deze visies zijn medebepalend in relatie tot de doelstellingen van de gemeente en de SWO op het gebied van informatieveiligheid.

De Visie op Informatieveiligheid en Privacy is opgesteld vanuit een integrale benadering. Al deze kaders en uitgangspunten zijn vertaald in een strategisch en tactisch beleidsdocument informatieveiligheid. Het strategisch beleid wordt vastgesteld door het college. Dit wordt verder uitgewerkt in het tactisch en operationeel beleid, waarvoor de directie van de SWO verantwoordelijk is.

Visie Informatieveiligheid & Privacy 2022-2025 v1.0def

6

3.

Uitgangspunten voor informatieveiligheid & privacy

3.1

Principes vanuit andere visiedocumenten

In de Visie Dienstverlening 2021-2025, de Visie op Informatievoorziening 2019 (iVisie) en de IT-strategie (2021) zijn een aantal een aantal principe uitspraken gedaan, die gevolgen hebben voor de inrichting en borging van informatieveiligheid: "De organisatie is dienstverlenend en klantgericht" Zakendoen met de organisatie verloopt gemakkelijk en kent maatwerk. Daarvoor is het van belang dat een medewerker die zich bezighoudt met dienstverlening aan inwoners of bedrijven een breed inzicht heeft in het dossier van zijn klant (integraal klantbeeld, binnen de kaders van privacywetgeving). Diensten en producten van de gemeente zijn ook digitaal toegankelijk. "De organisatie geeft en heeft vertrouwen" Dat betekent duidelijk communiceren wat we wel en niet kunnen betekenen voor onze klant, zeggen wat je doet. Dit betekent ook: afspraken waarmaken, doen wat je zegt. Het consistent en betrouwbaar naar buiten treden vereist voortdurend aandacht. "De organisatie is open en transparant" De gemeente heeft een gemeentebestuur dat open communiceert met zijn inwoners en aanspreekbaar is. De organisatie wordt steeds meer open en transparant. Door ontwikkelingen als digitalisering, flexwerken, werken op locatie en social media wordt het steeds gemakkelijker mensen te benaderen en kennis te delen.

Daarnaast dient de organisatie steeds meer inzicht te geven in de gestelde doelen en de bereikte resultaten. "De bedrijfsvoering van de organisatie is modern, flexibel en schaalbaar" Middelen worden steeds schaarser en de maatschappij vraagt de organisatie om efficiënt en effectief met de beschikbare middelen om te gaan. Bovendien moet de organisatie goed kunnen "meeschakelen" in ontwikkelingen. Een speerpunt hierbij is "intern 100% digitaal": alle processen en documenten in de organisatie worden digitaal ondersteund en verwerkt. En omdat de digitale ontwikkelingen steeds sneller gaan en interne expertise hierover moeilijk te behouden is, worden steeds meer systemen "in de cloud gezet". Producten en diensten worden via internet afgenomen.

Visie Informatieveiligheid & Privacy 2022-2025 v1.0def

7

3.2

Vertaling naar informatieveiligheid

Als we de punten vanuit 3.1 vertalen naar informatieveiligheid, dan ontstaan de volgende uitgangspunten: • De organisatie is vanuit haar publieke functie goed en veilig toegankelijk voor haar inwoners en ondernemers; • De organisatie heeft de informatiesystemen zodanig op orde dat gevraagde informatie juist, volledig en tijdig wordt opgeleverd; • Bij de implementatie van maatregelen speelt het primaire proces een belangrijke rol. Bij voorkeur mag het primaire proces niet in ernstige mate belemmerd worden door maatregelen; • De organisatie is transparant qua besluitvorming en informatieverstrekking, maar beschermt de privacy van de inwoner daarbij zorgvuldig; • De organisatie heeft integere en verantwoordelijke medewerkers die zorgvuldig en goed weten om te gaan met privacygevoelige informatie; • De organisatie voert proactief beleid op de doorontwikkeling van kennis en bewustwording van informatieveiligheid; • De organisatie staat open voor samenwerking (zowel met de individuele klant als ketenpartners) en maakt voor aanvang van een mogelijke samenwerking heldere afspraken over de informatieveiligheid; • In het geval van een verstoring of calamiteit heeft de organisatie maatregelen getroffen om de beschikbaarheid van informatie zo snel mogelijk te herstellen; • De organisatie integreert informatieveiligheid binnen haar werkprocessen.

Visie Informatieveiligheid & Privacy 2022-2025 v1.0def

8

4.

Kernthema's informatieveiligheid

Informatieveiligheid is in de praktijk te vertalen naar zeven kernthema's. De menskant is hierbij een belangrijke factor qua bewustzijn, houding en gedrag. 4.1

Bewustzijn

Informatieveiligheid is in zeer hoge mate afhankelijk van de menselijke factor. Bestuur, management en medewerkers moeten zich bewust zijn van eventuele risico’s die samenhangen met het gebruik, onderhoud en beheer van informatiesystemen en vertrouwelijke gegevens, en daarmee ook van de noodzaak van informatieveiligheid. Het juist omgaan met en bewustwording ten aanzien van informatieveiligheid is cruciaal voor de borging van het informatieveiligheidsbeleid.

Bewustzijn is een randvoorwaarde voor zowel een goede invoering van informatieveiligheid als een goede naleving en borging. Goed bewustzijn zal het risico op veiligheidsincidenten en niet naleven van wettelijke eisen en intern beleid enorm verlagen. Om het bewustzijn te vergroten en op niveau te houden worden regulier activiteiten uitgevoerd (bijvoorbeeld trainingen, workshops, mystery guest, oefening cyberaanval). Informatieveiligheid is mensenwerk en geen "feestje van ICT/Automatisering".

4.2

Fysieke beveiliging8

Dit betreft toegang tot de gebouwen, kritische ruimtes zoals serverruimtes en archief, werkruimtes en kasten. Maar ook brandbeveiliging, inbraakdetectie, beveiligingscamera's en een offline back-up vallen hieronder. De fysieke beveiliging moet op goed niveau zijn als het gaat om toegang, brandbeveiliging en inbraakdetectie ter bescherming van personen, gegevens, gebouwen en (persoonlijke) goederen. Strikte toegangsbeveiliging geldt voor kritische ruimten zoals de server-, archiefen technische ruimten. Het niveau van toegangsbeveiliging en toegankelijkheid past bij het publieke karakter van de gemeentelijke organisatie.

4.3

Technische beveiliging

Dit is de beveiliging van het netwerk en apparatuur van de organisatie door bijvoorbeeld firewalls, virus- en malware scanners, specifieke systemen voor monitoring van het netwerkverkeer of een dubbel uitgevoerde infrastructuur/stroomvoorziening.

Op het gebied van de technische beveiliging wordt uitgegaan van een zeer goede beveiliging. 100% kan hierbij helaas niet worden gegarandeerd. Het uitgangspunt is daarom: “zeer goed beveiligd naar de stand der techniek”. We zien hierbij een verschuiving van het voorkomen van incidenten of beschermen tegen aanvallen naar het snel detecteren en volwassen reageren op een incident of calamiteit.

Brand en inbraak beveiliging hebben wel duidelijke raakvlakken met dit onderwerp maar de primaire aansturing daarvan wordt vanuit facilitaire zaken geregeld. 8

Visie Informatieveiligheid & Privacy 2022-2025 v1.0def

9

4.4

Logische toegangsbeveiliging, vertrouwelijkheid & privacy

Dit is de beveiliging van toegang tot en gegevens binnen applicaties door middel van authenticatie, autorisatie en functiescheiding.

In principe wordt uitgegaan van goede toegang tot informatie ("open, tenzij…"). Dit geldt zowel voor inwoners als medewerkers. Onder andere de Wet open overheid wil dit principe versterken. Dit staat soms op gespannen voet met de toenemende eisen vanuit wet- en regelgeving over informatieveiligheid, vertrouwelijkheid en privacy. Een hardnekkig misverstand hierbij is dat de AVG het delen van gegevens verbiedt: de AVG maakt het juist wél mogelijk gegevens te delen, als het maar op een rechtmatige, verantwoorde en transparante manier gebeurt. De organisatie moet hierdoor scherpere keuzes maken wie toegang krijgt tot welke gegevens en in welke context. Voor het verwerken van privacygevoelige gegevens zoals persoonsgegevens, medische en justitiële gegevens, moet er sprake zijn van een juiste basis voor de verwerking (grondslag, art. 6 AVG) en mogen de gegevens alleen voor een bepaald doel verwerkt worden (doelbinding). Daarbij moet altijd de vraag gesteld worden of het doel op een andere wijze kan worden bereikt, als dat voor de verwerking van persoonsgegevens van de betrokkene minder nadelig is (subsidiariteit). Daarnaast mag de inbreuk op de belangen van de betrokken persoon niet onevenredig zijn in verhouding tot het doel (proportionaliteit).

De eed/belofte die een ambtenaar aflegt of het ondertekenen van een integriteitsverklaring, is geen vrijbrief voor het verkrijgen van inzage in allerlei (persoons)gegevens waarover de gemeente beschikt. En "openbaarheid" van documenten wil niet zeggen dat alle gegevens in die documenten voor iedereen beschikbaar zijn (deze gegevens moeten dan bijvoorbeeld geanonimiseerd worden).

4.5

Personele beveiliging9

Dit gaat over de borging van informatieveiligheid ten opzichte van de factor "personeel": hoe selecteren we betrouwbaar personeel en hoe zorgen we ervoor dat medewerkers weten wat wel en wat niet kan binnen hun rol? Op het gebied van personele beveiliging gaan we uit van een betrouwbaar in-, door- en uitstroombeleid. Iedereen die bij de organisatie werkzaamheden komt verrichten wordt tot op zekere hoogte gescreend (mede afhankelijk van de functie/rol), legt de eed/belofte af en/of onderschrijft het integriteitsbeleid of tekent een contract of geheimhoudingsverklaring waarin bepalingen zijn opgenomen over informatieveiligheid. Medewerkers krijgen regelmatig training op het gebied van informatieveiligheid & privacy. Iedereen die aan deze eis voldoet, geniet het vertrouwen van de organisatie.

9

De fysieke beveiliging van het personeel (zoals alarmknoppen, brandalarm, interventie enzovoort) valt hierbuiten. Dit valt primair onder facilitaire zaken en HRM.

Visie Informatieveiligheid & Privacy 2022-2025 v1.0def

10

4.6

Integriteit/kwaliteit van gegevens

Ook de borging van de kwaliteit van gegevens (integriteit) valt onder informatieveiligheid. Dit is een belangrijk aspect, omdat de organisatie steeds afhankelijker wordt van de juiste gegevens om de juiste beslissingen te kunnen nemen. Grote uitdaging daarbij is dat er steeds meer digitale gegevens worden gecreëerd, maar niet alle gegevens zijn correct en/of relevant om goed mee te kunnen werken of sturen. En te vaak worden vergelijkbare (maar soms afwijkende!) gegevens uit losstaande systemen gebruikt voor het in elkaar zetten van een rapportage. Dit komt de kwaliteit van besluitvorming niet ten goede. En het wordt steeds belangrijker vooruit te kijken op basis van goede data. Data science is niet voor niets een booming business!

De organisatie moet voldoende aandacht hebben voor het op orde brengen én houden van de kwaliteit van gegevens. Dit vraag niet alleen om goede beveiliging van gegevens, maar ook de juiste expertise en capaciteit. Gegevens- of informatiebeheer is een vak apart. Belangrijk aspect daarbij is het meer integraal verwerken en afstemmen van gegevens. Ook zal voortdurend een keuze gemaakt moeten worden welke gegevens écht van belang zijn voor het kunnen uitvoeren van het werk of nemen van besluiten, afhankelijk van de context en het tijdsmoment.

4.7

Beschikbaarheid van gegevens

Om werkzaamheden goed uit te kunnen voeren en de juiste beslissingen te kunnen nemen, moeten de vereiste gegevens wel voorhanden zijn. Steeds vaker moeten systemen "24/7 in de lucht zijn", omdat allerlei processen en werkzaamheden zich ook buiten reguliere kantoortijden afspelen. En steeds meer systemen zijn in de keten van elkaar afhankelijk door continue, snelle gegevensuitwisseling. Ook de buitenwereld eist meer transparantie over de gebruikte gegevens en wat ermee is gedaan qua verwerking of besluitvorming (bijvoorbeeld op basis van de Wet open overheid). Die gegevens moeten dan wel opgeleverd kunnen worden. Op het gebied van beschikbaarheid gaan we ervan uit dat de continuïteit in operationele werking van systemen en applicaties geborgd is. Dit stelt steeds hogere eisen aan ondersteuning/beheer (24/7). Daarnaast gaan de technische ontwikkelingen zo snel, dat het vrijwel onmogelijk is hiervoor de expertise zelf in huis te hebben. Daarom worden steeds meer systemen extern geplaatst ("in de cloud") en zal de ondersteuning/beheer door een externe partij worden verricht (outsourcing). Ook een snelle ontsluiting van de gegevens is cruciaal.

Dit betekent dat de organisatie meer focus moet leggen op de afstemming van systemen en gegevensuitwisseling (minder eilandjes en losstaande systemen), het 100% digitaal vastleggen van gegevens/documenten, meer integraal verwerken van gegevens en het bieden van real-time inzicht.

Visie Informatieveiligheid & Privacy 2022-2025 v1.0def

11

5.

Tot slot

In deze visie staat beschreven hoe de gemeente de borging van informatieveiligheid en privacy ziet in relatie tot zijn bestuurlijke en organisatorische doelstellingen en de wijze waarop dit ingevuld moet worden. Hierbij wordt voortdurend gezocht naar de juiste balans tussen datgene “wat moet” en “wat kan”. In wet- en regelgeving staan allerlei verplichtingen en voorschriften die opgevolgd moeten worden om de informatieveiligheid te borgen. Het is niet altijd even eenvoudig te voldoen aan alle verplichtingen, omdat het bijvoorbeeld voor gebruikers de manier van werken lastiger maakt, extra beheer betekent of grote kostenposten met zich meebrengt. Er bestaat dus een groot en uitdagend spanningsveld tussen diverse factoren die onderdeel uitmaken van informatieveiligheid en privacy:

Het is de kunst binnen de strakke kaders van wet- en regelgeving over informatieveiligheid en privacy de bepalingen zó te interpreteren en toe te passen, dat toch goede dienstverlening kan worden geboden aan onze inwoners en ondernemers vanuit een betrouwbare, veilige en werkbare omgeving tegen acceptabele risico's en kosten. Kortom:

Informatieveiligheid & privacy zijn geen product, maar een proces, in voortdurende balans op het scherpst van de snede in een uitdagende, dynamische digitale wereld!

Visie Informatieveiligheid & Privacy 2022-2025 v1.0def

12