Bijlage 2 - Strategisch Beleid Informatieveiligheid & Privacy 2022-2025 - Gemeente De Wolden v1 0def

Strategisch Beleid Informatieveiligheid & Privacy 2022-2025 Gemeente De Wolden

Jan Lemstra Wilbert Hepping v1.0def 23 mei 2022

Chief Information Officer | Chief Information Security Officer Information Security Officer

Inhoudsopgave I

Voorwoord .......................................................................................................... 2 I.I Totstandkoming........................................................................................... 2 I.II Leeswijzer en ambitieniveau ......................................................................... 2 I.III Algemene oriëntatie en positionering ........................................................... 3 I.IV Wettelijke basis en controle beveiligingsnormen ............................................ 3 I.V Forum Standaardisatie ................................................................................. 3

1.

Inleiding ............................................................................................................. 4 1.1 Baseline Informatiebeveiliging Overheid (BIO) ................................................. 5 1.2 Bestuurlijke principes ................................................................................... 6 1.3 Controls en verplichte overheidsmaatregelen .................................................. 6

2.

Hfdst 5 BIO - Informatiebeveiligingsbeleid .............................................................. 7 2.1 Strategisch Beleid Informatieveiligheid & Privacy ............................................. 8 2.2 Scope van het beleid Informatieveiligheid & Privacy ......................................... 8 2.3 Tactisch Beleid Informatieveiligheid & Privacy ................................................. 8 2.4 Borging van het informatieveiligheidsbeleid ................................................... 10 2.5 Audits en naleving ..................................................................................... 12

3.

Hfdst 6 BIO - Organiseren van informatiebeveiliging .............................................. 13 3.1 Verantwoordelijkheidsniveaus binnen de organisatie ...................................... 14 3.2 Crisisbeheersing Informatieveiligheid ........................................................... 17

4.

Algemene Verordening Gegevensbescherming (AVG) ............................................. 18

Bijlage 1: Organisatie Informatieveiligheid & Privacy ...................................................... 19 Bijlage 2: RASCI-tabel Verantwoordelijkheden BIO Controls ........................................... 19

Strategisch Beleid Informatieveiligheid & Privacy 2022-2025 v1.0def

1

I I.I

Voorwoord Totstandkoming

Dit document beschrijft het Strategisch Beleid Informatieveiligheid & Privacy van de gemeente. De basis van dit beleid wordt gevormd door de Baseline Informatiebeveiliging Overheid (hierna: BIO), opgesteld door de Informatiebeveiligingsdienst (IBD, onderdeel van de VNG) en de Algemene Verordening Gegevensbescherming (hierna: AVG). De BIO is afgeleid van de internationale informatieveiligheidsnormen NEN-ISO 27001:2017 en 27002:2017. De eerste standaard (ISO27001) is een norm voor de implementatie en planmatige borging van informatieveiligheid binnen de organisatie. De tweede standaard (ISO27002) bevat een verzameling van beveiligingsmaatregelen voor een praktische en concrete aanpak van informatieveiligheid binnen de organisatie. In de BIO zijn de methodiek en de terminologie specifiek aangepast voor de situatie bij overheden (zowel Rijk, provincie, waterschappen als gemeenten). I.II

Leeswijzer en ambitieniveau

Dit document is gebaseerd op de categorieën/hoofdstukken 5 en 6 uit de BIO. Conform de BIO wordt het strategisch beleid vastgesteld door het College van B&W. De overige categorieën/hoofdstukken 7 tot en met 18 van de BIO zijn meer van tactisch en operationeel niveau. Deze zijn uitgewerkt in een apart document: het Tactisch Beleid Informatieveiligheid & Privacy. Het tactisch beleid wordt vastgesteld door de directie van de Samenwerkingsorganisatie De Wolden Hoogeveen (hierna: SWO). Het strategisch beleid bevat de algemene uitgangspunten op het gebied van informatieveiligheid & privacy en de organisatie daarvan: het geheel van activiteiten, methoden en middelen ter waarborging van beschikbaarheid, betrouwbaarheid en vertrouwelijkheid van informatie. Ook is het verantwoordingsmechanisme en de rollen en verantwoordelijkheden aangaande informatieveiligheid en privacy beschreven. Daarbij is rekening gehouden met de wettelijke kaders die aan informatieverwerking binnen specifieke onderdelen worden gesteld, zoals de Wet basisregistratie personen (Wet BRP), de Algemene Verordening Gegevensbescherming (AVG), de Wet Structuur Uitvoeringsorganisatie Werk en Inkomen (SUWI), het DigiD beveiligingsassessment (DigiD audit) en de Wet open overheid (Woo).

Om te voorkomen dat binnen elk van die gebieden separaat beleid ontwikkeld en geïmplementeerd wordt, is de keuze gemaakt dit organisatiebrede beleid op te stellen voor alle organisatieonderdelen. Dit beleid brengt niet de huidige situatie in beeld maar beschrijft het ambitieniveau aangaande organisatiebrede informatieveiligheid en privacy. Waar relevant, is in dit document met rechte haken [] een verwijzing naar de bepalingen in de BIO en AVG opgenomen. Dit betekent echter niet dat in alle gevallen de volledige maatregel door de implementatie van dit beleid wordt afgedekt.

Strategisch Beleid Informatieveiligheid & Privacy 2022-2025 v1.0def

2

I.III

Algemene oriëntatie en positionering

Informatieveiligheid & privacy maakt deel uit van de bedrijfsvoering en de primaire processen van de organisatie en haar omgeving. De borging van informatieveiligheid & privacy wordt gevormd door een samenhangend geheel van maatregelen van procedurele, fysieke, organisatorische, technische, personele en juridische aard. Doel van informatieveiligheid is het behoud van: ● Beschikbaarheid: Gegevens zijn op het juiste moment op de juiste plek voorhanden; ● Integriteit en betrouwbaarheid: De gegevens zijn juist, actueel en volledig; ● Vertrouwelijkheid, exclusiviteit, privacy: Onbevoegden kunnen geen kennisnemen van gegevens die niet voor hen bestemd zijn; ● Continuïteit: voorkomen van uitval van processen en systemen. I.IV

Wettelijke basis en controle beveiligingsnormen

De wettelijke basis van informatieveiligheid & privacy valt af te leiden uit Europese en landelijke wet- en regelgeving, zoals (niet uitputtend): ● Auteurswet; ● Telecommunicatiewet; ● Ambtenarenwet 2017; ● Wet computercriminaliteit; ● Algemene verordening gegevensbescherming (AVG); ● Uitvoeringswet Algemene verordening gegevensbescherming (UAVG) ● Archiefwet/Archiefregeling; ● Databankenwet; ● Wet modernisering elektronisch bestuurlijk verkeer; ● Wet elektronische handtekeningen; ● Wet algemene bepalingen Burgerservicenummer (WABB); ● Paspoortwet; ● Wet basisregistratie personen (Wet BRP); ● Wet open overheid (Woo); ● Wet Structuur Uitvoeringsorganisatie Werk en Inkomen (SUWI); ● Wet Basisregistratie Adressen en Gebouwen (BAG); ● Wet Basisregistratie grootschalige topografie (BGT); ● Wet Basisregistratie Ondergrond (BRO); ● Wet Kenbaarheid Publiekrechtelijke Beperkingen (WKPB); ● Wet Politiegegevens; ● Omgevingswet. Op grond van bovenstaande wet- en regelgeving worden er eisen gesteld aan het niveau van informatieveiligheid en privacy, de beheersmaatregelen en de controle daarop. I.V

Forum Standaardisatie

De overheid is verplicht de te voldoen aan de normen NEN-ISO/IEC 27001:2013 en NENISO/IEC 27002:20131 waarop de Baseline Informatiebeveiliging Overheid is gebaseerd. Deze normen zijn opgenomen in de lijst met verplichte standaarden voor de publieke sector van het Forum Standaardisatie. De organisatie volgt de standaarden uit de ‘pas toe of leg uit’-lijst van het Forum Standaardisatie. 1

Het Forum Standaardisatie spreekt van de norm uit 2013 waar in de BIO 2017 wordt genoemd. Door plaatsing op de 'pas toe of leg uit'-lijst zijn zowel ISO 27001 als ISO 27002 Europese normen geworden (bron: https://www.forumstandaardisatie.nl/standaard/nen-isoiec-27001)

Strategisch Beleid Informatieveiligheid & Privacy 2022-2025 v1.0def

3

1. Inleiding De gemeente is een informatie-intensieve organisatie met een sterke focus op de dienstverlening, openbare orde en veiligheid. Deze organisatiekenmerken vragen om een betrouwbare en veilige informatievoorziening. Het bestuur moet kunnen vertrouwen op de informatie om goede besluiten te kunnen nemen. Medewerkers van de organisatie moeten kunnen beschikken over betrouwbare informatie om de klanten optimaal te kunnen helpen en adviseren. En inwoners en bedrijven moeten erop kunnen vertrouwen dat hun gegevens in goede handen zijn bij de gemeente. Digitalisering en informatisering speelt een steeds prominentere rol in de gemeentelijke organisatie en de SWO. Deze rol wordt in het kader van de landelijke ontwikkelingen en gemeentelijke beleidsopgaven (waaronder de Algemene Verordening Gegevensbescherming, het Stelsel van Basisregistraties, Digitale Overheid 2024 en Digitaal Stelsel Omgevingswet) en de toenemende complexiteit van de digitale infrastructuur met bijbehorende dienstverlening steeds belangrijker. Ook de gemeente richt zich op het koppelen van systemen (ook met ketenpartners), waardoor grote gegevensverzamelingen ontstaan die vervolgens weer specifieke informatie opleveren voor interne en externe afnemers. Daarnaast is de gemeente met zijn ketenpartners steeds afhankelijker van goed werkende informatievoorzieningen en -systemen.

Dit betekent dat de gemeente alert is op mogelijke verstoringen van of bedreigingen gericht op informatiesystemen, mede omdat veel informatiesystemen nog niet zijn ontworpen met het oog op veiligheid. De veiligheid die met de technische middelen kan worden bereikt is begrensd en wordt al vanouds ondersteund met passende beheerprocessen en procedures. Daarnaast speelt echter de menselijke factor (het menselijk gedrag) een steeds grotere rol in het daadwerkelijk realiseren van de veiligheid van informatie in de praktijk. Deze factor speelt, door de steeds complexer wordende informatieprocessen, vaak zelfs een doorslaggevende rol. Ten aanzien van informatieveiligheid en privacy geldt dat het College van B&W (politiek) eindverantwoordelijk is voor de borging van ervan. Vanuit die verantwoordelijkheid stelt het College van B&W de visie en het strategisch beleid op Informatieveiligheid & Privacy vast. De implementatie en borging van informatieveiligheid en privacy (met de BIO en AVG als kader) is gedelegeerd aan de directie van de Samenwerkingsorganisatie De Wolden Hoogeveen (hierna: SWO). De directie is (ambtelijk) verantwoordelijk voor de correcte implementatie en borging van informatieveiligheid en privacy.

Door middel van het Tactisch Beleid Informatieveiligheid & Privacy geeft de directie de kaders aan die binnen de organisatie gelden ten aanzien van informatieveiligheid en privacy. Het Strategisch Beleid en het Tactische Beleid vormen samen het fundament voor de informatieveiligheid en privacy. Hierdoor worden de kwaliteitsaspecten beschikbaarheid, integriteit en vertrouwelijkheid geïntegreerd in de bedrijfsvoering van de organisatie. Dit leidt tot een veilige, beheerste en betrouwbare informatievoorziening en borging van de privacy van inwoners en ondernemers.

Strategisch Beleid Informatieveiligheid & Privacy 2022-2025 v1.0def

4

1.1

Baseline Informatiebeveiliging Overheid (BIO)

De BIO staat centraal in het beleid. In 2020 is de voormalige Baseline Informatiebeveiliging Gemeenten (BIG) vervangen door de BIO. 2020 was dan ook het overgangsjaar van de BIG naar de BIO. Gemeenten baseren hun beleid op informatieveiligheid en hun verantwoording aan de gemeenteraad en de toezichthouders vanuit het Rijk (met de zelfevaluatie Eenduidige Normatiek Single Information Audit (ENSIA)) op de BIO. De BIO bestaat uit 14 beveiligingsgebieden met 'controls' en verplichte overheidsmaatregelen om de beheerdoelstellingen te behalen: • Hoofdstuk 5 Informatiebeveiligingsbeleid • Hoofdstuk 6 Organiseren van informatiebeveiliging • Hoofdstuk 7 Veilig personeel • Hoofdstuk 8 Beheer van bedrijfsmiddelen • Hoofdstuk 9 Toegangsbeveiliging • Hoofdstuk 10 Cryptografie • Hoofdstuk 11 Fysieke beveiliging en beveiliging van de omgeving • Hoofdstuk 12 Beveiliging bedrijfsvoering • Hoofdstuk 13 Communicatiebeveiliging • Hoofdstuk 14 Acquisitie, ontwikkeling en onderhoud van informatiesystemen • Hoofdstuk 15 Leveranciersrelaties • Hoofdstuk 16 Beheer van beveiligingsincidenten • Hoofdstuk 17 Informatiebeveiligingsaspecten van bedrijfscontinuïteitsbeheer • Hoofdstuk 18 Naleving De BIO kent twee strategische beveiligingscategorieën: • Hoofdstuk 5 Informatiebeveiligingsbeleid • Hoofdstuk 6 Organisatie van Informatiebeveiliging.

Deze twee specifieke categorieën/hoofdstukken zijn uitgewerkt in dit Strategisch Beleid Informatieveiligheid & Privacy. Praktisch betekent dit, dat het normenkader van de BIO onverkort wordt overgenomen door de gemeentelijke organisatie. De overige twaalf categorieën/hoofdstukken 7 t/m 18 zijn de tactische categorieën en zijn in een apart beleidsdocument uitgewerkt: het Tactisch Beleid Informatieveiligheid & Privacy. Ook de controls en verplichte overheidsmaatregelen uit deze hoofdstukken van de BIO worden onverkort overgenomen door de gemeentelijke organisatie. De BIO heeft de verplichte overheidsmaatregelen geconcretiseerd: • Op grond van wet en regelgeving; • Vanwege de gemeenschappelijke veiligheid van overheidsketens; • Omdat deze fundamenteel zijn voor een betrouwbare en professionele informatievoorziening.

Strategisch Beleid Informatieveiligheid & Privacy 2022-2025 v1.0def

5

1.2

Bestuurlijke principes

Informatieveiligheid en privacy is een organisatiebreed aandachtspunt. Het is in feite een kwaliteitsaspect dat in alle processen van de organisatie terugkomt. Dit is de reden dat informatieveiligheid niet als een geïsoleerd onderwerp benaderd kan worden. Om dit te borgen is in VNG-verband besloten de volgende bestuurlijke principes te hanteren 2: • Bestuurders bevorderen een veilige cultuur • Informatieveiligheid is van iedereen • Informatieveiligheid is risicomanagement • Risicomanagement is onderdeel van de besluitvorming • Informatieveiligheid behoeft ook aandacht in (keten)samenwerking • Informatieveiligheid is een proces • Informatieveiligheid kost geld • Onzekerheid dient te worden ingecalculeerd • Verbetering komt voort uit leren en ervaring • Het bestuur controleert en evalueert In het kort kunnen we stellen dat het bestuur de rol heeft om de organisatie te faciliteren in het goed op orde brengen van de informatieveiligheid en privacy. Het proces richt zich vooral op het in beeld brengen van de risico’s en de aandachtspunten uit deze analyses te gebruiken om verdere verbeteringen door te voeren.

Een goede risicoanalyse, het doorvoeren van verbeteringen en behalen van een acceptabel niveau van informatieveiligheid en privacy komt voort uit een samenwerking tussen bestuur, directie, het management, Chief Information Security Officer, Privacy Officer, Functionaris Gegevensbescherming en vakspecialisten. 1.3

Controls en verplichte overheidsmaatregelen

In de hoofdstukken hierna staan de controls vermeld (blauwe tekst). Een deel van de controls is uitgewerkt in verplichte maatregelen (groene tekst), omdat zij: • Voortvloeien uit wet- en regelgeving. Het niet treffen van een dergelijke maatregel is dan in strijd met deze externe wet- en regelgeving; • Zo basaal zijn dat zij het fundament vormen van een betrouwbare en professionele informatievoorziening; • Dienstbaar zijn aan de beveiliging in een procesketen of netwerk. Niet-naleving door een enkele organisatie is per saldo ineffectief voor de gehele keten. Het vormt een risico voor alle andere partijen in de keten en leidt bij hen tot extra maatregelen en kosten. Voor de keten als geheel is dit inefficiënt. Voor een generieke dienst geldt een afweging die analoog is aan het ketenvraagstuk. De BIO noemt deze verplichte maatregelen ‘overheidsmaatregelen’. De overheidsmaatregelen dekken niet de gehele beveiligingsdoelstellingen van de control af. Net als bij de controls geldt hier een hardheidsbepaling: in het geval een maatregel voor een specifiek geval niet van toepassing kan zijn, vervalt de verplichting. Dit geldt bijvoorbeeld voor een overheidsmaatregel die betrekking heeft op een externe koppeling, terwijl het betreffende informatiesysteem geen externe koppeling heeft.

2

Zie https://vng.nl/files/vng/de-10-bestuurlijke-principes-voor_20190109.pdf

Strategisch Beleid Informatieveiligheid & Privacy 2022-2025 v1.0def

6

2. Hfdst 5 BIO - Informatiebeveiligingsbeleid Doelstelling Het beleid op informatieveiligheid en privacy dient ondersteuning te bieden aan het bestuur, het management en de organisatie bij de sturing op en het beheer van informatieveiligheid en privacy. Toelichting Hieronder staan de maatregelen ("controls") vanuit de BIO vermeld over het opstellen en borgen van beleid over informatieveiligheid en privacy. Resultaat Beleid waarin de taken, bevoegdheden en verantwoordelijkheden voor informatieveiligheid en privacy alsmede het vereiste beveiligingsniveau zijn vastgelegd. Verantwoordelijkheden/rollen Zie Bijlage 1: Organisatie Informatieveiligheid & Privacy [6.1.1] Zie Bijlage 2: RASCI-tabel BIO-controls Informatieveiligheid & Privacy [6.1.1.2]

Control 5.1.1

BBN 1

5.1.1.1

1

5.1.2

1

5.1.2.1

1

Omschrijving Beleidsregels voor informatiebeveiliging Ten behoeve van informatiebeveiliging behoort een reeks beleidsregels te worden gedefinieerd, goedgekeurd door de directie, gepubliceerd en gecommuniceerd aan medewerkers en relevante externe partijen. Er is een informatiebeveiligingsbeleid opgesteld door de organisatie. Dit beleid is vastgesteld door de leiding van de organisatie en bevat ten minste de volgende punten: a. De strategische uitgangspunten en randvoorwaarden die de organisatie hanteert voor informatiebeveiliging en in het bijzonder de inbedding in en afstemming op het algemene beveiligingsbeleid en het informatievoorzieningsbeleid; b. De organisatie van de informatiebeveiligingsfunctie, waaronder verantwoordelijkheden, taken en bevoegdheden; c. De toewijzing van de verantwoordelijkheden voor ketens van informatiesystemen aan lijnmanagers; d. De gemeenschappelijke betrouwbaarheidseisen en normen die op de organisatie van toepassing zijn; e. De frequentie waarmee het informatiebeveiligingsbeleid wordt geëvalueerd; f. De bevordering van het beveiligingsbewustzijn. Zie paragraaf 2.1 en verder Beoordeling van het informatiebeveiligingsbeleid Het beleid voor informatiebeveiliging behoort met geplande tussenpozen of als zich significante veranderingen voordoen, te worden beoordeeld om te waarborgen dat het voortdurend passend, adequaat en doeltreffend is.

Het informatiebeveiligingsbeleid wordt periodiek en in aansluiting bij de (bestaande) bestuurs- en P&C-cycli en externe ontwikkelingen beoordeeld en zo nodig bijgesteld. Zie paragraaf 2.1 en verder

Strategisch Beleid Informatieveiligheid & Privacy 2022-2025 v1.0def

7

2.1

Strategisch Beleid Informatieveiligheid & Privacy

Het College van B&W stelt de Visie en het Strategisch Beleid Informatieveiligheid & Privacy vast. De directie van de SWO maakt het kenbaar aan alle medewerkers [5.1.1 en 5.1.1.1]. Deze beleidsdocumenten bevat de onderstaande punten: ● De doelstellingen en strategische uitgangspunten van informatieveiligheid en privacy voor de organisatie; ● De organisatie van informatieveiligheid en privacy: een omschrijving van de algemene en specifieke verantwoordelijkheden en bevoegdheden met betrekking tot informatieveiligheid en privacy voor bestuur, leidinggevenden, medewerkers en ondersteunende informatieveiligheidsrollen (zie hoofdstuk 3); ● De verwijzing naar relevante wet- en regelgeving en gemeentelijke regels en voorschriften op het gebied van privacybescherming, integriteit, archivering en fysieke beveiliging en de wijze waarop naleving van deze wettelijke, reglementaire of contractuele verplichtingen wordt gewaarborgd; ● De beschrijving van een periodiek evaluatieproces waarmee de inhoud en de effectiviteit van het vastgestelde beleid kunnen worden getoetst. 2.2

Scope van het beleid Informatieveiligheid & Privacy

De scope van dit beleid omvat alle informatieprocessen en -systemen die de SWO uitvoert en beheert ten behoeve van de gemeente en de SWO zelf. Het beleid heeft niet alleen betrekking op de verwerking, uitwisseling en opslag van digitale informatie, maar ook op de informatie in fysieke of analoge vorm, ongeacht de locatie, het tijdstip of de gebruikte apparatuur. Organisatorisch zijn de uitgangspunten uit dit beleid van toepassing op zowel de raad, het college als de ambtelijke organisatie. Alle strategische beleidsuitgangspunten met betrekking tot informatieveiligheid en privacy, en de organisatie van ervan zijn in dit organisatiebreed document samengebracht. 2.3

Tactisch Beleid Informatieveiligheid & Privacy

Op basis van dit strategische beleidsdocument wordt door de directie van de SWO het Tactisch Beleid Informatieveiligheid & Privacy vastgesteld. Hierin wordt beschreven op welke manier de SWO de informatieveiligheid en privacy gaat borgen, rekening houdend met de risico’s. De kernelementen in het Tactisch Beleid Informatieveiligheid & Privacy zijn de uitwerkingen van de volgende onderwerpen: ● Authenticatie- en autorisatiebeleid; ● ICT ontwerp(en); ● Beleid leveranciers/externe partijen; ● Bedrijfsprocessen; ● Beheerrichtlijnen ICT; ● Configuratiemanagement; ● Continuïteitsbeheer; ● Interne controle; ● Fysieke beveiliging; ● Gedragsregels; ● HRM proces; ● Incidentmanagement; ● Logging-beleid; ● Wijzigingsproces (Change Management). Het Tactisch Beleid Informatieveiligheid & Privacy wordt aangevuld met bijlagen, procedures en andere operationele documentatie.

Strategisch Beleid Informatieveiligheid & Privacy 2022-2025 v1.0def

8

Hieronder een visuele weergave van de wijze waarop de beleidsdocumenten zijn opgebouwd:

Figuur 1: Structuur beleidsdocumenten Informatieveiligheid & Privacy

Strategisch Beleid Informatieveiligheid & Privacy 2022-2025 v1.0def

9

2.4

Borging van het informatieveiligheidsbeleid

Om de borging van het beleid en de daarvan afgeleide plannen te realiseren, wordt bepaalde rollen toebedeeld (zie hoofdstuk 3) en onderstaande Plan, Do, Check, Act (PDCA) cyclus doorlopen. Onderstaande uitgangspunten worden gehanteerd voor het doorlopen van deze PDCA-cyclus. Het doorlopen van de cyclus resulteert in een Information Security Management System (ISMS). [18.2.1.1] Stap 1. Het beleid op de informatieveiligheid en privacy (zowel strategisch als tactisch) Dit is een organisatiebreed, integraal beleid dat de uitgangspunten, de normen en de kaders biedt voor de veiligheid van alle onderliggende informatieprocessen. Uitzonderingen hierop zijn toegestaan, maar dan wel duidelijk gemotiveerd én verifieerbaar. Dit wordt ook wel het ‘pas toe of leg uit’ principe genoemd. Beoordeling en actualisatie van het informatieveiligheidsbeleid vindt periodiek plaats (minimaal 1x per drie jaar) en in aansluiting bij de (bestaande) bestuurs- en P&C-cycli en externe ontwikkelingen [5.1.1.1e, 5.1.2 en 5.1.2.1]. Stap 2. Analyse van de informatieveiligheid en privacy Deze stap is gericht op de invoering. Dit begint met een informatieveiligheidsanalyse. Hiertoe wordt allereerst een overzicht opgesteld van alle informatiesystemen en gegevensverzamelingen in de organisatie.

De informatiesystemen en gegevensverzamelingen worden toegewezen aan een eigenaar en geclassificeerd op de risicoklassen Beschikbaarheid, Integriteit en Vertrouwelijkheid van de informatie ("dataclassificatie"). Ook wordt het Basis Beveiligingsniveau (BBN) per informatiesysteem vastgesteld. Om risicomanagement hanteerbaar en efficiënt te houden, kiest de BIO voor een diepgang van de uitwerking van het risicomanagement die proportioneel is aan de te beschermen belangen in combinatie met relevante dreigingen. Daarom onderscheidt de BIO drie basisbeveiligingsniveaus (BBN’s): 1. Voor BBN1 ligt de nadruk op ‘wat mag minimaal verwacht worden?’; 2. Voor BBN2 ligt de nadruk op de bescherming van de meest voorkomende categorieën informatie volgens het principe ‘Valt de maatregel onder goed huis- vaderschap? Toont deze beveiliging de betrouwbare overheid?’. Vrijwel alle informatie(systemen) van de gemeentelijke organisatie valt binnen dit niveau; 3. BBN3 is van toepassing op gerubriceerde informatie "Departementaal Vertrouwelijk" of vergelijkbaar vertrouwelijk bij andere overheidslagen, waarbij weerstand tegen statelijke actoren of vergelijkbare dreigers nodig is. Bij de gemeentelijke organisatie vallen vrijwel alle informatiesystemen en gegevens onder niveau BBN2. Hiervan kan bij individuele informatiesystemen worden afgeweken met een goede (vastgelegde) onderbouwing.

Hierna wordt de praktijksituatie in de organisatie getoetst aan het organisatiebrede veiligheidsbeleid en aan de beveiligingsmaatregelen uit de BIO. Dit wordt gedaan door het uitvoeren van een risico-inventarisatie en evaluatie (RI&E), GAP-analyse, rondgang van het gebouw en een (eventuele) evaluatie van het vorige actieplan. Bijstelling van de informatieveiligheidsanalyse vindt elk jaar plaats. Stap 3. Actieplan Informatieveiligheid en privacy Op basis van de informatieveiligheidsanalyse wordt in stap drie een actieplan opgesteld. De geconstateerde risico’s worden gewogen en waar nodig van maatregelen voorzien. Prioritering van de acties wordt gedaan op basis van de risico’s die vanuit de RI&E zijn geconstateerd, de beschikbare tijd en de beschikbare middelen. Hierdoor ontstaat een compact actieplan waarmee de organisatie vaststelt welke verbeteracties gedurende een periode van een of twee jaar worden uitgevoerd. Dit actieplan vormt een praktische leidraad voor de verbetering en borging van informatieveiligheid en privacy in de organisatie. De informatieveiligheidsorganisatie komt bij elkaar om de implementatie van het actieplan te evalueren te bewaken en waar nodig bij te stellen. Dit wordt minimaal driemaal per jaar besproken in het Team Informatieveiligheid. Strategisch Beleid Informatieveiligheid & Privacy 2022-2025 v1.0def

10

Stap 4. Technische en organisatorische maatregelen Stap vier bestaat uit het opleveren van een complete set aan organisatorische, technische en fysieke maatregelen die gericht zijn op de specifieke eisen van een onderdeel. Het kan gaan om maatregelen uit de BIO, maar ook om de primaire processen van de organisatie, applicaties zoals bij burgerzaken of het Sociaal Domein, de basisregistraties, het financiële systeem, ICT-beheerprocessen of de fysieke beveiliging van het gebouw. Dit betreft met name het opstellen van procedures en werkinstructies.

Figuur 2: De informatieveiligheidspiramide

Strategisch Beleid Informatieveiligheid & Privacy 2022-2025 v1.0def

11

2.5

Audits en naleving

De directie beoordeelt regelmatig de naleving van de informatieverwerking en -procedures binnen haar verantwoordelijkheidsgebied aan de hand van de desbetreffende beleidsregels, normen en andere eisen betreffende beveiliging [18.2.2]. Dit mondt uit in het jaarverslag. Daarin wordt in lijn met de P&C-cyclus en ondersteund door een In Control Verklaring (ICV) gerapporteerd over het doorlopen van de beschreven cyclus met betrekking tot informatieveiligheid en privacy. In deze rapportage worden ook andere voor informatieveiligheid en privacy relevante onderwerpen –zoals auditresultaten en de uitkomsten van interne controles– behandeld [18.1.4.2; 18.2.2.1]. Om te beoordelen of de organisatie zijn informatieveiligheidsbeleid- en doelstellingen heeft behaald, worden periodieke onafhankelijke audits en controles uitgevoerd. Bij een audit toetst een onafhankelijke deskundige partij op de opzet, bestaan en werking van beheersmaatregelen. Hiervoor kan een externe (erkende) partij worden ingeschakeld of het eigen team Interne Audit (IA). Jaarlijks wordt een auditplan (intern controleplan) opgesteld waarin wordt vastgelegd welke interne controles en audits in het komende jaar plaatsvinden en op welke informatiesystemen deze betrekking hebben.

[18.2.1.2] In dit plan wordt tevens een beschrijving van de uit te voeren controles opgenomen, evenals de uitvoerders en verantwoordelijken (lijnniveau) voor de controles gekoppeld aan een tijdsplanning. Ook de jaarlijkse controle op de technische naleving van beveiligingsnormen bij informatiesystemen, zoals penetratietesten, zijn onderdeel van dit plan. [18.2.3.1] De resultaten van de uitgevoerde audits worden, namens de lijnverantwoordelijken, gerapporteerd aan de CISO. De CISO bundelt deze resultaten en rapporteert hierover periodiek aan de directie. Er is een structureel bewustwordingsprogramma opgezet [5.1.1.1f] (zie Tactisch Beleid Informatieveiligheid & Privacy, Bijlage 29)

Figuur 3: De informatieveiligheidspiramide met PDCA-cyclus

Strategisch Beleid Informatieveiligheid & Privacy 2022-2025 v1.0def

12

3. Hfdst 6 BIO - Organiseren van informatiebeveiliging Doelstelling Het benoemen van het eigenaarschap van de bedrijfsprocessen met bijbehorende informatieprocessen en/of (informatie)systemen en het verankeren van de hieraan verbonden verantwoordelijkheden. [5.1.1 en 6.1.1] Toelichting Het moet duidelijk wie verantwoordelijk is voor welk onderdeel van informatieveiligheid en privacy. Resultaat Verankering in de organisatie van verantwoordelijkheden, taakomschrijvingen en coördinatie- en rapportagemechanismen met betrekking tot informatieveiligheid en privacy. Verantwoordelijkheden/rollen Zie Bijlage 1: Organisatie Informatieveiligheid & Privacy [6.1.1] Zie Bijlage 2: RASCI-tabel BIO-controls Informatieveiligheid & Privacy [6.1.1.2]

Control 6.1.1

BBN 1

Omschrijving Rollen en verantwoordelijkheden bij informatiebeveiliging Alle verantwoordelijkheden bij informatiebeveiliging behoren te worden gedefinieerd en toegewezen. 6.1.1.1 1 De leiding van de organisatie heeft vastgelegd wat de verantwoordelijkheden en rollen zijn op het gebied van informatiebeveiliging binnen haar organisatie. 6.1.1.2 1 De verantwoordelijkheden en rollen ten aanzien van informatiebeveiliging zijn gebaseerd op relevante voorschriften en wetten. 6.1.1.3 1 De rol en verantwoordelijkheden van de Chief Information Security Officer (CISO) zijn in een CISO-functieprofiel vastgelegd. 6.1.1.4 1 Er is een CISO aangesteld conform een vastgesteld CISO-functieprofiel. 1. In Bijlage 1 staat een beschrijving van de organisatie, functies en rollen met betrekking tot informatieveiligheid. Deze bijlage is onderdeel van het vastgestelde Strategisch Beleid Informatieveiligheid & Privacy; 2. In Bijlage 2 staat een RASCI-tabel over alle verantwoordelijkheden en taken met betrekking tot de implementatie, uitvoering en borging van de BIO Controls. Deze bijlage is onderdeel van het vastgestelde Strategisch Beleid Informatieveiligheid & Privacy; 3. De rol en verantwoordelijkheid van de CISO zijn vastgelegd in een functieprofiel. Zie Bijlage 2. Deze bijlage is onderdeel van het vastgestelde Strategisch Beleid Informatieveiligheid & Privacy; 4.

Er is een CISO aangewezen conform het vastgesteld CISO-profiel. Deze aanwijzing staat vermeld in Bijlage 1 Organisatie Informatieveiligheid en Privacy De overige controls van hoofdstuk 6 BIO (6.1.2, 6.1.3 en 6.1.5, 6.2.1 en 6.2.2) zijn uitgewerkt in het Tactisch Beleid Informatieveiligheid & Privacy.

Strategisch Beleid Informatieveiligheid & Privacy 2022-2025 v1.0def

13

3.1

Verantwoordelijkheidsniveaus binnen de organisatie

Binnen de organisatie worden (in lijn met geldende wet- en regelgeving) de volgende verantwoordelijkheids- en takenniveaus met betrekking tot informatieveiligheid en privacy onderscheiden [6.1.1.2]: 3.1.1 Controle en toetsing door de Raad De gemeenteraad draagt een specifieke bevoegdheid voor de controle en de toetsing op de werking van beleid binnen de gemeente, zo ook voor informatieveiligheid en privacy. Het college van B&W legt in lijn met de P&C-cyclus jaarlijks verantwoording af aan de Raad, door middel van een rapportage over de zelfevaluatie ENSIA, de zelfevaluatie BRP & Reisdocumenten, de Collegeverklaring ENSIA (met betrekking tot de DigiD-aansluitingen en het gebruik van Suwinet, waarop door een auditor assurance wordt afgegeven). Daarnaast wordt dit verantwoord in de jaarrekening een passage over informatieveiligheid en privacy in de paragraaf bedrijfsvoering. [18.2.2.1] 3.1.2 Beleidsbepalende/coördinerende verantwoordelijkheden op organisatieniveau Het college van B&W draagt de (politieke) eindverantwoordelijkheid voor een passend niveau van informatieveiligheid en privacy. Verder stelt het college met het voorliggende beleidsdocument de kaders vast ten aanzien van informatieveiligheid en privacy op basis van landelijke en Europese wet- en regelgeving. De burgemeester is portefeuillehouder voor informatieveiligheid en privacy.

3.1.3 Gedelegeerde verantwoordelijkheden en taken op organisatieniveau De implementatie en borging van de informatieveiligheid en privacy en BIO is door het college van B&W gedelegeerd aan de directie van de SWO. De directie stelt in overleg met het management en de CISO het gewenste niveau van informatieveiligheid en privacy vast voor de organisatie. De beveiligingseisen worden per bedrijfsproces en/of -systeem vastgesteld. De directie is verantwoordelijk3 voor de juiste implementatie van de beveiliging in de bedrijfsprocessen en in de in- en externe (informatie)systemen en wijst voor ieder (informatie)systeem een procesverantwoordelijke of systeemeigenaar (deze is verantwoordelijk voor het stellen van eisen aan een systeem en de inrichting van de controle hierop, zodat voldaan wordt aan het informatieveiligheidsbeleid en aan de wettelijke eisen) aan. [8.1.2] De directie rapporteert minimaal eenmaal per jaar aan het college over informatieveiligheid en privacy. De verantwoordelijkheden van de directie staan verder beschreven in Bijlage 1 en 2. 3.1.4 Verantwoordelijkheden en taken management diverse organisatie-eenheden De managers zijn eigenaar van en integraal verantwoordelijk voor de (informatie)veiligheid van de informatieprocessen en -systemen binnen hun organisatie-eenheid. De taken en verantwoordelijkheden zijn beschreven in Bijlage 1 en 2.

3

Zie https://www.informatiebeveiligingsdienst.nl/wp-content/uploads/2018/10/Factsheet-lijnmanager-v1.0.pdf

Strategisch Beleid Informatieveiligheid & Privacy 2022-2025 v1.0def

14

3.1.5 Functionaris Gegevensbescherming (FG) De FG is conform de Algemene Verordening Gegevensbescherming (AVG) de interne, onafhankelijke toezichthouder op de verwerking van persoonsgegevens binnen de organisatie. [18.1.4.1] De FG heeft de volgende kerntaken 4 (AVG art 39), vertaald naar de situatie bij de organisatie: 1. Adviseren 2. Toezien op naleving 3. Samenwerking met en contactpunt van de Autoriteit Persoonsgegevens (hierna: AP) 4. Optreden als contactpunt voor betrokkenen De taken en verantwoordelijkheden zijn beschreven in Bijlage 1 en 2. 3.1.6 Chief Information Security Officer (CISO) Er is een Chief Information Security Officer (CISO) op basis van een vastgesteld profiel aangewezen door directie. [6.1.1.2; 6.1.1.3; 6.1.1.4] Deze rol is namens directie op strategisch en organisatieniveau verantwoordelijk voor het actueel (laten) houden van het informatieveiligheidsbeleid, het (laten) coördineren van de uitvoering van het beleid, het beheersen van risico’s overeenkomstig de behoeften en de risicobereidheid van de organisatie, evenals het rapporteren aan college en directie. De taken en verantwoordelijkheden zijn beschreven in Bijlage 1 en 2. 3.1.7 Information Security Officer (ISO) De CISO wordt ondersteund door de Information Security Officer (ISO).

Deze rol is op tactisch en eenheidsniveau verantwoordelijk voor het actueel houden van het informatieveiligheidsbeleid, het coördineren van de uitvoering van het beleid, het adviseren bij projecten, het beheersen van risico’s, evenals het opstellen van rapportages voor de eenheden. De taken en verantwoordelijkheden zijn beschreven in Bijlage 1 en 2. 3.1.8 De Privacy Officer (PO) Deze rol (ook wel Privacybeheerder Algemeen genoemd) is gericht op de uitvoering en de naleving van de Algemene Verordening Gegevensbescherming (AVG). Deze functionaris adviseert over privacybescherming en over activiteiten ter bescherming van persoonsgegevens in het kader van de AVG en BIO. De taken en verantwoordelijkheden zijn beschreven in Bijlage 1 en 2. 3.1.9 De Controller Informatieveiligheid Deze rol is op organisatieniveau verantwoordelijk voor het verbijzonderde toezicht op de naleving van het informatieveiligheidsbeleid, de realisatie van voorgenomen veiligheidsmaatregelen en de escalatie van beveiligingsincidenten. Deze rol van control heeft op twee specifieke deelgebieden een voorgeschreven benaming. Dit betreft het gebied van reisdocumenten en rijbewijzen: ● Beveiligingsfunctionaris reisdocumenten ● Beveiligingsfunctionaris rijbewijzen De taken en verantwoordelijkheden zijn beschreven in Bijlage 1 en 2.

4

Zie ook Handreiking positionering en taken van de FG - IBD v2.2 (16 juni 2020)

Strategisch Beleid Informatieveiligheid & Privacy 2022-2025 v1.0def

15

3.1.10 De beveiligingsbeheerder Deze rol is verantwoordelijk voor het beheer, de coördinatie en advies ten aanzien van de informatieveiligheid binnen een specifiek deelgebied. De deelgebieden waarbij een beveiligingsbeheerder is aangewezen, zijn: DigiD, BRP, BAG, BRO, BGT, WOZ, HRM, ICT, Waardedocumenten (officieel Autorisatiebevoegde Reisdocumenten/Aanvraag-stations en Autorisatiebevoegde Rijbewijzen), SUWI (officieel Security Officer SUWI), Facilitaire Zaken, DigiD/Web en Archief. De verantwoordelijkheden en taken zijn beschreven in Bijlage 1 en 2. 3.1.11 De medewerkers Alle medewerkers dragen verantwoordelijkheid voor de veiligheid van de activiteiten die behoren tot hun eigen functie en taken. Ze betrachten zorgvuldigheid en discipline bij het omgaan met informatie en (informatie)systemen. Ze zijn zich bewust van de eisen ten aanzien van de betrouwbaarheid, de integriteit, de beschikbaarheid en de controleerbaarheid van de informatieprocessen waarbij ze zijn betrokken. In het tactisch informatieveiligheidsbeleid zijn gedragsregels in het kader van informatieveiligheid uitgewerkt. Iedere medewerker wordt geacht deze gedragsregels te kennen en uit te dragen bij het uitoefenen van zijn of haar functie.

3.1.12 Verantwoordelijkheid eenheid-overstijgende (informatie)systemen (Informatie)systemen die door meerdere organisatieonderdelen of de gehele organisatie gebruikt worden, worden onder verantwoordelijkheid van de eenheidsmanager A&S gefaciliteerd en onderhouden. De eenheidsmanager A&S is systeem- en contracteigenaar van deze (informatie)systemen. Deze informatiesystemen bevatten gegevens die door meerdere organisatieonderdelen worden vastgelegd. De eenheidsmanager A&S draagt er zorg voor dat bij het gebruik ervan de wettelijke eisen en de voorschriften worden nageleefd en dat de verantwoordelijkheden voor beveiliging voor alle betrokken partijen duidelijk omschreven zijn. De taken en verantwoordelijkheden zijn beschreven in Bijlage 2.

Strategisch Beleid Informatieveiligheid & Privacy 2022-2025 v1.0def

16

3.1.13 De organisatie informatieveiligheid & privacy Alle rollen van 3.1.1 t/m 3.1.11 vormen samen de gehele organisatie rondom informatieveiligheid. In de afbeelding hieronder is dit grafisch weergegeven. De lijnorganisatie (van raad tot en met afdelingshoofden/teamleiders) is verantwoordelijk voor de borging van informatieveiligheid & privacy en wordt daarbij ondersteund door diverse functionarissen in de organisatie.

Figuur 4: Functies en rollen in informatieveiligheidsorganisatie

3.2

Crisisbeheersing Informatieveiligheid

Voor algehele crisisbeheersing voor de bedrijfsvoering is binnen de SWO een intern Crisis Beheerteam (CBT) samengesteld. Dit team komt bij elkaar in geval van calamiteiten. Een calamiteit kan (kritische) bedrijfsprocessen of informatiesystemen verstoren, waardoor maatregelen moeten worden genomen om het oorspronkelijke werkingsniveau te herstellen. De criteria voor de handels- en werkwijze tijdens grote incidenten of calamiteiten zijn in een Bedrijfscontinuïteitsplan (BCP) uitgewerkt. In het BCP is ook de crisisorganisatie beschreven met de bijbehorende taken en bevoegdheden.

Strategisch Beleid Informatieveiligheid & Privacy 2022-2025 v1.0def

17

4. Algemene Verordening Gegevensbescherming (AVG) Op 25 mei 2016 is de AVG in werking getreden. De Europese Unie wil met deze nieuwe wetgeving een harmonisatie van de privacyregelgeving in Europa bewerkstelligen en de bescherming van de privacy van inwoners verbeteren. De AVG heeft rechtstreekse werking in alle lidstaten. Dit betekent dat de lidstaten niet de vrijheid hebben om bepalingen op eigen wijze te interpreteren. Wel is het mogelijk om per lidstaat (strengere) aanvullingen door te voeren. Vanuit de AVG geldt ook een meldplicht datalekken, die organisaties verplicht het uitlekken van privacygevoelige informatie te melden bij de Autoriteit Persoonsgegevens (hierna: AP). Hiermee is een publieke schandpaal ontstaan waarbij de gemeente negatief in het nieuws kan komen indien er een datalek vanuit de gemeentelijke organisatie optreedt. De AP kan hiervoor ook boetes opleggen. De IBD heeft een model ontwikkeld (AVG Borgingsproduct 2.0, 8 maart 2021) om de AVG te vertalen naar een concreet normenkader en een kwaliteitscyclus voor gegevensbescherming en privacy voor gemeentelijke processen. Hiermee beoogt de VNG de gemeenten concrete handvatten te bieden om een goede omgang met persoonsgegevens in de gehele organisatie te waarborgen. De gemeente hanteert de controls uit dit model als beleidsregels privacy.

In het Tactisch Beleid Informatieveiligheid & Privacy worden deze controls verder uitgewerkt.

Strategisch Beleid Informatieveiligheid & Privacy 2022-2025 v1.0def

18

Bijlage 1: Organisatie Informatieveiligheid & Privacy Dit is een aparte bijlage waarin een beschrijving staat van de inrichting van de organisatie met betrekking tot informatieveiligheid en privacy.

Bijlage 2: RASCI-tabel Verantwoordelijkheden BIO Controls Dit is een aparte bijlage waarin staat vermeld welke functie/rol verantwoordelijk is voor de implementatie, uitvoering en borging van de betreffende BIO Control.

Strategisch Beleid Informatieveiligheid & Privacy 2022-2025 v1.0def

19