Rapport RKC DWD Tussen beeldscherm en bureaustoel - 2023

25 26

GAP is de Engelse term voor ‘kloof’. Dat betekent hier het verschil tussen de bestaande situatie en de gewenste situatie. GAP-analyse is de check of en in welke mate de maatregelen uit de BIO geïmplementeerd zijn. Er is in informatiebeveiligingsbeleid sprake van drie niveaus, strategisch-tactisch-operationeel. In het strategische informatiebeveiligingsbeleid worden de uitgangspunten en verantwoordelijkheden op informatiebeveiliging beschreven. In het tactische beleid zijn er de protocollen en richtlijnen die voor de organisatie nodig zijn om het beleid te implementeren. Op operationeel niveau zijn er de werkprocessen die de strategische en tactische vereisten naar de werkvloer vertalen.

25

wordt een informatiemanagement systeem op informatiebeveiliging of ISMS gemist (zie §3.2.4). 27 GAP- en risicoanalyse

Een GAP-analyse is in 2021 uitgevoerd op de BIO-maatregelen die gemeenten op informatieveiligheid moeten implementeren. Op basis van die analyse is een risicoanalyse opgesteld. In 2021, 2022 en 2023 is in het kader van de jaarlijkse ENSIA-rapportages over het voorafgaande jaar geconstateerd dat de organisatie nog niet volledig aan de eisen van de BIO voldoet. 28 Gemeld wordt dat gelet op de capaciteit en de beschikbare middelen niet alle risico’s meteen kunnen worden opgepakt. De risico’s die geprioriteerd aangepakt dienen te worden, worden met beheers- of veiligheidsmaatregelen getackeld in een jaarplan. Naar aanleiding van de driejaarlijkse actualisatie van het beleid is in 2021 de visie op informatieveiligheid en privacy geactualiseerd. 29 Zie hiervoor §3.2.2.

Actieplan

Naast de GAP- en risicoanalyse van 2021 bleek uit een rondgang door de gemeentelijke gebouwen dat de organisatie ook op andere kritieke onderdelen niet voldeed aan de veiligheidseisen. Een hoog risico werd geconstateerd met betrekking tot veiligheid van (persoons)gegevens, privacy en bedrijfscontinuïteit. Naar aanleiding daarvan is in 2021 een Actieplan geformuleerd. De activiteiten die daarin zijn opgenomen betroffen onder andere het verhogen van het risicobewustzijn, aanscherpen en actualiseren van beleid en procedures, ontwikkelen van risicomanagement en implementeren van aanvullende technische beveiligingsmaatregelen. Onder de aanvullende maatregelen zaten onder andere de verbetermaatregelen naar aanleiding van de pentest van 2018, zoals de implementatie van SIEM/SOC, back-up en recovery en MFA. De voortgang op deze maatregelen in 2021 was beperkt, zodat veel van de maatregelen en de middelen daarvoor naar 2022 werden overgeheveld. In de update van het Actieplan van eind 2022 wordt geconstateerd dat veel van de maatregelen in 2023 zullen worden uitgevoerd. Gewezen wordt op gebrek aan capaciteit als de belangrijkste drempel voor de realisatie van de maatregelen uit het Actieplan.

Bestuurlijk gesprek

27 28

29

5 december 2022 hebben bestuur, directie en ambtenaren van de gemeenten en SWO een bestuurlijk gesprek met een delegatie van de VNG en de gemeente Overbetuwe over digitale veiligheid. Dat gesprek stond onder leiding van cyberburgemeester Van Rooij van Meierijstad. In het

Information Security Management System (ISMS). Eenduidige Normatiek Single Information Audit (ENSIA). Audits en rapportage in verband met de horizontale verantwoording (richting gemeenteraad) en verticale verantwoording (richting landelijke toezichthouders) over de stand van zaken met betrekking tot informatiebeveiliging en privacy. Zie ook §3.2.5. Visie op Informatieveiligheid & Privacy 2022-2025.

26

gesprek is geconstateerd dat veel zaken nog in ontwikkeling zijn en er nog geen integrale vorm van risicomanagement wordt uitgevoerd door de gemeenten en SWO. Veel van de punten uit het actieplan die nog uitgevoerd zouden moeten worden, worden aangehaald in het gespreksverslag. Ook worden een aantal zaken benoemd waar de ‘punten op de i’ gezet moeten worden. Zoals de omzetting van budget en menskracht van incidenteel naar structureel, monitoring en response in toezicht op het netwerkverkeer en het ‘oefenen en oefenen’ van de crisisorganisatie. Risicobehandelplan

Mede op basis van het dreigingsbeeld is in 2023 het actieplan uit 2021 omgevormd tot een Risicobehandelplan 2023-2025. Dat plan is in maart 2023 opgesteld, maar nog niet vastgesteld door directie. 30 In het risicobehandelplan wordt gemeld dat door externe ontwikkelingen het huidige kritieke veiligheidsniveau een groeiende dreiging inhoudt. Aanvallers zouden succesvol kunnen zijn vanwege het ontbreken van basismaatregelen. Geconstateerd wordt dat organisatorische en technische maatregelen nodig zijn om het risiconiveau van kritisch naar medium te verlagen. Daarbij zijn prioriteiten voorgesteld op de maatregelen die uit de pentest uit 2018 en het actieplan van 2021 naar voren zijn gekomen. Daarnaast zijn ook nieuwe maatregelen voorgesteld. Zoals hard- en software update, logische toegangsbeveiliging, testen ICT-herstelplannen, security testen en beveiliging op mobiele devices. Met extra aanvullende maatregelen zou het risiconiveau naar acceptabel kunnen worden teruggebracht.

Accountant

Risico’s worden ook geconstateerd bij de accountantscontroles die in opdracht van de raad worden uitgevoerd. Zie daarvoor uitgebreider §3.2.5. In 2022 zijn controllers met de accountant bij de audit meegelopen en hebben een tool voor de koppeling van systemen met Civision Samenlevingszaken bekeken, het systeem voor het sociale domein. Daar zijn risico’s geconstateerd, zo blijkt uit de interviews. Uit de interviews blijk dat daar nog onvoldoende aandacht aan geschonken is, vanwege de ontoereikende capaciteit.

3.2.2 Beleid voldoende basis voor de bescherming van gegevens? Beleid afgestemd

30

Het beleid van de beide gemeenten De Wolden en Hoogeveen op informatiebeveiliging en privacy is op elkaar afgestemd, omdat ze samenwerken in SWO. Vanuit SWO in 2019 is een visie op Informatievoorziening en IT-strategie uitgewerkt. In 2020 heeft SWO een visie uitgewerkt op Dienstverlening 2021-2025 en op basis daarvan in 2022 een visie op informatiebeveiliging en privacy. Tot begin 2022 gold het informatiebeveiligingsbeleid uit 2018 dat gebaseerd was op de BIG. Het

Uit de ambtelijke hoor en wederhoor blijkt dat het plan nog niet is vastgesteld in afwachting van de uitkomst van de scan op de I&A-organisatie die door M&I/Partners wordt uitgevoerd.

27

nieuwe Strategisch en tactisch informatiebeveiligingsbeleid, in 2022 geformuleerd, is gebaseerd op de BIO. In dat beleid zijn de uitgangspunten en de rollen op informatiebeveiliging en privacy beschreven. Het beleid moest al eerder dan 2022 aangepast worden, maar uit de interviews blijkt dat voorrang werd gegeven aan de implementatie van noodzakelijke beveiligingsmaatregelen. Privacybeleid

Het privacybeleid uit 2018 is momenteel als bijlage bij informatiebeveiligingsbeleid opgenomen. De elementen die vanuit de AVG benodigd zijn, zoals verwerkingsregister, datalekprocedure en gepubliceerde privacyverklaring, zijn aanwezig. Het verwerkingsregister dient nog geactualiseerd te worden. Ook de rollen op strategisch en tactisch niveau zijn beschreven in het privacybeleid. Uit de interviews blijkt dat er een nieuw en organisatiebreed privacybeleid is opgesteld dat nog vastgesteld moet worden. 31

Protocollen en procedures

Onder, of wellicht beter gesteld ‘naast’ het strategische informatiebeveiligings- en privacy beleid ligt het tactische en operationele beleidsdeel. Dat bestaat op tactisch niveau uit protocollen en leidraden op meer dan 40 deelterreinen op informatieveiligheid (zie onder andere afbeelding 3.1). Deze moeten op operationeel niveau uitgewerkt worden in procedures en werkprocessen (zie daarvoor §3.2.3 ‘Vertaling van beleid naar concrete activiteiten’).

11-7-2022 en 21-4-2023

Op tactisch gebied zijn onder andere de volgende beleidsstukken geformuleerd, zoals een gedragscode, Regeling gebruik elektronische middelen, Regeling voor gebruik sociale media, Veiligheidsincidenten, beslisboom voor datalekken en een Procedure afhandeling AVG-verzoek recht op inzage. De meeste protocollen en richtlijnen op informatiebeveiliging en privacy op tactisch niveau zijn op 2 datums vastgesteld. Zo zijn op 11 juli 2022 het Anti-malwarebeleid, Back-up en recovery beleid, Logische toegangsbeveiliging beleid, E-mail- en chatbeleid, Hardening beleid, Patchmanagement beleid, Internet- en wifi-beleid, Wachtwoordenbeleid en Handboek Informatiebeveiliging en privacy en wijzigingen vastgesteld. Op 21 april 2023 zijn de Procedure autorisaties, Beveiligd ontwikkelen beleid, Websites, webapplicaties en e-mailbeveiligingsbeleid, Mobile Devices en Application Management, Classificatiebeleid, Loggingbeleid, Mobiele gegevensdragersbeleid vastgesteld. Veel van de stukken dragen een tentatief karakter, dat wil zeggen dat het de bedoeling is dat het beleid aldus geformuleerd uitgevoerd moet gaan worden en zijn neerslag nog moet krijgen in werkprocessen. In de interviews wordt

31

Uit de ambtelijke hoor en wederhoor blijkt dat het de intentie is dit beleid in dit najaar 2023 voor te leggen ter vaststelling.

28

gewezen op het tekort aan capaciteit waardoor de doorvertaling van tactisch naar operationeel niveau nog grotendeels moet plaatsvinden. De Afbeelding 3.1. Protocollen en richtlijnen op Informatiebeveiliging en privacy

Bron: IBD.

29

vacature voor een processpecialist op ICT staat al ruim een half jaar open. Het blijkt lastig specialisten uit de huidige arbeidsmarkt binnen te halen en te binden, met name op dit soort technische functies. Geconstateerd wordt dat er beleidsdocumenten ontbreken die in de BIO verplicht zijn, waaronder Encryptiebeleid, Bewustwordingsprogramma en Procesautomatisering. Een Integraal bedrijfscontinuïteitsplan is in een basisversie aanwezig. Dit plan moet echter nog wel geactualiseerd en aangevuld worden om essentiële dienstverlening te kunnen garanderen. En daar wordt niet op geoefend, zo blijkt uit het verslag van het bestuurlijk gesprek (zie hiervoor §3.2.1) en wat respondenten in de interviews aangeven. Middelen

Voor de activiteiten in het Actieplan is in 2021 eenmalig €127.000 ter beschikking gesteld. Daarvan is €119.740 overgeheveld naar boekjaar 2022, vanwege de achterblijvende voortgang. Niet alles daarvan is uitgegeven is 2022. Voor de geprioriteerde maatregelen uit het Risicobehandelplan informatiebeveiliging en privacy 2023-2026 is becijferd dat de incidentele kosten voor 2023 €137.000 zijn en structurele kosten €209.000 bedragen. Daarvan is voor incidenteel €68.000 dekking en voor structureel €78.000. De meerkosten voor de maatregelen om het risiconiveau van kritisch naar medium te brengen bedragen voor 2023 €68.000 incidenteel en €78.000 structureel. De incidentele en structurele meerkosten voor 2024 zijn respectievelijk €32.000 en €560.000. Daarover is nog geen besluit genomen. 32

3.2.3 Rollen en verantwoordelijkheden voldoende belegd? Rollen en verantwoordelijkheden op informatiebeveiliging en privacy zijn uitgebreid beschreven in een bijlage bij het Strategisch Informatiebeveiligingsbeleid, mede op basis van de RASCI-tabel. 33 Daarin is vastgelegd wie verantwoordelijk is (Responsible), eindverantwoordelijk (Accountable), ondersteunend (Supportive), re raadplegen (Consultated) of te informeren (Informable). De rollen van raad, college, management, FG, CISO, ISO, PO, Controller Informatieveiligheid, en beveiligingsbeheerders op de diverse werkterreinenzijn beschreven. 34

32

33

34

Uit de ambtelijke hoor en wederhoor blijkt dat er nog geen besluit is genomen in afwachting van de in afwachting van

de scan op de I&A-organisatie door M&I/Partners.

Zie bij het Strategisch Beleid Informatieveiligheid & Privacy 2022-2025 - Gemeente Hoogeveen v1.0def: Bijlage 1d Organisatie Informatieveiligheid & Privacy 2022 - SWO v6.0d; Bijlage 1e - RASCI-tabel BIO-controls Informatieveiligheid & Privacy 2022 - SWO v1.0d. Dat zijn de beveiligingsbeheerder op de applicaties voor DigID, Suwinet, BRP, BAG, BRO, BGT, WOZ, HRM, ICT en Waardedocumenten.

30

Bezetting informatiebeveiliging

Op informatiebeveiliging is de CISO met 0,5 fte werkzaam. De CISO is verantwoordelijk voor het opstellen en implementeren van, en toezicht houden op het informatiebeveiligingsbeleid. Hij combineert deze functie met de CIO-functie, de Chief Information Officer. De CISO valt momenteel onder de leidinggevende op bedrijfsvoering en I&A. Dat is niet de positie die de CISO volgens de IBD zou moeten hebben om onafhankelijk zijn strategische rol richting organisatie, bestuur en management goed te kunnen pakken.

Privacy

De FG-functie heeft geen vaste formatieplaats, maar is extern ingevuld met een overeenkomst van opdracht. De formatie van de Privacy Officer is in 2022-2023 uitgebreid tot 1,0 fte, namelijk 0,2 fte voor Chief Privacy Officer (CPO) en 0,8 fte voor de PO. Uit de interviews blijkt dat behoefte is aan uitbreiding op de functie van Privacy Officer.

Privacy ambassadeurs

Ter ondersteuning van de functies op privacy zijn bij een enquête medewerkers gepolst om privacy ambassadeur in de teams te worden. De ambassadeurs krijgen een training en gaan dan aan de slag onder andere als een eerste lijns-vraagbaak voor medewerkers in de teams (zie ook §3.3.2). Er was al langer sprake van om deze ondersteunende taken op informatiebeveiliging en privacy bij medewerkers in de teams te beleggen. Het ligt in de bedoeling dit in het derde kwartaal van 2023 te realiseren, melden respondenten.

Automatisering

In het team I&A is informatiebeveiliging verdeeld over meerdere rollen (1e2e-3e lijn). Met name de netwerkbeheerders proberen zo goed mogelijk verbetermaatregelen te implementeren naar aanleiding van het actieplan, projecten, audits en opvolging vanuit monitoringssystemen. Uit de interviews en de taken die er liggen blijkt dat er genoeg werk is voor aanvullende structurele formatie van 2 fte TISO. Uit het risicobehandelplan blijkt dat die wens bij de afdeling al langer bestond.

Informatiemanagement

De ISO is recent vertrokken. In afwachting van invulling van deze vacature zijn twee ISO's tot eind 2023 ingehuurd (totaal 0,5 fte). Deze richten zich vooral op bewustwording, het opzetten en vertalen van beleid naar de concrete praktijk, vormgeving van de Business Impact Analyse (BIA) en proces op data protection impact assessments (DPIA), handhaving webbeleid en spilfunctie richting Automatisering.

I-adviseurs

Naast de CIO zijn er als aanspreekpunt op informatievoorziening momenteel drie I-adviseurs werkzaam, onder andere op het sociaal domein en het fysieke domein. Zij geven niet alleen advies over de informatievoorziening, maar kijken ook naar aspecten als informatieveiligheid en privacy. De I-adviseur sociaal domein combineert dat met de functie

31

Security Officer Suwinet.35 Er is plek voor in totaal vier I-adviseurs. Een van de voormalig I-adviseurs is aangesteld als Information Security Officer (ISO). Deze is recent vertrokken. De bezetting bij de I-adviseurs is vervolgens aangepast. Controller Informatieveiligheid

Vanuit het team Control heeft een medewerker Interne Audit momenteel de rol van 'controller informatieveiligheid'. Deze functionaris toetst regelmatig bij de CISO of het raamwerk van control goed functioneert en ondersteunt bij de uitvoering van audits (met name die van de accountant). 36 Overleggen op Informatieveiligheid en privacy De aandacht voor informatiebeveiliging en privacy is over verschillende afdelingen en functionarissen verdeeld. Er zijn verschillende overleggen waar de lijnen bijeenkomen.

Team informatiebeveiliging en privacy

CISO

Een van de interne overleggen op de betreffende terreinen is het Team Informatieveiligheid en privacy dat elk kwartaal plaatsvindt. Dat is een organisatiebreed overleg dat vier keer per jaar bijeenkomt. Daar nemen de CISO, FG, PO, I-adviseurs, Controller Informatieveiligheid en beveiligingsbeheerders aan deel. Hierin worden de belangrijkste zaken en recente ontwikkelingen op informatiebeveiliging en privacy organisatiebreed besproken. In het beleid is opgenomen dat de CISO eenmaal per maand met de directie een overleg heeft. Uit de interviews blijkt dat dat niet gebeurt. In de praktijk staat de lijn van de CISO met directie en bestuur open, vanwege de onafhankelijke en strategische adviesfunctie van de CISO. Daar wordt door de CISO ook gebruik van gemaakt, bijvoorbeeld bij calamiteiten als het eerder genoemde Log4J-incident. Daarnaast zijn er contactmomenten zoals bij de jaarlijkse ENSIA-rapportages. Maar een maandelijks regulier overleg is er niet. De CISO heeft structureel elke 2 weken met de PO/CPO/ISO en elke week met de tijdelijk aangestelde ISO’s overleg. Een ISO overlegt elke week met medewerkers van Automatisering. Hierbij worden onder andere de incidenten besproken die medewerkers via Topdesk melden, afhankelijk van de aard van het incident. Ook aanbestedingen van applicaties op informatieveiligheid worden daar behandeld.

Onderling hebben de CISO, CPO, PO, ISO en FG veel en regelmatig contact om lopende zaken te bespreken. De CISO is tevens lid van het Netwerk Cyberveiligheid NoordNederland.

35

36

Suwinet: Gemeenschappelijke elektronische Voorziening Suwi (Wet structuur uitvoering werk en inkomen), of GeVS, ook wel Suwinet genoemd, is een digitale infrastructuur die is ontwikkeld om ervoor te zorgen dat de Suwipartijen (UWV, SVB en gemeenten) gegevens met elkaar kunnen uitwisselen Uit de ambtelijke hoor en wederhoor blijkt dat deze medewerker inmiddels de organisatie verlaten heeft.

32

FG, PO, I-adviseurs

De FG heeft geen regulier overleg met de directie. Wel heeft de FG regelmatig overleg met de CISO, CPO en PO. Met de I-adviseur sociaal domein heeft de PO een driewekelijks overleg. En een tweemaandelijks overleg met alle I-adviseurs, onder andere over wijzigingsverzoeken van verwerkingsprocessen die mogelijk leiden tot een (pre-)dpia of een nieuwe verwerkersovereenkomst met een externe partij. Leiders van projecten waarin privacy een rol speelt nemen ook deel aan dat overleg. De I-adviseurs hebben elke week onderling een overleg. Daarin worden uiteenlopend zaken besproken zoals problemen en zaken die relevant zijn voor de andere domeinen De I-adviseurs hebben maandelijks een overleg met de PO en wekelijks met de ISO. Indien nodig wordt opgeschaald naar de CISO.

Drents overleg FG

Verder nemen de FG en PO deel aan een Drents privacyoverleg. Daaraan nemen per kwartaal alle Drentse FG-en en privacyofficers van gemeenten en provincie aan deel. Dit overleg is voor kennisuitwisseling en advies op privacyaspecten in provincie brede projecten.

3.2.4 Vertaling van beleid naar concrete activiteiten Informatieveiligheid en privacy is van alle medewerkers, niet alleen van de functionarissen zoals de CISO, FG of PO. Zo staat het beschreven in het strategisch informatiebeveiligingsbeleid. Informatiebeveiliging en privacy moeten integraal onderdeel worden van concrete activiteiten en opgenomen en op operationeel niveau beschreven worden in werkprocessen. Daar gaan we hieronder op in. Werkprocessen

Zoals hiervoor beschreven is het strategische en grotendeels het tactische beleid op informatiebeveiliging en privacy geformuleerd. Uit de interviews blijkt dat daarvan nog maar weinig is ingebed in werkprocessen. Een aantal teams is zich van deze noodzaak meer bewust dan andere teams. Deze teams zien zichzelf eigenaar van de onderdelen informatiebeveiliging en privacy binnen het werkproces. Zij zijn degenen die de risico’s het best kunnen inschatten. Zo staat het ook beschreven in het beleid. Daarbij kunnen de teams advies gebruiken van de functionarissen op informatiebeveiliging en privacy. De functionarissen zaten volgens de respondenten tot voor kort dichter op de processen in de teams. Maar door capaciteitsgebrek is dat niet meer vanzelfsprekend. Wat volgens de respondenten goed gaat is dat de medewerkers de functionarissen op informatiebeveiliging en privacy steeds beter weten te vinden. De ervaring van een aantal respondenten is dat er ruis op de lijn is omdat de werkprocessen niet volledig op orde zijn, in ieder geval wat informatiebeveiliging en privacy betreft. Vaak wordt er te laat of helemaal niet aan gedacht om veiligheids- of privacyaspecten mee te nemen bij contractvorming. Dan moet op het eind van een aanbesteding of wijziging van een 33

verwerkingsproces toch respectievelijk een verwerkersovereenkomst afgesloten worden of een dpia worden uitgevoerd. Dat werkt vertragend en is, volgens de respondenten, frustrerend voor alle betrokken partijen. Soms gaat het wel goed, zoals bij de aanschaf van het nieuwe HRM-systeem. Verwerkingen

Bij nieuwe overeenkomsten is de verwerkingsovereenkomst vaak wel een punt van aandacht. Onder de oude overeenkomsten (voor 2018) ligt soms nog geen verwerkersovereenkomst met afspraken over informatiebeveiliging en privacy. De verwerkingen van persoonsgegevens moeten opgenomen worden in het verwerkingsregister. Dat is in 2018 samen met een externe partij opgezet en is, volgens respondenten, sindsdien niet meer goed bijgehouden.

Samenvatting casus aanvraag Wmo-voorziening (voor de volledige beschrijving zie bijlage 1) Aanvragen voor een Wmo-voorziening (zoals huishoudelijk hulp, scootmobiel of aanpassingen aan huis) kunnen inwoners via de website doen. Via de post/telefoon of op spreekuur bij het Wmo-team (ma-do 9-17 uur, vr 9-13 uur) kan de melding ook binnen komen. De aanvraag wordt doorgestuurd naar het Wmo-team. De contact- en persoonsgegevens van de aanvrager worden geregistreerd, eventueel aangevuld met gegevens uit de gemeentelijke systemen. Dat betreft onder andere naam, BSN, geslacht, nationaliteit en burgerlijke stand. De registratie wordt in Civision Samenlevingszaken gedaan. Daarna volgt een gesprek bij de aanvrager thuis door de Wmo-consulent. In dat gesprek komt onder andere aan bod welk probleem ervaren wordt, wat de aanvrager nog zelf kan eventueel met behulp van familie of omgeving, de woon- en financiële situatie enz. Medische gegevens worden alleen opgenomen als dat voor de verstrekking van de voorziening nodig is. Een verslag van het gesprek, met de indicatie welke voorziening nodig is, wordt gedaan in de applicatie Montr of in een Wordbestand dat in Civision Samenlevingszaken wordt opgenomen. De aanvrager kan het verslag inzien en ondertekenen. Als de aanvrager niet ondertekent volgt soms een aanpassing. Bij een afwijzing kan de aanvrager bezwaar maken.

Het ondertekende verslag en de daarop gebaseerde beschikking wordt opgeslagen in Civision Samenlevingszaken. De medewerkers zijn op basis van hun functie geautoriseerd voor toegang tot een deel van de gegevens. De autorisatiebeheerder moet 2x per jaar de autorisaties controleren en krijgt hiervoor een signaal vanuit een aparte autorisatietool (niet vanuit de applicatie CiVision Samenlevingszaken). Na afronding van de melding wordt de map met cliëntgegevens overgebracht naar het digitale zaaksysteem Decos Join. De gegevens van de aanvrager wordt gedeeld met de externe partijen die de Wmo-voorziening verzorgen. Dat zijn onder andere Argonaut als adviseur met betrekking tot (medische) vragen, leveranciers van hulpmiddelen, zoals Meyra en Handicare en aanbieders van huishoudelijke hulp en vervoer. Het berichtenverkeer met gegevens van de aanvrager verloopt meestal via beveiligde portals. Die gegevens zijn over het algemeen de contactgegevens van de aanvrager en de voorziening die verstrekt moet worden. Medische gegevens worden alleen gedeeld als dat nodig is voor de verstrekking van de voorziening.

34

Als de eigen bijdrage van toepassing is, wordt dit in Civision Samenlevingszaken geregistreerd. Eens in de week worden alle wijzigingen (start of stop berichten) via het berichtenverkeer doorgestuurd naar het CAK. De medewerker verstrekt dan de naam van de cliënt, BSN en wijzigingsdatum. Er is geen data protection impact assessment gedaan (dpia) op het proces van de Wmo-aanvraag.

‘Security by design’ 37

Als de functionarissen op informatiebeveiliging en privacy en de afdeling I&A worden betrokken bij aanschaf van systemen en software gaan ze uit van ‘security by design’ en ‘zero trust’. 38 In ieder geval bij de nieuwe contracten, maar de functionarissen zijn niet altijd in de lead of soms zelfs in het geheel niet betrokken bij de aanschaf. Bestaande contracten, waarin sprake is van toegang tot data, worden geïnventariseerd om bij verlenging aanvullend afspraken over informatiebeveiliging en privacy op te nemen. Daar is onder andere een van de ingehuurde ISO's mee bezig, in overleg de PO, I-adviseurs en CISO.

ISMS en PDCA-cyclus 39

Het Information Security Management Systeem (ISMS) is opgenomen in het risicobehandelplan, maar is er nog niet. In een ISMS kunnen taken worden belegd, de Plan-Do-Check-Act-cyclus (PDCA) op informatiebeveiliging ingeregeld worden en kan managementinformatie gegenereerd worden. Daardoor kan onder andere de informatie die nodig is voor ENSIA makkelijk gegenereerd worden. Makkelijker dan bijvoorbeeld informatie uit verschillende systemen verzamelen. Volgens respondenten zal een ISMS voldoende structuur kunnen bieden om jaarlijks een risicoanalyse uit te kunnen voeren. De structuur op basis van ENSIA helpt daarbij, maar is onvoldoende geborgd om vaker per jaar te rapporteren over informatieveiligheid aan management en bestuur. Een opzet voor de systematiek van een ISMS is in concept gereed. De intentie is eerst hiermee te gaan werken om te kijken of de PDCA-cyclus goed op te zetten en te doorlopen is. Daarna zal een geschikt ISMS-systeem worden verworven, wat in de planning staat voor 2024. De CISO is in de lead bij de aanschaf ervan, ondersteund door advies van medewerkers van de afdeling I&A en de controller informatieveiligheid.

Logging 40

37 38

39 40

Logging betekent de monitoring van een systeem waarin wordt vastgelegd wie wanneer tot welke (persoons)gegevens toegang had. In de AVG staat dit niet expliciet vermeld, maar het is meestal een noodzakelijke maatregel

Security by design betekent dat vanaf de ontwerpfase, van bijvoorbeeld software, rekening wordt gehouden met informatieveiligheid. Zero trust is een veiligheidsstrategie met betrekking tot design en implementatie van software, hardware en systemen. Meestal gebruikt in verband met de strategie dat alle verkeer geverifieerd moet worden en zo min mogelijk wordt gewerkt met geprivilegieerde toegang tot gegevens en systemen. Plan-do-check-act cyclus (PDCA) is de zogenoemde beleidsleercyclus. Logging is een vorm van monitoring waarbij (inlog)gegevens geautomatiseerd worden geregistreerd, bedoeld om bij te houden welke gebeurtenissen/ handelingen binnen een systeem of applicatie hebben plaatsgevonden.

35

om bewijslast te hebben bij oneigenlijke toegang tot gegevens. Na opmerkingen in ENSIA over benodigde verbetering van de logging is in april 2023 het loggingbeleid vastgesteld. Niet op alle systemen is logging ingesteld. Uit de interviews blijkt dat de capaciteit ontbreekt om de loggingbestanden standaard te controleren op misbruik van toegang tot gegevens en systemen. Op het moment dat oneigenlijk gebruik is geconstateerd kan wel op basis van de logbestanden vastgesteld worden wat er is gebeurd. In het kader van ENSIA wordt voor de landelijke toezichthouder op Suwinet een zware controle uitgevoerd. Omdat in de zogenoemde Suwinet-Inkijk, veel bijzondere persoonsgegevens van inwoners worden verwerkt. Per kwartaal wordt op basis van loggingbestanden vanuit de applicatie een rapportage opgesteld met aantal raadplegingen in Suwinet-Inkijk, aantal geraadpleegde Burger Service Nummers, aantal raadplegingen binnen/buiten kantooruren en aantal inlogpogingen. 41 Als daaruit bijzonderheden uit naar voren komen kan de Security Officer Suwinet in de logbestanden mogelijk bewijsmateriaal zoeken. Autorisaties 42

In 2022 is het Logische Toegangsbeveiligingsbeleid vastgesteld, waarin is opgenomen dat over de autorisatieprocedure afspraken gemaakt moesten worden. In april 2023 zijn deze opgenomen in de Procedure autorisaties. Daarin is onder andere vastgelegd hoe autorisaties tot het netwerk, toegang tot de gebouwen en ruimtes, het informatiesysteem en de beveiligde mappen worden toegekend. Voor de grotere, bedrijfskritische applicaties is een autorisatietool aanwezig, die het proces van aanvragen, toekennen en controleren ondersteunt. Nog niet alle applicaties zijn in deze tool opgenomen. Medewerkers kunnen via de tool de meeste autorisaties aanvragen op basis van de functie/rol die de medewerker heeft. Beheer van de autorisaties wordt uitgevoerd door de autorisatiebeheerder. Deze kunnen de autorisaties al dan niet toekennen naar aanleiding van de functie van de medewerker. Sommige autorisaties moeten door een leidinggevende worden aangevraagd, dat kan de medewerker niet zelf doen. De applicatiebeheerder zorgt dat de autorisaties worden ingeregeld. Bij in- en uitdiensttreding gaat het toekennen of wegnemen van autorisaties meestal goed. Het punt is vaak of autorisaties snel worden bijgewerkt bij een functiewisseling. De autorisatietool is gekoppeld aan de personeelsadministratie, maar de huidige koppeling werkt niet optimaal.

41

42

Aantal raadplegingen binnen/buiten kantooruren was tot voor kort een sterke indicator voor een mogelijke onrechtmatigheid. Onder andere door het meer thuiswerken vanwege corona, waardoor de kantooruren minder leidend zijn, is die indicator minder sterk. Autorisatiebeheer is het proces waarin een medewerker rechten krijgt op het benaderen van een bedrijfsmiddel (systeem, applicatie, gegevens of locatie).

36

Interne rol- of functiewijziging worden daardoor niet gesignaleerd in relatie tot de juiste autorisaties. Dat vormt nog een zwakke schakel. Respondenten geven aan dat het mis kan gaan als op basis van persoon en niet op basis van functie autorisaties worden toegekend en als een duidelijke omschrijving van de functie ontbreekt. Zo wordt nog wel eens ‘nodig voor de uitvoering van werkzaamheden’ gebruikt voor de aanvraag van de autorisatie en dat biedt te weinig houvast. In het beleid is afgesproken dat autorisatiebeheerders twee keer per jaar de autorisaties controleren op juistheid. Zij krijgen van applicatiebeheer een lijst met gebruikers op de systemen. Als de applicatie en rollen/autorisaties binnen die applicatie opgenomen zijn in de autorisatietool, dan krijgen zowel de applicatiebeheerder als autorisatiebeheerder automatisch een signaal (1x/2x per jaar) om de autorisaties te controleren. Uit de casestudie blijkt dat autorisatiebeheerders niet altijd tijdig een signaal krijgen of op een signaal reageren (zie bijlage 1).

37

3.2.5 Informatievoorziening aan de raden

38

In de BIO is opgenomen dat de gemeenteraden minimaal 1x per jaar in het kader van de P&C-cyclus over de stand van zaken op informatieveiligheid geïnformeerd worden. Daarvoor is de ENSIA-rapportage bedoeld. De FG en CISO doen verslag in de jaarrekening over de stand van zaken op privacy en informatiebeveiliging. Op de rol staat een eigenstandige jaarlijkse rapportage op privacy door de FG. ENSIA

De jaarlijkse ENSIA-rapportage ziet toe op interne en externe audits op applicaties zoals Basisregistratie Personen (BRP) en Reisdocumenten, Digitale persoonsidentificatie (DigiD), Basisregistratie Adressen en Gebouwen (BAG), Basisregistratie Grootschalige Topografie (BGT), Basisregistratie Ondergrond (BRO), Waardering Onroerende Zaken (WOZ) en de Structuur uitvoeringsorganisatie Werk en Inkomen (Suwinet). Over deze applicaties moet de gemeente door middel van ENSIA verantwoording afleggen richting landelijke toezichthouders. Met name aan DigiD en Suwinet worden hoge eisen met betrekking tot veiligheid gesteld. Het college moet hierover rapporteren met een assurance-statement van een extern bureau.

ENSIA-rapportage 2020

Daarnaast wordt via ENSIA aan de gemeenteraad gerapporteerd over de vorderingen op informatiebeveiliging. Zo stond in de collegeverklaring ENSIA over 2020 aan de raad dat de informatiebeveiliging DigiD en Suwinet positief was, maar dat nog niet volledig werd voldaan werd aan de eisen van de BIO. De raad is op de hoogte gesteld van elementen uit een verbeterplan, zoals structureel programma vergroten bewustzijn, aanscherping processen en procedures, toepassen MFA en verbetering logging en controle op autorisaties. Ook gaf het 39

college aan dat enkele zaken al werden opgepakt, zoals voorbereiding en aanschaf van een Monitoring & Respons-systeem, back-up/recovery en implementatie MFA. Extra middelen vanuit het Actieplan werden aangekondigd om te gaan voldoen aan de BIO. ENSIA-rapportage 2021

In de aanbiedingsbrief van de ENSIA-rapportage over 2021 aan de raad, gaf het college aan te voldoen aan de normen van Suwinet en DigiD. En nog niet werd voldaan aan de eisen van de BIO en dat de basis nog niet op orde was. Het college constateerde een gestage maar onvoldoende ontwikkeling in de realisatie van het Actieplan. Een risicobehandelplan werd opgezet met onder andere activiteiten op de structurele training van bewustwording, governance (beleid en organisatie), implementeren aanvullende technische beveiligingsmaatregelen en aanscherpen diverse processen en procedures. De doelstelling werd geformuleerd om eind 2023 te voldoen aan BIO en AVG en dat informatiebeveiliging en privacy op adequaat niveau zijn geborgd.

ENSIA-rapportage 2022

In de aanbiedingsbrief over 2022, in 2023 aan de raad aangeboden, wordt summier maar wederom geconstateerd dat voldaan wordt aan de normen van Suwinet en DigiD, maar dat de basis nog niet op orde is zoals voorgeschreven door de BIO. Dezelfde verbetermaatregelen als in 2022 worden in de aanbiedingsbrief richting raad opgenomen.

Presentatie aan de raden

In oktober 2022 hebben CISO, ISO, FG en PO een presentatie verzorgd voor de raad van Hoogeveen over de risico’s en succesfactoren op informatiebeveiliging en privacy, de maatregelen die intern worden genomen en het Actieplan. De presentatie aan de raad De Wolden is, in overleg met de griffier, uitgesteld in verband met de rapportage vanuit het onderhavige rekenkameronderzoek. De maatregelen zijn die de functionarissen benoemen zijn grosso modo gericht op verbeterpunten die uit de assessments, testen en audits voortkomen. Zoals bewustwording, technische beveiligingsmaatregelen, toegangsbeveiliging back-up/recovery, monitoring dataverkeer, contractafspraken met leveranciers en ketenpartners, actualisatie beleid, aanscherpen procedures en vrijmaken van mensen en middelen.

Accountant

Een andere bron van informatie voor de raad over de stand van zaken op informatiebeveiliging en privacy zijn de verslagen van de accountantscontroles. Meestal geven accountants geen diepgaande analyse van de systemen en zijn de controles beperkt tot veiligheidsaspecten die met de financiële rechtmatigheid te maken hebben. Maar meer en meer reiken de controles verder, afhankelijk van de opdracht die de raden verstrekken. De accountant heeft zich over 2022 gefocust op het pakket voor het sociaal domein, financieel pakket en personeelsinformatiesysteem. Daaruit komen verbeterpunten die ook breder voor de organisatie gelden, zoals de autorisaties. Specifiek voor het financiële pakket constateert de accountant een nieuwe bevinding en twee al eerder gecommuniceerde bevindingen, 40

die blijkbaar niet tot verbetering hebben geleid. 43 Een daarvan is dat er geen vastgelegde controle is op de toegang door gebruikers van het financiële systeem. Dat wil zeggen dat niet te controleren is of een check op de autorisaties op het financiële systeem is uitgevoerd. Voor zover bij de rekenkamercommissies bekend is één keer door een fractie uit de gemeenteraden vragen gesteld over informatiebeveiliging en privacy. Dat was de Christen Unie uit de gemeenteraad Hoogeveen met vijf vragen over digitale risico’s. De vragen zijn oktober 2022 beantwoord.

Vragen vanuit de raad

3.2.6 Data-ethiek Over informatiebeleid en digitale dienstverlening zijn beleidsstukken opgesteld, zoals het Informatiebeleid 2020-2022. Dat beleid kent vier strategische doelen: modern, integraal, informatiegedreven werken en flexibel & schaalbaar. En het beleid heeft vijf sporen: 1. 2. 3. 4. 5.

Doorontwikkelingen dienstverlening Informatiegedreven werken Informatievoorzieningen op orde 21e -eeuwse organisatie (digivaardig, digibewust, datavaardig en flexibel) Positionering informatiemanagement en automatisering Ethiek komt voor in het beleid, namelijk dat ‘het verzamelen, combineren en ontsluiten van data […] binnen de kaders van privacywetgeving en ethiek [wordt] gedaan’. Er is geen apart geformuleerd beleid met betrekking tot de ethische kwesties die op dit onderwerp spelen.

Sociaal domein

Voor de medewerkers in het sociaal domein is door een jurist een training over de privacywet- en regelgeving gegeven. De ketenpartners van de gemeente zijn ook daarin meegenomen. Uitgangspunt is dat gegevens met derden uitgewisseld mogen worden, zolang de afweging gemaakt wordt of dat proportioneel is. Bijvoorbeeld, in het kader van de veiligheid van een kind is er meer toegestaan. Bovendien geldt dat goed moet worden vastgelegd op welke gronden die afweging is gemaakt. Binnen het sociaal domein worden grote hoeveelheden bijzondere persoonsgegevens van kwetsbare groepen burgers door of namens de gemeenten verwerkt (zie hiervoor ook de casestudie naar de verwerking van gegevens in het kader van een Wmo-aanvraag, bijlage 1). Daar spelen prominent dilemma’s rond de vergaring, verwerking en uitwisseling van gegevens.

WAMS

43

Deze problemen zijn bij de rijksoverheid bekend. Dat heeft geleid tot het opstellen van de Wet aanpak meervoudige problematiek sociaal domein

In 1e instantie constateerde de accountant twee nieuwe bevindingen en drie eerder gecommuniceerde bevindingen die blijkbaar niet tot verbetering hebben geleid. In een later gesprek is dat gecorrigeerd en bijgesteld naar een nieuwe bevinding en twee eerder gecommuniceerde bevindingen.

41

(Wams). Daarin gaat geregeld worden dat informatie tussen ketenpartners gedeeld mag worden in het belang van inwoners met meervoudige problematiek. De ingang van Wams is vooralsnog gesteld op medio 2024. Achteraf betrokken

Ook op het werkterrein van andere afdelingen en teams spelen vraagstukken op het gebied van het verzamelen, combineren en ontsluiten van data. Data-ethiek staat nog in de kinderschoenen in het beleid en de verwerking in werkprocessen, zo blijkt uit de interviews. Medewerkers weten dat ze met gevoelige informatie werken, maar uit niet iedere medewerker is daar even taakvolwassen op. Er is een data-analist bij SWO aanwezig. Als het gaat om privacyaspecten met betrekking tot informatievoorziening en -planning is met name de PO het aanspreekpunt, en op de achtergrond de FG. Aandachtspunten op privacy, maar ook informatiebeveiliging, worden nog vaak te laat bij processen betrokken. Dat vergt dan herstel- en reparatiewerk dat mogelijk voorkomen had kunnen worden. Ook de informatieplanning in processen, dat antwoord geeft op de vraag welke informatie wanneer nodig is, staat volgens geïnterviewden in de kinderschoenen.

Drents FG-overleg

In het provinciaal overleg van FG’en is gesproken over een dataverzameling over vakantieparken in Drenthe. Daarover hebben de Drentse FG’en een negatief advies afgegeven, omdat er geen sprake was van dataminimalisatie. Dat is een van de uitgangspunten in de AVG, die voorschrijft dat er niet meer persoonsgegevens mogen worden verwerkt dan strikt noodzakelijk is voor de doeleinden waarvoor ze worden verwerkt.

42

3.3 Mens en gedrag In deze paragraaf presenteren de rekenkamercommissies de bevindingen met betrekking tot onderzoeksvraag 3.1 en 3.2 op mens en gedrag: 3.2. Zijn medewerkers zich bewust van informatiebeveiligingsrisico’s en is voor medewerkers duidelijk wat van hen verwacht wordt ten aanzien van informatiebeveiliging? 3.1. Is het hogere management actief betrokken bij informatiebeveiliging en het uitdragen daarvan binnen de organisatie?

3.3.1 Bewustwording bij medewerkers van informatiebeveiligingsrisico’s Risicobewustzijn

Bewustwording van medewerkers op de risico van informatiebeveiliging is uitermate belangrijk. Respondenten melden op de vraag wat er goed gaat op het gebied van informatiebeveiliging en privacy dat de bewustwording van medewerkers de laatste jaren is toegenomen. Bekend uit onderzoek bij gemeenten in het algemeen is dat bij afdelingen en teams die al langer met (bijzondere) persoonsgegevens werken, zoals burgerzaken, sociaal domein, archief en de salarisadministratie, zijn medewerkers redelijk risicobewust. Maar er zijn ook medewerkers van afdelingen die daar minder bij stil staan. Voor een aantal medewerkers is aandacht voor informatieveiligheid iets dat afleidt en naast het dagelijkse werk erbij komt. Als de systemen of software drempels opwerpen of niet makkelijk meewerken zoeken medewerkers geitenpaadjes er omheen. En, zoals eerder aangegeven is stil staan bij de risico’s op informatiebeveiliging en privacy niet overal in de werkprocessen ingebed (zie §3.2.4.)

Bijeenkomsten

De afgelopen jaren zijn enkele bijeenkomsten voor medewerkers gehouden om de bewustwording op risico’s op informatiebeveiliging en privacy te vergroten. Door de FG is bijvoorbeeld een keer een cursus Juridische begrippen in het kader van privacy georganiseerd. Voor de medewerkers die met Suwinet werken komt een verplichte e-learning over het veilig gebruik ervan. Maar er is nog geen sprake van een structureel programma voor alle medewerkers. Ook komen de CISO, PO of FG niet regelmatig langs bij de afdelingsoverleggen om de onderwerpen op informatiebeveiliging en privacy te bespreken, zo blijkt onder andere uit de casestudie (zie bijlage 1).

Continu aandacht

Met een frequentie van gemiddeld vijf keer per jaar worden berichten over informatiebeveiliging en privacy op intranet gepubliceerd. Respondenten geven aan dat medewerkers meer en meer met vragen komen bij de functionarissen op informatiebeveiliging en privacy. Tegelijk melden de meesten ook dat het risicobewustzijn nog niet op het gewenste niveau is, en dat er continu aandacht aan besteed moet worden.

43

Taakvolwassenheid op Informatieveiligheid

Zoals eerder opgemerkt moet informatiebeveiliging en privacy niet iets van de gespecialiseerde functionarissen zijn, maar een verantwoordelijkheid van de medewerkers en het lijnmanagement. De taakvolwassenheid op informatieveiligheid, dat wil zeggen de mate waarin zij bekend zijn met de protocollen en procedures en deze in de praktijk brengen, wordt vaak op een 5 puntsschaal weergegeven. NOREA, de beroepsvereniging voor IT auditors, onderdeel van de Koninklijke Nederlandse Beroepsorganisatie van Accountants (NBA), gebruikt de schaal zoals in bijlage 5 is opgenomen. Uit de interviews blijkt dat de gemiddelde volwassenheid van de organisatie op informatiebeveiliging tegen 1,5 scoort. Dat wil zeggen dat er wel procedures zijn, maar onvolledig. En dat deze inconsistent en ad hoc worden uitgevoerd. Eenzelfde niveau van taakvolwassenheid wordt door respondenten op gebied van privacy ingeschat. Er zijn geen landelijke benchmarks op volwassenheidsniveau van medewerkers bij gemeenten.

Figuur 3.1. Volwassenheidsniveau informatieveiligheid. 0

1

2

3

4

5

Niet aanwezig

Initieel

Herhaalbaar

Gedefinieerd

Beheerst en meetbaar

Continu verbeteren

SWO

Algemeen gesteld wordt dat een organisatie vanaf niveau 3 ‘in control’ is. Vanaf dat niveau zijn beheersingsmaatregelen gedocumenteerd en worden ze gestructureerd, geformaliseerd en aanwijsbaar uitgevoerd. Plannen

In audits en plannen wordt eraan gerefereerd dat de gemeenten en SWO aandacht moeten besteden aan bewustwording van medewerkers. In de ENSIA rapportage over 2020 wordt gemeld dat een van de belangrijkste verbeterpunten bewustwording is, waar extra middelen voor ingezet moeten worden. In het Actieplan 2021 staat het onderwerp ook opgenomen. Bij een update van het Actieplan eind 2021 is bewustwording doorgeschoven naar 2022. In de update eind 2022 wordt gemeld dat een bewustwordingsprogramma voor het 1e kwartaal 2023 op de planning staat. In het risicobehandelplan staat dat aandacht besteed moet worden aan structurele training van medewerkers op bewustwording. Daar wordt in de ENSIA rapportage 2022 ook aan gerefereerd. Eind 2022 in het bestuurlijk gesprek in het kader van de visitatie op informatiebeveiliging van de VNG wordt geconstateerd dat ingezet moet worden op bewustwording. Daarbij wordt gemeld dat dat breed opgevat moet worden, waaronder oefening op een cyberaanval, test phishing, mystery guest en eigenaarschap van informatieveiligheid bij directie en management. In het 2e kwartaal van 2023 was daarvoor een nulmeting en concept bewustwordingsprogramma beschikbaar, opgesteld door een extern adviesbureau. In het 44

Risicobehandelplan, dat voorjaar 2023 aan de directie werd voorgelegd, is bewustwording wederom als activiteit opgenomen. Uit de interviews blijkt dat het bewustwordingsprogramma in najaar 2023 zou worden opgepakt. Belang van training

Uit de aanvullende vragenlijst bij ENSIA over 2022 blijkt dat het management niet het belang uitdraagt van deelname aan opleiding en training op het gebied van informatieveiligheid. 44 Bij 87% van de deelnemende gemeenten wordt dat belang wel uitgedragen en benadrukt door het management. Net als bij 11% van de deelnemende gemeenten zijn medewerkers niet op de hoogte van de regels en verplichtingen mbt informatiebeveiliging en de verantwoordelijkheid voor hun functie van toepassing is.

Cyberbarometer

Begin 2023 is door een extern bureau een meting gedaan naar het bewustzijn van medewerkers en leidinggevenden van SWO op informatiebeveiliging en privacy. Met 491 respondenten geeft dat een goed beeld van de beleving. Ten opzichte van de benchmark zijn er bij medewerkers lage scores met betrekking tot bewustzijn over beleid en processen op informatiebeveiliging en privacy, zelfvertrouwen in de eigen vaardigheden hierop, een veilige meldcultuur, de tijd nemen om veilig te werken en actie ondernemen bij verdachte situaties. Leidinggevenden scoren iets hoger, maar ook beneden de benchmark op 9 van de 16 onderwerpen. De helft van de leidinggevenden geeft aan onvoldoende kennis te hebben van informatiebeveiliging en privacy. Daarmee geven ze volgens de conclusies uit het rapport aan geen duidelijke voorbeeldrol te hebben. Een groot deel van de leidinggevenden geeft aan dat het team niet over voldoende vaardigheden of middelen beschikt om gedrag op informatiebeveiliging en privacy te veranderen of te stimuleren.

Activiteiten

Uit de interviews blijkt dat er wel middelen zijn gereserveerd voor bevordering van awareness bij medewerkers. Een van de extern ingehuurde ISO’s gaat samen met de PO aan de slag met beleid en risicobewustzijn. Ook gaan in de teams ambassadeurs de eerstelijns vraagbaak vormen voor de medewerkers. Respondenten melden dat in het derde kwartaal voor de ambassadeurs een awareness training en twee netwerkbijeenkomsten gepland staan om de rol nader in te vullen. Ook een wethouder en een burgemeester hebben zich opgegeven.

Inwerkprogramma

Er was nog geen structurele plek voor informatiebeveiliging en privacy in het inwerkprogramma voor nieuwe medewerkers. Het ligt in de bedoeling dat deze aspecten vanaf najaar 2023 door team HRM in het inwerkprogramma worden opgenomen.

Phishing mail

Een phishing mail test is erop gericht de awareness op risico’s te testen. De resultaten van een phishing mail test uit 2019 was dat 41% van de medewerkers de phishing mail heeft bekeken, dus op de mail heeft geklikt om te

44

Zie: https://www.waarstaatjegemeente.nl/ onder het lemma Informatieveiligheid.

45

openen. 30% heeft op de link in de mail geklikt en heeft daarmee al een risicovolle actie uitgevoerd. Tenslotte heeft 17% het formulier met inloggegevens ingevuld. Dat is een iets hogere score dan de benchmark. Phishing test juni 2023

In het kader van het rekenkameronderzoek is in de laatste week van juni 2023 een phishingmail-test uitgevoerd op de accounts die bij SWO en de gemeenten aanwezig zijn. In eerste instantie zou de test eerder uitgevoerd worden, maar deze is 2 weken uitgesteld. Vanwege een ‘echte’ phishingmail begin juni, waar medewerkers van SWO mee te maken kregen en waar een deel slachtoffer van werd. De test betreft 1.188 mailaccounts, onderscheiden naar afdeling binnen SWO en de twee gemeenten. Naast de medewerkers zijn ook raadsleden en bestuurders van de twee gemeenten in de test meegenomen. De mail die verstuurd werd lijkt van Microsoft te komen en lijkt een bijlage te bevatten met instructies voor een nieuw Intranet. De mail is onpersoonlijk, heeft geen aanhef en komt onaangekondigd. Als de medewerkers op de link klikken komen ze op een fake inlogpagina, met de logo’s van de gemeenten De Wolden en Hoogeveen. Daar worden ze verzocht inlognaam en wachtwoord in te voeren. Doen ze dat, dan komen ze op een landingspagina waarop wordt uitgelegd dat ze ‘gephisht’ zijn. Ze krijgen uitleg over de test en waar ze meer informatie kunnen krijgen om phishingmails te herkennen. In totaal heeft 12,9% van de geadresseerden op de link in de phishingmail geklikt. Van de klikkers op de link in de phishing mail heeft iets meer dan de helft, namelijk 51,6%, inloggegevens ingevoerd op de fake inlogpagina.

Het resultaat van de test is lager dan de benchmark en levert een gematigd risico op. Dat resultaat is geflatteerd, omdat SWO twee weken eerder met een echte phishingmail aanval te maken kreeg. Daar is in de organisatie aandacht aan besteed, wat de alertheid bij medewerkers op phishingmails zou hebben moeten vergroten. Ook heeft een medewerker al redelijk snel na begin van de test op Intranet een waarschuwing geplaatst. Dit soort verdedigingsmechanismen werken, maar in dat licht kan 12,9% aan klikkers op de test phishingmail alsnog als redelijk veel geïnterpreteerd worden. We kunnen overigens wel constateren dat het risicobewustzijn bij de medewerkers door de ‘echte’ phishingmail van begin juni is toegenomen. Zoals gezegd zijn ook de mailadressen van raadsleden van De Wolden en Hoogeveen in de test meegenomen. Van hen heeft respectievelijk 19% en 18% op de link geklikt. Dat is een hogere score dan die van de medewerkers van SWO. De raadsleden waren niet betrokken bij ‘echte’ phishingmail aanval van 2 weken eerder en hebben daar dus ook niet van kunnen leren.

46

Actie naar aanleiding van phishing

De echte phishing mail, 2 weken voor de test, heeft geleid tot actie van SWO. Er zijn aanscherpingen geweest met betrekking tot de toegangseisen via MFA.

3.3.2 Betrokkenheid bestuur en hoger management bij informatiebeveiliging Informatiebeveiliging is een lastig bestuurlijk onderwerp. Op informatieveiligheid worden risico’s geschetst en het besef is aanwezig dat er iets mis kan gaan. Alleen weet niemand wanneer. Er moet dan geïnvesteerd worden in iets dat niet direct tastbaar is en niet direct als resultaat zichtbaar is. Uiteraard zijn er ook voorbeelden waarbij een gemeente slachtoffer van een hack is geworden en fors in de problemen is geraakt, zoals Hof van Twente. Betrokkenheid

Urgente issues op informatiebeveiliging en privacy komen ook op de directie- en bestuurlijke tafels, bij SWO en de gemeenten. Uit de interviews blijkt dat de urgentie bestuurlijk wordt gevoeld. De CISO heeft in 2021 met de bestuurders van gemeenten en SWO een interactieve sessie gehouden over informatiebeveiliging. Ook blijkt uit de interviews dat directie en bestuur wat betreft intentie om informatiebeveiliging en privacy goed in te richten en te implementeren op één lijn zitten met de betreffende functionarissen. Het bestuur en management worden ervaren als betrokken en welwillend. Zij geven volgens respondenten aan dat ze er vertrouwen in hebben dat de functionarissen met de juiste kennis ermee bezig zijn. Een belangrijk teken van betrokkenheid is dat een burgemeester en een wethouder zich hebben aangemeld als privacy ambassadeur (zie §3.3.1). Daarmee toont de hoogste leiding dat het belang van informatiebeveiliging en privacy wordt onderkend en dragen ze het beleid actief uit. Daarentegen blijkt uit de aanvullende vragenlijst bij ENSIA over 2022 dat de beide colleges informatieveiligheid niet opgenomen hebben als onderdeel van de collegeambities. 71% van de colleges van de deelnemende gemeenten heeft wel ambities daarop geformuleerd. De vraag of een lid van het college verantwoordelijk is voor informatieveiligheid is door beide gemeenten met ‘nee’ beantwoord.

98% van de gemeenten heeft wel een collegelid daarop aangewezen.

Middelen

Uit de interviews blijkt dat als een kwestie bestuurlijk geadresseerd wordt, de urgentie bestuurlijk wel gevoeld en geuit wordt. Op de bestuurstafels is dan ook de bereidheid aanwezig om extra middelen in te zetten, zij het voornamelijk incidenteel. Zoals bij de dreiging van het Log4J datalek eind 2021 of bij de aanbesteding van SIEM/SOC van de VNG. In het actieplan is voorzien in eenmalige middelen voor informatiebeveiliging. Het risicobehandelplan, met incidentele en structurele middelen ligt vanaf maart 2023 ter besluitvorming voor. 47

Meerdere tafels

Uit de gesprekken blijkt dat informatiebeveiliging en privacy op verschillende bestuurlijke tafels wordt besproken. Meerdere op elkaar volgende rapporten over informatiebeveiliging, waarin veel seinen op rood staan, hebben nog niet geleid tot de benodigde structurele investering ter verbetering van de situatie. In interviews wordt het beeld geschetst dat in de huidige constellatie van gemeenten en SWO de doorzettingsmacht of kracht niet in die mate aanwezig is dat de gevoelde urgentie altijd wordt of kan worden omgezet in het vrijmaken van de benodigde middelen. Het probleemeigenaarschap van lijkt niet daardoor niet bestuurlijk gevoeld te worden. Los van de vraag of, mochten de middelen toegekend worden, de capaciteit aanwezig is deze om te zetten in de benodigde activiteiten.

48

Bestuurlijke reactie

Onderwerp:

Reactie op de rapportage Informatiebeveiliging en Privacy in het kader van bestuurlijke wederhoor

Datum:

26 oktober 2023

Geachte leden van de rekenkamercommissie, De rekenkamercommissies van gemeente De Wolden en gemeente Hoogeveen hebben in gezamenlijkheid een onderzoek laten uitvoeren naar de opzet, bestaan en werking van het informatiebeveiligings- en privacybeleid in de gemeenten en de ambtelijke samenwerkingsorganisatie Samenwerkingsorganisatie De Wolden Hoogeveen (SWO). Hieronder treft u onze bestuurlijke reactie aan. Het bestuur wil allereerst zijn waardering uitspreken voor het uitgevoerde onderzoek. Het rapport bevestigt voor een groot deel het beeld dat wij hebben van de kwetsbaarheden en uitdagingen rondom informatiebeveiliging en privacy binnen onze organisatie. Vanuit het onderzoek zijn enkele onderwerpen uitgelicht, die volgens de rekenkamercommissie specifiek aandacht behoeven voor het borgen van informatieveiligheid en privacy. Het rapport is daarmee een waardevol instrument dat ons in staat stelt de reeds ingezette acties aan te scherpen en verbeteren. We zijn ons bewust dat er nog veel moet gebeuren. Het extreme tempo van digitalisering en dreigingen in de cyberwereld maken het enorm uitdagend én lastig voor de gemeentelijke organisatie bij te blijven en tijdig passende maatregelen te nemen. Voortdurend bewaken en bijschakelen is een vereiste.

Graag willen we benoemen dat we zowel de afgelopen jaren als op dit moment goede stappen zetten om de informatiebeveiliging en privacy te verbeteren. Vanaf 2021 zijn aanvullende incidentele en structurele middelen beschikbaar gesteld voor het vergroten van de personele bezetting, de implementatie van diverse beveiligingssystemen en ondersteuning door externe experts. Hierbij moesten we bij de ingezette acties echter wel prioriteiten stellen binnen de beschikbare capaciteit. Bovendien is in de rapporten over de organisatieontwikkeling geconstateerd dat op het gebied van digitalisering en informatisering sprake is van grote achterstanden. In de reeds in gang gezette aanpak hierop wordt momenteel een onafhankelijke scan uitgevoerd, die moet leiden tot tot een integrale aanpak. Hieronder een toelichting op diverse acties die momenteel uitgevoerd worden. Bij de opzet en uitvoering van het rekenkameronderzoek kon mooi aangehaakt worden bij een beveiligingstest van het netwerk door een ingehuurde ethisch hacker (een "pentest", penetratietest) die voor dit jaar bij de SWO al in de planning stond.De goede samenwerking tijdens het onderzoek heeft ervoor gezorgd dat een aantal geconstateerde risico’s direct kon worden verholpen. De meest kritische punten vanuit eerdere onderzoeken die de SWO heeft laten uitvoeren zijn inmiddels ook 49

opgelost. Verder heeft de SWO een risicobehandelplan opgesteld als basis voor een gestructureerde uitvoering van de vereiste maatregelen. Een belangrijke, geprioriteerde maatregel hieruit is een Monitoring & Responssysteem voor het controleren op verdachte handelingen binnen het netwerk (bijvoorbeeld door hackers). Dit systeem is opgenomen in de begroting 2024-2027. Overige elementen uit het risicobehandelplan zijn als input meegenomen in de scan op het gebied van informatievoorziening, ICT en informatieveiligheid die op dit moment wordt uitgevoerd door een extern bureau (als onderdeel van de pijler Processen & Informatie). De uitkomsten hiervan en van uw onderzoek zullen resulteren in één integraal voorstel voor verbeteringen en investeringen op het terrein van governance, organisatie, processen, houding & gedrag en techniek in een meerjarenperspectief. Daarnaast loopt een verkenning voor het extern plaatsen/outsourcen van (onderdelen van) de IT-omgeving. Het wordt namelijk steeds complexer binnen de eigen organisatie het onderhoud, beheer en de beveiliging van de eigen IT-omgeving op het gewenste niveau te houden. Het verplaatsen naar en afnemen van informatiesystemen "vanuit de cloud" is inmiddels een trend. Dit vereist echter ook andere competenties voor de eigen organisatie (van beheer naar regie).

Hieronder onze reactie op de concrete aanbevelingen van de rekenkamercommissie. We zijn hierbij niet ingegaan op aanbevelingen 11 en 12, omdat deze specifiek gericht zijn aan de raad. De reactie daarop laten wij aan de raad zelf.

1.

Beleg informatieveiligheid als aandachtsgebied bij een van de collegeleden, bij voorkeur de burgemeester, en organiseer bestuurlijke doorzettingskracht op informatiebeveiliging en privacy. Dit thema is al belegd. Informatiebeveiliging en privacy maakt onderdeel uit van de portefeuille Bedrijfsvoering. De verschillende pijlers van de organisatie-ontwikkeling zijn regelmatig onderdeel van de gesprekken binnen het bestuur van de SWO, waardoor het thema informatiebeveiliging en privacy ook de komende tijd meer bestuurlijke aandacht gaat krijgen.

2.

Zorg dat procedures en richtlijnen op informatiebeveiliging en privacy in de werkprocessen worden ingebed. Daarmee wordt niet alleen op papier aan de BIO en AVG voldaan, maar ook de daadwerkelijke werking van de maatregelen in de praktijk. Ook wij hebben geconstateerd dat borging binnen de werkprocessen noodzakelijk is. Naast het verankeren van informatieveiligheid en privacy moeten ook andere zaken geborgd worden, zoals rechtmatigheid. Dit is een langdurig proces vanwege de grote hoeveelheid processen en producten binnen een gemeentelijk organisatie. Dit vraagt een langjarige en gefaseerde aanpak.

3.

Positioneer de cruciale positie CISO onafhankelijk van de lijn. De Informatiebeveiligingsdienst (IBD) heeft hiervoor richtlijnen opgesteld.

De CISO valt functioneel al rechtstreeks onder de directie en heeft daarbij een onafhankelijke positie en rol (alleen voor HR-aspecten is deze rol gepositioneerd onder de leidinggevende 50

bedrijfsvoering). Bestuur en directie hebben weliswaar geen structureel overleg met de Functionaris Gegevensbescherming (FG) of Chief Information Security Officer (CISO), maar in de praktijk is er wel degelijk een directe, open lijn tussen bestuur, directie en de functionarissen van de beveiligingsorganisatie. Er wordt constructief geschakeld via korte lijnen, wat zich al heeft bewezen in crisissituaties, bijvoorbeeld tijdens de Citrix- en Log4jincidenten 45. Bij het anders inrichten van sturingslijnen van onze organisatie per 1 januari 2025 is nadrukkelijk oog voor de positionering van onafhankelijke posities van dergelijke functionarissen. 4.