Rapport RKC DWD Tussen beeldscherm en bureaustoel - 2023

Zorg voor voldoende kwalitatieve en kwantitatieve capaciteit op informatiebeveiliging en privacy om de ambities (zie hierna) te realiseren. Mogelijk is samenwerking hierop met omliggende gemeenten en/of provincie nodig om voldoende capaciteit of schaalgrootte te realiseren. De afgelopen jaren is al geïnvesteerd in het vergroten van de capaciteit en verbetering van de rolinvulling van diverse beveiligingsfunctionarissen. Zo zijn inmiddels de capaciteit voor de CISO en (Chief) Privacy Officer verruimd naar 1 fte en is een fulltime ISO geworven, zodat regie, uitvoering en monitoring meer aandacht krijgen. De hierboven vermelde scan op het gebied van informatie-voorziening, ICT en informatieveiligheid moet input geven of en welke aanvullende capaciteit en competenties nodig zijn om verdere stappen kunnen zetten. Daarnaast wordt al nadrukkelijk samenwerking gezocht met andere gemeenten, provincies en veiligheidsregio's in Noord-Nederland, omdat alle overheidsinstanties voor dezelfde cyberuitdagingen staan.

5.

Ga verder met implementatie van een Informatiemanagementsysteem voor informatieveiligheid (ISMS). Daarmee worden activiteiten op informatiebeveiliging en privacy meer plan- en volgbaar, rapportages voor ENSIA makkelijker op te stellen en kan de PDCAcyclus op informatiebeveiliging en privacy ingericht worden. Een ISMS staat als een van de maatregelen vermeld in het risicobehandelplan. In 2024 gaan we allereerst de systematiek invoeren en daarna bekijken of er aanvullend behoefte is aan een ondersteunende applicatie om dit proces verder te ondersteunen. Eventueel volgt hierop een budgetaanvraag.

6.

Investeer in activiteiten om het risicobewustzijn van medewerkers te bevorderen en zorg dat het management de noodzaak hiervan inziet en dat uitdraagt. Een belangrijke factor (zoals de rekenkamercommissie terecht aangeeft) is het vergroten van het bewustzijn met betrekking tot informatiebeveiliging en privacy bij zowel bestuur, directie en management als medewerkers. Hiervoor zijn al diverse interventies gedaan, maar we willen toewerken naar een structureel bewustwordingsprogramma. Uitdaging hierbij is de mens als risico- én succesfactor: houding en gedrag zijn niet gemakkelijk te beïnvloeden, maar het zijn wel de mensen die daadwerkelijk verbetering kunnen doorvoeren en waakzaam moeten zijn waarmee we de omstandigheden beter beheersbaar maken. Daarbij

45

Respectievelijk in dec 2019 en dec 2021

51

hebben we te maken met een hoog verloop als gevolg van de huidige arbeidsmarkt, waardoor maatregelen aan de menskant lastig te borgen zijn. 7.

Maak tempo met het vervolledigen van het (tactisch) informatieveiligheidsbeleid, door de nog ontbrekende protocollen en richtlijnen vast te stellen. De belangrijkste resterende tactische beleidsstukken (inclusief privacybeleid) worden binnenkort voorgelegd ter vaststelling. De afgelopen tijd hebben we bewust prioriteit gegeven aan het doorvoeren van concrete beveiligingsmaatregelen in de praktijk boven "papier". De komende periode zullen we de onderliggende protocollen en richtlijnen zo spoedig mogelijk opstellen op basis van toegevoegde waarde om de risico's te verkleinen.

Aanbevelingen aan colleges en raden 8.

Formuleer samen ambities op informatiebeveiliging en privacy. Bijvoorbeeld over welke periode de gemiddelde taakvolwassenheid van de medewerkers op een bepaald niveau moet zijn, wanneer de gemeenten aan de BIO moeten voldoen enz. De komende periode staat in het teken van de basis op orde brengen. De uitkomst van de scan en het besluit hierop is van invloed op de eventuele ambities die hier bovenop gesteld kunnen worden. Te zijner tijd gaan we hierover graag met beide colleges en gemeenteraden in gesprek.

9.

Spreek samen af op welke wijze de raad geïnformeerd wordt over informatiebeveiliging en privacy. Bijvoorbeeld halfjaarlijks in een aparte raadscommissie of een commissie onder een bestaande commissie. Het is gebruikelijk minimaal eenmaal per jaar de raden via een informele sessie bij te praten over de belangrijkste ontwikkelingen en stand van zaken op het gebied van informatieveiligheid & privacy. Daarnaast zijn informatiebeveiliging en privacy onderdeel van het organisatie ontwikkeltraject waarover de raad ook periodiek wordt bijgepraat. Wij gaan graag in gesprek met de raad of dit voldoende is of dat de raad voorkeur heeft voor een andere invulling.

10.

Formuleer samen beleid op data-ethiek, hoe gemeenten verantwoord omgaan met data van inwoners. De Agenda Digitale Grondrechten en Ethiek 2022-2026 van de VNG kan hierbij behulpzaam zijn. We zien net als u het belang van data-ethiek. Als overheid zijn we ons bewust van zorgvuldig omgaan met en beschikbaar stellen van data. Wij geven hier al invulling aan, bijvoorbeeld door het borgen van privacy of beleggen van eigenaarschap van data bij contracten met leveranciers. Een volgende stap, na het op orde brengen van de basis, is het samen formuleren van gemeentelijk beleid.

Het is goed te beseffen dat er altijd risico's blijven bestaan. 100% veiligheid bestaat niet. Dat zullen we moeten accepteren. Wel moeten we de risico's terugbrengen tot een acceptabel niveau en ons zo goed mogelijk voorbereiden op mogelijke calamiteiten, binnen de beperkingen in capaciteit en middelen.

52

Tot slot: We voelen steun met dit rapport van de rekenkamercommissie om de juiste stappen te zetten. Wij gaan verder op de ingeslagen weg en verbeteracties door eerst de basis op orde te brengen. De volwassenheid van de organisatie is nog laag, maar er worden diverse acties uitgezet om dit naar het gewenste niveau te brengen. Dit doen we aan de hand van de pijler Processen en Informatie, welke onderdeel uitmaakt van het lopende organisatie ontwikkeltraject. Met vriendelijke groet,

het bestuur van de SWO

53

Nawoord De rekenkamercommissie heeft met tevredenheid kennis genomen van de reactie van het bestuur van de SWO en het college De Wolden op de rapportage Informatiebeveiliging en Privacy in het kader van bestuurlijk wederhoor van 26 oktober 2023. Wij lezen in de brief dat het bestuur van de SWO en het college zich grotendeels herkent in het rapport geschetste beeld van de kwetsbaarheden en uitdagingen rondom informatiebeveiliging en privacy binnen de SWO. Dit geldt voor de onderzoeksthema’s techniek, de mens en organisatie & beleid. De rekenkamercommissie waardeert het dat het bestuur per aanbeveling concreet aangeeft op welke wijze zij hier invulling aan geeft. De RKC wil hierbij enkele punten accentueren: 1. Wij vinden het uit veiligheidsoogpunt een goed idee om systemen naar de cloud te brengen. Wij willen benadrukken dat het realiseren van een goede regie- en controlefunctie een stevige uitdaging is en vragen hier aandacht voor. Het bestuur geeft aan dat het steeds complexer wordt om binnen de eigen organisatie het onderhoud, beheer en de beveiliging van de eigen IT-omgeving op het gewenste niveau te houden. Het verplaatsen naar en afnemen van informatiesystemen "vanuit de cloud" is inmiddels een trend. Dit vereist echter ook andere competenties voor de eigen organisatie (van beheer naar regie).

Het bestuur geeft al aan dat men zich bewust is van het feit dat dit een andere rol vergt van gemeenten en de SWO. 2. Daarnaast vragen wij aandacht voor aanbeveling 1. Het bestuur geeft aan dat informatieveiligheid als aandachtsgebied reeds bij een van de collegeleden is belegd, terwijl uit de ENSIA-enquête van 2022 blijkt dat het niet zo was: De vraag of een lid van het college verantwoordelijk is voor informatieveiligheid is door beide gemeenten met ‘nee’ beantwoord. 98% van de gemeenten heeft wel een collegelid daarop aangewezen. Ook onderstrepen wij de conclusie dat er in de huidige werkwijze weinig bestuurlijke doorzettingskracht op informatiebeveiliging en privacy is. 3. Verder staat in de bestuurlijke reactie dat de onafhankelijke positie van de Chief Information Security Officer (CISO) geborgd is. De RKC denkt daar iets genuanceerder over. De CISO is voor 0,5 fte aangesteld en combineert de functie met de functie van Chief Information Officer (CIO). De cruciale functie van CISO is bij I&A gepositioneerd, wat niet in overeenstemming is met een van de lijn onafhankelijke positionering zoals door de Informatiebeveiligingsdienst (IBD) wordt geadviseerd. Dat kan een risico op ineffectiviteit met betrekking tot de strategische functie van de CISO inhouden.

Het bestuur geeft aan dat hiermee rekening gehouden wordt met het anders inrichten van de sturingslijnen van de organisatie per 1-1-2025. De RKC juicht dat toe, maar pleit ervoor daar meer snelheid mee te maken. De RKC spreekt waardering uit voor de uitstekende samenwerking met de ambtelijke organisatie, de samenwerking met de rekenkamercommissie van de Wolden en de medewerking met zowel bestuur als organisatie. De rekenkamercommissie adviseert de gemeenteraad om over een periode van 6 maanden na behandeling van het rapport in de gemeenteraad het college te vragen naar een stand van zaken van de invulling. 54

Tot slot wil de rekenkamercommissie benadrukken dat iedereen een bijdrage kan leveren aan een betere informatiebeveiliging: het grootste risico bevindt zich namelijk tussen het beeldscherm en de bureaustoel.

55

Bijlage 1. Casestudie Wmo-aanvraag - concept In deze casestudie in het kader van het rekenkameronderzoek informatiebeveiliging en privacy De Wolden en Hoogeveen gaan de rekenkamercommissies na hoe een stuk informatie de organisatie binnenkomt, welke informatie verwerkt wordt, door wie benaderd kan worden en met welke derden wordt gedeeld. In dit geval gaat het om een aanvraag in het kader van de Wet maatschappelijke Ondersteuning (Wmo). De Wmo is bedoeld om mensen zo lang mogelijk thuis te laten wonen en maatschappelijke participatie te stimuleren. Een aanvraag kan onder andere gaan om huishoudelijke hulp, aanpassingen aan huis, een scootmobiel of vervoer in de regio.

Aanvraag Aanvragen voor ondersteuning in het kader van de Wmo komen grotendeels bij de gemeenten binnen via de website. De inwoner kan via https://www.hoogeveen.nl/hulp-en-zorg/wmo-hulp-melden een aanvraag melden. Dan komt de aanvraag via de algemene mailbox van de gemeente binnen. De mail wordt door de afdeling DIV doorgestuurd naar de mailbox van het Wmo-team binnen de afdeling Zorg. Op de website wordt er ook naar verwezen dat de inwoner het Wmo-team telefonisch om informatie kan vragen of op het spreekuur kan binnenlopen. Het team is op maandagdonderdag van 9-17 uur en vrijdag van 9-13 uur bereikbaar. Een klein deel van de aanvragen komt via de post of via de balie van de gemeenten binnen. De dagdienst van het Wmo-team pakt alles op wat die dag binnenkomt aan mail, telefoon, post en eventueel vragen die fysiek aan de balie binnenkomen. Nieuwe meldingen worden dezelfde dag gescreend en de melder wordt gebeld om de hulpvraag verder uit te vragen. Het kan zijn dat de melder wordt verwezen naar voorzieningen in het voorliggend veld of dat er gelijk wordt aangegeven dat de hulpvraag niet valt onder de Wmo.

Afdeling Zorg De afdeling Zorg bestaat uit de volgende teams: • • • • • •

Administratieve ondersteuning Backoffice (financiële administratie) Wmo consulenten Toezicht Contractmanagement Team Kinderopvang/Leerlingenvervoer

56

In de dagdienst zit roulerend een Wmo consulent. Momenteel loopt een pilot samen met het Klantcontactcentrum (KCC), waarbij twee medewerkers vanuit het KCC de dagdienst versterken. Zij zijn getraind op het gebied van de Wmo en draaien mee met alle voorkomende werkzaamheden binnen de dagdienst. Zij nemen echter geen besluiten, dat is de taak van de Wmo-consulenten.

Gesprek en registratie van (bijzondere) persoonsgegevens De persoonsgegevens van de inwoner worden opgehaald uit de gemeentelijke bestanden, als die daar bekend is. Als de inwoner niet bekend is worden de gegevens van de melder/aanvrager uit Makelaar opgehaald. Makelaar is het systeem waar de afdeling Burgerzaken mee werkt. De consulenten en administratief ondersteuners kunnen in Makelaar. Civision Samenlevingszaken 46 en Makelaar zijn applicaties van Pink en aan elkaar gekoppeld. Het gaat hierbij om de volledige persoonsgegevens, zoals naam, BSN, geslacht, nationaliteit, burgerlijke stand en adresgegevens. Deze gegevens worden aangevuld met de contactgegevens van de melder. Het BSN is een bijzonder persoonsgegeven. Daarna volgt een gesprek bij de melder thuis met een medewerker van het Wmo-team. De volgende gespreksonderwerpen komen daar aan bod: • • • • • • • •

Welk probleem u ervaart Wat u zelf kunt doen, eventueel met hulp van uw kinderen, vrienden, kennissen of anderen Uw woonsituatie en huishouden Of u zelfstandig kunt reizen Contacten met andere mensen Activiteiten buitenshuis, dagbesteding en vrijwilligerswerk Uw financiële situatie Of u al hulp ontvangt (vanuit andere wetgeving en/of organisaties) Van het gesprek wordt door Wmo-consulenten een verslag gemaakt dat in de applicatie Montr wordt opgesteld. Sommige Wmo-medewerkers maken eerst een verslag in Word en plaatsen dat bestand in CiVision Samenlevingszaken. In het verslag heeft de consulent de indicatie opgenomen voor welke voorziening de cliënt in aanmerking komt. De cliënt tekent in principe het verslag voor gezien en gelezen. Als er haast is bij het afhandelen van de melding, kan er in overleg met de cliënt een aanvraagformulier ingevuld en ondertekend worden. Dan is een getekend gespreksverslag niet meer noodzakelijk. Als de cliënt niet ondertekent volgt

46

Civision Samenlevingszaken is een backoffice systeem voor het sociaal domein.

57

er geen beschikking. Dit kan wel op verzoek van de cliënt, zodat de mogelijkheid op bezwaar tegen de afwijzing mogelijk is. In het gespreksverslag kunnen de al geregistreerde gegevens aangevuld worden met gegevens over de woonsituatie, financiële en betaalgegevens en medische gegevens. Medische gegevens worden alleen opgenomen in het gesprekverslag als dat voor de aanvraag van toepassing is. Het gespreksverslag wordt in de applicatie Montr opgesteld. Het gespreksverslag wordt door de administratief ondersteuners (AO) vanuit Montr opgeslagen in de applicatie Civision Samenlevingszaken. AO boekt de voorziening op basis van de indicatie uit het gespreksverslag en stelt de beschikking op. Alle documenten worden opgeslagen in een beveiligde map op de gezamenlijke Q-schijf. Binnen die map wordt voor elke nieuwe aanvraag een submap aangemaakt. Daarin worden de documenten verzameld die uiteindelijk gearchiveerd moeten worden. Op basis van de verschillende rollen kunnen medewerkers gegevens inzien. Dat betreft het proces van de nieuwe meldingen. Als de casus is afgehandeld en de beschikking is verstuurd wordt de map met cliëntgegevens van Civision overgebracht naar het digitale zaaksysteem Decos Join. 47 De gegevens zijn alleen toegankelijk voor de medewerkers van de afdeling Zorg.

Autorisaties De autorisatiebeheerder, afdelings- of teamhoofd, bepaalt wie welke rol heeft en op basis daarvan worden autorisaties toegekend door de applicatiebeheerder. Binnen Civision Samenlevingszaken zijn de volgende rollen: • • • • •

Ondersteuning Zorg (Administratief ondersteuners en Wmo consulenten) Indicatiesteller Zorg (Wmo consulenten en administratief ondersteuners) Financiële administratie Zorg (backoffice) Toetser Zorg (toetsers binnen de afdeling) Post Zorg (administratief ondersteuners) Binnen de verschillende rollen is de medewerker geautoriseerd om verschillende stappen af te handelen. Zo heeft de backoffice medewerker toegang tot betalingsgegevens, om betalingen te kunnen uitvoeren. Andere medewerkers kunnen dat niet. Dit zorgt ook voor de functiescheiding. Via procesbeheer is in te zien wie wat heeft gedaan. De autorisatiebeheerder moet 2x per jaar de autorisaties controleren op juistheid. Deze moet dat op eigen initiatief doen, want er wordt vanuit het

47

Decos JOIN is een applicatie voor gestructureerd opslaan, ontsluiten, bewerken en delen van (documentaire) digitale informatie.

58

systeem geen signaal gegenereerd wanneer het tijd is om de autorisaties te controleren.

Met welke 3e partijen wordt de informatie gedeeld Met verschillende partijen wordt informatie gedeeld om de aanvraag te kunnen realiseren. Dat gebeurt door de administratief ondersteuners als onderdeel van de afhandeling. Zij geven de informatie van de cliënt door en hebben daarmee inzicht in de (medische) gegevens. Als financiën zijn betrokken bij de afhandeling, dan kunnen ook de backoffice medewerkers in verband met de facturen en dergelijke bij de betreffende portals, zoals bij de portal Publiek Vervoer (zie hieronder.) De wetgever heeft een maximale bijdrage van €19 per maand gesteld voor de Wmo-voorziening. Het CAK int deze bijdrage bij de cliënt. Als de eigen bijdrage van toepassing is, wordt dit in Civision Samenlevingszaken geregistreerd. Eens in de week worden alle wijzigingen (start of stop berichten) via het berichtenverkeer doorgestuurd naar het CAK. De medewerker verstrekt dan de naam van de cliënt, BSN en wijzigingsdatum. De gegevens worden door de backoffice medewerkers beveiligd verstuurd. Als daarbij wordt aangevinkt dat de cliënt om wat voor reden dan ook de eigen bijdrage (waarschijnlijk) niet kan betalen, stelt het CAK de hoogte van de eigen bijdrage vast. Argonaut is de partner die sociaal medisch advies geeft over de Wmoaanvraag. Argonaut geeft advies naar aanleiding van (medische) vragen om de aanvraag/melding af te kunnen handelen.

De communicatie tussen de medewerkers van de administratieve ondersteuning verloopt via de beveiligde webapplicatie Regas. 48 Daarnaast worden gegevens gedeeld met de leveranciers van hulpmiddelen, zoals Meyra en Handicare. Met deze partijen worden de contactgegevens en het pakket van eisen gedeeld in verband met de in te zetten voorzieningen. Geen medische gegevens. Dezelfde informatie wordt gedeeld met de woningbouwcorporaties Domesta, Woonconcept en Actium. Met leveranciers, corporaties en huisartsenpraktijken wordt via de beveiligde mail Zivver gecommuniceerd. Met aanbieders van huishoudelijke hulp en begeleiding wordt via het iWmo berichtenverkeer gegevens en de indicatie voor de beschikking gedeeld. Dat verkeer verloopt beveiligd via het Gemeentelijk Gegevensknooppunt (GGk). Via dat knooppunt verlopen ook ander verkeer, zoals in het kader van de Jeugdzorg, Wlz en Pgb. Het GGk is een beveiligde webportal waarvoor de gemeente een zogenoemd Collaboration Protocol Agreement (CPA) moet

48

Regas is een cliëntvolgsysteem binnen zorg en welzijn.

59

aanvragen en eHerkenning 49 voor de medewerkers die daarop moeten werken. Contactgegevens van de inwoner en de gestelde indicatie voor vervoer worden gemeld op de portal Publiek vervoer. Het taxibedrijf dat het vervoer regelt kan in de portal om adresgegevens op te halen en te controleren of degene een Wmo-pas heeft. En via de portal van HRC worden gegevens van de inwoners doorgegeven voor de aanmelding herstelgerichte hulp. Rapportages van HRC komen via de portal ook weer retour naar de gemeenten. Centrumgemeente voor beschermd wonen is Assen en daarmee wordt via Cryptshare beveiligd gemaild en gegevens uitgewisseld. De gemeente Assen werkte al langer met Cryptshare voor beveiligd mailverkeer en niet met Zivver. Die werkwijze is niet gewijzigd nadat SWO met Zivver is gaan. En tot slot hebben consulenten via Zivver beveiligd mailcontact met zorgaanbieders, maatschappelijk werk en collega’s bij SWO voor gegevens naar aanleiding van casuïstiek (individuele gevallen). Voor alle hiervoor genoemde portals wordt door iedere medewerker een inlognaam en wachtwoord gebruikt.

Dpia en verwerkersovereenkomst Op processen waarin veel persoonsgegevens worden verwerkt moet in het kader van de AVG een data protection impact assessment worden gedaan Als persoonsgegevens met derden worden uitgewisseld moet er ook een verwerkersovereenkomst zijn, waarin de privacy- en beveiligingsaspecten worden geadresseerd. Er is nog geen dpia op de verwerkingsprocessen in het kader van de Wmo-meldingen uitgevoerd. Wel op de sociale teams, maar de Wmo-meldingen komen niet via dit kanaal bij de gemeenten binnen. De verwerkersovereenkomsten die bekend zijn, zijn die voor het gebruik van Zivver en de portal Publiek Vervoer.

Afdelingsoverleggen De medewerkers van de afdeling Zorg zijn zich naar eigen zeggen bewust van de risico’s op informatiebeveiliging en privacy. Voor de AVG is vanaf 2018 meerdere malen aandacht geweest. De medewerkers zijn twee jaar geleden op de AVG geschoold door Jolanda van Boven, directeur van Van Boven Juridisch Adviesbureau en gespecialiseerd in de privacywet. De bedoeling is dat er binnenkort een bewustwordingsprogramma voor informatiebeveiliging en privacy vanuit SWO wordt gestart.

49

EHerkenning is beveiligd inlogmiddel waarmee bij verschillende dienstverleners, zoals UWV, GGk, Belastingdienst en verzekeraars ingelogd kan worden.

60

Privacy en informatiebeveiliging staan niet standaard op de agenda van teamoverleggen. De PO of CISO zijn nog niet langs geweest bij een teamoverleg.

61

Bijlage 2. Veel voorkomende termen en afkortingen 2FA Active Directory (AD) Applicatie AVG (GDPR)

BIG

BIO BIV Blackbox pentest CDO CERT

CIO CISO Cloud

Dataclassificatie

Dataminimalisatie

DigiD DPIA, pre-dpia

ENSIA

FG GAP GAP-analyse GDPR GRC Greybox pentest IAM IBD

Zie MFA Active Directory staat beheerders toe om het beleid (rechten en instellingen) in het netwerk van een organisatie te beheren Softwareprogramma, zoals SUWInet Algemene Verordening Gegevensbescherming, Europese regelgeving die de privacyregels in de Europese lidstaten harmoniseert Baseline Informatiebeveiliging Gemeenten, maatregelen voor de informatiebeveiliging bij gemeenten, in 2013 als standaard afgesproken in VNG-verband. Deze is in 2019 vervangen door de Baseline Informatiebeveiliging Overheid (BIO) Baseline Informatiebeveiliging Overheid Beschikbaarheid – Integriteit – Vertrouwelijkheid. Termen waarop de beveiligingsrisico's van de informatie/applicaties zijn geënt Zie Pentest Chief Data Officer Computer Emergency Response Team, multidisciplinair samengesteld team dat kan acteren op incidenten en crises.

Voor gemeenten fungeert de IBD als CERT voor de gehele sector Chief Information Officer Chief Information Security Officer De cloud staat voor een netwerk van computers die een soort 'wolk van computers' vormt, waarbij de eindgebruiker niet weet op hoeveel of welke computer(s) de software draait of waar die computers precies staan Betekent inzicht krijgen in de beschikbaarheid, de integriteit en de vertrouwelijkheid van de door of namens de organisatie beheerde en verwerkte informatie (BIV) Is een van de uitgangspunten in de AVG, die voorschrijft dat er niet meer persoonsgegevens mogen worden verwerkt dan strikt noodzakelijk is voor de doeleinden waarvoor ze worden verwerkt Digitale Identiteit Data protection impact assessment, analyse op risico's in verband met privacy en gegevensbescherming bij verwerkingsprocessen. Onder de AVG verplicht bij gegevensverwerking met waarschijnlijk een hoog privacy risico. Eenduidige Normatiek Single Information Audit, eenmalige informatieverstrekking en eenmalige IT-audit voor de horizontale (richting gemeenteraad als toezichthouder) en verticale verantwoording (richting landelijke toezichthouders) Functionaris gegevensbescherming, verplicht voor overheden. Is de Engelse term voor ‘kloof’.

Dat betekent hier het verschil tussen de bestaande situatie en de gewenste situatie Controle of en in welke mate de maatregelen uit de BIO geïmplementeerd zijn General Data Protection Regulation (zie ook AVG) Tool om de Governance, Risk and Compliance (GRC) op informatiebeveiliging en privacy te monitoren Zie Pentest Zie Identity and Access management Informatiebeveiligingsdienst voor gemeenten 62

ICT Informatie- en communicatietechnologie Identity and Access management (IAM) IAM regelt dat de juiste medewerkers het juiste toegangsniveau

hebben tot de netwerken en de daarin opgeslagen of verwerkte gegevens. Gebruikersrollen en toegangsrechten worden via een IAM-systeem gedefinieerd en beheerd. ISMS Information Security Management System Logging In bestanden vastleggen welk dataverkeer over een netwerk gaat. Zo wordt onder andere vastgelegd wie toegang had tot welke persoonsgegevens. MFA Multi factor authenticatie is een authenticatie of verificatie methode waarbij twee of meer stappen succesvol doorlopen moeten zijn om ergens toegang tot te krijgen, zoals naast het gebruik van een wachtwoord het gebruik van een token of biometrisch gegeven NBA De koninklijke Nederlandse Beroepsorganisatie van Accountants NOREA De Nederlandse Organisatie van Register EDP-Auditors P&C-cyclus Planning & Control cyclus PDCA Plan-Do-Check-Act beleidsleercyclus Pentest Een pentest of penetratietest is een toets van een of meer computersystemen op kwetsbaarheden, waarbij deze kwetsbaarheden gebruikt kunnen worden om in deze systemen in te breken. Een white box test is een teststrategie waarbij de ethische hackers kennis hebben van de technische infrastructuur en systemen en met behulp van die kennis technische zwakheden trachten op te sporen.

Dit in tegenstelling tot blackof greybox testen, waarbij de hackers vooraf respectievelijk geen of beperkte kennis hebben van de systemen Phishing mail Vorm van internet oplichting en fraude, door middel van een vals e-mail bericht 'hengelen' naar inlog- of andere persoonsgegevens PO Privacy officer Role based access control (Rbac) Concept waarmee toegang tot gegevens en systemen geschiedt op basis van rollen en functies van de medewerkers. Dat is het concept waarmee Identity Access Management (IAM) wordt uitgevoerd. SAAS Software-as-a-Service, is een model waarbij softwaretoepassingen via internet worden aangeleverd. SIEM/SOC Security Information & Event Management (SIEM) en Security Operations Center (SOC) is software die computerdreigingen en verdacht verkeer op systemen detecteert en monitort. Social engineering Social engineering is een techniek waarbij een aanval op de computerbeveiliging via het verkrijgen van vertrouwelijke of geheime informatie (van personen). SSO Single Sign On, op 1 werkplek via 1 aanmelding toegang krijgen tot alle applicaties waar de gebruiker recht op heeft Suwinet Gemeenschappelijke elektronische Voorziening Suwi (Wet structuur uitvoering werk en inkomen), of GeVS, ook wel Suwinet genoemd.

Is een digitale infrastructuur die is ontwikkeld om ervoor te zorgen dat de Suwipartijen (UWV, SVB en gemeenten) gegevens met elkaar kunnen uitwisselen TISO Technical Information Security Officer TPM Third Party Memorandum. Verklaring dat de derde partij, die de gegevens voor de gemeente bewerkt voldoet aan de geldende richtlijnen over informatiebeveiliging Verwerkingsregister Register waarin de gemeente bijhoudt welke persoonsgegevens de gemeente en de verwerkers die deze inschakelt verwerkt 63

VNG VNG Realisatie

Vereniging Nederlandse Gemeenten Kwaliteitsinstituut van de VNG (voorheen KING)

64

Bijlage 3. Lijst geraadpleegde stukken en lijst respondenten Geraadpleegde stukken -

20210420 Collegeverklaring ENSIA 2020 - Informatiebeveiliging DigiD en Suwinet Hoogeveen v1.0def – ondertekend 20210420 Voorstel B&W Hoogeveen - Collegeverklaring ENSIA 2020 en rapportages BAGBGT-BRO-Reisdoc-BRP v1.0def 20210430 Voorstel BenW Hoogeveen - Collegeverklaring ENSIA 2020-Informatieveiligheid brief raad v1.0def 20210518 Aanbiedingsbrief raad Hoogeveen - Informatieveiligheid-Collegeverklaring ENSIA 2020 v2.0def 20230411 Voorstel B&W Hoogeveen - Collegeverklaring ENSIA 2022 en verantwoordingsrapportages v1.0def 220405 Collegeverklaring ENSIA 2021 inzake Informatiebeveiliging DigiD en Suwinet Hoogeveen – ondertekend 220405 Voorstel B&W Hoogeveen - Collegeverklaring ENSIA 2021 en rapportages BAG-BGTBRO-WOZ-Reisdoc-BRP v1.0d Aanbiedingsbrief raad Hoogeveen - Beleid Informatieveiligheid & Privacy v1.0def Aanbiedingsbrief raad Hoogeveen - Informatieveiligheid-Collegeverklaring ENSIA 2021 v2.0d Aanbiedingsbrief raad Hoogeveen - Informatieveiligheid-Collegeverklaring ENSIA 2022 v1.0def Analyse BIO 2021 Anti-malware beleid - Informatieveiligheid & Privacy 2022 - SWO v1.0 Assurance rapport - Privacy audit Wpg Back-up en recovery beleid - Informatieveiligheid & Privacy 2022 - SWO v1.0 Basis SLA - HGV-DWD-SWO met CE-matrix v1.0c Bedrijfscontinuïteitsplan Bijlage 1 - Contactgegevens Intern Crisisbeheerteam (ICBT) v1.0def Bedrijfscontinuïteitsplan Bijlage 2 - Overzicht kritische

processen - SWO-HGV- DWD v1.0def Bedrijfscontinuïteitsplan Bijlage 3 - Contactgegevens derde partijen bij calamiteiten v1.0def Bedrijfscontinuïteitsplan Bijlage 4 - Overzicht vergaderlocaties crisisteams v1.0def Bedrijfscontinuïteitsplan Bijlage 5 - Vereiste voorzieningen bij calamiteit v1.0def Bedrijfscontinuïteitsplan Bijlage 6 - Uitwerking uitwijkscenarios v1.0def Bedrijfscontinuïteitsplan Bijlage 7 - Basis draaiboek Crisiscommunicatie v1.0def Bedrijfscontinuïteitsplan Samenwerkingsorganisatie De Wolden Hoogeveen v1.0def Begroting risicobehandelplan Informatieveiligheid & Privacy 2023-2026 v1.0c Beslisboom datalek v1.0d Bestuurlijk gesprek Digitale Veiligheid - Onderwerpen en toelichting v1.0c Beveiligd ontwikkelen beleid Informatieveiligheid & Privacy 2022 - SWO v1.0def Beveiligingsbeleid SUWI Informatieveiligheid & Privacy 2022 - SWO v1.0def Bijlage 1f - Toewijzing rollen organisatie Informatieveiligheid & Privacy 2022 - SWO v7.0def Classificatie bedrijfskritische systemen v1.0def Classificatie beleid Informatieveiligheid & Privacy 2022 - SWO v1.0def Collegeverklaring ENSIA 2022 - Informatiebeveiliging DigiD en Suwinet - Hoogeveengetekend Contacten met overheidsinstanties - Informatieveiligheid & Privacy 2022 - SWO v1.0 De Wolden Hoogeveen - MS Cloud Security Assessment v1.0 65

-

Dreigingsbeeld - 2023 SWO 1.0def DW en HGV Rapportage Controle Suwinet E-mail en chat beleid (inclusief NTA 7516) - Informatieveiligheid & Privacy 2022 - SWO v1.0 Eyesight Report - Website gemeente Hoogeveen Gedragscode 2020 SWO – Personeelshandboek GIBIT 2020 GIBIT 2020 Addendum GIBIT 2020 - SWO De Wolden Hoogeveen v2.0def GR regeling gebruik elektronische middelen – Personeelshandboek Handboek IBP in projecten en wijzigingen - Informatieveiligheid & Privacy 2022 - SWO v1.0 Hardening beleid - Informatieveiligheid & Privacy 2022 - SWO v1.0 Hoofdproces veiligheidsincidenten Informatiebeleid SWO 2020-2022 v1.0def Informatieveiligheidsanalyse 2021 De Wolden Hoogeveen 1.0def Internet en wifi beleid (incl.

buitenlocaties) - Informatieveiligheid & Privacy 2022 - SWO v1.0 ISMS SWO v0.9c Logging beleid Informatieveiligheid & Privacy 2022 - SWO v1.0def Logische toegangsbeveiliging beleid - Informatieveiligheid & Privacy 2022 - SWO v1.0 Mobiele gegevensdragers beleid Informatieveiligheid & Privacy 2022 - SWO v1.0def Mobile Device en Application Management - SWO v1.0def Observaties IT SWO - Deloitte v0.7c Organisatie Informatieveiligheid & Privacy 2022 - SWO v6.0d Overzicht verwerkte persoonsgegevens v0.1c Patchmanagement beleid - Informatieveiligheid & Privacy 2022 - SWO v1.0 Phishing campagneresultaten Presentatie Informatieveiligheid & Privacy - RKC HGV v0.1c Presentatie Informatieveiligheid & Privacy met toelichting - Gemeenteraad Hoogeveen v1.0def Presentatie Stand van zaken informatieveiligheid & Privacy - Colleges en Bestuur SWO v1.0def Privacybeleid 2023-2025 - SWO v1.0def Procedure afhandeling AVG-verzoek recht op inzage v0.6c Procedure autorisaties SWO v1.0def - v RKC Projectopdracht Actieplan Informatieveiligheid - PI-270 v2.0d Rapportage - Cyber Barometer 2023 - SWO De Wolden Hoogeveen (Brooklyn Partners 20230313) Rapportage Forensisch Onderzoek - SWO - Schippers IT RASCI-tabel BIO-controls Informatieveiligheid & Privacy 2022 - SWO v1.0d Reactie op schriftelijke vragen digitale risico's - ChristenUnie Hoogeveen v1.0def Regeling voor gebruik sociale media –

Personeelshandboek Risicobehandelplan Informatieveiligheid & Privacy - SWO 2023-2025 v1.0def Samenwerkingsorganisatie De Wolden Hoogeveen - MSO-Scan-v1.1 Strategisch Beleid Informatieveiligheid & Privacy 2022-2025 - Gemeente Hoogeveen v1.0def Tactisch Beleid Informatieveiligheid & Privacy 2022-2025 - SWO v1.0def Veiligheidsbeleid kantoorgebouwen en buitenlocaties SWO v1.1def Verwerkersovereenkomst Addendum - Basis Privacybepalingen voor contract v2.0c Verwerkersovereenkomst of Contractuele bepaling privacy 2.0c Visie op Informatieveiligheid & Privacy 2022-2025 - Gemeente Hoogeveen v1.0def Voortgangsrapportage Actieplan Informatieveiligheid 66

-

Wachtwoord beleid - Informatieveiligheid & Privacy 2022 - SWO v1.0 Websites, webapplicaties en e-mailbeveiliging beleid Informatieveiligheid & Privacy 2022 SWO v2.0def

Functies respondenten -

Gemeentesecretaris De Wolden Gemeentesecretaris Hoogeveen CISO Privacy officer FG Controller Informatieveiligheid Medewerker afdeling I&A/ICT Hoofd Afdeling I&A/ICT I-adviseur sociaal domein, security officer Suwi Teamleider Zorg

67

Bijlage 4. Onderzoeksvragen en normen De onderstaande normen zijn voornamelijk ontleend aan de BIO en de AVG.

Onderzoeksvragen 4. Techniek

Normen

- Er is een up-to-date overzicht van systemen, applicaties en 4.1. Zijn het netwerk en de bedrijfskritische dergelijke, waarin de gemeente informatie verwerkt systemen voldoende technisch beveiligd om De gemeente heeft afdoende technische maatregelen ongeautoriseerde toegang te voorkomen?

4.2. Is er extra aandacht voor de technische beveiliging van gevoelige informatie, zoals persoonlijke gegevens?

5. Organisatie en beleid

getroffen om ongeautoriseerde interne en externe toegang te voorkomen. - De gemeente laat jaarlijks testen en audits uitvoeren om de beveiliging van de systemen te testen. - De gemeente heeft voldoende aanvullende technische beheersmaatregelen genomen om risico’s ten aanzien van de bescherming van gevoelige informatie (waaronder persoonsgegevens) te waarborgen.

5.1. Worden er systematische en actuele risicoanalyses gemaakt rond informatiebeveiliging en worden er op basis daarvan passende beheersmaatregelen genomen? -

5.2. Biedt het informatiebeveiligingsbeleid voldoende basis voor de bescherming van gegevens?

-

5.3. Is het informatiebeveiligingsbeleid vertaald naar concrete activiteiten en zijn hiervoor voldoende middelen beschikbaar gesteld? -

5.4. Zijn binnen de organisatie de rollen en verantwoordelijkheden voor informatiebeveiliging helder belegd? En is de organisatie qua formatie toegerust om het informatiebeveiligingsbeleid uit te voeren?

-

Er worden met voldoende frequentie risicoanalyses uitgevoerd. In de risicoanalyses zijn de belangrijkste risico's geïdentificeerd. De risicoanalyses geven ook inzicht in specifieke risico’s m.b.t. het beheer van (bijzondere) persoonsgegevens Relevante beheersmaatregelen worden vastgesteld op basis van good practices, zoals de BIO. Het totaal aan maatregelen geeft voldoende waarborgen voor een goede bescherming van de (bijzondere) persoonsgegevens die de gemeente in beheer heeft De gemeente beschikt over een actueel overkoepelend informatiebeveiligingsbeleid dat op onderdelen is uitgewerkt in specifieke procedures en/of richtlijnen. De inhoud van het informatiebeveiligingsbeleid sluit aan op good practices, zoals de BIO en relevante wet- en regelgeving (zoals de AVG). In het informatiebeveiligingsbeleid is beschreven hoe invulling wordt gegeven aan de PDCA-cyclus rond informatiebeveiliging. Het informatiebeveiligingsbeleid wordt minimaal één keer per drie jaar, of zodra zich belangrijke wijzigingen voordoen, beoordeeld en zo nodig bijgesteld. De gemeente classificeert de informatie die zij verwerkt naar mate van beschikbaarheid, integriteit en vertrouwelijkheid De gemeente beschikt over een actueel informatiebeveiligingsplan met concrete activiteiten om nader invulling te geven aan diverse onderdelen van het informatiebeveiligingsbeleid.

Op basis van de activiteiten is er een urenraming en budget op. De gemeente besteedt 10% van het ICT-budget aan maatregelen ter bevordering van informatieveiligheid. De gemeente beschikt over procedures en of richtlijnen waarin diverse onderdelen van het informatiebeveiligingsbeleid nader invulling hebben gekregen. Taken en verantwoordelijkheden rond informatiebeveiliging en de bescherming van (bijzondere) persoonsgegevens zijn duidelijk belegd in de organisatie. De functionarissen op informatiebeveiliging en privacy zijn goed gepositioneerd om hun rol te kunnen vervullen. Loopt de formatie van de bij informatiebeveiliging betrokken afdeling(en) in de pas met organisaties van gelijke omvang?

68

5.5. Wordt de raad periodiek geïnformeerd over - Het college legt verantwoording af over het informatiebeveiligingsbeleid, de gemaakte afspraken en de status van de informatiebeveiliging?

5.6. Is er sprake van data-ethiek: wordt er gereflecteerd op dat wat er met data gebeurt? Is er sprake van een bewuste, reflectieve omgang met data, waarin de wenselijkheid van het datagebruik en de doelen ervan wordt bevraagd?

geplande activiteiten, i de BIO. - De raad kan zijn kaderstellende en controlerende rol invullen. - In de organisatie is beleid op datagedreven werken geformuleerd. - In de organisatie en beleid is bij het gebruik van data aandacht voor drie vragen: Kan het? (technisch) Mag het? (juridisch) Wil ik het? (ethisch)

6. Mens en Gedrag

6.1. Zijn medewerkers zich bewust van informatiebeveiligingsrisico’s en is voor medewerkers duidelijk wat van hen verwacht wordt ten aanzien van informatiebeveiliging?

- Alle medewerkers gaan bewust en veilig om met vertrouwelijke informatie. De regels wat betreft vertrouwelijkheid, integriteit, beschikbaarheid en privacybescherming worden nageleefd. - De gemeente zorgt ervoor dat iedere medewerker goed op de hoogte is van de regels, de risico’s en de plicht om incidenten en datalekken te melden. 6.2. Is het hogere management actief betrokken - Directie en bestuur stellen zich duidelijk achter het informatiebeveiligingsbeleid, vervullen een voorbeeldfunctie bij informatiebeveiliging en het uitdragen en informeren en motiveren medewerkers om het beleid daarvan binnen de organisatie? actief gestalte te geven.

69

Bijlage 5. Volwassenheidsniveau NOREA Bron: Handreiking bij Volwassenheidsmodel Informatiebeveiliging, januari 2019, NBA.

70