RIS317055 Brief RC aan college inz governance van informatieveiligheid

RekeningencommissieTyp tekstTyp tekst

078

Retouradres Spui 70 2511 BT Den Haag

Ons kenmerk

RIS317055

College van burgemeester en wethouders

Contactpersoon Telefoonnummer

070 – 3533 550 Bijlage

Datum

9 november 2023 Onderwerp

Governance van informatieveiligheid

Geachte leden van het college, Cyberaanvallen zijn een constante bedreiging. Continue aandacht voor cybersecurity blijft daarom van belang. Om de continuïteit van de dienstverlening van de gemeente en de vertrouwelijkheid van gegevens te waarborgen moet de gemeente voldoende weerbaar zijn tegen deze bedreigingen. Om het IT-landschap goed te kunnen beschermen is het noodzakelijk dat dit volledig in kaart is gebracht en dat ook de onderlinge afhankelijkheden bekend zijn. Voor een adequate reactie is het belangrijk om goed voorbereid te zijn, zodat zo snel mogelijk gereageerd kan worden. Dit draagt bij aan het zoveel mogelijk beperken van de schade en het zo goed mogelijk communiceren in geval van een incident. De Accountantsorganisatie heeft een pilot voor een cybersecurity assessment uitgevoerd in het kader van de jaarrekeningcontrole. Uit het assessment komt naar voren dat de gemeente geen volledig zicht heeft op het IT- landschap. Zo is er bijvoorbeeld geen centraal overzicht van uitbestedingen en is het overzicht van kritische services en infrastructuur niet actueel. De toename in complexiteit van cyberaanvallen vraagt om specifiek op de gemeente toegespitste responsplannen voor verschillende scenario’s. Tot nu toe maakt de gemeente echter gebruik van generieke (internationaal) beschikbare responsplannen. De dreigingen worden steeds intelligenter.

Om geen tijd te verliezen is het daarom essentieel om voorbereid te zijn op alles waar je als gemeente in geval van een incident op voorbereid kúnt zijn. Voorts is goede communicatie van belang om te kunnen herstellen van een cybersecuritycrisis. Er bestaat wel een overkoepelend communicatieplan, maar geen communicatieplan specifiek voor een cybersecuritycrisis. De Accountantsorganisatie dringt daarnaast aan op het opstellen van ITherstelplannen voor bijvoorbeeld de volgorde van het weer in bedrijf nemen van systemen of het terugplaatsen van back-ups. Het college heeft reeds aangegeven de aanbevelingen te willen overnemen.

Gemeente Den Haag

Spui 70 Den Haag

T 070 - 353 3550 www.denhaag.nl

Gemeente Den Haag

Gezien de mogelijk ingrijpende en omvangrijke gevolgen van een cybersecuritycrisis vraagt de Rekeningencommissie het college om cybersecurity nóg meer prioriteit te geven en na te denken over de governance van IT: is de huidige inrichting van verantwoordelijkheden en sturing effectief?

1. Governance informatieveiligheid In het accountantsverslag (RIS315417) wordt op pagina 14 de aanbeveling gedaan om na te gaan of de huidige inrichting van verantwoordelijkheden en sturing rond cybersecurity voldoende effectief is om adequaat de constante dreiging van cyberaanvallen op te kunnen vangen. Er is nu een expertisecentrum dat het beleid maakt en kan adviseren, maar de eindverantwoordelijkheid voor informatieveiligheid ligt nu bij de diensten. Gezien de specialistische en actuele kennis die hiervoor nodig is, lijkt het voor de hand te liggen de eindverantwoordelijkheid centraal te beleggen. In haar rapport over de jaarrekening 2022 heeft de Rekeningencommissie het college om een reactie gevraagd (RIS315931, pagina 30). In uw brief van 26 september 2023 heeft u laten weten dat de reden om de verantwoordelijkheid voor informatieveiligheid niet centraal te beleggen is dat de algemeen directeuren integraal verantwoordelijk zijn voor de risico’s van hun dienst: “Dat geldt voor HR, financiën, compliance en dus ook voor de IT-risico’s en zaken als security en privacy. Daarbij willen we sterkere verbinding inrichten via de iBoards, waarin iedere vier maanden een rapportage vanuit security gepresenteerd zal gaan worden met kritische prestatie-indicatoren (kpi’s) over de staat van de digitale veiligheid van de dienst.

Zo worden de verantwoordelijke managers zich bewust van de risico’s die ze lopen en kunnen ze daarop sturen” (RIS316629, pag. 5). Het college lijkt daarmee de aanbeveling om te onderzoeken hoe doeltreffend de huidige inrichting van cybersecurityverantwoordelijkheden is, naast zich neer te leggen. Gezien de specialistische en actuele kennis die voor cybersecurity nodig is dringt de Rekeningencommissie er bij u nogmaals op aan om de governance op dit punt zorgvuldig onder de loep te nemen, waarbij ook de wenselijkheid van het centraal beleggen van de eindverantwoordelijkheid voor cybersecurity expliciet wordt beoordeeld. Wij vragen u de uitkomsten van deze afwegingen met de raad te delen.

2. Cybersecurity assessment Het assessment van de informatieveiligheid is nu op initiatief van de Rekeningencommissie en de Accountantsorganisatie tot stand gekomen. De Rekeningencommissie heeft het college gevraagd of en hoe het college zelf ook dergelijke assessments wil (laten) uitvoeren in het kader van zogenoemde derdelijnscontroles. Het college heeft daarop geantwoord de waarde van extra controle op informatieveiligheid te zien: “Een extern assessment zou verder inzicht kunnen geven in waar de gemeente kan verbeteren.” De Rekeningencommissie verneemt graag of dit opgevat mag worden als een toezegging van het college om zelf met dergelijke assessments aan de slag te gaan. Wordt dit het komende jaar al opgepakt en hoe wil het college dit concreet invullen?

Wij vragen u om uw reactie nog vóór de komende begrotingsbehandeling naar de raad te sturen.

2/3

Gemeente Den Haag

Namens de Rekeningencommissie, de secretaris,

de voorzitter,

J. van Duijn

M. De Vuyst.

3/3