RIS317224 Governance informatieveiligheid

Typ tekstTyp tekstTyp tekst

Hilbert Bredemeijer Wethouder van Onderwijs, Jeugd, Sport en Dienstverlening

050

Retouradres: Postbus 12600, 2500 DJ Den Haag

Ons kenmerk

Aan de voorzitter van de Rekeningencommissie

DBV/10648152 RIS317224 Contactpersoon

Jeroen Schipper Dienst

Dienst Bedrijfsvoering Afdeling

Informatisering en Automatisering Telefoonnummer

14070 Datum

E-mailadres

5 december 2023

jeroen.schipper@denhaag.nl

Onderwerp

Governance Digitale Veiligheid

Geachte voorzitter, In uw brief van 9 november 2023 vraagt u opheldering op een tweetal punten, te weten de governance van informatieveiligheid en het security assessment. U benoemt hierin de noodzaak van het volledig in kaart brengen van het IT-landschap, van het adequaat reageren op incidenten en van het goed herstellen van een cybersecuritycrisis. Deze onderwerpen hebben de aandacht van het college. Zo heeft de gemeente een crisiscommunicatieplan en een cybercrisisplan, die in 2022 zijn vastgesteld door het GMT en die getoetst worden met crisisoefeningen om ze actueel te houden en doorlopend te verbeteren. Op 13, 14 en 15 november 2023 heeft de gemeente daarnaast met succes deelgenomen aan ISIDOOR; een grootschalige, landelijke cybercrisisoefening, georganiseerd door het Nationaal Cyber Security Centrum (NCSC). De uitkomsten van dit onderzoek worden de komende periode geanalyseerd en eventuele aanbevelingen worden opgepakt. Security Assessment Het college zegt toe een extern onafhankelijk onderzoek te doen op het gebied van security binnen de gemeente. Aan de uitkomsten van deze externe toets worden vervolgens verbeterpunten verbonden om de komende jaren de gemeentelijke organisatie nog veiliger te maken.

Het college zegt toe om in het externe onderzoek naar cybersecurity de vraag mee te nemen of het huidige drielijnsmodel adequaat functioneert en de (eind)verantwoordelijkheid daarin voldoende is geborgd. Governance informatieveiligheid In uw brief vroeg u expliciet de governance van informatieveiligheid onder de loep te nemen en daarbij de mogelijkheid van het centraal beleggen van de verantwoordelijkheid voor informatieveiligheid af te wegen. De aanbeveling vanuit de Gemeentelijke Accountsorganisatie Den Haag (GAD) was om te overwegen of de sturing op dit thema ‘voldoende effectief is om adequaat de constante dreiging van cyberaanvallen op te kunnen vangen en voor de bewustwording’. Momenteel werkt de gemeente met een drielijns model voor informatieveiligheid. De inrichting van de huidige governance vloeit voort uit de verplichte Baseline Informatiebeveiliging Overheid (BIO). Het is gebaseerd op de gemeentelijke visie op digitale weerbaarheid, zoals beschreven in de Visie op Digitalisering (RIS305093) en het Strategisch Beleidskader Informatieveiligheid (RIS304162).De proceseigenaren zijn in de eerste lijn verantwoordelijk voor de kwaliteit van hun proces.

Gemeente Den Haag

Spui 70 Den Haag

Postbus 12600 2500 DJ Den Haag

Telefoonnummer 14070 www.denhaag.nl

Gemeente Den Haag Ons kenmerk

DBV/10648152

De kwaliteit van het proces betekent in dit geval ook dat er volgens de wet met persoonsgegevens wordt omgegaan, dat wordt aanbesteed waar nodig, dat informatie juist en tijdig wordt gearchiveerd én dat het proces voldoende (digitaal) veilig is. Veilig omgaan met informatie is de gedeelde verantwoordelijkheid van alle medewerkers. Daarom zijn we bezig met de ontwikkeling van een verplichte training waarin we alle medewerkers van de gemeente Den Haag bewust maken van de verantwoordelijkheden die zij hebben op het gebied van informatieveiligheid. Geïdentificeerde risico’s op het gebied van informatieveiligheid worden zoveel als mogelijk opgelost en eventuele restrisico’s worden afhankelijk van de impact door de lijnmanager, de dienstdirecties of de gemeentesecretaris geaccepteerd. Voor cyberaanvallen is de eindverantwoordelijkheid ambtelijk centraal belegd bij de gemeentesecretaris. Om te zorgen dat deze risico’s correct geïdentificeerd worden en een weloverwogen beslissing wordt genomen, is er expertise nodig over security. De expertise op het gebied van security binnen de gemeente is in de tweede lijn centraal belegd bij het Expertisecentrum Security (ECS), onder leiding van de Chief Information Security Officer (CISO).

Het ECS stelt strategisch en tactisch beleid op voor het versterken van de digitale weerbaarheid van de gemeente, toetst de organisatie op basis van dit beleid en biedt de organisatie adviezen en expertise voor het toepassen van dit beleid. Daarnaast is de CISO ook verantwoordelijk voor het Information Security Management System proces dat de kwaliteit van security binnen de gemeente borgt. De CISO adviseert vanuit een onafhankelijke positie de organisatie bij het bewaken en verhogen van de betrouwbaarheid van de informatievoorziening, is toezichthouder en rapporteert hierover aan de Directies, het GMT en de portefeuillehouder. Het ECS ondersteunt de CISO en de gemeentelijke organisatie bij het vertalen van het beleid naar maatregelen, het adviseren over risico’s en de effectiviteit van getroffen maatregelen. De derde lijn, waarin wordt getoetst of het huidige beleid adequaat is, versterkt het college door middel van het extern onderzoek op het gebied van digitale veiligheid. Het huidige model kent als belangrijkste sterke punten dat er een integraal beeld is van de digitale veiligheidsrisico’s en dat het GMT-risico’s kan accepteren op basis van haar risicobereidheid. De primaire zwakte van het huidig model is dat het onderkennen van de impact van deze risicoacceptatie specialistische kennis over security vergt, die naar het GMT gebracht moet worden.

De nieuw opgezette rapportagelijnen helpen om dit deels te mitigeren, zo worden de dienstdirecties op de hoogte gehouden van de risico’s die zij lopen. Het college stelt voor om de CISO 3 keer per jaar uit te nodigen in het GMT om een toelichting te geven over het huidige dreigingsniveau en om risico’s en dilemma’s te bespreken. Inzicht in het IT-landschap Het IT-landschap van de gemeente bestaat uit een groot aantal applicaties en onderliggende infrastructuur ter ondersteuning van de processen. Om tijdens een incident of crisis de juiste besluiten te kunnen nemen, is het belangrijk om van deze applicaties en onderliggende infrastuctuur te weten wat het belang is voor de organisatie, wie de eigenaar is en hoe zij verbonden zijn met elkaar. Op dit moment heeft de gemeente nog geen compleet beeld van dit landschap. Het eigenaarschap voor het op orde brengen van dit inzicht is belegd en daar zijn de afgelopen periode stappen in gezet. Het komende jaar zetten we stappen om dit inzicht verder te completeren. Bovendien zegt het college toe de vraag in hoeverre er inzicht is in het IT-landschap en welke stappen nodig zijn om het volledige inzicht te verkrijgen, mee te nemen in het externe onderzoek. Met vriendelijke groet, de wethouder van Onderwijs, Jeugd, Sport en Dienstverlening Hilbert Bredemeijer

2/3

Gemeente Den Haag Ons kenmerk

DBV/10648152

3/3