Bijlage 2 - Samenvatting onderzoek digitale veiligheid en privacy.pdf

REKENKAMERCOMMISSIE DOETINCHEM

ONDERZOEK INFORMATIEBEVEILIGING EN PRIVACY AANLEIDING EN DOELEN De gemeenten beheren veel persoonlijke en gevoelige informatie. In het recente verleden blijken gemeenten kwetsbaar gebleken voor hacks en datalekken. De risico's hiervan zijn groot voor de dienstverlening, maar kennen ook grote financiële, technische en juridische gevolgen. Informatiebeveiliging is daardoor niet alleen een bedrijfsvoeringsvraagstuk, maar ook een politiek-bestuurlijk onderwerp. Het doel van het onderzoek is het inzichtelijk maken van de stand van zaken in Doetinchem en aanbevelingen te doen voor verbetering.

VRAAGSTELLING EN ONDERZOEK De centrale vraag is: "Welke kwetsbaarheden kent de beveiliging van de informatie van de gemeente Doetinchem en op welke wijze gaat de gemeente om met privacygevoelige gegevens en informatie waarover zij beschikt"? Het onderzoek kijkt aan de hand van 5 deelvragen naar hoe 't nu gaat en naar hoe het in de toekomst beter kan. Het onderzoek bestaat uit een documentenonderzoek, interviews, casestudy in het sociaal domein en toezicht & handhaving alsmede pentesten . Onderzocht zijn het beleid, de organisatie, de techniek en het handelen/het bewustzijn van medewerkers

BEVINDINGEN EN CONCLUSIES De hoofdconclusie is, dat de gemeente Doetinchem weliswaar goede stappen zet om te voldoen aan de wettelijke eisen en de basisrichtlijnen, maar dat er nog werk aan de winkel is en heeft nog een ontwikkeling door te maken om "in control" te komen. het informatieveiligheidsbeleid en het privacybeleid zijn op orde. de technische kant is op orde, maar moet beter gemonitord worden. het volwassenheidsniveau van de organisatie behoeft ontwikkeling. de essentiële functies op deze terreinen zijn kwetsbaar ingevuld en onvoldoende onafhankelijk gepositioneerd. de bewustwording bij medewerkers is groeiend, maar is en blijft een groot aandachtspunt. de regionale samenwerking met Doetinchem als gastheer kent risico's die onvoldoende zijn afgedekt in de dienstverleningsovereenkomst. de gemeenteraad wordt te summier geïnformeerd. data gestuurd werken en koppeling van gegevens staan in de kinderschoenen en er is (nog) geen beleid geformuleerd

AANBEVELINGEN VOOR DE RAAD EN HET COLLEGE Verminder de kwetsbaarheid van de formatie op informatieveiligheid en privacy en positioneer deze functionarissen buiten "de lijn" Houdt de technische systemen voor informatieveiligheid op orde. Zet sterk in op het bevorderen van het bewustzijn van medewerkers Versterk de governance en afspraken op de regionale samenwerking op ICT gebied Informeer de raad meer en inhoudelijker over dit onderwerp en bepaal het ambitieniveau. Stel een beleidskader op voor de transformatie van de digitale dienstverlening

FEBRUARI 2023