Bijlage 3 - Nota van bevindingen Informatiebeveiliging en privacy - januari 2023.pdf

Nota van bevindingen Informatiebeveiliging en privacy gemeente Doetinchem

In opdracht van en bewerkt door de rekenkamercommissie Doetinchem

Drs. E. Lemmens, Prae Advies en onderzoek, Utrecht Januari 2023

Inhoudsopgave Inhoudsopgave ........................................................................................................................................ 2 Inleiding ................................................................................................................................................... 3 1 Onderzoeksvragen ............................................................................................................................. 4 2 Onderzoeksaanpak ............................................................................................................................. 4 3 Informatiebeveiliging ......................................................................................................................... 6 4 Privacy .............................................................................................................................................. 14 5 Uitvoering en monitoring ................................................................................................................. 17 6 Informatievoorziening aan de gemeenteraad ................................................................................. 32 7 Toekomstige opgaven ...................................................................................................................... 35 Bijlage 1.

Geraadpleegde documenten en respondenten .................................................................... 37 Bijlage 2. Veel gebruikte termen en afkortingen .................................................................................. 39 Bijlage 3. Casus 1. Sociaal Domein ........................................................................................................ 42 Bijlage 4. Casus 2. Toezicht en handhaving ........................................................................................... 48 Bijlage 5. Onderzoeksvragen en normen .............................................................................................. 54 Bijlage 6. Richtlijnen/procedures Informatiebeveiliging en privacy ..................................................... 56 Bijlage 7. Volwassenheidsniveau NOREA .............................................................................................. 57

2

Inleiding Aanleiding

Onder andere door de toegenomen taken in het sociaal domein beheren en verwerken gemeenten meer en meer persoonlijke en gevoelige data. Gemeenten zijn daarbij kwetsbaar gebleken, zoals onder andere blijkt uit de recente voorbeelden die de Rekenkamer Doetinchem in de directe omgeving signaleert (Hof van Twente en Lochem) en datalekken (zoals belastingsamenwerking West-Brabant). Onderzoeken van rekenkamer(commissie)s wijzen op de risico's op het gebied van informatiebeveiliging en privacy, zoals zeer recent de Rekenkamer Utrecht aantoonde dat de kwetsbaarheid met name intern is. Wat gebeurt er bijvoorbeeld als die informatie op straat komt te liggen? Of als de digitale dienstverlening aan burgers niet meer mogelijk is? Naast grote financiële, juridische en technische gevolgen kunnen deze crises het imago van de gemeente en de privacy van burgers aantasten. De Rekenkamer Doetinchem heeft in 2021 informatiebeveiliging en privacy als onderzoeksonderwerpen geagendeerd. Het onderzoek is uitgevoerd door Prae Advies en onderzoek.

Leeswijzer

In hoofdstuk 1 zijn de onderzoeksvragen opgenomen en in hoofdstuk 2 is de onderzoeksaanpak verantwoord. Hoofdstuk 3 gaat in op het informatiebeveiligingsbeleid en hoofdstuk 4 op het privacybeleid. Over de uitvoering van het beleid wordt in hoofdstuk 5 gerapporteerd, met een samenvatting van de 2 cases die in de bijlagen 3 en 4 zijn opgenomen. In hoofdstuk 6 komt de informatievoorziening aan de raad aan bod. Hoofdstuk 7 gaat over de toekomstige opgaven.

Bijlagen

In bijlage 1 zijn de geraadpleegde documenten opgenomen en de geïnterviewde functionarissen. In bijlage 2 is een verklarende woordenlijst opgenomen van termen en afkortingen die in het ICT-jargon worden gebruikt. In de bijlagen 3 en 4 zijn respectievelijk de casestudies naar gegevensgebruik in het Sociaal Domein en bij Toezicht en handhaving opgenomen. Samenvattingen daarvan zijn in hoofdstuk 5 weergegeven. In bijlage 5 zijn de normen, zoals gehanteerd in dit onderzoek, opgenomen en gerangschikt naar de onderzoeksvragen. In bijlage 6 zijn Richtlijnen/procedures Informatiebeveiliging en privacy van de IBD opgenomen. Bijlage 7 bevat het nomenkader van de volwassenheidsmeting van NOREA opgenomen.

3

1 Onderzoeksvragen Centrale onderzoeksvraag

De Rekenkamer wil met het onderzoek de volgende centrale vraag beantwoorden: “Welke kwetsbaarheden kent de beveiliging van de vertrouwelijkheid van de informatie van de gemeente en op welke wijze gaat de gemeente om met de privacygevoelige gegevens en informatie waarover zij beschikt?”

Onderzoeksvragen

Deze centrale vraagstelling wordt uitgewerkt aan de hand van de onderzoeksvragen zoals opgenomen in onderstaande tabel 1.

Tabel 1. Onderzoeksvragen 1. Beschikt de gemeente over een adequaat informatiebeveiligingsbeleid? 2. Beschikt de gemeente over een beleid voor het gebruik van belangrijke en gevoelige (privacy)informatie? 3. Hoe wordt dat beleid uitgevoerd en wordt het gemonitord? 4. Hoe is de informatievoorziening aan de gemeenteraad? 5. Wat zijn de toekomstige opgaven?

De onderzoeksvragen worden in de hoofdstukken 3 tot en met 7 beantwoord. In het volgende hoofdstuk gaan we in op de onderzoeksaanpak.

2 Onderzoeksaanpak Het onderzoek bestaat uit vier verschillende onderdelen, nl. deskresearch, interviews, pentesten en casestudies. Deskresearch, interviews

Met betrekking tot beleid en de protocollen is deskresearch gepleegd. Een overzicht van de geraadpleegde documenten is in bijlage 1 opgenomen. Met vier bestuurlijke en ambtelijke sleutelfiguren is een interview afgenomen. De lijst met geïnterviewde functionarissen is ook in bijlage 1 opgenomen.

Casestudies

Om de organisatorische en menskant van de uitvoering van het informatiebeveiliging- en privacybeleid in de gemeente te onderzoeken, zijn twee casestudies uitgevoerd. Het gaat daarbij om inzichtelijk te maken hoe het beleid in de praktijk daadwerkelijk wordt uitgevoerd. Voor inzicht in de uitvoering wordt ook gebruikgemaakt van de bevindingen uit de interviews. De voor de casestudies geïnterviewde functionarissen zijn in bijlage 1 opgenomen.

Pentesten

Een ander onderdeel om de uitvoering te onderzoeken, bestaat uit het uitvoeren van pentesten. De pentesten zijn grotendeels gericht op de technische kant van informatiebeveiliging, maar ook deels op de naleving van beleid en procedures. Deze zijn uitgevoerd door ethische hackers van Awaretrain en IP4Sure. Vooraf aan de pentesten is door het college aangegeven dat ICTsamenwerking, het samenwerkingsverband op basis van gastheerschap van de

4

gemeente Doetinchem, ook testen uitvoert op de systemen. Die testen bestonden onder andere uit een externe en interne netwerkpentest. Deze waren recent uitgevoerd en op de verbeterpunten die daaruit naar voren kwamen zijn maatregelen getroffen. De pentesten zijn door de onderzoekers gecheckt en als adequaat beoordeeld. De rekenkamercommissie heeft daarop besloten geen interne en externe netwerkpentest uit te laten voeren. Besloten is in het kader van het rekenkameronderzoek aanvullend een Active Directory (AD) audit 1, wifi-netwerk pentest 2, phishing 3 en smishing 4 test en een mystery guest 5 uit te voeren. Voor een nadere uitleg van de testen zie §6.2. Gedurende de looptijd van de pentesten werd vanwege de coronapandemie het thuiswerkadvies ingevoerd. Een mystery guest onderzoek heeft weinig zin als geen medewerkers aanwezig zijn op het stadhuis. Vandaar dat is besloten deze test niet uit te voeren. Hoor en wederhoor

1

2

3

4 5

Op 10 mei 2022 is de nota van bevindingen voor de feitencheck in het kader van de ambtelijke hoor en wederhoor aangeboden aan de gemeentesecretaris. De nota van bevindingen is daarna aangevuld met conclusies en aanbevelingen en als rekenkamerrapport op 16 februari 2023 aangeboden aan de gemeenteraad.

De Active Directory (AD) staat beheerders toe om het beleid (rechten en instellingen) in het netwerk van een organisatie te beheren. De AD bevat een database waarin onder andere accounts en inloggegevens zijn opgenomen. Een AD audit test onder andere het wachtwoordenbeleid en inactieve accounts. De wifi netwerk pentest is bedoeld om de beveiliging van de draadloze netwerken te toetsen en mogelijke kwetsbaarheden in kaart te brengen. Gesimuleerd wordt of een kwaadwillende baat kan hebben bij een aanvalsscenario op het draadloze netwerk van de gemeente. Phishing is een vorm van internet oplichting en fraude, door middel van een vals e-mail bericht 'hengelen' naar inlog- of andere persoonsgegevens. Smishing is dezelfde vorm van internet oplichting en fraude als phishing via valse sms-berichten op mobiele telefoons. Tijdens een mystery guest bezoek probeert een onderzoeker onder valse voorwendselen fysiek binnen te dringen in de gemeentelijke organisatie. Doel is inzicht te krijgen in kwetsbaarheden als ongeautoriseerde toegang mogelijk is tot kantoren en werkruimtes, tot werkstations, informatie of dossiers op bureaus, printers of afvalcontainers.

5

3 Informatiebeveiliging Onderzoeksvraag 1

In dit hoofdstuk beantwoorden we de eerste onderzoeksvraag: Beschikt de gemeente Doetinchem over een adequaat informatie-beveiligingsbeleid?

ICTsamenwerking

Op ICT werkt de gemeente Doetinchem sinds 2015 samen met de gemeenten Bronckhorst, Aalten, Oude IJsselstreek en Doesburg en verschillende regionale instellingen zoals Laborijn, Regio Achterhoek, Streekarchief, BuHa en de Omgevingsdienst Achterhoek (ODA). Doetinchem voert het gastheerschap uit in het samenwerkingsverband. In 2018 is het convenant dat onder de samenwerking en het gastheerschap ligt vernieuwd. In totaal bedient de ICT-dienstverlening ongeveer 2.300 gebruikers. De gemeente is zich ervan bewust dat de gemeente zelfstandig niet in staat is de ICT-vraagstukken aan te kunnen. Door schaalvergroting, de toenemende vraag naar kwaliteit en risico's wordt samenwerking op ICT noodzakelijk geacht. De samenwerking op ICT is met name gericht op automatisering en standaardisering. Voor het beleid op informatiebeveiliging, privacy en de verschillenden domeinen zijn de gemeenten zelf verantwoordelijk.

3.1 Beleid Informatiebeveiligingsbeleid

In april 2020 heeft het college van B&W het Informatieveiligheidsbeleid 2020-2022 vastgesteld. Dit beleid verving het Informatiebeveiligingsbeleid 2015-2019 en is in 2022 gelden. Het informatiebeveiligingsbeleid wordt gepositioneerd als onderdeel van de Informatievisie 2020-2022. Samen met de dienstverleningsvisie en communicatievisie vormt deze de basis voor de dienstverlening. In 2018 zijn de drie visies op elkaar afgestemd. In 2020 is besloten het beleid voor informatiebeveiliging en privacy samen te voegen. Het kader van dit beleid wordt gevormd door de Baseline Informatiebeveiliging Overheid (BIO, gebaseerd op ISO-27002) en de Algemene Verordening Gegevensbescherming (AVG). De doelen zoals in het informatiebeveiligingsbeleid opgenomen zijn:

- Het beschermen en op behoorlijke en zorgvuldige wijze omgaan met informatie zodat de beschikbaarheid, integriteit, vertrouwelijkheid behouden blijft; - Het waarborgen van de bescherming van persoonsgegevens (privacy); - Het minimaliseren van informatieveiligheidsrisico’s tot een acceptabel niveau. De gebruikelijke aandachtsgebieden op informatiebeveiliging worden in het beleid geadresseerd: mens-organisatie-techniek.

6

GAP-analyse

Voor het informatiebeveiligingsbeleid is een GAP-analyse 6 uitgevoerd op basis van de BIO-maatregelen. Daaruit komen in principe de maatregelen voort die de gemeente moet nemen om te voldoen aan de BIO. Niet alle maatregelen kunnen meteen of volledig worden uitgevoerd of geïmplementeerd. Op basis van een risicoanalyse worden risico's al dan niet geaccepteerd, en indien nodig beheersmaatregelen genomen (zie ook §6.1.3.)

Vakgebieden

Het beleid geldt voor de vakgebieden: -

Basisregistratie Personen (BRP) Paspoortuitvoeringsregeling (PUN) Paspoorten en Nederlandse identiteitskaarten (PNIK) Digitale persoonsidentificatie (DigiD) Structuur uitvoeringsorganisatie Werk en Inkomen (Suwinet) Basisregistratie Adressen en Gebouwen (BAG) Basisregistratie Grootschalige Topografie (BGT) Basisregistratie Ondergrond (BRO)

Handboeken, beveiligingsplan Voor Suwinet en DigiD, Basisregistratie Personen (BRP),

Paspoortuitvoeringsregeling (PUN)en Paspoorten en Nederlandse identiteitskaarten (PNIK) worden apart handboeken opgesteld. Deze worden jaarlijks gecontroleerd en indien nodig geüpdatet. Deze applicaties maken onderdeel uit van audits die landelijke toezichthouders streng controleren. Dat gebeurt mede in het kader van Eenduidige Normatief Single Information Audit (ENSIA) 7, de rapportage die de verticale en horizontale verantwoording vorm geeft (zie §4.3.) RASCI-model

In het informatieveiligheidsbeleid zijn de taken en verantwoordelijkheden belegd, waarbij vijf functies/rollen zijn benoemd op basis van het zogenoemde RASCI-model, zie hieronder: - Responsible (R): die verantwoordelijk is voor de uitvoering van werk, taak en activiteit (teamleiders, managers en gemeentesecretaris) - Accountable (A): die is uiteindelijk verantwoordelijk dat R de werk, taak en activiteit uitvoert (college van B&W); - Consulted (C): degene die door R voor advies wordt geraadpleegd (Chief Information Security Officer [CISO] en Functionaris Gegevensbescherming [FG]); - Supportive (S): levert op verzoek van R ondersteuning (informatieveiligheidscoördinator, ENSIA-coördinator en informatieveiligheidsbeheerders); - Informed (I): degene die over de status en het resultaat geïnformeerd moet worden (concerncontroller).

6

7

Een GAP-analyse is een methode om een vergelijking te maken tussen een bestaande en een gewenste situatie. Het verschil tussen beide is de te overbruggen gap (kloof). Eenduidige Normatiek Single Information Audit, eenmalige informatieverstrekking en eenmalige IT-audit voor de horizontale (richting gemeenteraad als toezichthouder) en verticale verantwoording (richting landelijke toezichthouders).

7

Afbeelding 1. Rollen op basis van RASCI-model

Verantwoordelijkheden

De teamleiders zijn integraal verantwoordelijk voor informatiebeveiliging en privacy, kortom informatieveiligheid. De teamleiders organiseren op operationeel niveau dat de medewerkers in de teams en aan de beleidseisen kunnen voldoen. De informatieveiligheidsbeheerders zijn op operationeel niveau verantwoordelijk voor de inrichting en implementatie van informatiebeveiliging. Dat zijn de functioneel applicatiebeheerders in de verschillende afdelingen/domeinen. De managers faciliteren de teamleiders en worden daarbij op tactisch operationeel niveau ondersteund door de informatieveiligheidscoördinator. Op strategisch terrein controleert de CISO het informatiebeveiligingsbeleid en adviseert de gemeentesecretaris. De ENSIA-coördinator is verantwoordelijk voor de rapportage in het kader van de horizontale en verticale verantwoording (zie §4.3.)

Functies

Om de strategische rol te kunnen vervullen, heeft de CISO een onafhankelijke positie. Deze heeft een eigen verantwoordelijkheid en kan in principe zelfstandig schakelen met de gemeentesecretaris en de portefeuillehouder. Organisatorisch is de functie vanaf 1 november 2021 ondergebracht bij het team informatiemanagement. Voorheen vervulde een van managementleden de rol van CISO. Deze ging met pensioen en toen is besloten middelen vrij te maken voor een 'dedicated' CISO voor 16 uur. Afhankelijk van wat zich voordoet, kunnen dat meer uren zijn, zoals recent bleek bij de ontdekking van de kwetsbaarheid in verband met Log4J 8 (zie §6.1.3.)

8

Log4J is een stuk software dat veel gebruikt wordt in webapplicaties en andere systemen, dat in december 2021 bleek kwetsbaar te zijn voor aanvallen van hackers.

8

Daarnaast zijn drie informatieadviseurs bij het team Informatiemanagement voor de operationele ondersteuning. Voor het tactische/operationele aspect is er een informatiebeveiligingscoördinator (en privacycoördinator, zie §5.1) bij het team Informatiemanagement ondergebracht.9 Uit de interviews blijkt dat het lastig is de juiste capaciteit op ICT binnen te halen, zoals bij veel andere gemeenten. Zo is er al een vacature ITsecurityspecialist voor ICTsamenwerking die al maanden open staat. Vanwege de schaalgrootte van de gemeente zijn er op de verschillende niveaus duo-functies. Het informatiebeveiligingsbeleid benoemt op specifieke onderdelen de ondersteunende procedures en protocollen die nodig zijn voor de inrichting van het beleid. Zoals gemeld, zijn er op vakgebieden handboeken, die jaarlijks geüpdatet worden. Verder zijn aangetroffen procedures en richtlijnen voor:

Procedures/protocollen

-

9

10

11

12

13

Afvoer ICT-middelen Autorisatieprocedure Back-up proces Configuratiebeheer Functiewijziging Gedragscode – ambtenaren gemeente Doetinchem Gedragscode - nieuwe medewerkers bewustwording – eerste hulp bij privacy Gedragscode - nieuwe medewerkers bewustwording – Gouden regels informatieveiligheid Handleiding datalekken Incidentmanagement en responsebeleid ICT 10 Patchmanagement 11 Procedure beveiligingsincidenten Procedure gegevensdragers opschonen Procedure malware voorzieningen 12 Procedure voor toegang tot ruimten Recovery proces 13 Richtlijn clear desk en clear screen Richtlijn wachtwoorden Richtlijnen voor mobiele devices en mobiele informatie Starterspakket Informatieveiligheidsbeheerders Thuiswerken – intranetpagina

Informatiebeveiligingscoördinatoren en privacycoördinatoren zijn gezamenlijk bekend als informatieveiligheidscoördinatoren, bij het team Informatiemanagement. Beleid om incidenten effectief en efficiënt aan te kunnen pakken, bepalend voor het beperken van schade van beveiligingsincidenten. Patchmanagement gaat om het gecontroleerd en planmatig identificeren van kwetsbaarheden en het testen en uitrollen van patches en updates van software. Een patch is een installatiebestand dat een kwetsbaarheid of fout in een programma herstelt. Malware is de verkorte term voor malicious software (schadelijke software), onder andere virussen en ransomware (software die [delen van] computersystemen gijzelt in ruil voor losgeld). Recovery in het kader van data is het weer beschikbaar stellen of ’terughalen’ van verloren data van opslagmedia zoals servers, harde schijven, usb-sticks, sd-cards, tablets en smartphones.

9

- Uitwijkprocedures 14 - Wijzigingsbeheer 15 Gemist

Gemist worden nog protocollen op mobiele datadragers, cryptografie 16, leveranciersmanagement. Wat betreft de mobiele datadragers wordt momenteel niet meer gewerkt met overeenkomsten als medewerkers of bestuurders mobiele devices van de gemeente gebruiken. Uit de interviews blijkt dat dit wel weer wordt opgepakt. Ook wordt een richtlijn voor de logging 17 gemist, zo blijkt uit de GAP-analyse, nodig voor de vaststelling van het informatiebeveiligingsbeleid en -plannen. Op een aantal systemen wordt wel al het dataverkeer gemonitord, omdat dat wordt afgedwongen door de landelijke toezichthouders, zoals op Suwinet. Maar de logging/monitoring is nog niet op alle systemen doorgevoerd. Het streven was om in 2021 een Security Information & Event Management (SIEM), Security Operations Center (SOC) 18 in te richten, om zo te voldoen aan de eisen van de BIO. Dat is niet gelukt vanwege issues bij de landelijke aanbesteding van SIEM/SOC. Daarnaast moeten de loggings die al worden bijgehouden consequent en actief worden gecontroleerd, breder dan een SIEM/SOC dat kan uitvoeren.

Bedrijfscontinuïteitsplan

Er is ook nog geen integraal bedrijfscontinuïteitsplan, met instructies hoe de dienstverlening van de gemeente na een crisis hervat kan worden. De gemeente is er wel mee bezig en verschillende documenten vormen een draaiboek of continuïteitsplan. Eind 2021 is een nieuw onderdeel van het continuïteitsplan in het managementteam vastgesteld, namelijk het opschalingsmodel cybercrisis. Het opschalingsmodel of scenariokaart cybersecurity is naar aanleiding van de hack met ransomware bij Hof van Twente tot stand gekomen. Daarmee worden de lijnen geschetst wie waarvoor verantwoordelijk is, wie wanneer acteert en wanneer en waarheen opgeschaald wordt bij een crisis op het terrein van de ICT. Daarmee is de GRIP-structuur 19 vertaald naar een ICT-crisis. De uiteindelijke verantwoordelijkheid ligt dan bij de burgemeester, zoals in andere crisissituaties. Het opschalingsmodel is vooralsnog alleen gericht op de situatie in Doetinchem en niet op de samenwerking op ICT. Uit de interviews blijkt dat het de intentie is het integrale plan in 2022 op te stellen, mede op basis van de verschillende deelplannen die er al zijn, en deze in het college te laten vaststellen en uiteindelijk ook te testen.

Middelen

14 15 16 17

18

19

De afweging voor middelen voor ICT en informatiebeveiliging gebeurt mede op basis van de capaciteit die er is. Uit de interviews blijkt dat de gemeente de investeringen doet die volgens de functionarissen op informatie-

Uitwijkprocedures regelen het zo snel mogelijk herstel van de dienstverlening na een calamiteit. Wijzigingsbeheer is het planmatig en gecontroleerd uitvoeren van wijzigingen in soft- en hardware in een organisatie. Cryptografie is het versleuteld versturen en delen van informatie die voor derden onleesbaar is. Logging is het in een logbestand vastleggen van alle inzagen, aanpassingen, toevoegingen en verwijderingen, die door medewerkers in een systeem of databestand worden gedaan. Security Information & Event Management (SIEM) en Security Operations Center (SOC) is software die computerdreigingen en verdacht verkeer op systemen detecteert en monitort. De GRIP structuur regelt de opschaling van de hulpverleningsdiensten van de veiligheidsregio bij rampenbestrijding en crisisbeheersing.

10

beveiliging en privacy nodig zijn. De laatste drie jaren zijn bij elke begroting extra investeringen gevraagd voor middelen en formatie. Daar is de raad van Doetinchem in mee gegaan. Er is nog geen politiek-bestuurlijke agenda voor de langere termijn waarbij op basis van visie en risicobewustzijn, (landelijke) afspraken over kwaliteit van de dienstverlening een raming van de benodigde middelen en formatie mogelijk maakt.

3.2 Overleggen Intern

Intern tussen portefeuillehouder, teamleider ICTsamenwerking en manager bedrijfsvoering werd 1 keer in de 6 weken en wordt sinds eind 2021 eens in de vier weken overlegd. Daarin worden de technische en financiële aspecten van informatieveiligheid besproken. De CISO en FG kunnen in principe eigenstandig naar de gemeentesecretaris, portefeuillehouder of burgemeester stappen als er zich een acuut issue voordoet op informatiebeveiliging en privacy. Daarvoor hoeven ze niet eerst langs de manager Informatiemanagement.

Werkgroep informatiebeveiliging

Overleg gemeentesecretarissen

In Doetinchem is in ICTsamenwerking-verband de werkgroep informatiebeveiliging opgezet. Daarin zijn de gemeenten vertegenwoordigd, niet de andere partijen die in ICTsamenwerking deelnemen. De werkgroep geeft adviezen op ICT-gebied die de samenwerking aangaat, op tactisch en operationeel niveau. Vanuit Doetinchem neemt de informatieveiligheidscoördinator deel aan het overleg. Naast de werkgroep informatiebeveiliging in ICTsamenwerking is er op ambtelijk niveau de stuurgroep met de secretarissen van de deelnemende gemeenten. De andere deelnemende partijen zijn ook niet hierin vertegenwoordigd. In dat overleg is onder andere plaats voor vragen over de risico's in verband met informatiebeveiliging en privacy. De CISO's van de deelnemende partijen hebben geen overleg.

3.3 Rapportages Informatieveiligheidsplan

Het jaarlijkse informatieveiligheidsplan wordt opgesteld met activiteiten voor dat jaar, bedoeld om te voldoen aan de Baseline Informatiebeveiliging Overheid (BIO). In april 2021 is het laatste Informatieveiligheidsplan 2021 vastgesteld. Daarin wordt ook teruggeblikt op wat in het jaar daarvoor van de geplande activiteiten op informatiebeveiliging is uitgevoerd. Het plan wordt ter accordering aan het managementteam voorgelegd. Eind 2021 is afgesproken dat de rapportage van de CISO ook naar de teamleiders gaat, zodat ze daar op teamniveau besproken kunnen worden.

Incidenten

In Topdesk worden incidenten op informatieveiligheid gemeld en bijgehouden. De meldingen van datalekken gaan naar de informatieveiligheidscoördinatoren. Deze maken elke drie maanden een rapportage van de incidenten en datalekken voor het MT. De rapportage bevat het aantal incidenten, het aantal datalekken dat aan de AP is gerapporteerd,

11

wat ervan geleerd kan worden en welke verbetermaatregelen genomen kunnen worden. ENSIA

Een andere belangrijke rapportage is ENSIA. De informatieveiligheidscoördinator coördineert de informatiestroom voor deze rapportage die bedoeld is voor de verticale verantwoording van de gemeente naar landelijk toezichthouders over de applicaties die de gemeente gebruikt, zoals Suwinet en DigiD. Over de belangrijkste moet het college een in control statement geven, waarover een externe auditor een assuranceverklaring moet afgeven. Deze gaat naar de raad toe, met een rapportage waarin het college aangeeft in hoeverre de BIO-maatregelen zijn geïmplementeerd.

Geen echt ISMS

Veel organisaties gebruiken hiervoor een managementtool, een zogenoemd Information Security Management System (ISMS) 20, waar een PDCA-cyclus 21aan gekoppeld is. Dat is een beleids- of leercyclus waarin activiteiten kunnen worden gepland en bijgehouden.

Afb. 2 ENSIA-model 2021

De gemeente Doetinchem gebruikt geen ISMS. Dat is een van de Geaccepteerde risico's onder het kopje Naleving in de BIO. Doetinchem gebruikt een ander soort applicatie, waar niet alle functionaliteiten van een echt ISMS in aanwezig zijn. Voor 2022 staat de aanschaf van een ISMS op de planning. Daarbij wordt gekeken naar een koppeling met de financiële rechtmatigheidscyclus, met de bedoeling een vergelijkbaar product voor de gehele organisatie te gaan gebruiken. PDCA-cyclus

20

21

De PDCA-cyclus is ingericht op basis van het informatieveiligheidsbeleid. Daarvoor wordt het Informatieveiligheidsplan en de activiteiten die daarin opgenomen zijn gebruikt. In de ENSIA-rapportage wordt de stand van zaken gecontroleerd. En de

ISMS = Information securitymanagement system, is een managementinstrument om de informatiebeveiliging te waarborgen en besturen. Met het instrument kunnen onder andere de veiligheidsrisico’s in kaart gebracht worden, beleid en rapportages opgesteld worden en taken en verantwoordelijkheden verdeeld worden. PDCA = Plan-Do-Check-Act, de beleidsleercyclus.

12

verbeterpunten die daaruit voortkomen, worden opgenomen in de activiteiten voor het daaropvolgende jaar. Eventueel niet afgeronde activiteiten verhuizen mee naar het volgende jaar. Accountant

Daarnaast wordt de gemeentelijke top, namelijk raad, college en MT, geïnformeerd over de stand van zaken op informatieveiligheid via de managementletters van de accountants. De laatste jaren voeren deze ITaudits uit als onderdeel van de (interim)controle. Over het algemeen zijn deze audits niet heel uitgebreid, en gericht op de rechtmatigheid van de financiële en administratieve organisatie (zie §5.1 en hoofdstuk 6.)

13

4 Privacy Onderzoeksvraag 2

In dit hoofdstuk beantwoorden we de tweede onderzoeksvraag: Beschikt de gemeente Doetinchem over een beleid voor het gebruik van belangrijke en gevoelige (privacy)informatie?

4.1 Beleid Geen apart beleid

Op privacy/gegevensbescherming is vanaf 2020 geen apart beleid meer geformuleerd. Er is namelijk veel overlap tussen de twee gebieden. En uit de interviews blijkt dat de gemeente het onnodig acht wat al in de Algemene Verordening Gegevensbescherming (AVG) is opgenomen nog een keer in gemeentelijk beleid op te nemen. Informatiebeveiliging en privacy gaan beide om veiligheid, weliswaar met eigen accenten (zie afbeelding 3), en zijn samengevoegd in het Informatieveiligheidsbeleid 2020-2022. Dat beleid verving het Privacybeleid 2017.

Afbeelding 3. Informatieveiligheid met privacy en informatiebeveiliging.

Net als bij informatiebeveiliging zijn de teamleiders uiteindelijk verantwoordelijk voor de uitvoering van het privacybeleid. In het kader van de AVG moet een aantal zaken gerealiseerd zijn. Zoals de functie van de FG die ingevuld moet zijn en aangemeld bij de Autoriteit Persoonsgegevens (AP). Een privacystatement moet gepubliceerd zijn over hoe de gemeente omgaat met persoonsgegevens. Ook moet een procedure zijn opgesteld hoe de rechten van betrokkenen kunnen worden uitgeoefend en een procedure hoe om te gaan met datalekken. En een verwerkingsregister moet zijn opgesteld, waarin alle verwerkingen van persoonsgegevens door

14

of namens de gemeente zijn opgenomen. Onder contracten die de gemeente sluit met derden, waarin sprake is van verwerking van persoonsgegevens, moet een verwerkersovereenkomst afgesloten worden. Ook moet op een nieuwe verwerking van persoonsgegevens de risico's op privacy zijn beoordeeld. Dat gebeurt met behulp van een data protection impact assessment (dpia). 22 Functies

Sinds juni 2018 is de FG voor 36 uur in dienst van de gemeente Doetinchem. De FG vervult deze functie voor de gemeente Doetinchem en 7 andere organisaties, in regionaal privacy verband (gemeente Doesburg, Aalten, Oude IJsselstreek, Oost Gelre en Buha, Buurtplein en Laborijn). Die deelnemers participeren niet allemaal in de ICTsamenwerking. Dat betekent dat de FG voor Doetinchem feitelijk 170 uur per jaar beschikbaar is. De FG is strategisch onafhankelijk als controleur en adviseur gepositioneerd, maar is net als de CISO organisatorisch ondergebracht bij het team Informatiemanagement. Uit de interviews blijkt dat er ooit sprake van was de functies onder te brengen bij de afdeling Control. Dat is niet gerealiseerd.

Privacycoördinator

Naast de FG is op tactisch niveau een privacycoördinator aanwezig. Deze is ook ondergebracht bij het team Informatiemanagement en moet zorgen voor de verbinding van strategisch onderwerpen naar tactisch-operationeel niveau. Deze functionaris vormt op privacy veelal het aanspreekpunt voor medewerkers en lijnmanagement.

Privacybeheerders

Uiteindelijk zijn voor de operationele borging privacybeheerders aangewezen. Dat is een rol die meestal belegd is bij de functioneel applicatiebeheerders.

4.2 Overleggen Overleg secretaris en portefeuillehouder

In principe heeft de FG als onafhankelijk controleur en adviseur een directe lijn met de secretaris en de portefeuillehouder. Deze wordt niet vaak gebruikt. De secretaris en portefeuillehouder hebben wel regelmatig contact met de informatieveiligheidscoördinatoren. De informatieveiligheidscoördinatoren hebben onderling wekelijks een overleg. De FG is betrokken bij de overleggen van de werkgroep informatiebeveiliging. Met de relatief nieuwe CISO heeft de FG de afspraak om 1x per maand te overleggen.

Regionale overleggen

22

Met de privacycoördinatoren van de gemeenten Aalten, Doesburg, Oost Gelre, Oude IJsselstreek en ODA, BUHA en Buurtplein is maandelijks overleg met de FG. De privacycoördinatoren van de gemeenten die in ICTsamenwerking participeren. hebben onderling een overleg. En tot slot is er nog een overleg met de FG'en uit de Achterhoek.

Dpia = data protection impact assessment. Die houdt een analyse in op risico's in verband met privacy en gegevensbescherming bij verwerkingsprocessen. Onder de AVG is een dpia verplicht bij gegevensverwerking met een waarschijnlijk hoog privacy risico.

15

4.3 Rapportages Jaarlijkse rapportage

De FG stelt jaarlijks een rapportage aan het college op naar aanleiding van de interne toetsing op de AVG. Vanaf 2019 gebeurt dat aan de hand van een toetsingsdocument 'Borging AVG' en interview met de privacycoördinator. In de jaarlijkse rapportage wordt verslag gedaan van de elementen waarop voldaan is aan de AVG, en waarop nog niet of niet helemaal voldaan is. Die elementen bevatten beleid, processen, organisatorische inbedding, rechten van betrokkenen, samenwerking beveiliging en verantwoording. In het toetsingsdocument wordt aangegeven in hoeverre de organisatie voldoet aan de artikelen uit de AVG, met ja/gedeeltelijk/nee/niet van toepassing. Ook besteedt de FG aandacht aan periodiek wisselende focusgebieden van de Autoriteit Persoonsgegevens (AP). In 2020-2023 wordt door de AP specifiek aandacht besteed aan de focusgebieden datahandel, digitale overheid en artificiële intelligentie en algoritmes.

Incidenten en datalekken

Zoals in §4.3 al is gemeld, krijgt de gemeentesecretaris elke drie maanden een overzicht van de incidenten, opgesteld door de privacycoördinator en informatiebeveiligingscoördinator.

ENSIA en ISMS/PMS

Over privacy wordt ook in het kader van ENSIA aan de raad gerapporteerd. Net als voor informatiebeveiliging is er geen Privacy Management informatiesysteem (PMS). 23 Er wordt wel met de applicatie SafeHarbour/IC Content gewerkt, dat een privacy module bevat. Maar dat wordt niet als een ISMS of PMS gebruikt door de betrokken medewerkers.

23

PMS = Privacy management systeem, vergelijkbaar met een ISMS voor informatieveiligheid. Het PMS biedt een gestructureerd overzicht van de registers, DPIA's en uitstaande verbeteracties.

16

5 Uitvoering en monitoring Onderzoeksvraag 3

In dit hoofdstuk beantwoorden we de derde onderzoeksvraag: Hoe wordt dat beleid uitgevoerd en wordt het gemonitord?

Inleiding

In dit hoofdstuk gaan we na hoe het informatiebeveiligings- en privacybeleid wordt uitgevoerd en op welke wijze de gemeente de uitvoering checkt. In eerste instantie benaderen we de onderzoeksvraag op basis van wat er in de rapportages en evaluaties over wordt gemeld. Dat beeld vullen aan met de bevindingen uit interviews. Dat vindt zijn neerslag in §5.1. We hebben twee onderzoeksmethoden toegepast om het beeld verder in te vullen en de uitvoering van het beleid te testen. De medewerkers van twee teams zijn geïnterviewd op de verwerking van persoonsgegevens. De bedoeling is een beeld te schetsen van de gegevens die het team in- en uitgaan en wat er ondertussen met de informatie gebeurt. Daarvoor zijn het Sociaal Domein en Toezicht en handhaving uitgekozen. Deze komen in de bijlagen 3 en 4 aan bod. Samenvattingen van de cases zijn na §5.1.4 in 2 aparte kaders opgenomen. Tot slot heeft de rekenkamercommissie door ethische hackers een aantal pentesten laten uitvoeren. Dat zijn een active directory audit, een wifinetwerk test, een phishingmail en smishing-test. Uitleg over en uitkomsten uit deze testen volgen in §5.2.

5.1 Uitvoering In deze paragraaf behandelen we achtereenvolgens wat goed gaat op het gebied van informatiebeveiliging en privacy, bewustwording, Algemene Verordening Gegevensbescherming, ICTsamenwerking, het autorisatieproces en contracten met derden. Wat goed gaat

Respondenten geven aan dat beleidsstukken in opzet en bestaan aanwezig zijn en veel goed gaat zonder dat alles 100% op papier verantwoord wordt. De BIO-normen worden gehanteerd en via de audits kan gecheckt worden in welke mate aan de normen wordt voldaan. Uit de ENSIA over 2019 kwamen geen verbeterpunten. Uit de ENSIA over 2020, met enkele aangescherpte normen, kwamen voornamelijk voor partners van de gemeente verbeterpunten naar voren. Begin 2021 werd voor 82% aan de BIO-normen voldaan. In het Informatieveiligheidsplan 2021 waren 16 activiteiten opgenomen, daarvan waren eind 2021 acht activiteiten uitgevoerd, drie gedeeltelijk of nog in uitvoering en vijf niet uitgevoerd. Als actiepunten voor 2022 zijn onder andere de volgende opgenomen: bewustwording via applicatie; inrichten SIEM/SOC en verbeteringen logging; een nieuw Information Security Management Systeem (ISMS) (zie ook §4.3.) De aandacht voor informatiebeveiliging en privacy in de ambtelijke organisatie en bij het bestuur neemt toe, zien de geïnterviewden.

17

Tegelijkertijd wordt gemeld dat dat nog niet op het gewenste niveau is en dat daarop blijvend actie nodig is (zie ook §6.1.1.) In control

Op basis van de stukken en audits die management en bestuur aangereikt krijgen concluderen respondenten dat de gemeente 'in control' is. In de zin dat 100% in control op informatiebeveiliging niet mogelijk wordt geacht, kwaadwillenden zullen zich blijven ontwikkelen op manieren om schade aan re richten. Maar geïnterviewden geven aan dat de landelijke richtlijnen worden gehanteerd, de risico's in beeld zijn en de benodigde maatregelen worden genomen. De gespecialiseerde kennis is bij het bestuur niet aanwezig om de stukken en audits op de ICT-merites te waarderen. Daarbij moet vertrouwd worden op de kennis en expertise bij de ambtenaren. De in het beleid afgesproken functies zijn aanwezig, zoals de FG, CISO, informatieveiligheids- en privacycoördinator. Respondenten geven aan dat de organisatie alert is op incidenten in de gemeentelijke omgeving. Daarnaast zijn er de landelijke toezichthouders en de IBD die voor acute en permanente dreigingen en risico's waarschuwt. En in gevallen kan de veiligheidsregio de gemeente ondersteunen.

5.1.1 Bewustwording Meer aandacht

Bewustwording wordt gezien als belangrijk, de menselijke factor in de trits voor informatiebeveiliging en privacy bepalende factoren: techniekorganisatie-mens. Zeker na de gebeurtenissen in de gemeente Hof van Twente. Bewustwording staat vaak bovenaan bij de prioriteiten om op in te zetten en informatieveiligheids- en privacycoördinator geven aan veel aandacht eraan te besteden. Door corona is een aantal fysieke activiteiten hierop vanaf begin 2020 niet door kunnen gaan. In 2019/2020 is een aanbesteding geweest voor een applicatie voor awareness of bewustwording, samen met de gemeenten waarmee regionaal samengewerkt wordt. De aanbestedingsprocedure mislukte. Op dit moment is er geen applicatie. Daardoor moest de gemeente zelf aan de slag met activiteiten hierop.

Bewustwordingsplan informatieveiligheid 2021

Op bewustwording is voor 2021 een activiteitenplan opgesteld, met de onderstaande uitgangspunten:

1. Aansluiten bij landelijke acties (28-1 Dag van de Privacy, Oktober maand van Cybersecurity, November Integriteitsmaand) 2. Jaarlijks minimaal één speciale bewustwordingsactie organisatiebreed organiseren 3. Via intranet, e-mail en werkoverleggen medewerkers, leidinggevenden en bestuurders informeren over actuele onderwerpen binnen informatieveiligheid 4. Onderdeel van functioneringsgesprek

18

5. Planning bewustwording december 2020 en heel 2021 In onderstaand overzicht zijn de activiteiten opgenomen, zoals een phishing mail activiteit, elke drie maanden bijeenkomsten voor nieuwe medewerkers, teams- en opleidingssessies enz. Er zijn cursussen en trainingen, die niet verplicht zijn voor de al langer in dienst zijnde medewerkers. Het zijn met name de privacy- en informatieveiligheidscoördinator die activiteiten oppakken met de teams. De activiteiten worden met de CISO en FG afgestemd. Tabel 2. Omschrijving bewustwordingsactiviteiten dec 2020-2021, gemeente Doetinchem.

Aandacht bij management en bestuur

Hiervoor is geconstateerd dat in de organisatie meer en meer aandacht is voor de onderwerpen informatiebeveiliging en privacy. De bewustwordingssessie voor de teams met themakaarten is ook met het MT en de collegeleden gedaan, waarna een gesprek daarover vanuit een niettechnische invalshoek kan plaatsvinden. Voorbeelden van incidenten brengen het onderwerp heel dicht bij de aanwezigen. Aangegeven wordt dat informatiebeveiliging en privacy als onderwerpen vaak op de agenda van het managementteam staan. ENSIA en plan van aanpak met verbetermaatregelen worden met de ambtenaren en met het managementteam doorgesproken. Daarna wordt het, zonder al te veel vragen, door het college vastgesteld. Draagvlak voor informatiebeveiliging en privacy bij bestuur is groeiende, blijkt uit de interviews. Het onderwerp komt niet structureel bij het college langs, bijvoorbeeld geen halfjaarlijkse sessie over informatiebeveiliging. Het college bespreekt de jaarlijkse rapportages van de CISO en FG en de jaarlijkse ENSIA-rapportage. De nodige investeringen worden gedaan. Niet 19

zonder discussie, daar uit de interviews blijkt dat het college kritisch is over extra middelen voor ICT. Aangegeven wordt dat ICT geen populair onderwerp is om publiek geld aan uit te geven. Toch is er bijvoorbeeld geld voor de CISO-functie vrijgemaakt na de pensionering van het MT-lid die die rol vervulde. De portefeuillehouder bedrijfsvoering en de burgemeester zijn op het onderwerp betrokken, meer dan de andere collegeleden. Geen van de collegeleden is inhoudelijk deskundig op informatiebeveiliging of ICT, maar geven aan voldoende meegenomen te zijn in het besluitstuk dat in het college wordt behandeld. Draagvlak bij alle geledingen

Het draagvlak voor informatiebeveiliging is aanwezig en groeit bij alle geledingen, volgens de respondenten. Zo kon eind 2021 de maatregel om in verband met het Log4J (zie §6.1.3) de dienstverlening stop te zetten op begrip van medewerkers rekenen. Uit de interviews blijkt dat er sinds de organisatieontwikkeling minder lagen in de organisatie zijn, waardoor alle geledingen directer betrokken zijn op informatiebeveiliging en privacy. Uit de AVG-toetsingen, ten behoeve van de jaarlijkse rapportgage van de FG, blijkt dat de aandacht voor privacy weliswaar toeneemt, maar langzaam en dat er nog groepen medewerkers zijn die moeilijk te bereiken zijn voor verbetermaatregelen. Elkaar onderling aanspreken op gedrag gebeurt weinig. Geconstateerd wordt door respondenten dat uitvoering van beleid niet geheel doorleefd is en dat het vastleggen van activiteiten voor de verantwoording weinig wordt gedaan (zie ook kopje 'Accountant' in hoofdstuk 7.) Er moeten nog forse stappen gezet worden, met name op bewustwording.

Kennisniveau

Een van de aandachtsgebieden van de bewustwordingsactiviteiten is het kennisniveau op het gebied van informatiebeveiliging en privacy in de organisatie. Respondenten geven aan dat dat met name op informatiebeveiliging lastiger is dan op privacy. Uit de interviews blijkt dat een basisniveau niet overal aanwezig is in de organisatie en dat risicobewustzijn en gevoel voor techniek breder kan. De aandacht ging vooral uit naar de belangrijkste applicaties, zoals de financiële applicaties en de applicaties die door de landelijke toezichthouders worden gemonitord. Voor de gehele organisatie is daar nog geen ambitieniveau op vastgelegd. Gedacht wordt dat het kennisniveau het best dicht bij de uitvoering op peil gebracht moet worden, zoals bij de informatieveiligheidsbeheerders. Voor hun ondersteuning is een starterpakket met aandacht voor BIO-maatregelen en sjablonen die zij in hun werk kunnen toepassen.

Volwassenheid

De Nederlandse Beroepsorganisatie van Accountants (NBA) heeft een model gemaakt om de volwassenheid op informatieveiligheid van organisaties te meten, zie bijlage 7. Deze wordt toegepast door NOREA, de beroepsorganisatie van IT-auditors in Nederland. Een meting op basis van dat model is niet door accountants of in het kader van dit rekenkameronderzoek uitgevoerd. De volwassenheid van de organisatie wordt door respondenten wisselend ingeschat. Op DigiD en Suwinet lijkt die op een hoog niveau aanwezig te zijn en wordt bijvoorbeeld de vastlegging en controle van activiteiten door de landelijke toezichthouders afgedwongen. 20

Daarmee kan namelijk aangetoond worden wat gedaan is en wat er mogelijk mis is gegaan, zodat geleerd kan worden.24 Op de andere applicaties is dat minder geval. De cultuur is volgens respondenten erop gericht om zaken te doen, dingen te regelen zonder alles op papier op orde te hebben. Accountant

In de interimcontrole over 2020 komt de accountant tot eenzelfde conclusie. De accountant merkt op dat binnen de automatiseringsomgeving weliswaar controles plaatsvinden, maar dat deze veelal niet reproduceerbaar en gestructureerd worden uitgevoerd. Het advies hierop is de aanwezige controles gestructureerd uit te laten voeren en te laten documenteren.

5.1.2 AVG Privacybeleid 2017

Vanaf 2017, met een zelfstandig privacybeleid, is vooral hard gewerkt om de gemeentelijke organisatie op privacyaspecten en richtlijnen in te richten, volgens respondenten. Veel aandacht is ernaar uitgegaan om in de organisatie met de medewerkers aan de slag te gaan. Daarbij lopen een aantal zaken goed, zoals de melding van datalekken. Daarvoor is een procedure opgesteld (zie §5.1) en het aantal gemelde datalekken neemt toe. Dat wordt over het algemeen opgevat als een goed teken, want het is een signaal dat het bewustzijn toeneemt van wat bijvoorbeeld een datalek is en de bereidheid om er op de juiste manier melding van te maken.

Toetsing AVG

De FG rapporteert jaarlijks aan het managementteam en college over de voortgang op de AVG-maatregelen. De raad krijgt hierop op hoofdlijnen gerapporteerd, met een samenvatting door het college en een infographic (zie §5.3 en hoofdstuk 7). De FG rapporteert over 2020 op 133 punten dat deze gerealiseerd zijn, 33 gedeeltelijk, 13 niet en 12 zijn niet van toepassing of worden op een andere wijze gemonitord. De aandachtsgebieden die de FG voor 2021 aanwijst zijn samenwerking (waaronder inzicht in samenwerking en vastleggen van afspraken), processen (met verwerkingsregister en data protection impact assessments [dpia's]) en inbedding in de organisatie (waaronder doorlopende aandacht voor bewustwording.)

Dpia's

Het aantal dpia's dat op kritieke processen en applicaties wordt uitgevoerd waarin persoonsgegevens worden verwerkt, neemt toe. In interviews wordt aangegeven dat een incident zoals Hof van Twente helpt in de aandacht daarvoor, waar de coördinatoren op kunnen aanhaken. De lijn is als proceseigenaar aan zet om een dpia of risicoanalyse uit te voeren. Uit de interviews blijkt dat dpia's worden uitgevoerd, maar dat het proces niet vlekkeloos verloopt. Op operationeel niveau moet door de privacycoördinator nog veel ondersteuning geboden worden.

Checklist pre-dpia

Bij een nieuw informatiesysteem of een gewijzigde werkwijze wordt een van de drie informatieadviseurs van het team informatiemanagement betrokken. De gegevens kunnen anders door de organisatie lopen of andere

24

Uit de ambtelijke reactie blijkt dat op privacy een toets heeft plaatsgevonden, waarbij het volwassenheidsniveau is inzichtelijk is gemaakt. Die toetsing was nog niet bij de rekenkamer bekend gedurende de onderzoeksfase.

21

gegevens zijn nodig. Zij voeren een pre-dpia uit, met de zogenoemde Integrale Risico- en Privacy-analyse (IRPA) tool. 25 Aan de hand van een checklist/aandachtspunten checken zij, in overleg met de privacycoördinator, of een dpia nodig is. Hieronder is een lijst van de onderwerpen/thema’s/applicatie waarop de gemeente Doetinchem vanaf het begin van de AVG in 2018 tot en met januari 2022 een dpia of een pre-dpia op is uitgevoerd: 1. JVS 2. Motion 3. Cocoon 4. AFAS 5. Omgevingswet website 6. Schulddienstverlening 7. Vroegsignalering 8. Tabula 9. WGGZ 10. Zivver 11. AV systeem raad 12. Motion—BW oost 13. Regionale Samenwerking Leerplicht 14. SVH Allegro ICTsamenwerking

Bij ICTsamenwerking zijn ook dpia's opgestart, zoals op Microsoft365, Intune en een SIEM/SOC-applicatie. Deze zijn nog niet geheel afgerond.

Nieuwe wetgeving

De verwachting is dat er nog veel nieuwe dpia's uitgevoerd moeten worden, daar veel nieuwe wetgeving op stapel staat waarbij gemeentelijke processen herzien moeten worden.

Vastleggen

Uit de interviews blijkt dat de richtlijnen en protocollen op de AVG aanwezig zijn en dat het bewustzijn om ermee om te gaan is gegroeid, maar dat deze nog niet overal goed nageleefd worden. De administratieve vastlegging van activiteiten en verbeteracties kan beter. Dat is cruciaal voor de bewijslast als er een datalek is. Zoals aangegeven, is het volwassenheidsniveau niet gemeten, maar dat lijkt op de NOREA-schaal van 5 tegen de twee te scoren (zie bijlage 7). Groeiend bewustzijn is geconstateerd en medewerkers komen met vragen bij de FG of de privacycoördinator of een verwerkingswijze al dan niet van de AVG mag.

Derden

De inkoop en contracten met leveranciers verloopt via de inkoopmedewerkers. De aanbesteding wordt vanuit die afdeling uitgevoerd of begeleid. De medewerkers werken met een checklist waarin privacy een rol heeft. Gecheckt wordt of persoonsgegevens worden verwerkt en er bij het afsluiten van contracten een verwerkersovereenkomst afgesloten moet worden. Ook wordt gecheckt of een applicatie inpasbaar is in de ICTomgeving en of een dpia nodig is.

25

De Integrale risico- en privacy-analyse (IRPA) is een instrument van de Informatiebeveiligingsdienst (IBD) voor een integrale GAP- en risicoanalyse op informatiebeveiliging en privacy.

22

Positionering FG

Uit de interviews komt de indruk dat de functie van de FG beter strategisch ingebed moet worden richting gemeentesecretaris, portefeuillehouder en burgemeester. De meeste contacten hebben zij met de privacycoördinator, en krijgen via dat kanaal de meeste informatie, zoals over datalekken en dergelijke. De FG is weliswaar aangesteld bij de gemeente Doetinchem, maar is 'slechts' voor 170 uur voor de gemeente beschikbaar. Privacy als aspect wordt niet of vaak te laat betrokken bij strategische keuzen. Dan wordt het moeizamer privacyaspecten in het proces mee te nemen. De doorleving op privacy bij medewerkers kan nog verbeteren, zoals hierboven opgemerkt. Privacy wordt nog vaak als lastig en belemmerend ervaren en medewerkers zijn al druk met hun reguliere werkzaamheden.

5.1.3 ICTsamenwerking ICTsamenwerking

Doetinchem werkt op ICT samen met de gemeenten Bronckhorst, Aalten, Oude IJsselstreek en Doesburg en de regionale instellingen Laborijn, Regio Achterhoek, Streekarchief, BuHa en de ODA. Daartoe is uit efficiencyoverwegingen besloten in 2015. In 2018 is de samenwerking herbevestigd. Het samenwerkingsverband heeft een lichte structuur, met Doetinchem als gastheer. Onder de samenwerking liggen geen uitgebreide dienstverleningsovereenkomsten.

Overleg ICTsamenwerking

Met betrekking tot de samenwerking is geen regulier bestuurlijk overleg geregeld. De secretarissen van de deelnemende gemeenten hebben minimaal 2x per jaar overleg, over governance en ICT. Daarin zijn de andere partners in ICTsamenwerking niet vertegenwoordigd. Ambtelijk is er de werkgroep informatiebeveiliging, dat over de afstemming op automatisering gaat en het delen van elkaars kennis. Daarin werd onder andere gezamenlijk geacteerd op het Log4J veiligheidslek dat in december 2021 werd geconstateerd (zie hierna). Er wordt over nagedacht om in de toekomst de niet-gemeenten bij de overleggen te betrekken.

Werkgroep

De werkgroep informatiebeveiliging geeft adviezen, kan bij crises acteren en wordt waardevol ervaren om onderling kennis te delen. Uit de interviews blijkt dat er soms nog gezocht wordt naar het juiste niveau waarop de onderwerpen in de werkgroep geadresseerd worden. Strategisch, tactisch en operationeel kan het door elkaar heen lopen en sommige deelnemers combineren de functie op informatieveiligheid met taken op privacy.

informatiebeveiliging

Crisis: Log4J

Vlak voor kerst 2021 kwam de melding vanuit de IBD over de zogenoemde Log4J-dreiging. Er is toen een app-groep opgezet, zodat alle betrokkenen in ICTsamenwerking snel met elkaar konden communiceren. In Doetinchem is een actieteam opgezet, met daarin de manager dienstverlening, teamleider ICTsamenwerking, CISO, FG, en interne en externe communicatie. Het Gemeentelijk Beleidsteam (GBT) is daarbij steeds geïnformeerd over de stappen. Over Log4J is geschakeld met burgemeesters, portefeuillehouders en secretarissen van de deelnemers in de samenwerking. De medewerkers in de samenwerking hebben tijdens de kerstperiode van 2021 24-uurs-

23

diensten gedraaid. Uit de interviews blijkt de mening dat de gemeente Doetinchem zijn verantwoordelijkheid heeft gepakt op dit gebied, in samenspraak met de deelnemers in ICTsamenwerking. Mede naar aanleiding van de crisis bij Hof van Twente heeft Doetinchem recent een opschalingsmodel opgesteld voor dit soort crises, als onderdeel van een nog vast te stellen integraal bedrijfscontinuïteitsplan (zie ook §4.1). Dat model geldt alleen voor Doetinchem. Het Doetinchemse model is gedeeld met de op ICT samenwerkende partijen, maar zij moeten daar zelf actie op ondernemen. ICT

Doetinchem is verantwoordelijk voor de continue en veilige werking van de ICT. Hiervoor tracht de gemeente in het kader van het Informatiebeveiligingsbeleid 2020-2022 te voldoen aan de BIO- en AVG-richtlijnen. Daarvoor is in 2020 een GAP-analyse uitgevoerd waaruit onder andere bleek dat de gemeente op 29 BIO-maatregelen gedeeltelijk en op 7 nog niet scoorde. Daarop wordt op basis van een risicoafweging prioriteiten gesteld en zijn heeft de gemeente 18 risico's geaccepteerd.

Uitwijk- en pentesten

In ICTsamenwerking wordt de beveiliging van de systemen periodiek getest met behulp van pentesten op de technische systemen. Er is er een uitwijkplan dat jaarlijks getest wordt als een calamiteit zich voordoet en de dienstverlening van kritieke systemen uitvalt en binnen een zekere tijd weer opgestart moet worden. Er is segmentatie op de systemen zodat kwaadwillenden niet overal bij kunnen komen als het eenmaal lukt binnen te komen. De inrichting van een SIEM/SOC en ISMS staan voor 2022 op de planning. Om aan de BIO-eisen te voldoen, voert de gemeente pentesten uit op de systemen. De meest recente interne en externe netwerk pentest zijn in maart 2021 gehouden, zie ook §6.4.

ICTsamenwerking

Governance

In interviews wordt eraan getwijfeld of de inrichting van het samenwerkingsverband op ICT tussen gemeenten en andere partijen toekomstbestendig is. De incidenten nemen toe en navenant de risico's die gemeenten en andere partners lopen. De deelnemers zijn nu nog zelf verantwoordelijk voor opzet, bestaan en werking van het informatiebeveiligings- en privacybeleid in de eigen organisatie. Vanuit ICTsamenwerking wordt momenteel hierop niets tot weinig afgedwongen en geen harmonisering geëist. In het service level agreement dat in 2018 is afgesloten, wordt heel kort de aansprakelijkheid van de gastheer geadresseerd. Er is weliswaar netwerksegmentatie op de systemen aangebracht, maar de vraag is of de systemen voldoende afgeschermd zijn als bij de ene partner problemen ontstaan. Kan de gemeente Doetinchem aansprakelijk gesteld worden als leverancier van ondeugdelijke dienstverlening, of kan de ene partner een andere aansprakelijk stellen als deze last ondervindt van diens problemen? Kortom, er is geen sprake van een duidelijke klant-leverancier-relatie in ICTsamenwerking. Bij dit vraagstuk gaat het om een forse formatie en navenante financieel belang. Bestuurlijk worden de risico's op governance erkend maar nog niet geadresseerd.

24

5.1.4 Autorisatie Autorisaties

Een van de meest cruciale aspecten op informatiebeveiliging en privacy is het autorisatiebeleid. Bij autorisaties gaat het om het verlenen van toegangsrechten tot informatie die de gemeente verwerkt, meestal in diverse applicaties. Een van de uitgangspunten is dat niemand mag beschikken over autorisaties tot handelingen die het gehele informatiesysteem kunnen beheersen. En er moet sprake zijn van functiescheiding tussen beheer- en andere gebruikstaken. De gemeente heeft daar procedures voor. Voor de ENSIA-applicaties als Suwinet en DigID worden die aan degelijke audits onderwerpen door de landelijke auditoren.

25

Casus Sociaal domein (voor de volledige beschrijving zie bijlage 3) Gesproken is met verschillende functionarissen uit het team Sociaal Domein (zie bijlage 1) Voor deze casus is ingezoomd op de omgang van persoonsgegevens bij de uitvoering van de maatregelen in het kader van financiële ondersteuning van inwoners van de gemeente. Het team was al van oudsher gewend zorgvuldig met persoonsgegevens om te gaan en in verband met de AVG is een aantal procedures aangescherpt. De aandacht voor en bewustwording op informatiebeveiliging en privacy zijn daarmee toegenomen, mede in de teamoverleggen. Op de meeste processen in het sociaal domein zijn (pre-)dpia's gehouden. Bij nieuwe processen en activiteiten met persoonsgegevens worden de privacyofficer en informatieveiligheidscoördinator betrokken. Verwerking van de gegevens en opvragen bij andere instanties wordt gedaan op basis van vooraf gegeven toestemming van de klant. Enige hinder van de AVG wordt ervaren in de preventiesfeer door drempels bij het delen van gegevens met andere instanties. Dat is deels ondervangen doordat de gemeente zelf alle minimaregelingen uitvoert. Door de Wet gemeentelijke schuldhulpverlening (Wgs) is de vroegsignalering van schulden al verbeterd. En er ligt een wetsvoorstel om onderling delen van gegevens tussen samenwerkingsverbanden te vergemakkelijken.

Via verschillende kanalen kan een inwoner in aanmerking komen voor een financiële regeling. Via een keukentafelgesprek met een consulent, buurtcoaches of zelf melden. Dan vindt er een intake plaats op het stadhuis en wordt een plan van aanpak opgesteld en in het zaaksysteem Onegov opgeslagen. Voor schuldhulpverlening wordt een andere applicatie in gebruik genomen. Daarin wordt de problematiek geschetst en eventueel relevante bijzondere persoonsgegevens opgenomen. De lopende dossiers zijn op papier, de rest is digitaal. De autorisaties voor toegang van medewerkers tot de gegevens in de applicaties wordt regulier opgehangen aan profielen (zie ook§5.1.4). Aparte regelingen zijn de bijzondere bijstand en het Meedoenarrangement. Een verkorte aanvraag voor de bijzondere bijstand is er voor de inwoners die al bekend zijn via een uitkering in het kader van Participatiewet. Als de financiële gegevens niet bekend zijn, volgt een draagkrachtberekening die via Suites sociaal domein in het zaaksysteem Onegov wordt geregistreerd. Voor de maatschappelijke participatie komen gezinnen met lage inkomens in aanmerking. De aanvraag daarvoor verloopt via een website die daarvoor is opgezet, die een koppeling legt met Onegov. De aanvragers vullen de NAW-gegevens aan met inkomensgegevens. Controle op de dossiers vindt plaats door de kwaliteitsmedewerker.

Externe audits worden uitgevoerd door de brancheorganisatie van financiële hulpverleners (NVVK), de rechtbank en de accountant. Gedeeld worden gegevens met de rechtbank, in het kader van bewindvoering, en met de Stichting Kredietbank Nederland, in het kader van een schuldhulpverleningstraject. Geaggregeerde gegevens worden gedeeld met CBS voor statistische doeleinden.

26

Casus Handhaving (voor de volledige beschrijving zie bijlage 4) Gesproken is met verschillende functionarissen uit het team Toezicht en handhaving (zie bijlage 1.) De AVG heeft volgens de respondenten geen ingrijpende gevolgen gehad voor de werkwijzen bij toezicht en handhaving. Wel heeft de AVG gezorgd voor meer bewustwording bij de medewerkers bij het zorgvuldig omgaan met persoonsgegevens. De Wpg, de AVG voor de verwerking van politiegegevens, heeft sinds 2020 invloed. De verplichte audit bij de gemeente is nog niet verricht voor de gemeente Doetinchem. Net als bij het sociaal domein wordt het zaaksysteem Onegov gebruikt, zie het kader op de vorige pagina. Voor de meeste vergunningen worden applicaties van Centric gebruikt, op Squit XO na dat voor bouwvergunningen wordt gebruikt. Er wordt zo min mogelijk op basis van persoonsgegevens geregistreerd. De autorisaties voor toegang tot de applicaties en de gegevens gaat regulier aan de hand van profielen van medewerkers, zie §5.1.4. Van de aanvragen in het kader van de Horeca- en drankwet worden alleen locatiegegevens geregistreerd binnen een afgeschermd deel van Onegov. Bij de publicatie van de vergunningen worden alleen locatiegegevens gebruikt. Gegevens worden gedeeld met de politie, maar de politie is zelf terughoudend in delen van gegevens.

Via een speciaal beveiligde applicatie, CityControl, kunnen Boa's politiegegevens inzien. Boa's slaan er zelf geen persoonsgegevens in op. Met de GGD worden handhavingsrapporten op de kinderopvang grotendeels gepseudonimiseerd in een aparte digitale inspectieruimte gedeeld. Voorts worden gegevens beveiligd uitgewisseld via het omgevingsloket met de Omgevingsdienst Achterhoek (ODA) en de Veiligheidsregio Noord- en Oost-Gelderland. Voor het veilig uitwisselen van gegevens kan Zivver gebruikt worden, alleen geven respondenten aan niet allemaal de beschikking daarover te hebben. Aangegeven wordt dat nagedacht wordt om Zivver standaard in het mailprogramma op te nemen. Bij toezicht en handhaving zijn nog geen dataprotection assessments uitgevoerd. Wel zijn er vanuit het team gesprekken met de privacyofficer en informatieveiligheidscoördinator over op te pakken dpia's en met derden af te sluiten verwerkersovereenkomsten. In de teamoverleggen komen de onderwerpen wel aan bod. Een enkele medewerker vindt dat er meer en meer passende ondersteuning geboden kan worden bij het zorgvuldig omgaan met de eisen op het gebied van informatiebeveiliging en privacy.