Bijlage 3 - Nota van bevindingen Informatiebeveiliging en privacy - januari 2023.pdf

53

Bijlage 5. Onderzoeksvragen en normen De onderstaande normen zijn grotendeels overgenomen uit het offerteverzoek van de Rekenkamercommissie Doetinchem. De normen zijn opgesteld vanuit de uitgangspunten van de BIO en AVG. Mogelijk kunnen de gemeentelijke beleidsplannen aanvullende normen opleveren, waaraan de uitvoering van het informatiebeveiligings- en privacybeleid getoetst wordt. Onderzoeksvragen

Normen

1. Beschikt de gemeente Doetinchem over een adequaat informatiebeveiligingsbeleid?

- Het college stelt het integrale beleid ten aanzien van informatiebeveiliging en privacy vast. - Er vindt sturing plaats op basis van de BIO. - Het informatiebeveiligingsbeleid is opgesteld aan de hand van een GAP-analyse. Jaarlijks wordt op basis van een risicoanalyse het informatiebeveiligingsplan ingevuld. De gemeente neemt maatregelen om risico’s te verlagen. - Op onderdelen van informatiebeveiliging en privacy is beleid geformuleerd en zijn richtlijnen opgesteld, zoals gebruik van wachtwoorden, 2 factor authenticatie, mobiele datadragers, autorisaties en monitoring, protocol datalekken, wijzigingsbeleid enz. - De Chief Information Security Officer is gepositioneerd en geëquipeerd om diens taak adequaat uit te voeren. - Gegevens zijn goed beschermd tegen ongewenste invloeden van buitenaf. - De gemeente werkt volgens/in overeenstemming met de regels van de AVG. - Het bestuur en medewerkers dragen het beleid ten aanzien van privacy actief uit. - Medewerkers krijgen cursussen, trainingen en dergelijke hoe zij moeten werken volgens/in overeenstemming met AVG. - De gemeente heeft in beeld met welke partners (bijzondere) persoonsgegevens worden gedeeld met behulp van het verwerkingsregister.

- De gemeente maakt met partners en leveranciers afspraken over het veilig uitwisselen en verwerken van persoonsgegevens en de daarvoor te nemen maatregelen, bij voorkeur op basis van 'privacy by design'. - Partners en leveranciers rapporteren jaarlijks over het verwerken van persoonsgegevens. - De Functionaris Gegevensbescherming is gepositioneerd en geëquipeerd om diens taak adequaat uit te voeren. - Het bestuur en medewerkers dragen het beleid ten aanzien van informatiebeveiliging actief uit. - De gemeente heeft procedures om te leren van beveiligingsmeldingen met als doel beheersmaatregelen te verbeteren. - Medewerkers weten wat ze wel en niet mogen/moeten doen met gegevens en herkennen incidenten en rapporteren deze ook daadwerkelijk. - Het ISMS, indien aanwezig, is gekoppeld aan de PDCA-cyclus. - Over het functioneren van informatiebeveiliging wordt gerapporteerd aan het management, bij voorkeur op basis van een ISMS (Information Security Management System). - Op de systemen is logging geïnstalleerd en er is capaciteit aanwezig om deze te monitoren.

2. Beschikt de gemeente Doetinchem over een beleid voor het gebruik van belangrijke en gevoelige (privacy)informatie?

3. Hoe wordt dat beleid uitgevoerd en wordt het gemonitord?

54

4. Hoe is de informatievoorziening aan de gemeenteraad? 5. Wat zijn de eventuele toekomstige opgaven?

- Er is een procedure vastgesteld voor de wijze waarop informatiebeveiligingsgebeurtenissen en zwakke plekken in de beveiliging worden beheerd en gerapporteerd. - Over het functioneren van informatiebeveiliging wordt gerapporteerd aan de raad, in ieder geval jaarlijks in het kader van ENSIA. - Op basis van de GAP- en risicoanalyse is in beeld welke uitdagingen de gemeente heeft. - De gemeente is zich bewust van de risico's die gepaard gaan met een verdergaande digitale transformatie, zoals met het Internet of Things, kunstmatige intelligentie, big data en machine learning.

55

Bijlage 6. Richtlijnen/procedures Informatiebeveiliging en privacy

Bron: IBD.

56

Bijlage 7. Volwassenheidsniveau NOREA

57