RIB 14 - ENSIA 2021 Informatieveiligheid en Privacy

Aan de raadsleden

Dongen, 22 februari 2022

Uw kenmerk Zaaknummer Bijlage(n) Contactpersoon/tel.nr. Betreft

: : : : :

2022-002244 Veerle Ultee / 14 0162 Rapportage stand van zaken informatieveiligheid en privacy mede naar aanleiding van ENSIA 2021

Geachte heer, mevrouw,

Inleiding Het college van burgemeester en wethouders van de gemeente Dongen legt over 2021 verantwoording af over de stand van zaken op het gebied van informatiebeveiliging binnen de gemeentelijke organisatie. Dit gaat op basis van de Eenduidige Normatiek Single Information Audit (= ENSIA) systematiek. Privacy hangt samen met informatieveiligheid. Als informatie veilig is, wordt ook de privacy van de inwoners en medewerkers van de gemeente Dongen beter beschermd. In deze raadsinformatiebrief willen wij u informeren over de uitkomsten van de ENSIA en de stand van zaken op het gebied van privacy (Algemene Verordening Gegevensbescherming, de AVG). Dit is de Europese verordening die de privacy van inwoners en medewerkers van de gemeente Dongen beschermt. Resultaat en risico’s In onderstaande tabel ziet u dat gemeente Dongen in het algemeen goed scoort, op sommige onderdelen zelfs uitstekend. Daar zijn we natuurlijk blij mee, echter goede scores betekenen niet dat de gemeente Dongen onkwetsbaar of onfeilbaar is op het gebied van informatieveiligheid. 100% veilig bestaat niet. Er is altijd een risico op een datalek, hack, ransomware-aanval en andere incidenten. En we zijn steeds op zoek naar een goede afweging tussen het verder verlagen van dat risico aan de ene kant en investeringen en een prettige, efficiënte manier van werken aan de andere kant.

ENSIA ENSIA heeft tot doel het verantwoordingsproces over informatieveiligheid te professionaliseren door het toezicht te bundelen en aan te sluiten op de gemeentelijke planning & control-cyclus. Hierdoor heeft het gemeentebestuur meer overzicht over de stand van zaken van de informatieveiligheid en kan het hier ook beter op sturen. ENSIA neemt de Baseline Informatiebeveiliging Overheid (BIO) als uitgangspunt en maakt gebruik van een daarop ingerichte zelfevaluatie. Scope van de ENSIA verklaring De ENSIA verantwoording voor het jaar 2021 gaat over: • Implementatie van de Baseline Informatiebeveiliging Overheid (BIO) – zelfevaluatie; • Structuur Uitvoeringsorganisatie Werk en Inkomen (Suwinet) – externe audit; • Digitale Persoonsidentificatie (DigiD) – externe audit; • Basis Registratie Personen (BRP) – zelfevaluatie; • Paspoorten en Nederlandse identiteitskaarten (PNIK) – zelfevaluatie; • Basisregistratie Grootschalige Topografie (BGT) – zelfevaluatie; • Basisregistratie Adressen en Gebouwen (BAG) – zelfevaluatie; • Basisregistratie Ondergrond (BRO) – zelfevaluatie; • Basisregistratie Onroerende Zaken (WOZ) – zelfevaluatie in samenwerking met de BWB. Specifiek voor de onderdelen Suwinet en DigiD is een Assurance verklaring gevraagd van een onafhankelijke en geaccrediteerde IT auditor.

Deze IT auditor toetst volgens de landelijke normenkaders over de opzet en het bestaan van beheersmaatregelen. Dit laatste wordt door de verticale toezichthouders vereist. De overige onderdelen bestaan uit een zelfevaluatie: een door de betrokken medewerkers zelf ingevulde digitale vragenlijst. Onderstaande tabellen geven per (ENSIA) onderdeel een korte toelichting met bevindingen en de stand van zaken. Legenda:

☺





Onder controle

Voldoende

Onvoldoende

Het onderdeel is onder controle. Wellicht zijn er enkele verbeterpunten.

Het onderdeel is globaal op orde en onder controle. Er is een aantal verbeterpunten.

Het onderdeel is niet onder controle. Er zijn veel verbeterpunten, het is niet geborgd.

Verantwoording per onderdeel ENSIA Onderdeel

Bevindingen

Implementatie Baseline Informatiebeveiliging Overheid (BIO)

Over het geheel gezien is informatieveiligheid bij de gemeente Dongen voldoende geborgd. We scoren voldoende in plaats van goed op de BIO omdat we op de volgende onderdelen nog verbeterpunten hebben: -

Basis Registratie Personen (BRP)

Beveiliging van mobiele apparatuur Logische toegangsbeveiliging Logging Het maken van expliciete risicoafwegingen Beveiligingsaspecten in leverancierscontracten

Deze onderdelen nemen we op in het jaarplan informatiebeveiliging voor komend jaar. De zelfevaluatie BRP (organisatie van de beveiliging, toegangsbeveiliging en naleving) over het jaar 2021 is afgerond met een positieve score van 1130 van de 1200 punten (94%). Deze score is 5 procentpunten hoger dan over

Status



☺

2020. De actiepunten en aanbevelingen nemen we mee in de procesverbetering voor 2022. Reisdocumenten

De zelfevaluatie reisdocumenten (organisatie van de beveiliging, toegangsbeveiliging en naleving) over het jaar 2021 is afgerond met een positieve score van 1150 van de 1200 punten (95%). Deze score is 3 procentpunten hoger dan over 2020. De actiepunten en aanbevelingen nemen we mee in de procesverbetering voor 2022.

☺

Digitale DigiD wordt gebruikt om iemands identiteit mee te verifiëren Persoonsidentificat en wordt ingezet als authenticatiemiddel voor onze digitale ie (DigiD); formulieren. Het onderzoek van de externe IT auditor geeft aan dat de gemeente Dongen voldoet aan de wettelijk gestelde eisen en normen in het kader van informatieveiligheid rondom het gebruik en beheer van DigiD. Er zijn enkele kleine aanbevelingen meegegeven en we streven er naar om in 2022 minimaal hetzelfde niveau te halen. Basisregistratie Grootschalige Topografie (BGT);

De zelfevaluatie BGT over het jaar 2021 is afgerond met een maximale score (100%). Evenals in 2020.

Basisregistratie Adressen en Gebouwen (BAG);

De zelfevaluatie BAG over het jaar 2021 is afgerond met een score van 92%. Vorig jaar was dit nog 85%, een mooie verbetering dus.

Uit de rapportages blijkt dat de gemeente Dongen op alle onderdelen 100% scoort. Er is geen aanleiding tot het herzien van het huidige beleid en proces. Er zijn geen concrete verbeterpunten naar boven gekomen. We streven er naar om volgend jaar hetzelfde niveau te halen.

We scoren 100% op proces en organisatie, maar iets minder op gegevenskwaliteit. In 2022 proberen we het minimaal even goed, en liever nog, iets beter te doen. Basisregistratie Ondergrond (BRO);

☺

☺

☺

De zelfevaluatie BGT over het jaar 2021 is afgerond met een maximale score (100%). Evenals in 2020. Uit de rapportages blijkt dat de gemeente Dongen op alle onderdelen 100% scoort. Er is geen aanleiding tot het herzien van het huidige beleid en proces. Er zijn geen concrete verbeterpunten naar boven gekomen. We streven er naar om volgend jaar hetzelfde niveau te halen.

Basisregistratie De zelfevaluatie WOZ is nieuw in ENSIA 2021. De Onroerende Zaken belastingsamenwerking West-Brabant heeft de vragen voor (WOZ); ons ingevuld, omdat zij de zaken met betrekking tot de WOZ voor gemeente Dongen uitvoeren. Uit de zelfevaluatie komen twee aanbevelingen naar voren (instellen controles naleving BIO en gebruikmaken van beveiligd berichtenverkeer). Beide punten koppelen we terug aan de BWB. Ondanks deze verbeterpunten zijn we, ook omdat dit de eerste keer is dat we deze zelfevaluatie doen, toch tevreden.

☺



Gezamenlijke Elektronische Voorzieningen Structuur uitvoeringsorganisatie Werk en Inkomen (GeVS/Suwinet).

Suwinet wordt gebruikt voor het uitvoeren van de Participatiewet en voor het uitvoeren van adresonderzoeken (ter verbetering van de Basis Registratie Personen). Het onderzoek van de externe IT auditor geeft aan dat de gemeente Dongen voldoet aan de wettelijk gestelde eisen en normen in het kader van informatieveiligheid rondom het gebruik en beheer van Suwinet. In 2022 gaan we aan de slag met enkele door de externe auditor gegeven aanbevelingen (die er ondanks de 100% score altijd zijn) en streven we er naar om hetzelfde niveau te halen.

☺

Informatiebeveiliging (BIO) De BIO geeft ruimte aan organisaties om op basis van een eigen risico afweging keuzes te maken in het implementeren van beheers- en beveiligingsmaatregelen. Hierbij is een beperkt pakket aan generieke maatregelen voor iedere (overheids)organisatie verplicht blijven. Op technisch vlak werken we nauw samen met de gemeente Tilburg zowel in preventie als in crisis situaties. Op basis van de uitkomsten van de zelfevaluatie werken wij ook in 2022 weer verder aan het verbeteren van de informatieveiligheid. Dit doen we door de focus op bewustwording te houden. Daarnaast staan oefenen en andere preventieve acties boven aan de prioriteiten lijst. In samenwerking met Tilburg werken we ook aan enkele technische voorzieningen om bijvoorbeeld plaats- en tijdonafhankelijk werken veiliger te maken.

Privacy en AVG Informatieveiligheid en privacy zijn onderwerpen die sterk afhankelijk zijn van elkaar met als groot gezamenlijk speerpunt de bewustwording in onze organisatie. Privacy krijgt steeds meer aandacht. Door de verregaande digitalisering van de samenleving ontstaan er nieuwe uitdagingen. De Algemene Verordening Gegevensbescherming, die sinds 25 mei 2018 van kracht is, geeft de gemeente richtlijnen en verplichtingen met betrekking tot de bescherming van de persoonlijke levenssfeer van inwoners en medewerkers. Ook in 2021 heeft COVID-19 impact gehad op informatiebeveiliging en privacy. We merken dat niet direct terug in een verhoging van datalekken of beveiligingsincidenten. Toch is er wel veel veranderd doordat veel medewerkers lange tijd thuiswerken. Steeds meer werkzaamheden gaan digitaal en de Digitale Werkplak is ook voor alle ‘kantoorwerkers’ vanuit huis beschikbaar. Daarom is ook in 2021 veel aandacht gegeven aan veilig internetten, wachtwoord beveiliging en veilige manieren van videobellen. Medewerkers worden regelmatig via het intranet op de hoogte gehouden van recente ontwikkelingen op privacygebied. Zo delen we voorbeelden van phishingmails en pogingen om persoonlijke gegevens te achterhalen. Ook krijgen medewerkers de kans om kennis op te doen over hoe de AVG in de praktijk toegepast kan worden.

Daarbij ligt de nadruk op het menselijke aspect van de bescherming van persoonsgegevens. De meeste datalekken worden namelijk veroorzaakt door menselijk handelen en niet door hacking of beveiligingsincidenten. In 2021 zijn er 4 datalekmeldingen gedaan bij de Autoriteit Persoonsgegevens. Het betreft bijvoorbeeld verkeerd geadresseerde e-mails en brieven. In de gevallen dat dit vereist was, zijn de getroffen inwoners op de hoogte gebracht van het datalek. Er is 1 inzageverzoek op grond van de AVG binnen gekomen. Dit verzoek is afgehandeld conform de wettelijke vereisten. Ambities 2022

Het komende jaar moet zowel het informatieveiligheidsbeleid als het privacybeleid worden vernieuwd. Daarnaast richt onze energie zich onverminderd op het voorkomen van datalekken, het informatiebewuster en digitaal vaardiger maken van de organisatie en het nemen van preventieve (organisatorische en technische) maatregelen om de privacy informatieveiligheid van gemeente Dongen te borgen. Hiervoor werken we samen met regionale (gemeenten Tilburg en Waalwijk) en landelijke (Informatiebeveiligingsdienst) partners en leveranciers. Wij hopen u hiermee voldoende te hebben geïnformeerd. Met vriendelijke groet, Burgemeester en wethouders van Dongen, De secretaris,

De burgemeester,

Mr. H.L.M. van Noort

Drs. M.C. Starmans-Gelijns