RIB 21 - Bijl1- Bestuurlijke rapportage ENSIA 2022
Tekst van het document
Rapportage ENSIA voor de gemeenteraad
gemeente Dongen Leeswijzer
Deze rapportage is opgesteld op basis van de zelfevaluatie ENSIA 2022 en is als volgt opgebouwd: STATUS INFORMATIEBEVEILIGING (BIO) • Bestuurlijke uitgangspunten • Samenvatting van 5 hoofdstukken (consolidatie van de 18 BIO hoofdstukken) VERANTWOORDING AAN HET RIJK UIT ENSIA • Getoetste collegeverklaring ENSIA – DigiD • Getoetste collegeverklaring ENSIA – Suwinet • Status Basisregistratie Personen en Reisdocumenten • Status GEO basisregistraties (BAG, BGT, BRO) • Status Wet Onroerende Zaken (WOZ) De maatregelen zijn beknopt opgenomen. Voor de exacte strekking raadpleegt u ENSIA (zelfevaluatie BIO) of de BIO.
Met behulp van smiley’s en soms ook een score (percentage) is aangegeven hoe de gemeente er voor staat per onderdeel. Er zijn bestuurlijke uitgangspunten opgenomen in de overzichtspagina BIO. Deze kennen geen score.
Status informatiebeveiliging BIO - Samenvatting BESTUURLIJKE UITGANGSPUNTEN Bestuurlijke principes en beleid, organisatie van de beveiliging en naleving Het bestuur van deze gemeente: • Volgt het beleid van de IBD • Zorgt ervoor dat de juiste informatiebeveiliging door de gemeentelijke organisatie wordt uitgevoerd • Controleert de juiste werking van de informatiebeveiliging
100% veiligheid is een illusie. De zelfevaluatie laat zien dat de informatiebeveiliging bij de gemeente Dongen voldoende op orde is, maar dat er op onderdelen ook nog zeker ruimte is voor verbetering. We werken, samen met leveranciers en de gemeente Tilburg, continu om de veiligheid te vergroten. De zelfevaluatie geeft daarbij input op ons jaarlijkse informatieveiligheidsplan waarin we acties benoemen, prioriteren en plannen. 1. BELEID EN ORGANISATIE Actueel beleid en organisatie van informatiebeveiliging en controle op naleving 2. PERSONEEL EN TOEGANG Juiste toegang voor medewerkers tot gebouwen, systemen en gegevens 3. CONTINUÏTEIT EN INCIDENTEN Zorgen voor de continuïteit van onze dienstverlening en opvolging van incidenten 4. INFORMATIESYSTEMEN Veilige omgang met informatiesystemen en afspraken hierover met onze leveranciers 5. DATABESCHERMING Veilige omgang met data in onze software
1. BELEID EN ORGANISATIE
Status: voldoende
Actueel beleid en organisatie van informatiebeveiliging en controle op naleving • Bestuur, directie en management laten zien dat informatiebeveiliging belangrijk is • De informatiebeveiligingsorganisatie is geregeld • Waar, wanneer en hoe: altijd werken wij veilig • Wij houden ons aan onze afspraken en leven de wet- en regelgeving na
<geef kleur>
Onderdelen:
onvoldoend e
voldoende
goed
H5 - Informatiebeveiligingsbeleid H6 - Organiseren van informatiebeveiliging H18 - Naleving Toelichting: Voor de geconstateerde tekortkomingen in hoofdstukken 6 en 18 stellen we een verbeterplan op. Zo werken we, onder meer samen met de gemeente Tilburg, aan het verder verbeteren van de informatiebeveiliging. Waar we naar streven: Het bestuur en medewerkers zijn actief betrokken bij informatiebeveiliging. Er is een organisatiebreed beleid dat richting en sturing geeft. De organisatie is effectief ingericht, waarbij rollen, taken en bevoegdheden zijn ondergebracht. Verantwoording is structureel ingericht, zodat naleving is geborgd.
Status: voldoende
2. PERSONEEL EN TOEGANG Juiste toegang voor medewerkers tot gebouwen, systemen en gegevens
Onderdelen:
onvoldoend e
voldoende
In control
H7 - Veilig personeel H9 - Toegangsbeveiliging H11 - Fysieke beveiliging en beveiliging van de omgeving Toelichting: Voor de geconstateerde tekortkomingen in hoofdstuk 9 stellen we een verbeterplan op. Zo werken we, onder meer samen met de gemeente Tilburg, aan het verder verbeteren van de informatiebeveiliging. Waar we naar streven: Alleen de juiste personen hebben toegang tot de gebouwen, systemen en gegevens van de gemeente. Er zijn passende organisatorische en technische maatregelen getroffen. Dit gaat om waarborgen rondom in- en externe medewerkers, toegang tot gebouwen en omgeving en toegang tot de (digitale) informatievoorziening.
Status: in control
3. CONTINUÏTEIT EN INCIDENTEN Zorgen voor de continuïteit van onze dienstverlening en het opvolgen van incidenten
Onderdelen:
onvoldoend e
voldoende
In control
H16 - Beheer van beveiligingsincidenten H17 - Bedrijfscontinuïteitsbeheer & informatiebeveiliging Toelichting: Op deze onderdelen zijn we als organisatie in control. Uiteraard is verdere optimalisatie altijd mogelijk, maar hier gaat de komende tijd onze prioriteit niet naar uit. Waar we naar streven: De diensten van de gemeente worden geleverd volgens de afspraken die de gemeente daarover maakt met de burger en bedrijven. Ook bij incidenten worden de diensten geleverd volgens deze afspraken.
Status: voldoende
4. INFORMATIESYSTEMEN Veilige omgang met informatiesystemen en afspraken hierover maken met onze leveranciers
Onderdelen:
onvoldoend e
voldoende
In control
H12 - Beveiliging van de bedrijfsvoering H14 - Acquisitie, ontwikkeling en onderhoud van informatie systemen H16 - Leveranciersrelaties Toelichting Voor de geconstateerde tekortkomingen in hoofdstukken 12, 14 en 16 stellen we een verbeterplan op. Zo werken we, onder meer samen met de gemeente Tilburg, aan het verder verbeteren van de informatiebeveiliging. Waar we naar streven: Informatiesystemen zijn een keten van mensen, processen en middelen. Hierin zijn procedures en maatregelen beschikbaar ter bescherming van de omgeving. Het gaat hierbij om zowel de interne als de externe informatiesystemen (uitbesteding, leveranciers en cloud-toepassingen).
Status: voldoende
5. DATABESCHERMING Veilige omgang met data in onze software
Onderdelen:
onvoldoend e
voldoende
in control
H8 - Beheer van bedrijfsmiddelen H10 - Cryptografie H13 - Communicatiebeveiliging Toelichting Voor de geconstateerde tekortkomingen in hoofdstukken 8, 10 en 13 stellen we een verbeterplan op. Zo werken we, onder meer samen met de gemeente Tilburg, aan het verder verbeteren van de informatiebeveiliging. Waar we naar streven: Data wordt op de juiste manier beschermd. De gegevens van de burgers worden veilig opgeslagen en gecommuniceerd. Binnen en buiten de gemeente.
Getoetste collegeverklaring ENSIA - DIGID ENSIA - DigiD Getoetste Collegeverklaring
Status: voldoet
Van onze ENSIA-zelfevaluatie worden jaarlijks twee onderdelen geaudit door een IT-auditor: DigiD en Suwinet. De basis voor de audit vormt de collegeverklaring. Hierin zijn de uitkomsten van de ENSIA-zelfevaluatie opgenomen. Er wordt getoetst op opzet en bestaan (niet op werking). Voor DigiD worden de collegeverklaring en bijlagen als verantwoording verzonden naar toezichthouder Logius/BZK. DigiD: DigiD is een authenticatiemiddel dat wordt ingezet voor onze digitale dienstverlening. Hiermee ontsluiten we digitale formulieren op de website. Niet voldaan
voldaan
Aansluiting:
Toelichting:
Digitaal loket (1003437)
Loket.dongen.nl (inmiddels uit de lucht omdat we begin 2023 overgestapt zijn op een ander zaaksysteem).
Algemene toelichting: Uit het assurancerapport van de externe auditor blijkt dat we op alle getoetste onderdelen voldoen. Ook het oordeel van de TPM-verklaring van de SaaS-leverancier luidt ‘voldoet’ op alle door hen getoetste onderdelen. Tot slot is ook onze zelf-evaluatie positief. Ook faseren we begin 2023 deze DigiD aansluiting uit vanwege de overstap op een andere leverancier voor digitale formulieren. Er zijn derhalve geen verbeterpunten of verbeteracties.
Getoetste collegeverklaring ENSIA - Suwinet ENSIA - DigiD Getoetste Collegeverklaring
Status: voldoet
Van onze ENSIA-zelfevaluatie worden jaarlijks twee onderdelen geaudit door een IT-auditor: DigiD en Suwinet. De basis voor de audit vormt de collegeverklaring. Hierin zijn de uitkomsten van de ENSIA-zelfevaluatie opgenomen. Er wordt getoetst op opzet en bestaan (niet op werking). Voor Suwinet worden de collegeverklaring en bijlagen als verantwoording verzonden naar toezichthouder BKWI/SZW. SUWI (Wet Structuur Uitvoeringsorganisatie Werk en Inkomen): Suwinet is een digitale infrastructuur die is ontwikkeld door de Suwi-partijen (UWV, SVB en gemeenten) om ervoor te zorgen dat zij gegevens met elkaar kunnen uitwisselen voor de uitoefening van hun wettelijke taak. Er worden alleen gegevens uitgewisseld waar een wettelijke grondslag voor is. Wij gebruiken Suwinet voor de uitvoering van de Participatiewet, de uitvoering van de IOAZ en IOAW, raadplegen van adresgegevens bij Burgerzaken en het raadplegen van gegevens door gemeentelijk gerechtsdeurwaarders wanneer er een getekend dwangbevel is. Niet voldaan
Gebruik van Suwinet voor SUWI-taken - Participatiewet (Pw) - Inkomensvoorziening voor Oudere en gedeeltelijk Arbeidsongeschikte Werknemers (IOAW) - Wet inkomensvoorziening oudere en gedeeltelijk arbeidsongeschikte gewezen zelfstandigen (IOAZ)
voldaan
De gemeente Dongen voldoet volgens het oordeel van de externe auditor aan alle alle interne beheersmaatregelen inzake Suwinet in opzet en bestaan aan de geselecteerde controls. Voor zowel de SUWI-taken als de niet-SUWI-taken.
Gebruik van Suwinet voor niet-SUWI-taken - Adresonderzoek door Burgerzaken Algemene toelichting: Uit het assurancerapport van de externe auditor blijkt dat we op alle getoetste onderdelen voldoen. Ook het oordeel van onze zelf-evaluatie positief. Er zijn derhalve geen verbeterpunten of verbeteracties.
Status Basisregistratie Personen en Reisdocumenten Getoetste Collegeverklaring ENSIA - DigiD
Status: verbetering mogelijk
Van onze zelfevaluatie ENSIA wordt de verantwoording over de Basisregistratie Personen (BRP) en de wet- en regelgeving voor de Reisdocumenten (paspoorten en ID-kaarten) afgeleid. De uitkomsten worden verzonden aan de Rijksdienst voor de Identiteitsgegevens (RvIG). De zelfevaluatie voor informatiebeveiliging vindt via de ENSIA systematiek plaats. De verantwoording over de kwaliteit van de registraties komt voort uit de zelfevaluatie in de Kwaliteitsmonitor. De zelfevaluaties over informatiebeveiliging en de kwaliteit leiden tot scores. Gemeenten worden binnen ENSIA geacht de volgende score te behalen voor: • BRP 1200 punten = 100% • Reisdocumenten 1200 punten = 100%
94% - 95%
Basisregistratie Personen (BRP) De zelfevaluatie BRP over het jaar 2022 is afgerond met een score van 94%. Wet- en regelgeving voor Reisdocumenten De zelfevaluatie Reisdocumenten over het jaar 2022 is afgerond met een score van 95%. Algemene toelichting: De verbeterpunten voor de BRP en de reisdocumenten bevinden zich op het terrein van de naleving. Verbeterpunten die we in 2023 oppakken om de score op te krikken naar 100% zijn: het schrijven van een op de BRP en reisdocumenten toegespitst informatiebeveiligingsplan en het beoordelen van de prestaties van de leverancier.
Status GEO-basisregistraties Getoetste Collegeverklaring ENSIA - DigiD
Status: voldoet
Wij verantwoorden ons aan het ministerie van BZK/Directoraat Generaal Bestuur, Ruimte en Wonen (DGBRW) over drie basisregistraties in het geografische domein. De rapportages zijn tot stand gekomen op basis van door ons uitgevoerde zelfevaluaties. De zelfevaluaties betreffen de kwaliteit van de registraties (geen informatiebeveiliging). De zelfevaluaties over informatiebeveiliging en de kwaliteit leiden tot scores. Gemeenten worden geacht minimaal de volgende score te behalen voor: • Basisregistratie Adressen en Gebouwen (BAG) 75% • Basisregistratie Grootschalige Topografie (BGT) 75% • Basisregistratie Ondergrond (BRO) 60%
96% 100%
Basisregistratie Adressen en Gebouwen (BAG) De zelfevaluatie BAG over het jaar 2022 is afgerond met een score van 96% Basisregistratie Grootschalige Topografie (BGT) De zelfevaluatie BGT over het jaar 2022 is afgerond met een score van 100% Basisregistratie Ondergrond (BRO) De zelfevaluatie BGT over het jaar 2022 is afgerond met een score van 100% Algemene toelichting: Net als voorgaande jaren scoren we zeer ruime voldoende voor de BAG en de maximale score voor de BGT en de BRO. Voor de BAG hebben we bovendien een stijgende lijn te pakken (85% in 2020, 92% in 2021 en nu 96%).
Status: voldoet
Status Basisregistratie WOZ Wij verantwoorden ons aan de toezichthouder Waarderingskamer over de uitvoering van de Wet WOZ. Deze rapportage is tot stand gekomen op basis van de zelfevaluatie over informatiebeveiliging en informatie-architectuur van de WOZ-uitvoering zoals die door de Belastingsamenwerking West-Brabant (BWB) is ingevuld. Zij verzorgen voor onze gemeente de WOZ-uitvoering. Zelfevaluaties over andere aspecten van de WOZ-uitvoering rapporteert deze organisatie direct aan de Waarderingskamer. Aan systemen voor de WOZ-uitvoering worden steeds hogere eisen gesteld. Dit komt enerzijds doordat de werkprocessen voor bijhouding van de informatie in grote mate worden geïntegreerd met andere GEO-basisregistraties en de automatiseringssystemen voor de WOZ-uitvoering in toenemende mate gebruik maken van elders bijgehouden gegevens en anderzijds de WOZ-gegevens uitsluitend gebruikt mogen worden door geautoriseerde processen en medewerkers.
Onderdelen: Informatiebeveiliging
onvoldoend e
voldoende
goed
informatie-architectuur Bevindingen en verbeteracties: Ten opzichte van 2021 is er een flinke verbetering doorgevoerd t.a.v. het uitvoeren van de BIO-controles. Die werden voorheen niet uitgevoerd, en nu wel. De BIO is volledig geïmplementeerd binnen de WOZ en er worden controles uitgevoerd op naleving. En er wordt nu wel gebruik gemaakt van de gewenste koppelvlakken (API's en/of xml-berichtenverkeer) voor de communicatie tussen de diverse applicaties voor de WOZ-uitvoering. Generiek is informatiebeveiliging naar een hoger niveau getild door het aanstellen van een CISO. Hiermee is ook de informatiebeveiliging in het kader van de WOZ-uitvoering verder vorm gegeven. Aanbevelingen aan het college/bestuur: Het aansluiten van de ontwikkelingen op het gebied van Common Ground blijft een aandachtspunt. De BWB heeft in samenspraak met de ICT-leverancier voor de WOZ-uitvoering een meerjarenplan voor de ICT-ontwikkelingen waarin de BRK-levering is opgenomen. V.w.b. SOR en Common Ground volgen zij de landelijke ontwikkelingen.