RIB 21 - ENSIA 2020 Informatieveiligheid en Privacy

Aan de raadsleden

Dongen, 18 maart 2021

Uw kenmerk Zaaknummer Bijlage(n) Contactpersoon/tel.nr. Betreft

: : : : :

2021-000882 Julian Wassink & Veerle Ultee / 14 0162 ENSIA 2020 B&W voorstel en RIB

Geachte heer, mevrouw,

Inleiding Het college van burgemeester en wethouders van de gemeente Dongen legt over 2020 verantwoording af over de stand van zaken op het gebied van informatiebeveiliging binnen de gemeentelijke organisatie. Dit gaat op basis van de Eenduidige Normatiek Single Information Audit (= ENSIA) systematiek. Privacy hangt samen met informatieveiligheid. Als informatie veilig is, wordt ook de privacy van de inwoners en medewerkers van de gemeente Dongen beter beschermd. In deze raadsinformatiebrief willen wij u informeren over de uitkomsten van de ENSIA en de voortgang van de implementatie van de Algemene Verordening Gegevensbescherming (AVG). Dit is de Europese verordening die de privacy van inwoners en medewerkers van de gemeente Dongen beschermt. ENSIA ENSIA heeft tot doel het verantwoordingsproces over informatieveiligheid te professionaliseren door het toezicht te bundelen en aan te sluiten op de gemeentelijke planning & control-cyclus. Hierdoor heeft het gemeentebestuur meer overzicht over de stand van zaken van de informatieveiligheid en kan het hier ook beter op sturen. ENSIA neemt de Baseline Informatiebeveiliging Overheid (BIO) als uitgangspunt en maakt gebruik van een daarop ingerichte zelfevaluatie.

Scope van de ENSIA verklaring De ENSIA verantwoording voor het jaar 2020 gaat over: • Implementatie van de Baseline Informatiebeveiliging Overheid (BIO); • Structuur Uitvoeringsorganisatie Werk en Inkomen (Suwinet); • Basis Registratie Personen (BRP); • Paspoorten en Nederlandse identiteitskaarten (PNIK); • Basisregistratie Grootschalige Topografie (BGT); • Basisregistratie Adressen en Gebouwen (BAG); • Basisregistratie Ondergrond (BRO); Specifiek voor het onderdeel Suwinet is een Assurance verklaring gevraagd van een onafhankelijke en geaccrediteerde IT auditor. Deze IT auditor toetst volgens de landelijke normenkaders over de opzet en het bestaan van beheersmaatregelen. Dit laatste wordt door de verticale toezichthouders vereist. De overige onderdelen bestaan uit een zelfevaluatie: een door de betrokken medewerkers zelf ingevulde digitale vragenlijst. Onderstaande tabellen geven per (ENSIA) onderdeel een korte toelichting met bevindingen en de stand van zaken. Legenda:

☺





Onder controle

Voldoende

Onvoldoende

Het onderdeel is onder controle. Wellicht zijn er minimale verbeterpunten.

Het onderdeel is globaal op orde (net) onder controle. Er is een aantal verbeterpunten.

Het onderdeel is niet onder controle. Er zijn veel verbeterpunten, het is niet geborgd.

Verantwoording per onderdeel ENSIA Domein Onderdeel

Bevindingen

Implementatie Baseline Informatiebeveiliging Overheid (BIO)

Over het geheel gezien is informatieveiligheid bij de gemeente Dongen voldoende geborgd. In 2020 is de Baseline Informatieveiligheid Gemeenten vervangen door de BIO. De BIO geeft meer ruimte aan organisaties om op basis van een eigen risico afweging keuzes te maken in het implementeren van beheers- en beveiligingsmaatregelen. Hierbij zal een klein pakket aan generieke maatregelen voor iedere (overheids)organisatie verplicht blijven. Op basis van de uitkomsten van de zeflevaluatie werken wij ook in 2021 weer verder aan het verbeteren van de informatieveiligheid.

Status

☺

Informatieveiligheid en privacy zijn onderwerpen die sterk afhankelijk zijn van elkaar met als groot gezamenlijk speerpunt de bewustwording in onze organisatie. Basis Registratie Personen (BRP)

De zelfevaluatie BRP (organisatie van de beveiliging, toegangsbeveiliging en naleving) over het jaar 2020 is afgerond met een positieve score van 1065 van de 1200 punten (89%). De actiepunten en aanbevelingen nemen we mee in de procesverbetering voor 2021.

☺

Reisdocumenten

De zelfevaluatie reisdocumenten (organisatie van de beveiliging, toegangsbeveiliging en naleving) over het jaar 2020 is afgerond met een positieve score van 595 van de 650 punten (92%). De actiepunten en aanbevelingen nemen we mee in de procesverbetering voor 2021.

☺

Digitale In 2020 stapte de gemeente Dongen over naar een andere Persoonsidentificat applicatie voor digitale formulieren. Hierbij hoort ook een ie (DigiD); nieuwe DigiD aansluiting. Deze aansluiting is, buiten Ensia om, conform de eisen van Logius, door een externe partij geaudit en goedgekeurd. Twee audits in 1 jaar is niet nodig, daarom is er in het kader van Ensia die jaar geen DigiD audit gedaan. Basisregistratie Grootschalige Topografie (BGT);

De zelfevaluatie BGT over het jaar 2020 is afgerond met een score van 150 van maximaal 150 (100%).

Basisregistratie Adressen en Gebouwen (BAG);

De zelfevaluatie BAG over het jaar 2020 is afgerond met een score van 175 van maximaal 205 (85%).

Basisregistratie Ondergrond (BRO);

De zelfevaluatie BRO over het jaar 2020 is afgerond met een score van 120 van maximaal 120 (100%).

Gezamenlijke Elektronische Voorzieningen Structuur uitvoeringsorganisatie Werk en Inkomen (GeVS/Suwinet).

Uit de rapportages blijkt dat de gemeente Dongen op alle onderdelen 100% scoort. Er is geen aanleiding tot het herzien van het huidige beleid en proces. Er zijn geen concrete verbeterpunten naar boven gekomen. We streven er naar om volgend jaar hetzelfde niveau te halen.

We scoren 100% op volledigheid en juistheid, maar iets minder op proces borging en actualiteit. In 2021 werken we aan de actiepunten op deze onderdelen.

Uit de rapportages blijkt dat de gemeente Dongen op alle onderdelen 100% scoort. Er is geen aanleiding tot het herzien van het huidige beleid en proces. Er zijn geen concrete verbeterpunten naar boven gekomen. We streven er naar om volgend jaar hetzelfde niveau te halen.

▐▐

☺

☺ ☺

Suwinet wordt gebruikt voor het uitvoeren van de Participatiewet en voor het uitvoeren van adresonderzoeken (ter verbetering van de Basis Registratie Personen). Het onderzoek van de externe IT auditor geeft aan dat de gemeente Dongen voldoet aan de wettelijk gestelde eisen en normen in het kader van informatieveiligheid rondom het gebruik en beheer van Suwinet. In 2021 gaan we aan de slag met de door de externe auditor gegeven aanbevelingen (die er ondanks de 100% score altijd zijn) en streven we er naar om hetzelfde niveau te halen.

☺

Privacy en AVG Privacy krijgt steeds meer aandacht. Door de verregaande digitalisering van de samenleving ontstaan er nieuwe uitdagingen. De Algemene Verordening Gegevensbescherming, die sinds 25 mei 2018 van kracht is, geeft de gemeente richtlijnen en verplichtingen met betrekking tot de bescherming van de persoonlijke levenssfeer van inwoners en medewerkers. Het jaar 2020 kenmerkt zich door COVID-19. Dat heeft ook impact gehad op informatiebeveiliging en privacy. We merken dat niet direct terug in een verhoging van datalekken of beveiligingsincidenten. Toch is er wel veel veranderd doordat veel medewerkers maanden lang thuis hebben gewerkt. Steeds meer werkzaamheden gaan digitaal en de Digitale Werkplak is ook voor meer medewerkers vanuit huis beschikbaar. Daarom is aan het begin van de eerste lockdown meer aandacht gegeven aan veilig internetten, wachtwoord beveiliging en veilige manieren van videobellen. Medewerkers worden regelmatig via het intranet op de hoogte gehouden van recente ontwikkelingen op privacygebied. Zo delen we voorbeelden van phishingmails en pogingen om persoonlijke gegevens te achterhalen. Ook krijgen medewerkers de kans om kennis op te doen over hoe de AVG in de

praktijk toegepast kan worden. Daarbij ligt de nadruk op het menselijke aspect van de bescherming van persoonsgegevens. De meeste datalekken worden namelijk veroorzaakt door menselijk handelen en niet door hacking of beveiligingsincidenten. In 2020 zijn er 2 datalekmeldingen gedaan bij de Autoriteit Persoonsgegevens. Het betreft bijvoorbeeld verkeerd geadresseerde e-mails en brieven. In de gevallen dat dit vereist was, zijn de getroffen inwoners op de hoogte gebracht van het datalek. Er worden ook meldingen gedaan van mogelijke datalekken, maar achteraf blijkt dan dat er geen gegevens zijn gelekt. Het totaal aantal interne meldingen stond op 9. Er zijn 4 inzageverzoeken op grond van de AVG binnen gekomen. Het gaat om inwoners die graag willen weten of hun gegevens op de juiste manier worden verwerkt, omdat zij daar graag controle over hebben. Deze verzoeken zijn afgehandeld conform de wettelijke vereisten. Ambities 2021 Het komende jaar zal gericht zijn op het voorkomen van datalekken en het verankeren van opgestelde beleid in de praktijk van alle dag. In het jaarplan voor 2021 staan onder andere audits bij leveranciers gepland en zullen we ook kritisch kijken naar autorisaties van systemen. Tenslotte zullen we dit jaar extra aandacht geven aan het handhaven van archieftermijnen. Wij hopen u hiermee voldoende te hebben geïnformeerd.

Met vriendelijke groet, Burgemeester en wethouders van Dongen, De secretaris,

De burgemeester,

Mr. H.L.M. van Noort

Drs. M.C. Starmans-Gelijns