RIB 21 - ENSIA 2022 Informatieveiligheid en Privacy

Aan de raadsleden

Dongen, maart 2023

Uw kenmerk Zaaknummer Bijlage(n) Contactpersoon/tel.nr. Betreft

: : : : :

Raadsinformatiebrief nr. 21 Bestuurlijke rapportage ENSIA 2022.pptx Veerle Ultee / 14 0162 Rapportage stand van zaken informatieveiligheid en privacy mede naar aanleiding van ENSIA 2022

Geachte raadsleden, Inleiding Het college van burgemeester en wethouders van de gemeente Dongen legt over 2022 verantwoording af over de stand van zaken op het gebied van informatiebeveiliging binnen de gemeentelijke organisatie. Dit gaat op basis van de Eenduidige Normatiek Single Information Audit (= ENSIA) systematiek. Privacy hangt samen met informatieveiligheid. Als informatie veilig is, wordt ook de privacy van de inwoners en medewerkers van de gemeente Dongen beter beschermd. In deze raadsinformatiebrief informeren wij u over de uitkomsten van de ENSIA en de stand van zaken op het gebied van privacy (Algemene Verordening Gegevensbescherming, de AVG). Dit is de Europese verordening die de privacy van inwoners en medewerkers van de gemeente Dongen beschermt. Rekenkamer-onderzoek Eind 2022/begin 2023 heeft de rekenkamercommissie (RMB) onderzoek gedaan naar de informatiebeveiliging van gemeente Dongen. Het onderzoek van de RMB bestaat uit een organisatorisch onderzoek (BIO normering die ook binnen ENSIA gehanteerd wordt) en een technisch onderzoek (pentest). De CISO heeft actief meegewerkt aan het onderzoek van de RMB. Het rapport van de RMB aan de raad volgt later dit jaar, nadat ambtelijk wederhoor met de gemeentesecretaris en bestuurlijk wederhoor met het college hebben plaatsgevonden.

ENSIA ENSIA heeft tot doel het verantwoordingsproces over informatieveiligheid te professionaliseren door het toezicht te bundelen en aan te sluiten op de gemeentelijke planning & control-cyclus. Hierdoor heeft het gemeentebestuur meer overzicht over de stand van zaken van de informatieveiligheid en kan het hier ook beter op sturen. ENSIA neemt de Baseline Informatiebeveiliging Overheid (BIO) als uitgangspunt en maakt gebruik van een daarop ingerichte zelfevaluatie. Scope van de ENSIA verklaring De ENSIA verantwoording voor het jaar 2022 gaat over: • Implementatie van de Baseline Informatiebeveiliging Overheid (BIO) – zelfevaluatie; • Structuur Uitvoeringsorganisatie Werk en Inkomen (Suwinet) – externe audit; • Digitale Persoonsidentificatie (DigiD) – externe audit; • Basis Registratie Personen (BRP) – zelfevaluatie;

• • • • •

Paspoorten en Nederlandse identiteitskaarten (PNIK) – zelfevaluatie; Basisregistratie Grootschalige Topografie (BGT) – zelfevaluatie; Basisregistratie Adressen en Gebouwen (BAG) – zelfevaluatie; Basisregistratie Ondergrond (BRO) – zelfevaluatie; Basisregistratie Onroerende Zaken (WOZ) – zelfevaluatie in samenwerking met de BWB.

Specifiek voor de onderdelen Suwinet en DigiD is een Assurance verklaring gevraagd van een onafhankelijke en geaccrediteerde ITauditor. Deze IT auditor toetst volgens de landelijke normenkaders over de opzet en het bestaan van beheersmaatregelen. Dit laatste wordt door de verticale toezichthouders vereist. De overige onderdelen bestaan uit een zelfevaluatie: een door de betrokken medewerkers zelf ingevulde digitale vragenlijst. Voor de meeste onderdelen leggen we ook verantwoording af aan landelijke toezichthouders.

Bijgaande presentatie geeft u op alle onderdelen inzicht in de stand van zaken. Een samenvatting: Onderdeel BIO

Stand van zaken

Suwinet DigiD BRP PNIK

Legenda: Het onderdeel is op orde, in control. Wellicht zijn er enkele verbeterpunten. Het onderdeel krijgt een voldoende. Er zijn meerdere verbeterpunten.

BGT BAG BRO

Het onderdeel is niet in control. Er zijn veel verbeterpunten, bijsturing is nodig.

WOZ Privacy en AVG Privacy krijgt steeds meer aandacht. Door de verregaande digitalisering van de samenleving ontstaan er nieuwe uitdagingen. De Algemene Verordening Gegevensbescherming (AVG), die sinds 25 mei 2018 van kracht is, geeft de gemeente richtlijnen en verplichtingen met betrekking tot de bescherming van de persoonlijke levenssfeer van inwoners en medewerkers. Sinds de COVID-19 pandemie werken meer medewerkers thuis. Steeds meer werkzaamheden gaan digitaal en de Digitale Werkplak is ook voor alle ‘kantoorwerkers’ vanuit huis beschikbaar. Daarom is ook in 2022 veel aandacht gegeven aan veilig internetten, wachtwoord beveiliging en veilige manieren van videobellen. En zijn we gestart met de voorbereidingen van een groot project om gegevens op telefoons, tablets en laptops beter te beveiligen. Multi-factor-authenticatie is hierbij de norm. Medewerkers worden regelmatig via het intranet op de hoogte gehouden van recente ontwikkelingen op privacygebied. Zo delen we voorbeelden van phishingmails en pogingen om persoonlijke gegevens te achterhalen. Ook krijgen medewerkers de kans om kennis op te doen over hoe de AVG in de praktijk toegepast kan worden. Daarbij ligt de nadruk op het menselijke aspect van de bescherming van persoonsgegevens. De meeste datalekken worden namelijk veroorzaakt door menselijk handelen en niet door hacking of beveiligingsincidenten.

In 2022 zijn er 8 datalekken geregistreerd, waarvan er 2 gemeld zijn bij de Autoriteit Persoonsgegevens. De overige 6 hebben we beoordeeld en intern afgehandeld.

Ambities 2023 Het komende jaar vernieuwen we zowel het informatieveiligheidsbeleid als het privacybeleid. Daarnaast richt onze energie zich onverminderd op het voorkomen van datalekken, het informatiebewuster en digitaal vaardiger maken van de organisatie en het nemen van preventieve (organisatorische en technische) maatregelen om de privacy informatieveiligheid van gemeente Dongen te borgen. De implementatie van Microsoft Intune en Microsoft365 spelen hierin een belangrijke rol. Op het gebied van informatieveiligheid en privacy blijven we samenwerken met regionale (gemeenten Tilburg en Waalwijk) en landelijke (Informatiebeveiligingsdienst) partners en leveranciers. Wij hopen u hiermee voldoende te hebben geïnformeerd. Met vriendelijke groet, Burgemeester en wethouders van Dongen, De secretaris,

De burgemeester,

Mr. H.L.M. van Noort

Drs. M.C. Starmans-Gelijns