20230215 - Beantwoording technische vragen ERMIS - SSC DeSom

Technische vragen aan burgemeester en wethouders Fractie

SP

Opsteller

Baris Ermis

Commissie

Sociaal Domein, Financiën, Bedrijfsvoering

Onderwerp

SSC DeSom

Agendapunt

Zienswijzen kadernota’s 2024 GR-en, SSC DeSom

Datum aanvraag

14-2-2023

Inleiding: Licht hier uw vraag toe of leg uit waarom u deze vraag stelt.

Vragen: 1. Waarom wordt er pas vanaf 2023 een crisisplan opgesteld en in 2024 structureel € 10.000 geraamd? 2. Wat houdt gebruikers bewustzijn in en waarom wordt er in twee jaar € 110.000 geraamd voor het verhogen hiervan. 3. Worden er trainingen gegeven aan alle medewerkers die zijn aangesloten bij SSC DeSom voor het verhogen van gebruikers bewustzijn? Graag zien we hier een kostenspecificatie van terug?

Antwoorden 1. Eerst is er een regionaal plan nodig, omdat een crisis bij SSC DeSom impact heeft voor alle daarbij aangesloten organisaties. Het huidige plan stamt uit 2015 en is momenteel onvoldoende van kwaliteit, mede omdat er door de jaren veel verandert is. In 2023 zal dit in gezamenlijkheid worden uitgewerkt, alle gevolgen in beeld worden gebracht en beoordeeld moeten worden hoe deze effecten zoveel mogelijk kunnen worden ingeperkt. Immers, voorkomen is beter dan genezen en als de schade beperkt kan worden gehouden is dat van positieve waarde om de continuïteit van de aangesloten organisaties. In de vervolgjaren moet er geoefend worden met grootschalige calamiteiten. Hierbij wordt beoordeeld of de theoretische plannen ook in de praktijk werken. Vervolgens moeten de plannen worden bijgewerkt. Mogelijk moeten er ook aanpassingen worden gedaan in de technische omgeving (vb. UPS’en beter inrichten voor hun taak, noodaggregaten plaatsen en testen, etc.) . Training/simuleren van grote calamiteiten in een complexe technische omgeving vraagt voorbereiding en een projectmatige aanpak. SSC DeSom zal dit waarschijnlijk ook uitbesteden. 2. Alhoewel binnen SSC DeSom ICT-medewerkers werken staat bewust omgaan met informatie m.b.t. informatiebeveiliging en privacy niet bij iedereen duidelijk op het netvlies. In het

rekenkamer-onderzoek Opmeer/Medemblik zijn bepaalde zaken duidelijk geworden waarbij inzet op bewustzijnsverhoging m.b.t. informatiebeveiliging en privacy een belangrijk uitkomst bleek. Dit wordt nu doorgevoerd binnen SSC DeSom. De kosten hebben betrekking op cursussen en elearning modules voor medewerkers voor de komende jaren. Ook binnen de SED Organisatie wordt, naar aanleiding van het rekenkameronderzoek, ingezet op het verhogen van bewustzijn bij de medewerkers op gebied van informatiebeveiliging en privacy. 3. Breed gezien wel. Er is geen goed inzicht wat andere aangesloten gemeenten (en WerkSaam) hiervoor aan kosten uitgeven, maar bewustzijnsverhoging maakt wel onderdeel uit van de BIO (Baseline Informatiebeveiliging Overheid) en dient aantoonbaar te zijn. Zoals reeds bij vraag 2 beantwoord, starten we in de SED Organisatie ook met een bewustzijnstraining o.b.v. een e-learning met verschillende type modulen (gericht op diverse dreigingen, waaronder: phishing mails, hacks, gedrag, wachtwoorden. De kosten voor deze module voor SED voor 1 jaar bedraagt: € 14.000,00. Deze elearning is basaal en gericht op de ‘standaard’ medewerker. Voor SSC DeSom ligt het zwaartepunt op een steviger pakket, waardoor de kosten ook hoger zijn.

Daarnaast is er meer differentiatie in functies welke in meer of mindere mate te maken hebben met de veelzijdigheid binnen informatiebeveiliging en privacy. Zo zal een CISO (Chief Information Security Officer) bij SSC DeSom een behoorlijke hoeveel technische kennis omtrent deze gebieden moeten opnemen en dit ook continue moeten blijven volgen. Voor een medewerker op de servicedesk is dit té zwaar, maar moet wel de signalen kunnen detecteren van mogelijke aanvallen of tekenen van malware. Vandaar het kosten verschil tussen dat van de SED Organsiatie t.o.v. SSC DeSom.

⃰ Dit vragenformulier z.s.m. toezenden aan griffie@gemeenteraad-enkhuizen.nl