1 Informatienota informatiebeveiliging voorjaar 2024

Informatienota

Onderwerp Informatienota informatiebeveiliging voorjaar 2024 Nummer Portefeuillehouder Programma/beleidsveld Afdeling Auteur Telefoonnummer Email Kernboodschap

Behandelvoorstel voor commissie

2024/501573 Raadt, E. de 7.2 Algemene dekkingsmiddelen CC Hut, F.J. fhut@haarlem.nl Volgens afspraak wordt tweemaal per jaar gerapporteerd over informatiebeveiliging. In deze nota wordt ingegaan op de afgesproken onderwerpen van de juni-rapportage:  Status van openstaande punten gerelateerd aan het RKC onderzoek  Voortgang van de beveiligingsprioriteiten  Voortgang van verbeterplannen DigiD en Suwinet  Analyse van Security incidenten  ENSIA verantwoording over het vorige jaar met duiding van de resultaten en de relatie tot de benoemde beveiligingsprioriteiten. Het college stuurt de informatienota ter kennisname naar de commissie Bestuur. In juni 2020 is met informatienota 2020/465284 (bijlage A) afgesproken dat over deze onderwerpen jaarlijks in juni wordt gerapporteerd. Er wordt geheimhouding opgelegd ten aanzien van de bij deze informatienota behorende bijlagen 1, 2, 3, 4 en 5, op grond van artikel 87 van de Gemeentewet, vanwege de bescherming van de economische of financiële belangen van de gemeente, als bedoeld in onder artikel 5.1, tweede lid, aanhef en onder b, van de Wet open overheid. De geheimhouding op bijlagen 1, 2, 3, 4 en 5 geldt voor een periode van 3 jaar, en vervalt op 1 juni 2027.

Relevante eerdere besluiten

2019/311846 RKC Onderzoek / Raadsinformatie 2019/311830 RKC Onderzoek / Implementatie beleid 2019/311840 RKC Onderzoek / Kwetsbaarheden 2020/465284 Stand van zaken informatiebeveiliging 2023/1635373 Informatienota Informatiebeveiliging najaar 2023 20240337460 ENSIA verantwoording informatieveiligheid over 2023 Haarlem

Kenmerk: 2024/501573

1/4

Besluit College d.d. 14 mei 2024

Het college besluit: 1. De informatienota aan de commissie Bestuur vast te stellen; 2. Een verplichting geheimhouding op te leggen ten aanzien van de bij deze informatienota behorende bijlagen 1, 2, 3, 4 en 5, op grond van artikel 87 van de Gemeentewet, vanwege de bescherming van de economische of financiële belangen van de gemeente, als bedoeld in onder artikel 5.1, tweede lid, aanhef en onder b, van de Wet open overheid. De geheimhouding op bijlagen 1, 2, 3, 4 en 5 geldt voor een periode van 3 jaar, en vervalt op 1 juni 2027. de secretaris,

de burgemeester,

1. Inleiding In juni 2020 is met informatienota 2020/465284 (bijlage A) afgesproken dat over de volgende onderwerpen ieder jaar in juni wordt gerapporteerd:  Status van openstaande punten gerelateerd aan het RKC onderzoek  Voortgang van de beveiligingsprioriteiten  Voortgang van verbeterplannen DigiD en Suwinet  Analyse van Security incidenten  ENSIA verantwoording over het vorige jaar met duiding van de resultaten en de relatie tot de benoemde beveiligingsprioriteiten. Hieronder wordt op ieder van deze punten ingegaan. 2. Kernboodschap Rapportages gaan regelmatig over dezelfde onderwerpen, maar worden vanuit verschillende perspectieven en voor verschillende doelen gemaakt. In 2021 is de onderlinge samenhang van de verschillende rapportages uitgewerkt (zie bijlage 1 van 2021/217257 Informatienota Informatiebeveiliging voorjaar 2021). De Baseline Informatiebeveiliging Overheid (BIO) wordt risico-gebaseerd geïmplementeerd. Hierbij wordt het mechanisme van ISO27001 gebruikt om jaarlijks prioriteiten te stellen. De onafhankelijke volwassenheidsrapportage ten opzichte van de ISO27001 geeft het beste beeld om de ontwikkeling van de beveiliging te volgen. Het omvat de BIO, de domeinen die het RKC-onderzoek heeft geraakt, en het is het oordeel van een onafhankelijke derde.

Kenmerk: 2024/501573

2/4

Als verplichte overheidsnorm wordt de BIO geïmplementeerd. De ISO27001 benadering met een risicoanalyse wordt gebruikt om ieder jaar prioriteiten te stellen. Dit betekent dat verminderen van risico’s de primaire drijfveer is, met uiteindelijk een hogere score op de BIO-Zelfevaluatie als gevolg. BIO-Zelfevaluatie De BIO-Zelfevaluatie is consistent met de ISO27001 volwassenheidsrapportage en met de risicoanalyse bij de informatienota (2023/1635373) van najaar 2023. In bijlage 1 (Geheim) staat de beantwoording van de BIO-zelfevaluatie voorafgegaan door een korte toelichting over de opzet van de vragenlijst. In bijlage 2 (Geheim) wordt duiding gegeven, en wordt de relatie gelegd met prioriteiten en verbeteracties. Status van openstaande punten gerelateerd aan het RKC onderzoek 2019/311846 RKC Onderzoek / Raadsinformatie: is afgehandeld. 2019/311830 RKC Onderzoek / Implementatie beleid: is afgehandeld. 2019/311840 RKC Onderzoek / Kwetsbaarheden – Van 15 bevindingen uit de interne- en de externe pentest zijn 13 verholpen, 1 gedeeltelijk verholpen en 1 is onderhanden. In bijlage 3 (Geheim) staat dit nader toegelicht. Voortgang van de beveiligingsprioriteiten In bijlage 4 (Geheim) wordt de status beschreven van de onderwerpen die in informatienota 2023/1635373 zijn geprioriteerd.

Voortgang van verbeterplannen DigiD en Suwinet Voor DigiD en voor Suwinet werd op peildatum 31 december aan alle normen voldaan. Om aan de normen te voldoen is er geen verbeterplan nodig Analyse van Security incidenten Naast de normale kleine incidenten springt één incident eruit. Dit is beschreven in bijlage 5 (geheim). Bij urgente meldingen vanuit de Informatiebeveiligingsdienst (IBD, onderdeel van VNG) zijn we steeds in staat geweest om snel te handelen. In veel gevallen waren vereiste acties door afdeling IV al in reguliere beheerprocessen uitgevoerd vóórdat de urgente melding van de IBD werd ontvangen. Geheimhouding Ten aanzien van de bij deze nota behorende bijlagen 1, 2, 3, 4 en 5 wordt geheimhouding opgelegd. In de bijlagen is informatie opgenomen over de informatiebeveiligingsmaatregelen die de gemeente treft om haar gegevens en de systemen te beveiligen. Deze informatie kan kwaadwillenden helpen

Kenmerk: 2024/501573

3/4

bij het doorbreken van de beveiliging, wat kan leiden tot grote schade voor de gemeente. De geheimhouding op bijlage 1, 2, 3, 4 en 5 geldt voor een periode van 3 jaar, en komt te vervallen op 1 juni 2027. Tegen die tijd zullen de belangrijkste kwetsbaarheden verholpen zijn, en daarmee zal de reden vervallen zijn waarom geheimhouding nu wordt opgelegd. 3. Consequenties Er zijn geen bijzondere consequenties te melden. Geplande activiteiten worden gedekt vanuit beschikbare budgetten. 4. Vervolg Er wordt continu gewerkt aan verbetering. In het najaar is de volgende rapportage. 5. Bijlagen Bijlage 1 – GEHEIM – BIO-Zelfevaluatie Haarlem 2023 Bijlage 2 – GEHEIM – Duiding van BIO-Zelfevaluatie en relatie met prioriteiten en verbeteracties Bijlage 3 – GEHEIM – Openstaande kwetsbaarheden uit het RKC onderzoek Bijlage 4 – GEHEIM – Voortgang van beveiligingsprioriteiten Bijlage 5 – GEHEIM – Security incident

Kenmerk: 2024/501573

4/4