2 Bijlage 1 Implementatiekader risicoafweging cloudgebruik

Implementatiekader risicoafweging cloudgebruik

11 februari 2025 Frans Hut / Kees Brouwer Concerncontrol

Inhoud Inleiding...........................................................................................................................................................3 Implementatiekader........................................................................................................................................3 Artikel 1 - Algemeen....................................................................................................................................3 Artikel 2 - Definities.....................................................................................................................................3 Artikel 3 - Scope ..........................................................................................................................................4 Artikel 3a - Taakverdeling............................................................................................................................4 Artikel 4 - Risicoafweging informatiebeveiliging .........................................................................................4 Artikel 5 - Contracten met (hoofd)leveranciers ..........................................................................................5 Artikel 6 - Exit-strategie...............................................................................................................................5 Artikel 7 -

(pre-scan) DPIA ...........................................................................................................................5 Artikel 8 - Actualisatie analyses...................................................................................................................6 Artikel 9 - Openbaarheid van besluitvorming .............................................................................................6 Artikel 10 - Inzicht en rapportage materieel public cloudgebruik...............................................................6 Artikel 11 - Advies en opvolging door CIO...................................................................................................6 Bijlage 1 - Toelichting wijzigingen ...................................................................................................................7 Inleiding.......................................................................................................................................................7 Toelichting per artikel .................................................................................................................................7 Bijlage 2 - C2000-criteria .................................................................................................................................9 Bijlage 3 - Risicoscenario's public cloud NBV

................................................................................................10

Implementatiekader risicoafweging cloudgebruik Inleiding Dit implementatiekader is een aanvulling op de Haarlemse Cloudvisie1 en het daarin opgenomen afwegingskader. Het implementatiekader is gebaseerd op het Implementatiekader risicoafweging cloudgebruik2 van het ministerie van Binnenlandse Zaken, aangepast naar de situatie in Haarlem en Zandvoort. De verschillen worden toegelicht in Bijlage 1 - 'Toelichting wijzigingen t.o.v. implementatiekader BZK'.

Implementatiekader Artikel 1 - Algemeen a. Dit implementatiekader is van toepassing op al het materieel public cloudgebruik door de gemeentelijke organisatie Haarlem / Zandvoort. Deze kan in voorkomend geval ook van toepassing zijn op hybride clouddiensten. Dit implementatiekader is niet verplicht voor het gebruik van private- en community-clouddiensten. Bij de inzet van deze clouddiensten wordt wel geadviseerd de onderdelen uit dit implementatiekader mee te nemen. b. Besluitvorming, risicoacceptatie, toezicht en monitoring volgt de route: proceseigenaar -> CIO -> Directie.

Artikel 2 - Definities Materieel public cloudgebruik

Formele DPIA Pre-scan DPIA DTIA

Public / Private / Hybride cloud

Materieel public cloudgebruik is gebruik van public clouddiensten ten behoeve van het uitvoeren van de primaire taak van de gemeentelijke organisatie. Hieronder vallen ook daarbij ondersteunende bedrijfsvoeringsprocessen voor zover van wezenlijk belang voor de primaire taken. De toevoeging 'materieel' is bedoeld om te voorkomen dat voor iedere toepassing of informatiebron vanuit de cloud, ook de kleine handige tooltjes, een uitgebreide risico-analyse opgesteld moet worden. Bij twijfel over de vraag of sprake is van materieel public cloudgebruik waarvoor dit kader van toepassing is beslist de CIO. Een Data Protection Impact Assessment conform artikel 35 AVG Een analyse om conform de AVG vast te stellen of een formele DPIA noodzakelijk is Data Transfer Impact Assessment: nodig bij internationale overdracht naar landen buiten de EER zonder een adequaatheidsbesluit. Deze term is geïntroduceerd vanwege de aanbevelingen van European Data Protection Board voor het realiseren van voldoende waarborgen. Bij de public cloud worden de computermiddelen aangeboden door een commerciële partij. Zowel de gemeentelijk organisatie als andere bedrijven en particulieren kunnen een deel van die middelen op hetzelfde platform afnemen. Als één (overheids)organisatie toegang heeft tot computermiddelen, dan spreken we van een private cloud. Een private cloud kan in beheer zijn

1 Zie Haarlems Cloudvisie

2 Zie: Implementatiekader risicoafweging cloudgebruik van MinBZK

3

van de gemeentelijke organisatie zelf of exclusief door een marktpartij worden aangeboden. Ter verduidelijking, dit exclusieve karakter heeft betrekking op alle hard- en software voor de dienstverlening. Community-cloud is een vorm van private cloud waarbij de computermiddelen worden aangeboden vanuit een samenwerkingsverband tussen, in ons geval, een of meer overheden. Het beheer en de dagelijkse operatie kan worden gedaan door een of meer leden van de community, door een marktpartij of door een combinatie daarvan. Een mengvorm van de private en public cloud heet een hybride cloud. Een hybride cloud is opgebouwd uit meerdere delen, waarvan sommige in een public en sommige in een private cloud zijn ondergebracht.

Artikel 3 - Scope De scope van dit implementatiekader betreft het materieel public cloudgebruik door de gemeentelijke organisatie Haarlem / Zandvoort.

Artikel 3a - Taakverdeling De verdeling van taken en verantwoordelijkheden is conform de vastgestelde afspraken over eigenaarschap en contract- & leveranciersmanagement: • •

de afdeling IV is verantwoordelijk voor het registreren van het cloudgebruik en het up-to-date houden van de registratie; de afdelingsmanager is als proceseigenaar verantwoordelijk voor het opstellen van de risicoafwegingen;

Aanvullend daarop is de CIO verantwoordelijk voor de jaarlijkse rapportage aan directie, college en raad over de inzet van (Public) cloud.

Artikel 4 - Risicoafweging informatiebeveiliging 1. De risicoafweging moet worden gedaan op basis van een formeel vastgestelde risicomanagementmethodiek conform de BIO. 2. Voorafgaand aan het gebruik van public clouddiensten wordt volgens de risicomanagementmethodiek een risicoanalyse uitgevoerd. Hierbij wordt zoveel mogelijk gebruik gemaakt van het werk dat door de VNG en de Rijksoverheid is gedaan. 3. In de toegespitste risicoanalyse zijn ten minste de volgende onderdelen herkenbaar: a. De context van het cloudgebruik en de karakteristieken van het betreffende cloudgebruik zoals beoogde baten, het type dienstverlening (IAAS, SAAS, PAAS), de gevoeligheid van de type gegevens, de geografische regio van verwerking en opslag van gegevens. Bij het beoordelen van context en karakteristieken moet de hele onderliggende infrastructuur worden meegenomen; b. De relevante risico’s waarbij aandacht is voor: i. De C2000 criteria (zie bijlage 2), indien de veiligheidsrisico's onvoldoende kunnen worden beheerst (criterium 3B) worden waar mogelijk aanbieders uitgesloten3; ii. de public cloud risicoscenario’s (zie bijlage 3) en de vergelijking met de On Premise verwerking;

3 Conform dreigingsbeeld Statelijke actoren 2 AIVD MIVD en NCTV, november 2022 gaat het daarbij concreet

om aanbieders uit de volgende landen: Rusland, China, Iran en Noord-Korea.

4

iii. Risico’s voor veiligheid van personen voor wie er extra risico’s zijn indien persoonsgegevens gelekt worden4; en iv. Continuïteitsrisico’s onder meer voor de uitvoering van taken. c. De analyse van de getroffen technische en organisatorische maatregelen waaruit blijkt dat de eigen implementatie, de dienstverlening door en de leverancier zelf voldoen aan de gestelde informatiebeveiligingseisen met inachtneming van hoofdstuk 15 van de BIO. Hierbij is aandacht voor: i. Het door de cloudleverancier toelaten van verantwoordingsonderzoeken of rapportages daarover; ii. Een beschrijving van de exit-strategie; en iii. De wijze waarop de leverancier zijn leveranciers beoordeeld, onder meer voor ketenrisico’s. d. De beoordeling van de opzet, bestaan en, bij de eerste actualisatie, de werking van de maatregelen. e. De afweging dat de risico’s voldoende gemitigeerd worden met eventuele rest-risico’s en de borging daarvan. 4. De risicoanalyse moet formeel worden vastgesteld volgens de route proceseigenaar -> CIO -> Directie.

Artikel 5 - Contracten met (hoofd)leveranciers Contracten met (hoofd)leveranciers worden indien mogelijk gesloten door aan te sluiten bij het voorwerk en de standaardcontracten van de VNG (o.a. GT Microsoft) en het Rijk (o.a. SLM Microsoft, Google Cloud en Amazon Web Services).

Artikel 6 - Exit-strategie Een exit-strategie in het kader van de Cloudvisie moet minimaal de continuïteit van bedrijfsprocessen en het opruimen van data bij beëindiging van de dienstverlening borgen. De borging gaat zowel via maatregelen voor onze eigen organisatie, waaronder budget, als via contractuele afspraken met de leverancier. Verplichte onderdelen van de exit-strategie zijn: •

• • •

Voorwaarden aan de leverancier (en toeleveranciers) met aandacht voor dataportabiliteit, serviceportabiliteit en datavernietiging inclusief de processen en voorzieningen die daarvoor nodig zijn; Een alternatieve leverancier of interne landingsplaats; Een strategie, voorwaarden en budget, voor direct vertrek in verband met een crisis of plotselinge (geopolitieke) ontwikkelingen; en Een strategie en budget bij de reguliere afloop van de overeenkomst.

Artikel 7 - (pre-scan) DPIA Indien er persoonsgegevens verwerkt gaan worden dient er conform de uitgangspunten uit de Cloudvisie en de AVG voorafgaand aan feitelijke verwerking een pre-scan DPIA uitgevoerd te worden en voor hoogrisico verwerkingen een formele DPIA. Vanwege het materiële cloudgebruik, zal naar verwachting een DPIA vrijwel altijd van toepassing zijn. De DPIA moet formeel vastgesteld zijn. 1. In een pre-scan DPIA moeten ten minste de volgende onderdelen herkenbaar zijn: a. Een beschrijving van de verwerking inclusief een beschrijving van het type persoonsgegevens (content, telemetrie, diagnostisch, website en helpdesk), de omvang van de gegevensset de omvang van de verwerking, de betrokkenen en het te ondersteunen proces. 4 Bewindslieden, BN-ers, medewerkers van politie en inlichtingendiensten, getuigen en advocaten in mega-

processen, etc.

5

b. Omschrijving van de gebruikersgroepen waaronder de afnemers van de dienst en de afnemers van de informatie. c. Een onderbouwde conclusie waarom wel of geen formele DPIA noodzakelijk is. 2. Voor de formele DPIA dient het gemeentelijke model toegepast te worden. 3. Indien geen DPIA wordt uitgevoerd, een beschrijving hoe voldaan wordt aan de gestelde privacyeisen, de beoordeling dat de maatregelen daarvoor feitelijk functioneren en de (lage) rest-risico’s. 4. Bij overdracht naar landen buiten de EER zonder een adequaatheidsbesluit, is een DTIA nodig en bij bijzondere persoonsgegevens extra terughoudendheid. Indien geen formele DPIA nodig is, moet op een andere wijze aantoonbaar worden voldaan aan de AVG waaronder een onderbouwing van de rechtmatigheid, proportionaliteit, subsidiariteit e.d.

Artikel 8 - Actualisatie analyses 1. Clouddiensten veranderen snel in functionaliteiten, de technische inrichting, de geografische inrichting en de toeleveranciers. De toegespitste risicoanalyse, exit-strategie en (pre-scan of formele) DPIA worden bij wezenlijke wijzigingen in de dienstverlening of wezenlijke verandering van de risico’s geactualiseerd inclusief de te nemen passende acties. Dit vindt ten minste iedere drie jaar plaats of vaker als daar aanleiding toe is. 2. Voor bestaande clouddiensten moet conform BIO een risicoanalyse zijn uitgevoerd en conform AVG een DPIA. Ook deze analyses worden binnen hun huidige levenscyclus en ten minste binnen drie jaar herijkt aan het cloudbeleid en het implementatiekader.

Artikel 9 - Openbaarheid van besluitvorming De gemeente maakt gegevens openbaar waaronder de besluitvorming over de DPIA’s en, indien van toepassing, adviezen van de Functionaris Gegevensbescherming. Dit gebeurt uiterlijk drie maanden na de ingebruikname.

Artikel 10 - Inzicht en rapportage materieel public cloudgebruik Het materieel public cloudgebruik en de risico’s daarvan worden bijgehouden in de CMDB. De registratie wordt ten minste jaarlijks en bij wezenlijke wijzigingen geactualiseerd. Daarbij moeten tenminste de volgende zaken worden geregistreerd: 1. 2. 3. 4.

het organisatieonderdeel; het bedrijfsproces en de verantwoordelijke afdelingsmanager; inzicht in de risico’s via een actuele risicoanalyse en DPIA; en de leverancier van de public clouddienst en de afgenomen clouddiensten.

Artikel 11 - Advies en opvolging door CIO De rapportages, DPIA’s, DTIA's en risicoanalyses worden gedeeld met de CIO die ze gebruikt als onderdeel van haar monitorings- en adviesfunctie. Ook beoordeelt de CIO deze op uitzonderlijke risico’s en op applicatie-overstijgende risico's zoals een te grote leveranciersafhankelijkheid. In die gevallen adviseert de CIO, in samenspraak met de afdelingen en de concerncontroller, aan de directie over de beheersing daarvan en kan de directie een aanwijzing geven. Op basis van de registraties van de afdelingen rapporteert de CIO jaarlijks aan college en raad over het materieel public cloud-gebruik, de risico's daarvan en de voortgang van de implementatie van het Cloudbeleid.

6

Bijlage 1 - Toelichting wijzigingen t.o.v. implementatiekader BZK Inleiding Het implementatiekader is gebaseerd op het Implementatiekader risicoafweging cloudgebruik van het ministerie van Binnenlandse Zaken. In deze bijlage worden de verschillen toegelicht. De belangrijkste verschillen met het implementatiekader van BZK hebben te maken met: • • • • •

de grotere omvang van de Rijksoverheid, wat leidt tot meer financiële draagkracht en een meer gelaagde structuur met meer gedetailleerde taakafbakeningen; de hogere mate van professionalisme bij de Rijksoverheid door schaalgrootte en specialisatie; de ander risico's op het niveau van de Rijksoverheid, die meekomen met de grote reikwijdte van landelijke voorzieningen en met de grotere aandacht van statelijke actoren; de grotere marktmacht van de Rijksoverheid waardoor het eenvoudiger is om aanbieders te dwingen om mee te werken en diensten aan te passen; de specifieke invulling van de rol van de gemeentelijke CIO, bij de Rijksoverheid is deze rol uitgewerkt in de rijksbrede governance op informatievoorziening;

Toelichting op de wijzigingen per artikel De artikelnummers verwijzen naar de artikelen in het implementatiekader van BZK. Omdat een aantal artikelen daaruit niet is overgenomen in het implementatiekader van Haarlem / Zandvoort komen de nummeringen niet volledig overeen. Waar dat het geval is wordt dat aangegeven. •

• • •

•

Artikel 1 - Algemeen Verwijzingen naar processen en organisatieonderdelen van Rijk vervangen door gemeente Haarlem / Zandvoort' Lid 2 verwijderd, niet van toepassing Lid 4 verwijderd, niet van toepassing lid 5 verwijderd, niet van toepassing Artikel 2 - Definities Definitie 'materieel' toegelicht, verder geen aanpassingen Artikel 3 - Scope Aangepast: Rijksoverheid -> Haarlem / Zandvoort Artikel 3a - Taakverdeling RACI-tabel vervangen door een tekstuele beschrijving van de taakverdeling in Haarlem / Zandvoort, aangehaakt bij bestaande afspraken over eigenaarschap en contract- & leveranciersmanagement. Artikel 4 - Risicoafweging informatiebeveiliging • Haarlem / Zandvoort maakt gebruik van Fully in Control voor het vastleggen van risico's en doet uitgebreide risico-analyses maar heeft geen formeel vastgestelde risicomanagementmethodiek. Zo'n methodiek is op dit moment nog niet verplicht maar wordt dat straks waarschijnlijk wel. In een aparte directienota over nog in te vullen organisatorische randvoorwaarden t.b.v. cloud-gebruik wordt de risicomethodiek meegenomen. • Expliciet benoemd dat we als gemeentelijke organisatie niet voldoende mensen, middelen en kennis hebben om alle risico-analyses volledig zelfstandig uit te voeren, we maken daarom zoveel mogelijk gebruik van het werk dat door de VNG en het Rijk is gedaan.

• Bij lid 3 onderdeel a toegevoegd dat bij het beoordelen van context en karakteristieken de hele onderliggende infrastructuur moet worden meegenomen. Een SaaS-dienst van een Nederlandse partij kan draaien op de clouddiensten van een andere partij, zoals een van de grote Amerikaanse cloud-providers. 7

•

• Bij lid 3 onderdeel b de tekst uit artikel 6 over het uitsluiten van aanbieders waarbij de veiligheidsrisico's niet kunnen worden beheerst overgenomen, omdat de rest van artikel 6 niet relevant is voor de gemeente kan dat artikel daardoor vervallen. Verder aangepast: Rijksoverheid -> Haarlem / Zandvoort • Aangepast: route CIO - Directie Artikel 5 - Selectie van de hoofdleveranciers Hernoemd naar 'Contracten met (hoofd)leveranciers' Artikelen 6, 7, 8 en 9 stellen eisen die niet eenvoudig kunnen worden ingevuld. Er is kostbaar en schaars specialisme nodig om onderzoek uit te voeren. Er is medewerking van de marktpartijen nodig eerst om het onderzoek uit te kunnen voeren en daarna om de geleverde dienst zo nodig aan te passen (technisch, organisatorisch en juridisch) om aan eisen te voldoen. Deze combinatie van factoren zorgt voor onvoorspelbaarheid (uitkomsten, doorlooptijd, geld), zeker als de gemeente als vragende partij onvoldoende marktmacht heeft.

•

• •

•

•

•

•

•

•

Daarom wordt ervoor gekozen om maximaal te steunen op het werk dat reeds door de VNG en SLM Rijk is gedaan, en de contracten te gebruiken zoals die reeds zijn onderhandeld. Daarmee kan worden gerekend op een voorspelbaar selectietraject, waarbij de harde noten uit artikelen 6, 7, 8 en 9 door VNG en SLM Rijk zijn en worden gekraakt. Artikel 6 - Beoordeling C2000-criteria Niet overgenomen, het betreft risico's die vooral op het niveau van het Rijk spelen, het uitsluiten van aanbieders waarbij de risico's niet beheerst kunnen worden is overgenomen in artikel 4. Artikel 7 - Exit-strategie Met tekstuele wijzigingen overgenomen als artikel 6 Artikel 8 - (pre-scan) DPIA Overgenomen als artikel 7. Verwijzingen naar processen en organisatiedelen Rijksoverheid vervangen door gemeente of verwijderd, inhoudelijk verder ongewijzigd. Artikel 9 - Actualisatie analyses Overgenomen als artikel 8. Lid 2, over delen van analyses met CIO-Rijk, niet overgenomen, is niet van toepassing voor gemeente. Verder ongewijzigd. Artikel 10 - Openbaarheid van besluitvorming Overgenomen als artikel 9. 'De eigenaar' vervangen door 'De gemeente'. PAR (Privacy Advies Raad) hebben we niet in de gemeente, vervangen door Functionaris Gegevensbescherming.

Artikel 11 - Melding verwerking persoonsgegevens Niet overgenomen, heeft betrekking op de rol en de verantwoordelijkheden van de CIO-Rijk ten opzicht van de departementen en de CIO, is in gemeentelijke context niet van toepassing. Artikel 12 - Advies CIO Rijk vooraf voor basisregistraties Niet overgenomen, heeft betrekking op de rol en de verantwoordelijkheden van de CIO-Rijk ten opzicht van de departementen en de CIO, is in gemeentelijke context niet van toepassing. Artikel 13 - Inzicht en rapportage materieel public cloudgebruik Overgenomen als artikel 10. Verwijzingen naar processen en organisatie-onderdelen Rijksoverheid vervangen door gemeente, inhoudelijk verder ongewijzigd. Artikel 14 - Advies en opvolging door CIO Rijk Overgenomen als artikel 11.

8

•

Verwijzingen naar processen en organisatieonderdelen Rijksoverheid vervangen door gemeente, inhoudelijk ongewijzigd. Artikel 15 - Overleg en afwijkingen Niet overgenomen, heeft betrekking op de rol en de verantwoordelijkheden van de CIO-Rijk ten opzicht van de departementen en de CIO, is in gemeentelijke context niet van toepassing.

9

Bijlage 2 - C2000-criteria Bij cloudgebruik hanteren we de C2000-criteria om risico’s ten aanzien van spionage, beïnvloeding of sabotage door statelijke actoren of andere derde partijen te beoordelen. De C2000-criteria zijn als volgt: 1. Is de partij die de dienst of product levert afkomstig, of staat hij onder controle van een partij, uit een land met wetgeving die commerciële of particuliere partijen verplicht samen te werken met de overheid van dat land, in het bijzonder met staatsorganen die zijn belast met een inlichtingenof militaire taak, of is de partij een staatsbedrijf? 2. Is de partij die de dienst of product levert afkomstig uit een land met een actief offensief inlichtingenprogramma gericht op Nederland en Nederlandse belangen of een land waarmee de Nederlandse relatie dusdanig gespannen is dat acties die Nederlandse belangen aantasten voorstelbaar zijn? 3. a. Krijgt de partij die de dienst of product levert uitgebreide toegang tot gevoelige locaties, gevoelige ICT-systemen en vitale infrastructurele installaties of werken, waarbij misbruik een veiligheidsrisico kan vormen? b. Zijn er beheersmaatregelen mogelijk en realiseerbaar die de veiligheidsrisico’s die in het geding zijn voldoende beschermen

10

Bijlage 3 - Risicoscenario's public cloud NBV Het Nationaal Bureau voor Verbindingsbeveiliging (NBV) adviseert om in risicoanalyses voor public clouddiensten plannen te maken voor schadebeperking en disaster-recovery voor minimaal de onderstaande scenario’s: • • • • • •

Een (statelijke) actor heeft de overheidstenant gecompromitteerd en had gedurende langere tijd toegang tot de data. Een (statelijke) actor heeft de cloud fabric van de clouddienstverlener gecompromitteerd en had gedurende langere tijd toegang tot de overheidstenant en de data. Het land van de clouddienstverlener heeft, via extraterritoriale juridische mogelijkheden, toegang gekregen tot de overheidstenant en de aanwezige data. Het land van de clouddienstverlener, of een ander land, heeft politiek commerciële druk uitgeoefend op de clouddienstverlener waardoor verdenking ontstaat van spionage of sabotage. De clouddienst valt langdurig uit door storing of sabotage. Specifieke landen saboteren of blokkeren de clouddienst op hun gebied, wat buitenlandse vestigingen van de overheid raakt. De clouddienstverlener stopt met het tenant contract of met de hele clouddienst, al dan niet onder druk van het land van de clouddienstverlener of een ander land.

Als onderdeel van de risicobeoordeling dient rekening gehouden te worden met de koppeling tussen de On-Premise omgeving en de Public clouddienst(en), de hiermee gepaard gaande complexiteit en de vergroting van het aanvalsoppervlak van de gekoppelde omgevingen. Als onderdeel van de risicobeoordeling dient ook rekening gehouden te worden met het feit dat (statelijke) actoren belangstelling hebben voor persoonsgegevens, waaronder ook grote databestanden en basisregistraties.

11

Dit is een uitgave van gemeente Haarlem, 11 februari 2025

Tekst: Frans Hut / Kees Brouwer, ________________________________ Postbus 511 2003 PB Haarlem Tel. 14 023 haarlem.nl 12