20230549200 1 Informatienota informatiebeveiliging voorjaar 2023

Informatienota

Onderwerp Informatienota informatiebeveiliging voorjaar 2023 Nummer 2023/549200 Portefeuillehouder Raadt, E. de Programma/beleidsveld 7.2 Algemene dekkingsmiddelen Afdeling CC Auteur Hut, F.J. Telefoonnummer 023-5114955 Email fhut@haarlem.nl Kernboodschap Volgens afspraak wordt tweemaal per jaar gerapporteerd over informatiebeveiliging. In deze nota wordt ingegaan op de afgesproken onderwerpen van de juni-rapportage: • Status van openstaande punten gerelateerd aan het RKC onderzoek • Voortgang van de beveiligingsprioriteiten • Voortgang van verbeterplannen DigiD en Suwinet • Analyse van Security incidenten ENSIA verantwoording over het vorige jaar met duiding van de resultaten en de relatie tot de benoemde beveiligingsprioriteiten. Behandelvoorstel voor Het college stuurt de informatienota ter kennisname naar de commissie Bestuur. commissie In juni 2020 is met informatienota 2020/465284 (bijlage A) afgesproken dat over deze onderwerpen jaarlijks in juni wordt gerapporteerd. Relevante eerdere 2019/311846 RKC Onderzoek / Raadsinformatie besluiten 2019/311830 RKC Onderzoek / Implementatie beleid 2019/311840 RKC Onderzoek / Kwetsbaarheden 2020/465284 Stand van zaken informatiebeveiliging 2022/645996 Informatienota Informatiebeveiliging voorjaar 2022 2022/1508877 Informatienota Informatiebeveiliging najaar 2022 2023/321222 ENSIA verantwoording Haarlem over 2022 Besluit College 1.

De informatienota aan de commissie Bestuur vast te stellen; d.d. 20 juni 2023 2. Geheimhouding op te leggen ten aanzien van de bij deze informatienota behorende bijlagen 1, 2, 3 en 4, op grond van artikel 87 van de Gemeentewet, vanwege de bescherming van de economische of financiële belangen van de gemeente, als bedoeld in onder artikel 5.1, tweede lid, aanhef en onder b, van de Wet open overheid. De geheimhouding op bijlagen 1, 2, 3 en 4 geldt voor een periode van 3 jaar, en vervalt op 1 juni 2026. de secretaris,

Kenmerk: 2023/549200

de burgemeester,

1/3

Inleiding In juni 2020 is met informatienota 2020/465284 (bijlage A) afgesproken dat over de volgende onderwerpen ieder jaar in juni wordt gerapporteerd: • Status van openstaande punten gerelateerd aan het RKC onderzoek • Voortgang van de beveiligingsprioriteiten • Voortgang van verbeterplannen DigiD en Suwinet • Analyse van Security incidenten • ENSIA verantwoording over het vorige jaar met duiding van de resultaten en de relatie tot de benoemde beveiligingsprioriteiten. Hieronder wordt op ieder van deze punten ingegaan. 2. Kernboodschap Rapportages gaan regelmatig over dezelfde onderwerpen, maar worden vanuit verschillende perspectieven en voor verschillende doelen gemaakt. In 2021 is de onderlinge samenhang van de verschillende rapportages uitgewerkt (zie bijlage 1 van 2021/217257 Informatienota Informatiebeveiliging voorjaar 2021). De Baseline Informatiebeveiliging Overheid (BIO) wordt risico-gebaseerd geïmplementeerd. Hierbij wordt het mechanisme van ISO27001 gebruikt om jaarlijks prioriteiten te stellen. De onafhankelijke volwassenheidsrapportage ten opzichte van de ISO27001 geeft het beste beeld om de ontwikkeling van de beveiliging te volgen. Het omvat de BIO, de domeinen die het RKC-onderzoek heeft geraakt, en het is het oordeel van een onafhankelijke derde. Als verplichte overheidsnorm wordt de BIO geïmplementeerd.

De ISO27001 benadering met een risicoanalyse wordt gebruikt om ieder jaar prioriteiten te stellen. Dit betekent dat verminderen van risico’s de primaire drijfveer is, met uiteindelijk een hogere score op de BIO-Zelfevaluatie als gevolg. BIO-Zelfevaluatie De BIO-Zelfevaluatie is consistent met de ISO27001 volwassenheidsrapportage en met de risicoanalyse bij de informatienota (2022/1508877) van najaar 2022. In bijlage 1 (Geheim) staat de beantwoording van de BIO-zelfevaluatie voorafgegaan door een korte toelichting over de opzet van de vragenlijst. In bijlage 2 (Geheim) wordt duiding gegeven, en wordt de relatie gelegd met prioriteiten en verbeteracties. Status van openstaande punten gerelateerd aan het RKC onderzoek 2019/311846 RKC Onderzoek / Raadsinformatie: is afgehandeld. 2019/311830 RKC Onderzoek / Implementatie beleid: is afgehandeld. 2019/311840 RKC Onderzoek / Kwetsbaarheden – Van 15 bevindingen uit de interne- en de externe pentest zijn 12 verholpen, 2 gedeeltelijk verholpen en staat 1 nog open. In bijlage 3 (Geheim) staat dit nader toegelicht. Kenmerk: 2023/549200

2/3

Voortgang van de beveiligingsprioriteiten In bijlage 4 (Geheim) wordt de status beschreven van de onderwerpen die in informatienota 2022/1508877 zijn geprioriteerd. Voortgang van verbeterplannen DigiD en Suwinet Voor DigiD werd op peildatum 31 december niet aan alle normen voldaan. Acties waren reeds in gang gezet. De externe auditor heeft op 20 april in formele verklaringen vastgesteld dat de eerdere onvoldoendes zijn gerepareerd. Voor Suwinet werd op peildatum 31 december aan alle normen voldaan. Analyse van Security incidenten Er zijn vooral kleinere incidenten geweest. Als patroon valt op dat steeds vaker via de e-mail verzoeken binnenkomen met een bestaande naam en een daarbij niet-kloppend e-mailadres als afzender. Het gaat dan vaak om het wijzigen van een bankrekeningnummer of een verzoek om het overmaken van geld. Voor zover bekend is geen enkele van deze verzoeken uitgevoerd. Bij betrokken afdelingen (Financiën en HRM) heeft dit de aandacht. Eenmaal leek er sprake te zijn van de aanwezigheid van ransomware. Hierop is alert gereageerd en geëscaleerd, waardoor binnen een half uur externe deskundigen aanhaakten en tijdig het sein Veilig gegeven kon worden. Bij urgente meldingen vanuit de Informatiebeveiligingsdienst (IBD, onderdeel van VNG) zijn we steeds in staat geweest om snel te handelen. 3. Consequenties Er zijn geen bijzondere consequenties te melden.

Geplande activiteiten worden gedekt vanuit beschikbare budgetten. 4. Vervolg Er wordt continu gewerkt aan verbetering. In het najaar is de volgende rapportage. 5. Bijlagen Bijlage 1 – GEHEIM – BIO-Zelfevaluatie Haarlem 2022 Bijlage 2 – GEHEIM – Duiding van BIO-Zelfevaluatie en relatie met prioriteiten en verbeteracties Bijlage 3 – GEHEIM – Openstaande kwetsbaarheden uit het RKC onderzoek Bijlage 4 – GEHEIM – Voortgang van beveiligingsprioriteiten

Kenmerk: 2023/549200

3/3