Informatienota informatiebeveiliging najaar 2023

Informatienota

Onderwerp Informatienota informatiebeveiliging najaar 2023 Nummer Portefeuillehouder Programma/beleidsveld Afdeling Auteur Telefoonnummer Email Kernboodschap

Behandelvoorstel voor commissie

Relevante eerdere besluiten Besluit College d.d. 14 november 2023

2023/1635373 Raadt, E. de 7.2 Algemene dekkingsmiddelen CC Hut, F.J. 023-5114955 fhut@haarlem.nl Het college informeert de commissie Bestuur over de afgesproken onderwerpen op het gebied van Informatiebeveiliging: • Status van openstaande punten gerelateerd aan het RKC onderzoek • Voortgang van de beveiligingsprioriteiten • Voortgang van verbeterplannen DigiD en Suwinet • Analyse van Security incidenten • Risico analyse • Voorgestelde beveiligingsprioriteiten voor het volgende jaar • Beoordeling van de informatiebeveiliging, waaronder de volwassenheid Het college stuurt de informatienota ter kennisname naar de commissie Bestuur. Hiermee wordt invulling gegeven aan de afspraak om tweemaal per jaar over de stand van informatiebeveiliging te rapporteren. Referentiekader voor volwassenheid van Informatiebeveiliging (2020/854267) Het college besluit: 1. De informatienota aan de commissie Bestuur vast te stellen; 2. Een verplichting geheimhouding op te leggen ten aanzien van de bij deze informatienota behorende bijlagen A, B, C en D, op grond van artikel 87 van de Gemeentewet, vanwege de bescherming van de economische of financiële belangen van de gemeente, als bedoeld in onder artikel 5.1, tweede lid, aanhef en onder b, van de Wet open overheid. De geheimhouding op bijlagen A, B, C en D geldt voor een periode van 3 jaar, en vervalt op 1 december 2026. de secretaris,

Kenmerk: 2023/1635373

de burgemeester,

1/4

Inleiding Deze notitie met bijlagen is de afgesproken halfjaarlijkse rapportage over Informatiebeveiliging. In notitie 2019/940161 Afstemmen structuur van voortgangsrapportage zijn de onderwerpen beschreven waarover wordt gerapporteerd:  Status van openstaande punten gerelateerd aan het RKC onderzoek  Voortgang van de beveiligingsprioriteiten  Voortgang van verbeterplannen DigiD en Suwinet  Analyse van Security incidenten  Risico analyse  Voorgestelde beveiligingsprioriteiten voor het volgende jaar  Beoordeling van de informatiebeveiliging, waaronder de volwassenheid. 2. Kernboodschap Het lezen van de bijlagen is nodig om een goed beeld van de situatie te krijgen. Vanwege het soort informatie daarin zijn deze bijlagen geheim gemaakt, en is de strekking ervan niet in de kernboodschap samengevat. Status van openstaande punten gerelateerd aan het RKC onderzoek Bij de bespreking van het RKC onderzoek zijn de acties ondergebracht in drie verschillende categorieën die ieder apart in de administratie zijn opgenomen:  Raadsinformatie  Implementatie van beleid  Kwetsbaarheden. 2019/311846 RKC Onderzoek / Raadsinformatie: Dit onderdeel is afgesloten. 2019/311830 RKC Onderzoek / Implementatie beleid: Dit onderdeel is afgesloten. 2019/311840 RKC Onderzoek / Kwetsbaarheden. In het rapport zijn 15 technische kwetsbaarheden genoemd.

Hiervan zijn 13 geheel verholpen, 1 is gevorderd maar nog niet afgerond, 1 moet nog worden gestart en is gepland. Uitgebreidere informatie is te vinden in Bijlage A (Geheim). Voortgang van beveiligingsprioriteiten Er is voortgang, waarbij beschikbare capaciteit een belemmering is. Uitgebreidere informatie is te vinden in Bijlage B (Geheim).

Kenmerk: 2023/1635373

2/4

Voortgang van verbeterplannen DigiD en Suwinet De externe auditor heeft in april vastgesteld dat aan normen van DigiD en Suwinet wordt voldaan. Daarom is er geen verbeterplan nodig. Analyse van Security incidenten Er is het normale patroon van kleine gebeurtenissen. Het enige grotere incident is dat bij onderhoud in één van de twee datacenters de automatische omschakeling naar het andere datacenter niet heeft gewerkt. Dit heeft gezorgd voor een half uur waarin de ICT-dienstverlening is verstoord: de verbinding van thuiswerkers werd verbroken, en gedurende deze periode was het binnen en buiten de gebouwen niet mogelijk om aan te loggen. Medewerkers binnen de gebouwen konden gewoon blijven doorwerken. Analyse achteraf heeft over de oorzaak geen uitsluitsel gegeven. Volgend onderhoud op deze componenten zal worden gepland in een weekend, om daarmee mogelijke overlast te beperken. Risico analyse en voorgestelde beveiligingsprioriteiten voor het volgende jaar Er is conform het beleid een Informatiebeveiliging Risico Analyse uitgevoerd waarop de prioriteiten van het beveiligingsplan worden gebaseerd. In bijlage C is het hierbij gevolgde proces stap voor stap te lezen, tot en met de voorgestelde prioriteiten waarbij ook de resultaten van de ISO27001 audit (dit is volgende onderwerp) zijn meegenomen.

Beoordeling van de informatiebeveiliging, waaronder de volwassenheid In collegebesluit 2020/854267 is gekozen voor het gebruik van ISO 27001 als referentiekader. Eind augustus en begin september is de audit van 2023 uitgevoerd. De aanbevelingen uit de audit zijn meegewogen bij de beveiligingsprioriteiten van 2024. Het rapport van de audit is opgenomen als bijlage D (Geheim).

Geheimhouding Ten aanzien van de bij deze nota behorende bijlagen A, B, C en D wordt geheimhouding opgelegd. In de bijlagen is informatie opgenomen over de informatiebeveiligingsmaatregelen die de gemeente treft om haar gegevens en de systemen te beveiligen. Deze informatie kan kwaadwillenden helpen bij het doorbreken van de beveiliging, wat kan leiden tot grote schade voor de gemeente. De geheimhouding op bijlage A, B, C en D geldt voor een periode van 3 jaar, en komt te vervallen op 1 december 2026. Tegen die tijd zullen de belangrijkste kwetsbaarheden verholpen zijn, en daarmee zal de reden vervallen zijn waarom geheimhouding nu wordt opgelegd.

Kenmerk: 2023/1635373

3/4

3. Consequenties -4. Vervolg Het beveiligingsplan voor 2024 zal nu worden uitgewerkt. De commissie Bestuur zal geïnformeerd blijven via de afgesproken halfjaarlijkse rapportages. 5. Bijlagen Bijlage A GEHEIM - Status van openstaande punten gerelateerd aan het RKC onderzoek Bijlage B GEHEIM - Status van beveiligingsprioriteiten Bijlage C GEHEIM - Informatiebeveiliging Risico Analyse najaar 2023 en prioriteiten 2024 Bijlage D GEHEIM - Volwassenheidsbepaling ISO 27001 Gemeente Haarlem

Kenmerk: 2023/1635373

4/4