2022-04-26 Rekenkamerbrief informatieveiligheid

Rekenkamer West-Twente Rekenkamerbrief Quickscan Informatiebeveiliging – Gemeente Hellendoorn 26 april 2022 Definitieve versie -----------------------------------------------------------------------------------------------------------------------------------

Geachte raadsleden, Begin 2022 heeft de Rekenkamer West-Twente het informatiebeveiligingsbeleid van de gemeente Hellendoorn onderzocht. Het betreft een quick scan van (1) de bestaande (beleids-)kaders voor informatiebeveiliging, (2) de invulling van risicobeheersing en rapportage op dit moment en (3) mogelijke verbeterpunten voor de toekomst. In deze brief bericht ik u over de uitkomsten van de quick scan. Met deze brief krijgt u inzicht in de stand van zaken ten aanzien van het informatieveiligheidsbeleid. Uiteindelijk draagt dit bij aan de kaderstellende en controlerende rol van de raad. In het vervolg van deze brief volgen: / de onderzoeksbevindingen ten aanzien van bestaande kaders; / bevindingen ten aanzien van de risicobeheersing en verantwoording; / aandachtspunten voor informatieveiligheid. Procesmatige aspecten van dit onderzoek, zoals de doelstelling, aard, vraagstelling en onderzoeksverantwoording zijn opgenomen als bijlage 1.

Landelijke kaders voor informatiebeveiliging De Baseline Informatiebeveiliging Overheid is het leidend landelijk kader Sinds 1 januari 2020 is de Baseline Informatiebeveiliging Overheid (BIO) van kracht. De BIO vervangt de bestaande baselines voor informatiebeveiliging voor gemeenten, waterschappen, provincies en het Rijk. Met de BIO is er één normenkader voor informatiebeveiliging voor alle overheidsinstanties. De BIO kan gezien worden als een update van de Baseline Informatiebeveiliging Gemeenten (BIG), met in vergelijking minder maatregelen, het toewijzen van maatregelen aan eindverantwoordelijken en meer nadruk op risicomanagement.1 De BIO vormt voor gemeenten zowel een richtlijn als een hulpmiddel om de informatiebeveiliging goed te organiseren. Binnen de BIO wordt onderscheid gemaakt tussen verschillende basisbeveiligingsniveaus waarbij wordt beschreven aan welke controlemaatregelen dient te worden voldaan en hoe verantwoording dient te worden afgelegd. De BIO biedt handvatten voor de afwegingen die betrokken medewerkers hierbij maken. Uitgangspunt is dat zogeheten proceseigenaren (direct betrokken medewerkers) grotendeels zelf verantwoordelijkheid dragen voor het goed verlopen van het proces.

Voor de drie basisbeveiligingsniveaus geldt dat de proceseigenaar de functionaris die belast is met de digitale veiligheid van de organisatie, de Chief Information Security Officer (CISO), slechts incidenteel, op verzoek, ter consultatie of ter toestemming betrekt. De gemeentesecretaris of algemeen directeur van de gemeente is eindverantwoordelijk voor de informatiebeveiliging. 2 Een belangrijk kader van de BIO is dat er door gemeenten beleidsregels voor informatiebeveiliging worden vastgesteld, en dat dit beleid periodiek wordt beoordeeld en indien nodig bijgesteld. Verder dient de gemeente de al genoemde CISO aan te stellen, die ook verantwoordelijk is voor het in goede banen leiden van de

1 Informatiebeveiligingsdienst (2022). Baseline Informatiebeveiliging Overheid: https://www.informatiebeveiligingsdienst.nl/project/base-

line-informatiebeveiliging-overheid/. 2 Baseline Informatiebeveiliging Gemeenten (2020).

uitvoering van dit beleid en de in de BIO benoemde beheersmaatregelen (zoals het opstellen van voortgangsrapportages).3 De AVG verplicht gemeenten tot zorgvuldig management Sinds 25 mei 20184 geldt in de gehele Europese Unie de Algemene Verordening Gegevensbescherming (AVG), welke in Nederland de Wet bescherming persoonsgegevens (Wpb) vervangt.5 Het doel van de AVG is het versterken en uitbreiden van privacyrechten. Hierbij krijgen verwerkingsverantwoordelijke organisaties meer verantwoordelijkheden ten aanzien van gegevensbescherming. Om aan de AVG te voldoen, moeten organisaties onder meer een privacybeleid vaststellen en een functionaris voor gegevensbescherming (FG) aanstellen. De FG moet erop toezien dat de gemeente of instantie voor wie hij of zij werkt de AVG correct toepast en naleeft. De FG treedt hierbij intern op als adviseur voor medewerkers die te maken hebben met de verwerking van persoonsgegevens. Het college van burgemeester en wethouders is verantwoordelijk voor het in goede banen leiden van de implementatie van de AVG in de gemeentelijke organisatie.

Ter ondersteuning van de verantwoordingsplicht van het college reikt de AVG naast het aanwijzen van een FG en het vaststellen van privacybeleid verschillende instrumenten aan, waaronder het bijhouden van een register van verwerkingen, het uitvoeren van een assessment van privacyrisico’s, de meldplicht datalekken en het voeren van informatiebeveilingsbeleid.6 De VNG-agenda digitale veiligheid biedt handvatten voor gemeenten De inrichting van informatiebeveiliging is grotendeels een aangelegenheid van de gemeente zelf. Enkel op specifieke onderdelen leggen gemeenten verantwoording af aan het Rijk (waaronder via de zogeheten ENSIA-rapportages). Om gemeenten bestuurlijke handvatten te bieden om de informatiebeveiliging goed in te richten heeft de Vereniging Nederlandse Gemeenten een Agenda Digitale Veiligheid vastgesteld. Hierin hebben gemeenten gezamenlijk vastgelegd hoe informatiebeveiliging binnen gemeenten wordt versterkt. Actiepunten uit de VNG-agenda zijn onder meer: / het bewust maken van ambtenaren en bestuurders over hun verantwoordelijkheid bij informatiebeveiliging; / het versterken van de eigen digitale weerbaarheid van gemeenten; / het oefenen met digitale incidenten binnen de organisatie en met ketenpartners. 7

De gemeentelijke kaders voor informatiebeveiliging Coalitieakkoord en collegeprogramma benoemen informatiebeveiliging niet In 2018 werd in de gemeente Hellendoorn het coalitieakkoord Duurzaam Durven Doen afgesloten. Hierin is op hoofdlijnen weergegeven hoe het gemeentelijk beleid er voor de periode 2018-2022 uit dient te zien. Het coalitieakkoord is uitgewerkt in een collegeprogramma met concretere actiepunten. Het onderwerp informatiebeveiliging of informatieveiligheid komt in zowel het coalitieakkoord als het collegeprogramma niet aan bod. 8 Er zijn hiermee geen politiek-inhoudelijke kaders meegegeven voor informatiebeveiliging in Hellendoorn. De gemeente kent een actueel beleidskader voor informatiebeveiliging Het huidige beleidskader informatieveiligheid van de gemeente Hellendoorn is op 9 maart 2021 door het college van burgemeester en wethouders vastgesteld. Dit beleidskader vervangt een eerder beleidskader uit 2018 3 Ibid., pp. 25-29. 4

De verordening trad in mei 2016 in werking, maar organisaties kregen tot 25 mei 2018 de tijd om hun organisatie en/of bedrijfsvoering met de AVG in overeenstemming te brengen 5 Autoriteit Persoonsgegevens: Algemene Informatie over de AVG: https://autoriteitpersoonsgegevens.nl/nl/onderwerpen/algemene-informatie-avg/algemene-informatie-avg 6 VNG - Raadgever algemene verordening gegevensbescherming (AVG) 7 VNG (2020). Agenda Digitale Veiligheid 2020-2024, pp. 2-3. 8 Gemeente Hellendoorn (2018). Coalitieakkoord 2018-2022 Duurzaam Durven Doen; ibid., collegeprogramma 2018-2022.

2

wat destijds was opgesteld naar aanleiding van de invoering van de Algemene Verordening Gegevensbescherming (AVG). Het informatiebeveiligingsbeleid vormt het kader voor alle maatregelen die de gemeente neemt om te zorgen dat de gemeente voldoet aan relevante wet- en regelgeving.9 Het beleidskader is in 2021 mede geactualiseerd naar aanleiding van een impact analyse en vervolgens een plan van aanpak uit 2019 voor de implementatie van de BIO. Op basis van het beleidskader zijn verschillende interne werkprocedures en werkinstructies opgesteld voor de betrokken medewerkers. In het beleidskader informatieveiligheid worden de verplichtingen uit de BIO en de AVG samengevat. Op basis van de verplichtingen die hieruit voortkomen zijn in het beleidskader verschillende uitgangspunten geformuleerd voor de borging van informatieveiligheid in Hellendoorn. De meest relevante worden hieronder weergegeven:    

Het college van burgemeester en wethouders is bestuurlijk eindverantwoordelijk voor de informatieveiligheid in Hellendoorn en schept de randvoorwaarden om deze te waarborgen. Uitvoering en handhaving van regels over informatieveiligheid is een verantwoordelijkheid van het lijnmanagement. Informatieveiligheidsbeleid wordt in afstemming met het privacybeleid belegd bij de CISO en de FG, die toezien op de uitvoering en handhaving van het beleid. Opvolgen van het informatieveiligheidsbeleid binnen ieder team is de verantwoordelijkheid van het teamhoofd. Van medewerkers wordt verwacht dat zij verantwoord en bewust omgaan met informatieveiligheid.10

Daarnaast worden in het beleidskader voor verschillende thema’s maatregelen benoemd die voortkomen uit de verplichtingen in de BIO en de AVG. Zo wordt bijvoorbeeld benoemd dat in het kader van toegankelijkheid tot gevoelige gegevens veiligheidsmaatregelen zijn getroffen door het aanbrengen van zones in gebouwen van de gemeente, zodat alleen medewerkers met de juiste autorisatie toegang krijgen tot gevoelige gegevens. Ook wordt benoemd dat voor een veilig ICT-gebruik ‘awareness’-campagnes en -trainingen worden gegeven aan medewerkers.11 Het beleidskader is uitgewerkt in een beveiligingsplan Op basis van het beleidskader informatieveiligheid is in mei 2021 door de CISO een informatiebeveiligingsplan opgesteld. In dit plan zijn verschillende projecten en activiteiten opgenomen die worden uitgevoerd in het kader van (het verbeteren van) de informatieveiligheid. Bij het opstellen van de maatregelen zijn aandachtspunten naar aanleiding van een beveiligingsincident in de gemeente Hof van Twente in 2020 meegenomen, zoals het configureren van een firewall en het tijdig signaleren van verdachte inlogpogingen. Per project/activiteit wordt in het plan een korte omschrijving, de kwalitatieve gevolgen en incidentele/structurele kosten weergegeven. Daarnaast is een geprioriteerde planning opgenomen waarin staat aangegeven wanneer de verschillende projecten/activiteiten worden uitgevoerd.

Ieder kwartaal wordt gerapporteerd over de voortgang van de projecten en activiteiten uit het beveiligingsplan.12 Verderop in deze brief wordt hier verder op ingegaan. Het privacybeleid van de gemeente wordt geactualiseerd Daarnaast kent de gemeente Hellendoorn een beleidskader privacy en een privacystatement uit 2018. Op het moment van schrijven wordt dit beleidskader geactualiseerd.13 Centraal uitgangspunt van het huidige privacybeleid is dat verwerking van persoonsgegevens alleen plaatsvindt ‘’op basis van een legitieme grondslag en voor het doel waarvoor de gegevens beschikbaar zijn gesteld.’’ Er zijn zes redenen waarom de gemeente Hellendoorn persoonsgegevens kan verwerken:  wanneer het verzamelen van persoonsgegevens voortkomt uit een wettelijke taak, zoals de gemeentelijke basisadministratie personen of de wet maatschappelijke ondersteuning;  wanneer persoonsgegevens nodig zijn voor het verlenen van een bijstandsuitkering of een vergunning; 9 Gemeente Hellendoorn (2022). Programmabegroting, pp. 124-125. 10 Gemeente Hellendoorn (2021). Beleidskader informatieveiligheid, p. 5. 11 Gemeente Hellendoorn (2021). Beleidskader informatieveiligheid, pp. 10-13. 12

Gemeente Hellendoorn (2021). Informatiebeveiligingsplan 2021.

13 Gemeente Hellendoorn (2022). Programmabegroting, pp. 124-125.

3

   

om beleids- en statistische informatie te kunnen krijgen met het doel op het goed kunnen uitvoeren van overheidstaken, zoals gegevens voor het CBS; voor de gemeentelijke bedrijfsvoering, om als dienstverlener goed inzicht te hebben in de klantrelaties; omwille van de veiligheid van de inwoner; omwille van archiefdoeleinden; gegevens kunnen bijvoorbeeld gebruikt worden voor juridische procedures of voor historische, statistische of wetenschappelijke doeleinden;

Er worden aan inwoners niet meer gegevens gevraagd dan nodig is en deze gegevens worden ook niet langer bewaard dan nodig is. De gegevens zijn alleen in te zien wanneer dat voor de uitoefening van het werk noodzakelijk is.14 Er worden ieder jaar uitvoeringsplannen vastgesteld Ieder jaar worden twee uitvoeringsplannen opgesteld voor respectievelijk informatieveiligheid en privacy. De maatregelen in deze plannen komen voort uit het beleidskader en de aandachtspunten die voortkomen uit de ‘Gap’-rapportage (de jaarlijkse check op het naleven van de BIO). In de uitvoeringsplannen wordt een indeling gemaakt in drie onderwerpen: preventie, detectie en reactie. Preventie bestaat voornamelijk uit voorlichting en trainingen, maar ook een gedeelte infrastructurele (technische) inrichting. Bij detectie en reactie gaat het voornamelijk om de periodieke scans en checks die door het jaar heen plaatsvinden, en de acties die hieruit voortkomen.

Invulling van risicobeheersing en verantwoording De CISO heeft een coördinerende rol in de organisatie De CISO heeft een coördinerende rol in de organisatie op het gebied van informatieveiligheid, en maakt onderdeel uit van het team dienstverlening/informatisering. De CISO stelt het beleid op en is daarnaast ook de ENSIA-coördinator. De CISO heeft daarnaast een aantal uitvoerende taken, met name op het gebied van de invoering van technische maatregelen. Hier vindt wekelijks operationeel overleg over plaats met onder andere de ITcoördinator en technisch beheer. Verder adviseert de CISO bij verschillende IT-zaken via het CAB (Change Advisory Board). Nieuwe medewerkers krijgen steevast een persoonlijk gesprek met de CISO en de FG, waarin de medewerkers helemaal worden voorbereid op het beleid en de praktische kanten ervan. Er is een grote hoeveelheid aan protocollen en werkinstructies voor medewerkers, opgesteld door de CISO. De CISO gebruikt hiervoor een zogeheten ISMS-tool die gebaseerd is op de BIO, waarin standaard documenten zijn opgenomen die als basis dienen voor deze werkinstructies en protocollen. Denk aan instructies voor functioneel beheerders van applicaties, maar ook aan autorisatiebeleid, wachtwoorden en beveiligingsincidenten.

De gemeente voert verschillende maatregelen uit voor risicobeheersing en verantwoording De gemeente Hellendoorn heeft sinds de inwerkingtreding van de AVG en de Baseline Informatiebeveiliging Gemeenten (BIG) in 2018 verschillende maatregelen genomen om informatiebeveiliging te organiseren. Zo zijn er een CISO en een FG aangesteld die respectievelijk toezien op de uitvoering van de maatregelen die voortkomen uit de BIG (later de BIO) en de AVG,15 zijn er verschillende registers en rapportagecycli ingesteld en zijn intern en extern verschillende (schriftelijke) afspraken gemaakt. In de paragrafen hieronder wordt op een aantal relevante maatregelen verder ingegaan. Er is een register van verwerkingen en er zijn afspraken gemaakt met externen over gegevensverwerking In 2018 heeft de gemeente Hellendoorn een register van verwerkingen ingericht. In dit register zijn alle gegevensverzamelingen van de gemeente vastgelegd en gedocumenteerd. Op verzoek kunnen inwoners inzage 14

Gemeente Hellendoorn (2018). Privacybeleid en privacystatement.

15 Gemeente Hellendoorn (2019). Gemeenterekening 2018, p. 21.

4

krijgen in de informatie die over hen is vastgelegd. In 2020 is naar aanleiding van de inwerkingtreding van de BIO het register uitgebreid met een risicoclassificatie per verwerking en bewaartermijnen. 16 In de periode 2018-2019 zijn daarnaast met verschillende externe partijen afspraken gemaakt over gegevensverwerking in verwerkersovereenkomsten. Het gaat hier om overeenkomsten met partijen die gegevens verwerken in opdracht van de gemeente. In de verwerkersovereenkomsten is schriftelijk vastgelegd op welke wijze gegevensverwerking plaats moet vinden, met als voornaamste doel het beschermen van de privacy van betrokkenen.17 Sinds 2017 wordt jaarlijks verantwoording afgelegd in de ENSIA-rapportages De gemeente Hellendoorn legt sinds 2017 jaarlijks verantwoording af over informatieveiligheid en privacy middels de zogeheten ENSIA-rapportages. ENSIA staat voor Eenduidige Normatiek Single Information Audit, en heeft tot doel om toezicht en verantwoording bij informatiebeveiliging professioneel te organiseren. 18 Hierdoor heeft het gemeentebestuur meer overzicht over de stand van zaken van de informatieveiligheid en kan het hier ook beter op sturen.

Er worden verschillende aanvullende tests en controles uitgevoerd Naast de ENSIA-zelfevaluatie worden ook tussentijds aanvullende controles uitgevoerd als periodieke audits, phishing tests, penetratie- en vulnerabilityscans en de inzet van een mystery-guest. Hiervoor is een integraal controleplan opgesteld. Voor de vulnerabilityscan is in 2021 de software-infrastructuur ingericht. Sinds dit jaar wordt 24 uur per dag en zeven dagen per week gemonitord op kwetsbaarheden in het systeem, zoals zwakke wachtwoorden of openstaande ‘’poorten’’. De constante monitoring biedt de mogelijkheid om direct te kunnen reageren op bedreigingen. Daarnaast voert een onafhankelijke auditor ieder jaar een zogeheten PEN-test uit, waarbij wordt geprobeerd in te breken op het gemeentelijk netwerk om te testen of de beveiligingsmaatregelen afdoende zijn. Ook wordt een aanvullende vulnerabilitytest uitgevoerd door deze auditor.19 In de P&C-cyclus wordt periodiek over informatiebeveiliging gerapporteerd Jaarlijks wordt middels de programmabegroting van de gemeente Hellendoorn vastgesteld wat de gemeentelijke doelen voor informatiebeveiliging zijn. Via de jaarlijkse gemeenterekening wordt verantwoording afgelegd. De P&C-documenten kennen sinds 2019 op initiatief van de CISO van destijds een aparte paragraaf voor informatieveiligheid en privacy.

Hierin is in een uitgebreid overzicht weergegeven wat het landelijk en gemeentelijk beleidskader is, welke acties over dit onderwerp gepland zijn (programmabegroting) en welke acties zijn uitgevoerd (jaarstukken). Via kwartaalrapportages wordt verantwoording afgelegd Sinds 2018 wordt binnen de gemeente Hellendoorn gewerkt met kwartaalrapportages over informatieveiligheid en privacy. In de rapportages wordt verantwoording afgelegd over de voortgang van de verschillende werkzaamheden. Deze wordt beoordeeld op basis van de projecten/activiteiten die voortkomen uit het informatiebeveiligingsplan. Per project/activiteit wordt aangegeven of deze al dan niet gestart of afgerond is, of dat er sprake is van een continue inspanning. De kwartaalrapportages worden ter informatie gedeeld met de gemeenteraad.20 Uit de recentste kwartaalrapportage (Q1 2022) blijkt dat alle projecten/activiteiten uit het beveiligingsplan inmiddels zijn gestart of afgerond. 21 Er worden maatregelen getroffen om kennis en bewustzijn te vergroten 16

Gemeente Hellendoorn (2021). Gemeenterekening 2020, p. 139.

17 Gemeente Hellendoorn (2019). Gemeenterekening 2018, p. 21. 18 Gemeente Hellendoorn (2019). Gemeenterekening 2018, p. 22. 19 Gemeente Hellendoorn (2022). Programmabegroting, pp. 125-126. 20

Gemeente Hellendoorn (2018-2022). Kwartaalrapportages periode 2018-2022.

21 Gemeente Hellendoorn (2022). Kwartaalrapportage informatieveiligheid Q 1 2022.

5

Om kennis en bewustzijn van gemeentelijk medewerkers over informatiebeveiliging op peil te houden, heeft de gemeente Hellendoorn verschillende maatregelen ingericht. Nieuwe medewerkers krijgen conform de BIO en de AVG een introductieprogramma aangeboden om kennis te maken met de regelgeving op het gebied van informatieveiligheid en privacy. Voor zittende medewerkers worden herhalingstrainingen aangeboden. Voor bepaalde organisatieonderdelen die regelmatig met gevoelige informatie werken is het volgen van deze trainingen verplicht. Daarnaast wordt om de kennis binnen de organisatie te borgen gewerkt met privacy-ambassadeurs. Dit zijn medewerkers die veel kennis van zaken over en affiniteit met informatieveiligheid en privacy hebben. Binnen ieder team wordt een privacy-ambassadeur aangewezen die voor zijn of haar collega’s het eerste aanspreekpunt is bij eventuele vragen of opmerkingen. 22 Er zijn nog aandachtspunten met betrekking tot datalekken en bewustzijn van medewerkers Uit de recentste kwartaalrapportage komt naar voren dat er in 2022 zich tot nu toe twee datalekken hebben voorgedaan. In beide gevallen ging het niet om gevoelige persoonsgegevens. Daarom zijn deze datalekken niet gemeld bij de Autoriteit Persoonsgegevens, maar alleen intern als beveiligingsincident genoteerd.

Naar aanleiding hiervan is binnen de organisatie opnieuw aandacht gevraagd voor dit onderwerp bij medewerkers. Bewustzijn van medewerkers over informatieveiligheid is een blijvend aandachtspunt. Houding en gedrag is het belangrijkste knel- en verbeterpunt. Medewerkers zijn vaak bezig met de dagelijkse activiteiten en hebben beperkte aandacht voor het onderwerp. Dat geldt zeker voor medewerkers die niet dagelijks met het onderwerp te maken hebben Gap-analyses aan de hand van de BIO laten zien dat de gemeente de meeste zaken op orde heeft, maar niet alle vragen in de analyse konden positief worden beantwoord. Met name op het gebied van vastlegging en borging van procedures zijn er verbetermogelijkheden, en daarnaast zijn er nog een aantal technische verbetermaatregelen mogelijk om sneller en proactiever te handelen. Een intern controleplan om de uitvoering van de ingezette maatregelen continu te monitoren is in voorbereiding.

Samenvatting bevindingen en aandachtspunten voor de toekomst Beantwoording van de deelvragen De gemeente Hellendoorn kent een compleet en actueel beleidskader voor informatiebeveiliging, met een centraal beleidsdocument en een bijbehorende uitvoerings- en rapportagecyclus. Het beleidskader is voor zover in dit onderzoek kon worden nagegaan conform de relevante landelijke richtlijnen opgesteld. Ten bate van de uitvoering wordt jaarlijks een uitvoeringsprogramma opgesteld wat voorzien is van concrete actiepunten. Het gemeentelijke privacybeleid wordt op het moment van schrijven geactualiseerd. De CISO speelt een centrale rol in de uitvoering van het beleidskader. De CISO coördineert de uitvoering middels het opstellen van uitvoeringsprogramma’s en rapporteert hier periodiek over middels kwartaalrapportages en in de P&C-cyclus. Ten bate van de uitvoering van de doelstellingen in het beleidskader heeft de CISO verschillende werkinstructies, werkwijzen en protocollen opgesteld. De CISO is tevens ENSIA-coördinator en speelt een rol in het borgen van de IT-structuur in de gemeente Hellendoorn. Binnen de organisatie is er sprake van een duidelijke taak- en rolverdeling, met een sterke nadruk op de eigen verantwoordelijkheid van medewerkers ten aanzien van informatiebeveiliging.

Om hen te ondersteunen zijn er verschillende mogelijkheden als cursussen, trainingen en instructies ingericht. Ook worden medewerkers sinds kort ondersteund door privacy-ambassadeurs. Hiermee lijken er voldoende waarborgen te zijn om medewerkers te faciliteren. Op het gebied van risicobeheersing worden de stappen gezet conform de landelijke richtlijnen. Denk hierbij aan de ENSIA-rapportages en overige periodieke en incidentele audits, controles, tests. Daarnaast wordt jaarlijks 22 Gemeente Hellendoorn (2022). Programmabegroting, p. 125.

6

middels de Gap-analyses nagegaan in hoeverre de gemeente Hellendoorn informatiebeveiliging conform landelijke richtlijnen heeft ingericht en welke vervolgacties nodig zijn. Verantwoording over informatiebeveiliging vindt periodiek plaats aan college en gemeenteraad middels de hierboven genoemde rapportages. Hierbij wordt verder gegaan dan de verplichte ENSIA-rapportages door in de P&C-stukken een uitgebreide toelichting op te nemen over lopende acties en voorgenomen doelstellingen, en door te werken met kwartaalrapportages die ter informatie met de raad worden gedeeld. Aandachtspunten voor de toekomst De gemeente Hellendoorn heeft zoals benoemd de basis op orde waar het gaat om informatiebeveiliging. Tegelijkertijd zijn er een aantal aandachtspunten aan te wijzen ten aanzien van de informatiebeveiliging: -

-

-

Ondanks dat in Hellendoorn veel op orde is als het gaat om informatiebeveiliging, komen nog steeds datalekken voor. Het is van belang om dit onderwerp blijvend onder de aandacht te hebben en medewerkers op dit belang te wijzen bij de (periodieke) trainingen en in de bestaande protocollen en werkinstructies. Uit geraadpleegde bronnen komt naar voren dat bewustzijn onder medewerkers over informatiebeveiliging een blijvend aandachtspunt is. Medewerkers zijn vaak bezig met de dagelijkse activiteiten en hebben beperkte aandacht voor het onderwerp. Dat geldt zeker voor medewerkers die niet dagelijks met het onderwerp te maken hebben. Er zijn al verschillende middelen geïmplementeerd om medewerkers te faciliteren, zoals cursussen en het inzetten van privacy-ambassadeurs. Overwogen kan worden om deelname aan de betreffende cursussen en trainingen (ook voor medewerkers die al een tijdje bij de gemeente werken) verplicht te maken. Gap-analyses aan de hand van de BIO laten zien dat er met name op het gebied van vastlegging en borging van procedures verbetermogelijkheden zijn. Daarnaast zijn er nog een aantal technische verbetermaatregelen mogelijk. Een intern controleplan hiervoor is in voorbereiding. Ik adviseer het college om dit plan ter informatie voor te leggen aan de gemeenteraad.

Tenslotte moedig ik de raad aan om invulling te (blijven) geven aan de kaderstellende en vooral controlerende rol ten aanzien van informatiebeveiliging. Helaas is het nodig om naast het bevorderen van de fysieke en sociale veiligheid van de inwoners van Hellendoorn, ook meer en meer aandacht te geven aan het bewaken van de digitale veiligheid. Hoewel op dit onderwerp met name het college aan zet is, heeft de raad de taak om het gevoerde beleid te toetsen aan gestelde kaders. De raad heeft zelf een verantwoordelijkheid om de uitgebrachte rapportages door te nemen en indien relevant vervolgvragen te stellen. Ik wens u veel succes bij uw rolinvulling bij dit belangrijke onderwerp.

Met vriendelijke groet, Namens de Rekenkamer West-Twente, Carlo van Dijk directeur

7

Bijlage 1 Aanleiding Na een consultatie van het presidium met diverse onderzoeksonderwerpen heeft de rekenkamer besloten in 2021 drie korte onderzoeken uit te voeren. Dit onderzoek naar informatiebeveiliging betreft het derde onderzoek uit het jaarplan 2021. Informatiebeveiliging is een belangrijk en actueel onderwerp dat veel van de lokale overheid vraagt. Sinds de inwerkingtreding van de Baseline Informatiebeveiliging Gemeenten (en diens opvolger de Baseline Informatiebeveiliging Overheid) hebben gemeenten steeds meer taken gekregen om informatiebeveiliging in te richten. Om dit in goede banen te leiden wordt ondersteuning geboden door onder meer Informatiebeveiligingsdienst (IBD) en de Vereniging Nederlandse Gemeenten (VNG) middels richtlijnen, handreikingen en trainingen. Daardoor beschikt de gemeente over veel tools om informatiebeveiliging goed en professioneel in te richten. Maar gebeurt dit ook daadwerkelijk? Voor de gemeenteraad is het relevant om inzicht te krijgen in de wijze waarop informatiebeveiliging nu is ingericht en welke verbeterpunten er mogelijk zijn. Daarom wordt middels deze quickscan een beknopt beeld gegeven over de informatiebeveiliging binnen de gemeente Hellendoorn. De belangrijkste thema’s in deze quickscan zijn beleid (en de uitvoering hiervan), risicobeheersing en -bewustzijn en verantwoording.

Hoofd- en deelvragen Hoofdvraag: hoe is de informatiebeveiliging binnen de gemeente Hellendoorn ingericht en welke verbetermogelijkheden zijn er? Deelvragen 1. Wat zijn de relevante landelijke en gemeentelijke kaders voor informatiebeveiliging? 2. Op welke wijze wordt invulling gegeven aan deze kaders? a. Welke rol speelt de CISO in de inrichting van de informatiebeveiliging? b. Hoe zijn taken en rollen binnen de organisatie verdeeld? c. In hoeverre wordt invulling gegeven aan risicobeheersing? d. In hoeverre wordt er verantwoording afgelegd over de informatiebeveiliging? 3. Welke mogelijke wensen, ambities en verbetermogelijkheden zijn er ten aanzien van de informatiebeveiliging? Onderzoeksverantwoording De onderzoekswerkzaamheden bestonden uit een documentenanalyse en het voeren van een duidingsgesprek met de CISO. Dit gesprek vond op 14 april 2022 plaats. De resultaten van het onderzoek zijn voorgelegd aan de ambtelijke organisatie voor een feitelijke check.

8