RN 025 Bijlage bestuurlijke wederhoor nav Rekenkamer rapport Informatie beveiliging

Bijlage bij bestuurlijke reactie Rekenkamer onderzoek Informatiebeveiliging (zaaknummer 51380108)

Reactie betreffende de bevindingen voor onderzoeksgebied ‘organisatie’ (hoofdstuk 3) Hoofdstuk 3 betreft het onderzoeksgebied ‘organisatie’. In paragraaf 3.1 zijn bevindingen beschreven en paragraaf 3.2 bevat een tabel met diezelfde bevindingen (in totaal 20), aangevuld met risico’s en aanbevelingen. We hebben ervoor gekozen onze reactie te geven op basis van de tabel. Voor de leesbaarheid is ervoor gekozen om de tabel die vanaf pagina 20 in het rapport is opgenomen hieronder in zijn geheel over te nemen en deze ook uniek te nummeren van nr 1 tot en met nr 20. Voor de bestuurlijke reactie is er een extra kolom aan toegevoegd.

Paragraaf

Bevinding

Risico/Impact

Aanbevelingen

Bestuurlijke reactie

3.1.1 (nr 1)

Er is geen data classificatie beleid waardoor het onduidelijk is hoe bepaalde documenten behandeld c.q. beveiligd moeten worden.

Implementeer een dataclassificatie beleid en systeem.

3.1.2 (nr 2)

Een aantal beschreven processen van het beleid zijn nog onvoldoende ingebed in de organisatie of nog niet beschreven naar concrete en uitvoerbare acties. Hierdoor beschrijven deze processen onvoldoende wat het verwacht van de medewerkers.

Er kan niet gegarandeerd worden dat medewerkers op de juiste wijze omgaan met (gevoelige) informatie binnen de gemeente. De opvolging en naleving van het beleid (ofwel de werking in de praktijk) blijft bij de meeste medewerkers uit.

3.1.2 (nr 3)

Het beleid wordt onvoldoende gecommuniceerd richting de

Medewerkers zijn niet op de hoogte van het IB beleid en handelen

Communiceer de intranetsite ‘Veilig Werken’ periodiek

Nemen we over en is al deels ingevoerd In 2022 is gestart met het project gegevensmanagement. Dit project loopt door in 2023 en onderdeel hiervan is de uitwerking van dataclassificatie beleid en vervolgens de implementatie daarvan. In onze vernieuwingen nemen we dataclassificatie al actief mee. Nemen we over en voegen acties toe aan planning. In de door de CISO nog op te stellen planning voor 2023, geven we extra aandacht aan die processen die nog beter kunnen worden ingebed. Verder actualiseren we beleidsstukken. Aanvullend; in november 2022 hebben we het functioneel en applicatiebeheer gecentraliseerd. De aansturing valt nu onder centrale verantwoordelijkheid van IVA waardoor we makkelijker integraal de verbeteringen op de processen kunnen doorvoeren. Zie ook de eerdere toelichting op het bedrag van 2,8 miljoen euro. Nemen we over Op grond van de aanbeveling passen we het communicatieplan aan om het beleid op de juiste wijze bij

Scherp de overige operationele beleidsstukken en protocollen aan of werk deze uit, zodat de werking in de praktijk beter aansluit op het beleid.

1

Paragraaf

Bevinding

Risico/Impact

Aanbevelingen

Bestuurlijke reactie

medewerkers. En er wordt te weinig geverifieerd of medewerkers op de hoogte zijn van het beleid.

daardoor niet naar het voorgeschreven beleid.

de verschillende doelgroepen onder de aandacht te brengen.

3.1.3 & 3.1.8 (nr 4)

Het SPO en ICT team zijn incompleet en het SPO team is relatief onervaren.

Het risico is dat het tijdig signaleren en het juist kwantificeren van risico’s nu onvoldoende geborgd kan worden.

3.1.3 (nr 5)

Voor bepaalde functies geldt dat taken, verantwoordelijkheden en rapportagelijnen niet helder zijn afgebakend of dat er geen officiële benoeming is.

Wanneer taken, verantwoordelijkheden en rapportagelijnen niet helder zijn afgebakend, kan het voorkomen dat medewerkers elkaar overlappen in verantwoordelijkheden of dat zaken juist niet worden opgepakt. Wanneer de CISO en FG niet direct rapporteren aan het college van B&W, is het risico dat zij hun werkzaamheden

naar iedereen en doe dit via verschillende kanalen zoals: mail, team overleggen, IB sessies, KNAAL e.d. Vervul de openstaande vacatures binnen het SPO en ICT team. Bied handvatten aan en faciliteer ontwikkelingsmogelij kheden zodat het SPO team groeit in kennis en ervaring. Beleg en mandateer taken en verantwoordelijkhed en (m.b.t. informatiebeveiliging en privacy) zodat er een duidelijk afbakening ontstaat. Formaliseer de huidige rapportagelijn van de FG naar de verantwoordelijke wethouder om onafhankelijkheid 2

We delen de observatie en hebben daar al acties op staan Het SPO-team is inmiddels compleet ingevuld, per 1 september 2022 is een nieuwe CISO begonnen en binnen het ICT-team wordt volop op vacante functies geworven. De leden van SPO-team volgen in 2023 diverse trainingen op het gebied van privacy en informatiebeveiliging. Ook wordt actief aandacht besteed aan de uitwerking van de producten en diensten en verdere competentieontwikkeling. Het jaar 2022 was voor ons een jaar van ‘zaaien’ . In 2023 gaan we steeds meer ‘oogsten’. We nemen de observatie over en deels de oplossing. We zoeken naar een oplossing die recht doet aan de complexiteit van het vraagstuk en de kennis die daarvoor nodig is vanuit management en bestuur. En die recht doet aan de onafhankelijkheid van de FG en CISO. Waar we afwijken is de positionering van de CISO en FG bij de verantwoordelijke wethouder. We houden die in de ambtelijke organisatie. Vanwege de scheiding van bestuurlijke en ambtelijke taken . We stellen wel voor de aanbeveling te onderzoeken over de rapportagelijnen en mandaten, zeker in relatie tot verantwoordelijk wethouder. Waar nodig passen we die

Paragraaf

3.1.4 (nr 6)

Bevinding

Er is geen information security management systeem (ISMS) aanwezig, waarmee er structureel een PDCA aanpak op IB wordt geborgd.

Risico/Impact

Aanbevelingen

Bestuurlijke reactie

niet onafhankelijk kunnen uitvoeren.

van de FG te waarborgen. Breng de CISO formeel onder bij de verantwoordelijke wethouder en implementeer een directe rapportagelijn tussen hen.

aan om de onafhankelijkheid van de functionarissen te borgen.

Hierdoor ontstaat het risico dat IB op ad-hoc basis wordt georganiseerd en dat (nieuwe) dreigingen en risico’s onvoldoende adequaat worden (h)erkent en beheerst.

Richt een ISMS in waardoor structuur kan worden aangebracht in IB en om inzichtelijk te maken welke dreigingen en risico’s prioriteit hebben. Daarnaast wordt het met een ISMS overzichtelijk of de gemeente heeft voldaan aan de normvereisten.

Nemen we volledig over Hier lijkt wat spraakverwarring te zijn. We hanteren wel een ISMS (dat wordt ook verlangd vanuit regelgeving en normenkaders), maar we hebben hiervoor niet een specifieke tool of een specifiek pakket. De implementatie van specifieke ISMS tooling is in 2024 voorzien en daarvoor is ook budget gereserveerd.

3

Paragraaf

Bevinding

Risico/Impact

Aanbevelingen

Bestuurlijke reactie

3.1.4 & 3.1.5 (nr 7)

Er zijn nog geen afgeronde businesscontinuïteitsmanage ment-, communicatie- en crisiscommunicatieplannen in werking wat zicht op de continuïteit van de gemeente geeft.

Hierdoor gaat het weerstandsvermogen en veerkracht ten koste bij een crisis en is er minder zicht op alle bedreigingen m.b.t. de continuïteit van de gemeente.

Rond alle plannen omtrent businesscontinuïteits management-, communicatie en crisiscommunicatie af en communiceer deze naar de medewerkers. Oefen crisissituaties periodiek in de praktijk d.m.v. crisistrainingen en crisisscenario’s.

3.1.6 (nr 8)

Risicomanagement is niet overal onderdeel van de besluitvorming omtrent IB. Hierdoor is minder zicht op de risicobereidheid en kan minder gecontroleerd worden of de maatregelen binnen de gemeente de risico’s terugbrengen tot een acceptabel niveau.

Er is minder zicht op het dreigingsbeeld en de naleving van acties die hieruit voortvloeien.

Stimuleer een risicogerichte denkwijze door het centraliseren van risicomanagement.

We delen de observatie en hebben hier in 2022 al actie op gezet We hebben in 2022 het traject Business Continuity Management (hierna: BCM) opgestart. Dit wordt in 2023 verder uitgevoerd en de in de aanbeveling genoemde aspecten zijn alle onderdeel van dit traject. We werken dit uit met Concern Control omdat we risicomanagement (naast financieel ook operationeel en IT) in de breedte van de organisatie zullen versterken. Aanvullend; we hebben al diverse malen ervaren dat we in het geval van een crisis adequaat reageren. Denk aan de Senzer aanval, waar wij snel op gereageerd hebben en niet ook ‘besmet’ werden. Ook in de COVID pandemie hebben we laten zien dat we in staat zijn onze dienstverlening te continueren. We zullen dit meer planmatig gaan uitwerken en uitvoeren conform aanbeveling. We delen de observatie en hebben hier in 2022 al actie op gezet Onderdeel van het genoemde BCM-traject is het identificeren en adresseren van de risico’s die de continuïteit van de organisatie raken. Daarnaast ondersteunt het SPO-team de proceseigenaren bij het verder implementeren van risicomanagement voor de processen waar de proceseigenaren verantwoordelijk voor zijn.

3.1.6 (nr 9)

Er worden alleen risicoanalyses uitgevoerd op nieuwe en aangepaste processen, niet op bestaande processen.

Onvoldoende zicht en sturing op (de grootste en juiste) risico’s en dreigingen van bestaande processen en

Implementeer risicoanalyses op bestaande processen en actualiseer deze periodiek. 4

We delen de observatie en hebben hier in 2022 al deels actie op gezet We herkennen de bevinding, we hebben ook een beleidsregel dat we de risicoanalyses periodiek herzien. We constateren ook dat we daar nog onvoldoende

Paragraaf

3.1.7 (nr 10)

Bevinding

Risico/Impact

Daarnaast worden er geen risicoanalyses uitgevoerd op metaniveau, waardoor er een overzicht ontbreekt van de (potentiële) risico’s gemeente breed.

op metaniveau, waardoor hier niet tijdig op kan worden ingespeeld. Daarnaast is het niet zeker of de juiste maatregelen worden genomen.

De gemeente heeft bij een aantal samenwerkingspartners onvoldoende zicht op hoe zij IB in de praktijk hebben ingericht en of zij zich houden aan de afspraken in de overeenkomsten.

Samenwerkingspartners kunnen een (te) laag niveau van IB hanteren, welke onvoldoende is voor de standaarden voor de gemeente.

Aanbevelingen

Bestuurlijke reactie resultaat mee bereiken en werken aan borgingsmaatregelen. Daarnaast wordt in het BCM-traject aandacht besteed aan (potentiële) risico's gemeente breed vanuit scenario's die beschikbaar zijn gesteld door de informatiebeveiligingsdienst van de VNG.

Laat de samenwerkingspartij en evalueren door de contractmanager op welke afspraken er zijn gemaakt, of de overeengekomen afspraken worden nageleefd en hoe de partijen IB in de praktijk hebben ingericht. Verifieer of bij alle overeenkomsten met samenwerkingspartn ers de Standaard Verwerkersovereenk omst Gemeenten van de VNG is gebruikt en waar dit niet het geval is, evalueer deze 5

Nemen we over en is al ingevoerd bij nieuwe overeenkomsten Bij nieuwe overeenkomsten worden standaard leveringsvoorwaarden gehanteerd zoals de GIBIT. Daarin zijn ook de eisen ten aanzien van IB beschreven. Voor iedere nieuwe toepassing wordt door SPO een RisicoAnalyse uitgevoerd. Daarin wordt ook de SLA en de verwerkersovereenkomst betrokken. Naleving wordt o.a. getoetst aan de hand van ISO27001 certificering en/of TPM zoals ISAE3000 of ISAE3402. Zonder dergelijke overeenkomsten wordt de dienst in beginsel niet aangegaan. Als dat tot bezwaren leidt zal de risico-analyse bepalen of verantwoord afgeweken kan worden van dit beleid.

Paragraaf

Bevinding

Risico/Impact

Aanbevelingen

Bestuurlijke reactie

overeenkomsten opnieuw. 3.1.7 (nr 11)

Bij de aanschaf van (IT) producten en diensten worden CISO en de privacyorganisatie niet altijd, of (te) laat betrokken, waardoor eisen m.b.t. informatiebeveiliging niet voldoende worden gewaarborgd.

De aangeschafte (IT) producten en diensten en/of de leverancier die het levert voldoen niet aan het IB-beleid en de gestelde beveiligingseisen.

3.1.8 (nr 12)

De informatie processen binnen het ICT landschap vragen veel handmatig werk, waardoor er sprake is van weinig automatisering in de processen en tools.

Hierdoor neemt het risico toe op het maken van fouten die kunnen leiden tot informatiebeveiligingsin cidenten.

Voldoe bij elke aanschaf aan de eisen m.b.t. informatiebeveiliging . De eisen dienen voor het sectorhoofd/de inkoper helder en vindbaar te zijn. Werkprocessen moeten ervoor zorgen dat de CISO/privacyorganisa tie worden betrokken. Faciliteer meer automatisering in de processen en tools van de informatieprocessen binnen het ICT landschap.

6

Nemen we over, het is reeds onderdeel van de eisen bij nieuwe aanschaf. De eisen zijn bekend bij inkoper Het tijdig betrekken van de CISO en de privacy-organisatie is onderdeel van de aanpak voor projectmatig werken. We merken wel dat de bevinding soms nog voorkomt. Dat is eerder vanuit onbekendheid dan vanuit onwelwillendheid. We blijven daarop sturen.

Deze bevindingen herkennen wij deels. We nemen de aanbeveling wel in de breedte over. In onze technische IT-infrastructuur hebben we veel geautomatiseerde controles op beveiliging en beheer al ingericht. In de meer administratieve dienstverlening en processen hebben we nog veel handmatige stappen. Dit is onderdeel van het op orde brengen van de basis. Een van de grote programma's die we hiervoor inzetten is Altijd Verbonden. We realiseren hier een integrale aanpak van de generieke informatievoorzieningen en tools voor de organisatie.

Paragraaf

Bevinding

Risico/Impact

Aanbevelingen

Bestuurlijke reactie

3.1.9 (nr 13)

Er is geen sturing op het verwijderen van (persoons)gegevens op persoonlijke schijven en email van medewerkers.

Hierdoor is er geen uniforme benadering en kan niet worden aangetoond dat in alle gevallen de juiste bewaar- en vernietigingstermijn wordt gehanteerd.

Nemen we over Wij zien dit als onderdeel van gegevensmanagement en nemen het daar ook in mee. Dit is een project in het eerder genoemde programma Altijd Verbonden. Daarnaast passen we daarin ook de regels van AVG en Archiefwet toe (ivm bewaarplicht) (zie ook reactie op bevinding 1)

3.1.9 (nr 14)

Het verwerkingsregister is niet actueel. Dit kan de transparantie over waar de gegevens van betrokkenen (burgers) voor worden gebruikt verhinderen.

Betrokkenen kunnen niet controleren of de gemeente rechtmatig met hun gegevens omgaat, wat het vertrouwen in de gemeente kan schaden. Daarnaast kan de Autoriteit Persoonsgegevens (AP) een boete geven wanneer er niet wordt voldaan aan de wetten en eisen van het verwerkingsregister.

Stel beleid op en implementeer een verwijderinstructie bij de verwerking van (persoons)gegevens. Laat medewerkers periodieke opschoning uitvoeren en controleer deze. Stuur op het gedrag van medewerkers om persoonlijke schijven en e-mail op te schonen. Actualiseer het verwerkingsregister. Beleg deze taak bij een medewerker uit het SPO team.

7

Nemen we over en is al in gang gezet Onder regie van het SPO-team is de actualisering van het register van verwerkingen opgepakt en begin 2023 afgerond. Onderdeel van de risicomanagement aanpak is dat ook dit register steeds wordt bijgewerkt, zodat het actueel blijft.

Paragraaf

Bevinding

Risico/Impact

Aanbevelingen

Bestuurlijke reactie

3.1.9 (nr 15)

Actiepunten van DPIA’s worden niet opgenomen in het privacy jaarplan.

Minder zicht op privacyrisico’s en de te nemen maatregelen om deze te verkleinen of voorkomen.

Neem actiepunten van de DPIA’s mee in het jaarplan en bespreek deze periodiek in teamoverleggen.

3.1.9 (nr 16)

Procedures over rechten van betrokkenen (burgers) zijn nog onvoldoende bekend bij medewerkers.

De privacyrechten van betrokkenen kunnen mogelijk geschaad worden wanneer medewerkers zich niet aan deze procedures houden.

Verbeter de inbedding van deze procedures en controleer periodiek of medewerkers op de juiste manier gehoor geven aan mensen die beroep doen op hun privacyrechten.

Nemen we over Navolging op actiepunten of verbeterpunten uit uitgevoerde DPIA’s (privacy), risicoanalyses (informatiebeveiliging), audits en verantwoordingstrajecten worden nog niet altijd opgenomen in door-ontwikkelplannen waarvoor de betreffende proceseigenaar verantwoordelijk is. De leden van het SPO-team krijgen in 2023 allen een of meerdere afdelingen als aandachtsgebied om de afdelingen beter te ondersteunen in deze PDCA-cyclus. Nemen we over Aandacht voor de processen rondom rechten van betrokkenen is onderdeel van het lopende bewustwordingstraject. Verdere inbedding zal ook met behulp van de resultaten uit het lopende project IT Service Management verbeteren, namelijk als onderdeel van de (verdere) implementatie van het meldingenproces.

3.1.9 (nr 17)

Binnen applicaties is er geen sprake van een beoordeling van toegangsrechten.

Hierdoor kunnen medewerkers onbedoeld toegang hebben tot applicaties waar zij niet voor geautoriseerd zijn.

Formaliseer beleid, richt procedures in en leg rollen en verantwoordelijkhed en vast. Voer periodieke controle uit op de naleving.

8

Nemen we over Voor een aantal belangrijke applicaties wordt wel een periodieke beoordeling van toegangsrechten uitgevoerd en vindt verantwoording plaats in het ENSIA verantwoordingstraject. Verder zijn we bezig om “rol gebaseerd autoriseren” (RBA) in te voeren. Waar medewerkers op basis van hun taken, rollen krijgen toegewezen. Aan deze rollen hangen autorisaties waardoor zij alleen die autorisaties krijgen die ze nodig hebben voor hun werkzaamheden en niet meer. Beheerders zien er op toe dat de rechten worden

Paragraaf

Bevinding

Risico/Impact

3.1.11 (nr 18)

Persoonsgegevens worden soms op plekken zoals een persoonlijke schijf en e-mail opgeslagen door medewerkers. Er heerst weinig uniformiteit wat betreft de omgang met persoonsgegevens binnen de gemeente.

Dit vergroot de kans op incidenten zoals een datalek.

3.1.11 (nr 19)

Het ontbreekt aan generieke digitale vaardigheden bij medewerkers en de directie heeft weinig ervaring met en achtergrond in IB.

Veel medewerkers weten niet hoe zij veilig gedrag kunnen vertonen op het vlak van IB. Dit zorgt voor een vertraging van de organisatorische inbedding en maakt de gemeente kwetsbaarder voor incidenten.

Aanbevelingen

Implementeer classificatiebeleid. Zorg ervoor dat op de documenten zichtbaar wordt van welke classificatie sprake is, waardoor uniformiteit ontstaat in de omgang met persoonsgegevens. Stuur op het gedrag van medewerkers dat zij persoonsgegevens niet op een persoonlijke schijf en e-mail bewaren. Voer bewustwordingscam pagnes uit om mensen te voeden met kennis op het vlak van IB. Een volgende stap is een gedragsveranderings traject waarbij men er daadwerkelijk toe wordt gezet om het 9

Bestuurlijke reactie toegekend en ingetrokken bij wijzigen van functie. Ook wordt daarbij bewaakt dat er geen conflicterende rollen worden toegewezen. Een voorbeeld; iemand die een factuur opvoert mag hem niet zelf goedkeuren. Nemen we over Zie ook de reactie bij de eerste bevinding in deze tabel betreffende dataclassificatie. Informatie zal daadwerkelijk een classificatielabel krijgen, zodat duidelijk is hoe met die informatie moet worden omgegaan, ook voor het (op welke plekken wel of niet) bewaren en het vernietigen er van.

Nemen we over; dit doen we al Voor het invullen en uitvoeren van onze bewustwordingscampagnes maken we gebruik van een deskundige partij die inzet op een duurzame gedrags- en daarmee cultuurverandering. Het effect van de campagnes wordt o.a. met een jaarlijkse cyber barometer gemeten.

Paragraaf

Bevinding

Risico/Impact

Aanbevelingen

Bestuurlijke reactie

veilige gedrag te vertonen. 3.1.11 (nr 20)

Veel medewerkers zien IB als struikelblok i.p.v. kwaliteitsstuk. Hierdoor wordt er nog weinig capaciteit op de werkvloer voor IB vrijgemaakt en draagt het management het IB beleid niet actief uit.

Dit zorgt voor een vertraging op de organisatorische inbedding van IB en maakt de gemeente kwetsbaarder voor incidenten.

Zoek interdisciplinaire samenwerking op tussen teams. Focus op samenwerking, kennis, uitwisseling van informatie. Organiseer periodiek sessies voor alle leidinggevende op het vlak van IB om de urgentie van het thema te duiden, met als doel dat zij het thema overbrengen op de medewerkers in hun team.

10

Nemen we over We herkennen de bevinding en werken ook al geruime tijd aan een oplossing. Het is onderdeel van onze aanpak om naar volwassenheidsniveau 3 en 4 te groeien en hoort nog bij de fase waarin we verkeren. De goede ontwikkeling is dat IB, door bestuur en directie wel onderkend wordt als belangrijk. Het bewustzijn op de eigen rol groeit ook. De stap die we nu zetten is dat ook doorvertalen in actieve sturing. We nemen de aanbeveling daarin mee. Specifiek voor leidinggevenden worden in 2023 ‘Cyber confidence sessies’ georganiseerd waarbij de nadruk ligt op het kunnen uitdragen van hun rol inzake privacy en informatiebeveiliging.

Reactie betreffende de bevindingen voor onderzoeksgebied ‘mens’ (hoofdstuk 4)

In hoofdstuk 4 zijn in paragraaf 4.4 de aanbevelingen voor het onderzoeksgebied ‘mens’ opgenomen. In deze bestuurlijke reactie wordt gereageerd op de opsomming paragraaf 4. Voor de leesbaarheid zijn de maatregelen uniek genummerd en in een tabel geplaatst. Daarbij is voor de bestuurlijke terugkoppeling een kolom in de tabel opgenomen

Nr 1. 1.a

1.b 1.c 1.d

1.e 1.f 1.g

1.h

Maatregel Bewustzijn verhogen en gedrag veranderen van medewerkers t.a.v. verschillende IB thema’s: Klik niet op verdachte of onbekende e-mails

Vul nooit je gebruikersnaam of wachtwoord in wanneer dit je wordt gevraagd via een mail Open geen verdachte of onbekende bijlagen in e-mails Laat ongeautoriseerde c.q. onbekende personen zonder pas niet meeliften door de deur Draag je pas zichtbaar Spreek onbekenden aan wanneer zij rondlopen zonder pas Zorg voor een clean desk wanneer je het kantoor of het bureau verlaat

Bewaar gevoelige documentatie op plekken die vergrendeld kunnen worden en vergrendel deze wanneer je het kantoor verlaat

Bestuurlijke reactie Hier lopen al diverse acties zoals eerder vermeld en dit maken we ook onderdeel van het communicatie plan. Is onderdeel van phishing bewustwording waar jaarlijks meerdere malen aandacht aan wordt besteed. Verder nemen we ook technische beveiligingsmaatregelen om risico’s van verlies van wachtwoorden en installatie van kwaadaardige programmatuur tegen te gaan, zoals MFA, firewall instellingen, en beveiligen werkplekken. Idem Idem Wordt meegenomen in verplichte onboarding training en in geplande bewustwordingsacties. Een simpele actie kan al zijn; een sticker op de deur. Let op voor meelopers. Idem Idem Idem. In week 7 van 2023 is hier expliciet een bewustwordingscampagne aan gewijd. Ook werken we met zonering zodat alleen bevoegden bij werkplekken kunnen komen die extra beveiliging nodig hebben. Idem. In week 7 van 2023 is hier expliciet een bewustwordingscampagne aan gewijd

11

Nr 2.

Maatregel Het uitvoeren van een sluitende verificatie door de receptie bij onbekende gezichten of afwijkend gedrag wanneer zij het kantoor willen betreden

3.

De kantine bij het Stadskantoor voorzien van een toegangscontrole

4.

Het inrichten van een toegangscontrole naar de kantoorruimtes die elke medewerker apart toelaat c.q. registreert Koord/magneet/speld bevestigen aan pas en medewerkers verplichten de pas zichtbaar te dragen De papierbakken voor gevoelige documenten vergrendelen en vergrendeld houden

5. 6.

Bestuurlijke reactie We hebben hierop zelf ook al extra sturing gehad. Door eerder ook met mystery guests te komen. In het beveiligingsplan voor het huis voor de stad nemen we dit ook mee. We richten ons daar ook op de medewerkers in de breedte. Zij moeten zich ook bewust zijn geen onbekenden te laten meelopen als zij een beveiligde zone ingaan. In het nieuwe Huis voor de Stad is het werkcafé onderdeel van het publiek toegankelijke gebied. De veiligheidsmaatregelen die daarvoor nodig zijn maken onderdeel uit van de beveiligingsaanpak passend bij het concept. In het nieuwe Huis voor de Stad is dit onderdeel van het beveiligingsplan en is door zonering en toegangsbeveiliging met paslezers een grens gemaakt tussen publiek toegankelijk en beschermd gebied. Koord verstrekken we al en verplichting tot zichtbaar dragen geldt al, is ook onderdeel van bewustwordingsacties Dit is inmiddels ingeregeld

12