RN 025 Brief bestuurlijke wederhoor nav Rekenkamer rapport Informatie beveiliging

Aan De Rekenkamer Helmond

Helmond, 14 februari 2023 Onderwerp: Bestuurlijke reactie op rekenkamerrapport

Zaaknummer: 51380108

Geachte leden van de Rekenkamer, Op uw verzoek is in de periode september tot en met december 2022 een onderzoek uitgevoerd door bureau Hoffmann Cybersecurity (hierna: Hoffmann). Dit onderzoek heeft zich gericht op beantwoording van de vraag “Hoe doelmatig en doeltreffend wordt de informatieveiligheid gewaarborgd in de gemeente Helmond?” Op 20 januari 2023 is het definitieve rapport opgeleverd met als belangrijkste conclusie: “Het fundament omtrent het beleid en protocollen is zo goed als geheel aanwezig, maar het stokt bij de organisatorische inbedding omdat de daadwerkelijke uitvoering van het beleid door de medewerkers veelal uitblijft”. Per onderzoeksgebied (‘organisatie’ en ‘mens’) worden de bevindingen verder uitgewerkt en komt Hoffmann tot diverse aanbevelingen. U, als Rekenkamer onderschrijft deze conclusies en neemt alle aanbevelingen, zoals opgenomen in hoofdstuk 3 en 4, integraal over. In uw brief van 23 januari jongstleden heeft u het college gevraagd een bestuurlijke reactie te geven die u hieronder aantreft. Zorgvuldig en veilig gebruiken en bewaren van gegevens Onze inwoners, ondernemers, partners en collega’s moeten erop kunnen vertrouwen dat hun gegevens bij ons veilig en beschermd zijn. Gegevens zijn immers overal en als gemeente gebruiken en bewaren wij veel gegevens van inwoners en bedrijven in onze stad.

Informatiebeveiliging is een belangrijke pijler om het beschermen van gegevens mogelijk te maken. We werken hiermee aan onze weerbaarheid en herstelvermogen zodat we cyberdreigingen afwenden of het hoofd bieden. De gemeente Helmond heeft daarom, gebaseerd op de privacy en informatiebeveiligingsbeleidsdocumenten voor 2020-2024, beleid, koers en uitvoeringsacties uitgezet. Daarop hebben we ook jaarlijks verantwoord (via ENSIA), gestuurd en zo nodig bijgesteld. De scope van onze plannen omvat de volledige regelgeving en normenkaders voor privacy (AVG, WPG en VNG/IBD-privacy kader) en informatiebeveiliging (de BIO). Deze scope is daarmee wat ruimer. De resultaten uit het door Hoffmann uitgevoerde onderzoek sluiten aan bij het beeld dat we zelf hebben van stand van zaken rondom beleid, koers en uitvoering. Uitvoering beleid en aanpak 2023 De peilstok is door Hoffmann gestoken in het jaar 2022. Inmiddels zijn we verder in de tijd en zijn er diverse organisatorische en inhoudelijke maatregelen genomen om de gestelde doelen te realiseren. Daarvoor heeft de gemeenteraad ook extra financiële middelen, 2,8 miljoen euro, beschikbaar gesteld via de begroting 2023. De conclusies en aanbevelingen van Hoffmann zijn op diverse onderdelen een bevestiging van de benodigde maatregelen en versnelling die we zelf al hebben geconstateerd.

Aanvullende maatregelen naar aanleiding rapport Aan de andere kant geeft het ook nog verdere verdieping en aanscherping op een aantal andere punten waar we ons voordeel mee kunnen doen. Wij zijn dan ook dankbaar voor deze input. In de bijlage is per aanbeveling aangegeven of we die (deels) overnemen of al hebben uitgevoerd. We hebben nog steeds stappen te zetten om informatiebeveiliging en bescherming van privacy in de praktijk te borgen en te blijven verbeteren. Een belangrijke aanjager hierbij is het centrale team van Security en Privacy Officers dat in 2022 is ingericht. Risicobewustzijn medewerkers Daarnaast is risicobewustzijn door de gehele organisatie, van hoog tot laag, inderdaad een belangrijke pijler om de gewenste groei in volwassenheid voor elkaar te krijgen. Dit is dan ook onderdeel van onze lopende actie- en jaarplannen. Bedrijfsbrede risico's (en natuurlijk het aanpakken daarvan) krijgen, in het al gestarte Business Continuity Management traject de benodigde aandacht. De mens is een cruciale factor. Bewustzijn bij de medewerkers is voor ons een belangrijke bouwsteen van informatiebeveiliging en bescherming van privacy. De door Hoffmann en door onszelf in 2022 uitgevoerde phishing-acties tonen aan dat we hier nog stappen te zetten hebben.

We merken daarbij op dat we de phishing-mails ten behoeve van het onderzoek door onze technologische beveiligingsmaatregelen hebben gelaten. De mails zouden anders zijn tegengehouden. De phishing-acties leren ons dat we kwetsbaar blijven op menselijk gedrag. We zijn in 2022 opnieuw een bewustwordingstraject gestart. Met dit traject willen we bewust gedrag en uiteindelijk ook de in de conclusies genoemde cultuurverandering bereiken. Dit blijft nodig, ook omdat het een continue race is tegen steeds inventiever wordende cyber-criminelen. Structurele middelen voor versterking informatievoorziening Uiteraard kunnen we niet zonder toereikende financiële middelen. In het rapport van Hoffman wordt verwezen naar de 2,8 miljoen voor dit onderwerp in de begroting 2023. Dit bedrag is bedoeld voor een totale versterking van de informatievoorziening. Informatieveiligheid gaat, naast bescherming tegen “cybercriminaliteit”, ook over bescherming tegen storingen en andere oorzaken waardoor informatieverlies of ongewenste of onbedoelde toegang tot informatie kan ontstaan. Het genoemde bedrag wordt gebruikt voor deze totale versterking. Belangrijk is het structurele karakter van de toekenning zodat een “duurzaam en stevig” fundament wordt gemaakt zowel technologisch als in de menselijke aspecten.

Gedetailleerde reactie in bijlage We hebben getracht met deze brief een algemene reactie gegeven op het onderzoek en de rapportage van Hoffmann. In de bijlage is een uitgebreide reactie opgenomen over de afzonderlijke bevinding en aanbevelingen.

Hoogachtend, Burgemeester en wethouders van Helmond,

mevr. P.J.M.G. Blanksma-Van den Heuvel Burgemeester

H.J. de Ruiter Secretaris