Bijlage I Raadsmededeling Informatieveiligheid en Privacy jaarrapportage 2020

RAADSMEDEDELING

Onderwerp: Datum:

Informatieveiligheid en Privacy jaarrapportage 2020 13 januari 2021

Samenvatting Op het gebied van Informatiebeveiliging en Privacy zijn in 2020 de nodige ontwikkelingen geweest. Gezien de actualiteit en urgentie van het thema willen we u hierover graag informeren. In dit memo wordt u geïnformeerd over de uitgevoerde maatregelen en de actuele stand van zaken. Toelichting Informatiebeveiliging Informatieveiligheid is belangrijk voor onze bedrijfsvoering. Het is van groot belang dat onze systemen en de informatie daarin goed geborgd is. Door hiervoor te zorgen kunnen wij als gemeente Heumen een betrouwbare partner zijn en goede en veilige dienstverlening bieden aan inwoners, bedrijven en ketenpartners. Als gemeente blijven we om die reden continue inzetten op het optimaliseren van de informatieveiligheid en het creëren van bewustwording onder medewerkers. In 2020 is er veel gebeurd op het gebied van informatiebeveiliging. Het normenkader, de BIG (Baseline Informatiebeveiliging Gemeenten) is in 2020 vervangen door de BIO (Baseline Informatiebeveiliging Overheid). De implementatie van de BIO-normen is in onze gemeente grotendeels uitgevoerd. We weten waar we staan en hebben zicht op eventuele risico’s. Waar in 2020 de focus lag op implementeren van deze normen zal in de komende jaren de focus meer liggen op het controleren van de uitvoering.

Op het gebied van beleid en procedures is het algemene informatiebeveiligingsbeleid geactualiseerd en door u vastgesteld. Ook is de governance, de toebedeling van verantwoordelijkheden, formeel vastgelegd voor alle wettelijk verplichte beveiligingsbeheerders. De procedure om adequaat te handelen bij beveiligingsincidenten en datalekken is tevens geactualiseerd. Om de inbedding in de organisatie te vergroten zijn er ook aanspreekpunten informatiebeveiliging & privacy voor alle afdelingen ingericht. Regionaal wordt erop ingezet om in samenwerking met iRvN en de deelnemende gemeenten onze ICT-infrastructuur zo veilig mogelijk te maken en te houden en worden er ook regionale procedures ontwikkeld zoals een regionale incidentmanagementprocedure. De gemeente Heumen treft in samenwerking met het iRvN vele maatregelen om het eventuele hackers moeilijk te maken en de kans op succes van cyberaanval te minimaliseren. Hiervoor is een flink aantal projecten als onderdeel van een veiligheidsproject benoemd, waarmee we ons voorbereiden en anticiperen op de nieuwste aanvalstechnieken. ENSIA 2019 Jaarlijks is het college verplicht om verantwoording af te leggen over informatieveiligheid. Dit gebeurt sinds een aantal jaar via het ENSIA (Eenduidige Normatiek /single Information Audit) stelsel. Deze verantwoording gebeurt middels vastgesteld stramien van de VNG genaamd de "Collegeverklaring".

In het jaar 2020 is in de ENSIA-audit de gemeente over het jaar 2019 getoetst op ruim 500 normen op het gebied van informatiebeveiliging.

Zaak Document

: :

31894 58414

Inmiddels is de volledige terugkoppeling ontvangen van auditor en ministeries over de reikwijdte van ENSIA 2019. De gemeente Heumen voldoet aan alle opgenomen normen. Privacy In 2020 is er conform PDCA (Plan Do Check Act)-cyclus gewerkt aan het implementeren, borgen en controleren van de Algemene Verordening Gegevensbescherming (AVG) in de ambtelijke en bestuurlijke organisatie. Onder meer is in 2020 het privacybeleid vernieuwd en door u eind september vastgesteld, tegelijk met het nieuwe informatiebeveiligingsbeleid. Er zijn procedures opgesteld en vastgesteld voor het aangaan van verwerkersovereenkomsten, het uitvoeren van Wob-verzoeken, het doen van risicoanalyses en het behandelen van datalekken en beveiligingsincidenten. Naast het opstellen van beleid en procedures is er ook gewerkt aan het borgen en het vergroten van privacybewustzijn in de organisatie. Er zijn maandelijks nieuwsbrieven over dit onderwerp op intranet geplaatst. Ook zijn er voor elk team aanspreekpunten voor privacy en informatiebeveiliging aangewezen. Ten slotte is er over 2020 ook een officiële AVG-meting door de functionaris gegevensbescherming (FG) gedaan. Hierin zijn alle AVG normen aan de hand van de zes thema’s (governance, beleid, werkprocessen, bewustwording & training, beheer & opslag en de FG) uit het privacybeleid getoetst.

Deze FG-rapportage, en het advies dat daaruit voortkomt, zal de basis zijn voor het op te stellen jaarplan van 2021. Hiermee wordt de PDCA-cyclus gecontinueerd. De inspanningen die op het gebied van informatiebeveiliging zijn geleverd en het succesvol doorlopen van de ENSIA audit geeft geen garantie dat een gemeente 100% in control is. Privacy en informatiebeveiliging zijn voor een groot gedeelte mensenwerk en ontwikkelingen volgen elkaar in hoog tempo op. Continue aandacht en verbetering is daarom van belang en waarop wordt ingezet. 12 januari 2021 Burgemeester en wethouders

Dirk van Eeten Gemeentesecretaris

Marriët Mittendorff Burgemeester

2