D30 Lid Rekenkamercommissie Hillegom-Lisse, quick scan Informatiebeveiliging.pdf

Quick scan Informatiebeveiliging - Gemeente Lisse

Rekenkamercommissie Hillegom en Lisse maart 2022

Auteur: drs. Etienne Lemmens, Prae Advies en onderzoek, Utrecht

Prae BV, Buys Ballotstraat 35, 3572 ZT Utrecht | T 06-11226755 | E info@prae-advies.nl | W www.prae-advies.nl KvK 321 249 60 | BTW NL8182.21.227 | IBAN: NL93 INGB 0004 9860 86

Inhoudsopgave 1

INLEIDING ...........................................................................................................................3 1.1

2

Leeswijzer .................................................................................................................................... 3

DOELSTELLING, ONDERZOEKSVRAGEN EN AANPAK ............................................................4 2.1

Doelstelling ................................................................................................................................. 4

2.2

Onderzoeksvraag ......................................................................................................................... 4

3

AANPAK ..............................................................................................................................5

4

BEVINDINGEN.....................................................................................................................6

5

4.1

Beleid met betrekking tot informatieveiligheid ........................................................................... 6

4.2

Risicogerichtheid van het beleid .................................................................................................. 7

4.3

Geldende kaders en procedures .................................................................................................. 9

4.4

Technische infrastructuur .......................................................................................................... 11

4.5

Positionering functionarissen op informatiebeveiliging en privacy ............................................ 12

4.6

P&C-cyclus en PDCA-cyclus ........................................................................................................ 13

4.7

Awareness medewerkers .......................................................................................................... 14

4.8

Rol gemeenteraad ..................................................................................................................... 15

4.9

Kwetsbaarheden naar aanleiding van inlooptest ....................................................................... 16

CONCLUSIES EN AANBEVELINGEN ....................................................................................18 5.1

Conclusies.................................................................................................................................. 18

5.2

Aanbevelingen ........................................................................................................................... 20

6

BESTUURLIJKE REACTIE.....................................................................................................22

7

NAWOORD REKENKAMERCOMMISSIE HILLEGOM EN LISSE..............................................24

BIJLAGE 1. VEEL VOORKOMENDE TERMEN EN AFKORTINGEN .................................................25 BIJLAGE 2. LIJST GERAADPLEEGDE STUKKEN EN LIJST RESPONDENTEN .....................................27 BIJLAGE 3. ONDERZOEKSVRAGEN EN NORMEN .........................................................................29 BIJLAGE 4. VOLWASSENHEIDSNIVEAU NOREA ...........................................................................30

2

1 Inleiding Onder andere door de toegenomen taken in het sociaal domein beheren en verwerken gemeenten meer en meer persoonsgegevens en gevoelige data. Gemeenten zijn daarbij kwetsbaar gebleken, zoals onder andere blijkt uit datalekken bij gemeenten en recente onderzoeken van rekenkamer(commissie)s. Wat gebeurt er bijvoorbeeld als die informatie op straat komt te liggen? Of als de digitale dienstverlening aan burgers niet meer mogelijk is? Naast financiële, juridische en technische gevolgen kunnen deze crises het imago van de gemeente en de privacy van burgers aantasten1.

1.1

Leeswijzer

In hoofdstuk 2 behandelen we de gehanteerde onderzoeksaanpak om de vragen te beantwoorden. We gaan in op de algemene beleidsmatige context van gemeenten met betrekking tot informatiebeveiliging en privacy. Ook worden de doelstelling van het onderzoek en de onderzoeksvragen die in het onderzoek centraal staan gepresenteerd. Hoofdstuk 4 bevat de bevindingen, geordend aan de hand van de onderzoeksvragen. Deze bevindingen zijn getoetst zowel bij de in dit onderzoek betrokken respondenten en de feitencheck (ambtelijke hoor en wederhoor). In hoofdstuk 5 zijn de conclusies en aanbevelingen weergegeven. In hoofdstuk 6 staat de bestuurlijke reactie. In hoofdstuk 7 reageert de Rekenkamercommissie Hillegom en Lisse op de bestuurlijke reactie in het nawoord. In de bijlagen staan allereerst veel gebruikte termen en afkortingen die gebruikt worden bij informatieveiligheid en privacy. Daarna volgt de lijst met geraadpleegde stukken en de lijst met respondenten. Vervolgens komen de normen, gekoppeld aan de onderzoeksvragen. En ten slotte is een tabel opgenomen met het volwassenheidsniveau zoals gehanteerd door de beroepsorganisatie van IT-auditors in Nederland (de Nederlandse Organisatie van Register EDP-Auditors, NOREA).

1

Gemeenten hebben in 2013 in VNG-verband afgesproken te voldoen aan de maatregelen van de Baseline Informatiebeveiliging Gemeenten (BIG). De BIG is vanaf 2020 vervangen door de Baseline Informatiebeveiliging Overheid (BIO.) Vanaf 25 mei 2016 schrijft de Algemene Verordening Gegevensbescherming (AVG of GDPR) voor dat passende maatregelen getroffen moeten worden om persoonsgegevens te beveiligen, in het belang van de burger en de gemeenten zelf.

3

2 Doelstelling, onderzoeksvragen en aanpak 2.1

Doelstelling

Doel van het onderzoek is na te gaan of de gemeente Lisse rechtmatig en doelmatig te werk gaat op het gebied van informatiebeveiliging.

2.2

Onderzoeksvraag

De doelstelling wordt uitgewerkt aan de hand van de onderzoeksvragen zoals opgenomen in onderstaande tabel 1.

Tabel 1. Onderzoeksvragen 1. Is er beleid met betrekking tot informatieveiligheid en voldoet deze aan de geldende richtlijnen? 2. Heeft de gemeente Lisse de risico’s in beeld? Zijn hiervoor de juiste analyses uitgevoerd, zoals een GAP- en risicoanalyse? 3. Wat zijn de geldende kaders en procedures, zoals een protocol datalekken? 4. In hoeverre is de technische infrastructuur op het gebied van privacy in lijn met de landelijke richtlijnen als de Baseline Informatiebeveiliging Overheid (BIO)? 5. Zijn de functionarissen, zoals Chief Information Security Officer (CISO) en Functionaris Gegevensbescherming, (goed) gepositioneerd? 6. Hoe ziet de Plan-Do-Check-Act-cyclus (PDCA) met betrekking tot informatiebeveiliging eruit? 7. Hoe zorgt de organisatie dat medewerkers van HLTsamen bewust worden van de risico's op informatiebeveiliging en in welke mate hebben de medewerkers deze geïnternaliseerd? 8. Hoe vult de gemeenteraad de kaderstellende en controlerende rol met betrekking tot informatiebeveiliging in? Wordt de gemeenteraad gepositioneerd om die rollen in te vullen? 9. Welke kwetsbaarheden ten aanzien van informatieveiligheid laat een inlooptest zien in de praktijk?

Voor de normen bij deze onderzoeksvragen verwijzen we naar bijlage 3.

4

3 Aanpak De onderzoeksvragen worden beantwoord door middel van een analyse van documenten in deskresearch, interviewverslagen en een inlooptest. De documenten bevatten beleid en rapportages van de gemeente Lisse en HLTsamen op het gebied van informatiebeveiliging. In HLTsamen werken de gemeente Hillegom, Lisse en Teylingen samen. De documenten die zijn bestudeerd zijn in bijlage 2 opgenomen, evenals de functies van de in totaal vier bestuurders en functionarissen van de gemeente Lisse en HLTsamen die zijn geïnterviewd. De deskresearch vond plaats in de periode september-oktober 2021. De interviews zijn in september-november 2021 afgenomen. Op 7 oktober 2021 is in het kader van het rekenkameronderzoek een inlooptest uitgevoerd, door een mystery guest op de locatie van het gemeentehuis van Lisse. De nota van bevindingen is op 20 december 2021 voor de ambtelijke hoor en wederhoor (feitencheck) aangeboden. De hoor en wederhoor is afgesloten met een digitale bijeenkomst op 25 januari 2022.

5

4 Bevindingen In dit hoofdstuk worden de bevindingen per onderzoeksvraag weergegeven.

4.1

Beleid met betrekking tot informatieveiligheid

Onderzoeksvraag 1

In deze paragraaf beantwoorden we onderzoeksvraag 1: Is er beleid met betrekking tot informatieveiligheid en voldoet deze aan de geldende richtlijnen?

Informatiebeveiligingsbeleid

Er is een actueel Strategisch Informatiebeveiligingsbeleid 2021-20232 op 1-4-2021 vastgesteld door bestuur van HLTsamen. Ook de drie colleges van de in HLTsamen samenwerkende gemeenten hebben het beleid vastgesteld. In grote lijnen is het beleid hetzelfde, op onderdelen is het specifiek voor de gemeenten. Van de 15 strategische doelen zijn de eerste 10 afgeleid van de Agenda Digitale Veiligheid 2020-2024 van de VNG. De in het informatiebeveiligingsbeleid opgenomen doelen zijn:

1. Bestuurders en ambtenaren beschikken over kennis die past bij hun taak en verantwoordelijkheid; 2. De organisatie is in staat om, ingeval van digitale incidenten en -crises, veerkrachtig en daadkrachtig (met ketenpartners) op te treden; 3. In haar voorbereidingen hierop, oefent de organisatie met digitale incidenten en crises; zowel binnen de eigen organisatie als met haar ketenpartners; 4. Omdat digitale veiligheid voor een belangrijk deel een lokale aangelegenheid is, worden ook colleges en raden betrokken; slechts op specifieke onderdelen worden ministeries geïnformeerd. 5. Digitale incidenten en -crises worden steeds vaker bezien vanuit de OOV-bevoegdheden van onze lokale bestuurders; 6. Er is expliciet aandacht voor de digitale veiligheid van de (lokale) maatschappelijke processen, die cruciaal zijn voor het functioneren van de gemeente; 7. De digitale veiligheid van deze (lokale) maatschappelijke processen is een gezamenlijke verantwoordelijkheid van de alle ketenpartners; waar nodig spreekt de gemeentelijke organisatie hen hierop aan; 8. Samen met de veiligheidsregio werkt de organisatie aan een lokale digitale risicokaart, waarin diverse effecten van digitale incidenten en -crises duidelijk worden; 9. Bij het versterken van onze digitale weerbaarheid worden we ondersteund door de Informatiebeveiligingsdienst (IBD).

De IBD fungeert als expertise- en ondersteuningsdienst en coördineert bij incidenten; 10. De VNG zorgt voor verdere harmonisatie en professionalisering van veiligheidsprocessen waarbij departementen en collega-brancheorganisaties (veiligheidsregio’s) betrokken zijn. 11. Onze bedrijfsmiddelen worden op een professionele en adequate manier beschermd. 12. De bedrijfsvoering is erop gericht de risico’s van menselijk gedrag te minimaliseren. 13. Ongeautoriseerde toegang in gebouwen en informatiesystemen wordt zoveel mogelijk voorkomen. 14. Correcte en veilige informatievoorzieningen worden gegarandeerd, evenals de bescherming en het correct verwerken van persoonsgegevens van burgers en medewerkers.

2

Bevat: Strategisch Informatiebeveiligingsbeleid HLTsamen 2021-2023; Strategisch Informatiebeveiligingsbeleid Bijlage A - Kader BIO; Strategisch Informatiebeveiligingsbeleid Bijlage B - De 10 principes voor informatiebeveiliging; Strategisch Informatiebeveiligingsbeleid Bijlage C – Dreigingsbeeld; Informatiebeveiliging IBD 2021-2022; Strategisch Informatiebeveiligingsbeleid Bijlage D - VNG Agenda Digitale Veiligheid 20-24; Strategisch Informatiebeveiligingsbeleid Bijlage E - VNG Resolutie Digitale Veiligheid.

6

15. Kritieke bedrijfsprocessen worden beschermd en er wordt adequaat gereageerd op incidenten. Een vastgesteld informatiebeveiligingsbeleid ontbrak op 31 december 2020 en dat was de reden dat in de ENSIA-rapportage over 2020 over de gehele linie slecht werd gescoord, volgens een van de respondenten. Uitgangspunt van het beleid is dat de uitvoering van informatiebeveiliging een verantwoordelijkheid is van het lijnmanagement. Alle informatiebronnen en -systemen hebben een interne eigenaar. Zoals in het beleid gesteld "Door periodieke controle, organisatiebrede planning én coördinatie wordt de kwaliteit van de informatievoorziening verankerd binnen de organisatie. Het informatiebeveiligingsbeleid vormt samen met het informatiebeveiligingsplan het fundament onder een betrouwbare informatievoorziening." GAP- en risicoanalyse

Het jaarlijks te actualiseren informatiebeveiligingsplan zou vastgesteld moeten worden door directie van HLTsamen. Het Informatiebeveiligingsplan HLTsamen 2021-2022, met verbetermaatregelen, is opgesteld, maar ten tijde van de interviews nog niet vastgesteld3. Het plan zoals de Rekenkamercommissie Hillegom en Lisse (RKC HL) het heeft ingezien had geen prioriteitsafweging of tijdsplanning. Gewoonlijk wordt het informatiebeveiligingsplan opgesteld op basis van een GAP- en risicoanalyse. Bij de gemeente Lisse zijn de risicoanalyse en het vaststellen van de verbetermaatregelen gedaan op basis van ENSIA toets 2020. Hoewel ENSIA in principe een rapportagetool is, is deze min of meer als GAP-analyse gebruikt. De onderwerpen die uit de ENSIA naar voren kwamen als niet geïmplementeerd moeten als een todo-lijst worden uitgezet, volgens een van de respondenten. Op basis van de ENSIA-rapportage is het volwassenheidsniveau op informatiebeveiliging voor 98% van de onderdelen op 2 beoordeeld, op een schaal van 1 tot 5. Zie bijlage 4 voor een duiding van het volwasssenheidsniveau.

Privacy

Hoewel privacy geen onderdeel uitmaakt van dit onderzoek, blijkt dat privacy raakvlakken heeft met informatiebeveiliging. Daarom wordt hier benoemd dat ook op privacy beleid is geformuleerd. Tevens voldoet gemeente Lisse aan een aantal eisen van de AVG, zoals de aanstelling van een Functionaris gegevensbescherming (FG), opstellen van een verwerkingsregister en publiceren van het privacystatement, welke informatie verstrekt over de wijze waarop de gemeente omgaat met persoonsgegevens.

4.2

Risicogerichtheid van het beleid

Onderzoeksvraag 2

In deze paragraaf geven we antwoord op onderzoeksvraag 2: Heeft de gemeente Lisse de risico’s in beeld? Zijn hiervoor de juiste analyses uitgevoerd, zoals een GAP- en risicoanalyse?

ENSIA

Zoals in de vorige paragraaf is aangegeven, is de risicoanalyse voor het informatiebeveiligingsplan 2021-2022 op basis van de ENSIA-rapportage gedaan. Er is geen afzonderlijke GAP- of risicoanalyse verricht.

Introductie BIO

In het kader van de introductie van de Baseline Informatiebeveiliging Overheid (BIO) is de CISO met de managers en medewerkers door alle taakvelden van de teams heengegaan en heeft de risico's in kaart gebracht binnen de kritieke processen en de status van de

3

Tijdens de ambtelijke reactie blijkt dat de verwachting is dat het plan begin februari 2022 wordt vastgesteld.

7

beschikbaarheid, integriteit en vertrouwelijkheid (BIV) van de gegevens. Daarmee worden het management en de lijn betrokken bij informatiebeveiliging, en is duidelijk dat zij proceseigenaar zijn, ook op informatiebeveiliging en gegevensbescherming. Waar nodig gaf de CISO adviezen richting de managers. Op een aantal velden is geadviseerd een diepgaandere analyse te doen en een aantal managers heeft dat advies opgevolgd. BIO-rapportage MO

Zo is in 2020 een BIO-rapportage voor het team Maatschappelijke Ontwikkeling (MO) opgesteld. Dat is gebeurd op basis van gesprekken eind 2019 met het team. Volgens de respondenten is daar diepgaand ingegaan op basis van een risicoanalyse van de kritieke processen. Op een aantal taakvelden zou nog een diepgaande risicoanalyse uitgevoerd moeten worden, zoals op de integriteitseisen bij Ontschotting, Statushouders en Subsidies. Dit is tot nu toe nog niet gedaan.

DPIA’s

Op processen in de organisatie waar veel (bijzondere) persoonsgegevens door de gemeente worden verwerkt en hoge risico's op privacy zijn te verwachten dienen zogenoemde data protection impact assessments (DPIA) te worden uitgevoerd. Ten tijde van de interviews waren in totaal 6 van deze assessments uitgevoerd en akkoord bevonden, vier op ondermijning en twee op datagedreven sturen. Op bijvoorbeeld het sociaal domein, waar veel bijzondere persoonsgegevens van kwetsbare groepen inwoners worden verwerkt, was gedurende de looptijd van het onderzoek nog geen DPIA gedaan4.

'In control'

In risicomanagement speelt het 'in control'-statement een belangrijke rol. Het college moet met de ENSIA-rapportage een 'in control'-statement afgeven, dat onafhankelijk gecheckt moet worden. In principe is de gemeente in control als de risico's die de gemeente loopt in beeld zijn en op basis van een risicoafweging verbetermaatregelen worden getroffen. Op basis van de BIO heeft de CISO, met de lijn, de processen doorgelopen. Toen is ook geconstateerd dat diepgaandere analyses nodig zijn. Deze zijn nog niet uitgevoerd. Wat gegevensbescherming betreft zijn nog niet alle processen met een hoog risico geanalyseerd, met behulp van een DPIA. Op een aantal processen is zo'n assessment uitgevoerd, maar een van de respondenten geeft aan dat dat niet structureel gebeurt op kritieke processen. Door het privacy team is een checklist opgesteld die het management in staat stelt op kritieke processen snel een inschatting van de risico's te maken en uit te voeren DPIA's te prioriteren.

Volwassenheidsniveau

4

5

Uit de interviews en uit de Kadernota 2022 van HLTsamen, blijkt dat de taakvolwassenheid op informatiebeveiliging en privacy ontwikkeling behoeft. Op basis van de standaard van beroepsorganisatie van IT-auditors (NOREA) kan deze voor een groot deel en indicatief op niveau 2 worden ingeschat op een schaal van 1 tot 5. Niveau 2 wil zeggen dat beheersingsmaatregelen aanwezig zijn en op consistente en herhaalbare, maar informele wijze worden uitgevoerd5. In de kadernota wordt gesteld dat de organisatie zich verder moet ontwikkelen om beide terreinen "op een niveau te brengen dat van een gemeentelijke overheidsorganisatie mag worden verwacht." Niet expliciet is gemaakt wat dat niveau zou moeten zijn. Een nog niet vastgelegde ambitie van het bestuur is om het volwassenheidsniveau naar 3 te brengen.

Uit de ambtelijke reactie blijkt dat er meer DPIA's zijn uitgevoerd en akkoord bevonden dan uit de stukken en interviews naar voren kwam. Er is ook één DPIA afgerond op het sociaal domein, beter gezegd monitor jeugd/monitor sociaal domein, en één DPIA in uitvoering op het proces integrale toegang. De vijf niveaus van volwassenheid: 1. Initieel; 2. Herhaalbaar; 3. Gedefinieerd; 4. Beheerst en meetbaar; 5. Continu verbeteren. Zie voor nadere uitleg bijlage 4.

8

Governance

Doordat het ambitieniveau niet is vastgelegd (zoals hierboven uitgelegd) ontbreekt vooralsnog een toetsingskader voor activiteiten. Zo moet de lijn, het teammanagement, aan de slag gaan met de DPIA’s op de verwerkingsprocessen met een hoog risico. De functionarissen op privacy kunnen de domeinmanagers van HLTsamen adviseren hoe dat opgepakt moet worden. Het hangt van de capaciteit die daarvoor vrijgemaakt wordt of dat wordt opgepakt. De FG kan erover rapporteren aan management en bestuur.

4.3

Geldende kaders en procedures

Onderzoeksvraag 3

In deze paragraaf geven we antwoord op onderzoeksvraag 3: Wat zijn de geldende kaders en procedures, zoals een protocol datalekken?

Protocollen/standaarden

Op verschillende onderdelen zijn protocollen opgesteld. -

Wachtwoordgebruik, op intranet gepubliceerd, conform de BIO-normen Gedragscode, integriteits- en geheimhoudingsverklaring externe medewerkers; Protocol beveiligingsincidenten en datalekken (2019); Verduidelijking en aanvulling processtappen protocol datalekken (2021), naar aanleiding van drie datalekken en verzoeken van de raad; Procedure beveiligingsincident HLTsamen (2019) ICT Continuïteitsplan HLTsamen (2019) Standaard verwerkersovereenkomst HLTsamen

Nieuwe werken

Corona heeft op sommige punten een versnelling gegeven in het vastleggen van werkwijzen. In de gemeente is het ‘nieuwe werken’ geïntroduceerd en de security- en privacy functionarissen hebben daar hun input op gegeven. Tijdens corona hebben ze dat ook gedaan door bijvoorbeeld een handleiding voor gebruik van Teams op te stellen.

Privacy

In een van de interviews wordt opgemerkt dat er wel al het een en ander is vastgelegd op informatiebeveiliging, maar dat het onderdeel privacy relatief nieuw is. Door de inzet van de FG en Privacy Officer (PO) zouden wel al allerlei protocollen zijn vastgesteld, maar op beide terreinen is nog niet alles wat zou kunnen en moeten in protocollen of werkwijzen vastgelegd. Op informatiebeveiliging is er wel al heel veel, maar ook nog niet allemaal vastgelegd.

Continuïteitsplan

In de BIO-rapportage over 2019 is vastgesteld dat er geen vastgesteld calamiteiten- of bedrijfscontinuïteitsplan aanwezig was. Er is in 2019 wel een continuïteitsplan van HLTsamen vastgesteld, opgesteld door Team Automatisering. Deze is gebaseerd op model continuïteitsplan VNG en ICT calamiteitenplan 2015. Deze is gericht op het herstel van de ICT-dienstverlening aan de drie gemeenten en de ISD Bollenstreek. Op basis daarvan worden de kritische systemen en de uitwijk jaarlijks getest. Daarmee is geborgd dat de ICT-dienstverlening binnen een acceptabele tijd weer op gang wordt gebracht. Dat is nog geen integraal continuïteitsplan dat informatieveiligheid en gegevensbescherming meeneemt bij de crisisbestrijding. De term 'veiligheid' komt alleen voor in de context van 'eigen veiligheid' van de medewerkers. Op basis van dit plan wordt wel een crisisbeheerteam gevormd met directie, teammanager, servicemanager, beleidsmedewerker, CISO, plus systeembeheerders, servicedesk en functioneel beheer. In de interviews wordt opgemerkt dat een integraal continuïteitsplan de aandacht heeft en dat er vanuit het team Facilitair aan wordt gewerkt. Vanwege de integraliteit moeten andere teams er nog bij betrokken worden. 9

Autorisaties

In HLTsamen is in de BIO-rapportage 2019 opgemerkt dat er nog geen vastgestelde autorisatieprocedure is en geen regelmatige controle plaatsvindt op de toegang tot informatie. In de architectuurprincipes van HLTsamen is opgenomen dat op functie of rol gebaseerd toegang en autorisaties verleend moeten worden. Dat moet meer grip op de toegang geven, fysiek en digitaal, en zou het proces van 'in dienst en uit dienst'-treding moeten vereenvoudigen. Ook zou de centrale logging van de toegang tot en monitoring op de digitale systemen mogelijk moeten maken. Een protocol of werkwijze daarop heeft de RKC HL niet aangetroffen. In de ENSIA-rapportage over 2020 in het kader van de audit op Suwinet (Gemeenschappelijke elektronische Voorziening Suwi6, of GeVS, ook wel Suwinet genoemd) worden de controles op de gebruikers en hun accounts als onvoldoende gekwalificeerd7.

BIO-rapportage 2020

De BIO en ENSIA zien niet alleen toe op de uitvoering, maar ook op de administratieve vastlegging van de werkwijzen en procedures. Vastgesteld kan worden dat nog niet op alle onderdelen protocollen zijn opgesteld of vastgesteld. Dat is opgemerkt door de CISO in de terugkoppeling van de BIO-rapportage over 2020 naar het concernoverleg in mei 2021. De onderdelen van de audits in het kader van ENSIA, zoals op Suwinet en DigiD (Digitale Identiteit), zijn als voldoende beoordeeld, hoewel ook niet volledig. De resultaten op de BIO-meting voor de drie gemeenten zijn als (nog) niet positief beoordeeld. Gemeld wordt dat veel werkzaamheden over het algemeen goed worden uitgevoerd, maar de administratieve basis ontbreekt in de meeste gevallen. Zo wordt in een van de interviews gemeld dat encryptiebeleid wel wordt toegepast, maar dat het beleid daarop nog niet is vastgesteld. Wat niet goed scoorde was dat het algemene informatiebeveiligingsbeleid 2021-2023 op 31-12-2020 ontbrak. Het informatiebeveiligingsbeleid is op 1-4-2021 vastgesteld.

Contracten met derden

Bij de nieuwe contracten, waar HLTsamen bij betrokken is, worden verwerkersovereenkomsten gesloten als er persoonsgegevens worden verwerkt voor of namens de gemeente. Er is geen procesbeschrijving voor inkoop en contracteren aanwezig en geen registratie van verwerkersovereenkomsten. Vanuit de privacy officers is aangegeven dat zij vaak te laat in het proces worden betrokken, als de hoofdovereenkomst al is afgesloten. Als gegevens worden uitgewisseld met derden wordt de mailapplicatie Zivver gebruikt, voor het veilig delen. De tool is aan de medewerkers aangereikt, maar onbekend is of die ook in de praktijk 100% gebruikt wordt. Dat hangt mede van de derde partij af. De politie had moeite met Zivver. De indruk bij de respondenten is dat het systeem van beveiligd uitwisselen van persoonsgegevens nu wel werkt. Er komen weinig signalen binnen dat het niet werkt.

Sociaal domein

6 7

In het sociaal domein wordt op verschillende manieren samengewerkt en gegevens gedeeld met aanbieders vanuit de zorgketen. Daardoor krijgt de gemeente te maken met professionals die wel willen, maar onzekerheid hebben over wat wel en niet mag worden gedeeld. Dat leidt er soms toe dat er helemaal geen informatie wordt uitgewisseld en dat is niet altijd in het voordeel van de klant.

Wet structuur uitvoering werk en inkomen (Wet SUWI). De ENSIA rapportae over 2021 is weliswaar nog niet afgerond, maar uit het ambtelijke hoor en wederhoor blijkt dat in 2021 wel voldaan zou worden aan de norm.

10

Ambtenaren van HLTsamen hebben samen met ambtenaren van gemeenten Katwijk en Noordwijk, een leertuin opgezet. Deze leertuin is met ca. 50 aanbieders uit de regio om te kijken welke afspraken gemaakt kunnen worden om binnen de kaders van de wet toch gegevens uit te wisselen. Op verschillende niveaus, bestuurlijk, management en uitvoering. Dat heeft geleid tot een convenant dat door de meeste partijen in de periode mei-juli 2021 ondertekend is. De afspraken voldoen aan de wet en nemen de ongerustheid van medewerkers en derde partijen weg. Dit traject is opgezet en gefinancierd vanuit de gemeente en gekoppeld aan een opleidingstraject voor de medewerkers van alle betrokken partijen.

4.4 Onderzoeksvraag 4

Technische infrastructuur

In deze paragraaf geven we antwoord op onderzoeksvraag 4: In hoeverre is de technische infrastructuur op het gebied van privacy in lijn met de landelijke richtlijnen als de Baseline Informatiebeveiliging Overheid (BIO)? De technische infrastructuur is in het kader van dit onderzoek niet uitgebreid getest.

HLTsamen

De uitgangspunten op de ICT-samenwerking in HLTsamen zijn vastgelegd in architectuurprincipes8. De I-visie, met kaders over hoe de gemeente de informatievoorziening inricht, is in 2021 herijkt en vastgesteld. In de Kadernota 2022 van HLTsamen is opgenomen dat de visie op informatisering en automatisering (I&A) in 2021 moet zijn opgesteld en in 2022 wordt uitgevoerd. Deze visie gaat over de intern organisatie van het team I&A, en volgt de organisatievisie die nog niet definitief is vastgesteld. In Lisse is een kernlocatie, die synchroon verbonden is met de andere kernlocatie, die in Sassenheim aanwezig is. De overige locaties hebben netwerkcomponenten voor de verbinding van de werkplekken met centrale locaties. De back-up-locatie is in gemeentekantoor Hillegom. De back-up wordt dagelijks gemaakt. Meerdere keren per dag wordt een back-up van kritieke servers gemaakt.

Virtuele omgeving

De ICT-omgeving van HLTsamen is virtueel, en bestaat uit een back-end en front-end omgeving. De back-end bestaat uit computerprogramma's en -codes die voor de gebruiker niet toegankelijk zijn. De front-end bevat de soft- en hardware waarmee de gebruiker met de programma's en codes kan werken. De front-end bevat een Citrix-omgeving die intern en extern werken mogelijk maakt. Het netwerk is gesegmenteerd, wat wil zeggen dat het fysieke netwerk in kleinere delen is opgesplitst. Daardoor kan bijvoorbeeld een kwaadwillende, die eenmaal binnen is gedrongen, niet zomaar overal bij. Afspraken over de beschikbaarheid van systemen en onverhoopte calamiteiten zijn in de dienstverleningsovereenkomst vastgelegd. Om de afspraken te garanderen moet de aanbieder, op basis van een oordeel van een externe partij, een zogenoemde Third Party Memorandum (TPM) overleggen.

Uitwijktesten

8

Om aan te tonen dat de ICT-dienstverlening, en de daarop gebaseerde gemeentelijke dienstverlening, na een calamiteit weer kan draaien op een daarvoor gestelde termijn en voorwaarden, worden uitwijktesten gehouden. De uitwijktest over 2019, de laatste test waarvan de RKC HL het verslag heeft gezien, is naar tevredenheid verlopen en akkoord

Architectuurprincipes HLTsamen-1 en -2. We hebben geen datum van opstellen in de stukken kunnen vinden.

11

bevonden. Zoals in de vorige paragraaf is geconstateerd, is er nog geen integraal continuïteitsplan vastgesteld, maar worden de kritische systemen jaarlijks getest. Pentesten 2019 en 2021

HLTsamen voert, in overeenstemming met de resolutie van de VNG uit 2021, periodiek testen op de systemen uit. In 2019 en 2021 zijn op de interne en externe infrastructuur van HLTsamen testen uitgevoerd, zogenoemde pentesten. Aan beide testen zijn conclusies verbonden en zijn verbeterpunten uit naar voren gekomen9. Uit de pentest van 2021 zijn geen grote kwetsbaarheden gebleken: 2 lage risico's en één opmerking ten aanzien van de infrastructuur.

Websites

De websites van de drie gemeenten worden jaarlijks getest op de aanwezigheid van de benodigde veiligheidsprotocollen. Recent zijn de websites van de drie in HLTsamen verband samenwerkende gemeenten getest en is geconstateerd dat ze voldoen aan de veiligheidsstandaarden.

4.5

Positionering functionarissen op informatiebeveiliging en privacy

Onderzoeksvraag 5

In deze paragraaf geven we antwoord op onderzoeksvraag 5: Zijn de functionarissen, zoals Chief Information Security Officer (CISO) en Functionaris Gegevensbescherming, (goed) gepositioneerd?

Functies op informatie-

Op informatiebeveiliging is de Chief Information Security Officer (CISO) actief en sinds kort een Technical Information Security Officer (TISO). De CISO heeft een controlerende en adviserende functie op informatiebeveiliging. De TISO is ook adviserend en specifieker dan de CISO gericht op het technische informatiebeleid. Op privacy is aanwezig de Functionaris Gegevensbescherming (FG) en twee Privacy Officers (PO).

beveiliging en privacy

Omvang

Eind 2021 zijn de CISO en FG voor elk 0,6 fte aangesteld, de twee PO's in totaal voor 1 fte. Gezien het eerder geconstateerde niveau van taakvolwassenheid wordt in de Kadernota 2022 HLTsamen gesteld dat de organisatie versterking op informatiebeveiliging en privacy nodig heeft. De TISO is fulltime werkzaam. De versterking is voor 2022 aangekondigd. De plannen zijn dat voor de FG en PO in totaal 2 fte beschikbaar is, waarbij de verdeling respectievelijk 0,5 fte en 1,5 fte zal worden. De CISO wordt waarschijnlijk naar 1 fte opgehoogd. In de interviews wordt erop gewezen dat dit een welkome, maar voor betrokkenen ook verrassende ontwikkeling was. Gezien het volwassenheidsniveau van de organisatie, zijn de functionarissen, met name de CISO en FG, vooral op operationeel en ondersteunend vlak actief. Daardoor komen ze weinig toe aan de controle- en structurele taken.

Positie

Privacy was van oudsher een taak voor Juridische Zaken (JZ). Vandaar dat de FG en PO bij dat team in HLTsamen zijn ondergebracht. De CISO is daar uiteindelijk ook gepositioneerd. Uit de interviews blijkt dat twee jaar geleden ervoor gekozen is om iedere medewerker in een team te plaatsen, dit geldt ook voor de functie van CISO die los van de lijn opereert. De CISO was daarvoor bij de afdeling I&A gepositioneerd, waardoor de functie met de technische kant werd geassocieerd. Dit was niet gewenst en daarom is de CISO ondergebracht bij de afdeling JZ. De positionering van deze functionarissen bij JZ zou na een jaar plaatsvinden. Deze evaluatie wordt waarschijnlijk in 2022 betrokken bij nieuwe organisatieontwikkeling.

9

Uit de test van 2019 kwamen onder andere kwetsbaarheden op de versleutelde verbindingen en certificaten en de draadloze en bedrade infrastructuur.

12

Omdat de rol van deze functies op informatiebeveiliging en privacy onafhankelijk van de lijn moet zijn en meer bij het team Control past of buiten de lijn. De FG en CISO geven aan dat als er op informatiebeveiliging en privacy opgeschaald moet worden, zij dat zelfstandig en onafhankelijk oppakken. Zij hebben een vrije en onmiddellijke toegang tot de gemeentesecretaris en de portefeuillehouder. Aangegeven wordt dat in de nieuwe toekomst/-dienstverleningsvisie van HLTsamen de positie van de functionarissen op informatiebeveiliging en privacy zal worden geadresseerd. Overleg

ENSIA-model, 2021

Een keer in de 4-6 weken is er burgemeestersoverleg, waar de CISO en FG bij aansluiten. Dat is volgens een van de respondenten geen officieel overleg met notulen, maar een laagdrempelig en informeel overleg om informatie en signalen uit te wisselen. Daar wordt mondeling gerapporteerd over incidenten, datalekken en de voortgang op doelen op AVG en informatiebeleid. Een keer in de 3-4 weken is er overleg met de gemeentesecretarissen. Apart wordt met de CISO, FG en de concerncontroller overlegd.

4.6

P&C-cyclus en PDCA-cyclus

Onderzoeksvraag 6

In deze paragraaf geven we antwoord op onderzoeksvraag 6: Hoe ziet de Plan-Do-Check-Act-cyclus (PDCA) met betrekking tot informatiebeveiliging eruit?

P&C-cyclus

De jaarlijkse ENSIA-rapportage maakt een belangrijk onderdeel uit van de P&C cyclus. Hierin staat de verticale verantwoording (landelijke toezichthouders) en de horizontale verantwoording (gemeenteraad) uitgelegd. Uit de audits die nodig zijn voor de ENSIA komen verbetermaatregelen. De CISO stelt een verslag van de ENSIArapportages op, gericht aan HLTsamen en de colleges.

ENSIA 2019

De audits van ENSIA 2019 waren nog gebaseerd op de BIGnormen, maar de verbetermaatregelen die in 2020 zijn geformuleerd, zijn op de BIO gebaseerd. Een van de verbetermaatregelen was het opstellen van een awareness jaarplan.

ENSIA 2020

De audits in het kader van ENSIA 2020 waren (nog) niet positief voor de drie gemeenten van HLTsamen. In paragraaf 4.2 staat bij het volwassenheidsniveau van de organisatie dat de gemeenten veel werkzaamheden over het algemeen goed uitvoeren. Maar de administratieve basis, in de vorm van vastgestelde richtlijnen, procedures of beleid, ontbreekt in de meeste gevallen. Daarnaast was bijvoorbeeld Suwinet voldoende, maar niet volledig positief. De controles op de gebruikers en hun accounts is als onvoldoende gekwalificeerd. 13

Assuranceverklaring

Het college rapporteert ENSIA naar de raad toe, met een onafhankelijke 'assuranceverklaring' over het 'in control'-statement van het college. Deze rapportages aan de raad vallen onder de passieve informatieplicht van het college. Er zijn geen bijzondere aanvullingen aangetroffen met betrekking tot de actieve informatieplicht van het college richting raad met betrekking tot informatiebeveiliging en privacy (zie paragraaf 4.8).

Jaarrapportage AVG

De FG rapporteert jaarlijks over de vordering op de AVG en de (ernstige) incidenten, zoals datalekken. Het college van B&W, de raad en het bestuur van HLTsamen worden geïnformeerd over de uitkomsten van de rapportage van hun organisatie.

ISMS

In het informatiebeveiligingsbeleid is opgenomen dat voor het inzichtelijk maken en bijhouden van de stand van zaken op informatiebeveiliging een Information Security Management System (ISMS) zal worden gebruikt. HLTsamen is recent overgestapt naar een nieuwe leverancier voor het ISMS. Dat betekent dat de nieuwe CISO het ISMS nog moet gaan inrichten en vullen. Het ISMS is ook nog niet gekoppeld aan de leer- of Plan-Do-CheckAct-cyclus (PDCA). In de interviews wordt gemeld dat het ISMS wel al wordt gebruikt want uit het ISMS komen al signalen van nog niet afgehandelde activiteiten. Het ISMS zal ook voor de managementinformatie over gegevensbescherming worden gebruikt. Daarvoor is het managementinformatiesysteem nog niet gevuld. Op privacy wordt daarover nog met de ISD Bollenstreek en de gemeente Katwijk afgestemd. Daarnaast moet een aantal zaken die in het kader van de AVG verplicht zijn bezien worden hoe dat in het ISMS wordt opgenomen, zoals het verwerkingsregister. Dat is met name administratief werk en medewerkers geven dan andere zaken prioriteit.

4.7

Awareness medewerkers

Onderzoeksvraag 7

In deze paragraaf geven we antwoord op onderzoeksvraag 7: Hoe zorgt de organisatie dat medewerkers van HLTsamen bewust worden van de risico's op informatiebeveiliging en in welke mate hebben de medewerkers deze geïnternaliseerd?

Randvoorwaarde

In het informatiebeveiligingsbeleid is opgenomen dat alle medewerkers van de samenwerkende organisaties een of meerdere cursussen op het gebied van informatiebeveiliging volgen. Ook moeten ze geïnformeerd worden over het gebruik van beveiligingsprocedures. Als randvoorwaarde is geformuleerd dat de kennis en het bewustzijn over informatiebeveiliging en omgang met persoonsgegevens actief bevorderd en geborgd moet worden. Deze randvoorwaarde wordt ingevuld doordat op intranet veel materiaal staat gepubliceerd, zoals de aanwezige protocollen en presentaties. De PO en CISO schrijven blogs en herhalen de boodschap vaak. De FG en CISO houden incidenteel voor directie en management presentaties en kwamen voor corona incidenteel langs bij de teams. Dat wordt momenteel minder gedaan en wel meer op basis van een concreet vraagstuk. Medewerkers weten deze functionarissen te bereiken met vragen. De FG heeft medewerkers aangespoord om contact op te nemen als een medewerker met een vraag zit of aan iets twijfelt: "Beter een keer teveel gebeld dan een keer te weinig."

E-learning

Vanaf 2018 wordt de e-learning iBewust aangeboden, met 6 modules over informatiebeveiliging en privacy. Deelname en het behalen van een certificaat met een 80%-score (8 of hoger) is verplicht voor alle medewerkers die sinds 2018 in dienst zijn getreden. Deze krijgen een presentatie van CISO, FG en/of PO. Daarnaast moeten zij de cursus binnen drie maanden succesvol hebben doorlopen. Voor medewerkers die voor 14

2018 in dienst zijn getreden, moet nog een vervolg in de opleidingsmodules komen. De voortgang van de deelname aan de e-learning wordt gemonitord door de CISO en FG. Teammanagers kunnen op deelnemer- team- of domeinniveau uitzonderingen maken voor de verplichting. Getracht wordt het aanbod aan modules te verversen en verfrissend en op ludieke wijze onder de aandacht te brengen. Zo is bijvoorbeeld onder begeleiding van de Veiligheidsregio een VNG-spel over cybercrime gehouden. Met HLT@work zijn CISO en FG in gesprek om een leerportaal op te zetten, voor informatiebeveiliging en privacy. Door personeelswisseling is dat nog niet van de grond gekomen. Afhankelijk van afdeling

Uit de interviews blijkt dat meer en regelmatig aandacht gevraagd moet worden voor informatiebeveiliging en privacy. Respondenten geven aan dat bij veel medewerkers de boodschap beklijft, maar bij sommigen niet. Door de functionarissen op informatiebeveiliging en privacy wordt geconstateerd dat het intern melden van datalekken nog geen vanzelfsprekendheid is. De bereidheid om incidenten en mogelijke datalekken te melden is wel groeiende en er komen bij de CISO, FG en PO vragen daarover binnen. Bij afdelingen waar verwerken van persoonsgegevens al langer gebeurt, zoals Publiekszaken, zit het veilig omgaan met persoonsgegevens in het DNA gebakken. Verbeterpunt is om hierop meer aan te sluiten bij de belevingswereld van de ontvanger, zo geeft een van de respondenten aan. De CISO test regelmatig de awareness van de medewerkers, zoals een phishing campagne in september 2021. Daaruit blijkt dat aan het risicobewustzijn en de awareness van medewerkers nog gewerkt moet worden.

Urgentiegevoel gemist

Sommige respondenten geven aan dat ze bij de managers een urgentiegevoel op informatiebeveiliging en gegevensbescherming missen. Zeker in het begin van HLTsamen, toen veel aandacht uitging naar de opbouw van de teams en de organisatie. Toen had informatiebeveiliging niet de hoogste prioriteit. Maar ook wordt geconstateerd dat de managers niet altijd sturen op de verplichte deelname aan de e-learning modules op informatiebeveiliging en privacy.

4.8

Rol gemeenteraad

Onderzoeksvraag 8

In deze paragraaf geven we antwoord op onderzoeksvraag 8: Hoe vult de gemeenteraad de kaderstellende en controlerende rol met betrekking tot informatiebeveiliging in? Wordt de gemeenteraad gepositioneerd om die rollen in te vullen?

Kaderstellende en

De gemeenteraad heeft op informatiebeveiliging en privacy een kaderstellende en controlerende rol, net zoals op alle andere beleidsterreinen. Op basis van zienswijzen kan de raad van Lisse financiële en beleidsmatige kaders stellen aan de uitvoering door HLTsamen. En uiteraard heeft de raad de controlerende taak op de uitvoering door HLTsamen.

controlerende rol

De ervaring van de meeste respondenten is dat de raad niet of nauwelijks vragen stelt over informatiebeveiliging. Het is ook een lastig en uitermate technisch ogend onderwerp. De uitvoeringsorganisatie staat op afstand, namelijk in het Domein Bedrijfsvoering van HLTsamen. Het bestuur van HLTsamen wordt gevormd door de drie burgemeesters én drie wethouders. De directie van HLTsamen wordt gevormd door de drie gemeentesecretarissen. En, net als bij veel gemeenteraden, is het lastig de kaderstellende grip op

15

verbonden partijen te borgen. Te meer daar bestuurlijk geen ambitieniveau met betrekking tot de taakvolwassenheid van de organisatie is vastgelegd. Controlerende rol

In de BIO is afgesproken dat de raad in ieder geval 1x per jaar in het kader van de P&Ccyclus geïnformeerd wordt over de voortgang op informatiebeveiliging. Dat gebeurt meestal in het gemeentelijke jaarverslag en op basis van ENSIA, dat specifiek bedoeld is voor de horizontale verantwoording (zie §4.6.) Daarnaast krijg de raad het jaarverslag van de FG. De raad wordt geïnformeerd over datalekken: -

bij zaken die maatschappelijk van groot belang zijn; bij zaken waarbij de gemeente relevante bestuurlijke, financiële of juridische grote veranderingen of risico’s ondergaat; wanneer er verschillende belangen mee gemoeid zijn en het datalek tot forse publiciteit kan leiden.

Verder zijn er in het kader van de actieve informatieplicht van het college geen nadere afspraken gemaakt om de raad te informeren op informatiebeveiliging en privacy.

4.9

Kwetsbaarheden naar aanleiding van inlooptest

Onderzoeksvraag 9

In deze paragraaf geven we antwoord op onderzoeksvraag 9: Welke kwetsbaarheden ten aanzien van informatieveiligheid laat een inlooptest zien in de praktijk?

Toegangsbeveiliging

In landelijke richtlijnen is opgenomen dat er toegangsbeveiliging aanwezig is op de werkruimten, server- en SER-ruimten. Dit geldt ook voor de ruimtes waar reisdocumenten zich bevinden en waar persoonsgegevens worden verwerkt. De beveiligde zones zijn alleen toegankelijk voor geautoriseerde personen, zoals Publiekszaken, serverruimten, alle kantoorruimte en archiefruimte. Op de locaties zijn bodes aanwezig. Bezoekers moeten zich daar melden en krijgen indien aangemeld een tag. De niet aangemelde bezoekers moeten zich daar registreren en worden verder begeleid door het pand heen.

Inlooptesten

Een van de respondenten geeft aan dat er in de oude, nog niet gefuseerde situatie, wel inlooptesten werden uitgevoerd om de alertheid en awareness van medewerkers te testen. Die testen worden niet meer gedaan, omdat er binnen HLTsamen veel locaties zijn en deze inlooptesten veel tijd en geld kosten. Door de krappe arbeidsmarkt zijn de afgelopen tijd veel personeelswisselingen geweest. Er zijn nieuwe mensen binnen gekomen. Daarnaast vindt er veel inhuur plaats om de formatiegaten te dichten. Door corona en het verplichte thuiswerken is de onderlinge afstand tussen medewerkers alleen maar groter geworden. Er liepen vóór het thuiswerkadvies van de Rijksoverheid al veel mensen rond die lang niet iedereen kende. In coronatijd is de bezetting op de balie ook minder dan normaal.

Inlooptest in het kader van rekenkameronderzoek

10

In oktober is op de locatie Lisse een inlooptest gehouden door een ethische hacker in opdracht van de RKC HL10. Het doel van het onderzoek was om ongeautoriseerd: - Toegang te krijgen tot de serverruimte; - Toegang te krijgen tot verdiepingen die gesloten zijn voor onbevoegden; - Ongestoord werkzaamheden op een (eigen) computersysteem uit te voeren.

Deze test is uitgevoerd door IP4Sure, in opdracht van Prae Advies en onderzoek.

16

Het eerste doel is vooraf beoordeeld als een test met kritische impact als die gerealiseerd zou worden. Het tweede doel heeft een mogelijk hoge impact en het derde doel heeft medium impact. Social engineering

Op 6 oktober 2021 heeft een observatie van het pand en de omgeving plaatsgevonden. Op 7 oktober is de inlooptest gestart, met behulp van social engineering. Door zich als technisch onderzoekers voor te doen is getracht de effectiviteit van de beveiligingsmaatregelen te verifiëren. Het is daarbij mogelijk gebleken om ongezien vanuit de hoofdingang van het gemeentehuis de kantoorruimtes op alle verdiepingen te betreden. Ook hebben ze materieel mee naar binnen kunnen nemen.

Ongestoord toegang

De onderzoekers zijn door niemand aangesproken. Daardoor kregen zij toegang tot de kantoren en andere ruimtes. In die ruimtes konden zij mogelijk toegang verkrijgen tot het computernetwerk of apparatuur plaatsen. Het viel buiten de reikwijdte van het onderzoek om daadwerkelijk te testen of ze zich daarmee toegang konden verschaffen tot het netwerk. In de kantoor- en vergaderruimtes en de raadszaal konden zij verder ongestoord te werk gaan.

Clean desk

Vanwege de Covid-19 maatregelen tot 1-11-2021 waren niet alle werkplekken bezet. Dat kan ertoe hebben bijgedragen dat er weinig onbemande werkplekken met mogelijke informatie werden aangetroffen. Ook zijn geen onbeheerde badges aangetroffen. Uiteindelijk hebben de onderzoekers het pand kunnen verlaten, zonder aangesproken te worden.

Doelen inlooptest

De twee doelen met een impact die als hoog en medium aangeduid zijn, zijn tijdens de test behaald. Daar loopt de gemeente risico op. Het doel met de kritieke impact is niet behaald. Maar dat wil niet zeggen dat een kwaadwillende actor, die geen ethische grenzen hanteert, daar niet in zou kunnen slagen.

Adviezen

Uit de inlooptest concludeert de RKC HL dat de gemeente Lisse serieus met de fysieke beveiliging bezig is. Er zijn naar aanleiding van de resultaten van de inlooptest wel een aantal verbeterpunten aan te geven. Deze hebben onder andere betrekking op de plaats van de security office, toegang tot het pand, awareness van de medewerkers, toegang tot de technische ruimte enz. De bevindingen en de adviezen zijn direct door de onderzoekers met de RKC HL gedeeld. De RKC HL heeft deze op haar beurt gedeeld met de organisatie, zodat deze op de geconstateerde risico's heeft kunnen acteren.

17

5 Conclusies en aanbevelingen 5.1

Conclusies

Beleid

Het Strategisch Informatiebeveiligingsbeleid 2021-2023 is actueel en voor de periode 20212023 vastgesteld. Dit beleid is pas laat vastgesteld, evenals het jaarlijks te updaten informatiebeveiligingsplan met activiteiten voor 2021-2022. Het informatiebeveiligingsplan is niet gebaseerd op een uitgebreide risicoanalyse maar op de ENSIA-rapportage. De laatste versie bevat geen prioriteitsafweging op basis van geconstateerde risico's.

Risicogedreven

De CISO heeft bij de introductie van de BIO in 2019, met managers en medewerkers de risico's geïnventariseerd. Daarmee is het eigenaarschap met betrekking tot informatiebeveiliging bij de lijn- of uitvoeringsorganisatie neergelegd, waar die thuis hoort. De risicoanalyse onder het huidig voorgestelde Informatiebeveiligingsplan 2021-2022 is gedaan op basis van de ENSIA-rapportage, in plaats van op basis van een diepgaande risicoanalyse, zoals voorgeschreven in de BIO. Dit is gedaan uit overwegingen die te maken hebben met capaciteit en efficiency. Het beleid is deels risico gebaseerd, zoals bedoeld in de BIO, maar voldoet strikt genomen niet geheel aan de eisen van de BIO.

DPIA's

Ten tijde van het onderzoek zijn op zes processen, met een hoog risicoprofiel waarin persoonsgegevens worden verwerkt, 'data protection impact assessments' (DPIA's) afgerond en akkoord verklaard. Het gaat onder andere om processen op het gebied van ondermijning en datagedreven werken. Op een groot aantal andere processen zijn deze DPIA’s nog niet afgenomen. Er zijn na afronding van de onderzoeksperiode meer DPIA's gehouden, waaronder één in het sociaal domein. De DPIA’s worden nog niet volgens een gestructureerd plan uitgevoerd.

'In control' en volwassenheid

Om ‘in control’ te zijn, moet de gemeente weten welke risico's men loopt en daar structureel actie op ondernemen. Daarvoor zijn diepgaande risicoanalyses nodig. Het volwassenheidsniveau van de gemeentelijke organisatie op informatiebeveiliging wordt indicatief geschat op 2 (op een schaal van 1 tot 5 van NOREA, zie bijlage 4). Er wordt weliswaar vaak gehandeld op basis van de richtlijnen, maar nog niet alles is volgens deze richtlijnen vastgelegd. De ambitie om naar niveau 3 te ontwikkelen is nog niet vastgesteld. Dat vergt de nodige inspanning. De RKC HL constateert dat het vaststellen van een dergelijk toetsingskader nodig is om op het onderwerp informatiebeveiliging 'in control' te zijn.

Protocollen

Op een aantal vlakken zijn richtlijnen en protocollen vastgesteld, maar nog niet op alle terreinen waar het zou kunnen of zelfs moeten. Zo is er nog geen integraal bedrijfscontinuïteitsplan. Naar verluidt wordt hier aan gewerkt. Ook zijn het toekennen van autorisaties en de logging (vastleggen van dataverkeer en de toegang tot gegevens) op een aantal systemen nog niet goed vastgelegd. Op de verplichte ENSIA-onderdelen, zoals Suwinet, is geconstateerd dat de controle op gebruikers en de toegang tot de informatie onvoldoende was. Over de gehele linie kan meer aandacht besteed worden aan het systematisch vastleggen en verantwoorden van de activiteiten en controles op informatiebeveiliging.

18

Techniek

De technische infrastructuur is in dit rekenkameronderzoek niet getest. De back-up procedures worden doorlopen en er worden uitwijktesten uitgevoerd. De beveiliging van de clouddienst van de afnemer wordt door een externe partij getest. Vanuit HLTsamen worden periodiek pentesten op de systemen uitgevoerd. Pentesten, of penetratietesten, worden gedaan om op zoek te gaan naar zwakke plekken in de beveiliging van de systemen en infrastructuur. Uit de testen kunnen indien nodig verbeteracties voortkomen. Uit de pentest die is uitgevoerd in 2021 kwamen geen grote kwetsbaarheden naar voren. Dat wil niet zeggen dat er achterover geleund kan worden, de beveiliging behoeft continu aandacht en controle.

Positie functionarissen

De functies op informatiebeveiliging en privacy (CISO, sinds kort de TISO, FG en PO) zijn ingevuld. De FG, CISO en PO zijn vooralsnog bij de afdeling Juridische Zaken gepositioneerd. Zij moeten onafhankelijk van de lijn gepositioneerd zijn, met een directe link naar gemeentesecretaris en portefeuillehouder. Dat laatste is geregeld. En de positionering wordt geëvalueerd en meegenomen in de organisatieontwikkeling. Een van de opties is positionering bij het team Control. Op informatiebeveiliging en privacy wordt de formatie verhoogd per 1-1- 2022. Gelet op het volwassenheidsniveau van de organisatie zijn de functionarissen vooral nog operationeel-tactisch bezig met de ondersteuning en borging van informatiebeveiliging en privacy in de bedrijfsprocessen en rapportages. Aan de controlerende en adviserende rol komen de CISO, FG en PO nog te weinig toe en worden op die rol niet tijdig of te weinig geconsulteerd. De verwachting is dat verhoging van de formatie dat deels zal oplossen.

P&C-cyclus

De CISO en FG rapporteren jaarlijks aan de directie van HLTsamen en de colleges over de voortgang op respectievelijk de BIO en AVG. Daarnaast rapporteert de gemeente Lisse op basis van het ENSIA-format verticaal, richting de landelijke toezichthouders en horizontaal, richting de gemeenteraad. Los van deze jaarlijkse ENSIA-rapportages wordt niet aan de gemeenteraad gerapporteerd, behalve bij zeer ernstige datalekken. Het managementinformatiesysteem op informatiebeveiliging, ISMS, is recent aangeschaft. Het systeem moet nog gevuld worden en met de PDCA-cyclus verbonden worden. Het ISMS kan ook voor privacy gebruikt worden, maar daarvoor is extra overleg met andere partijen nodig. Tot nu toe voelt het vullen van de ENSIA voor de betrokkenen vooral als een administratieve last.

Awareness

Randvoorwaarde voor het informatiebeveiligingsbeleid is dat de kennis en bewustzijn over informatiebeveiliging en privacy actief wordt bevorderd en geborgd. Op Intranet van HLTsamen staat veel materiaal. Daarnaast houden de FG en CISO regelmatig presentaties. Medewerkers geven aan dat ze de betreffende functionarissen weten te vinden. Vanaf 2018 wordt e-learning aangeboden, met verschillende modules. Het voornemen is hierop een leerportaal op te zetten. Omdat niet in alle teams wordt gestuurd op bevordering van bewustwording op informatiebeveiliging, wordt geconstateerd dat het urgentiegevoel bij sommige managers daarop ontbreekt.

19

Rol gemeenteraad

De raad heeft net als op andere beleidsterreinen op informatiebeveiliging en privacy een kaderstellende en controlerende rol. De uitvoering is in het HLTsamen-verband ondergebracht en staat daardoor meer op afstand. Via het jaarverslag en de ENSIArapportages wordt de raad geïnformeerd over informatiebeveiliging en privacy. Er wordt geen gebruik gemaakt van de vrije ruimte binnen ENSIA om de raad over bijzondere punten te rapporteren. Gelet op de risico's die gemeenten lopen en op basis van de bevindingen lijkt de conclusie getrokken te kunnen worden dat de raad zich actiever mag opstellen met betrekking tot informatiebeveiliging en privacy,

Kwetsbaarheden

Op basis van de resultaten van de inlooptest van oktober 2021, uitgevoerd door een ethisch hacker in opdracht van de RKC HL, kan geconstateerd worden dat er technische verbeteringen aan het pand in Lisse nodig zijn. Tevens levert de test verbeterpunten op voor het gedrag van de medewerkers van HLTsamen.

5.2

Aanbevelingen

Hieronder volgen de aanbevelingen die gedaan kunnen worden op basis van de bevindingen en conclusies. De eerste zijn gericht aan het college en tot slot volgen de conclusies gericht aan de raad.

Aan het college: 1. Tijdig vaststellen van het strategisch informatiebeveiligingsbeleid. 2. Het informatiebeveiligingsplan tijdig vaststellen op basis van een risicoanalyse en afweging. 3. Gestructureerd inventariseren op welke processen DPIA’s uitgevoerd moeten worden en deze vervolgens systematisch uitvoeren. 4. Bestuurlijk een ambitie vaststellen op welke termijn de gemeentelijke organisatie naar het volgende volwassenheidsniveau moet ontwikkelen. Stel op basis daarvan een plan van aanpak op. 5. Aansporing om verder te gaan met het bedrijfscontinuïteitsplan en het vastleggen van de diverse protocollen en richtlijnen. 6. Positioneer de functionarissen op informatiebeveiliging en privacy onafhankelijk van de lijn. En zorg ervoor dat zij meer vanuit hun strategische en adviserend rol kunnen opereren. 7. Zorg ervoor dat het ISMS gevuld wordt, gekoppeld wordt aan de PDCA-cyclus en beschikbaar komt voor het onderdeel privacy. 8. Stel deelname aan de e-learning verplicht voor alle medewerkers. En zorg ervoor dat het management daarop stuurt. 9. Neem de raad vaker mee in rapportages over de voortgang op informatiebeveiliging en privacy. 10. Pak de aandachts- en verbeterpunten op, die naar voren zijn gekomen uit de inlooptest in het kader van het rekenkameronderzoek.

20

Aan de raad: 1. 2. 3.

Geef het college de opdracht de raad over 6 maanden een plan van aanpak voor te leggen waarin bovenstaande aanbevelingen worden geadresseerd. Bepaal wanneer en hoe je als raad geïnformeerd wilt worden over de voortgang op informatiebeveiliging en privacy. Ga met de college het gesprek aan over de wijze waarop het college de vrije ruimte binnen ENSIA invult om de raad in zijn controlerende rol te ondersteunen.

21

6 Bestuurlijke reactie Rekenkamercommissie Hillegom en Lisse t.a.v. Esther Loozen Heereweg 254 2160 AE Lisse

Gemeente Lisse Heereweg 254 Verzenddatum Uw kenmerk Ons kenmerk Onderwerp Inlichtingen Telefoon Bijlage(n)

17 maart 2022 Z-22-238182 Bestuurlijke reactie Quickscan Informatiebeveiliging Lisse 2022 Ramona Pakvis 14 0252

Postbus 200 2 160 AE Lisse T 14 0252 E gemeente@lisse.nl W www.lisse.nl

-

Geachte leden van de rekenkamercommissie, Hierbij ontvangt u de bestuurlijke reactie van het college van Lisse op uw rekenkameronderzoek naar informatieveiligheid. Een onderzoek dat in de vorm van de Quickscan Informatiebeveiliging een waardevol product heeft opgeleverd voor raad, college en werkorganisatie HLTsamen. Wij herkennen ons bestuurlijk in de bevindingen en aanbevelingen welke zijn benoemd in de Quickscan. Tegelijk zien wij dat prioriteiten nodig zijn om focus aan te brengen om de meest urgentie zaken goed op te kunnen pakken. Bestuurlijk zien wij het belang om het onderwerp, informatieveiligheid en –beveiliging vaker op de verschillende agenda’s te zetten. Het is een snelgroeiend en complex vakgebied waar met toenemende urgentie en noodzaak op wordt geleund. Bovendien is het een belangrijk aspect waarmee rekening moet worden gehouden bij nieuwe wetgeving zoals de Wet Open Overheid en de Wet Digitale overheid. De opgave is om de bestuurlijke relevantie en sturing aan te brengen zodat een HLTbestuur, een college en een raad hierover goed in gesprek kunnen. Die behoefte komt ook uit de raad zo blijkt uit uw onderzoek. Wij kunnen het ons voorstellen dat we in een nieuwe bestuursperiode met de auditcommissie verkennen of de scope van de agenda hierop kan worden verbreed. De organisatie heeft in 2021 een flinke stap gezet op het gebied van informatiebeveiliging.

De doeltreffendheid van deze verbeteringen hebben zich reeds bewezen in de resultaten van de ENSIA, de jaarlijkse informatiebeveiliging audit. In de periode dat het onderzoek is uitgevoerd en afgerond zijn er alweer verschillende verbeteringen geprioriteerd en doorgevoerd. De bevindingen van de fysieke inlooptest zijn, zover mogelijk, direct geïmplementeerd. Aangezien naast de informatiebeveiliging de veiligheid van onze medewerkers prioriteit heeft. De andere meest kritieke punten zijn in het actieplan informatiebeveiliging opgenomen welke door het HLTsamen bestuur is vastgesteld. Naar ons idee lopen we daarmee voor op het schrijven en voorleggen van een plan van aanpak.

22

Tot slot willen wij nog benoemd hebben dat in de organisatie een nieuw visietraject en organisatie ontwikkeltraject loopt waarin ook aandacht is voor een actualisatie van een brede visie op control, de implementatie van risicomanagement en de positionering van de functionarissen op informatiebeveiliging en privacy. Met vriendelijke groet, College van burgemeester en wethouders van Lisse

A.W.M. Spruit E. Prins Secretaris

A.W.M. Spruit Burgemeester

23

7 Nawoord Rekenkamercommissie Hillegom en Lisse Conform haar onderzoeksprotocol heeft de Rekenkamercommissie Hillegom en Lisse de conceptrapportage voor een check op de feiten, het zogeheten ambtelijk hoor en wederhoor, aan betrokkenen voorgelegd. Deze reacties zijn voor zover deze betrekking hadden op de feitelijke inhoud - overgenomen. Vervolgens heeft de Rekenkamercommissie het eindrapport voor een bestuurlijke reactie voorgelegd aan het college van burgemeester en wethouders van Lisse. Gelijktijdig is het rapport ter informatie toegezonden aan de gemeenteraad van Lisse. De bestuurlijke reactie treft u aan in het voorgaande hoofdstuk. In dit nawoord reageert de Rekenkamercommissie hierop. De Rekenkamercommissie heeft met tevredenheid kennis genomen van de reactie van het college. Het college onderschrijft onze aanbevelingen en neemt deze ter harte. Wij begrijpen dat het college bestuurlijke relevantie en sturing moet aanbrengen zodat het HLTbestuur, het college en de raad hierover goed in gesprek kunnen. Wij wachten dit proces met interesse af.