D30 Lid Rekenkamercommissie Hillegom-Lisse, quick scan Informatiebeveiliging.pdf

24

Bijlage 1. Veel voorkomende termen en afkortingen Applicatie AVG (GDPR) BIG BIO BIV CERT CIO CISO Cloud

CYOD

DigiD DPIA

ENSIA

FG GAP GAP-analyse GDPR GR IBD ICT ISMS KING Logging NBA NOREA P&C-cyclus PDCA Phishing mail PO SAAS Social engineering SSO Suwinet TISO

Softwareprogramma, zoals SUWInet Algemene Verordening Gegevensbescherming, Europese regelgeving die de privacyregels in de Europese lidstaten harmoniseert Baseline Informatiebeveiliging Gemeenten, maatregelen voor de informatiebeveiliging bij gemeenten, in 2013 als standaard afgesproken in VNG-verband Baseline Informatiebeveiliging Overheid Beschikbaarheid – Integriteit – Vertrouwelijkheid. Termen waarop de beveiligingsrisico's van de informatie/applicaties zijn geënt Computer Emergency Response Team, multidisciplinair samengesteld team dat kan acteren op incidenten en crises Chief Information Officer Chief Information Security Officer De cloud staat voor een netwerk van computers die een soort 'wolk van computers' vormt, waarbij de eindgebruiker niet weet op hoeveel of welke computer(s) de software draait of waar die computers precies staan Choose your own device, beleid dat inhoudt dat medewerkers en eventueel externen apparaten (laptops, smartphones, usb-sticks enz.) kunnen kiezen uit een beperkt assortiment, waarop de veiligheidsmaatregelen al zijn aangebracht Digitale Identiteit Data protection impact assessment, analyse op risico's in verband met privacy en gegevensbescherming bij verwerkingsprocessen. Onder de AVG verplicht bij gegevensverwerking met waarschijnlijk een hoog privacy risico.

Eenduidige Normatiek Single Information Audit, eenmalige informatieverstrekking en eenmalige IT-audit voor de horizontale (richting gemeenteraad als toezichthouder) en verticale verantwoording (richting landelijke toezichthouders) Functionaris gegevensbescherming, verplicht voor overheden. Is de Engelse term voor ‘kloof’. Dat betekent hier het verschil tussen de bestaande situatie en de gewenste situatie Controle of en in welke mate de maatregelen uit de BIG geïmplementeerd zijn General Data Protection Regulation (zie ook AVG) Gemeenschappelijke regeling Informatiebeveiligingsdienst voor gemeenten Informatie- en communicatietechnologie Information Security Management System Kwaliteitsinstituut Nederlandse Gemeenten, heet tegenwoordig VNG Realisatie In bestanden vastleggen welk dataverkeer over een netwerk gaat. Zo kan worden vastgelegd wie toegang had tot persoonsgegevens. De koninklijke Nederlandse Beroepsorganisatie van Accountants De Nederlandse Organisatie van Register EDP-Auditors Planning & Control cyclus Plan-Do-Check-Act beleidscyclus Vorm van internet oplichting en fraude, door middel van een vals e-mail bericht 'hengelen' naar inlog- of andere persoonsgegevens Privacy officer Software-as-a-Service, is een model waarbij softwaretoepassingen via internet worden aangeleverd.

Social engineering is een techniek waarbij een aanval op de computerbeveiliging via het verkrijgen van vertrouwelijke of geheime informatie (van personen). Single Sign On, op 1 werkplek via 1 aanmelding toegang krijgen tot alle applicaties waar de gebruiker recht op heeft Gemeenschappelijke elektronische Voorziening Suwi (Wet structuur uitvoering werk en inkomen), of GeVS, ook wel Suwinet genoemd Technical Information Security Officer 25

TPM Verwerkingsregister VNG VNG Realisatie

Third Party Memorandum. Verklaring dat de derde partij, die de gegevens voor de gemeente bewerkt voldoet aan de geldende richtlijnen inzake informatiebeveiliging Register waarin de gemeente bijhoudt welke persoonsgegevens de gemeente en de verwerkers die deze inschakelt verwerkt Vereniging Nederlandse Gemeenten Kwaliteitsinstituut van de VNG (voorheen KING)

26

Bijlage 2. Lijst geraadpleegde stukken en lijst respondenten Geraadpleegde stukken -

Architectuurprincipes HLTsamen-1 Architectuurprincipes HLTsamen-2 Beleidsregels I&A Bijlage Protocol beveiligingsincidenten en datalekken BIO-rapportage MO 2020 Conclusies pentest 2019 Conclusies pentest 2021 Continuiteitsplan HLTsamen 1.1 DMO-voorstel e-Learning iBewust ENSIA-2019 Assurancerapport Suwinet Lisse ENSIA-2019 Assurancerapport Suwinet Lisse – Bijlage ENSIA-2019 Eindrapport Suwinet-audit ENSIA-2019 Rapportage Informatieveiligheid ENSIA-2020 Assurancerapport Suwinet Lisse ENSIA-2020 Assurancerapport Suwinet Lisse – Bijlage ENSIA-2020 Terugkoppeling resultaten ENSIA-2020 Gedragscode Getekende overeenkomst gebruik ZIVVER door Werkorganisatie HLTsamen Informatiebeveiligingsplan HLTsamen 2021-2022 Integriteits-en geheimhoudingsverklaring externe medewerkers Intranettekst wachtwoordgebruik Intro IB&P digitaal Kadernota 2022 HLTsamen Kernpunten IT-Servicemanager Notitie Protocol beveiligingsincidenten en datalekken Opdracht implementatie MFA 2019 Procedure beveiligingsincident HLTsamen v0.1 Standaard verwerkersovereenkomst HLTsamen v2.3 Strategisch IBB Bijlage A - Kader BIO Strategisch IBB Bijlage B - De 10 principes voor informatiebeveiliging Strategisch IBB Bijlage C - Dreigingsbeeld informatiebeveiliging IBD 2021-2022 Strategisch IBB Bijlage D - VNG Agenda Digitale Veiligheid 20-24 Strategisch IBB Bijlage E - VNG Resolutie Digitale Veiligheid Strategisch

Informatiebeveiligingbeleid HLTsamen 2021-2023 Uitgifte sleutels HLTsamen Uitwijktest 2019 Rapportage

27

Functies van geïnterviewde respondenten -

Chief Information Security Officer (CISO) Functionaris Gegevensbescherming (FG) Privacy Officer (PO) Concernmanager Sociaal Domein Teammanager Maatschappelijke Ontwikkeling Burgemeester

28

Bijlage 3. Onderzoeksvragen en normen De onderstaande normen zijn voornamelijk ontleend aan de BIO en de AVG.

Onderzoeksvragen

Normen

1. Is er beleid met betrekking tot informatiebeveiliging en voldoet deze aan de geldende richtlijnen?

Er is een actueel en integraal informatiebeveiligingsbeleid vastgesteld. Het beleid voldoet aan de normen zoals opgesteld in de BIO. Het beleid is gebaseerd op een actuele GAP- en risicoanalyse.

2. Heeft de gemeente Lisse de risico’s in beeld? Zijn hiervoor de juiste analyses uitgevoerd, zoals een GAP- en risicoanalyse? 3. Wat zijn de geldende kaders en procedures, zoals een protocol datalekken?

4. In hoeverre is de technische infrastructuur op het gebied van privacy in lijn met de landelijke richtlijnen als de BIO?

5. Zijn de functionarissen, zoals Chief Information Security Officer (CISO) en Functionaris Gegevensbescherming, (goed) gepositioneerd? 6. Hoe ziet de Plan-Do-Check-Act-cyclus (PDCA) met betrekking tot informatiebeveiliging eruit? 7. Hoe zorgt de organisatie dat medewerkers van HLTsamen bewust zijn van de risico's op informatiebeveiliging en in welke mate hebben de medewerkers deze geïnternaliseerd?

8. Hoe vult de gemeenteraad de kaderstellende en controlerende rol met betrekking tot informatiebeveiliging in? Wordt de gemeenteraad gepositioneerd om die rollen in te vullen?

9. Welke kwetsbaarheden ten aanzien van informatieveiligheid laat een inlooptest zien in de praktijk?

Er zijn aanvullende richtlijnen vastgesteld waarin de diverse onderdelen van het informatiebeveiligingsbeleid nader worden ingevuld. Dat zijn onder andere richtlijnen voor gebruik van wachtwoorden, procedure of protocol datalekken, autorisaties en monitoring, mobiele datadragers, wijzigingsbeleid enz. De gemeente heeft afdoende technische maatregelen getroffen om ongeautoriseerde interne en externe toegang te voorkomen. De technische infrastructuur voldoet aan NENISO/IEC 27001:2017, waarop de BIO is gebaseerd. Taken en verantwoordelijkheden rond informatiebeveiliging en de bescherming van (bijzondere) persoonsgegevens zijn duidelijk belegd in de organisatie. Het informatiemanagement op het gebied van informatiebeveiliging is adequaat en efficiënt ingericht en gekoppeld aan de PDCA-cyclus. Alle medewerkers gaan bewust en veilig om met vertrouwelijke informatie. De regels wat betreft vertrouwelijkheid, integriteit, beschikbaarheid en privacybescherming worden nageleefd. De gemeente zorgt ervoor dat iedere medewerker goed op de hoogte is van de regels, de risico’s en de plicht om incidenten en datalekken te melden. De raad kan onder andere (financiële en organisatorische) kaders stellen op informatiebeveiliging en privacy en college voert deze uit. De raad wordt gepositioneerd om de controlerende rol uit te oefenen, onder andere door middel van ENSIA.

De procedures zoals intern afgesproken worden consequent nageleefd door medewerkers.

29

Bijlage 4. Volwassenheidsniveau NOREA Niveau 1

Naam Initieel

Omschrijving Beheersingsmaatregelen zijn niet of gedeeltelijk gedefinieerd en/of worden op inconsistente wijze uitgevoerd. Grote afhankelijkheid van individuen. Beheersingsmaatregelen zijn aanwezig en worden op consistente en gestructureerde, maar op informele wijze uitgevoerd. Beheersingsmaatregelen zijn gedocumenteerd en worden op gestructureerde en geformaliseerde wijze uitgevoerd. De uitvoering is aantoonbaar en wordt getoetst

2

Herhaalbaar

3

Gedefinieerd

4

Beheerst en meetbaar

De effectiviteit van de beheersingsmaatregelen wordt periodiek geëvalueerd

5

Continu verbeteren

De beheersingsmaatregelen zijn verankerd in het integrale risicomanagement raamwerk, waarbij continu gezocht wordt naar verbetering.

Indicatie criteria • Geen of beperkte controls geïmplementeerd. • Niet of ad-hoc uitgevoerd. • Niet /deels gedocumenteerd. • Wijze van uitvoering afhankelijk van individu. • Control is geïmplementeerd. • Uitvoering is consistent en standaard. • Informeel en grotendeels gedocumenteerd. • Control gedefinieerd o.b.v. risico assessment. • Gedocumenteerd en geformaliseerd. • Verantwoordelijkheden en taken eenduidig toegewezen. • Opzet, bestaan en effectieve werking aantoonbaar. • Rapportage van uitvoering van beheersingsmaatregel aan management. • Effectieve werking van controls wordt periodiek getoetst, gebaseerd op het risicoprofiel van de organisatie. • De toetsing toont aan dat de control effectief is. • Periodieke (control) evaluatie en opvolging vindt plaats. • Evaluatie is gedocumenteerd en geformaliseerd. • Frequentie waarop wordt geëvalueerd is gebaseerd op het risicoprofiel van de onderneming en is minimaal jaarlijks. • Rapportage van de evaluatie aan management. • Continu evalueren van de beheersingsmaatregelen om de effectiviteit te verbeteren. Gebruik makend van resultaten uit Self-assessment, gap en root cause analyses. • De getroffen beheersingsmaatregelen worden gebenchmarkt en zijn ‘Best Practice’ in vergelijking met andere organisaties. • Real time monitoring. • Inzet automated tooling.

Bron: Handreiking bij Volwassenheidsmodel Informatiebeveiliging, januari 2019, NBA.

30