09 Rapport informatieveiligheid (3 rapport RMB)

• Pagina 25 en 26 (§6.2 en 6.3): De vraag “Kunnen de gemeenteraad en de burgers ervan op aan dat de persoonsgegevens zijn beschermd? “ is inderdaad moeilijk met ja of nee te beantwoorden. We moeten continue alert zijn en de techniek up-to-date houden om de risico’s te beperken. En we moeten blijven werken aan de bewustwording (veilig en vaardig digitaal werken) onder medewerkers. Dat is een doorlopend proces. Maar de focus moet niet alleen liggen op preventie. Met voldoende middelen zullen er altijd mogelijkheden zijn om digitaal in te breken. Daarom besteden we ook tijd en aandacht aan de voorbereiding op een incident. We oefenen crisissituaties en werken aan onze bedrijfscontinuïteit. • In met name hoofdstuk 5 staan gevoelige gegevens en conclusies, die niet naar buiten mogen worden gebracht. Daarom willen we graag met u afspreken dat dit rapport onder geheimhouding wordt gedeeld met de raad en als zodanig wordt besproken. Tot slot hechten we er belang aan om te benadrukken dat we met de in de pentest gevonden kwetsbaarheden (direct) aan de slag gegaan zijn. Hierbij kijken we niet alleen naar de mitigatie van de feitelijke bevindingen, maar proberen we ook eventuele onderliggende oorzaken aan te pakken. We pakken ze (uiteraard) op van hoog (high) naar laag (low).

In de bijlage treft u een overzicht aan van de stand van zaken (het spreekt voor zich dat deze informatie onder geheimhouding met u wordt gedeeld). We wensen u succes bij de verdere uitwerking tot het definitieve rapport. 30

GOIRLE 22 augustus 2023 Informatieveiligheid staat in onze gemeente hoog op de agenda. Wij danken de Rekenkamercommissie Midden-Brabant voor het onderzoek en de inzichten die het ons heeft opgeleverd. Informatieveiligheid is een onderwerp van ons allemaal. Wij onderschrijven dan ook de twee aanbevelingen waarin u adviseert om de gemeenteraad in een beeldvormende bijeenkomst deelgenoot te maken van de wijze waarop wij met dit onderwerp omgaan. Ook awareness op het niveau van de gemeenteraad draagt bij aan een goede beveiliging van onze gegevens. We streven naar een niveau van volwassenheid op het gebied van informatieveiligheid, waarbij kwaliteitszorg goed geborgd is in de processen en waarbij zelfevaluatie in de toekomst kan overgaan in een goede interne en externe audit. U hebt zelf kunnen ervaren tijdens het onderzoek, dat we continu leren en ontwikkelen. Dit vakgebied staat nooit stil met alle technologische ontwikkelingen van deze tijd. Juist door dit soort onderzoeken en onze eigen scans en steekproeven, blijven we alert. Hoewel we graag alle mogelijke situaties willen ondervangen en alles zouden willen afdekken, is dit niet mogelijk. Honderd procent veiligheid bestaat niet.

Wij besteden daarom ook veel aandacht aan bedrijfscontinuïteit en crisisbeheersing, met andere woorden: wat te doen wanneer je gehackt bent? Kortom, we werken toe naar een volwassen kwaliteitszorg in onze organisatie, waarbij maatregelen ingebed zijn in het primaire proces en het toezicht goed gepositioneerd en op orde. Daarbij maken we dankbaar gebruik van de uitkomsten van uw onderzoek. Wij vertrouwen erop u hiermee voldoende te hebben geïnformeerd, zodat u de fase van bestuurlijke wederhoor naar tevredenheid kunt afronden.

HILVARENBEEK 29 augustus 2023 Informatieveiligheid staat in onze gemeente hoog op de agenda. Wij danken de Rekenkamercommissie Midden-Brabant voor het onderzoek en de inzichten die het ons heeft opgeleverd. Informatieveiligheid is een onderwerp van ons allemaal. Wij onderschrijven dan ook de twee aanbevelingen waarin u adviseert om de gemeenteraad in een beeldvormende bijeenkomst deelgenoot te maken van de wijze waarop wij met dit onderwerp omgaan. Ook awareness op het niveau van de gemeenteraad draagt bij aan een goede beveiliging van onze gegevens. Uw eerste aanbeveling behandelt de onderwerpen integraliteit, normenkader en de urgentie van informatieveiligheid. We streven naar een niveau van volwassenheid op het gebied van informatieveiligheid, waarbij kwaliteitszorg 31

goed geborgd is in de processen en waarbij zelfevaluatie in de toekomst kan overgaan in een goede interne en externe audit. U hebt zelf kunnen ervaren tijdens het onderzoek, dat we continu leren en ontwikkelen. Dit vakgebied staat nooit stil met alle technologische ontwikkelingen van deze tijd. Juist door dit soort onderzoeken en onze eigen scans en steekproeven, blijven we alert. Hoewel we graag alle mogelijke situaties willen ondervangen en alles zouden willen afdekken, is dit niet mogelijk. Honderd procent veiligheid bestaat niet. Wij besteden daarom ook veel aandacht aan bedrijfscontinuïteit en crisisbeheersing, met andere woorden: wat te doen wanneer je gehackt bent? Uw tweede aanbeveling gaat over een professionele samenwerking met de IT partner. Een goed contract- en leveranciersmanagement is daar één van. Wij zijn ons bewust van de rol van de gemeente als opdrachtgever richting Equalit. De governance binnen de Equalit samenwerking heeft de aandacht in het strategisch en tactisch overleg in deze samenwerking. Binnen onze gemeente is ook de positionering van de CISO en FG een punt van aandacht. Samen met het vraagstuk over de benodigde capaciteit, wordt dit in GHO verband bekeken. Kortom, we werken toe naar een volwassen kwaliteitszorg in onze organisatie, waarbij maatregelen ingebed zijn in het primaire proces en het toezicht goed gepositioneerd en op orde.

Daarbij maken we dankbaar gebruik van de uitkomsten van uw onderzoek. Wij vertrouwen erop u hiermee voldoende te hebben geïnformeerd, zodat u de fase van bestuurlijke wederhoor naar tevredenheid kunt afronden. LOON OP ZAND 3 oktober 2023 Informatieveiligheid staat in onze gemeente hoog op de agenda. Wij danken de Rekenkamercommissie Midden-Brabant voor het onderzoek en de inzichten die het ons heeft opgeleverd. Wel merken wij op dat het rapport in eerste instantie onjuistheden bevatte. De RMB heeft, op aangeven van de Ciso’s (Chief Information Security Officer), besloten na te gaan om welke onjuistheden het ging. De onjuistheden die o.a. besproken zijn, zijn: • Het niet juist benoemen van beveiligingsmaatregelen • Toepassen van segmentatie (Netwerksegmentatie is het opknippen van het totale netwerk in kleinere segmenten, met tussen de segmenten een beveiligd koppelvlak. Dit zorgt ervoor dat kwaadwillende die zich in een netwerksegment bevindt niet direct ongehinderd toegang heeft tot andere netwerksegmenten) • Een oordeel over het functioneren van medewerkers Deze zijn inmiddels besproken, afgestemd en naar tevredenheid van de Ciso’s gewijzigd. Het college heeft daarna kennis genomen van de tekstuele wijzigingen in het rapport. Informatieveiligheid is een onderwerp van ons allemaal.

Wij onderschrijven dan ook de aanbevelingen waarin u adviseert om de gemeenteraad in een beeldvormende bijeenkomst deelgenoot te maken van de wijze waarop wij met

32

dit onderwerp omgaan. Ook awareness op het niveau van de gemeenteraad draagt bij aan een goede beveiliging van onze gegevens. De aanbeveling waarin u adviseert met de gemeenteraad de invulling van macht en tegenmacht, in de professionele samenwerking met de externe ‘IP-partner’ te bespreken in een beeldvormende bijeenkomst nemen wij niet over. De onderwerpen waar de rekenkamer commissie het college op attendeert zoals het verder professionaliseren van het leveranciersmanagement, nemen wij zeer ter harte. Aangezien het hier gaat om een uitvoeringskwestie, gaan we dit niet beeldvormend bespreken met de gemeenteraad. We streven naar een niveau van volwassenheid op het gebied van informatieveiligheid, waarbij kwaliteitszorg goed geborgd is in de processen en waarbij zelfevaluatie in de toekomst kan overgaan in een goede interne en externe audit. U hebt zelf kunnen ervaren tijdens het onderzoek, dat we continu leren en ontwikkelen. Dit vakgebied staat nooit stil met alle technologische ontwikkelingen van deze tijd. Juist door dit soort onderzoeken en onze eigen scans en steekproeven, blijven we alert. Hoewel we graag alle mogelijke situaties willen ondervangen en alles zouden willen afdekken, is dit niet mogelijk. Honderd procent veiligheid bestaat niet.

Wij besteden daarom ook veel aandacht aan bedrijfscontinuïteit en crisisbeheersing, met andere woorden: wat te doen wanneer je gehackt bent? Kortom, we werken toe naar een volwassen kwaliteitszorg in onze organisatie, waarbij maatregelen ingebed zijn in het primaire proces en het toezicht goed gepositioneerd en op orde. Daarbij maken we dankbaar gebruik van de uitkomsten van uw onderzoek. Wij vertrouwen erop u hiermee voldoende te hebben geïnformeerd, zodat u de fase van bestuurlijke wederhoor naar tevredenheid kunt afronden.

33