Strategisch Gegevensbescherming en Informatiebeveiligingsbeleid 2025 -2029

De uitvoering van de informatiebeveiliging is een verantwoordelijkheid van het lijnmanagement Alle informatiebronnen- en systemen die gebruikt worden door de gemeente Hilversum hebben een interne eigenaar. Deze eigenaar bepaalt de noodzakelijke mate van beschikbaarheid, integriteit (juistheid) en vertrouwelijkheid (de z.g. BIV classificatie) van de gegevens in de bron of het systeem. Deze eigenaar bepaalt ook de waarde van de informatie die de bron of het systeem bevat. De primaire verantwoordelijkheid voor de bescherming van informatie ligt dan ook bij de eigenaar van de informatie. Verankering in de organisatie Door periodieke controle, organisatiebrede planning én coördinatie wordt de kwaliteit van de informatievoorziening en privacy verankerd binnen de organisatie. Het G&I beleid vormt samen met het G&I (werk)plan het fundament voor een betrouwbare informatievoorziening en privacybescherming. Het plan wordt periodiek bijgesteld op basis van nieuwe ontwikkelingen, registraties in het incidentenregister en risicoanalyses. Gegevensbescherming- en Informatiebeveiligingsbeleid 2025 – 2029 gemeente Hilversum

21

Informatiebeveiliging (en gegevensbescherming) is een continu verbeterproces. De stappen ‘Plan, do, check en act’ vormen samen het managementsysteem van gegevensbescherming en informatiebeveiliging. De gemeente stelt de benodigde mensen en middelen beschikbaar om haar eigendommen en werkprocessen te kunnen beveiligen en te voldoen aan de eisen, zoals gesteld in dit beleid. Regels en verantwoordelijkheden voor het G&I beleid dienen te worden vastgelegd. Iedere medewerker, zowel vast als tijdelijk, intern of extern, is verplicht (persoons)gegevens en informatiesystemen te beschermen tegen ongeautoriseerde toegang, gebruik, verandering, openbaring, vernietiging, verlies of overdracht en bij vermeende inbreuken hiervan melding te maken. Risico gestuurde aanpak Het borgen van gegevensbescherming in de uitvoering van gemeentelijke processen vindt risico gestuurd plaats. De managers in de organisatie maken afwegingen ter naleving van gegevensbeschermingsregels en op basis van een risico-inschatting. Er is een formele registratie- en afmeldprocedure voor het beheren van gebruikersidentificaties ingericht. Managers moeten personeel (alle soorten) aan- en afmelden via een procedure. Daarnaast moeten er periodieke controles plaatsvinden.

De toegang tot (vak)applicaties kennen een aparte autorisatieprocedure en we streven ernaar dat deze altijd samenhangt met het account van de gemeente Hilversum. Het borgen van toegangsbeveiliging Voor logische toegangsbeveiliging wordt het vier ogen principe toegepast bij het inrichting autorisatiematrixen. De verantwoordelijke voor de applicatie beoordeelt periodiek de uitgegeven toegangsrechten en beoordeelt nieuwe aanvragen. Medewerkers loggen in op gemeentelijke systemen door middel van een beveiligde inlogprocedure (met Multi Factor Authenticatie), waarbij gebruikers verantwoordelijk zijn voor het beschermen van hun authenticatie-informatie. Communicatiebeveiliging Ter bescherming van vertrouwelijkheid, integriteit (juistheid) en betrouwbaarheid van informatie maken we gebruik van cryptografie of andere beheersmaatregelen om deze te beschermen. Dit geldt voor alle systemen die door de gemeentelijke organisatie gebruikt worden. Bij het inrichten van cryptografische beheersmaatregelen passen we de “Pas toe of leg uit lijst” van het Forum Standaardisatie en aanbevelingen van het NCSC toe. Er worden regels, procedures of overeenkomsten voor informatieoverdracht ingesteld voor alle soorten van communicatiefaciliteiten binnen de organisatie en tussen de organisatie en andere partijen.

Monitoren, beoordelen en het beheren van wijzigingen van leveranciersdiensten Bij het goede beheer van de leveranciersrelaties hoort dat we de informatiebeveiligingspraktijken en de dienstverlening van leveranciers regelmatig monitoren, beoordelen, evalueren en veranderingen daaraan te beheren. DigiD aansluitingen We maken – voor wat betreft DigiD-aansluitingen - uitsluitend gebruik van SaaS-diensten die door leveranciers worden geleverd. Het eigenaarschap van de DigiD webapplicaties is belegd in de lijnorganisatie en de Teammanager van Interne Dienstverlening – team Business IT Ondersteuning. Zij zijn verantwoordelijk voor het goed functioneren van de applicatie en de te treffen maatregelen. Per DigiD-aansluiting is een functioneel beheerder aangewezen die de verantwoordelijkheid heeft de door Logius opgestelde beveiligingsnormen te implementeren, controleren (middels een jaarlijkse TPM-verklaring) en bewijslast ervan op te bouwen in een auditdossier. Het auditdossier wordt jaarlijks aan de externe auditor beschikbaar gesteld, inclusief de servicerapportages van onze SaaS-leverancier(s) (norm B.05), de incidentprocedure en een overzicht van de incidenten (U/WA.02), de dataclassificatie (U/WA.05), bewijs dat de webapplicatie gehardend is (U/NW.06, t.a.v. DNSSEC) en de beoordeelde releases (C.08).

We conformeren ons daarbij aan de eisen uit de meest recent vastgestelde en gepubliceerde normen van Logius ICT beveiligingsassessment DigiD.

Gegevensbescherming- en Informatiebeveiligingsbeleid 2025 – 2029 gemeente Hilversum

22

Tweemaal per jaar wordt door functioneel beheer beoordeeld of alle autorisaties compleet en actueel zijn en hierover wordt verslag (autorisatiematrix) gedaan richting de procesverantwoordelijke. Er vindt een jaarlijkse toetsing van dit normenstelsel plaats in het kader van de ENSIA door een externe auditor en de CISO waarbij over de resultaten van deze toetsing horizontale (van college aan de raad) en verticale (naar Logius) verantwoording plaatsvindt.

Gegevensbescherming- en Informatiebeveiligingsbeleid 2025 – 2029 gemeente Hilversum

23

Bijlage II - Gebruikte documentatie -

Template “Voorbeeld IB&P beleid” van Vereniging van Nederlandse Gemeenten Informatiebeveiligingsdienst (IBD), licentie onder: CC BY-NC-SA 4.0. (9 juni 2023) Privacybeleid 2020-2024 Strategisch Informatiebeveiligingsbeleid 2020-2024 Bijlage bij Strategisch Informatiebeveiligingsbeleid (B.01 norm) Baseline Informatiebeveiliging Overheid (BIO) GAP analyse rapportage 2023 Mens centraal digitaal document - S. Katus, PMPartners Forum voor standaardisatie informatiebeveiliging standaarden NEN-ISO/IEC 27002:2017 en de daarvan afgeleide Baseline Informatiebeveiliging Overheid (BIO) Three Lines Model – Institute of Internal Auditors (IIA) VNG Borgingsproduct AVG versie 3.0 Beginselen uit de AVG voor het verwerken van persoonsgegevens De 10 bestuurlijke principes voor informatiebeveiliging van de VNG https://www.bio-overheid.nl/ VNG rapport uitvoeringsanalyse regelgeving informatiebeveiliging Digital Decade CMT besluit over processenlandschap en processenlijst is genomen op 20-07-2022

Gegevensbescherming- en Informatiebeveiligingsbeleid 2025 – 2029 gemeente Hilversum

24