RIB Bestuurlijke reactie rekenkamer onderzoek

Informatiebrief Aan: Van: Zaaknummer: Documentnummer: Portefeuillehouder: Team: Datum vaststelling college: Vertrouwelijk: Fase BOB-cyclus:

gemeenteraad college van burgemeester en wethouders Z/22/134266 558415_2 Piet van Leenen PIV, Team Control 17 mei 2022 Nee besluitvormend

Onderwerp Bestuurlijke reactie rekenkamer onderzoek Informatiebeveiliging en privacy. Inleiding De rekenkamer Hoeksche Waard heeft een onderzoek naar informatiebeveiliging en privacy gedaan. De centrale vraag van het onderzoek is als volgt: “Hoe heeft de gemeente Hoeksche Waard de beveiliging van informatie en privacy georganiseerd en geborgd?”. Het onderzoek van de rekenkamer Informatiebeveiliging en privacy geeft ons de mogelijkheid om onze doelstellingen, het beleid en de procedures rondom de beveiliging van informatie en privacy tegen het licht te houden en verder te optimaliseren. Op 10 februari heeft de rekenkamer het eindrapport aangeboden aan de raad en de ambtelijke organisatie. Het college heeft het eindrapport met belangstelling gelezen en dankt de rekenkamer voor de inspanningen en de prettige wijze waarop het onderzoek heeft plaatsgevonden. Het college herkent zich in de aanbevelingen genoemd in het rekenkamerrapport. Bij de start van de gemeente Hoeksche Waard is direct ingezet op aandacht voor en verbetering van informatiebeveiliging en privacy. Dit rekenkamerrapport is een belangrijke bijdrage voor het steeds verder in control komen op dit gebied. Op 10 mei is het eindrapport van het rekenkameronderzoek informatiebeveiliging en privacy door de rekenkamer gepresenteerd in de beeldvormende bijeenkomst aan de raad.

Het college heeft tijdens deze bijeenkomst toegezegd een bestuurlijke reactie op te stellen door middel van een Raadsinformatiebrief. Inhoud De volgende aanbevelingen zijn opgenomen in het eindrapport: Aanbevelingen aan het college: 1. Ambitieniveau vaststellen en voorzien van middelen; 2. Versterken van het volwassenheidsniveau; 3. Omarmen van risicomanagement; 4. Versterken van de capaciteit op tactisch niveau voor informatiebeveiliging en privacy; 5. Ondersteuning van het proceseigenaarschap; 6. Uitbreiding van standaard controles bij aanbestedingen en contracten; 7. Continue investering in bewustwording; 8. Investering in een informatiemanagementsysteem voor de gehele organisatie; 9. Aandacht voor protocollen/procedures; 1/3

Aanbevelingen aan de Raad: 10. Geef het college de opdracht om binnen vier maanden de aanbevelingen in plan van aanpak aan u te presenteren; 11. Nadere invulling geven aan uw rol als controleur. Hieronder is per aanbeveling opgenomen welke stappen de ambtelijke organisatie gaat nemen om de informatiebeveiliging en privacy van de organisatie te verbeteren en borgen: Aanbevelingen aan het college: 1. Ambitieniveau vaststellen en voorzien van middelen Bij het actualiseren van het strategisch informatiebeveiligingsbeleid 2020-2024, in 2024 zal het ambitieniveau van de gemeente Hoeksche Waard met betrekking tot informatiebeveiliging en privacy en door het college worden vastgesteld. 2. Versterken van het volwassenheidsniveau Er zijn verschillende volwassenheidsniveaus ten aanzien van informatiebeveiliging en privacy. Hierover wordt in de halfjaarlijkse FG (Privacy) en CISO (Informatiebeveiliging)-verslagen gerapporteerd aan het college. 3. Omarmen van risicomanagement Risicomanagement is een continue proces om op een gestructureerd manier risico’s in kaart te brengen. Deze manier van werken is fundamenteel voor het borgen van informatiebeveiliging en privacy. Binnen de organisatie is er een kernteam risicomanagement dat op dit moment bezig is met een project voor het inbedden van risicomanagement in de reguliere processen. 4.

Versterken capaciteit op tactisch niveau voor informatiebeveiliging en privacy Er is inmiddels een TISO (Technical Information Security Officer) aangesteld die zich bezighoudt met de technische informatiebeveiligingsvraagstukken. Verder gaan wij gaan onderzoeken of de capaciteit voor privacy op tactisch niveau voldoende is om de organisatie te ondersteunen. 5. Ondersteuning van het proceseigenaarschap De teammanagers zijn integraal verantwoordelijk voor de processen binnen hun teams. Trainingen op het gebied van informatiebeveiliging, privacy en risicomanagement zijn in ontwikkeling en worden aangeboden via het platform van de Hoeksche campus. 6. Uitbreiding van standaard controles op aanbestedingen en contracten Op dit moment worden bij inkopen boven de €50.000,- controles uitgevoerd op het inrichten van security- en privacy by design (hierbij worden eisen ten aanzien van informatiebeveiliging en privacy in de contracten vooraf meegenomen) door het inkoopbureau. Het team Inkoop dient controles uit te voeren op inkopen onder de €50.000,-, zodat deze aan de informatiebeveiliging en privacy eisen voldoen. 7.Continue investering in bewustwording De bewustwording op informatiebeveiliging en privacy neemt toe. Vanuit het platform van de Hoeksche campus is er organisatie breed een PIV (Privacy en informatiebeveiliging) leerlijn verplicht aangeboden aan de organisatie.

Dit herhalen wij jaarlijks gecombineerd met andere (fysieke) trainingen. Bijvoorbeeld door phishing-testen, mystery guests, VR-game en een Cybersecurity-truck.

2/3

8. Investering in een informatiemanagementsysteem voor de gehele organisatie Op dit moment is er nog geen centraal informatiemanagementsysteem waarin de gemeente haar informatiestromen inzichtelijk heeft, kan beheren, verbeteren en controleren. Om dit te realiseren dient er eerst een oriënterend onderzoek gedaan te worden. 9. Besteed aandacht aan de protocollen/procedures Op basis van prioritering vanuit controlerende functies worden proces-verbetertrajecten uitgevoerd. De organisatie is hiermee aan de slag.

Reactie op de beslispunten raadsvoorstel Rekenkamerrapport “informatiebeveiliging en Privacy: Beslispunt 1. Geef het college de opdracht om voor 1 augustus 2022 een plan van aanpak te presenteren. Het college stelt voor dat er een plan van aanpak wort opgesteld in afstemming met de verschillende stakeholders. Om een degelijk en kwalitatief goed plan van aanpak te kunnen opstellen is meer tijd nodig is. Het college stelt daarom voor de door de Rekenkamer aangegeven periode van 4 maanden aan te houden. Dit plan van aanpak kan dan behandelt op 11 oktober in de raad behandelt worden. Beslispunt 2. De auditcommissie te verzoeken afspraken binnen de context van de P&C-cyclus afspraken te maken met het college over het informeren van de raad over informatiebeveiliging en privacy. Het college ondersteunt dit beslispunt en gaat daarmee van harte aan de slag met de auditcommissie. Beslispunt 3. Toezending van halfjaarlijkse rapportages van de FG en CISO en deze in de raad bespreken: Het college stelt voor dit mee te nemen onder beslispunt 2 genoemde afspraken. Beslispunt 4. Afspraken te maken met het college over de 'vrije ruimte' in de ENSIA-rapportage voor de verantwoording aan u als raad. Het college stelt voor dit punt op te nemen in het plan van aanpak zoals bedoeld onder Beslispunt 1. Beslispunt 5.

Indien opportuun actief een beroep te doen op de FG en CISO als adviseurs van de raad. De raad heeft nu al de mogelijkheid de FG en CISO direct te benaderen voor adviezen ten aanzien van informatiebeveiliging en privacy.

3/3