RK HW - Informatiebeveiliging en privacy - Eindrapport DEF juni 2022

Informatiebeveiliging en privacy

Bestuurlijke nota

Februari 2022

Samenstelling rekenkamer Hoeksche Waard: Mevrouw mr. drs. A.M.M. (Sandra) van Breugel (voorzitter) Mevrouw A. (Lize) Kooijman MSc De heer mr. drs. J. (Jelle) Stelpstra Mevrouw drs. P. (Patricia) Feelders (secretaris-onderzoeker) 2

Inhoudsopgave Voorwoord......................................................................................................................................................... 4 Aanleiding ......................................................................................................................................................... 5 Onderzoeksmethode .......................................................................................................................................... 6 Centrale vraag.................................................................................................................................................... 6 Onderzoeksvragen ............................................................................................................................................. 7 Algemeen beeld ................................................................................................................................................. 7 Conclusies.......................................................................................................................................................... 9 Onderzoeksvraag 1: Beleid van de gemeente ................................................................................................

9 Onderzoeksvraag 2: Risico’s bij informatiebeveiliging en privacy............................................................... 9 Onderzoeksvraag 3: Bewust omgaan met informatiebeveiliging ................................................................ 10 Onderzoeksvraag 4. Bewust omgaan met privacy....................................................................................... 11 Onderzoeksvraag 5. Toetsen van informatiebeveiliging ............................................................................. 12 Onderzoeksvraag 6. Toetsen van partners en leveranciers op informatiebeveiliging ................................. 13 Onderzoeksvraag 7. Lerende houding ten opzichte van informatiebeveiliging .......................................... 14 Onderzoeksvraag 8. Opvolging onderzoek Rekenkamercommissie Hoeksche Waard 2016 ...................... 15 Aanbevelingen ................................................................................................................................................. 15 Aanbevelingen aan het college ................................................................................................................ 15 Aanbevelingen aan de raad ......................................................................................................................

16 Noot: Datagedreven werken met algoritmes ........................................................................................... 16 Bijlage: Rapportage met bevindingen Prae Advies ......................................................................................... 17

3

Voorwoord Informatiebeveiliging en privacy kan best een technisch onderwerp zijn. Wanneer doe je het als gemeente goed en hoe beoordeel je dat als gemeenteraad? Dat is lastig en tegelijkertijd kunnen de gevolgen van kwetsbaarheden ten aanzien van informatiebeveiliging en privacy groot zijn, zo blijkt uit de voorbeelden die we geven in de paragraaf over de aanleiding voor dit onderzoek. De Rekenkamer Hoeksche Waard (RK HW) heeft gemeend dat zij de gemeenteraad kan helpen door de informatiebeveiliging en privacy te onderzoeken: niet alleen beleidsmatig, maar ook technisch en praktisch. Lukt het om digitaal of fysiek binnen te dringen bij de gemeente? Dit is niet gedaan door een echte hacker, maar door een ethisch hacker. De gemeenteraad krijgt met dit onderzoek een beeld van de stand van zaken van informatiebeveiliging en privacy en aanbevelingen aan het college en aan de gemeenteraad zelf om nog sterker te worden op dit onderwerp. Is de gemeente Hoeksche Waard dan beschermd tegen iedere cyberaanval? Die garantie is nooit te geven. Het blijft een proces van alert zijn en blijven. Dit onderzoek bestaat uit een bestuurlijke nota die is geschreven door de RK HW zelf en uit twee feitenonderzoeken. Eén naar het meer beleidsmatige deel van het onderwerp door Prae Advies en één naar het meer praktische deel door Hoffmann.

Vanzelfsprekend is de RK HW verantwoordelijk en aanspreekbaar voor alle drie de onderdelen. Het beleidsmatige deel (onderzoek door Prae Advies) is, voordat de conclusies door de RK HW zijn getrokken, aangeboden aan de ambtelijke organisatie voor een feitencheck. De ambtelijke organisatie heeft hierop een schriftelijke reactie gegeven. Die is door de RK HW grotendeels overgenomen in de eindversie. De RK HW bedankt de beide onderzoeksbureaus voor hun werkzaamheden. Ook dank aan de betrokken ambtenaren en het gemeentebestuur voor de prettige en constructieve samenwerking. In het bijzonder kijkt de RK HW terug op een waardevolle en goede samenwerking met de CISO. Hierbij wenst de RK HW de gemeenteraad veel succes met het stellen van kaders en het controleren daarvan voor de informatiebeveiliging en privacy bij de gemeente Hoeksche Waard. Met dit onderzoek in handen kan de raad hopelijk een goede dialoog voeren met het college. De RK HW wenst ook het college en de ambtelijke organisatie veel succes met de ontwikkelingen op dit belangrijke beleidsterrein. De impact van een hack kan groot zijn op inwoners en bedrijven. Dat wil niemand, ook de RK HW niet. Met dit onderzoek beoogt de RK HW een bijdrage te hebben geleverd aan het up-to-date houden van de informatiebeveiliging en privacy in de gemeente Hoeksche Waard.

De Rekenkamer Hoeksche Waard.

4

Aanleiding Informatiebeveiliging en privacy zijn actuele onderwerpen die een reëel risico vormen voor een gemeente. Gemeenten beheren en verwerken veel persoonsgegevens, tegenwoordig meer dan vroeger, door bijvoorbeeld de decentralisaties in het sociaal domein. Informatiebeveiliging en privacy zijn nauw met elkaar verbonden, zoals onderstaande figuur illustreert.

Organisaties die persoonsgegevens gebruiken moeten deze volgens de Algemene verordening gegevensbescherming (AVG) beveiligen. Volgens de AVG moeten persoonsgegevens “worden verwerkt op een manier die een passende beveiliging en vertrouwelijkheid van die gegevens waarborgt, ook ter voorkoming van ongeoorloofde toegang tot of het ongeoorloofde gebruik van persoonsgegevens en de apparatuur die voor de verwerking wordt gebruikt.”

Het gaat hierbij niet alleen om techniek, maar ook om hoe je als organisatie met persoonsgegevens omgaat. Met andere woorden: de menselijke factor en de cultuur van de ambtelijke organisatie zijn medebepalend.

5

Door de coronacrisis en het massale thuiswerken is bij 36 procent van de gemeenten de informatieveiligheid afgenomen.1 De Autoriteit Persoonsgegevens meldt dat in 2020 de meeste datalekken zijn veroorzaakt doordat persoonsgegevens naar een verkeerde ontvanger gaan.2 Dit type datalek is de belangrijkste oorzaak voor de stijging van het aantal datalekken bij de overheid (in 2020 13% meer datalekken dan in 2019). De sector Openbaar Bestuur staat op een gedeelde tweede plaats als het gaat om het aantal datalekmeldingen in 2020. De Autoriteit Persoonsgegevens ziet in 2020 een toename in het aantal datalekken door hacking, malware of phishing. Ook gemeenten zijn een doelwit van hackers. Een voorbeeld is de hack op 1 december 2020 bij de gemeente Hof van Twente, waarbij gegevens op de servers van de gemeente ontoegankelijk werden gemaakt voor de gemeente, de back-up deels vernietigd was en de gemeente wekenlang stillag.3 Informatiebeveiliging en privacy zijn actuele onderwerpen die een reëel risico vormen voor een gemeente en daarom heeft de RK HW hiernaar onderzoek gedaan. Dit onderzoek is de RK HW niet gestart om de vinger te heffen wat er niet goed gaat, maar om een preventieve bijdrage te leveren aan de gemeente op dit beleidsterrein. De ambtelijke organisatie kan hier haar voordeel mee doen.

Onderzoeksmethode De RK HW heeft besloten om het onderzoek op te splitsen in twee delen en elk deel te gunnen aan een onderzoeksbureau dat voor dat deel bij uitstek geschikt is. Het onderzoek naar het beleidsmatige deel van informatiebeveiliging en privacy is uitgevoerd door Prae Advies door middel van deskresearch en interviews. Het praktische en technische deel van het onderzoek is uitgevoerd door Hoffmann. Hoffmann heeft digitale en fysieke penetratietesten uitgevoerd en een phishingmail naar medewerkers en raad verzonden. Beide bureaus voerden het onderzoek in opdracht van de RK HW uit. De RK HW is verantwoordelijk voor het onderzoek en de uiteindelijke rapportage. Als bijlage bij dit bestuurlijke deel vindt u de nota van bevindingen van Prae Advies. Gezien de aard van de bevindingen van Hoffmann zijn deze niet op detailniveau opgenomen in de nota van bevindingen. Uiteraard worden deze bevindingen wel gedeeld met betrokkenen van de ambtelijke organisatie, zodat zij die kunnen gebruiken om kwetsbaarheden op te lossen. Eén kwetsbaarheid die acute actie vergde, is tijdens het onderzoek direct gemeld aan de ambtelijke organisatie en die heeft dat doortastend opgepakt. Gezien het onderwerp worden er relatief veel technische termen en afkortingen gebruikt. De RK HW heeft geprobeerd deze zoveel mogelijk uit te schrijven danwel toe te lichten.

In de nota van bevindingen van Prae Advies is tevens een verklarende woordenlijst opgenomen.

Centrale vraag De onderzoeksvraag luidt: “Hoe heeft de gemeente Hoeksche Waard de beveiliging van informatie en privacy georganiseerd en geborgd?”

1 2 3

https://www.binnenlandsbestuur.nl/digitaal/nieuws/thuiswerken-bedreigt-informatieveiligheid.16315532.lynkx https://autoriteitpersoonsgegevens.nl/sites/default/files/atoms/files/rapportage_datalekken_2020.pdf https://www.hofvantwente.nl/actueel/veelgestelde-vragen-cyberaanvalhack-gemeentehuis

6

Onderzoeksvragen De deelvragen bij dit onderzoek zijn als volgt: 1. Beleid van de gemeente: Welk beleid voert de gemeente Hoeksche Waard op het gebied van informatiebeveiliging? In hoeverre stuurt het college van B&W op de afspraken die benoemd zijn in de VNG Resolutie ‘Informatiebeveiliging, randvoorwaarde voor de professionele gemeente’ en in het bijzonder op de implementatie van de Baseline Informatiebeveiliging Nederlandse Overheid (BIO)? 2. Risico’s bij informatiebeveiliging en privacy: Welke risico’s bij informatiebeveiliging en privacy heeft de gemeente benoemd? In hoeverre worden risico’s beheerst dan wel geaccepteerd? Op welke wijze zijn de (eind)verantwoordelijken aangewezen en de autorisaties geregeld? Welke maatregelen worden genomen om risico’s te laten afnemen? 3. Bewust omgaan met informatiebeveiliging: Op welke manier zet de gemeente in op het bewust omgaan met informatie? Hoe gaan de medewerkers van de gemeente in de praktijk om met informatiebeveiliging? In hoeverre dragen bestuur en medewerkers het informatiebeveiligingsbeleid uit? Op welke manier rapporteert en bespreekt de organisatie het functioneren van informatiebeveiliging op management- en bestuursniveau (college en raad)? 4.

Bewust omgaan met privacy: Hoe heeft de gemeente de Algemene verordening gegevensbescherming (AVG) van de EU geïmplementeerd in haar werkwijzen? Hoe worden medewerkers hierop actief getraind? In hoeverre dragen bestuur en medewerkers het privacybeleid uit? 5. Toetsen van informatiebeveiliging: In hoeverre zijn gegevens bij de gemeente beschermd tegen de toegang door onbevoegden? Wat zijn de gevolgen voor inwoners en ondernemers als toegang door onbevoegden wordt verkregen? In hoeverre wordt getoetst of de organisatie ‘in control’ is op het gebied van informatiebeveiliging via peer reviews, audits, self assessments (zelf tests) of pen-testen? In hoeverre is de continuïteit van de gemeentelijke dienstverlening gewaarborgd in geval van grootschalige uitval of verstoring van ICT en hoe is dat geregeld? Weet de organisatie hoe te handelen bij een (ernstig) informatiebeveiligingsincident en hoe ziet het incidentenmanagementproces eruit? 6. Toetsen van partners en leveranciers op informatiebeveiliging: Op welke manier toetst de gemeente partners en leveranciers op informatiebeveiligingsaspecten? 7. Lerende houding t.o.v. informatiebeveiliging: Hoe houdt de gemeente kennis over informatiebeveiliging vast, hoe bouwt zij hierop voort en leert ze hiervan? Op welke wijze wordt aandacht besteed aan de verdere bewustwording bij medewerkers van de gemeente? 8.

Opvolging onderzoek Rekenkamercommissie Hoeksche Waard 2016: Welke opvolging is gegeven aan het onderzoek van de rekenkamercommissie Hoeksche Waard uit 2016 getiteld “ICT-samenwerking en informatiebeveiliging van de vijf Hoeksche Waard gemeenten”?4

Algemeen beeld Zoals eerder aangegeven is er bij informatiebeveiliging sprake van een samenspel van techniek, organisatie en mensen. Een veelgebruikt figuur hierbij is het gatenkaasmodel (zie onderstaand figuur). Dit model geeft aan dat een systeem uit meerdere lagen bestaat, waarbij het risico van een dreiging verkleind wordt door op elke laag een beveiliging toe te passen.

4

De VVD-fractie heeft hier in 2019 ook technische vragen over gesteld, deze konden toen nog niet volledig worden beantwoord omdat de gemeente Hoeksche Waard nog bezig was een aantal zaken te implementeren.

7

Bron: Het gatenkaasmodel van prof. James Reason, aangepast aan cybersecurity. 5

Het gatenkaasmodel geeft inzicht in de impact en schade die veroorzaakt wordt door tekortkomingen in de ICT-technologie, processen (het opvolgen en het monitoren ervan) en tot slot de menskant. De theorie geeft inzicht dat als er menselijke fouten worden gemaakt, en die worden er gemaakt in een lerende organisatie, de techniek het mogelijk maakt om bijtijds de menselijke fout inzichtelijk te maken zodat de schade beperkt blijft. Ook geeft het model inzicht dat als er een calamiteit plaatsvindt met grote gevolgen, dit te maken heeft met zwakte in de techniek én het niet volgen van processen én het niet adequaat monitoren én de menselijke fouten die zijn gemaakt. Het is een systeem. Het model impliceert niet dat als de techniek op orde is dat er geen calamiteiten kunnen gebeuren. Het algemene beeld dat de RK HW heeft gekregen in de gemeente Hoeksche Waard is dat de technische kant en het organisatorische aspect van informatiebeveiliging en privacy goed zijn, maar aan de mens-kant kwetsbaarder is. Het is menselijk om fouten te maken. Terecht besteedt de gemeente Hoeksche Waard aandacht aan de bewustwording van mensen door instrumenten in te zetten als trainingen. Uit het onderzoek is gebleken dat het niet mogelijk was om het netwerk van de gemeente Hoeksche Waard van buitenaf te benaderen. Dat is een belangrijke eerste waarborg voor informatiebeveiliging.

Eenmaal op het netwerk, bleek uit het onderzoek dat er diverse verbeteringen mogelijk zijn. Ook bleek dat er een groot bewustzijn is over het onderwerp, dat beleid en uitvoering ten aanzien van informatiebeveiliging en privacy steeds sterker worden en dat de ambities groot zijn. Uit het onderzoek blijken diverse voorbeelden waarbij het menselijk handelen de zwakste schakel lijkt te zijn ten aanzien van informatiebeveiliging en privacy. Te gemakkelijk toegankelijke ruimtes, open kasten of zwak gekozen wachtwoorden kunnen leiden tot risico’s. Het algemene beeld van de RK HW is dan ook dat de basis voor informatiebeveiliging en privacy op orde is, maar dat het onderwerp tevens dagelijkse aandacht vergt. De ontwikkelingen gaan snel, de gemeente moet alert blijven. Een kleine onzorgvuldigheid ten aanzien van dit onderwerp heeft immers potentieel grote gevolgen. De gevolgen van een hack kunnen een grote impact hebben op de gemeente. Hierna gaan we gedetailleerder in op de conclusies uit het onderzoek.

5

Verkregen op 3 februari 2022 van https://securityandpeople.com/2017/07/human-errors-in-cyber-security-a-swiss-cheese-of-failures/

8

Conclusies Om de onderzoeksvragen te beantwoorden is gebruik gemaakt van een normenkader. Onderstaand worden per onderzoeksvraag de normen besproken met bijbehorende conclusie.

Onderzoeksvraag 1: Beleid van de gemeente Normen onderzoeksvraag 1. Beleid van de gemeente - Het college stelt het integrale beleid ten aanzien van informatiebeveiliging en privacy vast. - Er vindt sturing plaats op basis van de BIO. - Op onderdelen van informatiebeveiliging en privacy is beleid geformuleerd en zijn richtlijnen opgesteld, zoals gebruik van wachtwoorden, 2 factor authenticatie, mobiele datadragers, autorisaties en monitoring, protocol datalekken, wijzigingsbeleid enz. Strategisch beleid

Het strategisch beleid op informatiebeveiliging is voor de periode 2020-2024 beschreven volgens de BIO (Baseline informatiebeveiliging Overheid, dit zijn vastgestelde richtlijnen voor alle gemeenten in Nederland) en is vastgesteld door college. Verantwoordelijkheden zijn beschreven en belegd. Het beleid op privacy is volgens de AVG (Algemene Verordening Gegevensbescherming) en is ook door college vastgesteld. Functies op informatiebeveiliging en privacy zijn ingevuld bij de gemeente Hoeksche Waard op strategisch niveau, met de CISO (Chief Information Security Officer), FG (Functionaris Gegevensbescherming) en PO (Privacy Officer). Ten aanzien van privacy is de functie ook op tactisch niveau ingevuld. Voor informatiebeveiliging is op tactisch niveau echter nog niet in een functie voorzien. Wel wordt een TISO (Technical Information Security Officer) geworven die hierbij een rol zou kunnen vervullen. De CISO en PO zijn bij het team Control ondergebracht in het Privacy & Informatieveiligheidsteam (PIV). Regelmatig overleg is er met de concerncontroller en de externe FG. Twee jaar geleden is een stuurgroep met teammanagers ingesteld naast het PIV, maar die rol moet nog nader worden ingevuld. Sturing vindt in principe plaats op basis van de BIO, die risicogeoriënteerd van opzet is.

Protocollen

De gemeente heeft meerdere protocollen opgesteld, zoals een wachtwoordenbeleid, back-up en restorebeleid, toegangsrechten, enz. Een integraal continuïteitsplan ontbreekt en deze wordt door de teammanager ICT opgesteld. De verdeling van verantwoordelijkheden hierop voor ICT en de vakteams, zoals Integrale veiligheid, moet nog worden vastgelegd in het beleid.

Conclusie 1: Het beleid van de gemeente Hoeksche Waard op het gebied van informatiebeveiliging en privacy is grotendeels op orde.

Onderzoeksvraag 2: Risico’s bij informatiebeveiliging en privacy Normen onderzoeksvraag 2. Risico’s bij informatiebeveiliging en privacy - Het informatiebeveiligingsbeleid is opgesteld aan de hand van een GAP-analyse. - Jaarlijks wordt op basis van een risicoanalyse het informatiebeveiligingsplan ingevuld. - De gemeente neemt maatregelen om risico’s te verlagen. Planvorming

Het informatiebeveiligingsplan of implementatieplan wordt tweejaarlijks opgesteld op basis van een risicoanalyse. De capaciteit op tactisch niveau ontbreekt om een plan jaarlijks op te 9

stellen. Overigens schrijft de BIO voor dat er periodiek een dergelijk plan wordt opgesteld, zonder een jaartermijn te noemen. Maatregelen

Op basis van de jaarlijkse ENSIA-rapportages6 en de pentesten worden maatregelen getroffen om de gesignaleerde risico's aan te pakken. Informatieveiligheid wordt halfjaarlijks gemonitord op basis van een meting van de vordering op de 112 BIO-maatregelen. Dat is op te vatten als een gap-analyse tussen enerzijds de aangetroffen realiteit en de BIO-norm. Ook over opzet, bestaan en werking van AVG-beleid wordt halfjaarlijks gerapporteerd. Daarnaast rapporteert de gemeente over informatiebeveiliging op de VNG-site 'waarstaatjegemeente.nl', die openbaar is en voor externe partijen te benaderen is. Het volwassenheidsniveau op informatiebeveiliging (op basis van de NOREA-norm7) van de gemeente is groeiende en wordt eind 2021 op niveau 2 gewaardeerd (schaal 1 tot en met 5; cijfer 3 betekent in control). De beheersingsmaatregelen zijn in opzet aanwezig, maar worden op informele wijze toegepast. De proceseigenaren in de lijn zijn nog niet in staat om de risicoanalyses op te stellen en maatregelen te prioriteren die nodig zijn voor het implementatieplan. Dat vormt een risico op ineffectiviteit. Dat wil zeggen dat op operationeel niveau de kennis om de risico's te inventariseren en prioriteren niet aanwezig is, en ook niet met externe ondersteuning wordt opgepakt.

In het plan voor 2022 wordt voorgesteld voorlopig de risico's te accepteren en de verantwoordelijkheid voor een programma om maatregelen daarop te nemen op directieniveau te beleggen.

Conclusie 2: De risico’s bij informatiebeveiliging en privacy bij de gemeente Hoeksche Waard zouden meer in kaart gebracht kunnen worden, met name op tactisch niveau ontbreekt de kennis.

Onderzoeksvraag 3: Bewust omgaan met informatiebeveiliging Normen onderzoeksvraag 3. Bewust omgaan met informatiebeveiliging - Het beleid ten aanzien van informatiebeveiliging wordt gepubliceerd voor werknemers en relevante externe partijen. - Medewerkers krijgen cursussen, trainingen e.d. hoe om te gaan met informatie. - Medewerkers weten wat ze wel en niet mogen/moeten doen met gegevens en herkennen incidenten en rapporteren deze ook daadwerkelijk. - Het bestuur en medewerkers dragen het beleid ten aanzien van informatiebeveiliging actief uit. - Over het functioneren van informatiebeveiliging wordt gerapporteerd aan het management, bij voorkeur op basis van een ISMS (Information Security Management System). - Over het functioneren van informatiebeveiliging wordt gerapporteerd aan de raad, in ieder geval jaarlijks in het kader van ENSIA. - De CISO is gepositioneerd en geëquipeerd om diens taak adequaat uit te voeren. Beleid

Het beleid, de protocollen en de standaarden met betrekking tot informatiebeveiliging en privacy worden voor de medewerkers gepubliceerd.Het merendeel is op het intranet aanwezig en beschikbaar voor medewerkers.

E-learning

Medewerkers krijgen via e-learning op de Hoeksche Campus een gevarieerd en wisselend aanbod aan cursussen en trainingen over informatiebeveiliging en privacy. Voor nieuwe medewerkers zijn deze trainingen verplicht om meteen mee te beginnen en voor de andere medewerkers zijn die deels jaarlijks verplicht. Daar wordt niet altijd door teammanagers op

6

ENSIA (Eenduidige Normatiek Single Information Audit), dit wordt door gemeenten gebruikt om zich te verantwoorden over de staat van hun informatiebeveiliging. 7 https://www.norea.nl/download/?id=6223

10

gestuurd. De functionarissen op informatiebeveiliging en privacy geven aan deelname van de medewerkers te gaan volgen. Bewustzijn

Bewustwording op informatiebeveiliging en privacy neemt volgens de respondenten toe en de functionarissen krijgen steeds meer vragen hierover. De bereidheid om incidenten te melden, zoals phishingmails of (vermoede) datalekken, neemt toe. Bewustzijn kan altijd beter en vergt continu aandacht, zoals ook blijkt uit de testen die in het kader van dit rekenkameronderzoek zijn uitgevoerd. Het kan altijd beter en de gemeente werkt daar continu aan door middel van e-learning (Hoeksche Campus). Er zijn verplichte modules, maar die zitten nog niet in het blikveld van alle medewerkers.

Rapportages

De CISO rapporteert halfjaarlijks aan directie en college over de voortgang van de BIOmaatregelen. De jaarlijkse ENSIA-rapportage gebeurt nog niet met behulp van een Information Security Management System (ISMS). Er is in aanzet een ISMS aanwezig, maar dat is nog niet geheel uitgerold en gevuld omdat team Control en de FG met andere informatiesystemen werken. Dat betekent een risico op ineffectiviteit en inefficiëntie, omdat de informatie op informatiebeveiliging, benodigd voor de rapportages niet geautomatiseerd verzameld en verwerkt wordt.

Informatie raad

De raad krijgt in het kader van de P&C-cyclus gerapporteerd over informatiebeveiliging. Dat gebeurt in het jaarverslag van de gemeente en in de jaarlijkse ENSIA-rapportage. In de ENSIA doet de gemeente verslag van de (zelf)audits op verschillende applicaties, zoals DigiD en Suwinet8. Met de ENSIA-systematiek rapporteert de gemeente verticaal aan de landelijke toezichthouders en horizontaal aan de gemeenteraad als lokale toezichthouder. Daarmee voldoet het college aan de minimumeisen van de BIO. Er wordt geen gebruik gemaakt van de zogenoemde “vrije ruimte” die de ENSIA biedt om de raad aanvullend te informeren over informatiebeveiliging en privacy.

Positie CISO

De CISO is in principe geëquipeerd en gepositioneerd om diens taak te kunnen uitvoeren bij team Control, en met een eigen lijn naar de portefeuillehouder op informatiebeveiliging en de burgemeester. Er ontbreekt een tactische capaciteit op informatiebeveiliging, waardoor de CISO ook nog veel op tactisch en operationeel terrein bezig is. Er wordt een TISO geworven om op technisch vlak daarin te voorzien.

Conclusie 3: De gemeente Hoeksche Waard stimuleert het bewust omgaan met informatiebeveiliging.

Onderzoeksvraag 4. Bewust omgaan met privacy Normen onderzoeksvraag 4. Bewust omgaan met privacy - De gemeente werkt volgens de regels van de AVG. - Medewerkers krijgen cursussen, trainingen e.d. hoe zij moeten werken in overeenstemming met de AVG. - Het bestuur en medewerkers dragen het beleid ten aanzien van privacy actief uit. - De FG is gepositioneerd en geëquipeerd om diens taak adequaat uit te voeren. AVG

8

De gemeente werkt op het gebied van privacy in principe volgens de regels die de AVG voorschrijft. De FG constateert in zijn halfjaarlijkse rapportages aan het college een stijgende lijn in het uitdragen van beleid en sturing door het bestuur.

Suwinet is een digitale infrastructuur waarin partijen als UWV, Sociale Verzekerings Bank (SVB) en gemeenten gegevens kunnen uitwisselen.

11

DPIA’s

Een DPIA (Data Protection Impact Assessment) wordt uitgevoerd wanneer gegevensverwerking waarschijnlijk een hoog risico oplevert. Het uitvoeren van DPIA's komt langzaam maar zeker van de grond. Twee zijn afgerond en vier zijn in een afrondende fase. De proceseigenaren zijn daarvoor in principe de opdrachtgever. Op operationeel gebied van privacy hebben de proceseigenaren nog veel ondersteuning nodig.

FG

De FG is als extern adviseur gepositioneerd en geëquipeerd om de taak adequaat uit te voeren, mede omdat er op tactisch niveau ondersteuning is. De gemeente is bezig met de opstart van een AVG-werkprogramma. Door de aandacht voor de operationele uitvoering komt de PO vooralsnog niet toe aan de werking van een structureel activiteitenprogramma.

Conclusie 4: De gemeente Hoeksche Waard werkt in principe volgens de regels van de AVG en besteedt extra aandacht aan de DPIA’s.

Onderzoeksvraag 5. Toetsen van informatiebeveiliging Normen onderzoeksvraag 5. Toetsen van informatiebeveiliging - Gegevens zijn goed beschermd tegen ongewenste invloeden van buitenaf. - Er wordt jaarlijks een beveiligingsaudit uitgevoerd. - Er is een procedure vastgesteld voor de wijze waarop informatiebeveiligingsgebeurtenissen en zwakke plekken in de beveiliging worden beheerd en gerapporteerd. - Op de systemen is logging geïnstalleerd en er is capaciteit aanwezig om deze te monitoren. Testen

De gemeente laat jaarlijks door externen verschillende pentesten uitvoeren om de informatiebeveiliging (techniek) en het risicobewustzijn van medewerkers te testen. Op de geconstateerde risico's worden verbetermaatregelen getroffen. Dat gebeurt ook naar aanleiding van de jaarlijkse ENSIA-rapportages en de (zelf)audits die de gemeente uitvoert, of laat uitvoeren. Met name de audits op Suwinet en DigiD zijn streng en de collegeverklaring over deze twee audits moet worden gecheckt door een gecertificeerde auditor. De rapportage over de BRP en Reisdocumenten, en andere applicaties, verloopt vooralsnog via een apart traject, maar maakt wel onderdeel uit van ENSIA.

Pentesten

In het kader van het rekenkameronderzoek zijn in opdracht van de Rekenkamer door Hoffmann diverse pentesten uitgevoerd: een externe en een interne netwerktest, een wifinetwerktest, een mystery guest (fysieke inlooptest) en een phishingmail. De eerste drie zijn vooral gericht op de techniek, de laatste twee grotendeels op de mens (bewustzijn). Samenvattend kwamen uit de testen een paar kritieke bevindingen naar voren en voor het merendeel punten die meer aandacht behoeven. Deze worden naar aanleiding van dit rapport met de gemeente gedeeld en kunnen successievelijk worden verholpen.

Externe netwerktest Uit de externe netwerktest, uitgevoerd in opdracht van de Rekenkamer, blijkt dat het

moeilijk is om ongeautoriseerd van buiten het gemeentelijke netwerk naar binnen te komen. Een kritiek risico met betrekking tot een server is meteen met en door de CISO opgepakt. De overige bevindingen uit de testen zijn van lager risico en betreffen onder andere risico op spoofing (verzenden van een email uit naam van de gemeente), multifactor authenticatie (2FA) en zwakke wachtwoorden.

12

Interne netwerktest Uit de interne netwerktest blijkt dat het mogelijk was om ongeautoriseerd toegang te krijgen

tot het systeem van de gemeente, maar het lukte niet om het domein onder controle te krijgen. Verder zijn onder andere wachtwoorden en bijzondere persoonsgegevens aangetroffen. Mystery guest

Uit de inlooptest die de RK HW heeft laten uitvoeren blijkt dat een mystery guest ongehinderd over meerdere dagen toegang kon krijgen tot een drietal servicepunten. Daarbij is geprobeerd technisch toegang te krijgen tot de informatiesystemen en is het risicobewustzijn van medewerkers getest. De mystery guest is gedurende de test nauwelijks aangesproken door medewerkers en heeft (vertrouwelijke) informatie kunnen inzien, waaronder privacygevoelige WMO-aanvragen.

Mail-phishing

Om het bewustzijn bij medewerkers en (burger)raadsleden te toetsen is in opdracht van de Rekenkamer door Hoffmann een phishing mail verzonden. 22% van de medewerkers en 3% van de (burger)raadsleden hebben op de link in de mail geklikt. Respectievelijk 6% en 3% heeft een gebruikersnaam en wachtwoord ingevoerd waarmee een kwaadwillende op het netwerk kan komen. Deze resultaten zijn gemiddeld in vergelijking met andere gemeenten die door Hoffmann zijn onderzocht, maar maken duidelijk dat medewerkers en (burger)raadsleden hierop nog kunnen leren.

Logging

Een manier om informatiebeveiliging en de ongeautoriseerde toegang tot gegevens te toetsen is logging9. Een aantal systemen wordt gelogd omdat dat wettelijk afgedwongen is, zoals bij DigiD en Suwinet. Daarnaast past de gemeente logging op een aantal andere systemen toe. De logging en de check daarop is nog niet in een procedure vastgelegd. Procedure is dat bij verdacht verkeer achteraf kan worden gecheckt wie toegang had tot welke informatie en dat systemen door systeembeheer kunnen worden gecontroleerd op inbraken en uitval. Ook de firewall wordt elke twee weken gecheckt op verdacht verkeer.

Conclusie 5: De technische informatiebeveiliging van de gemeente Hoeksche Waard is merendeels op orde, maar de menselijke kant vertoont kwetsbaarheden.

Onderzoeksvraag 6. Toetsen van partners en leveranciers op informatiebeveiliging Normen onderzoeksvraag 6. Toetsen van partners en leveranciers op informatiebeveiliging - De gemeente heeft in beeld met welke partners (bijzondere) persoonsgegevens worden gedeeld met behulp van het verwerkingsregister. - De gemeente maakt met partners en leveranciers afspraken over het veilig uitwisselen en verwerken van persoonsgegevens en de daarvoor te nemen maatregelen, bij voorkeur op basis van 'privacy by design'. - Partners en leveranciers rapporteren jaarlijks over het verwerken van persoonsgegevens.

Verwerkingsregister De gemeente heeft in beeld met welke partijen (bijzondere) persoonsgegevens worden

gedeeld, met behulp van het verwerkingsregister. Bij contracten met partners die namens of voor de gemeente persoonsgegevens verwerken moeten verwerkersovereenkomsten worden afgesloten. Om de proceseigenaren te helpen bij het bepalen of zo'n verwerkersovereenkomst nodig is wordt een checklist gebruikt.

9

Bijhouden wie waar toegang tot heeft.

13

Aanbestedingen

Bij nieuwe aanbestedingen en contracten wordt in principe voldaan aan de eisen die informatiebeveiliging en privacy stellen. Bij alle nieuwe aanbestedingen en contracten wordt door de proceseigenaar gecheckt of (bijzondere) persoonsgegevens worden verwerkt en of een verwerkersovereenkomst nodig is. Daarbij dient ook gecontroleerd te worden of 'privacy by design'10 als uitgangspunt is genomen voor de uitvoering van de opdracht. Het bovenstaande geldt voor alle aanbestedingstrajecten van softwarepakketten die centraal worden gecheckt door de CISO en PO. Echter, er is geen standaard centrale controle op aanbestedingen en contracten beneden de €50.000. Er lopen oude contracten die waarschijnlijk niet volledig voldoen wat betreft de voorwaarden die de AVG stelt. Deze moeten bij vernieuwing worden aangepast aan de nieuwe wet- en regelgeving, en dan gelden de bovenstaande richtlijnen. Als de gemeente meer zekerheid zou willen verkrijgen over, van, voor de AVG-risico’s in die contracten zou daarvan een tussentijdse scan kunnen worden gemaakt. De partners en leveranciers moeten bij het afsluiten van contracten met een verwerkersovereenkomst op een onafhankelijke wijze kunnen aantonen dat zij voldoen aan de gestelde veiligheidseisen.

Dat kunnen ze doen door een accountantsverklaring te overleggen of een Third Party Memorandum (TPM) en ze moeten zich bereid verklaren mee te werken aan een controle en datalekprocedure, als de gemeente dat verlangt of daartoe verplicht is.

Third Party Memorandum

Conclusie 6: De gemeente Hoeksche Waard heeft in beeld met welke partijen (bijzondere) persoonsgegevens worden gedeeld, maar bij kleinere of oudere contracten kunnen zich risico’s voordoen op het gebied van informatiebeveiliging en/of privacy.

Onderzoeksvraag 7. Lerende houding ten opzichte van informatiebeveiliging Normen onderzoeksvraag 7. Lerende houding t.o.v. informatiebeveiliging - De gemeente heeft procedures om te leren van beveiligingsmeldingen met als doel beheersmaatregelen te verbeteren. - Het ISMS, indien aanwezig, is gekoppeld aan de PDCA-cyclus. Incidentmanagement De Rekenkamer heeft een protocol aangetroffen hoe om te gaan met (de melding van)

datalekken. Er is een handelwijze afgesproken hoe om te gaan met incidenten. Deze worden bijgehouden in Topdesk en worden halfjaarlijks geanalyseerd door de CISO en PO. Veelvoorkomende of serieuze incidenten, zoals datalekken, worden geëvalueerd met het betreffende team. Aangegeven is dat erover wordt gedacht om een geautomatiseerd systeem te implementeren om dreigingen te monitoren en te analyseren (SOC/SIEM11). Er is ook geen protocol aangetroffen voor een groot informatiebeveiligingsincident. ISMS

10 11

Aan een Information Security Management System is een beleidsleercyclus, of PDCA (PlanDo-Check-Act) cyclus, gekoppeld. Zoals hiervoor al is geconstateerd, is dat voor informatiebeveiliging niet geheel uitgerold en gevuld. Daardoor kan niet optimaal worden gebruikgemaakt van deze tool. Activiteiten moeten vanuit verschillende systemen handmatig worden overgezet en dat is een risico op inefficiëntie.

Al bij het ontwerp rekening houden met privacy. https://www.vngrealisatie.nl/nieuws/siem-en-soc-verhogen-digitale-weerbaarheid

14

Conclusie 7: De gemeente Hoeksche Waard kan de lerende houding ten opzichte van informatiebeveiliging verder versterken.

Onderzoeksvraag 8. Opvolging onderzoek Rekenkamercommissie Hoeksche Waard 2016 Normen onderzoeksvraag 8. Opvolging onderzoek Rekenkamercommissie Hoeksche Waard 2016 - De gemeente heeft gevolg gegeven aan de aanbevelingen van het Rekenkamercommissie-rapport Hoeksche Waard uit 2016. Aanbevelingen 2016 Een van de 5 aanbevelingen uit 2016 is geheel opgevolgd. Dat betreft de prioritering van

maatregelen op basis van een classificatie van risico's. Zoals eerder in deze conclusies aangegeven, is het beleid van de BIO en de uitvoering ervan door de gemeente risicogestuurd. Het implementatieplan kon echter, vanwege het ontbreken van een door het lijnmanagement opgestelde en onderbouwde risicoanalyse, niet adequaat worden opgesteld. In aanzet is die aanbeveling wel geïmplementeerd, maar in de uitvoering is die nog niet geheel opgevolgd. Vier aanbevelingen zijn deels opgevolgd, mede door de fusie en corona. Aangegeven wordt dat alsnog met de vier aanbevelingen aan de slag wordt gegaan, zoals de businesscase die eind 2021 wordt verwacht en de aanvulling op de rapportages met aanbevolen prestatieindicatoren op doelmatigheid en dagelijks beheer.

Conclusie 8: De aanbevelingen uit het onderzoek van de Rekenkamercommissie Hoeksche Waard 2016 zijn deels opgevolgd.

Aanbevelingen De materie rondom informatiebeveiliging en privacy is complex. Met het oog op de nota van bevindingen kunnen de volgende aanbevelingen worden gedaan.

Aanbevelingen aan het college 1. Stel jaarlijks de ambitie vast ten aanzien van informatiebeveiliging en privacy en voorzie die ambitie van de nodige middelen. 2. Neem in deze ambitie versterking van het volwassenheidsniveau van de organisatie mee. 3. Neem noodzakelijke maatregelen, op basis van een risicoanalyse. Gebruik hierbij mede de pentesten die in het kader van het rekenkameronderzoek zijn uitgevoerd op de systemen (techniek) en de mens. 4. Versterk de capaciteit op de tactische kant van informatiebeveiliging, een eerste stap met het werven van een TISO is gezet, en evalueer de capaciteit en inzet op de tactische kant van privacy. 5. Ondersteun het proceseigenaarschap van het lijnmanagement, zodat deze in staat is het opdrachtgeverschap op informatiebeveiliging en privacy in te vullen. 6. Breid de standaard controle op aanbestedingen en contracten op informatiebeveiliging en 'privacy by design' uit naar contracten met een bedrag dat lager is dan €50.000. 7. Blijf investeren in leren over en bewustzijn ten aanzien van informatieveiligheid en privacy bij medewerkers. 8. Maak een keuze voor een informatiemanagementsysteem dat door de gehele organisatie wordt gebruikt. 9. Besteed aandacht aan de protocollen/procedures, zoals het incidentmanagement en het integrale bedrijfscontinuïteitsplan. 15

Aanbevelingen aan de raad 10. Geef het college de opdracht om binnen 4 maanden de aanbevelingen aan het college in een plan van aanpak aan u te presenteren. 11. Geef nadere invulling van uw taak als controleur van de uitvoering van het beleid op informatiebeveiliging en privacy door: a. Met het college afspraken te maken wanneer en waarover u ten aanzien van informatiebeveiliging en privacy geïnformeerd wil worden; b. Om toezending te vragen van de halfjaarlijkse rapportages van de FG en de CISO en deze in de raad te bespreken; c. Afspraken te maken met het college over de 'vrije ruimte' in de ENSIA-rapportage voor de verantwoording aan u als raad; d. U te laten bijstaan door de FG en CISO als 'externe' adviseurs en u indien gewenst voor een second opinion door een andere externe adviseur te laten bijstaan.

Noot: Datagedreven werken met algoritmes Het openbaar bestuur moet het hoofd bieden aan grote digitale bedreigingen en staat ook voor grote digitale opgaven. Een van de opgaven is het werken met grote bestanden met groepen (bijzondere) persoonsgegevens. Dit zogenoemde datagedreven werken waarbij algoritmes in beeld komen is relatief nieuw voor gemeenten, maar gaat met rasse schreden voort. Het is nog vaak zoeken hoe gemeenten hiermee omgaan en hoe de aspecten van informatiebeveiliging en privacy daarin geborgd kunnen worden. En, 'last but not least' wat de rol van de raad daarin is. Het omgaan met algoritmes maakte geen deel uit van de onderzoeksopdracht. Zijdelings kwam het wel ter sprake tijdens de interviews en in sommige documenten. De RK HW wil de raad aansporen de vinger aan de pols te houden bij deze turbulente ontwikkelingen.

16

Bijlage: Rapportage met bevindingen Prae Advies

17

Informatiebeveiliging en privacy Gemeente Hoeksche Waard Rapport

Rekenkamer Hoeksche Waard 23 december 2021

Auteur: drs. Etienne Lemmens, Prae Advies en onderzoek

Inhoudsopgave 1

Inleiding ........................................................................................................................................... 3

2

Doelstelling en onderzoeksvragen .................................................................................................. 5

3

Aanpak ............................................................................................................................................. 7

4

Beleid van de gemeente .................................................................................................................. 8

5

Bewust omgaan met informatiebeveiliging .................................................................................. 16

6

Bewust omgaan met privacy ......................................................................................................... 19

7

Toetsen van informatiebeveiliging ................................................................................................ 24

8

Toetsen van partners en leveranciers op informatiebeveiliging ................................................... 30

9

Lerende houding t.o.v. informatiebeveiliging ............................................................................... 31

10 Opvolging onderzoek Rekenkamercommissie Hoeksche Waard 2016 ......................................... 33

Bijlage 1. In informatiebeveiliging en privacy veel voorkomende termen en afkortingen ................ 36 Bijlage 2. Lijst geraadpleegde stukken en lijst respondenten............................................................. 39 Bijlage 3. Onderzoeksvragen en normen ............................................................................................ 41 Bijlage 4. Resultaten Pentesten .......................................................................................................... 43 Bijlage 5. Volwassenheidsniveau NOREA ............................................................................................ 45

2

1 Inleiding De Rekenkamer Hoeksche Waard (RK HW) vindt in deze tijd informatiebeveiliging en privacy van belang, iedere organisatie loopt op dit terrein risico’s. Ook gemeenten, denk bijvoorbeeld aan de hack bij de gemeente Hof van Twente. De RK HW is geïnteresseerd hoe het staat met het beleid en de uitvoering van de informatiebeveiliging en privacy in de gemeenten Hoeksche Waard. Om die reden heeft de RK HW aan Prae advies BV en Hoffmann BV opdracht gegeven om hier onderzoek naar de verrichten. Onder andere door de toegenomen taken in het sociaal domein beheren en verwerken gemeenten meer en meer persoonlijke en gevoelige data. Gemeenten zijn daarbij kwetsbaar gebleken, zoals onder andere blijkt uit datalekken en grote incidenten bij gemeenten en recente onderzoeken van rekenkamers. Wat gebeurt er bijvoorbeeld als die informatie op straat komt te liggen? Of als de digitale dienstverlening aan burgers niet meer mogelijk is? Naast financiële, juridische en technische gevolgen kunnen deze crises de privacy van burgers en het imago van de gemeente aantasten. De Rekenkamer Hoeksche Waard wil de gemeenteraad inzicht geven in de stand van zaken op het gebied van informatiebeveiliging en privacy in de gemeente. Ten aanzien van informatiebeveiliging spelen drie aspecten een cruciale en op elkaar ingrijpende rol: mens – techniek – organisatie.

In het rekenkameronderzoek wordt ingegaan op deze drie aspecten. Op de technische infrastructuur zijn door Hoffmann pentesten uitgevoerd. Vanwege de vertrouwelijke aard wordt de gemeente over de resultaten daarvan apart gerapporteerd. De rekenkamer heeft Prae Advies en Onderzoek gevraagd de organisatorische en menselijke aspecten van informatiebeveiliging en privacy te onderzoeken. Daar waar dat zinvol is wordt in dit rapport ingegaan op de resultaten uit de technische testen.

1.1

Leeswijzer Deze nota van bevindingen betreft het beleidsdeel van het rekenkameronderzoek naar informatiebeveiliging en privacy. Hoffmann heeft voor de rekenkamer Hoeksche Waard, naast dit beleidsonderzoek, een technisch onderzoek uitgevoerd naar informatiebeveiliging en privacy. Het technisch onderzoek bestaat uit drie delen. De techniek, een inlooptest in de gebouwen van de gemeente door een mysterie guest en tot slot een phishing mail die de onderzoekers naar alle ambtenaren en raads- en burgerleden heeft gezonden. De resultaten van de eerste twee onderdelen van het technisch onderzoek (techniek en inlooptest) zijn in de interviews in het beleidsonderzoek meegenomen. Om die reden refereert dit 3

beleidsonderzoek aan het technische onderzoek dat door de Hoffmann is uitgevoerd. In hoofdstuk 2 gaan we in op de doelstelling en de onderzoeksvragen. In hoofdstuk 3 behandelen we de gehanteerde onderzoeksaanpak om de vragen te beantwoorden. Vanaf hoofdstuk 4 volgt de beantwoording van de onderzoeksvragen. In hoofdstuk 4 worden de eerste 2 onderzoeksvragen beantwoord. In de hoofdstukken 5 tot en met 10 komen respectievelijk de onderzoeksvragen 3 tot en met 8 aan bod. De bevindingen uit de interviews zijn getoetst door de bij dit onderzoek betrokken respondenten. In de bijlagen is achtereenvolgens een verklarende woordenlijst opgenomen, de bestudeerde documenten en geïnterviewde respondenten, de normen gekoppeld aan de onderzoeksvragen, een samenvatting van de resultaten van de pentesten, het schema van NOREA en de aanbevelingen van het onderzoek van de Rekenkamercommissie Hoeksche Waard naar informatiebeveiliging uit 2016.

4

2 Doelstelling en onderzoeksvragen 2.1

Centrale onderzoeksvraag De Rekenkamer Hoeksche Waard wil met dit onderzoek de volgende centrale vraag beantwoorden: “Hoe heeft de gemeente Hoeksche Waard de beveiliging van informatie en privacy georganiseerd en geborgd?”

2.2

Onderzoeksvragen De centrale onderzoeksvraag wordt uitgewerkt aan de hand van de onderzoeksvragen zoals opgenomen in onderstaande tabel 1.

Tabel 1. Onderzoeksvragen 1. Beleid van de gemeente: Welk beleid voert de gemeente Hoeksche Waard op het gebied van informatiebeveiliging? In hoeverre stuurt het college van B&W op de afspraken die benoemd zijn in de VNG Resolutie ‘Informatiebeveiliging, randvoorwaarde voor de professionele gemeente’ en in het bijzonder op de implementatie van de Baseline Informatiebeveiliging 1 Nederlandse Overheid (BIO)? 2. Risico’s bij informatiebeveiliging en privacy: Welke risico’s bij informatiebeveiliging en privacy heeft de gemeente benoemd? In hoeverre worden risico’s beheerst dan wel geaccepteerd? Op welke wijze zijn de (eind)verantwoordelijken aangewezen en de autorisaties geregeld? Welke maatregelen worden genomen om risico’s te laten afnemen? 3. Bewust omgaan met informatiebeveiliging: Op welke manier zet de gemeente in op het bewust omgaan met informatie? Hoe gaan de medewerkers van de gemeente in de praktijk om met informatiebeveiliging? In hoeverre dragen bestuur en medewerkers het informatiebeveiligingsbeleid uit? Op welke manier rapporteert en bespreekt de organisatie het functioneren van informatiebeveiliging op managementen bestuursniveau (college en raad)? 4.

Bewust omgaan met privacy: Hoe heeft de gemeente de Algemene verordening gegevensbescherming (AVG) van de EU geïmplementeerd in haar werkwijzen? Hoe worden medewerkers hierop actief getraind? In hoeverre dragen bestuur en medewerkers het privacybeleid uit?

1

Gemeenten hebben in 2013 in VNG-verband afgesproken te voldoen aan de maatregelen van de Baseline Informatiebeveiliging Gemeenten (BIG). De BIG is vanaf 2020 vervangen door de Baseline Informatiebeveiliging Overheid (BIO.) Vanaf 25 mei 2016 schrijft de Algemene Verordening Gegevensbescherming (AVG of GDPR) voor dat passende maatregelen getroffen moeten worden om persoonsgegevens te beveiligen, in het belang van de burger en de gemeenten zelf.

5

5. Toetsen van informatiebeveiliging: In hoeverre zijn gegevens bij de gemeente beschermd tegen de toegang door onbevoegden? Wat zijn de gevolgen voor inwoners en ondernemers als toegang door onbevoegden wordt verkregen? In hoeverre wordt getoetst of de organisatie ‘in control’ is op het gebied van informatiebeveiliging via peer reviews, audits, self assessments (zelf tests) of pen-testen? In hoeverre is de continuïteit van de gemeentelijke dienstverlening gewaarborgd in geval van grootschalige uitval of verstoring van ICT en hoe is dat geregeld? Weet de organisatie hoe te handelen bij een (ernstig) informatiebeveiligingsincident en hoe ziet het incidentenmanagementproces eruit? 6. Toetsen van partners en leveranciers op informatiebeveiliging: Heeft de gemeente in beeld met welke partners informatie en persoonsgegevens worden gedeeld? Op welke manier toetst de gemeente haar partners en leveranciers op privacy- en informatiebeveiligingsaspecten? Met partners en leveranciers zijn afspraken gemaakt op basis van 'privacy by design'. 7. Lerende houding t.o.v. informatiebeveiliging: Hoe houdt de gemeente kennis over informatiebeveiliging vast, hoe bouwt zij hierop voort en leert ze hiervan? Op welke wijze wordt aandacht besteed aan de verdere bewustwording bij medewerkers van de gemeente? 8.

Opvolging onderzoek Rekenkamercommissie Hoeksche Waard 2016: Welke opvolging is gegeven aan het onderzoek van de rekenkamercommissie Hoeksche Waard uit 2016 getiteld “ICT-samenwerking en informatiebeveiliging van de vijf Hoeksche Waard gemeenten”? (zie bijlage 5.)

Voor de normen bij deze onderzoeksvragen verwijzen we naar bijlage 3.

6

3 Aanpak De onderzoeksvragen worden beantwoord door middel van een analyse van documenten in deskresearch en interviewverslagen. De documenten bevatten beleid en rapportages van de gemeente Hoeksche Waard op het gebied van informatiebeveiliging. De documenten die zijn bestudeerd zijn in bijlage 2 opgenomen, evenals de functies van de in totaal vier bestuurders en van de functionarissen van de gemeente Hoeksche Waard die zijn geïnterviewd. De deskresearch en interviews vonden plaats in de periode oktober-november 2021. De pentesten zijn in de periode augustus-november 2021 uitgevoerd door Hoffmann. Zie voor een samenvatting van de resultaten bijlage 4. De resultaten zijn met de ambtelijke organisatie gedeeld. Hieronder volgen in de hoofdstukken 4 tot en met 10 de bevindingen in de volgorde van de onderzoeksvragen (zie tabel 1).

7

4 Beleid van de gemeente Onderzoeksvragen 1 en 2

In dit hoofdstuk geven we antwoord op de eerste twee onderzoeksvragen. Vraag 1: Welk beleid voert de gemeente Hoeksche Waard op het gebied van informatiebeveiliging? In hoeverre stuurt het college van B&W op de afspraken die benoemd zijn in de VNG Resolutie ‘Informatiebeveiliging, randvoorwaarde voor de professionele gemeente’ en in het bijzonder op de implementatie van de Baseline Informatiebeveiliging Nederlandse Overheid (BIO)? Vraag 2: Welke risico’s bij informatiebeveiliging en privacy heeft de gemeente benoemd? In hoeverre worden risico’s beheerst dan wel geaccepteerd? Op welke wijze zijn de (eind)verantwoordelijken aangewezen en de autorisaties geregeld? Welke maatregelen worden genomen om risico’s te laten afnemen?

Strategisch Informatiebeveiligingsbeleid

Privacy & Informatieveiligheidsteam (PIV)

2

Het Strategisch Informatiebeveiligingsbeleid 2021-2024 is in april 2021 vastgesteld door het college op basis van de Baseline Informatiebeveiliging Overheid (BIO).2 In het strategisch beleid is opgenomen: "Het treffen en onderhouden van een samenhangend pakket van maatregelen om de betrouwbaarheid van de informatievoorziening aantoonbaar te waarborgen.” In het Strategisch Informatiebeveiligingsbeleid 2021-2024 staan de diverse rollen en functies op informatiebeveiliging beschreven. Tevens is opgenomen dat de gemeenteraad hier toezicht op moet houden. De functionarissen op informatiebeveiliging en privacy, Chief Information Security Officer (CISO) en Privacy Officer (PO) vormen samen het Privacy & Informatieveiligheidsteam (PIV). Dat is een subteam van Control, dat in de gemeente Hoeksche Waard tweewekelijks bijeenkomt, en indien nodig vaker. Daar komen de lijnen van de Algemene Verordening Gegevensbescherming (AVG) en BIO bijeen en worden informatiebeveiliging en privacy samen besproken. De Functionaris Gegevensbescherming (FG) en concerncontroller sluiten een keer per maand aan bij het teamoverleg van team PIV.

Naast het Privacy & Informatieveiligheidsteam is sinds een jaar een stuurgroep geformeerd met teammanagers of hun vertegenwoordigers (van control, inkoop, integrale veiligheid, communicatie, informatiemanagement, DIV en HR.) De portefeuillehouder sluit in beginsel ook bij deze stuurgroep aan. De stuurgroep komt eens per kwartaal bijeen. De rol van deze stuurgroep moet zich nog uitkristalliseren en daar is een discussie over gaande. Geconstateerd wordt door een enkele respondent dat men veel op detailniveau met elkaar praat, terwijl het de bedoeling was strategische

De Baseline Informatiebeveiliging Overheid (BIO) bevat een op risicomanagement gericht pakket aan maatregelen op informatiebeveiliging voor de gehele overheidssector.

8

kwesties te bespreken. Een van de respondenten noemt de stuurgroep meer een klankbordgroep. Op gegevensbescherming zijn de rollen op strategisch en tactisch/operationeel niveau belegd met respectievelijk de FG en de privacy officers. Op informatiebeveiliging is deze met de CISO alleen op strategisch niveau belegd. Dat wil zeggen dat er geen security officer is die informatiebeveiliging op operationeel terrein in het pakket heeft. Wel wordt eind 2021/begin 2022 voor een Technical Information Security Officer (TISO) geworven, voor de technische informatiebeveiliging. Deze heeft o.a. de rol de architectuur op informatieveiligheid te beoordelen en te controleren. De regie op de technische kant van informatiebeveiliging komt bij deze functie te liggen. Aanwezige kennis

In interviews wordt aangegeven dat er in de organisatie voldoende kennis aanwezig is op informatiebeveiliging en privacy om adequaat beleid in te richten en uit te voeren. Waar nodig kan externe kennis verkregen worden. Zo wordt de CISO ten behoeve van de halfjaarlijkse BIO-meting ondersteund door externen. Ook aan middelen op ICT, informatiebeveiliging en privacy is voldoende om de taak naar behoren uit te voeren. Respondenten geven aan dat er steeds beter op de BIO wordt gepresteerd, zeker voor een jonge organisatie die begin 2019 is ontstaan en die van ver moest komen gezien de focus die gericht was op het proces van herindeling. De gemeente Hoeksche Waard is het resultaat van een fusieorganisatie, met een erfenis van verschillende culturen en systemen, dit biedt ook de kans het anders en goed aan te pakken. Meerdere respondenten ervaren de wil bij het bestuur en management om het goed te doen op informatiebeveiliging en privacy.

Volwassenheid

3

4

De volwassenheid van de gemeente Hoeksche Waard op informatiebeveiliging laat een groei zien van 1,5 (op een schaal van 5) in 2020 naar 1,8 in april 2021, op basis van de BIO-meting.3 Deze verbetering is voornamelijk te danken aan het toenemend vastleggen van maatregelen en procedures. In het nog niet vastgestelde CISO-verslag van oktober 2021 is een groei naar niveau 2 geconstateerd. Een organisatie is volgens deze schaal in control op niveau 3. 4 Het cijfer is bedoeld als meetinstrument om de ontwikkelingen op objectieve gronden vast te stellen, niet als een oordeel van goed of slecht. Veel organisaties en ook gemeenten zijn in ontwikkeling op dit nieuwe beleidsterrein, zo ook de gemeente Hoeksche Waard, die ambities toont.

De volwassenheid op informatiebeveiliging wordt gemeten op een schaal van 1-5, ontwikkeld door de Nederlandse Orde van Register EDP-Auditors (NOREA). De vijf niveaus van volwassenheid: 1. Initieel; 2. Herhaalbaar; 3. Gedefinieerd; 4. Beheerst en meetbaar; 5. Continu verbeteren. Zie voor nadere uitleg bijlage 5.

Implementatieplan voorzet BIO, Gemeente Hoeksche Waard, september 2021.

9

Ambitie

De organisatie zou, om te voldoen aan de wetgeving, door moeten ontwikkelen naar niveau 3. De ambitie om dat op korte termijn te realiseren is uitgesproken, maar nog niet bestuurlijk vastgesteld. Deze ambitie wordt door een aantal respondenten op dit moment als een nog te grote stap gezien. Uit interviews blijkt dat al wel veel in overeenstemming met de BIO wordt gedaan, maar nog niet alles is vastgelegd en er zijn nog open einden.

Implementatieplan

Dat beeld wordt bevestigd in het Implementatieplan voorzet BIO. Dit plan is het resultaat van de tweejaarlijkse tussenevaluatie van het informatiebeveiligingsbeleid. Hiervoor wordt gebruik gemaakt van de halfjaarlijkse meting van de vorderingen op 112 BIO-maatregelen. De laatste is uitgevoerd in oktober 2021. In de grafiek hieronder is de voortgang op de mate van realisatie van de maatregelen weergegeven ten opzichte van de eerdere meting in maart 2021.

10

Het aantal maatregelen waar voldoende op is gescoord is van 17 naar 34 toegenomen en aantal maatregelen waarop onvoldoende is gescoord is afgenomen van 47 naar 36. Uit de meting, die aan het implementatieplan ten grondslag ligt, moet een activiteitenplan per afdeling naar voren komen. De teammanagers is gevraagd op basis van een maatregelenlijst een risicoanalyse te maken. Welke maatregelen moeten worden geïmplementeerd en van welke zijn de risico's vooralsnog acceptabel? Geconstateerd wordt dat de risicoanalyses en voor een groot deel de 'bewijzen' daaronder ontbreken. Geconcludeerd wordt dat daar geen sluitend overzicht van maatregelen of planning voor een implementatieplan voor de BIO van te maken is. In het Implementatieplan worden meerdere adviezen gegeven om alsnog planmatig in een programma de maatregelen op de BIO te implementeren:5

Op moment van schrijven moet het implementatieplan nog vastgesteld worden. Inhaalslag op privacy

5

6

De FG constateerde over 2020 een inhaalslag op privacy.6 Het privacybeleid is 2021 geactualiseerd met een plan van aanpak gebaseerd op de AVG. De gemeente is bezig met de opstart van een AVG-werkprogramma, met als doel om op de middellange termijn op het gewenste niveau te komen. Hierbij wordt uitgegaan van de ambitie die verwoord is in het visiedocument 'Kompas 2018': "Met de ambitie van gemeente Hoeksche Waard om de bedoeling van de Algemene Verordening Gegevensbescherming na te leven, wordt handen en voeten gegeven aan de pijler “100% dienstverlenend”."

Implementatieplan voorzet BIO, Gemeente Hoeksche Waard, oktober 2021, pagina 11. FG verslag april 2021.

11

Protocollen

Met het vastleggen van protocollen is men bezig, o.a. vanuit ICT. Protocollen zijn erop: -

wachtwoordenbeleid back-up- en restorebeleid toegangsrechtenbeleid inlogprocedure testomgevingsbeleid mobile device management patch- en releasemanagement datalekprotocol

De protocollen staan gepubliceerd op intranet van de gemeente en zijn bereikbaar voor de medewerkers. Hierbij wordt er vaak op gewezen dat Hoeksche Waard een jonge en zich ontwikkelende organisatie is. Een citaat van een van de respondenten: "We zijn niet bezig met op papier zetten, maar met de dagelijkse casuïstiek die langskomt." Dat heeft volgens enkele respondenten grotendeels te maken met capaciteit. Er ontbreken nog wel stukken, zoals een integraal continuïteitsbeleid, waar informatiebeveiliging onderdeel van uitmaakt. Het continuïteitsplan heeft de eerste prioriteit in een nog op te zetten projectportfolio. Een eerste versie is vanwege corona met stoom en kokend water tot stand gekomen. Zo is in de interviews aangegeven dat corona op veel dossiers negatief uitwerkt, maar op informatiebeveiliging heeft de crisis genoodzaakt tot stevig doorpakken. Zo is bijvoorbeeld onder hoge druk het veilig thuiswerken voor de medewerkers geregeld. Continuïteitsplan

Op dit moment is er geen continuïteitsplan, team Integrale Veiligheid heeft dit in haar portefeuille. Aan de nieuwe versie van het continuïteitsplan wordt gewerkt door de teammanager ICT, met behulp van een externe. Vraag die beantwoord moet worden, is welke verantwoordelijkheden bij de vakteams en welke bij ICT liggen. Het plan wordt besproken met de andere betrokken teammanager en directeur (resp. integrale veiligheid en fysiek domein.) Daarna moet het plan in de praktijk getest worden en kan het definitief vastgesteld worden in het directieteam.