RK HW - Informatiebeveiliging en privacy - Eindrapport DEF juni 2022

'In control'

De vraag is of de gemeente in control is. In control is op informatiebeveiliging en privacy een lastig begrip, aangezien dit zich in een constante ontwikkeling bevindt. In het kader van de verplichte jaarlijkse verantwoordingsrapportage Eenduidige Normatiek Single Information Audit (ENSIA) is een collegeverklaring verplicht met een 'in control'-statement. Voor het jaar 2020 heeft het college in 2021 een dergelijke verklaring afgegeven? Een 100%-garantie dat een hack voorkomen kan worden is door niemand te geven. Een kleine menselijke maar fatale fout is snel gemaakt en de ontwikkelingen aan de criminele kant van het spectrum gaan heel hard. De gemeente Hoeksche Waard is in control in de zin dat de gemeente risicoanalyses uitvoert, maatregelen vanuit de BIO prioriteert en uitvoert. Kortom, er wordt op gestuurd. 12

ENSIA

Bij de vorige ENSIA-rapportage bleek de gemeente minder in control. Om in control te zijn moeten de afdelingen aan de slag zijn met de verbetermaatregelen die uit de verschillende audits, testen en rapportages naar voren komen. Omdat het managementinformatiesysteem op informatiebeveiliging (Information Security Management System, ISMS) nog niet goed gevuld was, moest die informatie van veel afdelingen komen en was die slechts fragmentarisch aanwezig. Er wordt volgens respondenten aan gewerkt om daarmee in control te komen.

Risicomanagement

Bedoeling van BIO en AVG is om met behulp van risicoanalyses het gesprek aan te gaan en aan de slag te gaan met informatiebeveiliging en privacy. Op risicomanagement zijn zeker nog open eindjes en verbeterpunten, zo blijkt uit de interviews. Zoals logging (zie hoofdstuk 7) en risicomanagement op updates of autorisaties (zie hieronder en hoofdstuk 7). Belangrijk wordt gevonden dat er proceseigenaren in de organisatie zijn, die zich verantwoordelijk voelen op informatiebeveiliging en privacy. Zij moeten een vorm van interne accountability tonen, en niet alleen wijzen naar de CISO of de FG. De proceseigenaren in de lijn worden betrokken bij de risicoanalyses en de prioritering van de maatregelen. Die interne accountability begint te groeien, ervaren respondenten. Bestuurlijk bij college en de raad, in de uitvoering door de proceseigenaren in de organisatie, ondersteund door professionals die in het PIV zitten (CISO en PO).

Informatiebeveiligingsplan

Het directieteam (DT) stelt 1x per 2 jaar een informatiebeveiligingsplan vast. Het directieteam vindt een breed gedragen informatiebeveiligingsplan belangrijk, om die reden mochten de teammanagers meedenken om tot een gedragen plan te komen. Dit vergt tijd. Op dit moment is er geen informatiebeveiligingsplan. De organisatie werkt eraan, het is niet duidelijk op welke termijn het informatieplan door het DT wordt vastgesteld. De maatregelen om de risico's die geprioriteerd zijn af te laten nemen worden in het informatiebeveiligingsplan opgenomen en gemonitord. De gemeente stuurt op risico's in het kader van de BIO. Risico's worden afgewogen op basis van een GAP- en risicoanalyse.

Risico acceptatie: MDM

Een voorbeeld daarvan is risico acceptatie ten aanzien van Mobile device management (MDM): Medewerkers hebben te maken met beleid op Company owned device (COD) en Bring your own device (BYOD). Iedere medewerker heeft van de gemeente een laptop gekregen die van de benodigde essentiële beveiliging is voorzien. Binnen het netwerk kan met een Single Sign On (SSO) met één password toegang verkregen worden tot alle applicaties waar de medewerker rechten toe heeft. Als niet op het netwerk wordt gewerkt moet met behulp van multi factor authentication (MFA of 2 FA) van de app authenticator ingelogd worden.

13

Apparatuur raadsleden

Soms worden ten behoeve van de gebruiksvriendelijkheid concessies gedaan aan de informatiebeveiliging op basis van MFA. Uit de interviews blijkt dat de iPads die raadsleden hebben gekregen niet op basis van het vastgestelde MDM-beleid worden uitgerold. Zo heeft de gemeenteraad vooralsnog de risico's geaccepteerd dat raadsleden over iPads beschikken zonder beleid op informatiebeveiliging en privacy. Raadsleden kunnen wel terecht bij de Servicedesk van de gemeente voor vragen en eventuele problemen, maar ze kunnen op afstand niet bij het netwerk. De raadsleden kregen ondersteuning bij het installeren van een bedrijfsportal en Teams. Met name het onbeveiligde mailgebruik is een achilleshiel, geeft een van de respondenten aan. Deze situatie wordt nog gedoogd tot de verkiezingen in maart 2022. Vanaf dan wordt de nieuwe raad meegenomen in de omgeving waar de hele gemeente mee werkt, met alle veiligheidseisen op informatiebeveiliging en gegevensbescherming van dien. Ook is er het plan de mobiele telefoons voor zakelijk en privégebruik te scheiden van elkaar.

Autorisaties

De autorisaties, toegang tot data uit de systemen, zijn geregeld in het toegangsrechtenbeleid. De autorisaties staan geregistreerd in een database, de Active Directory (AD) genaamd, die beheerd wordt door functioneel beheerders van ICT. De gegevens daarin worden door ICT alleen aangepast naar aanleiding van een bericht van de teammanager, proceseigenaar via HRM. Dat bericht bevat niet de specifieke autorisaties, maar het functieprofiel waarop de autorisaties zijn gebaseerd. Daarmee zijn de autorisaties in principe niet aan individuele medewerkers gerelateerd, maar aan de functie die zij op dat moment vervullen. Zij zien alleen de mappen en bestanden waarop zij vanuit hun functie rechten toe hebben. Die toekenning van rechten gebeurt automatisch bij in- en uitdiensttreding op basis van een melding van HRM. Bij een functiewisseling gebeurt dat in principe ook zo. Deze worden door de teammanager doorgegeven aan HRM via Topdesk, en deze geeft dat door aan ICT. De servicedesk maakt dan ook een tag aan, op basis van de functie van de medewerker.

Techniek

Er is zonering ingesteld in de systemen, zodat niet iedereen die binnen is zomaar overal ongehinderd bij alle data kan. Nieuwe applicaties, patches en updates worden eerst in een testomgeving uitgeprobeerd. De uitbreidingen en nieuwe functionaliteiten worden in een Excel bestand opgenomen en systematisch nagelopen. Bij goed bevinden vindt er overleg plaats met het betreffende team om de applicatie/patch/update te installeren en worden de gebruikers op de hoogte gesteld.

Aansluiting IBD

Een ander aspect is de aansluiting op de Informatiebeveiligingsdienst gemeente (IBD) van de VNG. Daartoe moet aan vier voorwaarden voldaan zijn: -

Een algemeen contactpersoon informatiebeveiliging (ACIB) aanwijzen, dat is de PO. Deze functionaris krijgt meldingen van de IBD van 14

-

-

-

algemene aard, bijvoorbeeld meldingen dat software geüpdatet moet worden. Een vertrouwd contactpersoon informatiebeveiliging (VCIB) aanwijzen, dat zijn de CISO en de systeembeheerder. Deze krijgen beveiligingsmeldingen die vertrouwelijk van aard zijn en niet met het publiek gedeeld moeten worden; De derde stap is het doorgeven van alle IP-adressen (van de in de gemeente in gebruik zijnde apparaten) en URL's (adressen van de bij de gemeente gebruikte internetsites). De vierde en laatste stap is het aanleveren van de bij de gemeente in gebruik zijnde hard- en software (de ICT-foto).

Als die vier stappen zijn doorlopen is de aansluiting compleet en krijgt de gemeente van de IBD op maat toegesneden (waarschuwings)meldingen en adviezen. Uit de interviews blijkt dat bij de gemeente Hoeksche Waard de aansluiting compleet is, de gemeente voldoet aan de gestelde eisen.

15

5 Bewust omgaan met informatiebeveiliging Onderzoeksvraag 3

In dit hoofdstuk beantwoorden we onderzoeksvraag 3: Op welke manier zet de gemeente in op het bewust omgaan met informatie? Hoe gaan de medewerkers van de gemeente in de praktijk om met informatiebeveiliging? In hoeverre dragen bestuur en medewerkers het informatie-beveiligingsbeleid uit? Op welke manier rapporteert en bespreekt de organisatie het functioneren van informatiebeveiliging op management- en bestuursniveau (college en raad)?

Rapportages

Er wordt regelmatig halfjaarlijks gerapporteerd aan management en college. Verticale verantwoording richting landelijke organen, horizontale verantwoording richting raad in het jaarverslag en in de jaarlijkse ENSIArapportage. De ENSIA gaat vergezeld van een in control statement van college, de Collegeverklaring Informatiebeveiliging. Dat wordt onafhankelijk getoetst en met een zogenoemde 'assuranceverklaring' naar de raad gestuurd. Uit de audits, o.a. op Suwinet en DigiD, en de zelfaudits op de andere applicaties, komen verbetermaatregelen. De gemeente Hoeksche Waard

beantwoordt ook de vragen over informatiebeveiliging op Bron: Waarstaatjegemeente.nl.

16

'waarstaatjegemeente.nl' van de VNG. 7 Zie onderstaande voor een overzicht van de hoofdcategorieën vragen over informatiebeveiliging op de site van de VNG. ENSIA en ISMS

De CISO was tot en met 2021 de coördinator van de ENSIA-rapportages, daarna alleen voor de externe DigiD en Suwinet audits. De ENSIA verantwoording wordt in de verschillende teams georganiseerd en bijgehouden. Er is geen Information security management system (ISMS), dat de ENSIA-rapportage ondersteunt, dat over de gehele organisatie is uitgerold. Uit de interviews blijkt dat dat mede komt omdat concern control, CISO en FG verschillende applicaties gebruiken. Halfjaarlijks rapporteert de CISO aan het directieteam (DT) over de stand van zaken met betrekking tot de BIO-maatregelen normering. Dat gebeurt met behulp van de applicatie k2c. Vanwege de capaciteit wordt de CISO bij de uitvoering van de metingen ondersteund door een extern bureau. De FG rapporteert ook twee keer per jaar aan het DT over de voortgang op privacy-maatregelen, hierover meer in hoofdstuk 6.

Aandacht

In interviews wordt gemeld dat acceptatie en begrip voor de maatregelen op informatiebeveiliging in alle lijnen en lagen van de organisatie aanwezig is. Bij sommige afdelingen is er veel aandacht voor informatiebeveiliging en gegevensbescherming, omdat ze al veel langer met het thema te maken hebben. Dat zijn teams als Publiekszaken en Sociaal domein (werk en inkomen, en schuldhulpverlening). Daar komen de onderwerpen informatiebeveiliging en privacy regelmatig langs op de teamoverleggen. Daar is de bereidheid elkaar aan te spreken, op bijv. niet houden aan clean desk en clear screen, groter dan op andere afdelingen. Vanwege het vele thuiswerken door corona hoefde dat het laatste anderhalf jaar uiteraard minder te gebeuren.

Betrokkenheid bestuur

Het gemeentebestuur moet, zoals gesteld in de BIO, het informatiebeveiligings- en privacybeleid uitdragen. Door meerdere respondenten wordt opgemerkt dat het bestuur betrokken is op deze beleidsterreinen. Tevens wordt geconstateerd dat informatiebeveiliging geen topprioriteit is. Een uitzondering hierop is het volgende voorbeeld van de steun voor de ambtenaren op informatiebeveiliging en privacy: de wethouder brak een lans voor informatiebeveiliging om de raad naar dezelfde beveiligde omgeving als de organisatie te brengen. Dit wordt na de verkiezingen van maart 2022 gestart.

7

Tijdens de Buitengewone Algemene Ledenvergadering van de VNG op 29 november 2013 hebben de gemeenten ingestemd met de resolutie 'Informatieveiligheid, randvoorwaarde voor de professionele gemeente'. Een van de afspraken waaraan gemeenten zich met de resolutie gecommitteerd hebben, is dat zij inzicht geven in de wijze waarop zij invulling geven aan de informatieveiligheid via Waarstaatjegemeente.nl.

17

Bereikbaarheid functionarissen

Tijdens meerdere interviews wordt gemeld dat de functionarissen op informatiebeveiliging en privacy makkelijk en laagdrempelig te bereiken zijn en snel en adequaat reageren op adviesvragen. Ze hebben ook een wekelijks inloopspreekuur, op maandagochtend 10.00-12.00 uur. Daarnaast kunnen de medewerkers veel informatie, protocollen en procedures op het gebied van informatiebeveiliging en privacy vinden op intranet.

18

6 Bewust omgaan met privacy Onderzoeksvraag 4

In dit hoofdstuk geven we antwoord op vraag 4: Hoe heeft de gemeente de Algemene verordening gegevensbescherming (AVG) van de EU geïmplementeerd in haar werkwijzen? Hoe worden medewerkers hierop actief getraind? In hoeverre dragen bestuur en medewerkers het privacybeleid uit? Privacybeleid is 2021 geactualiseerd, met een plan van aanpak gebaseerd op de AVG. De FG geeft aan dat privacybeleid een kwestie van risicobeheersing is, waarin de vraag centraal staat "Hoe ga je met je inwoners om?" Dat is o.a. in informatiesystemen waarmee de link naar informatiebeveiliging is gelegd.

Omgaan met persoonsgegevens

Op het gebied van gegevensbescherming is er onder andere een (wettelijk verplicht) datalekprotocol, verwerkingsregister en een privacystatement over hoe de gemeente omgaat met de persoonsgegevens van inwoners.8

Alertheid privacy

Er wordt in sommige teams zeer alert gereageerd op gegevensbescherming. Zo worden bij handhaving persoonsgegevens verwerkt. Zoals bij de sluiting van hennepkwekerijen in panden. Dan moet de gebruiker en eigenaar van de panden nagetrokken kunnen worden. Of zoals Bibob procedures bij sommige vergunningentrajecten. Daarbij wordt gelet op dataminimalisatie, waarbij in principe alleen die gegevens opgevraagd en verwerkt worden om een besluit te kunnen nemen. Bij het team Financiën moet bijvoorbeeld geverifieerd worden of naam en bankrekening matchen, en dat gebeurde door een kopie van een bankpas en bij de boeking te voegen en mee te sturen naar een andere afdeling. De kopie van de bankpas wordt tegenwoordig niet meer bij de boeking gevoegd en alleen gebruikt ter controle.

Toename alertheid

De alertheid in de organisatie neemt wel toe bij de meeste medewerkers, merken respondenten. De vragen of gegevens ingezien of naar derden verzonden mogen worden, of een incident een datalek is, nemen onderling en richting CISO en PO toe. Ook bij functioneel beheerders van ICT komen vragen binnen, zoals een medewerker die vroeg of hij op basis van een BSNnummer kon checken of een inwoner bekend is in andere registraties van de gemeente. Op de vraag naar de grondslag waarop de gegevens verwerkt zouden mogen worden kwam geen passend antwoord. Het bewustzijn is nog niet bij iedereen op dezelfde gewenste hoogte.

Afspraken met derden

Schoonmakers komen uiteraard ook in de gebouwen. Er wordt naar gestreefd om de medewerkers van het schoonmaakbedrijf in beeld te hebben en een VOG te verlangen. Uit de interviews blijkt dat wel eens een

8

Voor de privacyverklaring van de gemeente Hoeksche Waard, zie https://www.gemeentehw.nl/privacyverklaring/ .

19

overleg met het schoonmaakbedrijf vervalt en dat het beeld van de schoonmakers niet actueel is. Procedureel zouden daarop betere borgingsmomenten gepland kunnen worden. Uit interviews blijkt dat de alertheid binnen de gemeentelijke organisatie toeneemt, maar dat derden soms nog niet zover zijn. Bijvoorbeeld deelt de gemeente op veiligheid gegevens met politie, veiligheidsregio, belastingdienst en het Regionale Informatie- en Expertise Centrum (RIEC). Met het RIEC wordt een beveiligde omgeving gecreëerd waarin gegevens gedeeld kunnen worden. FG en PO

De werkzaamheden van de privacy officers (PO) bestaan onder andere het organiseren en begeleiden van data protection impact assessments (dpia's), bijwerken van verwerkingsregister, bijdragen aan verslagen van de FG. De omvang van de functionarissen op privacy is nu 2 medewerkers van elk 0,75 fte PO en 0,1 fte FG, allen ondergebracht bij Control. Voorheen waren er 2 fte (1 fte PO en 1 fte FG), dus feitelijk een vermindering van menskracht. Dat bleek dit jaar voldoende om toe te komen aan de zaken die moeten gebeuren. De functionarissen geven aan dat er nu ook nog veel operationele inzet wordt gepleegd, wat verder gaat dan de lijn te ondersteunen met advies. De vraag wordt nog of de huidige capaciteit voldoende is om aan een structureel activiteitenprogramma te werken. Dat vinden respondenten lastig nu al te zeggen.

DPIA's

Maatregelen worden getroffen naar aanleiding van de dpia's. Daarvan zijn de volgende processen in de gemeentelijke organisatie afgerond: -

DPIA Dashboard DPIA Peutermonitor 9

Lopend (afrondende fase): -

DPIA Vroegsignalering DPIA Schulddienstverlening DPIA Stougjesdijk DPIA Track & trace

Zoals eerder gemeld zijn dit processen of projecten binnen de gemeente waarin persoonsgegevens worden verwerkt. Uit de dpia's komen verbetermaatregelen voort, ook uit de gemelde incidenten en mogelijke datalekken. Het opstellen van de dpia's en de opvolging van de verbetermaatregelen liggen bij de proceseigenaren in de lijn. In principe moet de lijn in staat zijn de dpia's zelf uit te voeren en hoeft de PO dit proces slechts te volgen en waar nodig advies geven. Maar gelet op het volwassenheidsniveau van de organisatie moeten medewerkers hierbij geholpen worden. Daardoor is de PO nog grotendeels operationeel en uitvoerend actief hierop. 9

De Peutermonitor wordt georganiseerd in samenwerking met de GGD en Careyn, en levert een factsheet op die inzicht geeft in de gezondheid van 2-jarige peuters.

20

Beveiligd mailverkeer

Beveiligd uitwisselen van gegevens, via de mail, gebeurt via Zivver, een applicatie voor beveiligd mailverkeer. Dat gebeurt in ieder geval door de teams die met persoonsgegevens werken.

Geen NAW-gegevens

Het Team sociaal domein registreert geen NAW-gegevens in de systemen of agenda's voor de huisbezoeken, maar klantnummers. Dat maakt het veiliger, maar lastiger om te verwerken, omdat de nummers steeds terugvertaald moeten worden. Met zorgverleners worden gegevens gedeeld met behulp van de applicatie WmoNed. Zij kunnen dan alleen de data van de eigen klanten inzien en raadplegen. Als de zorgverleners daar niet mee (kunnen) werken, wordt Zivver gebruikt om gegevens te delen. Het komt voor dat derden onbeveiligd gegevens versturen. Dan gaan de medewerkers met die partij in gesprek. Oplossing is dan om een lege mail via Zivver te sturen, waar de andere partij beveiligd op kan antwoorden.

Check op externe partij

Ook bij Publiekszaken wordt beveiligd gecommuniceerd via Zivver. Soms worden partijen waarmee wordt gecommuniceerd gecheckt. In het geval van een gerechtelijke procedure of erfenis wordt bijvoorbeeld gecheckt of een advocaat of notaris op de lijst van de advocatuur of het notariaat staat. De FG rapporteert sinds 2018 met een bestuurlijke dashbordrapportage. Deze bevat grafieken, 'blauwe bolletjes', om te beoordelen hoe de gemeente scoort op 10 speerpunten of kritieke prestatie indicatoren (KPI's), in vergelijking met andere organisaties, en op 14 hoofdprocessen. Gescoord wordt op opzet, bestaan en werking van AVG-maatregelen op KPI's en hoofdprocessen. Zie hierna voor een voorbeeld van een dergelijke rapportage van april 2021.

21

Voorbeeld van het dashboard in de FG-rapportage op 10 KPI's en 24 hoofdprocessen.

De FG noemt deze rapportages het DPMS, een dataprotection managementsysteem, naar analogie van het ISMS voor informatiebeveiliging. Het laatste tussenrapport van de FG, van oktober 2021, adresseert het eigenaarschap op AVG (college/ burgemeester, 22

PIV/beleidsthema's kwaliteit en informatiebeheer, raad) en de agendering van onderwerpen als digitalisering en datagedreven werken. De FG constateerde geen noodzaak tot bijsturing.

23

7 Toetsen van informatiebeveiliging Onderzoeksvraag 5

In dit hoofdstuk geven we antwoord op vraag 5: In hoeverre zijn gegevens bij de gemeente beschermd tegen de toegang door onbevoegden? Wat zijn de gevolgen voor inwoners en ondernemers als toegang door onbevoegden wordt verkregen? In hoeverre wordt getoetst of de organisatie ‘in control’ is op het gebied van informatiebeveiliging via peer reviews, audits, self assessments (zelf tests) of pen-testen? In hoeverre is de continuïteit van de gemeentelijke dienstverlening gewaarborgd in geval van grootschalige uitval of verstoring van ICT en hoe is dat geregeld? Weet de organisatie hoe te handelen bij een (ernstig) informatiebeveiligingsincident en hoe ziet het incidentenmanagementproces eruit?

Pentesten

Volgens een aantal respondenten beschikt de gemeente Hoeksche Waard over 'state of the art'-materiaal op ICT. Om dat te checken worden elk jaar pentesten op steeds verschillende onderdelen uitgevoerd. Dat gebeurt meestal op initiatief van de CISO. De laatste pentest dateert na het uitrollen van Office365, najaar 2020. De CISO organiseert ook phishing mail-campagnes, om het klikgedrag van de medewerkers te beproeven. Deze worden door externen uitgevoerd. Begin 2021 heeft de CISO de laatste phishing mail in de organisatie uitgezet. Deze vorm van phishing is niet vergelijkbaar met de phishing mail die de Rekenkamer heeft laten uitvoeren. Een enkele respondent heeft de suggestie om in de toekomst een hackaton te organiseren zoals in de gemeente Den Haag wordt gehouden. Een groot aantal hackers wordt daarbij uitgenodigd om te proberen in de gemeentelijke systemen te komen.

Pentesten rekenkameronderzoek

Resultaten

In het kader van het rekenkameronderzoek zijn ook pentesten uitgevoerd, door een ethische hacker van Hoffmann in de periode september 2021 tot en met november 2021. Deze bestonden uit een Mystery guest bezoek en enkele technische testen. De technische testen zijn bedoeld om te achterhalen of de informatiesystemen van de gemeente voldoende beveiligd zijn tegen het risico van hacken. Ze zijn uitgevoerd zonder enige voorkennis, zogenoemde 'blackboxtesten', zoals een echte kwaadwillende hacker ook tewerk moet gaan. Onderzocht is of de systemen vanaf internet te benaderen zijn (externe pentest) en vanuit de servicepunten (interne pentest.) Ook het Wifi-netwerk is getest op locatie. Over één kritiek risico, dat te maken had met een mailserver, is de CISO meteen geïnformeerd en is onmiddellijk actie ondernomen om het risico te verhelpen. De overige resultaten van de pentesten worden zo spoedig mogelijk gedeeld met de gemeente zodat hierop verbetermaatregelen getroffen kunnen worden. Highlights van de resultaten zijn in onderstaand kader weergegeven, de uitgebreidere versie is opgenomen in bijlage 4. 24

Highlights resultaten technische pentesten Hoffmann. Systemen van buitenaf redelijk goed beveiligd Op 1 kritiek risico bevinding uit de pentest, ten aanzien van een mailserver, is de CISO geïnformeerd en is actie ondernomen Aantal minder zware risico's op de systemen vanuit een externe netwerkpentest Zwakke wachtwoorden gevonden, terwijl wachtwoordenbeleid wordt afgedwongen voor alle gebruikers, daardoor zijn 284 geldige gebruikersnamen achterhaald Een actief gebruikersaccount van medewerker die niet meer in dienst is Meer zwakke wachtwoorden gevonden door aanval op de Active Directory, plus open laptop Het is mogelijk om zonder Multi Factor Authenticatie (MFA) in te loggen op systeem en applicaties Een domein heeft geen SPF (Sender Policy Framework) records, daardoor is het mogelijk vanuit dat domein e-mails te versturen Ongeautoriseerde toegang gekregen tot systeem, geen volledige controle Werkstations kunnen ongeautoriseerd worden aangepast

Open cultuur en informatiebeveiliging

Uit de interviews en bestudeerde stukken blijkt dat de gemeente kiest voor een open uitstraling en stijl. Bij de toegang tot de gebouwen speelt het spanningsveld tussen enerzijds de open cultuur die de gemeente richting inwoners wil uitstralen en anderzijds de restricties die informatiebeveiliging en gegevensbescherming opleggen. De risico's van de open opstelling zijn bekend en worden bestuurlijk geaccepteerd.

Toegangsprocedure

Uitgangspunt is dat de niet-publieke zones afgeschermd zijn. De medewerkers hebben een tag, waarmee ze toegang verkrijgen tot deze ruimten. Raadsleden en burgerleden hebben hun eigen tag, met dezelfde toegangsrechten als collegeleden. Zij kunnen 's avonds en in de weekends naar binnen. De leveranciers of reparateurs moeten eerst worden aangemeld en worden bij de receptie geregistreerd in Topdesk. Als de leveranciers niet zijn aangemeld, wordt de aanmelding via de receptie afgerond. In principe lopen de bodes mee als leveranciers e.d. de nietpublieke ruimten binnen gaan. Respondenten geven daarbij aan dat er niet de gehele dag iemand bij blijft, als de reparateur of installateur een dag bezig moet zijn. Wel wordt gevraagd of ze zich willen afmelden als ze vertrekken. Uit de interviews blijkt dat het ook wel eens voorkomt dat een timmerman of schilder aan het werk is gegaan zonder dat dat bekend was bij de receptie.

Inlooptest/mystery guest

De laatste inlooptest door de gemeente zelf geïnitieerd was in april 2021. De bevindingen van de inlooptest zijn besproken en teammanagers hebben onder leiding van de directeuren de prioriteiten bepaald. Naar aanleiding van de test heeft facilitair in het Jaarplan 2022 verbetering van de toegangsprocedure opgenomen. Er is budget aangevraagd en verkregen voor een nieuw systeem dat begin 2022 wordt getest. Ook wordt overwogen om de herkenbaarheid van de medewerkers op locatie te verbeteren, door bijvoorbeeld het dragen van een ID of pas.

25

In het kader van dit rekenkameronderzoek zijn bij de verschillende gebouwen inlooptesten gehouden.10 De mystery guest kon verschillende dagen achter elkaar ongeautoriseerd vrij toegang verkrijgen tot nietpublieke ruimten. Een aantal medewerkers geeft aan dat deuren ook wel eens open staan op een wig, ondanks de vergrendeling. Vanwege het gemak omdat er heen en weer gelopen moest worden. Daarnaast bleek de aangebrachte fysieke beveiliging niet overal goed te functioneren en kan deze op een aantal punten verbeteren. Daar zal de inzet op modernisering bij helpen. Ook in de houding van medewerkers tegenover bezoekers zijn verbeterpunten te constateren. De mystery guest kon binnenkomen door met een medewerker mee te lopen. Op een enkel servicepunt werd de clean desk policy goed nageleefd, op andere locaties waren (bijzondere) persoonsgegevens in te zien. Bewustzijn

Getracht wordt medewerkers en bestuurders erop te wijzen dat niet iedereen met hun tag mag meelopen door de vergrendelde deuren. De gemeente HW komt voort uit een fusie van meerdere kleinere gemeenten. In de kleinere organisaties was het makkelijker iedere medewerker te kennen. De sfeer is anoniemer in een grotere organisatie. Ook speelt het thuiswerken tijdens de coronapandemie een rol. In het afgelopen anderhalf jaar zijn 180 nieuwe medewerkers begonnen en zijn er veel tijdelijke krachten ingehuurd, die de meeste vaste medewerkers hoogstens van het beeldscherm kennen. Een aantal respondenten geeft aan niet aan elk nieuw gezicht te vragen wat hij/zij hier komt doen. Zij zouden het gênant vinden om er dan achter te komen dat diegene een medewerker is. Dan wordt er gemakshalve van uitgegaan dat diegene terecht door de check bij de receptie is gekomen. In een van de vroegere gemeenten is getracht met een bezoekerspas te werken die zichtbaar gedragen zou moeten worden. Maar niet iedereen droeg deze zichtbaar.

Nieuwe toegangsprocedure

De toegang tot de gebouwen, van de servicepunten, is momenteel nog geregeld met drie verschillende systemen. Uit de interviews blijkt dat het streven is deze te stroomlijnen met één modern systeem. De resultaten van de inlooptest van de gemeente vorig jaar waren de aanleiding middelen te vragen om de toegang tot de ruimten in de gebouwen te moderniseren en professionaliseren. De exploitatie en het beheer van de gebouwen worden per 1-1-2022 anders georganiseerd.11

per 2022

Uit de interviews blijkt dat het nieuwe systeem met zogenoemde smart credentials al op één locatie is geïnstalleerd. Dat betekent dat je met

10

11

De test met de mystery guest, in het kader van het rekenkameronderzoek, is uitgevoerd vóór de verbetermaatregelen naar aanleiding van de gemeentelijke test zijn doorgevoerd. Exploitatie en het groot onderhoud van de gebouwen van de gemeente Hoeksche Waard komt per 1-1-2022 bij BRES BV te liggen. Behalve de gebouwen waar de werkplekken van de ambtenaren zijn gehuisvest (twee gemeentehuizen, twee werven en HWwerkt) en het klein onderhoud. Bres is een BV die volledig in handen van de gemeente is. Daarnaast zijn er drie servicepunten die zich in verzorgingstehuizen bevinden, die niet van de gemeente of BRES zijn. En een servicepunt in een dorpshuis, dat wel gemeentelijk vastgoed is.

26

behulp van een app op de smartphone of smartwatch toegang kunt krijgen, waardoor een tag niet meer nodig zou zijn. Dit proces wordt ondersteund door de CISO en FG. Als er een definitief besluit genomen is, wordt het systeem uitgerold naar de andere locaties. Clean desk/clear screen

Enkele medewerkers geven aan dat de bureaus in de werkruimtes eigenlijk niet zo spannend zijn, vanwege de clean desk en clear screen policy. Maar deze wordt blijkbaar niet overal even goed nageleefd, zo laten de inlooptesten zien. Medewerkers geven aan dat op de navolging van de regels door andere medewerkers en leiding werd gehamerd, in ieder geval in de pre-corona periode dat iedereen nog op kantoor werkte. Het zijn niet alleen op de bureaus en beeldschermen waar risico's op datalekken zich voordoen. Er zijn kasten met dossiers die open staan en archiefruimten die bereikbaar zijn, zo laat de inlooptest zien. In sommige van deze kasten bevonden zich vertrouwelijke gegevens zoals medische gegevens in combinatie met NAW-gegevens en geboortedatum van personen die een aanvraag deden voor een voorziening.

Autorisaties en profiel

In hoofdstuk 4 is al ingegaan op het autorisatiebeleid, het verlenen van toegangsrechten tot data in systemen. Bij indiensttreding uiteraard, omdat een nieuwe medewerker op basis van zijn/haar functieprofiel toegang moet hebben tot data en applicaties om te kunnen werken. Bij uitdiensttreding houden die rechten in principe op. Deze meldingen worden door de teammanager of applicatiebeheerder via Topdesk gedaan aan HRM, die de functioneel beheerder van ICT het functieprofiel doorgeeft. Deze kent de medewerker op basis daarvan toegangsrechten toe, of verwijdert deze. Volgens respondenten werkt dat snel.

Functiewisseling

Feitelijk krijgt een medewerker bij functiewisseling een ander profiel met andere autorisaties en dat moet in principe ook via HRM lopen. Enkele respondenten zijn niet zo zeker dat wijzigingen in autorisaties op die wijze of snel doorgevoerd worden. Uit interviews blijkt dat bij een functiewisseling niet altijd HRM wordt betrokken. En aangegeven wordt dat weliswaar het grootste deel van de autorisaties in een functieprofiel zijn geregeld, maar nieuwe wetgeving of nieuwe taken zijn niet altijd direct aan functieprofielen opgehangen. Daardoor kan het voorkomen dat medewerkers te weinig of te veel rechten hebben. Respondenten van team ICT geven aan dat de check naar aanleiding van een melding vanuit HRM dat de functie van een medewerker wijzigt (in- of uitdiensttreding of wijziging) goed gaat. Fouten kunnen ontstaan omdat teammanagers niet goed doorvragen of medewerkers nog de juiste rechten hebben.

Check op de profielen

ICT geeft aan dat een keer per kwartaal de lijst met functieprofielen wordt nagelopen, in overleg met HRM. Vanuit ICT wordt aangegeven dat als een account 30 dagen niet gebruikt is bij de teammanager wordt gecheckt of 27

diegene nog in die functie werkzaam is. Bij de technische pentesten bleek er toch een gebruikersaccount actief van een medewerker die niet meer in dienst was. Logging

Op een aantal systemen wordt het dataverkeer bijgehouden, gelogd. Dat wil zeggen dat bijgehouden wordt welke informatie door welke accounts wordt opgevraagd, zoals het raadplegen van klantgegevens van inwoners. Als er reden is om te twijfelen aan de rechtmatigheid van activiteiten in applicaties kan gericht worden onderzocht wie wanneer welke informatie heeft opgevraagd. De logging ligt volgens een van de respondenten nog niet helemaal in procedures vast, omdat soms onduidelijk is wat er gelogd moet worden. Een aantal systemen worden via de logging gemonitord op inbraken en uitval, door systeembeheer. De firewall wordt elke twee weken actief gecontroleerd, dat doet systeem- en netwerkbeheer. Het gebeurt, maar de procedures liggen niet vast, blijkt uit de interviews. Op enkele systemen is logging wettelijk verplicht, zoals Suwinet.

Uitwijk

Belangrijk onderdeel van een continuïteitsplan is de uitwijk. Bij een calamiteit moet met de systemen uitgeweken kunnen worden naar een andere locatie, zodat de gemeentelijke dienstverlening snel weer opgepakt kan worden. Er zijn twee datacenters ingericht, zodat de infrastructuur, data en applicaties van de andere gebruikt kan worden als er één uitvalt. De uitwijk wordt jaarlijks getest, tijdens een weekend dat de updates en patches worden geïnstalleerd. In 2021 is de uitwijkprocedure twee keer getest. Daar kwamen verbeterpunten uit voort die opgepakt zijn. De volgende test staat begin 2022 op de planning.

Incident response team

Geconstateerd wordt dat er op ICT geen 'incident-' of 'Computer Emergency Response Team' (CERT) is. Dat is een multidisciplinair samengesteld team dat bij kritieke incidenten de benodigde acties kan oppakken en (laten) uitvoeren. In interviews is aangegeven dat de vorming van zo'n team op de planning staat. Aangegeven is dat bij de bestrijding van een calamiteit een coördinator uit het team Integrale Veiligheid komt, ICT uitvoerend in actie komt en de CISO de rol van adviseur is.

Applicatie bij leverancier

Niet alle applicaties draaien op lokale systemen bij de gemeenten, maar enkele draaien bij een leverancier (als Software as a service [SAAS]). Daar zijn uiteraard contracten voor afgesloten. Bij die contracten horen verwerkersovereenkomsten als persoonsgegevens onderdeel van het dataverkeer uitmaken. En in die contracten is informatiebeveiliging geadresseerd en de continuïteit geborgd.12

Rol gemeenteraad

In het strategische informatiebeveiligingsbeleid staat dat de gemeenteraad de uitvoering van het beleid controleert. De ENSIA-rapportage wordt met

12

Bij navraag blijkt dat een van de leveranciers ISO-gecertificeerd is, op de ISO-norm op informatiebeveiliging. Ieder jaar voert de leverancier een pentest uit.

28

de raad gedeeld, met het 'in control'-statement van het college. Enkele respondenten vinden dat de raad meer in de rol moet komen en in positie moet worden gebracht. Het inhoudelijke gesprek wordt nergens met de raad gevoerd. De raad meenemen op bijv. de wijze waarop geprobeerd wordt datalekken te voorkomen.

29

8 Toetsen van partners en leveranciers op informatiebeveiliging Onderzoeksvraag 6

In dit hoofdstuk geven we antwoord op vraag 6: Heeft de gemeente in beeld met welke partners informatie en persoonsgegevens worden gedeeld? Op welke manier toetst de gemeente haar partners en leveranciers op privacy- en informatiebeveiligingsaspecten? Met partners en leveranciers zijn afspraken gemaakt op basis van 'privacy by design'.

Verwerkingsregister

Het verwerkingsregister is actueel, zodat de gemeente in beeld heeft met welke partijen en op welke wijze persoonsgegevens worden gedeeld met en verwerkt door derden. Bij nieuwe aanbestedingen moet gecheckt worden of er persoonsgegevens worden verwerkt. En zo ja, moeten er verwerkingsovereenkomsten onder de contracten liggen. Respondenten geven aan dat zij merken dat leveranciers meer en meer met informatiebeveiliging en privacy bezig zijn. Uit de interviews blijkt dat de medewerkers daar alert op zijn. Nieuwe aanbestedingen boven € 50.000 en aankoop van softwarepakketten moeten via een formulier opgestart worden. Daar zitten de componenten privacy en informatiebeveiliging als vast onderdeel van de procedure in. Ook heeft de CISO een toets daarop. Op de nieuwe contracten onder €50.000 ligt geen procedure vast en is geen centrale controle ingeregeld. Onduidelijk is in hoeverre oude contracten maatregelen hebben op informatiebeveiliging en privacy. Als de contracten vernieuwd worden komen ze vanzelf langs.

Standaard overeenkomst

Er zijn standaard verwerkingsovereenkomsten, volgens het VNG-model. Volgens de deelnemers aan de PIV-groep is er contact met de afdeling Inkoop om het gebruik van deze overeenkomsten goed in te regelen. Het moeten eigenlijk de proceseigenaren zijn die dit oppakken. De CISO en PO ondersteunen hen door een checklist op te stellen zodat zij zelf kunnen bepalen of persoonsgegevens worden verwerkt, of en wie een verwerker is, enz. Als er dan een overeenkomst gesloten is moet deze daarna op aspecten van informatiebeveiliging en privacy gecontroleerd worden door de CISO of PO. Hierop wordt ingegaan bij de e-learning (zie hoofdstuk 9).

Span of control

Respondenten geven aan dat werken in een grotere gemeente, zoals de fusiegemeente Hoeksche Waard, anders is dan in een kleinere gemeente, zoals voor de herindeling. Gevolg hiervan is dat er meer collega's en meer inhuur is en dat men die niet of nauwelijks kent. Voor de teammanagers betekent het een grotere span of control. En in een grotere organisatie moet meer erop vertrouwd worden dat de procedures gevolgd worden. Dat geldt zowel voor de eigen medewerkers als de partners en de leveranciers. Gelet op de taakvolwassenheid van de organisatie wordt dat als een uitdaging gezien, door de respondenten. 30

9 Lerende houding t.o.v. informatiebeveiliging Onderzoeksvraag 7

In dit hoofdstuk geven we antwoord op vraag 7: Hoe houdt de gemeente kennis over informatiebeveiliging vast, hoe bouwt zij hierop voort en leert ze hiervan? Op welke wijze wordt aandacht besteed aan de verdere bewustwording bij medewerkers van de gemeente?

Bewustzijn groeit, kan

Bijna alle respondenten geven als antwoord op de vraag "wat kan beter op het gebied van informatiebeveiliging en privacy?" dat het bewustzijn hierop weliswaar al hoger is dan voorheen, maar altijd beter kan. Dat onderwerp vergt continu aandacht. Alertere houding en reactie op bijvoorbeeld phishing mails en het doorgeven van incidenten en mogelijke datalekken. Fouten en incidenten zijn niet altijd te voorkomen, zoals een mail met namen en mailadressen in de CC in plaats van de BCC. Zo'n recent incident valt dan mee, maar wordt wel meteen opgeschaald naar de FG. De bereidheid om incidenten te melden neemt toe en de functionarissen zien dat de meldingen meestal op de juiste wijze binnenkomen. Bij een phishingmail werd, naast het feit dat een aantal medewerkers op de 'foute' link klikte, ook snel melding gemaakt dat een phishing mail in omloop was. Alleen werd deze melding naar de gehele organisatie gestuurd, in plaats van via de CISO of PO te delen.

altijd beter

De PIV-leden krijgen steeds meer vragen en zij publiceren regelmatig over informatiebeveiliging en privacy op intranet. Het is de bedoeling dat PO en de CISO regelmatig langsgaan bij de vakinhoudelijke teams om presentaties te geven over informatiebeveiliging en privacy. Dat is er door corona niet volledig van gekomen. De verwachting is dat deze activiteit in het eerste kwartaal van 2022 wordt afgerond. Op basis van de behoeften van de vakinhoudelijke teams kunnen verdiepingssessies gegeven worden. Teamoverleggen

Teammanagers geven aan regelmatig te sturen op informatiebeveiliging en privacy. In sommige team overleggen worden bijvoorbeeld structureel wijzigingen in beleid en aanpak met betrekking tot informatiebeveiliging en privacy besproken en nieuwe modules op e-learning aangekondigd. Ook worden nieuwe medewerkers geïntroduceerd op beginselen van informatiebeveiliging en privacy of wordt een nieuwe medewerker op de CISO- of PO-functie geïntroduceerd.

ISMS-PDCA

Incidenten worden bijgehouden in Topdesk. Deze worden halfjaarlijks geanalyseerd door de CISO en PO. Bij veel voorkomende of meer serieuze incidenten, zoals een datalek, vindt een evaluatie plaats in het betreffende team met de CISO of PO. Inzet is het incident in de toekomst te voorkomen. Zoals aangegeven is een informatiemanagementsysteem op informatiebeveiliging (ISMS) aanwezig. Deze kan gebruikt worden voor documenteren en administreren, zodat bijvoorbeeld de ENSIA-rapportage gevuld kan worden. Om continu te kunnen verbeteren en leren kan het ISMS 31

gekoppeld worden aan een beleidsleercyclus. De Plan-Do-Check-Act-cyclus (PDCA) is de meest gebruikelijke, waarmee doelstellingen, activiteiten, rapportages en evaluaties ingepland kunnen worden. Zoals eerder geconstateerd is het ISMS niet volledig uitgerold en gevuld en wordt alleen gebruikt voor het bijhouden van de BIO-richtlijnen, niet voor de ENSIArapportages. Het overzetten van activiteiten in het kader van de ENSIArapportages gaat op basis van handwerk. E-learning

Op de Hoeksche Campus is gestart met e-learning over informatiebeveiliging en privacy. Deze cursus is voor alle medewerkers verplicht om jaarlijks te volgen en de nieuwe medewerkers moeten er meteen mee aan de slag. PO en CISO breiden de e-learning constant uit met nieuwe modules. Respondenten noemen onder andere modules over phishing mails, wachtwoorden en clear screen policy. De teammanagers zijn erop gewezen dat ze erop moeten sturen dat medewerkers de modules ook daadwerkelijk volgen, in ieder geval jaarlijks 1x de basis over informatiebeveiliging en gegevensbescherming. Alle respondenten weten dat elearning er is, maar nog niet iedereen heeft dit jaar de verplichte modules gevolgd en nog niet bij iedereen is bekend welke modules er momenteel gevolgd kunnen worden. Aangegeven is dat de medewerkers, die nog niet de verplichte modules hebben gevolgd, een reminder hebben gekregen. PO en CISO geven aan dat zij de deelname van medewerkers halfjaarlijks gaan evalueren.

Gevarieerd aanbod

Lichte kritiek vanuit de medewerkers is dat e-learning die wordt aangeboden een extensieve manier van kennis opdoen is en generiek en weinig toegesneden is op het eigen werkterrein. Daarmee wordt aan awareness gewerkt, maar dat kan snel wegzakken in de drukke waan van de dag. De CISO en PO geven aan awareness evenementen te organiseren, zoals lezingen en een VR-game/escaperoom. Daarmee wordt op een afwisselende en ludieke manier gewerkt. Begin 2021 is bijvoorbeeld een meeting geweest over gegevensbescherming. Daar heeft Maria Genova, journaliste en schrijfster van onder andere Komt een vrouw bij de hacker, uitleg gegeven over de risico's. Voor begin 2022 staat een lezing door een ethisch hacker op de planning.

32

10 Opvolging onderzoek Rekenkamercommissie Hoeksche Waard 2016 Onderzoeksvraag 8

In dit hoofdstuk geven we antwoord op vraag 8: Welke opvolging is gegeven aan het onderzoek van de rekenkamercommissie Hoeksche Waard uit 2016 getiteld “ICT-samenwerking en informatiebeveiliging van de vijf Hoeksche Waard gemeenten”? (zie bijlage 2)

Aanbevelingen 2016

In 2016 heeft de Rekenkamercommissie Hoeksche Waard in een onderzoek naar informatiebeveiliging de volgende vijf aanbevelingen geformuleerd: 1. De Rekenkamercommissie Hoeksche Waard beveelt de ISHW aan om zich te focussen op de realisatie van excellente dienstverlening tegen een acceptabele prijs. Om zicht te krijgen op de consequenties van deze aanbeveling en voor het nemen van besluiten adviseert de Rekenkamercommissie Hoeksche Waard om aan de gemeenteraden een geactualiseerde businesscase voor te leggen waarin verschillende scenario's inclusief kostenplaatjes zijn uitgewerkt voor een verdere ontwikkeling van het ISHW. 2. De Rekenkamercommissie Hoeksche Waard beveelt, gelet op de als hoogrisico geclassificeerde risico's, aan om op het gebied van informatiebeveiliging prioriteit te schenken aan de implementatie van het uitvoeringsplan informatiebeveiliging, zodat de vele acties opgenomen in dit plan worden uitgevoerd. 3. De Rekenkamercommissie Hoeksche Waard beveelt het ISHW aan om adequate ICT-beheerprocessen in te richten. 4.

De Rekenkamercommissie Hoeksche Waard beveelt de gemeenteraden aan om bij toekomstige besluitvorming aan de hand van een businesscase voor de toetsing van het realiteitsgehalte van gepresenteerde cijfers benchmarkgegevens te gebruiken alsmede voor de toetsing van de volledigheid van de businesscase een instrument toe te passen als de bij het rapport toegevoegde checklist. 5. De Rekenkamercommissie Hoeksche Waard beveelt aan om in de bestuursrapportage aandacht te besteden aan de ontwikkeling van prestatie-indicatoren op het gebied van verbetering van doelmatigheid en efficiency én het dagelijks beheer.

Samenwerking ICT

De aanbevelingen uit 2016 zijn gericht op de toenmalige nog niet gefuseerde situatie, van vijf gemeenten die op ICT samenwerkten in ISHW (ICT Samenwerking Hoeksche Waard). ISHW bestaat vanaf de fusie van 1-12019 niet meer en is opgegaan in twee teams, ICT-beheer en Informatiemanagement. De organisatorische context is dusdanig gewijzigd dat het lastig is de opvolging van de aanbevelingen te traceren. De ambtelijke organisatie is verzocht antwoord te geven op de vraag naar de opvolging.

33

In de onderstaande tabel zijn de aanbevelingen opgenomen in de 2e kolom. In de 3e kolom de tekst met de eventuele opvolging. In de 4e kolom is met een kleur de mate van opvolging aangegeven (rood = niet opgevolgd, oranje = deels opgevolgd, groen = opgevolgd.) Tabel 2. Opvolging aanbevelingen Rekenkameronderzoek, ICT-samenwerking en informatiebeveiliging van de vijf Hoeksche Waard gemeenten, 2016. Aanbeveling 1 De Rekenkamercommissie Hoeksche Waard beveelt de ISHW aan om zich te focussen op de realisatie van excellente dienstverlening tegen een acceptabele prijs. Om zicht te krijgen op de consequenties van deze aanbeveling en voor het nemen van besluiten adviseert de Rekenkamercommissie Hoeksche Waard om aan de gemeenteraden een geactualiseerde businesscase voor te leggen waarin verschillende scenario's inclusief kostenplaatjes zijn uitgewerkt voor een verdere ontwikkeling van het ISHW.

2 De Rekenkamercommissie Hoeksche

3

Waard beveelt, gelet op de als hoogrisico geclassificeerde risico's, aan om op het gebied van informatiebeveiliging prioriteit te schenken aan de implementatie van het uitvoeringsplan informatiebeveiliging, zodat de vele acties opgenomen in dit plan worden uitgevoerd. De Rekenkamercommissie Hoeksche Waard beveelt het ISHW aan om adequate ICT-beheerprocessen in te richten

Opvolging Op basis van een businesscase zou ISHW zich moeten focussen op de realisatie van excellente dienstverlening tegen een acceptabele prijs. In de reactie is aangegeven dat er momenteel een benchmark onderzoek loopt, waarbij de businesscase van de Hoeksche Waard vergeleken wordt met andere gemeenten. Op basis daarvan worden scenario's uitgewerkt. Dat zou eind 2021 opgeleverd moeten worden. In de tussentijd is hard gewerkt aan de fusie en de formatie van de teams ICT-beheer en Informatiemanagement. Daarna kwam door corona een periode waarin hard gewerkt moest worden om iedereen veilig op afstand aan het werk te houden, met een laptop en programmatuur. Geconstateerd kan worden dat de fusie en de pandemie daarna de opvolging van de eerste aanbeveling vertraagd heeft. Maar dat gemeld wordt dat de aanbeveling na 5 jaar gerealiseerd gaat worden. Er is niet na te gaan of en hoe de in 2016 als hoog-risico geclassificeerde risico's prioriteit zijn geschonken. Momenteel wordt aan deze aanbeveling opvolging gegeven door de implementatie van het tweejaarlijkse informatiebeveiligingsplan die op basis van halfjaarlijkse metingen op de BIO wordt gemonitord. Daarnaast worden de risico's naar aanleiding van de pentesten en audits in het kader van ENSIA opgepakt. In deze zin is aanbeveling 2 gerealiseerd in het informatiebeveiligingsbeleid van de Hoeksche Waard.

Inrichting van adequate ICT-beheerprocessen is een punt dat continu aandacht vergt. Momenteel is de gemeente op informatiebeveiliging op een volwassenheidsniveau van 2. Dat wil zeggen dat de beheersingsmaatregelen aanwezig zijn en op consistente maar informele wijze worden toegepast. De ambitie om naar niveau 3 door te ontwikkelen, feitelijk 'in control' zijn, is nog niet vastgesteld en vergt zeker nog de nodige formalisatie van de uitvoering van de beheersingsmaatregelen.

34

4 De Rekenkamercommissie Hoeksche

5

Waard beveelt de gemeenteraden aan om bij toekomstige besluitvorming aan de hand van een businesscase voor de toetsing van het realiteitsgehalte van gepresenteerde cijfers benchmarkgegevens te gebruiken alsmede voor de toetsing van de volledigheid van de businesscase een instrument toe te passen als de bij het rapport toegevoegde checklist. De Rekenkamercommissie Hoeksche Waard beveelt aan om in de bestuursrapportage aandacht te besteden aan de ontwikkeling van prestatie-indicatoren op het gebied van verbetering van doelmatigheid en efficiency én het dagelijks beheer.

Zoals bij de opvolging van de eerste aanbeveling is geconstateerd is er nog geen businesscase of benchmark opgesteld die aan de raad ter toetsing is voorgelegd. Deze wordt eind 2021 verwacht. In de reactie wordt aangegeven dat het streven is deze jaarlijks uit te voeren en aan de raad voor te leggen. Deze vierde aanbeveling is nog niet volledig gerealiseerd.

Op het gebied informatiebeveiliging en privacy wordt op basis van prestatie-indicatoren en processen de voortgang op BIO en AVG door de FG en CISO bijgehouden en gerapporteerd aan het Directieteam en de colleges. Meer specifiek rapportages op verbetering van doelmatigheid en efficiency en dagelijks beheer, zoals in de aanbeveling is opgenomen, zijn nog niet gerealiseerd. In de reactie wordt aangegeven dat de aanwezige rapportages op incidentafhandeling in 2022 aangevuld kunnen worden met de in de aanbeveling aangeduide prestatie-indicatoren. Kortom, zoals bedoeld in het rapport van de Rekenkamercommissie Hoeksche Waard is deze aanbeveling nog niet volledig opgevolgd.

Uiteindelijk is een aanbeveling volledig opgevolgd en zijn vier aanbevelingen deels opgevolgd. Tot slot

Zoals eerder gemeld is het rekenkamerrapport uit 2016 voor een groot deel door de ontwikkelingen van de fusie van gemeenten en de pandemie daarna ingehaald. Een aanbeveling (nr. 2) is gerealiseerd, de andere aanbevelingen zijn nog niet geheel gerealiseerd.

35

Bijlage 1. In informatiebeveiliging en privacy veel voorkomende termen en afkortingen 2FA 2-staps-verificatie ACIB Active Directory (AD) AP Applicatie AVG (GDPR)

BAG BIG

BIO BIR BIV BRP BYOD

CERT CIO CISO Cloud

CYOD

Dongel DPIA (ook PIA)

ENSIA

Twee factor authenticatie, zo wordt op 2 verschillende manieren gecheckt of degene die inlogt degene is die hij/zij aangeeft te zijn zie 2FA Algemeen Contactpersoon Informatiebeveiliging, ontvangt berichten van algemene aard van de Informatiebeveiligingsdienst voor gemeenten (IBD) De Active Directory is een database waarin onder andere accounts en inloggegevens zijn opgenomen. Autoriteit Persoonsgegevens Softwareprogramma, zoals de BAG, BRP, SUWInet enz. Algemene Verordening Gegevensbescherming, Europese regelgeving die de privacyregels in de Europese lidstaten harmoniseert (GDPR = General Data Protection Regulation) Basisregistratie Adressen en Gebouwen, applicatie met onder andere gegevens over adressen en gebouwen in de gemeente Baseline Informatiebeveiliging Gemeenten, maatregelen voor de informatiebeveiliging bij gemeenten, in 2013 als standaard afgesproken in VNG-verband Baseline Informatiebeveiliging Overheid, verwachting is dat hier de BIR en BIG in zullen opgaan vanaf 2020 Baseline Informatiebeveiliging Rijksdienst, geldt als basis voor de BIG Beschikbaarheid – Integriteit – Vertrouwelijkheid.

Termen waarop de beveiligingsrisico's van de informatie/applicaties zijn geënt Basisregistratie Personen, applicatie met persoonsgegevens van de inwoners Bring your own device, betekent dat medewerkers en externen hun eigen apparaten (laptops, smartphones, usb-sticks enz.) meenemen en inloggen op het gemeentelijk systeem Computer Emergency Response Team, multidisciplinair samengesteld team dat kan acteren op incidenten en crises Chief Information Officer Chief Information Security Officer De cloud staat voor een netwerk van computers die een soort 'wolk van computers' vormt, waarbij de eindgebruiker niet weet op hoeveel of welke computer(s) de software draait of waar die computers precies staan Choose your own device, beleid dat inhoudt dat medewerkers en eventueel externen apparaten (laptops, smartphones, usb-sticks enz.) kunnen kiezen uit een beperkt assortiment, waarop de veiligheidsmaatregelen al zijn aangebracht Een USB-modem waarmee (beveiligde) toegang tot internet verkregen kan worden Data protection impact assessment, analyse op risico's in verband met privacy en gegevensbescherming bij verwerkingsprocessen. Onder de AVG verplicht bij gegevensverwerking met waarschijnlijk een hoog privacy risico. Eenduidige Normatiek Single Information Audit, eenmalige informatieverstrekking en eenmalige IT-audit voor de horizontale (richting

36

FG Firewall GAP GAP-analyse GDPR GBA GR iBabs IBD ICT IP-adres

IPv6

ISMS KING NFC OWASP P&C-cyclus PDCA Phishing mail PIA (ook DPIA)

PKI-certificaat

Privacy by default Privacy by design RIVG SAAS Smart credentials SSO Spoofing Token

gemeenteraad als toezichthouder) en verticale verantwoording (richting landelijke toezichthouders) Functionaris gegevensbescherming, verplicht voor overheden. Een firewall is een systeem dat de middelen van een netwerk of computer kan beschermen tegen misbruik van buitenaf. Is de Engelse term voor ‘kloof’. Dat betekent hier het verschil tussen de bestaande situatie en de gewenste situatie Controle of en in welke mate de maatregelen uit de BIG geïmplementeerd zijn General Data Protection Regulation (zie AVG) Gemeentelijke Basisadministratie Gemeenschappelijke regeling Vergadertool op internet, meestal gebruikt voor papierloos vergaderen voor bijvoorbeeld gemeenteraden. Informatiebeveiligingsdienst voor gemeenten Informatie- en communicatietechnologie Internetprotocol adres, bestaande uit (momenteel) 4 setjes van drie cijfers. Met behulp van deze set cijfers is elke computer en apparaat dat op internet is aangesloten te traceren Is de opvolger van het traditionele IP-adres. De oude IP-adressen, eigenlijk IPv4, raakten op.

Onder andere vanwege de groei van het aantal apparaten dat op internet aangesloten wordt Information securitymanagement system Kwaliteitsinstituut Nederlandse Gemeenten, heet tegenwoordig VNG Realisatie Near Field Communication, contactloze communicatie op korte afstand (vergelijkbaar is de ov-chipkaart) Open Web Application Security Project Planning & Control cyclus Plan-Do-Check-Act beleidsleercyclus Vorm van internet oplichting en fraude, door middel van een vals e-mail bericht 'hengelen' naar inlog- of andere persoonsgegevens Privacy impact assessment, analyse op risico's in verband met privacy en gegevensbescherming bij verwerkingsprocessen. Onder de AVG verplicht bij gegevensverwerking met waarschijnlijk een hoog privacy risico. Public Key Infrastructure. Een PKI(overheid)-certificaat is een internationale standaard voor de digitale ondertekening bij het versturen van gegevens en berichten. Onderdeel van privacy by design, waarbij de standaardinstellingen zo privacy-vriendelijk mogelijk zijn ingesteld Betekent dat bij het ontwerp van producten en diensten nagedacht wordt over privacy Rijksdienst voor Identiteitsgegevens Software-as-a-Service is een model waarbij softwaretoepassingen via internet worden aangeleverd.

Smartphone of smartwatch voorzien van een sleutel app Single Sign On, op 1 werkplek via 1 aanmelding toegang krijgen tot alle applicaties waar de gebruiker recht op heeft Het verzenden van e-mails waarbij het e-mailadres van de afzender vervalst is Een fysiek apparaat waarmee toegang verkregen kan worden tot een elektronisch beveiligde bron of netwerk 37

TPM

Url

VCIB

Verwerkingsregister VNG Realisatie VPN

Third Party Memorandum. Verklaring dat de derde partij, die de gegevens voor de gemeente bewerkt voldoet aan de geldende richtlijnen inzake informatiebeveiliging Uniform Resource Locator. Verwijst naar een uniek adres waarmee de locatie van een webpagina op internet wordt aangegeven of een emailadres Vertrouwd Contactpersoon Informatiebeveiliging, ontvangt berichten van vertrouwelijke aard van de Informatiebeveiligingsdienst voor gemeenten (IBD) Register waarin de gemeente bijhoudt welke persoonsgegevens de gemeente en de verwerkers die deze inschakelt verwerkt Kwaliteitsinstituut van de VNG (voorheen KING) Virtueel privé netwerk (versleutelde beveiligde verbinding)

38

Bijlage 2. Lijst geraadpleegde stukken en lijst respondenten De geraadpleegde stukken en de geïnterviewde personen zijn hieronder weergegeven, per onderdeel/gemeente.

Geraadpleegde stukken -

1.2 Verklaring van toepasselijkheid ISO27001 ZorgNed 1.3 Verklaring van toepasselijkheid NEN7510 ZorgNed Backup en Restore Procedure 2020 Bijlage 1 FG-verslag 08-2020 Bijlage 2 CISO Verslag 08 2020 BIO - Backup en Restore beleid 2020 BIO - Toegangsrechtenbeleid 2020 CISO Verslag April 2021 Collegevoorstel FG en CISO verslag April 2021 Def DigiTrust Certificaat ISO 27001 ZorgNed Automatisering DigiTrust Certificaat NEN 7510 ZorgNed Automatisering Envelop-procedure definitief 2020 FG verslag April 2021 Implementatieplan voorzet BIO, Gemeente Hoeksche Waard, september 2021 Informatiebeveiligingsbeleid 2020-2024 gemeente HW v1.0 Inkoop- en aanbestedingsbeleid 2019 Inlogprocedure 2020 Jaarstukken-2020-RAAD HW Management 2020 accountant IT omgeving evaluatie (PIV) MDM beleid 2021 Netwerkbeleid 2020 Nieuwe Bruikleenovereenkomst 2.0 Patch- en releasemanagement Netwerkgebied 1.0 2021 Privacybeleid gemeente Hoeksche Waard, 11-05-2021 Security Baselines 2020 Testomgevingbeleid 2020 Tussenrapport AVG, 12-10-2021 Voorstel FG en CISO verslag def

39

Functies van geïnterviewde respondenten -

Chief Information Security Officer (CISO) Functionaris Gegevensbescherming (FG) 2 Privacy Officers Teammanagers I, II, III Directeur Portefeuillehouder 2 medewerkers Team Integrale Veiligheid 3 medewerkers Team Financiën 2 medewerkers Team Publiekszaken 3 medewerkers Team Facilitair 4 medewerkers Team Sociaal Domein 3 medewerkers Team ICT-beheer en Informatiemanagement

40

Bijlage 3. Onderzoeksvragen en normen De onderstaande normen zijn voornamelijk ontleend aan de BIO en de AVG. Mogelijk kunnen de gemeentelijke beleidsplannen aanvullende normen opleveren, waaraan de uitvoering van de informatiebeveiliging getoetst wordt. Onderzoeksvragen

Normen

1. Beleid van de gemeente

- Het college stelt het integrale beleid ten aanzien van informatiebeveiliging en privacy vast. - Er vindt sturing plaats op basis van de BIO. - Op onderdelen van informatiebeveiliging en privacy is beleid geformuleerd en zijn richtlijnen opgesteld, zoals gebruik van wachtwoorden, 2 factor authenticatie, mobiele datadragers, autorisaties en monitoring, protocol datalekken, wijzigingsbeleid enz. - Het informatiebeveiligingsbeleid is opgesteld aan de hand van een GAP-analyse. - Jaarlijks wordt op basis van een risicoanalyse het informatiebeveiligingsplan ingevuld. - De gemeente neemt maatregelen om risico’s te verlagen. - Het beleid ten aanzien van informatiebeveiliging wordt gepubliceerd voor werknemers en relevante externe partijen. - Medewerkers krijgen cursussen, trainingen e.d. hoe om te gaan met informatie. - Medewerkers weten wat ze wel en niet mogen/moeten doen met gegevens en herkennen incidenten en rapporteren deze ook daadwerkelijk. - Het bestuur en medewerkers dragen het beleid ten aanzien van informatiebeveiliging actief uit. - Over het functioneren van informatiebeveiliging wordt gerapporteerd aan het management, bij voorkeur op basis van een ISMS (Information Security Management System). - Over het functioneren van informatiebeveiliging wordt gerapporteerd aan de raad, in ieder geval jaarlijks in het kader van ENSIA.

- De CISO is gepositioneerd en geëquipeerd om diens taak adequaat uit te voeren. - De gemeente werkt conform de regels van de AVG. - Medewerkers krijgen cursussen, trainingen e.d. hoe zij moeten werken conform AVG. - Het bestuur en medewerkers dragen het beleid ten aanzien van privacy actief uit. - De FG is gepositioneerd en geëquipeerd om diens taak adequaat uit te voeren. - Gegevens zijn goed beschermd tegen ongewenste invloeden van buitenaf. - Er wordt jaarlijks een beveiligingsaudit uitgevoerd. - Er is een procedure vastgesteld voor de wijze waarop informatiebeveiligingsgebeurtenissen en zwakke plekken in de beveiliging worden beheerd en gerapporteerd. - Op de systemen is logging geïnstalleerd en er is capaciteit aanwezig om deze te monitoren.

2. Risico’s bij informatiebeveiliging en privacy