Eindrapport rekenkamercommissie Informatiebeveiligingsbeleid Hof van Twente 'De perfecte storm'.pdf

- Over het functioneren van informatiebeveiliging wordt gerapporteerd aan het management, bij voorkeur op basis van een ISMS. - Er worden periodiek (pen)testen uitgevoerd op de systemen en de infrastructuur. - De autorisaties voor toegang tot de systemen en data zijn actueel en worden periodiek gecontroleerd. - Op de systemen is logging geïnstalleerd en er is capaciteit aanwezig om deze te monitoren. - Er is een procedure vastgesteld voor de wijze waarop informatiebeveiligingsgebeurtenissen en zwakke plekken in de beveiliging worden beheerd en gerapporteerd. - De afspraken met de externe leverancier zijn afgestemd op de rollen en taken op ICT en informatiebeveiliging die de gemeente en de externe leverancier(s) uitvoeren. - Afspraken over incidenten en datalekken zijn vastgelegd en worden gemonitord door de CISO en FG.

2. Is het informatiebeveiligingsbeleid in die periode adequaat uitgevoerd?

3. Zijn de functies die van belang zijn op het gebied van informatiebeveiliging in die periode goed gepositioneerd?

4. Is de uitvoering van het beleid in die periode adequaat getoetst en gemonitord?

5. Welke afspraken op informatiebeveiliging zijn gemaakt met externe leverancier(s) en hoe zijn deze gemonitord?

53

20220530 HvT 6. Is de raad adequaat gepositioneerd geweest om zijn kaderstellende en controlerende rol te kunnen uitvoeren?

7. Wat is er gedaan met de aanbevelingen uit de twee onderzoeken die in maart 2021 in opdracht van het college zijn verschenen? 8. Hoe heeft het informatiebeveiligingsbeleid vorm gekregen na 1 december 2020? 9. Welke lessen zijn te trekken uit de hack die 1 december 2020 manifest werd en de gebeurtenissen daarna?

- Over het functioneren van informatiebeveiliging wordt gerapporteerd aan de raad, op zijn minst jaarlijks in het kader van ENSIA. - De raad krijgt grote beveiligingsincidenten en datalekken gerapporteerd. - Op 1 december 2021 is er beargumenteerd zicht in hoeverre aanbevelingen zijn of worden overgenomen. - Van de overgenomen aanbevelingen is (het begin van) implementatie zichtbaar. - In 2021 is gestart met een nieuwe GAP- en risicoanalyse op basis waarvan een nieuw informatiebeveiligingsbeleid wordt vastgesteld. - Geen normen

54

20220530 HvT

Bijlage 4. Volwassenheidsniveau NOREA

Bron: Handreiking bij Volwassenheidsmodel Informatiebeveiliging, januari 2019, NBA.

55