C.6 Jaarverslag informatiebeveiliging 2022

Jaarverslag informatiebeveiliging 2022 Zaaknummer:

HK-0012881

Versiedatum

08-02-2023

Status:

Definitief

Opgesteld door:

Tarik Fakir

Vastgesteld door:

College van B&W

V-Classificatie:

Intern document

Inhoudsopgave 1.

INLEIDING .............................................................................................................................................. 3

2.

MANAGEMENTSAMENVATTING............................................................................................................. 3

2.1. 2.2. 2.3. 2.4. 2.5.

ALGEMEEN BEELD EN RESULTATEN...................................................................................................................... 4 VEILIGHEIDSINCIDENTEN................................................................................................................................... 5 ENSIA ......................................................................................................................................................... 5 NIS 2 ........................................................................................................................................................... 6 METING VAN DE BIO....................................................................................................................................... 7

3.

VERBETERINGEN PER BIO HOOFDSTUK. .................................................................................. 8

3.1. 3.2. 3.3. 3.4. 3.5.

VEILIG PERSONEEL (HOOFDSTUK 7 VAN DE BIO) ................................................................................................... 8 CRYPTOGRAFISCHE BEHEERSMAATREGELEN (HOOFDSTUK 10 VAN DE BIO) ................................................................. 8 BEVEILIGING BEDRIJFSVOERING (HOOFDSTUK 12 VAN DE BIO)................................................................................. 8 ACQUISITIE, ONTWIKKELING EN ONDERHOUD VAN INFORMATIESYSTEMEN (HOOFDSTUK 14 VAN DE BIO) ......................... 8 INFORMATIEBEVEILIGINGSASPECTEN VAN BEDRIJFSCONTINUÏTEITSBEHEER (HOOFDSTUK 17 VAN DE BIO) ......................... 9

2

1.

Inleiding

Onder informatiebeveiliging wordt verstaan het treffen en onderhouden van een samenhangend pakket aan beheersmaatregelen om de beveiliging van onze informatievoorzieningen te waarborgen. Hierbij houden wij rekening met de beschikbaarheid, integriteit en vertrouwelijkheid van (persoons)gegevens en kritische processen en IT-diensten. Dit jaarverslag is een verantwoording over de kwaliteit van de informatiebeveiliging over 2022. Met het jaarverslag legt het college verantwoording af aan de gemeenteraad, het Rijk en haar toezichthouders. Het jaarverslag is tot stand gekomen door zelfevaluaties en audits die door een onafhankelijke partij (externe IT-auditor) is uitgevoerd. De kwaliteit van de informatiebeveiliging is beoordeeld aan de hand van de normen van de Baseline Informatiebeveiliging Overheid (BIO)1 en de NOREA2. De BIO en NOREA geven richtlijnen voor beheersing van de informatiebeveiliging door het inrichten en uitvoeren van een set van organisatorische en technische beheersmaatregelen. Dit jaarverslag kan worden gebruikt in het meten van de kwaliteit van de informatiebeveiliging over 2022. Net zoals de voorgaande jaren, wordt de informatiebeveiliging in het jaarverslag op hoofdlijnen beschreven aan de hand van een toetsing in hoeverre de normen zijn gerealiseerd en nageleefd.

In dit jaarverslag wordt de kwaliteit ten opzichte van het voorgaande jaar vergeleken en toegelicht. Dat geeft inzicht in de inspanningen die de organisatie en haar partners doen om de informatiebeveiliging te vergroten en op de inspanningen die nog te leveren zijn om de informatiebeveiliging naar een nog hoger niveau te brengen. 2.

Managementsamenvatting

Dit verslag geeft de uitkomsten weer van de uitgevoerde (zelf)evaluaties informatieveiligheid over het jaar 2022. Deze evaluaties zijn gebaseerd op de Baseline Informatieveiligheid Overheid (BIO), ENSIA3 en de NOREA4. Er wordt op één moment in het jaar gerapporteerd over de huidige status. Vanuit deze evaluaties is eveneens de verantwoording aan de onafhankelijke stelselhouders /toezichthouders afgelegd, de zogenaamde verticale verantwoording. Zo zijn de verantwoordingen (uittreksels) over de Basisregistratie Personen (BRP) en de Paspoortuitvoeringsregeling (PUN) op 26 januari 2023 toegestuurd naar de Rijksdienst voor Identiteitsgegevens, de Autoriteit Persoonsgegevens en het Ministerie van BZK.

1

De Baseline Informatiebeveiliging Overheid is een instrument bestaande uit een uitgebreide normen set waarmee gemeenten in staat zijn om te meten of de organisatie ín control’ is op het gebied van informatiebeveiliging. 2 NOREA is de beroepsorganisatie van IT-auditors in Nederland en beheert het register van gekwalificeerde IT – auditors (Re’s) 3 Eenduidige Normatiek Single Information Audit 4 NOREA is de Beroepsorganisatie van IT-auditors in Nederland. IT-auditors geven assurance en/of advies over kwaliteitsaspecten van IT.

3

De verantwoordingen over de Basisregistratie Adressen en Gebouwen (BAG), de Basisregistratie Grootschalige Topografie (BGT), de Basisregistratie Ondergrond en de Basisregistratie Wet waardering onroerende zaken zijn tijdig vóór 8 februari 2023 opgeleverd aan het Ministerie van I&W5. De verantwoordingen voor Suwinet en DigiD worden binnen de gestelde deadline van 1 mei 2023 aan het ministerie van SZW6 en Logius aangeleverd. Dit door middel van een collegeverklaring. Deze bestaat uit bevindingen uit onze zelfevaluatie en het Assurance rapport van een externe RE-auditor. De zelfevaluatie is getoetst door deze externe auditor en is als zijnde goed bevonden. De auditor heeft de collegeverklaring op juistheid beoordeeld en vermeld de uitkomsten van het onderzoek in een Assurance rapport. Met beide documenten voldoet Hollands Kroon aan de verantwoordingsplicht voor Suwinet en DigiD. Mocht één van de toezichthouders op- of aanmerkingen hebben waaruit blijkt dat er toch onvoldoende maatregelen zijn toegepast om te voldoen aan de gestelde eisen? Dan wordt het bestuur hierover geïnformeerd.

2.1. Algemeen beeld en resultaten De organisatie heeft qua meting ten opzichte van het jaar daarvoor stappen voorwaarts gezet. Dat heeft te maken met een aantal doorgevoerde maatregelen vanuit het BIO normenkader. Op het moment van schrijven liggen er een set nieuw te prioriteren maatregelen die uitgevoerd moeten worden in. Er is aanvullend vooruitgang geboekt in het vormgeven van vastgesteld beleid, processen (procesbeschrijvingen, vastgestelde richtlijnen en werkinstructies) en eigenaarschap. Daarnaast zijn er stappen gezet in het kader van monitoring, detectie en logging van het internet en dataverkeer. Dit in de vorm van het zogeheten SIEM7 en SOC8. Dit is van groot belang om verdachte activiteiten en gedrag op de infrastructuur inzichtelijk te krijgen. Hierop kunnen dan weer de nodige maatregelen op toegepast worden ter mitigatie. Het onderwerp bedrijfscontinuïteit, en het verder professionaliseren van onze ICT-organisatie is van groot belang willen wij onze digitale weerbaarheid vergroten. Het blijft daarnaast van groot belang om de lage bezetting van onze ICT-organisatie te compenseren door de dagelijkse beheer activiteiten te documenteren. Dat is nodig in het geval van uitval, vervanging. Maar ook om een goed beeld te krijgen bij alle ICT-risico’s die wij lopen en de ICT-kwaliteit die moet worden behouden.

De bedoeling ligt er om deze zaken op te pakken bij de uitwerking van het ICT-advies, wat onlangs (feb 2023) door het DT aan de ICTorganisatie gepresenteerd is.

5

De BAG, BGT, BRO en WOZ kennen elk in ENSIA ook een domein specifieke vragenlijst en een specifieke verantwoordingsrapportage. Deze is separaat ter vaststelling aan het College voorgelegd en aangeboden aan het Ministerie van Infrastructuur en waterstaat en de Waarderingskamer. 6 Ministerie van Sociale Zaken en Werkgelegenheid 7 Security Information and Event Management (SIEM) is een softwarepakket die technische informatie uit verschillende bronnen opslaat, samenvoegt en daar verbanden in legt. 8 Een Security Operations Center (SOC) is een gecentraliseerde eenheid die zich bezighoudt met het bewaken beoordelen en verdedigen van systemen a.d.v. de informatie die onttrokken wordt uit het SIEM.

4

2.2. Veiligheidsincidenten In 2023 hebben zich, gelijk aan voorgaande jaren, een aantal veiligheidsincidenten voorgedaan. Deze waren snel te mitigeren maar hadden een verwaarloosbare impact op onze bedrijfsvoering. Deze incidenten hadden voornamelijk te maken met software en hardware waarin een kwetsbaarheid is geconstateerd. Onze connecties met de informatiebeveiligingsdienst (IBD) en de rijksoverheid ’s eigen ‘computer emergency response team’ (CERT) hebben bijgedragen aan het tijdig mitigeren en handelen bij deze incidenten. Het Computer Emergency Response Team maakt onderdeel uit van het NCSC (Nationaal Cyber Security Centrum) dat onder het Ministerie van Justitie en Veiligheid valt. De CERT is een 24-uurshulp, die behulpzaam is bij beveiliging (cyber) incidenten en daarbij ondersteuning en advisering biedt. Er is wederom weer een stijging waargenomen van Phishing acties via zowel mail als telefoon. Er is echter geen reden om te geloven dat deze succesvol zijn geweest. Collega’s zijn waakzaam en alert en weten dit direct te melden zodat de juiste maatregelen genomen kunnen worden en informatie kan worden verstrekt. Advies is om in te zetten op bewustzijn acties om collega’s scherp te houden, dit ook gezien het feit dat Phishing acties steeds verfijnder worden en dus lastiger worden om te herkennen.

Verder hebben zich incidenten voorgedaan die veroorzaakt zijn door de menselijke handelen. Denk hierbij aan het verkeerd versturen van informatie via mail of een publicatie die niet (direct) openbaar gemaakt had mogen worden. In een omgeving waar gewerkt wordt kunnen nu eenmaal fouten gemaakt worden. Er is wederom weer een stijging waargenomen van geregistreerde meldingen. Dit heeft naar alle waarschijnlijkheid te maken met een verhoging van bewustwording. Collega’s worden zoveel mogelijk geïnformeerd via de gebruikelijke communicatiekanalen over verschillende informatiebeveiligingsonderwerpen en actualiteiten rondom fraude, phishing, hack en ransomware risico’s. Daarnaast worden er via het ‘my learning factory’ leerplatform trainingen en workshops aangeboden in het kader van informatiebeveiliging en privacy. 2.3. ENSIA Het ISMS9 is verder ingezet ten behoeve van de uitwerking van ENSIA. Dit heeft er onder andere toe geresulteerd dat de tijdsdruk die de voorgaande jaren werd ervaren minder aanwezig is. Er wordt verder ingezet om het ISMS verder door te ontwikkelen voor een nog beter gestroomlijnde PDCA-cyclus10 Waar we bij de introductie van ENSIA in 2017 zagen dat de focus op het gebied van informatiebeveiliging vooral lag bij ENSIA is er een duidelijke kanteling naar het ISMS.

Het ISMS dat gebaseerd is op de BIO is gericht op continu verbeteren en is de basis voor het sturen en afleggen van verantwoording op het gebied van informatiebeveiliging. ENSIA is vooral bedoeld om het ministerie van BZK en de IT-auditor te 9

Information security management system. Een continu verbeterproces in de vorm van een systeem of applicatie. 10 PDCA is een afkorting die staat voor de belangrijkste stappen uit de cirkel: Plan (maak een plan met de resultaten die je wilt bereiken), Do (voer het plan uit), Check (vergelijk de resultaten met wat je had willen bereiken), Act (bij afwijking: neem maatregelen/stuur bij om de resultaten alsnog te bereiken).

5

voorzien van informatie voor hun eigen informatiebehoefte waarbij op onderdelen een audit plaatsvindt. Hierbij gaat het voornamelijk om Suwinet en DigiD dat nog geen 10% uitmaakt van het totaal aantal ENSIA-vragen. ENSIA raakt een groot deel van de BIO-normen niet terwijl deze een belangrijk onderdeel uitmaken van het verbeteren van onze digitale weerbaarheid. Verder is het van belang om te vermelden dat er een voorstel ligt van staatssecretaris van Huffelen om de BIO te verankeren in wet- en regelgeving. Dit houdt verder in dat het toezicht hierop zal gaan intensiveren. Daarnaast zien we dat ENSIA steeds breder wordt ingezet voor onderwerpen met vooral inhoudelijke vragen die niets of weinig te maken hebben met informatiebeveiliging. Een voorbeeld hiervan is de introductie van de WOZ nog even los van de BAG, BRO en BGT die eveneens weinig met informatiebeveiliging te maken hebben en vooral inhoudelijk (domein specifiek) van aard zijn. Hoewel we zorgvuldig rekening houden met ENSIA, moet dit proces volgend zijn op het ISMS voor zover het de BIO-normen raakt. Voor al het overige is ENSIA leidend en behoort de ENSIA-coördinator daarvoor belast te zijn. De CISO blijft dan beter in staat om te blijven focussen op informatiebeveiliging zoals bedoeld vanuit de BIO. Uiteraard is dan afstemming nodig tussen de taken vanuit het ISMS en de ENSIAcoördinator.

De taak van de ENSIA-coördinator is ervoor te zorgen dat het ENSIA-portaal tijdig voorzien wordt van de benodigde gegevens. Dat vereist een jaarlijkse afstemming met de CISO voor het ISMS-deel en met de collega’s die belast zijn met het beheer van de BRP, reisdocumenten, Suwinet, DigiD, BAG, BRO, BGT en WOZ. Een goede afstemming zorgt er ook voor dat daarmee de jaarlijkse druk aan het einde van het jaar als gevolg van ENSIA geminimaliseerd wordt. Het verantwoordingsproces over 2022 is het tweede jaar waarbij er getoetst wordt op het nieuwe kernapplicatie landschap van Pink Roccade. Het voorgaande jaar verliep wat rommelig i.v.m. een migratie. Ervaringen van het voorgaande jaar heeft ertoe geresulteerd dat er voldoende kennis en informatie was om de audit uit te voeren. De leverancier en de stakeholders intern koppelde direct al het benodigde aan informatie terug als hierom gevraagd werd waardoor er geen tot weinig verhindering ontstond. 2.4. NIS 2 In Europa is een NIS (Network and Information Systems) directive opgesteld om bij te dragen aan een hoog gemeenschappelijk beveiligingsniveau van netwerk- en informatiesystemen in de hele EU. Al in 2016 is de NIS1-richtlijn gepubliceerd. Deze was met name bedoeld voor grote bedrijven en instellingen die essentiële functies voor de samenleving vervullen. Denk aan Stroom, Netwerk en Watervoorziening leveranciers.

Zij zijn al enkele jaren verplicht om informatiebeveiliging maatregelen te nemen om de cyberweerbaarheid te verhogen. In mei 2022 is de Europese Commissie akkoord gegaan met een nieuwe versie, de NIS2. In deze versie is de scope verruimd waarvoor deze directive van toepassing is. NIS2 verschilt op diverse vlakken van de eerste NIS-richtlijn. De nieuwe richtlijn heeft namelijk een ruimer toepassingsgebied, waardoor er meer sectoren en entiteiten onder de richtlijn vallen. Met de invoering van de NIS2-richtlijn zullen de regels voor de beveiliging van digitale diensten ook voor lokale (mede)overheden gelden. Dat betekent dat

6

decentrale overheden verplicht worden om meer maatregelen te nemen om cybersecurityrisico’s te beheersen. Daarnaast stelt de NIS2-richtlijn dat nationale autoriteiten de naleving van de regels uit NIS2 strenger moeten handhaven. De extra maatregelen die hierop van toepassing zijn, zijn nog niet definitief gemaakt. In een informatiebijeenkomst van de rijksoverheid op 10 maart jl. Is aangekondigd dat hier op korte termijn duidelijkheid over verschaft gaat worden. Ook zal er duidelijkheid worden verschaft over de ambtelijke en bestuurlijke verantwoordelijkheid richting de nog definitief te maken toezichthouder. 2.5. Meting van de BIO De derde meting van de BIO is in februari 2022 uitgevoerd en leverde een gemiddelde score op van 80%. De vierde en op het moment laatste meting vond plaats in februari 2023. Deze staat op 86%. Grafisch ziet de score op de 14 hoofdstukken uit de BIO er als volgt uit.

In dit jaarverslag wordt ingegaan op datgene waar de focus op lag in 2022. Deze prioritering maakt ook onderdeel uit van het ‘jaarplan informatiebeveiliging 2021-2022’. Deze meting betreft een momentopname en geeft enkel weer hoe wij er op het moment voorstaan. Op hoofdstukken 6, 8, 9, 12, 16 en 18 is er een stijging waargenomen. Dit heeft te maken met het verder door ontwikkelen van een stukje governance, een betere organisatie en overzicht op onze bedrijfsmiddelen, meer control op onze toegangsbeveiliging binnen het applicatielandschap, een hogere mate van kwaliteit van het beveiligen en loggen van onze IT-processen, en een beter gestroomlijnde keten van beveiligingsmeldingenbeheer.

7

3. Verbeteringen per BIO hoofdstuk. Voorheen lag de focus voor verbetering zich vooral op de hoofdstukken in de BIO die volgens de meting lager dan 70% scoren. De focus zal vanaf heden gaan verschuiven naar hoofdstukken die lager dan 80% scoren. Dit vanwege de verbeteringen die zijn doorgevoerd, onder de 70% blijven er namelijk nog maar twee hoofdstukken over. 3.1. Veilig personeel (hoofdstuk 7 van de BIO) Onder veilig personeel wordt verstaan. Het waarborgen dat medewerkers en contractanten hun verantwoordelijkheden begrijpen en geschikt zijn voor de rol of rollen waarvoor zij in aanmerking komen. Er dient in overweging genomen te worden om verificatie van achtergrond uit te voeren van een kandidaat voor dienstverband binnen op zijn minst de volgende organisatieonderdelen. Team persoonsinformatie en het sociaal domein. Daarbij blijft het van belang om bewustwording te verhogen op de risico’s die gepaard gaan met de processen binnen deze domeinen. 3.2. Cryptografische beheersmaatregelen (hoofdstuk 10 van de BIO) Ter bescherming van informatie is er beleid opgesteld voor het gebruik van crypto grafische beheersmaatregelen. Beleid voor het gebruik van crypto grafische beheersmaatregelen is nodig om de voordelen van het gebruik van crypto grafische technieken zo groot mogelijk en de risico’s zo klein mogelijk te maken en om ongepast en onjuist gebruik te voorkomen.

Het beheer van cryptografische sleutels is essentieel voor een doeltreffend gebruik van cryptografische technieken Het beleid over het gebruik van crypto grafische beheersmaatregelen bevat eisen voor het beheren van cryptografische sleutels tijdens hun gehele levenscyclus met inbegrip van het aanmaken, bewaren, archiveren, terugvinden, distribueren, terugtrekken en vernietigen van sleutels. Binnen de gemeente is team ICT aangesteld om het beheer van cryptografische sleutels uit te voeren. De processen die hiermee gepaard gaan dienen nog formeel te worden gedocumenteerd. 3.3. Beveiliging bedrijfsvoering (hoofdstuk 12 van de BIO) Zoals in paragraaf 2.1 is aangegeven, is er aanvullend aandacht besteed voor het documenteren van dagelijkse ICT-beheeractiviteiten in de vorm van procedures, richtlijnen en werkinstructies. Deze documentatie blijft van belang voor het verder professionaliseren van BCM ofwel bedrijfscontinuïteitmanagement waarin ICT-beheer een cruciale rol speelt. Er zijn verder stappen gezet om buiten team ICT ook andere teams te helpen bij het documenteren van beheeractiviteiten. Denk hierbij bijvoorbeeld aan team applicaties, team geo databeheer, team belastingen en team data. Het uitwerken hiervan zal een ongoing proces zijn voor 2023 en verder. 3.4.

Acquisitie, ontwikkeling en onderhoud van informatiesystemen (hoofdstuk 14 van de BIO) Het waarborgen dat informatiebeveiliging integraal deel uitmaakt van informatiesystemen in de gehele levenscyclus is van belang om te kunnen garanderen dat applicaties en systemen voldoen aan de gestelde eisen vanuit de BIO en overige normenkaders, evenals wet- en regelgeving. Tijdens het inkoopproces dient er naast de functionaliteit van een applicatie of systeem ook voldoende aandacht besteed te

8

worden aan informatiebeveiliging. Dit kan aan de hand van een expliciete risicoafweging. Leveranciers dienen akkoord te gaan met de eisen die opgelegd worden vóórdat een aankoop plaatsvindt. Het is verder van belang om geen productiegegevens in te zetten in een testomgeving. Testomgevingen dienen enkel dummy data te bevatten. Pseudonimiseren of anonimiseren van gegevens die organisatie kritisch zijn of herleidbaar zijn naar een persoon of personen moet ten alle tijden toegepast worden. Waarbij dit niet mogelijk is? Dient het logische toegangsbeveiligingsbeleid strak toegepast te worden en de logging met regelmaat te laten controleren op juistheid van verwerkingen. 3.5. Informatiebeveiligingsaspecten van bedrijfscontinuïteitsbeheer (hoofdstuk 17 van de BIO) Wij scoren laag op dit onderdeel. Bedrijfscontinuïteit gaat niet alleen over ICT, maar raakt de hele organisatie. BCM is een proces gericht op het continu verbeteren van het vermogen van een organisatie om potentiële gevaren en de gevolgen van deze gevaren te identificeren, het hoofd te bieden en daarmee de continuïteit en het voortbestaan van een organisatie te waarborgen onder alle omstandigheden.

Het gaat dan vooral om het treffen van preventieve maatregelen en het onderhouden van beheersmaatregelen en bekwaamheden om de bedrijfsactiviteiten tijdens een storing, ramp of calamiteit voort te zetten en de schade als gevolg hiervan zo beperkt mogelijk te houden. In 2022 is aandacht gevraagd om BCM structureel te borgen in de organisatie. We hebben hiervoor een managementsysteem voor bedrijfscontinuïteit beschikbaar (BCMS) dat op dezelfde beheersingsprincipes is gebaseerd als het ISMS. Daarmee bereiken we een vorm van standaardisering als het gaat om interne beheersing over deze twee domeinen die onderling ook raakvlakken hebben. Er is gestart met een nulmeting om inzicht te krijgen waar we als organisatie staan op het gebied van BCM. Over de uitkomsten hiervan en de uitkomsten van een inventarisatie van alle kritieke processen over alle programma’s, wordt een rapport opgesteld ten behoeve van de directie en het college. In dit rapport worden ook verbeter voorstellen gedaan. Het is overigens niet de CISO die belast is met BCM, maar dit onderwerp wel op de bestuurlijke agenda kan zetten omdat de CISO wel belast is met de beveiligingsaspecten rond BCM zoals opgenomen in hoofdstuk 17 van de BIO. Bijlagen: (met uitzondering van de bedrijf kritische verantwoordingen Suwinet en DigiD) •

1a. Uittreksel Reisdocumenten (PUN);

•

1b. Uittreksel BRP;

•

1c. Verantwoording BAG,BGT,BRO,WOZ.

9