Jaarverslag informatiebeveiliging 2020 Hollands Kroon.docx

Jaarverslag informatiebeveiliging 2020 Zaaknummer:

Z-298616

Versie:

1.0

Versiedatum

05-07-2021

Status:

Concept

Opgesteld door:

Tarik Fakir

Vastgesteld door:

College van B&W

V-Classificatie:

Intern document

Inhoudsopgave 1.

INLEIDING ...............................................................................................................................................3

2.

MANAGEMENTSAMENVATTING .............................................................................................................4 2.1 2.2 2.3 2.4

3.

ALGEMEEN BEELD EN RESULTATEN ..................................................................................................................4 VEILIGHEIDSINCIDENTEN ...............................................................................................................................5 ENSIA ......................................................................................................................................................5 METING VAN DE BIO ...................................................................................................................................6

VERBETERINGEN PER BIO HOOFDSTUK ...................................................................................................8

2

1.

Inleiding

Onder informatiebeveiliging wordt verstaan het treffen en onderhouden van een samenhangend pakket aan beheersmaatregelen om de beveiliging van onze informatievoorzieningen te waarborgen. Hierbij houden wij rekening met de beschikbaarheid, integriteit en vertrouwelijkheid van (persoons)gegevens en kritische processen. Dit jaarverslag is een verantwoording over de kwaliteit van de informatiebeveiliging over 2020. Door vertraging in de uitvoering van de wettelijk verplichte IT-audit door de externe IT-auditor en de uitvoering van een her audit is het jaarverslag in overleg met de portefeuillehouder na het zomerreces uitgebracht. Met het jaarverslag legt het college verantwoording af aan de gemeenteraad, het Rijk en haar toezichthouders. Het jaarverslag is tot stand gekomen door zelfevaluaties en audits die door een onafhankelijke partij (externe IT-auditor) is uitgevoerd. De kwaliteit van de informatiebeveiliging is beoordeeld aan de hand van de normen van de Baseline Informatiebeveiliging Overheid (BIO)1 en de NOREA2 (ENSIA). De BIO en NOREA geven richtlijnen voor beheersing van de informatiebeveiliging door het inrichten en uitvoeren van een set van organisatorische en technische beheersmaatregelen. Dit jaarverslag is overigens de eerste die is gebaseerd op de normen set van de BIO.

De voorgaande jaren waren de jaarverslagen gebaseerd op de normen set van de BIG (Baseline informatiebeveiliging gemeenten). Door de gewijzigde normen set is vergelijking met vorig jaar niet mogelijk. Dit jaarverslag is dus een nulmeting van de kwaliteit van de informatiebeveiliging over 2020 op basis van de gewijzigde normen set van de BIO. Er is gekozen om de informatiebeveiliging over 2020 op hoofdlijnen te beschrijven aan de hand van een toetsing in hoeverre de normen zijn gerealiseerd en nageleefd. Deze verantwoording is een meting van de kwaliteit van de informatiebeveiliging in 2020. In dit jaarverslag wordt de kwaliteit ten opzichte van het voorgaande jaar niet vergeleken en toegelicht. Dat geeft helaas nog geen inzicht in de inspanningen die de organisatie en haar partners doen om de informatiebeveiliging te vergroten en op de inspanningen die nog te leveren zijn om de informatiebeveiliging naar een nog hoger niveau te brengen. Een meting van het voorgaande jaar is in dit jaarverslag namelijk niet mogelijk aangezien 2020 het eerste jaar is waarin gemeten is volgens de richtlijnen van de BIO.

1 De Baseline Informatiebeveiliging Overheid is een instrument bestaande uit een uitgebreide normen set

waarmee gemeenten in staat zijn om te meten of de organisatie ín control’ is op het gebied van informatiebeveiliging. 2 NOREA is de beroepsorganisatie van IT-auditors in Nederland en beheert het register van gekwalificeerde IT – auditors (Re’s)

3

2.

Managementsamenvatting

Dit verslag geeft de uitkomsten weer van de uitgevoerde zelfevaluatie informatieveiligheid over het jaar 2020. Deze zelfevaluatie is gebaseerd op de Baseline Informatieveiligheid Overheid (BIO). Er wordt op één moment in het jaar gerapporteerd over de status van onze informatieveiligheid gebaseerd op het BIO normenkader en de ENSIA3 Vanuit deze zelfevaluatie is eveneens de verantwoording aan de stelselhouders /toezichthouders afgelegd, de zogenaamde verticale verantwoording. Zo zijn de verantwoordingen (uittreksels) over de Basisregistratie Personen (BRP) en de Paspoortuitvoeringsregeling (PUN) op 14 februari 2021 toegestuurd naar de Rijksdienst voor Identiteitsgegevens, de Autoriteit Persoonsgegevens en het Ministerie van BZK. De verantwoordingen over de Basisregistratie Adressen en Gebouwen (BAG), de Basisregistratie Grootschalige Topografie (BGT) en de Basisregistratie Ondergrond zijn tijdig vóór 1 mei 2021 opgeleverd aan het Ministerie van I&W4. De verantwoordingen voor Suwinet en DigiD zijn in verband met het doorvoeren van een set aan verbeteringen, later dan de door de toezichthouders (ministerie van SZW en Logius) gestelde deadline aangeleverd. Daarvoor was een her audit noodzakelijk. De verantwoording heeft uiteindelijk plaatsgevonden op 18 juni 2021.

Dit is gedaan door middel van een collegeverklaring, de bevindingen uit onze zelfevaluatie en het Assurance rapport van de IT-auditor. Deze zelfevaluatie is getoetst door deze externe IT-auditor. De IT-auditor heeft de collegeverklaring op juistheid beoordeeld en heeft de uitkomsten van het onderzoek vermeld in het Assurance rapport. Met beide documenten voldoet Hollands Kroon aan de verantwoordingsplicht voor Suwinet en DigiD.

2.1 Algemeen beeld en resultaten De organisatie is in 2020 een stapje teruggegaan qua meting. Dit heeft te maken met aanscherpingen in het nieuwe BIO normenkader en de nog uit te voeren beheersmaatregelen die hierop van toepassing zijn. Dit betekent niet dat de kwaliteit van onze informatiebeveiligingsorganisatie achteruit is gegaan. Op het moment van schrijven zijn de nog uit te voeren geprioriteerde maatregelen al gerealiseerd of ingepland om uitgevoerd te worden. Net als in voorgaande jaren onder het normenkader van de BIG ontbreekt er op een aantal onderdelen vastgesteld beleid, processen (procesbeschrijvingen, vastgestelde richtlijnen en werkinstructies) en gegevenseigenaarschap. Als gevolg van de ENSIA 2020 her audit zijn direct maatregelen getroffen om beleid, processen en controles op het terrein van informatiebeveiliging op te stellen en uit te voeren en zichtbaar vast te leggen. Daarnaast zijn de onderwerpen bedrijfscontinuïteit, “logging” en zichtbare interne controles van groot belang willen wij onze digitale weerbaarheid vergroten.

3 Eenduidige Normatiek Single Information Audit

4 De BAG, BGT en BRO kennen elk in ENSIA ook een domein specifieke vragenlijst en een specifieke

verantwoordingsrapportage. Deze is separaat ter vaststelling aan het College voorgelegd en aangeboden aan het Ministerie van I&W.

4

2.2 Veiligheidsincidenten In 2020 hebben zich, net zoals in de voorgaande jaren, een aantal veiligheidsincidenten voorgedaan. Deze waren snel te mitigeren maar hebben daarnaast een verwaarloosbare impact op onze bedrijfsvoering. Deze incidenten hadden voornamelijk te maken met software en hardware waarin een kwetsbaarheid is geconstateerd. Onze connecties met de informatiebeveiligingsdienst (IBD) en de rijksoverheid ’s eigen ‘computer emergency response team’ (CERT) hebben bijgedragen aan het tijdig mitigeren en handelen bij deze incidenten. Het Computer Emergency Response Team maakt onderdeel uit van het NCSC (Nationaal Cyber Security Centrum) dat ressorteert onder het Ministerie van Justitie en Veiligheid. De CERT is een 24-uurshulp, die behulpzaam is bij beveiligings (cyber) incidenten en daarbij ondersteuning en advisering biedt. Verder hebben zich incidenten voorgedaan die veroorzaakt zijn door de menselijke factor. In een omgeving waar gewerkt wordt kunnen nu eenmaal fouten gemaakt worden. Er is een stijging waargenomen van geregistreerde meldingen. Dit heeft naar alle waarschijnlijkheid te maken met een verhoging van bewustwording. Collega’s worden zoveel mogelijk geïnformeerd via de gebruikelijke communicatiekanalen over verschillende informatiebeveiligingsonderwerpen en actualiteiten rondom fraude, phishing, hack en ransomware risico’s.

Ook zijn er meer meldingen geregistreerd van phishing acties waarbij kwaadwillende misbruik maken vanwege de coronacrisis. Denk hierbij aan valse webpagina’s en e-mails die afkomstig lijken van het RIVM, maar ook van verschillende banken, zorgaanbieders en webshops. Geen van deze acties hebben tot dusverre geleid tot een succesvolle ‘hack’ waarbij de integriteit van onze gegevens en de gegevens van onze inwoners is geschaad. 2.3 ENSIA Het ENSIA-traject over 2020 is in eerste instantie anders gelopen dan dat wij gewend waren qua uitkomst. De onafhankelijk externe IT-auditor heeft tijdens de audit twee conclusies getrokken waarbij de termen opzet, bestaan en werking leidend zijn. De eerste conclusie is dat wij het als organisatie niet slecht doen als het aankomt op de praktijk wanneer er gesproken wordt over het voldoen aan de gestelde normenkaders die van toepassing zijn op DigiD en Suwinet (werking). Hollands Kroon werkt volgens een pragmatische aanpak waarbij overtollige documentatie en vastlegging van werkzaamheden tot het noodzakelijke beperkt blijft. De tweede conclusie is dat, hetgeen wij als noodzakelijk zien voor wat betreft documenteren en vastlegging, voor de IT-auditor niet voldoende was om objectief vast te kunnen stellen of wij voldoende beheersmaatregelen hebben getroffen (opzet en bestaan).

Wij moeten als organisatie de organisatorische beheersmaatregelen formeel vastleggen. Dat wordt verstaan onder opzet en bestaan. Daarmee ontstaat een normenkader dat op werking kan worden getoetst. Door de werking zichtbaar vast

5

te leggen is de externe IT-auditor in staat de werking en controle op de beheersmaatregelen te beoordelen. Toegangsbeveiliging, logging van activiteiten en het classificeren van data zijn de onderdelen waar de focus op moet komen te liggen. Omdat de onderdelen “opzet” en “bestaan” niet toereikend was is de gelegenheid gecreëerd om tussentijds maatregelen door te voeren zodat deze tijdens een her-audit opnieuw beoordeeld konden worden. Dit heeft ertoe geleid dat het ENSIA-traject over 2020 een langere doorlooptijd heeft gehad ten opzichte van de voorgaande jaren. Onze websiteleverancier wordt, net als onze organisatie, ook getoetst op het normenkader DigiD. Opzet, bestaan en werking zijn ook hierin leidend. De websiteleverancier kon volgens de IT-auditor op beide onderdelen onvoldoende bewijslast aantonen. Tijdens het traject is hier ook gelegenheid gegeven om de nodige verbeteringen door te voeren, zodat deze tijdens een her-audit opnieuw getoetst konden worden. Ook dit heeft bijgedragen aan de eerder benoemde doorlooptijd. Dit traject is uiteindelijk met succes afgerond. Dit met grote dank aan de betrokken collega’s. Alle zeilen werden bijgezet om het traject tot een succes te brengen. Hierdoor kon onze digitale dienstverlening ongestoord continueren.

Met de websiteleverancier zijn inmiddels nadere afspraken gemaakt voor wat betreft de beheersmaatregelen waar zij zorg voor dienen te dragen. De verwachtingen en de kwaliteit die hiermee gepaard moeten gaan zijn op directieniveau besproken. Dat betekent dat de websiteleverancier, gelijk aan de gemeente zorgt dat opzet en bestaan van beheersmaatregelen formeel worden vastgesteld, zodat de werking en controle in de praktijk kan worden getoetst aan de vastgestelde beheersmaatregelen. 2.4 Meting van de BIO Vanaf 1 januari 2020 is de BIO formeel van kracht en heeft hiermee dus de BIG vervangen. In het kader hiervan zijn er een aantal maatregelen doorgevoerd en een aantal maatregelen vooruit gepland om later dit jaar en volgend jaar door te voeren. In hoofdstuk 3 van dit verslag gaan wij in op deze maatregelen. Hieronder (pag. 7) is een overzicht opgenomen van de hoofdstukken van de BIO en hoe hierop gescoord is. Deze meting heeft plaatsgevonden in februari van 2020. Zoals eerder benoemd gaan wij verderop in dit jaarverslag in op datgene waar de focus op moeten komen te liggen in het komende anderhalf jaar. Deze prioritering maakt tevens ook onderdeel uit van het ‘jaarplan informatiebeveiliging 2021-2022’. Deze meting betreft een momentopname en geeft enkel weer hoe wij ervoor stonden aan het begin van 2020.

In het jaarverslag 2021 wordt een eerste vergelijking gemaakt ten opzichte van aan de hand van de meting die eerder dit jaar is uitgevoerd. De getallen representeren die hoeveelheid maatregelen per hoofdstuk. Groen houdt in dat een maatregel voltooid is, oranje houdt in dat de maatregel deels is uitgevoerd, en rood uiteindelijk betekent dat de maatregel nog opgepakt dient te worden. Grijs is niet op onze organisatie van toepassing.

6

*Overzicht van alle BIO hoofdstukken 5. Informatiebeveiligingsbeleid 6. Organiseren van informatiebeveiliging 7. Veilig personeel 8. Beheer van bedrijfsmiddelen 9. Toegangsbeveiliging 10. Cryptografie 11. Fysieke beveiliging en beveiliging van de omgeving 12. Beveiliging bedrijfsvoering 13. Communicatiebeveiliging 14. Acquisitie, ontwikkeling en onderhoud van informatiesystemen 15. Leveranciersrelaties 16. Beheer van informatiebeveiligingsincidenten 17. Informatiebeveiligingsaspecten van bedrijfscontinuïteitsbeheer 18. Naleving

7

3. Verbeteringen per BIO hoofdstuk De focus voor verbetering richt zich vooral op de hoofdstukken in de BIO die volgens de meting lager dan 70% scoren. Dat zijn dan de hoofdstukken 6 t/m 10, hoofdstuk 15 en 17. 3.1 Organiseren van informatiebeveiliging (hoofdstuk 6 van de BIO) De gemeente heeft maatregelen getroffen om scheiding van taken toe te passen waar dit mogelijk is. Hiermee wordt de kans op onbevoegd of onbedoeld wijzigen of misbruik maken van de bedrijfsmiddelen en informatiebronnen van de gemeente verminderd. Verder heeft de gemeente passende contacten met relevante overheidsinstanties die met regelmaat worden onderhouden. Denk hierbij aan politie, regelgevende organen en toezichthouders. Deze partijen kunnen immers een belangrijke rol spelen in het geval van een beveiligingsincident of het vermoeden daarvan. Daarnaast is het van belang dat de gemeente het onderwerp informatiebeveiliging meer moet laten terugkomen binnen projectbeheer. Het onderwerp informatiebeveiliging dient te worden geïntegreerd in de projectbeheermethode(n) van de organisatie om ervoor te zorgen dat informatiebeveiligingsrisico’s worden geïdentificeerd en aangepakt als deel van een project. Dit geldt in het algemeen voor elk project ongeacht het karakter.

3.2 Veilig personeel (hoofdstuk 7 van de BIO) Dit hoofdstuk gaat in op het waarborgen dat medewerkers en inhuurkrachten hun verantwoordelijkheden begrijpen en geschikt zijn voor de rol(len) waarvoor zijn in aanmerking komen. De gemeente moet (her)overwegen om een VOG (verklaring omtrent gedrag) te vragen alvorens iemand in dienst treedt binnen de organisatieonderdelen persoonsinformatie (burgerzaken) en het sociaal domein. Dit vanwege het vertrouwelijke (privacy) karakter dat hiermee gepaard gaat. Verder is het van belang dat bij indiensttreding medewerkers gewezen worden op hun verantwoordelijkheden in het kader van informatiebeveiliging en privacy. Voor huidige medewerkers kan dit in de vorm van bewustwordingsdagen en het aanbieden van trainingen. Voor nieuwe medewerkers zouden introductiedagen beter geschikt zijn. Informatiebeveiliging en privacybescherming moet verder als thema nadrukkelijker in beeld komen bij de periodieke resultaatgerichte afspraken (RGA's). De gemeente dient verder aandacht te besteden aan een continuerend bewustwording programma. Een ander punt van aandacht is dat bij beëindiging van het dienstverband er een grotere focus moet komen te liggen bij het communiceren van de geheimhoudingsplicht. Dit zou een aanvullende taak kunnen zijn onder de huidige uitstroomprocedure.

8

3.3 Beheer van bedrijfsmiddelen (hoofdstuk 8 van de BIO) De gemeente heeft voor het aanvaardbaar gebruik van informatie en van bedrijfsmiddelen die samenhangen met informatie en informatie verwerkende faciliteiten geïdentificeerd, gedocumenteerd en geïmplementeerd. Verder is ervoor zorggedragen dat alle medewerkers en externe gebruikers alle bedrijfsmiddelen van de organisatie die ze in hun bezit hebben bij beëindiging van hun dienstverband, contract of overeenkomst terug dienen te geven. Verder is het van belang dat de gemeente een up-to-date inventarisatie lijst heeft van alle hardware en software. Deze dient periodiek nagelopen te worden op actualiteit. De meeste bedrijfsmiddelen die gerelateerd zijn aan ICT vallen onder team ICT voor zover het gaat om beschikbaarheid en onderhoud. Procesdeel ligt in de organisatie bij de betreffende proceseigenaren. Dat laatste valt onder dataclassificatie en eigenaarschap. We voldoen nog niet omdat er nog geen inzicht is in de aanwezige bedrijfsmiddelen die gerelateerd zijn aan ICT. 3.4 Toegangsbeveiliging (hoofdstuk 9 van de BIO) De gemeente heeft op het gebied van toegangsbeveiliging uitsluitend toegang verstrekt aan de medewerkers waarvoor zij specifiek bevoegd zijn. Deze toegang wordt aanvullend beveiligd met een vorm van tweeweg authenticatie of single sign on.

Dit alles wordt bewerkstelligd met een formele registratieen afmeldprocedure om toewijzing van toegangsrechten mogelijk te maken. Toegang tot informatie en systeemfuncties van toepassingen zijn beperkt in overeenstemming met het beleid voor toegangsbeveiliging. Alles systemen zijn verder voorzien van een vorm van wachtwoordbeheer met een daar bijbehorende wachtwoord complexiteit, lengte en aantal toegestane inlogpogingen. Systeemhulpmiddelen voor toegangsbeveiliging is enkel te gebruiken door bevoegd personeel. De gemeente moet meer een focus gaan leggen op de beoordeling van toegangsrechten en het vastleggen hiervan. Eigenaren van bedrijfsmiddelen behoren deze regelmatig te beoordelen zodat nagegaan kan worden of er rechtmatig toegang wordt verstrekt. Als tool is het verder aan te raden om alle medewerkers een wachtwoordkluis aan te bieden ter ondersteuning van het wachtwoordbeheer.

9

3.5 Crypto grafische beheersmaatregelen (hoofdstuk 10 van de BIO) Ter bescherming van informatie behoort een beleid voor het gebruik van crypto grafische beheersmaatregelen te worden ontwikkeld en geïmplementeerd. Een beleid voor het gebruik van crypto grafische beheersmaatregelen is nodig om de voordelen van het gebruik van crypto grafische technieken zo groot mogelijk en de risico’s zo klein mogelijk te maken en om ongepast en onjuist gebruik te voorkomen. Het beheer van crypto grafische sleutels is essentieel voor een doeltreffend gebruik van crypto grafische technieken Het beleid over het gebruik van crypto grafische beheersmaatregelen behoort eisen te bevatten voor het beheren van crypto grafische sleutels tijdens hun gehele levenscyclus met inbegrip van het aanmaken, bewaren, archiveren, terugvinden, distribueren, terugtrekken en vernietigen van sleutels. Binnen de gemeente is er een functionaris aangesteld die het beheer van crypto grafische sleutels uitvoert. De processen die hiermee gepaard gaan dienen formeel te worden vastgelegd nadat het beleid is vormgegeven. 3.6 Leveranciersrelaties (hoofdstuk 15 van de BIO) De gemeente heeft beheersmaatregelen voor informatiebeveiliging vastgesteld en verplicht gesteld om de toegang van de leverancier tot de informatie van de gemeente beleidsmatig aan te pakken.

Deze beheersmaatregelen hebben betrekking op de processen en procedures waarvan de gemeente eist dat de leverancier deze implementeert. Uitgangspunt is dat GBIT (gemeentelijke inkoop bij IT-tool box) voorwaarden van de VNG gevolgd wordt en dat gemeente werkt met eigen verwerkersovereenkomsten waaraan de leverancier zich dient te houden. Hiermee wordt de gemeente gegarandeerd van een professionele inkoop van ICT-diensten en producten. De gemeente houdt daarnaast rekening bij veranderingen in de dienstverlening van leveranciers. Hiervoor worden afspraken gemaakt in relatie tot informatiebeveiliging in de overeenkomst. Ter verbetering dient de gemeente een focus te leggen op Het monitoren en beoordelen van dienstverlening van leveranciers. Er dient gewaarborgd te worden dat aan de voorwaarden van informatiebeveiliging wordt voldaan, en dat incidenten en problemen betreffende informatiebeveiliging op de juiste manier worden behandeld. Hiertoe behoort een proces voor het beheer van de dienstverlening te bestaan betreffende de relatie tussen de organisatie en de leverancier.

10

3.7 Informatiebeveiligingsaspecten van bedrijfscontinuïteitsbeheer De gemeente heeft eisen voor de beschikbaarheid van informatiesystemen vastgesteld. De beschikbaarheid van onze ICT-infrastructuur kan worden gegarandeerd door middel van de bestaande en toekomstige systeemarchitectuur. Ter verbetering dient de gemeente een organisatie breed continuïteitplan op te stellen. Er is onvoldoende beeld hoe dit op alle relevante bedrijfsmiddelen is geregeld. Dit gaat niet alleen om ICT, maar ook om veiligheid van personeel, archiefbeheer, huisvesting en kritische bedrijfsprocessen. De eisen van informatiebeveiliging zijn ook van toepassing onder bedrijfscontinuïteitsbeheer maar dan vooral gericht op beschikbaarheid. Verder dienen de procedures en beheersmaatregelen die geïmplementeerd worden ten behoeve van continuïteitsbeheer met regelmaat geverifieerd, beoordeeld en geëvalueerd te worden op doeltreffendheid. Bijlagen: (met uitzondering van de bedrijf kritische verantwoordingen Suwinet en DigiD) •

1a. Uittreksel Reisdocumenten (PUN);

•

1b. Uittreksel BRP;

•

1c. Verantwoording BAG;

•

1d. Verantwoording BGT;

•

1e. Verantwoording BRO.

11