Jaarverslag informatiebeveiliging 2023

Jaarverslag informatiebeveiliging 2023 Zaaknummer:

HK-0012881

Versiedatum

10-04-2024

Status:

Concept

Opgesteld door:

Tarik Fakir

Vastgesteld door:

College van B&W

V-Classificatie:

Intern document

Inhoudsopgave 1.

INLEIDING ...............................................................................................................................................3

2.

MANAGEMENTSAMENVATTING .............................................................................................................3

2.1. 2.2. 2.3. 2.4. 2.5. 2.6. 2.7. 2.8.

ALGEMEEN BEELD EN RESULTATEN ......................................................................................................................4 CYBERCRISISOEFENING ......................................................................................................................................5 VEILIGHEIDSINCIDENTEN ...................................................................................................................................5 ENSIA (EENDUIDIGE NORMATIEK SINGLE INFORMATION AUDIT) ................................................................................7 ISMS IN RELATIE TOT ENSIA .............................................................................................................................7 FUNCTIONEEL APPLICATIEBEHEER IN RELATIE TOT DE BIO .........................................................................................8 NIS 2 ............................................................................................................................................................8 METING VAN DE BIO........................................................................................................................................9

3.

VERBETERINGEN PER BIO HOOFDSTUK..............................................................................................10

3.1. 3.2. 3.3. 3.4. 3.5. 3.6.

VEILIG PERSONEEL (HOOFDSTUK 7 VAN DE BIO) ..................................................................................................10 BEHEER VAN BEDRIJFSMIDDELEN (HOOFDSTUK 8 VAN DE BIO)................................................................................10 CRYPTOGRAFISCHE BEHEERSMAATREGELEN (HOOFDSTUK 10 VAN DE BIO) ................................................................10 BEVEILIGING BEDRIJFSVOERING (HOOFDSTUK 12 VAN DE BIO) ...............................................................................11 ACQUISITIE, ONTWIKKELING EN ONDERHOUD VAN INFORMATIESYSTEMEN (HOOFDSTUK 14 VAN DE BIO) ........................11 INFORMATIEBEVEILIGINGSASPECTEN VAN BEDRIJFSCONTINUÏTEITSBEHEER (HOOFDSTUK 17 VAN DE BIO) ........................11

2

1.

Inleiding

Onder informatiebeveiliging wordt verstaan het treffen en onderhouden van een samenhangend pakket aan beheersmaatregelen om de beveiliging van onze informatievoorzieningen te waarborgen. Hierbij houden wij rekening met de beschikbaarheid, integriteit en vertrouwelijkheid van (persoons)gegevens, organisatie data, IT-middelen en kritische processen en IT-diensten. Dit jaarverslag is een verantwoording over de kwaliteit van de informatiebeveiliging over 2023. Met het jaarverslag legt het college verantwoording af aan de gemeenteraad, het Rijk en haar toezichthouders. Het jaarverslag is tot stand gekomen door zelfevaluaties en evaluaties die door een onafhankelijke partij (externe IT-auditor) zijn uitgevoerd. De kwaliteit van de informatiebeveiliging is beoordeeld aan de hand van de normen van de Baseline Informatiebeveiliging Overheid (BIO)1 en de NOREA2. De BIO en NOREA geven richtlijnen voor beheersing van de informatiebeveiliging door het inrichten en uitvoeren van een set van organisatorische en technische beheersmaatregelen. Dit jaarverslag kan worden gebruikt in het meten van de kwaliteit van de informatiebeveiliging over 2023. Net zoals de voorgaande jaren, wordt de informatiebeveiliging in het jaarverslag op hoofdlijnen beschreven aan de hand van een toetsing in hoeverre de normen zijn gerealiseerd en worden nageleefd.

In dit jaarverslag wordt de kwaliteit ten opzichte van het voorgaande jaar vergeleken en toegelicht. Dat geeft inzicht in de inspanningen die de organisatie en haar partners doen om de informatiebeveiliging te vergroten en op de inspanningen die nog te leveren zijn om de informatiebeveiliging naar een nog hoger niveau te brengen. 2.

Managementsamenvatting

Dit verslag geeft de uitkomsten weer van de uitgevoerde (zelf)evaluaties informatieveiligheid over het jaar 2023. Deze evaluaties zijn gebaseerd op de Baseline Informatieveiligheid Overheid (BIO), ENSIA3 en de NOREA4. Er wordt op één moment in het jaar gerapporteerd over de huidige status. Vanuit deze evaluaties is overigens de verantwoording aan de onafhankelijke toezichthouders afgelegd, de zogenaamde verticale verantwoording. Zo zijn de verantwoordingen (uittreksels) over de Basisregistratie Personen (BRP) en de Paspoortuitvoeringsregeling (PUN) op 18 januari 2024 toegestuurd naar de Rijksdienst voor Identiteitsgegevens, de Autoriteit Persoonsgegevens en het Ministerie van BZK. De verantwoordingen over de Basisregistratie Adressen en Gebouwen (BAG), de Basisregistratie Grootschalige Topografie (BGT), de Basisregistratie Ondergrond zijn tijdig vóór 7 februari 2024 opgeleverd 1 De Baseline Informatiebeveiliging Overheid is een instrument bestaande uit een uitgebreide normen set

waarmee gemeenten in staat zijn om te meten of de organisatie ín control’ is op het gebied van informatiebeveiliging. 2 NOREA is de beroepsorganisatie van IT-auditors in Nederland en beheert het register van gekwalificeerde IT – auditors (Re’s) 3 Eenduidige Normatiek Single Information Audit 4 NOREA is de Beroepsorganisatie van IT-auditors in Nederland. IT-auditors geven assurance en/of advies over kwaliteitsaspecten van IT.

3

aan het Ministerie van I&W5. De verantwoordingen voor Suwinet en DigiD zijn binnen de gestelde deadline van 1 mei 2024 aan het ministerie van SZW6 en Logius aangeleverd. Dit door middel van een collegeverklaring. Deze bestaat uit bevindingen uit onze zelfevaluatie en het Assurance rapport van een externe RE-auditor. De zelfevaluatie is getoetst door deze externe auditor en is als zijnde goed bevonden. De auditor heeft de collegeverklaring op juistheid beoordeeld en vermeld de uitkomsten van het onderzoek in een Assurance rapport. Met beide documenten voldoet Hollands Kroon aan de verantwoordingsplicht voor Suwinet en DigiD. Mocht één van de toezichthouders op- of aanmerkingen hebben waaruit blijkt dat er toch onvoldoende maatregelen zijn toegepast om te voldoen aan de gestelde eisen? Dan wordt het bestuur hierover geïnformeerd. 2.1. Algemeen beeld en resultaten De organisatie heeft qua meting ten opzichte van het jaar daarvoor stappen voorwaarts gezet. Dat heeft te maken met een aantal doorgevoerde maatregelen vanuit het BIO normenkader En de NIS27. Op het moment van schrijven liggen er voor 2024 een set nieuw te prioriteren maatregelen die uitgevoerd moeten worden in. Er is aanvullend vooruitgang geboekt in het vormgeven van vastgesteld beleid, processen (procesbeschrijvingen, vastgestelde richtlijnen en werkinstructies) en eigenaarschap.

Daarnaast zijn er stappen gezet in de verdere ontwikkeling van monitoring, detectie en logging van het internet en dataverkeer. Hiervoor wordt gebruik gemaakt van de zogeheten SIEM8 en SOC9. Dit is van groot belang om verdachte activiteiten en gedrag op de infrastructuur inzichtelijk te krijgen. Hierop kunnen dan weer de nodige maatregelen op toegepast worden ter mitigatie. Het onderwerp bedrijfscontinuïteit, en het verder professionaliseren van onze ICT-organisatie is van groot belang willen wij onze digitale weerbaarheid vergroten. Het blijft daarnaast van groot belang om de lage bezetting van onze ICT-organisatie te compenseren door de dagelijkse beheer activiteiten te blijven documenteren. Dat is nodig in het geval van uitval en vervanging. Maar ook om een goed beeld te krijgen bij alle ICT-risico’s die wij lopen en de ICT-kwaliteit die moet worden behouden. Voor het onderwerp bedrijfscontinuïteit is er in 2023 gestart met het opstellen van een strategisch beleidsdocument dat richting geeft voor het verder vormgeven en borgen van de continuïteit van de gemeentelijke processen. Dit beleid bevat algemene kaders, uitgangspunten en managementafspraken tussen het college van B&W en de directie. Dit beleid wordt in 2024 aan het college aangeboden ter vaststelling. Als gemeente maken wij gebruik van een diversiteit aan (informatie)systemen die effectief beheerd moeten worden.

Dan gaat het zowel om technisch als functioneel beheer. Het doel wat wij willen

5 De BAG, BGT, BRO en WOZ kennen elk in ENSIA ook een domein specifieke vragenlijst en een specifieke

verantwoordingsrapportage. Deze is separaat ter vaststelling aan het College voorgelegd en aangeboden aan het Ministerie van Infrastructuur en waterstaat en de Waarderingskamer. 6 Ministerie van Sociale Zaken en Werkgelegenheid. 7 Network and Information Systems Directive. (Richtlijn gericht op een versterking van de fysieke, digitale en economische weerbaarheid van Europese lidstaten. 8 Security Information and Event Management (SIEM) is een softwarepakket die technische informatie uit verschillende bronnen opslaat, samenvoegt en daar verbanden in legt. 9 Een Security Operations Center (SOC) is een gecentraliseerde eenheid die zich bezighoudt met het bewaken beoordelen en verdedigen van systemen a.d.h.v. de informatie die onttrokken wordt uit het SIEM.

4

bereiken met dit beheer is een veilige, integere en beschikbare IT infrastructuur. Om dit doel te bereiken is het maken van afspraken voor de uitvoering van de dagelijkse beheeractiviteiten nodig. In 2023 is hiervoor beleid opgesteld. Dit beleid biedt helderheid in het verkrijgen van alle noodzakelijke beheertaken op het gebied van technisch en functioneel beheer op onze systemen, ook op het gebied cyberveiligheid. Verder is controle en toezicht hierop een speerpunt. Dit is namelijk van belang vanwege het jaarlijks afleggen van de verticale en horizontale verantwoording. Die controle en toezicht draagt bij aan de verdere groei van professionalisering die Hollands Kroon ambieert. 2.2. Cybercrisisoefening In oktober heeft onze organisatie meegedaan met de overheid brede cyberoefening 2023. Deze oefening wordt jaarlijks door het ministerie van Binnenlandse Zaken en Koninkrijksrelaties georganiseerd om gemeenten te helpen bij het oefenen van cyber en cybercrime incidenten. Tijdens deze oefening is een samengesteld crisisteam bijeengekomen om een gesimuleerd cyberincident te beoefenen. Het team bestond uit verschillende disciplines die een belangrijke rol spelen bij de coördinatie en communicatie van een incident. Het scenario ging uit van een ransomware incident waarbij operationele en bestuurlijke dilemma’s aan bod kwamen.

Het doel van deze oefening was om na te gaan of de leden van het crisisteam hun rol begrepen en naar verwachting uit kunnen oefenen mocht een dergelijk incident in de echte wereld voorkomen. De oefening is naar tevredenheid uitgevoerd. Dankzij een goede voorbereiding en het op zijn plek hebben van voor afgemaakte afspraken en beleid, begreep het crisisteam wat lijn van verwachting is. Ook wanneer het scenario het crisisteam confronteerde met zaken waarbij vooraf geen rekening mee gehouden was. Hier werd goed op geanticipeerd. Deze onverwachte zaken worden uiteraard meegenomen ter verbetering van het crisisbeheer proces. In 2024 zal Hollands Kroon weer meedoen met de overheid brede cyberoefening. Verder is het van belang dat er domein specifieke oefeningen uitgevoerd moeten worden. Denk hierbij aan de burgerzaken processen, het sociaaldomein en financiën. Het is namelijk belangrijk dat ook de zelforganiserende teams weten hoe zijn tijdens crisis dienen te op te treden. 2.3. Veiligheidsincidenten In 2023 hebben zich, gelijk aan voorgaande jaren, een aantal veiligheidsincidenten voorgedaan. Deze waren snel te mitigeren en hadden geen impact op onze bedrijfsvoering. Deze incidenten hadden voornamelijk te maken met software en hardware waarin een kwetsbaarheid is geconstateerd.

Onze connecties met de informatiebeveiligingsdienst (IBD) en de rijksoverheid ’s eigen ‘computer emergency response team’ (CERT) hebben bijgedragen aan het tijdig identificeren, mitigeren en overig handelen bij deze incidenten. Het Computer Emergency Response Team maakt onderdeel uit van het NCSC (Nationaal Cyber Security Centrum) dat onder het Ministerie van Justitie en Veiligheid valt. De CERT is een 24-uurshulp, die behulpzaam is bij beveiliging (cyber) incidenten en daarbij ondersteuning en advies biedt. Er is net als het jaar daarvoor een stijging waargenomen van phishing acties via zowel mail als telefoon.

5

Met name telefonisch zijn er veel malafide belletjes en berichten ontvangen. Er worden maatregelen bepaald die op provider en centrale niveau kunnen worden uitgevoerd om deze pogingen tot phishing te beperken. Collega’s blijven waakzaam en alert, en weten zaken direct te melden zodat de juiste maatregelen genomen kunnen worden en informatie kan worden verstrekt. Om het bewustzijn te vergroten en om collega’s scherp te houden, wordt er in samenwerking met de ‘my learning factory’ (MLF) een set aan nieuwe trainingen en cursussen ontwikkelt. Deze worden door het veranderde klimaat rondom phishing en cybercrime aangepast als dit nodig wordt geacht. Met name phishing acties, deze worden alsmaar verfijnder en worden dus lastiger te herkennen. De opkomst van generatieve AI zoals ChatGPT draagt hier onder andere aan bij. De klassieke mailtjes in gebroken Nederlands zijn verleden tijd. Met generatieve AI kunnen kwaadwillende mailtjes en malafide informatie opstellen die een zeer professionele indruk opwekt. Het meest opmerkelijke incident was er één die te koppelen is aan een succesvolle phishing actie. Het incident heeft zich als volgt afgespeeld. Twee collega’s waren ingegaan op een phishing mail met een financieel motief. Niet wetende dat de persoon met wie er gecorrespondeerd werd, niet is wie deze aangaf te zijn, namelijk een collega.

Dit heeft ertoe geresulteerd dat er een bedrag van €5597,46 werd overgemaakt op een malafide rekening. Na waarneming van dit incident is aangifte gedaan bij de politie gedaan en is er onderzoek gepleegd naar de toedracht en wijze van opereren. Hieruit is vastgesteld dat er afgeweken was van procedure. Reden hiertoe was dat het phishing mailtje een vals gevoel van urgentie overbracht naar de lezer, er diende namelijk direct actie te worden ondernomen. Dit is o.a. een indicator van een phishing actie. In het kader van preventie is afgesproken in het vervolg niet meer af te wijken van processen en procedure. Hierbij wordt geen onderscheidt gemaakt, de regels gelden voor één en ieder die werkzaam is bij Hollands Kroon. Indien het gaat om een uitzonderlijke situatie (dit dient vooraf afgestemd te worden met de CISO), dan dient er op persoonlijke noot om bevestiging gevraagd te worden. Hiermee wordt bedoeld, een fysiek gesprek dan wel een gesprek via video conferencing of telefonisch contact om na te gaan of het verzoek dat is gemaakt legitiem is. Verder zijn de betreffende collega’s gevraagd om een training te volgen in het herkennen van phishing acties. Verder hebben zich incidenten voorgedaan die veroorzaakt zijn door de menselijke handelen. Denk hierbij aan het verkeerd versturen van informatie via mail of een publicatie die niet (direct) openbaar gemaakt had mogen worden.

In een omgeving waar gewerkt wordt kunnen nu eenmaal fouten gemaakt worden. Hier wordt lering uit getrokken om herhaling te voorkomen. Het aantal geregistreerde meldingen blijft oplopen. Dit heeft net als het jaar daarvoor te maken met een verhoging van bewustwording. Nu moet hierbij gezegd worden dat het in verschillende gevallen ook gaat om een zo geheten ‘false positve’10. Op het gebied van bewustwording dienen er aanvullende stappen genomen te worden om deze ‘false positives’ door collega’s te laten herkennen. Collega’s worden zoveel

10 Een false positive verwijst naar een situatie waarin een gemelde gebeurtenis ten onrechte verwijst naar een

beveiligingsincident.

6

mogelijk geïnformeerd via de gebruikelijke communicatiekanalen over verschillende informatiebeveiligingsonderwerpen en actualiteiten rondom fraude, phishing, hack en ransomware risico’s. Daarnaast blijven wij inzetten op de My learning factory. Hier wordt momenteel een nieuw platform voor ontwikkelt waarbij de CISO de functionaris gegevensbescherming en privacy officer een actieve rol spelen voor het inbedden van nieuwe inhoud. 2.4. ENSIA (eenduidige normatiek single information audit) Sinds 2017 legt het college van B&W verantwoording af conform de ENSIA methodiek voor het gebruik van de basisregistratie personen (BRP), reisdocumenten, de basisregistratie adressen en gebouwen (BAG), de basisregistratie grootschalige topografie (BGT) en de basisregistratieondergrond (BRO). Verder wordt er ook verantwoording afgelegd voor het gebruik van DigiD en Suwinet. ENSIA staat voor eenduidige normatiek single information audit. Dit houdt in dat er jaarlijks een eenmalige informatieverstrekking en een IT-audit wordt uitgevoerd op de delen waarop verantwoording afgelegd moet worden. De focus van ENSIA ligt op de horizontale verantwoording binnen de gemeente, waarin het college van B&W en de raad een belangrijke rol spelen. Het verantwoording proces heeft een doorlooptijd van zes maanden.

Binnen die zes maanden wordt er werk verricht door alle interne stakeholders, en door de auditor zodat vóór 31 mei, binnen de deadline alle stelsel en toezichthouders geïnformeerd zijn in welke mate de gemeente voldoet of niet. Zoals al is aangegeven in de managementsamenvatting voldoet Hollands Kroon voor 2023 aan alle normen die van toepassing zijn op het gebruik van de BRP, reisdocumenten, BGT, BAG, BRO, DigiD en Suwinet. 2.5. ISMS in relatie tot ENSIA Het ISMS11 is verder ingezet ten behoeve van de uitwerking van ENSIA. Dit heeft er onder andere toe geleid dat de tijdsdruk die de voorgaande jaren werd ervaren minder aanwezig is. Er wordt verder ingezet om het ISMS verder door te ontwikkelen voor een nog beter gestroomlijnde PDCA-cyclus12 Waar we bij de introductie van ENSIA in 2017 zagen dat de focus op het gebied van informatiebeveiliging vooral lag bij ENSIA, is er een duidelijke kanteling naar het ISMS. Het ISMS dat gebaseerd is op de BIO is gericht op continu verbeteren en is de basis voor het sturen en afleggen van verantwoording op het gebied van informatiebeveiliging. ENSIA is vooral bedoeld om het ministerie van BZK en de IT-auditor te voorzien van informatie voor hun eigen informatiebehoefte waarbij op onderdelen een audit plaatsvindt. Hierbij gaat het voornamelijk om Suwinet en DigiD dat nog geen 10% uitmaakt van het totaal aantal ENSIA-vragen.

11 Information security management system. Een continu verbeterproces in de vorm van een systeem of applicatie. 12 PDCA is een afkorting die staat voor de belangrijkste stappen uit de cirkel: Plan (maak een plan met de resultaten die je

wilt bereiken), Do (voer het plan uit), Check (vergelijk de resultaten met wat je had willen bereiken), Act (bij afwijking: neem maatregelen/stuur bij om de resultaten alsnog te bereiken).

7

ENSIA raakt een groot deel van de BIO-normen niet terwijl deze een belangrijk onderdeel uitmaken van het verbeteren van onze digitale weerbaarheid. Verder is het van belang om te melden dat met de komst van de NIS (hierover meer in hoofdstuk 2.6) de BIO verankerd wordt in wet- en regelgeving. Dit houdt in dat het toezicht hierop zal gaan intensiveren, en dan met name een focus op de werking van processen die onderhevig zijn aan de BIO. Deze processen zijn en worden geplot in het ISMS zodat hierop gestuurd kan worden. Hoewel we zorgvuldig rekening houden met ENSIA, moet dit proces volgend zijn op het ISMS voor zover het de BIO-normen raakt. Voor al het overige is ENSIA leidend en behoort de ENSIA-coördinator daarvoor belast te zijn. De CISO is dan beter in staat om te blijven focussen op informatiebeveiliging zoals bedoeld vanuit de BIO. Uiteraard is dan afstemming nodig tussen de taken vanuit het ISMS en de ENSIAcoördinator. De taak van de ENSIA-coördinator is ervoor te zorgen dat het door het Rijk toebedeelde ENSIA-portaal tijdig voorzien wordt van de benodigde gegevens. Dat vereist een jaarlijkse afstemming met de CISO voor het ISMS-deel en met de collega’s die belast zijn met het beheer van de BRP, reisdocumenten, Suwinet, DigiD, BAG, BRO en BGT.

Een goede afstemming zorgt er ook voor dat daarmee de jaarlijkse druk aan het einde van het jaar als gevolg van ENSIA geminimaliseerd wordt. 2.6. Functioneel applicatiebeheer in relatie tot de BIO In 2023 is er beleid opgesteld om kaders en richtlijnen vast te stellen voor het functionele beheer van onze applicaties. De noodzakelijke beheertaken die verricht dienen te worden voor een succesvolle continuering van onze bedrijfsvoering is essentieel. Hierop mag weinig ruimte zijn voor interpretatie en zelfinvulling van de processen die gepaard gaan met deze beheertaken. De BIO stelt een aantal heldere richtlijnen en kaders over hoe omgegaan dient te worden met applicaties. Op basis hiervan is beleid opgesteld dat formeel vastgesteld is door de directie. Met dit beleid worden risico’s in het kader van onvoldoende beheer gemitigeerd. Denk hierbij aan zwakke toegangscontroles, onvoldoende beveiliging en toezicht van gebruikers waardoor ongeautoriseerde toegang kunnen krijgen, en het onvoldoende bijhouden van versie en update beheer waardoor wij kwetsbaar zijn voor aanvallen. Het beleid wordt op het moment van schrijven tactisch en operationeel toegepast binnen de bedrijfsvoering. 2.7. NIS 2 In Europa is een NIS (Network and Information Systems Directive) opgesteld om bij te dragen aan een hoog gemeenschappelijk beveiligingsniveau van netwerk- en informatiesystemen in de hele EU.

Al in 2016 is de NIS1-richtlijn gepubliceerd. Deze was met name bedoeld voor grote bedrijven en instellingen die essentiële functies voor de samenleving vervullen. Denk aan stroom, netwerk en watervoorziening leveranciers. Zij zijn al enkele jaren verplicht om informatiebeveiliging maatregelen te nemen om de cyberweerbaarheid te verhogen. In mei 2022 is de Europese Commissie akkoord gegaan met een nieuwe versie, de NIS2. In deze versie is de scope verruimd waarop deze directive van toepassing is. NIS2 verschilt op diverse vlakken van de eerste NIS-richtlijn. De nieuwe richtlijn heeft namelijk een ruimer toepassingsgebied, waardoor er meer sectoren en entiteiten onder de richtlijn vallen. Met de invoering van de NIS2-richtlijn zullen de regels

8

voor de beveiliging van digitale diensten, ook voor lokale (mede)overheden gelden. Dat betekent dat decentrale overheden verplicht worden om meer maatregelen te nemen om cybersecurityrisico’s te beheersen. Daarnaast stelt de NIS2-richtlijn dat nationale autoriteiten de naleving van de regels uit NIS2 strenger moeten handhaven. De extra maatregelen die hierop van toepassing zijn, zijn nog niet definitief gemaakt. In een informatiebijeenkomst van de rijksoverheid op 10 maart 2024, is aangekondigd dat hier op korte termijn duidelijkheid over verschaft gaat worden. Ook zal er duidelijkheid worden verschaft over de ambtelijke en bestuurlijke verantwoordelijkheid richting de nog definitief te maken toezichthouder. Voor nu volgen wij het advies wat gegeven is door de informatiebeveiligingsdienst. Dit advies stelt dat organisaties voor nu gewoon verder gaan met de implementatie van de BIO zoals deze nu bekend is.

2.8. Meting van de BIO De vierde meting van de BIO is in februari 2023 uitgevoerd en leverde een gemiddelde score op van 86%. De vijfde en op het moment laatste meting vond plaats in februari 2024. Deze staat op 90%. Grafisch ziet de score op de 14 hoofdstukken uit de BIO er als volgt uit.

In dit jaarverslag wordt ingegaan op datgene waar de focus op lag in 2023. Het gaat hier om de maatregelen waarop beter gescoord kan worden. Deze meting betreft een momentopname en geeft enkel weer hoe wij er op het moment voorstaan. Op hoofdstukken 10, 12, 16, 17 en 18 is er een stijging waargenomen. Dit heeft te maken met het verder door ontwikkelen van governance, een betere organisatie van processen en procedures en overzicht op onze bedrijfsmiddelen. Wij zijn verder meer in control op onze cryptografische beheerprocessen, en er is

9

een hogere mate van kwaliteit behaald binnen het incidentenbeheer. Waar de grootste focus op lag is het organiseren van de bedrijfscontinuïteit op onze IT organisatie. Deze is van 38% naar 88% geklommen. Hierop zijn de meeste punten gescoord. 3. Verbeteringen per BIO hoofdstuk. Voorheen lag de focus voor verbetering zich vooral op de hoofdstukken in de BIO die volgens de meting lager dan 70% scoren. De focus zal vanaf heden gaan verschuiven naar hoofdstukken die lager dan 90% scoren. 3.1. Veilig personeel (hoofdstuk 7 van de BIO) Onder veilig personeel wordt verstaan. Het waarborgen dat medewerkers en inhuur hun verantwoordelijkheden begrijpen en geschikt zijn voor de rol of rollen waarvoor zij in aanmerking komen. Er dient in overweging genomen te worden om verificatie van achtergrond uit te voeren van een kandidaat voor dienstverband binnen op zijn minst de volgende organisatieonderdelen. Persoonsinformatie het sociaal domein en ICT. Daarbij blijft het van belang om bewustwording te verhogen op de risico’s die gepaard gaan met de processen binnen deze organisatieonderdelen. 3.2. Beheer van bedrijfsmiddelen (hoofdstuk 8 van de BIO) Bedrijfsmiddelen van de organisatie dienen te worden geïdentificeerd, zodat er passende maatregelen toegepast kunnen worden ter bescherming.

Bedrijfsmiddelen dienen verder te worden toegewezen aan een eigenaar, die verantwoordelijk is voor het beheer en onderhoud. Daarnaast dienen er kaders en richtlijnen te zijn ingericht voor het aanvaardbaar gebruik van bedrijfsmiddelen. Denk hierbij aan gedragsregels. De gemeente heeft deze zaken goed op orde. Waar verbetering op doorgevoerd dient te worden is de informatieclassificatie die gepaard gaan met deze bedrijfsmiddelen. Een informatieclassificatieschema dient te worden ontwikkeld waarbij criteria, labels en procedures leiden tot een effectief classificatieproces waarmee de beschikbaarheid, integriteit en vertrouwelijkheid geborgd kan worden. 3.3. Cryptografische beheersmaatregelen (hoofdstuk 10 van de BIO) Ter bescherming van informatie is er beleid opgesteld voor het gebruik van cryptografische beheersmaatregelen. Beleid voor het gebruik van cryptografische beheersmaatregelen is nodig om de voordelen van het gebruik van cryptografische technieken zo groot mogelijk, en de risico’s zo klein mogelijk te maken en om ongepast en onjuist gebruik te voorkomen.

Het beheer van cryptografische sleutels is essentieel voor een doeltreffend gebruik van cryptografische technieken Het beleid over het gebruik van crypto grafische beheersmaatregelen bevat eisen voor het beheren van cryptografische sleutels tijdens hun gehele levenscyclus met inbegrip van het aanmaken, bewaren, archiveren, terugvinden, distribueren, terugtrekken en vernietigen van sleutels. Binnen de gemeente is team ICT aangesteld om het beheer van cryptografische sleutels uit te voeren. De processen die hiermee gepaard gaan zijn in 2023 voor een deel gedocumenteerd en toegewezen aan een eigenaar. Hier wordt verder op ingezet.

10

3.4. Beveiliging bedrijfsvoering (hoofdstuk 12 van de BIO) Zoals in paragraaf 2.1 is aangegeven, is er aanvullend aandacht besteed voor het documenteren van dagelijkse ICT-beheeractiviteiten in de vorm van procedures, richtlijnen en werkinstructies. Deze documentatie blijft van belang voor het verder professionaliseren van BCM ofwel bedrijfscontinuïteitmanagement waarin ICT-beheer een cruciale rol speelt. Er zijn verder stappen gezet om buiten team ICT ook andere teams te helpen bij het documenteren van beheeractiviteiten. Denk hierbij bijvoorbeeld aan team applicaties, team geodatabeheer, team belastingen en teamdata. Het uitwerken hiervan heeft geleid tot het opstellen en laten vaststellen van beleid op het gebied van applicatiebeheer, zoals in paragraaf 2.6 wordt omschreven. Hier wordt in de toekomst verder op ingezet. 3.5. Acquisitie, ontwikkeling en onderhoud van informatiesystemen (hoofdstuk 14 van de BIO) Het waarborgen dat informatiebeveiliging integraal deel uitmaakt van informatiesystemen in de gehele levenscyclus is van belang om te kunnen garanderen dat applicaties en systemen voldoen aan de gestelde eisen vanuit de BIO en overige normenkaders, evenals wet- en regelgeving. Tijdens het inkoopproces dient er naast de functionaliteit van een applicatie of systeem ook voldoende aandacht besteed te worden aan informatiebeveiliging.

Dit kan aan de hand van een expliciete risicoafweging. Leveranciers dienen akkoord te gaan met de eisen die opgelegd worden vóórdat een aankoop plaatsvindt. Het is verder van belang om geen productiegegevens in te zetten in een testomgeving. Testomgevingen dienen enkel dummy data te bevatten. Pseudonimiseren of anonimiseren van gegevens die organisatie kritisch zijn of herleidbaar zijn naar een persoon of personen moet ten alle tijden toegepast worden. Waarbij dit niet mogelijk is? Dient het logische toegangsbeveiligingsbeleid strak toegepast te worden en de logging met regelmaat te laten controleren op juistheid van verwerkingen. Verder is de monitoring en beoordeling van de dienstverlening van leveranciers benodigd. De organisatie behoort ervoor te zorgen dat de naleving van de eisen van de overeenkomsten worden nagekomen. Met in het bijzonder de informatiebeveiligingseisen. Prestatie indicatoren die in het contract zijn opgenomen zijn hierin leidend. 3.6. Informatiebeveiligingsaspecten van bedrijfscontinuïteitsbeheer (hoofdstuk 17 van de BIO) Bedrijfscontinuïteit gaat niet alleen over ICT, maar raakt de hele organisatie.

BCM is een proces gericht op het continu verbeteren van het vermogen van een organisatie om potentiële gevaren en de gevolgen van deze gevaren te identificeren, het hoofd te bieden en daarmee de continuïteit en het voortbestaan van een organisatie te waarborgen onder alle omstandigheden. Het gaat dan vooral om het treffen van preventieve maatregelen en het onderhouden van beheersmaatregelen en bekwaamheden om de bedrijfsactiviteiten tijdens een storing, ramp of calamiteit voort te zetten en de schade als gevolg hiervan zo beperkt mogelijk te houden. In 2023 zijn er mooie stappen voorwaarts gemaakt door een aantal zaken vast te leggen. Denk hierbij aan een strategisch beleidsstuk waarbij aandacht wordt besteed aan hoe processen, procedures en beheersmaatregelen in het kader van een incident ingericht en geborgd dienen te worden. Incidentresponse is verder ingericht waarbij proactief al rekening gehouden kan worden met een aantal

11

aannemelijke scenario’s. Deze is op werking en effectiviteit getoetst tijdens de oefening die plaats heeft gevonden in oktober 2023. Het inrichten van een uniforme en gestandaardiseerde beheerorganisatie heeft ook geresulteerd in een hogere mate van volwassenheid op het gebied van BCM. De organisatie blijft inzetten op het operationeel en tactisch uitvoeren van het eerder benoemde strategische beleid. Dit zal resulteren in een nog hogere mate van kwaliteit en effectiviteit. Aanvullend is het noemenswaardig dat de CISO belast is met de beveiligingsaspecten rond BCM zoals opgenomen in hoofdstuk 17 van de BIO. BCM heeft een organisatie brede scope. Het strategische BCM beleid dient ook als hulpmiddel voor de domeinen buiten het vaarwater van de ICT organisatie. Bijlagen: (met uitzondering van de bedrijf kritische verantwoordingen Suwinet en DigiD) •

1a. Uittreksel Reisdocumenten 2023 (PUN);

•

1b. Uittreksel BRP 2023;

•

1c. Verantwoording BAG,BGT,BRO,WOZ 2023.

12