Bijlage motie GB - managementletter 2022 na afstemming ambtelijk en pho (incl. IT).pdf
Tekst van het document
Bijlagen
Status bevindingen / aanbevelingen rapportages vorig jaar Bevindingen / aanbevelingen 2022
25/11/2022
Aspect
Bevinding en aanbeveling
Aspect
Bevinding en aanbeveling
ICT: Risico beheer
Bevinding ML 2022 Wij hebben geconstateerd dat de gemeente beleidsmatig uitgebreide aandacht heeft voor ICT, getuige het Informatiebeleidsplan, Informatiebeveiligings- en Privacy beleid. Naar onze mening ontbreekt het in dit kader aan een robuuste aanpak met betrekking tot ITrisicomanagement en structurele monitoring van de maatregelen die geïdentificeerde risico’s mitigeren, bijvoorbeeld op het gebied van cyber resilience (cyberweerbaarheid). Cybercrime brengt namelijk niet alleen steeds grotere financiële- en continuïteitsrisico’s met zich mee, maar kan ook direct ernstige schade berokkenen indien gevoelige gegevens worden gelekt.
ICT: Regierol Equalit
Bevinding ML 2022 Met Equalit is een overeenkomst van toepassing, echter worden geen periodieke service level rapportages ontvangen die kritisch worden beoordeeld op naleving van gemaakte afspraken. Een ISAE 3402 type II assurance-rapport wordt beschikbaar gesteld vanuit Equalit echter hebben wij niet vastgesteld dat deze kritisch wordt beoordeeld en besproken met de leverancier.
Aanbeveling Wij adviseren om vanuit een robuuste risicobenadering te bepalen welke IT-risico’s voor uw organisatie relevant zijn en deze vervolgens te koppelen aan normen die jaarlijks kunnen worden getoetst. Dit kan bijvoorbeeld aan de hand van de ISO27005 standaard, waarin dreigingen en kwetsbaarheden verder zijn uitgewerkt. Gezien de afhankelijkheid van Equalit is het verder zinvol om op themagebied (security in de keten, kwaliteit van continuïteitsmaatregelen, etc.) een vragenlijst op te stellen, waarmee de kwaliteit en ook risico’s in kaart kunnen worden gebracht.
Aanbeveling Wij adviseren om een service level management proces in te richten om de regiefunctie op Equalit (en eventueel andere belangrijke derde partijen) strakker in te richten middels opvragen en beoordelen service level rapportages en assurance-rapport. De focus zou wat ons betreft hierbij vooral moeten liggen op risico’s met betrekking tot informatiebeveiliging en beschikbaarheid/continuïteit van de IT omgeving.
Qconcepts Reitscheweg 45 5232 BX ‘s-Hertogenbosch t +31 (0)73 - 61 32 510 e info@qconcepts.nl i qconcepts.nl
25/11/2022