Presentatie Informatieveiligheid

Gemeenteraad Informatieveiligheid

Agenda     

Wie ben ik Waar gaan we het over hebben Waarom is dit nodig Huidige stand van zaken informatiehuishouding De rol van de gemeenteraad

Ruud van den Einden Chief Information Security Officer

Waar gaan we het over hebben

De juiste informatie, voor de juiste persoon, op het juiste moment beschikbaar hebben

Waarom is dit nodig •

Om inzicht en overzicht in de volledige informatiehuishouding te krijgen

•

Om de verantwoordelijkheid als organisatie te kunnen nemen voor een correct gebruikte informatiehuishouding

•

Zodat kan worden aangetoond dat de organisatie in control is op de inrichting en bescherming van de volledige informatiehuishouding. (ENSIA, Accountant, IBT, AVG)

•

Zodat een incident snel onder controle is. (Rijksinspectie Digitale Infrastructuur en Autoriteit Persoonsgegevens)

Waarom is dit nodig

Lekker abstract…

In control zijn betekent niet dat ‘alles’ in orde is. Het betekent dat je weet waar je sterke punten liggen en waar je nog moet verbeteren, om de doelen rondom de bescherming en beveiliging van de informatiehuishouding te borgen.

Opzet > Bestaan > Werking

Lange termijn ontwikkelingen

Huidige stand van zaken informatiehuishouding De stappen die de organisatie aan het zetten is om in control te zijn op de beveiliging van de informatiehuishouding



Programma “Inzicht en overzicht in de informatiehuishouding”



Inzicht en overzicht in processen, informatie, assets (IT & OT), risico’s, leveranciers(management), business continuity, etc.



Veranderingen rondom dit thema binnen de organisatie intrinsiek meenemen (3j’s)



Samenbrengen van risicoanalyses rondom alle risico’s voor de organisatie. (businesscontrol, finance, privacy, security)

  

Integrale aanpak projecten en gegevensverwerkingen in het SIO (Strategisch Informatie Overleg) Informatiebeveiliging- en privacybeleid samengevoegd Vervangen huidige Information Security Management System en Privacy Management System



Inrichten en gebruiken van bestaande standaarden rondom diverse procedures binnen de organisatie (onder andere in overleg met Equalit en andere SAAS leveranciers)



Innemen van de eigen plek in de bescherming van de beschikbaarheid, integriteit en vertrouwelijkheid van ALLE informatie binnen de organisatie



Meenemen van afdelingen én mensen in de omgang met én bescherming van de informatiehuishouding



Inrichting monitoring en control op het gebied van de stand van de informatieveiligheid (ENSIA, Dashboarding)



Leveranciersmanagement voor ALLE leveranciers op orde brengen, inclusief alle processen rondom inkoop, contractmanagement, etc. (actiepunt 463)

 

Banden aangehaald met de ICT dienstverlener; Betere afspraken rondom Business Continuity Management;

  

Link leggen tussen eigen BCP en dienstverlener’s BCP

Toekomst Equalit inclusief dienstverlening;

De CISO rol is op dezelfde manier belegd als de rol van de Functionaris voor de Gegevensbescherming. Dit is binnen het organisatiebesluit geregeld.



De CISO heeft een onafhankelijke positie en staat ten dienste van de hele organisatie en ALLE bestuursorganen.

De rol van de gemeenteraad

NIS2 | Cbw | Wet kritieke entiteiten Europese regelgeving vertaald naar landelijke wetgeving, om te waarborgen dat de dienstverlening voor inwoners en ondernemingen van Europa zo goed mogelijk blijft doordraaien.



Gemeenten zijn in Nederland aangewezen als een kritieke organisatie binnen de NIS2 waarbij de dienstverlening zo goed als mogelijk moet blijven draaien, of zo snel als mogelijk moet worden hersteld.

 

Gemeente is de informatiehub bevolkingszorg ten tijde van een crisis, zoals bij stroomuitval. Zorgplicht rondom beschikbaarheid diensten; Kritieke processen (al bepaald door VNG):

    

Financiën Uitkeringen WMO Burgerzaken aanvraag documenten en wijzigingen BRP Services openbare ruimte

Wat is de rol van de gemeenteraad in dit opzicht:



Toezicht houden op de audit resultaten.

 

Via de jaarrekening (ENSIA).

Gelijk aan de behandeling van de financiële resultaten



Juiste gebruik van data incl. beveiliging en bescherming = belangrijk



Risico-inventarisatie



Bepalen welke risico’s de organisatie wel of niet kan/mag lopen (tot op zekere hoogte)

 

Externe noodstroomvoorziening buiten het pand.



College is verantwoordelijk voor het beheersen en eventueel verminderen van risico’s

Gemeenteraad, gebruik privémail voor gemeentelijke zaken

Vragen/opmerkingen

Bedankt