01 Bestuurlijke kaders informatiebeveiligingsbeleid
Tekst van het document
Bestuurlijke kaders Informatiebeveiligingsbeleid
Voeg hier je foto in Maak deze rond (Bijsnijden naar vorm) Hoe snijd je bij naar vorm? Selecteer de afbeelding ga naar afbeeldingsindeling Bijsnijden Bijsnijden naar vorm selecteerde cirkel.
Inhoud 1.
2.
Inleiding ......................................................................................................................................3 1.1.
Maatschappelijk belang .....................................................................................................3
1.2.
Wat is informatiebeveiliging ..............................................................................................3
Informatiebeveiligingsbeleid ....................................................................................................5 2.1.
Doel van dit beleid ..............................................................................................................5
2.2.
Scope .................................................................................................................................5
2.3.
Bestuurlijke principes .........................................................................................................5
2.4.
Verantwoordelijkheden .....................................................................................................5
2.5.
Strategische uitgangspunten ............................................................................................6
2.6.
Randvoorwaarden ..............................................................................................................6
2.7.
Relevante Wet- en Regelgeving ........................................................................................7
2.8.
Beoordeling van informatiebeveiligingsbeleid .................................................................7
2.9.
Bijhouden deelproducten ..................................................................................................7
2.10.
Inwerkingtreding ................................................................................................................7
2.11.
Hardheidsclausule..............................................................................................................8
Bijlage 1: Voorgenomen contactmomenten .....................................................................................9
2 – Kaders Informatiebeveiligingsbeleid
1. Inleiding Het beveiligen van informatie van onze inwoners, ondernemers en medewerkers wordt steeds belangrijker. De impact bij een (digitaal)incident, zoals het gijzelen van de gemeentelijke informatiesystemen of het lekken van persoonsgegevens, heeft een steeds groteren impact op onze bedrijfsvoering maar ook een steeds grotere maatschappelijke impact. Gemeente Medemblik heeft een grote verantwoordelijkheid om deze informatie adequaat te beschermen. In het 2022 heeft de Rekenkamer van gemeente Medemblik een onderzoek uitgevoerd naar de staat van informatiebeveiliging binnen de gemeente Medemblik. Tijdens de Gemeenteraad van 29 september 2022 is de rapportage “Rekenkamerrapportage Informatieveiligheid gemeente Medemblik” behandeld. De raad heeft besloten om de gedane aanbevelingen over te nemen. Dit informatiebeveiligingsbeleid geeft verdere kaders hieraan. Informatiebeveiliging is het proces van vaststellen van de vereiste beveiliging van informatie(systemen) in termen van vertrouwelijkheid, beschikbaarheid en integriteit alsmede het treffen, onderhouden en controleren van een samenhangend pakket van bijbehorende maatregelen. Vanuit de Rijksoverheid is in 2020 vastgesteld dat overheidsorganisaties (inclusief gemeenten) moeten voldoen aan de Baseline Informatiebeveiliging Overheid (BIO) welke is gebaseerd op de internationaal erkende ISO27001 en ISO27002 standaarden.
1.1. Maatschappelijk belang De inwoner gaat ervan uit dat de gemeente zorgvuldig omgaat met zijn of haar gegevens. De gemeente heeft een maatschappelijke en ethische taak om informatie beschikbaar, integer en vertrouwelijk te houden. Mogelijke gevolgen wanneer dit niet geborgd is: • • • • •
Beveiligingsincident; Datalek; Identiteitsfraude; Imagoschade: verlies van vertrouwen in de gemeente; Financiële risico’s: boetes en herstelkosten.
1.2. Wat is informatiebeveiliging Informatiebeveiliging is het treffen en onderhouden van een samenhangend pakket aan maatregelen en processen om de betrouwbaarheid en kwaliteit van de informatievoorziening te waarborgen. Dit wordt onderverdeeld in: •
•
•
Beschikbaarheid: o de mate waarin informatie en/of functionaliteit op de juiste momenten beschikbaar zijn voor belanghebbende. Informatie en functionaliteit dienen voor belanghebbenden zodanig beschikbaar te zijn dat zij hun taken optimaal kunnen uitvoeren. Integriteit: o het in overeenstemming zijn van informatie met de werkelijkheid en dat niets ten onrechte is achtergehouden of verdwenen (juistheid, volledigheid en tijdigheid). De juistheid van informatie en functionaliteit dient te voldoen aan de daarvoor gestelde normen, wet- en regelgeving. Vertrouwelijkheid:
3 – Kaders Informatiebeveiligingsbeleid
o
de mate waarin de toegang tot informatie of functionaliteit beperkt is tot degenen die daartoe bevoegd zijn. Belangrijk hierbij is de controleerbaarheid van de maatregelen die genomen zijn om de betrouwbaarheid te borgen.
Informatiebeveiliging betreft alle vormen van informatie (analoog, digitaal, tekst, video, geluid, kennis), alle mogelijke informatiedragers (papier, elektronisch, foto, film, DVD, gesprekken, et cetera) en alle informatie verwerkende systemen (IT-systemen, databases, hardware, bijbehorende bedrijfsmiddelen, archiefkasten) en alle informatie houdende partijen (werknemers, leveranciers, bestuurders, et cetera).
4 – Kaders Informatiebeveiligingsbeleid
2. Informatiebeveiligingsbeleid 2.1. Doel van dit beleid Het doel van dit beleid is om de gemeente in staat te stellen de vertrouwelijkheid, beschikbaarheid en integriteit van informatie(systemen) aantoonbaar te waarborgen, en schade en andere ernstige gevolgen te minimaliseren. Het beleid stelt de gemeente hiertoe in staat door een kader te bieden met passende personele, organisatorische en technische maatregelen, waarmee de gemeente voldoet aan relevante wet- en regelgeving.
2.2.
Scope
De scope van dit beleid omvat alle gemeentelijke processen, onderliggende informatiesystemen, informatie en gegevens van de gemeente en externe partijen, het gebruik daarvan door medewerkers en (keten)partners in de meest brede zin van het woord, ongeacht locatie, tijdstip en gebruikte apparatuur.
2.3.
Bestuurlijke principes
Informatiebeveiliging is een gemeente breed onderwerp, het betreft een kwaliteitsaspect in alle processen van de gemeente. Informatiebeveiliging is derhalve niet een geïsoleerd onderwerp. Informatiebeveiliging creëert waarde, voorkomt schade en draagt bij aan de bedrijfsdoelstellingen van de gemeente. Om dat te bewerkstelligen conformeert het college en de gemeente zich aan de door de VNG1 opgestelde 10 principes: 1. Bestuurders bevorderen een veilige cultuur; 2. Informatiebeveiliging is van iedereen; 3. Informatiebeveiliging is risicomanagement; 4. Risicomanagement is onderdeel van de besluitvorming; 5. Informatiebeveiliging behoeft ook aandacht in (keten)samenwerking; 6. Informatiebeveiliging is een proces; 7. Informatiebeveiliging kost geld; 8. Onzekerheid dient te worden ingecalculeerd; 9. Verbetering komt voort uit leren en ervaring; 10. Het bestuur controleert en evalueert. Het college dient de gemeente te faciliteren in het op orde brengen van de informatiebeveiliging. Referentie: BIO versie 1.04zv beheersmaatregel 5.1.1.1.f.
2.4.
Verantwoordelijkheden
De raad van gemeente Medemblik is verantwoordelijk voor de vaststelling van kaders voor het informatiebeveiligingsbeleid en het beschikbaar stellen van voldoende middelen aan de gemeente om te voldoen aan dit beleid. De ambtelijke organisatie van verantwoordelijkheden ten aanzien van informatiebeveiliging staat beschreven in het informatiebeveiligingsbeleid binnen deze kaders. Referentie: BIO versie 1.04zv beheersmaatregel 5.1.1.1.b & 5.1.1.1.c.
1 de-10-bestuurlijke-principes-voor_20190109.pdf (vng.nl)
5 – Kaders Informatiebeveiligingsbeleid
2.5.
Strategische uitgangspunten
Het uitgangspunt betreffende informatiebeveiliging voor de gemeente is om te voldoen aan relevante wet- en regelgeving, in het bijzonder de Baseline Informatie Beveiligingsbeleid (BIO), en hierbij in te zetten op een ‘voldoende’. Een voldoende betekent dat niveau 3 van de BIO (zie afbeelding hieronder) wordt behaald binnen de gemeente.
Figuur 1: Niveaus Baseline Informatiebeveiliging Overheid
Het BIO niveau van de informatiebeveiliging van de gemeente dient jaarlijks gemeten te worden middels een onafhankelijke audit van een externe partij. De CISO is verantwoordelijk voor de coördinatie van de audit en het college is verantwoordelijk voor het doorvoeren van aanpassingen n.a.v. de resultaten uit deze meting. Verdere uitgangspunten voor de informatiebeveiliging zijn: • •
• •
Het informatiebeveiligingsbeleid is gebaseerd op de meest recente versie van de Baseline Informatiebeveiliging Overheid (BIO); Het informatiebeveiligingsbeleid is vastgelegd in dit document en is goedgekeurd door de raad, het college van de gemeente als eindverantwoordelijke ten aanzien van het beleid. In het beleidsdocument wordt verwezen naar aanvullende documenten; Het beleidsdocument en de hieruit volgende producten zijn beschikbaar voor alle medewerkers van de gemeente en worden gepubliceerd via het intranet; Informatie moet beschikbaar, integer en vertrouwelijk zijn. De mate hiervan hangt af van het belang van de informatie voor de gemeente of haar inwoners.
Referentie: BIO versie 1.04zv beheersmaatregel 5.1.1.1.a & 5.1.1.1.d.
2.6.
Randvoorwaarden
Randvoorwaarden ten aanzien van een efficiënte en effectieve uitvoering van dit beleid zijn: • • • •
De maatregelen moeten standaard onderdeel worden van de werkzaamheden en gemeentelijke processen; Het niet naleven van de maatregelen wordt niet getolereerd en zal geadresseerd worden, waar nodig middels een disciplinaire procedure; Het college, het DT, de strategisch managers en de teamleiders dienen het goede voorbeeld te geven; Aan periodieke toetsing en controles dient actief meegewerkt te worden. Bij uitblijven of tegenwerking dient hier door leidinggevende direct op te worden geacteerd;
6 – Kaders Informatiebeveiligingsbeleid
• •
Het college en het DT geven ieder jaar expliciet aandacht aan informatiebeveiliging en committeren zich opnieuw aan dit beleid en de uitvoering en naleving hiervan; Er moeten voldoende middelen en capaciteit beschikbaar zijn om de maatregelen van dit beleid te implementeren, te onderhouden en na te leven.
Referentie: BIO versie 1.04zv beheersmaatregel 5.1.1.1.a.
2.7.
Relevante Wet- en Regelgeving
Dit informatiebeveiligingsbeleid dekt tevens aanvullende beveiligingseisen uit lokale, nationale en Europese wet- en regelgeving af. Dit betreft onder andere, en is niet gelimiteerd tot, de wetgeving voor de BRP, SUWI, Woo, Wdo, Archiefwet, AVG, en de Cbw. Aanpassingen in lokale, nationale en Europese wet- en regelgeving zal leiden tot een herziening van dit beleid.
2.8.
Beoordeling van informatiebeveiligingsbeleid
Het beleid dient periodiek beoordeeld te worden. Vragen die minimaal in iedere beoordeling worden gesteld zijn: 1.
Zijn er nieuwe ontwikkelingen die een bedreiging vormen voor de informatiebeveiliging van de gemeente? a. Zo ja, dient dit beleid hiervoor aangepast te worden? b. Zo nee, onderbouw waarom niet. 2. Zijn er door dit beleid hinderingen binnen de werkprocessen in de gemeente? a. Zo ja, dient dit beleid hiervoor aangepast te worden? b. Zo nee, onderbouw waarom niet. 3. Zijn er andere redenen om dit beleid aan te passen? a. Zo ja, welke? b. Zo nee, onderbouw waarom niet. Beoordelingen worden uitgevoerd door de CISO en de ISO en worden schriftelijk vastgelegd op een locatie die voor alle betrokken rollen is te benaderen. Voor de beoordeling van het informatiebeveiligingsbeleid worden er formele contactmomenten vastgesteld. De voorgenomen contactmomenten zijn opgenomen in “Bijlage 1: Voorgenomen contactmoment” van dit document. Indien door externe ontwikkelingen aanpassingen niet kunnen wachten tot de formele beoordelingsmomenten, kan de CISO het SMT, het DT, het college en de raad te allen tijde benaderen met een voorstel tot aanpassing. De CISO is verantwoordelijk voor de aanpassing van het informatiebeveiligingsbeleid, het college is verantwoordelijk voor de vaststelling van de aanpassing(en). De raad dient te worden geïnformeerd na vaststelling van de aanpassing(en). Referentie: BIO versie 1.04zv beheersmaatregel 5.1.1.1.e & 5.1.2.
2.9.
Bijhouden deelproducten
Een tabel met bijbehorende deelproducten is opgenomen in “Bijlage: Deelproducten behorende bij het informatiebeveiligingsbeleid”.
2.10.
Inwerkingtreding
Dit informatiebeveiligingsbeleid treedt in werking na vaststelling en ondertekening door de raad. Hiermee vervallen alle informatiebeveiligingsbeleidsstukken die voor dit beleid waren besloten.
7 – Kaders Informatiebeveiligingsbeleid
2.11.
Hardheidsclausule
In uitzonderlijke gevallen kan het college besluiten om af te wijken van de bepalingen in dit informatiebeveiligingsbeleid, indien strikte naleving ervan leidt tot onredelijke belemmeringen voor de uitvoering van gemeentelijke taken of andere dringende belangen in het algemeen belang. Een dergelijke afwijking kan slechts plaatsvinden na zorgvuldige afweging van de risico's voor informatiebeveiliging op advies van de CISO en na goedkeuring van de gemeentesecretaris. Het besluit tot afwijking en de redenen daarvoor worden gedocumenteerd en indien nodig gecommuniceerd naar relevante belanghebbenden, met inachtneming van de geldende weten regelgeving.
8 – Kaders Informatiebeveiligingsbeleid
Bijlage 1: Voorgenomen contactmomenten Contactmoment
Omschrijving
Frequentie
Betrokken rollen
Beoordeling informatiebeveiligingsbeleid
Overleg om het beleid te beoordelen en eventueel te wijzigen.
Periodiek
CISO & ISO
Terugkoppeling college en definitieve goedkeuring voorgestelde wijzigingen.
Terugkoppeling van de resultaten van de beoordeling en eventueel voorstellen wijzigingen ter definitieve goedkeuring (na goedkeuring SMT en DT).
Periodiek
College, gemeentesecretaris & CISO
Interne Audit
Interne beoordeling die controleert of de gemeente voldoet aan het informatiebeveiligingsbeleid.
Periodiek
Interne auditor
Terugkoppeling interne audit
De interne auditor rapporteert de bevindingen direct aan de directie, het SMT en de CISO.
Periodiek
Interne auditor, CISO & gemeentesecretaris
SMT-overleg
Overleg om de resultaten vanuit de beoordeling terug te koppelen aan de directie en strategisch managers. Het SMT kan dan tevens aangeven of het beleid nog voldoende aansluit bij de werkzaamheden van de afdelingen.
Periodiek
Directieteam, strategisch managers & CISO
Terugkoppeling beoordeling CISO en eventuele goedkeuring voorgestelde wijzigingen door het college.
Informatieve terugkoppeling van de beoordelingen van het beleid door de CISO.
Periodiek
CISO, gemeentesecretaris en college
Na goedkeuring van de directie in het SMT-overleg dienen eventuele wijzigingen te worden voorgesteld aan het college en door hun goedgekeurd te worden.
9 – Kaders Informatiebeveiligingsbeleid