1.8 College - Memo - Verbeterpunten DigiD 2022
Tekst van het document
Memo Kenmerk Aan Van Datum Onderwerp Afschriften voor
: 1716768/1733877 : Gemeenteraad Meppel : College van B&W : 6 maart 2023 : Memo verbeterpunten DigiD 2022 :-
Geachte raadsleden, Algemeen Elk jaar verantwoordt de gemeente zich over de kwaliteit van de informatiebeveiliging, door een zelfevaluatie uit te voeren, via het ENSIA-proces. ENSIA staat voor Eenduidige Normatiek Single Information Audit. In dit proces wordt ook verantwoording afgelegd over het gebruik van DIGID door de gemeente Meppel. Bevindingen Het Informatiebeveiligingsbeleid van Meppel is ook toepasselijk voor het gebruik van DigiD. Dit beleid is bij de gemeente Meppel is gebaseerd op de Baseline Informatiebeveiliging Overheid (BIO) en dienovereenkomstig vastgesteld in 2021, waarbij wij als gemeente hoogst mogelijke beveiligingsnorm hanteren. Dit is het Basis Beveiliging Niveau (BBN) 2 of 2+, conform het advies van de Vereniging van Nederlandse Gemeenten (VNG). Een hoger niveau, vanaf 3 is alleen gebruikelijk bij staatsveiligheid. Het procesmatig vaststellen van de juiste beveiligingsnorm, heet dataclassificatie. Een schriftelijk en formeel vastgesteld dataclassificatie proces, ontbreekt momenteel in het informatiebeveiligingsbeleid. Hoewel wij dus het hoogst haalbare niveau wel toepassen, ontbreekt de formele procesbeschrijving hiervoor in het beleid. Deze procesbeschrijving moet dus worden opgenomen in het informatiebeveiligingsbeleid vanaf 2023. Een ander proces wat verbetering behoeft, is wijzigingenbeheer.
Dit proces maakt al deel uit van informatiebeveiligingsbeleid. Het is belangrijk om te weten dat elke wijziging binnen Meppel, wordt geregistreerd en geprioriteerd waarna een impactanalyse en risicoanalyse worden besproken in een wijziging adviescommissie. Na accordering door de verantwoordelijk leidinggevende, vindt er eerst een test plaats, voordat de wijziging daadwerkelijk wordt ingevoerd. Uit de evaluatie is naar voren gekomen dat de kwaliteit van de procesbeschrijving voor wijzigingenbeheer niet overeenkomt met de daadwerkelijke handelswijze. De procesbeschrijving voor wijzigingenbeheer moet daarom kwalitatief verbeterd worden, zodat de werking hiervan toekomstig is gegarandeerd. Resumé Het is belangrijk om te vermelden dat het ENSIA-proces veel meer omvat dan alleen het gebruik van DigiD. De verbeteringen van procesbeschrijving wijzigingenbeheer en een verbeterd informatiebeveiligingsbeleid, zijn inmiddels gestart en worden respectievelijk voor 01 mei en 01 juli 2023 afgerond. Want uit de verdere zelf-valuatie is gebleken dat de veiligheid van informatiesystemen van de gemeente Meppel met informatie over en van inwoners van Meppel, voldoet.