79 1 Management Letter Midden-Groningen 2022

Windows AD

Beleid Midden-Groningen

Wachtwoord lengte

Minimaal 13 karakters

Minimaal 8 karakters*

Wachtwoordouderdom

180 dagen

60 dagen**

Onthouden wachtwoorden

6 wachtwoorden

6 wachtwoorden

*) Op woensdag 21 september 2022 zijn de medewerkers op de hoogte gebracht dat de Gemeente MiddenGroningen haar beleid op het aantal karakters heeft bijgesteld van 8 naar 13. Echter, het aanwezige wachtwoordbeleid is hierop nog niet aangepast. Het wachtwoordbeleid wordt hierop in de loop van 2023 geactualiseerd. **) Voor systemen die een directe wettelijke verplichting kennen (zoals voor de BRP) en of privacygevoelige dan wel bedrijf kritische gegevens bevatten, is het uitgangspunt van de gemeente dat het wachtwoord maximaal 60 dagen geldig mag zijn en niet binnen 6 keer herhaald mag worden. Aangezien een deel van de applicaties via SSO verloopt is het wenselijk om Windows AD hierop te laten aansluiten. Elke afdeling kent minimaal één applicatiebeheerder, die verantwoordelijk is voor het toedelen van de juiste autorisaties (rollen en rechten). Het beleid van gemeente Midden-Groningen is dat de applicatiebeheerder de autorisaties in de applicaties minimaal 1x per jaar controleert op juistheid, maar deze controle heeft in 2022 nog niet plaatsgevonden. Daarnaast mist er voor alle applicaties een vastgestelde autorisatiematrix en functiescheidingsconflictenmatrix, waardoor een norm ontbreekt. Wij adviseren dergelijke matrices per applicatie vast te stellen en deze periodiek te actualiseren.

Daarnaast adviseren wij om de controle op de juiste autorisatie te laten uitvoeren door een medewerker, onafhankelijk van het proces rondom het autorisatiebeheer. Wij hebben vastgesteld dat hiervoor nog geen formeel proces is ingeregeld en dat reviews plaatsvinden op ad hoc basis. 5.3 Wijzigingenbeheer Wij hebben vastgesteld dat de gemeente Midden-Groningen gebruik maakt van zogenoemde (commercial of the shelf) COTS applicaties. Dit betreffen standaard applicaties die uit de markt worden verkregen. Hierdoor is er in basis al scheiding tussen de ontwikkeling van software en het beheer hiervan in de productieomgeving. Tegelijkertijd blijft hiermee een adequaat wijzigingsbeheerproces belangrijk. Hierbij worden updates vanuit de leveranciers eerst geïnstalleerd op de testomgeving, vervolgens wordt de kritische functionaliteit voor de gemeente getest door zogenoemde key-users in samenspraak met de applicatiebeheerders. De gemeente Midden-Groningen is nog bezig om haar wijzigingsbeheer in opzet op een aantal punten aan te scherpen. 17

5.4 Continuïteitsbeheer De VNG brengt sinds dit jaar een Dreigingsbeeld uit met betrekking tot cybersecurity. De bedoeling is om eens per twee jaar in kaart te brengen welke risico’s decentrale overheden lopen op de beveiliging van hun systemen. Uit dit rapport blijkt dat het aantal cyberincidenten bij overheden het afgelopen jaar sterk is toegenomen. Bij de gemeente Midden-Groningen heeft zich in 2022 één incident voorgedaan, wat heeft geleid tot beschadiging en/of verlies van gegevens. Wij hebben begrepen dat dit incident niet heeft geleid tot significante negatieve effecten voor de jaarrekening als gevolg van getroffen herstelmaatregelen door ICT. De backup is op een andere locatie opgeslagen dan de productie. Naast de traditionele backup maakt gemeente Midden-Groningen gebruik van een “Continuous Dataprotection” oplossing ten aanzien van haar kritieke servers. Hiermee acht de gemeente Midden-Groningen het risico op gegevensverlies acceptabel laag. Tegelijkertijd is de gemeente Midden-Groningen bezig met het ontwerpen van ICT uitwijk plan. De verwachting is dat dit plan in de loop van 2023 beschikbaar komt. 5.5 Leveranciersmanagement Het leveranciersmanagement bij gemeenten is met name relevant vanuit het oogpunt van de jaarrekeningcontrole op het moment dat er SAAS (software as a service, draaiend bij de verstrekker) oplossingen worden gebruikt.

Voor de gemeente Midden-Groningen geldt in beperkte mate gebruikt wordt gemaakt van dergelijke oplossingen. Relevant voor de jaarrekening zijn met name de applicaties binnen het personeelsproces. Wij hebben vastgesteld dat uw leveranciers beschikken over een jaarlijks uitgebracht ISAE 3402 rapport, waarmee wordt gerapporteerd over de effectieve beheersing. Tegelijkertijd stellen wij vast dat de gemeente geen jaarlijkse beoordeling doet op deze rapportages. Wij adviseren dit wel te doen, waardoor mogelijke tekortkomingen tijdig kunnen worden geïdentificeerd en de beheersing vanuit de leverancier als verlengstuk kan worden gezien van de beheersing van de gemeente Midden-Groningen. 5.7 AVG Gemeenten moeten zich aan de Algemene verordening gegevensbescherming (AVG) en de Uitvoeringswet Algemene verordening gegevensbescherming (UAVG) houden. Zo mogen gemeenten niet meer gegevens gebruiken dan noodzakelijk. Ook mogen gemeenten de verzamelde persoonsgegevens niet zomaar voor een ander doel gebruiken. Uiteraard moeten gemeenten de verzamelde persoonsgegevens goed beveiligen. Verder moeten gemeenten burgers goed informeren over wat zij met hun gegevens doen. In 2022 zijn er 8 datalekken gemeld, waarvan er 1 is doorgegeven aan de Autoriteit Persoonsgegevens. Op basis van deze doormelding is er geen terugkoppeling ontvangen vanuit de Autoriteit.

De gemeente MiddenGroningen is van mening dat zij geen grote risico’s loopt ten aanzien van AVG. De gemeente Midden-Groningen heeft aandacht voor bewustwording van data veiligheid, zo heeft er in 2022 een nano-learning plaatsgevonden onder haar medewerkers. Wij onderschrijven dergelijke initiatieven en stellen dat ook naar de toekomst toe structurele aandacht voor bewustwording ten aanzien van dataveiligheid zou moeten zijn geborgd. Bewustwording is een randvoorwaarde voor een informatieveilige organisatie, juist nu medewerkers gedeeltelijk op afstand werken. Wij onderschrijven daarom het voornemen om periodiek bewustwordingscampagnes uit te rollen en hiervoor een plan van aanpak op te stellen.

18

6. Aandachtspunten voor de jaarrekeningcontrole 6.1 Verlofsparen Op 27 januari 2022 heeft de VNG met haar stakeholders een akkoord voor de CAO Gemeenten en de CAO SGO gesloten. Eén onderdeel van deze afspraken gaat over verlofsparen. De afspraken over verlofsparen gelden met terugwerkende kracht vanaf 1 januari 2022. Een medewerker kan dus met terugwerkende kracht vanaf 1 januari 2022 bovenwettelijke vakantie-uren opzijzetten voor later. Deze vakantie-uren verjaren niet. De commissie BBV heeft stelling genomen dat bij verlofsparen sprake is van arbeidskosten gerelateerde verplichtingen die een niet voorspelbare opbouw en daarmee ook een onvoorspelbare afbouw kennen, waardoor hiervoor een voorziening dient te worden gevormd. De gemeente Midden-Groningen heeft een beoordeling gemaakt van de impact van deze CAO wijziging. De impact is naar verwachting niet materieel. 6.2 Schattingen in de jaarrekening tijdig beoordelen De periode waarin de jaarrekeningcontrole plaatsvindt is voor u en voor ons een drukke tijd. Om die reden proberen wij, in samenwerking met u, de controle waar mogelijk te dynamiseren. Daarmee spreiden we de werkzaamheden iets meer over het jaar. Een belangrijk element in iedere jaarrekening zijn de daarin opgenomen schattingen.

Hier hebben we in onze controle specifiek aandacht voor, mede vanwege de mogelijkheid om via het doen van schattingen resultaten en waarderingen te beïnvloeden. Een belangrijke waarborg is een adequate procesgang rondom het maken van schattingen en hierbij ook aandacht te besteden aan de beoordeling van uitkomsten van deze schattingen achteraf. Op die manier kunt u lering trekken uit de wijze waarop schattingen zijn gemaakt en dat gebruiken voor betere methoden nu en in de toekomst. Voorzieningen zijn belangrijke posten waarin schattingen een grote rol spelen. Niet zelden zijn voorzieningen en de onderbouwing daarvan onderwerp van discussie tijdens de jaarrekeningcontrole. Wij adviseren u derhalve om deze schattingsposten goed te onderbouwen en in de jaarrekeningcontrole ook tijdig ons te betrekken.

7. Afsluiting Wij vertrouwen erop u met deze managementletter adequaat te hebben geïnformeerd en altijd bereid tot nadere toelichting. Uw medewerkers hebben zich ingespannen ons tijdens de controle optimaal te ondersteunen en daar bedanken wij hen van harte voor. Met vriendelijke groet, Eshuis Registeraccountants B.V. Was getekend: drs. S. Hofsteenge RA

19