Jaarverslag Informatiebeveiliging 2020.pdf

Jaarverslag Informatiebeveiliging Midden-Delfland 2020

Inhoud (aanpassen voor 2020) Managementsamenvatting .................................................................................................... 3 Activiteiten in 2020 .......................................................................................................... 3 Beveiligingsincidenten ...................................................................................................... 3 Zelfevaluaties .................................................................................................................. 4 Vooruitblik 2021 op het gebied van de informatiebeveiliging.................................................. 4 1.

Inleiding ...................................................................................................................... 5

2.

IB-beleid, doelstellingen en ambities ............................................................................... 6 Wat is informatiebeveiliging? ............................................................................................. 6 Baseline Informatiebeveiliging Overheid (BIO) ..................................................................... 6 Uitgangpunten en doelen van ons informatiebeveiligingsbeleid .............................................. 7 Relatie met privacy .......................................................................................................... 8

3.

Horizontale en verticale verantwoording op basis van ENSIA .............................................. 9 Verantwoordingsrapportages zelfevaluatie 2020 ................................................................. 11 Collegeverklaring ENSIA inzake informatiebeveiliging DigiD en Suwinet ................................. 16

4.

Samenvattend beeld en resultaten informatiebeveiliging 2020 .......................................... 17 Resultaat meting BIO ...................................................................................................... 18

5.

Disclaimer .................................................................................................................. 22

6.

Belangrijkste beheersmaatregelen IB ............................................................................. 23 Verbeterpunten op basis van meting BIO ........................................................................... 24

7.

Realisatie doelstellingen IB-beleid .................................................................................. 27

8.

Incidenten en ontdekte kwetsbaarheden......................................................................... 31

9.

Meerjarenperspectief ................................................................................................... 35

2

Managementsamenvatting Het college van B&W van gemeente Midden-Delfland legt jaarlijks verantwoording af over de uitvoering van het informatiebeveiligingsbeleid. Dit jaarverslag Informatiebeveiliging Midden-Delfland 2020 bevat die verantwoording.

Het jaarverslag is gebaseerd op een actuele meting vanuit ons ISMS1. Deze meting is uitgevoerd op basis van de 112 normen zoals opgenomen in de Baseline Informatiebeveiliging Overheid (BIO2). Hierin zijn ook de resultaten uit de Eenduidige Normatiek Single Information Audit (ENSIA 3) 2020 zijn opgenomen. Deze meting heeft het karakter van een zelfevaluatie waarbij is nagegaan in hoeverre de gemeente voldoet aan de 112 normen uit de BIO. De normen uit de BIO zijn vooral vanuit een generiek beeld beoordeeld en niet specifiek toegespitst op applicaties. In het jaarverslag houden we rekening met verbeterpunten die voortkomen uit de meting over de BIO, ENSIA 2020 en de DigiD/Suwi-audit. De verbeterpunten met de hoogste risico’s vormen het jaarplan 2021. Het college van B&W wordt verzocht het jaarverslag informatiebeveiliging 2021 vast te stellen en de CISO het mandaat te geven het jaarplan met verbeteracties uit te (laten) voeren.

Activiteiten in 2020 In 2020 is op het gebied van informatiebeveiliging het volgende gerealiseerd:  We hebben het personeelsbeleid geactualiseerd naar de normen voor informatiebeveiliging uit de BIO  Het Information Security Management System (ISMS) is aangepast aan de BIO en gevuld met onze genomen maatregelen.  We hebben de bureaucomputers (Thin Cliënts) met verouderde Windowsversies vervangen door nieuwe Mobile Thin Cliënts. Deze zijn voorzien van de actuele Windowsversies en bieden de medewerkers veilige apparatuur waarmee ze plaats onafhankelijk kunnen werken.  In 2020 zijn we gestart met een aanbesteding voor de vervanging van onze hardware zoals servers, opslag en backup-systemen. De nieuwe hardware is voorzien van actuele beveiligingsoplossingen waarmee we op dat vlak aan de BIO voldoen. De feitelijke vervanging vindt in 2021 plaats.  Het Information Management Security System is uitgebreid om efficiënter verantwoording af te kunnen leggen aan de toezichthouders. Daarnaast is een module aangeschaft om het privacy normkader te integreren.

Beveiligingsincidenten In 2020 zijn 31 incidenten en 171 geconstateerde kwetsbaarheden gemeld bij de CISO en adviseurs Informatiebeveiliging. Het gaat hierbij ook om ontdekte kwetsbaarheden die met updates van software en aanpassingen van de hardware zijn opgelost. In 2020 zijn er 16 van deze beveiligingsincidenten negen aangemerkt als datalek. Daarvan hebben we in zes gevallen melding moeten doen bij de Autoriteit Persoonsgegevens (AP) en zijn de betrokkenen geïnformeerd.

1 ISMS staat is een Engelse afkorting en staat voor Information Security Management System. In het Nederlands wordt dit

aangeduid als een managementsysteem voor informatiebeveiliging. 2 BIO staat voor Baseline Informatiebeveiliging Overheden 3 ENSIA staat voor Eenduidige Normatiek Single Information Audit

3

Zelfevaluaties Gemeenten moeten richting de Rijksoverheid verantwoording afleggen over de Basisregistratie Personen (BRP), Paspoortuitvoeringsregeling (PUN), Digitale persoonsidentificatie (DigiD), Basisregistratie Adressen en Gebouwen (BAG), Basisregistratie Grootschalige Topografie (BGT), Basisregistratie Ondergrond (BRO) en de Structuur uitvoeringsorganisatie Werk en Inkomen (SUWI):  Voor BRP en PUN scoort de gemeente Midden-Delfland binnen de gestelde normen.  De gemeente Midden-Delfland is DigiD aansluithouder. Door een externe IT-auditor is vastgesteld dat wordt voldaan aan het gestelde normenkader.  Gemeente Midden-Delfland gebruikt Suwinet. Door een externe IT-auditor is vastgesteld dat dit jaar nog niet op alle onderdelen wordt voldaan aan het gestelde normenkader. Een van de onderdelen waar niet aan wordt voldaan zijn uitbesteed aan Rotterdam waar wij erop toezien dat zij verbeteringen door gaat voeren om aan de normen te voldoen. Het andere onderdeel betreft het ontbreken van een procedure op de controle van loggegevens over het gebruik van Suwinet bij gebruik van het inlezen van gegevens voor het Digitaal Klant Dossier (DKD). Dit wordt zo snel mogelijk als verbeteractie opgepakt.  BAG scoort voldoende derhalve worden nog verbeteracties voorgesteld.  BGT scoort nog niet op alle onderdelen binnen de norm daarom worden verbeteracties voorgesteld.

 BRO scoort nog niet op alle onderdelen binnen de norm daarom worden verbeteracties voorgesteld.

Vooruitblik 2021 op het gebied van de informatiebeveiliging Activiteiten voor 2021:  In combinatie met voorlichting over privacy zal informatiebeveiliging continu onder de aandacht van de medewerkers worden gebracht. Dit doen we door middel van een elearning oplossing. Hiermee krijgen we door monitoring meer inzicht in de kennis en vaardigheden van onze medewerkers waarop we vervolgens gerichter kunnen sturen. Het is een verplichting vanuit de BIO om structureel aandacht aan training en bewustwording te geven over informatiebeveiliging en privacy.  We stellen een bedrijfscontinuïteitsplan en crisisplan op om voorbereid te zijn op crisissituaties veroorzaakt door bijvoorbeeld gijzelsoftware.  Gegevens zijn één van de belangrijkste bedrijfsmiddelen van de gemeente. Aandacht voor de kwaliteit, actualiteit en compleetheid van de basisregistraties is daarom van groot belang. Speciale aandacht blijft nodig voor de implementatie van de BRO.  Het Information Security Management System (ISMS) wordt met taken uitgerold naar de verantwoordelijke medewerkers om de plan-do-check-act cyclus voor informatiebeveiliging structureel vorm te geven. Dit moet tevens voor lastenverlichting zorgen bij de zelfverantwoordingstaken met betrekking tot ENSIA.

 Met het gevulde ISMS creëren we periodiek management informatie over de voortgang van de taken en de status van ons informatiebeveiligingsplan.  Er wordt gestart met de vervanging van onze technische infrastructuur door nieuwe hardware die voldoet aan de hedendaagse beveiligingseisen.  Ons Responsible Disclosurebeleid wordt vastgesteld en gepubliceerd op onze website.  Het in- en uitdiensttredingsproces wordt aangepast naar de actuele beveiligingsnormen uit de BIO.  Het Thuiswerkbeleid wordt aangepast naar de actuele beveiligingsnormen uit de BIO.

4

1. Inleiding Met de VNG resolutie “Informatieveiligheid, randvoorwaarde voor de professionele gemeente” van 2013 hebben de gemeenten afgesproken de Baseline Informatieveiligheid Gemeenten (BIG) te implementeren. Deze baseline is vanaf 2020 overgegaan in de Baseline Informatiebeveiliging Overheid (BIO) en is nu de kern van de verantwoording over informatieveiligheid aan de gemeenteraad. Gemeenten verantwoorden zich daarom elk jaar over de kwaliteit van de beveiliging van de informatievoorziening. Over 2017 gebeurde dit voor het eerst met de Eenduidige Normatiek Single Information Audit (ENSIA). Gemeenten voeren nu over 2020 opnieuw een zelfevaluatie informatiebeveiliging uit. Deze is onder meer gericht op beveiligingsnormen van de BIO, AVG, BRP, PUN, BAG, BGT, DigiD en Suwinet. Het college van B&W rapporteert aan de gemeenteraad over de stand van zaken van de informatievoorziening met een jaarverslag. Dit jaarverslag informatiebeveiliging bevat naast informatie over de informatiebeveiliging in brede zin ook een verwijzing naar de Collegeverklaring ENSIA over een aantal geselecteerde beveiligingsnormen (DigiD en Suwinet). Een gecertificeerd IT-auditor heeft de Collegeverklaring getoetst en een Assurancerapport opgeleverd dat nodig is voor de verticale verantwoording.

Met dit vierde jaarverslag over onze informatiebeveiliging geven we uitvoering aan de verantwoordingsplicht naar de gemeenteraad.

5

2. IB-beleid, doelstellingen en ambities Met de vaststelling van het integraal informatiebeveiligingsbeleid in 2015 zette de gemeente Midden-Delfland een belangrijke stap om de beveiliging van persoonsgegevens en andere informatie binnen de gemeente op orde te houden. Het beleid is gebaseerd op de Baseline Informatiebeveiliging Overheid die per 2020 de Baseline Informatiebeveiliging Gemeenten opvolgde.

Wat is informatiebeveiliging? Onder informatiebeveiliging wordt verstaan: het treffen en onderhouden van een samenhangend pakket aan maatregelen om de betrouwbaarheid van de informatievoorziening te waarborgen. Kernpunten daarbij zijn beschikbaarheid, integriteit (juistheid) en vertrouwelijkheid van persoonsgegevens en andere informatie. Het informatiebeveiligingsbeleid geldt voor het complete proces van informatievoorziening en de hele levenscyclus van informatiesystemen. Het beperkt zich niet alleen tot de ICT en heeft betrekking op het politiek bestuur, alle medewerkers, burgers, Midden-Delfland, bezoekers en externe relaties.

Baseline Informatiebeveiliging Overheid (BIO) In november 2013 is tijdens de Buitengewone Algemene Ledenvergadering (BALV) van de Vereniging van Nederlandse Gemeenten (VNG) de Resolutie ‘Informatieveiligheid, randvoorwaarde voor de professionele gemeente’ bekrachtigd. Deze Resolutie is opgesteld door de Vereniging van Nederlandse Gemeenten (VNG) in samenwerking met de Informatiebeveiligingsdienst voor gemeenten (IBD) en de Taskforce Bestuur en Informatieveiligheid Dienstverlening (Taskforce BID). De resolutie houdt in dat iedere gemeente het informatiebeveiligingsbeleid vaststelt aan de hand van de Baseline Informatiebeveiliging. Vanaf 1 januari 2020 is de Baseline Informatiebeveiliging Overheid (BIO) van kracht. De BIO vervangt de bestaande baselines informatieveiligheid voor Gemeenten, Rijk, Waterschappen en Provincies. Hiermee ontstaat één gezamenlijk normenkader voor informatiebeveiliging binnen de gehele overheid, gebaseerd op de internationaal erkende en actuele ISO-normatiek (NEN-ISO 27002). De BIO is een doorontwikkeling, ofwel een ‘update’, van de BIG. Gemeenten baseren hun informatiebeveiligingsbeleid en hun verantwoording aan de gemeenteraad en de toezichthouders vanuit het Rijk (middels ENSIA) op deze BIO. De werkzaamheden die voor de BIG zijn verricht zijn al grotendeels in lijn met de BIO.

Meer gericht op risicomanagement De BIO legt meer nadruk op risicomanagement dan de BIG, die zich meer richtte op specifieke maatregelen. De rol van de bestuurder en lijnmanager is ten aanzien van risicomanagement explicieter dan de BIG aangaf. Om daaraan invulling te geven is tegelijkertijd met de BIO een handreiking ‘10 bestuurlijke principes voor informatiebeveiliging’ van kracht geworden. Deze principes ondersteunen bestuurders bij de invulling van hun verantwoordelijkheid. De BIO verschilt op een aantal punten van de BIG. De grootste verschillen zijn: 1. 2. 3. 4. 5. 6. 7.

Minder maatregelen (bijna 60% minder) Maatregelen zijn altijd verplicht Meer risicomanagement (het begint met een QuickScan, de QIS) Gaat uit van drie basis beveiliging niveaus (BBN) Selectie van ontbrekende maatregelen vooraf Toewijzing van maatregelen op eindverantwoordelijke Een baselinetoets die nu QIS heet en die rekening houdt met die drie niveaus uit de BBN

Informatieveiligheid is geborgd in de organisatie Ons doel is om ‘in control’ te zijn op het gebied van informatiebeveiliging. ‘In control’ zijn betekent dat we weten welke passende technische en organisatorische maatregelen genomen moeten worden, welke maatregelen er al zijn en welke maatregelen nog moeten worden ingericht.

6

Het belang van informatieveiligheid is voor alle doelgroepen duidelijk Mensen zijn de sleutel tot informatiebeveiliging. Voor een beveiligingsincident dat uitmondt in een datalek is vaak niet meer nodig dan een klik op een verkeerd linkje, een verkeerd geadresseerde e-mail met gegevens over een burger, een verloren laptop of het uitlenen van een toegangspas. Dit risico kan alleen beheerst worden als dag-in-dag-uit gewerkt wordt aan bewustzijn van medewerkers, als medewerkers veilige tools en procedures ter beschikking hebben om hun werk te doen en als bestuurders zelf het goede voorbeeld geven. De P&C-cyclus voor informatieveiligheid is ingericht De implementatie van informatiebeveiliging is een continu proces. Omgevingsfactoren en navenante bedreigingen en kwetsbaarheden die deze met zich mee kunnen brengen, veranderen voortdurend. Informatiebeveiligingsplan Op basis van het informatiebeveiligingsbeleid stellen we jaarlijks een informatiebeveiligingsplan op. Hierin geven we aan op welke wijze de informatiebeveiliging wordt verbeterd en welke tijdsplanning hierbij gehanteerd gaat worden.

Uitgangpunten en doelen van ons informatiebeveiligingsbeleid De belangrijkste globale uitgangspunten van het informatiebeveiligingsbeleid zijn: · Het college van B&W is eindverantwoordelijk voor informatiebeveiliging en stelt het informatiebeveiligingsbeleid vast. · De gemeentesecretaris is als Chief Information Officer (CIO) verantwoordelijk voor de uitvoering van het Informatiebeveiligingsbeleid. · De Chief Information Security Officer (CISO) is gepositioneerd in een lijnfunctie. · De CISO rapporteert jaarlijks over de informatiebeveiliging aan het college van burgemeester en wethouders. · In het kader van de signaalfunctie rapporteert de CISO in bijzondere gevallen waarbij de veiligheid van de organisatie in het gedrang komt of dreigt te raken rechtstreeks aan de gemeentesecretaris in zijn functie als CIO. · Aan de hand van een GAP-analyse (0-meting) wordt periodiek een top 10 van te nemen maatregelen opgesteld. · Kennis en bewustzijn van informatiebeveiliging en omgaan met persoonsgegevens binnen de Gemeente Midden-Delfland worden bevorderd en geborgd. De strategische doelen van het informatiebeveiligingsbeleid:           

Het managen van de informatiebeveiliging. Adequate bescherming van bedrijfsmiddelen. Het minimaliseren van risico’s van menselijk gedrag. Het voorkomen van ongeautoriseerde toegang. Het garanderen van correcte en veilige informatievoorzieningen. Het beheersen van de toegang tot informatiesystemen. Het waarborgen van veilige informatiesystemen. Het adequaat reageren op incidenten. Het beschermen van kritieke bedrijfsprocessen. Het beschermen en correct verwerken van persoonsgegevens van burgers en medewerkers. Het waarborgen van de naleving van dit beleid

De 10 principes voor informatiebeveiliging De hieronder aangegeven 10 principes voor informatiebeveiliging zijn een bestuurlijke aanvulling op het normenkader BIO. Zij gaan over de waarden die de bestuurder zichzelf oplegt. 1. 2. 3. 4.

Bestuurders bevorderen een veilige cultuur. Informatiebeveiliging is van iedereen. Informatiebeveiliging is risicomanagement. Risicomanagement is onderdeel van de besluitvorming. 7

5. Informatiebeveiliging behoeft ook aandacht in (keten)samenwerking. 6. Informatiebeveiliging is een proces. 7. Informatiebeveiliging kost geld. 8. Onzekerheid calculeren we in. 9. Verbetering komt voort uit leren en ervaring. 10. Het bestuur controleert en evalueert. De principes gaan vooral over de rol van het bestuur bij het borgen van informatiebeveiliging in de gemeentelijke organisatie. Deze principes ondersteunen de bestuurder bij het uitvoeren van goed risicomanagement. Bij een incident met onze informatiebeveiliging binnen de gemeentelijke processen, dan kan dit directe gevolgen hebben voor onze inwoners, ondernemers en partners. Daarmee moet informatiebeveiliging beslist een belangrijk onderwerp zijn voor de bestuurders.

Relatie met privacy Met de inwerkingtreding van de Algemene Verordening Gegevensbescherming (AVG) op 25 mei 2018 is privacy volop in de schijnwerpers komen te staan. Privacy heeft alleen betrekking op persoonsgegevens, waarbij dat begrip overigens ook heel ruim is. Zo kan het kenteken van een auto beschouwd worden als een persoonsgegeven als het herleidbaar is tot een individueel persoon. Informatiebeveiliging heeft een breder aandachtsgebied. De beveiliging is bijvoorbeeld ook gericht op de bedrijfscontinuïteit en beperkt zich niet tot uitsluitend persoonsgegevens. Toch is het niet vreemd dat privacy en informatiebeveiliging vaak in één adem worden genoemd. Een aantal beveiligingsmaatregelen is van directe invloed op het waarborgen van de privacy. Omgekeerd dragen privacy vereisten zoals het afsluiten van verwerkersovereenkomsten, bij aan verhoging van de informatiebeveiliging. Informatiebeveiliging en privacy worden binnen gemeente Midden-Delfland daarom in samenhang opgepakt.

8

3. Horizontale en verticale verantwoording op basis van ENSIA ENSIA (Eenduidige Normatiek Single Information Audit) Aanleiding Per 1 juli 2017 is het project ENSIA (Eénduidige Normatiek Single Information Audit) voor gemeenten van start gegaan. ENSIA is een gezamenlijk project van het ministerie van Binnenlandse Zaken (BZK), gemeenten, het ministerie van Sociale Zaken en Werkgelegenheid (SZW), het ministerie van Infrastructuur en Milieu (I&M) en de Vereniging Nederlandse Gemeenten (VNG). Het project heeft tot doel invulling te geven aan de verantwoordelijkheid van gemeenten rond informatieveiligheid. De invoering van ENSIA betekent dat alle gemeenten vanaf 2017 werken met één verantwoordingsstelsel voor informatieveiligheid Daarbij wordt jaarlijks verantwoording afgelegd over DigiD, Suwinet, de paspoortuitvoeringsregeling (PUN), de Basisregistratie Personen (BRP), de Basisregistratie Adressen en Gebouwen (BAG) en de Basisregistratie Grootschalige Topografie (BGT). Vanaf 2020 is de ENSIA zelfcontrole over de Basisregistratie Ondergronden (BRO) zelfcontrole ook een wettelijke verplichting. De verantwoording sluit aan bij de gemeentelijke P&C-cyclus en is in lijn met de Baseline Informatieveiligheid Overheid.

Achtergrond De kern van ENSIA is dat de gemeentelijke organisatie transparant is en verantwoording aflegt over de manier waarop zij in control is op het thema ‘informatieveiligheid’. Die verantwoording legt de gemeentelijke organisatie af aan haar eigen toezichthouder, in dit geval de gemeenteraad. Gemeenten hebben over dit principe in de algemene ledenvergadering van de VNG van november 2013 overeenstemming bereikt. Gemeenten leggen niet alleen verantwoording af aan de eigen toezichthouder. Van oudsher bestonden verplichtingen ten aanzien van het ministerie van BZK rond de Basisregistratie Personen (BPR), de PUN en DigiD, en het ministerie van IenW rond de BAG en de BGT. Naar aanleiding van de onderzoeken van de inspectie SZW is de regelgeving Suwinet aangescherpt en moeten gemeenten zich ook daarover verantwoorden. ENSIA integreert al deze typen verantwoordingen in één werkwijze, met één eenduidige taal: de Baseline Informatiebeveiliging Overheid (BIO). Alle bestaande verantwoordingen zijn in goed overleg met de toezichthouders aangepast op ENSIA. Voor alle verantwoordingen geldt dat waar mogelijk is aangesloten op de BIO. Specifieke toezichtinformatie is nodig en waar mogelijk verwerkt in de ENSIA-vragenlijst die de bevraagbare versie van de BIO als basis kent. Daarnaast blijft de noodzaak aanwezig om domein specifieke toezichtinformatie te blijven leveren.

Het voornemen is dat ENSIA met andere registraties verder zal worden uitgebreid. Hoewel deze nieuwe methodiek tot een vereenvoudiging van de audits moet leiden hebben de eerdere ENSIA verantwoordingen geleerd dat de werkzaamheden op dit gebied elk jaar weer verder toeneemt. Dit komt met name doordat de normenkaders op het gebied van informatiebeveiliging en privacy substantieel worden uitgebreid en de reikwijdte op een toenemend aantal domeinen en registraties van toepassing is geworden (BGT en BRO) of nog wordt. Ook de omzetting naar de BIO levert andere maatregelen op of andere bewijslast voor de audit op de specifieke onderdelen zoals Suwinet en DigiD. De ENSIA-regelgeving biedt ons de kans om het proces rondom de verplichte aantoonbaarheid van informatieveiligheid te optimaliseren. De sterk toegenomen en nog steeds toenemende digitalisering binnen de gemeente en de maatschappij vraagt veel aandacht voor de kwaliteit van informatieveiligheid en vanaf mei 2019 ook de privacybescherming. We beheren onder andere veel persoonsgegevens en dat neemt toe door decentralisatie van overheidstaken. Elk jaar moet de gemeente zich dan ook verantwoorden over de kwaliteit van informatieveiligheid en/of de hierbij gebruikte informatiesystemen/-platformen.

9

Uitvoering van ENSIA 2020 ENSIA ondersteunt zowel het horizontale als het verticale verantwoordingsproces. De ontwikkeling gaat daarbij steeds meer in de richting van horizontale verantwoording. Hieronder is het ENSIAproces voor het verantwoordingsjaar 2020 grafisch weergegeven. Meer informatie over ENSIA en de werkwijze is terug te vinden op www.ensia.nl.

Over 2019 vormde de BIG nog de kern van de horizontale verantwoording aan de gemeenteraad. In 2020 is een zelfevaluatie uitgevoerd door middel van het invullen van vragenlijsten gebaseerd op de BIO. Op basis van de uitkomsten van deze zelfevaluatie is een collegeverklaring opgesteld waarop een audit heeft plaatsgevonden. De scope van deze audit over 2020 beperkt zich net als over 2017, 2018 en 2019 nog tot Suwinet en DigiD. Zo wordt ‘horizontaal’ de collegeverklaring (waarin de gemeente de algehele status van informatieveiligheid verantwoordt) als bijlage van dit jaarverslag verwerkt. Deze collegeverklaring wordt vervolgens als integraal rapport mee geleverd als bijlage bij dit jaarverslag informatiebeveiliging (zie ook hoofdstuk 3). Het horizontale verantwoordingsproces vormt een belangrijke basis voor de IT-auditor en de gemeente. Toelichting werkwijze zelfevaluatie.

Via de online ENSIA tool is aan de gemeentelijke ENSIA-coördinator een zelfevaluatie vragenlijst beschikbaar gesteld voor informatieveiligheid bij gemeenten over de volle breedte van de BIO met inbegrip van de specifieke normen op het gebied van informatiebeveiliging: Basisregistratie Personen (BRP) Paspoortuitvoeringsregeling (PUN) Digitale persoonsidentificatie (DigiD) Basisregistratie Adressen en Gebouwen (BAG) Basisregistratie Grootschalige Topografie (BGT) Structuur uitvoeringsorganisatie Werk en Inkomen (Suwinet) Basisregistratie Ondergrond (BRO) 10

De normen uit de Algemene Verordening Gegevensbescherming (AVG) zijn in de vragen over de BIO en de specifieke domeinen geïntegreerd. In de periode van 1 juli tot 31 december 2020 zijn deze vragenlijsten door de domeinbeheerders ingevuld en door de ENSIA-coördinator ingeleverd bij de landelijke toezichthouders. De beantwoording van de vragen over deze normen is terug te vinden in de verantwoordingsrapportage over de BIO. Daarnaast zijn over de proceseigen normenkaders over de BAG, BGT en BRO aparte verantwoordingsrapportages als bijlagen toegevoegd. Verticale verantwoording ‘Verticaal’ verantwoorden we de met de collegeverklaring de specifieke status per auditonderdeel (voor 2020 Suwinet en DigiD) richting de betreffende toezichthouder (zoals Logius voor DigiD). Daarnaast rapporteren we over de BAG, BGT en BRO naar de verticale toezichthouders. De rapportagedeadline hiervoor is tot 1 mei 2021. Hieronder vindt u de conclusies uit de betreffende verantwoordingsrapportages.

Verantwoordingsrapportages zelfevaluatie 2020 De verantwoordingrapportages over de ingevulde ENSIA vragenlijsten zijn als bijlagen bijgevoegd. De verantwoordingsrapportage over de BIO bevat de vragen die wettelijk gericht zijn op de specifieke normen (BRP,PUN, SUWINET, en DigiD). Daarnaast zijn apart de verantwoordingsrapportages over de BAG, BGT en BRO als bijlagen van dit jaarverslag bijgevoegd. Deze bevatten ook de niet BIG gebaseerde vragen, de zogenaamde specifiek op de normenkaders van BAG, BGT en BRO gerichte vragen. De normen uit de Algemene Verordening Gegevensbescherming (AVG) zijn in de vragen over de BIO en de specifieke domeinen geïntegreerd. Het totaal van collegeverklaring, het jaarverslag IB inclusief de verantwoordingsrapportages BIO, BAG, BGT en BRO de horizontale verantwoording aan de gemeenteraad. Samen met de collegeverklaring over SUWI en DIGID vormt het jaarverslag IB inclusief de verantwoordingsrapportages BIO, BAG, BGT en BRO de horizontale verantwoording aan de gemeenteraad. Zelfevaluatie BIO Onderwerpen uit de BIO zijn: -

Informatiebeveiligingsbeleid Organiseren van informatiebeveiliging Veilig Personeel Beheer van bedrijfsmiddelen Toegangsbeveiliging Cryptografie Fysieke beveiliging en beveiliging van de omgeving Beveiliging bedrijfsvoering Communicatiebeveiliging Acquisitie, ontwikkeling en onderhoud van informatiesystemen Leveranciersrelaties Beheer van informatiebeveiligingsincidenten Informatiebeveiligingsaspecten van bedrijfscontinuïteitsbeheer Naleving

In de hoofdstukken 4, 6 en 7 wordt uitgebreid ingegaan op de resultaten van 2020 en de geïmplementeerde maatregelen.

11

Resultaten zelfevaluaties per stelsel Via de ENSIA systematiek is verantwoording afgelegd aan het Rijk. In de volgende paragrafen wordt per zelfevaluatie een toelichting gegeven. De bijbehorende rapportages zijn als bijlagen opgenomen bij deze rapportage. Zelfevaluaties BRP en PUN De Basisregistratie Personen (BRP) is onderdeel van het stelsel van basisregistraties van de Nederlandse overheid. De Nederlandse overheid registreert persoonsgegevens in de BRP. Alle overheidsinstellingen en bestuursorganen (zoals de Belastingdienst) zijn verplicht voor hun taken gebruik te maken van die gegevens. Het gaat daarbij onder andere om naam, geboortedatum, geboorteplaats, verblijfplaats en familierelaties. Met deze gegevens wordt bijvoorbeeld een paspoort en identiteitskaart verstrekt of wordt de hoogte van een studietoelage berekend. Voor het uitgeven van reisdocumenten hebben gemeenten met wetgeving te maken zoals de Paspoortuitvoeringsregeling Nederland 2001 (PUN). Jaarlijks moeten gemeenten verantwoording afleggen over het gebruik van de BRP en de reisdocumenten. Met de komst van ENSIA is het inhoudelijke deel afgesplitst van het beveiligingstechnische deel. Het inhoudelijke deel, dat onder andere kijkt naar de kwaliteit van de persoonsgegevens in het BRP en de inrichting van de verwerkingsprocessen, wordt door de vakafdeling uitgevoerd.

Het beveiligingstechnische deel wordt op basis van de BIO-richtlijnen uitgevraagd. De zelfevaluaties BRP en Reisdocumenten zijn ingediend zodat de externe toezichthouder (het ministerie van Binnenlandse zaken en Koninkrijkszaken) zich hierover een oordeel kan vormen. Op het inhoudelijke deel van de zelfevaluaties scoort gemeente Midden-Delfland binnen de gestelde normen. De scores van het ENSIA-deel voor de zelfevaluatie BRP en Reisdocumenten treft u hieronder aan.

Resultaat uit zelfevaluatie informatieveiligheid BRP 2020 (ENSIA) Thema BRP

Totaal behaalde punten Midden-Delfland

Totaal mogelijk

Percentage

1. Organisatie van de beveiliging

340

400

85 %

2. Toegangsbeveiliging

390

400

98 %

3. Naleving

400

400

100 %

Totaal

1.130

1.200

94 %

Resultaat uit zelfevaluatie informatieveiligheid Reisdocumenten 2020 (ENSIA) Thema Reisdocumenten

Totaal behaalde punten Midden-Delfland

Totaal mogelijk totaal

Percentage

1. Organisatie van de beveiliging

190

200

95 %

2. Toegangsbeveiliging

240

250

96 %

3. Naleving

200

200

100 %

Totaal

630

650

97 %

12

Zelfevaluatie Basisregistratie Adressen en Gebouwen (BAG) De BAG (Basisregistratie Adressen en Gebouwen) is onderdeel van het stelsel van basisregistraties. Gemeenten zijn bronhouders van de BAG. Zij zijn verantwoordelijk voor het opnemen van de gegevens in de BAG en voor de kwaliteit ervan. Alle gemeenten stellen gegevens over adressen en gebouwen centraal beschikbaar via de Landelijke Voorziening (BAGLV). Het Kadaster beheert de BAGLV en stelt de gegevens beschikbaar aan de diverse afnemers. De BAG bevat informatie over: panden, verblijfsobjecten, standplaatsen, ligplaatsen, nummeraanduidingen, openbare ruimtes en woonplaatsen. De attributen die hierbij horen zijn onder andere naam, huisnummer, status, oppervlakte, geometrie, bouwjaar en gebruiksdoel. De BAG bevat deze gegevens van heel Nederland. In de wet BAG zijn de taken en bevoegdheden van de betrokken partijen beschreven. Kwaliteitsborging is beschreven in de Regeling Zelfcontrole. Het college van burgemeester en wethouders is verantwoordelijk voor de uitvoering van de taken op grond van de Wet BAG. De verantwoordingsrapportage is opgesteld op basis van de jaarlijkse zelfevaluatie.

Zoals beschreven in de Regeling Zelfcontrole BAG is de verantwoordingsrapportage bedoeld om horizontaal verantwoording af te leggen aan de gemeenteraad over de uitvoering van de Wet BAG en om verticaal verantwoording af te leggen aan het Ministerie van Infrastructuur en Milieu als formeel toezichthouder. Conclusie zelfevaluatie BAG De BAG scoort voldoende derhalve worden onderstaande verbeteracties voorgesteld: Thema

Verbetermaatregelen

Borging proces

Per 1 maart 2021 is er een 2e BAG beheerder gekomen die bij afwezigheid van de BAG beheerder de werkzaamheden over kan nemen. ook moet in 2021 gekeken worden of het processenhandboek en de procesbeschrijvingen nog kloppen.

Tijdigheid

Zorgen dat de processen juist blijven werken, zodat alle mutaties tijdig verwerkt kunnen worden

Volledigheid

Ook in 2021 voeren we een mutatiesignalering uit. De signaleringen analyseren en verwerken we.

Juistheid

Door het project van de WOZ (Waardering Onroerende Zaken), waarbij alle oppervlaktes van de woningen opnieuw bepaald moeten worden, wordt de kwaliteit van de oppervlaktes in de BAG verbeterd. De WOZ geeft de oppervlakteberekeningen door aan de BAG en daarna worden ze in de BAG gemuteerd. De geometrie van de BAG panden moet vergeleken worden met de geometrie van de BGT panden. de verschillen moeten opgelost worden.

13

Zelfevaluatie Basisregistratie Grootschalige Topografie (BGT)

De Basisregistratie Grootschalige Topografie (BGT) is een gedetailleerde (in vaktaal: grootschalige) digitale kaart van heel Nederland. Daarin worden alle objecten als gebouwen, wegen, water, spoorlijnen en groen op een eenduidige manier vastgelegd. Het doel van de BGT is: de hele overheid gebruik laten maken van dezelfde basisgegevens over de grootschalige topografie van Nederland. Als alle overheidspartijen in Nederland werken met dezelfde gegevens, dan zorgt dat voor: een betere dienstverlening aan burgers en bedrijven, want de gegevens zijn altijd actueel en betrouwbaar; administratieve lastenverlichting, want het kost bedrijven en burgers minder tijd en minder moeite om gegevens aan te leveren; een betere samenwerking binnen de overheid, want eenduidige afspraken over gegevens maken eenvoudige uitwisseling mogelijk; kostenbesparing, want minder fouten, minder inwinnen en minder communicatieproblemen zorgen voor minder kosten. De taken op grond van de Wet BGT worden door de bronhouders in medebewind uitgevoerd. Met de verantwoordingsrapportage legt het college van burgemeester en wethouders over deze uitvoering horizontaal verantwoording af aan de gemeenteraad. De verantwoordingsrapportage wordt daarnaast gebruikt om verticaal verantwoording af te leggen aan het ministerie van Infrastructuur en Milieu, als formeel toezichthouder.

Conclusie zelfevaluatie BGT BGT scoort nog niet op alle onderdelen binnen de norm daarom worden onderstaande verbeteracties voorgesteld: Thema

Verbetermaatregelen

Borging proces

De processen van de BGT moeten beschreven worden en er moet inbedding van deze processen van de BGT binnen de organisatie plaatsvinden. Per 1 maart 2021 is de vacature van BGT beheerder ingevuld en is de achtervang voor de BGT geregeld. Er moet een koppeling/afstemming tussen BOR en BGT komen. De mandaatregeling moet vastgelegd gaan worden

Actualiteit

De processen tussen de BAG en BGT moeten geoptimaliseerd worden De processen tussen de BOR en BGT moeten vastgelegd worden

Volledigheid

Als ingewonnen projecten (revisietekeningen) direct aangeleverd worden en verwerkt worden in de BGT, hoeft dit niet op luchtfoto te wachten. ook voor de BOR geldt dat 1x per 3 maanden deze mutaties aangeleverd moeten worden aan de BGT

Juistheid

We stellen een objectenhandbak vast, zodat de BGT objecten op de gewenste manier vastgelegd worden.

14

Zelfevaluatie Basisregistratie Ondergrond (BRO)

Het gebruik van bodem- en ondergrondgegevens bij de overheid en particuliere organisaties is de laatste decennia sterk toegenomen, zowel kwalitatief als kwantitatief. Deze gegevens spelen een cruciale rol op uitvoerend niveau, maar zijn ook van belang bij het oplossen van maatschappelijke vraagstukken. Daarbij valt onder meer te denken aan het inpassen van de gevolgen van klimaatverandering zoals de stijging van de zeewaterspiegel en bodemdaling. Andere voorbeelden zijn het gebruik van informatie in de ruimtelijke ordening, bij ondergronds bouwen, koudewarmteopslag of de opslag van CO2. Met de Basisregistratie Ondergrond (BRO) beoogt de overheid de informatievoorziening sterk te verbeteren door publieke gegevens over de ondergrond op gestandaardiseerde wijze voor zowel de overheid als andere partijen ter beschikking te stellen. De gegevens in de BRO zijn ondergebracht in zes domeinen: 1. In bodem- en grondonderzoek komt informatie die veelal afkomstig is van bedrijven actief in grond-, weg- en waterbouw. 2. Bodemkwaliteit bevat de gegevens die worden verzameld door de meetnetten van het RIVM, de provincies en Alterra. 3. Het domein grondwatermonitoring wordt gevoed door de informatie uit het netwerk van putten in ons land die samenstelling, kwaliteit en kwantiteit van het grondwater doorlopend meten. 4.

Grondwatergebruik bevat gegevens over het onttrekken van grondwater door bijvoorbeeld bedrijven, die daar een vergunning volgens de Waterwet moeten aanvragen. 5. Het domein Mijnbouwwet bevat gegevens die bedrijven hebben vergaard door boringen voor het opsporen, winnen en opslaan van delfstoffen en aardwarmte. 6. In Modellen zijn de Bodemkaart van Nederland (schaal 1:50 000), de Geomorfologische kaart (schaal 1:50 000), GeoTOP en REGIS opgenomen. Bronhouders:  ministeries EZ (diepe) en IenW (ondiepe) ondergrond;  Alterra (Bodem Informatie Systeem), voorts RWS, provincies, waterschappen, gemeenten;  maar ook Prorail, DSM, en andere overheidsorganen die ondergrondgegevens beheren. Conclusie zelfevaluatie BRO BRO scoort nog niet op alle onderdelen binnen de norm daarom worden onderstaande verbeteracties voorgesteld: Thema

Verbetermaatregelen

Borging proces

1. Het aanwijzen van een BRO coördinator 2. De mandaatregeling moet op het gebied van de BRO aangepast worden. 3. processen beschrijven en borgen in de organisatie 4. Het koppelen van de BRO aan de p&c-cyclus

Tijdigheid

De processen beschrijven en borgen in de organisatie

Volledigheid

De processen beschrijven en borgen in de organisatie

Juistheid

De BRO coördinator gaat de processen beschrijven en implementeren om de tijdigheid van de informatie in de BRO te waarborgen.

15

Collegeverklaring ENSIA inzake informatiebeveiliging DigiD en Suwinet

Het college van Burgemeester en wethouders geeft in een verklaring aan in hoeverre de beheersmaatregelen voldoen aan de voor de ENSIA verantwoording geselecteerde normen voor DigiD en Suwinet. Bij de ENSIA vragenlijsten is geconstateerd dat bij gemeente Midden-Delfland op 31 december 2020 de interne beheersingsmaatregelen in opzet en bestaan voldoen aan de geselecteerde normen inzake DigID.

Voor wat betreft de normen inzake Suwinet is geconstateerd dat niet aan alle normen wordt voldaan. Een van de tekortkomingen hierop ligt bij aan Rotterdam uitbestede taken, wij sturen aan op verbeteracties en monitoren dit. Het andere onderdeel betreft het ontbreken van een procedure op de controle van loggegevens over het gebruik van Suwinet bij gebruik van het inlezen van gegevens voor het Digitaal Klant Dossier (DKD). Dit wordt zo snel mogelijk als verbeteractie opgepakt. U treft de collegeverklaring als bijlage van dit jaarverslag aan. Een gecertificeerd auditor toetst of onze interne beheersingsmaatregelen in opzet en bestaan voldoen aan de normen inzake DigID en Suwinet. Hierover levert de auditor een Assurance verklaring af en bekrachtigt de collegeverklaring. Deze documenten zijn van belang voor de verticale verantwoording aan de departementen.

16

4. Samenvattend beeld en resultaten informatiebeveiliging 2020

Achtergrond Dit is het vierde jaarverslagslag is over onze informatiebeveiliging. Vorig jaar gaven we u een beeld van onze activiteiten en behaalde resultaten vanaf het moment dat we in 2015 gestart zijn met ons informatiebeveiligingsbeleid. In dit verslag beperken wij ons tot de activiteiten en behaalde resultaten van het afgelopen jaar ten opzichte van een meting over 2019. Het gemeentelijk informatiebeveiligingsbeleid is actueel. We hebben ons in 2015 geconformeerd aan het normenkader van de Baseline Informatiebeveiliging Nederlandse Gemeenten (BIG) en sinds 2020 de Baseline Informatiebeveiliging Overheid. Ook zijn en we zijn aangemeld bij de Informatiebeveiligingsdienst (IBD). De IBD is een gezamenlijk initiatief van de VNG en KING. De IBD is er voor alle gemeenten en richt zich op bewustwording, kennisdeling en concrete ondersteuning op het vlak van informatiebeveiliging (incidentpreventie, -detectie en -coördinatie). Door als gemeente ‘officieel’ aan te sluiten bij de IBD, krijgen we specifieke ondersteuning in geval van incidenten. De IBD biedt bovendien concrete producten en diensten die gemeenten kunnen helpen bij de sturing op informatiebeveiliging binnen hun organisatie.

Voor meer informatie over de IBD, zie hun site https://www.informatiebeveiligingsdienst.nl/ Om het informatiebeveiligingsbeleid goed te implementeren, werken we op basis van een “GAPanalyse/risicoanalyse”. Deze analyses zijn uitgevoerd in directe samenspraak met de betrokken collega’s van de vakafdelingen. Hiermee is het “GAP” of “gat” tussen de huidige en de gewenste situatie (volgens de normen van de BIG) in beeld gebracht. Vanuit deze analyse hebben we een planning en rangschikking van maatregelen gemaakt, om aan de normen met de hoogste prioriteit te voldoen. Deze planning en prioritering is vormgegeven en geactualiseerd in een jaarlijkse top 10 te nemen maatregelen en quick-wins waaraan in 2020 verder is gewerkt. Voortdurend wordt na de genomen maatregelen de top 10 aangevuld met nieuwe, op de gap-analyse gebaseerde, acute dreigingen en de aanbevelingen uit de ENSIA verantwoording over 2019. Om inzicht te verschaffen waar we met onze informatiebeveiliging nu precies staan hebben we met ons ISMS meting uitgevoerd over 2019 en 2020 .

17

Resultaat meting BIO De eerste meting op basis van de BIO is in maart 2020 uitgevoerd over 2019 met een gemiddelde score van 62%. De tweede meting is uitgevoerd in maart 2021 over 2020 met een gemiddelde score van 81%. Er is aldus een stijgende lijn in de gemiddelde score. Grafisch ziet de score er op de 14 hoofdstukken uit de BIO er als volgt uit:

100%

5 Informatiebeveiligingsbeleid

67%

6 Organiseren van informatiebeveiliging 7 Veilig Personeel

83%

8 Beheer van bedrijfsmiddelen

85% 69%

9 Toegangsbeveiliging

100%

10 Cryptografie

89%

11 Fysieke beveiliging en beveiliging van de omgeving

79%

12 Beveiliging bedrijfsvoering

100%

13 Communicatiebeveiliging 14 Acquisitie, ontwikkeling en onderhoud van informatiesystemen

79%

15 Leveranciersrelaties

80%

Meting 2021 over 2020 Meting 2020 over 2019

71%

16 Beheer van informatiebeveiligingsincidenten

50%

17 Informatiebeveiligingsaspecten van bedrijfscontinuïteitsbeheer

88%

18 Naleving

0%

50%

100%

150%

Op bijna alle hoofdstukken is verbetering te zien dan wel is die gelijk. Opvallende achterblijver is hoofdstuk 17 van de BIO ofwel informatieveiligheidsaspecten van bedrijfscontinuïteit met een score van 50% net als in 2019. Hoewel we veel maatregelen hebben ingericht zoals back-up, uitwijk, noodstroomaggregaat etc. is dat allemaal nog niet compleet en in samenhang tot een (crisis) plan gevormd. Het spectrum van bedrijfscontinuïteitsbeheer is veel meer dan dat. Het gaat ook over crisisbeheer, kritische bedrijfsprocessen, liquiditeiten, verzekeringen, huisvesting, veiligheid personeel en bezoekers en archiefbeheer. Ook valt op dat het lijkt of we er bij hoofdstuk 6 van de BIO ofwel ‘Organiseren van informatiebeveiliging er 8 % op achteruit zijn gegaan. Dit zit vooral in het feit dat we achter zijn gebleven in het actualiseren van ons in- en uitdiensttredingsproces van medewerkers en ons thuiswerkbeleid dat nog niet is aangepast aan de huidige (BIO) eisen. Deze onderdelen krijgen net als bedrijfscontinuïteitsbeheer in 2021 prioriteit om als maatregelen te actualiseren en te borgen.

18

De vergaande digitalisering en de daarmee gepaard gaande dreigingen zoals bijvoorbeeld ransomware4 die recentelijk opdook bij de gemeente Hof van Twente, noodzaakt ons als gemeente alert te zijn en aandacht te blijven vragen en geven aan informatieveiligheid. Bewustwording van digitaal handelen onder het personeel blijft dan ook een continu aandachtspunt. Zoomen we voor beide jaren nader in op de antwoorden in hoeverre voldaan is aan de gestelde normen dan zien we grafisch het volgende:

In de hoofdstuk 6 gaan we nader in op de voorgenomen verbeterpunten en activiteiten die onder de categorie actualisatie/onderhoud vallen voor 2021 voorzien van een toelichting. Deze verbeterpunten gaan we na uw goedkeuring van dit jaarplan als actiepunten opnemen in het ISMS en van daaruit monitoren.

4 Ransomware ofwel gijzelsoftware is schadelijke software die computers en bestanden gijzelt. Criminelen geven toegang

weer vrij als hiervoor losgeld is betaald.

19

Ook in 2020 hebben we op basis van de AVG met leveranciers en dienstverleners verwerkersovereenkomsten en dataleveringsovereenkomsten afgesloten. Hierin zijn de verantwoordelijkheden geregeld voor de beveiliging van het gebruik van onze privacygevoelige gegevens. We hebben naast technische maatregelen, ook gewerkt aan bewustzijn bij de medewerkers. Informatiebeveiliging en privacybescherming hebben een grote ‘houding en gedrag’- kant. Vanwege de inwerkingtreding van de AVG zijn door de projectgroep Privacy gemeente-brede bijeenkomsten georganiseerd waarbij vooral is ingegaan op hoe er vertrouwelijk met persoonsgegevens van personen moet worden gegaan. Onze interne beveiligingsorganisatie bestaat uit medewerkers van de verschillende teams die binnen hun team zorgen voor bewustzijn en aanspreekpunt zijn voor informatiebeveiliging voor hun team. Zij zijn in 2019 opgeleid en werden ook in 2020 bijgeschoold door Fox IT om te zorgen dat hun kennis up to date is en blijft. Daarnaast zijn er voor de borging van de AVG en de privacybescherming medewerkers binnen de organisatie aangewezen als privacy-ambassadeur. Een overzicht van de op de BIO gebaseerde maatregelen uit de top 10 vindt u in hoofdstuk 6.

20

Algemene Verordening Gegevensbescherming (AVG) Sinds 25 mei 2019 is de Algemene Verordening Gegevensbescherming (AVG) van toepassing. Deze verordening vervangt de Privacyrichtlijn 95/46, waarop de huidige Wet Bescherming Persoonsgegevens (WBP) is gebaseerd. Het doel van de AVG is de bescherming van persoonsgegevens te vergroten. Alle organisaties die met persoonsgegevens werken, zoals de gemeente Midden-Delfland, zijn verplicht de privacybescherming op orde te hebben. Aan het niet of niet goed naleven van de AVG zijn grote risico’s verbonden. Door de Autoriteit Persoonsgegevens kunnen forse boetes worden opgelegd. Ook kan de betrokken organisatie reputatieschade naar de burgers toe oplopen. Om die reden heeft de Rekenkamer Midden-Delfland de recente invoering van de AVG aangegrepen om te kijken naar de manier waarop de gemeente de benodigde maatregelen heeft genomen. In oktober en november 2018 heeft de Rekenkamer Commissie (RKC) van de gemeente MiddenDelfland onderzoek gedaan naar het volwassenheidsniveau van de gemeentelijke organisatie in de bescherming van de privacy bij de verwerking van persoonsgegevens van inwoners uit MiddenDelfland. Het doel van het onderzoek is de gemeenteraad van Midden-Delfland inzicht te geven in het gemeentelijk privacybeleid en aanbevelingen te doen over mogelijke verbeteringen van dit beleid.

Op 14 mei 2019 presenteerde de rekenkamercommissie haar bevindingen over het onderzoek naar Privacy In het rapport van de RKC zijn verschillende aanbevelingen gedaan. Deze aanbevelingen zijn waardevol om een scherpe blik te houden op de implementatie van de AVG. De resultaten en ambtelijke reactie op het rapport geven een afdoende beeld als horizontale verantwoording. Daarom laten we een verdere uiteenzetting over de AVG in dit jaarverslag IB achterwege. De Functionaris Gegevensbescherming draagt vanuit de AVG zelf zorg voor een jaarverslag. Bij het incidenten overzicht informatiebeveiliging in hoofdstuk 8 leest u ook het aantal en soort datalekken over 2020.

21

5. Disclaimer

Beveiligingsincidenten zijn helaas niet te voorkomen; 100% beveiliging is een utopie. De vraag is dan ook niet zozeer of er een beveiligingsincident met een hoge impact zal plaatsvinden, maar wanneer. Beveiligingsincidenten kunnen leiden tot onderbreking van werkzaamheden, reputatieschade en aanzienlijke financiële schade als gevolg van het bestrijden van een incident en het herstellen naar een normale situatie. De maatregelen die we nemen zijn erop gericht de risico’s zoveel mogelijk te minimaliseren tegen aanvaardbare kosten. Daarnaast houden we rekening met de impact op dienstverlening en bedrijfsvoering. Een hele goede maatregel is bijvoorbeeld het uitschakelen van alle internetverbindingen van het gemeentehuis. Een hacker van buiten het kantoor zou dan geen enkele kans meer hebben. Dit is in deze tijd onwerkbaar omdat onze gegevensuitwisseling met inwoners en andere overheden voor een groot gedeelte via het internet lopen. Naast preventieve maatregelen richten we ons ook op procedures en maatregelen wanneer zich een incident voordoet. Zodat we met onze dienstverlening en bedrijfsvoering zo snel mogelijk weer operationeel zijn.

22

6. Belangrijkste beheersmaatregelen IB In de BIO staan controls en maatregelen. Het vraagt meerdere jaren om deze maatregelen te implementeren in onze gemeentelijke processen en systemen. Het is daarom nodig om inzicht te krijgen in wat er moet gebeuren met welke prioriteit. Met een delegatie van applicatie- en procesbeheerders is daarom op basis van de BIG in 2016 een GAP- en Impactanalyse uitgevoerd op gemeente-brede maar ook systeem specifieke maatregelen. De GAP-analyse is het uitzoeken waar men staat ten opzichte van de maatregelen. Een soort 0-meting, wat hebben we aan maatregelen al ‘in huis’ en wat is hiervan nog up to date. Hierbij is het van belang om alvast na te denken of maatregelen gemeente-breed of systeem specifiek zijn. Deze stap geeft ook al inzicht in hoe het nu geregeld is, dus wie voert feitelijk welke informatiebeveiligingsmaatregelen uit. Hiermee is er inzicht gekomen in waar we de focus voor het komende jaar qua BIO-implementatie op leggen: a. De status van belangrijke gemeente-brede maatregelen. b. Essentiële processen. c. Kritische systemen. d. De status van systeem specifieke maatregelen.

Conclusies GAP-en impactanalyse Uit de eerste (BIG-gebaseerde) GAP-analyse kwamen 155 nog te implementeren maatregelen. Om de juiste prioriteit te krijgen bij deze 155 openstaande maatregelen die de gemeente MiddenDelfland als eerste op moet pakken is naast de Gap-analyse ook een risico- en impactanalyse gemaakt. Omdat het onmogelijk was om 155 punten tegelijk op te pakken, hebben we ons na de risico- en impactanalyse) gericht op een top 10 lijst. De te implementeren maatregelen op deze top 10 lijst pakten we als eerste op. Daarna richten we ons jaarlijks op 10 nieuwe normen en te nemen maatregelen van de BIG, volgens de prioritering uit de impact- en risicoanalyse. Met de inwerkingtreding van de BIO is het aantal maatregelen omlaag gegaan maar wel met de komst van een aantal verplichte maatregelen. Welke maatregelen je moet nemen als organisatie hangt af van de risico’s. Deze worden inzichtelijk gemaakt aan de hand van wat de kans is dat zich iets voor doet, wat de impact dit heeft en welke schade er mee gemoeid is. De BIO Baselinetoets Na de impactanalyse voor de BIG hebben we een in 2019/2020 de (BIO) baselinetoets uitgevoerd waarmee we een dataclassificatieschema hebben opgesteld. Hiermee weten we welke taakvelden/processen strenge en minder strenge maatregelen behoeven.

Om te bepalen of een proces, informatiesysteem en/of informatie een bepaald Basis Beveiligings Niveau (BBN) heeft binnen de BIO, of meer maatregelen nodig heeft, nadat de GAP-analyse en impactanalyse ten opzichte van de BIO organisatie-breed is uitgevoerd. De uitkomsten gebruiken we om te bepalen of er meer maatregelen nodig zijn voor een proces en onderliggende informatiesystemen. Deze maatregelen kunnen worden verkregen uit een voorgedefineerde lijst met maatregelen bovenop de baseline, of door een aanvullende diepgaande risicoanalyse. Daarnaast gebruiken we de baselinetoets bij de fase voor het starten van een project of voor een nieuw informatiesysteem. De vragenlijst vormt dan input voor de eventueel te nemen additionele beveiligingsmaatregelen, welke in de definitiefase van het project nader worden uitgewerkt. Bijvoorbeeld door middel van een aanvullende diepgaande risicoanalyse. Het resultaat van de baselinetoets BIO kan duiden op een zwaartepunt in het te beschermen belang, er is bijvoorbeeld een hogere score voor Beschikbaarheid, maar niet op Integriteit en Vertrouwelijkheid. In de daarna uit te voeren risicoanalyse dient dan de nadruk te liggen op verhogen van Beschikbaarheid. Er is getoetst wat al is geïmplementeerd en nog actueel is volgens de BIO normen. Met name de generieke beveiligingsmaatregelen die gemeente-breed gelden.

Bij deze generieke beveiligingsmaatregelen gaan we uit van.:

23

         

Het gemeentelijk informatiebeveiligingsbeleid, dit is gelijk voor de gehele gemeente Het toewijzen van de Chief Information Security Officer (CISO)-rol Verantwoordelijkheden van de lijnmanagers (te verankeren in het beleid) (ITIL) beheerprocessen en aandacht voor beveiliging Personele beveiligingsmaatregelen Fysieke toegangsbeveiligingsmaatregelen Beveiligingsmaatregelen voor apparatuur en software Malware scanning als generieke dienst (dus niet ten behoeve van één informatiesysteem) Omgang met (mobiele) gegevensdragers Het hebben van een Information Security Management Systeem (ISMS)

Verbeterpunten op basis van meting BIO De focus voor verbetering richt zich vooral op de hoofdstukken in BIO die volgens de meting lager dan 75% scoren. Dat zijn dan de hoofdstukken (6) Organiseren van de informatiebeveiliging, (9) toegangsbeveiliging, (16) Beheer van Informatiebeveiligingsincidenten en (17) informatiebeveiligingsaspecten rond bedrijfscontinuïteit. Nr

Onderwerp

Beschrijving verbeterpunten

8.1.2

Beheer van bedrijfsmiddelen

Bedrijfsmiddelen die in het inventarisoverzicht worden bijgehouden, behoren een eigenaar te hebben. Dit is nog niet voor alle bedrijfsmiddelen het geval. In een aantal gevallen is het beschreven in het functieprofiel. Verbetering pakken we in de breedte aan en betrekken hierbij ook financiën. Hoe gaan wij organisatie breed om met eigenaarschap? Discussie is al in gang gezet waarbij ook directieteam is betrokken.

8.1.4

Beheer van bedrijfsmiddelen: Teruggeven bedrijfsmiddelen

Alle medewerkers en externe gebruikers moeten alle bedrijfsmiddelen van de organisatie die ze in hun bezit hebben bij beëindiging van hun dienstverband, contract of overeenkomst terug te geven. Hoewel dit wel ad-hoc opgepakt wordt is dit (nog) geen procesmatig onderdeel van het in- en uit- diensttredingsproces van P&O.

8.2.2

Beheer van bedrijfsmiddelen: Informatieclassificati e en labeling

Er is een eenduidige en organisatie brede procedure nodig hoe wij per informatiesysteem omgaan met het verlenen van toegangsrechten, aanpassen en tijdig beëindigen van toegang. Dit is overigens wel geregeld voor BRP, Suwinet en DigiD, maar niet specifiek voor andere (kritische) informatiesystemen waarin onder meer gevoelige persoonsgegevens zijn opgenomen. Het gebruik van een autorisatiematrix per kritische applicatie maakt standaard onderdeel uit van de procedure. Ook doelbinding is hierbij een belangrijk aspect. We stellen een procedure op voor het verlenen, aanpassen en beëindigen van toegangsrechten en integreren in het in– en uitdiensttredingsproces.

9.2.1

Registratie en afmelden van gebruikers

Een formele registratie- en afmeldingsprocedure behoort te worden geïmplementeerd om toewijzing van toegangsrechten mogelijk te maken. HRM speelt hierbij een belangrijke rol en afstemming met andere afdelingen moet beter geregeld worden. Vooral risico bij afmelden van inhuurkrachten. Groepsaccounts komen nog voor. Dit wordt is samenhang met het in- en uit- diensttredingsproces als verbeteractie opgepakt.

9.2.2

Gebruikers toegang verlenen

We passen de gebruikerstoegangsverleningsprocedure aan en implementeren die om toegangsrechten voor alle type gebruikers en voor alle systemen en diensten toe te wijzen of in te trekken. Voor de wettelijke verplichting in bepaalde 24

domeinen is er wel een risicoafweging voor toegangsrechten. Afdelingsdirecteuren hebben de bevoegdheid om toegangsrechten te autoriseren. Het is niet duidelijk of het gehele proces m.b.t de werking volledig is. Autorisatiematrix moet de standaard worden voor BBN2 applicaties. Dit pakken we als verbeteractie in samenhang op met het in- en uitdiensttredingsproces. 9.2.3

Beheren van speciale toegangsrechten

Het toewijzen en gebruik van speciale toegangsrechten behoren te worden beperkt en beheerst. Bij de wettelijk verplichte onderdelen (BRP, PUN, Suwi, DigiD) is dit al wel geregeld. Organisatie breed nog niet. Dit pakken we als verbeteractie in samenhang op met het in- en uit- diensttredingsproces.

9.2.4

Beheer van geheime authenticatieinformatie van gebruikers

Het toewijzen van geheime authenticatie-informatie behoort te worden beheerst via een formeel beheersproces. Hierin is conform de norm in voorzien. De wachtwoorden van testaccount van leveranciers zoals Centric is nog punt van aandacht.

9.2.5

Beoordeling van toegangsrechten van gebruikers

Eigenaren van bedrijfsmiddelen behoren toegangsrechten van gebruikers regelmatig te beoordelen. Alleen de wettelijk verplichte domeinen specifiek als BRP, PUN, Suwi en DigiD. Rol moet breder aandacht krijgen, hoort in eerste instantie te liggen bij de functioneel applicatiebeheerder.

9.2.6

Toegangsrechten intrekken of aanpassen

De toegangsrechten van alle medewerkers en externe gebruikers voor informatie en informatie verwerkende faciliteiten behoren bij beëindiging van hun dienstverband, contract of overeenkomst te worden verwijderd, en bij wijzigingen behoren ze te worden aangepast. Dit pakken we als verbeteractie in samenhang op met het in- en uitdiensttredingsproces. Dit is nu nog teveel ad-hoc georganiseerd.

16.1.7

Beheer van informatiebeveiliging sincidenten en – verbeteringen: Verzamelen van bewijsmateriaal

De organisatie behoort procedures te definiëren en toe te passen voor het identificeren, verzamelen, verkrijgen en bewaren van informatie die als bewijs kan dienen. Er is een redelijk compleet protocol maar hierin ontbreekt nog het laten uitvoeren van forensisch onderzoek. Dit hangt ook samen met 17.1.1 over het hebben van een continuïteitsplan bij een cybercrisis.

H17

Informatiebeveiliging s-aspecten van bedrijfscontinuïteitsb eheer

Dit hoofdstuk impliceert dat de organisatie aandacht moet besteden aan bedrijfscontinuïteitsbeheer (BCM). Het is overigens niet de verantwoordelijkheid van de CISO om dit te realiseren. Die verantwoordelijk ligt bij de directie. Wel is het een taak van de CISO om dit onderwerp onder de aandacht te brengen van de directie (responsible) en het bestuur (accountable). Als gemeente scoren we fors laag als het gaat om BCM en dat is zorgelijk. We hebben immers een maatschappelijke (voorbeeld) functie en we verkeren op dit moment in een crisis in de vorm van COVID-19. Dat zal zeker niet de laatste zijn, alleen - en dat is kenmerkend voor een crisis - weten we niet wanneer de volgende zich aandient. Zo kan ransomware of een brand in het gemeentehuis aanleiding zijn voor een lokale crisis bij de gemeente en dan moet opeens ingegrepen worden onder hoge psychische druk met zeer beperkte informatie en met grote belangstelling vanuit de media waarbij de kans op datalekken

25

en beveiligingsincidenten enorm toeneemt als geen passende beveiligingsmaatregelen zijn getroffen. BCM gaat niet alleen over ICT, maar raakt de hele organisatie. Het gaat dus ook om de veiligheid van personeel en bezoekers, het beschikbaar houden van huisvesting en archief en vooral het beschikbaar houden van kritische bedrijfsprocessen onder alle omstandigheden. Voor 2021 is de planning om het onderwerp BCM onder de aandacht te brengen van de directie en bestuur door een inventarisatie op hoofdlijnen uit te voeren en dit in de vorm van een rapport aan te bieden met adviezen om BCM structureel te borgen in de organisatie. We gaan in 2021 een QuickScan BCM uitvoeren, uitmondend in een rapport ten behoeve van de directie college van B&W. Tevens plannen we voor 2021 een oefening op een cybercrisis. 18.2.2

Verhogen gebruik ISMS

Het ISMS is ons managementsysteem dat helpt om op een aantoonbare en controleerbare wijze verantwoording af te leggen op het gebied van informatiebeveiliging. De kracht van dit systeem wordt groter naarmate meer gebruikers hun bijdrage leveren aan dit systeem en waarbij de CISO het beheersproces dat hieraan verbonden is, beter kan gaan monitoren. Het ISMS maakt dan echt onderdeel uit van de hele organisatie en daarmee worden we als geheel minder kwetsbaar op de continuïteit van informatiebeveiliging. Voor een groot deel rust dit nu op de schouders van de CISO en informatiebeveiligingsadviseurs. Uiteraard is het verhogen van het gebruik een groeiproces. We gaan medewerkers die direct of indirect betrokken zijn bij het vormgeven van een ISMS en daarvoor input moeten leveren in 2021 benaderen om hun verantwoordingsbijdrage namens de directie zelf in te voeren in het ISMS. Dat vergt op zich nauwelijks inspanning voor de gebruiker vanwege de gebruikersvriendelijkheid van het ISMS. We gaan in 2021 het gebruik van het ISMS in de organisatie verbreden naar alle informatiebeveiligingsbeheerders.