D01 01 Bijlage bij Nota - Rapportage informatiebeveiliging en AVG en WPG 2022.pdf
Tekst van het document
Rapportage Informatieveiligheid, AVG en Wpg 2022 Gemeente Noordoostpolder
Wat willen we bereiken? Onze inwoners moeten er op kunnen vertrouwen dat hun gegevens bij ons veilig zijn en dat hun privacy gerespecteerd wordt. • Gegevens moeten op orde en controleerbaar zijn • Gegevens en informatie mogen alleen verwerkt worden als ze nodig zijn voor uitvoering van onze gemeentelijke taken • Gegevens en informatie mogen alleen beschikbaar zijn voor de daartoe
geautoriseerde personen • Gegevens moeten voor hen beschikbaar zijn en mogen niet onderschept, gelezen of gemanipuleerd kunnen worden • Medewerkers moeten zorgvuldig en bewust handelen om bovenstaande
te borgen. • Doelstellingen en beginselen uit de AVG moeten we waarborgen • Onze toezichthouders moeten voldoen aan de Wet politiegegevens
Dreigingsbeeld 2023-2024 Grootste risico’s voor gemeenten: •
Uitval van dienstverlening en bedrijfsvoering
•
Vertrouwelijke informatie in verkeerde handen
•
Fouten in dienstverlening
Informatiebeveiligingsdienst gemeenten (IBD)vraagt aandacht voor:
Dreigingen nemen toe
De kans om slachtoffer te worden van een ransomware-aanval neemt hierdoor ook sterk toe.
Trend ransomeware aanvallen:
Onze dienstverlening en bedrijfsvoering kan ook onder druk komen te staan als ketenpartners beveiligingsincidenten hebben
Voorbeelden van incidenten en gevolgen Inwoners kunnen voorlopig geen afspraken maken voor bevolkingszaken. Ook de Antwerpse politie en
.
stedelijke musea zijn gedeeltelijk offline
Ons digitaal loket was tijdelijk gesloten. ICTbeheer tot ver in januari 2022 bezig met nasleep hiervan.
Continue doorontwikkelen informatieveiligheid Hackers zitten niet stil, beveiligingsmaatregelen moeten telkens aangepast worden om voldoende weerbaar te blijven.
Aandacht houden voor privacy Door: •
Aandacht te vragen om datalekken te blijven melden
•
Privacy impact analyses uit te voeren
•
Bij wijzigingen in verwerkingen en systemen informatieveiligheid en privacy vanaf de start mee te nemen
•
Bij inkooptrajecten direct aandacht te vragen voor verwerkersovereenkomsten
Datalekken Openbaar Bestuur • Nog geen jaarverslag van de Autoriteit Persoonsgegevens m.b.t. datalekken 2022 in het openbaar bestuur. • Na een stijging van meldingen vanaf 2018 is het aantal datalekmeldingen bij de Autoriteit nu gestabiliseert • Oorzaak van datalekken is vaker door hacking, malware of phishing
Kwetsbaarheden of incidenten in Noordoostpolder Kwetsbaarheid meldingen IBD
185
Melding incident of datalek
16
Datalek
9
Melding AP
4
Inzage Verzoek
1 0
AVG
Wpg
In 2022 ontvingen we: •
185 kwetsbaarheid- en incidentmeldingen van de IBD. Deze zijn getoetst en waar nodig zijn maatregelen getroffen
•
16 meldingen van onze medewerkers over beveiligingsincidenten en
potentiële datalekken •
9 maal is geoordeeld dat het een datalek betrof, waarvan voor 4 meldingen een meldplicht gold richting de Autoriteit Persoonsgegevens. Betrokkenen zijn geïnformeerd
•
We hebben in 2022 alleen 1 inzageverzoek op grond van de AVG ontvangen
Landelijk meest voorkomende datalekken
Datalekken in Noordoostpolder Ook in Noordoostpolder zijn de meeste datalekken veroorzaakt door: •
E-mail of brief naar verkeerde (e-mail)adres gestuurd
•
Stukken naar juiste ontvanger maar in bijlage te veel persoonsgegevens opgenomen
•
Een verkeerd document ( van een ander persoon) uitgereikt bij de balie
Met als gevolg: Mogelijk onbevoegde kennisname van persoonsgegevens door derden.
Wet politiegegevens (nieuw) Van toepassing voor onze BOA’s en leerplichtambtenaren Aandacht is nodig voor: •
De wijze waarop het verwerken van politiegegevens is georganiseerd
•
De maatregelen en procedures die daarbij van toepassing zijn
•
Het toetsen op het consequent toepassen van deze maatregelen en procedures.
Verplichte externe audit ter verantwoording over ons gebruik van politiegegevens aan de Autoriteit persoonsgegevens. •
Audit rapport is ingediend.
•
Verbeterpunten zijn gericht op het vastleggen procedures op dit gebied en het toetsen op naleving van deze procedures
Programma iBewust Nieuwe medewerkers doen een verplichte e-learning over informatieveiligheid. •
6 maal is via introductiedagen aandacht gevraagd voor informatieveiligheid en privacy bij:
•
•
Nieuwe medewerkers
•
Nieuwe collegeleden
We blijven op intranet periodiek aandacht vragen voor bewust en veilig handelen en het melden van datalekken
Kwaliteitsmonitor voor de BRP en de Reisdocumenten doorlopen (zelfevaluatie). In 2023 volgt controle reisdocumenten door ministerie
ENSIA-verantwoording 2021 afgerond met een collegeverklaring als basis voor verantwoording richting Rijksoverheid
Overige noemenswaardige ontwikkelingen
ENSIA-verantwoording 2022 doorlopen met externe audits op de DigiD en Suwinet-inkijk en zelfaudits Informatieveiligheid, WOZ, BAG, BRO en BGT.
Interne en externe audit Wpg voor de Boa’s en leerplichtambtenaren Actualisatie gestart van het strategisch beleid en een continuïteit beleidsplan