D03 01 Bijlage bij Nota Rapportage informatieveiligheid en ENSIA 2020 - Rapportage informatiebeveiliging 2020.pdf

Rapportage Informatieveiligheid en privacy 2020 Gemeente Noordoostpolder

Wat willen we bereiken? Onze inwoners moeten er op kunnen vertrouwen dat hun gegevens bij ons veilig zijn en dat hun privacy gerespecteerd wordt. • Gegevens moeten op orde en controleerbaar zijn • Gegevens en informatie mogen alleen verwerkt worden als ze nodig zijn voor uitvoering van onze gemeentelijke taken • Gegevens en informatie mogen alleen beschikbaar zijn voor de daartoe

geautoriseerde personen • Gegevens moeten voor hen beschikbaar zijn en mogen niet onderschept, gelezen of gemanipuleerd kunnen worden • Medewerkers moeten zorgvuldig en bewust handelen om bovenstaande

te borgen. • Doelstellingen en beginselen uit de AVG behalen en waarborgen

Dreigingsbeeld informatieveiligheid 2020-2022 We worden steeds afhankelijker van gedigitaliseerde processen en systemen. Daardoor wordt digitale veiligheid ook steeds belangrijker, specifiek de vertrouwelijkheid, integriteit en beschikbaarheid

 Dreigingen door menselijk handelen: • •

• •

Intern en onbedoeld, bijvoorbeeld e-mails met gevoelige gegevens aan de verkeerde geadresseerde Extern, bedoeld maar ongericht (geautomatiseerde bulkaanvallen) Extern, bedoeld en gericht (phishing) Intern en bedoeld zoals medewerkers die persoonsgegevens verkopen (voorbeeld GGD)

 Storing en uitval van (informatie)systemen blijven tevens een grote dreiging vormen (bedrijfcontinuiteit).  Er is een toename van pogingen om gebruikersnamen en wachtwoorden te achterhalen

Dreigingen door menselijk handelen  Mensen maken fouten  Dreigingen liggen ook (vlak) buiten de eigen organisatie  De waan van de dag bepaalt de agenda  We weten niet wat we niet weten.

Een datalek zit in een klein hoekje, het kan iedereen overkomen

Datalekken Openbaar Bestuur  Nog geen jaarverslag van de Autoriteit Persoonsgegevens m.b.t. datalekken. Wel is duidelijk dat het aantal privacyklachten groeit:

 Meest voorkomende datalekken blijven: • Persoonsgegevens verstuurd of afgegeven aan de verkeerde ontvanger (70%) • Brief of pakket kwijt of geopend retour • Het kwijtraken of de diefstal van een gegevensdrager zoals een laptop of usb-

stick

 Weinig meldingen over hacking, malware of phisingincidenten •

De meeste datalekken betreffen gelukkig slechts 1 of enkele betrokkenen.

Melding kwetsbaarheden of incidenten in Noordoostpolder Interne meldingen

Beveiligingsincident of datalek

152

26

Datalek

Melding AP

15

6

In 2020 zijn onderstaande meldingen geregistreerd: • 119 kwetsbaarheids- en 7 incidentmeldingen van de Informatiebeveiligingsdienst IBD. Deze zijn getoetst en waar nodig zijn maatregelen getroffen • 26 meldingen of vragen van medewerkers over een incident of datalek • 15 maal is geoordeeld dat het een datalek betrof

• 6 maal is hiervan een melding aan Autoriteit Persoonsgegevens gedaan (conform beleidslijn) • 1 klacht over vermoeden ongewenst doorgeven van persoonsgegevens aan een derde

Waarover? Voornamelijk ongeoorloofde of onbedoelde verstrekking van of toegang tot persoonsgegevens (vertrouwelijkheid).  Persoonsgegevens aan verkeerde persoon gestuurd per brief of e-mail (in bijlagen)  Aanvraag rijbewijs met verkeerde personalia (verwisseling)  Document met persoonsgegevens achtergebleven in (vergader)ruimte  Interne mailwisseling met te veel persoonsgegevens zichtbaar voor meerdere medewerkers  Privé telefoonnummer van enkele medewerkers in intern systeem zichtbaar  Inloggen door twee collega’s op een gebruikersnaam  Vermissing (diefstal) laptop, geen lokaal opgeslagen gegevens van de gemeente

Impact datalekken

In alle gevallen betrof het bij Noordoostpolder • Een beperkt aantal betrokkenen • Een beperkt aantal persoonsgegevens

Programma iBewust Begrijpen is doen!

 Via NOPnet worden medewerkers geattendeerd op zaken als: • Belang informatieveiligheid algemeen • Vormen van phishing (social engineering) • Belang van goede wachtwoorden • Zorgvuldig omgaan met persoonsgegevens • Melden incidenten om schade te beperken • Voorbeelden incidenten andere organisaties  Mysteryguest en test phishingmail ingezet om handelen in de praktijk te toetsen  Nieuwe medewerkers doen e-learning informatieveiligheid  Wachtwoordenkluis geintroduceerd voor medewerkers

Noemenswaardige ontwikkelingen  Kwaliteitsmonitor voor de BRP en de Reisdocumenten met goed resultaat doorlopen. De rapportages zijn separaat aan burgemeester /college aangeboden  Begin 2020 thuiswerken aantal dagen afgesloten i.v.m. kwetsbaarheid in Citrix  ENSIA-verantwoording 2019 afgerond met een collegeverklaring  ENSIA-verantwoording 2020 met externe audits op de DigiD en Suwinet-inkijk en zelfaudits Informatieveiligheid, BAG, BRO en BGT.  Medio 2020 is een Baselinetoets KCC uitgevoerd ter bepaling van het beveiligingsniveau voor de informatiestromen in het KCC conform de Baseline Informatiebeveiliging Overheden.  In september 2020 is een securitytest uitgevoerd (ethische hacker) met een aanvullende test in december (n.a.v. hack Hof van twente)