2020-05-18-Brief-raadsleden-en-commissieleden-over-onderzoek-informatiebeveiliging

Aan: De leden van de Gemeenteraden en Raadscommissies van Wassenaar, Voorschoten, Oegstgeest en LeidschendamVoorburg Datum: 18 mei 2020 Betreft: Start onderzoek naar de informatiebeveiliging van gemeentelijke organisaties en verbonden partijen

Geachte raadsleden en commissieleden, De Rekenkamercommissie is deze maand gestart met een onderzoek naar de informatiebeveiliging van de gemeentelijke organisaties en daaraan verbonden partijen. Doel Het onderzoek moet in beeld brengen hoe de informatiebeveiliging is geborgd 'op papier' en hoe ermee wordt omgegaan in 'de praktijk'. Zo mogelijk leidt het tot aanbevelingen ter verbetering van deze beveiliging. Achtergrond Het onderzoek volgt op een eerder onderzoek van de Rekenkamercommissie naar digitale dienstverlening. Het rapport erover, 'Beter sturen op digitale dienstverlening', werd op 13 april 2016 aangeboden aan de gemeenteraden. Over het deelonderwerp informatiebeveiliging werd onder meer geconcludeerd dat op het terrein van informatiebeveiliging en privacybescherming in de vier gemeenten nog grote stappen moesten worden gezet. Het ging daarbij om gegevens van de gemeente zelf en om gegevens van burgers, bedrijven en instellingen. Geadviseerd werd risicoanalyses uit te voeren, zo nodig aanvullende maatregelen te nemen voor systemen en processen, en eventuele risico’s op te nemen in de paragraaf Weerstandsvermogen van de Programmabegroting. Ook werd geadviseerd expliciet te sturen op het formuleren van concrete kaders op informatiebeveiliging door verbonden partijen.

Deze aanbevelingen zijn destijds door alle colleges van B&W overgenomen. De Rekenkamercommissie is benieuwd op welke wijze uitvoering is gegeven aan de aanbevelingen uit 2016. Daarbij gaat bijzondere aandacht uit naar verbonden partijen. Onderzoeksplan 2018-2020 Dit onderzoek sluit aan bij de hoofdlijnen van ons Onderzoeksplan 2018-2020, namelijk sociaal domein en versterking van de rol van de gemeenteraad. Wij verwachten met onze onderzoeken u een beter inzicht te verschaffen. Dit kan de effectiviteit en efficiency van het gemeentelijk beleid vergroten. Meer informatie De onderzoeksopzet vindt u in de bijlage. Voor verdere vragen kunt u contact opnemen met de secretaris van de Rekenkamercommissie, Gerard Lappee (06-13153487, info@rekenkamerwvolv.nl).

Met vriendelijke groet, Rekenkamercommissie Wassenaar, Voorschoten, Oegstgeest en Leidschendam-Voorburg

Dolf Kamermans, voorzitter

BIJLAGE: ONDERZOEKSOPZET De Rekenkamercommissie heeft gekozen voor het onderzoeksbureau IB&P. Onderzoeksvragen ➢ In hoeverre is de sturing van de gemeenten van verbonden partijen toereikend op het gebied van informatiebeveiliging? ➢ In hoeverre zijn de risico's en beheersmaatregelen in kaart gebracht in de paragraaf Weerstandsvermogen van de gemeentelijke programmabegrotingen? ➢ In hoeverre zijn de gemeenteraden en de Informatiebeveiligingsdienst (IBD) geïnformeerd over het aantal datalekken, de resultaten van de penetratie-tests en de verbetervoorstellen bij gemeenten en verbonden partijen? ➢ Op welke wijze communiceren de gemeenten met hun bevolking over ontstane datalekken? ➢ Wat kunnen de vier gemeenten van elkaar leren en van andere gemeenten in het land? ➢ Welke beheersmaatregelen hebben de gemeenten en verbonden partijen genomen om hacken van computernetwerken, binnendringen van gebouwen en andere datalekken te voorkomen, respectievelijk de gevolgen ervan te verzachten? ➢ In hoeverre hebben de gemeenten en verbonden partijen de risico's in kaart gebracht en welke maatregelen zijn er eventueel aanvullend nodig? ➢ Wat was het aantal geconstateerde datalekken en de aard en omvang ervan? ➢ Wat was het aantal uitgevoerde penetratie-tests en de resultaten ervan? ➢ Hoe eenvoudig is het om gevoelige informatie te krijgen via hacken van het gemeentelijk computernetwerk? ➢ Tot

welke verbetervoorstellen hebben de datalekken en penetratie-tests geleid? Bronnen Voor het onderzoek worden: ➢ openbare en niet-openbare documenten bestudeerd; ➢ minimaal 27 personen geïnterviewd, waaronder verantwoordelijke personen bij twee verbonden partijen per gemeente; ➢ alle verbonden partijen geënquêteerd; ➢ penetratietesten of kwetsbaarheidsanalyses uitgevoerd. Rapportage IB&P maakt op basis van het onderzoek een rapportage met bevindingen en eventueel aanbevelingen. Deze wordt voorgelegd voor ambtelijk wederhoor en bestuurlijk wederhoor. In november 2020 ontvangt u de rapportage en aanbiedingsbrief.