Rekenkamercommissie WVOLV d.d. 8 februari 2021 - IBP Rekenkameronderzoek Informatiebeveiliging
Tekst van het document
Rekenkameronderzoek informatiebeveiliging van gemeenten en verbonden partijen
Rekenkameronderzoek informatiebeveiliging
Colofon Dit is een uitgave van IB&P B.V. Versie 2.1 Auteurs Peter Kluitmans Renco Schoemaker - CCISO, CISSP, CISM, CIPP/E Erna Havinga - MBA, CISSP, CISM, CISA Anouk Tijhuis - CIPP/E Vormgeving Yoeri Laros Technische analyse Duijnborgh Audit B.V. 8 februari 2021 info@ib-p.nl
Postbus 638 | 8000 AP | Zwolle | 038-760 1350
© IB&P BV 2020
Rekenkameronderzoek informatiebeveiliging
Samenvatting De wereldwijde digitalisering gaat razendsnel en
elkaar snel op en er worden steeds nieuwe
transformeert onze maatschappij in een rap
aanvalsmethoden door hackers ontwikkeld.
tempo. Dit biedt kansen voor gemeenten, die immers midden in de informatiesamenleving
Informatiebeveiliging is sterk afhankelijk van het
opereren, maar brengt ook nieuwe risico’s en
inzicht dat een gemeente heeft in de
uitdagingen met zich mee. Een goede
bedrijfsprocessen en de risico’s die er op hoog,
informatiebeveiliging wordt daarom steeds
midden en laag niveau worden geconstateerd.
belangrijker. Zonder goede informatiebeveiliging
Hiervoor dienen dus over de (kritische)
liggen cybercriminaliteit, fraude, oplichting en
bedrijfsprocessen een risico analyse te worden
ondermijning op de loer.
uitgevoerd. Risico’s veranderen continu doordat doelstellingen, interne en externe dreigingen, de
Aanleiding De Rekenkamercommissie (RKC) Wassenaar, Voorschoten, Oegstgeest en LeidschendamVoorburg (WVOLV) heeft onderzoek laten uitvoeren naar de informatiebeveiliging binnen de gemeentelijke organisaties en de daaraan verbonden partijen. In een eerder rapport, ‘Beter sturen op digitale dienstverlening’ (2016), deed de RKC onder meer de aanbeveling: ‘College, zorg voor risicoanalyses betreffende informatiebeveiliging en voer de Baseline Informatieveiligheid Gemeenten (BIG) in.’ De RKC is benieuwd op welke wijze de vier gemeenten opvolging hebben gegeven aan deze aanbeveling, namelijk: de zorg voor risicoanalyses betreffende informatiebeveiliging.
Het belang van informatie-
omgeving en wet- en regelgeving veranderen. Als onvoldoende rekening wordt gehouden met de veranderende risico’s, zijn maatregelen op termijn niet meer passend. Informatiebeveiliging vergt daarom een cyclisch, iteratief en terugkerend proces met als doel risico’s te mitigeren. Informatiebeveiliging en privacy gaan hand in hand. Het gevolg van een datalek kan een inbreuk zijn op de persoonlijke levenssfeer van een inwoner. Landelijk is hier veel aandacht voor. Zo komen grote datalekken in het nieuws en is de reputatieschade voor de betreffende organisatie groot. Informatiebeveiliging is dus niet alleen essentieel voor de bescherming van de inwoner, maar ook voor de reputatie van de gemeente ook al zou het datalek bij een verbonden partij plaatsvinden.
beveiliging
Onderzoeksopzet
Onder informatiebeveiliging wordt verstaan het
Het onderzoek is uitgevoerd door onafhankelijk
treffen en onderhouden van een samenhangend
adviesbureau IB&P in de periode mei t/m
pakket van maatregelen om de betrouwbaarheid
september 2020 en richt zich niet alleen op de vier
van de informatievoorziening aantoonbaar te
gemeenten, maar ook op de verbonden partijen.
waarborgen. Kernpunten daarbij zijn
Op basis van elf onderzoeksvragen is het
beschikbaarheid, integriteit (juistheid) en
informatiebeveiligingsbeleid, de verantwoording
vertrouwelijkheid van persoonsgegevens en
hierover en de operationele implementatie
andere informatie. De ontwikkelingen rondom
daarvan getoetst. Informatie is verkregen vanuit
informatiebeveiliging volgen elkaar snel op.
documentatie, interviews met CISO’s1, FG’s2 en
Systemen worden verder doorontwikkeld en
griffiers, en vanuit online enquêtes. Niet alle
onderling gekoppeld, software-updates volgen
geïnterviewde CISO’s en FG’s hadden formeel deze
1
De Chief Information Security Officer (CISO) is de informatiebeveiligingsfunctionaris binnen de ambtelijke organisatie
2
De Functionaris Gegevensbescherming (FG) is de interne toezichthouder op de naleving van de privacywetgeving (Algemene Verordening Gegevensbescherming – AVG)
© IB&P BV 2020
Rekenkameronderzoek informatiebeveiliging
functie of rol, maar voerden wel de
Verantwoording
werkzaamheden uit. Ook bij een aantal van de verbonden partijen zijn deze functionarissen geïnterviewd, de rest van de verbonden partijen
Stuur blijvend op het beleidsterrein
hebben een online enquête ingevuld. Daarnaast is
informatiebeveiliging (en privacy) bij
een technische analyse van de IT-infrastructuur
verbonden partijen door hen hier jaarlijks
uitgevoerd binnen de gemeenten. De
over te laten rapporteren. Maak de
onderliggende technische rapporten bij dit
verantwoording onderdeel van het jaarlijkse
onderzoek zijn al eerder vertrouwelijk opgeleverd
Plan-Do-Check-Act proces voor
aan de CISO’s van de respectievelijke gemeenten
informatiebeveiliging en beleg de coördinatie
zodat, waar nodig, maatregelen genomen konden
op de uitvoering van dit proces bij de CISO.
worden. De sturing en controle op de uitvoering van het Hieronder zetten we een aantal bevindingen en
informatiebeveiligings- en privacybeleid bij
aanbevelingen op rij, verdeeld over de
samenwerkingsverbanden is onvoldoende. Daarin
hoofdthema’s Beleid – Verantwoording –
is geen verbetering gekomen sinds het
Operationele implementatie en Technische analyse
rekenkamerrapport ‘Grip op samenwerking?’3
Het gekleurde schuifje geeft aan wat de urgentie is
(2014). De bestaande verantwoording en controle
van de aanbeveling. Groen = is op orde, oranje =
is te weinig gericht op informatiebeveiliging, terwijl
heeft aandacht nodig en rood = is urgent/
de gemeenten daarvoor wel de
zorgwekkend.
eindverantwoordelijkheid dragen. Veelal ontbreken operationele afspraken over de
Beleid
afhandeling en opvolging van datalekken tussen
Behoud de aanwezige aandacht en inzet
Verdiep en verbreed de uitwisseling van
voor informatiebeveiliging en privacy.
gemeenten en verbonden partijen.
kennis, aanpak en ervaringen tussen
De inzet, oplettendheid en bevlogenheid van
gemeenten onderling. Formaliseer een
verantwoordelijke ambtenaren en bestuurders
(bestuurlijke) overlegstructuur en schenk
is onmisbaar.
aandacht aan het jaarlijkse Plan-Do-Check-Act proces voor informatiebeveiliging zelf.
In kader van het onderzoek is met name gekeken
Onderling leren dient plaats te vinden op zowel
naar het informatiebeveiligingsbeleid en
het beleidsdomein, het uitvoeringsdomein als
privacybeleid van de organisatie. Alle gemeenten
het controledomein.
hebben een vastgesteld informatiebeveiligings- en privacybeleid, net als de meeste verbonden
Gemeenten voeren dezelfde wettelijke taken uit en
partijen. Verder valt positief op dat er dagelijks
werken daarbij in toenemende mate met elkaar
door vele medewerkers met inzet wordt getracht
samen in uitlopende verbanden. Er wordt goed
de gemeenten veilig(er) te maken en te houden.
gebruik gemaakt van wat de
Dat wordt onbedoeld vaak gezien als een
Informatiebeveiligingsdienst (onderdeel VNG)
vanzelfsprekendheid (net als water uit de kraan),
aanreikt, maar de WVOLV-gemeenten weten
maar verdient hier aandacht. Voorts wordt door
onderling weinig van elkaar over hoe er wordt
middel van opleiding, training en voorlichting
gewerkt en wat er speelt. Wel wordt er in andere
structureel gewerkt aan bewustwording.
– veelal regionale – verbanden kennis en ervaring uitgewisseld. Dát er onderling geleerd wordt is belangrijker dan in welke constellatie dat gebeurt.
3
https://www.rekenkamerwvolv.nl/wp-content/uploads/2018/02/Rapport_Grip_op_Samenwerking_iPad.pdf
© IB&P BV 2020
Rekenkameronderzoek informatiebeveiliging
Operationele Implementatie
(mede)verantwoordelijkheid van de gemeente. Dit kan een verbonden partij zijn. In een relatief groot aantal van deze overeenkomsten is onduidelijk
Voer tenminste jaarlijks risicoanalyses uit en integreer hierin zowel
welke beveiligingsmaatregelen die organisaties (behoren te) nemen.
informatiebeveiliging als privacy. De uitvoering van taken door verbonden partijen valt hier ook binnen. Stuur
Technische Analyse
vervolgens op het beheersen van deze risico’s en stel indien nodig beleidskaders en operationele uitvoering bij. Neem de risico’s plus beheersmaatregelen op in de gemeentelijke programmabegroting. In 2014 is geconcludeerd dat gemeenten niet systematisch risicoanalyses uitvoeren, waarin de risico’s van samenwerkingsverbanden in kaart worden gebracht. Dit is tot op heden niet verbeterd. Voorts lopen zij achter met het maken van dergelijke risicoanalyses op het gebied van informatiebeveiliging terwijl dit een verplichting is vanuit het normenkader Baseline Informatiebeveiliging Overheid (BIO), die per 1 januari 2020 van kracht is. Door gemeenten en de meeste verbonden partijen wordt gewerkt aan de invoering van deze BIO. Voorkom dat sturing op risico’s verwordt tot sturing op maatregelen.
Inventariseer alle verwerkingen van persoonsgegevens en actualiseer daarmee het verwerkingsregister. Neem in alle verwerkersovereenkomsten concrete afspraken over beveiligingsmaatregelen op. Vraag vervolgens minimaal jaarlijks om
Volg de adviezen uit de technische analyse op en voer periodiek kwetsbaarhedenscans uit. Laat minimaal jaarlijks penetratietesten uitvoeren door een daarin gespecialiseerd bureau. Blijf hackers voor door structureel zelf van buiten naar binnen te (laten) kijken en richt een proces in voor het snel kunnen oplossen van de gevonden kwetsbaarheden. Informatiebeveiliging is veel breder dan alleen de techniek, maar niettemin is de technische beveiliging van IT een belangrijk onderdeel. De staat hiervan is te toetsen met kwetsbaarhedenscans (nadruk op ‘verkennen’) en penetratietesten (nadruk op ‘binnendringen’). De gemeenten voeren deze niet of te beperkt uit. Het uitgangspunt daarbij is minimaal jaarlijks én bij grote veranderingen. Uit de uitgevoerde toetsen is gebleken dat de gemeentelijke netwerken kwetsbaar zijn door de aanwezigheid van onder meer verouderde software. Dit is door een kwaadwillende vrij eenvoudig te ‘verkennen’ waardoor ‘binnendringen’ een reëel risico wordt.
een verantwoordingsrapportage om de naleving vast te stellen. Borg dit richting de toekomst in het inkoopproces. Instrueer de FG
Daarom: informatiebeveiliging
hier strikt toezicht op te houden.
Samenvattend: alle zaken staan wel in de steigers, maar behoeven nog veel aandacht in de
Registers van verwerkingen zijn verplichte
systematische uitwerking in de praktijk. De
registraties over het gebruik van
gemeenten zijn op dit moment niet voldoende ‘in
persoonsgegevens binnen de gemeente. Bij een
control’ op informatiebeveiliging omdat de risico’s
gemeente ontbreekt een dergelijk register en bij
en het gebruik van persoonsgegevens
de overige gemeenten zijn deze onvolledig en/of
onvoldoende in beeld zijn. Dit gecombineerd met
gedateerd. Een andere verplichting is het afsluiten
de nauwelijks aanwezige
van overeenkomsten met organisaties die met
verantwoordingsinformatie maakt sturen op dit
persoonsgegevens van burgers werken onder de
beleidsterrein erg moeilijk.
© IB&P BV 2020
5
Rekenkameronderzoek informatiebeveiliging
De digitale weerbaarheid van gemeenten staat onder druk door een toenemende complexiteit en connectiviteit in het IT-landschap, nieuwe ontwikkelingen en door te weinig aandacht voor digitale veiligheid bij nieuwe, innovatieve projecten. Kortom, vandaag ‘voldoen’ betekent niet dat dit ook voor morgen geldt. Nul risico lopen bestaat niet, maar ‘in control’ komen op deze risico’s wél. Achteropraken kan desastreuze gevolgen hebben, zo ondervonden bijvoorbeeld de gemeente Lochem (2019) en de gemeente Hof van Twente (2020). Daarom: informatiebeveiliging.
Binnen de gemeenten werd veelal gebruik gemaakt van het template van de Informatiebeveiligingsdienst (IBD) van VNG voor het schrijven van een informatiebeveiligingsbeleid. De strategische doelen van het informatiebeveiligingsbeleid zijn:
• • • • • • • • • •
Het managen van de informatiebeveiliging. Adequate bescherming van bedrijfsmiddelen. Het minimaliseren van risico’s van menselijk gedrag. Het voorkomen van ongeautoriseerde toegang. Het garanderen van correcte en veilige informatievoorzieningen. Het beheersen van de toegang tot informatiesystemen. Het waarborgen van veilige informatiesystemen. Het adequaat reageren op incidenten. Het beschermen van kritieke bedrijfsprocessen. Het beschermen en correct verwerken van persoonsgegevens van burgers en medewerkers.
•
Het waarborgen van de naleving van dit beleid.
Het vaststellen van een informatiebeveiligingsbeleid is procedureel op orde, de verantwoordelijkheden zijn binnen de organisaties belegd. Alleen is het zichtbaar uit de aanvullende conclusies dat de implementatie van dit beleid nog de nodige aandacht vergt.
© IB&P BV 2020
6
Rekenkameronderzoek informatiebeveiliging
Rekenkameronderzoek informatiebeveiliging van gemeenten en verbonden partijen
© IB&P BV 2020
7
Rekenkameronderzoek informatiebeveiliging
Inhoudsopgave
1
Inleiding en onderzoeksaanpak
10
1.1 De zorg voor risicoanalyses betreffende informatiebeveiliging
10
1.2 Reikwijdte van dit vervolgonderzoek
10
1.3 Onderzoeksaanpak
11
1
1.3.1 Onderzoek gemeenten WVOLV11 1.3.2 Onderzoek verbonden partijen11 1.3.3 Indeling onderzoek12
2
1.4 Leeswijzer
13
Wat verstaan we onder informatiebeveiliging
14
2.1 Terminologie
15
2.2 Wet- en regelgeving in relatie tot risicomanagement
16
2
2.2.1 Baseline Informatiebeveiliging Overheid16 2.2.2 Algemene Verordening Gegevensbescherming16
3
4
5
Bevindingen
19
3.1 Algemene bevindingen
20
3.2 Beleid
20
3.3 Verantwoording
23
3.4 Operationele implementatie
25
3.5 Technische analyse
28
3.6 Wat kunnen gemeenten van elkaar leren?
31
Conclusies
32
4.1 Beleid, verantwoording operationele implementatie
33
4.2 Penetratietesten en kwetsbaarhedenscans
34
4.3 Conclusies per gemeente
34
Aanbevelingen
36
5.1 Algemene aanbevelingen
37
5.2 Aanbevelingen voor de gemeenteraad
38
5.3 Slotbeschouwing
38
3
4
5
+
Bijlagen39 Bijlage 1: Praatplaat
40
Bijlage 2: Onderzoeksvragen
41
Bijlage 3: Lijst met geïnterviewde personen
42
Bijlage 4: Gebruikte afkortingen
45
© IB&P BV 2020
8
Rekenkameronderzoek informatiebeveiliging
1
1
Inleiding en onderzoeksaanpak 2
3
4
5
+
© IB&P BV 2020
9
Rekenkameronderzoek informatiebeveiliging
1. Inleiding en onderzoeksaanpak De wereldwijde digitalisering gaat razendsnel en transformeert onze maatschappij in een rap tempo. Dit biedt nieuwe kansen, als gemeente sta je immers midden in de informatiesamenleving, maar brengt ook (nieuwe) risico’s en uitdagingen met zich mee. Een goede informatiebeveiliging wordt daarom steeds
1
belangrijker. Gemeenten verwerken namelijk grote hoeveelheden gegevens in een veelvoud aan systemen en processen. Veel van deze gegevens betreffen (bijzondere) persoonsgegevens of andere gevoelige gegevens die goed beschermd moeten zijn. Daarnaast wisselen de gemeenten ook gegevens uit met de zogenaamde verbonden partijen. Zonder goede informatiebeveiliging liggen cybercriminaliteit, fraude, oplichting en ondermijning op de loer. De hierboven beschreven ontwikkeling is voor de Rekenkamercommissie (RKC) Wassenaar, Voorschoten, Oegstgeest en Leidschendam-Voorburg (WVOLV) aanleiding geweest een onderzoek uit te laten voeren naar de informatiebeveiliging binnen de gemeentelijke organisaties en de daaraan verbonden partijen.
2 De RKC heeft eerder, in 2016, het onderzoek ‘Beter sturen op digitale dienstverlening’ uitgevoerd. In dit onderzoeksrapport zijn onder meer aanbevelingen gegeven op het gebied van informatiebeveiliging4. Deze aanbevelingen zijn destijds door alle vier de colleges van Burgemeesters & Wethouders (B&W) overgenomen. Dit vervolgonderzoek gaat over wat er met de aanbevelingen uit het rapport van 2016 is gedaan.
3
1.1
De zorg voor risicoanalyses betreffende informatiebeveiliging
De centrale vraag in het onderzoek ‘Beter sturen op digitale dienstverlening’ luidde: Wat is de visie en het beleid van de vier gemeenten ten aanzien van digitale dienstverlening, en de sturing en controle daarop - zowel de digitale dienstverlening door de eigen gemeente, als door verbonden partijen en uitvoeringspartijen? En wat is de rolverdeling van de raden en de colleges van burgemeester en wethouders hierin?
4
In aanbeveling vier van bovengenoemd onderzoek staat: ‘College, zorg voor risicoanalyses betreffende informatiebeveiliging en voer de Baseline Informatieveiligheid Gemeenten (BIG) in.’ De RKC is benieuwd op welke wijze de vier gemeenten opvolging hebben gegeven aan deze aanbeveling
5
uit 2016, namelijk: de zorg voor risicoanalyses betreffende informatiebeveiliging. Hiertoe heeft de RKC laten onderzoeken hoe informatiebeveiliging is geborgd in beleid en beheer en hoe ermee wordt omgegaan in de praktijk. Zowel qua organisatie en processen als in de techniek. De resultaten van dit onderzoek leest u in dit rapport.
1.2
+
Reikwijdte van dit vervolgonderzoek
Het onderzoek brengt in beeld hoe informatiebeveiliging is geborgd ‘op papier’ en hoe ermee wordt omgegaan in ‘de praktijk’, met bijzondere aandacht voor de inrichting van de IT-infrastructuur.
4
Zie “Conclusie en aanbeveling 4” uit het rapport “Beter sturen op digitale dienstverlening” 13 april 2016
© IB&P BV 2020
10
Rekenkameronderzoek informatiebeveiliging
In de scope van het onderzoek zijn de vragen die de RKC geformuleerd heeft met betrekking tot informatiebeveiliging opgenomen. Deze vragen zijn ingedeeld in de onderdelen: Beleid, verantwoording, operationele implementatie en technische analyse. In bijlage 2 zijn de 11 onderzoeksvragen weergegeven. Dit vervolgonderzoek richt zich niet alleen op de informatiebeveiliging, maar is ook gericht op datalekken zoals in een aantal onderzoeksvragen is terug te zien. De verwerking van persoonsgegevens valt onder de Algemene Verordening Gegevensbescherming (AVG). Datalekken hebben per definitie betrekking op
1
persoonsgegevens, en derhalve ook de beveiliging daarvan. De periode waarop dit onderzoek zich richt loopt van 2018 tot en met de eerste helft van 2020.
1.3
Onderzoeksaanpak
Het onderzoek richt zich niet alleen op de vier gemeenten, maar ook op de aan de gemeenten verbonden partijen. De informatie is middels interviews, (online) enquêtes en technische analyses verzameld en vervolgens geanalyseerd.
1.3.1 Onderzoek gemeenten WVOLV
2
Het onderzoek beperkt zich vanzelfsprekend tot de gemeenten Wassenaar, Voorschoten, Oegstgeest en Leidschendam-Voorburg (WVOLV). Tijdens het onderzoek naar de informatiebeveiligingsaspecten zijn de volgende onderwerpen aan bod gekomen. 1.
Beleid
Wat is het informatiebeveiligingsbeleid?
2.
Verantwoording
Op welke wijze wordt over informatiebeveiliging verantwoording
3.
Operationele implementatie
afgelegd? Op welke wijze is het beleid omgezet in operationele procedures en
zijn deze (aantoonbaar)geborgd binnen de organisatie?
4.
Op welke wijze is de IT-infrastructuur ingericht om te kunnen
Technische analyse
3
voldoen aan het beleid? (d.m.v. penetratietesten en
kwetsbaarheidsanalyses)
4
Tezamen geeft dit antwoord op de onderzoeksvragen uit bijlage 2. Om de onderzoeksvragen te kunnen beantwoorden zijn bij alle gemeenten de Chief Information Security Officer (CISO), de Functionaris Gegevensbescherming (FG) en de griffier geïnterviewd. Van de interviews zijn gespreksverslagen opgesteld die ter verificatie zijn aangeboden aan de geïnterviewden.
1.3.2 Onderzoek verbonden partijen
5
Een verbonden partij is een privaatrechtelijke of publiekrechtelijke organisatie waarin de gemeente een bestuurlijk en een financieel belang heeft. Onder een bestuurlijk belang wordt verstaan: zeggenschap, via vertegenwoordiging in het bestuur of via stemrecht. Onder een financieel belang wordt verstaan: een aan de verbonden partij ter beschikking gesteld bedrag, dat niet verhaalbaar is door de gemeente, indien de
+
verbonden partij failliet gaat. In het eerder aangehaalde rapport ‘Beter sturen op digitale dienstverlening’ uit 2016 is geadviseerd expliciet te sturen op het formuleren van concrete kaders op informatiebeveiliging door verbonden partijen. Om een goed beeld te krijgen van de informatiebeveiliging binnen de verbonden partijen is ervoor gekozen het onderzoek hier langs twee lijnen uit te voeren.
© IB&P BV 2020
11
Rekenkameronderzoek informatiebeveiliging
Online vragenlijst Gezien het opgegeven aantal verbonden partijen was het niet mogelijk deze allemaal in detail mee te nemen in het onderzoek. Daarom is besloten een online enquête uit te zetten onder deze organisaties (zie bijlage 3). In de enquête zijn vragen gesteld over informatiebeveiliging, uitgaande van de Baseline Informatiebeveiliging Overheid (BIO). Op basis van deze vragenlijst kan niet alleen een uitspraak gedaan worden over het voldoen aan de actuele normenkaders, maar ook de organisatorische sturing en
1
verantwoording hierover. Voorts heeft de focus uitsluitend gelegen op de verbonden partijen die omgaan met 1) bijzondere persoonsgegevens, 2) gevoelige financiële gegevens en/of 3) andere gevoelige gegevens, zoals vertrouwelijke rapporten.
Interviews Om het onderzoek naar verbonden partijen voldoende diepgang te geven, zijn twee verbonden partijen per gemeente nader onderzocht door middel van interviews. Dit gaat in totaal dus om acht verbonden
2
partijen (zie bijlage 3). De keuze voor deze verbonden partijen is gebaseerd op de mate waarin deze (bijzondere) persoons- of gevoelige financiële gegevens verwerken. Van de interviews zijn verslagen gemaakt die ter goedkeuring zijn aangeboden aan de geïnterviewden.
1.3.3 Indeling onderzoek Het onderzoek is opgedeeld in zes fasen die elkaar logisch opvolgen, maar in de praktijk met elkaar
3
overlappen. Zo liepen de interviews, enquête en technische analyses parallel na afronding van de inventarisatiefase. In de analysefase is alles samengebracht en vervolgens in rapportagevorm opgeleverd in voorliggend rapport. 1.
Inventarisatie
In deze fase is een inventarisatie gemaakt van degenen die betrokken moeten worden bij het onderzoek. Tevens is bepaald welke verbonden partijen worden uitgenodigd voor een interview. Tot slot zijn bij alle vier de gemeenten algemene documenten, beleidsdocumenten en procedures op
4
basis van de BIO opgevraagd. 2.
Interviews
De interviews bestaan uit een vaste set vragen die vanzelfsprekend verband houden met de onderzoeksvragen, maar ook met de aangeleverde documentatie. Van de interviews is een gespreksverslag opgesteld. Het
5
gespreksverslag is steeds geverifieerd door de geïnterviewde. 3.
Enquête
De niet-geïnterviewde verbonden partijen zijn bevraagd via een online enquête. De enquête resulteert in een algemeen beeld met betrekking tot de status van de informatiebeveiliging bij de verbonden partij.
4.
Technische
Bij elke gemeente is een penetratietest en een kwetsbaarheidsanalyse
analyse
uitgevoerd. De penetratietest is uitgevoerd als een zogenaamde black box
+
test. De kwetsbaarheden-scan is uitgevoerd met ‘administrator-credentials’ waardoor ingelogd kon worden op de servers. Voor het uitvoeren van de technische analyse is per gemeente een vrijwaringsverklaring vereist.
© IB&P BV 2020
12
Rekenkameronderzoek informatiebeveiliging
5.
Analyseren
Nadat alle informatie is verzameld zijn de gegevens gegroepeerd, in onderlinge samenhang geïnterpreteerd, geanalyseerd en zijn conclusies en aanbevelingen opgesteld. De resultaten van de technische analyse zijn met de betrokken gemeenten gedeeld.
6.
Rapportage.
De rapportage is tweeledig: er wordt één rapport aangeboden aan de RKC.
1
Dit rapport staat open voor publicatie. Daarnaast wordt er per gemeente een rapport geschreven. Dit rapport is vertrouwelijk.
1.4
Leeswijzer
Dit rapport bevat de conclusies en aanbevelingen die volgen uit het onderzoek. Het rapport bestaat, buiten deze inleiding, uit nog vier hoofdstukken. In hoofdstuk 2 wordt uiteengezet wat wordt verstaan onder informatiebeveiliging en privacy. Hoofdstuk 3 behandelt de vijf onderwerpen: beleid, verantwoording, operationele implementatie, technische analyse en leren. In hoofdstuk 4 worden op basis
2
van de bevindingen de conclusies van het onderzoek beschreven en tot slot worden in hoofdstuk 5 de conclusies omgezet naar een aantal aanbevelingen. Ook zijn hier een slotbeschouwing en stellingen voor een debat opgenomen. Door dit rapport heen treft u enkele tekstkaders met achtergrondkleur aan; deze kaders maken integraal onderdeel uit van het rapport. Ze zijn toegevoegd om de leesbaarheid van het rapport te vergroten.
3
In de bijlage van dit rapport is als eerste een Handreiking voor gemeenteraden, een overzicht van de onderzoeksvragen (bijlage 2), de geïnterviewde personen (bijlage 3) en de gebruikte afkortingen (bijlage 4) te vinden.
4
5
+
© IB&P BV 2020
13
Rekenkameronderzoek informatiebeveiliging
2
1
Wat verstaan we onder informatiebeveiliging 2
3
4
5
+
© IB&P BV 2020
14
Rekenkameronderzoek informatiebeveiliging
2. Wat verstaan we onder informatiebeveiliging? Informatiebeveiliging is vandaag de dag een veelbesproken onderwerp. Veel werkprocessen,
1
besluitvorming en procedures zijn in hoge mate afhankelijk van (juiste) informatie, en is de gemeente juist daar erg kwetsbaar. Binnen informatiebeveiliging wordt er gekeken naar de beschikbaarheid, integriteit en vertrouwelijkheid van informatie. Met de invoering van de Algemene Verordening Gegevensbescherming (AVG)5 zijn de regels rondom de bescherming van persoonsgegevens aangescherpt en daarmee ook het belang van informatiebeveiliging benadrukt. In dit hoofdstuk worden de diverse begrippen uitgelegd in hun onderlinge samenhang.
2.1
Terminologie
De begrippen informatieveiligheid en informatiebeveiliging worden vaak door elkaar gebruikt, afhankelijk
2
van de context. Maar wat is het verschil? Informatieveiligheid verwijst veelal naar het doel: een informatieveilige gemeente. Informatiebeveiliging verwijst naar de instrumenten en maatregelen om dat doel te bereiken. De definitie van informatiebeveiliging is het treffen en onderhouden van maatregelen om de beschikbaarheid, integriteit en vertrouwelijkheid van de informatievoorziening en informatiesystemen te
3
garanderen. Gegevensbescherming is het proces waarbij persoonsgegevens worden beschermd tegen beschadiging, verlies en toegang door onbevoegde partijen. Privacy gaat over de afscherming van persoonsgegevens. De verleiding om deze gegevens te gebruiken voor andere doeleinden dan waarvoor ze bedoeld zijn, is groot. Om de privacy te waarborgen, moeten deze gegevens goed worden beveiligd. Waar privacy en informatiebeveiliging elkaar raken, gaat het over de beveiliging van persoonsgegevens.
4 5
https://autoriteitpersoonsgegevens.nl/nl/over-privacy/wetten/algemene-verordening-gegevensbescherming-avg
Informatiebeveiliging en privacymanagement 5
+
15
Rekenkameronderzoek informatiebeveiliging
Informatiebeveiliging en privacymanagement zijn nauw verweven, maar zeker niet hetzelfde. Goede privacybescherming bevat informatiebeveiliging van persoonsgegevens, maar daarnaast ook andere onderdelen. Daarbij kun je bijvoorbeeld denken aan het bepalen van de grondslag voor de verwerking van persoonsgegevens: op welke grond mag ik deze gegevens verwerken? Informatiebeveiliging kan prima geregeld zijn voor gegevens die je eigenlijk niet zou mogen hebben. Dan is de informatiebeveiliging op orde maar privacy-management niet.
1
Een ander onderdeel van privacy-management is het waarborgen van de rechten van betrokkenen: degene over wie persoonsgegevens worden verzameld, heeft onder andere recht op inzage, correctie en verwijdering. Dit heeft weinig te maken met informatiebeveiliging. Daarnaast zijn er onderdelen van informatiebeveiliging die niet met persoonsgegevens te maken hebben, zoals het beveiligen van financiële of organisatiegegevens.
2
2.2
Wet- en regelgeving in relatie tot risicomanagement
De aandacht voor informatiebeveiliging en privacy is de afgelopen jaren enorm toegenomen, aangewakkerd door de veranderlijkheid van het thema en nieuwe of geactualiseerde wet- en regelgeving. Door de komst van de meldplicht datalekken zijn issues, die er voorheen ook al waren, zichtbaar geworden. De ontwikkelingen op het vlak van informatiebeveiliging en privacymanagement volgen elkaar
3
snel op en moeten een antwoord bieden op steeds weer nieuwe (digitaliserings)vragen.
2.2.1 Baseline Informatiebeveiliging Overheid (BIO) De Baseline Informatiebeveiliging Overheid (BIO) is het basisnormenkader voor informatiebeveiliging binnen alle overheidslagen. Sinds 1 januari 2020 is de BIO van kracht. De BIO vervangt de Baseline Informatiebeveiliging Nederlandse Gemeenten (BIG). De Informatiebeveiligingsdienst voor gemeenten (IBD) is een initiatief van alle Nederlandse gemeenten en valt onder de Vereniging van Nederlandse Gemeenten – VNG Realisatie. De IBD ondersteunt gemeenten op het gebied van informatiebeveiliging (en
4
privacy) met kennisproducten zoals handreikingen en factsheets. De producten bevatten praktische handvatten voor gemeenten en adviezen in lijn met de BIO en de AVG.
2.2.2 Algemene Verordening Gegevensbescherming (AVG) De Algemene Verordening Gegevensbescherming (AVG) is een Europese verordening die de regels voor de
5
verwerking van persoonsgegevens door particuliere bedrijven en overheidsinstanties standaardiseert. Het doel van de AVG is niet alleen om de bescherming van persoonsgegevens te garanderen, maar ook om het vrije verkeer van gegevens te waarborgen. Dat gaat in de praktijk niet altijd goed, zo weten we. We spreken dan over een datalek. Onder een datalek
+
verstaan we de toegang tot, vernietiging, wijziging of het vrijkomen van persoonsgegevens bij een organisatie zonder dat dit de bedoeling is van deze organisatie, of zonder dat dit wettelijk is toegestaan. In de context van privacy spreekt men over het ‘verwerken van persoonsgegevens’ in de ruimste zin des woords. Onder gegevensverwerking verstaan we het verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending,
© IB&P BV 2020
16
Rekenkameronderzoek informatiebeveiliging
verspreiden of op andere wijze ter beschikking stellen, combineren, afschermen, wissen of vernietigen van persoonsgegevens. De AVG spreekt over risicomanagement. Als een gegevensverwerking mogelijk een hoog privacy-risico oplevert voor de mensen van wie de organisatie gegevens verwerkt, moet volgens de AVG een Data Protection Impact Assessment (DPIA) worden uitgevoerd. Dat is een instrument om vooraf de privacy
1
risico’s van een gegevensverwerking in kaart te brengen. Hierbij dienen nadrukkelijk en aantoonbaar de belangen van de betrokkenen waarop de persoonsgegevens betrekking hebben, te worden meegewogen. Vervolgens kunnen passende maatregelen genomen worden die de risico’s reduceren of wegnemen. Informatiebeveiliging en privacy gaan hand in hand. Het gevolg van een datalek kan een inbreuk zijn op de persoonlijke levenssfeer van een inwoner. Landelijk is hier veel aandacht voor. Zo komen grote datalekken in het nieuws en is de reputatieschade voor de betreffende organisatie groot. Informatieveiligheid is dus niet alleen essentieel voor de bescherming van de inwoner, maar ook voor de reputatie van de gemeente ook al zou het datalek bij een verbonden partij plaatsvinden.
2
Daarnaast moet een inbreuk in verband met persoonsgegevens gemeld worden aan de Autoriteit Persoonsgegevens (AP) als er sprake is van een risico voor de rechten en vrijheden van betrokkene(n). Bij een hoog risico moet de betrokkene zelf ook geïnformeerd worden. Formeel is de drempel om te melden bij de AP laag. Een relatief klein voorval als een geopend retour gestuurde brief met gevoelige persoonsgegevens, is al iets wat gemeld moet worden aan de AP.
3
Risicomanagement Binnen dit rapport wordt vaak een verwijzing gemaakt naar risicomanagement. Met name gaat het hier om risicomanagement op het gebied van informatiebeveiliging en/of privacy. Hierbij een korte beschrijving wat hieronder wordt verstaan:
4
Risicomanagement is een middel om op een gestructureerde manier risico’s in kaart te brengen, te evalueren en – door er pro-actief mee om te gaan – beter te beheersen. De gemeente inventariseert risico’s en de gevolgen van deze risico’s en verbindt er maatregelen aan. Door al in een vroeg stadium na te denken over de mogelijke risico’s die de gemeente loopt, wil men deze voorkomen en de eventuele ernstige gevolgen ervan beperken.
5
Risicomanagement bestaat grofweg uit zes stappen: 1)
Identificatie van risico’s
2)
Analyse en beoordeling van risico’s (in bijv. laag, medium, hoog)
3)
Analyse van huidige beheersmaatregelen
4)
Ontwerpen en uitvoeren aanvullende beheersmaatregelen
5)
Controleren, evalueren en rapporteren
6)
Resultaten integreren in de besluitvormingsprocessen
+
Vaak is het lastig voor een proceseigenaar om vanuit het niets bedreigingen en risico’s op het gebied van de informatieveiligheid voor de eigen afdeling in kaart te brengen. Maar dit wordt vanuit het informatiebeveiligingsbeleid of het managementsysteem (ISMS) vaak wel vereist. Een veel gebruikte
© IB&P BV 2020
17
Rekenkameronderzoek informatiebeveiliging
methode om dit proces van risico-inventarisatie te ondersteunen is de zogenaamde MAPGOOD-methode. MAPGOOD staat voor Mensen, Apparatuur, Programmatuur, Gegevens, Organisatie, Omgeving en Diensten. Dit zijn verschillende invalshoeken die je kunt gebruiken in een gesprek met een afdelingsmanager om naar bedreigingen en risico’s te kijken om zo beveiligingsmaatregelen in kaart te brengen. •
Mens, denk aan: directe en indirecte gebruikers, en functioneel en technisch applicatiebeheer.
•
Apparatuur, denk aan: webserver, applicatieserver, beheer van werkplekken en werkplekken/
laptops van gebruikers.
•
Programmatuur, denk aan: de diverse applicaties die gebruikt worden.
•
Gegevens, denk aan: basisregistraties, financiële verantwoording en vergunningen.
•
Organisatie, denk aan: beheer-, gebruikers- en ontwikkelorganisatie.
•
Omgeving, denk aan: locatie, serverruimte en werkplekken.
•
Diensten, denk aan: technisch systeembeheer, IT-infrastructuur en onderhoudscontracten met
1
externe dienstverleners of verbonden partijen.
2
3
4
5
+
© IB&P BV 2020
18
Rekenkameronderzoek informatiebeveiliging
3
1
Bevindingen
2
3
4
5
+
© IB&P BV 2020
19
Rekenkameronderzoek informatiebeveiliging
3. Bevindingen Na de inleiding en ook korte theoretische uiteenzetting over informatiebeveiliging en privacy, staan in dit hoofdstuk de bevindingen van het onderzoek centraal. Te starten met enkele algemene bevindingen.
3.1
Algemene bevindingen
1
De algemene documenten, beleidsdocumenten en procedures die voor het onderzoek van belang waren, zijn deels aangeleverd door de gemeenten. Daarbij valt op dat de meeste beleidsdocumenten zijn aangeleverd en de procedures gebaseerd op de BIO veelal ontbreken. De aangeleverde documenten zijn gebruikt bij de interviews. In enkele gevallen zijn na het interview nog aanvullende documenten aangeleverd. Het is evident dat het niet mogelijk is te rapporteren over de niet aangeleverde documenten. De antwoorden op de onderzoeksvragen zijn verdeeld over vijf onderwerpen die in de volgende paragrafen achtereenvolgens aan bod komen. Het gaat om de eerder aangehaalde onderwerpen beleid,
2
verantwoording, operationele implementatie en technische analyse. Bij elk onderwerp wordt de volgende structuur gehanteerd:
• • •
Algemeen (definities) Bevindingen Toelichting
3.2
3
Beleid
Algemeen De focus binnen dit onderzoek richt zich voornamelijk op het Informatiebeveiligingsbeleid en Privacy beleid. Onder beleid wordt hierbij verstaan: Het aangeven van de richting en de middelen (cq. Instrumenten) waarmee men de doelen op het gebied van informatiebeveiliging en privacy wil gaan realiseren. Het doel van het informatiebeveiligingsbeleid is de betrouwbaarheid van de informatievoorziening te waarborgen en de eventuele gevolgen van beveiligingsincidenten tot een
4
acceptabel niveau te beperken. Organisaties zijn zelf verantwoordelijk voor het voldoen aan de privacyregels van de AVG. Afhankelijk van de soort verwerkingsactiviteiten moet een organisatie een privacybeleid opstellen en implementeren. Een privacybeleid legt de kaders en verantwoordelijkheden vast voor de verwerking van persoonsgegevens.
5 Informatiebeveiliging is bij uitstek een thema waarop een organisatie risico’s neemt. Risico’s zijn niet te vermijden, omdat geen risico lopen onbetaalbaar en onwerkbaar is. Maar dit vraagt wel om een bewuste afweging of onderbouwing. Risicomanagement is een middel om op een gestructureerde manier risico’s in kaart te brengen, te evalueren en – door er proactief mee om te gaan – beter te beheersen. De organisatie
+
inventariseert risico’s en de gevolgen van de risico’s en verbindt er beheersmaatregelen aan. Door al in een vroeg stadium na te denken over de mogelijke risico’s die de organisatie loopt, wil men de kans dat het gevaar zich voordoet reduceren en de eventuele impact ervan beperken. In de praktijk is het een combinatie van beide. Risicomanagement is een nadrukkelijk onderdeel binnen de BIO. De dynamiek van de ontwikkelingen in de omgeving van de gemeente is van invloed op het dreigingsbeeld waarop gemeentelijke organisaties zich moeten instellen. Deze dynamiek vereist een cyclische benadering
© IB&P BV 2020
20
Rekenkameronderzoek informatiebeveiliging
van informatiebeveiliging (Plan, Do, Check, Act) door onder andere het uitvoeren van risicoanalyses. In een risicoanalyse wordt de actualiteit en volledigheid van de aanwezige beveiligingsmaatregelen periodiek vergeleken met de actuele dreigingen. De Informatiebeveiligingsdienst (IBD) van VNG geeft ondersteuning aan gemeenten voor het opstellen van het informatiebeveiligingsbeleid. Zij geven aan dat de scope van het
1
informatiebeveiligingsbeleid alle gemeentelijke processen omvat, de onderliggende informatiesystemen, informatie en gegevens van de gemeente en externe partijen (bijvoorbeeld politie), het gebruik daarvan door medewerkers en (keten)partners in de meest brede zin van het woord, ongeacht locatie, tijdstip en gebruikte apparatuur.
Bevindingen
•
Alle gemeenten en verbonden partijen hebben een vastgesteld informatiebeveiligings- en privacybeleid, maar de gemeenten geven niet of nauwelijks sturing of (directe) richtlijnen aan de verbonden partijen op het gebied van informatiebeveiliging. In veel gevallen waren de beleidstukken
2
gebaseerd op het informatibeveiligingsbeleid template van de IBD (VNG).
•
In het rekenkamerrapport ‘Grip op samenwerking?’ uit 2014 is aangegeven dat de sturing en controle op samenwerkingsverbanden – in het bijzonder vanuit de raad – onvoldoende is. Tevens is geconcludeerd dat de gemeenten niet systematisch risicoanalyses opstellen, waarin de risico’s van samenwerkingsverbanden voor de gemeente in kaart worden gebracht. Door het ontbreken van deze analyses is de informa-
3
tievoorziening en aandacht ook niet afgestemd op het risicoprofiel van het samenwerkingsverband.
•
De gemeenten zijn gestart met het maken van (informatiebeveiliging) risicoanalyses. Het opstellen van de risicoanalyses gebeurt echter nog niet systematisch. Ook de risico-inventrarisatie rondom de risico’s die de gemeenten lopen binnen de samenwerking met de verbonden partijen worden niet geïnventariseerd/uitgevoerd.
•
De informatiebeveiligingsrisico’s en beheersingsmaatregelen zijn bij de gemeenten niet opgenomen
4
in de gemeentelijke programmabegroting.
•
De meeste verbonden partijen hebben een proces voor risicomanagement waarbij de informatiebeveiligingsrisico’s en beheersmaatregelen jaarlijks worden geïdentificeerd en beoordeeld.
•
5
In één van de aangeleverde stukken met betrekking tot een risico-inventarisatie is het ‘niet voldoen aan de AVG’ opgenomen als risico. In de jaarstukken 2019 van Servicepunt 71 (gemeente Oegstgeest) is het niet op orde hebben van informatiebeveiliging en bescherming van persoonsgegevens opgenomen als risico.
•
Er is regelmatig overleg tussen de vertegenwoordiger van de gemeente in het algemeen bestuur van
+
de verbonden partij en de verbonden partij. Hierbij staat informatiebeveiliging zelden op de agenda. Daarnaast vindt bij een aantal verbonden partijen ambtelijk overleg plaats. In dit ambtelijk overleg is geen specifieke aandacht voor informatiebeveiliging en/of gegevensbescherming.
•
Bij enkele gemeenten is de gemeenteraad genoemd als communicatiedoelgroep in het communicatieplan over de informatiebeveiliging. Echter is er geen invulling gegeven aan deze communicatie richting de gemeenteraad.
© IB&P BV 2020
21
Rekenkameronderzoek informatiebeveiliging
•
Bij enkele verbonden partijen is vastgelegd welke gegevens mogen worden uitgewisseld met partners.
•
Elke gemeente neemt deel aan een aantal samenwerkingsverbanden/ gemeenschappelijke regelingen. In daarvoor opgestelde samenwerkingsovereenkomsten is niets vastgelegd over informatiebeveiliging. Ondanks dat er regelmatig overleg is tussen de gemeente en de verbonden partij, komt bij dit overleg informatiebeveiliging onvoldoende aan de orde. Door de
1
gegevensuitwisseling met de verbonden partijen is het belangrijk dat de informatievoorziening betrouwbaar – ofwel in dit geval: veilig – is. Gebreken in de (beveiliging van) informatie bij de ene organisatie kan immers direct gevolgen hebben voor de bedrijfsvoering bij een andere organisatie.
Weerstandsvermogen Conclusie 4 uit het rekenkamerrapport ‘Beter sturen op digitale dienstverlening’ (2016) luidt: Op het gebied van informatieveiligheid lopen de gemeenten risico’s. Omdat de gemeenten (nog) geen risicoanalyses hebben
2
uitgevoerd, zijn de risico´s ten aanzien van informatiebeveiliging niet voldoende in beeld. Aanbeveling 4 luidt: Zorg voor risicoanalyses betreffende informatiebeveiliging en voer de Baseline Informatieveiligheid Gemeenten (BIG) in. In 2016 is hier niet aan voldaan. De risico’s dienen opgenomen te worden in de paragraaf ‘Weerstandsvermogen’ van de Programmabegroting. In de paragraaf ‘Weerstandsvermogen’ van de programmabegrotingen van de gemeenten staan wel
3
risico’s vermeld. Dit betreft echter geen informatiebeveiligingsrisico’s en/of beheersingsmaatregelen. De gemeenschappelijke regeling Duivenvoorde van de gemeenten Wassenaar en Voorschoten heeft in haar jaarrekening 2019 een paragraaf informatieveiligheid en privacy opgenomen. De gemeenten Wassenaar en Voorschoten zijn voornemens om met ingang van volgend jaar een aparte paragraaf over informatiebeveiliging op te nemen in de begroting.
Toelichting
4
Aanvullende maatregelen die nog nodig zijn om de informatiebeveiligingsrisico’s in beeld te brengen zijn het uitvoeren van penetratietesten, kwetsbaarheidsanalyse en steekproeven.
Samenwerkingsverbanden
5
Regionale sociale diensten, uitvoeringsdiensten, andere overheidsinstanties en verdere ketenpartners (zoals de GGD en de GGZ), krijgen steeds meer aandacht voor informatiebeveiliging en privacy. De verwachting is dan ook dat zij meer eisen gaan stellen op dat gebied, en mogelijk in de toekomst alleen zaken willen en/of mogen doen met gemeenten die hun zaakjes op orde hebben. Het zou
+
toch – op z’n minst – erg teleurstellend zijn als je om deze reden niet kunt samenwerken in een keten? En: bestuurlijk liggen dit soort zaken vaak gevoelig. Het is op dit moment nog niet zo dat een certificering op de BIO mogelijk of verplicht is, maar het is niet ondenkbaar dat dat in de nabije toekomst wel het geval zal zijn. Maar ook zonder de eis van certificering geldt dat als je in het nieuws bent geweest met datalekken, dit ook zeker doordringt bij ketenpartners. Dat maakt je minder aantrekkelijk en minder betrouwbaar als gemeente.
© IB&P BV 2020
22
Rekenkameronderzoek informatiebeveiliging
3.3
Verantwoording
Algemeen Onder verantwoording wordt in dit onderzoek verstaan: op welke wijze wordt over de informatiebeveiliging en privacy gerapporteerd aan een hoger echelon. Het is de verantwoordelijkheid van de gemeente om ervoor te zorgen dat mensen hun privacy-rechten
1
kunnen uitoefenen. Privacy-rechten zijn het recht op inzage; rectificatie, wissing, beperking van verwerking; overdraagbaarheid en bezwaar6. De gemeente is de zogenoemde verwerkersverantwoordelijke. Ook al gaat het over verwerkingen die de gemeente heeft uitbesteed (=verwerker). In de verwerkersovereenkomst worden werkafspraken vastgelegd met deze verwerker(s). Heeft de gemeente of de verwerker een datalek dat gemeld moet worden aan de Autoriteit Persoonsgegeven (AP), dan moet dit door de gemeente als verwerkingsverantwoordelijke binnen 72 uur gemeld worden aan de AP. Als een verwerker kennis krijgt van een (mogelijk) datalek moet hij dit conform de standaard verwerkersovereenkomst gemeenten binnen 24 uur aan de gemeente melden.
2
Er is geen wettelijke meldplicht aan de gemeenteraad. Hoe en waarover de gemeenteraad wordt geïnformeerd is niet in privacywetgeving vastgelegd, maar kan wel in het privacy beleid worden beschreven. De gemeenteraad zou wel jaarlijks een jaarverslag gegevensbescherming moeten ontvangen van de Functionaris Gegevensbescherming (FG). In het jaarverslag zit informatie over datalekken.
3
Bevindingen
•
Alleen de gemeente Leidschendam-Voorburg rapporteert over de informatiebeveiligingsrisico’s aan het managementteam. De verantwoording en controle is vooral gericht op financiële resultaten.
•
Gebleken is dat de gemeenteraad maar weinig vragen over het onderwerp informatiebeveiliging en gegevensbescherming stelt. Dit kan een uitvloeisel van de rolopvatting zijn, maar betekent ook dat de raad weinig zicht heeft op de stand van zaken in de uitvoeringspraktijk.
•
4
Er zijn door de gemeenten geen controles uitgevoerd bij de verbonden partijen op het gebied van informatiebeveiliging en/of privacy.
•
De verbonden partijen hebben aangegeven te rapporteren (minimaal jaarlijks) aan het management over informatiebeveiliging en privacy. In het jaarverslag van de verbonden partij is soms een
5
rapportage over informatiebeveiliging en/of privacy opgenomen.
•
De verbonden partijen rapporteren alleen intern op het gebied van informatiebeveiliging en privacy en melden nauwelijks zaken aan de gemeente. Daar staat tegenover dat gemeenten helemaal geen meldingen doen aan de verbonden partijen.
•
+
In de onderzoeksperiode is er bij enkele gemeenten voorlichting over informatiebeveiliging en privacy gegeven aan de gemeenteraad.
6
https://autoriteitpersoonsgegevens.nl/nl/zelf-doen/privacyrechten
© IB&P BV 2020
23
Rekenkameronderzoek informatiebeveiliging
Toelichting Het vertrekpunt is een complete inventarisatie van de informatiebeveiligingsrisico’s, inclusief de risico’s die voortvloeien uit het samenwerken met de verbonden partijen. Op basis van deze inventarisatie kan een rapportageformat worden opgesteld en zijn concrete afspraken te maken over de periodiciteit van rapporteren. Zonder structurele rapportage ontbreekt het aan sturingsmogelijkheden.
1
Datalekken In de periode 2018 tot met de eerste helft van 2020 hebben drie van de vier gemeenten beveiligingsincidenten geregistreerd in een datalekkenregister, waarvan één datalek is gemeld aan de Autoriteit Persoonsgegevens (AP). De gemeente Oegstgeest gebruikt het incidentenregister ook om de opvolging van maatregelen te monitoren. Eén gemeente heeft geen datalekkenregister, maar geeft wel aan dat er beveiligingsincidenten en datalekken zijn geweest in de periode 2018 tot en met de eerste helft van 2020.
2
•
Er worden niet veel beveiligingsincidenten en datalekken geconstateerd. Dat kan betekenen dat ze er ook daadwerkelijk niet zijn geweest. Waarschijnlijk ligt hier echter een kans voor meer bewustwording wat betreft het herkennen van (potentiële) datalekken. Een datalek is een kans om te leren. Er is merkbaar dat in sommige gevallen een bepaalde ‘meldingsangst’ overheerst. Men is bang om slapende honden wakker te maken en medewerkers kunnen zich persoonlijk aangevallen voelen.
3
Politieke gevoeligheid en onderlinge verhoudingen kunnen een rol spelen bij de beoordeling om een beveiligingsincident niet als ‘te melden datalek’ aan te merken, terwijl dat wel had gemoeten. Elke gemeenteraad is via de jaarrekening geïnformeerd over het aantal datalekken in het betreffende jaar. De gemeenten communiceren niet in algemene zin over datalekken met hun inwoners. Op de websites van de gemeenten is geen informatie te vinden over datalekken. Betrokkenen bij een datalek worden telefonisch en/of per brief geïnformeerd. Er zijn gevallen waarbij geen melding van een datalek is gedaan aan de AP, maar waarbij betrokkenen wel zijn geïnformeerd.
4
•
Indien verbonden partijen optreden als verwerker zijn zij doorgaans verplicht datalekken te melden aan de gemeente die optreedt als verwerkersverantwoordelijke. Hier kan echter in goed overleg van worden afgeweken in de verwerkersovereenkomst. Er zijn echter geen afspraken over het melden en de taakverdeling tussen de verbonden partijen en de gemeenten bij datalekken.
5 Bij datalekken en beveiligingsincidenten wordt wel gekeken naar maatregelen om het incident een volgende keer te voorkomen. Zoals het twee-paar-ogen principe bij het vullen van enveloppen. Niet elke gemeente legt deze maatregelen vast.
+
De meeste verbonden partijen onderzoeken en leggen datalekken vast. Het aantal datalekken bij de verbonden partijen varieert van enkele datalekken per jaar tot een wekelijkse melding van de datalekken aan de toezichthouder. Veelal betreft het verkeerd geadresseerde of bezorgde post, verzonden mailberichten aan de verkeerde adressant of (privé)mailadressen die in BCC hadden moeten staan. De datalekken worden door de verbonden partij gemeld aan de AP indien nodig. De verbonden partij meldt een datalek niet altijd aan de betrokkene. Veelal omdat de betrokkene zelf niet op de hoogte is van het datalek (voorbeeld retour gekomen geopende post) of omdat het datalek
© IB&P BV 2020
24
Rekenkameronderzoek informatiebeveiliging
waarschijnlijk geen ongunstige gevolgen heeft voor de persoonlijke levenssfeer. Het is ook niet altijd verplicht het datalek te melden aan de betrokkene. Na het onderzoeken van een datalek worden ook vaak verbetervoorstellen voor intern gebruik opgesteld om eenzelfde datalek in de toekomst te voorkomen. Als verbetervoorstellen bij de verbonden partijen zijn genoemd: het verhogen van het bewustzijn als het gaat om privacy en informatiebeveiliging door middel van informatieverstrekking op het intranet en tijdens werkoverleggen, cursussen (e-learning) en posters. Bij een enkele verbonden partij wordt een nieuw beveiligd emailsysteem ingevoerd, dat de
1
gebruiker waarschuwt bij het verzenden van email met gevoelige gegevens, zoals het Burgerservicenummer (BSN).
3.4
Operationele implementatie
Algemeen Onder operationele implementatie wordt verstaan: de wijze waarop het beleid is omgezet in operationele procedures en hoe deze zijn geborgd binnen de organisatie. Een sprekend voorbeeld is het beheren van
2
accounts en wachtwoorden. Eén van de technieken om informatie te beveiligen is de toepassing van tweefactorauthenticatie. Hierbij moeten twee stappen succesvol worden doorlopen om toegang te krijgen tot een account. De eerste stap is vaak het invoeren van een gebruikersnaam en wachtwoord. De tweede stap is iets dat je hebt (authenticator op de mobiele telefoon of speciale USB-key) of iets dat je bent (vingerafdruk of andere biometrische eigenschap). Kortom, er zijn twee factoren nodig om je identiteit te bevestigen.
3
Dit is een voorbeeld van een operationele implementatie van een beleidsrichtlijn. Verhoudingsgewijs is er (bewust) vrij veel tijd gestoken in het onderzoeken in hoeverre operationele implementatie heeft plaatsgevonden. Immers, het geduldige papier heeft alleen zin indien ernaar gehandeld wordt in de praktijk.
Praktijksituatie – herkenbaar?
4
Bij meerdere gemeenten is gestart met een nulmeting (GAP-analyse) om vast te stellen in hoeverre de BIO al is geïmplementeerd. Het valt op dat het moeilijk blijkt om na die nulmeting tot actie te komen. Regelmatig blijft het onderwerp liggen. Redenen die hiervoor genoemd worden, zijn:
• •
Er is geen vraag vanuit de organisatie. Dan wordt het een push vanuit IT, wat je niet wilt.
5
De organisatie is in transitie waardoor er andere prioriteiten zijn. Of er zijn andere redenen waardoor het onderwerp geen prioriteit heeft.
• • • •
Het is nog onvoldoende duidelijk welke risico’s zo hoog zijn dat directe actie noodzakelijk is. De relatie met de dienstverlening aan de burgers is onduidelijk. Het onderwerp wordt niet gedragen door het management.
+
De nulmeting is in gang gezet door de bestuurder en niet door degenen die met de resultaten aan de slag moeten.
Bevindingen
•
In het kader van de invoering van de BIO brengen de gemeenten de risico’s in kaart. Geen enkele gemeente heeft dit voor de primaire processen afgerond. Dit behoeft meer aandacht. De te nemen
© IB&P BV 2020
25
Rekenkameronderzoek informatiebeveiliging
maatregelen zijn veelal gebaseerd op de prioritering van de geïnventariseerde risico’s. De meeste verbonden partijen zijn bezig met de invoering van de BIO.
•
Een deel van de aangeleverde procedures is gebaseerd op de BIG en niet op de BIO. Sommige procedures zijn niet aanwezig of aangeleverd.
•
1
Alle gemeenten en de meeste verbonden partijen hebben beheersingsmaatregelen genomen om het hacken van netwerken te voorkomen dan wel om de gevolgen van een hack zoveel mogelijk in te perken. Hier wordt invulling aan gegeven door de invoering van tweefactorauthenticatie, de inrichting van het netwerk, back-up en recovery procedures, een calamiteitenplan en uitwijkmogelijkheden.
•
Voor wat betreft de fysieke beveiliging geldt dat er voor de niet publiek toegankelijke ruimten gebruik wordt gemaakt van een toegangscontrolesysteem. Dit om te voorkomen dat onbevoegden binnendringen. Toegang tot bepaalde ruimten is alleen mogelijk met een tag/druppel/pasje. Bezoekers aan de verbonden partij moeten zich melden bij de receptie/balie en worden opgehaald en
2
begeleid.
•
De gemeenten en de verbonden partijen hebben een vastgesteld screeningsbeleid. Bij het in diensttreden van medewerkers, zowel bij de gemeente als bij de verbonden partijen, is er aandacht voor de beveiliging. Medewerkers worden gewezen op hun verantwoordelijkheden ten aanzien van informatiebeveiliging.
•
3
Door middel van opleiding, training en voorlichting wordt gewerkt aan de bewustwording over informatiebeveiliging en privacy. Het vrijblijvende karakter daarvan draagt echter niet bij aan een duurzaam effect. Bij de WODV is deelname aan e-learning informatieveiligheid en privacy verplicht.
•
Er is op het intranet van de gemeenten informatie beschikbaar over informatiebeveiliging.
•
Door het voeren van een ‘clear desk’ en ‘clear screen’ beleid, wordt de inzage van informatie door
4
onbevoegden beperkt.
•
De meeste verbonden partijen hebben de IT-infrastructuur uitbesteed. De verbonden partijen hebben de informatiesystemen geclassificeerd zodat duidelijk is welke bescherming nodig is en ze hebben maatregelen getroffen om onbedoelde of ongeautoriseerde wijzingen of misbruik van
5
bedrijfsmiddelen waar te nemen dan wel te voorkomen door scheiding van taken. De meeste verbonden partijen verlenen alleen toegang vanuit een onvertrouwde omgeving naar een vertrouwde zone op basis van tweefactor-authenticatie.
•
De verbonden partijen hebben richtlijnen opgesteld op het gebied van thuiswerken en gedragsregels
+
voor het gebruik van bedrijfsmiddelen. De meeste verbonden partijen stellen hulpmiddelen beschikbaar voor het beheren van wachtwoorden.
•
Alle verbonden partijen verlenen toegang tot een informatiesysteem na autorisatie door een bevoegd persoon. De toegangsrechten worden toegekend op basis van functiescheiding op grond van een risicoafweging. Bij de meeste verbonden partijen worden de toegangsrechten periodiek beoordeeld. Ook beschikken de meeste verbonden partijen over een formele registratie- en afmeldprocedure voor het beheren van gebruikersaccounts.
© IB&P BV 2020
26
Rekenkameronderzoek informatiebeveiliging
•
Bij de verbonden partijen benadrukt en stimuleert het management het belang van deelname aan opleiding en training op het gebied van informatiebeveiliging. Bij de verbonden partijen is iedereen in staat om veilig beveiligingsissues te melden.
•
Om een register van verwerkingen actueel te houden is onderhoud nodig. Nieuwe verwerkingen moeten worden toegevoegd en wijzigingen in bestaande verwerkingen kunnen ook gevolgen hebben
1
voor het register. Eén gemeente heeft nog geen register van verwerkingen opgesteld. De overige aangeleverde registers zijn voor het grootste deel goed gevuld, maar zijn nog niet op alle punten volledig. Zo zijn niet overal de categorieën ‘betrokkenen’ of ‘bewaartermijnen’ ingevuld en staat de categorie ‘bijzondere persoonsgegevens’ onder de categorie ‘reguliere persoonsgegevens’. Ook is niet duidelijk hoe actueel de registers zijn.
•
In en verwerkersovereenkomst worden de te verwerken persoonsgegevens vastgelegd, die een verwerker (bijvoorbeeld een leverancier) in opdracht van de gemeente verwerkt. In een groot aantal verwerkersovereenkomsten van de gemeenten is niet aangegeven hoe een passend niveau van
2
beveiliging wordt aangetoond door de verwerker.
•
De verbonden partijen hebben regels opgesteld over het gebruik van de bedrijfsmiddelen en informeren de medewerkers over het belang van informatiebeveiliging.
•
De verbonden partijen hebben een register van verwerkingen opgesteld zoals vanuit de AVG vereist
3
wordt. Ook hebben zij verwerkingsovereenkomsten opgesteld met verwerkers volgens de eisen vanuit de AVG. De meeste verbonden partijen beschikken over een procedure die de actualiteit van het verwerkingsregister borgt.
•
De gemeenten dan wel werkorganisaties hebben een aantal Data Protection Impact Assessments (DPIA’s) uitgevoerd, maar dit is nog onvoldoende om een compleet beeld te hebben van de privacyrisico’s bij verwerkingen die een hoog risico opleveren voor betrokkenen. De opvolging van maatregelen verdient nog wel aandacht. Net als het structureler uitvoeren van DPIA’s.
4
Toelichting Alle gemeenten zijn nog bezig met de invoering van de BIO. De ene gemeente is hier verder mee dan de andere. Met de invoering van de BIO moeten de gemeenten (opnieuw) een risicoanalyse uitvoeren. Een structurele rapportage over de geïnventariseerde risico’s ontbreekt. De genomen en te nemen
5
maatregelen zijn uiteenlopend. Een aantal procedures is nog gebaseerd op de BIG (voorloper van de BIO). De BIO is sinds 2019 het normenkader voor de informatiebeveiliging. Procedures dienen regelmatig te worden gereviewd. Voor de werking van de procedures maakt de overgang van de BIG naar de BIO soms weinig verschil. De
+
implementatie van het beleid in procedures verdient aandacht. Elke gemeente heeft een breed pakket aan beheersingsmaatregelen genomen om het hacken van het netwerk en het binnendringen van gebouwen te voorkomen. Zo heeft elke gemeente een toegangscontrolesysteem. Door voorlichting en informatieverstrekking via het intranet en de uitvoering van technische maatregelen wordt gepoogd om de gevolgen van een hack, het binnendringen van gebouwen en datalekken te verzachten.
© IB&P BV 2020
27
Rekenkameronderzoek informatiebeveiliging
Er is een aantal verwerkersovereenkomsten afgesloten. Nergens is gebleken dat er een daadwerkelijke controle wordt uitgevoerd op de wijze waarop externe partijen met persoonsgegevens omgaan. De relaties tussen de gemeenten en de verbonden partijen bestonden al voor de komst van de AVG. De contractuele verhoudingen zijn nadien niet of nauwelijks veranderd. Ook is niet of nauwelijks in kaart gebracht of de verbonden partij verwerker, gezamenlijk verwerkingsverantwoordelijke of zelfstandig verwerkingsverantwoordelijke is.
3.5
1
Technische analyse
Algemeen De technische analyse is erop gericht om in kaart te brengen of de IT-omgevingen van de vier gemeenten kwetsbaar zijn voor aanvallen van buitenaf of binnenuit. De kwetsbaarheden zijn onderzocht door het uitvoeren van penetratietesten (black box scans van buitenaf) met een beperkte doorlooptijd op de internet facing (web)pagina’s van de gemeenten. Daarnaast zijn interne kwetsbaarhedenscans uitgevoerd op de ITinfrastructuur van de gemeenten.
2 Een penetratietest (of pentest) is een technisch geavanceerde poging om de beveiliging van een informatiesysteem, website of netwerk te kraken en daarop in te breken. Het doel van een penetratietest is om te bepalen in hoeverre de onderzochte servers en webapplicaties, die de gemeente onderhoudt en beheert, kwetsbaar zijn voor een aanval vanaf het internet. Ook wordt gecontroleerd op robuustheid en beveiliging van deze servers en webapplicaties. Een penetratietest wordt uitgevoerd om inzicht te krijgen