RM d.d. 15 maart 2022 Strategie digitale veiligheid Z-22-153879 Oegstgeest

Gemee nte$Oegstseest {

raadsmededeling

-

N IJJ

€ N

onderwerp zaaknummer

portefeuillehouder

Strategie digitale veiligheid

z/22/7s3879 /300179

o ê

M. Huizing

N

Bestuur, strategie en bedrijfsvoering

o

opgesteld door

B.J.M. Kock

N

datum voorstel

75 maart2o22

*

team

Geachte raad, mededeling

Wij informeren u met deze raadsmededeling over de Strategie Digitale Veiligheid 2027-2024 en de achtergrondinformatie die bij de totstandkoming van deze strategie van belang is geweest.

lnhoud Om de ambitie uit te spreken ten aanzien van de uitdagingen op het gebied van digitale veiligheid, cyberweerbaarheid en cybergevolgbestrijding is de Strategie Digitale Veiligheid opgesteld. Het doel van deze Strategie is een hoger volwassenheidsniveau op het gebied van lnformatiebeveiliging en privacy te realiseren. Het Uitvoeringsprogramma Digitale Veiligheid geeft invulling geeft aan het behalen van de in de Strategie benoemde doelstellingen door activiteiten te verankeren in de dagelijkse werkzaamheden van de gemeente en het ServicepuntT1-.Deze doelstellingen zijn:

1. Cyberweerbaarheid en privacy bewustzijn van medewerkers verhogen; 2. Voldoen aan de BIO en de AVG; 3. Beveiliging van de systemen bovengemiddeld op orde; 4. Snel herstel bij calamiteiten. Achtergrond Binnen de gemeente voert het bestuur frequent periodiek overleg over Digitale Veiligheid. Dit gebeurt aan de hand van de VNG Agenda Digitale Veiligheid 2020-20241. Continue (cyber)dreigingen, maar ook concrete voorbeelden als de hack op de gemeente Hof van Twente in december 2O2O roepen vragen op zoals waar de gemeente Oegstgeest staat, wat er nog moet worden aangepakt en welke keuzes daarin gemaakt moeten worden. De Strategie biedt bestuurlijke handvatten om deze vragen te beantwoorden, periodiek te rapporteren over de voortgang via het reguliere P&C-proces, en ook de gemeenteraad hier adequaat over te informeren. De gemeente Oegstgeest heeft een grote verantwoordelijkheid naar de burgers, bedrijven en instellingen als het gaat om de beveiliging van de "eigen" gegevens en de continu'iïeit van

dienstverlenging. Digitalisering brengt nieuwe dreigingen en rísico's met zich mee. Díe manifesteren zich in de ambtelijke organisatie, bij het dagelijks gebruik van informatie- en

1 (bron:

https://vne.nllpublicaties/aeenda-dieitale-veilieheid-2020-2024)

communicatiesystemen door ambtenaren. Daarnaast krijgen ook bestuurders en politiek ambtsdragers veel gevoelige en vertrouwelijke informatie onder ogen en hebben zij ook toegang tot de gemeentelijke systemen. De hack op de gemeente Hof van Twente in december 2020 heeft naast financiële schade ook duidelijk gemaakt wat de impact is op de continu'iteit van dienstverlening van een gemeente en dit

brengt vragen met zich mee: Waar staat de gemeente, kunnen wij in een dergelijke situatie verzeild raken en zo ja weten we dan hoe te handelen? Wat moeten we nog aanpakken en welke keuzes maken we daarin? Het antwoord is kort, iedere gemeente of organisatie kan dit overkomen. We bevinden ons in een kat-en-muis spel wat betreft digitale- en cyberveiligheid. Onze detectiesystemen weren dagelijks duizenden aanvallen vanaf het internet af en behoeden voor toegang tot malafide websites wanneer een medewerker per ongeluk op een link heeft geklikt. Daarnaast ontvangen wij dagelijks informatie over updates die nodig zijn om kwetsbaarheden in systemen op te lossen. Deze moeten wij in veel gevallen direct oplossen met onze leveranciers, voordat hackers deze kunnen misbruiken. Het is noodzakelijk te weten wat de staat van de techniek is en of, en zo ja waar, de systemen kwetsbaar zij. Nog veel belangrijker is het gedrag van de medewerkers. Het treffen van technische maatregelen is zinloos als medewerkers onzorgvuldig omgaan met wachtwoorden of zich niet bewust zijn wat de consequenties van hun handelen. Het is belangrijk om te weten hoe de schade zo beperkt mogelijk kan blijven en wat het handelingsperspectief is wanneer het

onverhoopt toch fout gaat. lnformatiebeveiliging en privacy krijgen steeds meer aandacht en ook in de Leidse regio is er geïnvesteerd. Binnen SP71 is er in 2079 een regionaal lB&P team (lnformatiebeveiliging en Privacy) opgericht, zijn er een CISO2 en een FG benoemd en is het informatiebeveiligings- en privacybeleid geactualiseerd. De invoering van de AVG per 28 mei 2018 en de Baseline lnformatiebeveiliging Overheid (BlO) per l januari 2020 hebben hieraan een extra impuls gegeven. Naar aanleiding van het onderzoek door de Rekenkamercommissie Leiden/Leiderdorp in 2078 ziln er aanvullend technische maatregelen getroffen. Zo worden de "buitengrenzen" van het ICT-

domein bewaakt op verdachte verkeersstromen en is er een dienstverlening ingericht die periodiek scant op kwetsbaarheden waar hackers actief misbruik van zouden kunnen maken. Omdat er voor de ICT-dienstverlening een grote afhankelijkheid is van leveranciers, is beveiliging een periodiek gespreksonderwerp en zijn afspraken gemaakt over de wijze van verantwoording hierover. Daarnaast blijft er veel aandacht voor het vergroten van veilig gedrag en bewustzijn bij

medewerkers. Ook de aanbevelingen van uit het onderzoek van de Rekenkamer WVOLV over informatiebeveiliging in 2027 volgen wij op3. Cyberweerbaarheid en privacy bewustzijn van medewerkers verhogen De gemeente verwerkt veel persoonlijke en gevoelige gegevens van burgers die erop vertrouwen dat de organisatie deze zorgvuldig behandelt, en/maar de mens (de ambtenaar) blijft daarin de zwakste schakel. Bewustwording is noodzakelijk voor iedereen en het voorbeeldgedrag begint op

2 De CISO is verantwoordelijk voor het informatiebeveiligingsbeleid. Dit betreft zowel het implementeren van beleid als het toezicht houden op de uitvoering ervan. De FG houdt binnen de organisatie toezicht op de toepassing en naleving van de Algemene verordening gegevensbescherming (AVG). 3 Zie ook de raadsmededeling "Uitkomsten intern onderzoek'Opvolging aanbevelingen van RKC in huidige coa litie periode'', Z / 22 / 1524!6.

2

het bestuurlijke niveau. Dat begint bij het bestuur en het management met kennis van de dreigingen en risico's die op de organisatie afkomen en wat de eigen rol hierin is. Het vergroten van veilig en privacybewust gedrag van medewerkers wordt continu gestimuleerd, gestuurd en gemeten. Periodiek vinden er trainingen, games en workshops plaats die variëren van algemene onderwerpen of juist specifiek zijn gericht op de werkzaamheden van een afdeling. Naast integriteit maakt een introductie over informatiebeveiliging en privacy, en het belang hiervan voor de werkzaamheden, onderdeel uit van het introductieprogramma voor nieuwe medewerkers. Daarnaast is het belangrijk dat medewerkers ongewenste situaties herkennen en weten waar

melding te doen van incidenten en datalekken. Het vergroten van de kennis en bewustzijn bij de politiek ambtsdragers is hier ook onderdeel van. Voorts is het belangrijk aandacht te hebben voor afhankelijkheden in de keten, omdat ook ketenpartners bewust moeten zijn van hun verantwoordelijkheid ten aanzien van gemeentelijke gegevens, denk hierbij aan partijen in de Jeugdzorg of het Sociale Domein die werken met informatie van de gemeente voor hulp aan de cliënten.

Voldoen aan de BIO en de AVG Begin 2020 hebben wij het Strategisch beleid voor informatiebeveiliging en privacy vastgesteld. Daarmee conformeren wij ons tot naleving van de Baseline lnformatiebeveiliging Overheid (BlO) en de Algemene Verordening Gegevensbescherming (AVG). De BIO stelt de organisatie in staat om

te meten hoe volwassen de organisatie is op beveiligingsgebied, voor privacy is dit te relateren aan de AVG. Het doel is om voor zowel informatiebeveiliging als Privacy volwassenheidniveau 4 na te streven in 2024. Het vastgestelde niveau voor 2O27 is respectievelijk 3 voor informatiebeveiliging en 2 voor Privacy (zie onderstaand figuur).

^-.

GIP

l*

Niveau 5

Geoptimaliseerd

Ultingen têv de prBtàtles maken optimaal (inteqraal) onderdeel ult van de bedriJfsstíaleqle en -uitlngen.

De prestaties worden qemeten, vergeleken met de b.aóche en gebruikt voor een optimaàl lersd veímogen

Nlveau 3

Vastgestêtd

De werkzaamh€den worden oÍganlstiebrecd volgens een v6stgestelde werkwUze ultq€v@rd O€ werkzaàmheded woÍden binnen een afdellng beheEt (herhaólbàar) prtr6sen uitgevgerd

De werkzàamheden worden op

veruerkingsniveau infomeel uitgevgerd

Audits zoals de jaarlijkse ENS|A-verantwoording zien op het voldoen aan de vereisten van aansluiting op DigiD, Suwinet en verschillende basisregistraties die de primaire processen ondersteunen. Om gerichter verantwoording af te leggen over systemen die de gemeente gebruikt en te rapporteren over de status van informatiebeveiliging is gestart met het inrichten van het lnformation Security Management System (verder: ISMS). Het hoofddoel van het ISMS is het verbeteren van de effectiviteit van informatiebeveiliging en privacy door een procesmatige aanpak. De eerste vastleggingen zijn opgenomen in het systeem om daarmee de werking te toetsen en waar nodig procesverbeteringen door te voeren.

Veel primaire processen en toepassingen kennen een grote afhankelijkheid van leveranciers. De eindverantwoordelijkheid voor informatiebeveiliging ligt uiteraard binnen de gemeente en kan nooit worden belegd bij een leverancier. De leveranciers waar ServicepuntTl gebruik van maakt

3

voor de lCT, infrastructuur, cloudapplicaties en de online omgevingen van de gemeente leggen jaarlijks verantwoording af door middel van een accountantsverklaring die getoetst wordt in het interne controle proces. Beveiliging van de systemen Volgend op het Rekenkameronderzoek Leiden/Leiderdorp uit 2OIB zijn er aanvullende technische beveiligingsmaatregelen getroffen. De toegangen tot het netwerk en de systemen worden bewaakt op verdachte verkeersstromen, zowel naar binnen als naar buiten, en er vindt monitoring plaats op virussen en geïnfecteerde bestanden en apparaten. Daarnaast scant ServicepuntTl maandelijks de infrastructuur en systemen om te meten of deze kwetsbaar zijn en of dat deze ongewenst toegang verschaffen tot het netwerk. Het inrichten van moderne beveiligingsmaatregelen vraagt een groot budget, maar de ervaringen bij de gemeente Hof van Twente en andere getroffen organisaties leren dat de kosten van herstel vele malen hoger zijn. ln sommige gevallen zijn kwetsbaarheden niet op te lossen. Bijvoorbeeld wanneer systemen dermate verouderd zijn dat de leverancier hier geen updates meer voor levert of ondersteuning op biedt. De gemeente maakt in sommige gevallen nog gebruik van verouderde systemen. Deze situatie is ongewenst, daarom zijn deze systemen in kaart gebracht en gekoppeld aan lopende lVprojecten waarin deze worden vernieuwd of afgesloten.

Snel herstel bij calamiteiten

Het waarborgen van de continuïteit van de dienstverlening start met het inzicht in de risico's en eventuele cascade-effecten op primaire en vitale processen voor de gemeente zoals de uitbetaling van uitkeringen, publiekstaken, WMO-zorgmaar ook de werking van de verkeerslichten. Om de gevolgen op de maatschappij zo beperkt mogelijk te houden is afstemming en samenwerking met ketenpartners zoals de veiligheidsregio, Holland Rijnland, de sociale jeugdteams, de omgevingsdienst en de belasting samenwerking essentieel. Om veerkrachtig te kunnen optreden in geval van een Cyberincident is het noodzakelijk om te oefenen met digitale noodscenario's. Deze moeten integraal onderdeel zijn van het continuïteitsplan. ln oktober 2O2t hebben verschillende oefeningen plaatsgevonden.Zo is door het college van Leiden de VNG Cybergame gespeeld. Daarnaast hebben bij de VRHM een drietal Cybertrainingen plaatsgevonden om regionaal op te kunnen treden in geval van cybergevolgbestrijding (bijv. een hack op de watervoorziening). Reguliere beveiligingsincidenten worden binnen SP71 afgewikkeld via het (beveiligings-) incidentproces van lCT. Voor de complexere beveiligingsvraagstukken, of wanneer nader digitaal forensisch onderzoek nodig is, kan SP71 gebruik maken van expertise van betrokken leveranciers.

Wanneer de impact of omvang (regionaal) van een incident groot is, voorzien specifieke afspraken op aansluiting bij het Team Bevolkingszorg (TBZ) voor crisisbesturing.

4

Tot slot Met het vaststellen van deze Strategie Digitale Veiligheid en het commitment om uitvoering te geven aan de onderliggende activiteiten spreken wij de ambitie uit een hoger volwassenheidsniveau op het gebied van lnformatiebeveiliging en privacy te realiseren. Wij informeren u periodiek via verantwoord ingsrapportages. bijlage(n)

7. Strategie digitale veiligheid Burgemeester en wethouders van Oegstgeest

de secretaris Jeffrey Versluis

de Emile

nsch

5