antwoordmemo technische vragen d66 kadernota 2022 vnog

Antwoord op vragen D66 Oost Gelre, 21 januari 2021 Vragen In het kader van risicomanagement wordt terecht een hoge prioriteit en een hoog risico gegeven aan bijvoorbeeld hacks met gijzelsoftware. De bedragen die daarvoor zijn opgenomen in de begroting, lijken uit te gaan van sec herstel bij het plaatsvinden van zo’n hack en de ervaringen die daarbij uit 2020 worden meegenomen. Bij de beheersmaatregelen worden wel preventieve maatregelen vermeld, zoals awareness over informatiebeveiliging, en up-to-date houden van de Baseline Informatieveiligheid VNOG (BI VNOG), maar het begrote bedrag lijkt sec uit te gaan van de herstelbedragen. Vragen: 1. Hoe groot is van het begrote budget – dat gebaseerd is op herstel van de crash na uitval door gijzelsoftware in 2020 – voor de vermelde preventieve beheersmaatregelen in het kader van de baseline informatieveiligheid VNOG zoals awareness en testprocedures? Antwoord Er is structureel € 48.000,- begroot. Dit bedrag is in algemene zin bedoeld voor Informatieveiligheid/AVG. Specifiek investeert de VNOG structureel o.a. op Security awareness voor eindgebruikers Penetratietest Ondersteunende activiteiten om te blijven voldoen aan de BIO 2.

Welke overkoepelende gemeente is verantwoordelijk voor informatiebeveiliging van de systemen van de VNOG en het uitvoeren van de ENSIA-audit? Antwoord Iedere veiligheidsregio (dus ook de VNOG) is verantwoordelijk voor zijn/haar informatieveiligheid. De sector (alle 25 veiligheidsregio’s) heeft zich geconformeerd aan de BIO als normering. De sector heeft een twee-jaarlijkse collegiale toetsing georganiseerd, die in lijn van het ENSIA model gebracht wordt. Inmiddels zijn er al twee collegiale toetsen uitgevoerd bij de VNOG. Tevens heeft de sector inmiddels een VR-ISAC opgericht (Information Sharing and Analysis Center) waar de veiligheidsregio’s pro-actief samenwerken en elkaar informeren over het onderwerp informatieveiligheid. 3. Als de beveiliging op orde is en regelmatig getest wordt, is dan een zo hoge kostenpost (€ 500.000,-) in de begroting noodzakelijk, of zou een dergelijke herstelactie niet meer mogelijk zijn als de beveiliging up-to-date is? Antwoord Het bedrag van € 500.000 is niet opgenomen als budget, maar als ingeschat risico in de risicoparagraaf voor een onverhoopte toekomstige hack. Het bedrag is uiteraard een schatting, waarbij met een schuin oog is gekeken naar de ontstane kosten door de hack van september 2020.

De VNOG is, mede door de opgedane ervaring met deze hack, nu beter voorbereid, naar de laatste stand der techniek en heeft een versterkte bewustwording, maar dat sluit niet uit dat er in de toekomst een nieuw aanval zou kunnen komen; het risico wordt reëel geacht en daarom is het ook opgenomen in de risicoparagraaf.

1