10-09-2025_cie AFE-FL_Rekenkamer Informatiebeveiliging & privacy.pdf

VEILIGHEID VERTROUWD!? Presentatie rekenkameronderzoek naar informatiebeveiliging en privacy

Gecombineerde commissie AFE-FL Woensdag 10 september 2025

Is de informatiebeveiliging en privacybescherming van de gemeente Oude IJsselstreek – mede in relatie tot samenwerkingsverbanden – doeltreffend en doelmatig ingericht? 1. Heeft de gemeente op een adequate manier invulling gegeven aan haar informatiebeveiligings- en privacybeleid? 2. In hoeverre is de sturing van de gemeente binnen samenwerkingsverbanden toereikend op het gebied van informatiebeveiliging en privacy? 3. In hoeverre zijn risico’s en beheersmaatregelen (intern en binnen samenwerkingsverbanden) in kaart gebracht en op welke wijze worden deze consequent opgevolgd? 4. Op welke wijze anticipeert de gemeente op toekomstige ontwikkelingen (die invloed hebben) op het gebied van informatiebeveiliging en privacy? 5. Hoe wordt de gemeenteraad betrokken bij de thema’s informatiebeveiliging en privacy?

ONDERZOEKSVRAA G

ONDERZOEKSMETHO DIEK

Mail phishing:  561 personen benaderd  72 personen (13%) hebben op de link geklikt  35 personen (6%) hebben gegevens ingevuld Voice phishing:  16 medewerkers benaderd, 6 gesproken  3 medewerkers hebben gegevens achtergelaten

RESULTATEN – DE MENS (1)

Inlooptest:  Gemeentehuis: in het algemeen positief  STOER in de DRU: volledig toegankelijk Enquête:  493 personen aangeschreven  195 respondenten (39,6%)  Representatieve vertegenwoordiging

RESULTATEN – DE MENS (2)

Afdeling

Aantal medewerkers

Aantal ingevulde enquêtes

% ingevuld

Bedrijfsvoering BUOR College van Burgemeester en Wethouders Concernstaf Fysieke ontwikkeling Gemeenteraad (en fractieassistenten) Griffie Publiekszaken, Economie en Maatschappij (PEM) Sociaal Domein Totaal

101 85 6

42 22 4

41,6% 25,9% 66,7%

19 69 57

11 28 19

57,9% 40,6% 33,3%

4 57

2 23

50,0% 40,4%

95 493

44 195

46,3% 39,6%

Gedragsregel

1. Een informatiebeveiligings- en/of privacy-incident meld ik via het beschikbare meldformulier 2. E-mails met (bijzondere) persoonsgegevens en/of vertrouwelijke/gevoelige data verstuur ik altijd via de beveiligde mailoplossing Bastion365 3. Ik volg jaarlijks het bewustwordingsprogramma informatiebeveiliging en privacy 4. Mijn werklaptop gebruik ik in principe niet voor privédoeleinden 5. Ik vergrendel mijn scherm als ik mijn werkplek verlaat 6. Ik zorg dat op mijn werkplek geen gevoelige/vertrouwelijke informatie ligt als ik mijn werkplek verlaat 7. Ik zorg ervoor dat anderen mijn vertrouwelijke / gevoelige gesprekken niet mee kunnen luisteren (zowel op kantoor, thuis als in het openbaar). 8. Grote bestanden verstuur ik veilig met Bastion365

RESULTATEN – DE MENS (3)

9. In e-mailberichten open ik geen onbekende url’s of bijlagen. Ik vul geen gegevens in bij een (onverwacht) bericht met onbekende afzender. 10. Ik maak geen gebruik van openbare Wifi-netwerken (toegang tot Wifi zonder wachtwoord)

Is dit een gedragsregel?

20 (10,3%)

Oei, die was ik vergeten; ik moet daar beter op gaan letten

21 (10,8%)

Ik pas deze regel soms toe

Ik pas deze Dit doe regel ik altijd meestal toe

20

32

(10,3%)

Deze regel is op mijn werkzaamheden niet van toepassing

Totaal

20

195

(16,4%)

82 (42,1%)

(10,3%)

(100%)

11

16

12

53

75

28

195

(5,6%)

(8,2%)

(6,2%)

(27,2%)

(38,5%)

(14,4%)

(100%)

52

31

8

20

67

17

195

(26,7%)

(15,9%)

(4,1%)

(10,3%)

(34,4%)

(8,7%)

(100%)

11

1

14

61

100

8

195

(5,6%)

(0,5%)

(7,2%)

(31,3%)

(51,3%)

(4,1%)

(100%)

8

14

25

61

85

2

195

(4,1%)

(7,2%)

(12,8%)

(31,3%)

(43,6%)

(1,0%)

(100%)

1

3

17

64

103

7

195

(0,5%)

(1,5%)

(8,7%)

(32,8%)

(52,8%)

(3,6%)

(100%)

2

0

17

59

107

10

195

(1,0%)

(0,0%)

(8,7%)

(30,3%)

(54,9%)

(5,1%)

(100%)

24

12

19

33

48

59

195

(12,3%)

(6,2%)

(9,7%)

(16,9%)

(24,6%)

(30,3%)

(100%)

2

0

4

21

165

3

195

(1,0%)

(0,0%)

(2,1%)

(10,8%)

(84,6%)

(1,5%)

(100%)

8

11

18

43

109

6

195

(4,1%)

(5,6%)

(9,2%)

(22,1%)

(55,9%)

(3,1%)

(100%)

RESULTATEN – DE TECHNIEK (1)

PRIVACY:  Getoetst aan AVG Borgingsproduct 3.0  FG voert de toets jaarlijks zelf proactief uit  Privacybescherming is goed op orde en is doordrongen bij medewerkers  Verbeterpunten zitten op administratieve zaken die door tijdgebrek niet opgepakt kunnen worden

Status Voldoet (bijna) volledig

107

Voldoet in een kwart tot de helft van de gevallen

17

Voldoet niet of bijna nooit

27

Niet van toepassing

4

Totaal

RESULTATEN – ORGANISATIE (1)

Aantal

155

INFORMATIEBEVEILIGING:  Getoetst aan Baseline Informatiebeveiliging Overheden 2.0  o.a. bewustwordingstrajecten, werkplekapparatuur en taken, bevoegdheden en verantwoordelijkheden zijn volledig geïmplementeerd  Beleid is niet altijd in de praktijk geïmplementeerd  Bij projecten, inkoop en inhuur van personeel is informatiebeveiliging nog marginaal of niet in scope.

Status

RESULTATEN – ORGANISATIE (2)

Aantal

Voldoet geheel (volledig geïmplementeerd)

118

Voldoet deels (gedeeltelijk geïmplementeerd)

51

Voldoet niet (niet geïmplementeerd of niet juist geïmplementeerd) Totaal

34 203

INFORMATIEBEVEILIGING ICT Samen:  Grote, en bewust geaccepteerde, veiligheidsrisico’s op de technische inrichting van ICT Samen  Er ontbreekt een crisisplan en bedrijfscontinuïteitsplan; risico’s en te nemen beheersmaatregelen zijn niet beschreven.  Er is geen heldere toekomstgerichte governance voor ICT Samen

RESULTATEN – ORGANISATIE (3)

Heeft de gemeente op een adequate manier invulling gegeven aan haar informatiebeveiligings- en privacybeleid?  Op privacy is een volledige PDCA cyclus ingericht en geborgd.  Op informatiebeveiliging is het beleid niet overal toegepast en ontbreekt er ook nog vanuit de norm verplicht beleid. Een PDCA cyclus en volledig integraal ISMS ontbreken nog. In hoeverre is de sturing van de gemeente binnen samenwerkingsverbanden toereikend op het gebied van informatiebeveiliging en privacy?  Er kan beperkt gestuurd worden op ICT Samen  Er ontbreekt een toekomstgerichte governance  De CISO en FG worden niet proactief betrokken bij advisering over besluitvorming binnen ICT Samen

CONCLUSIES (1)

In hoeverre zijn risico’s en beheersmaatregelen (intern en binnen samenwerkingsverbanden) in kaart gebracht en op welke wijze worden deze consequent opgevolgd?  Op ‘De Mens’ zijn de meeste onderdelen goed geborgd  Op ‘De Techniek’ zijn er grote risico’s  Op ‘De Organisatie’ ontbreken er nog een aantal essentiële onderdelen.

CONCLUSIES (2)

Op welke wijze anticipeert de gemeente op toekomstige ontwikkelingen (die invloed hebben) op het gebied van informatiebeveiliging en privacy?  Toekomstige wettelijke verplichtingen worden proactief opgepakt  Op andere gebieden wordt een afwachtende houding aangenomen; ondanks behoefte vanuit het primair proces is er nog geen AI-beleid en ontbreekt er nog een visie op datagedreven werken. Hoe wordt de gemeenteraad betrokken bij de thema’s informatiebeveiliging en privacy?  De gemeenteraad wordt actief betrokken via o.a. de auditcommissie.  Betrekken van informatiebeveiliging en privacy bij alle dossiers gebeurt nog onvoldoende.

CONCLUSIES (3)

Is de informatiebeveiliging en privacybescherming van de gemeente Oude IJsselstreek – mede in relatie tot samenwerkingsverbanden – doeltreffend en doelmatig ingericht? De gemeente Oude IJsselstreek heeft haar informatiebeveiliging nog niet op een toekomstbestendige wijze ingericht. Er mist nog een meerjarenvisie op informatiebeveiliging. Daarnaast ontbreekt een toekomstgerichte governance met betrekking tot ICT Samen en zijn risico’s in veel gevallen nog onvoldoende inzichtelijk. Beleidsstukken die vastgesteld zijn worden niet (volledig) in de praktijk toegepast. De doelmatigheid en doeltreffendheid van de informatiebeveiliging zijn hierom beperkt. De gemeente Oude IJsselstreek heeft privacybescherming wel toekomstbestendig, en daarmee doeltreffend en doelmatig, geborgd op strategisch, tactisch en operationeel niveau.

CONCLUSIES (4)

Aanbevelingen aan de gemeenteraad 1) Geef het College de opdracht om samen met andere in ICT Samen samenwerkende partijen concrete bestuurlijke en strategische afspraken te maken. In deze afspraken dient een heldere toekomstgerichte governance vastgelegd te zijn. Hierdoor wordt transparant gemaakt wie verantwoordelijk is voor de risico-inschatting, beleidsbepaling, risicoacceptatie, verantwoordelijke bij incidenten en de eventuele (financiële) consequenties. 2) Neem het onderdeel informatiebeveiliging en privacy standaard op in raadsvoorstellen, waardoor dit bij elk onderwerp standaard getoetst en geborgd is.

Aanbeveling 1 geldt ook voor de andere gemeenten die aangesloten zijn bij ICT-Samen. Bij de rekenkameronderzoeken naar dit onderwerp bij de gemeenten Doetinchem en Bronckhorst is deze aanbeveling eerder ook gedaan.

AANBEVELINGEN (1)

Aanbevelingen aan het College 3) Stel een visie op en vast voor het gebruik van Artificial Intelligence (AI) en datagedreven werken en draag deze actief uit. Hiermee krijgt de ambtelijke organisatie duidelijkheid over wat wel en niet toegestaan is en daarmee ook welke mogelijkheden er zijn op het gebied van innovatie. Dit geldt ook voor het niet onderzochte onderwerp van algoritmes. 4) Neem het onderdeel informatiebeveiliging en privacy standaard op in collegevoorstellen, waardoor dit bij elk onderwerp standaard getoetst en geborgd is. 5) Los alle bevindingen uit het uitgevoerde technische onderzoek van het NFIR op en laat een nieuw onderzoek uitvoeren om te toetsen of verbeteringen daadwerkelijk gerealiseerd zijn.

AANBEVELINGEN (2)

Aanbevelingen aan het College 6)Stel een Bedrijfscontinuïteitsplan (BCP) op waarin de organisatorische, technische en maatschappelijke maatregelen beschreven zijn die proactief en reactief getroffen (kunnen) worden bij (informatiebeveiligings)incidenten. 7)Realiseer de nog (gedeeltelijk) ontbrekende onderdelen conform Baseline Informatiebeveiliging Overheden 2.0 (BIO 2.0) en zorg dat monitoring op de BIO 2.0 structureel geborgd wordt middels een Information Security Management System (ISMS) op basis van een ingerichte Plan Do Check Actcyclus (PDCA-cyclus) (zie hoofdstuk 4 van deze rapportage). 8)Onderzoek de mogelijkheden voor implementatie van de door respondenten (in de uitgevoerde enquête) aangedragen verbeterpunten. Communiceer transparant welke verbeterpunten zijn aangedragen en of en hoe deze opgepakt gaan worden.

AANBEVELINGEN (3)