25-108 Rekenkamer gemeente Oude IJsselstreek - Eindrapportage rekenkameronderzoek Informatiebeveiliging Privacy.pdf
Tekst van het document
VEILIGHEID VERTROUWD!? Rekenkameronderzoek naar Informatiebeveiliging en Privacy
Versie: Datum: Vertrouwelijkheid:
Definitief 16 juni 2025 Bedrijfsvertrouwelijk
Inhoudsopgave 1. Voorwoord.................................................................................................................... 3 1.1 Inleiding .................................................................................................................... 3 1.2 Onderzoeksvragen ...................................................................................................... 3 1.3 Onderzoeksmethodiek ................................................................................................. 4 1.5 Leeswijzer ................................................................................................................. 4 1.6 Dankwoord ................................................................................................................ 5 2. De Mens........................................................................................................................ 6 2.1 Mail phishing.............................................................................................................. 6 2.2 Voice phishing ............................................................................................................ 6 2.3 Inlooptest ..................................................................................................................
6 2.4 Enquête .................................................................................................................... 7 3. De Techniek ................................................................................................................. 13 3.1 Penetratietest op de externe infrastructuur ................................................................... 13 3.2 Penetratietest op de interne infrastructuur .................................................................... 13 3.3 Penetratietest op het beveiligde Wifi-netwerk ................................................................ 14 4. De Organisatie ............................................................................................................. 15 4.1 Toets normenkaders informatiebeveiliging en privacy ..................................................... 15 4.2 Aanvullende bevindingen uit de interviews .................................................................... 18 5. Conclusies ................................................................................................................... 20 6. Aanbevelingen ............................................................................................................. 22
Bijlage 1: Bestuurlijke reactie ......................................................................................... 23 Bijlage 2: Nawoord rekenkamer ...................................................................................... 29 Bijlage 3: Verklarende woordenlijst ................................................................................ 30 Bijlage 4: Onderzoeksverantwoording ............................................................................. 31 A) De Mens .................................................................................................................... 31 B) De Techniek ............................................................................................................... 32 C) De Organisatie ........................................................................................................... 32 D) Normenkader ............................................................................................................. 32 E) Transparantieparagraaf ................................................................................................ 34 Bijlage 5: Geraadpleegde bronnen .................................................................................. 35 A) Documenten ..............................................................................................................
35 B) Interviews en praktijkcasussen ..................................................................................... 36 Bijlage 6: Uitgezette enquête .......................................................................................... 37
VEILIGHEID VERTROUWD!? Rekenkameronderzoek naar Informatiebeveiliging en Privacy
-2-
1. Voorwoord 1.1 Inleiding Het borgen van de beschikbaarheid, integriteit en vertrouwelijkheid van de door de gemeente beheerde informatie en data is een basistaak geworden. Als gevolg van de decentralisaties binnen het sociaal domein (Wmo, jeugdzorg en participatie) is het aantal door de gemeente beheerde bijzondere persoonsgegevens daarnaast sterk gegroeid. Samen met gegevens die de gemeente daarvoor al tot haar beschikking had, is het beveiligen van de toegang tot, het gebruik en het verstrekken van deze data essentieel geworden. Door keten- en netwerksamenwerking ontvangt en deelt de gemeente veel van deze data en informatie. Door de digitalisering van de maatschappij en de gangbare norm van tijd- en plaatsonafhankelijke toegang tot data, zijn privacybescherming en beveiliging van deze data en informatie een 24/7 verantwoordelijkheid. De kans op ongeautoriseerde toegang tot en misbruik van deze data en informatie is de afgelopen jaren groter geworden. Bijna dagelijks zijn er bij gemeenten (pogingen tot) cyberaanvallen, verstoringen van de informatiebeveiliging of andere (bijna) incidenten. Het gaat hierbij om aanvallen van buitenaf via internet of e-mail (bv. via phishing mails of gijzelingsvirussen), onveilige verbindingen en links, virussen via besmette bestanden/computers e.d.
waardoor computers, systemen en bestanden overgenomen, afgeluisterd, geblokkeerd, versleuteld of beschadigd kunnen worden. Ook gaat het om eventuele informatielekken van binnenuit (al dan niet moedwillig) en onveilig omgaan met gegevens(dragers) c.q. oneigenlijk gebruik van bestanden en (vertrouwelijke) gemeentelijke gegevens. De impact van een beveiligingsincident kan zeer groot zijn. De afgelopen jaren zijn in de directe omgeving van de gemeente Oude IJsselstreek nieuwswaardige incidenten geweest. Denk hierbij aan de datadiefstallen bij de GGD in januari 2021 tijdens de coronapandemie, de hacks of pogingen daartoe bij de gemeenten Lochem en Hof van Twente in 2019 en 2020 en van de Veiligheidsregio Noord en Oost-Gelderland in september 2020. De verantwoordelijkheid die de overheid draagt voor de fysieke veiligheid zou in gelijke mate moeten gelden voor de digitale veiligheid. Burgers, bedrijven en organisaties moeten erop kunnen vertrouwen, dat hun gegevens in goede handen zijn bij de overheid. Dat is de essentie van het vertrouwen dat men in de overheid moet kunnen stellen. Het beveiligen van (digitale) informatie en het bewaken van de privacy is van een ICT-vraagstuk veranderd in een bestuurlijk relevant onderwerp.
Daarmee is het ook een verantwoordelijkheid van de gemeenteraad geworden, die kaders zou moeten stellen en het college moet controleren op het uitvoeren van zijn taken op dit gebied. Het is belangrijk om ook als gemeenteraad goed bij dergelijke belangrijke strategische kwesties betrokken te zijn. De rekenkamer geeft met het uitgevoerde onderzoek naar informatiebeveiliging en privacy de gemeenteraad inzicht in: 1. De doeltreffendheid van het actuele informatiebeveiligings- en privacybeleid en de bijbehorende beheersmaatregelen. 2. De eventuele risico’s die de gemeente loopt op het gebied van informatiebeveiliging en privacy intern en in samenwerkingsverbanden (gedeelde ICT-voorzieningen). 3. De impact van toekomstige opgaven (zoals Artificial Intelligence (AI), datagedreven werken en Europese eisen) op het gebied van informatiebeveiliging en privacy.
1.2 Onderzoeksvragen
Om tot deze inzichten te komen is de volgende centrale onderzoeksvraag gedefinieerd: Is de informatiebeveiliging en privacybescherming van de gemeente Oude IJsselstreek – mede in relatie tot samenwerkingsverbanden – doeltreffend en doelmatig ingericht?
VEILIGHEID VERTROUWD!? Rekenkameronderzoek naar Informatiebeveiliging en Privacy
-3-
In de kern is het de zoektocht naar de vraag of de gemeente Oude IJsselstreek een goed beeld heeft van de belangrijkste risico’s op het gebied van informatiebeveiliging en specifiek de privacybescherming van gevoelige informatie zoals (bijzondere) persoonsgegevens. Om deze centrale vraag te kunnen beantwoorden definiëren we de volgende deelvragen: 1. Heeft de gemeente op een adequate manier invulling gegeven aan haar informatiebeveiligings- en privacybeleid? 2. In hoeverre is de sturing van de gemeente binnen samenwerkingsverbanden toereikend op het gebied van informatiebeveiliging en privacy? 3. In hoeverre zijn risico’s en beheersmaatregelen (intern en binnen samenwerkingsverbanden) in kaart gebracht en op welke wijze worden deze consequent opgevolgd? 4. Op welke wijze anticipeert de gemeente op toekomstige ontwikkelingen (die invloed hebben) op het gebied van informatiebeveiliging en privacy? 5. Hoe wordt de gemeenteraad betrokken bij de thema’s informatiebeveiliging en privacy?
1.3 Onderzoeksmethodiek
Informatiebeveiliging en privacy zijn via drie ‘velden’ met elkaar verbonden en vormen gezamenlijk het zogeheten Informatie Beveiligings Management Systeem (in het Engels: ISMS). Visueel weergegeven ziet dat er als volgt uit:
Om tot een goed antwoord op de centrale onderzoeksvraag te komen zijn alle drie de velden apart onderzocht. Een nadere toelichting op de onderzoeksmethodiek is opgenomen in bijlage 4.
1.5 Leeswijzer
Deze rapportage start met een samenvatting van de belangrijkste constateringen uit dit onderzoek. Hierna wordt aan de hand van de onderzoekscomponenten ‘De Mens’, ‘De Techniek’ en ‘De Organisatie’, een antwoord gegeven op de onderzoeksvragen. Het rapport sluit af met de conclusies en de aanbevelingen. De rekenkamer heeft getracht deze rapportage in voor een leek begrijpelijke taal te schrijven. Gezien het onderzoeksonderwerp kunnen bepaalde vaktermen niet voorkomen worden. Hierom zijn in de bijlagen onder andere een verklarende woordenlijst opgenomen, evenals een onderzoeksverantwoording en een overzicht van geraadpleegde bronnen.
VEILIGHEID VERTROUWD!? Rekenkameronderzoek naar Informatiebeveiliging en Privacy
-4-
Aanvullend zijn gegevens en bevindingen die naar hun aard vertrouwelijk zijn, niet in deze rapportage opgenomen.
1.6 Dankwoord
Bij de uitvoering van dit onderzoek is constructieve medewerking verleend door de ambtelijke organisatie en het gemeentebestuur. Door de snelle aanlevering van een grote hoeveelheid aan uitgevraagde documenten, de veelvuldig ingevulde digitale vragenlijst en de medewerking aan diverse interviews heeft de rekenkamer binnen de beoogde planning haar onderzoek uit kunnen voeren. De rekenkamer dankt eenieder voor haar medewerking en daarmee ieders bijdrage aan de voorliggende eindrapportage.
VEILIGHEID VERTROUWD!? Rekenkameronderzoek naar Informatiebeveiliging en Privacy
-5-
2. De Mens De mens is doorgaans de zwakste schakel bij het borgen van de informatiebeveiliging en privacy. Hierom is in het rekenkameronderzoek specifiek aandacht besteed aan het menselijk gedrag. In dit onderzoek is de factor mens op vier verschillende manieren onderzocht: 1. 2. 3. 4.
Mail phishing Voice phishing Inlooptest Enquête
Een toelichting op deze vier onderzoeksmethodieken is beschreven in bijlage 4. In het vervolg van dit hoofdstuk worden de onderzoeksresultaten van deze 4 methodieken nauwkeurig beschreven.
2.1 Mail phishing
Onderzoeksbureau NFIR heeft tussen 23 en 30 september 2024 een mailphishing campagne uitgezet onder alle medewerkers (inclusief ingehuurde medewerkers), de leden van het College van B&W, de leden van de gemeenteraad en fractieassistenten (totaal 561 medewerkers). In totaal hebben 72 medewerkers op de link in de phishingmail geklikt (13%), waarvan 35 medewerkers daadwerkelijk hun gebruikersnaam en wachtwoord hebben gedeeld (6%). Het NFIR heeft geen wachtwoorden opgeslagen. Indien het een malafide mailphishing betrof (in tegenstelling tot deze test) dan was via 35 medewerkers gedeeltelijke toegang tot systemen van de gemeente mogelijk geweest. Het aantal medewerkers dat geklikt heeft op de phishingmail en het aantal medewerkers dat vervolgens daadwerkelijk gegevens heeft achtergelaten is relatief laag. Uit landelijk onderzoek van het Ministerie van Justitie en Veiligheid en het Ministerie van Binnenlandse Zaken en Koninkrijksrelaties uit januari 2024 naar phishing onder 1033 respondenten, blijkt dat gemiddeld 1 op 10 Nederlanders op een malafide link klikt en ongeveer de helft daarvan ook daadwerkelijk gegevens achterlaat1. Daarmee is het resultaat in Oude IJsselstreek vergelijkbaar met het landelijk gemiddelde.
2.2 Voice phishing Onderzoeksbureau NFIR heeft 16 medewerkers geprobeerd te bereiken voor een voice phishing. Uiteindelijk zijn 6 medewerkers gesproken, waarvan 3 medewerkers (50%), daadwerkelijk gebruikersnaam en wachtwoord hebben achtergelaten op de website waarnaar verwezen werd. Eén gebelde medewerker vertrouwde het niet en heeft de CISO geïnformeerd. De medewerkers die gegevens hebben achtergelaten zijn geïnformeerd dat dit een test betrof en hoe ze konden achterhalen dat dit een voice phishing campagne betrof. Zo werd er anoniem gebeld, waarbij de afdeling ICT altijd met nummerherkenning belt.
2.3 Inlooptest Op 24 september 2024 heeft een medewerker van het NFIR geprobeerd toegang te krijgen tot zowel het gemeentehuis (Staringstraat 25) als bij STOER in de DRU in Ulft. Dit heeft verschillende resultaten opgeleverd. Voor het gemeentehuis geldt dat: -
-
1
Toegang verkregen kon worden via de personeelsingang, het werkcafé en de receptie. De medewerker van het NFIR bij toegang via de personeelsingang (door mee te lopen met legitieme medewerkers) tot drie keer toe door medewerkers vriendelijk is aangesproken en gecontroleerd is op geautoriseerde toegang. Hierbij heeft de medewerker van het NFIR zijn ‘vrijkaart’ moeten tonen. In het werkcafé heeft de medewerker van het NFIR een vertrouwelijk gesprek mee kunnen luisteren van een lid van de ondernemingsraad. Er was via de receptie geen mogelijkheid voor toegang tot de medewerkersgangen. Deze zaten allemaal op slot en de medewerker van het NFIR kon niet meelopen met iemand.
Zie: Misleidende online berichtgeving
VEILIGHEID VERTROUWD!? Rekenkameronderzoek naar Informatiebeveiliging en Privacy
-6-
-
Er waren geen documenten aanwezig bij de printers en er konden geen printopdrachten uit de printers gehaald worden. Het was mogelijk om de eigen laptop bekabeld aan te sluiten op het netwerk van de gemeente. Hierbij werd een IP-adres toegekend in het gastennetwerk. De bezemkast was niet afgesloten. Een insluiper zou zich hier kunnen verstoppen.
Voor toegang tot STOER in de DRU geldt het volgende: -
De medewerker van het NFIR werd toegelaten door een medewerker van STOER (deur werd geopend) na aangegeven te hebben dat hij een medewerker van de gemeente was. De medewerker van het NFIR kon vrij rondlopen bij STOER en is door niemand aangesproken. Ongewenste bezoekers worden niet gedetecteerd of begeleid. In de DRU kon de medewerker van het NFIR een sollicitatiegesprek afluisteren.
2.4 Enquête
De enquête is door 272 ontvangers geopend en door 195 ontvangers volledig ingevuld. Op een totaal van 493 ontvangers (inclusief gemeenteraadsleden en fractieassistenten) betekent dit dat bijna 40% van de aangeschreven respondenten de enquête heeft ingevuld. Voor de analyse van de resultaten zijn enkel de 195 volledig ingevulde enquêtes meegenomen. Door alle afdelingen is de enquête ingevuld:
Afdeling Bedrijfsvoering BUOR College van Burgemeester en Wethouders Concernstaf Fysieke ontwikkeling Gemeenteraad (en fractieassistenten) Griffie Publiekszaken, Economie en Maatschappij (PEM) Sociaal Domein Totaal
Aantal medewerkers 101 85 6
Aantal ingevulde enquêtes 42 22 4
% ingevuld 41,6% 25,9% 66,7%
19 69 57
11 28 19
57,9% 40,6% 33,3%
4 57
2 23
50,0% 40,4%
95 493
44 195
46,3% 39,6%
De belangrijkste vraag in de enquête betrof in hoeverre men zich houdt aan de gedragsregels op het gebied van informatiebeveiliging en privacy. Op basis van de 195 ingevulde enquêtes ontstaat het volgende totaalbeeld in absolute aantallen (en percentueel): Gedragsregel
1. Een informatiebeveiligingsen/of privacy-incident meld ik via het beschikbare meldformulier 2. E-mails met (bijzondere) persoonsgegevens en/of vertrouwelijke/gevoelige data
Is dit een gedragsregel?
Oei, die was ik vergeten; ik moet daar beter op gaan letten
Ik pas deze regel soms toe
Ik pas deze regel meestal toe
Dit doe ik altijd
Deze regel is op mijn werkzaamheden niet van toepassing
Totaal
20 (10,3%)
21 (10,8%)
20 (10,3%)
32 (16,4%)
82 (42,1%)
20 (10,3%)
195 (100%)
11 (5,6%)
16 (8,2%)
12 (6,2%)
53 (27,2%)
75 (38,5%)
28 (14,4%)
195 (100%)
VEILIGHEID VERTROUWD!? Rekenkameronderzoek naar Informatiebeveiliging en Privacy
-7-
verstuur ik altijd via de beveiligde mailoplossing Bastion365 3. Ik volg jaarlijks het bewustwordingsprogramma informatiebeveiliging en privacy 4. Mijn werklaptop gebruik ik in principe niet voor privédoeleinden 5. Ik vergrendel mijn scherm als ik mijn werkplek verlaat 6. Ik zorg dat op mijn werkplek geen gevoelige/vertrouwelijke informatie ligt als ik mijn werkplek verlaat 7. Ik zorg ervoor dat anderen mijn vertrouwelijke / gevoelige gesprekken niet mee kunnen luisteren (zowel op kantoor, thuis als in het openbaar). 8. Grote bestanden verstuur ik veilig met Bastion365 9. In e-mailberichten open ik geen onbekende url’s of bijlagen. Ik vul geen gegevens in bij een (onverwacht) bericht met onbekende afzender. 10. Ik maak geen gebruik van openbare Wifi-netwerken (toegang tot Wifi zonder wachtwoord)
52 (26,7%)
31 (15,9%)
8 (4,1%)
20 (10,3%)
67 (34,4%)
17 (8,7%)
195 (100%)
11 (5,6%)
1 (0,5%)
14 (7,2%)
61 (31,3%)
100 (51,3%)
8 (4,1%)
195 (100%)
8 (4,1%)
14 (7,2%)
25 (12,8%)
61 (31,3%)
85 (43,6%)
2 (1,0%)
195 (100%)
1 (0,5%)
3 (1,5%)
17 (8,7%)
64 (32,8%)
103 (52,8%)
7 (3,6%)
195 (100%)
2 (1,0%)
0 (0,0%)
17 (8,7%)
59 (30,3%)
107 (54,9%)
10 (5,1%)
195 (100%)
24 (12,3%)
12 (6,2%)
19 (9,7%)
33 (16,9%)
48 (24,6%)
59 (30,3%)
195 (100%)
2 (1,0%)
0 (0,0%)
4 (2,1%)
21 (10,8%)
165 (84,6%)
3 (1,5%)
195 (100%)
8 (4,1%)
11 (5,6%)
18 (9,2%)
43 (22,1%)
109 (55,9%)
6 (3,1%)
195 (100%)
Hieronder staat per regel een toelichting: 1. Een informatiebeveiligings- en/of privacy-incident meld ik via het beschikbare meldformulier. In het informatiebeveiligingsbeleid is als één van de strategische uitgangspunten ‘Alle medewerkers melden veiligheidsincidenten, op incidenten wordt opvolging gegeven’ opgenomen. Het is hierom opvallend dat 10,3% van de respondenten aangeeft dat deze regel op hun werkzaamheden niet van toepassing is. Uitgaande van het beleid zou dit 0% moeten zijn. Tevens is opvallend dat deze regel door 10,3% van de respondenten niet herkend wordt. Het totaalbeeld laat zien dat minder dan de helft (42,1%) van de respondenten een incident altijd meldt. Bij de toelichting die gegeven kon worden op deze regel komt samengevat het volgende terug: -
Een deel van de respondenten is niet bekend hoe ze moeten melden en wat meldingswaardig is. Een deel van de respondenten doet zelf een risico-inschatting van een incident en daarmee of het meldingswaardig is. Het invullen van het meldformulier kost veel tijd. Er komt niet altijd een terugkoppeling op de melding, waardoor een deel van de respondenten het idee krijgt dat de melding niet nuttig was. Externen zijn niet geattendeerd op de meldingsprocedure.
2. E-mails met (bijzondere) persoonsgegevens en/of vertrouwelijk/gevoelige data verstuur ik altijd via de beveiligde mailoplossing Bastion365. In het informatiebeveiligingsbeleid is opgenomen dat ‘Medewerkers dienen verantwoord om te gaan met persoonsgegevens en andere informatie’. Sinds 28 februari 2024 is voor het verzenden van dit soort gegevens Bastion365 organisatiebreed beschikbaar gesteld. VEILIGHEID VERTROUWD!? Rekenkameronderzoek naar Informatiebeveiliging en Privacy
-8-
Uit de enquête blijkt dat respondenten deze regel meestal (27,2%) of altijd (38,5%) toepassen. Respondenten die niet met dit soort gegevens werken geven logischerwijs aan dat deze regel niet op hen van toepassing is (14,4%). De respondenten die deze regel vergeten waren, er niet bekend mee waren of soms toepassen, onderbouwen dit als volgt: -
Het gebruik van Bastion365 wordt als vertragend en omslachtig ervaren. Het verplichte 06-nummer van de geadresseerde is niet altijd bekend, waardoor vertrouwelijke gegevens toch via reguliere mail verzonden worden. Er is geen uitleg gegeven over het gebruik van Bastion365 waardoor de tool niet gebruikt wordt. De snelheid van handelen en ervaren werkdruk maken dat Bastion365 wordt overgeslagen. Bastion365 werkt niet altijd waardoor voor de reguliere verzendwijze wordt gekozen.
3. Ik volg jaarlijks het bewustwordingsprogramma informatiebeveiliging en privacy. In het informatiebeveiligingsbeleid is als één van de strategische uitgangspunten opgenomen dat ‘alle medewerkers doen jaarlijks mee met de bewustzijnstrajecten. Meervoudig niet meedoen kan worden gezien als werkweigering en kan dus leiden tot aantekeningen in het personeelsdossier. Met de bewustzijnstrajecten worden de risico’s van menselijk gedrag geminimaliseerd.’ Opvallen in de ingevulde enquête is dat 8,7% van de respondenten aangeeft dat deze regel op hen niet van toepassing is. Conform het beschreven strategische uitgangspunt zou dit niet mogen; het meedoen aan de jaarlijkse bewustzijnstrajecten is immers voor alle medewerkers. Iets meer dan één derde van de respondenten (34,4%) geeft aan jaarlijks het bewustzijnsprogramma te volgen. De overige respondenten kenden deze regel niet of letten hier niet op. Respondenten onderbouwen dit als volgt: -
Er is respondenten door hun manager of door de CISO of FG nooit verteld dat het volgen van een dergelijk programma verplicht is. Bij een deel van de respondenten is niet bekend dat er een dergelijk jaarlijks bewustzijnsprogramma is. Bij een deel van de respondenten ontbreekt het aan tijd om het programma te volgen. Een deel van de respondenten geeft aan dat informatie via het intranet wordt gepubliceerd en ervaart dit niet als een bewustwordingsprogramma waarmee deelname aangetoond kan worden.
4. Mijn werklaptop gebruik ik in principe niet voor privédoeleinden. In hoofdstuk 5 van de Gedragscode voor Ambtenaren, gemeente Oude IJsselstreek 2019, zijn regels opgenomen over het privégebruik van laptops, iPad’s en mobiele telefoons. Onder andere is beschreven dat het privégebruik van deze elektronische apparatuur in beperkte mate is toegestaan (privémail controleren mag, maar online shoppen of een film streamen niet). Een groot deel van de respondenten (82,6%) past deze regel meestal of altijd toe. Daaruit blijkt dat deze regel goed bekend is en grotendeels ook goed wordt toegepast. Voor het deel van de respondenten die deze regel niet of soms toepassen wordt de volgende motivatie gegeven: -
Men heeft geen privé laptop en maakt daarom gebruik van de werklaptop. Men volgt een (deels) werkgerelateerde studie. De werklaptop wordt beschouwd als een bijkomende arbeidsvoorziening die ook privé gebruikt mag worden. Zolang men buiten Citrix om werkt is privégebruik veilig en toegestaan volgens een aantal respondenten.
VEILIGHEID VERTROUWD!? Rekenkameronderzoek naar Informatiebeveiliging en Privacy
-9-
5. Ik vergrendel mijn scherm als ik mijn werkplek verlaat. In het beleid Logische toegangsbeveiliging is opgenomen dat ‘een onbeheerde werkplek is in een ongecontroleerde omgeving altijd vergrendeld. Dit is de afspraak maar blijft afhankelijk van menselijk handelen.’ Met het verlaten van de werkplek is er geen sprake meer van een gecontroleerde omgeving door de gebruiker zelf. Hierom dient het scherm altijd vergrendeld te worden bij het verlaten van de werkplek. Het valt op dat bijna driekwart van de respondenten deze regel meestal (31,3%) of altijd (43,6%) opvolgen. Het bewustzijn over en het toepassen van deze regel is daarmee relatief hoog. Respondenten die onbekend zijn met deze regel of deze niet of soms toepassen geven hiervoor de volgende verklaring: -
Bij het ophalen van een print, koffie of bij toiletbezoek is het verlaten van de werkplek dusdanig kort dat vergrendeling volgens deze respondenten niet nodig is. Een aantal respondenten geeft aan collega’s (en zeker kamergenoten) te vertrouwen, waardoor vergrendeling niet nodig is. Respondenten gaan ervan uit dat het scherm automatisch vergrendeld na een bepaalde periode van inactiviteit. Een aantal respondenten minimaliseert openstaande programma’s zodat enkel het bureaublad zichtbaar is. Een aantal respondenten zet de monitor uit en zijn ervan overtuigd daarmee schermvergrendeling toe te passen. Schermvergrendeling wordt door een aantal respondenten als omslachtig ervaren.
6. Ik zorg dat op mijn werkplek geen gevoelige/vertrouwelijke informatie ligt als ik mijn werkplek verlaat. In zowel het informatiebeveiligingsbeleid, de gedragscode, de Notitie uitgangspunten werkplek en werkruimten en het document Werkafspraken Gemeente Oude IJsselstreek, zijn regels opgenomen met betrekking tot het bewust en veilig omgaan met gevoelige en vertrouwelijke informatie, clear desk-beleid (het opruimen van gevoelige/vertrouwelijke informatie bij het (tijdelijk) verlaten van de werkplek) en het gebruik van lockers en afgesloten opbergruimtes voor dit soort informatie. Een zeer groot deel van de respondenten (85,6%) is zich bewust van deze gedragsregel en gedraagt zich hier ook meestal of altijd naar. Het relatief kleine deel van de respondenten dat zich niet bewust is van deze regel of zich hier soms naar gedraagt, geeft hierover het volgende aan: -
Bij het ophalen van een print, koffie of bij toiletbezoek is het verlaten van de werkplek dusdanig kort dat het opruimen van deze informatie volgens deze respondenten niet nodig is. Een aantal respondenten geeft aan collega’s (en zeker kamergenoten) te vertrouwen, waardoor opruimen niet nodig is. Een aantal respondenten legt vertrouwelijke/gevoelige informatie op de kop of onder andere niet gevoelige informatie bij het tijdelijk verlaten van de werkplek. Het tijdelijk opruimen van gevoelige/vertrouwelijke informatie wordt door een aantal respondenten als omslachtig ervaren.
7. Ik zorg ervoor dat anderen mijn vertrouwelijke / gevoelige gesprekken niet mee kunnen luisteren (zowel op kantoor, thuis als in het openbaar). In het informatiebeveiligingsbeleid is onder meer benoemd dat ‘persoonsgegevens worden beschermd en op een correcte wijze verwerkt zodat de beschikbaarheid, integriteit en vertrouwelijkheid geborgd blijft.’ Daarnaast is opgenomen dat iedere medewerker (zowel tijdelijk als vast, intern of extern) gegevens onder meer beschermt tegen ongeautoriseerde toegang, openbaring, verlies en/of overdracht.
VEILIGHEID VERTROUWD!? Rekenkameronderzoek naar Informatiebeveiliging en Privacy
- 10 -
In de gedragscode wordt hier extra aandacht aan besteed en in het document Werkafspraken gemeente Oude IJsselstreek staat specifiek dat ‘Belcellen worden gebruikt voor het voeren van een telefoongesprek of een (kort) teamsoverleg’. Net als bij regel 5 en 6 valt op dat een heel groot deel van de respondenten zich bewust is van deze regel en zich hier meestal aan houdt (85,2%). Tevens valt positief op dat geen enkel respondenten deze regel ooit gehoord heeft maar vergeten was. De respondenten die deze regel niet kennen of maar soms toepassen geven hiervoor de volgende verklaring: -
Er wordt gewerkt met flexplekken waardoor er te weinig privacy is om telefoon gesprekken alleen te houden. Er zijn te weinig beschikbare belcellen en (af te sluiten) spreekkamers om een vertrouwelijk gesprek te kunnen voeren. Een aantal respondenten werkt in een ruimte met collega’s die hetzelfde werk uitvoeren waardoor gesprekken volgens respondenten meegeluisterd mogen worden. Bij sommige vertrouwelijke gesprekken is ook het dossier op de laptop nodig. Men blijft dan op de werkplek bellen.
8. Grote bestanden verstuur ik veilig met Bastion365. In het Beleid veilig mailen en grote bestanden uitwisselen met Bastion365, is opgenomen dat bestanden groter dan 20mb veilig verstuurt moeten worden via het MyBastion365 portaal en dat dit niet langer via Outlook mogelijk is. In het beleid cryptografie staat daarnaast: ‘Om vertrouwelijke en geheime informatie te beschermen is het niet toegestaan om dit type informatie te delen via voorzieningen als webmail, als ook sociale netwerken en clouddiensten (Dropbox, Gmail, etcetera.). Dit vanwege het lage beschermingsniveau, veelal alleen naam en wachtwoord, en het ontbreken van versleuteling.’ Uit de enquête blijkt dat bijna één derde van de respondenten (30,3%) aangeeft dat deze regel op hen niet van toepassing is. Dit is deels te verklaren omdat men geen grote bestanden hoeft te versturen vanuit de eigen werkzaamheden. 41,5% van de respondenten past deze regel meestal of altijd toe. Bijna één derde van de respondenten (28,2%) geeft aan onbekend te zijn met deze regel, deze te vergeten of soms toe te passen. Verklaringen die hiervoor gegeven worden zijn: -
Men gebruikt liever WeTransfer of DropBox omdat dit makkelijker is voor de ontvangende partij door het ontbreken van 2FA. Men ervaart Bastion365 als complex en daarmee niet gebruiksvriendelijk. Men is niet op de hoogte dat het mogelijk is om via Bastion365 veilig grote bestanden te versturen. De omvang van een bestand zegt niet altijd iets over de vertrouwelijkheid/gevoeligheid van het bestand. Een aantal respondenten maakt een eigen risicoinschatting hiervan en versturen het bestand vervolgens via Dropbox of een andere verzendoplossing.
9. In e-mailberichten open ik geen onbekende url’s of bijlagen. Ik vul geen gegevens in bij een (onverwacht) bericht met onbekende afzender. In de diverse e-Learnings voor nieuwe medewerkers over informatiebeveiliging wordt specifiek aandacht besteed aan het herkennen van en omgaan met verdachte e-mails. Uit de enquête blijkt dat respondenten zich hier goed bewust van zijn en (bijna) altijd naar handelen (95,4%). Door de 9 respondenten die hebben aangegeven deze regel niet te kennen, deze soms toe te passen of die aangegeven hebben dat deze regel niet op hen van toepassing is, is geen toelichting gegeven. 10. Ik maak geen gebruik van openbare Wifi-netwerken (toegang tot Wifi zonder wachtwoord). In het informatiebeveiligingsbeleid is opgenomen dat iedere medewerker (zowel tijdelijk als vast, intern of extern) gegevens onder meer beschermt tegen ongeautoriseerde toegang, verandering openbaring, vernietiging, verlies en/of overdracht.
VEILIGHEID VERTROUWD!? Rekenkameronderzoek naar Informatiebeveiliging en Privacy
- 11 -
In de gedragscode is daarnaast in hoofdstuk 9 over vertrouwelijke informatie opgenomen dat zorgvuldigheid geboden is bij het geven van toegang tot de computer op de werkplek (of waar je dan ook zit met een iPad of laptop). Aanvullend is in de e-Learnings aandacht besteed aan de werkwijze van internetcriminelen en de risico’s van ene openbaar Wifi-netwerk. Ruim driekwart van de respondenten (78%) past deze regel meestal of altijd toe. De overige respondenten geven verschillende verklaringen voor het niet (kunnen) toepassen van deze regel: -
Het beveiligde Wifi-netwerk is niet altijd even stabiel en daardoor niet werkbaar. In sommige gevallen is er geen ander alternatief dan een onbeveiligd Wifi-netwerk. Een aantal respondenten wordt niet toegelaten tot het beveiligde Wifi-netwerk (Govroam) en gebruikt daarom het openbare gastennetwerk. In het openbaar vervoer maken respondenten voor het werk gebruik van het openbare Wifi-netwerk van de OV-aanbieder.
Tips en suggesties van respondenten In de enquête is aan respondenten gevraagd of ze nog tips of suggesties hebben om de informatiebeveiliging en privacy te verbeteren. 102 respondenten hebben hierbij iets ingevuld. Samengevat geeft dit het volgende beeld: -
-
Er is een sterke behoefte aan meer aandacht/bewustwording voor informatiebeveiliging en privacy bij team- en afdelingsvergaderingen. Communicatie over dit onderwerp is momenteel vooral via het intranet en dat leeft minder. Er is behoefte om het gesprek over deze onderwerpen te voeren. Enerzijds zodat men beter begrijpt wat er verwacht wordt, anderzijds om te leren van elkaar. Bij veel regels is het ‘waarom?’ niet gecommuniceerd en welke risico’s een regel wegneemt. Door dat beter te communiceren ontstaat er meer draagvlak in het toepassen van de regels. Bij nieuwe activiteiten en taken mag informatiebeveiliging en privacy beter geborgd worden. De techniek mag verbeterd worden. Genoemd worden het strakker inregelen van de spamfilters, het verbeteren van de Wifi en het verbeteren van Bastion365. Er is behoefte aan meer plekken waar privacygevoelige / vertrouwelijke gesprekken gevoerd kunnen worden (zowel in het gemeentehuis als in de DRU waar STOER werkt). Een aantal respondenten geeft aan dat bestaande ruimtes gesplitst zouden kunnen worden. Het gebruik van een wachtwoordmanager stimuleren/verplicht stellen. Om gebruikers scherp te houden vindt men het wenselijk om de phishing-mails en andere campagnes regelmatig uit te blijven voeren.
Er mag meer geïnvesteerd worden in een aanspreekcultuur vanuit het oogpunt van verbetering; hou elkaar scherp op de afgesproken informatiebeveiligings- en privacyregels. Er is behoefte aan een meer laagdrempelige manier om zaken te melden. Bijvoorbeeld spam direct vanuit Outlook of een incident/datalek zonder dat een zaak aangemaakt moet worden. Verbeter de beveiliging van het raadsinformatiesysteem (RIS) door 2FA toe te passen. Geef informatiebeveiliging en privacy nog meer een gezicht. Niet alleen via de CISO en de FG, maar vooral ook op management en bestuursniveau. Raadsleden hebben behoefte aan inzicht in de regels en specifiek het gebruik van Bastion365.
VEILIGHEID VERTROUWD!? Rekenkameronderzoek naar Informatiebeveiliging en Privacy
- 12 -
3. De Techniek Naast de mens is er de ‘harde’ kant van informatiebeveiliging en privacy: het geheel van technische maatregelen dat getroffen is om 1) ongeautoriseerde toegang tot de digitale omgeving van de gemeente te voorkomen, en 2) te voorkomen dat data en informatie ongewenst van binnen naar buiten gaat. Hiervoor heeft onderzoeksbureau NFIR drie verschillende testen uitgevoerd. -
Een penetratietest op de externe infrastructuur. Een penetratietest op de interne infrastructuur. Een penetratietest op het beveiligde WiFi-netwerk.
Een toelichting op deze drie onderzoeksmethodieken is beschreven in bijlage 2. Omdat dit rekenkamerrapport openbaar is worden de geconstateerde bevindingen niet in detail beschreven. De geconstateerde bevindingen bevatten immers vertrouwelijke en bedrijfskritieke informatie, die bij bekendmaking misbruikt kunnen worden. De gedetailleerde resultaten zijn wel gedeeld met de relevante functionarissen in de ambtelijke organisatie. Geconstateerde kritieke bevindingen zijn tijdens het onderzoek direct gemeld en opgelost. Een beknopte uitwerking van de resultaten volgt hieronder.
3.1 Penetratietest op de externe infrastructuur Deze test heeft 11 bevindingen opgeleverd in de volgende categorieën:
De geconstateerde bevindingen richten zich generaliserend op het versterken van de externe beveiliging. Dit zit met name in het toepassen en actualiseren van bepaalde beveiligingsprotocollen op de website en het actualiseren van verlopen certificaten.
3.2 Penetratietest op de interne infrastructuur Deze test heeft 21 bevindingen opgeleverd in de volgende categorieën:
Zes (6) van de 9 kritieke bevindingen scoren tussen 9,5 en de 10 (waarbij 10 de hoogste score is). Dit betekent dat een hogere score op kritiek niveau niet mogelijk is, wat de ernst van deze bevindingen aangeeft. De niet kritieke bevindingen constateren dat er medewerkers zijn die gebruik maken van onveilige wachtwoorden en dat het wachtwoordbeleid technisch niet wordt afgedwongen. Daarnaast is geconstateerd dat er diverse gebruikers zijn die meer rechten hebben of toegang hebben tot domeinen dan vanuit hun functie toegestaan is. VEILIGHEID VERTROUWD!? Rekenkameronderzoek naar Informatiebeveiliging en Privacy
- 13 -
3.3 Penetratietest op het beveiligde Wifi-netwerk
Deze test heeft 3 bevindingen opgeleverd in de volgende categorieën:
Hoewel de kritieke en hoge bevindingen inmiddels zijn opgelost, zijn deze dusdanig gevoelig dat deze niet toegelicht kunnen worden in dit openbare rapport.
VEILIGHEID VERTROUWD!? Rekenkameronderzoek naar Informatiebeveiliging en Privacy
- 14 -
4. De Organisatie Om inzicht te krijgen in de organisatie van informatiebeveiliging en privacy is een dossieronderzoek uitgevoerd. Hierbij zijn de landelijk vastgestelde normenkaders voor informatiebeveiliging (BIO) en privacy (AVG Borgingsproduct 3.0) als toetsingskader gebruikt om de volwassenheid van de organisatie van de informatiebeveiliging en privacy binnen de gemeente vast te stellen. Het dossieronderzoek is aangevuld met 9 interviews met diverse functionarissen uit de gemeente en de ICT-samenwerking. Een lijst met geïnterviewde personen is opgenomen in bijlage 5. In het vervolg van dit hoofdstuk worden eerst de belangrijkste bevindingen met betrekking tot de toets op de normenkaders beschreven. Daarna worden zowel voor informatiebeveiliging als privacy de bevindingen, in relatie tot het normenkader en de testen op de Techniek en de Mens, op basis van de interviews beschreven.
4.1 Toets normenkaders informatiebeveiliging en privacy Er zijn landelijke normenkaders opgesteld voor (gemeentelijke) overheden op het gebied van informatiebeveiliging en privacy. Op het gebied van informatiebeveiliging is dit de BIO. Op het gebied van privacy is dit het AVG-borgingsproduct 3.0. In dit hoofdstuk worden de belangrijkste constateringen beschreven die aangetroffen zijn in de gemeente Oude IJsselstreek aan de hand van een toets op deze normenkaders. De NIS2 is door het Europees Parlement vastgesteld in januari 2023. Vanaf dat moment is een periode van 21 maanden gestart waarbinnen nationale overheden de NIS2 richtlijn vertaald moeten hebben naar nationale wetgeving. In Nederland wordt dit de Informatiebeveiligingswet. De Informatiebeveiligingswet treedt naar alle waarschijnlijkheid in Q2 2025 in werking en vanaf dat moment dient de gemeente Oude IJsselstreek hieraan te voldoen. De informatiebeveiligingswet is daarom nu al vertaalt in de BIO 2.0, die vanaf Q2 2025 geen richtlijn meer is maar een wettelijke verplichting. Voor dit rekenkameronderzoek is de situatie in de gemeente Oude IJsselstreek getoetst aan de BIO 2.0 zodat inzichtelijk wordt waar nog werkzaamheden verricht moeten worden om per Q2 2025 te voldoen aan de BIO 2.0.
Toets Baseline Informatiebeveiliging Overheden 2.0 (BIO 2.0) De BIO 2.0 bestaat uit 203 beheersmaatregelen om te kunnen voldoen aan de actuele eisen op het gebied van informatiebeveiliging. Op basis van het uitgevoerde dossieronderzoek en de afgenomen interviews worden de beheersmaatregelen bij de gemeente Oude IJsselstreek als volgt gescoord: Status Voldoet geheel (volledig geïmplementeerd) Voldoet deels (gedeeltelijk geïmplementeerd) Voldoet niet (niet geïmplementeerd of niet juist geïmplementeerd) Totaal
Aantal 118 51 34 203
Het is hierbij belangrijk om te weten dat de 203 beheersmaatregelen uit de BIO 2.0 gegroepeerd zijn in thema’s. Een thema heeft daarbij een aantal beheersmaatregelen. In een aantal gevallen is het zo dat binnen één thema de meeste beheersmaatregelen dezelfde score hebben gekregen. Dit betekent daarmee ook dat het invulling geven aan een thema waar nu nog ‘voldoet niet’ op gescoord wordt, direct bij een aantal beheersmaatregelen leidt tot een andere status. Per status zijn er, overall gezien, de volgende belangrijkste bevindingen: Voldoet geheel -
Alle benodigde taken, bevoegdheden en verantwoordelijkheden zijn beschreven (o.a. in een compleet en logisch opgesteld mandaatregister) en ingevuld en gebaseerd op de BIO 2.0, AVG en andere relevante wetgeving. De governance is daarmee op orde. De CISO en FG hebben, waar nodig, rechtstreekse toegang tot het centraal MT (CMT) en het College. Ze adviseren gevraagd en ongevraagd en er wordt serieus naar geluisterd door besluitvormers. Het CMT en het College maken vervolgens altijd een afweging tussen
VEILIGHEID VERTROUWD!? Rekenkameronderzoek naar Informatiebeveiliging en Privacy
- 15 -
-
-
-
-
-
gebruiksvriendelijkheid en veiligheid. Hoewel de CISO op papier niet onafhankelijk is gepositioneerd (omdat deze als lijnfunctie en niet als staffunctie rechtstreeks onder de gemeentesecretaris is geplaatst), wordt deze onafhankelijkheid door de CISO wel ervaren. Er wordt veel geïnvesteerd in bewustwording, opleiding en training via verschillende vormen (e-Learning, nieuwsberichten, testen, zeepkistbijeenkomsten, afdelings- en teamvergaderingen). Uit de interviews en uit de enquête blijkt ook dat dit grotendeels effect heeft op de medewerkers; hoewel niet alle medewerkers en met name de externen onbekend zijn met de e-Learning, hebben veel medewerkers wel een veiligheidsbewustzijn ontwikkeld door de andere middelen en ontstaat er steeds sterker een (veilige) aanspreekcultuur. De omgang met persoonsgegevens in de praktijk gebeurt, op basis van de uitgevoerde steekproef, zeer zorgvuldig. Gegevens worden goed beschermd, papieren aantekeningen worden weggegooid in de beveiligde papierbak en in teamoverleggen wordt altijd een geanonimiseerde situatie i.p.v. een cliënt besproken. Er zijn diverse technische toepassingen ingeregeld voor het faciliteren van de informatiebeveiliging en privacy (o.a. veilige mailoplossing, monitoring en respons op het netwerk, malware-detectie, 2-factorauthenticatie, wachtwoordmanager, gescheiden softwareomgevingen).
De procedure voor het melden en afhandelen van informatiebeveiligingsincidenten en datalekken is compleet beschreven en wordt ook conform uitgevoerd. De procedure is bekend bij gebruikers. Elk incident wat een datalek blijkt wordt gemeld bij de Autoriteit Persoonsgegevens (AP) en bij betrokkenen. Desondanks valt op dat het aantal meldingen in verhouding tot de omvang van de organisatie laag is. Dit komt ook overeen met de resultaten uit de enquête, waarbij medewerkers aangeven niet altijd te weten wat en hoe ze moeten melden. Door de gemeente uitgegeven werkplekapparatuur is goed beveiligd tegen ongeautoriseerde toegang (o.a. toepassing van versleuteling (encryptie)). Werkplekapparatuur en applicaties worden technisch en functioneel up-to-date gehouden (lifecycle-management wordt toegepast). Het back-up en herstelbeleid is actueel en wordt ook conform toegepast en regelmatig getest. Het proces van in-, door- en uitstroom van personeel is zodanig ingericht, dat medewerkers bij de start in hun functie bijna altijd beschikken over de juiste rollen en rechten en apparatuur en dat bij uitdienst autorisaties snel worden ingetrokken.
Voldoet deels -
-
-
-
Er zijn veel verplichte beleidsstukken opgesteld maar deze missen soms door de BIO 2.0 verplicht gestelde componenten. Bijvoorbeeld de frequentie van en de wijze waarop het informatiebeveiligingsbeleid wordt geëvalueerd. Ongeveer 80% van de volgens de BIO 2.0 benodigde beleidsdocumenten zijn opgesteld en ook geïmplementeerd in de organisatie. Diverse onderdelen van het informatiebeveiligingsbeleid zijn in de praktijk niet belegd en/of ingevuld. Zo dienen informatiebeveiliging en privacy onderdeel te zijn van elk projectplan/voorbereiding bij aanschaf of aanpassing van systemen of processen waarbij niet openbare informatie is betrokken. Ook dienen volgens het informatiebeveiligingsbeleid kritieke bedrijfsprocessen onderbouwd bepaald en beschermd te zijn. Omdat een bedrijfscontinuïteitsplan ontbreekt is hieraan (nog) geen invulling gegeven. Er zijn op operationeel en gedeeltelijk op tactisch niveau geen formele proceseigenaren in de organisatie op het gebied van informatiebeveiliging- en privacy wat volgens het eigen beleid wel zou moeten. Door het ontbreken van proceseigenaren is momenteel onduidelijk wie formeel een besluit mag nemen over de afhandeling van een melding / mogelijk datalek. Op dit moment verloopt alles via de CISO en de FG, wat niet conform het beleid is.
Er is geen formeel vastgesteld screeningsbeleid bij de aanname van nieuwe medewerkers en het overleggen van een VOG is alleen bij een aantal specifieke functies verplicht. Enkel de verplichte jaarlijkse ENSIA audit wordt uitgevoerd. Interne audits op specifieke onderwerpen, processen en/of afdelingen/teams worden niet uitgevoerd. Door het ontbreken van een goed ingerichte PDCA-cyclus kan hierdoor niet tussentijds (op basis van vastgestelde (potentiële) risico’s) gemonitord worden of informatiebeveiliging en privacy goed geborgd zijn. In de gedragscode, arbeidsovereenkomst/inhuurovereenkomst of bij de eed/gelofte is niets vastgelegd over de rechten en plichten van een medewerker op het moment dat deze de
VEILIGHEID VERTROUWD!? Rekenkameronderzoek naar Informatiebeveiliging en Privacy
- 16 -
-
organisatie verlaat (bijvoorbeeld dat opgedane kennis en informatie niet gedeeld mag worden). Er is geen beleid op het gebied van logging en monitoring. Logging en monitoring wordt wel gedaan door leveranciers van applicaties, maar door het ontbreken van beleid is het onduidelijk of deze logging en monitoring voldoet aan de vereisten van de gemeenten en die van de BIO 2.0.
Voldoet niet -
-
-
-
-
Er is (nog) geen vastgesteld functieprofiel voor de functie CISO. In projecten wordt informatiebeveiliging en privacy niet standaard meegenomen. Er zijn geen formats voor projectplannen om deze thema’s structureel te adresseren. De in gebruik zijnde softwaresystemen zijn niet geclassificeerd op Beschikbaarheid, Integriteit en Vertrouwelijkheid (BIV-classificatie). Hierdoor is niet inzichtelijk welke beveiligingsmaatregelen per softwaresysteem getroffen moeten worden volgens de BIVclassificatie. In overeenkomsten van personeel niet in loondienst is geen clausule opgenomen dat deze medewerkers zich dienen te houden aan het informatiebeveiligingsbeleid en de bijbehorende regels. Niet bij alle applicaties wordt een (periodieke) controle uitgevoerd op toegangsrechten; hierdoor is niet inzichtelijk of ten alle tijden de juiste personen met de juiste rechten toegang hebben tot de juiste applicaties. Er missen een aantal verplichte beleidsstukken zoals een beleid dataclassificatie en een beleid fysieke toegangsbeveiliging. In het inkoopbeleid en in leverancierscontracten zijn geen standaard eisen/clausules op het gebied van informatiebeveiliging opgenomen. De Algemene Inkoopvoorwaarden Achterhoekse Gemeenten 2017 (AIAG 2017) en de verwerkersovereenkomsten, bieden onvoldoende houvast om informatiebeveiliging en privacy bij inkoopovereenkomsten te borgen.
Er is geen meerjarige strategische visie op informatievoorziening en informatiebeveiliging, waardoor niet gepland kan worden op deze thema’s. Ook in het informatiebeveiligingsbeleid ontbreekt een heldere visie en ambitie; de huidige visie en ambitie zijn niet meerjarig beschreven. Er worden geen formele leveranciersbeoordelingen uitgevoerd op basis van vastgestelde Kritische Prestatie Indicatoren (KPI’s). Hierdoor kan de kwaliteit van leveranciers, conform het vastgestelde kwaliteitsniveau, niet gemeten worden. Daarnaast ontbreekt het ook aan contractmanagers om (kritische) contracten goed te managen. Hierdoor ontstaat er een differentiatie in aanpak, frequentie en kwaliteit. Er is geen bedrijfscontinuïteitsplan. Hierdoor is onduidelijk welke risico’s er gedefinieerd zijn per proces/applicatie en welke risicoscore en risicobehandeling hieraan gekoppeld zijn. Er is geen ISMS ingericht op basis van een PDCA-proces. Er is wel een verkenning naar ISMS software opgestart.
Toets AVG Borgingsproduct 3.0 De FG vult zelf al jaarlijks het AVG-borgingsproduct 3.0 in waardoor inzichtelijk is waar nog verbeterpunten zitten op het gebied van het voldoen aan de AVG. Deze wordt ingevuld op basis van een risicoanalyse, aan de hand waarvan maatregelen worden geprioriteerd. De 155 beheersmaatregelen zijn als volgt gescoord: Status Voldoet (bijna) volledig Voldoet in een kwart tot de helft van de gevallen Voldoet niet of bijna nooit Niet van toepassing Totaal
Aantal 107 17 27 4 155
Aan 107 van de 155 beheersmaatregelen uit het AVG-borgingsproduct voldoet de gemeente Oude IJsselstreek (bijna) volledig. Dit zit met name op beleid, borging van de taken, bevoegdheden en verantwoordelijkheden (de governance) en het ingeregeld hebben van processen voor burgers (dossierinzage, recht op wijziging, recht op vergeten). VEILIGHEID VERTROUWD!? Rekenkameronderzoek naar Informatiebeveiliging en Privacy
- 17 -
Bij 17 van de 155 beheersmaatregelen wordt hier bij een kwart tot de helft van de gevallen aan voldaan. Dit zijn met name de intern gerichte en meer administratieve werkzaamheden. Hieronder vallen het uitvoeren van DPIA’s, het actueel houden van het verwerkingsregister en het hebben van een compleet en actueel overzicht van alle werkprocessen in de organisatie. Bij 27 van de 155 beheersmaatregelen wordt nog niet of bijna nooit voldaan aan het gestelde. Dit zijn overall gezien de laag-risico beheersmaatregelen zoals het opstellen van procedures voor het uitvoeren van bepaalde werkzaamheden, het actief betrekken van de FG bij het opleiden en trainen van medewerkers en het actueel en volledig houden van alle relevante AVG-informatie met betrekking tot informatiesystemen. 4 van de 155 beheersmaatregelen zijn niet van toepassing, omdat deze beheersmaatregelen gaan over het overhevelen van data naar andere landen. Daar is geen sprake van.
4.2 Aanvullende bevindingen uit de interviews
Als onderdeel van dit rekenkameronderzoek zijn 17 respondenten gesproken (zie bijlage 5B). De input uit de interviews is al deels verwerkt in voorliggende hoofdstukken. In deze paragraaf worden nog een aantal opvallende punten beschreven: -
De gemeente Oude IJsselstreek hanteert een pragmatische aanpak en werkt ‘vanuit de bedoeling’. Hierdoor worden soms risico’s geaccepteerd die de CISO en de FG niet altijd wenselijk vinden. Een voorbeeld is de keuze om alle, bij de ICT Samen, aangesloten organisaties via één Microsoft omgeving te bedienen in plaats van één omgeving per aangesloten organisatie. De huidige inrichting is technisch en functioneel gemakkelijk en uniform te beheren. Vanuit beveiligings- en privacy-perspectief is dit echter niet wenselijk; een incident bij de ene organisatie kan hierdoor makkelijk doorvloeien naar een andere organisatie binnen de ICT Samen. De technische test uitgevoerd door het NFIR heeft dit ook aangetoond.
-
De thema’s informatiebeveiliging en privacy worden structureler in de gemeenteraad geagendeerd, via onder andere de auditcommissie. De leden van de auditcommissie bevragen ook actief op deze onderwerpen. De gemeenteraad heeft het thema informatiebeveiliging en privacy geprioriteerd. De betrokkenheid van de gemeenteraad breed bij deze onderwerpen kan nog wel verder verhoogd worden. Met name de bewustwording dat alle gegevens belangrijk zijn en niet alleen de kritieke dossiers.
-
De verhouding tot en samenwerking met ICT Samen wordt, door direct betrokkenen bij deze samenwerking, als lastig ervaren. Er is nog regelmatig discussie over wat ICT Samen is; een gastheerschap of een samenwerkingsverband. De gemeente beschouwt ICT Samen als een samenwerkingsverband. In de praktijk gedraagt ICT Samen zich vaak als een gastheerschap die feedback niet altijd kan waarderen. Er zijn een SLA en DVO gesloten maar hier wordt vooral financieel en technisch op gemonitord. Een monitoring en evaluatie van de samenwerking en of deze nog passend is bij de huidige situatie en gezamenlijke en organisatiespecifieke risico’s vindt (nog) niet plaats. De huidige governance bestaat uit een overlegorgaan waar de gemeentesecretaris aan deelneemt en die vooral financieel stuurt en besluiten neemt over de toetreding van nieuwe leden. Daarnaast is er een ICT-A overleg waar de teamleider I&A aan deelneemt. Dit orgaan neemt besluiten over de (inrichting van de) diensten die ICT Samen levert. In de huidige governance zijn geen schriftelijke afspraken gemaakt over wie strategisch, tactisch en operationeel verantwoordelijk zijn bij incidenten en hoe en door wie financiële consequenties van incidenten worden gedragen.
Er ontbreekt nog een crisisplan en een bedrijfscontinuïteitsplan voor ICT-samen; hierdoor zijn (prospectieve) risico’s en te nemen maatregelen indien risico’s optreden niet beschreven. Er ontbreekt nog een heldere toekomstgerichte governance voor ICT Samen. Informatiebeveiliging en privacy zijn nog niet structureel geborgd binnen ICT Samen op besluitvormingsniveau. Onder geïnterviewden bestaat een sterke wens om afspraken te maken over wie verantwoordelijk is voor de risico-inschatting, beleidsbepaling, risicoacceptatie, verantwoordelijke bij incidenten en de eventuele (financiële) consequenties.
VEILIGHEID VERTROUWD!? Rekenkameronderzoek naar Informatiebeveiliging en Privacy
- 18 -
-
Diverse organisatieonderdelen zien kansen voor en hebben behoefte aan innovatieve oplossingen op het gebied van AI. Tot op heden wordt door (team)managers aangegeven dat het gebruik van AI niet is toegestaan, zolang er nog geen organisatiebreed beleid voor is. Respondenten verwachten van het Centraal MT een organisatiebreed beleid en toepassingskader voor het verantwoord gebruik van AI.
-
De gemeente is ‘organisatorisch’ aangesloten bij DatalabGO. Er liggen geen (directe) technische verbindingen/koppelingen. DatalabGO maakt hoofdzakelijk gebruik van publieke/openbare data. De gemeente levert bij DatalabGO nog geen gemeentelijke data aan en daar liggen ook nog geen concrete plannen voor. DatalabGO maakt via diens gastheer (Gemeente Bronckhorst) wel gebruik van de diensten van ICT Samen en daarmee ook van de dezelfde IT-infrastructuur als de gemeente. Er is nog geen visie op datagedreven werken opgesteld. Vooruitlopend op de visie worden vanuit het team I&A voorbereidingen getroffen op het realiseren van een Datawarehouse. Hierbij is de ‘architectuur’ die is ontwikkeld in overleg met DatalabGO en andere gemeenten(Aalten, Bronckhorst en Doetinchem) die ook daarbij én bij de ICT Samenwerking zijn aangesloten leidend. Het doel hiervan is kennisdeling en om in de toekomst eventueel eenvoudiger te kunnen samenwerken omdat gebruik gemaakt wordt van dezelfde techniek die op eenzelfde wijze is ingericht. Dit blijven wel gescheiden omgevingen; voor de eigen gemeentelijke data wordt géén gebruik gemaakt van het Datawarahouse van DatalabGO.
-
De organisatie is zich goed en op tijd aan het voorbereiden op aankomende wet- en regelgeving zoals de Europese NIS 2 richtlijn en de Nederlandse vertaling daarvan in de Informatiebeveiligingswet. Zo zijn het College, de auditcommissie en het CMT door de CISO bijgepraat over dit onderwerp, welke stappen er nog te zetten zijn en is de prioritering van deze stappen vastgesteld.
VEILIGHEID VERTROUWD!? Rekenkameronderzoek naar Informatiebeveiliging en Privacy
- 19 -
5. Conclusies In dit rekenkameronderzoek is de volgende centrale onderzoeksvraag gedefinieerd: Is de informatiebeveiliging en privacybescherming van de gemeente Oude IJsselstreek – mede in relatie tot samenwerkingsverbanden – doeltreffend en doelmatig ingericht? Op basis van het uitgevoerde onderzoek kan daar het volgende antwoord op worden gegeven: De gemeente Oude IJsselstreek heeft haar informatiebeveiliging nog niet op een toekomstbestendige wijze ingericht. Er mist nog een meerjarenvisie op informatiebeveiliging. Daarnaast ontbreekt een toekomstgerichte governance met betrekking tot ICT Samen en zijn risico’s in veel gevallen nog onvoldoende inzichtelijk. Beleidsstukken die vastgesteld zijn worden niet (volledig) in de praktijk toegepast. De doelmatigheid en doeltreffendheid van de informatiebeveiliging zijn hierom beperkt. De gemeente Oude IJsselstreek heeft privacybescherming wel toekomstbestendig, en daarmee doeltreffend en doelmatig, geborgd op strategisch, tactisch en operationeel niveau. De centrale onderzoeksvraag is uitgewerkt in deelvragen. Deze worden hieronder beantwoordt: 1. Heeft de gemeente op een adequate manier invulling gegeven aan haar informatiebeveiligings- en privacybeleid? De gemeente Oude IJsselstreek heeft haar privacybeleid opgesteld conform de landelijke kaders (AVG) en deze vertaalt in processen en procedures op tactisch en operationeel niveau.
Er is een PDCA-cyclus ingericht en jaarlijks wordt het AVG-borgingsproduct door de Functionaris Gegevensbescherming ingevuld. Op basis hiervan worden actiepunten gedefinieerd voor het komende jaar en vastgesteld door het College. Voor het thema informatiebeveiliging is er een informatiebeveiligingsbeleid opgesteld en uitgewerkt in diverse (verplichte) aanvullende beleidsstukken op tactisch niveau. De toepassing van het informatiebeveiligingsbeleid is echter beperkt. Met name het daadwerkelijk toepassen van de beschreven governance gebeurt beperkt; zo zijn er strategische taken voor de eenheidsmanagers en teammanagers in het beleid vastgesteld, die bij hen niet bekend zijn en derhalve niet worden uitgevoerd. 2. In hoeverre is de sturing van de gemeente binnen samenwerkingsverbanden toereikend op het gebied van informatiebeveiliging en privacy? De rekenkamer heeft zich vanaf de start van het onderzoek gericht op ICT Samen. De gemeente Oude IJsselstreek kan beperkt sturen op informatiebeveiliging en privacy binnen ICT Samen. Er is geen heldere toekomstgerichte governance beschreven voor ICT Samen. Informatiebeveiliging en privacy zijn nog niet structureel geborgd binnen ICT Samen op besluitvormingsniveau.
Onder geïnterviewden bestaat een sterke wens om afspraken te maken over wie verantwoordelijk is voor de risico-inschatting, beleidsbepaling, risico-acceptatie, verantwoordelijke bij incidenten en de eventuele (financiële) consequenties. De CISO en FG worden op dit moment niet proactief betrokken bij advisering over de besluitvorming over onderwerpen die spelen binnen ICT Samen en daarmee alle deelnemers aangaan. De gemeentesecretaris heeft wel periodiek afstemming binnen ICT Samen maar daar wordt voornamelijk gesproken over financiën en de toetreding van potentiële nieuwe deelnemers. 3. In hoeverre zijn risico’s en beheersmaatregelen (intern en binnen samenwerkingsverbanden) in kaart gebracht en op welke wijze worden deze consequent opgevolgd? Intern zijn risico’s en beheersmaatregelen gedeeltelijk in kaart gebracht. Vooral op het gebied ‘De Mens’ wordt hier gestructureerd op gestuurd en gemonitord. Daarentegen zijn een aantal basismaatregelen vanuit de BIO (nog) niet ingeregeld. Zo zijn de in gebruik zijnde VEILIGHEID VERTROUWD!? Rekenkameronderzoek naar Informatiebeveiliging en Privacy
- 20 -
softwaresystemen niet geclassificeerd op basis van Beschikbaarheid, Integriteit en Vertrouwelijkheid (BIV). Hierdoor is niet inzichtelijk welke beveiligingsmaatregelen per softwaresysteem getroffen moeten worden volgens de BIV-classificatie. Daarnaast ontbreekt een formeel ingericht ISMS op basis van een ingericht PDCA-proces. Hierdoor is het niet mogelijk op gestructureerd de informatiebeveiliging te monitoren (en daarmee (proactief) risico’s vast te stellen en hierop te acteren). Tevens worden leveranciers niet periodiek getoetst middels leveranciersbeoordelingen; hierdoor is niet structureel inzichtelijk of leveranciers zich aan de afspraken houden en daarmee nog geschikt zijn om dienstverlening te leveren. Op het gebied van ‘De techniek’ blijkt uit het onderzoek dat er kritieke gaten in de informatiebeveiliging aanwezig waren. Hoewel deze inmiddels gedicht zijn, blijkt hieruit dat de gemeente en ICT Samen onbekend waren met deze risico’s. Binnen ICT Samen en binnen de gemeente OIJ ontbreekt nog een crisisplan en een bedrijfscontinuïteitsplan. Hierdoor zijn (prospectieve) risico’s en te nemen maatregelen indien risico’s optreden niet beschreven. Indien zich nu incidenten voordoen wordt gehandeld naar eer en geweten op basis van op dat moment geldende inzichten. 4.
Op welke wijze anticipeert de gemeente op toekomstige ontwikkelingen (die invloed hebben) op het gebied van informatiebeveiliging en privacy? Waar het (toekomstige) wettelijke verplichtingen betreft (zoals de NIS2) anticipeert de gemeente Oude IJsselstreek proactief op toekomstige ontwikkelingen. De CISO heeft dit onderwerp proactief opgepakt en besproken met het Centraal MT, het College en in de auditcommissie van de gemeenteraad. Er ligt een concreet actieplan om tijdig te voldoen aan de verplichtingen van de NIS2. Waar het geen wettelijke verplichtingen betreft, maar wel ontwikkelingen die invloed hebben op informatiebeveiliging en privacy neemt de gemeente Oude IJsselstreek een afwachtende houding aan. Zo is er nog geen AI-beleid en/of kaders op dit gebied, terwijl medewerkers in de uitvoering hier wel behoefte aan hebben en zelfs concrete kansen zien voor toepassing van deze technologie. Eveneens is er nog geen visie op datagedreven werken opgesteld. De gemeente participeert wel in DataLab Go, maar is hier enkel technisch op aangesloten. 5. Hoe wordt de gemeenteraad betrokken bij de thema’s informatiebeveiliging en privacy? De gemeenteraad wordt actief betrokken bij de thema’s informatiebeveiliging en privacy. Beide thema’s worden structureler in de gemeenteraad geagendeerd, via onder andere de auditcommissie.