25-108 Rekenkamer gemeente Oude IJsselstreek - Eindrapportage rekenkameronderzoek Informatiebeveiliging Privacy.pdf

De leden van de auditcommissie bevragen ook actief op deze onderwerpen. De gemeenteraad heeft het thema informatiebeveiliging en privacy geprioriteerd. De betrokkenheid van de gemeenteraad breed bij deze onderwerpen kan nog wel verder verhoogd worden. Met name de bewustwording dat alle gegevens belangrijk zijn en niet alleen de kritieke dossiers. Door in raadsvoorstellen het onderdeel informatiebeveiliging en privacy standaard te beschrijven (zoals ook financiën een standaard onderdeel is) kunnen deze thema’s binnen de gemeenteraad structureel geborgd worden.

VEILIGHEID VERTROUWD!? Rekenkameronderzoek naar Informatiebeveiliging en Privacy

- 21 -

6. Aanbevelingen Het uitgevoerde onderzoek naar informatiebeveiliging en privacy leidt tot de volgende aanbevelingen voor de gemeenteraad en het College. Aanbevelingen aan de gemeenteraad 1. Geef het College de opdracht om samen met andere in ICT Samen samenwerkende partijen concrete bestuurlijke en strategische afspraken te maken. In deze afspraken dient een heldere toekomstgerichte governance vastgelegd te zijn. Hierdoor wordt transparant gemaakt wie verantwoordelijk is voor de risico-inschatting, beleidsbepaling, risicoacceptatie, verantwoordelijke bij incidenten en de eventuele (financiële) consequenties.2 2. Neem het onderdeel informatiebeveiliging en privacy standaard op in raadsvoorstellen, waardoor dit bij elk onderwerp standaard getoetst en geborgd is. Aanbevelingen aan het College 3. Stel een visie op en vast voor het gebruik van Artificial Intelligence (AI) en datagedreven werken en draag deze actief uit. Hiermee krijgt de ambtelijke organisatie duidelijkheid over wat wel en niet toegestaan is en daarmee ook welke mogelijkheden er zijn op het gebied van innovatie. Dit geldt ook voor het niet onderzochte onderwerp van algoritmes. 4. Neem het onderdeel informatiebeveiliging en privacy standaard op in collegevoorstellen, waardoor dit bij elk onderwerp standaard getoetst en geborgd is. 5.

Los alle bevindingen uit het uitgevoerde technische onderzoek van het NFIR op en laat een nieuw onderzoek uitvoeren om te toetsen of verbeteringen daadwerkelijk gerealiseerd zijn. 6. Stel een Bedrijfscontinuïteitsplan (BCP) op waarin de organisatorische, technische en maatschappelijke maatregelen beschreven zijn die proactief en reactief getroffen (kunnen) worden bij (informatiebeveiligings)incidenten. 7. Realiseer de nog (gedeeltelijk) ontbrekende onderdelen conform Baseline Informatiebeveiliging Overheden 2.0 (BIO 2.0) en zorg dat monitoring op de BIO 2.0 structureel geborgd wordt middels een Information Security Management System (ISMS) op basis van een ingerichte Plan Do Check Act-cyclus (PDCA-cyclus) (zie hoofdstuk 4 van deze rapportage). 8. Onderzoek de mogelijkheden voor implementatie van de door respondenten (in de uitgevoerde enquête) aangedragen verbeterpunten. Communiceer transparant welke verbeterpunten zijn aangedragen en of en hoe deze opgepakt gaan worden.

Deze aanbeveling geldt ook voor de andere gemeenten die aangesloten zijn bij ICT-Samen. Bij de rekenkameronderzoeken naar dit onderwerp bij de gemeenten Doetinchem en Bronckhorst is deze aanbeveling eerder ook gedaan. 2

VEILIGHEID VERTROUWD!? Rekenkameronderzoek naar Informatiebeveiliging en Privacy

- 22 -

Bijlage 1: Bestuurlijke reactie Beste leden van de rekenkamer,

Op 13 januari 2025 ontvingen wij uw conceptrapportage “VEILIGHEID VERTROUWD!?”, Rekenkameronderzoek naar Informatiebeveiliging en Privacy. Dit onderzoek hebben we met veel interesse tot ons genomen. In deze brief vindt u onze reactie daarop. Algemene inleiding Informatiebeveiliging en privacybescherming vormen samen belangrijke voorwaarden voor onze gemeentelijke organisatie die “werken vanuit de bedoeling” als belangrijk uitgangspunt heeft. Inwoners, ondernemers en anderen moeten erop kunnen vertrouwen dat de gemeente zorgvuldig met hun (persoons-)gegevens omgaat. De digitale wereld ontwikkelt zich razendsnel, en daarmee nemen ook de bedreigingen voor onze dienstverlenging toe. Voeg daar de mondiale ontwikkelingen en verhoudingen en een groter wordende afhankelijkheid van het beschikbaar hebben van informatie aan toe, en het is duidelijk dat informatiebeveiliging en privacybescherming tot de cruciale bedrijfsprocessen van onze gemeente behoren. We zijn dan ook blij met dit onderzoek van de Rekenkamer, dat ons waardevolle handvatten geeft voor een versterkte inzet op onze informatieveiligheid. In deze brief gaan wij per onderdeel nader in op uw onderzoek en doen we een voorstel voor de praktische invulling van een aantal van uw aanbevelingen. Om een goede afweging te kunnen maken is het belangrijk wat de consequentie van aanbevelingen in tijd en geld zijn.

Dat is op voorhand voor ons niet altijd goed te doen, dus we verzoeken u onze reactie in dat licht te bezien. Onderzoeksvraag en onderzoeksaanpak De centrale vraag die u met uw onderzoek beantwoordt, betreft of de informatiebeveiliging en privacybescherming van de onze gemeente doeltreffend en doelmatig is ingericht, mede in relatie tot de samenwerkingsverbanden. De vraagstelling voor dit onderzoek is helder beschreven in een hoofdvraag die is uitgewerkt in 5 duidelijke deelvragen, waarbij de aanpak met drie velden (Mens, Techniek en Organisatie) als basis voor dit onderzoek, als waardevol wordt ervaren. De Mens In het rapport wordt terecht veel aandacht besteed aan “De Mens”. Terecht, want als het gaat om informatieveiligheid is de mens vaak de zwakste schakel. Wij zijn dan ook van mening dat het grootst beïnvloedbare deel van informatiebeveiliging een bewuste medewerker is. Daarom besteden we veel tijd aan verschillende vormen van bewustzijnsversterking (bijvoorbeeld veilige vrijdag en de spion op je pad game) en blijven we dat de komende jaren verder uitbreiden. Als we dan kijken naar de resultaten zien wij dat het klikken op de link in een phishingmail redelijk laag is, en dat het delen van gegevens ook al laag is. Maar wij willen graag deze percentages nog lager brengen.

Hoe meer moeite een aanvaller moet doen om bij ons binnen te komen ten opzichte van een andere organisatie, hoe minder de kans is dat een aanvaller de moeite neemt om ons aan te vallen. Daarbij is de medewerker -zowel in vaste dienst als inhuur als in opdrachteen belangrijke schakel van de beveiliging. Dat onze medewerkers, zowel bewust zijn op mail, bellen als de inlooptest zien wij als positief. Het blijft natuurlijk een momentopname en we zien ook punten voor verbetering, zoals bij STOER in de DRU en training van medewerkers bij telefonische phishing. De Techniek We waarderen dat als onderdeel van het onderzoek een externe partij een penetratietest heeft uitgevoerd op onze ICT-Omgeving met het doel kwetsbaarheden te vinden in onze organisatie. Het complexe landschap, waar wij met meerdere gemeentes en partners inzitten, zorgt indirect ook voor bepaalde kwetsbaarheden. De bevindingen zijn met de ICT-Samenwerking gedeeld en zijn of worden opgepakt. Wij gaan in deze brief verder niet in op de technische bevindingen VEILIGHEID VERTROUWD!? Rekenkameronderzoek naar Informatiebeveiliging en Privacy

- 23 -

gezien de gevoelige aard ervan. Wij zijn bereid in besloten setting aanvullende reactie te geven op deze bevindingen en daarover in gesprek te gaan.

De Organisatie Veel van de punten uit het onderzoek herkent het college vanwege de zelfevaluaties die het jaarlijks uitvoert. In 2025 gaat de organisatie dan ook aan de slag met informatiebeveiliging, dat we in samenhang bezien met informatiebeheer- en gebruik. Hieruit ontstaat nieuw informatieveiligheidsbeleid en daaruit voortvloeiende richtlijnen en procedures. Logging van systemen en het monitoren van beleid zullen daar een belangrijke factor in spelen, evenals inkoop- en leveranciersmanagement en in-, door- en uitstroombeleid. Daarnaast is gestart met een project om met behulp van Topdesk en ITIL processen meer structuur aan te brengen in het dagelijkse werk van I&A en gerelateerde processen. Dit valt en staat bij commitment van het gehele management (als proceseigenaren). In 2025 wordt ook gestart met het implementeren van HR-21, waarbij rollen, taken en verantwoordelijkheden van bijvoorbeeld de CISO opnieuw wordt vastgelegd. En op het centraal managementniveau staat IT governance nadrukkelijk op de agenda. We vinden het belangrijk om stappen te zetten in het voldoen aan de gestelde eisen uit de BIO2. Het tempo waarin we dit kunnen doen hangt af van de capaciteit die dit vraag. Evident voor ons is dat de organisatie dit er niet zomaar bij doen, dus we zullen hierin tot een prioritering moeten komen of hiervoor zal extra geld beschikbaar moeten komen.

Conclusies Onderstaand gaan wij allereerst in op de antwoorden op de vijf deelvragen en tenslotte geven wij onze reflectie op uw hoofdconclusie, het antwoord op de centrale onderzoeksvraag. Deelvraag 1. Heeft de gemeente op een adequate manier invulling gegeven aan haar informatiebeveiligings- en privacybeleid? Uw antwoord op deze onderzoeksvraag is voor ons niet helemaal helder, maar wij interpreteren uw antwoord dat dit voor privacy adequaat is, maar voor informatieveiligheid nog niet. We zijn het eens met de conclusie over AVG, wij blijven inzetten op het versterken van privacy in onze organisatie. We begrijpen de kritische noot over het operationeel brengen van beleid en procedures rond informatieveiligheid, waaronder de verantwoordelijkheid van eenheidsmanagers en teamleiders. De ambtelijke organisatie zal, mede met de BIO2 in aantocht, extra aandacht besteden aan de (verplichte) rol van het management en de inrichting van IT controls op organisatieniveau.

Deelvraag 2. In hoeverre is de sturing van de gemeente binnen samenwerkingsverbanden toereikend op het gebied van informatiebeveiliging en privacy? U geeft aan dat wij als gemeente beperkt kunnen sturen op informatiebeveiliging en privacy binnen ICT samen, maar geeft niet aan of dat in uw ogen toereikend is. De ICT Samenwerking is nu bijna 20 jaar oud en destijds gestart met een samenwerking tussen gemeente Doetinchem en gemeente Oude IJsselstreek om te zorgen dat bij uitval van 1 van de 2 gemeentes, doorgewerkt kan worden bij de andere gemeente. Sinds die periode is de vorm en de taken van de ICT Samenwerking behoorlijk veranderd. Inmiddels is sprake van meer dan 4000 werkplekken verdeeld over meer dan 15 verschillende organisaties. Ook wordt steeds meer in de “cloud” gewerkt in plaats van op de server in het lokale datacentrum. Daarnaast zien we dat de wereld op het gebied van dreigingen en risico’s in het algemeen veranderen. Het aantal aanvallen per dag is hoog, datalekken gebeuren in de samenwerking bijna dagelijks en ook onze leveranciers hebben regelmatig te maken met kwetsbaarheden die onze omgeving beïnvloeden. VEILIGHEID VERTROUWD!? Rekenkameronderzoek naar Informatiebeveiliging en Privacy

- 24 -

Daar hebben wij zelf vaak geen (directe) invloed op. Oude IJsselstreek heeft meermaals geconstateerd en aangegeven dat de governance in deze samenwerking niet (meer) passend is bij de huidige tijd en is op verschillende manieren bezig om deze te (doen) actualiseren. Daarbij zijn we zeer afhankelijk van de andere gemeenten in de samenwerking. Wij merken dat het verbeteren van de governance een langzaam proces is. Mede hierdoor zijn de risico’s voor Oude IJsselstreek groter dan wij wenselijk vinden, onder andere op het gebied van informatieveiligheid en bedrijfscontinuïteit. Hierbij is het belangrijk op te merken dat de ICT Samenwerking een privaatrechtelijke samenwerking betreft via een dienstverleningsovereenkomst, waarvoor de algemeen directeur verantwoordelijk is. In beginsel ligt de sturing en inrichting dan ook op ambtelijk niveau. Onder leiding van de gemeentesecretaris wordt gewerkt om de governance te verbeteren. Dit is een proces waarin een groot aantal partijen betrokken zijn en niet is dat vanuit onze organisatie eenzijdig bepaald kan worden. Dus wij zien ook verbetermogelijkheden op het gebied van governance en vragen ons tegelijkertijd af of het normenkader op dit onderdeel voldoende antwoord geeft op de vraag of dit leidt tot toereikende sturing. Het vastleggen van verantwoordelijkheden betekent niet per definitie dat je dan de sturing goed hebt ingericht.

Het inrichten van governance, zeker op ITgebied en zeker in een intergemeentelijke samenwerking, gaat verder dan de punten die u noemt in het normenkader.

Deelvraag 3. In hoeverre zijn risico’s en beheersmaatregelen (intern en binnen samenwerkingsverbanden) in kaart gebracht en op welke wijze worden deze consequent opgevolgd? U concludeert dat risico’s en beheersmaatregelen gedeeltelijk in kaart zijn gebracht. Op het gebied van control en risicomanagement zien wij inderdaad verbetermogelijkheden. Met de doorontwikkeling van de ambtelijke organisatie hebben we gekozen voor een separate Concernstaf waarin diverse functies zijn ondergebracht (o.a. concerncontroller, business controllers, interne beheersing, interne controle, concernjurist, CISO) om de organisatie op dit gebied te ondersteunen. Daarbij vraagt dit ook tijd, een andere cultuur en meer in control zijn gaat niet van het een op andere moment, maar we zien dat we hierin in algemene zin stappen zetten, dat blijkt bijvoorbeeld ook uit de bevindingen van de accountant. We zijn voornemens dit jaar specifieke aandacht te besteden aan het versterken van de interne beheersing op IT gebied. Daarnaast is bekend dat op het gebied van contract- en leveranciersmanagement versterking noodzakelijk is gezien onze verantwoordelijkheid in en van de keten van leveranciers. Ook leert de casus “Crowdstrike” dat onze ICT-Samenwerking continuïteitsrisico’s bevat die wat ons betreft om een andere prioritering vragen.

Zoals aangegeven kunnen wij dat niet eenzijdig afdwingen en blijft het een afweging tussen verschillende belangen. Wij waarderen het dat u heeft geconstateerd dat wij proactief bezig zijn met de toekomstige ontwikkelingen.

Deelvraag 4. Op welke wijze anticipeert de gemeente op toekomstige ontwikkelingen (die invloed hebben) op het gebied van informatiebeveiliging en privacy? U concludeert dat we op toekomstige wettelijke verplichtingen proactief anticiperen, maar dat we voor niet wettelijke verplichtingen die invloed hebben op informatieveiligheid en beveiliging een afwachtende houding aannemen. We vinden het fijn te lezen dat u geconcludeerd heeft dat privacybescherming toekomstbestendig is ingericht. Het is voor ons niet duidelijk hoe u tot de conclusie komt dat we voor niet wettelijke verplichtingen een afwachtende houding aannemen, daar herkennen wij ons niet in. Inmiddels hebben wij op moment van schrijven AI-beleid en zijn we bezig hier verdere invulling aan te geven. Daarnaast wordt IT-governance gericht opgepakt. VEILIGHEID VERTROUWD!? Rekenkameronderzoek naar Informatiebeveiliging en Privacy

- 25 -

Deelvraag 5. Hoe wordt de gemeenteraad betrokken bij de thema’s informatiebeveiliging en privacy? U stelt dat de gemeenteraad actief betrokken wordt bij deze thema’s en dat ook de leden van de auditcommissie actief bevragen op deze onderwerpen, maar dat de betrokkenheid van de gemeenteraad nog wel kan worden verhoogd. Met betrekking tot deze conclusie willen we graag in gesprek gaan met de griffie om te kijken hoe wij de raad nog beter kunnen betrekken qua bewustzijn. Wellicht is het waardevol om voor de nieuwe raadsperiode een passend inwerkprogramma (op het gebied van informatieveiligheid en privacy) te creëren voor de raad.

Centrale onderzoeksvraag: Is de informatiebeveiliging en privacybescherming van de gemeente Oude IJsselstreek – mede in relatie tot samenwerkingsverbanden – doeltreffend en doelmatig ingericht? U concludeert dat wij onze informatiebeveiliging nog niet op een toekomstbestendige wijze hebben ingericht, maar privacybescherming wel. Als de antwoorden op de deelvragen gelezen worden begrijpen wij niet hoe u tot deze hoofdconclusie bent gekomen. Vooral de term toekomstbestendig vinden wij in deze context niet passend. Als u bedoelt dat we nu nog niet voldoen aan de BIO2, dan klopt dat. Dit heeft echter nog geen verplicht karakter, dus het is ook niet onlogisch dat op het moment van uw onderzoek nog niet overal aan wordt voldaan. Wel ondersteunen wij de conclusie dat een meerjarenvisie ontbreekt evenals een toekomstgerichte governance rond de ICT Samenwerking. Daar zijn en worden stappen op ondernomen. Verder verwijzen wij naar de reactie op de verschillende deelvragen hierboven.

Aanbevelingen Hierna gaan wij in op de aanbevelingen die u doet aan de gemeenteraad. Geef het College de opdracht om samen met andere in ICT Samen samenwerkende partijen concrete bestuurlijke en strategische afspraken te maken. In deze afspraken dient een heldere toekomstgerichte governance vastgelegd te zijn. Hierdoor wordt transparant gemaakt wie verantwoordelijk is voor de risico-inschatting, beleidsbepaling, risico-acceptatie, verantwoordelijke bij incidenten en de eventuele (financiële) consequenties. In een privaatrechtelijke samenwerkingsvorm kan de raad geen opdracht geven aan het college. Dus deze aanbeveling delen wij niet, dit zet de raad op het verkeerde been. Het college begrijpt de aanbeveling om samen met ICT Samen samenwerkende partijen te werken aan concrete afspraken. Daar streven wij ook naar en we zijn afhankelijk van de bereidheid van alle aangesloten gemeentes en andere partijen om andere afspraken te maken. De praktijk leert dat niet elke partner hier op dezelfde manier naar kijkt. Neem het onderdeel informatiebeveiliging en privacy standaard op in raadsvoorstellen, waardoor dit bij elk onderwerp standaard getoetst en geborgd is. Het is voor ons onvoldoende duidelijk hoe het opnemen van dit punt bijdraagt aan hogere bewustwording. Zoals we aangeven denken wij juist meer aan andere manieren om de raad te betrekken op dit onderwerp.

Zouden we al iets dergelijks opnemen in raads- en collegevoorstellen, dan zouden we dit breder willen trekken door het te hebben over belangrijke risico’s en getroffen beheersingsmaatregelen, ook op andere gebieden dan alleen informatieveiligheid en privacy. In de praktijk echter gaat dat niet werken. Beheersingsmaatregelen op gebied van informatieveiligheid nemen we bijvoorbeeld op organisatieniveau, door functiescheidingen, gebruik van logische toegangsbeveiligingen of via bepaalde applicatie-controls, dat leent zich niet om in raadsvoorstellen op te nemen. Dat doen we ook niet rond beheersingsmaatregelen op bijvoorbeeld financiële processen waar de accountant over rapporteert. Wij raden deze aanbeveling dan ook af. VEILIGHEID VERTROUWD!? Rekenkameronderzoek naar Informatiebeveiliging en Privacy

- 26 -

Stel een visie op en vast voor het gebruik van Artificial Intelligence (AI) en datagedreven werken en draag deze actief uit. Hiermee krijgt de ambtelijke organisatie duidelijkheid over wat wel en niet toegestaan is en daarmee ook welke mogelijkheden er zijn op het gebied van innovatie. Dit geldt ook voor het niet onderzochte onderwerp van algoritmes. Een visie op AI en Datagedreven werken ondersteunt het college. Sinds de uitgevoerde deskresearch van de Rekenkamer heeft het college een AI-Strategie vastgesteld en zijn we bezig na te denken over het versterken van datagedreven werken en de inzet van Datalab-GO. We stellen voor om dit advies niet op zichzelf te beschouwen, maar om een brede visie op te stellen voor informatievoorziening en digitale dienstverlening met daaraan verbonden een strategie op governance rond informatievoorziening, ICT en beveiliging. De overlap tussen verschillende beleidsterreinen, zoals bijvoorbeeld ICT, Documentaire informatievoorziening, datagovernance, Inkoop- en leveranciersmanagement, e.d. maakt dat wij meer zien in een overkoepelende visie dan een visie op losse onderwerpen.

Neem het onderdeel informatiebeveiliging en privacy standaard op in collegevoorstellen, waardoor dit bij elk onderwerp standaard getoetst en geborgd is. Hiervoor verwijzen wij naar punt 2. Los alle bevindingen uit het uitgevoerde technische onderzoek van het NFIR op en laat een nieuw onderzoek uitvoeren om te toetsen of verbeteringen daadwerkelijk gerealiseerd zijn. De bevindingen gedaan door NFIR zijn waardevolle bevindingen, wij danken NFIR voor het uitgebreide onderzoek van het netwerk van gemeente Oude IJsselstreek en de ICTSamenwerking. Adviezen en bevindingen zijn bestudeerd. De opvolging ervan delen wij niet in deze bestuurlijke reactie in verband met het vertrouwelijke karakter van deze bevindingen. Wij zijn bereid in besloten setting aanvullende reactie te geven op deze bevindingen en daarover in gesprek te gaan. Stel een Bedrijfscontinuïteitsplan (BCP) op waarin de organisatorische, technische en maatschappelijke maatregelen beschreven zijn die proactief en reactief getroffen (kunnen) worden bij (informatiebeveiligings)incidenten. Het opstellen van een bedrijfscontinuïteitsplan is een punt waarvan wij ook vinden dat we prioriteit aan moeten geven. In 2024 was hiervoor incidenteel budget beschikbaar, door omstandigheden heeft de uitwerking vertraging opgelopen. De verwachting is dat dit uiterlijk eind 2025 opgeleverd wordt inclusief bijbehorende test van de plannen.

Realiseer de nog (gedeeltelijk) ontbrekende onderdelen conform Baseline Informatiebeveiliging Overheden 2.0 (BIO 2.0) en zorg dat monitoring op de BIO 2.0 structureel geborgd wordt middels een Information Security Management System (ISMS) op basis van een ingerichte Plan Do Check Act-cyclus (PDCA-cyclus) (zie hoofdstuk 4 van deze rapportage). Aanbeveling 7 beschrijft dat de nog ontbrekende onderdelen conform de Baseline Informatiebeveiliging Overheden 2 (BIO2) geïmplementeerd en bijbehorende monitoring structureel geborgd dient te worden. We onderschrijven deze noodzaak, zeker gezien later in 2025 de NIS2/Cbw van kracht wordt waarin staat dat de normen wettelijk verplicht zijn. Toch willen wij de kanttekening plaatsen dat dit punt een behoorlijke belasting zal vormen op de organisatie, zowel in tijd als in middelen. Het Rijk is vooralsnog niet voornemens ons hiervoor financieel te compenseren. Onderzoek de mogelijkheden voor implementatie van de door respondenten (in de uitgevoerde enquête) aangedragen verbeterpunten. Communiceer transparant welke verbeterpunten zijn aangedragen en of en hoe deze opgepakt gaan worden. Tijdens het onderzoek is een aantal voorstellen aangedragen als verbeterpunten. Het college is voornemens om alle punten te overwegen, maar constateert dat een aantal punten niet realistisch is om te implementeren ofwel vraagt een andere aanpak dan voorgesteld.

Wij denken bijvoorbeeld dat op een aantal plekken bewustzijn een belangrijkere factor is om VEILIGHEID VERTROUWD!? Rekenkameronderzoek naar Informatiebeveiliging en Privacy

- 27 -

kennisachterstand weg te werken dan om “omwegen” te implementeren. We zijn voornemens uiterlijk in Q2 een terugkoppeling te geven aan het personeel.

Tot slot Wij hebben veel waardering voor het feit dat u dit onderzoek grotendeels in eigen beheer heeft uitgevoerd. Onderzoekstechnisch denken we dat er op onderdelen nog ruimte voor verbetering is. Dat neemt niet weg dat we het belang van een veilige en bewuste organisatie als rode draad zien in dit onderzoek richting het nieuwe normenkader (de BIO2). We vinden het fijn te lezen dat u geconcludeerd heeft dat privacybescherming toekomstbestendig is ingericht. En we erkennen dat we huiswerk hebben op het gebied van informatieveiligheid en privacy binnen de gehele organisatie en met de ICT-Samenwerking. De verscherpte wet- en regelgeving en parallel het op orde brengen naar het basisniveau van de BIO2, vraagt prioriteit op alle gebieden binnen de bedrijfsvoering in de gemeentelijke organisatie. Investeringen daarin ziet men niet direct terug in betere dienstverlening maar op langere termijn brengt dit wel meer grip, (kosten-)efficiënte en risicobeperking met zich mee, los van het feit dat dit een wettelijke plicht wordt. Hierbij merken we op dat de huidige en komende periode veel van ons vraagt en dat het essentieel is om te prioriteren. Dit betekent dat als we méér doen op het ene gebied, er minder kan op andere, of dat we meer budget en capaciteit nodig hebben.

Het is daarom essentieel dat we als raad, college en ambtelijke organisatie goed met elkaar in gesprek blijven en wederzijdse verwachtingen en mogelijkheden met elkaar delen om prioriteiten te kunnen stellen. Wij dank u nogmaals voor uw onderzoek en kijken uit naar uw reactie. Met vriendelijke groet, Burgemeester en wethouders,

Ron Frerix

Mirjam Maasdam

Gemeentesecretaris

Waarnemend burgemeester

VEILIGHEID VERTROUWD!? Rekenkameronderzoek naar Informatiebeveiliging en Privacy

- 28 -

Bijlage 2: Nawoord rekenkamer Op 12 mei 2025 heeft de rekenkamer de uitgebreide reactie van het College ontvangen, waarvoor wij u hartelijk willen danken. Met belangstelling hebben wij uw reactie gelezen. Wij zijn blij te lezen dat u onze conclusies grotendeels onderschrijft en de meeste aanbevelingen overneemt. Het valt op dat ons onderzoeksrapport al tot de nodige doorwerking heeft geleid. Op basis van deze doorwerking geeft u een extra toelichting bij met name conclusie 4; sinds het aanbieden van ons onderzoeksrapport heeft u AI-beleid vastgesteld en bent u bezig met het inrichten van de IT-governance. U geeft aan niet te begrijpen hoe de rekenkamer tot de hoofdconclusie is gekomen en de term ‘toekomstbestendig’ niet passend te vinden. De rekenkamer is van mening dat de hoofdconclusie nog steeds geldt. Weliswaar zijn er inmiddels gedurende de periode van 4 maanden van de bestuurlijke reactie goede stappen gezet, maar op basis van de bevindingen uit het technische onderzoek, waar u om veiligheidsredenen in uw reactie niet op reageert, in combinatie met de ten tijde van het onderzoek bekende feiten is de gestelde hoofdconclusie evident. Het College geeft aan aanbeveling 2 en 4 (om informatiebeveiliging standaard in raads- en collegevoorstellen te adresseren) niet over te nemen.

Ten aanzien van deze aanbevelingen merkt de rekenkamer nadrukkelijk op dat informatiebeveiliging breder is dan enkel ICT. Een minimale toets op of informatiebeveiliging van toepassing is, net als communicatie en financiën, blijft volgens de rekenkamer nodig om informatiebeveiliging en privacy structureel in de organisatie te borgen. De rekenkamer begrijpt dat het realiseren van de overige aanbevelingen een balans vraagt bij het vinden en inzetten van beschikbare middelen, zeker in financieel moeilijke jaren. Hierom waardeert de rekenkamer het dat het College de urgentie van deze aanbevelingen inziet en hier binnen beschikbaar budget en tijd op in wil zetten. De rekenkamer dankt u nogmaals voor uw reactie en ziet graag de voortgang op de realisatie van de aanbevelingen terug in de jaarlijks verplichte terugkoppeling aan de gemeenteraad.

Met vriendelijke groet,

Arend Kloosterman Voorzitter Rekenkamer Oude IJsselstreek

VEILIGHEID VERTROUWD!? Rekenkameronderzoek naar Informatiebeveiliging en Privacy

- 29 -

Bijlage 3: Verklarende woordenlijst Afkorting 2FA

Betekenis Two Factor Authentication

AI

Artificial Intelligence / Artificiële Intelligentie

AVG

Algemene Verordening Gegevensbescherming

BIO

Baseline Informatiebeveiliging Overheden

CISO

Chief Information Security Officer

DPIA

Data Protection Impact Assessment

DVO

Dienstverleningsovereenkomst

FG

Functionaris Gegevensbescherming

ISMS

Information Security Management System

ISO27001

International Standardization Organisation 27001

NIS2

Network and Information Security 2

PDCA

Plan, Do, Check, Act

SLA

Service Level Agreement

url

uniform resource locator

Toelichting Het toegang krijgen tot bepaalde informatie en/of systemen via twee identificatiemechanismen. Voorbeelden zijn het gebruiken van een wachtwoord in combinatie met een eenmalige toegangscode ontvangen via de telefoon. Een techniek waarbij slimme softwareoplossingen op basis van een gegenereerd taalmodel geautomatiseerd taken uit kunnen voeren (bijvoorbeeld het schrijven van een tekst of het maken van een verslag op basis van een audio-opname). De Nederlandse wetgeving op het gebied van privacybescherming. Het door de VNG vastgestelde normenkader voor informatiebeveiliging gebaseerd op de ISO27001 De functionaris die verantwoordelijk is voor het voldoen aan de BIO. Een manier om een proces, product en/of systeem te toetsen op de risico’s voor gegevensbescherming en privacy. Een document waarin beschreven staat welke dienstverlening tegen welke voorwaarden Opdrachtnemer levert aan Opdrachtgever. De functionaris die onafhankelijk toetst of aan de AVG wordt voldaan. Een intern ingerichte processystematiek om gestructureerd het voldoen aan de vereisten uit de BIO te borgen. De internationale norm voor informatiebeveiliging uitgegeven door ISO. Een verplichte Europese richtlijn op het gebied van informatiebeveiliging. Ook wel de Cirkel van Demming genoemd; een systematiek om kwaliteitsprocessen te borgen.

Een document waarin gegarandeerde serviceniveaus over de kwaliteit van dienstverlening van Opdrachtnemer voor Opdrachtgever zijn beschreven. Het internetadres in de browser of waar een koppeling/link naar verwijst.

VEILIGHEID VERTROUWD!? Rekenkameronderzoek naar Informatiebeveiliging en Privacy

- 30 -

Bijlage 4: Onderzoeksverantwoording A) De Mens Het thema ‘De Mens’ is op verschillende manieren onderzocht. Het externe onderzoeksbureau NFIR heeft een aantal testen uitgevoerd. De rekenkamer heeft daarnaast zelf een enquête uitgezet. Hieronder volgt een korte toelichting op de onderzoekscomponenten bij het thema ‘De Mens’. Mail phishing Mail phishing betekent dat via een legitiem uitziende mail getracht wordt om inloggegevens van de mailontvanger te verkrijgen. Het NFIR heeft voor de mail phishing test alle medewerkers (inclusief inhuur) van de gemeente Oude IJsselstreek, het college en de leden van de gemeenteraad en fractievolgers een mail toegezonden. In deze mail werd de ontvanger erop geattendeerd dat een grote hoeveelheid persoonlijke documenten verwijderd was. Via een inlogknop konden de documenten teruggehaald worden. Indien de ontvanger inloggegevens (gebruikersnaam en wachtwoord) invulde kwam vervolgens de boodschap in zicht dat dit een test betrof en tevens tips hoe de gebruiker had kunnen herkennen dat het een phishing mail betrof. Voice phishing Voice phishing betekent dat een ontvanger gebeld wordt door een legitiem klinkende ‘collega’ met het doel om inloggegevens van de ontvanger te verkrijgen. Het NFIR heeft voor de voice phishing geprobeerd 16 medewerkers van de gemeente Oude IJsselstreek te bereiken.

Hierbij deed het NFIR zich voor als een medewerker van de ICT servicedesk waarbij de computerinstellingen gecontroleerd moesten worden. Via het helpdeskportal van de ICT-servicedesk werd vervolgens geprobeerd om inloggegevens (gebruikersnaam en wachtwoord) te achterhalen. Inlooptest Een inlooptest betekent dat een ‘mystery guest’ onderzoekt in hoeverre toegang tot beveiligde delen van een pand mogelijk is. Het NFIR heeft voor de inlooptest het gemeentehuis in Gendringen en STOER in de DRU in Ulft bezocht en (zonder zich te melden bij de receptie) onderzocht hoe ver hij in de beveiligde medewerkersgedeelten van het pand kon komen. Hierbij werd tevens onderzocht in hoeverre vertrouwelijke gegevens (foto’s van openstaande beeldschermen, papieren dossiers/aantekeningen) en gemeentelijke/persoonlijke eigendommen (telefoons, sleutels, etc.) buitgemaakt konden worden. Voor het geval de mystery guest betrapt zou worden had hij een door de gemeentesecretaris getekende vrijwaringsverklaring bij zich. Enquête gedragsregels Bij de gemeente Oude IJsselstreek zijn diverse gedragsregels op het gebied van informatiebeveiliging en privacy met medewerkers gedeeld. De rekenkamer heeft middels een enquête onder alle medewerkers, het college en raadsleden onderzocht in hoeverre de gedragsregels bekend zijn en opgevolgd worden.

Tevens is onderzocht of bepaalde gedragsregels als nuttig worden ervaren of dat er juist gedragsregels missen. De volledige blanco enquête is opgenomen in bijlage 4.

VEILIGHEID VERTROUWD!? Rekenkameronderzoek naar Informatiebeveiliging en Privacy

- 31 -

B) De Techniek Het thema ‘De Techniek’ is volledig onderzocht door onderzoeksbureau NFIR. Hiervoor zijn drie verschillende onderdelen onderzocht: -

Een penetratietest op de externe infrastructuur. Hiermee wordt onderzocht of het mogelijk is om als buitenstaander in te breken op het netwerk van de gemeente. Er wordt getest of de buitendeuren goed op slot zitten. De test is uitgevoerd zonder voorinformatie vanuit / over de organisatie; een zogeheten black-box penetratietest. Hiermee werd een zo realistisch mogelijk scenario getest, als ware het een echte internetcrimineel toegang probeert te krijgen tot het netwerk van de gemeente.

-

Een penetratietest op de interne infrastructuur. Hiermee wordt onderzocht hoever de onderzoeker zich door het netwerk (bijvoorbeeld toegang tot afdelingsapplicaties en documenten) kan bewegen nadat externe toegang is verkregen. Er wordt getest of de binnendeuren goed op slot zetten en of er gescheiden zones (segmentering) zijn toegepast. De test is uitgevoerd met bepaalde voorinformatie vanuit / over de organisatie; een zogeheten grey-box penetratietest. Dit is bewust gedaan om te voorkomen dat de omgeving van andere deelnemers van de ICT-samenwerking betrokken zouden worden bij de test.

-

Een penetratietest op het beveiligde WiFi-netwerk. Hiermee wordt onderzocht of het mogelijk is om in te breken op het beveiligde WiFi-netwerk en zo toegang te verkrijgen tot het interne netwerk en/of apparaten die gebruik maken van dit beveiligde WiFi-netwerk.

Bij de testen heeft het NFIR gebruik gemaakt van diverse internationale standaarden voor het ontdekken en classificeren van kwetsbaarheden, te weten: -

Penetration Testing Execution Standard (PTES): standaard ten behoeve van infrastructuur penetratietesten. CWE(CommonWeaknessEnumeration):Lijst van veelvoorkomende softwarefouten voor het verbeteren van softwarebeveiliging. CommonVulnerability Scoring System (CVSS): wordt gebruikt om de ernst van de kwetsbaarheden te classificeren

C) De Organisatie

Om inzicht te krijgen in de organisatie van informatiebeveiliging en privacy is een dossieronderzoek uitgevoerd. Hierbij zijn de landelijk vastgestelde normenkaders voor informatiebeveiliging (BIO) en privacy (AVG Borgingsproduct 3.0) als toetsingskader gebruikt om de volwassenheid van de organisatie van de informatiebeveiliging en privacy binnen de gemeente vast te stellen. Het dossieronderzoek is aangevuld met 9 interviews met diverse functionarissen uit de gemeente en de ICT-samenwerking. Een lijst met geïnterviewde personen is opgenomen in bijlage 3

D) Normenkader

Voor de beantwoording van de onderzoeksvragen is het volgende normenkader gehanteerd: Onderzoeksvragen 1. Heeft de gemeente op een adequate manier invulling gegeven aan haar informatiebeveiligings- en privacybeleid?

-

-

-

Normen Door het college is informatiebeveligings- en privacybeleid vastgesteld en dit wordt actief uitgedragen. Jaarlijks worden interne en externe factoren die van invloed (kunnen) zijn op informatiebeveiliging en privacy meegenomen in jaarplannen. Informatiebeveiliging en privacy zijn kwalitatief en kwantitatief geborgd in

VEILIGHEID VERTROUWD!? Rekenkameronderzoek naar Informatiebeveiliging en Privacy

- 32 -

-

-

-

2. In hoeverre is de sturing van de gemeente binnen samenwerkingsverbanden toereikend op het gebied van informatiebeveiliging- en privacy?

-

-

-

3. In hoeverre zijn risico’s en beheersmaatregelen (intern en binnen samenwerkingsverbanden) in kaart gebracht en op welke wijze worden deze consequent opgevolgd?

-

-

-

-

-

-

4. Op welke wijze anticipeert de gemeente op toekomstige ontwikkelingen (die invloed hebben) op het gebied van informatiebeveiliging en privacy?

-

-

-

benodigde functies en rollen. Medewerkers zijn en blijven op de hoogte van de regels omtrent informatiebeveiliging en privacy en handelen hier ook naar. Het informatiebeveilgings- en privacybeleid is vertaald in benodigde deel-beleidsstukken en (interne) richtlijnen. Er wordt periodiek gerapporteerd aan het management over de status van informatiebeveiliging en privacy. De gemeente heeft inzichtelijk met welke partijen informatie en data gedeeld worden en heeft hiervoor de benodigde maatregelen getroffen zoals verwerkersovereenkomst en registratie in een verwerkingsregister. Partners en leveranciers rapporteren jaarlijks over de stand van zaken op het gebied van informatiebeveiliging en privacy. Bij samenwerkingsverbanden waar sprake is van gedeelde ICTvoorzieningen is formeel beschreven wie, waarvoor verantwoordelijk is en in de praktijk conform ingericht. Het normenkader BIO en het AVG Borgingsproduct 3.0 worden structureel gehanteerd om sturing te geven. Jaarlijks wordt een risicoanalyse uitgevoerd en vastgesteld, op basis waarvan door de gemeente maatregelen worden getroffen. Informatie en data zijn goed beschermd tegen ongewenste invloeden van zowel buitenaf als van binnenuit. Er zijn procedures vastgesteld hoe om te gaan met informatiebeveiligings- en privacyincidenten en/of datalekken en er wordt conform gehandeld.

Informatiebeveiliging- en privacy zijn in de praktijk ingericht conform de PDCAcyclus. Op alle systemen waarin informatie en data verwerkt wordt is logging en monitoring geïmplementeerd. Informatiebeveiliging en privacy zijn gebaseerd op het principe van ‘de lerende organisatie’. Relevante Wet- en regelgeving wordt tijdig herkend en vertaald naar de lokale praktijk. Er wordt geanticipeerd op technologische en maatschappelijke ontwikkelingen die invloed (kunnen) hebben op het toepassen van

VEILIGHEID VERTROUWD!? Rekenkameronderzoek naar Informatiebeveiliging en Privacy

- 33 -

5. Hoe wordt de gemeenteraad betrokken bij de thema’s informatiebeveiliging en privacy?

-

-

informatiebeveiligings- en privacybeleid, door kansen en risico’s vast te stellen en beleid en jaarplannen hierop in te richten. Over het functioneren van informatiebeveiliging en privacy wordt jaarlijks gerapporteerd aan de raad middels de ENSIA3. In geval van datalekken die gemeld worden bij de Autoriteit Persoonsgegevens wordt de raad geïnformeerd over de inhoud en de getroffen maatregelen.

E) Transparantieparagraaf Het onderzoek naar informatiebeveiliging en privacy is door de rekenkamer grotendeels in eigen beheer uitgevoerd. De CISO van de gemeente Oude IJsselstreek heeft ook een nevenfunctie als raadslid bij de gemeente Bronckhorst. De leden van de rekenkamer Oude IJsselstreek zijn ook, als rekenkamerlid of als fractievolger, gelieerd aan de gemeente Bronckhorst. Hierom is voorafgaand aan de start van het onderzoek een afweging gemaakt naar mogelijke belangenverstrengeling en/of integriteitsconflicten. Uit deze afweging is naar voren gekomen dat de leden van de rekenkamer Oude IJsselstreek geen conflicterende belangen hebben en dat het onderzoek naar informatiebeveiliging en privacy op een professionele, onafhankelijke en kwalitatief hoogwaardige manier zelfstandig uitgevoerd kan worden. Als extra waarborg heeft de rekenkamer Prae Advies als onafhankelijk adviseur betrokken bij het onderzoek.

ENSIA (Eenduidige Normatiek Single Information Audit) is een initiatief van gemeenten en de ministeries van BZK en SZW. ENSIA streeft naar een zo effectief en efficiënt mogelijk ingericht verantwoordingsstelsel voor informatieveiligheid. 3

VEILIGHEID VERTROUWD!? Rekenkameronderzoek naar Informatiebeveiliging en Privacy

- 34 -

Bijlage 5: Geraadpleegde bronnen A) Documenten Voor het onderzoek zijn de volgende documenten geraadpleegd (in alfabetische volgorde): -

Documentatie ENSIA Cyclus 2022 Documentatie ENSIA Cyclus 2023 01 U-WA.05 - Rapport dataclassificatie eDiensten Burgerzaken v1.7 01 U-WA.05 Classificatie informatie GOUW 01 U-WA.05 Ordeningsstructuur zaaksysteem 02 Voorlopige planning audits 03 + 31 Gem. Doetinchem Uitwijk datacenters 03 Backup Gem. Doetinchem - DAP v1.0 04 Logische Toegangsbeveiliging 05 Notitie_Uitgangspunten_werkplek_vastgesteld_CMT_20240404_ V3 05 Werkafspraken organisatie vastgesteld door CMT 20240606 06 Cryptografie 07 20231003 autorisatiemodel 08 Shortlist Werkafspraken medewerkers medewerkers intranet 1-6-2019 09 Bescherming tegen malware - afhandelen van Microsoft Defender meldingen – Concept 10 'Beleid' veilig mailen en grote bestanden uitwisselen met Bastion 365 10 Handleiding veilig grote bestanden verzenden met Bastion365 OIJ 10 Handreiking voor veilig mailen met Bastion365 11 Wijzigingsbeheer 12 + 22 + 23 + 38 Informatieveiligheids- en privacybeleid 2022-2026 13 Besluit Informatiebeheer gemeente Oude IJsselstreek 13 Handboek Vervanging OIJ 2.3 (vastgesteld 22-10-2019) 14 20210205 Definitief indelingsadvies CISO 15 Aanpak bedrijfscontinuïteitsplan 17 Beoordeling (pre)DPIA sjabloon 17 DPIA model 092023 sjabloon 18 A 1 191022 Model nieuwe arbeidsovereenkomst bepaalde tijd 18 A 1.1.1 191022 Model nieuwe arbeidsovereenkomst onbepaalde tijd 19 Projectplan template NIEUW 20 Standaard

Verwerkersovereenkomst 21 20191203 Gedragscode 24 AIAG2017 actuele versie 2022 24 Inkoop- en aanbestedingsbeleid Gemeente Oude IJsselstreek 2017 versie 1-1-2022 26 Besluit eed en belofte 26 Integriteitsbeleid Ambtenaren 2019 27 e-learning informatiebeveiliging nieuwe medewerker week 1 27 e-learning informatiebeveiliging nieuwe medewerker week 2 27 e-learning informatiebeveiliging nieuwe medewerker week 3 27 e-learning informatiebeveiliging nieuwe medewerker week 4 28 Besluit ongewenste omgangsvormen gemeente Oude IJsselstreek 28 regeling melding vermoeden misstand versie 2014.pdf__ig 29 Groslijstensystematiek 2019 gemeente Oude IJsselstreek versie 10-12-2019 31 Netwerkoverzicht gemeente Oude IJsselstreek 32 - Organisatiegegevens KPN Certificaten 32 - Persoonsgebonden certificaten (Gefilterd op status geldig) 32 - Servercertificaten (Gefilterd op status geldig) 34 Normenkader 2023 35 Rekenkamer werkprocessen met persoonsgegevens OIJ - v2 36 Personeelshandboek gemeente Oude IJsselstreek 37 Borgingsproduct-3.0-Toetsingskader OIJ 37 Digitale weerbaarheid AVG gemeente Oude IJsselstreek 2023-1 39+ 40 e-learning bewustwording medewerker 41 Privacy Statement 42 + 43 Procedure Datalekken 43 Responsible disclosure 45 Bijlage I - Algemene Samenwerkingsvoorwaarden 45 Bijlage II - Algemene uitvoeringsvoorwaarden

VEILIGHEID VERTROUWD!? Rekenkameronderzoek naar Informatiebeveiliging en Privacy

- 35 -

-

45 Governance ICT Samen 47 Inventarisatie VOGP 49 Omgaan met tijd 49 Regeling arbeidsduur en werktijden def 50 202210-Verwerkingsregister-gemeenten-v1.3 51 DPIA Kredit - Allegro juni 2024 in uitvoering 52 Wachtwoordbeleid 53 Plattegrond vlekkenplan 1e verdieping definitief 20240606 53 Plattegrond vlekkenplan BG definitief 20240606 Formulier Aanvraag users-account Formulier inhuur Formulier Integriteitsverklaring Mandaatregeling 2024 OIJ visie op dienstverlening 12-3 def Overeenkomst van Opdracht bureau Overeenkomst van Opdracht ZZP Persoonsgegevens inhuur Visie op informatie definitief Memo_Incident Crowdstrike Plattegronden Gemeentehuis

Aanvullend zijn de volgende rapportages opgesteld door onderzoeksbureau NFIR en verwerkt in het voorliggende rekenkamerrapport: -

24156 - Bazzano - Management Samenvatting – 20241007 24156 - Bazzano - Rapportage – 20241007 24156 - Bazzano - Rapportage phishing simulatie v1.0 24156 - Bazzano - Voice Phishing 20241018 24156 - Bazzano Mystery guest rapportage 20241018

B) Interviews en praktijkcasussen Voor het rekenkameronderzoek zijn de volgende functionarissen geïnterviewd (in alfabetische volgorde): Naam Andre Putker Angelique Dhondt Anne Marie Nas Arjan Vaartjes Bram Grob Bob Konings Dennis Ankersmid Frank Weghaus Iety Hendriks Jacques Roosendaal Linda Tackenkamp Maartje Nijman Mirjam Maasdam Robbert van Velsen Ron Frerix Sarah Peprah Yvon Didden

Functie Eenheidsmanager Fysieke Ontwikkeling Kwaliteitsmedewerker Wmo en Jeugd Functionaris Gegevensbescherming (FG) Teamleider informatisering & Automatisering Coördinator infrastructuur en applicaties (ICT Samen) Eenheidsmanager Publiekszaken, Economie en Maatschappij Adviseur vergunningen Teamleider ruimtelijke ordening Teamleider Personeel & Organisatie Inkoopcoördinator Eenheidsmanager Sociaal Domein Teamleider Wmo en Jeugd Waarnemend burgemeester Chief Information Security Officer (CISO) Gemeentesecretaris Adviseur vergunningen APV en Bijzondere wetten Teamleider Economie en Maatschappij

VEILIGHEID VERTROUWD!? Rekenkameronderzoek naar Informatiebeveiliging en Privacy

- 36 -

Bijlage 6: Uitgezette enquête Welkomstpagina Beste raadsleden, collegeleden en medewerkers van de gemeente Oude IJsselstreek, De rekenkamer is een onderzoek gestart naar informatiebeveiliging en privacy. Omdat jij als lid van de raad, het college of als medewerker dagelijks met (persoons)gegevens of andere vertrouwelijke informatie werkt, heb ook jij een rol in informatieveilig werken. Jouw collega's van informatiebeveiliging en privacy hebben een aantal gedragsregels opgesteld die jou helpen om bewust met informatiebeveiliging en privacy om te gaan. Met 4 vragen wil de rekenkamer toetsen in hoeverre door raadsleden, collegeleden en medewerkers van de gemeente Oude IJsselstreek informatieveilig en privacybewust gehandeld wordt. Ook willen we achterhalen of bepaalde gedragsregels wel of niet als nuttig worden ervaren. Het invullen van de vragenlijst neemt maximaal 5 minuten van je tijd in beslag. Uiteraard is het invullen volledig anoniem. Alvast bedankt voor je bijdrage aan dit onderzoek. Met vriendelijke groet, Rekenkamer Oude IJsselstreek Vraag 1: In hoeverre houdt je je aan de onderstaande gedragsregels op het gebied van informatiebeveiliging en privacy? Hieronder zijn de belangrijkste regels weergegeven op het gebied van informatiebeveiliging en privacy. We vragen je om per regel aan te geven in hoeverre je je hieraan houdt. Hierbij is er geen goed of fout.

Het helpt om meer inzicht te krijgen in de effectiviteit van de regels en om hier van te leren als organisatie. Het is daarom belangrijk om het onderstaande eerlijk in te vullen vanuit je eigen beleving.

1. Een informatiebeveiligingsen/of privacy-incident meld ik via het beschikbare meldformulier (Verplicht) 2. E-mails met (bijzondere) persoonsgegevens en/of vertrouwelijk/gevoelige data verstuur ik altijd via de beveiligde mailoplossing Bastion365 (Verplicht) 3. Ik volg jaarlijks het bewustwordingsprogramma informatiebeveiliging en privacy (Verplicht) 4. Mijn werklaptop gebruik ik in principe niet voor privédoeleinden (Verplicht) 5. Ik vergrendel mijn

Is dit een Oei, die Ik pas Ik pas Dit doe Deze regel is op gedragsregel? was ik deze deze regel ik altijd! mijn vergeten; regel meestal werkzaamheden ik moet soms toe toe niet van daar beter toepassing op gaan letten O O O O O O

O

O

O

O

O

O

O

O

O

O

O

O

O

O

O

O

O

O

O

O

O

O

O

O

VEILIGHEID VERTROUWD!? Rekenkameronderzoek naar Informatiebeveiliging en Privacy

- 37 -

scherm als ik mijn werkplek verlaat (Verplicht) 6. Ik zorg dat op mijn werkplek geen gevoelige/vertrouwelijke informatie ligt als ik mijn werkplek verlaat (Verplicht) 7. Ik zorg ervoor dat anderen mijn vertrouwelijke / gevoelige gesprekken niet mee kunnen luisteren (zowel op kantoor, thuis als in het openbaar). (Verplicht) 8. Grote bestanden verstuur ik veilig met Bastion365 (Verplicht) 9. In e-mailberichten open ik geen onbekende url’s of bijlagen. Ik vul geen gegevens in bij een (onverwacht) bericht met onbekende afzender. (Verplicht) 10. Ik maak geen gebruik van openbare Wifinetwerken (toegang tot Wifi zonder wachtwoord) (Verplicht)

O

O

O

O

O

O

O

O

O

O

O

O

O

O

O

O

O

O

O

O

O

O

O

O

O

O

O

O

O

O

Vraag 2: Indien je je aan één of meer van bovenstaande regels niet houdt, waarom is dat dan? (Verplicht) Opmerking: Mogelijke redenen kunnen bijvoorbeeld zijn: 'regel nr. 'x' is niet makkelijk toepasbaar' of 'regel nr. 'y' snap ik niet hoe ik die moet toepassen.'

Vraag 3: In je dagelijks werk kom je veel tegen. Heb je tips om de informatiebeveiliging en/of privacy aan te scherpen? (Verplicht)

Om de onderzoeksresultaten te kunnen specificeren en bruikbare aanbevelingen te kunnen doen, vragen we om de afdeling aan te vinken waarvoor je werkzaam bent. Vraag 4: Voor welke afdeling ben je werkzaam? (Verplicht) Opmerking: Afdelingen zijn gesorteerd op alfabetische volgorde O O O O O O O O O

Bedrijfsvoering BUOR College van Burgemeester en Wethouders Concernstaf Fysieke ontwikkeling Gemeenteraad Griffie Publiekszaken, Economie & Maatschappij (PEM) Sociaal Domein

VEILIGHEID VERTROUWD!? Rekenkameronderzoek naar Informatiebeveiliging en Privacy

- 38 -

Einde van de vragenlijst Hartelijk dank voor het invullen van de vragenlijst. Hierdoor heb je een waardevolle bijdrage geleverd aan het rekenkameronderzoek én de verdere verbetering van de informatiebeveiligingsen privacyprocessen binnen de gemeente. De respons op deze vragenlijst wordt onderdeel van het rekenkamerrapport, wat na afronding van het onderzoek en presentatie aan de gemeenteraad beschikbaar komt. Heb je naar aanleiding van het invullen van deze vragenlijst nog vragen of wil je nog iets kwijt? Neem dan contact op met rekenkamer@oude-ijsselstreek.nl

VEILIGHEID VERTROUWD!? Rekenkameronderzoek naar Informatiebeveiliging en Privacy

- 39 -