21-04-20.12 Concept raadsbesluit rekenkamerrapport Volwassenheidsonderzoek informatiebeveiliging Overbetuwe.docx

Onderwerp: Rekenkamerrapport ‘Volwassenheidsonderzoek informatiebeveiliging gemeente Overbetuwe’ Ons kenmerk: 21RB000018 Nr. Nummer De raad van de gemeente Overbetuwe; gelezen het rapport van de rekenkamercommissie van 2 maart 2021; gehoord het advies van de voorbereidende vergadering van 6 april 2021; besluit: 1. In te stemmen met de conclusies en aanbevelingen van het rekenkamerrapport ‘Volwassenonderzoek informatiebeveiliging gemeente Overbetuwe’. 2. De volgende aanbevelingen mee te geven aan het college: a. Maak duidelijk de verwachtingen van de lijnmanagers ten aanzien van informatiebeveiliging en zorg ervoor dat zij met behulp van kennisoverdracht ook in staat zijn om hun taken, verantwoordelijkheden en bevoegdheden ten aanzien van informatiebeveiliging uit te voeren. b. Hou vast aan de huidige aanpak van het structureel verhogen van het beveiligingsbewustzijn onder alle medewerkers. Zorg ervoor dat wordt vastgelegd welke basiskennis noodzakelijk is voor welke functies en of rollen. c. Integreer informatiebeveiliging nadrukkelijker in het indiensttredingsproces, zodat nieuwe medewerkers ‘secure-by-design’ worden ingewerkt. d. Identificeer de kritische bedrijfsmiddelen, voorzie deze van de betrouwbaarheidseisen en koppel deze aan eigenaren. e.

Stel minimaal de verplichte beleidsstukken van de BIO op en stel formeel vast waarmee op een gedetailleerder niveau invulling gegeven wordt aan de strategische doelstellingen van Overbetuwe. f. Introduceer integraal risicomanagement zodat alle risico’s, dus niet alleen in het kader van informatiebeveiliging, op dezelfde manier worden geïdentificeerd, geclassificeerd en behandeld. Voer zo snel mogelijk risicoanalyses uit voor de bedrijfskritische processen en bedrijfsmiddelen zodat deze adequaat beheerst kunnen worden. g. Stel een uitgebreid plan (roadmap) op waarin beschreven wordt hoe de naleving van de BIO en daarmee ook de volwassenheid ten aanzien van informatiebeveiliging op korte termijn aantoonbaar wordt verbeterd. h. Zorg ervoor dat de planning met betrekking tot informatiebeveiliging alle verplichte activiteiten bevat voor het continu verbeteren daarvan. i. Betrek de raad meer en vaker bij het onderwerp informatiebeveiliging door de raad pro-actief te informeren over de status van informatiebeveiliging en op de hoogte te houden van de belangrijkste ontwikkelingen daarin.

*21RB000018*

j.

Zorg ervoor dat bewijslast (‘evidence’), waarmee aangetoond kan worden dat wordt voldaan aan BIO-eisen, wordt vastgelegd op een centrale locatie, zodat een helder overzicht ontstaat van de tekortkomingen ten opzichte van de BIO. k. Overweeg om een strategisch programma voor informatiebeveiliging binnen Overbetuwe te starten, zodat informatiebeveiliging structureel wordt verbeterd en geborgd. l. Voer op korte termijn een penetratietest uit op de ICT-infrastructuur om inzicht te verkrijgen in (mogelijke) kwetsbaarheden (nulmeting). Daarnaast wordt sterk aanbevolen om geautomatiseerde kwetsbaarhedenscans uit te voeren waarmee periodiek gemonitord wordt op kwetsbaarheden. m. Zorg dat de basisprocessen van ICT op orde worden gebracht en monitor deze nauwlettend om ongewenste situaties te voorkomen. n. Zorg dat ICT over de benodigde middelen beschikt om documentatie op orde te brengen en te houden en er periodiek hersteltesten uitgevoerd kunnen worden, zodat vastgesteld kan worden of backups succesvol teruggeplaatst kunnen worden of dat de overeengekomen afspraken ook daadwerkelijk gerealiseerd kunnen worden. o. Zorg dat duidelijk is op welke locaties zich bedrijfsmiddelen van Overbetuwe bevinden, zodat daar adequate beveiliging op kan worden toegepast. p.

Overweeg om de Crime Prevention Through Environmental Design (CPTED) principes toe te passen om gewenst gedrag te stimuleren en om ongewenst gedrag te beperken. Aldus besloten in zijn openbare vergadering van 20 april 2021. DE RAAD VOORNOEMD, de griffier,

de voorzitter,

Drs. D.E. van der Kamp

R.P. Hoytink-Roubos

*21RB000018*