21-04-20.12 Volwassenheidsonderzoek Informatiebeveiliging gemeente Overbetuwe

Techniek # Aanbeveling 1 Voer op korte termijn een nieuwe penetratietest uit op de ICT-infrastructuur om inzicht te verkrijgen in (mogelijke) kwetsbaarheden. Daarnaast wordt sterk aanbevolen om geautomatiseerde kwetsbaarhedenscans uit te voeren waarmee periodiek gemonitord wordt op kwetsbaarheden. Met name vanwege een tekort aan detectiemogelijkheden is het tijdig verhelpen van kwetsbaarheden van essentieel belang om misbruik te voorkomen. 2 Zorg dat de basisprocessen van ICT op orde worden gebracht en monitor deze nauwlettend om ongewenste situaties te voorkomen. De Informatiebeveiligingsdienst (IBD) biedt advies en hulpmiddelen aan die kunnen helpen om dit proces te versnellen. De BIO is niet heel technisch van aard, daarom wordt sterk aanbevolen om minimaal de zes basismaatregelen van het Center for Internet Security (CIS)13 volledig te implementeren. Wanneer aan deze basis wordt voldaan kan ongeveer 80% van de meest voorkomende cyberaanvallen worden afgewend. 3 Zorg dat ICT over de benodigde middelen beschikt om documentatie op orde te brengen en te houden en er periodiek hersteltesten uitgevoerd kunnen worden zodat vastgesteld kan worden of backups succesvol teruggeplaatst kunnen worden of dat de overeengekomen afspraken ook daadwerkelijk gerealiseerd kunnen worden (Service Niveau Overeenkomst & Producten en Diensten Catalogus).

13 https://www.cisecurity.org/controls/cis-controls-list/

Volwassenheidsonderzoek informatiebeveiliging – 01 maart 2021 - 23

Fysieke beveiliging # Aanbeveling 1 Zorg dat duidelijk is op welke locaties zich bedrijfsmiddelen van Overbetuwe bevinden, zodat daar adequate beveiliging op kan worden toegepast. Voer risicoanalyses uit om inzicht te verkrijgen in fysieke beveiligingsrisico’s. Zorg er daarnaast voor dat er voor iedere locatie een verantwoordelijke is voor fysieke (toegangs)beveiliging. 2 Overweeg om de Crime Prevention Through Environmental Design (CPTED) principes toe te passen om gewenst gedrag te stimuleren en om ongewenst gedrag te beperken. CPTED maakt op slimme wijze gebruik van de omgeving om beveiligingsrisico’s te verkleinen.

Volwassenheidsonderzoek informatiebeveiliging – 01 maart 2021 - 24

Bestuurlijke reactie college

De Rekenkamer Ds. H. Smeets Uw brief van

Uw kenmerk

Onderwerp: Bestuurlijke reactie onderzoek informatiebeveiliging

Ons kenmerk 20uit26676 Behandeld door S. van Eldik-Giesbers

Datum 5 januari 2021 Telefoonnummer 14 0481

Verzonden d.d. Bijlage(n)

Geachte heer Smeets en overige leden van de Rekenkamer, Wij danken u voor het “Volwassenheidsonderzoek informatiebeveiliging gemeente Overbetuwe”. Graag maken wij gebruik van de mogelijkheid om hierop te reageren. Informatieveiligheid is een belangrijk en actueel thema. De krantenberichten over hacks bij de Universiteit Maastricht en de gemeente Hof van Twente onderstrepen het belang van een goede informatiebeveiliging. Ons college is dan ook blij dat de Rekenkamer zich over dit onderwerp heeft gebogen en een aantal aanbevelingen doet. We doen daar graag ons voordeel mee om onze informatieveiligheid nog verder te verbeteren. De BIO bestaat pas kort. Gelet op onze uitgangspositie en gelet op de beperkte mogelijkheden die een middelgrote organisatie als de onze heeft, hebben wij snel grote stappen vooruit gezet in de beveiliging van onze informatie. Maar we zijn er nog niet. Met gemeente Lingewaard, die onze ICT verzorgt, zullen wij daarom op de kortst mogelijke termijn afspraken maken om de verbeteringen die de hoogste prioriteit hebben uit te voeren. De aanbevelingen van de Rekenkamer helpen ons daarbij. Omdat menselijk gedrag de factor is waar we de grootste winst kunnen behalen, zullen wij blijven inzetten op dat aspect en daarbij ook de rol van het management verder aanscherpen. Wij zijn positief over het rapport en blij met de aanbevelingen.

Deze ziin voor ons waardevol en hiermee kunnen wij ons voordeel doen. Toch staan er een aantal punten in het rapport dat ons bevreemdt. U schrijft bijvoorbeeld op punten dat er niet voldoende bewijslast is overlegd en daardoor niet aan de gestelde norm wordt gedaan. In een aantal gevallen hadden wij eenvoudig deze bewijslast kunnen aanleveren, maar heeft u daar niet om verzocht. Ook geeft u aan dat er “een beperkt aantal uren beschikbaar is gesteld waardoor niet voor alle aspecten van informatiebeveiliging de volledige diepte in gedoken kan worden”. De conclusies zijn op onderdelen dan ook niet volledig waardoor een vertekend beeld ontstaat. Dat zal ons echter niet beletten om met uw aanbevelingen in de hand, vol in te zetten op het versterken van de informatiebeveiliging. U verzoekt ons jaarlijks te rapporteren over de stand van zaken met betrekking tot de BIO. Naast dat we dit middels ENSIA doen, zullen wij dit doen en u ook afzonderlijk informeren over de BIO.

Hoogachtend, burgemeester en wethouders, de gemeentesecretaris,

de burgemeester,

P.J.E. Breukers

R.P. Hoytink-Roubos

Dorpsstraat 67, Elst/Postbus 11, 6660 AA Elst T 14 0481 E info@overbetuwe.nl www.overbetuwe.nl IBAN: NL03BNGH0285092030 BIC:BNGHNL2G

KvK nummer 51178567 Btw nr NL809032375B01

*20uit26676*

1/2

4

Nawoord rekenkamercommissie Wij hebben kennis genomen van de reactie van het college van B&W. Wat betreft het door het college aangegeven punt van de niet gevraagde bewijslast waardoor er mogelijk een vertekend of onjuist beeld zou kunnen ontstaan, hebben wij de onderzoeker verzocht om, nadat wij de aanvullende informatie hadden ontvangen, hier aanvullend naar te kijken. Dit heeft inderdaad geleid tot een bescheiden bijstelling van onze bevindingen. Deze zijn in het eindrapport verwerkt. Wij waarderen de voortvarendheid die spreekt uit de bestuurlijke reactie.

5

Dorpsstraat 67 6661 EH Elst Postbus 11 6660 AA Elst telefoon 14 0481 fax (0481) 372 482 info@overbetuwe.nl www.overbetuwe.nl