2024-170.1 Eindrapport-onderzoek-informatiebeveiliging en privacy
Tekst van het document
Pagina 46
Bijlage 1: De basisbeveiligingsniveaus De drie basisbeveiligingsniveaus van de Baseline Informatiebeveiliging Overheid (BIO) Basisbeveiligingsniveau 1 (BBN1) Dit is het niveau waaraan alle overheidssystemen minimaal dienen te voldoen. Hierbij gaat het om het voldoen aan wet- en regelgeving (zoals de AVG) en algemeen geldende beveiligingsprincipes. Basisbeveiligingsniveau 2 en niveau 2+ (BBN2 en BBN2+) BBN2 is van toepassing indien er sprake is van verwerking van vertrouwelijke informatie. Mogelijke incidenten leiden tot bestuurlijke commotie en de veiligheid van andere systemen is afhankelijk van de veiligheid van het eigen systeem. Ongewenst openbaren van informatie kan leiden tot politieke schade aan bestuurders, financiële gevolgen die niet meer op te vangen zijn binnen de begroting, verlies van publiek respect en imagoschade en aanwijzingen van de Autoriteit Persoonsgegevens door schending van privacy. Op dit niveau moeten overheden bewust preventieve maatregelen nemen. BBN2+ is in het leven geroepen omdat het voor gemeenten soms noodzakelijk is om aanvullende maatregelen te nemen boven BBN2. Deze set aan maatregelen is opgesteld in samenwerking met gemeenten en dient ter inspiratie waar men aan kunt denken als men extra maatregelen moet implementeren.
De maatregelen die erin staan zijn dus niet verplicht en ook niet uitputtend en worden genomen op basis van een eigen risico-inschatting. Basisbeveiligingsniveau 3 (BBN3), niet van toepassing voor gemeenten Het gaat hier om de bescherming van gegevens die zijn gerubriceerd als Departementaal Vertrouwelijk. Het verlies van deze gegevens heeft een grote impact waarbij actief weerstand moet worden geboden tegen dreiging van statelijke actoren (andere landen) en beroepscriminelen. We gebruiken hier de term ‘actief’, dat verder gaat dan preventief. We bedoelen hier dat dreigingen moeten kunnen worden gedetecteerd, waarop vervolgens gereageerd moet worden.
Pagina 47
Bijlage 2: Lijst van veel gebruikte termen en afkortingen AP API AVG BAG BIO BMS BRO BRP CIO
CISO CMM DPIA
ENSIA
FG GAP GAP-analyse I&A IBD IoT ISMS Patchmanagement PDCA PNIK PO Privacy by design Proceseigenaar SOD SUWI Suwinet Wmo Wob Woo
Autoriteit Persoonsgegevens: nationale instantie die toezicht houdt op bescherming van persoonsgegevens. Application Programming Interface: softwareverbinding die het mogelijk maakt dat twee of meer applicaties met elkaar kunnen communiceren. Algemene Verordening Gegevensbescherming: Europese regelgeving die de privacyregels in de Europese lidstaten harmoniseert (GDPR = General Data Protection Regulation). Basisregistratie Adressen en Gebouwen. Baseline Informatiebeveiliging Overheid. Bewustwording Management Systeem. Basisregistratie Ondergrond. Basisregistratie Personen: applicatie met persoonsgegevens van de inwoners. Chief Information Officer: functionaris die de algemene verantwoordelijkheid heeft voor de netwerken, systemen, hardware, software en cloudcomputing-activiteiten van de organisatie. Chief Information Security Officer: de centrale functionaris voor informatiebeveiliging. Capability Maturity Model: geeft aan op welk niveau de software-ontwikkeling van een organisatie zit. Data Protection Impact Assessment: analyse op risico’s in verband met privacy en gegevensbescherming. Onder de AVG verplicht bij gegevensverwerking met een waarschijnlijk hoog privacy-risico.
Eenduidige Normatiek Single Information Audit: eenmalige informatieverstrekking en eenmalige IT-audit voor de horizontale (richting gemeenteraad als toezichthouder) en verticale verantwoording (richting landelijke toezichthouders). Functionaris Gegevensbescherming: belast met toepassing en naleving van de AVG. Is de Engelse term voor ‘kloof’; het verschil tussen bestaande situatie en gewenste situatie. Controle of en in welke mate de maatregelen uit de BIO geïmplementeerd zijn. Informatie & Automatisering. Informatiebeveiligingsdienst voor gemeenten. Internet of Things: apparaten met elkaar verbonden via internet. Informatie Securitymanagement System: om informatiebeveiliging te waarborgen en besturen. Gecontroleerd en planmatig identificeren van kwetsbaarheden, testen en uitrollen van patches, en updates van software. Het doel is om up-to-date te zijn en tegelijk de dienstverlening zo min mogelijk te verstoren. Plan-Do-Check-Act: de beleidsleercyclus. Paspoorten en Nederlandse Identiteitskaarten: dit is een aanvullende beveiligingseis. Privacy Officer: maakt de gemeente bewust van het belang van privacy. Bij het ontwerp van producten en diensten dient nagedacht te worden over privacy. Implementeert de eisen uit de AVG en neemt beheersmaatregelen als dat nodig is.
Segregration of Duties: is een functiescheiding; bepaalde verantwoordelijkheden worden over meer dan één persoon gespreid. Structuur Uitvoeringsorganisatie Werk en Inkomen: de gemeenten, het UWV en sociaal ontwikkelbedrijven voeren samen een aantal wettelijke taken uit. Via Suwinet kunnen overheidsorganisaties gegevens van inwoners en bedrijven digitaal bij elkaar opvragen en naar elkaar sturen. Wet maatschappelijke ondersteuning. Wet openbaarheid van bestuur. Wet open overheid.
Pagina 48
Bijlage 3: Respondenten en schriftelijke bronnen Interviews Aanhef Dhr./Mw.
Naam
Functie
Organisatie
Interviews met portefeuillehouders en ambtelijke sleutelpersonen Dhr. J.N. Dhr. V. Mw. B. van Dhr. P. Dhr. J. Dhr. J.P. den Dhr. M. Dhr. P. Dhr. T. Dhr. E. ’t Mw. M. Dhr. GJ. Dhr. H. Dhr. J. Mw. D. Dhr. K. Dhr. H. van Dhr. J. Dhr. G. van
Rozendaal Petkovic Voorst Baars Hofstede Boer Degeling Band Vroon Jonge Udo Fierloos Timmerman Koning Kolder Castelein Dijk Boorsma Beek
Dhr. H. van
Dijk
Dhr. B. Dhr. P. Dhr. B. Dhr. J. Mw. G. Dhr. J.van Mw. S. Dhr. F. Mw. P. Dhr. W. Dhr. L. van den Dhr. P.
Engberts Lensselink Disco Boorsma Zielhuis Dijk Zandbergen Beekhuis Tanahatoe Stoffer Bogaard Baas
Dhr. J.
Gardenbroek
Dhr. T. Mw. T. Dhr. A.
Vroon Rolink Dickhof
Dhr. P. Dhr. J. Dhr. R.
Smink Boorsma Brinkhof
Burgemeester, portefeuille ICT Adviseur Informatisering Chief Information Security Officer Adviseur ICT Domeinmanager Samenleving/proceseigenaar Functioneel beheerder GEO Domeinmanager bedrijfsvoering/proceseigenaar Privacy Officer Functionaris Gegevensbescherming Wethouder, portefeuille ICT Functionaris Gegevensbescherming Chief Information Officer Chief Information Security Officer Privacy Officer Concern controller Wethouder, portefeuille ICT Concern controller Chief Information Security Officer Beleidsadviseur/proceseigenaar inhuur, KCC en burgerzaken. Manager Bedrijfsvoering, proceseigenaar ketenondersteuning. Wethouder, portefeuille ICT Gemeentesecretaris Concern controller Chief Information Security Officer Team Samenleving/proceseigenaar Team Leefomgeving/proceseigenaar Team Dienstverlening/proceseigenaar Team Ruimte/proceseigenaar Team Bedrijfsvoering/proceseigenaar Wethouder, portefeuille ICT Informatiemanager Chief Information Security Officer/Privacy Officer (PO) Teammanager Personeel, Organisatie en Communicatie/concerncontroller. Functionaris Gegevensbescherming Teammanager Informatie/proceseigenaar Teammanager RO & Volkshuisvesting/proceseigenaar Beleidsmedewerker Vastgoed Chief Information Security Officer Functionaris Gegevensbescherming
Gemeente Elburg
Gemeente Putten
Gemeente Hattem
Gemeente Oldebroek
Gemeente Nunspeet
H2O organisatie
Pagina 49
Aanhef Dhr./Mw. Mw. G. Dhr. H.
Naam
Functie
Organisatie
Kurnaz Hendriks
(Hattem en Oldebroek)
Dhr. H. van
Rooij
Privacy Officer Chief Information Security Officer (50%) en Privacy Officer (50%) Interim Chief Information Officer
Groepsgesprek met een afvaardiging van de raden Dhr. A. van Dhr. J. van der Dhr. J.N. Dhr. G. Dhr. J. van der Dhr. T. Dhr. M. Mw. P. Dhr. E. Dhr. J.J. Dhr. J. van den Dhr. W.H. Dhr. H.
Dijk Reijden Rozendaal Schoots Velde Juk Kers Koortens Kort Zijlstra Hoorn Peggeman Tabak
Raadslid Burgerraadslid Burgemeester Burgerraadslid Burgerraadslid Fractievoorzitter Raadslid Raadslid Raadslid Raadslid Raadslid Raadslid Griffier
Gemeente Elburg Gemeente Elburg Gemeente Elburg Gemeente Elburg Gemeente Elburg Gemeente Hattem Gemeente Hattem Gemeente Hattem Gemeente Hattem Gemeente Hattem Gemeente Nunspeet Gemeente Oldebroek Gemeente Oldebroek
Geraadpleegde schriftelijke stukken S
VolgJaar nr. Gemeente Elburg
Maandnr.
SA
1
SA SA
2 3
2019
1
SA SA
4 5
2019 2020
10 1
SA
6
2020
7
SA
7
2020
11
SA
8
2022
4
SA SA SA
9 10 11
2022 2022 2023
5 6
SA
12
2023
SA
13
2023
2
SA
14
2023
4
SA SA SA
15 16 17
2023 2020 2020
5 2 5
Titelbeschrijving
Gemeente Elburg, Beschrijving Informatievoorziening en ICT, datum onbekend Gemeente Elburg, Verwerkingenregister Elburg concept, datum onbekend Gemeente Elburg, Collegevoorstel Dienstverleningsconcept 2020, 29 januari 2019 Gemeente Elburg, Privacybeleid gemeente Elburg, 20 oktober 2019 Gemeente Elburg, Cryptografiebeleid gemeente Elburg 2021, 4 januari 2021 Gemeente Elburg, Gedragsregeling voor digitale werkomgeving, 21 juli 2020 Gemeente Elburg, Informatiebeveiligingsbeleid gemeente Elburg 20212023, 9 november 2020 Gemeente Elburg, Memo Domeinmanager bedrijfsvoering: Organisatie brede afspraken toegang leveranciers, 11 april 2022 Gemeente Elburg, Collegeprogramma 2022-2026, mei 2022? Gemeente Elburg, Incidentmanagement- en respons protocol, 13 juni 2022 Gemeente Elburg, Logisch toegangsbeveiligingsbeleid gemeente Elburg 2023-2026, datum onbekend. Gemeente Elburg, Continuïteitstratege gemeente Elburg 2023, datum onbekend Gemeente Elburg, Procesbeschrijving Logging & Monitoring, 9 februari 2023 Gemeente Elburg, Plan van Aanpak Organisatieontwikkeling 2023, 20 april 2023 Gemeente Elburg, Informatiestrategie (concept), mei 2023 Gemeente Elburg, Verwerkingenregister Hattem, 20 februari 2020 Gemeente Elburg, Beantwoording vragen raadslid bij kadernota over
Pagina 50
S
Volgnr.
Jaar
Maandnr.
Titelbeschrijving I-dienst, 25 mei 2020
Gemeente Hattem SB
1
SB
2
SB SB
3 4
2021 2022
11 5
SB
5
2022
11
Gemeente Hattem, Bijlage 6: belegging verantwoordelijkheden DigiDkoppelingen, aanvulling op strategisch informatiebeveiligingsbeleid, datum onbekend Gemeente Hattem, Privacybeleid gemeente Hattem ‘Grip op privacy’, datum onbekend Gemeente Hattem, Programmabegroting 2022, november 2021 Gemeente Hattem, Bestuursakkoord Hattem 2022-2026 ‘Inspireren, Verbinden, Versterken’, mei 2022? Gemeente Hattem, Programmabegroting 2023, november 2022
Gemeente Nunspeet SC
1
SC
2
SC SC
3 4
2017 2019
SC
5
2020
SC
6
2020
SC
7
2021
SC
8
2022
SC SC
9 10
2022 2022
SC SC SC
11 12 13
2022 2022 2022
SC SC
14 15
2022 2023
6
SC SC
16 17
2023 2023
6 6
9
1
1 1
Gemeente Nunspeet, Overzicht uitgevoerde pre-DPIA’s en DPI’s gemeente Nunspeet, datum onbekend Gemeente Nunspeet, Bijlage E bij informatiebeveiligingsbeleid 2021-2024: DigiD-uitwerking norm B.01, datum onbekend Gemeente Nunspeet, Informatiebeleidsplan 2017-2020, datum onbekend Gemeente Nunspeet, Strategisch gemeentelijk Informatiebeveiligingsbeleid Nunspeet 2021-2024, 1 september 2019? Gemeente Nunspeet, Aanvullend Gemeentelijk Informatiebeveiligingsbeleid BP en Waardedocumenten 2020, datum onbekend Gemeente Nunspeet, Aanvullend Gemeentelijk Informatiebeveiligingsbeleid Suwinet 2020, datum onbekend Gemeente Nunspeet, Privacybeleidskader gemeente Nunspeet 2020-2024, 1 januari 2021 Gemeente Nunspeet, Collegeprogramma gemeente Nunspeet 2022-2026 ‘Samen meer voor elkaar’, 2022 Gemeente Nunspeet, Visie op dienstverlening 2023-2027, 2022? Gemeente Nunspeet, Strategisch HR beleid gemeente Nunspeet 20222025, datum onbekend Gemeente Nunspeet, Flyer Hybride werken 2022, datum onbekend Gemeente Nunspeet, Programmabegroting 2023-2026, november 2022 Inkoopsamenwerking Noord Veluwe (ISNV), Inkoopbeleid gemeenten (10), ODNV, GR Meerinzicht en bvo H2O, 1 januari 2022 Gemeente Nunspeet, Jaarstukken 2021, 30 juni 2022 Bakertilly, Management letter 2022 gemeente Nunspeet, incl. IT-audit, 2023 Gemeente Nunspeet, Jaarstukken 2022, juni 2023.
Inclusief bijlagenboek Gemeente Nunspeet, Excelbestand-jaarcijfers I&A 2023 e.v., juni 2023
Gemeente Putten SD SD SD
1 2 3
2020
2
SD
4
2020
2
SD
5
2020
2
SD
6
2020
2
SD
7
2020
2
Gemeente Putten, Overzicht DPIA’s, datum onbekend Gemeente Putten, Verwerkingenregister, datum onbekend Gemeenten Bunschoten, Leusden, Nijkerk en Putten, Privacybeleid 2020, februari 2020 Gemeenten Bunschoten, Leusden, Nijkerk en Putten, Bijlage 1 bij privacybeleid 2020: Governance Informatieveiligheid en Privacy (IP), februari 2020 Gemeenten Bunschoten, Leusden, Nijkerk en Putten, Bijlage 2 bij privacybeleid 2020: Uitwerking AVG, februari 2020 Gemeenten Bunschoten, Leusden, Nijkerk en Putten, Bijlage 3 bij privacybeleid 2020: Incident management en response, februari 2020 Gemeenten Bunschoten, Leusden, Nijkerk en Putten, Bijlage 4 bij privacybeleid 2020: Procedure DPIA, februari 2020
Pagina 51
S
Volgnr.
Jaar
Maandnr.
SD
8
2020
2
SD SD SD SD
9 10 11 12
2021 2022 2022 2022
11 5 11 12
SD
13
2023
5
Titelbeschrijving Gemeenten Bunschoten, Leusden, Nijkerk en Putten, Bijlage 5 bij privacybeleid 2020: Procedure Rechten van Betrokkenen op grond van AVG, februari 2020 Gemeente Putten, Begroting 2022-2025 beleidsdeel, november 2021 Gemeente Putten, Coalitieakkoord 2022-2026 ‘En nu door’, mei 2022 Gemeente Putten, Begroting 2023-2026 beleidsdeel, november 2022 Gemeente Putten, Memo Actualisatie risicomanagement, 8 december 2022 Gemeente Putten, Jaarstukken 2022, 23 mei 2023
Gemeente Oldebroek SE
1
2017
3
SE
2
2021
5
SE
3
2022
4
SE
4
2022
10
SE
5
2022
10
SE SE
6 7
2023 2023
4
SE
8
2023
4
SE
9
2023
4
SE
10
2023
7
Verwerkersovereenkomst gemeente Oldebroek met Omgevingsdienst Noord-Veluwe, maart 2017. Gemeenten Elburg, Hattem, Heerde, Nunspeet en Oldebroek, rapport onderzoek uitgevoerd door Native: I&A-samenwerking H2ONE, 4 mei 2021 Gemeente Oldebroek, Informerende raadsnota ICT samenwerking H2ONE, 21 april 2022 Autoriteit Persoonsgegevens, Handreiking ‘Gemeente en privacy: wat kunt u als raadslid doen?’, 2 oktober 2022 Autoriteit Persoonsgegevens, Handreiking ‘Gemeente en privacy: wat kunt u als raadslid doen bij samenwerkingsverbanden?’, 1 oktober 2022 M&I/Partners, ICT Benchmark gemeenten 2022, datum onbekend Gemeente Oldebroek, Brief zienswijze begroting 2024-2027 BVO H2O (iDienst), 12 april 2023 Bedrijfsvoeringsorganisatie H2O, Begroting i-Dienst 2024-2027, 3 april 2023 Bedrijfsvoeringsorganisatie H2O, Aanbiedingsbrief raadsleden gemeente Hattem, Heerde en Oldebroek bij Begroting 2024-2027, 12 april 2023 Gemeente Oldebroek, Voorstel en besluit gemeenteraad: Kadernota 20242027 Bedrijfsvoeringsorganisatie H2O (i-Dienst), 6 juli 2023