Collegevoorstel en -besluit jaarrapportage 2020 en informatiebeveiliginsplan 2021 Raalte en DOWR

Collegevoorstel

Onderwerp

Jaarrapportage 2020 en plan 2021 informatieveiligheid gemeente Raalte en DOWR

Zaaknummer

43205-2021

B&W vergadering

15 juni 2021

Integrale advisering

Hessel Bremer (CISO DOWR), Wessel Hemels (ISO DOWR-I), Mark Duijtshoff (CIO Raalte)

Portefeuillehouder

Dhr. M.P. (Martijn) Dadema

Voor informatie

Hans Scholtheis

Bestuurssamenvatting In de i-Visie DOWR 2018-2022 hebben we prioriteit gegeven aan informatieveiligheid omdat we als DOWR-gemeenten op een veilige manier willen omgaan met informatie van burgers en bedrijven. Met de jaarrapportage 2020 blikken we terug op 2020 om te zien, wat er is bereikt en wat nog aandacht behoeft. Uit de jaarrapportage blijkt dat de DOWR-gemeenten hun informatieveiligheid goed op orde hebben maar dat we blijvend aandacht moeten houden om de informatieveiligheid voldoende te kunnen blijven borgen. Om dat concreet te maken is voor 2021 het informatiebeveiligingsplan opgesteld.

Beslispunten 1. 2. 3.

Kennis te nemen van de ‘Jaarrapportage Informatiebeveiliging 2020’; Het ‘Informatiebeveiligingsplan 2021’ vast te stellen; De raad beide stukken ter kennisgeving aan te bieden.

Besluit

Inleiding In de i-Visie DOWR 2018-2022 hebben we prioriteit gegeven aan informatieveiligheid omdat we als DOWR-gemeenten op een veilige manier willen omgaan met informatie van burgers en bedrijven. Dit is nader uitgewerkt in de ‘Strategie informatiebeveiligingsbeleid DOWR-gemeenten 2020-2022’ waarbij de Baseline informatiebeveiliging overheid (BIO) de basis is. Met deze systematiek vindt jaarlijks door middel van de jaarrapportage een terugblik plaats op het afgelopen jaar. In het Informatiebeveiligingsplan kijken we naar de activiteiten die gepland staan voor het aankomende (lopende) jaar en nodig zijn om de strategische doelen te behalen.

Beoogd effect 1. 2.

Inzicht geven in de gedane inspanningen en bereikte resultaten op het gebied van informatieveiligheid voor de DOWR in 2020. Instemming te bereiken op de te leveren inspanningen op het gebied van informatieveiligheid voor 2021.

1

Collegevoorstel

2

Collegevoorstel

Argumenten 1.1 De jaarrapportage geeft inzicht in de gedane inspanningen en behaalde resultaten met betrekking tot informatieveiligheid binnen DOWR in 2020 De investeringen in informatieveiligheid in de DOWR-gemeenten blijken ook in 2020 effectief te zijn geweest. De bewustwording op het belang van informatieveiligheid is vergroot. De inzichten die zijn opgedaan bij de beveiligingsincidenten elders in het land zoals de universiteit van Maastricht en de gemeente Hof van Twente, hebben daartoe ook bijgedragen. En ondanks het feit dat vanwege de Coronacrisis veel thuis is gewerkt, bleek dit geen aanleiding te zijn tot informatieveiligheidsincidenten. Bovendien hebben de extra technische maatregelen (denk aan veilig mailen, SIEM-SOC, anti-DDoS) geleid tot een betere weerbaarheid. Datalekken Specifiek uitgelicht in de jaarrapportage is het onderwerp ‘datalekken’. Wij hebben als DOWR-gemeenten de plicht om de datalekken (en incidenten) te registeren en te onderzoeken. De wijze waarop datalekken behandeld moeten worden, is niet vastgelegd in een norm of richtlijn. Het is aan de Privacy Officer en specialisten van de individuele gemeenten zelf om te bepalen, op welke manier de incidenten behandeld worden.

Als gevolg daarvan zien we daarom ook tussen de 3 gemeenten verschillende aantallen binnen DOWR geregisterde meldingen maar ook in het aantal meldingen die wij doen bij de Autoriteit Persoonsgegevens. Binnen de gemeente Raalte is het bewustzijn rondom datalekken groot hetgeen eerder tot meldingen leidt (al dan niet richting de AP). CISO In 2020 is invulling gegeven aan de functie van CISO. Hiermee is ook op strategisch niveau informatieveiligheid belegd om actieve sturing te geven aan de verschillende projecten en op managementniveau informatiebeveiliging aan de orde van de dag te brengen.

2.1 Het informatiebeveiligingsplan 2021 richt zich op de verdere voorzetting van de lijn van informatieveiligheid die we als DOWR-gemeenten hebben ingezet De BIO is gericht op het waarborgen van de betrouwbaarheid van informatie waarvoor de gemeente Raalte bestuurlijk verantwoordelijk is. Die betrouwbaarheid uit zich in de juiste wijze waarop wordt omgegaan met beschikbaarheid, integriteit en vertrouwelijkheid. Dit doen wij door beheersmaatregelen te nemen om uiteindelijk de digitale veiligheid (weerbaarheid) van de organisatie DOWR-breed te verhogen naar het gewenste beveiligingsniveau. Voor 2021 is als doel gesteld dat we toegroeien naar een bewust bekwame organisatie. Hoe dit pad eruit ziet, is nader omschreven in het informatiebeveiligingsplan 2021.

Duurzaamheid Niet van toepassing.

Kanttekeningen Ondanks de informatieveiligheidsmaatregelen die DOWR neemt, blijven de risico’s gelden. Denk daarbij aan het onbevoegd binnendringen door externen in de systemen en data van de DOWR-gemeenten of een datalek cq. dataincident. Dit heeft een verstoring van de bedrijfscontinuïteit (kritische processen) tot gevolg en kan leiden tot financiële gevolgschade, imago schade en/of negatieve impact op medewerkers, inwoners, bezoekers en/of ondernemers. Het zijn echter juist deze risico’s die leidend zijn voor de maatregelen die zijn omschreven in het informatiebeveiligingsplan.

Financiën De kosten voor informatieveiligheid in 2021 zijn gedekt via de begroting van DOWR-i.

Vervolg Zowel de Jaarrapportage 2020 als Informatiebeveiligingsplan zijn inhoudelijk besproken in het DOWR Directieberaad en CIO overleg en het overleg van het Privacy & Informatieveiligheidsteam (PIT) in Raalte.

3

Collegevoorstel

Na vaststelling van het informatiebeveiligingsplan wordt uitvoering gegeven aan het plan.

Communicatie De jaarrapportage en het informatiebeveiligingsplan worden gedeeld met de organisatie via intranet.

Bijlagen 1. 2.

Jaarrapportage Informatiebeveiliging 2020 Informatiebeveiligingsplan 2021

4