Antwoorden SGP Zienswijze begrotingswijziging GR BAR Informatieveiligheid en Privacy.pdf

Vragen vergaderstukken gemeenteraad Ridderkerk Algemene informatie 

Vragensteller: Peter Kranendonk



Onderwerp/vergaderstuk: Zienswijze op begrotingswijziging GR BAR-organisatie over Informatieveiligheid en Privacy



Vergaderdatum: 9 februari 2022



Portefeuillehouder: Henk van Os



Datum indiening vraag: 8 februari 2022



Datum ontvangst antwoord: 9 februari 2022

Vragen en antwoorden Vraag 1 In de zienswijze van de BAR-organisatie aan het college van B en W van Ridderkerk staat dat in de zomer van 2021 incidenteel € 100.000,- is uitgegeven voor acuut benodigde maatregelen. Kwamen die te nemen maatregelen voort uit eigen onderzoek en of de eerder gehouden pilots. Of n.a.v. een incident, al dan niet na berichtgeving in de media? Antwoord 1 Gedurende de zomer werd de druk op automatisering om het hoofd te bieden aan een groeiend aantal dreigingen en incidenten fors groter. Om die reden is het interne BAR Computer Emergency en Respons Team bijeen geroepen en is de vraag gesteld: maken we voldoende progressie met het implementeren van veiligheidsmaatregelen gezien de ontwikkelingen lokaal en wereldwijd. Het antwoord was dat het tempo achterbleef bij de ontwikkelingen. Daarop is, gebruik makend van adviezen van de VNG en het NCSC een 8 punten plan opgesteld waaraan na het beschikbaar komen van de benodigde middelen invulling is gegeven. Hiermee konden een aantal belangrijke risico’s direct worden verkleind.

Vraag 2 In het BMC op pagina 34 staat dat: “Voor de implementatie van de AVG zijn in het verleden implementaties gestart op deelgebieden, maar deze zijn niet geborgd in de processen van de organisatie…enz enz”. Hiermee is niet voldaan aan de ambitie van de organisatie. Maar is ondanks het onvoldoende borgen in de processen, wel voldaan aan de wet en regelgeving van de AVG? Antwoord 2 Bij de uitvoering van de AVG wordt van organisaties verwacht dat er binnen de kaders van de regelgeving afwegingen en keuzes worden gemaakt bij het veilig gebruiken van privacy gevoelige gegevens. Deze afweging werd vanwege de beperkte formatie telkens gemaakt bij belangrijke risico’s en lopende projecten. Daarmee werd voldaan aan de strekking van de AVG. Echter, de ambitie is dat dit procesmatig is geborgd, dat processen periodiek worden getoetst op basis van een goed onderbouwde risico analyse en een concernbrede planning. Tevens dragen de groeiende digitalisering en de toename van dreigingen bij aan de noodzaak voor een procesmatige aanpak. Vraag 3 Het borgen van de fysieke beveiliging door periodieke rondgangen door de gebouwen is één van de genoemde quick wins. Digitale beveiliging raakt soms ook de fysieke beveiliging. Denk hierbij aan de toegang van bijvoorbeeld de MER en de SER ruimtes.

In het BMC rapport is nergens te lezen hoe dit geborgd moet worden in de processen in relatie tot de taken en verantwoordelijkheden van de CISO. Is dit wel of gaat dit wel worden meegenomen? Antwoord 3 Dit wordt als onderdeel van de implementatie van de BIO maatregelen meegenomen bij de uitvoering van het verbeterplan. Vraag 4 In het voorliggende raadsvoorstel is het voorstel gedaan om € 216.577,- extra en structureel bij te begroten. Hierbij is uitgegaan van de optie niveau van gemeentelijke organisaties met een vergelijkbaar aantal inwoners. Hierbij de volgende vragen:

a) Is ook nagedacht om eerst extern in te huren en de informatieveiligheid en privacy op het gewenste ambitieniveau te bieden? En separaat te gaan werven voor de extra capaciteit ‘Bureau CISO’? Kan het zijn dat in de beginperiode wellicht extra capaciteit nodig is om te komen tot het gewenste ambitieniveau? En zo ja is daar voldoende (financiële) ruimte voor? Antwoord 4a Op dit moment vindt inhuur plaats, zowel bij de reguliere processen als bij de implementatie van het verbeterplan. Een belangrijk onderdeel van het verbeterplan is de invulling van de vacatures, waarbij inderdaad een afweging wordt gemaakt tussen direct vast invullen en het starten met externe capaciteit. De stappen van het verbeterplan worden volgtijdelijk geïmplementeerd. Het beschikbare budget bepaalt de snelheid van de implementatie. Wij verwachten het verbeterplan binnen het beschikbare budget te kunnen uitvoeren. Als toch meer budget nodig zou blijken te zijn, dan zullen we dit tijdig onderkennen en een voorstel daarvoor doen. b) Is bij de vergelijkbare (referentie) gemeenten waar de voorgestelde capaciteit wel beschikbaar is, de informatieveiligheid en privacy wel in orde? Antwoord 4b Bij de referentie organisaties met een ‘gemiddelde’ capaciteit is de ‘Plan do check act cyclus’ ingevoerd, zijn de privacy en veiligheidsrollen verdeeld en worden de bijbehorende taken structureel uitgevoerd.

Dit draagt bij aan een (forse) beperking van de risico’s.