College beantwoording vragen Wij. Rijswijk over Informatiebeleidsplan

In het forum samenleving van dinsdag jl. heeft wethouder Van Damme toegezegd schriftelijk terug te komen op een vraag van de heer Zoghbi van de fractie van WIJ.Rijswijk. Onderstaand de vraag en het antwoord. Vraag: Hoe kijken we als gemeente zelf naar risicomanagement/ incidentmanagement en dan wat gedetailleerder dan in dit document staat en waar dat benoemd wordt. Antwoord: Vanuit informatiebeveiliging is het verplicht om een risicoanalyse uit te voeren bij vervanging of vernieuwing van een softwareapplicatie of bij de verkenning van toepasbaarheid van nieuwe technologieën. Dit stelt ons als gemeente Rijswijk in staat om bij de selectie van de leveranciers gericht eisen te stellen.

Een risicoanalyse behelst minimaal de volgende aspecten: ▪ Vakinhoudelijk: Waar moet het product/dienst minimaal aan voldoen? Wat kan daarbij misgaan? Wat moet de leverancier regelen om het risico daarop te verkleinen? ▪ Bedrijfscontinuïteit: Kan het proces altijd doorgaan? Wat kan daarbij misgaan? Wat moet de leverancier regelen om het risico daarop te verkleinen? ▪ Bescherming van persoonsgegevens: Is de verhouding tussen het aantal verwerkte gegevens en het doel evenredig? Zijn deze gegevens echt nodig voor het bereiken van het doel? ▪ Informatiebeveiliging: Is de informatie optimaal toegankelijk? Wat kan daarbij misgaan? Wat moet de leverancier regelen om het risico daarop te verkleinen? Klopt de informatie? Wat kan daarbij misgaan? Wat moet de leverancier regelen om het risico daarop te verkleinen? Kunnen alleen bevoegden bij de informatie? Wat kan daarbij misgaan? Wat moet de leverancier regelen om het risico daarop te verkleinen? De uitkomsten van de risicoanalyse worden vertaald naar afspraken met de ICT-leveranciers en maken onderdeel uit van de overeenkomst. Hierbij wordt incidentmanagement ook meegenomen (denk o.a. aan hersteltijden, responstijden en escalatiematrix). Gedurende het gebruik van een softwareapplicatie worden de contractafspraken bewaakt.