[23bb002395] Bijlage 4 behorende bij 23bb002393 over Verantwoordingsrapportage WOZ
Tekst van het document
a
i--»
Informatiebeveiliging (BIO)
Gemeenteraad
ü Jį 9 Ä
Gemeentebestuur
BRP
Reisdocumenten
Suwinet
DigiD
BAG
BGT
BRO
WOZ
ŕi
Toezichthouders Rijk
Bestuurlijke verantwoordingsrapportage WOZ Informatiebeveiliging en informatie-architectuur WOZ 2022
Datum vaststelling door College van B&W:
WOZ-rapportage ENSIA 2022
[Datum]
Gemeente Rotterdam
Pagina 1 van 8
Inhoudsopgave Bestuurlijke verantwoordingsrapportage WOZ................................................................................................3 Informatiebeveiliging en informatie-architectuur WOZ 2022..................................................................... 3 Bijlage.................................................................................................................................................................... 5
WOZ-rapportage ENSIA 2022
Gemeente Rotterdam
Pagina 2 van 8
Bestuurlijke verantwoordingsrapportage WOZ Informatiebeveiliging en informatie-architectuur WOZ 2022 Gemeenten en uitvoeringsorganisaties zullen bij de interne beheersing van risico’s in het WOZ-proces voldoende aandacht moeten hebben voor de beheersing van geautomatiseerde systemen. Be heersingsaspecten die te maken hebben met architectuur, informatiebeveiliging, continuïteit, be schikbaarheid en algemene IT-beheersingsmaatregelen, moeten voldoende worden beheerst. Door maatschappelijke ontwikkelingen op het terrein van de verwachte privacybescherming en minimale beveiligingsmaatregelen en door veranderende visie op de voor een gemeentelijke organisatie ge wenste architectuur vergen deze aspecten mee-ontwikkelende beheersingsmaatregelen.
Bij de WOZ speelt de tegenstelling tussen enerzijds de maatschappe lijke behoefte aan WOZ-waarden en WOZ-gegevens van hoge kwaliteit met de mogelijkheid tot inbreng van gegevens door belanghebbenden en anderzijds de behoefte aan privacy bescherming bij burgers. De Staats secretaris van Financiën roept in een brief aan de Tweede Kamer (reactie op WODC-rapport over no cure no pay) gemeenten op om meer ruimte te bieden aan burgers om op laag drempelige wijze gegevens uit de WOZ-administratie te controleren en aan te vullen, Dit vergt adequate aandacht niet alleen voor functionali teit gericht op digitale dienstverle ning, maar juist ook voor informatie veiligheid en een eigentijdse infor matie-architectuur. Kortom aandacht voor investeringen in de vernieuwing van automatiseringssystemen.,
O O
S
q :'o
^
0 ' REGIE OP GEGEVENS Common Ground
SOR Samenhangende objectenregistratie
Standaard voor Katiocontrolcs
DiS Geo
VNG
In onderstaande tabel zijn de uitkomsten van de WOZ-vragenlijst zoals deze binnen ENSIA zijn ingevuld voor uw organisatie samengevat. Onder het kopje “achtergrond” leest u meer over het betreffende aspect en hoe u dit, indien nodig, kunt verbeteren. Onderwerp
Score
1.Naleving BIO
2. Ontwikkelingen BIO
Conclusie score
Achtergrond
De BIO is volledig geïmplementeerd Ook voor de WOZ-systemen moet door de or binnen de WOZ en er worden controles ganisatie bekeken zijn, welke BIO-controls no uitgevoerd op naleving! dig zijn. De naleving van deze controls dient periodiek gecontroleerd te worden en de resul taten van deze beoordeling, in hoeverre de WOZ-systemen binnen de organisatie aan de BIO voldoen, dienen beschikbaar te zijn.
X
WOZ-rapportage ENSIA 2022
Een controle is bijvoorbeeld de ver scherping van de autorisatiematrix. N.a.v. risicoanalyse is hierop beleid geïmplementeerd. Daarnaast is splunk software geïmplementeerd om in een pilot de logins op de da tabase te monitoren. Ook is alge mene database-users uitgefaseerd. Iedereen heeft een ‘named’ user.
Gemeente Rotterdam
Elke gemeente en gemeentelijke uitvoerings organisatie dient te voldoen aan de BIO. In de BIO zijn diverse controles verplicht voorge schreven.
Pagina 3 van 8
Onderwerp
Score
Conclusie score
Achtergrond
Daarnaast zijn wij bezig met tests van unified auditing, dit is sinds de E-business Suite 12.2.11 patch een mogelijkheid. Hierbij worden alle handelingen in de database opge slagen. 3. Common Ground
4. Ontwikkelingen koppelvlakken
Met Common Ground willen gemeenten de in formatievoorziening eenvoudiger, flexibeler en slimmer inrichten. Zodat ze op een moderne en flexibele manier kunnen inspelen op maat schappelijke opgaven.
X
De Gemeente Rotterdam onder schrijft common grond, Belastingen ook. Het concept is opgenomen in onze Informatievoorziening strate gie. Waar mogelijk maken we hier gebruik van, maar vastgesteld kan worden dat in het domein Belastin gen landelijk nog weinig bruikbare ontwikkelingen worden waargeno men.
X
Belastingen Rotterdam is bezig STUF- De Stuf-TAX bestandsuitwisselingen voldoen TAX bestandsuitwisselingen uit te fase niet meer aan de hedendaagse eisen die ge ren. De applicatie Gouw7 is daartoe steld worden aan informatiebeveiliging. De uit wisseling van data dient plaats te vinden door geupgraded om data uitwisseling d.m.v. beveiligd berichtenverkeer mo middel van beveiligd berichtenverkeer. gelijk te maken.
5. Inzicht in koppelvlakken
Tussen de applicaties die de uitvoering Een volledig overzicht van de verschillende van de WOZ-processen ondersteunen koppelvlakken Z interfaces is van belang voor vindt interactie plaats. Er is een volle het beheer hiervan. dig overzicht van de onderlinge relaties tussen deze systemen.
6. Externe systemen
Er is onderzocht of de verschillende Gemeenten moeten verifiëren of de gegevens geautomatiseerde systemen informatie in de LV WOZ nog overeenkomen met die van juist delen met externe systemen zoals de gemeentelijke Basisregistratie WOZ. bijvoorbeeld de Landelijke voorziening WOZ (LV WOZ) en MijnOverheid.
7. Interne systemen
Er zijn audits uitgevoerd om te beoor delen of alle voor de WOZ-uitvoering gebruikte systemen de gegevens uit in terne systemen juist verwerken.
8. Beschikbaarheid managementinfor matie
Op terrein van de beheersing van infor Interne beheersing is uitsluitend mogelijk wan matieveiligheid conform BIO is voor de neer er inzicht is in de mate waarin de beheerWOZ-uitvoering de gewenste manage singsdoelen zijn bereikt. ment informatie beschikbaar.
9. Ontwikkelingen managementinfor matie
Op terrein van de beheersing van infor Interne beheersing is uitsluitend mogelijk wan neer er inzicht is in de mate waarin de beheermatieveiligheid conform BIO en van synchronisatie met externe systemen singsdoelen zijn bereikt. zijn stappen gezet om voor de WOZuitvoering de gewenste management informatie beschikbaar te krijgen.
Om te waarborgen dat de informatie op een consistente wijze wordt gebruikt en verwerkt, is het belangrijk dat ook de consistentie van de gegevensverwerking regelmatig wordt be oordeeld.
In de bijlage zijn de complete vraagteksten en de namens uw organisatie opgegeven antwoorden en aanvul lende toelichtingen terug te vinden. Hieronder vindt u welke conclusies uw WOZ-specialist heeft getrokken over de rol en invloed van IT op de WOZ-uitvoering binnen uw organisatie en welke verbetermaatregelen in 2022 reeds zijn getroffen ten aan zien van informatieveiligheid en informatie-architectuur in het kader van de WOZ-uitvoering. Conclusies In relatie tot de risicoanalyse informatieveiligheid, de ingevulde PIA en de invloeden van common ground worden jaar
WOZ-rapportage ENSIA 2022
Gemeente Rotterdam
Pagina 4 van 8
lijks stappen ondernomen t.b.v. een betere informatiebeveiliging. Dit jaar zijn alle beveiligingsupgrades van Oracle nage leefd, waardoor de software volledig ondersteund wordt. De WOZ-uitvoering voldoet aan de conformiteitstoets van de waarderingskamer, m.b.t. de LVWOZ. Tegelijkertijd worden volledigheidsrapportages gemaakt waarbij de WOZ-gegevens worden gecontroleerd aan de LVWOZ. Hieruit blijkt dat wij voldoen.
Verbetermaatregelen In 2021 heeft een Oracle upgrade plaatsgevonden naar 12.2, zodat onze software volledig ondersteund wordt. Elk kwar taal worden de laatste CPU-patches van Oracle opgehaald. Daarnaast worden alle Java-updates gedaan. Dit jaar is er een upgrade geweest van de Gouw-software. Eind dit jaar zal op de testomgevingen de nieuwste versie van Gouw ge plaatst worden, die half januari naar productie gaat. Het streven is dat we maximaal 1 versie achterlopen (hieraan vol doen we). Daarnaast wordt uitgebreid gebruik gemaakt van de releasemanagementmodule waar alle wijzigingen/relea ses/software worden gedocumenteerd en bijgehouden. Daarnaast is concern breed ingevoerd dat er gewerkt wordt met labels bij documenten en email. Er wordt geclassificeerd op vertrouwelijkheid volgens een bepaald stramien. Ook vinden er netwerkscans plaats, over wie er probeert in te loggen. Elk kwartaal wordt er onderhoud gepleegd en er wordt een uitwijktest uitgevoerd. Ook is er dit jaar SPLUNK geïmplementeerd. Hierin wordt gelogd wie foutief in probeert te loggen op de database. Er wordt onderzocht of dit voor meerdere doeleinden te gebruiken is. Het uit de lucht halen van een gedeelde netwerkschijf.
Door de invullers (ENSIA-coördinator en/of WOZ-specialist) worden de volgende aanbevelingen gedaan: De verantwoording met betrekking tot informatiebeveiliging van het WOZ-proces loopt via het ENSIA-proces. Twee be langrijke onderdelen van het WOZ-proces betreffen de BIO en 'common ground'. Het toepassen van de BIO op het WOZ-proces gebeurt gefragmenteerd, hierop zal in de toekomst een gestructureerd proces ingericht worden waarbij de BIO volledig ingevuld wordt en up-to-date gehouden wordt. In relatie tot common ground is onze softwareleverancier GouwIT stappen aan het zetten om volledig volgens deze principes te gaan werken. Gelet op vernieuwingen binnen het WOZ-landschap is de gemeente Rotterdam bezig met een aantal zaken die met zicht op de toekomst van belang zijn. Eén daarvan is het project T3D, dat uitgaat van een 3D modellering van de stad. Hierbij komen verschillende basisregi straties bij elkaar. Daarnaast is er een aantal proeven gedaan met AI. Dit is een vroeg stadium waar meer onderzoek naar gedaan moet worden.
Bijlage Vraag
Antwoord
1. Worden er controles uitgevoerd of de BIO wordt nageleefd voor de WOZ-uitvoering?
Ja
Geef een korte toelichting hoe deze controles eruit zien of waarom de BIO niet of nog niet volledig is geïmplementeerd.
De RIA bevat de BIO normen en die zijn getoetst op de implementatie
2. Zijn in 2022 de controles op naleving van de BIO voor de WOZuitvoering veranderd?
Nee, in 2022 liep implementatie van de BIO nog. Implementatie is nogniet volle dig. Er worden op dit moment nog geen controles uitgevoerd op naleving van de BIO voor de WOZ.
Geef een korte toelichting hoe deze controles op naleving van de BIO zijn veranderd.
nvt
3. Zijn er in de loop van 2021/2022 stappen gezet in de richting van Nee, we volgen onze softwareleveran een Common Ground conforme architectuur WOZ? ciers) Geef een korte toelichting op de stand van zaken. 4. Zijn er in 2021/2022 veranderingen doorgevoerd in het gebruik van koppelvlakken binnen het WOZ-domein?
Geef een korte toelichting op uw gegeven antwoord(en).
WOZ-rapportage ENSIA 2022
Gemeente Rotterdam
Via een lopend meerjarig project Ja, er zijn een aantal koppelvlakken doorgevoerd op basis van zowel API's als xml-berichtenverkeer. Voor enkele koppelvlakken wordt nog gebruik ge maakt van ASCII-bestanden (Stuf-TAX). De gemeente Rotterdam werkt met ver schillende softwareapplicaties t.b.v. de WOZ-uitvoering. Tussen de verschil lende applicaties wordt gewerkt met ver schillende koppelvlakken/interfaces. Er wordt gewerkt met twee softwareapplica ties: GouwIT en ONS. Kadastermutaties, objectmutaties en taxatiegegevens wor den vanuit GouwIT naar ONS overge haald. WOZ-belangen, subjectmutaties
Pagina 5 van 8
en beschikkingsgegevens worden vanuit ONS naar GouwIT verstuurd. Vervol gens wordt de LV-WOZ vanuit GouwIT via een opentunnel gevoed. Daarnaast worden binnengemeentelijk de gegevens opgehaald via StUF vanuit het gegevensmagazijn als het gaat om persoons gegevens. 5. Heeft uw organisatie een volledig overzicht van de verschillende Ja koppelvlakken/interfaces tussen de diverse applicaties die de uit voering van de WOZ-processen ondersteunen? Geef een korte toelichting op uw gegeven antwoord.
Zie architectuurplaten
6. Zijn er in 2021/2022 systematische controles/audits uitgevoerd Ja, onderzoek door eigen medewerkers om te beoordelen of de verschillende geautomatiseerde sys en externe partij temen informatie juist delen met externe systemen (als bijv. LVWOZ en de landelijke voorzieningen van de diverse basisregi straties)? Geef hier aan voor welke systemen dit het geval is.
7. Zijn er in 2021/2022 systematische controles/audits uitgevoerd om te beoordelen of alle voor de WOZ-uitvoering gebruikte sys temen de gegevens uit interne systemen juist verwerken? (Tot de "interne" systemen rekenen we ook systemen die in service beheerd worden door een andere gemeente, door een dienst verlener, een cloud-oplossing of systemen die als SAAS be schikbaar zijn) Geef hier aan voor welke systemen dit het geval is.
WOZ-rapportage ENSIA 2022
Gemeente Rotterdam
Aangaande aansluiting op de LVWOZ is initieel een conformiteitstoets gedaan. Vervolgens wordt jaarlijks gecontroleerd of we nog voldoen aan de minimaal ge stelde eisen door de waarderingskamer (controlerend orgaan op de woz). De waarderingskamer hanteert een februarien oktoberinventarisatie waarin een zelf evaluatie verankerd zit aangaande de aansluiting op de LVWOZ. Deze zelfeva luatie wordt door ons geïnterpreteerd als een continue controle op de subject-, waarderings- en objectgegevens die ver stuurd worden aan de LVWOZ. Hierop worden overzichten opgevraagd en ver geleken met de WOZ-administratie. Te gelijkertijd biedt GouwIT de ruimte om qua volledigheid het berichtenverkeer te toetsen op aantallen, uitval en inhoud. Daarbij is het mogelijk om rapportages samen te stellen Ja, onderzoek door eigen medewerkers en externe partij
Door interne en externe auditors worden controles gedaan op verschillende delen van de WOZ-administratie. Hierbij moet gedacht worden of de data correct is, bij voorbeeld naar aanleiding van een muta tie uit een andere basisregistratie. Dit wil zeggen staat de juiste eigenaar in het systeem, of is het object gesloopt en komt de werkelijkheid overeen met de administratie. Ook wordt gekeken naar de modelmatige waardebepaling. Dit ge beurt allemaal steekproefsgewijs. Daar naast worden er volledigheidschecks ge daan op de waarde van alle WOZ-objecten. Tot slot wordt ook gecontroleerd of alle gegevens vanuit de koppelvlakken juist zijn.
Pagina 6 van 8
8. Is vanuit de WOZ-systemen de gewenste managementinformatie/stuurinformatie beschikbaar voor de beheersing van informa tieveiligheid conform BIO en de juistheid en volledigheid van synchroniseren met externe systemen? Geef een korte toelichting op uw gegeven antwoord.
Ja
Diverse rapportages voor diverse doel groepen zijn beschikbaar
9. Zijn er in de loop van 2021/2022 stappen gezet om de gewenste Ja managementinformatie/stuurinformatie beschikbaar te krijgen? In relatie tot de risicoanalyse informatie 10 Geef beknopt aan welke conclusies u, in het kader van de in terne beheersing op basis van de stuurinformatie, heeft getrok veiligheid, de ingevulde PIA en de in vloeden van common ground worden ken over de rol en invloed van IT op de WOZ-uitvoering. jaarlijks stappen ondernomen t.b.v. een betere informatiebeveiliging. Dit jaar zijn alle beveiligingsupgrades van Oracle na geleefd, waardoor de software volledig ondersteund wordt. De WOZ-uitvoering voldoet aan de conformiteitstoets van de waarderingskamer, m.b.t. de LVWOZ. Tegelijkertijd worden volledigheidsrapportages gemaakt waarbij de WOZ-gegevens worden gecontroleerd aan de LVWOZ. Hieruit blijkt dat wij voldoen. 11 Geef kort aan welke verbetermaatregelen u in 2022 heeft ge troffen ten aanzien van informatieveiligheid en informatie-architectuur in het kader van de WOZ-uitvoering.
In 2021 heeft een Oracle upgrade plaatsgevonden naar 12.2, zodat onze software volledig ondersteund wordt. Elk kwartaal worden de laatste CPU-patches van Oracle opgehaald. Daarnaast wor den alle Java-updates gedaan. Dit jaar is er een upgrade geweest van de Gouwsoftware. Eind dit jaar zal op de testom gevingen de nieuwste versie van Gouw geplaatst worden, die half januari naar productie gaat. Het streven is dat we maximaal 1 versie achterlopen (hieraan voldoen we). Daarnaast wordt uitgebreid gebruik gemaakt van de releasemanagementmodule waar alle wijzigingen/relea ses/software worden gedocumenteerd en bijgehouden. Daarnaast is concern breed ingevoerd dat er gewerkt wordt met labels bij documenten en email. Er wordt geclassificeerd op vertrouwelijk heid volgens een bepaald stramien. Ook vinden er netwerkscans plaats, over wie er probeert in te loggen. Elk kwartaal wordt er onderhoud gepleegd en er wordt een uitwijktest uitgevoerd. Ook is er dit jaar SPLUNK geïmplementeerd. Hierin wordt gelogd wie foutief in pro beert te loggen op de database. Er wordt onderzocht of dit voor meerdere doelein den te gebruiken is. Het uit de lucht ha len van een gedeelde netwerkschijf.
12 Vul hier beknopt uw aanbevelingen aan het college/bestuur in.
De verantwoording met betrekking tot in formatiebeveiliging van het WOZ-proces loopt via het ENSIA-proces. Twee be langrijke onderdelen van WOZ-proces betreffen de BIO en 'common ground'. Het toepassen van de BIO op het WOZproces gebeurt gefragmenteerd, hierop zal in de toekomst een gestructureerd proces ingericht worden waarbij de BIO volledig ingevuld wordt en up-to-date ge houden wordt. In relatie tot common
WOZ-rapportage ENSIA 2022
Gemeente Rotterdam
Pagina 7 van 8
ground is onze softwareleverancier GouwIT stappen aan het zetten om vol ledig volgens deze principes te gaan werken. Gelet op vernieuwingen binnen het WOZ-landschap is de gemeente Rot terdam bezig met een aantal zaken die met zicht op de toekomst van belang zijn. Eén daarvan is het project T3D, dat uitgaat van een 3D modellering van de stad. Hierbij komen verschillende basis registraties bij elkaar. Daarnaast is er een aantal proeven gedaan met AI. Dit is een vroeg stadium waar meer onderzoek naar gedaan moet worden.
WOZ-rapportage ENSIA 2022
Gemeente Rotterdam
Pagina 8 van 8