Bijlage 2 Rapportage informatiebeveiliging en gegevensbescherming 2022

Jaarrapportage Informatiebeveiliging & Gegevensbescherming Verslagjaar 2022

College van B&W en Gemeenteraad Schiedam

CISO : R. Lefel FG : H. de Waal

“De burger moet erop kunnen vertrouwen dat de gemeente zorgvuldig en veilig met de persoonsgegevens omgaat.” “De gemeente is zich hier van bewust en zorgt dat de privacy gewaarborgd blijft, onder andere door maatregelen op het gebied van informatiebeveiliging, dataminimalisatie, transparantie en gebruikerscontrole.” “Het bestuur en management spelen een cruciale rol bij het waarborgen van privacy.” Uit pagina 1 privacybeleid gemeente Schiedam geldend vanaf 2018 t/m heden1:

Informatiebeveiliging en gegevensbescherming vragen om integraal risicomanagement.

1

Privacybeleid gemeente Schiedam

Jaarrapportage Informatiebeveiliging en gegevensbescherming 2022 gemeente Schiedam

2

Inhoud 1. Samenvatting 2. Gegevensbescherming 3. Aanbevelingen gegevensbescherming 2023 4. Informatieveiligheid 5. Aanbevelingeninformatieveiligheid 6. Bijlage: Uitgangspunten AVG 7. Bijlage: Voorbeeld 3 lines model (2022) 8. Bijlage;Trendline gegevensbescherming t/m Q 2022 9. Bijlage: Grafieken thema’s borgingskader 10. Bijlage: Datalekken 2022

Jaarrapportage Informatiebeveiliging en gegevensbescherming 2022 gemeente Schiedam

3

1

Samenvatting

Voor u ligt het verslag over het kalenderjaar 2022 waarin bevindingen en aandachtspunten over informatiebeveiliging en gegevensbescherming voor de gemeente Schiedam zijn opgenomen. Het eerste deel van het verslag (hoofdstuk 2 en 3) heeft betrekking op gegevensbescherming. Het tweede deel gaat nader in op informatiebeveiliging (hoofdstuk 4 en 5). Dit verslag2 wordt jaarlijks verstrekt aan het college van burgemeester en wethouders en de gemeenteraad en biedt inzicht in hoeverre Schiedam voldoet aan de vigerende wet- en regelgeving, waaronder de Baseline Informatiebeveiliging Overheid (BIO).

Continuïteit van dienstverlening en integraal risicomanagement vragen meer en meer om focus op informatiebeveiliging en gegevensbescherming. Op 1 november 2022 heeft het College van B&W opnieuw de strategische kaders met betrekking tot informatiebeveiliging vastgesteld. Hierin zijn de bestuurlijke uitgangspunten vastgesteld en heeft de governance ten aanzien van informatiebeveiliging en privacybescherming wijzigingen ondergaan, onder andere door het introduceren van de rol van een Chief Information Officer (CIO). Het belangrijkste uitgangspunt voor de uitvoering van het beleid blijft: Iedere betrokkene moet erop kunnen vertrouwen dat zijn of haar gegevens veilig, vertrouwd en verantwoord worden verwerkt. Informatiebeveiliging en gegevensbescherming kun je niet los van elkaar zien. Alles overwegende blijkt dat de gemeente Schiedam, in de uitvoering van de dagelijkse taken moeite heeft om te voldoen aan: a) haar eigen privacybeleid3 en b) vigerende wet- en regelgeving In Schiedam is meer bewustzijn over de verwantschap tussen informatiebeveiliging en gegevensbescherming nodig. De huidige status van volwassenheidsniveau4 bevindt zich tussen niveau 1 (onbewust onbekwaam) en 2 (bewust onbekwaam).

Voor het waarborgen van informatiebeveiliging en gegevensbescherming is het van belang dat er een inhaalslag wordt gemaakt voor wat betreft passende technische en organisatorische maatregelen. Hierbij kan bijvoorbeeld ook rekening worden gehouden met het laatste dreigingsbeeld van IBD5. Extra inspanningen en investeringen zijn nodig om te voorkomen dat de gemeente onverantwoorde risico’s loopt , wet- en regelgeving en haar eigen privacy-ambities niet naleeft.

Schiedam, februari 2023

2

Gemeente Schiedam heeft de keuze gemaakt om de rapportage voor gemeenteraad en het college te combineren tot 1 rapportage en deze gelijktijdig met de Ensia rapportage te behandelen.

3 Privacybeleid gemeente Schiedam 4 https://www.informatiebeveiligingsdienst.nl/product/handreiking-avg-borgingsproduct/ 5 Dreigingsbeeld VNG IBD 2023 2024

Jaarrapportage Informatiebeveiliging en gegevensbescherming 2022 gemeente Schiedam

4

2

Gegevensbescherming

De rapportage over de gegevensbescherming is opgedeeld in een aantal thema’s. Deze thema’s komen ook weer herkenbaar terug in aanbevelingen die in hoofdstuk3 staan uitgewerkt. Na de algemene terugblik (paragraaf 2.1) komen de volgende thema’s aan bod: beleid, processen, organisatorische inbedding, rechten van betrokkenen, samenwerking, beveliging en verantwoording.

2.1 Algemene terugblik gegevensbescherming 2022 Kalenderjaar 2022 is een jaar waarin gemeente Schiedam:  langzaamaan loskomt van de Covid beperkingen,  stoeit met maatschappelijke opgaven en  probeert haar dienstverlening met de beschikbare capaciteit te continueren. Los hiervan zijn in 2022 diverse stappen gezet die een positieve bijdrage hebben geleverd aan de ontwikkeling en verbetering van control en compliance:           

Medewerkers in vaste dienst kunnen een (zakelijk beheerde) telefoon ontvangen Medewerkers in dienst van de gemeente ontvangen een (door gemeente te beheren) laptop. In december 2022 is de externe audit WPG 2021 afgerond (uitstel vanuit AP) Een deel van de werknemers is vrijwillig begonnen met deelname aan de elearningstrainingen die zijn gericht op informatiebeveiliging en gegevensbescherming Eind 2022 heeft de directie een besluit genomen om vrijwillige deelname aan bewustzijnstrainingen te vervangen door verplichte training voor alle medewerkers Uitrol/Implementatie van beveiligde email (Zivver) Project wachtwoordkluis (Bitwarden) gestart Start inrichting van een nieuw Information Security Management Systeem/Privacy Manage Systeem (ISMS/PMS) Er is groeiende aandacht voor leveranciersrmanagement Er komt vanaf begin 2023 ondersteuning met een tijdelijke Privacy Officer

Schiedam gaat mee in de trend om meer flexibel/hybride (plaatsonafhankelijk) te werken en probeert daar stappen te zetten om meer ‘gecontroleerd’ hybride te werken. Het is daarbij van belang om zicht te blijven houden op de impact daarvan op onderliggende werkprocessen. Her-evaluatie van deze processen met bijbehorende beveiligingsvraagstukken, verwerkingen en afspraken is een belangrijk aandachtspunt voor Schiedam. Naast het hybride werken met apparatuur is er een andere trend gaande, te weten cloud computing. Met andere woorden daar waar applicaties voorheen via op het systeem waren geïnstalleerd, maken applicaties meer en meer gebruik van internetplatforms. Op zich zijn de mogelijkheden legio. Het is wel van belang om voorafgaand aan een beslissing onderzoek te doen naar de vereisten aan systemen en de (potentiële) risico’s die daarmee samenhangen. Daarbij is afstemming met de adviseurs (CISO, ISO, PO en FG) en het vastleggen en documenteren van keuzes en risico’s een belangrijk aandachtspunt.

Jaarrapportage Informatiebeveiliging en gegevensbescherming 2022 gemeente Schiedam

6

2.2 Beleid De gemeente Schiedam heeft een privacybeleid6 waarin de uitgangspunten van gegevensverwerking binnen de gemeente zijn opgenomen. Het privacybeleid kan ook worden gezien als de belofte richting betrokkenen. In het privacybeleid is onder meer opgenomen dat de gemeente zich bewust is van de vereisten in weten regelgeving en dat zij zorg draagt voor de waarborging van privacy, onder andere door maatregelen op het gebied van informatiebeveiliging, dataminimalisatie, transparantie en gebruikerscontrole. Het realiseren van privacy compliancy is geen sinecure. Het vraagt om consistente processen. Van deze consistentie is op dit moment nog geen sprake. De gemeente loopt achter in de realisatie van haar privaycybeleid. Bijlage 9 bevat een trendline en bijlage 10 geeft een grafische weergave van het borgingskader.

2.3 Processen De verwerkingen van persoonsgegevens van de gemeente Schiedam dienen te voldoen aan de AVG. Dit houdt in dat de werkprocessen die persoonsgegevens bevatten getoetst en ingericht moeten worden volgens de volgende beginselen: behoorlijkheid, transparantie, doelbinding, dataminimalisatie, opslagbeperking, juistheid, integriteit en vertrouwelijkheid. Afhankelijk van de mogelijke risico’s die verwerkingen met zich mee kunnen brengen kan er een verplichting zijn om, voorafgaande aan een dergelijke verwerking, een toets te doen. Dit noemen we een gegevensbeschermingseffectbeoordeling (GBEB oftewel DPIA). De gemeentelijke organisatie is dynamisch. Er komen aansluitend nieuwe vragen, wensen en inzichten, veranderingen van bedrijfsprocessen, nieuwe en/of efficiëntere manieren van verwerken. Dit alles brengt met zich mee dat het register van verwerkingen ook aan continue verandering onderhevig is. Proceseigenaren zijn verantwoordelijk voor de verwerkingen binnen processen. Zij hebben inzicht in gegevensverwerkingen en kunnen bij uitstek het register van verwerkingen bij (laten) houden. In 2022 blijkt dat nieuwe en/of gewijzigde verwerkingen niet allemaal worden opgenomen en/of gewijzigd in het register.

Er is een verbeterslag te maken door voorafgaand aan verwerkingen van persoonsgegevens, voordat nieuwe verwerkingen plaatsvinden of bij wijzigingen van verwerkingsprocessen, af te stemmen met de functionaris gegevensbescherming Afhankelijk van de potentiële risico’s voor betrokkenen vereist wet- en regelgeving een Data Protection Impact Analyse (DPIA), ook wel GegevensBeschermingsEffectBeoordeling (GBEB) genoemd. In 2022 blijkt dat, tegen het advies van de functionaris gegevensbescherming in, DPIA’s niet of onvoldoende diepgaand worden uitgevoerd. Het uitvoeren van DPIA’s is niet structureel in de onderliggende processen geborgd.

6

Privacybeleid gemeente Schiedam

Jaarrapportage Informatiebeveiliging en gegevensbescherming 2022 gemeente Schiedam

8

2.4 Organisatorische inbedding Voor een goede en juiste uitvoering is het van belang dat iedere medewerker binnen de gemeente Schiedam op de hoogte is van de beginselen van de AVG en het belang van privacy. Organisatorische inbedding betekent het toewijzen van taken, verantwoordelijkheden en bevoegdheden en bewustzijn creëren. In het voorbije kalenderjaar blijkt (in de lijn van voorgaande jaren) dat de gemeentelijke organisatie veel op haar bordje heeft. De beschikbare capaciteit en het omvangrijke takenpakket lijken op concernniveau niet in balans te zijn. In de prioriteitenstelling lijkt gegevensbescherming als ‘resttaak’ te worden opgepakt met als resultaat dat de achterstand in verplichtingen oploopt. Het volwassenheidsniveau voor wat betreft gegevensbescherming blijft daardoor op een risicovol niveau steken. In 2022 is de organisatiestructuur aangepast met toevoeging van een Chief Information Officer (CIO). De CIO heeft een centrale coördinerende rol tussen interne toezichtshouders (concerncontroller, CISO,FG) en de lijnorganisatie.Via de CIO ontstaat centrale regie op de gemeentelijke processen en het borgen van de juiste uivoering van wet- en regelgeving.

2.5 Rechten van betrokkenen De gemeente dient degene van wie zij de persoonsgegevens verwerkt (betrokkene) zowel actief als passief te informeren over het verwerken, de wijze van het verwerken, de grondslag en de maatregelen die zij neemt om onrechtmatige toegang en - verwerking te voorkomen. Daarnaast stelt de AVG betrokkenen in staat om via een aantal rechten controle en invloed uit te oefenen over zijn of haar persoonsgegevens. Overzicht klachten en verzoeken 2022: Verzoeken

8

(5x inzage verzoek, 1x bezwaar, 2x rectificatie)

Klachten

1

(meer verwerkt dan noodzakelijk)

Betrokkenen kunnen via diverse kanalen verzoeken indienen. De voorkeur van de gemeente is dat zij dit doen via een voorkeurskanaal (website gemeente). In praktijk blijkt dat er verzoeken via dit kanaal worden gedaan welke feitelijk geen AVG verzoeken zijn doch waarbij betrokkene het idee heeft om via deze weg contact op te nemen. Eind 2022 is er door een medewerker een inzageverzoek gedaan op de verwerking van persoonsgegevens en registratie van gemeentelijke vervoermiddelen. Op het moment van rapporteren is hierop nog geen reactive verstrekt. De gemeente is hier in overtreding. Daarnaast heeft de gemeente nog geen privacyverklaring voor de verwerking van persoonsgegevens van medewerkers gerealiseerd.

Jaarrapportage Informatiebeveiliging en gegevensbescherming 2022 gemeente Schiedam

9

2.6 Samenwerking Gemeente Schiedam werkt op meerdere beleidsterreinen, in verschillende bedrijfsfuncties, in diverse rollen en hoedanigheden samen met een diversiteit aan (keten)partners. In veel gevallen is er, in meer of mindere mate en in verschillende hoedanigheden (bijvoorbeeld opdrachtgever, verwerkersverantwoordelijke, verwerker, gezamenlijk verwerkingsverantwoordelijke), sprake van een verwerking van persoonsgegevens. Verwerkingen van persoonsgegevens moeten voldoen aan AVG en UAVG. Dit brengt voor de gemeente ook een diversiteit aan verplichtingen met zich mee. Binnen de organisatie is niet overal in beeld welke AVG-rollen de externe partijen innemen. Er wordt niet overal gemotiveerd vastgelegd hoe besluiten worden genomen omtrent samenwerkingen. Er is in 2022 extra aandacht gegeven aan het belang van vendormanagement (leveranciersmanagement) Bij verstrekkingen van gegevens is het van belang dat er voorafgaande aan de verwerkingen wordt getoetst of de beoogde verwerkingen voldoen aan de beginselen van de AVG. Er is binnen de gemeentelijke organisatie een voorzichtige stijging in bewustzijn waarneembaar en er wordt meer en meer rekening gehouden met (verwerkers)overeenkomsten.

2.7 Beveiliging Om de beveiliging van persoonsgegevens te kunnen borgen is het van belang dat er passende technische en organisatorische maatregelen zijn getroffen. Daarin heeft Schiedam te kampen met forse uitdagingen. Enerzijds om aan alle verplichtingen kunnen voldoen en anderzijds om te groeien naar de vereisten die er vanuit de BIO en AVG gesteld worden. Daarnaast zijn een stijgende tendens in de risico’s Dit wordt onder andere veroorzaakt door:       

Gebruik maken van cloudgerelateerde technologieën en ontwikkelingen van IoT (internet of things). De mogelijkheid om buiten het blikveld van ISO, CISO, Security te opereren. De wens om datagedreven te gaan werken. Continue kwetsbaarheden in software die gerepareerd moeten worden. Het werken met verschillende (eigenaren van) apparatuur (hard- en software) De groeiende afhankelijkheid van leveranciers Groeiende ontwikkelingen van activiteiten door cybercriminelen en statelijke actoren

Bij de uitrol van gemeentelijke laptops en de mobiele telefoons is geen business impact analyse (BIA) uitgevoerd. Daarnaast zijn de adviezen van de FG om voorafgaande aan de implementatie en uitrol van de apparatuur mitigerende maatregelen te treffen niet opgevolgd. Hierdoor is sprake van een verhoogd risico wanneer er aansluitend verwerking van persoonsgegevens plaatsvindt. De gemeente geeft de medewerkers de gelegenheid om de apparatuur zowel zakelijk als prive te gebruiken. Hierop moet de basisinrichting, inclusief de voorafgaande communicatie richting gebruikers, nog worden afgestemd. Gemelde datalekken in 2022: 22 datalekken (inclusief 3 meldingen bij de Autoriteit Persoonsgegevens)

Jaarrapportage Informatiebeveiliging en gegevensbescherming 2022 gemeente Schiedam

10

2.8 Verantwoording De gemeente is vanuit de AVG aantoonbaarheidsplichtig. Dit betekent dat de gemeente verantwoordelijk is in het aantonen dat zij voldoet aan hetgeen er in wet- en regelgeving is bepaald. Met andere woorden: het college van burgemeester en wethouders moet kunnen aantonen dat er bij de verwerking van persoonsgegevens wordt voldaan aan vigerende wet- en regelgeving. De gemeente blijft achter bij de afspraken/toezeggingen die er in haar eigen privacybeleid zijn opgenomen. Ook wordt er niet aangesloten bij de vigerende wet- en regelgeving. Daar waar andere prioriteiten worden gekozen en besluiten worden genomen is het van belang om deze gemotiveerd te documenteren. Het borgen van de AVG en het eigen privacybeleid in de verschillende interne processen heeft nog onvoldoende plaatsgevonden. Daar waar (rekening houdende met de beschikbare capaciteit) mogelijk houdt de functionaris gegevensbescherming (FG) toezicht op gegevensverwerkingen, dit is echter toezicht (en soms reparatie) achteraf. Eind 2022 wordt de FG in zijn toezichtoudende rol ondersteund door een tijdelijke privacy officer.

Jaarrapportage Informatiebeveiliging en gegevensbescherming 2022 gemeente Schiedam

11

3

Aanbevelingen gegevensbescherming 2023

3.1 Beleid: Actualiseer in 2023 privacy governance Bij de opzet en inrichting van privacy governance 2.0 kan aansluitend rekening worden gehouden met de eventuele risico tolerantie die bij de gemeente Schiedam past. Normenkader Rekening houdende met de risicobereidheid kunnen er keuzes gemaakt worden welke passen binnen een nader te bepalen privacy normenkader voor de gehele organisatie. Het voordeel van een dergelijk normenkader is dat het houvast en structuur geeft aan de interne organisatie welke vervolgens met een bijpassende PDCA-cyclus beter geborgd kan worden. Data Strategie Plan Realiseer rekening houdende met vigerende wet- en regelgeving een Data Strategie Plan.

3.2 Processen Breng processen in beeld Breng alle werkprocessen die er binnen de gemeente (of met samenwerkingspartners etc.) goed in kaart en leg deze zodanig vast dat er in beeld is welke persoonsgegevens er worden verwerkt. Dit helpt om de verwerkingen binnen het register van verwerkingen goed vorm te kunnen geven. Hierbij kan worden gedacht om bijvoorbeeld gebruik te maken van bijvoorbeeld “Engage”.

3.3 Organisatorische inbedding Bestuur en management Het is voor een goede inrichting en adoptie van gegevensverwerking van belang dat ook het management het beleid pro-actief uitdraagt. Informatiebeveiliging en gegevensbescherming is niet voor een selecte groep medewerkers van de gemeente. De onderwerpen zijn zowel van belang voor iedere betrokkene alsmede een ieder die die gegevens verwerkt voor gemeente Schiedam. Rollen, taken en bevoegdheden Een van de mogelijkheden die de gemeente Schiedam kan helpen bij de realisatie van een heldere structuur van rollen, taken en bevoegdheden is het implementeren van een 3-lijnsmodel (voorbeeld in bijlage 8) met daarbij aansluitend een RASCI modellering. Het voordeel voor de organisatie en de medewerkers: helderheid over rollen, taken en verantwoordelijkheden, groei beheersing van risico’s binnen de lijn (de proceseigenaren en het team zijn over het algemeen het beste in staat om de verwerkingen, risico’s en mogelijk bijbehorende maatregelen te bepalen).

Jaarrapportage Informatiebeveiliging en gegevensbescherming 2022 gemeente Schiedam

12

Verplichte bewustzijnstraining Continueer de eind 2022 gerealiseerde verplichtstelling voor een ieder die binnen de gemeente werkzaam is, zowel interne als ingehuurde medewerkers. Wanneer er een verplichtstelling met, binnen kaders te stellen, monitoring plaatsvindt dan kan de gemeente ook aantonen dat zij inspanningen verricht en kan zij voorts sturen op de fase van ontwikkeling.

3.4 Rechten van betrokkenen Pas de privacyverklaring(en) zo aan dat deze voor betrokkenen toegankelijker wordt. Bijvoorbeeld door er een gelaagde structuur in aan te brengen en daar waar mogelijk internationale icoontjes in op te nemen.

3.5 Samenwerking Richt processen zodanig in dat er bij het doorlopen van het proces rekening wordt gehouden en vast wordt gelegd of er persoonsgegevens verwerkt worden inclusief vragen met betrekking tot de basisbeginselen van de Algemene Verordening Gegevensbescherming.

3.6 Beveiliging Risicomanagementbeleid Realiseer een integraal risicomanagementbeleid en een data strategie plan waarbij rekening wordt gehouden met vereisten in vigerende wet- en regelgeving (dataminimalisatie, data classificatie, data opslag enz. Wat de gemeente niet heeft, hoeft zij ook niet te beveiligen!). On-/offboardingsproces Implementeer een verplicht on-/offboardingsproces voor iedereen die hetzij in dienst is/treedt van de gemeente Schiedam alsmede externen die voor de gemeente gaan werken. Voordeel is dat er op een eenduidige wijze kennis kan worden genomen van de wijze waarop binnen de gemeente met gegevens en informatiebeveiliging wordt omgegaan. Het is aansluitend ook aantoonbaar. BIO normenkader Het BIO normenkader vraagt ook om evaluatie en actualisatie. De PDCA binnen vorengenoemd normenkader ondersteunt ook bij de verplichtingen vanuit de AVG. Actualiseer het informatiebeveiligingsbeleid van de gemeente.

3.7 Verantwoording Realiseer eigenaarschap voor informatiebeveiliging en gegevensbescherming en een regisseur integraal risicomanagement binnen het managementteam. Maak informatiebeveiliging en gegevensbescherming vast onderdeel van de diverse agenda’s (bestuur, management, afdelingen). Ondersteun de opzet van een ISMS/PMS met bijbehorende dashboards en PDCA cyclus zodat dit helpt bij de verantwoordingsprocessen.

Jaarrapportage Informatiebeveiliging en gegevensbescherming 2022 gemeente Schiedam

13

4

Informatieveiligheid

4.1 Informatieveiligheid in 2022 Naast privacy neemt informatiebeveiliging een belangrijke positie in binnen de gemeentelijke processen. Als de informatiebeveiliging niet goed ingeregeld is, kan privacy niet gewaarborgd worden. Het is onlosmakelijk met elkaar verbonden, en beide dienen op voldoende niveau te zijn om de veiligheid van de informatie van burgers te kunnen waarborgen. Ook informatieveiligheid is gebonden aan een aantal wettelijke kaders, zoals vastgelegd in de BIO en ENSIA.

4.1.1 Terugblik op 2022 E-Learning In 2021 is een grootschalige bewustwordingscampagne op het gebied van informatiebeveiliging en privacy van start gegaan. Deze is in 2022 voorgezet. Hierbij zijn de verbeterpunten in de organisatie opgespoord (gebruik bedrijfsmiddelen, risico’s als gevolg van thuis- en flexwerken, fysieke beveiliging van gebouw en werkruimtes) en is een organisatiebreed e-learning programma gestart. Het programma bestaat uit een online game om kennis op te doen, workshops voor management en medewerkers om vaardigheden op te doen, een escaperoom en een algemene voorlichtingscampagne. Deze campagne wordt de komende jaren verder geïntensiveerd. In november 2021 is de e-Learning live gegaan, momenteel hebben zo’n 140 van de 750 medewerkers deelgenomen. Uit de analyse blijkt dat medewerkers goed scoren op de thema’s: apparaten (beschermen, updaten), data (beschermen, delen), hackers (methode, phishing, malware), AVG (kennis, classificatie) en wachtwoorden. Thema’s die meer aandacht behoeven zijn: fysiek (clean desk, datadragers), melden (waar, wanneer, wat) en applicaties (delen, toegang). Phishing test Als laatste, is er afgelopen november opnieuw een phishing test gedaan. 808 (2021: 758) mails zijn er verzonden, bestaande uit 3 formats. In totaal hebben er 108 (2021: 149) collega’s geklikt, en 11 (2021: 91) hebben er ook hun inloggegevens achter gelaten.

Dit is een klik percentage van ruim 13% (2021: 20%), wat een forse verbetering is ten opzichte van het voorgaande jaar. Daarnaast kan geconcludeerd worden dat de gemeente Schiedam in principe 11 keer succesvol gehackt is. 11 keer hadden we de volgende Hof van Twente kunnen zijn. Weliswaar binnen een gemeentebrede test, maar het cijfer spreekt voor zich. Daarom blijft het creëren van bewustwording bij alle medewerkers een hoofd thema. Dit door mede de deelname aan het e-learning programma naar een hoger niveau brengen. LOG4J Op de valreep van 2021 is de gemeente geconfronteerd met een wereldwijde kwetsbaarheid in de webservers. Hier is de waarde aangetoond van een technische beveiliging die op orde en up-to-date is en netwerkverkeer dat nauwlettend in de gaten wordt gehouden. Begin 2022 was er geen aanleiding om te veronderstellen dat er misbruik was gemaakt van deze kwetsbaarheid. De technische beveiliging leek op orde. Dit bleek in september slechts schijn te zijn. Het bleek dat in februari reeds indringers zich toegang tot het systeem hadden verkregen, gebruikmaken van de LOG4j kwetsbaarheid. Er is in potentie schadelijke software achtergelaten. Deze was op dit moment echter nog niet geactiveerd. Er moest echter een nieuwe werkplekconfiguratie worden gerealiseerd, hetgeen tot aanzienlijk produktieverlies heeft geleid.

De zwaktes die mede tot deze situatie heeft geleid zijn gelegen in een onvoldoende actief patchmanagement (het tijdig installeren van veiligere software) en het ontbreken van permanent monitoring van systemen. Het patchmanagement krijgt een nieuwe aanpak. Voor monitoring is voorgesteld een SIEM/SOC (specifieke monitoring software) met passend beheer in 2023 te gaan uitrollen. Jaarrapportage Informatiebeveiliging en gegevensbescherming 2022 gemeente Schiedam

14

In de basis zijn echter meer structurele verbeteringen noodzakelijk. Voor de toekomst zijn naast monitoring en pro-actief patchmanagement en veiligheidsbewuste medewerkers van essentieel belang voor de bescherming van onze data. Deze en andere aanbevelingen maken deel uit van het Informatiebeveiligingsplan 2023-2024. Dit plan (inclusief een financieel plaatje) is nog niet vastgesteld. Mystery guest Het jaarlijks onderzoek door een externe partij naar de toegangsbeveiliging van het Stadserf is in november 2022 uitgevoerd. De conclusie: de procedures cq richtlijnen lijken niet consistent te worden nageleefd en de maatregelen zijn niet afdoende om een ongewenst/onbevoegde persoon te weren uit (kantoor)ruimtes van de gemeente Schiedam. De onderzoekers hebben vrij eenvoudig toegang verkregen tot het pand. Dit maakt de weg vrij om ook toegang tot het digitale domein en vertrouwelijke (fysieke) gegevens te verkrijgen. Eerdere maatregelen sorteren nog te weinig effect. Het Informatiebeveiligingsplan 2023-2024 brengt extra maatregelen en kosten in beeld. Penetratietest Op verzoek van het team ICT heeft een externe partij een zgn. penetratietest informatiesystemen uitgevoerd. Hierbij proberen externe partijen toegang te krijgen tot systemen en data met het oog op verbetering en/of bevestiging. De conclusies nopen tot nadenken.

De mobiele werkplek en de digitale werkplekomgeving zijn als onveilig bestempeld. Zwaktes zijn gevonden in het wachtwoordgebruik, netwerkautorisaties en -opnieuw- patch- en lifecyclemanagement en monitoring. De bevindingen zijn eind 2022 nog in de analysefase en zullen in de loop van 2023 tot aanbevelingen die mee worden genomen in het Informatiebeveiligingsplan 2023-2024.

4.1.2 Security in Cijfers In Top Desk hebben medewerkers de optie om beveiligingsincidenten en verdachte e-mails te melden. Dit zijn de aantallen van 2022. Wat?

Aantal

Beveiligingsincident

23 (2021: 17)

Verdachte Email

170 (2021: 99)

Bij deze cijfers moet in acht worden genomen dat niet alles gemeld wordt. Er is namelijk een hele digitale wereld naast de meldingen. Met interne systemen wordt het netwerk zo goed mogelijk gemonitord. Zo zijn over 2022 meer dan 1.2 miljoen meldingen via de firewall binnen gekomen. Dit betreft pogingen om van buitenaf ongeautoriseerd toegang te krijgen tot gemeentelijke systemen. Deze meldingen werden onderschept en vastgelegd door de gemeentelijke firewall. Het schept een goed beeld van de interesse in het digitale domein voor onze gemeente. De technische monitoring hierop (SIEM/SOC) zal in 2023 verder worden ontwikkeld.

4.1.3 In het oog springende risico’s 2022 In 2022 zijn er verscheidene risico’s naar voren gekomen. Op basis van analyse door de beveiligingsstaf een korte uiteenzetting van de meest in het oog springende risico’s. - Gebruik bedrijfsmiddelen: gemis van beleid en een generiek bepaalde manier van werken - Wet en regelgeving: er bestaat een grijs gebied tussen wat moet, wat er is, en hoe er mee om wordt gegaan - Bewustzijn: nog te lage participatie bewustzijnscampagne - Thuiswerken/flexwerken: door het werken op afstand, en de hoge snelheid van digitalisering ontstaan er risico’s - Phishing: afgelopen jaar zijn er heel wat aanvallen geweest, en in relatie met de uitslag van de phishingtest is dit een hoog risico

Jaarrapportage Informatiebeveiliging en gegevensbescherming 2022 gemeente Schiedam

15

-

Logging en monitoring: met de cijfers in acht nemend moeten we van een passief naar actief beleid om beveiliging te kunnen garanderen Patchmanagement: het actief beheren van software

Jaarrapportage Informatiebeveiliging en gegevensbescherming 2022 gemeente Schiedam

16

5

Aanbevelingen informatieveiligheid 2023

Voor 2023 zijn er diverse aanbevelingen op basis van de verschillende rapporten en ontwikkelingen op het gebied van informatie beveiliging. In grote lijnen zijn dit dezelfde aanbevelingen als in 2022. Een deel van deze verbeteringen is ingezet in 2022, een deel komt terug in het op te stellen IB&P-plan. De meeste urgente verbeteringen: 1.Inrichten logging en monitoring (bron: Informatiebeveiligingsplan 2020/2021) Wat de cijfers laten zien is dat het gemeentelijke netwerk te maken heeft met veel uitdagingen en verscheidene dreigingen. Met bijna 2 miljoen meldingen op jaarbasis, is er behoefte aan een goed logging en monitoringssysteem. Zodat er niet alleen passief opgetreden kan worden maar ook actief. Hiervoor is het optuigen van een SIEM/SOC vereist, om als gemeente in control te blijven van onze systemen. De basis voor een SIEM/SOC is gelegd. Er wordt gewerkt aan de inrichting en een beheerstructuur. 2. Engagement in bewustzijnscampagne moet hoger (start obv Informatiebeveiligingsplan 2020/2021 en Rekenkameronderzoek 2021) De menselijke factor is zowel de sterkste als de zwakste schakel binnen de keten van informatiebeveiliging. Het is van belang dat het kennis niveau van alle medewerkers een basis kent en zich blijft ontwikkelen.

De cijfers van participatie in het programma en de uitslagen van de 0-meting laten zien dat er nog stappen gezet moeten worden om te zorgen dat het organisatie breed uitgedragen wordt. 3. Divers beleid omtrent ‘nieuwe werken’ (rapportage Informatieveiligheid en gegevensbescherming 2021) Door de corona crisis is de digitalisering in een stroomversnelling geraakt. Ook de manier van werken is veranderd. Het werken op afstand is het nieuwe normaal, en daar horen ook de nodige middelen bij. Laptops, mobiele telefoons, tablets en diverse werkomgevingen, creëren nieuwe uitdagingen voor informatiebeveiliging. Mede met het oog op de overgang naar Microsoft 365 dient de beveiliging van devices, die niet direct aan het netwerk hangen, strikter te worden ingericht. 4. Risicogestuurd werken binnen informatiebeveiliging en privacy (Strategisch beleid Informatiebeveiliging en bescherming persoonsgegevens Gemeente Schiedam 2022) Elke dag komen er nieuwe dreigingen bij en komen er diverse problemen aan het licht. Echter hebben we als organisatie geen ongelimiteerde capaciteit. Het is daarom zeer belangrijk dat er op basis van risico wordt bepaald waar middelen voor worden ingezet, en wat prioriteit krijgt.

Om te groeien op het gebied van informatiebeveiliging dient er, op basis van een gestructureerde risicoanalyse, een benchmark bepaald te worden en moet er organisatie breed worden afgewogen wat een acceptabel risico is en wat niet. 5. Vendor/leveranciers management (nieuw) In onze dienstverlening is de gemeente steeds afhankelijker geworden van leveranciers en partners. Ook al worden deze diensten ingekocht, de gemeente blijft verantwoordelijk voor de data en informatie die worden verwerkt door deze derde partijen. Het is nodig om hier goede afspraken over te maken, en de mogelijkheid voor de gemeente te creëren om ook toegankelijke controles uit te (laten) voeren waar nodig. 6. Back-Up en Recovery / bedrijfscontinuïteitsplan (Informatiebeveiligingsplan 2020/2021) Binnen de gemeente dient er aandacht te worden besteedt aan een bedrijfscontinuïteitsplan. Met de cijfers in gedachten is het niet de vraag of, maar wanneer er een hack plaatsvindt binnen de gemeente. Voor dit scenario dient er een plan klaar te liggen zodat er adequaat gehandeld kan worden.

Jaarrapportage Informatiebeveiliging en gegevensbescherming 2022 gemeente Schiedam

17

6

Bijlage: Uitgangspunten AVG

We staan kort stil bij de beginselen van verwerking van persoonsgegevens conform de Algemene Verordening Gegevensbescherming8. Beginselen: rechtmatig, behoorlijk en transparant, welbepaald, uitdrukkelijk omschreven en gerechtvaardigde doeleinden (doelbinding), toereikend, en beperkt tot noodzakelijk voor doeleinde (minimale gegevensverwerking), juistheid en actualiteit van gegevens, niet langer identificeerbaar dan noodzakelijk voor doeleinden (opslagbeperking), passende technische en/of organisatorische maatregelen (integriteit en vertrouwelijkheid), verantwoordingsverplichting (aantoonbaar). Aantoonbaarheid: Verantwoordelijkheid: Het is van belang dat de verantwoordelijke(n) voor de verwerking van persoonsgegevens, bijvoorbeeld Gemeenteraad, college van B&W en management, kunnen aantonen9 dat de beginselen van verwerking van persoonsgegevens worden nageleefd. Passende technische en organisatorische maatregelen: Het is rekening houdende met de aard, de omvang, de context en het doel van de verwerking, alsook met de qua waarschijnlijkheid en ernst uitlopende risico’s voor rechten van betrokkenen van belang dat de gemeente Schiedam, als verwerkersverantwoordelijke, passende technische en organisatorische maatregelen treft om te waarborgen én te kunnen aantonen dat de verwerking(en) in overeenstemming met de verordening worden uitgevoerd.

Daarbij is het van belang dat de maatregelen worden geëvalueerd en indien nodig geactualiseerd (aantoonbaar). Toezichthouders: Er zijn twee toezichthouders voor wat betreft bescherming van persoonsgegevens: De Autoriteit Persoonsgegevens (AP) als externe partij en Een Functionaris Gegevensbescherming (FG10) als intern toezichthouder.

8

https://www.privacy-regulation.eu/nl/artikel-5-beginselen-inzake-verwerking-van-persoonsgegevens-EU-AVG.htm 5.2 AVG: De verwerkingsverantwoordelijke is verantwoordelijk voor de naleving van lid 1 en kan deze aantonen ("verantwoordingsplicht"). 10 Art. 39 AVG: naast toezichthouden informeren, adviseren, samenwerken met en contactpunt voor toezichthoudende autoriteit 9

Jaarrapportage Informatiebeveiliging en gegevensbescherming 2022 gemeente Schiedam

18

7

Bijlage: Voorbeeld 3 lines model (2022)

Voorbeeld 3 lines of defense model Noot: In de basis is het oorspronkelijke model voornamelijk gericht op risico’s binnen de organisatie. De rol van de FG is daar buiten geplaatst daar deze toezicht houdt op gegevensverwerkingen van betrokkenen binnen en buiten de organisatie. De gemeente Schiedam heeft geen Privacy Officers (PO) in dienst. Eind 2022 is er een uitvraag geweest voor tijdelijke inhuur van een PO.

Jaarrapportage Informatiebeveiliging en gegevensbescherming 2022 gemeente Schiedam

19

8

Bijlage: Trendline gegevensbescherming t/m Q3 2022

Aandachtspunten gegevensbescherming Beleid

-/-/-/-/-/-

-/-/-/-/-/-

Besluit tot inzet van tijdelijke ondersteuning met PO (via CIO)

-/-/-/-/-/-/-/-/-

-/-/+ -/+ -/+ -/-/-/-/+

Vastleggen van alle (nieuwe) verwerkingen Actueel houden van register van verwerkingen Aanwezigheid en gebruik van verwerkingsovereenkomsten

-/+ -/+ -/+

-/+ -/+ -/+

Bestaande DPIA's updaten

- /- /++ -/-/-/-/-

-/-/+

-/-/-/-

-/-/-/-

Risk appetite / risicobereidsheidsbeleid management Actualisatie van beleids- en gedragsregels gebruik bedrijfsmiddelen Beleid gebruik bedrijfsmiddelen: laptop, telefoon (zakelijk), ipad Ontwikkeling ter mitigering compliancyrisico gemeentebreed (Hoog) Ontwikkeling (cyber) incident sercurity response plan (niet aanwezig) Integreer van informatiebeveiliging en gegevensbescherming meer in planning gemeente Schiedam Vastlegging Comply or explain bij afwijking van advies Actualiseer besluitvormingsproces (decisionmakers) Voorafgaande raadpleging FG in praktijk (conform privacybeleid) Beleid m.b.t. gegevensverwerking/ Gegevensverwerkingsbeleid Beleid datamanagement Besluit structurele ondersteuning conform bijv. privacy framework (PO, PA)

Register van verwerkingen

DPIA's Realisatie van DPIA's voorafgaande aan verwerkingen Sjabloon (pre-)DPIA's DPIA WOT DPIA's cameratoezicht DPIA jeugdmodel MVS_Mevis DPIA procesinrichting

-/-/-/+ -/-

Verwerkersovereenkomsten Zijn de verwerkersovereenkomsten (daar waar nodig) aanwezig en compleet? Irado _ niet aanwezig / actueel (Q3 2021) RBG _ niet aanwezig / actueel (Q3 2021)

Legenda:

Opgelost Opstartfase / Gestart / In ontwikkeling Blijft achter

++ -/+ -/-

Jaarrapportage Informatiebeveiliging en gegevensbescherming 2022 gemeente Schiedam

20

Aandachtspunten gegevensbescherming Technische en organisatorische maatregelen treffen

-/-/-/-/-/-/-/+

-/-/-/-/-/+ -/-/+

-/-/-/-/-/-/-/-/-

-/-/-/-/+ -/-/-/-/-

-/-/-/-

-/+ -/-/-

Privacyverklaring personeel (in- en extern)

-/-/-

-/-/-

uitvoering WPG audit (extern auditor)

-/+

-/+

Aanstellingsbrief FG WPG

-/-

-/-

Realisatie privacy checklist ter ondersteuning van organisatie

++ -/-

Bring your own device en gebruik data buiten gemeentelijke omgeving Veilig werken buiten VDI om Dossiers buiten veilige omgeving? Beveiliging Data opslag op diverse lokaties, te lang bewaren, dubbel etc. Realisatie emailbeveiliging Delen van databestanden/filesharing niet uniform Implementatie MFA (start q3 2021?) In- en overzicht verwerking data (verwerken, delen, opslaan, grondslagen, relevantie, doelbindingen etc.) niet goed in beeld Inrichting autorisatiematrixen niet volledig/aanwezig RBAC/IAM inrichting Mobile device management (intune) Mobile applicatie management Dataclassificatie opzet en inrichting Inrichting van MS windows autorisaties (inrichting ownership en rechten. ) Aansluiting BIO normenkader

Personeel (in- en extern) Opstellen en implementatie privacyreglement in- en extern personeel Privacybewustzijn (kennis, kunde en gedrag) incidenteel (start Q3 2021?) Awarenesstrainingen voor alle medewerkers (structureel verplichten) Beleid gebruik maken van niet zakelijke apparatuur (telefoons, tablets, laptops, prive middelen)

WPG audit

Overigen

Overgang naar ISMS/PMS Implementatie nieuwe ISMS/PMS

-/-/+ -/+ -/++

Leesbaarheid en actualiteit van privacy statement website Actualiseer inkoopproces (> én < 35k) en betrek stakeholders Cameratoezicht (AVG , WPG, gem.wet etc) Actueel datarecovery proces Datalekken rapportage verzorgen

Legenda:

Opgelost Opstartfase / Gestart / In ontwikkeling Blijft achter

-/+ -/-/-/+ -/+ -/-

++ -/+ -/-

Jaarrapportage Informatiebeveiliging en gegevensbescherming 2022 gemeente Schiedam

21

9 Bijlage: Grafieken thema’s borgingskader

Jaarrapportage Informatiebeveiliging en gegevensbescherming 2022 gemeente Schiedam

22

10 Bijlage: Datalekken 2022

Datalekkenvergelijking 2020 – 2022: Kalenderjaar

Aantal

2022 2021 2020

21 18 26

Er is in 2022 een stijging van 17 % ten opzichte van 2021. In praktijk is de gedachte regelmatig dat datalekken ontstaan door het gebruik maken van systemen/middelen/computers. Er komt naar voren dat datalekken veelal ontstaan door menselijke vergissingen. Veel datalekken komen voort uit gebruik van email en social media, bijvoorbeeld: a) onjuiste geadresseerde; b) verkeerde bijlage(n) inclusief (gevoelige/bijzondere) gegevens; c) meerdere mensen in ‘aan’/’cc’ maakt het risico op datalekken ook groter. Het is van groot belang om : Werknemers bewust te houden, regelmatig te trainen op kennis, kunde en vaardigheden en aandacht te blijven vragen voor het melden van (potentiële) datalekken. De datalekken worden in overleg met melder en verantwoordelijk en onderzocht. Afhankelijk van de potentiële impact wordt er een beoordeling gemaakt of er een melding plaats dient te vinden. De gemelde datalekken worden altijd in het datalekkenregister van de gemeente opgenomen.

Jaarrapportage Informatiebeveiliging en gegevensbescherming 2022 gemeente Schiedam

23