Raadsbesluit 31 mei 2022 Informatie over de informatiebeveiliging en bekrachtiging geheimhouding 2021 ENSIA

gemeente Schiedam

Raadsvoorstel

Aan:

De gemeenteraad van Schiedam

Registratienummer:

22VR011

Steller:

R. Lefel, ICT Beleid en Beheer

Telefoonnummer steller:

010 2191141

Portefeuillehouder:

Burgemeester

Publicatie:

Openbaar

Onderwerp:

Informatie over de informatiebeveiliging en bekrachtiging geheimhouding 2021 (ENSTA-rapportage)

22 maart 2022

A. Voorgesteld besluit:

De raad besluit: 1. Te verklaren te hebben ontvangen:

De Collegeveridaring Informatiebeveiliging Digid en Suwinet gemeente Schiedam, inclusief bijlagen; • de verantwoordingsrapportage BAG, BGT en BRO • de verantwoordingsrapportage WOZ • het door de IT-auditor afgegeven Assurance-rapport en • de rapportage Informatiebeveiliging en Privacy 2021. 2. De door het college op 22 maart 2022 opgelegde geheimhouding op

Collegeverldaring ENSIA 2021 inzake Informatiebeveiliging Digid en Suwinet, Rapportage informatiebeveiliging en privacy 2021 aan de gemeenteraad Bijlage 1 Collegeverklaring ENSIA 2021 inzake Informatiebeveiliging DigiD Bijlage 2 Collegeverklaring ENSIA 2021 inzake Informatiebeveiliging Suwinet Verantwoordingsrapportage BAG, BGT en BRO 2021 Schiedam Verantwoordingsrapportage WOZ 2021 Schiedam bij de Collegeverklaring Assurance-rapport Ensia Gemeente Schiedam te bekrachtigen, op grond van artikel 25 lid 3 van de Gemeentewet in samenhang met artikel 10 lid sub b en g van de Wet openbaarheid van bestuur gelet op de economische en financiële bescherming belangen van de gemeente en bescherming van belangen van anderen dan de gemeente.

-

-

-

-

-

-

-

B. Aanleidïng:

De gemeente Schiedam verantwoordt zich dit jaar voor de vijfde keer over de kwaliteit van de info rmatieveiligheid van haar informatiesystemen. Sinds 2017 gebeurt dit met de Eenduidige Normatiek Single Information Audit (ENSTA).

C. Maatschappelijk doel:

ENSTA algemeen Het doel van ENSIA is het bieden van meer overzicht over de stand van zaken van de informatieveiligheid, zodat het gemeentebestuur de mogelijkheid heeft hier zo effectief en efficiënt mogelijk op te sturen. Hiertoe is een verantwoordingsstelsel voor informatieveiligheid ontwikkeld en geïmplementeerd, dat is gebaseerd op de landelijke norm voor informatieveiligheid, de Baseline Informatiebeveiliging Overheid (BIO). Hoe staan we ervoor? De noodzaak tot meer inzicht en overzicht is ook het afgelopen jaar weer toegenomen. In heel Nederland en ook in Schiedam is de digitalisering onder druk van corona versneld opgepakt. Dit brengt nieuwe mogelijkheden met zich mee, maar ook nieuwe (en grotere) dreigingen en daadwerkelijk, actief misbruik. De lokale overheid wordt een steeds interessanter doelwit voor hackers. Een recent voorbeeld van de groeiende dreiging is succesvol misbruik (ransomware) van een wereldwijde kwetsbaarheid van webservers (Log4j). De gemeente Schiedam heeft met een aanzienlijke personele en technische inspanning -tot heden- succesvolle aanvallen voorkomen. We zien sinds de start van de coronacrisis opnieuw een sterke toename van phishing. Uit testen binnen de gemeente Schiedam blijkt dat 20% van de medewerkers phishingmail niet herkent; ook dit percentage is gestegen.

De trend laat dus zien dat de dreiging toeneemt, evenals de kans dat een aanval op enig moment succesvol is. Het is essentieel dat we onze verantwoordingsprocessen en verbeterprocessen adequaat inrichten. Maar dit vraagt tevens om onze voortdurende aandacht en om structurele investeringen op het gebied van training en bewustwording. Daarnaast zal Schiedam haar beveiligings- en privacy beleid in toenemende mate moeten stoelen op een afgewogen risicoanalyse. Dit geldt ook voor uitvoering van de maatregelen op het gebied van privacy. In toenemende mate richt de Autoriteit Persoonsgegevens tAP) haar pij]en op gemeenten in de vorm van boetes. Daarnaast vindt, onder toezicht van de AP, vanaf 2021 een afzonderlijke audit op het gebruik van de Wet op de Politiegegevens (de WPG-audit) plaats.

D. Argumenten:

Verantwoording aan de raad omtrent kwaliteit informatieveiigheid informatiesystemen van de gemeente Schiedam. Ontvangst en kennisnemen verklaringen en rapportages (besÏispunt i) In formele zin: ENSIA

Algemeen Met ENSlAverantwoordt de gemeente Schiedam zich ook dit jaar aan de gemeenteraad. De Baseline Informatieveiligheid Overheid (BIO) is de kern van de verantwoording over informatieveiligheid aan de gemeenteraad. Met uw verklaring van ontvangst van de documenten zet uw raad een belangrijke stap in het verantwoordingsproces. Met uw raadsbesluit wordt de horizontale verantwoording als afgesloten beschouwd en kan de verticale verantwoording (naar het ministerie, Waarderingskamer) aanvang nemen.

Proces De verantwoording aan uw raad bestaat uit een zelfevaluatie, een IT-audit, een verklaring van het college van B & W en een rapportage over informatiebeveiliging en privacy in 2021 van de gemeente Schiedam. Zelfevaluatie Eind 2021 heeft de gemeente de zelfevaluatieljsten ingevuld en ingeleverd via de daartoe bestemde ENSIA-tool. De conclusie is positief: de gemeente Schiedam voldoet bij de audit aan de gestelde eisen. Verklaring College Op basis van de antwoorden in de zelfevaluatie is begin 2022 een rapportage beschikbaar gekomen. Met behulp van deze rapportage heeft het college een Collegeverldaring informatiebeveiliging opgesteld waarin is aangeven in hoeverre de gemeente Schiedam voldoet aan de door ENSTA gestelde beveiligingsnormen. In deze Collegeveridaring verklaart het college dat bij de gemeente Schiedam op 31 december 2021 de beoogde en ingerichte beheersingsmaatregelen voldoen aan de geselecteerde normen inzake DigiD en Suwinet. Assurance rapport IT-auditor LBVD Consultancy B.V. heeft de Collegeverklaring informatiebeveiliging en de daarbij behorende bijlagen op waarheidsgetrouwheid (opzet en bestaan) onderzocht en een Assurance rapport opgesteld. In het Assurance-rapport heeft de IT-auditor verklaard dat de Collegeveridaring in alle van materieel belang zijnde aspecten juist is.

De audit is derhalve succesvol, zonder noodzakelijke verbetervoorstellen, afgerond. Rapportage aan de raad over de staat van informatiebeveiliging Het college informeert in de rapportage Informatiebeveiliging en Privacy 2021 de raad over de status van informatieveiligheid in Schiedam. Deze rapportage omvat informatie over informatieveiligheid in brede zin, dus niet alleen de onderwerpen van de ENSTA-audit. Dat wil zeggen dat de raad wordt geïnformeerd over alle relevante ontwikkelingen op het gebied van informatieveiligheid en privacy. Het college informeert de raad over de status van de informatieveiigheid van de BAG, BGT en de BRO. Sinds 2021 jaar is hier ook de WOZ aan toegevoegd. Uit zowel de verantwoordingsrapportage van de BAG, BRO als die van de WOZ wordt duidelijk dat de norm zoals die is gesteld voor de uitkomst van de zelfevaluatie is gehaald. Bij de BGT is de norm niet gehaald. In 2021 zijn verbeteringen opgepakt. Specifiek voor de BGT, BAG en BRO, zoals op het gebied van optimaliseren van het gegevensverwerkende proces. Wat betreft de BGT wordt hier in 2022 verder aan gewerkt. Maar ook in algemene zin als het gaat om duidelijke verbeterpunten zoals de toegangsbeveiliging van bet stadskantoor, monitoring van het netwerkverkeer, het bewustzijn inzake informatiebeveiliging en privacy in de Organisatie, veilig mailen en brede inzet van multi-factor authenticatie.

De Gemeente Schiedam heeft ingestemd met de VNG resolutie “Informatieveiligheid randvoorwaarde voor de professionele Gemeente”. De resolutie roept op tot het nemen van (bestuurlijke) verantwoordelijkheid om de gemeentelijke informatiehuishouding veilig te organiseren. Naast bestuurlijke aandacht betekent dit ook het nadrukkelijker betrekken van het management bij uitvoering en handhaving van het informatiebeveiligingsbeleid. 1.

De Schiedamse situatie Met uw raad is afgesproken om bij deze ENSTA-rapportage informatie te geven over de voortgang van de aanbevelingen uit het rapport van de Rekenkamercommissie over informatieveiligheid uit 2021. Naar aanleiding van het onderzoek van de Rekenkamercommissie in 2020 is een drietal specifieke verbeteringen overgenomen. Het gaat om: • Toegankelijkheid Stadskantoor (mystery guest); • De technische beveiliging van informatiesystemen (hacking); • Het bewustzijn van medewerker ten aanzien van informatiebeveiliging (phishing). Begin 2022 is de verbetering van de fysieke toegankelijkheid afgerond. Het gaat om verplaatsing van de toegangspoorten en vervanging van het huidige passensysteem. Uiteraard gaat dit gepaard met voorlichting aan medewerkers, raadsleden en andere gebruikers van het pand. De twee andere punten zijn niet op te lossen met een eenmalige actie, maar behoeven, met het veranderen van de technologie en de aard van de bedreigen en risico’s, permanente aandacht. In 2021 is van start gegaan met een nieuw awareness programma voor bestuur, medewerkers en management. Kortom: deze specifieke verbeteringen zijn direct opgepakt en leveren resultaten op. Hierbij kunt u denken aan de wijze waarop in Schiedam de wereldwijde kwetsbaarheid van webservers (Log4j) in december 2021 is bestreden.

Geheimhouding (bestispunt 2) Geheimhouding Het college heeft op 22 maart 2022 o.g.v. artikel 25 Gemeentewet de voorlopige geheimhouding gelegd op de bijlagen hij de Collegeverklaring Informatiebeveiliging gemeente Schiedam en het Assurance-rapport over ENSIA. Dit op grond van artikel 10 sub b en g Wet openbaarheid van bestuur (Wob): bescherming economische en financiële belangen van de gemeente en voorkoming van onevenredige benadeling van bij de aangelegenheid betrokken natuurlijke personen of rechtspersonen dan wel van derden. Het college stelt u de betreffende stukken beschikbaar onder de bovengenoemde geheimhouding en stelt u voor de door het college opgelegde geheimhouding te bekrachtigen, zoals gesteld in artikel 25, derde lid, Gemeentewet. 2.

E. Duurzaamheid

Verduurzaming van Schiedam is bij dit onderwerp niet van toepassing.

F. Kanttekening en risico’s:

Geheimhouding (besÏispunt 2) Risico bij lekken van de informatie.

Zoals onder de argumenten reeds betoogd gaan zowel het Assurance-rapport als de bij de Collegeverklaring behorende bijlagen in op het al dan niet voldoen aan individuele beveiligingsnormen en geeft met de individueel getroffen maatregelen gedetailleerde informatie over de staat van de informatieveiligheid van de gemeente Schiedam. Openbaarmaking van deze informatie kan een beveiligingsrisico vormen aangezien het ook kwaadwillende gedetailleerde informatie verschaft over de staat van de informatieveiligheid van de gemeente Schiedam.

Misbruik van deze informatie voor hacking doeleinden kan ernstige economische of financiële schade voor de gemeente Schiedam tot gevolg hebben, alsook de belangen van inwoners onevenredig benadelen wanneer daarbij persoonsgegevens buit worden gemaakt. Het Assurance rapport en de bij de Collegeverklaring behorende bijlagen zijn derhalve uitsluitend bestemd voor de gemeenteraad en de departementen die toezien op de veiligheid van DigiD en Suwinet en dienen niet te worden verspreid aan of te worden gebruikt door anderen.

G. Financiën:

Dit besluit heeft geen financiële gevolgen.

H. Uitvoering (TA-tekst, planning, communicatie, publicatie, evaluatielcontrole etc.):

Het college legt hiermee verantwoording af aan de raad over de kwaliteit van informatieveiligheid van de informatiesystemen van de gemeente Schiedam. Dit vormt de basis voor het verantwoordingsproces aan de landelijke toezichthouders die een rol hebben in het toezicht op informatieveiligheid. Tegelijkertijd vormt dit de aftrap voor de uitvoering van de aanbevelingen, de voorbereidingen op de nieuwe ENSLk-audit en de verdere implementatie van de Baseline Informatiebeveiliging Overheid (BIO). Bij lage(n):

• • • • • • •

Collegeveridaring ENSIA 2021 inzake Informatiebeveiliging DigiD en Suwinet; Rapportage informatiebeveiliging en privacy 2021 (geheim); Assurance-rapport ENSIA 2021 (geheim); Bijlage 1 bij de Collegeveridaring ENSIA 2021 inzake Informatiebeveiliging DigiD (geheim); Bijlage 2 bij de Collegeverklaring ENSLk 2021 inzake Informatiebeveiliging Suwinet (geheim); Verantwoordingsrapportage BAG, BGT, BRO 2021 Schiedam (geheim); Verantwoordingsrapportage WOZ 2021 Schiedam (geheim)

burgemeester en wethouders van Schiedam, de secretaris, de burgemeester,

C.E. Bos

C.H.J. Lamers

44

gemeente Schiedam

De raad van de gemeente Schiedam; gelezen het voorstel van burgemeester en wethouders d.d. 22 maart 2022 (22VR011)

Besluit: 1. Te verklaren te hebben ontvangen: De Collegeveridaring Informatiebeveiliging Digid en Suwinet gemeente Schiedam, inclusief bijlagen; • de verantwoordingsrapportage BAG, BGT en BRO • de verantwoordingsrapportage WOZ • het door de IT-auditor afgegeven Assurance-rapport en • de rapportage Informatiebeveiliging en Privacy 2021.

2. De door het college op 22 maart 2022 opgelegde geheimhouding op de bijlagen Rapportage informatiebeveiliging en privacy 2021 aan de gemeenteraad Bijlage 1 Collegeverldaring ENSTA 2021 inzake Informatiebeveiliging DigiD Bijlage 2 Collegeverklaring ENSIA 2021 inzake Informatiebeveiliging Suwinet Verantwoordingsrapportage BAG, BGT en BRO 2021 Schiedam Verantwoordingsrapportage WOZ 2021 Schiedam bij de Coflegeverklaring Assurance-rapport te bekrachtigen, op grond van artikel 25 lid 3 van de Gemeentewet in samenhang met artikel 10 lid sub b en g van de Wet openbaarheid van bestuur gelet op de economische en financiële bescherming belangen van de gemeente en bescherming van belangen van anderen dan de gemeente.

-

-

-

-

-

-

Aldus vastgesteld door de raad van de gemeente Schiedam in zijn openbare vergadering van 31 mei 2022.

de plv. griffier,

de

E.vijk

C.H.J.

/