Raadsvoorstel Informatie over de informatiebeveiliging 2022 ENSIA-rapportage

Raadsvoorstel

Aan:

De gemeenteraad van Schiedam

18 april 2023

Registratienummer:

23VR012

Contact Steller:

contact@schiedam.nl

Telefoonnummer steller:

010 2191111

Portefeuillehouder:

Burgemeester

Publicatie :

Openbaar

Onderwerp:

Informatie over de informatiebeveiliging 2022 (ENSIA-rapportage)

A. Voorgesteld besluit:

De raad besluit: 1. Te verklaren te hebben ontvangen: De Collegeverklaring Informatiebeveiliging Digid en Suwinet gemeente Schiedam, inclusief bijlagen; • de verantwoordingsrapportage BAG, BGT en BRO (23BW000062) • de verantwoordingsrapportage WOZ (23BW000063) • het door de IT-auditor afgegeven Assurance-rapport (23BW000095) en • de rapportage Informatiebeveiliging en gegevensbescherming 2022 (23BW000142). B. Aanleiding:

De gemeente Schiedam verantwoordt zich dit jaar voor de zesde keer over de kwaliteit van de informatieveiligheid van haar informatiesystemen. Sinds 2017 gebeurt dit met de Eenduidige Normatiek Single Information Audit (ENSIA). C. Maatschappelijk doel:

ENSIA algemeen Het doel van ENSIA is het bieden van meer overzicht over de stand van zaken van de informatieveiligheid en gegevensbescherming, zodat het gemeentebestuur de mogelijkheid heeft hier zo effectief en efficiënt mogelijk op te sturen. Hiertoe is een verantwoordingsstelsel voor informatieveiligheid ontwikkeld en geïmplementeerd, dat is gebaseerd op de landelijke norm voor informatieveiligheid, de Baseline Informatiebeveiliging Overheid (BIO). Hoe staan we ervoor? De noodzaak tot meer inzicht en overzicht is ook het afgelopen jaar weer toegenomen. In heel Nederland en ook in Schiedam is de digitalisering onder druk van corona versneld opgepakt. Dit brengt nieuwe mogelijkheden met zich mee, maar ook nieuwe (en grotere) dreigingen en daadwerkelijk, actief misbruik. De lokale overheid wordt een steeds interessanter doelwit voor hackers. Een recent voorbeeld van de groeiende dreiging is succesvol misbruik (ransomware) van een wereldwijde kwetsbaarheid van webservers (Log4j).

De gemeente Schiedam heeft in 2022 met een aanzienlijke personele en technische inspanning -tot heden- succesvolle aanvallen voorkomen. We zien sinds de start van de coronacrisis opnieuw een sterke toename van phishing. Uit testen binnen de gemeente Schiedam blijkt dat 20% van de medewerkers phishingmail niet herkent; ook dit percentage is gestegen. De trend laat dus zien dat de dreiging toeneemt, evenals de kans dat een aanval op enig moment succesvol is. Het is essentieel dat we onze verantwoordingsprocessen en verbeterprocessen adequaat inrichten. Maar dit vraagt tevens om onze voortdurende aandacht en om structurele investeringen op het gebied van training en bewustwording. Daarnaast zal Schiedam haar beveiligings- en privacybeleid in toenemende mate moeten stoelen op een afgewogen risico-analyse. Dit geldt ook voor uitvoering van de maatregelen op het gebied van gegevensbescherming. In toenemende mate richt de Autoriteit Persoonsgegevens (AP) haar pijlen op gemeenten in de vorm van boetes. Daarnaast vindt, onder toezicht van de AP, vanaf 2021 een afzonderlijke audit op het gebruik van de Wet op de Politiegegevens (de WPG-audit) plaats. D. Argumenten:

Verantwoording aan de raad omtrent kwaliteit informatieveiligheid informatiesystemen van de gemeente Schiedam. In formele zin: ENSIA Algemeen Met ENSIA verantwoordt de gemeente Schiedam zich ook dit jaar aan de gemeenteraad. De Baseline Informatieveiligheid Overheid (BIO) is de kern van de verantwoording over informatieveiligheid aan de gemeenteraad. Met uw verklaring van ontvangst van de documenten zet uw raad een belangrijke stap in het verantwoordingsproces. Met uw raadsbesluit wordt de horizontale verantwoording als afgesloten beschouwd en wordt ook de verticale verantwoording (o.a. naar het ministerie en Waarderingskamer) afgerond. Proces De verantwoording aan uw raad bestaat uit een zelfevaluatie, een IT-audit, een verklaring van het college van B & W en een rapportage over informatiebeveiliging en gegevensbescherming in 2022 van de gemeente Schiedam. Zelfevaluatie Eind 2022 heeft de gemeente de zelfevaluatielijsten ingevuld en ingeleverd via de daartoe bestemde ENSIA-tool. De conclusie is positief: de gemeente Schiedam voldoet bij de audit aan de gestelde eisen. Verklaring College Op basis van de antwoorden in de zelfevaluatie is begin 2023 een rapportage beschikbaar gekomen.

Met behulp van deze rapportage heeft het college een Collegeverklaring informatiebeveiliging opgesteld waarin is aangeven in hoeverre de gemeente Schiedam voldoet aan de door ENSIA gestelde beveiligingsnormen.

In deze Collegeverklaring verklaart het college dat bij de gemeente Schiedam op 31 december 2022 de beoogde en ingerichte beheersingsmaatregelen voldoen aan de geselecteerde normen inzake DigiD en Suwinet. Assurance rapport IT-auditor LBVD Consultancy B.V. heeft de Collegeverklaring informatiebeveiliging en de daarbij behorende bijlagen op waarheidsgetrouwheid (opzet en bestaan) onderzocht en een Assurance rapport opgesteld. In het Assurance-rapport heeft de IT-auditor verklaard dat de Collegeverklaring in alle van materieel belang zijnde aspecten juist is. De audit is derhalve succesvol, zonder noodzakelijke verbetervoorstellen, afgerond. 1. Rapportage aan de raad over de staat van informatiebeveiliging Het college informeert in de rapportage Informatiebeveiliging en gegevensbescherming 2022 de raad over de status van informatieveiligheid in Schiedam. Deze rapportage omvat informatie over informatieveiligheid in brede zin, dus niet alleen de onderwerpen van de ENSIA-audit. Dat wil zeggen dat de raad wordt geïnformeerd over alle relevante ontwikkelingen op het gebied van informatieveiligheid en privacy. Het college informeert de raad over de status van de informatieveiligheid van de BAG, BGT en de BRO. Sinds 2021 is ook de WOZ aan toegevoegd.

Uit zowel de verantwoordingsrapportage van de BGT, BAG, BRO alsmede die van de WOZ wordt duidelijk dat de norm zoals die is gesteld voor de uitkomst van de zelfevaluatie is gehaald. Maar ook in algemene zin als het gaat om duidelijke verbeterpunten zoals de toegangsbeveiliging van bet stadskantoor, monitoring van het netwerkverkeer, het bewustzijn inzake informatiebeveiliging en privacy in de organisatie, veilig mailen en brede inzet van multi-factor authenticatie. De Gemeente Schiedam heeft ingestemd met de VNG resolutie “Informatieveiligheid randvoorwaarde voor de professionele Gemeente”. De resolutie roept op tot het nemen van (bestuurlijke) verantwoordelijkheid om de gemeentelijke informatiehuishouding veilig te organiseren. De Schiedamse situatie Met uw raad is afgesproken om bij deze ENSIA-rapportage informatie te geven over de voortgang van de aanbevelingen uit het rapport van de Rekenkamercommissie over informatieveiligheid uit 2021. Naar aanleiding van het onderzoek van de Rekenkamercommissie in 2020 is een drietal specifieke verbeteringen overgenomen. Het gaat om: • Toegankelijkheid Stadskantoor (mystery guest); • De technische beveiliging van informatiesystemen (hacking); • Het bewustzijn van medewerker ten aanzien van informatiebeveiliging (phishing). Hier zijn in 2022 de nodige verbeteringen op gerealiseerd en zullen in 2023 de laatste aanpassingen zijn afgerond.

Begin 2022 is de verbetering van de fysieke toegankelijkheid afgerond. Het gaat om vervanging van het huidige passensysteem. Het pand is nog niet “waterdicht”, dus ook in 2023 zullen verbeteringen worden aangebracht. Denk aan het beheer specifieke toegangen en deuren, waar nu nog risico’s van onbevoegde toegang bestaan. Dit is een technische verbetering, maar heeft ook een cultuur-aspect in zich.

De twee andere punten zijn niet op te lossen met een eenmalige actie, maar behoeven, met het veranderen van de technologie en de aard van de bedreigen en risico’s, permanente aandacht. In 2021 is van start gegaan met een nieuw awareness programma voor bestuur, medewerkers en management. Kortom: deze specifieke verbeteringen zijn direct opgepakt en leveren resultaten op. Hierbij kunt u denken aan de wijze waarop in Schiedam de wereldwijde kwetsbaarheid van webservers (Log4j) in december 2021 is bestreden. Met aanzienlijke personele inspanningen en technische hulpmiddelen zijn bedreigingen in 2022 tijdig bezworen. Permanente inspanningen op monitoring van het netwerk zijn essentieel voor een veilige werkomgeving. Ook in 2022 zijn volgende verbeterstappen gezet, maar dient er nog een hoop te gebeuren. De nieuwe accenten worden in het nieuwe informatiebeveiligingsbeleid uitgewerkt en vormen de leidraad voor 2023 en verder. 2. Geheimhouding Het college heeft op 18 april 2023 o.g.v. artikel 87 van de Gemeentewet in samenhang met artikel 5.1, tweede lid sub b van de voorlopige geheimhouding opgelegd op de bijlagen hij de Collegeverklaring Informatiebeveiliging gemeente Schiedam en het Assurance-rapport over ENSIA.

Het College heeft dit gedaan vanwege de bescherming van de economische en financiële belangen van de gemeente en voorkoming van onevenredige benadeling van bij de aangelegenheid betrokken natuurlijke personen of rechtspersonen dan wel van derden. Het college stelt u de betreffende stukken beschikbaar onder de bovengenoemde geheimhouding. E. Duurzaamheid

Verduurzaming van Schiedam is bij dit onderwerp niet van toepassing. F. Kanttekening en risico’s:

Risico bij lekken van de informatie. Zoals onder de argumenten reeds betoogd gaan zowel het Assurance-rapport als de bij de Collegeverklaring behorende bijlagen in op het al dan niet voldoen aan individuele beveiligingsnormen en geeft met de individueel getroffen maatregelen gedetailleerde informatie over de staat van de informatieveiligheid van de gemeente Schiedam. Openbaarmaking van deze informatie kan een beveiligingsrisico vormen aangezien het ook kwaadwillende gedetailleerde informatie verschaft over de staat van de informatieveiligheid van de gemeente Schiedam. Misbruik van deze informatie voor hacking doeleinden kan ernstige economische of financiële schade voor de gemeente Schiedam tot gevolg hebben, alsook de belangen van burgers onevenredig benadelen wanneer daarbij persoonsgegevens buit worden gemaakt. Het Assurance-rapport en de bij de Collegeverklaring behorende bijlagen zijn derhalve uitsluitend bestemd voor de gemeenteraad en de departementen die toezien op de veiligheid van DigiD en Suwinet en dienen niet te worden verspreid aan of te worden gebruikt door anderen.

G. Financiën:

Dit besluit heeft geen financiële gevolgen.

H. Uitvoering (TA-tekst, planning, communicatie, publicatie, evaluatie/controle etc.):

Het college legt hiermee verantwoording af aan de raad over de kwaliteit van informatieveiligheid van de informatiesystemen van de gemeente Schiedam. Dit vormt de basis voor het verantwoordingsproces aan de landelijke toezichthouders die een rol hebben in het toezicht op informatieveiligheid. Tegelijkertijd vormt dit de aftrap voor de uitvoering van de aanbevelingen, de voorbereidingen op de nieuwe ENSIA-audit en de verdere implementatie van de Baseline Informatiebeveiliging Overheid (BIO). Bijlage(n):

• • • • • • •

Collegeverklaring ENSIA 2022 inzake Informatiebeveiliging DigiD en Suwinet (23BW000097); Rapportage informatiebeveiliging en gegevensbescherming 2022 (23BW000142); Assurance-rapport ENSIA 2022 (geheim, 23BW000095); Bijlage 1 bij de Collegeverklaring ENSIA 2022 inzake Informatiebeveiliging DigiD (geheim, 23BW000096); Bijlage 2 bij de Collegeverklaring ENSIA 2022 inzake Informatiebeveiliging Suwinet (geheim, 23BW000098); Verantwoordingsrapportage BAG, BGT, BRO 2022 Schiedam (geheim, 23BW000062); Verantwoordingsrapportage WOZ 2022 Schiedam (geheim, 23BW000063).

De raad van de gemeente Schiedam; gelezen het voorstel van burgemeester en wethouders d.d. 18 april 2023 ( 23VR012) Besluit: De raad besluit: 1. Te verklaren te hebben ontvangen: De Collegeverklaring Informatiebeveiliging Digid en Suwinet gemeente Schiedam, inclusief bijlagen; • de verantwoordingsrapportage BAG, BGT en BRO (23BW000062) • de verantwoordingsrapportage WOZ (23BW000063) • het door de IT-auditor afgegeven Assurance-rapport (23BW000095) en • de rapportage Informatiebeveiliging en gegevensbescherming 2022 (23BW000142). Aldus vastgesteld door de raad van de gemeente Schiedam in zijn openbare vergadering van 30 mei 2023.

de griffier, {{esl:Signer1:capture:size(200,100)}}

M.J.W. Tobeas

de voorzitter, {{esl:Signer2:capture:size(200,100)}}

C.H.J. Lamers