Raadsvoorstel Informatiebeveiliging ENSIA rapportage

Raadsvoorstel

Aan:

De gemeenteraad van Schiedam

Registratienummer:

21VR006

Steller:

R. Lefel, ICT Beleid en Beheer

Telefoonnummer steller:

010 2191141

Portefeuillehouder:

Burgemeester

Publicatie :

Openbaar

Onderwerp:

2 maart 2021

Informatie over de informatiebeveiliging en bekrachtiging geheimhouding 2020 (ENSIA-rapportage)

A. Voorgesteld besluit:

De raad besluit: 1. Te verklaren te hebben ontvangen: - de Collegeverklaring Informatiebeveiliging gemeente Schiedam, inclusief bijlagen; • de verantwoordingsrapportage BAG • de verantwoordingsrapportage BGT • de verantwoordingsrapportage BRO - het door de IT-auditor afgegeven Assurance-rapport en - de rapportage informatiebeveiliging en privacy 2020. 2. De raad besluit de door het college op 2 maart 2021 opgelegde geheimhouding op de bijlagen bij de Collegeverklaring en op het Assurance-rapport te bekrachtigen, op grond van artikel 25 lid 3 van de Gemeentewet in samenhang met artikel 10 lid sub b en g van de Wet openbaarheid van bestuur gelet op de economische en financiële bescherming belangen van de gemeente en bescherming van belangen van anderen dan de gemeente. B. Aanleiding:

De gemeente Schiedam verantwoordt zich dit jaar voor de vierde keer over de kwaliteit van de informatieveiligheid van haar informatiesystemen. Sinds 2017 gebeurt dit met een nieuwe audit systematiek: de Eenduidige Normatiek Single Information Audit (ENSIA). C. Maatschappelijk doel:

Het doel van ENSIA is het bieden van meer overzicht over de stand van zaken van de informatieveiligheid, zodat het gemeentebestuur de mogelijkheid heeft hier zo effectief en efficiënt mogelijk op te sturen. Hiertoe wordt een verantwoordingsstelsel voor informatieveiligheid ontwikkeld en geïmplementeerd, dat is gebaseerd op de Baseline Informatiebeveiliging Overheid (BIO). Het toezicht sluit aan op de gemeentelijke Planning & Control-cyclus. De noodzaak tot meer inzicht en overzicht is met name het afgelopen jaar toegenomen. In heel Nederland en ook in Schiedam is de digitalisering onder druk van corona versneld opgepakt. Dit brengt nieuwe mogelijkheden met zich mee, maar ook nieuwe (en grotere) dreigingen.

Een bekend voorbeeld van de groeiende dreiging is de succesvolle ransomwareaanval op de gemeente Hof van Twente. Daarnaast zien we sinds de start van de coronacrisis bijvoorbeeld een sterke toename van phishing tot wel 600 % ten opzichte van de periode voor corona. Uit testen binnen de gemeente Schiedam blijkt dat 16 % van de medewerkers phishingmail niet altijd herkent; ook dit percentage is gestegen. De trend laat dus zien dat de dreiging significant toeneemt, evenals de kans is dat een aanval op enig moment succesvol is. Het is daarom essentieel dat we onze verantwoordingsprocessen en verbeterprocessen adequaat inrichten. D. Argumenten:

1. Verantwoording aan raad kwaliteit informatieveiligheid informatiesystemen van de gemeente Schiedam. Algemeen Met ENSIA verantwoordt de gemeente Schiedam zich ook dit jaar aan de gemeenteraad. De Baseline Informatieveiligheid Overheid (BIO) is de kern van de verantwoording over informatieveiligheid aan de gemeenteraad. Met uw verklaring van ontvangst van de documenten zet uw raad een belangrijke stap in het verantwoordingsproces. Met uw raadsbesluit wordt de horizontale verantwoording als afgesloten beschouwd en kan de verticale verantwoording (naar het ministerie) aanvang nemen. Proces De verantwoording aan uw raad bestaat uit een zelfevaluatie, een IT-audit, een verklaring van het college van B & W en een rapportage over informatiebeveiliging en privacy van de gemeente Schiedam. Zelfevaluatie Eind 2020 heeft de gemeente de zelfevaluatielijsten ingevuld en ingeleverd via de daartoe bestemde ENSIA-tool. De conclusie is positief: de gemeente Schiedam voldoet bij alle audits aan de gestelde eisen. Verklaring College Op basis van de antwoorden in de zelfevaluatie is begin 2020 een rapportage beschikbaar gekomen. Met behulp van deze rapportage heeft het college een Collegeverklaring informatiebeveiliging opgesteld waarin is aangeven in hoeverre de gemeente Schiedam voldoet aan de door ENSIA gestelde beveiligingsnormen.

In deze Collegeverklaring verklaart het college dat bij de gemeente Schiedam op 31 december 2020 de beoogde en ingerichte beheersingsmaatregelen voldoen aan de geselecteerde normen inzake DigiD en Suwinet. Assurance rapport IT-auditor LBVD Consultancy B.V. heeft de Collegeverklaring informatiebeveiliging en de daarbij behorende bijlagen op waarheidsgetrouwheid (opzet en bestaan) onderzocht en een Assurancerapport opgesteld. In het Assurance-rapport heeft de IT-auditor verklaard dat de Collegeverklaring in alle van materieel belang zijnde aspecten juist is.

Rapportage aan de raad over de staat van informatiebeveiliging Het college informeert in het rapport 'rapportage informatiebeveiliging en privacy 2020' de raad over de status van informatieveiligheid in Schiedam. Deze rapportage omvat informatie over informatieveiligheid in brede zin. Het college verwijst in deze rapportage naar de Collegeverklaring informatiebeveiliging. Daarnaast informeert het college dit jaar de raad over de status van de informatieveiligheid van de BAG, BGT en de BRO. Uit zowel de verantwoordingsrapportage van de BAG als die van de BRO wordt duidelijk dat de norm zoals die is gesteld voor de uitkomst van de zelfevaluatie is gehaald. Bij de BGT is de norm echter niet gehaald. In 2021 worden verbeteringen opgepakt. Specifiek voor de BGT, BAG en BRO, zoals op het gebied van optimaliseren van het gegevensverwerkende proces. Maar ook in algemene zin als het gaat om duidelijke verbeterpunten zoals de toegangsbeveiliging van bet stadskantoor, het beheer van autorisaties van nieuwe en vertrekkende medewerkers, het bewustzijn inzake informatiebeveiliging in de organisatie en de omgang met andere externe bedreigingen zoals phishingmails. De Gemeente Schiedam heeft ingestemd met de VNG resolutie “Informatieveiligheid randvoorwaarde voor de professionele Gemeente”.

De resolutie roept op tot het nemen van (bestuurlijke) verantwoordelijkheid om de gemeentelijke informatiehuishouding veilig te organiseren. Naast bestuurlijke aandacht betekent dit ook het nadrukkelijker betrekken van het management bij uitvoering en handhaving van het informatiebeveiligingsbeleid. Met uw raad is afgesproken om bij deze ENSIA-rapportage informatie te geven over de voortgang van de aanbevelingen uit het rapport van de Rekenkamercommissie over informatieveiligheid uit 2020. Naar aanleiding van het onderzoek van de Rekenkamercommissie in 2020 is een drietal specifieke verbeteringen overgenomen. Het gaat om: - Toegankelijkheid Stadskantoor (mystery guest); - De technische beveiliging van informatiesystemen (hacking); - Het bewustzijn van medewerker ten aanzien van informatiebeveiliging (phishing). Binnenkort zal de fysieke toegankelijkheid zijn opgepakt, door een aantal maatregelen. Het gaat om verplaatsing van de toegangspoorten en vervanging van het huidige passensysteem. Uiteraard gaat dit gepaard met voorlichting aan medewerkers, raadsleden en andere gebruikers van het pand. Om de technische beveiliging meer aandacht te geven is eind 2020 een nieuwe systeembeheerder in dient genomen die zich specifiek richt op het monitoren en verbeteren van technische zaken rond informatiebeveiliging.

Ook in 2021 is van start gegaan met een nieuw awareness programma voor bestuur, medewerkers en management. Kortom: deze specifieke verbeteringen zijn direct opgepakt en leveren nu reeds resultaten op. 2. Geheimhouding Het college heeft op 2 maart 2021 o.g.v. artikel 25 Gemeentewet de voorlopige geheimhouding gelegd op de bijlagen bij de Collegeverklaring Informatiebeveiliging gemeente Schiedam en het Assurance-rapport over ENSIA.

Dit op grond van artikel 10 sub b en g Wet openbaarheid van bestuur (Wob): bescherming economische en financiële belangen van de gemeente en voorkoming van onevenredige benadeling van bij de aangelegenheid betrokken natuurlijke personen of rechtspersonen dan wel van derden. Het college stelt u de betreffende stukken beschikbaar onder de bovengenoemde geheimhouding en stelt u voor de door bet college opgelegde geheimhouding te bekrachtigen, zoals gesteld in artikel 25, derde lid, Gemeentewet. E. Duurzaamheid

Verduurzaming van Schiedam is bij dit onderwerp niet van toepassing. F. Kanttekening en risico’s:

Geheimhouding, risico bij lekken van de informatie Zoals onder de argumenten reeds betoogd gaan zowel het Assurance-rapport als de bij de Collegeverklaring behorende bijlagen in op het al dan niet voldoen aan individuele beveiligingsnormen en geeft met de individueel getroffen maatregelen gedetailleerde informatie over de staat van de informatieveiligheid van de gemeente Schiedam. Openbaarmaking van deze informatie kan een beveiligingsrisico vormen aangezien het ook kwaadwillende gedetailleerde informatie verschaft over de staat van de informatieveiligheid van de gemeente Schiedam. Misbruik van deze informatie voor hacking doeleinden kan ernstige economische of financiële schade voor de gemeente Schiedam tot gevolg hebben, alsook de belangen van burgers onevenredig benadelen wanneer daarbij persoonsgegevens buit worden gemaakt. Het Assurance-rapport en de bij de Collegeverklaring behorende bijlagen zijn derhalve uitsluitend bestemd voor de gemeenteraad en de departementen die toezien op de veiligheid van DigiD en Suwinet en dienen niet te worden verspreid aan of te worden gebruikt door anderen. G. Financiën:

Dit besluit heeft geen financiële gevolgen.

H. Uitvoering (TA-tekst, planning, communicatie, publicatie, evaluatie/controle etc.):

Het college legt hiermee verantwoording af aan de raad over de kwaliteit van informatieveiligheid van de informatiesystemen van de gemeente Schiedam. Dit vormt de basis voor het verantwoordingsproces aan de landelijke toezichthouders die een rol hebben in het toezicht op informatieveiligheid. Tegelijkertijd vormt dit de aftrap voor de uitvoering van de aanbevelingen, de voorbereidingen op de nieuwe ENSIA-audit en de verdere implementatie van de Baseline Informatiebeveiliging Overheid (BIO).

Bijlage(n):

• Collegeverklaring ENSIA 2020 inzake Informatiebeveiliging DigiD en Suwinet; • Rapportage informatiebeveiliging en privacy 2020; • Assurance-rapport ENSIA 2020 (geheim); • Bijlage 1 bij de Collegeverklaring ENSIA 2020 inzake Informatiebeveiliging DigiD (geheim); • Bijlage 2 bij de Collegeverklaring ENSIA 2020 inzake Informatiebeveiliging Suwinet (geheim); • Verantwoordingsrapportage BAG 2020 Schiedam (geheim); • Verantwoordingsrapportage BGT 2020 Schiedam (geheim); • Verantwoordingsrapportage BRO 2020 Schiedam (geheim).

burgemeester en wethouders van Schiedam, de secretaris, de burgemeester,

drs. M.A. van den Hende, wnd.

C.H.J. Lamers

De raad van de gemeente Schiedam; gelezen het voorstel van burgemeester en wethouders d.d. 2 maart 2021 ( 21VR006) Besluit: 1. Te verklaren te hebben ontvangen: - de Collegeverklaring Informatiebeveiliging gemeente Schiedam, inclusief bijlagen; • de verantwoordingsrapportage BAG • de verantwoordingsrapportage BGT • de verantwoordingsrapportage BRO - het door de IT-auditor afgegeven Assurance-rapport en - de rapportage informatiebeveiliging en privacy 2020. 2. De raad besluit de door het college op 2 maart 2021 opgelegde geheimhouding op de bijlagen bij de Collegeverklaring en op het Assurance-rapport te bekrachtigen, op grond van artikel 25 lid 3 van de Gemeentewet in samenhang met artikel 10 lid sub b en g van de Wet openbaarheid van bestuur gelet op de economische en financiële bescherming belangen van de gemeente en bescherming van belangen van anderen dan de gemeente.

Aldus vastgesteld door de raad van de gemeente Schiedam in zijn openbare vergadering van 20 april 2021.

de griffier,

de voorzitter,

J.W. Scherpenzeel

C.H.J. Lamers