Document · PDF

Bijlage c Programmaplan IB Sluis v12

Raad 7 november 2024, gemeente SluisBij agendapunt: Voorstel om kennis te nemen van het Programmaplan Informatiebeveiliging (NIS2) en in te stemmen met het beschikbaar stellen van het benodigde budget10.232 woorden

Open het PDF bij de gemeente ↗Naar de vergadering →

Tekst van het document

Uit het bestand gehaald, zonder opmaak, tabellen en afbeeldingen · deel 1 van 2

Programmaplan Informatiebeveiliging Gemeente Sluis Datum: 03-07-2024 Versie: 1.2

Documenthistorie Versie 0.2

Datum 05/02/24

Opgesteld door Joeri Olierook, Tim Kunst Joeri Olierook, Tim Kunst

0.3

06/05/24

0.4 0.8

20/05/24 05/06/24

Tim Kunst Joeri Olierook, Tim Kunst

0.91

10/06/24

Joeri Olierook, Tim Kunst

1.0

03/07/24

1.2

08/10/24

Joeri Olierook, Tim Kunst Joeri Olierook, Tim Kunst

Versie informatie Algemene inhoud toegevoegd Project indeling en eerste uitwerking ingevoegd Reviewcommentaar v0.2 verwerkt Projectverkaveling nader uitgewerkt BIO werkpakketten toegevoegd (bijlage) Eerste opmerkingen QC verwerkt Review opmerkingen verwerkt Financiële paragraaf nader gespecificeerd Highberg QC commentaar verwerkt -

Review opmerkingen CISO verwerkt Opmerkingen Gemeentesecretaris en afdelingshoofd Bedrijfsvoering verwerkt Vastgesteld door opdrachtgever en MT Programmabesturing i.r.t. nader gespecificeerd Investeringen en kosten in afstemming met Prorgammaboard in lijn gebracht met Collegenota en dekkingsvoorstel

Verspreiding Jeroen de Graaf (CISO) Jeroen de Graaf (CISO) Steven Debets (Highberg QC, eerste review) Steven Debets (Highberg QC), Jeroen de Graaf (CISO), Arthur Vons (CC), Marc Cauwels (Adviseur ICT) Opdrachtgever; Adfelingshoofd Bedrijfsvoering MT gemeente Sluis Programmaboard; College en Raad; Programmadossier

Inhoudsopgave 1. 1.1 1.2

Inleiding ................................................................................................................................................ 3 Aanleiding van het programma ............................................................................................................... 3 Waarom een programma......................................................................................................................... 3

Programmadefinitie .................................................................................................................................. 4 2.1 Een programma gericht op de hele organisatie ....................................................................................... 4 2.2 Baten van het programma ....................................................................................................................... 5 2.3 Programmadoel ....................................................................................................................................... 5 2.4 Resultaten ................................................................................................................................................ 6 2.5 Scope (wat doen we wel, wat doen we niet) ............................................................................................ 6 2.6 Afhankelijkheden en omgeving ................................................................................................................ 6 2.7 Uitgangspunten, randvoorwaarden/beperkingen en programmarisico’s ................................................ 8

Programma- en projectorganisatie (en toekomstige IB-organisatie) .......................................................... 9 3.1 Besturing .................................................................................................................................................. 9 3.2 Programmaorganisatie en rollen ............................................................................................................. 9

Roadmap, projecten en planning ............................................................................................................ 13 4.1 Roadmap ................................................................................................................................................ 13 4.2 Projecten ................................................................................................................................................ 14 4.3 Inzet binnen programma en projecten ................................................................................................... 20

Investeringen en kosten .......................................................................................................................... 21 5.1 Uitwerking en onderbouwing ‘out of pocket’ kosten op programmaniveau .......................................... 21

Programmabeheersing ............................................................................................................................ 22 6.1 Risicomanagement................................................................................................................................. 22 6.2 Programmarisico’s ................................................................................................................................. 23 6.3 Kwaliteitsborging (Quality Control) ........................................................................................................ 24 6.4 Stuur en communicatiemiddelen ........................................................................................................... 24

Stakeholdermanagement en communicatie ............................................................................................ 24

Bijlagen ................................................................................................................................................... 26 8.1 Illustratie BIO-rapportage en Kwetsbaarhedenlog................................................................................. 26 8.2 Werkpakketten op basis van BIO hoofdstukken en thema’s ................................................................... 26

1. Inleiding 1.1

Aanleiding van het programma

De gemeente Sluis dient te voldoen aan de Europese Richtlijn NIS2 die op het moment nog tot een nationale wetgeving vertaald moet worden. De NIS2 ligt in lijn met de eisen die reeds worden gesteld in de Baseline Informatiebeveiliging Overheid (vanaf hier: BIO). Het programma gebruikt daarom de basis die de BIO biedt, om uiteindelijk aan de NIS2 eisen te voldoen. Dit document bevat het plan van aanpak voor het programma Informatiebeveiliging Sluis. Doel van dit programma is de digitale weerbaarheid van de gemeente te verhogen. Hiertoe zullen geselecteerde beheersmaatregelen worden ingericht ’op werkingsniveau’1. Dit geheel aan maatregelen zal aangevuld worden met een werkende PDCA-cyclus. Deze PDCA-cyclus biedt continue verbetering en is onderdeel van de reguliere P&C-cyclus. Daarnaast heeft de PDCA-cyclus een belangrijke rol in verantwoording richting intern en externe stakeholders en toezichthouders. Het Programma Informatiebeveiliging draagt bij aan de invulling van de eisen gesteld in de BIO, zoals uitgewerkt in de werkpakketten in bijlage 8.2. Om te komen tot een volledige BIO/NIS2 implementatie definieert het Programma vijf projecten, die zowel parallel als volgordelijk invulling geven aan de benodigde ontwikkeling van informatiebeveiliging.

Via diverse nulmetingen van het niveau van opzet, bestaan en werking van de beheersmaatregelen uit de BIO hebben wij hiervoor werkpakketten en een roadmap opgesteld. Het programmanagement beheerst op overkoepelend programmaniveau de afhankelijkheden tussen de projecten en hun (deel)resultaten.

1.2

Waarom een programma

Een programma wordt gedefinieerd als: “Een tijdelijk organisatieverband, ontworpen om sturing te geven aan diverse onderling verbonden projecten en lijnactiviteiten, met als doel het stapsgewijs realiseren van uitkomsten die baten opleveren voor één of meer organisaties.” Een belangrijk verschil met projecten is daarbij niet alleen dat een programma integrale sturing geeft over samenhangende deelprojecten, maar vooral dat hierbij ook een combinatie wordt gemaakt met bestaande- en nieuwe lijnactiviteiten. Dit kan verwarrend zijn, zeker omdat projecten ook vaak een bezetting kennen vanuit de lijnorganisatie. Naast coördinatie over meerdere projecten is er echter nog een belangrijke reden om de uitdaging van de gemeente Sluis programmamatig aan te vliegen: door onderdelen direct als lijnactiviteit op te pakken hoeft op later moment geen overdracht plaats te vinden vanuit een tijdelijke projectorganisatie. Op deze manier is er tevens sprake van een aantoonbare werking en vaardigheden binnen de lijnorganisatie op het gebied van informatiebeveiliging. Binnen de programma aanpak en roadmap accepteert gemeente Sluis dat de BIO beheersmaatregelen nog niet direct op het gewenste (volwassenheid)niveau zijn, omdat de roadmap ook de route aangeeft waarop de gemeente dit in de komende jaren realiseert.

Een programma levert een organisatie namelijk vaardigheden waarmee de organisatie vervolgens grotendeels zelfs de baten zal realiseren. Projecten leveren daarbinnen de resultaten (producten) die deze vaardigheden ondersteunen.

1 Zie §2.3 voor definitie van werkingsniveau.

2 2.1

Programmadefinitie Een programma gericht op de hele organisatie

Informatiebeveiliging en een veilige gemeente vereisen activiteiten en verandering in alle onderdelen en lagen van de gemeentelijke organisatie. De Baseline Informatiebeveiliging Overheid (BIO) biedt hiervoor het kader. De uitwerking hiervan geldt dus, in meer- en mindere mate, voor alle betrokken bij de gemeente. Figuur 1 illustreert hoe het programma en de onderliggende projecten gedurende de looptijd optrekken met de lijnorganisatie, met als doel deze uiteindelijk de complete beheersing te laten uitvoeren.

Figuur 1: samenspel programma- en lijnorganisatie gedurende de looptijd van het programma

Informatiebeveiliging is daarbij geen ‘ICT-exercitie’. Zo heeft de VNG bijvoorbeeld naast het inhoudelijke kader van de BIO ook ’10 bestuurlijke principes voor informatiebeveiliging’ heeft gepubliceerd2. Deze worden dan ook meegenomen in de uitwerking van het programma en de deelprojecten: ▪ Bestuurders bevorderen een veilige cultuur; ▪ Informatiebeveiliging is van iedereen; ▪ Informatiebeveiliging is risicomanagement; ▪ Risicomanagement is onderdeel van de besluitvorming; ▪ Informatiebeveiliging behoeft ook aandacht in (keten)samenwerking; ▪ Informatiebeveiliging is een proces; ▪ Informatiebeveiliging kost geld; ▪ Onzekerheid dient te worden ingecalculeerd; ▪ Verbetering komt voort uit leren en ervaring; ▪ Het bestuur controleert en evalueert. Figuur 2: Bij de totstandkoming van dit programmaplan zijn diverse bronnen en beschikbare producten gehanteerd. Deze zullen ook gedurende de uitvoering van het programma worden benut.

De 10 bestuurlijke principes voor informatiebeveiliging, behorende bij de Baseline Informatiebeveiliging Overheid (BIO), VNG 2019 (link)

2.2

Baten van het programma

De belangrijkste baten van het programma betreffen het veilig en weerbaar worden, en het veilig en weerbaar blijven van de gemeente Sluis en alle betrokkenen bij de gemeente (zoals o.a. medewerkers, inwoners en lokale bedrijven). Deze baten worden in de deelprojecten van het programma vertaald naar ‘vaardigheden’ waar de gemeente over dient te beschikken over weerbaar te worden én te blijven. De deelprojecten realiseren producten die de gemeente helpen bij het ontwikkelen van deze vaardigheden. Het programma zorgt dat de gezamenlijke resultaten van de projecten ook tot vaardigheden binnen de organisatie leiden. De ontwikkeling van deze baten zullen ook gepaard gaan met meer nadelige uitkomsten, ook wel ‘disbenefits’ genoemd. Bijvoorbeeld omdat Veilig werken op gespannen voet kan staan met ‘makkelijk’ werken, of omdat een afdeling anders moet gaan werken ten gunste van de weerbaarheid van een andere afdeling. Dergelijke zaken kunnen leiden tot demotivatie in de organisatie. In de projecten zal als onderdeel van de communicatie naast de realisatie van de ‘positieve baten’ dan ook aandacht worden besteed aan deze ‘negatieve baten’.

2.3

Programmadoel

Doel van dit programma is de digitale weerbaarheid van de gemeente te verhogen. Hiertoe zullen diverse beheersmaatregelen worden ingericht ’op werkingsniveau’. Met werkingsniveau wordt bedoeld dat het proces goed gedefinieerd is, gebruik maakt van middelen van de organisatie en in de praktijk structureel haar doel bereikt, aantoonbaar, continu op georganiseerde wijze. Dit geheel aan maatregelen en de beheersorganisatie hieromheen, die onderdeel zijn van het Information Security Management Systeem, zal voorzien zijn van een werkende PDCA-cyclus. De PDCA-cyclus biedt continue verbetering en ten behoeve van verantwoording (intern en richting toezichthouder). Bij het realiseren van de doelen zal ook gebruik worden gemaakt van de normeringen en definities zoals opgenomen in de ISO27001 normering. Uitgangspunt hierbij is dat alle activiteiten en resultaten binnen het programma bijdragen aan deze normering, of er op zijn minst niet aan afdoen. Compliance of certificering aan ISO-27001 valt echter niet onder de scope van het programma (zie §2.5). Het Programma Informatiebeveiliging draagt bij aan de invulling van eisen gesteld in de Baseline Informatiebeveiliging Overheid (vanaf hier: BIO). Vanuit de Europese Richtlijn NIS2 worden de eisen uit het BIOnormenkader op dit moment tevens vertaald naar nationale wetgeving. Naar verwachting zal dit uitmonden in de BIO2.0.

In de uitwerking van dit programmaplan wordt al rekening gehouden met deze overgang, wanneer de BIO2.0 daadwerkelijk beschikbaar komt zullen programma- en projectplannen hierop worden herijkt.

Figuur 3: grafische weergave van een ‘ISMS’

2.4

Resultaten

Veilig worden:

a) Implementeren van BIO maatregelen, op werkingsniveau en ‘ISO27001 proof’, tenzij onderbouwd; b) Inrichten van de aansturing en rapportage voor informatiebeveiliging (governance); c) Technische en procesmatige inventarisatie van kwetsbaarheden, eventueel middels de inzet van (reeds bestaande) periodieke, technische security scan; d) Oplossen van openstaande security issues; e) Opvolgen van openstaande auditaanbevelingen; f) Ondersteunen van projecten op het aspect informatiebeveiliging; g) Het geven van awareness trainingen en voorlichting; h) Het ondersteunen van proceseigenaren bij het uitvoeren van risicoanalyses; i) Opstellen en beheren van een actueel risicoregister, inclusief maatregelen en actiehouders; j) Uitwerken en beleggen minimaal noodzakelijke securityprocessen en -procedurebeschrijvingen. Veilig blijven (information security management):

Evalueren, opstellen, aanpassen, laten goedkeuren en uitdragen van beleid voor informatiebeveiliging en eventuele onderliggende normen wanneer nodig; b) Uitwerken en invoeren van security management processen; c) Inrichten van toekomstbestendige, interne Informatiebeveiligingsorganisatie passend bij gemeente Sluis; d) Afhandelen van security incidenten en adviseren op de security aspecten van datalekken; e) Bewaking van de naleving van het beleid voor informatiebeveiliging en de rapportage hierover; f) Training en opleiding m.b.t. de processen en beleid die volgen uit de diverse projecten; g) Adviseren van het management over actuele risico’s en het voorstellen van oplossingen om deze het hoofd te bieden; h) Uitvoeren en opstellen marktverkenning/inkoop van diensten en producten die bij ICT nodig zijn; i) Onderhouden van de Roadmap; j) Inrichten van derde partij risicomanagement richting IT leveranciers;

2.5

Scope (wat doen we wel, wat doen we niet)

In scope, wat doen we wel: Implementatie van de Baseline Informatiebeveiliging Overheid (BIO) op werkingsniveau: het proces is goed gedefinieerd, maakt gebruik van middelen van de organisatie en haalt in de praktijk structureel haar doel, aantoonbaar, continu op georganiseerde wijze. Buiten scope, wat doen we niet: Afronden van ISO27001-certificering. Het programma richt zich op voldoen aan de Baseline Informatiebeveiliging Overheid, binnen 2,5 jaar en vooruitlopend op NIS2-wetgeving. In tegenstelling tot de ISO betreft de BIO een verplichte norm. Alle activiteiten en resultaten binnen het programma dragen wel bij aan ISO-normering, die op termijn gevolgd kan worden door certificering. Wanneer, om aan de BIO te voldoen, maatregelen moeten worden genomen die afdoen aan de ISO, wordt dit onderbouwd en geborgt dat dit tijdelijke maatregelen blijven; Overige certificeringen die onder het onderwerp Informatiebeveiliging vallen.

2.6

Afhankelijkheden en omgeving

Het programma en de deelprojecten bestaan niet op zichzelf maar moeten hun resultaten behalen in én met de programmaomgeving. Dit betreft om te beginnen de organisatie van de gemeente zelf, die een groot deel van de inspanning en bezetting van programma en projecten zal verzorgen. Op haar beurt is ook de gemeente afhankelijk van haar omgeving, en maakt de organisatie gebruik van dienstverlening door externe partijen. Deze paragraaf bevat een schets van deze omgeving en externe dienstverlening. Uiteindelijk zullen de afhankelijkheden per project verschillen, en dus ook specifiek ingevuld en beheerst worden.

Interne ontwikkelingen: Programma Strategisch Informatiebeleid

Mogelijke verhuizing Gemeentehuis

Visie Vernieuwing Dienstverlening

Introductie portfoliomanagement

Project rechtmatigheid

Betreft afhankelijkheden en raakvlakken op gebied van beleidsontwikkeling, vervanging legacy systemen (zaaksysteem), ontwikkeling compliance beveiliging informatiestromen (Modernisering Elektronisch Berichtenverkeer) en gezamenlijke claim op schaarse capaciteit. Betreft lopende ontwikkelingen, betreft voor dit programma vooralsnog vooralsnog impact op gebied fysieke beveiliging, technische maatregelen en als gevolg van keuzes wat betreft mogelijke Cloudstrategie. De visie Vernieuwing Dienstverlening is in de maak en wordt in de loop van 2024 gepresenteerd. Deze visie zal komende jaren leidend zijn in een aantal ontwikkelingen binnen de gemeente. Vanuit het programma Strategisch Informatiebeleid wordt momenteel invulling gegeven aan de vernieuwing/implementatie van een zaaksysteem. In de Visie zal ook ‘veilige dienstverlening’ een aspect zijn. Aan dit onderdeel zal dit programma mede invulling geven. Gedurende de looptijd zal het programma dan ook aan de visie worden getoetst. De gemeente Sluis heeft project- en portfoliomanagement omarmd als methode om als organisatie wendbaar te kunnen zijn. Doel is te komen tot gerichte en transparante besturing in de realisatie van bestuurlijke ambities en organisatiedoelstellingen. Binnen portfoliomanagement zijn inmiddels een aantal kaders, procedures en voorgeschreven (project)producten opgeleverd.

Het programma IB Sluis conformeert zich aan deze werkwijze en zal indien mogelijk een bijdrage leveren aan de verdere invulling van portfoliomanagement en de professionalisering van projectmatige werken. Afhankelijkheid bestaat uit verdere invoering van contractmanagement, waaronder ook borging van IB-aspecten in zowel uitvraag, contract(ering) en contractbewaking. Dit in nauwe afstemming met de in te richten IB-organisatie (i.c. de informatiebeveiligingsadviseur en CISO)

Omgeving (programma)organisatie: Provincie/gemeenten Regionale samenwerking, zowel in IB als dienstverlening en bedrijfsvoering, delen best practices. Auditors en accountant Aansluiting op gewenste controls, niveaus en definities. VNG/IBD Handreikingen, kaders, best practices. Leveranciers: Centric -

Aon KnowBe4/ECM CyberCloud xixo Aces IT insight

qmatic KPN Delta Telecom security HPS logius

Alle vak applicaties tot betrekking tot lokale overheid financiën sociaal domein gemeentelijke kern applicaties Cyber risico evaluatie en cyber risico verzekering, BCM Security awareness programma Pentesting en rapportage kwetsbaarheden Support op firewall en wifi (ook exchange naar nieuwe omgeving) Vmware support veeam backup (office 356 backup) 356 omgeving geïmplementeerd en Intune mobile device management Sharepoint Klantvolgsysteem (in het KZC) Gemnet (beveiligd netwerk gemeenten) Alle internet verbindingen alle locaties en werkplekken Camera beveiliging en toegangs controle Telefoon centrale zip trunk Certificaten en DigiD

2.7

creaim Eye-security BCT Validsign Xential Cognos Koopkracht Eightfence Blaud Insight PCI ECM Enerse

E-herkenning (abonnementen ) Monitoring SIEM oplossing DMS Digitale ondertekening Software documentgeneratie Business intelligence (rapportages)

Awareness video’s Architectuur en datamanagement

Uitgangspunten, randvoorwaarden/beperkingen en programmarisico’s -

Weinig projectleiders ter beschikking (inhuur als mogelijke maatregel); Kennis-, expertise én capaciteit op ICT-gebied is zeer beperkt en komt samen bij dezelfde persoon (backfill als mogelijk deel van oplossing); Bezetting medewerkers vereist op meerdere projecten (inhuur of backfill als mogelijke maatregel); Afhankelijkheid leveranciers (beheersing via reguliere lijnafspraken en werkwijze); Er bestaat een kans dat maatregelen een desinvestering zullen blijken omdat sprake is van mogelijke verhuizing van de gemeentelijke organisatie, dit geldt met name wat betreft fysieke beveiliging.

3 3.1

Programma- en projectorganisatie (en toekomstige IB-organisatie) Besturing

De besturing van het programma en de onderliggende projecten wordt zo ‘lean’ mogelijk ingevuld binnen een centrale programmaboard, inclusief kwaliteitsborging (Quality Control) en vanzelfsprekend binnen kwalitatieve kaders en methoden. Hiermee wordt voorkomen dat voor ieder project aparte stuurgroepen en stuurgroep meetings worden ingepland. Dit vereist wel dat vanuit de project- en programma coördinatie transparante en gestructureerde informatievoorziening (stuurinformatie) over de diverse projecten wordt verzorgd aan de programmaboard. Deze stuurinformatie behelst zowel de procesmatige voortgang van de geplande activiteiten als inhoudelijke voortgang als gevolg van de resultaten hiervan. Voor de procesmatige voortgang vormen dit programmaplan en de onderliggende projectplannen de basis. Voor de inhoudelijke voortgang zal worden aangesloten op twee producten die in de voorbereiding op dit plan zijn opgezet, te weten de BIO-rapportage en het Kwetsbaarhedenlog (zie voor meer info §6.4).

3.2

Programmaorganisatie en rollen

3.2.1 Programmaorganisatie Figuur 2 illustreert de programmaorganisatie waarmee de beoogde doelen worden gerealiseerd. Dit behelst zowel de projectinvulling als de generieke besturing en het kwaliteitsmanagement. In het vervolg van deze paragraaf worden de diverse programmarollen nader toegelicht.

Figuur 4: illustratie programmaorganisatie

3.2.2 Besturing vanuit Programmaboard en Managementteam Programmaboard De programmaboard bestuurt maandelijks op basis van de door de programmamanager aangeleverde voortgangsrapportage de voortgang en realisatie van het programma en de onderliggende projecten. De programmaboard bestaat uit: de direct betrokken MT-leden (opdrachtgever en afdelingshoofs Bedijfsvoering) een quality assurance functie gevormd door de CISO en Concern Controller. Managementteam Eens per kwartaal wordt een kwartaalrapportage voorgelegd aan het Managementteam van de gemeente. Onder deze rapportage vallen ook belangrijke mijlpalen binnen het programma, zoals de periodieke herijkingen van dit programmaplan, inclusief de financiële paragraaf, en eventuele projectplannen. De kwartaalrapportage heeft een informerend karakter, waarbij ook eventuele besluitvorming over onderwerpen -na afstemming binnen de programmaboard- aan het MT kan worden voorgelegd.

3.2.3 Rollen binnen het programma Senior Responsible Owner/Opdrachtgever en ‘project sponsor’: Gemeentesecretaris De gemeentesecretaris treedt in het programma op als opdrachtgever en ‘senior responsible owner’ namens de gemeente. De gemeentesecretaris is tevens voorzitter van de programmaboard en is de verbinding tussen het programma, het College en de Raad. De belangrijkste verantwoordelijkheid van deze rol is het zorgen dat het programma en haar projecten hun doelen halen en de beoogde baten realiseren. De belangrijkste taak hierbij is verzorgen dat aan de randvoorwaarden wordt voldaan en in de benodigde middelen wordt voorzien. Lid programmaboard en ‘project sponsor’: Afdelingshoofd Bedrijfsvoering De afdelingshoofden zijn lid van de programmaboard en vervullen voor de projecten de rol van project sponsor’.3 Hun belangrijkste verantwoordelijkheid is het realiseren van de gewenste baten vanuit het programma, als resultaat binnen hun organisatieonderdeel. Dit valt grofweg uiteen in drie hoofdtaken, waarbij de projecten logischerwijs op basis van inhoud tussen de afdelingshoofden worden verdeeld:

• • •

vanuit hun onderdeel van de lijnorganisatie beschikbaar stellen van capaciteit en middelen om de benodigde onderliggende projectresultaten op te kunnen leveren; zorgdragen dat benodigde lijnactiviteiten die worden gedefinieerd om de programmadoelen te realiseren tijdig en binnen de programma roadmap en projectplanning worden uitgevoerd; zorgdragen dat de nieuwe mogelijkheden goed worden ingebed in de bedrijfsvoering en dat hun organisatie onderdeel in staat is met deze nieuwe mogelijkheden de uiteindelijke baten te realiseren.

Bovenstaande betekent dat dit voor de afdelingshoofden met name een sturende en faciliterende rol betreft, maar op bepaalde gebieden of momenten ook de mogelijkheid bestaat dat op uitvoerend niveau specifieke activiteiten of inzet van hen zelf wordt verwacht. Quality Control: CISO en Concern Controller De CISO en Concern Controller van de gemeente fungeren binnen het programma als Quality Control. Vanuit deze hoedanigheid nemen zijn deel aan de programmaboard, en adviseren zij c.q. stellen zij kaders voor de zowel het programma als de deelprojecten op het gebied van kwaliteit aangaande de (acceptatie van) projectdeliverables.

3 in programmamanagement wordt deze rol ook wel ‘Business Change Manager’ genoemd, omdat deze als lijnmanager verantwoordelijk

blijft voor de verandering in de afdeling van de organisatie zelf.

Programmamanager: De belangrijkste verantwoordelijkheid van deze rol is de coördinatie en beheersing van het programma en de projecten. De belangrijkste taken hierbij zijn: • definiëren, toedelen en aansturen van activiteiten van programmateam en projectleiders op basis van programmaplan en specifieke projectplannen of werkpakketten; • bewaken en bijstellen van de programma activiteiten wat betreft voortgang en afhankelijkheden, binnen de afgesproken tolerantiegrenzen; • periodieke rapportage over het programma aan opdrachtgever en programmaboard, signaleren en indien noodzakelijk escaleren van knelpunten; • bewaken van de kwaliteit van het programma en functionaliteit van opgeleverde projectproducten, binnen de afgesproken kaders; • financieel beheer van het programma en projecten. Projectleider(s): De belangrijkste verantwoordelijkheid van deze rol is de coördinatie en beheersing van het deelproject, inhoudelijke advisering en uitvoering, en de tijdige en kwalitatieve oplevering van de projectresultaten.

De belangrijkste taken hierbij zijn: • definiëren, toedelen en aansturen van activiteiten van projectteam op basis van projectplan en specifieke projectplannen of werkpakketten; • opstellen/ontwikkelen en implementeren van (BIO-)producten • bewaken en bijstellen van de projectactiviteiten wat betreft voortgang en afhankelijkheden, binnen de afgesproken tolerantiegrenzen; • periodieke rapportage over het project aan programmamanagement, signaleren en indien noodzakelijk escaleren van knelpunten; • bewaken van de kwaliteit van het project en functionaliteit van opgeleverde projectproducten, binnen de afgesproken kaders; • financieel beheer van het project binnen de programmabeheersing. Programmamanagement Ondersteuning (PMO): Leverancier De PMO’er administreert, ondersteunt en bewaakt als rechterhand van de programmamanager de processen en voortgang van het programma en de onderliggende projecten op de aspecten Tijd, Geld en Kwaliteit (planning budget en, rapportage). Vanuit het dit continue contact hierover met betrokken partijen behelst deze rol ook de continue optimalisatie van de (beheers)processen. De rol van PMO kan worden aangevuld met meer specifieke, inhoudelijke taken, zowel in de beheersing als in de realisatie. Concreet zal de PMO een centrale rol vervullen in de risicobeheersing (van identificatie tot bewaking en rapportage).

Ook kan – in overleg – een beroep op de PMO worden gedaan bij te dragen aan de ontwikkeling van beleid, procedures en processen op het gebied van Informatiebeveiliging. Risicomanager: uitvoering door PMO De risicomanager is verantwoordelijk voor correcte inrichting en uitvoering van het risicomanagement. Dit betreft taken als het beheren van het risicolog, ondersteunen van risicoanalyse, verzorgen van de risicorapportage en het najagen van risico actiehouders en eigenaren; Voorstel is deze rol in te laten vullen door PMO, onder verantwoordelijkheid Programmamanager Stakeholder manager: Communicatie adviseur, gemeente Sluis De stakeholdermanager organiseert, bewaakt en verbetert het proces waarmee alle belanghebbenden bij het programma en de onderliggende projecten betrokkenen worden en blijven. Van het systematisch identificeren van belanghebbenden; het analyseren van hun behoeften en verwachtingen tot het plannen en uitvoeren van verschillende taken om met hen in contact te komen en te blijven. Gezien de omvang van de organisatie en de relaties met aanpalende programma’s ligt het voor de hand deze rol te combineren binnen de bestaande lijnfunctie die ook de interne communicatie verzorgt.

Het systematisch identificeren van belanghebbenden, analyseren van behoeften en verwachtingen en plannen van communicatie zal in de praktijk een samenwerking zijn tussen de stakeholdermanager, de programmamanager en de projectleiders, waarbij de stakeholdermanager coördinerend optreedt en adviseert.

Vertegenwoordiging organisatie afdelingen: leden Informatiebeveiligingsplatform De leden van het Informatiebeveiligingsplatform zullen, al naar gelang de stakeholderanalyse op projectniveau dit aangeeft, worden betrokken bij de uitvoering dan wel worden geinformeerd over de uitvoering. Dit vanuit hun reguliere rol en verantwoordelijkheid als lid van dit platform.

4 4.1

Roadmap, projecten en planning Roadmap

Deze paragraaf bevat de ‘roadmap’ voor de programma Informatiebeveiliging Sluis op het niveau van projecten en onderliggende thema’s uit de BIO. Nadere verdieping vanuit deze thema’s in controls en – uiteindelijk – maatregelen vindt plaats in de projecten. Op control niveau geeft dit programmaplan hiervoor reeds een aanzet, detaillering in daadwerkelijk uit te voeren maatregelen, planning en realisatie daarvan vindt per project plaats als onderdeel van de projectdefinitie. De planvorming van de projecten vindt plaats in lijn met de roadmap van het programma, zodat ook onderlinge relaties in beeld komen én blijven. De belangrijkste mijlpalen voor het programma en de onderliggende projecten zijn: FASE 1: Veilig worden Gedetailleerde faseplannen voor deze fase op basis van de werkpakketten voor alle projecten. Alle ‘critical’ en ‘high’ geclassificeerde risico’s zijn gemitigeerd, doordat de betreffende beheersmaatregelen op werkingsniveau aantoonbaar zijn geïmplementeerd. Er is een proces ingericht voor de beheersing van risico’s en kwetsbaarheden die vanaf dat moment worde n geconstateerd. Er is een plan van aanpak (programmaplan en aanvullende projectplannen) voor de periode t/m 2026, inclusief de overdracht naar de lijnorganisatie vanuit projecten gedurende die periode.

FASE 2: Veilig blijven Alle beheersmaatregelen (het geheel van een ISMS) zijn op werkingsniveau geïmplementeerd. Vanuit deze twee fases en de projectverkaveling gebaseerd op BIO thema’s ontstaat dan op hoofdlijnen onderstaande roadmap voor de periode 2024-2026. Deze roadmap visualiseert tevens - met name op themaniveau – dat de inzet op de projecten over de periode 2024-2026 wordt verdeeld. Dit geldt zowel binnen de totale roadmap en de projecten, als binnen de projecten zelf die in de volgende paragrafen zijn uitgewerkt. Deze verdeling is tot stand gekomen door i) een inschatting van de urgentie van thema’s activiteiten vanuit de gedachte ‘Veilig worden en veilig blijven’, ii) doordat om uiteenlopende redenen realistisch uitgangspunt is voor een aantal thema’s een langere termijn voor realisatie te hanteren en iii) door te kijken naar logische volgorde van activiteiten (zoals eerst beleid opstellen, dan implementeren). Deze verdeling over de fases en jaren fungeert tevens als mitigerende maatrelen op de schaarste in beschikbare middelen/inzet.

Figuur 5: Roadmap Informatiebeveiliging Sluis (programmaniveau)

4.1.1.1 Projecten Op basis van de BIO en NIS2 is een verkaveling gevormd van projecten die binnen het programma zullen bijdragen aan de realisatie van de doelen. Deze verkaveling leidt tot 5 projecten waarbinnen de gehele BIO wordt geadresseerd en geïmplementeerd, op zowel opzet- als werkingsniveau. De hoofdstukken van de BIO bevatten meerdere controls die uitgevoerd moeten worden voor het implementeren van de hoofdstukken. Deze controls hebben een directe relatie tot de deliverables op basis waarvan bij oplevering aantoonbaar kan worden gemaakt dat de implementatie op een (op dat moment) afgesproken niveau is uitgevoerd. De projecten starten niet sequentieel, maar tegelijk. Op niveau van producten en controls wordt vervolgens een volgordelijkheid vastgesteld die met name gebaseerd zal zijn op onderlinge afhankelijkheden tussen 1) de op te leveren resultaten en 2) de beschikbare capaciteit om deze resultaten te realiseren (niet te veel tegelijk). Per project zal een verdere verdieping plaatsvinden van benodigde inzet, specifieke afhankelijkheden, acceptatiecriteria van de producten en verantwoordelijkheid bij- en besturing van de realisatie op productniveau. Hiervoor wordt gebruik gemaakt van generiek opgestelde werkpakketten die aansluiten op de projectscope én de hoofdstukken, thema’s en controls van de BIO.

In bijlage 8.2 is een eerste invulling voor alle werkpakketten opgenomen. Deze zullen in de respectievelijke projectdefinities verder worden uitgewerkt en vastgesteld. Bronnen hiervoor zijn onder andere de nieuw opgezette BIO-rapportage en Kwetsbaarhedenlog.

Om de projectdefinitie en prioritering van projectactiviteiten te kunnen maken (en daarna besturen) is het van belang de rapportageproducten ‘BIO-rapportage’ en ‘Kwetsbaarhedenlog’ inhoudelijke te blijven vullen en hanteren. Project 1: IB-organisatie en Beleid In dit project worden de hoofstukken 5, 6, 8 en 9 van de BIO aangepakt. Deze hoofdstukken richten zich meer op het opstellen van beleidsstukken voor de organisatie. Projectdoelen (incl. BIO-verwijzing): 1. Het verschaffen van directieaansturing van en -steun voor informatiebeveiliging in overeenstemming met bedrijfseisen en relevante wet- en regelgeving. (5.1) 2. Een beheerkader vaststellen om de implementatie en uitvoering van de informatiebeveiliging binnen de organisatie te initiëren en te beheersen. (6.1) 3. Het waarborgen van de veiligheid van telewerken en het gebruik van mobiele apparatuur. (6.2) 4. Bewerkstelligen dat informatie een passend beschermingsniveau krijgt dat in overeenstemming is met het belang ervan voor de organisatie. (8.2) 5. Zorgen voor correct en doeltreffend gebruik van cryptografie om de vertrouwelijkheid, authenticiteit en/of integriteit van informatie te beschermen. (10.1) Projectplanning (op niveau BIO thema’s en controls)

Figuur 6 Hoofdlijnenplanning project Organisatie en beleid (niveau thema en controls)

Projectdeliverables (incl. Bio verwijzing): Uit de controls en maatregelen zoals beschreven onder dit thema van de BIO volgen voor dit project op hoofdlijnen de volgende voorbeelden van projectproducten (deliverables), welke in de werkpakketten van het project nader zullen worden gespecifieerd: Projectproduct/deliverable Informatiebeveiligingsbeleid, periodieke beoordeling van beleid Ontwerp IB-organisatie (Beheerkader om implementatie en uitvoering van de informatiebeveiliging binnen organisatie te kunnen beheersen)4 Beleid voor mobiele apparatuur, beleid voor thuiswerken/ op afstand werken

BIO control 5.1 6.1 6.2

4 Vanuit VNG/IBD is een handreiking “Team op sterkte” opgeleverd van een minimaal benodigde invulling en rollen die

geborgd dienen te zijn in een IB-organisatie om de informatiebeveiliging in gemeenten te kunnen beheersen. Vanuit deze handreiking zal de ontwerp IB-organisatie voor de gemeente Sluis worden vormgegeven, in de meerjarige programmabegroting is hier reeds op geanticipeerd.

Classificeren van informatie Beleid voor toegangsbeveiliging Cryptografiebeleid Beleid en procedures voor informatietransport Beleid voor beveiligd ontwikkelen

8.2 9.1.1 10.1 13.2.1 14.2.1

Project 2: Continuïteit bedrijfsvoering, monitoring & response In dit project worden de hoofstukken 12, 16, 17 en 18 van de BIO aangepakt. Deze hoofdstukken richten zich meer op de continuïteit & beheersing van de organisatie. Projectdoelen (incl. BIO-verwijzing): 1. Correcte en veilige bediening van informatie verwerkende faciliteiten waarborgen. (12.1) 2. Gebeurtenissen vastleggen en bewijs verzamelen. (12.4) 3. De impact van auditactiviteiten op uitvoeringssystemen zo gering mogelijk maken. (12.7) 4. Een consistente en doeltreffende aanpak bewerkstelligen van het beheer van informatiebeveiligingsincidenten, met inbegrip van communicatie over beveiligingsgebeurtenissen en zwakke plekken in de beveiliging. (16.1) 5. Informatiebeveiligingscontinuïteit behoort te worden ingebed in de systemen van het bedrijfscontinuïteitsbeheer van de organisatie. (17.1) 6. Voorkomen van schendingen van wettelijke, statutaire, regelgevende of contractuele verplichtingen betreffende informatiebeveiliging en beveiligingseisen. (18.1) 7. Verzekeren dat informatiebeveiliging wordt geïmplementeerd en uitgevoerd in overeenstemming met de beleidsregels en procedures van de organisatie. (18.2) Projectplanning (op niveau BIO thema’s en controls)

Figuur 7 Hoofdlijnenplanning project Continuïteit bedrijfsvoering, monitoring en respons (niveau thema en controls)

Projectdeliverables (incl. BIO-verwijzing): Uit de controls en maatregelen zoals beschreven onder dit thema van de BIO volgen voor dit project op hoofdlijnen de volgende voorbeelden van projectproducten (deliverables), welke in de werkpakketten van het project nader zullen worden gespecifieerd: Projectproduct/deliverable Gedocumenteerde Bedieningsprocedure, procedure wijzigingsbeheer, Logregels en logbestanden maken en beschermen Directiebeoordeling, incidentenlog, Classificeren van informatie Informatiebeveiligingscontinuïteit ingebed in het bedrijfscontinuïteitsbeheer van de organisatie. Registratie en beheer van alle relevante wettelijke statutaire, regelgevende, contractuele eisen voor elk informatiesysteem en de organisatie, inclusief de aanpak van de organisatie om aan deze eisen te voldoen. ISMS beoordeling en naleven van IB

BIO control 12.1 12.4 12.7 16.1 17.1 18.1

18.2

Project 3: Technische & fysieke beveiliging bedrijfsvoering In dit project worden de hoofstukken 8, 10, 11, 12, 13 en 17 van de BIO aangepakt. Deze hoofdstukken richten zich meer op de continuïteit & beheersing van de organisatie. Projectdoelen (incl. BIO-verwijzing): 1. Bedrijfsmiddelen van de organisatie identificeren en passende verantwoordelijkheden ter bescherming definiëren. (8.1) 2. Onbevoegde openbaarmaking, wijziging, verwijdering of vernietiging van informatie die op media is opgeslagen voorkomen. (8.3) 3. Toegang tot informatie en informatie verwerkende faciliteiten beperken. (9.1) 4. Onbevoegde toegang tot systemen en toepassingen voorkomen. (9.4) 5. Onbevoegde fysieke toegang tot, schade aan en interferentie met informatie en informatie verwerkende faciliteiten van de organisatie voorkomen. (11.1) 6. Verlies, schade, diefstal of compromittering van bedrijfsmiddelen en onderbreking van de bedrijfsvoering van de organisatie voorkomen. (11.2) 7. Waarborgen dat informatie en informatie verwerkende faciliteiten beschermd zijn tegen malware. (12.2) 8. Beschermen tegen het verlies van gegevens. (12.3) 9. De integriteit van operationele systemen waarborgen. (12.5) 10. Benutting van technische kwetsbaarheden voorkomen. (12.6) 11. De bescherming van informatie in netwerken en de ondersteunende informatie verwerkende faciliteiten waarborgen. (13.1) 12.

Handhaven van de beveiliging van informatie die wordt uitgewisseld binnen een organisatie en met een externe entiteit. (13.2) 13. Beschikbaarheid van informatie verwerkende faciliteiten bewerkstelligen. (17.2)

Projectplanning (op niveau BIO-thema’s en controls)

Figuur 8 Hoofdlijnenplanning project Technische en fysieke beveiliging bedrijfsvoering (niveau thema en controls)

Projectdeliverables (incl. BIO-verwijzing): Uit de controls en maatregelen zoals beschreven onder dit thema van de BIO volgen voor dit project op hoofdlijnen de volgende voorbeelden van projectproducten (deliverables), welke in de werkpakketten van het project nader zullen worden gespecifieerd: Projectproduct/deliverable Verantwoordelijkheid bedrijfsmiddelen Procedure voor behandelen media Toegangsbeperkende maatregelen Afdwingen wachtwoordbeleid Procedures fysieke beveiliging Procedures/(beleid?) beveiliging apparatuur Maatregelen toepassen/ kwetsbaarheden weg werken Back-up maatregelen nemen en kwetsbaarheden wegwerken Procedures ingericht om het op operationele systemen installeren van software te beheersen.

BIO control 8.1 8.3 9.1 (m.u.v. 9.1.1) 9.4 11.1 11.2 12.2 12.3 12.5

Kwetsbaarhedenlog Netwerk kwetsbaarheden weg werken, netwerkbeveiligen en netwerk scheiden (Beleid?) voor informatie transport, overeenkomsten informatietransport /vertrouwelijk/geheime overeenkomst Informatie verwerkende faciliteiten redundantie

12.6 13.1 13.2 17.2

Project 4: Veilig personeel In dit project worden met name hoofdstuk 7 en 9 van de BIO aangepakt. Deze hoofdstukken richten zich op het personeel en hun gegevens hiervan binnen de organisatie. Projectdoelen (incl. BIO-verwijzing): 1. Waarborgen dat medewerkers en contractanten hun verantwoordelijkheden begrijpen en geschikt zijn voor de rollen waarvoor zij in aanmerking komen. (7.1) 2. Ervoor zorgen dat medewerkers en contractanten zich bewust zijn van hun verantwoordelijkheden op het gebied van informatiebeveiliging en deze nakomen. (7.2) 3. Het beschermen van de belangen van de organisatie als onderdeel van de wijzigings- of beëindigingsprocedure van het dienstverband. (7.3) 4. Toegang voor bevoegde gebruikers bewerkstelligen en onbevoegde toegang tot systemen en diensten voorkomen. (9.2) 5. Gebruikers verantwoordelijk maken voor het beschermen van hun authenticatie-informatie. (9.3) Projectplanning (op niveau BIO thema’s en controls)

Figuur 9 Hoofdlijnenplanning project Veilig personeel (niveau thema en controls)

BIO control 7.1 7.2 7.3 9.2 9.3

Project 5: Leveranciers- en contractmanagement (externe IB afhankelijkheid) In dit project worden de hoofstukken 14 en 15 van de BIO aangepakt. Deze hoofdstukken richten zich meer op dienstverlening door leveranciers voor de organisatie, en de eisen die de organisatie aan deze dienstverlening stelt. Projectdoelen (incl. BIO-verwijzing): 1. Waarborgen dat informatiebeveiliging integraal deel uitmaakt van informatiesystemen in de gehele levenscyclus. Hiertoe behoren ook de eisen voor informatiesystemen die diensten verlenen via openbare netwerken. (14.1) 2. Bewerkstelligen dat informatiebeveiliging wordt ontworpen en geïmplementeerd binnen de ontwikkelingslevenscyclus van informatiesystemen. (14.2) 3. Bescherming waarborgen van gegevens die voor het testen zijn gebruikt. (14.3) 4. De bescherming waarborgen van bedrijfsmiddelen van de organisatie die toegankelijk zijn voor leveranciers. (15.1) 5. Een overeengekomen niveau van informatiebeveiliging en dienstverlening in overeenstemming met de leveranciersovereenkomsten handhaven. (15.2) Projectplanning (op niveau BIO-thema’s en controls)

Figuur 10 Hoofdlijnenplanning project Leveranciers en contractmanagement (niveau thema en controls)

BIO control 14.1

Waarborging dat eisen worden toegepast Bescherming testgegevens in beleid IB-Beleid voor leverancier relaties Monitoren van dienstverlening leveranciers

14.2 14.3 15.1 15.2

4.2

Inzet binnen programma en projecten

Binnen het programma is in ieder geval inzet nodig van een ‘programma organisatie’. Deze bestaat uit zowel specifiek ingezette expertises en rollen, als rollen die vanuit bestaande functie en rol in lijnorganisatie worden

betrokken. Onder specifieke expertises en rollen in de programmaorganisatie worden verstaan: programmamanagement, programmaondersteuning, projectleiding, risicomanagement, stakeholder- en communicatiemanagement. Expertises en rollen die vanuit lijnorganisatie worden voorzien betreffen rollen in de besturing, kwaliteitsbewaking, die zullen worden aan functionarissen waarvoor dergelijke rol weliswaar tijd en aandacht vergt, maar tevens binnen hun reguliere functie (denk aan opdrachtgever, CISO en concern control). Binnen de projecten zal van diverse betrokkenen uit de lijnorganisatie tijd en aandacht (in verschillende mate) geclaimd moeten worden om de resultaten te realiseren. Wanneer deze capaciteit niet beschikbaar is binnen de organisatie kan per project externe inzet worden gebruikt. Omdat specifieke organisatie kennis niet van buiten kan worden ingehuurd, zal op programmaniveau een zogenaamde ‘backfill’ constructie moeten worden ingezet. Hiermee is in de raming van het programmabudget rekening gehouden. Met een ‘backfill’ constructie kan een organisatie haar werkzaamheden door tijdelijke inzet op peil houden (zowel kwalitatief als kwantitatief) en toch interne capaciteit en expertise vrijmaken voor de realisatie van de producten en doelen.

5 5.1

Investeringen en kosten Uitwerking en onderbouwing ‘out of pocket’ kosten op programmaniveau

Deze paragraaf beschrijft de kosten die uit het programma voortvloeien. Deze kosten bestaan uit incidentele kosten (uitvoering programma, veilig worden) en structurele kosten (veilig blijven). Het betreft hier ‘out of pocket kosten’, waarmee de kosten worden bedoeld die extern worden gemaakt voor zaken waar de organisatie (nog) niet zelf in kan voorzien. Deze kosten kunnen bestaan uit inzet, diensten en/of producten. Voor het programma kunnen een aantal vaste kostenposten worden gedefinieerd en geraamd. Per component wordt aangegeven welke kostencomponenten te voorzien zijn, en in welk jaar binnen de looptijd van het programma. Een meer gedetailleerde uitwerking per component wordt als onderdeel van de projectopzet nader gespecificeerd. Een deel van de veiligheidsmaatregelen zijn momenteel al onderdeel van de reguliere bedrijfsvoering (en begroting) dan wel sterk gerelateerd aan de bedrijfsvoering, en bijvoorbeeld ook toekomstige ontwikkelingen als de mogelijke verhuizing van het gemeentehuis. De afhankelijkheid tussen deze kosten moet vooral worden gezien in termen van desinvestering en synergie. Zo is de vraag in hoeverre moet worden geïnvesteerd in verbetering van fysieke beveiliging van de huidige locatie, terwijl synergie kan worden benut deze als vereiste aan de nieuwe locatie wordt meegenomen.

Tegelijkertijd heeft een keuze om ontwikkelingen (zoals bv Cloud migratie) niet in te zetten mogelijk negatieve impact op het programmabudget, aangezien in dat geval de te continueren situatie “veilig moet worden gemaakt”. Dit vereist andere inzet en middelen, waar dus ook andere kosten aan verbonden zullen zijn. Als onderdeel van de roadmap worden de kosten daarom niet alleen per project nader gespecificeerd, maar is tevens een periodieke herijking van programmaplan en (financiële) businesscase in programboard/MT opgenomen.

Tabel 1: meerjarenraming kosten programma IB Sluis (alle bedragen *€1000)

* Naar het zich laat aanzien kan de invulling van een ‘ISO-rol’ binnen de gemeente FTE-neutraal worden gerealiseerd. Hiermee vallen de structurele kosten in de jaren 2026 e.v. €90.000 per jaar lager uit, namelijk op €40.000 per jaar. Deze FTE-neutrale invulling dient nog wel te worden geformaliseerd. Het proces hiervoor is binnen het programma opgestart en zal ter besluitvorming via de programma board worden voorgelegd aan het MT. ** Toelichting rollen Informatiebeveiliging: CISO: De Chief Information Security Officer betreft een kaderstellende, toetsende en adviserende rol op strategisch niveau, met een rechstreekse lijn naar MT en/of Bestuur; ISO: De Information Security Officer betreft een operationele of tactische rol ten aanzien van beleid en procedures, binnen de IT- of beveiligingsafdeling. De ISO rapporteert hierover aan de CISO of een leidinggevende in de IT; TISO: De Technical Information Security Officer is specifiek gericht op de technische aspecten van informatiebeveiliging binnen een organisatie. Deze wordt dan ook vaak gecombineerd met uitvoerende rollen binnen de IT-organisatie. Voor de TISO-werkzaamheden vereisen wel voldoende tijd, aandacht en het opbouwen en instand houden van specifieke expertise.

Programmabeheersing

6.1

Risicomanagement

Deze paragraaf beschrijft de geïdentificeerde risico’s op programmaniveau. De paragraaf vormt daarmee tevens de basis voor het risicoregister wat gedurende de looptijd van het programma wordt opgesteld en gehanteerd. Het risico- en issueregister dat voor risicomanagement wordt gebruik wordt programma breed ingevuld en zal in het centrale programmadossier worden geactualiseerd. Vanuit projectdefinitie en -beheersing zullen hieraan eventuele specifieke projectrisico’s worden toegevoegd. Vanuit dit centrale risicoregister worden vervolgens de belangrijkste programma- en projectrisico’s gerapporteerd in de reguliere, periodieke programmarapportage aan de programmaboard. Optredende risico’s zullen als issues worden beschouwd en -indien nodig- als zodanig aan de programmaboard worden geëscaleerd. NB: deze risico’s betreffen de realisatie van de doelstellingen van het programma en de onderliggende projecten en mogen niet worden verward met de generieke risico’s (informatiebeveiliging en continuïteit) die voor de gemeentelijke organisatie worden beheerst.

6.2

Programmarisico’s

# Korte Risiconaam

Risicobeschrijving (oorzaak -> gebeurtenis -> gevolg) Onvoldoende capaciteit beschikbaar om producten conform afgesproken kwaliteit en tijdigheid op te leveren, met gevolg voor doorlooptijd, kwaliteit en doelstelling.

Maatregel omschrijving

Weging (Kans x impact) 1 Capaciteit Inzetraming baseren op projectproducten HOOG en werkpakketten; Inhoudelijke ondersteuning vanuit programma en projecten. Beschikbaar stellen van (centrale) resources, indien noodzakelijk op basis van inhuur. Gedeelte van programmabudget oormerken voor ‘backfill’ oplossingen. 2 Verwachtingen Normen dienen situationeel te Vroegtijdig inventariseren en HOOG en worden toegepast. Te hoge concretiseren van maatregelen in relatie risicobereidheid verwachtingen t.a.v. omvang of tot normering, in kaart brengen impact i.r.t. haalbaarheid diepgang van implementatie, of en opties en gestructureerde en kosten een zeer lage risicobereidheid besluitvorming door programmaboard verkleinen de haalbaarheid het o.b.v. ambitieniveau en risicobereidheid. project en/of verhogen de kosten. 3 Draagvlak Impact en urgentie worden Deelname afdelingen aan MIDDEL onderkend (tot zorg aan toe), programmaboard, vanuit maar voelt de organisatie ook verantwoordelijkheid afdeling voor eigen eigenaarschap van het proces, werkwijze en middelen. probleem of de inspanning? Meenemen in Communicatiestrategie en -plan. 4 Inhoudelijke Inhoudelijke afhankelijkheden Afbakening scope en invulling BIOMIDDEL (keten) van aanpalende initiatieven maatregelen vanuit programmaboard afhankelijkheden (programma Strategisch (waarin ook opdrachtgever STIB). Informatiebeleid).

5 Voorspelbaarheid Gedetailleerde uitwerking t.a.v. Vroegtijdige projectdefinitie (detaillering MIDDEL kosten concrete, situationele scope, ambitieniveau en -planning maatregelen pas te maken na inrichten door gedetailleerde GAPverdere projectdefinities en inventarisatie, opgevolgd door besluitvorming, bv over besluitvorming door opdrachtgever & afhankelijkheden. programmaboard; Nauwe afstemming over afhankelijkheden en besluiten bedrijfsvoering(strategie). 6 Inhoudelijke Informatiebeveiliging en - Opstellen heldere werkpakketten o.b.v. HOOG discussie interpretatie van normeringen afgebakende scope/producten; is en blijft voer voor discussie. Bewaking door programmamanager en Hoewel gedefinieerd bevat ook projectleiders; de BIO zaken die voor - Structurele afstemming met QC van interpretatie vatbaar zijn. Dit het programma geldt eveneens voor richtlijnen - Tijdige interventie/escalatie in de vorm wat betreft volwassenheid of van besluitvorming door opdrachtgever niveau’s. Dit kan leiden tot en/of programmaboard. inhoudelijke discussie over interpretatie en reikwijdte, met mogelijke gevolgen voor o.a. verwachtingen, doorlooptijd en scope.

7 Aansluiting op bestaande ordeningen proces- en informatie

6.3

De mate waarin kan worden aangesloten op binnen de gemeente geldende ordeningen van processen, gegevensverzamelingen, eigenaarschap van informatie en informatiesystemen/applicaties is mede bepalend voor de kwaliteit van de resultaten, en de efficiënte van sommige activiteiten.

In gevallen waar (eenduidigheid in) bestaande ordening ontbreekt, dienen programma en projecten een keuze te maken voor de best passende ordening (bestaand of aan te brengen). Eventuele keuzes over in scope brengen hiervan worden indien nodig voorgelegd aan de programmaboard, inclusief beschrijving impact.

MIDDEL

Kwaliteitsborging (Quality Control)

Invulling van de Quality Control wordt ingevuld door de 2e en 3e lijns verantwoordelijkheden binnen de bestaande organisatie (CISO, Concern controller, zie ook de toelichting in §3.2). In eerste instantie zal de kwaliteitsborging op programmaniveau plaatsvinden vanuit deelname aan de programmaboard, de reguliere programmarapportage en periodieke afstemming met de programmamanager en PMO. Vanuit de scope van de kwaliteitsborging volgt dat de QC zich eveneens richt op de vanuit het programma uitgezette organisatie activiteiten en resultaten. Dit in lijn met de reguliere rol en positie van CISO en CC. Op projectniveau zal de QC-rol tevens worden ingezet op het gebied van advies en kaderstelling in de kwalitatieve (acceptatie) criteria voor projectproducten. De invulling hiervan wordt in de projectdefinitie fase nader afgestemd tussen programma en QC.

6.4

Stuur en communicatiemiddelen

Als belangrijkste stuur- en communicatiemiddelen voor het programma en de onderliggende projecten gelden dit Programmaplan en de onderliggende projectplannen. Deze zullen gedurende de looptijd van het programma periodiek worden herijkt. Voor het programma is het streven dit jaarlijks te doen, en op zijn minst bij de overgang van Fase 1 naar fase 2. Voor de projectplannen is het streven halfjaarlijks te herijken en bij te stellen waar nodig. De periodieke voortgangsrapportage wordt maandelijks opgeleverd en gebruikt om tussentijds te sturen op de realisatie van de beoogde doelen en producten, binnen de kaders, planning en toleranties die zijn benoemd in de programma- en projectplannen. De voortgangsrapportage behelst zowel de procesmatige voortgang van de geplande activiteiten als inhoudelijke voortgang als gevolg van de resultaten hiervan. Voor de procesmatige voortgang vormen dit programmaplan (fases, mijlpalen) en de onderliggende projectplannen (deliverable planning) de basis. Voor de inhoudelijke voortgang zal worden aangesloten op twee producten die in de voorbereiding op dit plan zijn opgezet, te weten de BIO-rapportage en het Kwetsbaarhedenlog. Om deze beoogde rol te kunnen vervullen dienen beiden rapportages gedurende de fase projectdefinitie nog wel nader te worden ingevuld. Bijlage 8.1 bevat een illustratie van beide rapportages.

Stakeholdermanagement en communicatie

Stakeholdermanagement betreft het proces waarmee alle belanghebbenden bij het programma en de onderliggende projecten betrokkenen worden en blijven. Van het systematisch identificeren van belanghebbenden; het analyseren van hun behoeften en verwachtingen tot het plannen en uitvoeren van verschillende taken om met hen in contact te komen en te blijven. Gezien de omvang van de organisatie en de relaties met aanpalende programma’s ligt het voor de hand deze functie in te vullen vanuit de lijnorganisatie en te combineren binnen de bestaande lijnfunctie die ook de interne communicatie verzorgt.

8 8.1

Bijlagen Illustratie BIO-rapportage en Kwetsbaarhedenlog

Figuur 11 Illustratie BIO-rapportage incl. statusniveau, GAP en voorlopige koppeling met BIO2.0

Figuur 12 Illustratie Kwetsbaarhedenlog, inclusief prioritering, status, eigenaarschap, actiehouders en streefdata

8.2

Werkpakketten op basis van BIO hoofdstukken en thema’s BIO H.5 Informatiebeveiligingsbeleid

5A. Strategisch IB-beleid Omschrijving Herijking strategisch IB-beleid en borging bekendstelling en periodieke herijking in de organisatie Acties BIO-ref Opstellen document 5.1.1 5.1.2 Vaststellen en bekend stellen document 6.1.1 Borgen periodieke herijking document

Eigenaar Prioriteit Inspanning Verantwoordelijk

Hoog - Midden - Laag Hoog - Midden - Laag Planning

Precondities en/of afhankelijkheden Missie en visie van gemeente Sluis bekend Belangrijkste risico’s bekend, aansluitend op de risklog en beveiligingsincidentenregistratie

5B. Tactisch IB-beleid <<kunnen meer beleidstukken bij komen>> Omschrijving Eigenaar Opstellen ontbrekende tactische beleidsdocumenten Prioriteit Inspanning Acties BIO-ref Verantwoordelijk Tactisch beleid Logging 12.4.1 Tactisch beleid Personeelsbeveiliging 7.1.1 Afhankelijkheid 7.1.2 Awareness project 7.2.1 7.2.2 Validatie tactisch beleid fysieke 11.1.1 beveiliging Tactisch beleid patchmanagement 12.6.1 Validatie tactisch beleid logische 9.1.1 toegang tactisch beleid IB voor leveranciers 15.1.1 Tactisch beleid gebruik cryptografie 18.1.5 (zie WP 18C)

Hoog - Midden - Laag Hoog - Midden - Laag Planning

Precondities en/of afhankelijkheden -

BIO H.6 Organiseren van informatiebeveiliging 6A. Externe relaties Omschrijving Er dient een actueel en beheerd overzicht te zijn van externe relaties met wie contact wordt onderhouden t.a.v. informatiebeveiliging Acties BIO-ref Bijwerken overzicht 6.1.3 Borgen jaarlijkse actualisatie

Eigenaar Prioriteit Inspanning

Hoog - Midden - Laag Hoog - Midden - Laag

Verantwoordelijk

Planning

Precondities en/of afhankelijkheden 6B. Informatiebeveiliging in projecten en bij vernieuwingen Omschrijving Eigenaar Informatiebeveiliging behoort aan de orde te komen Prioriteit in projectbeheer, ongeacht het soort project. Inspanning Principes ‘by design’ zijn reeds onderdeel van PSA’s, maar werkwijze is niet vastgelegd Acties BIO-ref Verantwoordelijk Validatie werkwijze PSA’s 6.1.5 14.1.1 Toetsing design principes 15.1.1 Vastleggen proces borging by design (van projectstart tot PvE tot beheerinrichting en beoordeling bij oplevering)

Hoog - Midden - Laag Hoog - Midden - Laag

Planning

Precondities en/of afhankelijkheden -

Volgend deel →

De tekst is automatisch uit het bestand gehaald en kan afwijken van het origineel (kolommen, tabellen en koppen lopen door elkaar). Het officiële stuk bij de gemeente is leidend. Bron: https://api1.ibabs.eu/publicdownload.aspx?site=Sluis&id=49ef8d1a-3dcb-472d-952c-b274c86d16e2