Bijlage 4 - Procedure meldplicht datalekken en incidenten

Procedure beveiligingsincidenten en datalekken Afwegingen in het kader van artikel 13 Wet Bescherming Persoonsgegevens en de Algemene Verordening Gegevensbescherming (AVG)

Procedure beveiligingsincident en weging meldplicht datalek Voor wie?:

De inhoud van deze procedure dient bekend te zijn bij alle medewerkers van Gemeente Smallingerland, zowel vast als tijdelijk, intern of extern.

Doel:

Deze procedure voorziet in een stappenplan ten aanzien van een beveiligingsincident en de afwegingen over de meldplicht datalekken. ___________________________________________________________________________

Versie:

1.1

Datum:

27 september 2017

1.

Beveiligingskwetsbaarheid, beveiligingsincident en/of datalek

In terminologie van gebeurtenissen in de informatiebeveiliging onderscheiden we beveiligingskwetsbaarheden, beveiligingsincidenten en datalekken. Een kwetsbaarheid in de beveiliging kan leiden tot een beveiligingsincident. Een voorbeeld van een kwetsbaarheid is een defect slot. Een beveiligingsincident is een gebeurtenis die veelal voortvloeit uit een kwetsbaarheid in de beveiliging. Zo kan een defect slot ertoe leiden dat een onbevoegde een beveiligde ruimte kan betreden en zo mogelijk toegang krijgt tot (persoons)gegevens. Een datalek is het gevolg van een beveiligingsincident. Echter, niet ieder beveiligingsincident is ook een datalek. Er is sprake van een datalek als er bij het beveiligingsincident persoonsgegevens verloren zijn gegaan, of als onrechtmatige verwerking van de persoonsgegevens redelijkerwijs niet uitgesloten kan worden. Een datalek moet in veel gevallen worden gemeld bij de Autoriteit Persoonsgegevens.

2.

Kwetsbaarheid in de informatiebeveiliging

Definitie Er sprake van een kwetsbaarheid in een informatiesysteem of een werkwijze wanneer het risico bestaat dat informatie verloren gaat, of in handen komt van iemand die daartoe niet gerechtigd is. Verantwoordelijkheden medewerkers gemeente Smallingerland Iedere medewerker van gemeente Smallingerland, zowel vast als tijdelijk, intern of extern, is verplicht zwakke plekken in de beveiliging, applicaties, of werkwijze (of het vermoeden daarvan) te melden. Een dergelijke verplichting is erop gericht tekortkomingen zo snel mogelijk te ontdekken en te kunnen oplossen. Voorbeelden -

Rondslingerende wachtwoorden Ontgrendelde PC `s in een verlaten ruimte Niet de meest recente updates van (antivirus)software geïnstalleerd Medewerkers niet op de hoogte van (beveiligings)procedures Het gebruik van zeer eenvoudige wachtwoorden

Acties De medewerker meldt de kwetsbaarheid via Topdesk aan de Security Officer (CISO). Daarnaast brengt de medewerker zijn/haar leidinggevende op de hoogte van de kwetsbaarheid. De leidinggevende zoekt afstemming met de Security Office (CISO) over de kwetsbaarheid.

Wat Beveiligingskwetsbaarheid melden

Termijn Direct

Verantwoordelijke Medewerker en leidinggevende

_____________________________________________________________________________________________________ Procedure beveiligingsincident en weging meldplicht datalek Versie 1 september 2017

-1-

3.

Beveiligingsincident en/of datalek

Definitie Beveiligingsincident Een incident is iedere gebeurtenis die schade toebrengt of kan toebrengen aan de beveiliging van gegevens, informatie, en informatiesystemen. Het incident is veelal een gevolg van een kwetsbaarheid in de beveiliging. Een handeling die in strijd is met het beveiligingsbeleid van de gemeente Smallingerland is ook een beveiligingsincident. Datalek Wanneer bij een beveiligingsincident persoonsgegevens verloren zijn gegaan spreken we van een datalek. Afhankelijk van de ernst van het datalek en de aard van de gelekte gegevens dient Gemeente Smallingerland het datalek binnen 72 uur na ontdekking te melden bij de Autoriteit Persoonsgegevens. In sommige situaties dient ook de betrokkene in kennis te worden gesteld. Uitgebreide informatie over datalekken is beschreven in Bijlage 1 van deze procedure.

Voorbeelden beveiligingsincidenten en datalekken -

Een verkeerd geadresseerde brief of e-mail met persoonsgegevens Een verloren USB stick, laptop of IPAD met (persoons)gegevens Een indringer verschaft zich toegang tot een beveiligde zone van het gebouw Een computervirus waarbij (persoons)gegevens verloren zijn gegaan

Verantwoordelijkheden medewerkers gemeente Smallingerland Iedere medewerker van gemeente Smallingerland, zowel vast als tijdelijk, intern of extern, is verplicht een (bijna) beveiligingsincident en/of datalek te melden. De verplichting is er opgericht om verdere gevolgschade als gevolg van het incident te beperken, en om de oorzaak van het incident weg te nemen. Bij het opzettelijk schenden van het informatiebeveiligingsbeleid of een beveiligingsprocedure kunnen er disciplinaire maatregelen getroffen worden.

Acties De medewerker meldt het beveiligingsincident of datalek via Topdesk aan de Security Officer (CISO). Daarnaast brengt de medewerker zijn/haar leidinggevende op de hoogte van het beveiligingsincident en/of datalek. De leidinggevende zoekt afstemming met de Security Officer (CISO) over het incident. De ICT Servicedesk ontvangt via Topdesk een kopie van de melding. Indien nodig onderneemt de ICT Servicedesk actie om de oorzaak van het beveiligingsincident weg te nemen en/of de schade te beperken.

_____________________________________________________________________________________________________ Procedure beveiligingsincident en weging meldplicht datalek Versie 1 september 2017

-2-

De Security Officer (CISO) bespreekt indien nodig het incident in het Informatiebeveiligingsteam (IBT). Het IBT bestaat uit: -

Informatiemanager Coördinator Systeembeheer Security Officer (CISO) Verantwoordelijke (lijn)manager Hoofd Communicatie (optioneel)

Afhankelijk van de grootte van het beveiligingsincident en de mogelijke noodzaak om interne- en/of externe communicatie te verzorgen wordt het Hoofd afdeling Communicatie ingeschakeld. De interne –en externe berichtgeving wordt mogelijk afgestemd met de Informatiebeveiligingsdienst Gemeenten (IBD). Afhankelijk van de grootte van het incident worden ook het directieteam, het managementteam en het college op de hoogte gebracht van het incident en geïnformeerd over wijze van afhandeling van het incident.

Registratie beveiligingsincident in incidentenregister Ieder beveiligingsincident wordt geregistreerd in het incidentenregister. De Security Office (CISO) is verantwoordelijk voor het bijhouden van het incidentenregister. Bij ieder beveiligingsincident wordt aandacht besteed aan de volgende aspecten: • • • • • • • • • • • •

wat is de aard van het (bijna) incident? wat zijn de gevolgen van het (bijna) incident? wat is de oorzaak van dit (bijna) incident? wat is de oplossing voor het incident? wat is de impact van de oplossing op de ICT infrastructuur, processen en/of Informatiesystemen? is een eventuele tekortkoming in de beveiliging inmiddels hersteld? welke acties moeten worden getroffen om herhaling te voorkomen? wie dienen geïnformeerd te worden? dient er in- externe communicatie plaats te vinden? is er sprake is van een datalek? dient dit datalek gemeld te worden aan de Autoriteit Persoonsgegevens? dient dit datalek gemeld te worden aan de betrokkene?

Om aandacht te besteden aan alle aspecten wordt in geval van een beveiligingsincident het document in bijlage 2 als leidraad gebruikt. Dit document wordt door de CISO in overleg, met bij het incident betrokken collega`s, ingevuld. Dit document wordt samen met ander bewijsstukken opgeslagen in het incidentenregister

Melden datalek In geval van een datalek meldt de Security Office (CISO) een datalek binnen 72 uur bij de Autoriteit Persoonsgegevens. Tevens vindt er melding plaats bij de IBD om ook andere gemeenten _____________________________________________________________________________________________________ Procedure beveiligingsincident en weging meldplicht datalek Versie 1 september 2017

-3-

te informeren over de opgedane kennis van het datalek. Indien noodzakelijk wordt het datalek ook gemeld aan de betrokkene. Uitgebreide informatie over datalekken is beschreven in Bijlage 1 van deze procedure.

Termijnen Beveiligingsincident en datalek melden

Verantwoordelijke Direct

Medewerker en leidinggevende

Beveiligingsincident en datalek afhandelen

Binnen 72 uur

Security Officer (CISO) i.s.m. Informatiebeveiligingsteam IBT, (lijn)management, ICT en communicatie

Melden datalek Autoriteit Persoonsgegevens

Binnen 72 uur

Security Officer (CISO)

Melden datalek aan betrokkene

Zo spoedig mogelijk

Medewerker en leidinggevende

Registratie incidentenregister 1 week

Security Officer (CISO)

_____________________________________________________________________________________________________ Procedure beveiligingsincident en weging meldplicht datalek Versie 1 september 2017

-4-

Beveiligingsincidenten en datalekken in schema:

_____________________________________________________________________________________________________ Procedure beveiligingsincident en weging meldplicht datalek Versie 1 september 2017

-5-

Bijlage 1: Datalekken Woord vooraf over datalekken en persoonsgegevens Een datalek is het gevolg van een beveiligingsincident waarbij persoonsgegevens verloren zijn gegaan. Wanneer een datalek is geconstateerd dan dient dit datalek binnen 72 uur te worden gemeld aan de Autoriteit Persoonsgegevens. Afhankelijk van de ernst van het datalek dienen betrokkenen, van de inbreuk op diens privacy, in kennis te worden gesteld. We lopen bij een datalek als organisatie het risico op imago- en financiële . Zo hebben al veel organisaties negatieve media aandacht ervaren als gevolg van een datalek. Naast imagoschade kleven er mogelijk ook financiële consequenties aan een datalek De boetes kunnen oplopen tot € 820.000, -. Met de komst van de Europese privacy verordening, (AVG), die op 25 mei 2018 de WBP zal vervangen lopen de financiële consequentie op tot € 20.000.000, -, of 4% van de omzet.

Melden datalek aan de Autoriteit Persoonsgegevens Niet ieder datalek hoeft te worden gemeld aan de Autoriteit Persoonsgegevens. Volgens de wet moet er een melding gedaan worden aan de Autoriteit Persoonsgegevens als het datalek leidt tot een aanzienlijke kans op ernstige nadelige gevolgen voor de bescherming van persoonsgegevens, of als het ernstige nadelige gevolgen heeft voor de bescherming van persoonsgegevens. Een factor die hierbij een rol speelt is de aard van de gelekte persoonsgegevens. Als er persoonsgegevens van gevoelige aard zijn gelekt, dan is over het algemeen een melding noodzakelijk. Bij persoonsgegevens van gevoelige aard moeten we denken aan: •

• •

•

•

•

Bijzondere persoonsgegevens zoals bedoeld in artikel 16 Wbp Het gaat hierbij om persoonsgegevens over iemands godsdienst of levensovertuiging, ras, politieke gezindheid, gezondheid, seksuele leven, lidmaatschap van een vakvereniging en om strafrechtelijke persoonsgegevens en persoonsgegevens over onrechtmatig of hinderlijk gedrag in verband met een opgelegd verbod naar aanleiding van dat gedrag. Gegevens over de financiële of economische situatie van de betrokkene Hieronder vallen bijvoorbeeld gegevens over (problematische) schulden, salaris- en betalingsgegevens. (Andere) gegevens die kunnen leiden tot stigmatisering of uitsluiting van de betrokkene Hieronder vallen bijvoorbeeld gegevens over gokverslaving, prestaties op school of werk of relatieproblemen. Gebruikersnamen, wachtwoorden en andere inloggegevens De mogelijke gevolgen voor betrokkenen hangen af van de verwerkingen en van de persoonsgegevens waar de inloggegevens toegang toe geven. Bij de afweging moet worden betrokken dat veel mensen wachtwoorden hergebruiken voor verschillende verwerkingen. Gegevens die kunnen worden misbruikt voor (identiteits)fraude Het gaat hierbij onder meer om biometrische gegevens, kopieën van identiteitsbewijzen en om het Burgerservicenummer (bsn).

Ook andere factoren, zoals de hoeveelheid gelekte persoonsgegevens per persoon of het aantal betrokkenen van wie er persoonsgegevens zijn gelekt, kunnen aanleiding zijn om het datalek te melden. Maar let op: als de aard van de gelekte gegevens daar aanleiding toe geeft is het mogelijk dat er een datalek moet worden gemeld waar de persoonsgegevens

_____________________________________________________________________________________________________ Procedure beveiligingsincident en weging meldplicht datalek Versie 1 september 2017

-6-

•

van slechts één persoon bij betrokken zijn.

De melding moet worden gedaan zonder onnodige vertraging en zo mogelijk niet later dan 72 uur na de ontdekking van het datalek. Op de website van de Autoriteit Persoonsgegevens is voor dit doel een webformulier beschikbaar. Via dit webformulier kan de melding zo nodig worden aangevuld of ingetrokken.

Melden datalek aan de betrokkene Als er tot de conclusie gekomen wordt dat een datalek moet worden gemeld aan de Autoriteit Persoonsgegevens, dan betekent dit niet automatisch dat dit datalek ook moet worden gemeld aan de betrokkene. Hiervoor moet een aparte afweging worden gemaakt. De wet geeft aan dat een melding moet worden gedaan aan de betrokkene als het datalek waarschijnlijk ongunstige gevolgen zal hebben voor diens persoonlijke levenssfeer. Betrokkenen kunnen door het verlies, onrechtmatig gebruik of misbruik in hun belangen worden geschaad. Daarbij moeten we bijvoorbeeld denken aan onrechtmatige publicatie, aantasting in eer en goede naam, (identiteits)fraude of discriminatie. Als er persoonsgegevens van gevoelige aard zijn gelekt, dan kunnen we er in principe van uit gaan dat het datalek niet alleen moet worden gemeld aan de Autoriteit Persoonsgegevens, maar ook aan de betrokkene. Als er passende technische beschermingsmaatregelen zijn genomen waardoor de persoonsgegevens die het betreft onbegrijpelijk of ontoegankelijk zijn voor onbevoegden, dan kan de melding aan de betrokkene achterwege laten. Bij deze beschermingsmaatregelen moeten we bijvoorbeeld denken aan cryptografische bewerkingen zoals encryptie en hashing.

Er moet per geval worden bepaald of de maatregelen die er zijn genomen voldoende bescherming bieden om de melding aan de betrokkene achterwege te kunnen laten.

Nazorg datalek Datalekken dienen te worden geregistreerd in het incidentenregister. Artikel 34a lid 8: ‘’De verantwoordelijke houdt een overzicht bij van iedere inbreuk die leidt tot de aanzienlijke kans op ernstige nadelige gevolgen dan wel ernstige nadelige gevolgen heeft voor de bescherming van persoonsgegevens. Het overzicht bevat in ieder geval feiten en gegevens omtrent de aard van de inbreuk, bedoeld in het derde lid, alsmede de tekst van de kennisgeving aan de betrokkene.’’ Documenten die in ieder geval moeten worden bewaard nadat zich een datalek heeft voorgedaan: 1. Feiten en gegevens omtrent de aard van de inbreuk; 2. De tekst van de kennisgeving aan betrokkenen; 3. De melding zoals die is ingediend bij de AP. Aanvullend verdient het aanbeveling bij het overzicht ook de volgende documenten te bewaren: 4. Meest recente actielijst van de genomen processtappen; 5. Eventuele aansprakelijkheidsstellingen en klachten; 6. Overige correspondentie voor zover van belang Het overzicht behoeft niet openbaar te worden gemaakt. _____________________________________________________________________________________________________ Procedure beveiligingsincident en weging meldplicht datalek Versie 1 september 2017

-7-

Bijlage 2 Actielijst informatiebeveiligingsincident Bij ieder informatiebeveiligingsincident wordt dit formulier ingevuld door de Security Officer(CISO) in samenwerking met betrokkenen bij het incident. Dit document wordt toegevoegd aan het incidentenregister. Wat is de aard van het (bijna) incident?

Wat zijn de gevolgen van het (bijna) incident?

Wat is de oorzaak dat dit (bijna) incident heeft plaatsgevonden?

Wat is de oplossing voor het incident?

Wat is de impact van de oplossing op de ICT infrastructuur, processen en/of informatiesystemen?

Is er sprake van het niet nakomen van of een tekortkoming in de beveiligingsprocedures?

Is het (bijna) incident verwijtbaar?

Is een eventuele tekortkoming in de beveiliging inmiddels hersteld?

Welke acties moeten worden getroffen om herhaling te voorkomen?

Dient het Informatiebeveiligingsteam (IBT) bijeen te komen?

_____________________________________________________________________________________________________ Procedure beveiligingsincident en weging meldplicht datalek Versie 1 september 2017

-8-

Wie dienen geïnformeerd te worden?

Dient er in- externe communicatie plaats te vinden?

Is er sprake van een Datalek?

Dient het datalek gemeld te worden aan de Autoriteit Persoonsgegeven?

Dient het datalek gemeld te worden aan de betrokkene?

Onderwerp

Wie

Actie

Status

Stoppen gevolgschade incident

Onderzoeken oorzaak incident

Communicatie Intern KCC Medewerkers plaats van datalek Leidinggevende Wethouder Concerncontroller Extern Pers Raad Betrokkenen (indien nodig)

Meldplicht datalekken Afhandelen meldplicht naar AP _____________________________________________________________________________________________________ Procedure beveiligingsincident en weging meldplicht datalek Versie 1 september 2017

-9-

_____________________________________________________________________________________________________ Procedure beveiligingsincident en weging meldplicht datalek Versie 1 september 2017

- 10 -