10b.1 Bestuursrapportage Informatiebeveiliging 2021

Rapportage Informatiebeveiliging 2021

Rapportage Informatiebeveiliging 2021

Titel:

Rapportage Informatiebeveiliging 2021

Versie:

1.0

Datum:

5 april 2022

Auteur(s):

J. Roijakkers

Zaaknummer: 0847200299369

Inhoudsopgave Leeswijzer....................................................................................................................................... 2 Bijlage – Verklarende woordenlijst en gebruikte afkortingen............................................................16

1/17

1.

Inleiding

Informatiebeveiliging is sinds een aantal jaren een actueel thema, zowel in de publieke als in de private sector. De informatieveiligheid staat vanuit vele kanten onder druk en het aantal bedreigingen neemt nog dagelijks toe. Het is dan ook niet vreemd dat de Nederlandse gemeenten hun verantwoordelijkheid op dat vlak hebben genomen en werk zijn gaan maken van een deugdelijke informatiebeveiliging. In een resolutie hebben de Nederlandse gemeenten in 2013 uitgesproken hun informatiebeveiliging in te richten op een gestandaardiseerde en transparante wijze. Onderdeel daarvan is, dat het college van burgemeester en wethouders jaarlijks verantwoording aan de gemeenteraad aflegt over de uitvoering van het informatiebeveiligingsbeleid. Dit rapport bevat die verantwoording.

Leeswijzer Na een beschrijving van het kader waarbinnen de verantwoording plaatsvindt, wordt in hoofdstuk 3 een beeld gegeven van de situatie in 2021. Hoofdstuk 4 beschrijft enkele randaspecten.

2/17

2.

Het verantwoordingsproces

2.1

De ENSIA-verantwoording

Over 2017 is voor het eerst door alle gemeenten verantwoording afgelegd over de informatiebeveiliging op een vaste, gestandaardiseerde wijze. Hiervoor is de ENSIA-methodiek afgesproken. Ook over 2021 vindt de verantwoording op deze wijze plaats. ENSIA1 staat voor Eenduidige Normatiek Single Information Audit, hetgeen betekent dat alle informatie ten behoeve van de verantwoording centraal binnen de gemeente wordt verzameld en gebruikt voor verschillende doeleinden. Door deze opzet wordt de auditlast verminderd omdat eenmaal verzamelde informatie wordt gebruikt voor verschillende audits en zelfevaluaties. Voorheen werden voor elke audit opnieuw gegevens verzameld. De ENSIA-verantwoording valt uiteen in twee onderdelen: de zogenaamde horizontale verantwoording van het college van burgemeester en wethouders aan de gemeenteraad en de verticale verantwoording van het college aan de externe toezichthouders (in het algemeen de verantwoordelijke ministeries). Het horizontale verantwoordingsproces is op 1 juli 2021 gestart en moet uiterlijk op 15 juli 2022 worden afgesloten met de verantwoording aan de gemeenteraad. In die tussenliggende periode hebben diverse rapportages, zelfevaluaties en audits plaatsgevonden. Op de bijzonderheden daarvan wordt in het volgende hoofdstuk verder ingegaan. De verticale verantwoording is eveneens op 1 juli 2021 gestart.

Uiterlijk 31 mei 2022 wordt dit proces afgerond met het inleveren van de vereiste verklaringen bij de toezichthouders. Basis voor deze verantwoording zijn de zelfevaluaties, rapporten en audits die in het kader van de horizontale verantwoording al voorhanden zijn. Er zijn twee onderdelen in de verticale verantwoording die beoordeeld moeten worden door een onafhankelijk (externe) IT-auditor. Het betreft hier de DigiD-zelfevaluatie en de zelfevaluatie Gebruik Suwinet. Ook hierop wordt in het volgende hoofdstuk nader ingegaan.

2.2

De scope van de verantwoording

Een integrale verantwoording, zoals die sinds 2017 plaatsvindt, was destijds relatief nieuw voor gemeenten. Zeker de kleinere gemeenten, zoals Someren, hadden in het verleden geen structuur die een dergelijke verantwoording ondersteunde. Audits en zelfevaluaties vonden in het verleden slechts per onderdeel plaats, zonder te letten op hun onderlinge afhankelijkheid. Ze werden dan meestal ook uitgevoerd vanuit de vakafdelingen. ENSIA heeft daarin verandering gebracht. Dat gaat echter niet in één keer. Om die reden wordt een onderscheid gemaakt in opzet, bestaan en werking van beveiligingsmaatregelen. ‘Opzet’ wil zeggen dat de maatregelen formeel zijn vastgesteld en gecommuniceerd naar betrokkenen. ‘Bestaan’ betekent dat de maatregelen in de praktijk ook daadwerkelijk worden nageleefd. ‘Werking’ houdt in dat het naleven van de maatregelen gedurende langere tijd met behulp van documenten, rapportages, verslagen, e.d. kan worden aangetoond.

1

In de bijlage is een verklarende woordenlijst en overzicht van gebruikte afkortingen opgenomen.

3/17

De verantwoording over 2021 beperkt zich voor de meeste onderdelen tot alleen ‘de opzet en het bestaan’ van beveiligingsmaatregelen. Voor de verantwoording over DigiD en Suwinet wordt ook gekeken naar ‘de werking’ van de maatregelen. In de toekomst zal dat voor alle onderdelen gaan gebeuren.

4/17

3.

Informatiebeveiliging in 2021

3.1

Inleiding

Vanuit het verleden zijn er door de verschillende toezichthouders (ministeries) separate normenkaders gedefinieerd waaraan gemeenten moeten voldoen. Historisch gezien is het verklaarbaar dat er voor de Basisregistratie Personen (BRP) andere beveiligingsnormen gelden dan voor bijvoorbeeld een DigiD- of Suwinetaansluiting. Deze normenkaders volgen in de meeste gevallen uit de betreffende wet- en regelgeving. Informatiebeveiliging heeft echter betrekking op meer gebieden dan alleen die welke wettelijke eisen stellen. Daarom is binnen ENSIA afgesproken dat – naast deze specifieke normenkaders – ook een algemeen normenkader geldt voor de organisatiebrede informatiebeveiliging. Deze algemene norm wordt gevormd door de Baseline Informatiebeveiliging Overheid (BIO), die gebaseerd is op de ISO 27001/27002 standaard. De onderlinge verhouding van deze normenkaders wordt weergegeven in onderstaande figuur:

In de volgende paragrafen (3.2.1 tot en met 3.2.9) wordt eerst de algemene norm besproken, gevolgd door de taakgebonden normenkaders in de paragrafen 3.3.1 tot en met 3.3.5. In deze rapportage worden overigens geen specifieke beveiligingsmaatregelen genoemd, omdat het publiceren daarvan juist een veiligheidsrisico zou oproepen.

3.2

Informatiebeveiliging organisatiebreed - de BIO

Met ingang van het jaar 2020 geldt de Baseline Informatiebeveiliging Overheid (BIO) als normenkader voor informatiebeveiliging. Daarmee is er één normenkader gekomen voor alle overheidslagen, inclusief de waterschappen en gemeenschappelijke regelingen.

5/17

De vorige Baseline (voor de gemeenten was dat de BIG) was vooral gericht op het implementeren van maatregelen. Met de komst van de BIO is de nadruk veel meer op risicobeheersing komen te liggen. Daarmee is de verantwoordelijkheid voor de implementatie van beveiligingsmaatregelen ook nadrukkelijker bij de lijnverantwoordelijken komen te liggen, als element en onderdeel van de integrale procesverantwoordelijkheid. Uiteraard is en blijft het college eindverantwoordelijk voor de informatiebeveiliging. 3.2.1

Scope van de informatiebeveiliging

Informatiebeveiliging is meer dan het invoeren van een aantal technische beveiligingsmaatregelen; het gaat veel verder dan alleen maar ICT. De BIO kent dan ook 14 domeinen (aandachtsgebieden) die een rol spelen in de beveiliging. Uiteraard speelt ICT hierin een grote rol, maar ook personeelsbeleid, gebouwenbeheer, procesbewaking en controlemechanismen zijn belangrijke schakels die samen de keten van informatiebeveiliging vormen. De 14 BIO-domeinen in het beveiligingsbeleid zijn de volgende: 

Informatiebeveiligingsbeleid (aansturing)



Organiseren van de informatiebeveiliging (interne organisatie)



Veilig personeel



Beheer van bedrijfsmiddelen



Toegangsbeveiliging



Cryptografie



Fysieke beveiliging en beveiliging van de omgeving



Beveiliging bedrijfsvoering



Communicatie beveiliging



Acquisitie, ontwikkeling en onderhoud van informatiesystemen



Leveranciersrelaties



Beheer van informatiebeveiligingsincidenten



Informatiebeveiligingsaspecten van bedrijfscontinuïteitsbeheer



Naleving

Voor elk van deze domeinen zijn in de baseline specifieke beveiligingsmaatregelen beschreven, gebaseerd op de risico’s die daar onderkend worden. De specialisten binnen de relevante vakafdelingen (zoals P&O, gebouwenbeheer en uiteraard I&A) hebben vanuit hun disciplines aandacht voor specifieke beveiligingsonderwerpen en –maatregelen. In de meeste gevallen zijn dat maatregelen die organisatiebreed van toepassing zijn. Daarnaast ligt er vanuit de BIO een verantwoordelijkheid bij de lijnorganisatie (bij de procesverantwoordelijken en het management) om de informatiebeveiliging voor specifieke informatieclusters in te richten en te bewaken. 3.2.2

Information Security Management System (ISMS)

Als ondersteunende tool is een zogenaamd ISMS (Information Security Management System) ingericht. Hiermee kunnen de BIO-beveiligingsmaatregelen worden beheerd en gemonitord. In 2017 was het ISMS vooral nog een tool voor de CISO, maar vanaf 2018 gebruiken ook andere vakspecialisten en procesverantwoordelijken deze tool voor hun werkzaamheden op het gebied van informatiebeveiliging.

6/17

Daarnaast legt het ISMS de relatie naar de ENSIA-verantwoording. Daarmee ontstaat een directe link tussen het interne planning- en controlproces en het externe verantwoordingsproces. 3.2.3

Aansluiting bij de Informatiebeveiligingsdienst (IBD)

De Informatiebeveiligingsdienst (IBD) is een onderdeel van VNG Realisatie. Zoals de meeste Nederlandse gemeenten is ook Someren aangesloten bij de IBD. De IBD is hét centrale kennis- en expertisecentrum voor de gemeenten. De IBD ondersteunt en adviseert gemeenten op het gebied van informatiebeveiliging. Daarnaast ontvangen wij van de IBD informatie over specifieke bedreigingen. De IBD onderhoudt zelf nauwe contacten met het Nationaal Cyber Security Centrum (NCSC) dat op zijn beurt weer in verbinding staat met gelijksoortige internationale organisaties. Door aangesloten te zijn bij de IBD worden wij in een vroeg stadium geïnformeerd over mogelijke bedreigingen. 3.2.4

Stand van zaken invoering BIO-maatregelen

De BIO kent in totaal ruim 250 maatregelen. In onderstaande grafiek is schematisch weergegeven wat per november 2021 de stand van zaken is ten aanzien van de implementatie van deze BIOmaatregelen. De grafiek geeft weer in hoeverre de maatregelen daadwerkelijk zijn ingevoerd.

Een groot deel van de maatregelen (56%) is volledig ingevoerd. Ongeveer één derde deel (29%) van de maatregelen is deels geïmplementeerd, wat wil zeggen dat ze óf slechts in een deel van de organisatie zijn ingevoerd óf slechts tot op zekere hoogte. In totaal 8% van de maatregelen is in het geheel nog niet ingevoerd. Een klein deel van de maatregelen (7%) is niet van toepassing voor onze organisatie. Uit deze grafiek blijkt dat gemeente Someren nog een stap moet zetten om volledig te voldoen aan de BIO-normen. Als die stap gezet is, is er sprake van een acceptabel niveau van basisbeveiliging; de BIO is immers een basisnorm. Op onderdelen zullen aanvullende beveiligingsmaatregelen nodig zijn omdat daar hogere risico's (bijvoorbeeld in verband met de waarborging van privacy) gelden.

7/17

Door het managementteam is in december 2021 een informatiebeveiligingsplan voor 2022 vastgesteld, waarin is vastgelegd op welke wijze de informatiebeveiliging verder verbeterd gaat worden. Onderstaande grafiek vergelijkt de resultaten van 2021 met die uit eerdere jaren.

Implementatie BIO-maatregelen Vergelijking 2017 - 2021 60%

55%

49%

50%

In 2021 was in totaal

56%

85% van de maatregelen geheel

47% 41%

40%

of gedeeltelijk

37%

34% 29%

30%

ingevoerd. Dat is

29%

23% 20%

in 2020 (83%). Daar

15% 9% 9% 8%

10% 0%

nauwelijks meer dan

25%

Volledig geïmplementeerd augustus 2017

Deels geïmplementeerd oktober 2018

5%

(Nog) niet geïmplementeerd

oktober 2019

december 2020

7% 7% 8% 7%

Niet van toepassing

november 2021

staat tegenover dat het er wel een toename is van het aantal maatregelen

dat volledig is ingevoerd (van 49% naar 56%). Per saldo betekent dit dus een kwaliteitsverbetering ten opzichte van 2020. In 2021 heeft de nadruk vooral gelegen op het verhogen van het bewustzijn bij medewerkers met betrekking tot beveiligingsrisico’s. In teamoverleggen en met regelmatige berichten op het intranet zijn actuele bedreigingen voortdurend onder de aandacht gebracht. Andere BIO-maatregelen die in 2021 zijn ingevoerd of verbeterd hebben betrekking op de dataclassificatie van de belangrijkste informatiesystemen. In 2022 zal dit verder worden doorgevoerd. Ook zijn procedures met betrekking tot de toegangsbeveiliging aangescherpt. Het gebruik van multifactor authenticatie (MFA/2FA) bij het inloggen van systemen is breed ingevoerd. 3.2.5

Informatiebeveiliging en beveiligingsincidenten in 2021

Beveiligingsincidenten zijn gebeurtenissen die een inbreuk vormen op de informatieveiligheid. Dat kan van alles zijn: verlies of verminking van gegevens, storingen op (kritische) systemen, ongeautoriseerde inzage van gegevens of een aanval met ransomware. Deze incidenten kunnen veroorzaakt worden door menselijk handelen, door bewuste (kwaadwillende) inbreuken zowel van binnenuit als van buitenaf of door het uitvallen van techniek (bij onszelf of bij onze partners). In 2021 zijn er twee belangrijke incidenten geweest: de ransomware-aanval binnen Senzer (in maart) en de kwetsbaarheid van de Log4j-software (december). Ransomware-aanval Senzer In maart 2021 werd GR Senzer getroffen door een ransomware-aanval. Een groot deel van de systemen en bestanden van Senzer was door cybercriminelen gehackt en versleuteld. Gelet op de ernst van de situatie heeft Senzer toen onmiddellijk de aangesloten gemeenten geïnformeerd en de hulp en expertise ingeschakeld van een extern bedrijf om deze crisis aan te pakken. Daarbij stond

8/17

voorop dat de bestanden en systemen weer zo snel mogelijk ter beschikking zouden komen en dat de betaling van uitkeringen aan cliënten niet in gevaar kwam. De getroffen bestanden zijn hersteld zonder dat aan eventuele eisen van de hackers tegemoet is gekomen. Tevens is vastgesteld dat tijdens de hack geen gegevens zijn gelekt. De uitbetalingen aan cliënten hebben volgens planning kunnen plaatsvinden. Log4j-kwetsbaarheid In december 2021 werd bekend dat in de Log4j-software van Apache een beveiligingslek aanwezig was, dat door cybercriminelen gebruikt zou kunnen worden om systemen te infiltreren. Log4j is een algemeen, breed toegepast software-onderdeel op webservers. Hierdoor werden wereldwijd talloze systemen kwetsbaar. Softwarebouwers hadden tijd nodig om hun toepassingen aan te passen (weer veilig te maken). Gedurende kortere of langere tijd (in sommige gevallen enkele weken) was onduidelijk welke programma’s wel en welke niet kwetsbaar waren. Het betrof niet alleen administratieve systemen, maar mogelijk ook systemen die gebruikt werden voor processturing. Om die reden werd ook rekening gehouden met maatschappelijke gevolgen als gevolg van mogelijke inbreuken op vitale infrastructuren. Uit voorzorg zijn verschillende gemeentelijke systemen tijdelijk afgesloten geweest van het internet. Alleen systemen waarvan de leverancier aangaf dat ze veilig waren zijn online gebleven.

In de loop van januari 2022 waren alle systemen (waar nodig) aangepast en weer operationeel. Door een externe partij zijn onze systemen achteraf gecontroleerd om vast te stellen of er door cybercriminelen misbruik is gemaakt van het beveiligingslek. Uit dat onderzoek is gebleken dat er geen gegevens zijn gelekt of gecompromitteerd. Datalekken Binnen de gemeentelijke organisatie zijn in 2021 geen datalekken voorgekomen. Wel zijn er twee datalekken geweest bij onze ketenpartners. Het eerste datalek was de al eerder genoemde ransomware-aanval bij Senzer. Hoewel er (door een onafhankelijke expertisepartij) is vastgesteld dat er geen gegevens zijn gelekt of gecompromitteerd tijdens de hack is de aanval toch behandeld als een formeel datalek. De AVG geeft aan dat het (tijdelijk) niet beschikbaar zijn van persoonlijke gegevens ook wordt aangemerkt als een datalek. Dat was in deze situatie het geval. Het tweede datalek heeft plaats gevonden bij GR Peelgemeenten doordat een brief per abuis naar een verkeerde inwoner is verstuurd. Beide datalekken zijn gemeld bij de Autoriteit Persoonsgegevens. 3.2.6

Organisatie van informatiebeveiliging

In het kader van de ontvlechting van de I&A-samenwerking Asten-Someren is in 2021 gewerkt aan het opzetten van een eigen I&A-organisatie binnen Someren. Een belangrijk onderdeel daarbij was het opnieuw inrichten van het functioneel beheer van een aantal kern- en basisapplicaties.

9/17

Door het functioneel beheer te centraliseren (en niet meer onderdeel te laten zijn van de vakafdelingen) wordt dit beheer nu meer integraal uitgevoerd. Hierdoor krijgt ook de informatiebeveiliging van deze informatiesystemen een duidelijke plaats. 3.2.7

Outsourcing ICT-infrastructuur

Een tweede belangrijk gevolg van het beëindigen van de I&A-samenwerking is het onderbrengen van de ICT-infrastructuur bij de gemeenschappelijke regeling ICT NML. Daarmee komt de uitvoering van het merendeel van de technische beveiligingsmaatregelen in handen van ICT NML. Dat ontheft de gemeente Someren niet van haar verantwoordelijkheid. Afstemming van onze informatiebeveiliging met die van ICT NML (en soms ook met die van de ander aangesloten gemeenten) heeft een structurele plek in de overlegstructuren tussen gemeente en ICT NML gekregen. Overigens is de BIO ook van toepassing op gemeenschappelijke regelingen (en dus ook ICT NML). 3.2.8

Informatiebeveiligingsbeleid

Op 28 april 2020 heeft het college van B&W het (strategische) Informatiebeveiligingsbeleid 20202022 vastgesteld. Zowel de BIO als de ENSIA stellen als eis dat het informatiebeveiligingsbeleid tenminste één keer per drie jaar opnieuw wordt vastgesteld, of tussentijds bij significante wijzigingen van de omstandigheden. Het beleidsplan vormt de basis voor de uitvoering en implementatie van beveiligingsmaatregelen. Het informatiebeveiligingsbeleid beschrijft de doelstellingen en kaders waarbinnen gemeente Someren invulling geeft aan informatiebeveiliging. Verantwoordelijkheden worden er in benoemd en belegd. Daarnaast wordt voor alle 14 BIO-domeinen aangegeven welke risico’s onderkend worden, wat de doelstellingen zijn en welke maatregelen passend zijn om de risico’s te neutraliseren. 3.2.9

Gebruik van standaarden

Gemeente Someren kent als algemeen uitgangspunt in de informatievoorziening het aansluiten bij geaccepteerde, verplichte en/of de facto standaarden. Dat geldt ook binnen de informatiebeveiliging. Dat uit zich enerzijds door het accepteren van een normenkader als de BIO binnen dit werkgebied, maar ook door het implementeren van allerlei technische standaarden zoals STARTTLS en DMARC (voor beveiliging van e-mailverkeer) of DNSSEC (beveiliging webverkeer). Maar daar blijft het niet bij. Gemeente Someren sluit ook aan bij landelijke initiatieven die in de toekomst naar alle waarschijnlijkheid kunnen/zullen gaan leiden tot de facto standaarden. Onder aanvoering van VNG Realisatie wordt gewerkt aan de Gemeenschappelijke Gemeentelijke Infrastructuur (GGI). Sommige onderdelen daarvan, zoals GGI-Veilig, hebben specifiek betrekking op de technische informatiebeveiliging. Someren heeft deelgenomen aan de aanbesteding die hier begin 2019 landelijk voor heeft plaatsgevonden.

3.3

Taakgebonden normenkaders

Informatiebeveiliging heeft betrekking op de beschikbaarheid, integriteit (juistheid) en vertrouwelijkheid van gegevens. Om die reden zijn binnen ENSIA ook inhoudelijke zelfevaluaties opgenomen voor met name een aantal basisregistraties (paragraaf 3.3.1 en 3.3.3). Voor DigiD en

10/17

Suwinet (3.3.4 en 3.3.5) gelden specifieke normen die door de toezichthouders zijn opgesteld en die voorwaardelijk zijn voor het gebruik van deze voorzieningen. Deze taakgebonden normenkaders richten zich enerzijds vooral op de processen om de gegevensintegriteit en vertrouwelijkheid te waarborgen en te toetsen. Daarnaast zijn ze bedoeld om een veilige uitwisseling van informatie te kunnen garanderen. 3.3.1

Zelfevaluaties BRP en Reisdocumenten

Jaarlijks moeten gemeenten verantwoording afleggen over het gebruik van de Basisregistratie Personen (BRP) en de verwerking van reisdocumenten. Tot 2017 vonden deze zelfevaluaties plaats vanuit de betreffende vakafdelingen. Met de komst van ENSIA in 2017 is het inhoudelijke deel afgesplitst van het generieke beveiligingstechnische deel. Het inhoudelijke deel dat onder andere kijkt naar de kwaliteit van de persoonsgegevens in de BRP en de inrichting van de verwerkingsprocessen wordt nog steeds door de vakafdeling uitgevoerd. Het generieke beveiligingstechnische deel daarentegen wordt sinds 2017 op basis van de BIOrichtlijnen uitgevoerd binnen ENSIA. De (inhoudelijke) zelfevaluaties BRP en Reisdocumenten zijn – conform de geldende eisen – vóór 31 december 2021 ingediend zodat de externe toezichthouder (het ministerie van Binnenlandse Zaken en Koninkrijkszaken) zich hierover een oordeel kan vormen. Ook de beveiligingstechnische zelfevaluatie is vóór 31 december 2021 via de ENSIA-tooling ingediend bij de toezichthouder. Uit de terugkoppeling hiervan kan afgeleid worden dat op dit vlak aan de norm wordt voldaan, gezien vanuit het perspectief van BRP en Reisdocumenten. 3.3.2

Zelfevaluaties BAG, BGT en BRO

Vanaf 2018 zijn de zelfevaluaties voor de Basisregistratie Adressen en Gebouwen (BAG) en de Basisregistratie Grootschalige Topografie (BGT) verplicht. In 2019 is ook de zelfevaluatie voor de Basisregistratie Ondergrond (BRO) voor het eerst verplicht gesteld. Deze drie zelfevaluaties kennen alleen een inhoudelijk en procedureel deel. Er wordt niet getoetst op specifieke beveiligingsmaatregelen. Het resultaat van deze zelfevaluaties is opgenomen in één gecombineerde verantwoordingsrapportage voor deze drie basisregistraties. Voor alle drie basisregistraties wordt voldaan aan de normen die door de toezichthouders zijn gesteld. 3.3.3

Zelfevaluatie WOZ

In 2021 vindt de verantwoording over de basisregistratie WOZ voor het eerst plaats binnen de ENSIA-methodiek. In voorgaande jaren werd die verantwoording rechtstreeks aan de Waarderingskamer gedaan. Omdat de werkzaamheden op het gebied van de gemeentelijke belastingen worden uitgevoerd door de gemeenschappelijke regeling Belastingsamenwerking Oost-Brabant (BSOB), is het ook deze organisatie die de zelfevaluatie WOZ heeft uitgevoerd. De gemeente blijft echter verantwoordelijk. De zelfevaluatie WOZ bevat zowel een inhoudelijk/procedureel deel als een beveiligingstechnisch deel (op basis van de BIO).

11/17

Uit de zelfevaluatie WOZ blijkt dat de BSOB in 2021 nog niet aan alle normen van de BIO voldoet. In de bestuursrapportage is aangegeven op welke wijze de BSOB in 2022 aan verbeteringen gaat werken. 3.3.4

Zelfevaluatie DigiD

Sinds 2017 maakt gemeente Someren gebruik van de applicatie iBurgerzaken om de BRP te onderhouden. Om burgers in staat te stellen diensten en producten af te nemen via internet wordt de toegang van buitenaf tot deze applicatie beheerd met behulp van DigiD-authenticatie. Aan het gebruik van DigiD worden door de toezichthouder (Logius, een onderdeel van het ministerie van BZK) eisen gesteld waarop jaarlijks getoetst wordt. Niet voldoen aan de eisen kan leiden tot het afsluiten van de DigiD-dienst en bijgevolg tot een ernstige, niet-acceptabele onderbreking van de dienstverlening aan onze burgers. Voor het grootste deel wordt de DigiD-iBurgerzaken-koppeling voor ons uitgevoerd door de leverancier van iBurgerzaken. Deze leverancier legt hierover aan ons verantwoording af middels een zogenaamd Third Party Memorandum (TPM), dat gecertificeerd is door een onafhankelijke, externe IT-auditor. Het resterende deel betreft onze eigen procedures rondom DigiD, die middels een zelfevaluatie zijn beoordeeld. Onze externe IT-auditor heeft een oordeel afgegeven over de combinatie van deze zelfevaluatie en de TPM-verklaring van onze leverancier en over hetgeen het college daarover verklaard heeft.

Op basis van dit assurrancerapport van onze IT-auditor kan Logius concluderen dat Someren aan de gestelde eisen en normen voldoet en dat daarmee het gebruik van de DigiD-aansluiting weer met een jaar kan worden voortgezet. Voor de volledigheid wordt nog vermeld dat de DigiD-aansluiting die gebruikt wordt door de Belastingsamenwerking Oost-Brabant (BSOB) niet onder de verantwoordelijkheid van de gemeente valt. De BSOB moet hier zelfstandig verantwoording over afleggen. Hetzelfde geldt voor de DigiD-aansluiting die gebruikt wordt voor de authenticatie van elektronische formulieren (e-formulieren) op de gemeentelijke website. Deze aansluiting staat op naam van de leverancier van de e-formulieren en wordt daarom ook door die partij verantwoord. 3.3.5

Zelfevaluatie Gebruik Suwinet

Suwinet is een digitale infrastructuur die is ontwikkeld door de Suwipartijen (UWV, SVB en gemeenten) om ervoor te zorgen dat ze gegevens met elkaar kunnen uitwisselen voor de uitoefening van hun wettelijke taak. Er worden alleen gegevens uitgewisseld voor zover daar een wettelijke grondslag voor is. Het Bureau Keteninformatisering Werk & Inkomen (BKWI, onderdeel van het ministerie van Sociale Zaken en Werkgelegenheid) beheert Suwinet en is tevens de externe toezichthouder waaraan gemeenten verantwoording moeten afleggen over het gebruik van Suwinet. Gemeente Someren maakt zelf geen gebruik van de Suwinet-infrastructuur. De uitvoering van de Participatiewet (waarvoor Suwinet wordt ingezet) is ondergebracht in de gemeenschappelijke regeling Senzer. Desondanks blijft de gemeente verantwoordelijk voor Suwinet en moet de gemeente daarover ook verantwoording afleggen aan BKWI.

12/17

Voor de verantwoording wordt gesteund op een audit (zelfevaluatie Gebruik Suwinet) die Senzer heeft laten uitvoeren door een externe, gecertificeerde IT-auditor. De Third Party Memorandum (TPM) die deze auditor over 2021 heeft opgesteld (en die dus de situatie binnen Senzer beschrijft) laat zien dat Senzer aan alle door BKWI gestelde Suwinet-normen voldoet. Onze externe IT-auditor heeft een oordeel afgegeven over de TPM-verklaring van onze leverancier en over hetgeen het college daarover verklaard heeft. Op basis van dit assurrancerapport van onze IT-auditor kan BKWI concluderen dat Someren aan de gestelde eisen en normen voldoet

13/17

4.

Overige aspecten

4.1

Inleiding

Behalve de informatiebeveiliging als zodanig zijn er nog enkele aspecten die van belang zijn voor deze jaarlijkse rapportage. Het betreft dan het feit dat gemeente Someren steeds vaker onderdeel uitmaakt van een keten van partners, hetzij omdat dat een (wettelijke) verplichting is, hetzij omdat wij we er als gemeente voor kiezen om werkzaamheden elders onder te brengen. Een ander aspect dat een nauwe band met informatiebeveiliging heeft is de bescherming van persoonsgegevens, de privacy. Tenslotte vormen de veranderende werkomstandigheden een extra veiligheidsrisico.

4.2

Samenwerken in ketens

Om diverse redenen heeft gemeente Someren te maken met samenwerkings- of ketenpartners. De tijd dat de gemeentelijke organisatie een gesloten geheel was, met zijn eigen op zich staande processen, ligt al lang achter ons. Op het vlak van informatiebeveiliging brengt dat nieuwe risico’s met zich mee. In de eerste plaats is er de noodzaak tot communicatie (in de zin van overdracht van informatie over zaken, objecten en subjecten): zo vindt er gegevensuitwisseling plaats met een omgevingsdienst of een gemeenschappelijke regeling in het sociaal domein. Maar we verstrekken ook gegevens aan externe adviseurs of ontsluiten gegevens buiten de relatief veilige omgeving van ons eigen netwerk. Iedere informatieoverdracht brengt een zeker risico (op inbreuk, op verminking, etc.) met zich mee. Het is een uitdaging om de steeds groter wordende bedreigingen op dit terrein te pareren met afdoende beveiligingsmaatregelen (zowel technisch als procedureel). Het gegeven dat we werkzaamheden onderbrengen in externe organisaties (zoals gemeenschappelijke regelingen) ontslaat ons niet van onze verantwoordelijkheden. Om hier aan tegemoet te komen zijn goede afspraken (vooraf vastgelegd in overeenkomsten, serviceafspraken, enzovoort) nodig.

Desondanks blijkt in de praktijk toch regelmatig een spanningsveld te bestaan tussen hetgeen wenselijk is (om diverse op zichzelf legitieme redenen) en hetgeen dat mag of kan vanuit het perspectief van beveiliging en privacy. In dit verband is het goed om nogmaals te wijzen op de accountability: er is een transparante en genormeerde verantwoording nodig over hoe dergelijke zaken zijn geregeld.

4.3

Privacy

Met de komst van de Algemene Verordening Gegevensbescherming (AVG) per 25 mei 2018 is privacy volop in de schijnwerpers komen te staan. Privacy heeft per definitie alleen betrekking op persoonsgegevens, waarbij dat begrip overigens ruim geïnterpreteerd wordt. Zo kan het kenteken van een auto beschouwd worden als een persoonsgegeven als het herleidbaar is tot een individueel persoon. Elke organisatie, en zeker een gemeente, dient de privacy te kunnen waarborgen. Daar zijn dus strikte wettelijke regels voor die, bij overtreding, kunnen leiden tot forse boetes.

14/17

Informatiebeveiliging heeft een deels breder aandachtsgebied. De beveiliging is bijvoorbeeld ook gericht op de bedrijfscontinuïteit en beperkt zich niet uitsluitend tot persoonsgegevens. Toch is het niet vreemd dat privacy en informatiebeveiliging vaak in één adem worden genoemd (en voor sommigen zelfs synoniem zijn). Bovendien is het zo dat een aantal beveiligingsmaatregelen van directe invloed is op de waarborging van de privacy. Omgekeerd dragen privacyvereisten (zoals het afsluiten van verwerkersovereenkomsten) bij aan een verhoging van de informatiebeveiliging. Binnen de organisatie van de gemeente Someren worden informatiebeveiliging en privacy dan ook in samenhang met elkaar opgepakt.

4.4

De inrichting en uitvoering van het werk

De manier waarop wij als gemeentelijke organisatie ons werk uitvoeren verandert voortdurend. Het meest in het oog springend is het hybride werken. Door het (verplichte) thuiswerken tijdens de corona-pandemie is het hybride werken sinds begin 2020 gemeengoed geworden. We maken gebruik van andere technieken, delen informatie op een andere wijze dan voorheen en werken deels ook buiten de relatief veilige omgeving van het gemeentehuis. Die andere omstandigheden vragen een hogere digivaardigheid en een groter risico-bewustzijn van onze medewerkers. Behalve door het eigen personeel worden binnen de gemeentelijke organisatie ook veel werkzaamheden uitgevoerd door ingehuurd personeel. Dat verhoogt de veiligheidsrisico’s. Zeker bij tijdelijk personeel dat gedurende relatief korte periodes voor ons werkzaam is, ligt de focus vooral op de vakinhoudelijke uitvoering van het werk en minder op de organisatie en afspraken daar omheen.

15/17

Bijlage – Verklarende woordenlijst en gebruikte afkortingen AVG

Algemene Verordening Gegevensbescherming

BAG

Basisregistratie Adressen en Gebouwen

BGT

Basisregistratie Grootschalige Topografie

BIG

Baseline Informatiebeveiliging Nederlandse Gemeenten

BIO

Baseline Informatiebeveiliging Overheid

BKWI

Bureau Keteninformatisering Werk & Inkomen

BRO

Basisregistratie Ondergrond

BRP

Basisregistratie Personen

BSOB

Belastingsamenwerking Oost-Brabant

BZK

Ministerie van Binnenlandse Zaken Koninkrijkszaken

CIP

Centrum voor Informatiebeveiliging en Privacy

CISO

Chief Information Security Officer

Datalek

Een beveiligingsincident waarbij persoonsgegevens op onrechtmatige worden verwerkt of verloren gaan.

DMARC

Protocol voor de beveiliging van e-mailverkeer

DNSSEC

Protocol voor de beveiliging van webverkeer

ENSIA

Eenduidige Normatiek Single Information Audit

GGI

Gemeenschappelijke Gemeentelijke Infrastructuur

IBD

Informatiebeveiligingsdienst

ISMS

Information Security Management System

NCSC

Nationaal Cyber Security Centrum

OBDO

Overheidsbreed Beleidsoverleg Digitale Overheid

STARTTLS

Protocol voor de beveiliging van e-mailverkeer

Suwinet

Digitale infrastructuur voor gegevensuitwisseling in het sociaal domein

TPM

Third Party Memorandum

VvT

Verklaring van Toepasselijkheid

16/17