9b.1 Bestuursrapportage Informatiebeveiliging 2020

Rapportage Informatiebeveiliging 2020

Rapportage Informatiebeveiliging 2020

Titel:

Rapportage Informatiebeveiliging 2020

Versie:

1.0

Datum:

13 april 2020

Auteur(s):

J. Roijakkers

Zaaknummer: 0847200217019

Inhoudsopgave Leeswijzer....................................................................................................................................... 2 Bijlage – Verklarende woordenlijst en gebruikte afkortingen............................................................16

1/17

1.

Inleiding

Informatiebeveiliging is sinds een aantal jaren een actueel thema, zowel in de publieke als in de private sector. De informatieveiligheid staat vanuit vele kanten onder druk en het aantal bedreigingen neemt nog dagelijks toe. Het is dan ook niet vreemd dat de Nederlandse gemeenten hun verantwoordelijkheid op dat vlak hebben genomen en werk zijn gaan maken van een deugdelijke informatiebeveiliging. In een resolutie hebben de Nederlandse gemeenten in 2013 uitgesproken hun informatiebeveiliging in te richten op een gestandaardiseerde en transparante wijze. Onderdeel daarvan is, dat het college ven burgemeester en wethouders jaarlijks verantwoording aan de gemeenteraad aflegt over de uitvoering van het informatiebeveiligingsbeleid. Dit rapport bevat die verantwoording.

Leeswijzer Na een beschrijving van het kader waarbinnen de verantwoording plaatsvindt, wordt in hoofdstuk 3 een beeld gegeven van de situatie in 2020. Hoofdstuk 4 beschrijft enkele randaspecten.

2/17

2.

Het verantwoordingsproces

2.1

De ENSIA-verantwoording

Over 2017 is voor het eerst door alle gemeente verantwoording afgelegd over de informatiebeveiliging op een vaste, gestandaardiseerde wijze. Hiervoor is de ENSIA-methodiek afgesproken. Ook over 2020 vindt de verantwoording op deze wijze plaats. ENSIA1 staat voor Eenduidige Normatiek Single Information Audit, hetgeen betekent dat alle informatie ten behoeve van de verantwoording centraal binnen de gemeente wordt verzameld en gebruikt voor verschillende doeleinden. Door deze opzet wordt de auditlast verminderd omdat eenmaal verzamelde informatie wordt gebruikt voor verschillende audits en zelfevaluaties. Voorheen werden voor elke audit opnieuw gegevens verzameld. De ENSIA-verantwoording valt uiteen in twee onderdelen: de zogenaamde horizontale verantwoording van het college van burgemeester en wethouders aan de gemeenteraad en de verticale verantwoording van het college aan de externe toezichthouders (in het algemeen de verantwoordelijke ministeries). Het horizontale verantwoordingsproces is op 1 juli 2020 gestart en moet uiterlijk op 15 juli 2021 worden afgesloten met de verantwoording aan de gemeenteraad. In die tussenliggende periode hebben diverse rapportages, zelfevaluaties en audits plaatsgevonden. Op de bijzonderheden daarvan wordt in het volgende hoofdstuk verder ingegaan. De verticale verantwoording is eveneens op 1 juli 2020 gestart.

Uiterlijk 31 mei 2021 wordt dit proces afgerond met het inleveren van de vereiste verklaringen bij de toezichthouders. Basis voor deze verantwoording zijn de zelfevaluaties, rapporten en audits die in het kader van de horizontale verantwoording al voorhanden zijn. Er zijn twee onderdelen in de verticale verantwoording die beoordeeld moeten worden door een onafhankelijk (externe) IT-auditor. Het betreft hier de DigiD-zelfevaluatie en de zelfevaluatie Gebruik Suwinet. Ook hierop wordt in het volgende hoofdstuk nader ingegaan.

2.2

De scope van de verantwoording

Een integrale verantwoording, zoals die sinds 2017 plaatsvindt, is relatief nieuw voor gemeenten. Zeker de kleinere gemeenten, zoals Someren, hadden in het verleden geen structuur die een dergelijke verantwoording ondersteunde. Audits en zelfevaluaties vonden in het verleden slechts per onderdeel plaats, zonder te letten op hun onderlinge afhankelijkheid. Ze werden dan meestal ook uitgevoerd vanuit de vakafdelingen. ENSIA heeft daarin verandering gebracht. Dat gaat echter niet in één keer. Om die reden wordt een onderscheid gemaakt in opzet, bestaan en werking van beveiligingsmaatregelen. ‘Opzet’ wil zeggen dat de maatregelen formeel zijn vastgesteld en gecommuniceerd naar betrokkenen. ‘Bestaan’ betekent dat de maatregelen in de praktijk ook daadwerkelijk worden nageleefd. ‘Werking’ houdt in dat het naleven van de maatregelen gedurende langere tijd met behulp van documenten, rapportages, verslagen, e.d. kan worden aangetoond.

1

In de bijlage is een verklarende woordenlijst en overzicht van gebruikte afkortingen opgenomen.

3/17

De verantwoording over 2020 beperkt zich tot alleen ‘de opzet en het bestaan’ van beveiligingsmaatregelen. In de toekomst zal ook ‘de werking’ getoetst worden.

4/17

3.

Informatiebeveiliging in 2020

3.1

Inleiding

Vanuit het verleden zijn er door de verschillende toezichthouders (ministeries) separate normenkaders gedefinieerd waaraan gemeenten moeten voldoen. Historisch gezien is het verklaarbaar dat er voor de Basisregistratie Personen (BRP) andere beveiligingsnormen gelden dan voor bijvoorbeeld een DigiD- of Suwinetaansluiting. Deze normenkaders volgen in de meeste gevallen uit de betreffende wet- en regelgeving. Informatiebeveiliging heeft echter betrekking op meer gebieden dan alleen die welke wettelijke eisen stellen. Daarom is binnen ENSIA afgesproken dat – naast deze specifieke normenkaders – ook een algemeen normenkader geldt voor de organisatiebrede informatiebeveiliging. Deze algemene norm wordt gevormd door de Baseline Informatiebeveiliging Overheid (BIO), die gebaseerd is op de ISO 27001/27002 standaard. De onderlinge verhouding van deze normenkaders wordt weergegeven in onderstaande figuur:

In de volgende paragrafen (3.2.1 tot en met 3.2.9) wordt eerst de algemene norm besproken, gevolgd door de taakgebonden normenkaders in de paragrafen 3.3.1 tot en met 3.3.4. In deze rapportage worden overigens geen specifieke beveiligingsmaatregelen genoemd, omdat het publiceren daarvan juist een veiligheidsrisico zou oproepen.

3.2

Informatiebeveiliging organisatiebreed - de BIO

Met ingang van het jaar 2020 geldt de Baseline Informatiebeveiliging Overheid (BIO) als normenkader voor informatiebeveiliging. Daarmee is er één normenkader gekomen voor alle overheidslagen, inclusief de waterschappen en gemeenschappelijke regelingen. De vorige Baseline (voor de gemeenten was dat de BIG) was vooral gericht op het implementeren van maatregelen. Met de komst van de BIO is de nadruk veel meer op risicobeheersing komen te liggen. Daarmee is de verantwoordelijkheid voor de beveiliging ook nadrukkelijker bij de

5/17

lijnverantwoordelijken komen te liggen, als element en onderdeel van de integrale procesverantwoordelijkheid. Uiteraard is en blijft het college eindverantwoordelijk voor de informatiebeveiliging. 3.2.1

Scope van de informatiebeveiliging

Informatiebeveiliging is meer dan het invoeren van een aantal technische beveiligingsmaatregelen; het gaat veel verder dan alleen maar ICT. De BIO kent dan ook 14 domeinen (aandachtsgebieden) die een rol spelen in de beveiliging. Uiteraard speelt ICT hierin een grote rol, maar ook personeelsbeleid, gebouwenbeheer, procesbewaking en controlemechanismen zijn belangrijke schakels die samen de keten van informatiebeveiliging vormen. De 14 BIO-domeinen in het beveiligingsbeleid zijn de volgende: 

Informatiebeveiligingsbeleid (aansturing)



Organiseren van de informatiebeveiliging (interne organisatie)



Veilig personeel



Beheer van bedrijfsmiddelen



Toegangsbeveiliging



Cryptografie



Fysieke beveiliging en beveiliging van de omgeving



Beveiliging bedrijfsvoering



Communicatie beveiliging



Acquisitie, ontwikkeling en onderhoud van informatiesystemen



Leveranciersrelaties



Beheer van informatiebeveiligingsincidenten



Informatiebeveiligingsaspecten van bedrijfscontinuïteitsbeheer



Naleving

Voor elk van deze domeinen zijn in de baseline specifieke beveiligingsmaatregelen beschreven, gebaseerd op de risico’s die daar onderkend worden. De specialisten binnen de relevante vakafdelingen (zoals P&O, gebouwenbeheer en uiteraard I&A) hebben vanuit hun disciplines aandacht voor specifieke beveiligingsonderwerpen en –maatregelen. Deze medewerkers gebruiken het ISMS (zie de volgende paragraaf) bij het beoordelen en plannen van de maatregelen. 3.2.2

Information Security Management System (ISMS)

Als ondersteunende tool is een zogenaamd ISMS (Information Security Management System) ingericht. Hiermee kunnen de BIG-beveiligingsmaatregelen worden beheerd en gemonitord. In 2017 was het ISMS vooral nog een tool voor de CISO, maar vanaf 2018 gebruiken ook andere vakspecialisten deze tool voor hun werkzaamheden op het gebied van informatiebeveiliging. Daarnaast legt het ISMS de relatie naar de ENSIA-verantwoording. Daarmee ontstaat een directe link tussen het interne planning- en controlproces en het externe verantwoordingsproces. 3.2.3

Aansluiting bij de Informatiebeveiligingsdienst (IBD)

De Informatiebeveiligingsdienst (IBD) is een onderdeel van VNG Realisatie. Zoals de meeste Nederlandse gemeenten is ook Someren aangesloten bij de IBD.

6/17

De IBD ondersteunt en adviseert gemeenten op het gebied van informatiebeveiliging. Daarnaast ontvangen wij van de IBD informatie over specifieke bedreigingen. De IBD onderhoudt zelf nauwe contacten met het Nationaal Cyber Security Centrum (NCSC) dat op zijn beurt weer in verbinding staat met gelijksoortige internationale organisaties. Door aangesloten te zijn bij de IBD worden wij in een vroeg stadium geïnformeerd over mogelijke bedreigingen. De IBD is een centraal kennis- en expertisecentrum voor de gemeenten. Vooral in tijden van bedreigingen (zoals begin januari 2020 het geval is geweest rondom de Citrix-applicaties) is de IBD een waardevolle partner. 3.2.4

Stand van zaken invoering BIO-maatregelen

Stand van zaken (december 2020) (Nog) niet geïmNiet van plementeer toepassing d 8% 9%

In

Deels geïmplementeer d 34%

Volledig geïmplementeer d 49% onderstaande grafiek is schematisch weergegeven wat de stand van zaken is ten aanzien van de implementatie van de BIO-maatregelen: In totaal kent de BI0 ruim 140 maatregelen. De grafiek geeft weer in hoeverre deze maatregelen daadwerkelijk zijn ingevoerd. De helft van de maatregelen (49%) is volledig ingevoerd. 34% van de maatregelen is deels geïmplementeerd, wat wil zeggen dat ze óf slechts in een deel van de organisatie zijn ingevoerd óf slechts tot op zekere hoogte. In totaal 9% van de maatregelen is in het geheel nog niet ingevoerd. Een klein deel van de maatregelen (8%) is niet van toepassing voor onze organisatie. Uit deze grafiek blijkt dat gemeente Someren nog een flinke stap moet zetten om volledig te voldoen aan de BIO-normen. Als die stap gezet is, is er sprake van een acceptabel niveau van basisbeveiliging; de BIO is immers een basisnorm. Op onderdelen zullen aanvullende beveiligingsmaatregelen nodig zijn omdat daar hogere risico's (bijvoorbeeld in verband met de waarborging van privacy) gelden. In 2020 is vooral ingezet op de bewustwording van medewerkers. Middels een phishingcampagne zijn de kenmerken, risico’s en mogelijke gevolgen van phishingmails onder de aandacht gebracht. Ook is aan de hand van actuele gebeurtenissen bij andere organisaties gewezen op andere gevaren.

Op technisch vlak is de back-upstrategie verbeterd en is er extra aandacht voor het snel installeren van (beveiligings)patches.

7/17

Onderstaande grafiek vergelijkt de resultaten van 2020 met die uit eerdere jaren. Daarbij moet wel in gedachten worden gehouden dat de vergelijking tussen 2020 (op basis van de BIO) en eerdere jaren (op basis van de BIG) niet op alle punten te maken is. Deze grafiek moet dan ook uitsluitend als een indicatie worden beschouwd.

Implementatie BIO-maatregelen Vergelijking 2017 - 2020 55%49% 37% 23%

60% 40%

47%41% 29%34%

g di le l Vo

ge

ïm

em pl

rd ee t en

e De

l

e sg

ïm

e pl

m

e te en

rd

(

augustus 2017

g) No

oktober 2018

e ni

Informa tiebevei

25% 15% 9% 9%

20% 0%

3.2.5

e tg

ïm

e pl

m

e te en

liging 5% 7% 7% 8%

rd

oktober 2019

n va et i N

ss pa e to

en

g in

december 2020

beveiligingsincidenten in 2020 Beveiligingsincidenten zijn gebeurtenissen die een inbreuk vormen op de informatieveiligheid. Dat kan van alles zijn: verlies of verminking van gegevens, storingen op (kritische) systemen, ongeautoriseerde inzage van gegevens of een aanval met ransomware. Deze incidenten kunnen veroorzaakt worden door menselijk handelen, door bewuste (kwaadwillende) inbreuken zowel van binnenuit als van buitenaf of door het uitvallen van techniek (bij onszelf of bij onze partners). Met uitzondering van de Citrix-kwetsbaarheid (zie hierna) zijn er in 2020 geen beveiligingsincidenten geweest die geleid hebben tot inbreuken op gegevens of tot uitval van systemen met gevolgen voor de continuïteit. Het incident met de grootste impact is de Citrix-kwetsbaarheid geweest, die begin 2020 veel organisaties parten heeft gespeeld. Het gevolg van deze kwetsbaarheid is geweest, dat gedurende een langere periode de mogelijkheid van externe toegang door gebruikers geblokkeerd is geweest. Door deze maatregel, die als voorzorgsmaatregel is genomen, was bijvoorbeeld thuiswerken of inloggen vanaf een andere externe locatie tijdelijk niet mogelijk. Bij het afhandelen van dit incident is gebruik gemaakt van de expertise en richtlijnen van de Informatiebeveiligingsdienst (IBD) en zijn de instructies van de leverancier (met betrekking tot het aanbrengen van patches) uiteraard opgevolgd.

Met name dit laatste heeft ervoor gezorgd dat Someren vanaf het eerste moment minimaal bloot heeft gestaan aan de bedreiging. Van een feitelijke inbreuk op onze systemen doordat hackers misbruik hebben gemaakt van de kwetsbaarheid is in ons geval dan ook geen sprake geweest. De coronacrisis, die zich in het voorjaar van 2020 ineens voordeed, is ook een factor van belang geweest. Toen de richtlijn ‘zoveel mogelijk thuiswerken’ werd uitgegeven, is dat op betrekkelijk korte termijn gerealiseerd voor het merendeel van de Somerense medewerkers. Er was haast bij om de dienstverlening zo goed mogelijk in stand te houden. Het gebruik van Microsoft Teams is

8/17

snel uitgerold om de onderlinge communicatie tussen medewerkers mogelijk te blijven maken. Het op grote schaal thuiswerken vroeg extra aandacht op het vlak van informatiebeveiliging. Medewerkers zijn in 2021 meermalen geïnformeerd over de manier waarop dat veilig kan en moet. De bestaande infrastructuur was met 2-factor authenticatie al voorbereid op deze nieuwe situatie. In tijden van crisis blijkt dat kwaadwillenden (extra) mogelijkheden zien om hun slag te slaan. De IBD en andere landelijke organisaties op het vlak van cybersecurity hebben dan ook meermalen gewaarschuwd om extra alert te zijn, onder andere op phishingmails en Whatsapp-fraude. Wel werd duidelijk dat de afhankelijkheid van ICT voor onze organisatie erg groot is en dat dit ons kwetsbaar maakt. Als het Citrix-incident zou zijn voorgevallen tijdens (in plaats van voor) de corona-lockdown zou dat gevolgen hebben gehad voor óf de bedrijfsvoering en dienstverlening óf de naleving van de coronaregels. Waarschijnlijk zou dan gekozen zijn voor een maximale voortzetting van de dienstverlening en bedrijfsvoering ten koste van de regel om zo veel als mogelijk thuis te werken. Door de IBD worden we op de hoogte gehouden van en geattendeerd op mogelijke bedreigingen van buitenaf en kwetsbaarheden in systemen. In 2020 hebben we ongeveer dertig concrete waarschuwingen gekregen over mogelijke kwetsbaarheden.

Geen van deze bedreigingen (met uitzondering van het Citrix-incident) heeft daadwerkelijk invloed gehad op onze systemen en onze informatieverwerking. Door de aanwijzingen van fabrikanten en de IBD te volgen en nieuw uitgebrachte softwarepatches snel te installeren worden de risico’s minimaal gehouden. Daarbij geldt overigens dat ‘behaalde resultaten uit het verleden geen garantie bieden voor de toekomst’. Alertheid blijft geboden. In een zogenaamde phishingmail-campagne zijn de medewerkers gewezen op de risico’s van phishingmails. Gebleken is dat menselijk gedrag nog steeds de grootste risicofactor is in de informatiebeveiliging. Dit onderdeel blijft continue aandacht vragen. De voorbeelden van geslaagde hacks bij de Universiteit van Maastricht en gemeente Hof van Twente (resp. in januari en december 2020) zijn concrete signalen dat hier sprake is van reële risico’s, waarbij niet alleen de continuïteit van de bedrijfsvoering en de gegevensbescherming in gevaar komen, maar ook aanzienlijke financiële gevolgen kunnen optreden. In 2020 werd ook op een aantal momenten vastgesteld dat er een spanningsveld is tussen enerzijds wensen op het gebied van dienstverlening en bedrijfsvoering en anderzijds de eisen en randvoorwaarden op het vlak van de informatiebeveiliging en privacy.

Dit werd onder andere duidelijk bij de vraag hoe de medewerkers van het Gebiedsteam vanuit de Somerense organisatie gefaciliteerd zouden kunnen worden. Die vragen waren zo complex dat een extern bureau is ingeschakeld om hierover advies te geven. Gebleken is dat het in een vroeg stadium meenemen van beveiligings- en privacyaspecten bij besluitvorming over en de inrichting van processen en systemen kan voorkomen dat achteraf reparaties of kunstgrepen nodig zijn. 3.2.6

Informatiebeveiligingsbeleid

Op 28 april 2020 heeft het college van B&W het (strategische) Informatiebeveiligingsbeleid 20202022 vastgesteld. Zowel de BIO als de ENSIA stellen als eis dat het informatiebeveiligingsbeleid tenminste één keer per drie jaar opnieuw wordt vastgesteld, of tussentijds bij significante

9/17

wijzigingen van de omstandigheden. Dit laatste was het geval omdat de BIO als nieuw normenkader is ingevoerd. Het beleidsplan vormt de basis voor de uitvoering en implementatie van beveiligingsmaatregelen. Het informatiebeveiligingsbeleid beschrijft de doelstellingen en kaders waarbinnen gemeente Someren invulling geeft aan informatiebeveiliging. Verantwoordelijkheden worden er in benoemd en belegd. Daarnaast wordt voor alle 14 BIO-domeinen aangegeven welke risico’s onderkend worden, wat de doelstellingen zijn en welke maatregelen passend zijn om de risico’s te neutraliseren. Mte het collegebesluit van 28 april 2020 is het beleid geactualiseerd en kan het de komende drie jaren als toetssteen fungeren voor de uitvoering. 3.2.7

Gebruik van standaarden

Gemeente Someren kent als algemeen uitgangspunt in de informatievoorziening het aansluiten bij geaccepteerde, verplichte en/of de facto standaarden. Dat geldt ook binnen de informatiebeveiliging. Dat uit zich enerzijds door het accepteren van een normenkader als de BIO binnen dit werkgebied, maar ook door het implementeren van allerlei technische standaarden zoals STARTTLS en DMARC (voor beveiliging van e-mailverkeer) of DNSSEC (beveiliging webverkeer). Maar daar blijft het niet bij. Gemeente Someren sluit ook aan bij landelijke initiatieven die in de toekomst naar alle waarschijnlijkheid kunnen/zullen gaan leiden tot de facto standaarden. Onder aanvoering van VNG Realisatie wordt gewerkt aan de Gemeenschappelijke Gemeentelijke Infrastructuur (GGI). Sommige onderdelen daarvan, zoals GGI-Veilig, hebben specifiek betrekking op de technische informatiebeveiliging. Someren heeft deelgenomen aan de aanbesteding die hier begin 2019 landelijk voor heeft plaatsgevonden. 3.2.8

Fysieke beveiliging gemeentehuis

In 2019 is een begin gemaakt met het beperken van de publieke toegang in het gemeentehuis. De aanpassingen, die begin 2020 zijn afgerond hadden tot doel om bezoekers alleen maar toe te laten in die ruimten waar dat voor de dienstverlening nodig is. Werkruimten zijn nu niet meer toegankelijk voor publiek.

3.3

Taakgebonden normenkaders

Informatiebeveiliging heeft betrekking op de beschikbaarheid, integriteit (juistheid) en vertrouwelijkheid van gegevens. Om die reden zijn binnen ENSIA ook inhoudelijke zelfevaluaties opgenomen voor met name een aantal basisregistraties (paragraaf 3.3.1 en 3.3.2). Voor DigiD en Suwinet (3.3.3 en 3.3.4) gelden specifieke normen die door de toezichthouders zijn opgesteld en die voorwaardelijk zijn voor het gebruik van deze voorzieningen. Deze taakgebonden normenkaders richten zich enerzijds vooral op de processen om de gegevensintegriteit en vertrouwelijkheid te waarborgen en te toetsen. Daarnaast zijn ze bedoeld om een veilige uitwisseling van informatie te kunnen garanderen. 3.3.1

Zelfevaluaties BRP en PUN

Jaarlijks moeten gemeenten verantwoording afleggen over het gebruik van de Basisregistratie Personen (BRP) en de verwerking van reisdocumenten (de Paspoortuitvoeringsregeling Nederland, PUN). Tot 2017 vonden deze zelfevaluaties plaats vanuit de betreffende vakafdelingen.

10/17

Met de komst van ENSIA in 2017 is het inhoudelijke deel afgesplitst van het generieke beveiligingstechnische deel. Het inhoudelijke deel dat onder andere kijkt naar de kwaliteit van de persoonsgegevens in de BRP en de inrichting van de verwerkingsprocessen wordt nog steeds door de vakafdeling uitgevoerd. Het generieke beveiligingstechnische deel daarentegen wordt sinds 2017 op basis van de BIOrichtlijnen uitgevoerd binnen ENSIA. De (inhoudelijke) zelfevaluaties BRP en PUN zijn – conform de geldende eisen – vóór 31 december 2020 ingediend zodat de externe toezichthouder (het ministerie van Binnenlandse Zaken en Koninkrijkszaken) zich hierover een oordeel kan vormen. Ook de beveiligingstechnische zelfevaluatie is vóór 31 december 2020 via de ENSIA-tooling ingediend bij de toezichthouder. Uit de terugkoppeling hiervan kan afgeleid worden dat op dit vlak aan de eisen wordt voldaan, gezien vanuit het perspectief van BRP en PUN. 3.3.2

Zelfevaluaties BAG, BGT en BRO

Vanaf 2018 zijn de zelfevaluaties voor de Basisregistratie Adressen en Gebouwen (BAG) en de Basisregistratie Grootschalige Topografie (BGT) verplicht. In 2019 is ook de zelfevaluatie voor de Basisregistratie Ondergrond (BRO) voor het eerst verplicht gesteld. Deze drie zelfevaluaties kennen alleen een inhoudelijk en procedureel deel. Er wordt niet getoetst op specifieke beveiligingsmaatregelen. Het resultaat van deze zelfevaluaties is ogenomen in afzonderlijke verantwoordingsrapportages voor deze basisregistraties. De zelfevaluatie BAG laat zien dat over het geheel genomen wordt voldaan aan het gestelde normenkader. Op het onderdeel tijdigheid van de informatie wordt echter wel nog onvoldoende gescoord. Dat heeft te maken met een tijdelijke onderbezetting die nog dateert uit 2019. Bij de inrichting van de nieuwe I&A-organisatie (in het kader van de ontvlechting van het team I&A Asten-Someren) wordt het gegevensbeheer en functioneel beheer van de basis- en kernregistraties opnieuw ingericht. Vervanging en continuïteit zijn hierbij belangrijke uitgangspunten. De verbetering van de tijdigheid van de mutatieverwerking in het kader van de BAG is bij de inrichting van de organisatie een verbeteractie. De BGT voldoet op alle onderdelen ruimschoots aan de gestelde eisen. De BRO bevindt zich nog in de opbouwfase.

In 2020 waren er voor Someren geen BRO-onderdelen die voor zelfevaluatie in aanmerking kwamen. Voor 2021 zal dat naar verwachting wel het geval zijn. 3.3.3

Zelfevaluatie DigiD

Sinds 2017 maakt gemeente Someren gebruik van de applicatie iBurgerzaken om de BRP te onderhouden. Om burgers in staat te stellen diensten en producten af te nemen via internet wordt de toegang van buitenaf tot deze applicatie beheerd met behulp van DigiD-authenticatie. Aan het gebruik van DigiD worden door de toezichthouder (Logius, een onderdeel van het ministerie van BZK) strenge eisen gesteld waarop jaarlijks getoetst wordt. Niet voldoen aan de

11/17

eisen kan leiden tot het afsluiten van de DigiD-dienst en bijgevolg tot een ernstige, nietacceptabele onderbreking van de dienstverlening aan onze burgers. Voor het grootste deel wordt de DigiD-iBurgerzaken-koppeling voor ons uitgevoerd door de leverancier van iBurgerzaken. Deze leverancier legt hierover aan ons verantwoording af middels een zogenaamd Third Party Memorandum (TPM), dat gecertificeerd is door een onafhankelijke, externe IT-auditor. Het resterende deel betreft onze eigen procedures rondom DigiD, die middels een zelfevaluatie zijn beoordeeld. Onze externe IT-auditor heeft een oordeel afgegeven over de combinatie van deze zelfevaluatie en de TPM-verklaring van onze leverancier en over hetgeen het college daarover verklaard heeft. Op basis van dit assurrancerapport van onze IT-auditor kan Logius concluderen dat Someren aan de gestelde eisen en normen voldoet en dat daarmee het gebruik van de DigiD-aansluiting weer met een jaar kan worden voortgezet. Voor de volledigheid wordt nog vermeld dat de DigiD-aansluiting die gebruikt wordt door de Belastingsamenwerking Oost-Brabant (BSOB) niet onder de verantwoordelijkheid van de gemeente valt. De BSOB moet hier zelfstandig verantwoording over afleggen. Hetzelfde geldt voor de DigiD-aansluiting die gebruikt wordt voor de authenticatie van e--formulieren op de gemeentelijke website.

Deze aansluiting staat op naam van de leverancier van de e-formulieren en moet dus ook door die partij worden verantwoord. 3.3.4

Zelfevaluatie Gebruik Suwinet

Suwinet is een digitale infrastructuur die is ontwikkeld door de Suwipartijen (UWV, SVB en gemeenten) om ervoor te zorgen dat ze gegevens met elkaar kunnen uitwisselen voor de uitoefening van hun wettelijke taak. Er worden alleen gegevens uitgewisseld voor zover daar een wettelijke grondslag voor is. Het Bureau Keteninformatisering Werk & Inkomen (BKWI, onderdeel van het ministerie van Sociale Zaken en Werkgelegenheid) beheert Suwinet en is tevens de externe toezichthouder waaraan gemeenten verantwoording moeten afleggen over het gebruik ervan. Gemeente Someren maakt zelf geen gebruik van de Suwinet-infrastructuur. De uitvoering van de Participatiewet (waarvoor Suwinet wordt ingezet) is ondergebracht in de gemeenschappelijke regeling Senzer. Desondanks blijft de gemeente verantwoordelijk voor Suwinet en moet de gemeente daarover ook verantwoording afleggen aan BKWI. Voor de verantwoording wordt gesteund op een audit (zelfevaluatie Gebruik Suwinet) die Senzer heeft laten uitvoeren door een externe, gecertificeerde IT-auditor. De Third Party Memorandum (TPM) die de auditor over 2020 heeft opgesteld (en die dus de situatie binnen Senzer beschrijft) laat zien dat Senzer aan vrijwel alle door BKWI gestelde Suwinet-normen voldoet. De externe auditor heeft vastgesteld dat Senzer op het punt van de controle op de toegangsauthorisatie tijdelijk niet aan alle eisen heeft voldaan.

Overigens is Senzer het niet eens met de opmerkingen van de auditor. Inmiddels is deze tekortkoming door Senzer aangepast. Bijgevolg voldoet ook gemeente Someren (als verantwoordelijke) niet aan alle normen.

12/17

In de verplichte collegeverklaring hieromtrent wordt dit door de gemeente aan de toezichthouder gemeld (via ENSIA). Onze eigen externe IT-auditor heeft deze collegeverklaring beoordeeld als zijnde in overeenstemming met de werkelijkheid.

13/17

4.

Overige aspecten

4.1

Inleiding

Behalve de informatiebeveiliging als zodanig zijn er nog enkele aspecten die van belang zijn voor deze jaarlijkse rapportage. Het betreft dan het feit dat gemeente Someren steeds vaker onderdeel uitmaakt van een keten van partners, hetzij omdat dat een (wettelijke) verplichting is, hetzij omdat wij we er als gemeente voor kiezen om werkzaamheden elders onder te brengen. Een ander aspect dat een nauwe band met informatiebeveiliging heeft is de toegenomen aandacht voor de bescherming van persoonsgegevens, de privacy.

4.2

Samenwerken in ketens

Om diverse redenen heeft gemeente Someren te maken met samenwerkings- of ketenpartners. De tijd dat de gemeentelijke organisatie een gesloten geheel was, met zijn eigen op zich staande processen, ligt al lang achter ons. Op het vlak van informatiebeveiliging brengt dat nieuwe risico’s met zich mee. In de eerste plaats is er de noodzaak tot communicatie (in de zin van overdracht van informatie over zaken, objecten en subjecten): zo vindt er gegevensuitwisseling plaats met een omgevingsdienst of een gemeenschappelijke regeling in het sociaal domein. Maar we verstrekken ook gegevens aan externe adviseurs of ontsluiten gegevens buiten de relatief veilige omgeving van ons eigen netwerk. Iedere informatieoverdracht brengt een zeker risico (op inbreuk, op verminking, etc.) met zich mee. Het is een uitdaging om de steeds groter wordende bedreigingen op dit terrein te pareren met afdoende beveiligingsmaatregelen (zowel technisch als procedureel). Het gegeven dat we werkzaamheden onderbrengen in externe organisaties (zoals gemeenschappelijke regelingen) ontslaat ons niet van onze verantwoordelijkheden. Om hier aan tegemoet te komen zijn goede afspraken (vooraf vastgelegd in overeenkomsten, serviceafspraken, enzovoort) nodig.

Desondanks blijkt in de praktijk toch regelmatig een spanningsveld te bestaan tussen hetgeen wenselijk is (om diverse op zichtzelf legitieme redenen) en hetgeen dat mag of kan vanuit het perspectief van beveiliging en privacy. In dit verband is het goed om nogmaals te wijzen op de accountability: er is een transparante en genormeerde verantwoording nodig over hoe dergelijke zaken zijn geregeld.

4.3

Privacy

Met de komst van de Algemene Verordening Gegevensbescherming (AVG) per 25 mei 2018 is privacy volop in de schijnwerpers komen te staan. Hoewel er materieel gezien niet zo heel veel is veranderd door deze wetgeving (er bestond immers al een Wet op de Bescherming van Persoonsgegevens, WBP), is de beleving en naleving ervan wel anders. Privacy heeft per definitie alleen betrekking op persoonsgegevens, waarbij dat begrip overigens ruim geïnterpreteerd wordt. Zo kan het kenteken van een auto beschouwd worden als een persoonsgegeven als het herleidbaar is tot een individueel persoon. Elke organisatie, en zeker een gemeente, dient de privacy te kunnen waarborgen. Daar zijn dus strikte wettelijke regels voor die, bij overtreding, kunnen leiden tot forse boetes.

14/17

Informatiebeveiliging heeft een deels breder aandachtsgebied. De beveiliging is bijvoorbeeld ook gericht op de bedrijfscontinuïteit en beperkt zich niet uitsluitend tot persoonsgegevens. Toch is het niet vreemd dat privacy en informatiebeveiliging vaak in één adem worden genoemd (en voor sommigen zelfs synoniem zijn). Bovendien is het zo dat een aantal beveiligingsmaatregelen van directe invloed is op de waarborging van de privacy. Omgekeerd dragen privacyvereisten (zoals het afsluiten van verwerkersovereenkomsten) bij aan een verhoging van de informatiebeveiliging. Binnen de organisatie van de gemeente Someren worden informatiebeveiliging en privacy dan ook in samenhang met elkaar opgepakt.

15/17

Bijlage – Verklarende woordenlijst en gebruikte afkortingen AVG

Algemene Verordening Gegevensbescherming

BAG

Basisregistratie Adressen en Gebouwen

BGT

Basisregistratie Grootschalige Topografie

BIG

Baseline Informatiebeveiliging Nederlandse Gemeenten

BIO

Baseline Informatiebeveiliging Overheid

BIR

Baseline Informatiebeveiliging Rijksoverheid

BKWI

Bureau Keteninformatisering Werk & Inkomen

BRO

Basisregistratie Ondergrond

BRP

Basisregistratie Personen

BSOB

Belastingsamenwerking Oost-Brabant

BZK

Ministerie van Binnenlandse Zaken Koninkrijkszaken

CIP

Centrum voor Informatiebeveiliging en Privacy

CISO

Chief Information Security Officer

Datalek

Een beveiligingsincident waarbij persoonsgegevens op onrechtmatige worden verwerkt of verloren gaan.

DMARC

Protocol voor de beveiliging van e-mailverkeer

DNSSEC

Protocol voor de beveiliging van webverkeer

ENSIA

Eenduidige Normatiek Single Information Audit

GGI

Gemeenschappelijke Gemeentelijke Infrastructuur

IBD

Informatiebeveiligingsdienst

ISMS

Information Security Management System

NCSC

Nationaal Cyber Security Centrum

OBDO

Overheidsbreed Beleidsoverleg Digitale Overheid

PUN

Paspoortuitvoeringsregeling Nederland

STARTTLS

Protocol voor de beveiliging van e-mailverkeer

Suwinet

Digitale infrastructuur voor gegevensuitwisseling in het sociaal domein

TPM

Third Party Memorandum

VvT

Verklaring van Toepasselijkheid

16/17