Onderzoeksrapport privacy & informatieveiligheid.pdf

onbeheerde documenten of gegevensdragers, verkeerd verstuurde mails, pishing mails contact opnemen met functionaris gegevensbescherming of privacybeheerder teammanager op de hoogte brengen en Fg. persoonlijke informatie delen met derden melding doen bij Privacy officier - invullen formulier datalek - vervolgens worden aan de hand hiervan vervolgstappen ondernomen melden bij de PO nee melden bij CISO Leidinggevende informeren en mail naar privacy@gemeente-steenbergen.nl Het ontvangen van een email/post met vertrouwelijke informatie die niet voor mij bestemd is. Direct melden bij de collega's van privacy of de CISO. Wanneer een onbevoegde mogelijk kennis heeft kunnen nemen van persoonsgegevens dan dien je dit te melden bij de Privacy Officer en/of Functionaris Gegevensbescherming. b.v. verliezen van je telefoon met persoonsgevens of ontvangen van een mail die nite voor jezelf is maar waar wel persoonsgegevens in staan. Na constatering datalek wordt de teammanager en privacy officer ingelicht. Melden bij de privacy beheerder.

Privacy & Informatiebeveiliging in de gemeente Steenbergen, bewust en beschermd naar een volgend niveau Rekenkamercommissie gemeente Steenbergen Pagina 43 van 57

Privacy & Informatiebeveiliging in de gemeente Steenbergen, bewust en beschermd naar een volgend niveau Rekenkamercommissie gemeente Steenbergen Pagina 44 van 57

Privacy & Informatiebeveiliging in de gemeente Steenbergen, bewust en beschermd naar een volgend niveau Rekenkamercommissie gemeente Steenbergen Pagina 45 van 57

Privacy & Informatiebeveiliging in de gemeente Steenbergen, bewust en beschermd naar een volgend niveau Rekenkamercommissie gemeente Steenbergen Pagina 46 van 57

Privacy & Informatiebeveiliging in de gemeente Steenbergen, bewust en beschermd naar een volgend niveau Rekenkamercommissie gemeente Steenbergen Pagina 47 van 57

Privacy & Informatiebeveiliging in de gemeente Steenbergen, bewust en beschermd naar een volgend niveau Rekenkamercommissie gemeente Steenbergen Pagina 48 van 57

Mist u iets in deze vragenlijst wat u ons nog wilt meegeven voor ons onderzoek? 14 antwoorden

    

Bewustwording mbt privacy en informatiebeveiliging mag met enige regelmaat onder de aandacht gebracht worden. Privacy moet voor de relevante medewerkers (sociaal domein maar ook andere disciplines) een verplichte module zijn die jaarlijks herhaald wordt. En graag meer leren uit de praktijk. Betrokkenheid gemeenteraad bij deze onderwerpen. Staan teveel op afstand. Dat er nog steeds wachtwoord restricties zijn die niet voldoen. Heb deze vraag naar Equalit gestuurd, maar nog steeds geen reactie op gekregen. De eerste vraag is gericht op informatie bij in indiensttreding. Als je al jarenlang voor de gemeente werkt dan is het moeilijk om deze vraag te beantwoorden. N.v.t. wil niet zeggen dat er door de organisatie geen info gegeven wordt.

Privacy & Informatiebeveiliging in de gemeente Steenbergen, bewust en beschermd naar een volgend niveau Rekenkamercommissie gemeente Steenbergen Pagina 49 van 57

Demografisch

Privacy & Informatiebeveiliging in de gemeente Steenbergen, bewust en beschermd naar een volgend niveau Rekenkamercommissie gemeente Steenbergen Pagina 50 van 57

Bijlage 6. Ambtelijke reactie

Privacy & Informatiebeveiliging in de gemeente Steenbergen, bewust en beschermd naar een volgend niveau Rekenkamercommissie gemeente Steenbergen Pagina 51 van 57

Privacy & Informatiebeveiliging in de gemeente Steenbergen, bewust en beschermd naar een volgend niveau Rekenkamercommissie gemeente Steenbergen Pagina 52 van 57

Bijlage 7. Reactie op ambtelijk wederhoor Het ambtelijk wederhoor bevat naast opmerkingen over feitelijke onjuistheden in het rapport, ook een aantal tips/suggesties/aandachtspunten voor aanpassingen. In de tabel hieronder aangegeven of en hoe de RKC dit alles verwerkt heeft in het rapport. Ambtelijke reactie

Reactie RKC

Pagina 8, schema, rol van de PO De rol van de PO is het “hands on” meenemen van de organisatie in het voldoen aan de AVG. Hij/zij begeleidt/ faciliteert de organisatie bij het opstellen van de DPIA’s door de afspraken in te plannen en de voortgang te bewaken. Hij houdt in opdracht van het MT mutaties in het register van verwerkingen bij. Hij houdt het register van verwerkingsovereenkomsten op aangeven van de manager bij. Hij registreert de datalekken nadat de manager zijn onderzoek heeft afgerond en mitigerende maatregelen heeft genomen die in afstemming met de FG zijn genomen. Ten allen tijden is het management verantwoordelijk voor borging van privacy en aansturend op het acteren van de PO. De rol van de PO wordt momenteel anders ingevuld.

Als basis voor het beschrijven en weergeven van de rol/werkzaamheden van de PO, heeft de RKC mede gebruik gemaakt van de taakinventarisatie PO, die de RKC ontvangen heeft vanuit de ambtelijke organisatie. Daarnaast is als aanvulling op het schema een verdere uitwerking van de activiteiten en rol van de PO aangegeven onder: 2.2 Analyse organisatie. Naar aanleiding van uw reactie heeft de RKC deze uitwerking aangevuld met de volgende tekst: ‘te allen tijde is het management verantwoordelijk voor borging van privacy en aansturend op het acteren van de PO. ‘De rol van PO wordt momenteel anders ingevuld.’

Pagina 9, 2e alinea, functie van de werkprocessen Werkprocessen zijn een hulpmiddel. De AVG eist aantoonbaar in control. Het ontbreekt vooral aan die aantoonbaarheid. Comply or explain vormt hierbij het uitgangspunt.

Uw reactie is overgenomen en verwerkt in de betreffende tekst.

Pagina 12, laatste alinea, actualiseren van beleid De PO is niet verantwoordelijk voor de actualisatie van het beleid. Dat ligt bij de directie en management. De PO faciliteert in organiseren, registreren en voortgang bewaken.

Uw reactie is overgenomen en verwerkt in de betreffende tekst.

Pagina 13,1e alinea, taken van de PO De taken van de PO zijn vooral coördinerend, initiërend en voortgang bewakend. Momenteel wordt die rol- zoals eerder geschetst - anders ingevuld.

De RKC neemt uw reactie ter kennisneming aan.

Pagina 13, 2e alinea, jaarrapportage gegevensbescherming (september 2019) Deze rapportage is niet van de FG maar van een stagiair. Deze stagiair vervult nu de functie van PO.

Uw reactie is overgenomen en verwerkt in de betreffende tekst.

Pagina 13, een na laatste alinea, “De FG constateert…….” Het is niet de FG die dit heeft geconstateerd, maar de voormalig stagiair. Deze stagiair vervult nu de functie van PO. Dat geldt ook voor de tekst die in de volgende alinea staat. Deze constatering is ook van de stagiair en niet van de FG. Pagina 17, laatste alinea, standaardprocedures en rapportages. Er wordt aangegeven dat veel standaardrapportages en procedures ontbreken. Dat geldt niet voor informatieveiligheid. Ten aanzien van de BIO zijn heel veel standaardprocedures beschikbaar. Dat gaat veel verder dan de AVG vereist. Pagina 20, 4e alinea, ISMS Inmiddels is begonnen met de implementatie van een ISMS dat nagenoeg door de gehele Equalit-share wordt gebruikt

Uw reactie is overgenomen en verwerkt in de betreffende tekst.

De RKC deelt uw reactie over de informatieveiligheid. De betreffende tekst is hierop aangepast.

Uw aanvulling over een ISMS is overgenomen in de betreffende alinea.

Privacy & Informatiebeveiliging in de gemeente Steenbergen, bewust en beschermd naar een volgend niveau Rekenkamercommissie gemeente Steenbergen Pagina 53 van 57

Ambtelijke reactie

Reactie RKC

Pagina 25, beantwoording deelvraag 2 De vraag sec gaat over het privacybeleid en informatiebeveiliging. In de toelichting komt enkel het privacybeleid terug. Het valt op dat er niets wordt gezegd over informatieveiligheid.

Uw reactie is terecht. De RKC heeft in het onderzoek geconstateerd (zie onder 4.1) dat informatiebeveiliging al tien jaar op de agenda bij de gemeente Steenbergen staat en privacybeleid sinds een jaar of drie. Daardoor heeft de gemeente al veel meer energie kunnen stoppen in en voor bewustwording kunnen zorgen in informatieveiligheid, dan in privacybeleid. Uw reactie is verwerkt in de betreffende tekst.

Pagina 25, beantwoording deelvraag 4 U geeft aan dit niet te kunnen beoordelen. Waar het gaat om informatieveiligheid wordt opgemerkt dat hier in het interview met de CISO niet naar gevraagd is. Waar baseert u deze bevinding op?

Hoewel de RKC vertrouwelijk omgaat met verslagen van interviews, wil zij toch graag toelichten dat onze bevinding gebaseerd is op de toelichting waaruit naar voren komt dat het beleid wel wordt vastgesteld, maar dat aan de ‘achterkant’ er niet naar wordt gehandeld. Daarnaast heeft de RKC geen formele documenten aangetroffen, waarin specifiek en concreet is aangegeven dat het BIO BBN2 (het basisniveau) beveiligingsniveau volledig geïmplementeerd is. Het doet de RKC goed om uw reactie te lezen en is daarom toegevoegd in de betreffende beoordeling en beantwoording van deelvraag 5.

Pagina 26, beantwoording deelvraag 5 Het prominenter benadrukken van de onderwerpen is inmiddels een stapje verder gebracht via P&O met de implementatie van het LMS (LeerManagementSysteem) waarin bepaalde training (o.a. informatieveiligheid en privacy) binnen 100 dagen afgerond dienen te worden via e-learnings. Daar wordt een introductiesessie aan toegevoegd via teams voor wat betreft informatieveiligheid. Pagina 35, bijlage 4, ACID Dit moet zijn ACIB.

Is aangepast in het rapport.

Pagina 35, bijlage 4, Applicatie Niet correct want de software die wordt gebruikt voor de Basisregistratie Adressen en Gebouwen is Neuron BAG.

Is aangepast in het rapport.

Pagina 35, bijlage 4, BAG Een basisregistratie is per definitie geen softwareprogramma. Een basisregistratie is een registratie die door een bronhouder (bij BAG is dit de gemeente) wordt gevoerd met behulp van een softwareprogramma. Een basisregistratie bevat unieke kenmerken van objecten die eenmalig worden geregistreerd en zowel intern als landelijk door afnemers worden hergebruikt.

Is aangepast in het rapport.

Pagina 35, bijlage 4, BRP Dit is een basisregistratie en geen software.

Is aangepast in het rapport.

Pagina 35, bijlage 4, BIG De BIG is inmiddels vervallen en opgevolgd door de BIO in 2020. Pagina 35, bijlage 4, CERT Emercengy moet zijn emergency.

Is aangepast in het rapport.

Is aangepast in het rapport.

Privacy & Informatiebeveiliging in de gemeente Steenbergen, bewust en beschermd naar een volgend niveau Rekenkamercommissie gemeente Steenbergen Pagina 54 van 57

Bijlage 8. Bestuurlijke reactie

Privacy & Informatiebeveiliging in de gemeente Steenbergen, bewust en beschermd naar een volgend niveau Rekenkamercommissie gemeente Steenbergen Pagina 55 van 57

Privacy & Informatiebeveiliging in de gemeente Steenbergen, bewust en beschermd naar een volgend niveau Rekenkamercommissie gemeente Steenbergen Pagina 56 van 57

Bijlage 9. Nawoord RKC Wij danken het college voor de reactie op het onderzoeksrapport en zijn blij dat u zich in het algemeen kunt vinden in de resultaten van het onderzoek. Specifiek en terecht geeft u aan dat het niveau op het gebied van informatiebeveiliging vooralsnog steviger verankerd is dan dat van privacy. Evenwel is het veelbelovend dat de organisatie veel energie en aandacht wil blijven besteden aan het adequaat voldoen aan alle wettelijke richtlijnen en te behalen niveaus van zowel privacy als informatiebeveiliging. Wij gaan ervan uit dat de uitwerking van de conclusies en aanbevelingen in de betreffende organisatieprocessen worden opgenomen, zodat de gemeenteraad dat kan controleren.

Privacy & Informatiebeveiliging in de gemeente Steenbergen, bewust en beschermd naar een volgend niveau Rekenkamercommissie gemeente Steenbergen Pagina 57 van 57