Document · PDF

E7 Jaarrapportages privacy en informatiebeveiliging 2020.pdf

Raadsvergadering 23 september 2021, gemeente VelsenBij agendapunt: Ingekomen stukken13.198 woorden

Open het PDF bij iBabs ↗Naar de vergadering →

Tekst van het document

Uit het bestand gehaald, zonder opmaak, tabellen en afbeeldingen · deel 1 van 2

GEMEENTE VELSEN

Collegebericht Weeknummer: 26

Datum vergadering

29-06-2021

Ambtenaar

E. van Leuven E.G.M. Verbeek S. Prins

Zaaknummer

8455-2021

Telefoonnr.

7670/7699/7753

Portefeuillehouder(s)

J. Verwoort

E-mailadres

eleuven@velsen.nl everbeek@velsen.nl sprins@velsen.nl

Bijlagen

Onderwerp: Jaarrapportages privacy en informatiebeveiliging 2020

Geachte leden van de raad, Gegevensbescherming en informatiebeveiliging spelen een belangrijke rol bij de uitvoering van de gemeentelijke taak en zijn onlosmakelijk met elkaar verbonden. Het is om die reden dat de ‘Jaarrapportage gegevensbescherming 2020 & Werkprogramma privacybeleidsvoering 2021’ én de ‘Rapportage Informatiebeveiliging ENSIA 2020’ hierbij gezamenlijk ter kennisneming worden aangeboden. De documenten verschaffen inzicht in de huidige stand van zaken op het vlak van zogenaamde compliance van de gemeentelijke organisatie aan de Algemene Verordening Gegevensbescherming (AVG) en de Baseline Informatiebeveiliging Overheid (BIO). De Jaarrapportage gegevensbescherming 2020 & Werkprogramma privacybeleidsvoering 2021 bevat ook een overzicht van de activiteiten die in 2021 op het vlak van privacy/AVG worden ondernomen. De belangrijkste bevindingen op het gebied van privacy Op grond van de uitkomsten van gesprekken in de organisatie en eigen waarnemingen van de Privacy Officer (PO) en de Functionaris Gegevensbescherming (FG) is de conclusie dat het privacyvolwassenheidsniveau van de organisatie nog niet op het gewenste niveau is. Ter verbetering is in de jaarrapportage een aantal aanbevelingen gedaan: • Het aantoonbaar kunnen voldoen aan de verplichtingen van de AVG vergt een goed contractbeheer.

Dit onderwerp is hoger op de agenda van de directie gekomen en heeft ertoe geleid dat de verbeteringsslag tot project is bestempeld. Het projectteam werkt aan plannen die tot deze verbetering moeten leiden. • De verplichtingen vanuit de AVG vereisen heldere, actuele en accurate autorisatie-overzichten voor toegang tot privacygevoelige informatie in ICT-systemen. Samen met de CISO wordt dit onderwerp in 2021 verder opgepakt. • Omdat de ontwikkelingen waarin privacy een rol speelt zich in razendsnel tempo uitbreiden, is het voor de PO en de FG niet mogelijk de gewenste situatie te bereiken zonder hulp van de collega’s bij de domeinen. Er wordt aanbevolen om per domein twee privacycontactpersonen te benoemen die aanspreekpunt/vraagbaak zijn voor de medewerkers in het domein en een signaleringsfunctie hebben richting PO en FG. (gerealiseerd in maart 2021)

GEMEENTE VELSEN •

Op grond van de AVG is het verplicht om elk proces waarin sprake is van verwerking van extra privacygevoelige persoonsgegevens eens in de drie jaar aan een DPIA (privacy-assessment) te onderwerpen. In 2021 wordt met behulp van de privacycontactpersonen de uitvoering van DPIA’s bij de domeinen nader onder de aandacht gebracht.

De belangrijkste bevindingen op het gebied van informatiebeveiliging • Ten opzichte van 2019 is er goede vooruitgang geboekt, waaronder de totstandkoming van een groot aantal ICT-beveiligingsprocedures, maar dit is voor een deel nog een papieren werkelijkheid. De Outsourcingspartij OGD zal een groot deel van de technische beveiliging op zich nemen maar dit zal tijd vergen, aangezien het beheer van de ICT-systemen nog maar net is overgenomen. De normen in de BIO worden voor 75% nageleefd. • Het is onduidelijk of de organisatie van Velsen voorbereid is op gebeurtenissen die de bedrijfsvoering in ernstige mate verstoren of stilleggen. Een quick-scan, uitgevoerd in het laatst kwartaal van 2020, geeft geen gunstig beeld. In 2021 legt de CISO een voorstel, gebaseerd op de uitkomst van dit onderzoek, voor aan de directie. • Detectie van verdachte activiteiten in de ICT-infrastructuur (met name het binnendringen door hackers) vindt nauwelijks plaats. Hiervoor moet een geautomatiseerd systeem worden ingericht en een gespecialiseerd team voor de analyse van meldingen in de arm worden genomen. Dit is een complexe opgave bij de Outsourcingsoperatie waar in 2021 aan wordt gewerkt. • Een punt van zorg blijft het risicobewustzijn bij medewerkers, management en bestuur. Mede door de coronacrisis zijn de activiteiten op dit gebied in 2020 vrijwel achterwege gebleven.

Het vrij laten van medewerkers om zelf te bepalen of ze aangeboden trainingen wel of niet doen helpt niet om hier goede resultaten op te boeken. Dit onderdeel wordt weer opgepakt nadat de meeste beperkende maatregelen zijn opgeheven, naar verwachting na de zomervakantie. • De grootste bedreiging voor de gemeente Velsen wordt gevormd door criminele hackers. De gevolgen zijn enorm als zij kans zien om in de ICT-infrastructuur door te dringen. Het voorbeeld gemeente Hof van Twente is sprekend. Vrijwel alle bedrijfsprocessen vallen stil door het wegvallen van de informatievoorziening. Als dat Velsen overkomt zal de dienstverlening geruime tijd stoppen. Ook zal de informatievoorziening voor een deel niet meer hersteld kunnen worden. Bovengenoemde tekortkomingen dienen alle weggenomen te worden om de weerbaarheid van Velsen hiertegen op peil te krijgen. Actieve betrokkenheid van het management is daarbij van het grootste belang. • Het wegnemen van alle tekortkomingen is geprioriteerd, belegd en gepland met het systeem Key2Control in de vorm van een jaarplan. De voortgang wordt met dit systeem beheerd. In dit kader is het goed om te vermelden dat een ethische hacker, in het kader van een test, kans heeft gezien om in de ICT-infrastructuur van de gemeente Velsen door te dringen.

Dit illustreert dat er ook hier kwetsbaarheden zijn en een scenario Hof van Twente in Velsen niet ondenkbaar is. Uiteraard leren de systeembeheerders en de CISO hiervan en worden maatregelen genomen om dat risico technisch te verminderen. Echter, risicobewustzijn heeft bij deze test ook een rol gespeeld en daarvoor bestaan geen technische oplossingen.

Het college van burgemeester en wethouders van de gemeente Velsen

Rapportage Informatiebeveiliging ENSIA 2020

Gemeente Velsen

Rapportage Informatieveiligheid ENSIA 2020

Inhoudsopgave 2 Samenvatting ...................................................................................................................................... 4 2.1 Uitkomsten zelfevaluatie informatieveiligheid ENSIA 2020.......................................................... 4 2.2 Uitkomsten toetsing collegeverklaring voor Suwinet .................................................................... 5 2.3 Uitkomsten toetsing collegeverklaring voor DigiD ........................................................................ 6 3 Aanpak en werkwijze .......................................................................................................................... 7 4 Status BIO ........................................................................................................................................... 9 4.1 Van BIG naar BIO......................................................................................................................... 9 4.1.1 Status van Implementatie BIO ............................................................................................... 9 4.3 Beveiligingsbeleid ....................................................................................................................... 10 4.3.1 Status informatiebeveiligingsbeleid .....................................................................................

10 4.4 Organisatie van de informatiebeveiliging ................................................................................... 10 4.4.1 Status van organisatie van de informatiebeveiliging ........................................................... 11 4.4.2 Te verbeteren of nog uit te werken onderdelen ................................................................... 11 4.5 Personele beveiliging ................................................................................................................. 11 4.5.1 Status van personele beveiliging ......................................................................................... 11 4.5.2 Te verbeteren of nog uit te werken onderdelen ................................................................... 12 4.6 Beheer van bedrijfsmiddelen ...................................................................................................... 12 4.6.1 Status van beheer van bedrijfsmiddelen ............................................................................. 12 4.7 Toegangsbeveiliging................................................................................................................... 12 4.7.1 Status van toegangsbeveiliging ...........................................................................................

12 4.7.2 Te verbeteren of nog uit te werken onderdelen ................................................................... 13 4.8 Cryptografie ................................................................................................................................ 13 4.8.1 Status van cryptografie ........................................................................................................ 13 4.8.2 Te verbeteren of nog uit te werken onderdelen ................................................................... 13 4.9 Fysieke beveiliging en beveiliging van de omgeving ................................................................. 14 4.9.1 Status van fysieke beveiliging en beveiliging van de omgeving .......................................... 14 4.9.2 Te verbeteren of nog uit te werken onderdelen ................................................................... 14 4.10 Beveiliging van de bedrijfsvoering ............................................................................................ 14 4.10.1 Status van de beveiliging van de bedrijfsvoering .............................................................. 14 4.10.2 Te verbeteren of nog uit te werken onderdelen .................................................................

15 4.11 Communicatiebeveiliging ......................................................................................................... 15 4.11.1 Status van communicatiebeveiliging ................................................................................. 15 4.11.2 Te verbeteren of nog uit te werken onderdelen ................................................................. 15

Rapportage Informatieveiligheid ENSIA 2020

4.12 Acquisitie, ontwikkeling en onderhoud van informatiesystemen .............................................. 15 4.12.1 Status van acquisitie, ontwikkeling en onderhoud van informatiesystemen ..................... 15 4.11.2 Te verbeteren of nog uit te werken onderdelen ................................................................. 16 4.13 Beheer van relaties met leveranciers ....................................................................................... 16 4.13.1 Status van beheer van relaties met leveranciers............................................................... 16 4.13.2 Te verbeteren of nog uit te werken onderdelen ................................................................. 16 4.14 Beheer van Informatiebeveiligingsincidenten ........................................................................... 17 4.14.1 Status van beheer van informatiebeveiligingsincidenten .................................................. 17 4.14.2 Te verbeteren of nog uit te werken onderdelen ................................................................. 17 4.15 Informatiebeveiligingsaspecten van bedrijfscontinuïteitsbeheer .............................................. 17 4.15.1 Status van bedrijfscontinuïteitsbeheer ...............................................................................

17 4.15.2 Te verbeteren of nog uit te werken onderdelen ................................................................. 18 4.16 Naleving .................................................................................................................................... 18 4.16.1 Status van naleving ........................................................................................................... 18 4.16.2 Te verbeteren of nog uit te werken onderdelen ................................................................. 18 4.17 Audit collegeverklaring voor Suwinet ....................................................................................... 18 4.17.1 Status Suwinet voor de Participatiewet, IOAZ en IOAW ................................................... 19 4.17.2 Status Suwinet voor Burgerzaken ..................................................................................... 19 4.18 DigiD ......................................................................................................................................... 19 4.18.1 Status DigiD aansluiting Digitaal Loket Gemeente Velsen ................................................ 20 4.18.2 Status DigiD aansluiting Gemeente Velsen - iParticipatie Productie omgeving ................

20 4.18.3 Status DigiD aansluiting iBurgerzaken .............................................................................. 21

Rapportage Informatieveiligheid ENSIA 2020

2 Samenvatting Dit rapport geeft de uitkomsten weer van de uitgevoerde zelfevaluatie informatieveiligheid over het jaar 2020. Deze zelfevaluatie is gebaseerd op de Baseline Informatiebeveiliging Overheid (BIO) (Het college van B&W heeft in 2019 vastgesteld dat deze Baseline als leidend normenkader voor informatiebeveiliging wordt gehanteerd. De Baseline Informatiebeveiliging Nederlandse Gemeenten komt hiermee te vervallen). In welke mate we voldoen aan deze Baseline is getoetst door middel van een zelfevaluatie die is uitgevoerd in de periode oktober t/m december 2020. Wij rapporteren als gemeente Velsen op één moment in het jaar over de status van onze informatiebeveiliging. De methodiek heet ENSIA en staat voor Eenduidige Normatiek Single Information Audit. De verantwoording informatieveiligheidsvragen aan de stelselhouders over de Basisregistratie Personen (BRP), de wetgeving voor Reisdocumenten (PUN/PNIK) en Suwinet wordt afgeleid vanuit deze BIG zelfevaluatie. Voor de Basisregistratie Adressen en Gebouwen (BAG), de Basisregistratie Grootschalige Topografie (BGT), de Basisregistratie Ondergrond (BRO) en DigiD zijn separate evaluaties in ENSIA uitgevoerd. Voor het verantwoordingsjaar 2020 geldt dat de verantwoording Suwinet en DigiD aan de stelselhouders (Ministerie van SZW en Logius/BZK) wordt verantwoord door middel van een collegeverklaring.

De collegeverklaring is opgesteld op basis van de bevindingen uit onze zelfevaluaties en wordt getoetst door een IT auditor. Deze neemt de bevindingen op in een assurancerapport. Met het aanleveren van de vastgestelde collegeverklaring en het assurancerapport voldoen wij aan de verantwoordingsplicht voor Suwinet en DigiD.

2.1 Uitkomsten zelfevaluatie informatieveiligheid ENSIA 2020 Op hoofdlijnen zijn de uitkomsten van de meting, eind 2019, over informatieveiligheid als volgt: • Aan 75% van de normen uit de BIO wordt voldaan. • Ten opzichte van vorig jaar is er goede vooruitgang geboekt. Er is een groot aantal ICTprocedures tot stand gekomen. Deze procedurebeschrijvingen spelen een grote rol bij de outsourcing van de ICT-voorziening en het beheer daarvan. De opdrachtnemer zal de dienstverlening in belangrijke mate gaan baseren op deze procedures. De werkzaamheden (inrichting van het proces in het servicemanagementsysteem Axxerion en het opnemen van de functieprofielen in het autorisatiebeheersysteem Active Directory) om het nieuwe autorisatieproces te laten werken zijn in volle gang, maar nog niet afgerond. Naar verwachting zal dit in de eerste helft van 2021 gereed komen. Ook hier zal de opdrachtnemer een belangrijke rol in gaan spelen, tezamen met HR en het management van de gemeentelijke organisatie. • De uitbraak van het Coronavirus heeft ertoe geleid dat de meeste medewerkers in 2020 voor het grootste deel thuis hebben gewerkt. Van deze gelegenheid is gebruik gemaakt om alle bureaus te ontdoen van documenten en andere zaken. Het is wel zaak om na terugkeer het clean deskbeleid definitief in te voeren en te handhaven.

• Informatiebeveiliging dient ook een belangrijke bijdrage te leveren aan het beheer van de bedrijfscontinuïteit. Echter, het is niet duidelijk in hoeverre de gemeente Velsen dit onder controle heeft en weerbaar is tegen gebeurtenissen die de bedrijfsvoering verstoren of stil leggen. Om hier meer zicht op te krijgen heeft in het laatste kwartaal van 2020 een externe deskundige een quickscan uitgevoerd. Op grond van de uitkomst van dit onderzoek zal de CISO in 2021 een voorstel aan de directie voorleggen om hier verbetering in te krijgen. • Er vindt nog in onvoldoende mate registratie (logging) plaats van gebeurtenissen in de ICTinfrastructuur en handelingen van gebruikers. Monitoring gebeurt dan ook slechts beperkt. Daarbij moet worden vermeld dat monitoring complex is en het beste in een geautomatiseerd proces kan gebeuren waarbij er, op basis van vooraf ingestelde waarden, waarschuwingen worden afgegeven. Dit is onderdeel van de aanbestedingsprocedure voor de outsourcing ICT geweest en Rapportage Informatieveiligheid ENSIA 2020

op basis van de gesprekken die gevoerd zijn wordt er aangestuurd op een systeem wat door de opdrachtnemer wordt gebruikt. Complicerende factor is dat deze pas volledig operationeel kan worden gemaakt als de gemeente Velsen gebruik maakt van de ICT-infrastructuur van de opdrachtnemer. Om redenen van kapitaalvernietiging is gekozen voor de overgangsperiode van een aantal jaren waarin de opdrachtnemer alleen het beheer van de bestaande ICT-infrastructuur overneemt. Onderzocht wordt of er tijdens die overgangsperiode een beperktere vorm van netwerkbewaking operationeel kan worden gemaakt. • Na het advies aan de gemeentesecretaris over het beleggen van verantwoordelijkheden voor bedrijfsprocessen, systemen en gegevensverzamelingen heeft een adviesgroep in 2020 een begin gemaakt met het in kaart brengen van de gemeentelijke bedrijfsprocessen. Daarbij is gebruik gemaakt van de systematiek van de Gemeentelijke Modelarchitectuur (GEMMA). Dit moet nog worden vertaald naar de organisatie van Velsen, in samenspraak met de domeinmanagers. Dit staat voor 2021 op de rol. • Het onderwerp contractbeheer is hoger op de agenda van de directie gekomen en dit heeft ertoe geleid dat de verbetering tot project is verheven. Het projectteam heeft in 2020 gewerkt aan plannen die tot deze verbetering moeten leiden.

Informatiebeveiliging speelt bij contractbeheer een rol omdat er opdrachtnemers zijn die gegevens beheren, waarvan de gemeente Velsen eigenaar en verantwoordelijke is. In contracten dienen goede afspraken over beveiliging gemaakt te worden. Na het afsluiten van het contract dient Velsen toezicht te houden op de naleving van de gemaakte afspraken. Voor de meest kritieke gevallen is dit inmiddels ingeregeld maar er is onvoldoende overzicht om te kunnen stellen dat alle contracten waar informatiebeveiliging een rol speelt in beeld zijn. Niet bij alle afdelingen is contractbeheer duidelijk belegd. Ook is er geen volledige en éénduidige centrale registratie van contracten. • Als gevolg van de Coronacrisis zijn er in 2020 geen campagnes gevoerd om het risicobewustzijn te vergroten/op peil te houden. De gevolgen van deze crisis duren, naar verwachting, nog voort tot de zomervakantie. Daarna zal dit onderdeel weer worden opgepakt. Concluderend kan gezegd worden dat de gemeente Velsen belangrijke stappen heeft gezet om informatiebeveiliging onder controle te krijgen. Maar er blijft nog genoeg over om te verbeteren. Op een flink aantal dossiers lopen er al acties dus de verwachting is dat deze stijgende lijn in 2021 kan worden doorgezet.

De voornaamste risico’s zijn ten opzichte van vorig jaar niet gewijzigd: stagnatie van de bedrijfsvoering, misbruik en fraude door medewerkers (ook van externe partijen), verlies van gegevens en onbevoegde inzage van gevoelige informatie. Omdat er veel persoonsgegevens worden verwerkt speelt daarbij de verhoogde kans op datalekken. Door de gemaakte progressie is de kans dat deze risico’s zich ook daadwerkelijk manifesteren wel kleiner geworden.

2.2 Uitkomsten toetsing collegeverklaring voor Suwinet Suwinet is het systeem van informatie-uitwisseling in de keten van werk en inkomen. De gemeente Velsen maakt gebruik van Suwinet voor uitvoering van de volgende taken: Suwinet voor de Participatiewet, IOAZ en IOAW De interne beheersingsmaatregelen voor de SUWI-taken voldoen in opzet en bestaan niet aan alle geselecteerde normen. De tekortkoming heeft betrekking op het gebruik van Suwinet door Burgerzaken (niet-SUWI partij) en betreft het ontbreken van controle op de raadplegingen. Voor deze raadplegingen wordt er in Suwinet een zeer beperkte set gegevens getoond en daarom schat het Bureau Keteninformatie Werk en Inkomen (de gegevenseigenaar) het risico op misbruik in als beperkt. Het verbeterplan voorziet in het meenemen van de beschikbaar gestelde gebruiksrapportages in de gehele Suwinet-controlecyclus.

Rapportage Informatieveiligheid ENSIA 2020

Onze gemeente maakt hiernaast gebruik van Suwinet door de volgende niet-SUWI partijen: Overeenkomst voor niet-SUWI partijen Type

Indien van toepassing geheel of gedeeltelijk uitbesteed

Uitbesteed aan

Burgerzaken

Niet van toepassing

2.3 Uitkomsten toetsing collegeverklaring voor DigiD DigiD is het authenticatiemiddel voor onze online dienstverlening. Het object van onderzoek zijn de webomgeving(en) van onderstaande bestaande DigiD aansluiting(en): Functionaliteit

Aansluitnaam

URL van website

Algemene digitale loketfunctie

Digitaal loket Gemeente Velsen

https://dloket.velsen.nl

Loket voor het doen van aanvragen in het kader van de participatiewet.

Gemeente Velsen - iParticipatie Productie omgeving

https://iparticipatie.velsen.nl

Burgerzakenloket voor diverse IBurgerzaken aanvragen of doen van aangiften

https://iburgerzaken.velsen.nl

De interne beheersingsmaatregelen voor DigiD voldoen in opzet en bestaan niet aan alle geselecteerde normen. Voor zowel de aansluiting “Digitaal loket Gemeente Velsen” als “Gemeente Velsen - iParticipatie Productie omgeving” wordt niet voldaan aan de norm U/PW.03: Configureren webserver. Deze tekortkoming is geconstateerd bij de serviceorganisaties Dimpact en Pink Roccade Local Government en dient ook door deze organisatie te worden weggenomen. De auditors hebben hierover het volgende opgemerkt: “Voor de norm U/PW.03 geldt dat aan de testaanpak wordt voldaan, behalve op de eisen voor ‘unsafe-inline’ en ‘unsafe-eval’. De serviceorganisatie heeft voor het gebruik van ‘unsafe-inline’ en ‘unsafe-eval’ een ontwikkelplan opgesteld waarbij redelijkerwijs kan worden aangenomen dat vóór 1 november 2021 aan de gehele testaanpak voor de norm kan worden voldaan, dan wel dat er afdoende maatregelen zijn genomen om de risico’s van het gebruik van ‘unsafe-inline’ en ‘unsafeeval’ te mitigeren.” De gemeente Velsen zal monitoren of de tekortkoming binnen de, door Logius gestelde, termijn wordt weggenomen.

Rapportage Informatieveiligheid ENSIA 2020

3 Aanpak en werkwijze De volgende organisatieonderdelen en personen zijn betrokken bij de zelfevaluatie ENSIA over verantwoordingsjaar 2020: Afdeling of werkeenheid

Functie

Naam

Informatie en Statistiek

CISO/ENSIA coördinator

Eric van Leuven

Informatie en Statistiek

Beleidsmedewerker Informatievoorziening

Aegidius Kap

Sociaal Domein

Applicatie en Uitkeringenbeheerder

Eugène Creemers

Automatisering

Teamleider

Henk Zomer/Hans Blom

Automatisering

Functioneel Beheerder Digitaal Loket

Claudia Hofman

Automatisering

Technisch consultant

Dennis Webber

Automatisering

Systeembeheerder

Dennis van Asselt

Automatisering

Specialist storage en netwerk

Leon Zwirs

Algemene Zaken

Beleidsmedewerker

Brenda Klinge

Toezicht en Handhaving Openbare Ruimte

Senior buitengewoon opsporingsambtenaar

Ayman Moussa

Burgerzaken

BRP Specialist / IPR Applicatiebeheerder

Steffen Hessel

Burgerzaken

BRP Specialist

Ans Verheul

Ruimtelijke informatie

BAG specialist

Alfons van de Kamer

Ruimtelijke informatie

GIS adviseur

Arvid Boon

Proces Coördinator HR

Elsa Houtman-de Greef

Financiën

Applicatiebeheerder/informatieanalist

Mirjam de WildtKuipers

Vergunningen

WABO casemanager

Laurens Golverdingen

Gemeenten blijven eindverantwoordelijk voor informatieveiligheid, ook wanneer diensten zijn uitbesteed (gedelegeerd of gemandateerd). Voor de zelfevaluatie is de status van informatieveiligheid ook geëvalueerd bij:

Naam samenwerkingsverband Soort samenwerkingsverband Doel IJmond Werkt

Gemeenschappelijke regeling

Uitvoering participatiewet

Schoolverzuim en voortijdig schoolverlaten regio west Kennemerland

Gemeenschappelijke regeling

Bestrijding schoolverzuim en voortijdig schoolverlaten in het kader van de leerplichtwet en en het Besluit (RMC) Regionale Meld- en Coördinatiefunctie Voortijdig Schoolverlaten

Rapportage Informatieveiligheid ENSIA 2020

HVC

Gemeenschappelijke regeling

Afvalinzameling, energieleverantie in het kader van de wet milieubeheer

Omgevingsdienst IJmond

Gemeenschappelijke regeling

Bereiken en in stand houden van een veilige en gezonde fysieke leefomgeving en een goede omgevingskwaliteit in het kader van de omgevingswet.

Veiligheidsregio Kennemerland

Gemeenschappelijke regeling

Crisis en rampenbestrijding, handhaving openbare orde en veiligheid.

De vragen van de ENSIA zelfevaluatie zijn door toepassing van verschillende methoden beantwoord. Een deel van de vragen is beantwoord door raadplegen van het systeem Key2Control. De resultaten van de, in 2020 uitgezette, taken boden het nodige inzicht om de vragen te kunnen beantwoorden. Voor de overige vragen zijn de betrokken medewerkers geïnterviewd. Sommige vragen zijn meerdere malen beantwoord, voor verschillende systemen of leveranciers. Bij verschillende antwoorden heeft de CISO de afweging gemaakt welk antwoord naar de ENSIA vragenlijst is overgezet. De afweging is gemaakt op basis van het aantal gegeven antwoorden, het verschil in gevoeligheid en/of belang van bepaalde systemen of leveranciers en of het antwoord een rol speelt bij de verantwoording aan de ministeries die toezicht houden, de stelselhouders. Over de beveiliging van DigiD en Suwinet door de gemeenten verlangen de stelselhouders een onafhankelijk oordeel door een IT auditor. Velsen heeft hiervoor Duijnborgh Audit uit Utrecht in de arm genomen. De auditor heeft interviews gehouden met de betrokken medewerkers (functioneel beheerders) en heeft de, door Velsen aangeleverde, bewijsdocumentatie beoordeeld. Op basis hiervan heeft de auditor een assurance-rapport opgesteld wat, tezamen met een verklaring van het college over dit onderdeel aan de toezichthouders ter beschikking is gesteld.

De gemeente Velsen dient zelf toezicht te houden op leveranciers die in opdracht (persoonlijke) gegevens verwerken. Velsen legt in overeenkomsten de beveiligingseisen vast. Om zekerheid te krijgen dat de overeenkomst wordt nageleefd zijn er verschillende controlemogelijkheden. De meest efficiënte mogelijkheid is dat de leverancier een onafhankelijke controle uit laat voeren en hierover aan de opdrachtgever rapporteert. Bij onze grootste (gecertificeerde) leverancier Pink Roccade is de rapportage opgevraagd. Een andere leverancier, Lost Lemon, heeft de rapportage uit eigen beweging opgeleverd. Leveranciers brengen hiervoor kosten in rekening. Bij andere gecertificeerde leveranciers, Khonraad en Centric, is het certificaat met de bijbehorende verklaring van toepasselijkheid opgevraagd. Hiermee kan worden vastgesteld dat het certificaat geldig is en dat alle ISO-normen voor informatiebeveiliging zijn getoetst. Het is de ambitie om bij alle leveranciers een schriftelijke vorm van zekerheid te verkrijgen. Bij leveranciers die niet gecertificeerd zijn is dat echter wel moeilijker te bewerkstelligen. Dit geldt ook voor de samenwerkingsverbanden waar de gemeente Velsen in deelneemt. Er zijn overeenkomsten en convenanten gesloten maar nog niet in alle gevallen. Er zijn echter nog geen afspraken over rapportering vanuit de samenwerkingsverbanden.

Zonder deze informatie is er geen inzicht in de stand van zaken bij de samenwerkingsverbanden en dit is daarom buiten beschouwing gelaten bij de beantwoording van de vragen. Uiteraard dient dit in de komende jaren verbeterd te worden.

Rapportage Informatieveiligheid ENSIA 2020

4 Status BIO In dit hoofdstuk is een uitwerking per onderdeel uit de ENSIA zelfevaluatie opgenomen. In de paragrafen is een korte introductie opgenomen. Hierna volgt puntsgewijs een beschrijving van de uitgevoerde acties in het afgelopen jaar. Als laatste onderdeel is per paragraaf een schema opgenomen met nog te verbeteren of uit te werken onderdelen. De volgorde van de hoofdstukindeling volgt de hoofdstuk indeling van de BIO en de ENSIA zelfevaluatie.

4.1 Van BIG naar BIO In 2019 is de Baseline Informatiebeveiliging Overheid, als vervanger van de Baseline Informatiebeveiliging Gemeenten, van kracht geworden. In plaats van een normenkader, ontwikkeld voor één specifieke overheids-laag, vormt de BIO het kader voor de gehele overheid. Na een overgang in 2019 is Velsen daarom in 2020 overgestapt. De BIO is gebaseerd op de ISO/IEC27002:2017. Dit is een vernieuwde standaard ten opzichte van de ISO-norm waar de BIG gebaseerd was. Normen zijn gewijzigd en in sommige gevallen verzwaard. Een belangrijke wijziging is dat proceseigenaars een risicoafweging dienen te maken. Die wordt vastgelegd in een Basis Beveiligingsniveau (BBN). Het BBN bepaalt welke beveiligingsmaatregelen wel en niet van toepassing worden verklaard voor het betreffende bedrijfsproces.

4.1.1 Status van Implementatie BIO De uitkomst van de zelfevaluatie ENSIA is in 2020 dus gebaseerd op de BIO. De resultaten zijn daarom niet helemaal te vergelijken met voorgaande jaren. De zelfevaluatie is eind 2020 uitgevoerd en geeft een beeld over de beveiligingsmaatregelen die in de gemeente Velsen in werking zijn. Op hoofdlijnen zijn de uitkomsten van de meting als volgt: • Aan 75% van de normen uit de BIO wordt voldaan. Zoals gezegd is de vergelijking met voorgaande jaren moeilijker te maken. Desondanks kan er gezegd worden dat er een goede vooruitgang is geboekt ten opzichte van 2019. Die is vooral geboekt door het documenteren van een groot aantal ICT-procedures en het in de praktijk brengen van het clean deskbeleid. Hierbij moet wel aangetekend worden dat de beschreven procedures zich in de praktijk moeten bewijzen en dat de bureaus nu schoon zijn omdat het gros van de medewerkers thuis werkt vanwege de maatregelen rondom de uitbraak van het Coronavirus. Het is zaak om het clean deskbeleid actief te handhaven na het opheffen van die maatregelen. In onderstaande figuur is in hoofdlijnen te zien hoe de score op de verschillende BIO-normen er uit ziet.

Rapportage Informatieveiligheid ENSIA 2020

Hoofdstukken

Aantal normen

% Score

5 Informatiebeveiligingsbeleid

100%

6 Organiseren van informatiebeveiliging

92%

7 Veilig Personeel

75%

8 Beheer van bedrijfsmiddelen

60%

9 Toegangsbeveiliging

77%

10 Cryptografie

50%

11 Fysieke beveiliging en beveiliging van de omgeving

83%

12 Beveiliging bedrijfsvoering

71%

13 Communicatiebeveiliging

93%

14 Acquisitie, ontwikkeling en onderhoud van informatiesystemen

86%

15 Leveranciersrelaties

70%

16 Beheer van informatiebeveiligingsincidenten

71%

17 Informatiebeveiligingsaspecten van bedrijfscontinuïteitsbeheer

25%

18 Naleving

69%

Totaal

112

75%

De zelfevaluatie ENSIA wordt verwerkt in de meting van 2021. Uit de meting komen de verbeteringen voort die nog moeten worden bereikt. De verbeteringen worden, zo veel mogelijk op aangeven van leidinggevenden, bij medewerkers belegd. Met behulp van Key2Control worden ze ingepland. Over de voortgang wordt gerapporteerd aan de directie.

4.3 Beveiligingsbeleid Hoofdstuk 5 van de BIO gaat over het aantoonbaar realiseren van een niveau van informatiebeveiliging op basis van relevante wetgeving. Dit zorgt voor een fundament voor het leveren van betrouwbare dienstverlening en het kunnen doorgaan van kritische processen bij een calamiteit of incident.

4.3.1 Status informatiebeveiligingsbeleid In 2020 is er geen ontwikkeling op het gebied van het algemene beleid te melden. In 2019 is het nieuwe beleid vastgesteld, gebaseerd op de BIO. In 2020 is wel een aantal uitwerkingen tot stand gekomen, o.a. encryptiebeleid en beleid voor mobiele apparaten. Die zijn nog niet vastgesteld. Ook is het nodig een aantal bestaande beleidsstukken te actualiseren.

4.4 Organisatie van de informatiebeveiliging Hoofdstuk 6 van de BIO gaat over het organisatorisch beheren van de informatiebeveiliging binnen de gemeente. Een adequate organisatie van de informatiebeveiliging is onderdeel van het voldoen aan de BIO. Het hoofdstuk behandelt rollen en verantwoordelijkheden, scheiding van taken, contact Rapportage Informatieveiligheid ENSIA 2020

met overheidsinstanties, informatiebeveiliging in projectbeheer, beleid voor mobiele apparatuur en telewerken.

4.4.1 Status van organisatie van de informatiebeveiliging De rollen en verantwoordelijkheden zijn beschreven in het strategische beleid uit 2019. Om dit meer handen en voeten te geven is het nodig volkomen helder te krijgen hoe het eigenaarschap voor de bedrijfsprocessen bij het management ligt. Van daaruit kunnen dan ook de eigenaars van systemen en gegevensverzamelingen worden afgeleid. In 2020 is hiervoor door een adviesgroepje, bestaande uit de informatiearchitect, de procesadviseur en de CISO een begin gemaakt met het samenstellen van een overzicht van gemeentelijke bedrijfsprocessen. Aangezien gemeenten gelijksoortige bedrijfsprocessen hebben bestaat hiervoor al een model in de gemeentelijke modelarchitectuur (GEMMA) en daar is gebruik van gemaakt. De volgende stappen zijn het toetsen van dit model aan de praktijk in Velsen, bepalen van de processen voor elk domein en het toewijzen aan de managers. Duidelijkheid over proceseigenaarschap dient er toe te leiden dat duidelijk is waar de trekkersrol ligt om problemen op te lossen en biedt de mogelijkheid tot het gericht leveren van adviezen door o.a. de CISO en Privacy Officer. Het beleid voor mobiele apparatuur is opgesteld maar vaststelling heeft nog niet plaatsgevonden.

Dit hangt samen met de wens van het college om voor vaststelling inzicht te hebben in de beoogde software voor het beheer van mobiele apparaten en de consequenties daarvan voor het gebruik van privé-apparatuur (Bring Your Own Device). Dit is een ontwikkeling die verder wordt opgepakt bij de Outsourcing van de ICT-voorziening.

4.4.2 Te verbeteren of nog uit te werken onderdelen Onderwerp

Control BIO

Te implementeren maatregel

Proces/systeemeigenaar

6.1.1

Vastleggen rol leidinggevende als eigenaar van bedrijfsprocessen en systemen.

Beleid voor mobiele apparatuur

6.2.1

Vaststellen van het beleid en dit uitvoeren door het in gebruik nemen van een geschikt systeem voor het beheer van mobiele apparatuur.

4.5 Personele beveiliging De doelstelling van hoofdstuk 8 is te bewerkstelligen dat werknemers, ingehuurd personeel en externe gebruikers hun verantwoordelijkheden begrijpen, geschikt zijn voor de rollen waarvoor zij worden overwogen, en om het risico van diefstal, fraude of misbruik van faciliteiten te verminderen.

4.5.1 Status van personele beveiliging In 2020 is er verder gewerkt aan het stroomlijnen van de procedures voor in- door- en uitstroom. Hierin zijn belangrijke stappen gemaakt waardoor het beheer van autorisaties veel beter onder controle kan worden gehouden. In het tweede kwartaal van 2021 zijn, volgens de huidige planning, alle aanpassingen gereed en kunnen de procedures in de praktijk getest worden. Activiteiten om het risicobewustzijn op peil te houden hebben wel plaatsgevonden maar helaas op ad hoc basis en meestal in reactie op incidenten of waarschuwingen ten aanzien van nieuwe bedreigingen.

Rapportage Informatieveiligheid ENSIA 2020

4.5.2 Te verbeteren of nog uit te werken onderdelen

Onderwerp

Control BIO

Te implementeren maatregel

Screening

7.1.1.1

Procedure Screening afmaken, formaliseren en in de praktijk brengen.

Risicobewustzijn

7.2.2.3

Plan voor structurele activiteiten voor het verhogen van het risicobewustzijn opstellen en uitvoeren (voortbordurend op plannen van voorgaande jaren). De rol van het management om het belang van deelname aan bewustwordingsactiviteiten te benadrukken dient hierbij meer aandacht te krijgen.

4.6 Beheer van bedrijfsmiddelen De doelstelling van hoofdstuk 8 van de BIO is het bereiken en handhaven van een adequate bescherming van bedrijfsmiddelen van de gemeente.

4.6.1 Status van beheer van bedrijfsmiddelen In 2020 is er gewerkt aan het verbeteren van de registraties in de configuratiebeheerdatabase (CMDB). Hiermee krijgt de gemeente Velsen een betere controle over de bedrijfsmiddelen.

4.7 Toegangsbeveiliging De doelstelling van hoofdstuk 9 van de BIO is het beheersen van de toegang tot informatie.

4.7.1 Status van toegangsbeveiliging De verbetering van de ontoereikende autorisatieprocedure voor de algemene toegang tot de ICTsystemen is in 2020 voortgezet. De huidige werkwijze, waarbij nieuwe medewerkers toegang krijgen op basis van een kopie van het gebruikersprofiel van een collega, is te onzorgvuldig waardoor de kans groot is dat er te veel rechten worden verleend. Bij doorstroom naar een andere functie in de organisatie worden de oorspronkelijke rechten niet ingetrokken waardoor een stapeling van autorisaties plaatsvindt. De standaard-gebruikersprofielen, op basis van functie, zijn samengesteld. Deze zullen moeten worden verwerkt in het helpdesksysteem en het systeem voor toegangsbeheer van gebruikers op het netwerk. Via het helpdesksysteem moeten tijdig signalen naar de functioneel beheerders gaan zodat gebruikersaccounts met de juiste rechten in specifieke softwareapplicaties kunnen worden ingesteld, of worden verwijderd bij vertrek van medewerkers. Aandachtspunt hierbij is de discipline bij de leidinggevende om dit te melden. In het tweede kwartaal van 2021 worden, volgens planning, de werkzaamheden hiervoor afgerond. De inzichten ten aanzien van de frequentie van het wijzigen van wachtwoorden zijn gewijzigd.

De Amerikaanse organisatie NIST (National Institute of Standards and Technology) die autoriteit is op dit gebied en wereldwijd gevolgd wordt is tot het inzicht gekomen dat het frequent wijzigen van wachtwoorden niet bijdraagt aan een betere beveiliging en zelfs kan leiden tot een verzwakking. Het advies is dan ook om de frequentie sterk omlaag te brengen. Het wachtwoordbeleid moet hierop worden aangepast. Rapportage Informatieveiligheid ENSIA 2020

4.7.2 Te verbeteren of nog uit te werken onderdelen Onderwerp

Control BIO

Te implementeren maatregel

Algemene autorisatieprocedure

9.2.1

Overstap van kopiegebruikersprofielen naar standaarden, signaalfunctie naar functioneel beheerders, verbeteren discipline melden vertrek van medewerkers, meer controlemomenten in het autorisatieproces.

Wachtwoordbeleid

9.4.3

Wachtwoordbeleid aanpassen aan nieuwe adviezen van de NIST en doorvoeren in wachtwoordbeheersystemen.

Speciale systeemhulpmiddelen

9.4.4.2

Het gebruik van speciale systeemhulpmiddelen moet worden gelogd.

4.8 Cryptografie De doelstelling van hoofdstuk 10 is het voorkomen van onbevoegde toegang tot vertrouwelijke informatie van de organisatie. Cryptografie wordt toegepast om informatie tijdens het transport over internet onleesbaar te maken voor onbevoegden en om gegevens op mobiele apparatuur, draagbare opslagmedia en in databestanden te beschermen.

4.8.1 Status van cryptografie In 2020 is er gewerkt aan cryptografiebeleid en een procedure voor sleutelbeheer (van cryptografiesleutels). Er wordt in Velsen op uitgebreide schaal gebruik gemaakt van cryptografie en dit beleid geeft de toekomstige richting hiervoor aan. Beide documenten moeten nog worden vastgesteld.

4.8.2 Te verbeteren of nog uit te werken onderdelen Onderwerp

Control BIO

Te implementeren maatregel

Standaarden

10.1.1.2

Cryptografische toepassingen aansluiten op passende standaarden.

Sleutelbeheer

10.2.2.1

Toepassen PKIoverheid-eisen aan sleutelbeheer. Toepassen ISOeisen aan sleutelbeheer van niet PKIoverheids-certificaten.

Reservecertificaten

10.1.2.2

Risico’s afwegen om tot een gefundeerd standpunt aangaande reservecertificaten bij een tweede leverancier te komen.

Rapportage Informatieveiligheid ENSIA 2020

4.9 Fysieke beveiliging en beveiliging van de omgeving De doelstelling van hoofdstuk 11 is het voorkomen van onbevoegde fysieke toegang tot, schade aan of verstoring van het terrein en de informatie van de organisatie.

4.9.1 Status van fysieke beveiliging en beveiliging van de omgeving Er is in 2020 geen specifieke inzet is gepleegd op de onderdelen in hoofdstuk 11. De maatregelen zijn in werking en voldoen. In het nieuwe BIO-normenkader zijn enkele aanscherpingen gekomen die het verbeteren van maatregelen of het nemen van nieuwe maatregelen nodig maken.

4.9.2 Te verbeteren of nog uit te werken onderdelen Onderwerp

Control BIO

Te implementeren maatregel

Melding onveilige situaties

11.1.2.1

Vastleggen afspraken over het melden van concrete beveiligingsrisico’s in en rondom de gemeentelijke gebouwen aan facilitaire zaken.

Beveiligde ruimtes

11.1.5

Uitbreiden/aanscherpen voorschriften voor het werken in beveiligde ruimtes.

Verwijderen bedrijfsmiddelen

11.2.5

Registratie bedrijfsmiddelen die worden meegenomen voor onderhoud of reparatie.

4.10 Beveiliging van de bedrijfsvoering De doelstelling van hoofdstuk 12 is het waarborgen van een correcte en veilige bediening van ICTvoorzieningen.

4.10.1 Status van de beveiliging van de bedrijfsvoering In 2020 is op dit hoofdstuk een zeer grote vooruitgang te melden. Er is een groot aantal ICTprocedures beschreven die nodig zijn voor het beheer en de bediening van de ICT-voorziening van de gemeente Velsen. Deze procedures moeten zich in de praktijk gaan bewijzen. Aangezien het beheer wordt uitbesteed aan een Outsourcingspartij zal die in 2021 de procedures gaan hanteren. Daaruit zal blijken of deze in de praktijk voldoen of dat er nog verbetering nodig is.

Rapportage Informatieveiligheid ENSIA 2020

4.10.2 Te verbeteren of nog uit te werken onderdelen Onderwerp

Control BIO

Te implementeren maatregel

SIEM SOC

12.4.1.3

Inkoop en implementatie van een SIEM SOC. Dit is een systeem om het netwerkverkeer te bewaken. Een team van specialisten levert diensten om geautomatiseerde meldingen van afwijkend verkeer te analyseren en adviezen te geven over de te volgen handelswijze.

Bescherming van logbestanden

12.4.2

Samenstellen overzicht van logbestanden, bepalen van de bewaarperiode, controle op modificatie van logbestanden.

4.11 Communicatiebeveiliging De doelstelling van hoofdstuk 13 is het waarborgen van de bescherming van informatie in netwerken en de ondersteunende informatie-verwerkende faciliteiten.

4.11.1 Status van communicatiebeveiliging Als onderdeel van de ICT-procedures is het netwerk in kaart gebracht en zijn de beheersmaatregelen, beveiliging en segmentering beschreven. Deze documentatie dient ook als basis voor het beheer door de opdrachtnemer van de Outsourcing.

4.11.2 Te verbeteren of nog uit te werken onderdelen Onderwerp

Control BIO

Te implementeren maatregel

Baseline voor elektronische handtekeningen

13.2.3.4

Onderzoek waar het gebruik van elektronische handtekeningen aan dienen te voldoen indien ze door Velsen worden toegepast in de communicatie met externe partijen.

4.12 Acquisitie, ontwikkeling en onderhoud van informatiesystemen De doelstelling van hoofdstuk 14 is het waarborgen dat informatiebeveiliging integraal deel uitmaakt van informatiesystemen in de gehele levenscyclus. Hiertoe behoren ook de eisen voor informatiesystemen die diensten verlenen via openbare netwerken. Een deel van dit hoofdstuk is niet van toepassing voor de gemeente Velsen omdat er geen software in eigen beheer wordt ontwikkeld.

4.12.1 Status van acquisitie, ontwikkeling en onderhoud van informatiesystemen De gemeente heeft een changemanager aangenomen om het proces van wijzigingen in de ICTvoorzieningen vanuit Velsen te begeleiden. Dit is een belangrijke contactpersoon voor de opdrachtnemer van de outsourcing en is mede bepalend voor de inrichting van het proces. De Rapportage Informatieveiligheid ENSIA 2020

changemanager heeft, in samenspraak met diverse belanghebbenden, verdere verbetering van het wijzigingsproces ingezet en daarbij beveiliging een belangrijk onderdeel gemaakt. Voorafgaand aan wijzigingen dient d.m.v. een risicoanalyse in kaart te zijn gebracht wat de consequenties van de wijziging zijn. Ook zijn er verbeteringen doorgevoerd in het testen van nieuwe applicaties aan de hand van gestructureerde testmethodes.

4.11.2 Te verbeteren of nog uit te werken onderdelen Onderwerp

Control BIO

Te implementeren maatregel

Testen van systemen

14.2.8.1

Bestendigen van de verbeteringen die zijn doorgevoerd ten aanzien van systeemacceptatietests.

4.13 Beheer van relaties met leveranciers De doelstelling van hoofdstuk 14 is het waarborgen van de bescherming van bedrijfsmiddelen van de organisatie die toegankelijk zijn voor leveranciers.

4.13.1 Status van beheer van relaties met leveranciers Het onderwerp contractbeheer is hoger op de agenda van de directie gekomen en dit heeft ertoe geleid dat de verbetering tot project is verheven. Het projectteam heeft in 2020 gewerkt aan plannen die tot deze verbetering moeten leiden. Informatiebeveiliging speelt bij contractbeheer een rol omdat er opdrachtnemers zijn die gegevens beheren, waarvan de gemeente Velsen eigenaar en verantwoordelijke is. In contracten dienen goede afspraken over beveiliging gemaakt te worden. Na het afsluiten van het contract dient Velsen toezicht te houden op de naleving van de gemaakte afspraken. Niet bij alle afdelingen is contractbeheer duidelijk belegd. Ook is er geen volledige en éénduidige centrale registratie van contracten. Dit maakt het lastig om zicht te hebben op leveranciers die diensten leveren waarbij de informatievoorziening betrokken is. Hoewel dit voor de meest kritieke systemen wel in beeld is en de beveiliging zo goed mogelijk wordt gemonitord blijven mogelijk risicovolle uitbestedingen uit het zicht van de CISO en Privacy Officer.

4.13.2 Te verbeteren of nog uit te werken onderdelen Onderwerp

Control BIO

Te implementeren maatregel

Beveiligingseisen in offerteaanvragen

15.1.1.1

Bij offerteaanvragen worden nu de GIBIT-inkoopvoorwaarden gehanteerd. Omdat deze algemeen zijn wordt hierin de BIO in zijn geheel van toepassing verklaard. Het is beter om de voorwaarden explicieter te maken. Hiervoor is het nodig om een risicoanalyse voor het betreffende informatiesysteem of dienst uit te voeren.

Rapportage Informatieveiligheid ENSIA 2020

Beoordeling prestatie informatiebeveiliging leveranciers

15.2.1.1

In combinatie met verbeterd contractbeheer afspraken maken met leveranciers over te leveren rapportages over informatiebeveiliging.

4.14 Beheer van Informatiebeveiligingsincidenten De doelstelling van hoofdstuk 16 is bewerkstelligen dat informatiebeveiligingsgebeurtenissen en zwakheden die verband houden met informatiesystemen zodanig kenbaar worden gemaakt dat tijdig corrigerende maatregelen kunnen worden genomen.

4.14.1 Status van beheer van informatiebeveiligingsincidenten Er is in 2020 geen specifieke inzet is gepleegd op de onderdelen in hoofdstuk 11. De maatregelen zijn in werking en voldoen.

4.14.2 Te verbeteren of nog uit te werken onderdelen Onderwerp

Control BIO

Te implementeren maatregel

Coördinated Vulnerability Disclosure

16.1.2.7

Opstellen en publiceren van een verklaring dat de gemeente Velsen geen strafrechtelijke stappen zal ondernemen tegen personen die om ethische redenen vanaf het internet de ICT-infrastructuur van de gemeente Velsen onderzoeken op kwetsbaarheden.

4.15 Informatiebeveiligingsaspecten van bedrijfscontinuïteitsbeheer De doelstelling van hoofdstuk 17 is het inbedden van de beschikbaarheidscontinuïteit van de informatievoorziening in de systemen van het bedrijfscontinuïteitsbeheer van de organisatie.

4.15.1 Status van bedrijfscontinuïteitsbeheer In 2020 is de quick-scan bedrijfscontinuïteitsbeheer uitgevoerd. Daarbij is zowel naar technische maatregelen als de organisatie rondom bedrijfscontinuïteit gekeken. De uitkomst van het onderzoek wordt aan de directie voorgelegd met aanbevelingen om het bedrijfscontinuïteitsbeheer onderdeel te maken van de bedrijfsvoering. Daarbij valt te denken aan een calamiteitenplan en een cyclus van continue verbetering van continuïteitsmaatregelen.

Rapportage Informatieveiligheid ENSIA 2020

4.15.2 Te verbeteren of nog uit te werken onderdelen Onderwerp

Control BIO

Te implementeren maatregel

Plan voor bedrijfscontinuïteitsbeheer

17.1.1

Uitvoeren benodigde analyses en opstellen continuïteitsplannen

Inrichten continuïteitsbeheer

17.1.2

Bedrijfscontinuïteitssysteem inrichten, coördinator benoemen.

4.16 Naleving De doelstelling van hoofdstuk 18 is het voorkomen van schending van enige wetgeving, wettelijke en regelgevende of contractuele verplichtingen, en van enige beveiligingseisen.

4.16.1 Status van naleving In 2020 zijn er geen specifieke activiteiten geweest voor hoofdstuk 18.

4.16.2 Te verbeteren of nog uit te werken onderdelen Onderwerp

Control BIO

Te implementeren maatregel

Auditplan

18.2.1.2

Opstellen audit-jaarplan met keuzes voor processen/systemen waarop beveiligingsaudits worden uitgevoerd.

Controle (digitale) weerbaarheid tegen criminele activiteiten die de informatievoorziening schaden.

18.2.3

De weerbaarheid tegen aanvallen vanaf internet of misleiding om toegang te krijgen tot de bedrijfsgebouwen jaarlijks testen. Inrichten continue scanning van de ICT-systemen op kwetsbaarheden waar hackers misbruik kunnen maken.

4.17 Audit collegeverklaring voor Suwinet Suwinet is het systeem van informatie-uitwisseling in de keten van werk en inkomen. De bevindingen uit de zelfevaluatie worden verwerkt in een collegeverklaring. De collegeverklaring heeft alleen betrekking op de IT audit vragen uit ENSIA. In dit hoofdstuk wordt specifiek ingegaan op deze set beperkte uitkomst voor Suwinet. Op deze wijze zijn we in staat om de bevindingen op te nemen in deze verklaring. De IT auditor zal de collegeverklaring toetsen. Voor de onderdelen waar niet wordt voldaan dient een verbeterplan opgesteld te worden. De auditor toetst of dit verbeterplan is opgesteld. De IT audit heeft betrekking op alle type leveringen Suwinet. De gemeente Velsen maakt gebruik van Suwinet voor uitvoering van de volgende taken: • Suwinet voor de Participatiewet, IOAZ en IOAW

Rapportage Informatieveiligheid ENSIA 2020

De interne beheersingsmaatregelen voor de SUWI-taken voldoen in opzet en bestaan niet aan alle geselecteerde IT normen. De tekortkoming heeft betrekking op het gebruik van Suwinet door Burgerzaken (niet-SUWI partij) en betreft het ontbreken van controle op de raadplegingen. Burgerzaken gebruikt Suwinet om de kwaliteit van adresgegevens in de Basisregistratie Personen te toetsen. Voor deze raadplegingen wordt er in Suwinet een zeer beperkte set gegevens getoond en daarom schat het Bureau Keteninformatie Werk en Inkomen (de gegevenseigenaar) het risico op misbruik in als beperkt. Het verbeterplan voorziet in het meenemen van de beschikbaar gestelde gebruiksrapportages in de gehele Suwinet-controlecyclus. Onze gemeente maakt hiernaast gebruik van Suwinet door de volgende niet-SUWI partijen: Overeenkomst voor niet-SUWI partijen Type

Indien van toepassing (geheel of gedeeltelijk) uitbesteed

Uitbesteed aan

Burgerzaken

Binnen de gemeente

Niet van toepassing

4.17.1 Status Suwinet voor de Participatiewet, IOAZ en IOAW Er is in 2020 geen specifieke inzet gepleegd op dit onderwerp. De bestaande beheersmaatregelen zijn alle in voldoende mate in werking geweest en dat is ook door de audit bevestigd.

4.17.2 Status Suwinet voor Burgerzaken Er is in 2020 geen specifieke inzet is gepleegd op het veilig gebruik van Suwinet voor Burgerzaken. De audit heeft uitgewezen dat de beheersmaatregelen op dit onderdeel tekort zijn geschoten. Dit wordt in 2021 verbeterd.

4.18 DigiD Dit hoofdstuk beschrijft in welke mate wordt voldaan aan de normen voor het gebruik van DigiDkoppelingen. Er wordt per DigiD aansluiting verantwoording afgelegd aan Logius. De uitkomsten van onze zelfevaluatie worden opgenomen in een collegeverklaring en getoetst door een IT auditor. Het object van onderzoek waren de web-omgevingen van onderstaande bestaande DigiD aansluitingen: Functionaliteit

Aansluitnaam

Toegang tot digitaal loket zaaksysteem

Digitaal Loket Gemeente Velsen https://dloket.velsen.nl

Toegang tot loket voor het doen van aanvragen in het kader van de participatiewet.

Gemeente Velsen - iParticipatie Productie omgeving

https://iparticipatie.velsen.nl

Toegang tot digitaal loket Burgerzaken

iBurgerzaken

https://iburgerzaken.velsen.nl

Rapportage Informatieveiligheid ENSIA 2020

URL van website

4.18.1 Status DigiD aansluiting Digitaal Loket Gemeente Velsen De set te beoordelen normen bij de houder van de aansluiting is: Norm

Omschrijving

Toelichting (voldoet/voldoet niet)

B.05

In een contract met een derde partij Voldoet voor de uitbestede levering of beheer van een webapplicatie (als dienst) zijn de beveiligingseisen en wensen vastgelegd en op het juiste (organisatorische) niveau vastgesteld.

U/TV.01

De inzet van identiteit- en toegangsmiddelen levert betrouwbare en effectieve mechanismen voor het vastleggen en vaststellen van de identiteit van gebruikers, het toekennen van de rechten aan gebruikers, het controleerbaar maken van het gebruik van deze middelen en het automatiseren van arbeidsintensieve taken.

Voldoet

U/WA.02

Het webapplicatiebeheer is procesmatig en procedureel ingericht, waarbij geautoriseerde beheerders op basis van functieprofielen taken verrichten.

Voldoet

U/WA.05

De webapplicatie garandeert de betrouwbaarheid van informatie door toepassing van privacybevorderende en cryptografische technieken.

Voldoet

C.08

Wijzigingenbeheer is procesmatig en procedureel zodanig uitgevoerd dat wijzigingen in de ICTvoorzieningen van webapplicaties tijdig, geautoriseerd en getest worden doorgevoerd.

Voldoet

4.18.2 Status DigiD aansluiting Gemeente Velsen - iParticipatie Productie omgeving De set te beoordelen normen bij de houder van de aansluiting is: Norm

Omschrijving

B.05

Rapportage Informatieveiligheid ENSIA 2020

Toelichting (voldoet/voldoet niet)

U/TV.01

De inzet van identiteit- en Voldoet toegangsmiddelen levert betrouwbare en effectieve mechanismen voor het vastleggen en vaststellen van de identiteit van gebruikers, het toekennen van de rechten aan gebruikers, het controleerbaar maken van het gebruik van deze middelen en het automatiseren van arbeidsintensieve taken.

U/WA.02

Het webapplicatiebeheer is procesmatig en procedureel ingericht, waarbij geautoriseerde beheerders op basis van functieprofielen taken verrichten.

U/WA.05

De webapplicatie garandeert de Voldoet betrouwbaarheid van informatie door toepassing van privacybevorderende en cryptografische technieken.

C.08

Wijzigingenbeheer is procesmatig en procedureel zodanig uitgevoerd dat wijzigingen in de ICTvoorzieningen van webapplicaties tijdig, geautoriseerd en getest worden doorgevoerd.

Voldoet

4.18.3 Status DigiD aansluiting iBurgerzaken De set te beoordelen normen bij de houder van de aansluiting is: Norm

Omschrijving

B.05

U/TV.01

Voldoet

U/WA.02

Het webapplicatiebeheer is procesmatig en procedureel ingericht, waarbij geautoriseerde

Voldoet

Rapportage Informatieveiligheid ENSIA 2020

Toelichting (voldoet/voldoet niet)

beheerders op basis van functieprofielen taken verrichten. U/WA.05

De webapplicatie garandeert de betrouwbaarheid van informatie door toepassing van privacybevorderende en cryptografische technieken.

Voldoet

C.08

Wijzigingenbeheer is procesmatig en procedureel zodanig uitgevoerd dat wijzigingen in de ICTvoorzieningen van webapplicaties tijdig, geautoriseerd en getest worden doorgevoerd.

Voldoet

Bij de serviceorganisaties is een groter aantal normen beoordeeld. Over deze beoordeling hebben zijn een rapportage aan de gemeente Velsen opgeleverd. Daaruit blijkt dat de serviceorganisaties Dimpact en Pink Roccade Local Government voor de aansluitingen Digitaal Loket Gemeente Velsen en Gemeente Velsen - iParticipatie Productie omgeving niet aan de norm U/PW.03: Configureren webserver hebben voldaan. De auditors hebben hierover het volgende opgemerkt: “Voor de norm U/PW.03 geldt dat aan de testaanpak wordt voldaan, behalve op de eisen voor ‘unsafe-inline’ en ‘unsafe-eval’. De serviceorganisatie heeft voor het gebruik van ‘unsafe-inline’ en ‘unsafe-eval’ een ontwikkelplan opgesteld waarbij redelijkerwijs kan worden aangenomen dat vóór 1 november 2021 aan de gehele testaanpak voor de norm kan worden voldaan, dan wel dat er afdoende maatregelen zijn genomen om de risico’s van het gebruik van ‘unsafe-inline’ en ‘unsafeeval’ te mitigeren.” Deze tekortkoming dient door de serviceorganisaties te worden weggenomen.De gemeente Velsen zal monitoren of dat binnen de, door Logius te stellen, termijn gebeurt.

Rapportage Informatieveiligheid ENSIA 2020

JAARRAPPORTAGE GEGEVENSBESCHERMING 2020 & WERKPROGRAMMA PRIVACYBELEIDSVOERING 2021

Gemeente Velsen Mei 2021

Inhoudsopgave INLEIDING ..................................................................................................................... 3 DEEL 1. TERUGBLIK OP 2020 .......................................................................................... 5 1. 2. 3. 4. 5. 6. 7. 8.

HET PRIVACYBELEID ................................................................................................................ 5 PROCESSEN ............................................................................................................................. 6 ORGANISATORISCHE INBEDDING ........................................................................................... 7 RECHTEN VAN BETROKKENEN ................................................................................................ 8 SAMENWERKING ..................................................................................................................... 9 BEVEILIGING ............................................................................................................................ 9 VERANTWOORDING ................................................................................................................ 10 CONCLUSIES EN AANBEVELINGEN ...................................................................................11

DEEL 2. WERKPROGRAMMA 2021; ‘OP WEG NAAR EEN HOGER PRIVACYVOLWASSENHEIDSNIVEAU ’ .............................................................................................................. 13 1. 2. 3. 4. 5. 6. 7. 8.

HET PRIVACYBELEID ................................................................................................................ 13 PROCESSEN ............................................................................................................................. 13 ORGANISATORISCHE INBEDDING ........................................................................................... 13 RECHTEN VAN BETROKKENEN ................................................................................................ 14 SAMENWERKING ..................................................................................................................... 14 BEVEILIGING ............................................................................................................................ 14 VERANTWOORDING ................................................................................................................ 15 CONCLUSIES ............................................................................................................................ 15

Volgend deel →

De tekst is automatisch uit het bestand gehaald en kan afwijken van het origineel (kolommen, tabellen en koppen lopen door elkaar). Het officiële stuk bij iBabs is leidend. Bron: https://api1.ibabs.eu/publicdownload.aspx?site=Velsen&id=1beb0984-db42-4d83-99e3-35467afda80c