24. (AZ) RIB inzake Strategisch informatieveiligheidsbeleid 2021.pdf

Aan: Gemeente Vijfheerenlanden T.a.v. de leden van de Gemeenteraad Postbus 11 4140 AA Leerdam

Ons kenmerk

: 235283

Onderwerp

: Strategisch informatieveiligheidsbeleid

Datum

: 2 maart 2021

Geachte leden van de raad, Via deze brief informeren wij u over het vaststellen van het Strategisch Informatieveiligheidsbeleid 2021-2024. Eerst zullen wij u kort inlichten over de uitgangspunten, hierna zullen wij kort ingaan op de inhoud en tot slot aandacht besteden aan de rol van de raad binnen informatieveiligheid. Baseline Informatieveiligheid Overheid Het belang van informatieveiligheid kan op dit moment moeilijk overschat worden. Wat de gemeente Hof van Twente in december 2020 is overkomen heeft een enorme impact gehad.1 Dit is al in een eerder stadium onderkend door het Rijk. Daarom gebruiken alle overheidsinstellingen in Nederland verplicht dezelfde uitgangspunten voor de inrichting van hun informatieveiligheid. Deze zijn vastgesteld in de Baseline Informatieveiligheid Overheid, oftewel BIO. De BIO is afgeleid van de internationale informatieveiligheidsnormen ISO27001 (de implementatie en borging van informatieveiligheid in de organisatie) en ISO27002 (de bijbehorende verzameling beveiligingsmaatregelen). Op basis van risicomanagement wordt bepaald welke maatregelen van toepassing zijn op de verschillende onderdelen van de gemeente. Beleid Om dit uit te voeren is richting nodig, in dit geval in de vorm van beleid. De gemeente heeft het beleid gesplitst in een strategisch en een tactisch deel.

Het strategisch deel is op 2 maart vastgesteld in college en behelst de vastlegging van taken, bevoegdheden en verantwoordelijkheden voor informatieveiligheid. Het tactisch deel zal in de loop van het tweede kwartaal vastgesteld worden in de directie en bevat de maatregelen waarmee de gemeente het informatiebeveiligingsbeleid in de praktijk zal invullen. Rol van de Gemeenteraad In het strategisch beleid worden dus de taken, bevoegdheden en verantwoordelijkheden vastgesteld. Hierin is ook een rol voor u weggelegd. De Raad heeft namelijk een controlerende en toetsende rol, ook voor informatieveiligheid. In lijn met de planning en control cyclus legt het college jaarlijks verantwoording af. Praktisch gebeurt dit door de passage over informatieveiligheid in de paragraaf bedrijfsvoering van de jaarrekening. Hierin wordt u geïnformeerd over de belangrijkste ontwikkelingen over het afgelopen jaar. Bij calamiteiten van bepaalde grootte, denk bijvoorbeeld aan de situatie rondom Citrix begin 2020, wordt u indien nodig natuurlijk eerder geïnformeerd. 1

https://www.hofvantwente.nl/actueel/veelgestelde-vragen-cyberaanvalhack-gemeentehuis

Gemeente Vijfheerenlanden / Postbus 11, 4140 AA Leerdam / 088 – 599 7000 / vijfheerenlanden.nl / info@vijfheerenlanden.nl

Praktische uitwerking Tot slot nog aandacht voor de praktische uitwerking van het beleid voor de Gemeenteraad. De scope van het beleid omvat namelijk alle gemeentelijke informatieprocessen, zowel ambtelijk als bestuurlijk. En daarmee is het beleid van toepassing op alle leden van de ambtelijke organisatie en bestuur. In het strategisch beleid is ook expliciet opgenomen dat het van toepassing is op gemeenteraad en griffie. De reden hiervoor is dat u (samen met de griffie) op dit moment in een grijs gebied valt. U werkt met informatie van de gemeente, op het wifi netwerk van de gemeente, maar viel voor de vaststelling van dit beleid niet onder ons beveiligingsbeleid. Dit hield een risico in voor de informatieveiligheid van onze gemeente welke wij op deze manier willen verkleinen. In de praktijk zal dit in de meeste gevallen weinig gevolgen hebben. De technische beveiliging van de informatie die u nu gebruikt wordt al geregeld door de gemeente volgens het vastgestelde beleid. Maar in het tactisch beleid kan bijvoorbeeld wel vastgesteld worden dat iedereen binnen de gemeente moet werken met de apparaten die de organisatie beschikbaar stelt. Dit zou betekenen dat, indien u op een ander apparaat wilt werken zoals op dit moment het geval is met iPads, een afwijking op het beleid noodzakelijk is.

In voorkomende gevallen zal dan altijd een risicoafweging gemaakt worden in gesprek met de raad. We hopen u hiermee voldoende geïnformeerd te hebben. Mocht u nog aanvullende vragen hebben dan horen wij die natuurlijk graag. Met vriendelijke groet, het college van burgemeester en wethouders van de gemeente Vijfheerenlanden, de secretaris,

de burgemeester,

{{signer1}} 02/03/2021 17:04:28 CET

{{signer2}} 02/03/2021 17:44:47 CET

Signed By: n.van.ameijde@vijfheerenlanden.nl ID: 13fb1fea-9427-4092-8570-915dfc2dc970 Auth: Consent

N. (Nanette) van Ameijde-Poortman

Signed By: s.frohlich@vijfheerenlanden.nl ID: 13fb1fea-9427-4092-8570-915dfc2dc970 Auth: Consent

S. (Sjors) Fröhlich