Presentatie door RKC over onderzoek informatiebeveiliging (cie B&B 30-09-2021).pdf

Informatiebeveiliging van gemeenten en verbonden partijen Voorschoten, 30 september 2021

Aanleiding voor onderzoek

Aanleiding: • onderzoek uit 2016 (‘Beter sturen op digitale dienstverlening’); • datalekken in meerdere Nederlandse gemeenten.

Doel van onderzoek

Inzicht bieden in en verbetersuggesties aanreiken over: • het informatiebeveiligingsbeleid en de operationele procedures; • de mate van kwetsbaarheid van de gemeentelijke ITnetwerken; • de wijze waarop verantwoording wordt afgelegd over informatiebeveiliging.

Opzet van onderzoek

• Raadpleging van gemeentelijke documenten. • Gesprekken met ambtenaren (chief information security officer (CISO), functionaris gegevensbescherming (FG), griffier). • Vragenlijst en gesprekken met verbonden partijen. • Penetratietesten en kwetsbaarhedenscans. • Vertrouwelijke rapportage per gemeente over kwetsbaarheden van gemeentelijke IT-netwerken.

Bevindingen van onderzoek (1)

• Informatiebeveiligingsbeleid en organisatie op orde. • Gemeenten werken aan interne bewustwording. • Gemeentelijke IT-netwerken zijn kwetsbaar. • Gemeenten onderzoeken te weinig de informatiebeveiliging. • Gemeenten hebben een onvolledig en/of gedateerd verwerkingsregister.

Bevindingen van onderzoek (2)

• Gemeenten hebben informatiebeveiligingsrisico’s en beheersingsmaatregelen niet opgenomen in paragraaf Weerstandsvermogen (= aangenomen aanbeveling in 2016). • Gemeenten geven vrijwel geen sturing aan verbonden partijen (= aangenomen aanbeveling in 2016).

Bevindingen Voorschoten

• Op orde: informatiebeveiligingsbeleid. • Aandacht nodig voor: in kaart brengen van risico’s, uitwerken van procedures volgens BIO, herkennen van datalekken, betrekken van gemeenteraad, aansturen van verbonden partijen. • Zorgwekkend: te weinig risicoanalyses, penetratietesten en kwetsbaarhedenscans.

Aanbevelingen uit onderzoek

• Versterk IT-netwerken. • Onderzoek vaker de informatiebeveiliging. • Actualiseer het verwerkingsregister. • Neem informatiebeveiligingsrisico’s en beheersingsmaatregelen op in programmabegroting. • Maak sluitende afspraken met verbonden partijen. • Stimuleer kennisuitwisseling. • Rapporteer jaarlijks en vergroot betrokkenheid gemeenteraad.

Dank voor uw aandacht!

www.rekenkamerwvolv.nl www.linkedin.com/in/rekenkamerwvolv/