Document · PDF

4.2.3 ENSIA Bijlage A3 West Maas en Waal Suwinet Belastingdeurwaarders

Gemeenteraad 20 mei 2021, gemeente West Maas en WaalBij agendapunt: a. Ingekomen stukken college en raadscommissies/werkgroepen3.680 woorden

Open het PDF bij iBabs ↗Naar de vergadering →

Tekst van het document

Uit het bestand gehaald, zonder opmaak, tabellen en afbeeldingen

Bijlage A3 Rapport van bevindingen Suwinet Gemeente West Maas en Waal 30 maart 2021 Rapport BKBO/180820-3/V2/AR

Bijlage A3 Rapport van bevindingen Suwinet Belastingdeurwaarders Bij het door BKBO bv uitgevoerde IT assessment geven we als IT auditor assurance op basis van een attest opdracht. Dat wil zeggen dat we nagaan of de bewering van het dagelijks bestuur over de beveiliging van Suwinet getrouw is. In het kader van deze assurance opdracht hebben wij de volgende werkzaamheden uitgevoerd: 1 Uitvoeren risicoanalyse. Op basis van de eigen risicoanalyse, zoals die voor elke audit wordt uitgevoerd, hebben we vastgesteld wat de diepgang van onze werkzaamheden zal zijn gegeven de veronderstelde kwaliteit van oplevering van de gegevensverzameling. 2 Kennisnemen van de uitgevoerde controlewerkzaamheden (zelfevaluatie) door de gemeente West Maas en Waal. 3 Vervolgens hebben we als IT-auditor aanvullende werkzaamheden verricht, zoals: • het inventariseren van de opzet en het vaststellen van het bestaan en/of de werking van de relevante maatregelen. Dit door middel van het kennis nemen van documentatie, het kennis nemen van de resultaten van de uitgevoerde interne controles van de gemeente West Maas en Waal en eigen waarnemingen. • het houden van interviews met de verantwoordelijke functionaris Beaubine Adriaansen, Chief information security officer, vooral gericht op het onderkennen van risico’s en het onderzoek in hoeverre deze risico’s worden afgedekt door maatregelen.

4 Oordeelsvorming per individuele norm uit de Verantwoordingsrichtlijn. 5 Concept rapportage. Opstellen van de voorliggende bijlage en het assurancerapport. Verificatie van de aansluiting van de bijlagen op de bewering van het bestuur. 6 Toepassen “hoor en wederhoor” met de gemeente West Maas en Waal. 7 Verwerking resultaten van de “hoor en wederhoor” in de definitieve assurance rapportage en bijlagen 8 Ingeval van een ENSIA rapportage, wordt de rapportage op een speciale wijze gewaarmerkt.

210330 ENSIA Bijlage A3 West Maas en Waal Suwinet Belastingdeurwaarders (1.0) © Copyright 2020 BKBO b.v. Alle rechten zijn voorbehouden. Reproductie zonder schriftelijke toestemming van de eigenaar is verboden. Wanneer u vragen heeft over dit document kunt u zich 1 van 11 richten tot BKBO 073-2110337

Bijlage A3 Rapport van bevindingen Suwinet Gemeente West Maas en Waal 30 maart 2021 Rapport BKBO/180820-3/V2/AR

Over de beveiliging van de volgende taak wordt gerapporteerd in deze bijlage: Taak

Organisatie

Niet-Suwi taak: dwanginvordering (loon/uitkeringsbeslag) door belastingdeurwaarders

Uitbesteed aan de Belastingsamenwerking Rivierenland

Opmerkingen over het uitgevoerde onderzoek Onderzoek is uitgevoerd conform Richtlijn 3000A Attest opdrachten gesteund op de TPM van Belastingsamenwerking Rivierenland.

Bijlage A3 Rapport van bevindingen Suwinet Gemeente West Maas en Waal 30 maart 2021 Rapport BKBO/180820-3/V2/AR

Hieronder treft u een beschrijving van de uitgevoerde werkzaamheden aan. Ons onderzoek was beperkt tot de normen die onderdeel zijn van de Verantwoordingsrichtlijn 2020. Uitdrukkelijk merken wij op dat we geen onderzoek hebben uitgevoerd naar de werking van de interne beheersingsmaatregelen. Norm

Beschrijving maatregel

5.1.1 Beleidsregels voor informatiebeveiliging

Criterium BIO: Ten behoeve van informatiebeveiliging behoort een reeks beleidsregels te worden gedefinieerd, goedgekeurd door de directie, gepubliceerd en gecommuniceerd aan medewerkers en relevante externe partijen 1.

(Ref 2019: Suwinet: B.01) Betrokken partij(en): Gemeente/ samenwerkingspartij/ ITserviceorganisatie Scope: Suwinet Inkijk Suwinet Inlezen Suwinet DKD

5.1.2

Doelstelling: Richting geven aan en handhaven van beveiliging van de Suwinet aansluiting en de gegevens die worden getransporteerd en ervoor te zorgen dat aansluiting van de organisatie op Suwinet aantoonbaar aan de vereiste beveiligingsvoorwaarden voldoet.

Uitgevoerde werkzaamheden

Inspectie van het beleid en vaststellen dat het beleid is vastgesteld door de leiding van de organisatie. Kennisnemen van de aangeleverde assurance rapportage, uitgevoerde controlewerkzaamhe den, gerichte deelwaarnemingen.

Oordeel

Vastgestelde feiten en aanbevelingen

Niet voldaan

Het vigerende informatiebeveiligingsbeleid is in mei 2016 vastgesteld door het bestuur. Er is inmiddels een nieuw strategisch informatiebeveiligingsbeleid 2020-2023 ambtelijk voorbereid dat is toegespitst op de BIO. Dit nieuwe beleid is echter nog niet door het College van de B&W geformaliseerd. Dit beleid is reeds opgesteld in juni 2020 maar op het moment van deze audit nog steeds niet goedgekeurd. Het informatiebeveiligingsbeleid is gepubliceerd en kenbaar gemaakt aan alle medewerkers en relevante externe partijen (zoals de verbonden partij die de P-wet uitvoert). De uitbesteding door gemeente West Maas en Waal aan Werkzaak Rivierenland is geregeld naar publiekrecht. De uitbesteding betreft: •

Risico: Het risico bestaat dat de bescherming van de aansluiting op Suwinet, in tegenstelling tot bescherming van haar eigen ICT omgeving, onvoldoende aandacht krijgt.

Criterium BIO: Het beleid voor informatiebeveiliging behoort met geplande tussenpozen of

De uitvoering van de dwanginvordering (loon/uitkeringsbeslag) door belastingdeurwaarders

Opdrachtgever heeft niet in een overeenkomst naar privaatrecht dan wel in een regeling naar publiek recht vastgelegd dat de gestelde interne beheersmaatregelen voor Suwinet qua opzet onverkort van toepassing zijn. Dwingende aanbeveling voor de gemeente West Maas en Waal: • Kennisnemen van de aangeleverde assurance

Voldaan

Formaliseer het concept informatiebeveiligingsbeleid en laat dit nu zo spoedig mogelijk vaststellen door het bevoegd gezag.

Het bestuur en het management dienen actief het informatiebeveiligingsbeleid en -plan binnen de eigen organisatie uit te dragen. Om zo te borgen dat haar medewerkers bekend

1 Zie bijvoorbeeld de handreiking informatiebeveiligingsbeleid van de IBD: https://www.informatiebeveiligingsdienst.nl/wp-content/uploads/2019/07/201907-HandreikingInformatiebeveiligingsbeleid-BIO-v1.1.docx)

Bijlage A3 Rapport van bevindingen Suwinet Gemeente West Maas en Waal 30 maart 2021 Rapport BKBO/180820-3/V2/AR

Norm

Beschrijving maatregel

Beoordeling van het informatiebeveiligingsbeleid

als zich significante veranderingen voordoen, te worden beoordeeld om te waarborgen dat het voortdurend passend, adequaat en doeltreffend is.

(Ref 2019: Suwinet: C.01) Betrokken partij(en): Gemeente/ samenwerkingspartij/ ITserviceorganisatie Scope: Suwinet Inkijk Suwinet Inlezen Suwinet DKD 6.1.1 Rollen en verantwoordelijkheden bij informatiebeveiliging (Ref 2019: Suwinet: B.04) Betrokken partij(en): Gemeente/ samenwerkingspartij/ ITserviceorganisatie Scope: Suwinet Inkijk Suwinet Inlezen

Doelstelling: Bewerkstellingen dat de getroffen beveiligingsmaatregelen continue voldoen aan het juiste beveiligingsniveau.

Uitgevoerde werkzaamheden

Oordeel

rapportage, uitgevoerde controlewerkzaamhe den, gerichte deelwaarnemingen.

Vastgestelde feiten en aanbevelingen zijn met de inhoud en betekenis van het informatiebeveiligingsbeleid en -plan. Een informatiebeveiligingsbeleid en -plan zonder opvolging en naleving zijn zinloos. Geconstateerd is dat de gemeente West Maas en Waal de taken waarvoor Suwinet worden gebruikt, heeft uitbesteed aan Belastingsamenwerking Rivierenland. Op basis van het assurancerapport van de door Belastingsamenwerking Rivierenland ingeschakelde IT auditor, kunnen we vaststellen dat de vereiste interne beheersmaatregelen daadwerkelijk zijn geïmplementeerd door Belastingsamenwerking Rivierenland.

Risico: De getroffen beveiligingsmaatregelen kunnen ontoereikend zijn in relatie tot aangescherpte wetgeving, verandering van risicoklasse van gegevens en de toegepaste technologieën. Criterium BIO: Alle verantwoordelijkheden bij informatiebeveiliging behoren te worden gedefinieerd en toegewezen. Doelstelling: Het voorkomen dat risico’s optreden als gevolg van het ontbreken van coördinatie op het gebied van activiteiten aangaande de bescherming van de eigen delen van Suwinet. Risico: Het risico bestaat dat door gebrek aan coördinatie van activiteiten niet op beveiligingsincidenten wordt geacteerd en dat door wijzigingen nieuwe kwetsbaarheden ontstaan.

Kennisnemen van de aangeleverde assurance rapportage, uitgevoerde controlewerkzaamhe den, gerichte deelwaarnemingen.

Voldaan

Alle verantwoordelijkheden voor informatiebeveiliging behoren duidelijk te zijn gedefinieerd (in de vorm van een bijvoorbeeld een RACI-matrix) 2 De gedocumenteerde rollen zijn door het bestuur onderkend, goedgekeurd en van toepassing verklaard. Taken en verantwoordelijkheidsgebieden behoren te worden gescheiden om gelegenheid voor onbevoegde of onbedoelde wijziging of misbruik van de bedrijfsmiddelen van de organisatie te verminderen. Het gaat hierbij om de verantwoordelijkheden van lijnmanagement, security management, maar ook bijvoorbeeld informatiemanagement en control. Geconstateerd is dat de gemeente West Maas en Waal de taken waarvoor Suwinet worden gebruikt, heeft uitbesteed aan Belastingsamenwerking Rivierenland. Op basis van het assurancerapport van de door Belastingsamenwerking Rivierenland ingeschakelde IT auditor, kunnen we vaststellen dat de vereiste interne beheersmaatregelen daadwerkelijk zijn geïmplementeerd door Belastingsamenwerking Rivierenland.

2 RACI staat voor Responsible, Accountable, Consulted en Informed.

Bijlage A3 Rapport van bevindingen Suwinet Gemeente West Maas en Waal 30 maart 2021 Rapport BKBO/180820-3/V2/AR

Norm

Beschrijving maatregel

Uitgevoerde werkzaamheden

Oordeel

Vastgestelde feiten en aanbevelingen

Criterium BIO: Conflicterende taken en verantwoordelijkheden behoren te worden gescheiden om de kans op onbevoegd of onbedoeld wijzigen of misbruik van de bedrijfsmiddelen 3 van de organisatie te verminderen.

Kennisnemen van de aangeleverde assurance rapportage, uitgevoerde controlewerkzaamhe den, gerichte deelwaarnemingen.

Voldaan

Geconstateerd is dat de gemeente West Maas en Waal de taken waarvoor Suwinet worden gebruikt, heeft uitbesteed aan Belastingsamenwerking Rivierenland.

Kennisnemen van de aangeleverde assurance rapportage, uitgevoerde

Voldaan

Suwinet DKD 6.1.2 Scheiding van taken (Ref 2019: Suwinet: B.05) Betrokken partij(en): Gemeente/ samenwerkingspartij/ ITserviceorganisatie Scope: Suwinet Inkijk Suwinet Inlezen Suwinet DKD

7.2.2 Bewustzijn, opleiding en training ten aanzien van

Doelstelling: Ervoor zorgen dat de juiste taken en verantwoordelijkheden binnen de onderkende rollen juist worden uitgevoerd met inachtneming van de juiste functiescheiding voor zover de organisatiegrootte dit toelaat.

Op basis van het assurancerapport van de door Belastingsamenwerking Rivierenland ingeschakelde IT auditor, kunnen we vaststellen dat de vereiste interne beheersmaatregelen daadwerkelijk zijn geïmplementeerd door Belastingsamenwerking Rivierenland.

Risico: Onduidelijke taken en verantwoordelijkheden en het ontbreken van juiste functiescheiding kunnen leiden tot: • misbruik van bevoegdheden, • te ruim toegekende bevoegdheden, • over het hoofd zien van en/of tot implementatie van tegenstrijdige beveiligingsmaatregelen. Criterium BIO: Alle medewerkers van de organisatie en, voor zover relevant, contractanten behoren een passende bewustzijnsopleiding en -training te

Onder bedrijfsmiddelen worden in dit verband de Suwinet gegevens (mede) begrepen.

Bijlage A3 Rapport van bevindingen Suwinet Gemeente West Maas en Waal 30 maart 2021 Rapport BKBO/180820-3/V2/AR

Norm

Beschrijving maatregel

informatiebeveiliging

krijgen en regelmatige bijscholing van beleidsregels en procedures van de organisatie, voor zover relevant voor hun functie.

(Ref 2019: Suwinet: AP) Betrokken partij(en): Gemeente/ samenwerkingspartij/ ITserviceorganisatie Scope: Suwinet Inkijk Suwinet Inlezen Suwinet DKD 9.2.1 Registratie en afmelden van gebruikers (Ref 2019: Suwinet: U.02, U.03) Betrokken partij(en): Gemeente/ samenwerkingspartij/ ITserviceorganisatie Scope: Suwinet Inkijk Suwinet Inlezen Suwinet DKD

Uitgevoerde werkzaamheden

Oordeel

Kennisnemen van de aangeleverde assurance rapportage, uitgevoerde controlewerkzaamhe den, gerichte deelwaarnemingen.

Voldaan

controlewerkzaamhe den, gerichte deelwaarnemingen.

Vastgestelde feiten en aanbevelingen beheersmaatregelen daadwerkelijk zijn geïmplementeerd door Belastingsamenwerking Rivierenland.

Doelstelling: Het bewustmaken van gebruikers van Suwinet gegevens. Risico: Indien gebruikers van Suwinet gegevens zich niet of onvoldoende bewust zijn van de (hoge) vertrouwelijkheid, bestaat het risico dat deze gegevens onvoldoende worden beschermd.

Criterium BIO: Een formele registratie- en afmeldingsprocedure behoort te worden geïmplementeerd om toewijzing van toegangsrechten mogelijk te maken. Doelstelling: Gebruikers en beheerders de juiste toegangsrechten geven (niet meer en niet minder) dan welke nodig zijn voor de hen opgedragen (wettelijke)taken.

Geconstateerd is dat de gemeente West Maas en Waal de taken waarvoor Suwinet worden gebruikt, heeft uitbesteed aan Belastingsamenwerking Rivierenland. Op basis van het assurancerapport van de door Belastingsamenwerking Rivierenland ingeschakelde IT auditor, kunnen we vaststellen dat de vereiste interne beheersmaatregelen daadwerkelijk zijn geïmplementeerd door Belastingsamenwerking Rivierenland.

Risico: Het risico bestaat dat medewerkers onrechtmatig toegang hebben tot Suwinet of tot de via Suwinet beschikbaar gestelde gegevens. Voor Suwinet geldt een verhoogd risico omdat het Suwinet account van een organisatie ook toegang tot Suwinet kan krijgen vanuit het domein van een

Bijlage A3 Rapport van bevindingen Suwinet Gemeente West Maas en Waal 30 maart 2021 Rapport BKBO/180820-3/V2/AR

Norm

Beschrijving maatregel ander op Suwinet aangesloten organisatie.

9.2.2 Gebruikers toegang verlenen (Ref 2019: Suwinet: U.02) Betrokken partij(en): Gemeente/ samenwerkingspartij/ ITserviceorganisatie Scope: Suwinet Inkijk Suwinet Inlezen Suwinet DKD

Criterium BIO: Een formele gebruikerstoegangsverleningsprocedure behoort te worden geïmplementeerd om toegangsrechten voor alle typen gebruikers en voor alle systemen en diensten toe te wijzen of in te trekken. Doelstelling Bewerkstelligen dat de geclaimde identiteit van de gebruiker kan worden bewezen en dat daardoor alleen bevoegde gebruikers toegang krijgen tot Suwinet diensten.

Uitgevoerde werkzaamheden

Oordeel

Vastgestelde feiten en aanbevelingen

Kennisnemen van de aangeleverde assurance rapportage, uitgevoerde controlewerkzaamhe den, gerichte deelwaarnemingen.

Voldaan

Geconstateerd is dat de gemeente West Maas en Waal de taken waarvoor Suwinet worden gebruikt, heeft uitbesteed aan Belastingsamenwerking Rivierenland.

Kennisnemen van de aangeleverde assurance rapportage, uitgevoerde controlewerkzaamhe den, gerichte deelwaarnemingen.

Voldaan

Risico: Onbevoegde gebruikers kunnen toegang krijgen tot Suwinet diensten.

9.2.5 Beoordeling van toegangsrechten van gebruikers

Criterium BIO: Eigenaren van bedrijfsmiddelen behoren toegangsrechten van gebruikers regelmatig te beoordelen.

(Ref 2019: Suwinet: C.04) Betrokken partij(en): Gemeente/ samenwerkingspartij/ ITserviceorganisatie

Doelstelling: Het vaststellen of: de autorisaties en veranderingen hierin juist en tijdig zijn aangebracht, de juiste functiescheidingen zijn toegepast en voldaan wordt aan de principes van doelbinding en proportionaliteit, oneigenlijke autorisatie-toekenningen hebben plaatsgevonden.

Scope:

Risico:

Bijlage A3 Rapport van bevindingen Suwinet Gemeente West Maas en Waal 30 maart 2021 Rapport BKBO/180820-3/V2/AR

Norm

Beschrijving maatregel

Suwinet Inkijk Suwinet Inlezen Suwinet DKD

Bij het ontbreken van controle op de toegangsrechten worden afwijkingen in het autorisatieproces niet gesignaleerd.

9.2.6 Toegangsrechten intrekken of aanpassen (Ref 2019: Suwinet: U.02)

Criterium BIO: De toegangsrechten van alle medewerkers en externe gebruikers voor informatie en informatie verwerkende faciliteiten behoren bij beëindiging van hun dienstverband, contract of overeenkomst te worden verwijderd, en bij wijzigingen behoren ze te worden aangepast.

Betrokken partij(en): Gemeente/ samenwerkingspartij Scope: Suwinet Inkijk Suwinet Inlezen Suwinet DKD

10.1.1 Beleid inzake het gebruik van cryptografische beheersmaatregele n (Ref 2019: Suwinet: U.11) Betrokken partij(en): Gemeente/ samenwerkings-

Uitgevoerde werkzaamheden

Oordeel

Vastgestelde feiten en aanbevelingen

Kennisnemen van de aangeleverde assurance rapportage, uitgevoerde controlewerkzaamhe den, gerichte deelwaarnemingen.

Voldaan

Geconstateerd is dat de gemeente West Maas en Waal de taken waarvoor Suwinet worden gebruikt, heeft uitbesteed aan Belastingsamenwerking Rivierenland.

Kennisnemen van de aangeleverde assurance rapportage, uitgevoerde controlewerkzaamhe den, gerichte deelwaarnemingen.

Geen oordeel

Doelstelling: Het tijdig beëindigen of wijzigen van de toegangsrechten. Risico: Als toegangsrechten niet bijtijds worden beëindigd of gewijzigd, bestaat het risico op onbevoegde kennisname van Suwinet gegevens. Criterium BIO: Ter bescherming van informatie behoort een beleid voor het gebruik van cryptografische beheersmaatregelen te worden ontwikkeld en geïmplementeerd. Doelstelling: Het voorkomen van ongeautoriseerde toegang tot netwerkdiensten.

Toelichting Belastingsamenwerking Rivierenland maakt alleen gebruik van Suwinet Inkijk.

Risico:

Bijlage A3 Rapport van bevindingen Suwinet Gemeente West Maas en Waal 30 maart 2021 Rapport BKBO/180820-3/V2/AR

Norm

Beschrijving maatregel

partij/ ITserviceorganisatie

Ondanks het besloten karakter van Suwinet bestaat het risico dat de toegang tot gegevens niet adequaat is beschermd.

Scope: Suwinet Inlezen Suwinet DKD 12.1.1 Gedocumenteerde bedieningsprocedures (Ref 2019: Suwinet: nieuw) Betrokken partij(en): Gemeente/ samenwerkingspartij/ ITserviceorganisatie Scope: Suwinet Inkijk Suwinet Inlezen Suwinet DKD 12.4.1 Gebeurtenissen registreren (Ref 2019: Suwinet: C.06) Betrokken partij(en): Gemeente/ samenwerkingspartij/ ITserviceorganisatie

Criterium BIO: Bedieningsprocedures behoren te worden gedocumenteerd en beschikbaar te worden gesteld aan alle gebruikers die ze nodig hebben. Doelstelling: Correcte en veilige bediening van informatie verwerkende faciliteiten waarborgen.

Uitgevoerde werkzaamheden

Oordeel

Vastgestelde feiten en aanbevelingen

Kennisnemen van de aangeleverde assurance rapportage, uitgevoerde controlewerkzaamhe den, gerichte deelwaarnemingen.

Voldaan

Risico: Als gebruikers en/ of beheerders niet kunnen beschikken over bedieningsprocedures (handleidingen) bestaat het risico dat (kritieke) informatie verwerkende faciliteiten niet correct en/ of veilig worden bediend. Criterium BIO: Logbestanden van gebeurtenissen die gebruikersactiviteiten, uitzonderingen en informatiebeveiligingsgebeurtenissen registreren, behoren te worden gemaakt, bewaard en regelmatig te worden beoordeeld. Doelstelling: Bewerkstellingen dat tijdig correctieve maatregelen kunnen worden getroffen om informatie te kunnen verschaffen over activiteiten van gebruikers en beheerders van de Suwinet diensten en

•

Kennisnemen van de aangeleverde assurance rapportage, uitgevoerde controlewerkzaamhe den, gerichte deelwaarnemingen.

Voldaan

Het implementeren van wijzigingsbeheer is een zeer belangrijke beheersmaatregel. Gebruik formele procedures voor wijzigingsbeheer. Stel een wijzigingsadviescommissie in en stel een wijzigingsbeheerder aan. Gebruik in verband met het vele thuiswerken alleen veilige video vergadertools, die bij voorkeur TLS 1.2 of hoger encryptie kent voor der verbinding van en naar de client, unieke vergader id’s om vergaderingen af te schermen ondersteunt , ISAE 3000 of SOC-2 gecertificeerd is en ingeval het een cloudoplossing betreft compliant is aan AVG/GDPR of EU privacyshield, het datacenter heeft in de EU en de verwerking plaatsvindt in de EU.

Bijlage A3 Rapport van bevindingen Suwinet Gemeente West Maas en Waal 30 maart 2021 Rapport BKBO/180820-3/V2/AR

Norm

Beschrijving maatregel

Scope: Suwinet Inkijk Suwinet Inlezen Suwinet DKD

vaststellen of oneigenlijk gebruik of misbruik is gemaakt van autorisatie.

12.4.2 Beschermen van informatie in logbestanden (Ref 2019: Suwinet: C.05)

Criterium BIO: Logfaciliteiten en informatie in logbestanden behoren te worden beschermd tegen vervalsing en onbevoegde toegang.

Betrokken partij(en): Gemeente/ samenwerkingspartij/ ITserviceorganisatie Scope: Suwinet Inlezen Suwinet DKD 18.1.4 Privacy en bescherming van persoonsgegevens

Uitgevoerde werkzaamheden

Oordeel

Vastgestelde feiten en aanbevelingen

Kennisnemen van de aangeleverde assurance rapportage, uitgevoerde controlewerkzaamhe den, gerichte deelwaarnemingen.

Geen oordeel

Toelichting

Kennisnemen van de aangeleverde assurance rapportage, uitgevoerde controlewerkzaamhe den, gerichte deelwaarnemingen.

Voldaan

De via Suwinet verzamelde gegevens worden overgedragen (Belastingsamenwerking Rivierenland is verwerkingsverantwoordelijk vanaf het moment van overdracht), en deze gegevens mogen niet worden hergebruikt of doorgeleverd voor andere doelen dan waarvoor de gegevens oorspronkelijk verzameld zijn. Dit is bepaald in de geheimhoudingsplicht van artikel 74 van de wet Suwi.

Risico: Afwijkingen worden niet gesignaleerd en kunnen derhalve niet worden aangepakt.

Doelstelling: Alle handelingen die betrekking hebben op gebruikers en beheerders moeten herleidbaar zijn naar individuele personen.

Belastingsamenwerking Rivierenland maakt alleen gebruik van Suwinet Inkijk.

Risico: Zonder vastlegging en bewaking kan achteraf niet worden vastgesteld wie bepaalde handelingen heeft uitgevoerd.

(Ref 2019: Suwinet: nieuw)

Criterium BIO: Privacy en bescherming van persoonsgegevens behoren, voor zover van toepassing, te worden gewaarborgd in overeenstemming met relevante wet- en regelgeving.

Betrokken partij(en): Gemeente/ samenwerkingspartij/ ITserviceorganisatie

Doelstelling: Voorkomen van schendingen van wettelijke, statutaire, regelgevende of contractuele verplichtingen betreffende het verwerken van persoonsgegevens.

Risico:

Bijlage A3 Rapport van bevindingen Suwinet Gemeente West Maas en Waal 30 maart 2021 Rapport BKBO/180820-3/V2/AR

Norm

Beschrijving maatregel

Scope: Suwinet Inkijk Suwinet Inlezen Suwinet DKD

Als de verwerking van Suwinet (persoons)gegevens niet overeenkomstig toepasselijke wet- en regelgeving plaatsvindt, wordt hierdoor de AVG overtreden.

Uitgevoerde werkzaamheden

Oordeel

Vastgestelde feiten en aanbevelingen

De tekst is automatisch uit het bestand gehaald en kan afwijken van het origineel (kolommen, tabellen en koppen lopen door elkaar). Het officiële stuk bij iBabs is leidend. Bron: https://api.notubiz.nl/document/10015295/1