Document · PDF

4.3 Rapportage informatiebeveiliging 2020

Gemeenteraad 20 mei 2021, gemeente West Maas en WaalBij agendapunt: a. Ingekomen stukken college en raadscommissies/werkgroepen7.114 woorden

Open het PDF bij iBabs ↗Naar de vergadering →

Tekst van het document

Uit het bestand gehaald, zonder opmaak, tabellen en afbeeldingen

Rapportage Informatiebeveiliging 2020

Inhoudsopgave 1.

Inleiding.................................................................................................................................... 3

Informatiebeveiligingsbeleid, doelstelling en ambitie ............................................ 4

2.1

Wat is informatiebeveiliging ............................................................................................. 4

2.2

Baseline Informatiebeveiliging Overheid (BIO) ........................................................ 4

2.3

Globale uitgangspunten van ons Informatiebeveiligingsbeleid .......................... 4

2.4

Strategische doelen van ons Informatiebeveiligingsbeleid .................................. 5

Samenvattend beeld en resultaten van afgelopen periode.................................. 5

Disclaimer ................................................................................................................................ 6

Belangrijkste beheersmaatregelen informatiebeveiliging ..................................... 6

Realisatie doelstelling Informatiebeveiligingsbeleid ................................................ 6

Incidenten 2020 .................................................................................................................... 7

Meerjarenperspectief ........................................................................................................... 7

Resultaten zelf-evaluatie 2020 ........................................................................................ 7

9.1

Resultaten zelf-evaluatie BIO .......................................................................................... 7

9.2 Resultaten per stelsel ............................................................................................................ 8 9.2.1 Zelfevaluaties BRP en Reisdocumenten ....................................................................... 8 9.2.2 Zelfevaluatie Suwinet .......................................................................................................... 9 9.2.3 Zelfevaluatie Digid................................................................................................................ 9 9.2.4 Zelfevaluatie BAG ................................................................................................................. 9 9.2.5 Zelfevaluatie BGT ................................................................................................................. 9 9.2.6. Zelfevaluatie BRO ................................................................................................................ 9 Bijlage 1. Uitkomsten BIO zelf-evaluatie uit ENSIA .......................................................... 11

Rapportage Informatiebeveiliging 2020 1 februari 2021

1. Inleiding Het jaar 2020 was voor veel gemeenten op het gebied van informatiebeveiliging en gegevensbescherming een veelbewogen jaar. In het begin van het jaar kwamen al snel de beveiligingsproblemen bij Citrix aan het licht en niet veel later werd de samenleving getroffen door Covid-19, waardoor iedereen bij de gemeente noodgedwongen vanuit huis moest werken met alle risico’s die daaraan verbonden zitten. Voor gemeente West Maas en Waal was het dus erg belangrijk om de juiste maatregelen te nemen bij deze veranderende omstandigheden. Informatiebeveiliging binnen de gemeente gaat kortgezegd om het waarborgen van de betrouwbaarheid, integriteit en vertrouwelijkheid van informatie(systemen) en het minimaliseren van de schade door het voorkomen van beveiligingsincidenten. Hierbij wordt een risico gebaseerde aanpak gehanteerd, waarbij het niet gaat om het uitsluiten van ieder risico maar juist om risicobeheersing. Een goede informatiebeveiliging bij de gemeente is essentieel voor het verlenen van een betrouwbare dienstverlening aan de inwoners en daarom van groot belang in de dagelijkse bedrijfsvoering. In dit document wordt verslag gedaan over de stand van zaken betreffende informatiebeveiliging en worden uitgevoerde activiteiten toegelicht. Daarnaast worden ook de uitkomsten van de ENSIA verantwoording beschreven.

Deze ENSIA verantwoording bestaat uit een verticale en horizontale verantwoording. De horizontale verantwoording over informatiebeveiliging aan het college van B&W en het gemeentebestuur vindt door middel van dit jaarverslag plaats. Daarnaast worden de antwoorden van de ENSIA zelfevaluatie, de daaruit verkregen collegeverklaring en door een onafhankelijke auditor opgestelde assuranceverklaring voor de DigiD koppelingen en Suwinet gebruikt voor de verticale verantwoording op het gebied van informatieveiligheid richting het Rijk. Het jaarverslag informatiebeveiliging bevat naast informatie over de informatiebeveiliging in brede zin in bijlage 1 tevens de Collegeverklaring ENSIA over een aantal geselecteerde beveiligingsnormen (DigiD en Suwinet) en in bijlage 2 de uitkomsten van de zelf-evaluatie specifiek van de Baseline Informatiebeveiliging Overheid (BIO). Beneden-Leeuwen, 17 maart 2021

Rapportage Informatiebeveiliging 2020 1 februari 2021

2. Informatiebeveiligingsbeleid, doelstelling en ambitie 2.1 Wat is informatiebeveiliging Onder informatiebeveiliging wordt verstaan het treffen en onderhouden van een samenhangend pakket aan maatregelen om de betrouwbaarheid van de informatievoorziening te waarborgen. Kernpunten daarbij zijn beschikbaarheid, integriteit (juistheid) en vertrouwelijkheid van informatie. Het Informatiebeveiligingsbeleid geldt voor het gehele proces van informatievoorziening en de gehele levenscyclus van informatiesystemen. Het beperkt zich niet alleen tot de ICT en heeft betrekking op het politiek bestuur, alle medewerkers, burgers, gasten, bezoekers en externe relaties. De gemeente West Maas en Waal dient daarbij te werken conform de BIO. De visie van de gemeente West Maas en Waal met betrekking tot informatiebeveiliging luidt: ‘’De komende jaren zet de gemeente West Maas en Waal in op het verhogen van informatieveiligheid en verdere professionalisering van de informatiebeveiligingsfunctie in de organisatie. Een betrouwbare informatievoorziening is noodzakelijk voor het goed functioneren van de gemeente en de basis voor het beschermen van rechten van burgers en bedrijven. Dit vereist een integrale aanpak, goed opdrachtgeverschap en risicobewustzijn. Ieder organisatieonderdeel is hierbij betrokken.’’

2.2 Baseline (BIO)

Informatiebeveiliging

Overheid

Vanaf 1 januari 2020 is de Baseline Informatiebeveiliging Overheid, hierna afgekort tot BIO, verplicht.. Dit is de regeling waar de informatiebeveiliging in is geregeld. Deze regeling is ingegaan om één regeling te hebben voor het rijk, de provincies, de gemeentes en de waterschappen. Voorheen hadden deze vier besturen een eigen regeling . Door over te gaan op een centrale regeling, de BIO, kan er zo beter worden gewerkt tussen de verschillende overheden op het gebied van informatiebeveiliging.

2.3 Globale uitgangspunten Informatiebeveiligingsbeleid

van

ons

Gemeente West Maas en Waal streeft er naar om in ‘control’ te zijn op het gebied van informatiebeveiliging. Dit doet de gemeente door een Informatiebeveiligingsbeleid op te stellen en te hanteren. Tevens is daarbij de ambitie om te conformeren aan de BIO. De belangrijkste uitgangspunten van het beleid zijn: • Elke medewerker draagt verantwoordelijkheid in het zorgvuldig omgaan met informatie • De gemeente levert betrouwbare en continue dienstverlening • De gemeente voldoet aan de geldende wet- en regelgeving(o.a. de Baseline Informatiebeveiliging Overheid (BIO) de Algemene Verordening Gegevensbescherming(AVG)) • De gemeente draagt zorg voor het beheersen van bestaande en nieuwe risico’s Rapportage Informatiebeveiliging 2020 1 februari 2021

•

De gemeente definieert en belegt de rollen en verantwoordelijkheden bij de juiste medewerkers voor het beschermen van gegevens en uitvoeren van beveiligingsprocedures.

2.4 Strategische doelen Informatiebeveiligingsbeleid

van

ons

Het Informatiebeveiligingsbeleid is strategisch van aard, het biedt een kapstok waar onderliggende beleidsstukken aan kunnen worden gehangen. De strategische doelen van dit beleid luiden: • Het managen van informatiebeveiliging; • Adequate bescherming van bedrijfsmiddelen; • Het minimaliseren van risico’s van menselijk gedrag; • Het voorkomen van ongeautoriseerde toegang; • Het garanderen van correcte en veilige informatievoorzieningen; • Het beheersen van de toegang tot informatiesystemen; • Het waarborgen van veilige informatiesystemen; • Het adequaat reageren op incidenten; • Het beschermen van kritische bedrijfsprocessen; • Het beschermen en correct verwerken van persoonsgegevens van burgers en medewerkers; • Het waarborgen van de naleving van dit beleid.

3. Samenvattend beeld afgelopen periode

resultaten

van

Om bovenstaande doelstelling te behalen heeft de gemeente het afgelopen jaar verschillende activiteiten uitgevoerd. Wegens capaciteitsgebrek lag daarbij de focus op de hoogst noodzakelijke zaken, daarbij opmerkende dat informatiebeveiliging altijd van groot belang wordt geacht. Implementatie van de BIO Vanaf 1 januari 2020 is de BIO verplicht voor de gemeente. Om die reden is de gemeente druk bezig geweest met activiteiten rondom de implementatie van de BIO. Hiermee zal ook in 2021 mee worden verder gegaan. Informatiebeveiligingsbeleid Het Informatiebeveiligingsbeleid is aan een herziening onderhevig geweest en dient voor de periode 2020-2023 enkel nog te worden vastgesteld door het college van B&W. Dit Informatiebeveiligingsbeleid is opgesteld om te voldoen aan de BIO. Chief Information Security Officer Er is in november een tijdelijke Chief Information Security Officer (CISO) aangesteld die toeziet op de informatiebeveiliging en naleving van het Informatiebeveiligingsbeleid en de BIO binnen de gemeente. De ambitie is dat deze functie in 2021 definitief zal worden ingevuld. Verplichtingen met betrekking tot de ENSIA-verantwoording Tevens is in november een ENSIA coördinator is aangesteld die erop toeziet dat de afspraken vanuit de ENSIA nageleefd wordt. Daarmee heeft de gemeente voldaan aan de ENSIA verplichtingen die nageleefd moesten worden in 2020.

Rapportage Informatiebeveiliging 2020 1 februari 2021

Multi-factor authenticatie De uitrol van Multi-factor authenticatie heeft plaatsgevonden en daarmee is gerealiseerd dat er hier op dit moment 40% van de medewerkers gebruik van maken. De overige medewerkers zullen volgen met de uitwerking van het Informatisering & Automatiseringsplan. Patches en security updates Patches en security updates zijn uitgevoerd op de IT-omgeving van de gemeente. Een pentest op de IT infrastructuur is niet uitgevoerd, daarbij opmerkende dat de beveiliging up to date is gebleven.

4. Disclaimer De doelstelling van de gemeente is te voldoen aan het BIO normenkader om haar ambitie om in control te zijn van informatieveiligheid te verwezenlijken. Het streven is om zo goed mogelijk te voldoen aan de BIO maar tegelijkertijd om hier realistisch naar te kijken. De gemeente kan nooit 100% veiligheid garanderen omdat menselijke fouten, hacks, DDoS aanvallen nou eenmaal niet altijd te voorkomen zijn. De gemeente doet er uiteraard wel alles aan om de medewerkers op te leiden om veiligheidsincidenten en datalekken te herkennen en te melden. Ook doet de gemeente er alles aan om de informatiesystemen zo goed mogelijk te beschermen tegen hacks en onbevoegde autorisaties en aanvallen van buitenaf.

5. Belangrijkste informatiebeveiliging • • • • •

beheersmaatregelen

De uitrol van een Mobile Device Management Systeem om het beheer en de beveiliging van gebruikersapparatuur te bewerkstelligen. Het gebruik van two-factor authenticatie om toegang tot systemen en toepassingen te beheersen door een beveiligde inlogprocedure. Het opschalen van capaciteit door het aanstellen van een tijdelijke Chief Information Security Officer (CISO). Teneinde het voldoen aan de BIO zijn voor de periode 2020-2023 de beleidsregels omtrent informatiebeveiliging herzien in het Informatiebeveiligingsbeleid. Het gebruik van een ISMS systeem om de voortgang te documenteren.

6. Realisatie Informatiebeveiligingsbeleid

doelstelling

• Om de vertrouwen van de inwoners te vergroten hebben we het afgelopen jaar bovenstaande maatregelen genomen. In de praktijk is gebleken dat de BIO implementatie veel aandacht behoeft. Vandaar dat er een inventarisatie is gemaakt hoe de gemeente ervoor staat en op basis daarvan wordt een plan van aanpak gemaakt voor de verdere implementatie van de BIO. • De keuze tot het aanstellen van een ENSIA coördinator heeft ertoe geleid dat de gemeente voldoet aan de ENSIA verplichtingen en de daarbij behorende tijdlijn. De reikwijdte van de zelfevaluatie informatiebeveiliging betreft de DigiD, Suwinet, BRP, BAG, BGT op basis van de BIO en AVG. • Suwinet wordt niet door de gemeente zelf gebruikt, maar door het samenwerkingsverband Werkzaak Rivierenland en Belastingsamenwerking Rivierenland (BSR). De gemeente voert de controle hierop uit. Rapportage Informatiebeveiliging 2020 1 februari 2021

• Awareness onder medewerkers blijft een doorlopende activiteit waar de gemeente actief mee aan de slag moet gaan. In 2020 hebben er geen bewustwordingscampagnes plaatsgevonden. Er dient in 2021 dan ook extra aandacht besteed te worden aan bewustwording onder medewerkers, zodat er binnen de gemeente op de juiste manier met informatie wordt omgegaan in lijn met het Informatiebeveiligingsbeleid en het BIO normenkader

7. Incidenten 2020 Aantal gemelde datalekken Aantal veiligheidsincidenten Aantal bewustwordingscampagnes Aantal verzoeken betrokkenen

3 7 0 2

8. Meerjarenperspectief Om aan haar doelstellingen te voldoen moet de gemeente de komende jaren blijven inzetten op informatieveiligheid. Het BIO normenkader moet de focus blijven voor de komende jaren en continue bewustwording onder de medewerkers creëren ook. Lijnmanagement, de medewerkers, het college en de raad moeten de komende jaren nauwer betrokken worden en een actieve rol innemen op het gebied van informatieveiligheid en privacy.

9. Resultaten zelf-evaluatie 2020 9.1 Resultaten zelf-evaluatie BIO Onderdeel van dit jaarverslag zijn de resultaten van de zelf-evaluatie van de BIO. Deze zelfevaluatie heeft plaatsgevonden aan de hand van de vragenlijsten uit de ENSIA tool waarmee door alle onderwerpen van de BIO wordt gelopen. Aan de hand van die antwoorden is in bijlage 1 van deze rapportage in detail beschreven daar waar de gemeente in het kader van de BIO tekortschiet. Onderwerpen uit de BIO zijn; • Beveiligingsbeleid • Organisatie van de informatiebeveiliging • Beheer van bedrijfsmiddelen • Beveiliging van personeel • Fysieke beveiliging en beveiliging van de omgeving • Beheer van communicatie- en bedieningsprocessen • Logische toegangsbeveiliging • Verwerving, ontwikkeling en onderhoud van informatiesystemen • Beveiligingsincidenten • Bedrijfscontinuïteit • Naleving technische Aan de hand van het overzicht per onderwerp zal de komende maanden aan een plan van aanpak worden gewerkt waaruit duidelijk wordt wat er gedaan moet worden en door wie dit zal worden gedaan. In mei 2021 zal dit plan van aanpak gereed zijn en zal er uitvoering Rapportage Informatiebeveiliging 2020 1 februari 2021

worden gegeven aan de verbetermaatregelen. Deze termijn is intern afgestemd met burgemeester Vincent van Neerbos. In 2020 is er nog geen invulling gegeven bepaalde aan activiteiten wegens de omvang van de taken in relatie tot beschikbare capaciteit. In 2021 zal er een structurele invulling worden gegeven aan de rol van CISO en wordt het Informatiebeveiligingsbeleid 2020-2023 vastgesteld, waardoor we als gemeente actief aan de slag gaan met de BIO en de daarbij behorende bewustwording en dus op het gebied van informatiebeveiliging ‘in control’ gaan komen.

9.2 Resultaten per stelsel Via de ENSIA systematiek is verantwoording afgelegd aan het Rijk. In de volgende paragrafen wordt per zelfevaluatie een toelichting gegeven. De bijbehorende rapportages zijn als bijlagen opgenomen bij deze rapportage.

9.2.1 Zelfevaluaties BRP en Reisdocumenten Jaarlijks moeten gemeenten verantwoording afleggen over het gebruik van de BRP en Reisdocumenten. Met de komst van ENSIA is het inhoudelijke deel afgesplitst van het beveiligingstechnische deel. Het inhoudelijke deel, dat onder andere kijkt naar de kwaliteit van de persoonsgegevens in het BRP en de inrichting van de verwerkingsprocessen, wordt door de vakafdeling uitgevoerd. Het beveiligingstechnische deel wordt op basis van de BIOrichtlijnen uitgevraagd. De zelfevaluaties BRP en Reisdocumenten zijn ingediend zodat de externe toezichthouder (het ministerie van Binnenlandse zaken en Koninkrijkszaken) zich hierover een oordeel kan vormen. Over 2020 is de zelfevaluatie gescheiden uitgevoerd. De informatiebeveiligingsvragen BRP en Reisdocumenten via ENSIA en de domeinvragen BRP en Reisdocumenten via de Kwaliteitsmonitor van de RvIG. De resultaten worden verstrekt in de vorm van uittreksels en zijn weergegeven in een puntenaantal. 4.2. BRP De normering die is gekoppeld schets een beeld van de toepassing van technische en organisatorische beveiligingsmaatregelen en overige aspecten van processen rondom de BRP. Uit de zelfevaluaties blijkt dat de gemeente West Maas en Waal net voldoende scoort op de inrichting, de werking en de beveiliging van de basisregistratie.

Het samengevoegd resultaat van de domeinvragen en informatiebeveiligingsvragen is …. punten van de maximaal 2000 punten. Dat geeft een percentage van 89,8% voor zowel de wettelijke eisen als de aanbevelingen. 4.3. Reisdocumenten De normering die is gekoppeld schets een beeld van de toepassing van technische en organisatorische beveiligingsmaatregelen en overige aspecten van het aanvraag- en uitgifteproces Reisdocumenten. Uit de zelfevaluatie blijkt dat de gemeente West Maas en Waal goed scoort op de beveiliging en overige aspecten van het aanvraag en uitgifteproces. Het samengevoegd resultaat van de domeinvragen en informatiebeveiligingsvragen is 1060 punten van de maximaal 2.000 punten. Dat geeft een percentage van 100%.

Rapportage Informatiebeveiliging 2020 1 februari 2021

9.2.2 Zelfevaluatie Suwinet Suwinet is het systeem voor informatie-uitwisseling in de keten van werk en inkomen. Suwinet wordt beschikbaar gesteld onder bepaalde voorwaarden, de SUWI verantwoordingsrichtlijn. De SUWI Verantwoordingsrichtlijn bevat het normenkader met de normen waaraan de beveiliging van de Gegevensuitwisseling elektronische Voorziening Suwinet (GeVS) moet voldoen. Suwinet wordt niet door de gemeente zelf gebruikt, maar is uitbesteed aan de samenwerkingsverbanden Werkzaak Rivierenland en Belastingsamenwerking Rivierenland (BSR). De gemeente blijft verantwoordelijk voor Suwinet voert de controle hierop uit. De verantwoording aan de toezichthouder is gebeurd via een collegeverklaring en bijlage in voorgeschreven format. Onze externe auditor heeft deze beoordeeld en gewaarmerkt. Daarnaast heeft hij een assurance-rapport opgesteld waarin staat dat de verklaring een juist beeld geeft van de werkelijkheid. Uit het rapport komt voort dat de gemeente niet voldoet aan de maatregel omtrent het nieuwe Informatiebeveiligingsbeleid. Deze is nog niet vastgesteld, hetgeen een tekortkoming oplevert. Het streven is om dit beleid halverwege 2021 vast te stellen.

9.2.3 Zelfevaluatie Digid Gemeente West Maas en Waal is DigiD aansluithouder en in opdracht van SIMgroep is een DigiD-beveiligingsassesments uitgevoerd door een onafhankelijke auditor. Logius heeft op basis van het auditrapport vastgesteld dat gemeente West Maas en Waal heeft voldaan aan de voorwaarden DigiD. In de collegeverklaring 2020 legt het college hierover verantwoording af gaan de raad.

9.2.4 Zelfevaluatie BAG Met het formeel van kracht worden van de gewijzigde Wet BAG in 2018 is de zelfcontrole BAG met ingang van 1 juli 2018 een wettelijke verplichting voor gemeentelijke bronhouders BAG. Aan de hand van de vragenlijst is de zelfevaluatie BAG uitgevoerd. Op grond daarvan is de verantwoordingsrapportage opgesteld die door het college van B&W is vastgesteld, hierin zijn tevens de verbetermaatregelen opgenomen. De zelfevaluatie BAG door de lijnverantwoordelijken levert een puntenscore op van 185 uit het maximaal aantal te behalen punten van 205. Deze score is te beoordelen als goed.

9.2.5 Zelfevaluatie BGT Op basis van de Wet BGT is in het kader van horizontale en verticale verantwoording een methode van zelfcontrole ingevoerd. Over 2020 is de ENSIA BGT zelfcontrole een wettelijke verplichting. Aan de hand van de vragenlijst is de zelfevaluatie BGT uitgevoerd. Op grond daarvan is de verantwoordingsrapportage opgesteld die door het college van B&W is vastgesteld. De zelfevaluatie BAG door de lijnverantwoordelijken levert een puntenscore op van 150 uit het maximaal aantal te behalen punten van 150. Deze score is te beoordelen als goed.

9.2.6. Zelfevaluatie BRO In navolging van de basisregistraties BAG en BGT is in het kader van horizontale en verticale verantwoording ook voor de basisregistratie BRO een methode voor zelfcontrole ingevoerd. De zelfcontrole over 2020 is nog niet wettelijk verplicht, maar door de toezichthouder wordt wel verwacht dat deze wordt uitgevoerd. Aan de hand van de Rapportage Informatiebeveiliging 2020 1 februari 2021

vragenlijst is de zelfevaluatie BRO uitgevoerd. Op grond daarvan is de verantwoordingsrapportage opgesteld die door het college van B&W is vastgesteld, hierin zijn tevens verbetermaatregelen opgenomen. De zelfevaluatie BRO door de lijnverantwoordelijken levert een puntenscore op van 100 uit het maximaal aantal te behalen punten van 120.

Rapportage Informatiebeveiliging 2020 1 februari 2021

Bijlage 1. Uitkomsten BIO zelf-evaluatie uit ENSIA De resultaten van de BIO zelf-evaluatie zijn opgesteld aan de hand van de beantwoording van de vragen in de ENSIA tool. Deel 1 geeft de resultaten van de ENSIA vragen weer die gaan over de opzet en verantwoording over de BIO bij de gemeente. Deel 2 geeft de resultaten van de ENSIA vragen weer die gaan over de controls en overheidsmaatregelen uit de BIO. Daar zal allereerst op hoofdlijnen worden aangekaart waar de grootste aandachtspunten zitten en vervolgens wordt er per onderdeel uit de vragenlijst op maatregelniveau aangekaart waar de gemeente tekortschiet. Deel 1: Vragen met betrekking tot de opzet van en de verantwoording over de BIO Opzet van de BIO - De keuze voor een BBN* dient te worden gemaakt door de proceseigenaar en is gebaseerd op risicomanagement. Deze BBN classificatie gebeurt op dit moment niet. - Er is niet vastgesteld welke controls uit de BIO niet van toepassing zijn. Indien een control voor een specifiek geval niet van toepassing kan zijn, is de control niet van toepassing: de hardheidsbepaling. - Er is daarentegen wel vastgelegd welke maatregelen niet van toepassing zijn. - Alle controls en maatregelen die van toepassing zijn, zijn toebedeeld aan een verantwoordelijke.

* Uitleg BBN: Binnen de BIO wordt op basis van generieke schade en bedreigingen een onderscheid gemaakt in drie basisbeveiligingsniveaus (BBN). Des te hoger het BBN, des te hoger de potentiële impact. Elk BBN kent een verplichte set aan beveiligingsmaatregelen en ieder niveau is complementair aan het vorige niveau; zo vult BBN 3 het niveau BBN 2 aan en vult BBN 2 weer BBN 1 aan. Verantwoording over de BIO - De gemeente geeft geen inzicht in de keten over de mate waarin zij voldoet aan de BIO. - Indien processen en/of systemen geclassificeerd zijn op BBN3, dan dient dit te zijn afgestemd met de gemeentesecretaris. Omdat de BBN’s op dit moment niet zijn uitgewerkt, is hier op dit moment geen sprake van. - De gemeente dient te beschikken over een registratie van overheidsmaatregelen waaraan niet of nog niet geheel kan worden voldaan. Dit is op dit moment, naast deze bijlage, nog niet in meer detail vastgelegd. Deel 2: Vragen met betrekking tot controls en overheidsmaatregelen Hoofdstuk 5: Beveiligingsbeleid Er dient in het bijzonder aandacht te worden besteed aan: - Op dit moment bestaat er een informatieveiligheidsbeleid 2020-2023. Deze is echter nog niet vastgesteld en er dient gecontroleerd te worden of het beleid voldoet aan de eisen omschreven in 5.1.1.1. - De communicatie verbeteren over het informatieveiligheidsbeleid naar de interne en externe medewerkers en leveranciers.

- Alle ondersteunende documenten zoals richtlijnen, procedures en awareness moeten uitgeschreven worden en voor iedere medewerker toegankelijk en op een centrale locatie makkelijk te vinden zijn. - Vanuit de directie dient het belang van informatiebeveiliging actief worden uitgedragen. Specifieke maatregel waaraan niet wordt voldaan: 5.1 Aansturing door de directie van de informatiebeveiliging Rapportage Informatiebeveiliging 2020 1 februari 2021

5.1.1 Beleidsregels voor informatiebeveiliging 5.1.1.1: Er is een Informatiebeveiligingsbeleid opgesteld door de organisatie. Dit beleid is vastgesteld door de leiding van de organisatie en bevat ten minste de volgende punten: a) De strategische uitgangspunten en randvoorwaarden die de organisatie hanteert voor informatiebeveiliging en in het bijzonder de inbedding in en afstemming op het algemene beveiligingsbeleid en het informatievoorzieningsbeleid. b) De organisatie van de informatiebeveiligingsfunctie, waaronder verantwoordelijkheden, taken en bevoegdheden. c) De toewijzing van de verantwoordelijkheden voor ketens van informatiesystemen aan lijnmanagers. d) De gemeenschappelijke betrouwbaarheidseisen en normen die op de organisatie van toepassing zijn. e) De frequentie waarmee het Informatiebeveiligingsbeleid wordt geëvalueerd. f) De bevordering van het beveiligingsbewustzijn. Hoofdstuk 6: Organisatie van informatiebeveiliging: In het bijzonder dient aandacht te worden besteed aan: Het vaststellen van nieuwe rollen: o (Chief) Information Security Officer conform een vastgesteld CISO-functieprofiel. Deze rol is verantwoordelijk voor Gemeente West Maas en Waal informatiebeveiliging te implementeren op strategisch, tactisch en operationeel niveau.

o (Interne) Auditor: Deze rol is verantwoordelijk voor het definiëren van het interne audit plan en jaarlijks de werking door naleving te controleren. Verbeteringen realiseren om onbevoegde, onbedoelde wijzigingen of misbruik van informatie of de bedrijfsmiddelen te verlagen. Door scheiding van taken toe te passen en het toekennen van informatie en applicatie eigenaren ter verbetering van de inrichting van autorisatiemanagement. Er bestaat op dit moment (nog) geen beleid voor mobiele apparatuur. Dit betekent dat mobiele apparatuur op dit moment niet voldoende beschermd is. Er bestaat geen telewerkbeleid. Onder medewerkers moet er meer bewustzijn worden gecreëerd over de veilige omgang met mobiele apparatuur en veilig mobiel werken. Specifieke maatregelen waaraan niet wordt voldaan: 6.1 Interne organisatie 6.1.1 Rollen en verantwoordelijkheden bij informatiebeveiliging 6.1.1.1: De leiding van de organisatie heeft vastgelegd wat de verantwoordelijkheden en rollen zijn op het gebied van informatiebeveiliging binnen haar organisatie. 6.1.1.3: De rol en verantwoordelijkheden van de Chief Information Security Officer (CISO) zijn in een CISO-functieprofiel vastgelegd. 6.1.1.4: Er is een CISO aangesteld conform een vastgesteld CISO-functieprofiel. 6.1.2. Scheiding van taken: 6.1.2.1.

Er zijn maatregelen getroffen om onbedoelde of ongeautoriseerde wijziging of misbruik van bedrijfsmiddelen waar te nemen of te voorkomen door scheiding van taken. 6.1.3. Contact met overheidsinstanties 6.1.3.1: Er is een contactoverzicht uitgewerkt dat aangeeft welke functionarissen contact onderhouden met (overheids)instanties en toezichthouders over informatiebeveiligingsaangelegenheden en welke eisen voor deze aangelegenheden interessant zijn. 6.1.3.2: Het contactoverzicht wordt jaarlijks geactualiseerd. 6.2 Mobiele apparatuur en telewerken 6.2.1 Beleid voor mobiele apparatuur 6.2.1.1: Mobiele apparatuur is zo ingericht dat bedrijfsinformatie niet onbewust wordt opgeslagen (‘zero footprint’). Als zero footprint (nog) niet realiseerbaar is, biedt een mobiel apparaat (zoals een laptop, tablet en smartphone) de mogelijkheid om de toegang te Rapportage Informatiebeveiliging 2020 1 februari 2021

beschermen door middel van een toegangsbeveiligingsmechanisme en, indien vertrouwelijke gegevens worden opgeslagen, versleuteling van die gegevens. In het geval van opslag van vertrouwelijke informatie moet op deze mobiele apparatuur ‘wissen op afstand’ mogelijk zijn. 6.2.1.2: Bij de inzet van mobiele apparatuur zijn minimaal de volgende aspecten geïmplementeerd: a) In bewustwordingsprogramma’s komen gedragsaspecten van veilig mobiel werken aan de orde. b) Het device maakt deel uit van patchmanagement en hardening. c) er wordt gebruik gemaakt van Mobile Device Management MDM of van Mobile Application Management (MAM)-oplossingen. d) Gebruikers tekenen een gebruikersovereenkomst voor mobiel werken, waarmee zij verklaren zich bewust te zijn van de gevaren van mobiel werken en verklaren dit veilig te zullen doen. Deze verklaring heeft betrekking op alle mobiele apparatuur die de medewerker zakelijk gebruikt. e) Periodiek wordt getoetst of de punten in lid b), c) en d) worden nageleefd. 6.2.2 Telewerken Beleid en ondersteunende beveiligingsmaatregelen behoren te worden geïmplementeerd ter beveiliging van informatie die vanaf telewerklocaties wordt benaderd, verwerkt of opgeslagen.

Hoofdstuk 7: Veilig Personeel: In het bijzonder dient aandacht te worden besteed aan: Bewustzijn, opleiding en training ten aanzien van informatiebeveiliging verbeteren en het belang hiervan dient door de directie structureel benadrukt te worden. Dit start bij de indiensttreding van medewerkers. Er bestaat een iBewustzijn programma en dit moet actief worden gevolgd om het bewustzijn van medewerkers, teamleiders en het college te vergroten. Bij dit bewustzijn onder medewerkers hoort mede dat zij bekend raken met hun verantwoordelijkheden op het gebied van informatiebeveiliging. Formeel introductieprogramma ontwikkelen om het Informatiebeveiligingsbeleid kenbaar te maken aan nieuwe medewerkers. Specifieke maatregelen waaraan niet wordt voldaan: 7.1 Voorafgaand aan het dienstverband 7.1.2: Arbeidsvoorwaarden 7.1.2.1: Alle medewerkers (intern en extern) zijn bij hun aanstelling of functiewisseling gewezen op hun verantwoordelijkheden ten aanzien van informatiebeveiliging. De voor hen geldende regelingen en instructies ten aanzien van informatiebeveiliging zijn eenvoudig toegankelijk. (Op dit moment wel bij indiensttreding, maar niet functiewisseling). 7.2.2 Bewustzijn, opleiding en training t.a.v. informatiebeveiliging 7.2.2.1: Alle medewerkers hebben de verantwoordelijkheid bedrijfsinformatie te beschermen.

Iedereen kent de regels en verplichtingen met betrekking tot informatiebeveiliging en daar waar relevant. de speciale eisen voor gerubriceerde omgevingen. 7.2.2.2: Alle medewerkers en contractanten die gebruikmaken van de informatiesystemen en diensten hebben binnen drie maanden na indiensttreding een training I-bewustzijn succesvol gevolgd. 7.2.2.3: Het management benadrukt bij aanstelling en interne overplaatsing en bijvoorbeeld in werkoverleggen of in personeelsgesprekken bij zijn medewerkers en contractanten het belang van opleiding en training op het gebied van informatiebeveiliging en stimuleert hen actief deze periodiek te volgen. Hoofdstuk 8: Beheer van bedrijfsmiddelen: In het bijzonder dient aandacht te worden besteed aan: Richtlijnen opstellen voor informatieclassificatie en eigendom van informatie, processen en systemen. Structureel inrichten en uitvoeren van informatie classificeren. Eigenaarschap en beheer van informatie (o.a. classificatie) is van belang. Het uitvoeren van de BBN toets door proceseigenaren. Rapportage Informatiebeveiliging 2020 1 februari 2021

Beveiliging van mobiele apparaten verbeteren. Het vervoeren van mobiele apparaten buiten Gemeente West Maas en Waal brengt risico’s met zich mee. Diefstal of verlies van bijvoorbeeld smartphone, USB-stick of USB-Harde schijf kunnen leiden tot een datalek. Inrichten van het Mobile Device Management om een antwoord te bieden op beheer van BYOD en CYOD ter voorkoming van datalekken.

8.2. Informatieclassificatie 8.2.1 Classificatie van informatie 8.2.1.1. De informatie in alle informatiesystemen is door middel van een expliciete risicoafweging geclassificeerd, zodat duidelijk is welke bescherming nodig is. 8.3 Behandelen van media 8.3.1 Beheer van verwijderbare media 8.3.1.1. Er is een verwijderinstructie waarin is opgenomen dat van verwijderbare media die herbruikbaar zijn en die de organisatie verlaten de onnodige inhoud onherstelbaar verwijderd is. 8.3.3: Media fysiek overdragen 8.3.3.1. Er is een vastgestelde procedure voor het fysiek transport van media. 8.3.3.2 Het gebruik van koeriers of transporteurs voor transport van op BBN2 of hoger geclassificeerde informatie voldoet aan vooraf opgestelde betrouwbaarheidseisen. Hoofdstuk 9: Toegangsbeveiliging: In het bijzonder dient aandacht besteed te worden aan: Proces en beleid opstellen voor interne en externe toepassingen omtrent toegangsrechten toekennen, intrekken en beoordelen, door aandacht voor het ‘need to know’ en ‘need to use’ principe. Het realiseren van periodieke controle van uitgegeven toegangsrechten. Wachtwoordbeleid instellen, voor het periodiek wijzigen en het bepalen van een uniforme sterke van wachtwoorden. Het faciliteren van een wachtwoordenkluis voor medewerkers. Transparantie over toegangsrechten; communiceren wat medewerkers wel en niet mogen zien.

Specifieke maatregelen waaraan niet wordt voldaan: 9.1 Bedrijfseisen voor toegangsbeveiliging 9.1.1 Beleid voor toegangsbeveiliging Een beleid voor toegangsbeveiliging behoort te worden vastgesteld, gedocumenteerd en beoordeeld op basis van bedrijfs- en informatiebeveiligingseisen 9.2 Beheer van toegangsrechten van gebruikers 9.2.3 Beheren van speciale toegangsrechten 9.2.3.1 De uitgegeven speciale bevoegdheden worden minimaal ieder kwartaal beoordeeld. 9.2.5 Beoordeling van toegangsrechten van gebruikers 9.2.5.1 Alle uitgegeven toegangsrechten worden minimaal eenmaal per jaar beoordeeld. 9.2.5.2 De opvolging van bevindingen is gedocumenteerd en wordt behandeld als beveiligingsincident. (Ze worden wel behandeld als beveiligingsincident, maar niet gedocumenteerd). 9.2.5.3 Alle uitgegeven toegangsrechten worden minimaal eenmaal per halfjaar beoordeeld. 9.3 Verantwoordelijkheden van gebruikers 9.3.1 Geheime authenticatie-informatie gebruiken 9.3.1.1 Medewerkers worden ondersteund in het beheren van hun wachtwoorden door het beschikbaar stellen van een wachtwoordenkluis. 9.4 Toegangsbeveiliging van systeem en toepassing 9.4.2 Beveiligde inlogprocedures 9.4.2.1 Als vanuit een onvertrouwde zone toegang wordt verleend naar een vertrouwde zone, gebeurt dit alleen op basis van minimaal two-factor authenticatie.

Rapportage Informatiebeveiliging 2020 1 februari 2021

9.4.2.2: Voor het verlenen van toegang tot het netwerk aan externe leveranciers wordt vooraf een risicoafweging gemaakt. De risicoafweging bepaalt onder welke voorwaarden de leveranciers toegang krijgen. Uit een registratie blijkt hoe de rechten zijn toegekend. 9.4.3 Systeem voor wachtwoordbeheer. 9.4.3.1 Als er geen gebruik wordt gemaakt van two-factor authenticatie, is de wachtwoordlengte minimaal 8 posities en complex van samenstelling. Vanaf een wachtwoordlengte van 20 posities vervalt de complexiteitseis. Het aantal foutieve inlogpogingen is maximaal 10. De tijdsduur dat een account wordt geblokkeerd na overschrijding van het aantal keer foutief inloggen, is vastgelegd 9.4.3.4 Initiële wachtwoorden en wachtwoorden die gereset zijn, hebben een maximale geldigheidsduur van een werkdag en moeten bij het eerste gebruik worden gewijzigd. 9.4.3.5. Wachtwoorden die voldoen aan het wachtwoordbeleid hebben een maximale geldigheidsduur van een jaar en waar het beleid niet van toepasbaar is een half jaar. Antwoord is nee, dus wachtwoordbeleid checken. 9.4.4 Speciale systeemhulpmiddelen gebruiken 9.4.4.2 Het gebruik van systeemhulpmiddelen wordt gelogd. De logging is een halfjaar beschikbaar voor onderzoek.

Hoofdstuk 10: Cryptografie In het bijzonder dient aandacht besteed te worden aan: Cryptografisch beleid opstellen waarin de richting wordt bepaald hoe cryptografie moet worden gebruikt om de vertrouwelijkheid, integriteit, onweerlegbaarheid en authenticiteit van de gevoelige en essentiële informatie tijdens opslag of verzending te beschermen. Gebruikers en informatiesystemen moeten enkel gebruik maken van open en erkende cryptografische technieken die zijn goedgekeurd door Gemeente West Maas en Waal en moeten door leveranciers worden ondersteund. Specifieke maatregelen waaraan niet wordt voldaan: 10.1 Cryptografische beheersmaatregelen 10.1.1 Beleid inzake het gebruik van cryptografische beheersmaatregelen 10.1.1. In het cryptografiebeleid zijn minimaal de volgende onderwerpen uitgewerkt: a) Wanneer cryptografie ingezet wordt. b) Wie verantwoordelijk is voor de implementatie. c) Wie verantwoordelijk is voor het sleutelbeheer. d) Welke normen als basis dienen voor cryptografie en de wijze waarop de normen van het Forum worden toegepast. e) De wijze waarop het beschermingsniveau vastgesteld wordt. f) Bij communicatie tussen organisaties wordt het beleid onderling vastgesteld. 10.1.2 Sleutelbeheer 10.1.2.2 Er zijn (contractuele) afspraken over reservecertificaten van een alternatieve leverancier als uit risicoafweging blijkt dat deze noodzakelijk zijn.

Hoofdstuk 11: Fysieke beveiliging en beveiliging van de omgeving In het bijzonder dient aandacht besteed te worden aan:

Aandacht voor ‘clean screen’ en ‘clean desk’. Bewustwording creëren over het gebruik van apparatuur en bedrijfsmiddelen buiten het terrein. Inrichten van Mobile Device Management.

Specifieke maatregelen waaraan niet wordt voldaan: 11.1 Beveiligde gebieden 11.1.1 Fysieke beveiligingszone Rapportage Informatiebeveiliging 2020 1 februari 2021

11.1.1.1 Er wordt voor het inrichten van beveiligde zones gebruik gemaakt van standaarden. 11.1.2 Fysieke toegangsbeveiliging 11.1.2.1 In geval van concrete beveiligingsrisico’s worden waarschuwingen, conform onderlinge afspraken, verzonden aan de relevante collega’s binnen het beveiligingsdomein van de overheid. (We hebben geen specifieke dienst voor beveiliging. Bij de balie kan men het agressie-interventieteam inschakelen. Dat zijn collega's van diverse teams die daarvoor getraind zijn) 11.2 Apparatuur 11.2.6 Beveiliging van appratuur en bedrijfsmiddelen buiten het terrein Bedrijfsmiddelen die zich buiten het terrein bevinden, behoren te worden beveiligd, waarbij rekening behoort te worden gehouden met de verschillende risico’s van werken buiten het terrein van de organisatie. 11.2.9 Clear desk en clear screen 11.2.9.1 Een onbemensde werkplek altijd vergrendeld 11.2.9.2 Informatie wordt automatisch ontoegankelijk gemaakt met bijvoorbeeld een screensaver na een inactiviteit van maximaal 15 minuten. Hoofdstuk 12: Beveiliging van bedrijfsvoering: In het bijzonder dient aandacht besteed te worden aan:

Het opstellen van een procedure voor wijzigingsbeheer. De ontwikkeling van een back-up beleid. Het jaarlijks testen van de betrouwbaarheid van back-ups. Hierdoor worden eventuele integriteit en vertrouwelijkheid problemen inzichtelijk gemaakt. De ontwikkeling van beleid omtrent logging en monitoring en rollen en verantwoordelijkheden afspreken voor beheer van logsystemen. De scheiding van ontwikkel, test en productieomgevingen. Er wordt op dit moment getest in de productieomgeving. Medewerkers waarschuwen voor phishing en malware en wat te doen bij een infectie van de computer, laptop, tablet, smartphone of de informatie die wordt gebruikt.

Specifieke maatregelen waaraan niet wordt voldaan: 12.1 Bedieningsprocedures en verantwoordelijkheden 12.1.1 Gedocumenteerde bedieningsprocedures Bedieningsprocedures behoren te worden gedocumenteerd en beschikbaar te worden gesteld aan alle gebruikers die ze nodig hebben. 12.1.2. Wijzigingsbeheer 12.1.2.1 Er bestaat een procedure voor wijzigingenbeheer en daarin is minimaal aandacht besteed aan: a) het administreren van wijzigingen; b) risicoafweging van mogelijke gevolgen van de wijzigingen; c) goedkeuringsprocedure voor wijzigingen. 12.1.4 Scheiding van ontwikkel, test en productieomgevingen 12.1.4.1 In de productieomgeving wordt niet getest. Alleen met voorafgaande goedkeuring door de proceseigenaar en schriftelijke vastlegging hiervan, kan hiervan worden afgeweken. 12.1.4.2 Wijzigingen in de productieomgeving worden altijd getest voordat zij in productie gebracht worden. Alleen met voorafgaande goedkeuring door de proceseigenaar en schriftelijke vastlegging hiervan, kan hiervan worden afgeweken. 12.3 Back-up 12.3.1 Back-up van informatie 12.3.1.1 Er is een back-upbeleid waarin de eisen voor het bewaren en beschermen zijn gedefinieerd en vastgesteld. 12.3.1.2 Op basis van een expliciete risicoafweging is bepaald wat het maximaal toegestane dataverlies is en wat de maximale hersteltijd is na een incident. Rapportage Informatiebeveiliging 2020 1 februari 2021

12.4 Verslaglegging en monitoren 12.4.1 Gebeurtenissen registeren 12.4.1.1 Een logregel bevat minimaal: a) de gebeurtenis; b) de benodigde informatie die nodig is om het incident met hoge mate van zekerheid te herleiden tot een natuurlijk persoon; c) het gebruikte apparaat; d) het resultaat van de handeling; e) een datum en tijdstip van de gebeurtenis. 12.4.1.2: Een logregel bevat in geen geval gegevens die tot het doorbreken van de beveiliging kunnen leiden. (Er wordt niet aan deze maatregel voldaan omdat dit is zo ingebouwd in Windows) 12.4.1.3 De informatieverwerkende omgeving wordt gemonitord door een SIEM en/ of SOC middels detectie-voorzieningen, zoals het Nationaal Detectie Netwerk (alleen voor rijksoverheidsorganisaties). Deze worden ingezet op basis van een risico-inschatting, mede aan de hand van de aard van de te beschermen gegevens en informatiesystemen, zodat aanvallen kunnen worden gedetecteerd. 12.4.1.4: Bij ontdekte nieuwe dreigingen (aanvallen) via 12.4.1.3 worden deze binnen geldende juridische kaders verplicht gedeeld binnen de overheid, waaronder met het NCSC (alleen voor rijksoverheidsorganisaties) ofvia de sectorale CERT (voor andere overheidsorganisaties), middels (bij voorkeur geautomatiseerde) threat intelligence sharing mechanismen. Hoofdstuk 13: Communicatiebeveiliging: In het bijzonder dient aandacht besteed te worden aan:

Formaliseren, het beschrijven van gebruik van de goedgekeurde netwerken en diensten en communiceren naar Gemeente West Maas en Waal medewerkers hoe zij hiervan gebruik kunnen maken. Aandacht voor beveiligde gegevensuitwisseling met derde partijen, bijvoorbeeld met beveiligde e-mail en gebruik van een gedeelde drive. Ingebruikname van de AdES Baseline Profile standaard voor elektronische handtekeningen.

Specifieke maatregelen waaraan niet wordt voldaan: 13.1 Beheer van netwerkbeveiliging 13.1.2 Beveiliging van netwerkdiensten 13.1.2.4 In koppelpunten met externe of onvertrouwde zones zijn maatregelen getroffen om mogelijke aanvallen die de beschikbaarheid van de informatievoorziening negatief beïnvloeden (bijvoorbeeld DDoS-aanvallen, Distributed Denial of Service attacks) te signaleren en hierop te reageren. 13.2 Informatietransport 13.2.3 Elektronische berichten 13.2.3.1 Voor de beveiliging van elektronische (e-mail)berichten gelden de vastgestelde open standaarden tegen phishing en afluisteren op de ‘pas toe of leg uit’-lijst van het Forum. 13.2.3.4 Om zekerheid te bieden over de integriteit van het elektronische bericht, wordt voor elektronische handtekeningen gebruik gemaakt van de AdES Baseline Profile standaard. Hoofdstuk 14: Acquisitie, ontwikkeling en onderhoud van informatiesystemen In het bijzonder dient aandacht te worden besteed aan:

Informatiebeveiligingsbeleid en de eisen uit de BIO moet bij proces- en applicatie eigenaren bekend zijn zodat bij keuzes de eisen voor informatiebeveiliging meegenomen worden. Het regelen van een procedure omtrent het op de juiste wijze uitvoeren van systeemacceptatietesten.

Rapportage Informatiebeveiliging 2020 1 februari 2021

Specifieke overheidsmaatregelen waaraan niet wordt voldaan: 14.1 Beveiligingseisen voor informatiesystemen 14.1.1 Analyse en specificatie van IB eisen 14.1.1.1 Bij nieuwe informatiesystemen en bij wijzigingen op bestaande informatiesystemen moet een expliciete risicoafweging worden uitgevoerd ten behoeve van het vaststellen van de beveiligingseisen, uitgaande van de BIO. 14.2 Beveiliging in ontwikkeling- en ondersteunende processen 14.2.2 Procedures voor wijzigingsbeheer met betrekking tot systemen 14.2.2.1 Wijzigingsbeheer vindt plaats op basis van een algemeen geaccepteerd beheerframework. 14.2.9 Systeemacceptatietests 14.2.9.1 Voor acceptatietesten van systemen worden gestructureerde testmethodieken gebruikt. De testen worden bij voorkeur geautomatiseerd uitgevoerd. 14.2.9.2 Van de resultaten van de testen wordt verslag gemaakt. Hoofdstuk 15: Leveranciersrelatie In het bijzonder dient aandacht te worden besteed aan:

Leveranciersrelaties inzichtelijk maken door te inventariseren met welke leveranciers contracten zijn afgesloten. Zijn alle contracten in lijn met het Informatiebeveiligingsbeleid, zijn risico’s voor de gemeente bekend en zijn de beveiligingsaspecten in contracten in lijn met bijvoorbeeld de privacy vereisten (verwerkersovereenkomst, datalekken…). In de nieuwe leveranciers contracten, waar mogelijk informatiebeveiligingsvereisten en de mogelijkheid tot audits opnemen. Maak inzichtelijk wie er binnen de gemeente informatie vanuit de leverancierskant beheert en welke dataclassificatie hoort daarbij. Vooraf vastgestelde prestatieindicatoren van leveranciers moeten daarbij jaarlijks beoordeeld worden.

Specifieke maatregelen waaraan niet wordt voldaan: 15.1 Informatiebeveiliging in leveranciersrelaties 15.1.2 Opnemen van beveiligingsaspecten in leveranciersovereenkomsten 15.1.2.2 In de inkoopcontracten worden expliciet prestatie-indicatoren en de bijbehorende verantwoordingsrapportages opgenomen. 15.1.2.3. In situaties waarin contractvoorwaarden worden opgelegd door leveranciers, is voorafgaand aan het tekenen van het contract met een risicoafweging helder gemaakt wat de consequenties hiervan zijn voor de organisatie. Expliciet is gemaakt welke consequenties geaccepteerd worden en welke gemitigeerd moeten zijn bij het aangaan van de overeenkomst. 15.1.2.6 In inkoopcontracten wordt expliciet de mogelijkheid van een externe audit opgenomen waarmee de betrouwbaarheid van de geleverde dienst kan worden getoetst. Een audit is niet nodig als de contractant door middel van certificering aantoont dat de gewenste betrouwbaarheid van de dienst is geborgd. 15.1.3 Toeleveringsketen van informatie- en communicatietechnologie 15.1.3.1a. Leveranciers moeten hun keten van toeleveranciers bekendmaken en transparant zijn over de maatregelen die zij genomen hebben om de aan hen opgelegde eisen ook door te vertalen naar hun toeleveranciers.

15.2 Beheer van dienstverlening van leveranciers 15.2.1 Monitoring en beoordeling van dienstverlening van leveranciers 15.2.1.1: Jaarlijks wordt de prestatie van leveranciers op het gebied van informatiebeveiliging beoordeeld op vooraf vastgestelde prestatie-indicatoren, zoals in het contract opgenomen is. Hoofdstuk 16 Beheer van informatiebeveiligingsincidenten Rapportage Informatiebeveiliging 2020 1 februari 2021

In het bijzonder dient aandacht besteed te worden aan:

Inrichten van incidentenproces, zowel voor privacy als informatiebeveiliging. Formaliseer de informatiebeveiligingsincidenten procedures zodat de verschillende soorten incidenten beter kunnen worden behandeld. Besteed meer aan bewustmaking hoe om te gaan met een incident en hoe medewerkers zich hierbij moeten gedragen. Formeel aanspreekpunt en team benoemen voor informatiebeveiliging incidentenbehandeling. Verbeter de verslaglegging en de rapportage over incidenten naar directie.

Specifieke overheidsmaatregelen waaraan niet wordt voldaan: 16.1 Beheer van informatiebeveiligingsincidenten en -verbeteringen 16.1.2 Rapportage van informatiebeveiligingsgebeurtenissen 16.1.2.2 Er is een meldprocedure waarin de taken en verantwoordelijkheden van het meldloket staan beschreven. 16.1.2.3 Alle medewerkers en contractanten hebben aantoonbaar kennisgenomen van de meldingsprocedure van incidenten. 16.1.2.3 Incidenten worden zo snel mogelijk, maar in ieder geval binnen 24 uur na bekendwording, intern gemeld. 16.1.2.5 De proceseigenaar is verantwoordelijk voor het oplossen van beveiligingsincidenten. 16.1.2.6. De opvolging van incidenten wordt maandelijks gerapporteerd aan de verantwoordelijke. Hoofdstuk 17: Informatiebeveiligingsaspecten van bedrijfscontinuïteitsbeheer

In het bijzonder dient aandacht besteed te worden aan: Het maken van een continuïteitsplan, formeel goedkeuren en uitdragen. Beschrijf de scenario’s die kunnen leiden tot calamiteiten en wijs calamiteiten coördinator aan. Identificeer daarbij wat de bedrijfskritische processen en bedrijfsonderdelen zijn. Voer jaarlijks een Business Impact Analyse uit om de risico’s vaststellen bij calamiteiten.

Specifieke maatregelen waaraan niet wordt voldaan: 17.1 Informatiebeveiligingscontinuïteit 17.1.1 Informatiebeveiligingscontinuïteit plannen 17.1.1.1 De organisatie behoort haar eisen voor informatiebeveiliging en voor de continuïteit van het informatiebeveiligingsbeheer in ongunstige situaties, bijv. een crisis of een ramp, vast te stellen. 17.1.3 Informatiebeveiligingscontinuïteit verifiëren, beoordelen en evalueren 17.1.3.1 Continuïteitsplannen worden jaarlijks getest op geldigheid en bruikbaarheid. 17.1.3.2 Door het uitvoeren van een expliciete risicoafweging worden de bedrijfskritische procesonderdelen met hun bijbehorende betrouwbaarheidseisen geïdentificeerd. 17.1.3.3. De dienstverlening van de bedrijfskritische onderdelen wordt bij calamiteiten uiterlijk binnen een week hersteld. Hoofdstuk 18: Naleving In het bijzonder dient aandacht besteed te worden aan:

Realiseer een ISMS waarmee aantoonbaar de hele PDCA-cyclus wordt afgedekt. Maak een overzicht van alle relevante wet- en regelgeving en de aanpak om hieraan te voldoen. Het opstellen van een auditplan zodat jaarlijks onderdelen van het IB-Beleid worden beoordeeld.

Rapportage Informatiebeveiliging 2020 1 februari 2021

Specifieke maatregelen waaraan niet wordt voldaan: 18.1 Naleving van wettelijke en contractuele eisen 18.1.1 Vaststellen van toepasselijke wetgeving en contractuele eisen 18.1.1.1 Alle relevante wettelijke statutaire, regelgevende, contractuele eisen en de aanpak van de organisatie om aan deze eisen te voldoen behoren voor elk informatiesysteem en de organisatie expliciet te worden vastgesteld, gedocumenteerd en actueel gehouden. 18.1.5 Voorschriften voor het gebruik van cryptografische maatregelen 18.1.5.1 Cryptografische beheersmaatregelen moeten expliciet aansluiten bij de standaarden op de ‘pas toe of leg uit’-lijst van het Forum. 18.2 Informatiebeveiligingsbeoordelingen 18.2.1 Onafhankelijke beoordeling van IB 18.2.1.2 Er is een vastgesteld auditplan waarin jaarlijks keuzes worden gemaakt voor welke systemen welk soort beveiligingsaudits worden uitgevoerd. 18.2.2 Naleving van beveiligingsbeleid en -normen 18.2.2.1 In de P&C-cyclus wordt gerapporteerd over informatiebeveiliging, resulterend in een jaarlijks af te geven In Control Verklaring (ICV) over de informatiebeveiliging. Indien voldoende herkenbaar kan de ICV voor informatiebeveiliging onderdeel zijn van de reguliere, generieke verantwoording.

Rapportage Informatiebeveiliging 2020 1 februari 2021

De tekst is automatisch uit het bestand gehaald en kan afwijken van het origineel (kolommen, tabellen en koppen lopen door elkaar). Het officiële stuk bij iBabs is leidend. Bron: https://api.notubiz.nl/document/10015304/1