Bijlage Informatiebeveiligingsbeleid 1.3

Informatiebeveiligingsbeleid Versie 1.3

November 2023

Datum

November 2023

Versie

1.3

Type

Beleid

Doelgroep

medewerkers

Status

Definitief

Eigenaar

Het college van B &W

Auteur

CISO

Beleid Verplicht

Leidraad Verplicht

Werkinstructies Ondersteunend

Overige Ondersteunend

Inhoud

Het doel van het informatiebeveiligingsbeleid is om te definiëren hoe gemeente West Maas en Waal omgaat met de beveiliging van informatie. Dit gaat om zowel de eigen informatie als om de informatie van de stakeholders. Het informatiebeveiligingsbeleid biedt tevens een normenkader om de huidige informatie infrastructuur en de bestaande contracten te kunnen evalueren en aanbevelingen ter verbetering of tot aanpassingen te kunnen maken. Tevens is dit beleid een vertrekpunt in bewustwording van de organisatie.

2

Versiebeheer Versie 1.0 1.1 1.2

Datum 18 aug 2023 24 aug 2023 1 sep 2023

1.3

7 nov 2023

Wijziging Concept informatiebeveiligingsbeleid Definitief informatiebeveiligingsbeleid na verwerking feedback Wijziging informatiebeveiligingsbeleid en aanbieden ter vaststelling aan het college van B en W Wijziging informatiebeveiligingsbeleid en aanbieden ter vaststelling aan het college van B en W

3

Inhoudsopgave 1. 2. 3.

Voorwoord Begrippenlijst Algemeen 3.1. Doelstelling van dit beleid 3.2. De reikwijdte 3.3. Informatiebeveiliging 3.4. Strategie 3.5 Privacy 4. Uitgangspunten 4.1. De verantwoordelijkheid van het college van B en W en de gemeenteraad 4.2. De verantwoordelijkheid Algemeen Directeur 4.3. De verantwoordelijkheid van het lijnmanagement 4.4. Informatiebeveiligingsbewustzijn van medewerkers 4.5. Baseline Informatiebeveiliging Overheid 4.6. De ondersteunende processen (PIOFAH) 4.7. Incidentmanagement 4.8. Naleving 5. Managementsysteem voor informatiebeveiliging 5.1. Normatief raamwerk 5.2. Het Information Security Management System (‘ISMS’) 5.3. Risicobeoordeling van informatiebeveiliging 5.4. Directiebeoordeling 5.5. Herzien van het informatiebeveiligingsbeleid 6. Rollen en verantwoordelijkheden 6.1. Algemeen Directeur 6.2. Het college van Burgemeester en Wethouders 6.3. Lijnmanagement 6.4. Chief Information Security Officer 6.5. Informatiemanager 6.6. Controller 6.7. ENSIA-coördinator 6.8. Functionaris voor de Gegevensbescherming 6.9. Privacy Officer 7. De 10 principes voor informatieveiligheid 8. Webapplicatie DigiD Bijlage RASCI

5 6 8 8 8 8 9 10 11 11 11 11 11 11 12 12 12 13 13 13 14 14 14 15 15 15 16 16 17 17 18 18 19 20 22 22

4

1.

Voorwoord

Voor u ligt het beleidsdocument informatiebeveiliging versie 1.3 van gemeente West Maas en Waal. Het beleid bevat algemene kaders, uitgangspunten en managementafspraken tussen het college van burgemeester en wethouders en de directie om zo de informatieveiligheid van de organisatie te kunnen vormgeven en borgen. Gemeente West Maas en Waal is een informatie-intensieve organisatie met primaire focus op dienstverlening. Wij werken onder meer met persoonsgegevens en vertrouwelijke informatie. Om de continuïteit van de organisatie te kunnen blijven borgen, is het van essentieel belang om een goed werkend informatiebeveiligingssysteem op te zetten. Het doel van dit systeem is om de informatieveiligheid van de organisatie continue te blijven verbeteren. Onze visie is het garanderen van een betrouwbare informatievoorziening, waarin wij naar streven om de informatie van inwoners, medewerkers en samenwerkingspartners die wij tot onze beschikking hebben te beschermen. Het staat voor ons centraal om de beschikbaarheid, integriteit en vertrouwelijkheid van de informatiestromen te blijven waarborgen. Om die reden zullen wij ons zodanig organiseren om door middel van passende maatregelen te voldoen aan de verwachtingen. Informatiebeveiliging is nadrukkelijk een verantwoordelijkheid van het management en vormt een onderdeel van de dagelijkse werkzaamheden van onze medewerkers.

P.G. (Perry) Arissen Algemeen directeur West Maas en Waal

5

2.

Begrippenlijst

Begrip Afkorting Algemene Verordening AVG Gegevensbescherming

Baseline Informatiebeveiliging Overheid Beschikbaarheid

Eenduidige Normatiek Single Information Audit Informatiebeveiliging

Integriteit Information Security Management System

International Organization for Standardization 27001 Plan-Do-Check-Act model

Definitie De Europese wetgeving die nadere invulling geeft aan het fundamenteel recht van bescherming van de persoonsgegevens. Met deze privacywetgeving wordt geacht aan organisaties en instellingen de (wettelijke) verplichtingen op te leggen, een adequaat beschermingsniveau te bieden bij het verwerken van persoonsgegevens van (individuele) personen. BIO De basisnormenkader voor informatiebeveiliging binnen alle overheidslagen, gestructureerd volgens de ISO 27001. BIV De toegang tot informatie en informatie verwerkende bedrijfsmiddelen op de juiste tijd en plaats voor de (geautoriseerde) gebruikers. ENSIA Met dit instrument kan de gemeente ieder jaar horizontaal en verticaal verantwoording afleggen ten aanzien van de informatiebeveiliging binnen de organisatie. BIV Het geheel van preventieve, detectieve, repressieve en correctieve maatregelen alsmede procedures en processen die de beschikbaarheid, exclusiviteit en integriteit van alle vormen van informatie binnen een organisatie of een maatschappij garanderen, met als doel de continuïteit van de informatie en de informatievoorziening te waarborgen. Tevens wordt informatiebeveiliging aangeduid met beschikbaarheid, integriteit en vertrouwelijkheid (‘BIV’). BIV De correctheid, volledigheid, tijdigheid en controleerbaarheid van informatie.

ISMS Een managementsysteem waarin het risicobeheerproces centraal staat, zodat risico’s adequaat worden beheerd. Dit systeem is vormt de motor van de activiteiten en wordt onderhouden door de plan-do-check-act cyclus. ISO 27001 Internationaal erkende norm voor informatiebeveiliging. De norm legt een basis neer voor procesmatige beveiliging van informatie, met als doel waarborgen van de beschikbaarheid, integriteit en vertrouwelijkheid (‘BIV’). PDCA Een gestructureerd model (of aanpak) met een cyclisch karakter, dat wordt ingezet om een proces continue te verbeteren en vernieuwen. 6

RASCI-model

RASCI

Uitvoeringswet UAVG Algemene Verordening Gegevensbescherming

Vertrouwelijkheid

BIV

RASCI is een acroniem, waarbij de letters in het Engels staan voor Responsible, Accountable, Supoort, Consult en Inform. Met RASCI kunnen verantwoordelijkheden (en bevoegdheden) op een eenvoudige wijze in kaart worden gebracht. De definities van deze rollen is bij de RASCI weergegeven. De Algemene verordening gegevensbescherming (AVG) is de belangrijkste privacywet, die in de hele Europese Unie (EU) geldt. Op een aantal punten laat de Algemene verordening gegevensbescherming (AVG) ruimte voor nationale keuzes. In Nederland zijn die uitgewerkt in de Uitvoeringswet AVG (UAVG). Voorkomen van kennisname en mutatie door onbevoegden. Informatie is alleen toegankelijk voor degenen die daartoe geautoriseerd.

7

3.

Algemeen 3.1. Doelstelling van dit beleid

Het doel van het informatiebeveiligingsbeleid is om te definiëren hoe gemeente West Maas en Waal omgaat met de beveiliging van informatie. Dit gaat om zowel de eigen informatie (documentatie, rapportages, presentaties en financiële en personeelsgegevens), als om de informatie van inwoners, (samenwerkings)partners en leveranciers. Het informatiebeveiligingsbeleid biedt tevens een normenkader om de huidige informatie infrastructuur en de bestaande contracten te kunnen evalueren en aanbevelingen ter verbetering of tot aanpassingen te kunnen maken. Tevens is dit beleid een vertrekpunt in bewustwording van de organisatie.

3.2. De reikwijdte De reikwijdte van dit beleid omvat alle informatie, gemeentelijke processen en onderliggende informatiesystemen, in eigen beheer of uitbesteed aan samenwerkingspartners. Ongeacht de locatie, het tijdstip of de applicatie die daarvoor wordt gebruikt. Dit beleid beperkt zich niet tot uitsluitend geautomatiseerde informatiesystemen en IT-infrastructuur en richt zich eveneens op fysieke informatieveiligheid. Tevens kan de kennis van een medewerker een vorm van informatie zijn – die de bedrijfsvoering in gevaar kan brengen als deze persoon niet meer beschikbaar is. Alle medewerkers van gemeente West Maas en Waal hebben de verantwoording om het informatiebeveiligingsbeleid en de daaruit voortvloeiende leidraden en werkinstructies na te leven. Als sprake is van conflicterende belangen, bijvoorbeeld tussen de functionaliteit en eisen op het gebied van informatiebeveiliging, is in beginsel het informatiebeveiligingsbelang leidend.

3.3. Informatiebeveiliging Visie van gemeente West Maas en Waal op informatiebeveiliging De visie op informatiebeveiliging binnen onze gemeente is van cruciaal belang om de gegevens en systemen waarbinnen die gegevens zich bevinden te beschermen en tegelijkertijd de dienstverlening aan onze burgers te waarborgen. Wij streven naar een veilige, betrouwbare en toegankelijke digitale omgeving voor onze inwoners, bedrijven en medewerkers. Onze visie op informatiebeveiliging is gebaseerd op de volgende principes. • Bescherming van vertrouwelijkheid Wij verplichten ons ertoe om de vertrouwelijkheid van gevoelige informatie te waarborgen, inclusief persoonlijke gegevens van inwoners en bedrijven. Dit betekent dat we passende maatregelen treffen om ongeautoriseerde toegang tot en het lekken van deze gegevens te voorkomen. • Bescherming van integriteit Wij zorgen ervoor dat gegevens nauwkeurig en betrouwbaar zijn. Dit betekent dat we processen en beheersmaatregelen implementeren om de integriteit van gegevens te waarborgen en te voorkomen dat gegevens bedoeld en/of onbedoeld worden gewijzigd. • Bescherming van beschikbaarheid van diensten We garanderen de beschikbaarheid van onze digitale diensten. We streven naar minimale uitvaltijd en snelle herstelmaatregelen om ervoor te zorgen dat onze inwoners en bedrijven te allen tijde toegang hebben tot essentiële diensten.

• Proactieve risicobeheersing 8

•

•

•

•

We identificeren, beoordelen en beheren voortdurend risico’s met betrekking tot informatiebeveiliging. Dit omvat het periodiek evalueren van bedreigingen en kwetsbaarheden, en het nemen van proactieve maatregelen om deze risico’s te verminderen. Bewustzijn en training We zorgen voor een hoog niveau van bewustzijn met betrekking tot informatiebeveiliging bij onze medewerkers, inwoners en partners. We voorzien in training en educatie om ze bewust te maken van hun rol in het beschermen van informatie. Wet- en regelgeving We voldoen aan de geldende wet- regelgeving met betrekking tot informatiebeveiliging. We houden ons aan relevante wetten, voorschriften en normen om naleving te waarborgen. Samenwerking en transparantie We streven naar nauwe samenwerking met andere overheidsinstanties, partners en belanghebbenden om gezamenlijk de informatiebeveiliging te versterken. We zijn transparant over onze inspanningen en open voor feedback en verbeteringen. Continu verbeteren Informatiebeveiliging is een continu proces. Wij blijven onze systemen, beleid en procedures verbeteren naar aanleiding van nieuwe bedreigingen, technologieën en best practices.

3.4. Strategie Strategie van gemeente West Maas en Waal op informatiebeveiliging Onze strategie om onze visie op informatiebeveiliging uit te voeren is om in ieder geval de onderstaande domeinen te implementeren, die helpen bij het beschermen van gevoelige informatie en zorgen voor de integriteit, beschikbaarheid en vertrouwelijkheid ervan. • Risicoanalyse en -beoordeling o Identificeren en evalueren van potentiële informatiebeveiligingsrisico’s waarmee de gemeente wordt geconfronteerd, inclusief bedreigingen en kwetsbaarheden o Bepalen van de mogelijke impact en waarschijnlijkheid van optreden van ieder risico ter bepaling van prioriteiten • Beleid en procedures o Ontwikkelen van informatiebeveiligingsbeleid en -procedures die specifiek zijn voor de behoeften en vereisten van de gemeente, waarin zijn opgenomen o Duidelijke richtlijnen en verantwoordelijkheden voor medewerkers en partners • Bewustwording en training o Blijvend informeren van alle medewerkers en relevante belanghebbenden over informatiebeveiligingskwesties en hun verantwoordelijkheden daarin o Regelmatig aanbieden van training en bewustwordingsprogramma’s • Toegangsbeheer o Beperken van toegang tot gevoelige informatie tot geautoriseerde gebruikers o Implementeren van beheersmaatregelen voor authenticatie en autorisatie • Beveiligingstechnologieën o Implementeren en onderhouden van up to date

beveiligingstechnieken zoals firewalls, antivirussoftware, detectiesystemen voor aanvallen van buitenaf. o Versleutelen van gevoelige gegevens, zowel in rust als bij overdracht • Incidentrespons o Opstellen van een incidentresponsplan om snel te kunnen reageren in geval van een beveiligingslek of data lek 9

•

•

•

•

o Regelmatig testen van de effectiviteit van dit plan door oefeningen te doen Continuïteitsplanning o Ontwikkelen van een continuïteits- en herstelplan om ervoor te zorgen dat de gemeente in staat is te blijven functioneren na een beveiligingsincident Beoordeling en verbetering o Regelmatig uitvoeren van audits om de effectiviteit van de informatiebeveiligingsstrategie te evalueren o Aanpassen van de informatiebeveiligingsstrategie op basis van de bevindingen en veranderde risicoprofielen Wet- en regelgeving o Op de hoogte blijven van alle relevante wet- en regelgeving met betrekking tot informatiebeveiliging en treffen van passende maatregelen zodat de gemeente aan de eisen voldoet Partnerschappen o Samenwerken met andere (overheids)instanties en gemeenten om ‘best practices’ te delen en gezamenlijke inspanningen voor informatiebeveiliging te coördineren

3.5

Privacy

Bij verwerking van persoonsgegevens is primair de Algemene Verordening Gegevensbescherming (‘AVG’) van toepassing. Het doel van de AVG is waarborgen van het beschermingsniveau van persoonsgegevens die verwerkt worden door organisaties binnen de Europese Economische Ruimte (‘EER’). De verwerking van persoonsgegevens vormen een bron van informatie en in het verlengde daarvan is informatiebeveiliging een essentieel onderdeel van de waarborging. De AVG vereist dat er passende organisatorische en technische maatregelen worden genomen om bescherming van de persoonsgegevens te borgen tegen bijvoorbeeld het verlies of enige vorm van onrechtmatige verwerking. Het is afhankelijk van de stand van de techniek, uitvoeringskosten, aard en omvang van de verwerking om vast te kunnen stellen wat passend qua maatregel om te treffen. Dat laatste kunnen wij vaststellen aan de hand van de BIO. Behalve de AVG, is de Uitvoeringswet Algemene Verordening Gegevensbescherming (‘UAVG’) eveneens van relevante toepassing.

10

4.

Uitgangspunten

In de dagelijkse gang van zaken zijn maatregelen ter beveiliging van de informatie een noodzaak. Dit is geen eenmalige activiteit, maar een systematische plan-do-check-act cyclus. De ondergenoemde uitgangspunten dragen er bij toe dat de werking van het ISMS effectief blijft verlopen.

4.1. De verantwoordelijkheid van het college van B en W en de gemeenteraad De hoogste verantwoordelijkheid ligt bij het College van Burgemeester en Wethouders. De gemeenteraad wordt als stakeholder geïnformeerd over de beveiliging van informatie in de organisatie. Volledigheidshalve dient de gemeenteraad het informatiebeveiligingsbeleid vast te stellen voordat het in werking kan treden.

4.2. De verantwoordelijkheid Algemeen Directeur De Algemeen Directeur van gemeente West Maas en Waal is operationeel verantwoordelijk voor het opstellen, bijstellen en vernieuwen van het informatiebeveiligingsbeleid in overeenstemming met de bedrijfseisen en relevante wet- en regelgeving. In de praktijk kan deze taak worden gedelegeerd aan onder meer de Chief Information Security Officer (‘CISO’) of Chief Information Officer (‘CIO’). Na formalisering door de gemeenteraad wordt het informatiebeveiligingsbeleid ten uitvoer gebracht in de organisatie. De Algemeen Directeur is daar eveneens voor verantwoordelijk.

4.3. De verantwoordelijkheid van het lijnmanagement De lijnmanager is verantwoordelijk voor de informatieveiligheid van de processen en informatiesystemen, die onder zijn of haar leiding plaatsvindt. De lijnmanager draagt tevens zorg voor de uitvoering van het informatiebeveiligingsbeleid binnen de organisatie en de daaruit voortvloeiende leidraden en andere activiteiten.

4.4. Informatiebeveiligingsbewustzijn van medewerkers De medewerkers dragen effectief bij aan het waarborgen van de informatieveiligheid binnen de organisatie. Op een bewuste wijze omgaan met informatie, heeft namelijk een enorme impact op de informatieveiligheid van de organisatie. Doormiddel van bewustwordingsprogramma’s is het van belang om de (intrinsieke) motivatie van medewerkers voor informatieveiligheid te stimuleren. Naast bewustwording, is het van belang dat medewerkers de informatiebeveiligingsmaatregelen, die voortvloeien uit het informatiebeveiligingsbeleid en de onderliggende leidraden respecteren en naleven. De gemeente zal de middelen moeten aanreiken die nodig zijn om dat te realiseren.

4.5. Baseline Informatiebeveiliging Overheid De BIO is gestructureerd volgens de ISO 27001, waarbij het Plan-Do-Check-Act-cyclus een centraal vertrekpunt is. Het lijnmanagement dient als resultaat van een risicoanalyse onderdeel uitmakend van het risicomanagement maatregelen te definiëren en deze maatregelen op effectiviteit doorlopend te evalueren. Gemeente West Maas en Waal hanteert de BIO als uitgangspunt bij de inrichting en uitvoering de informatiebeveiligingsactiviteiten.

11

4.6. De ondersteunende processen (PIOFAH) In de informatiebeveiliging wordt de acroniem PIOFAH toegepast om daarmee de verschillende ondersteunende processen die binnen de gemeente worden uitgevoerd aan te duiden. De PIOFAH staat voor: •

Personeel

•

Inkoop (soms informatievoorziening)

•

Organisatie

•

Financiën

•

Automatisering/administratie

•

Huisvesting

4.7. Incidentmanagement Gemeente West Maas en Waal hanteert een proces voor incidentmanagement, dat gestructureerd is conform de PDCA-cyclus. In de leidraad wordt dit nader uitgewerkt. Beveiligingsincidenten worden in behandeling genomen, geregistreerd en gerapporteerd aan de Algemeen Directeur. De resultaten worden geacht mee te wegen in het jaarlijkse voorstel voor verbeteren van de informatieveiligheid.

4.8. Naleving De gemeente West Maas en Waal zal de van toepassing zijnde wet- en regelgeving naleven. Voorts neemt de gemeente richtlijnen zoals de handreikingen van Informatiebeveiligingsdienst in overweging bij toepassing van informatiebeveiliging over de verschillende lagen.

12

5.

Managementsysteem voor informatiebeveiliging 5.1. Normatief raamwerk

De informatiebeveiliging van de gemeente West Maas en Waal wordt afgestemd op de norm ISO 27001 en de daarop gebaseerde Baseline Informatiebeveiliging Overheid (‘BIO’). Met deze normen wordt een managementsysteem informatiebeveiliging (‘ISMS’) ingericht. Het ISMS is een procesgerichte benadering voor informatiebeveiliging: een managementsysteem waarin het risicobeheerproces centraal staat, zodat risico’s adequaat worden beheerd. Het ISMS is de motor van de informatiebeveiligingsactiviteiten en wordt onderhouden met behulp van de plan-do-check-act cyclus. Het uitgangspunt is dat de organisatie blijft leren en verbeteren.

5.2. Het Information Security Management System (‘ISMS’) Het ISMS is de motor van de informatiebeveiligingsactiviteiten en zal effectief moeten werken om op de lange termijn de informatiebeveiligingsdoelen te kunnen realiseren. Dit systeem zal onderhouden worden door de plan-do-check-act (PDCA) cyclus. Met deze cyclus wordt informatiebeveiliging geen eenmalige inrichting, maar een doorlopend proces van herzien en verbeteren. Dat zorgt ervoor dat dit informatiebeveiligingsbeleid effectief wordt nageleefd. Jaarlijks zal de gemeente een nulmeting uitvoeren om de volwassenheid van informatiebeveiliging te meten. Daarvoor kan gebruik worden gemaakt van het instrument ‘BIO Self Assessment’ van Centrum Informatiebeveiliging en privacybescherming (‘CIP’). Daarnaast is de gemeente verplicht om de jaarlijkse ENSIA uit te voeren, waaruit rapportages voortvloeien met aanbevelingen van de IT-auditor. De gemeente streeft er tevens naar om tweejaarlijks een penetratietest uit te voeren. De informatie uit deze instrumenten zijn een bron voor het verbeteren van informatieveiligheid van de organisatie. • Informatiebeveligingsbeleid • leidradn • Werkinstructies • Overige activiteiten (zoals verbetervoorstellen en acties)

• Directiebeoordeling via P&C cyclus

• Uitvoering geven aan het plan, zoals het informatiebeveiligingsbeleid, de leidraden, werkinstructies en verbeteracties .

Plan

Do

Act

Check • ENSIA • Penetratietesten • Nulmeting BIO Self Assessment CIP

13

•

• •

•

De resultaten uit deze metingen kunnen leiden tot het opstellen, bijstellen en verbeteren van het (informatiebeveiligings)beleid, leidraden, werkinstructies en/of verbetervoorstellen. Dit stadium wordt aangeduid met de ‘Plan-fase’. In de ‘Do-fase’ worden de voornoemde plannen uitgevoerd. Het lijnmanagement is verantwoordelijk voor de uitvoering van deze plannen binnen de gemeente. In de ‘Check-fase’ wordt geëvalueerd in hoeverre de plannen gerealiseerd zijn en eveneens wordt getoetst op de effectiviteit daarvan. De instrumenten die daarvoor kunnen worden ingezet zijn de eerder genoemde nulmetingen, penetratietesten en de jaarlijkse ENSIA. De resultaten zullen worden ingebracht in de Planning & Control (P&C)-cyclus van de gemeente. Aan de hand van deze resultaten worden er verbeter- en actiepunten geformuleerd, dit wordt de ‘Act-fase’ genoemd. Deze vormen het vertrekpunt voor de eerder genoemde ‘Plan-fase’, waarna de cyclus opnieuw begint.

5.3. Risicobeoordeling van informatiebeveiliging Als onderdeel van de uitvoering van het ISMS dienen er risicobeoordelingen plaats te vinden, om vervolgens in het risicomanagementproces te bepalen welke beheersmaatregelen geïmplementeerd zullen worden. In de nadere leidraden zal het risicomanagement – waaronder de methode voor een risicobeoordeling nader worden uitgewerkt. De Baselinetoets uit de BIO en de resultaten uit de ENSIA vormen hierbij het uitgangspunt.

5.4. Directiebeoordeling De Algemeen Directeur beoordeelt met geplande tussenpozen het managementsysteem voor informatiebeveiliging van de gemeente, om de continue geschiktheid, adequaatheid en doeltreffendheid te bewerkstelligen. Dit vindt geïntegreerd in de P&C-cyclus van de gemeente. In deze cyclus zal ieder kwartaal aandacht zijn voor onder meer de volgende onderwerpen: a) de status van acties als gevolg van voorgaande directiebeoordelingen; b) wijzigingen in externe en interne onderwerpen die relevant zijn voor het managementsysteem voor informatiebeveiliging; c) feedback over de informatiebeveiligingsprestaties, met inbegrip van trends in: 1) afwijkingen en corrigerende maatregelen; 2) resultaten van monitoren en meten; 3) auditresultaten; en 4) voldoen aan informatiebeveiligingsdoelstellingen; d) feedback van belanghebbenden; e) resultaten van risicobeoordeling en de status van het risicobehandelplan; f) kansen voor continue verbetering. De resultaten van de directiebeoordeling omvatten verbeter- en actiepunten voor continue verbetering van het managementsysteem voor informatiebeveiliging (‘ISMS’). De gemeente zal de beoordeling als bewijsmateriaal documenteren.

5.5. Herzien van het informatiebeveiligingsbeleid De Algemeen Directeur is verantwoordelijk voor het onderhouden van het informatiebeveiligingsbeleid. Dit beleid wordt jaarlijks herzien en indien nodig verbeterd.

14

6.

Rollen en verantwoordelijkheden 6.1. Algemeen Directeur

Functie/ rol

Taken/verantwoordelijkheden

Bevoegdheden

Algemeen Directeur

• Verantwoordelijk voor het opstellen, bijstellen en vernieuwen van het informatiebeveiligingsbeleid in overeenstemming met de bedrijfseisen en relevante wet- en regelgeving.

• De visie en strategie bepalen ten behoeve van de informatiebeveiliging.

• Verantwoordelijk voor het definiëren van rollen en verantwoordelijkheden en voorkomen van conflicterende taken en verantwoordelijkheidsgebieden.

• Goedkeuren van de nadere procedures en werkinstructies ten behoeve van informatiebeveiliging. • Aanstellen van de ENSIA coördinator.

• Eindverantwoordelijk voor het vaststellen van een beheerkader om de implementatie en uitvoering van de informatiebeveiliging binnen de organisatie te beheersen. • Het vaststellen van beheersmaatregelen voor het verbeteren van informatieveiligheid. • Bij samenwerkingsverbanden eindverantwoordelijk voor de kwaliteit en veiligheid van het gebruik van informatie.

6.2. Het college van Burgemeester en Wethouders Functie/ rol

Taken/verantwoordelijkheden

Bevoegdheden

Het college van Burgemeester en Wethouders

• Het vaststellen van het informatiebeveiligingsbeleid.

• De visie en strategie bepalen ten behoeve van de informatiebeveiliging.

• Adequate en tijdige rapportage aan de gemeenteraad over informatiebeveiliging en datakwaliteit/-integriteit in een separate rapportage.

• De gemeenteraad informeren over informatieveiligheid en voortgang over ENSIA.

• Eindverantwoordelijk voor interne verantwoording met betrekking tot informatiebeveiliging. • Afgeven collegeverklaring informatiebeveiliging (DigiD en Suwinet) en hiermee aangeven in hoeverre de beheermaatregelen aan de beveiligingsnormen voldoen. • Het afleggen van verantwoording aan de raad over informatieveiligheid. 15

6.3. Lijnmanagement Functie/ rol

Taken/verantwoordelijkheden

Bevoegdheden

Lijnmanager

• Kwaliteit bewaken van informatiebeveiliging van de domeinen waarvoor zijn/haar afdeling verantwoordelijk is.

• Initiëren, bepalen en implementeren van de beheersmaatregelen ter beveiliging van de informatie van de domeinen waarvoor zijn/haar afdeling verantwoordelijk is.

• Realiseren van constante aandacht voor informatieveiligheid in eigen domein. • Het leveren van medewerking, capaciteit en expertise aan de ENSIA – alsmede aan andere audits, nulmetingen en pentesten op het gebied van informatiebeveiliging. • Het leveren medewerking, capaciteit en expertise aan de realisatie van verbeteringen die voortvloeien uit de voornoemde audits, pentesten of nulmetingen. • Uitvoering geven aan de verbeterplannen voor een informatieveiligere werkomgeving en zorgen voor naleving van het informatiebeveiligingsplan en daaruit voortvloeiende procedures en werkinstructies.

6.4. Chief Information Security Officer Functie/ rol

Taken/verantwoordelijkheden

Bevoegdheden

Chief Information Security Officer (‘CISO’)

• Ondersteuning bieden bij het opstellen, bijstellen en vernieuwen van het informatiebeveiligingsbeleid en de daaruit voortvloeiende procedures en werkinstructies.

• Het geven van gevraagd of ongevraagd (dwingend) advies ten behoeve van de informatieveiligheid van de gemeente.

• Ondersteuning bieden aan projecten die als doel hebben beveiligingsmaatregelen te implementeren of de kwaliteit van de beveiliging op langere termijn te handhaven en waar nodig te verbeteren.

• Bij (grote) beveiligingsincidenten/risico’s heeft de CISO de bevoegdheid direct in te grijpen (met verantwoording achteraf richting het management).

• Prioriteren van maatregelen die ingevoerd worden om de effectiviteit van informatieveiligheid te vergroten.

• Geeft functioneel leiding aan informatiebeveiligingsmedewerkers.

• Monitoren van (de effectiviteit van) het informatiebeveiligingsbeleid, nadere

• Gevraagd en ongevraagd rapporteren aan het college van B&W of de Raad. 16

procedures en eventuele werkinstructies.

• Kan aangewezen worden als ENSIA-coördinator.

• Uitvoeren van assessments, nulmetingen en audits uit om de informatieveiligheid van de organisatie in kaart te brengen.

6.5. Informatiemanager Functie/ rol

Taken/verantwoordelijkheden

Bevoegdheden

CIO/

• Coördineren van projecten die betrekking hebben op informatievoorziening.

• Het geven van gevraagd of ongevraagd advies ten behoeve van de informatievoorzieningen.

Informatiemanager

• Door tijdige afstemming met de CISO, ondersteuning bieden aan effectieve uitoefening van informatiebeveiliging binnen de gemeente.

• Kan aangewezen worden als ENSIA-coördinator.

• Ondersteuning bieden aan projecten die als doel hebben beveiligingsmaatregelen te implementeren of de kwaliteit van de beveiliging op langere termijn te handhaven en waar nodig te verbeteren. • Maken van afspraken met de leveranciers over de informatiebeveiligingsmaatregelen. • Borgen van archivering van documentatie in JOIN.

6.6. Controller Functie/ rol

Taken/verantwoordelijkheden

Bevoegdheden

Controller

• Het opstellen van financiële rapportages en het verzorgen van reconciliaties.

• Het geven van gevraagd of ongevraagd (dwingend) advies aan de directie of het lijnmanagement ten behoeve van de financiële middelen van de gemeente.

• Toezicht houden op de verschillende financiële afdelingen van een organisatie en het eventueel aansturen van deze afdelingen. • Het monitoren en bewaken van de financiële resultaten van een organisatie. • Het opstellen van budgetvoorstellen en forecast en het voeren van overleg met budgetverantwoordelijke. • Het uitvoeren van werkzaamheden t.b.v. de jaarrekening controle en aanlevering aan de accountant.

17

• Het initiëren van verbetervoorstellen t.a.v. procedures en het uitvoeren van de implementatie.

6.7. ENSIA-coördinator Functie/ rol

Taken/verantwoordelijkheden

Bevoegdheden

ENSIA-coordinator

• Opstellen van een plan van aanpak voor de uitvoering van ENSIA en coördinatie daarvan.

• Het nemen van operationele beslissingen binnen het raamwerk van het (met de opdrachtgever overeengekomen en goedgekeurde) plan van aanpak met vastgestelde tijd, geld en kwaliteitsafspraken.

• Ondersteunen van domeindeskundigen bij de verantwoording en het invullen van de zelfevaluatievragenlijsten. • Ondersteuning bieden aan het college van B&W, bij het afleggen van verantwoording, door het opstellen van de verantwoordingsrapportages. • Organiseren opdrachtverlening voor IT-audit, pentesten, etc. • Zorgdragen voor brede betrokkenheid en draagvlak binnen de organisatie. • Borgen van tijdige inlevering van antwoorden en het volledig uploaden van documenten. • Voortgang en scope bewaken van het project. • Inventariseren en toewijzen van verbeterpunten en in nauw overleg met CISO afstemmen van procedures, maatregelen en controles die wel/niet worden uitgevoerd.

6.8. Functionaris voor de Gegevensbescherming Functie/ rol

Taken/verantwoordelijkheden

Bevoegdheden

18

Functionaris voor de Gegevensbescherming (‘FG’)

• Toezicht op de interne naleving van de AVG en ten behoeve daarvan informeren, adviseren of het doen van aanbevelingen aan de organisatie. • Behandelen van de interne datalekken en deze waar nodig binnen wettelijk gestelde termijn te melden aan de Autoriteit Persoonsgegevens. • Desgevraagd advies te verstrekken over de uitgevoerde Data Protection Impact Assessment (‘DPIA’) en toezien op de uitvoering daarvan.

• Het analyseren en controleren in hoeverre verwerkingswerkzaamheden aan de AVG voldoen. • Het creëren van bewustzijn van de medewerkers voor de omgang met persoonsgegevens. • Als contactpersoon fungeren voor de betrokkenen en de Autoriteit Persoonsgegevens.

• Inventariseren van verwerkingen van persoonsgegevens en beheren van het register van verwerkingen. • Prioriteren van werkzaamheden met een hoog privacy risico.

6.9. Privacy Officer Functie/ rol

Taken/verantwoordelijkheden

Bevoegdheden

Privacy Officer

• Vormgeven, uitdragen en monitoren van het privacy beleid en de daaruit voortvloeiende procedures en werkinstructies.

• Het geven van gevraagd of ongevraagd advies aan het lijnmanagement ten behoeve van gegevensbescherming.

• Beoordelen, analyseren en adviseren over de besturing van processen, in nauwe samenwerking met de CISO en de FG. • Inventariseren van verwerkingen van persoonsgegevens en beheren van het register van verwerkingen. • Vraagbaak voor de organisatie voor privacy gerelateerde onderwerpen. • Zorgen voor tijdige en correcte afhandeling van verzoeken van betrokkenen. • Het creëren van bewustzijn van de medewerkers voor de omgang met persoonsgegevens.

19

7.

De 10 principes voor informatieveiligheid

De 10 bestuurlijke principes voor informatiebeveiliging vormen een aanvulling op de baseline en helpt de (eind)verantwoordelijke de juiste stappen te ondernemen. Ook ondersteunen deze principes bij het uitvoeren van goed risicomanagement. De nadere toelichting bij deze principes kan geraadpleegd worden via Vereniging van Nederlandse Gemeenten of de (C)ISO.

1. Bestuurders bevorderen een veilige cultuur Gemeente West Maas en Waal kent een open cultuur waar men zich vrij voelt om te spreken, zodat de drempel voor het melden van risico’s laag blijft. De directie staat open voor suggesties en voorstellen vanuit de organisatie voor het verbeteren van informatieveiligheid binnen de gemeente.

2. Informatiebeveiliging is van iedereen De betrokkenheid van de belanghebbenden bevindt zich in alle lagen. Van medewerkers tot aan de gemeenteraad: het veilig stellen van de informatie doen wij samen. De CISO, Functionaris Gegevensbescherming en de Controller vullen de rol in van de onafhankelijke adviseur.

3. Informatiebeveiliging is risicomanagement Risicomanagement gaan wij integreren in alle werkprocessen. De directie zal (risicodragende) aangelegenheden in het kader van informatiebeveiliging en privacy met regelmaat op de agenda plaatsen ter bespreking.

4. Risicomanagement is onderdeel van de besluitvorming De gemeente zal bij het nemen van beslissingen, te allen tijde waarborgen dat de informatieveiligheid in acht is genomen en een adequaat beschermingsniveau wordt geboden voor het verwerken van persoonsgegevens.

5. Informatiebeveiliging behoeft ook aandacht in (keten)samenwerking De gemeente treedt met regelmaat in gesprek met samenwerkingspartners en leveranciers ter waarborging van informatieveiligheid en een adequaat beschermingsniveau voor verwerking van persoonsgegevens.

6. Informatiebeveiliging is een (cyclisch) proces Risicomanagement is een cyclisch, iteratief en terugkerend proces, om te waarborgen dat adequaat gereageerd kan worden op (toekomstige) veranderingen.

20

7. Informatiebeveiliging kost geld De inrichting van informatieveiligheid kost geld. De gemeente kan het nemen van maatregelen afhankelijk stellen van de omvang van de organisatie en de daarmee samenhangende kosten-batenanalyse ten aanzien van de maatregelen.

8. Onzekerheid calculeren wij in Doormiddel van risicomanagement kunnen de gevolgen van onzekerheden worden beperkt of voorkomen. Dit zullen wij in calculeren.

9. Verbetering komt voort uit leren en ervaring Wij verbeteren risicomanagement door ervaring en van te leren. De gemeente stelt zich open voor het verbeteren van de informatiehuishouding.

10. Het bestuur controleert en evalueert De directie blijft betrokken bij het controleren en evalueren van de voortgang van een informatieveiligere omgeving voor alle belanghebbenden. Dit zal samen met het risicomanagement ingebed zijn in de organisatie.

21

8. Webapplicatie DigiD DigiD wordt door gemeenten toegepast om burgers te kunnen identificeren. De burger mag verwachten dat dit proces een adequaat beveiligingsniveau heeft. Logius heeft als norm gesteld dat de DigiD-aansluiting dient opgenomen te zijn aan het informatiebeveiligingsbeleid. 8.1.1. Normen Gemeente West Maas en Waal conformeert zich aan de laatste door Logius gepubliceerde Norm ICT-beveiligingsassessments DigiD versie 3.0. Dit normstelsel wordt in het kader van ENSIA jaarlijkse door de CISO en IT-auditor getoetst. Over deze toetsing legt het college van B&W horizontaal verantwoording af aan de gemeenteraad en verticaal aan Logius. 8.1.2. Eigenaarschap Geheel in lijn met de BIO is het eigenaarschap van de DigiD-webapplicaties belegd in de lijnorganisatie. De leidinggevende is direct verantwoordelijk voor het goed functioneren van de applicatie en de te treffen maatregelen. De algemeen directeur is eindverantwoordelijk. 8.1.3. Functioneel beheer Per DigiD-aansluiting is door de genoemde leidinggevende een functioneel beheerder aangewezen, die ondersteunt in de door Logius opgestelde beveiligingsnormen te implementeren, controleren (middels een jaarlijkse TPM-verklaring) en bewijslast ervan op te bouwen in een auditdossier.

Het auditdossier wordt jaarlijks aan onze externe auditor beschikbaar gesteld en bevat tenminste: • de contracten en servicerapportages van onze SaaS-leverancier(s) (norm B.05); • de incidentprocedure en een overzicht van de incidenten (U/WA.02) • de dataclassificatie (U/WA.05); • bewijs dat de webapplicatie gehardend is (U/NW.06, tav DNSSEC); • de beoordeelde releases (C.08). Tweemaal per jaar (geagendeerd) wordt er door functioneel beheer beoordeeld of alle autorisaties compleet en actueel zijn; hierover wordt verslag (autorisatiematrix) gedaan richting verantwoordelijk leidinggevende. 8.1.4. Technisch Gemeente West Maas en Waal maakt voor de DigiD-aansluitingen, uitsluitend gebruik van cloudapplicaties die door SaaS-leveranciers worden geleverd. Derhalve wordt een groot deel van de door Logius afgekondigde normen ingevuld door de SaaS-leverancier die hiervan middels een jaarlijkse (door een onafhankelijk auditor opgestelde) TPM-verklaring verantwoording over aflegt.

22

Bijlage RASCI Rollen en verantwoordelijkheden

PO

ISO

Controller

Informatiemanager

Facilitair Bedrijf (gebouwenbeheer)

Personeel

Leveranciers/ketenpartners

C

C*

S

S

C

I

I

I

I

6 Informatiebeveiligingsorganisatie 7 Veilig personeel 8 Beheer van bedrijfsmiddelen 9 Toegangsbeveiliging 10 Cryptografie 11 Fysieke beveiliging 12 Beveiliging van bedrijfsvoering 13 Communicatiebeveiliging 14 Acquisitie, ontwikkeling en Onderhoud Informatiesystemen 15 Leveranciersrelaties 16 Beheer van beveiligingsincidenten* 17 Bedrijfscontinuïteitsbeheer 18 Naleving

A

R A A A A A A A

S R R R R R R R

C C C C C C C C

C* C*

S S

S S S S S S S S

C I C

S

I S S

S S I I

A

R

C

S

C

A A A R

R R R S

C C C C

I A

C* C* C*

S S S

S S S S

S S

C S

S S

De gemeenteraad

FG

S

Autoriteit Persoonsgegevens

CISO

R

Rijksoverheid

Lijnmanager

A

IT-Auditor

Algemeen Directeur

5 Informatiebeveiligingsbeleid

Onderwerp

Contractmanagent

College van B&W

Stakeholders

I I

I

I

I

I I

S

S

I

S

S

I I

C S

S

S

S

I S

S

22

Definitie RASCI

R

De functionaris die direct verantwoordelijk is voor de juiste en tijdige uitvoering van de taak of degene die de activiteit zelf uitvoert. Hiervoor wordt verantwoording afgelegd aan de persoon die accountable (‘A’) is.

A

De functionaris die eindverantwoordelijk (bevoegd) is voor de juiste uitvoering van de taak en goedkeuring geeft aan het eindresultaat. Als het erom gaat, moet deze persoon het eindoordeel kunnen vellen, vetorecht hebben. Deze functionaris is geheel afhankelijk van het succes waarmee R de activiteit uitvoert. Vooral ook omdat A vaak voor het totaal van het proces eindverantwoordelijk is, als proceseigenaar. In veel gevallen is A iemand hoger in de hiërarchie dan R, maar dat hoeft niet per se. De functionaris die ondersteuning verleent aan de uitvoering van de taak of de taak uitvoert. S is een ondersteunende rol waarop R een beroep kan doen. Kan alleen op verzoek van R support leveren. Deze persoon is een expert op zijn gebied. S is verantwoordelijk voor de kwaliteit en het resultaat van zijn support maar is niet direct verantwoordelijk voor de activiteit zelf. De functionaris die vooraf geraadpleegd moet worden of goedkeuring of input moet leveren bij een activiteit in het proces. Deze persoon kan daarmee dus het resultaat nog beïnvloeden.

S

C

I

*de functionaris voor de gegevensbescherming heeft deze bevoegdheden ter strekking van de bescherming van de persoonsgegevens van de betrokkenen. De functionaris die achteraf geïnformeerd moet worden over de beslissingen, over de voortgang of bereikte resultaten. Deze persoon kan het resultaat dus niet meer beïnvloeden.

23