02.c Verbeterplan Suwinet over 2022.pdf

Verbeterplan gemeente Woudenberg ENSIA audit SUWI

Datum: 14-04-2023 Auteur: Wouter Bast (CISO)

Inleiding en aanleiding De gemeente Woudenberg heeft in 2022 voor het verantwoording over informatieveiligheid afgelegd met de ENSIA-systematiek (Eenduidige Normatiek Single Information Audit). Met deze systematiek wordt integraal over de verschillende vakgebieden en stelsels verantwoording afgelegd aan de toezichthouders (verticaal) en de gemeenteraad (horizontaal). Onderdeel van deze verantwoording betreft een collegeverklaring inzake de beveiliging van DigiD en SUWInet, waarmee het college aangeeft in hoeverre aan de verplichte normen voor SUWI en DigiD te voldoen. Op de collegeverklaring wordt na uitvoering van een IT-audit Assurance afgegeven door een hiertoe bevoegde auditor (RE). In de collegeverklaring heeft het college van Burgemeester en Wethouders van de gemeente Woudenberg verklaart aan een aantal SUWI-normen niet te voldoen. Ook is hierbij verklaard dat een verbeterplan is opgesteld om binnen redelijke termijn alsnog aan deze normen te gaan voldoen. Voorliggend document betreft het verbeterplan van de gemeente Woudenberg om alsnog te voldoen aan de SUWI-normen 9.2.5, 12.4.1 en 18.1.4. Verbeterplan SUWI Verbeterplan SUWI-norm 9.2.5 Beschrijving van de norm Eigenaren van bedrijfsmiddelen behoren toegangsrechten van gebruikers regelmatig te beoordelen.

Maatregelen  Alle uitgegeven toegangsrechten worden minimaal eenmaal per halfjaar beoordeeld;  De opvolging van bevindingen is gedocumenteerd en wordt behandeld als beveiligingsincident. Geconstateerde afwijking De functie van gebruikersbeheerder voor Suwinet is belegd bij de beleidsadviseur sociaal domein. In 2022 is deze beleidsadviseur elders gaan werken. De functie is daarna eerst ingevuld door een externe inhuurkracht. De rol van gebruikersbeheerder is niet bij deze persoon belegd, omdat dit een hele specifieke rol is en deze ook formeel moet worden aangevraagd bij BKWI. Uiteindelijk is er eind 2022 een vaste medewerker in dienst gekomen als beleidsadviseur sociaal domein en is de rol van gebruikersbeheerder belegd. Bij indiensttreding lagen er onderwerpen genoeg om op te pakken. De rol van gebruikersbeheerder stond niet als eerste prioriteit. Hierdoor heeft de controle niet halfjaarlijks plaatsgevonden. Controle is achteraf ineens gedaan en in 2023 in plaats van 2022. Verbeterplan Maatregel

Actiehouder

Uitvoering

Planning

Er is inmiddels een nieuwe gebruikersbeheerder aangesteld. Om in de toekomst te borgen dat dit weer kan voorkomen bij onderbezetting wordt de rol gebruikersbeheerder bij een tweede persoon belegd.

Wouter Bast

Wouter Bast

Juni 2023

Verbeterplan SUWI-norm 12.4.1 Beschrijving van de norm Logbestanden van gebeurtenissen die gebruikersactiviteiten, uitzonderingen en informatiebeveiligingsgebeurtenissen registreren, behoren te worden gemaakt, bewaard en regelmatig te worden beoordeeld. Maatregelen  Gebruik van de applicatie worden minimaal eenmaal per halfjaar beoordeeld;  De opvolging van bevindingen is gedocumenteerd en wordt behandeld als beveiligingsincident. Geconstateerde afwijking De functie van gebruikersbeheerder voor Suwinet is belegd bij de beleidsadviseur sociaal domein. In 2022 is deze beleidsadviseur elders gaan werken. De functie is daarna eerst ingevuld door een externe inhuurkracht. De rol van gebruikersbeheerder is niet bij deze persoon belegd, omdat dit een hele specifieke rol is en deze ook formeel moet worden aangevraagd bij BKWI. Uiteindelijk is er eind 2022 een vaste medewerker in dienst gekomen als beleidsadviseur sociaal domein en is de rol van gebruikersbeheerder belegd. Bij indiensttreding lagen er onderwerpen genoeg om op te pakken. De rol van gebruikersbeheerder stond niet als eerste prioriteit. Hierdoor heeft de controle niet halfjaarlijks plaatsgevonden. Controle is achteraf ineens gedaan en in 2023 in plaats van 2022. Verbeterplan Maatregel

Actiehouder

Uitvoering

Planning

Er is inmiddels een nieuwe gebruikersbeheerder aangesteld. Om in de toekomst te borgen dat dit weer kan voorkomen bij onderbezetting wordt de rol gebruikersbeheerder bij een tweede persoon belegd.

Wouter Bast

Wouter Bast

Juni 2023

Verbeterplan SUWI-norm 18.1.4 Beschrijving van de norm Privacy en bescherming van persoonsgegevens behoren, voor zover van toepassing, te worden gewaarborgd in overeenstemming met de relevante wet- en regelgeving. Maatregelen 

Organisaties controleren regelmatig de naleving van de privacyregels en informatieverwerking en -procedures binnen hun verantwoordelijkheidsgebied aan de hand van de desbetreffende beleidsregels, normen en andere eisen betreffende beveiliging.

Geconstateerde afwijking Er is geen jaarverslag aangeboden aan het hoogste leidinggevende niveau van de gemeente door de functionaris gegevensbescherming. Doordat de FG verschillende andere functies heeft overgenomen door langdurige uitval is de keuze gemaakt dit niet te doen. In de afweging is meegenomen dat er geen grote incidenten zijn geweest in 2022. Verbeterplan Maatregel

Actiehouder

Uitvoering

Planning

Jaarlijks wordt de “Rapportage informatieveiligheid Suwinet aansluitingen” opgesteld. Vanaf 2023 wordt deze rapportage uitgebreid en wordt ook een jaarverslag privacy (inclusief alle incidenten) meegenomen.

Wouter Bast

Luuk Vos

November 2023