6.c Gemeente Woudenberg_Rapportage informatieveiligheid Raad_2023 ENSIA (geanonimiseerd).pdf
Tekst van het document
Gemeente
Woudenberg
Aan:
Gemeenteraad
Van:
Ciso (geanonimiseerd) EE
Betreft: berg
van
de gemeente Gemeente
ENSIA-verantwoording
“Stand
van
zaken
Woudenberg
informatieveiligheid gemeente
Gemeente
Wouden-
2023”
Datum:
30
Inleiding Het college
2024
burgemeester
van
Dit gaat op basis
ormation
Audit
woording)
en
zaken op het
de
landelijke
van
aan
de verschillende
Implementatie
voor
van
de
het
de gemeente
van
van
(ENSIA) systematiek.
Scope De ENSIA-verantwoording e
wethouders
en
af over de stand
verantwoording organisatie.
mei
en
gebied voor
van
Gemeente
Woudenberg legt over het jaar 2023 informatieveiligheid binnen de gemeentelijke
gemeenten verplichte Eenduidige Normatiek Single In-
leggen verantwoording af aan de gemeenteraad (horizontale toezichthouders (verticale verantwoording). We
jaar 2023 gaat
Baseline
verant-
onderstaande onderdelen:
over
Informatiebeveiliging
(BIO)
Overheid
-
Zelfevaluatie
_ Structuur Uitvoeringsorganisatie Werk en Inkomen (Suwinet) Geauditeerde zelfevaluatie _ Digitale Persoonsidentificatie (DigiD) Geauditeerde zelfevaluatie _ Basis Registratie Personen (BRP) Zelfevaluatie _ Paspoort Uitvoeringsregeling Nederland (PUN) Zelfevaluatie _ Basisregistratie Grootschalige Topografie (BGT) Zelfevaluatie op datakwaliteit _ Basisregistratie Adressen en Gebouwen (BAG) Zelfevaluatie op datakwaliteit _ Basisregistratie Ondergrond (BRO) Zelfevaluatie op datakwaliteit.
e
—
e
—
e
-
e
-
e
-
e
-
e
-
a!
& cen
8
SS
29
MA
ENSIA-verantwoording Onderstaande weer.
tabellen
geven per ENSIA-onderdeel
Voor de leesbaarheid
is per onderdeel
met
een
korte
behulp
van
toelichting, bevindingen en
de stand
kleuren de
weergegeven.
algemene
status
van
zaken
Legenda: Ruim
voldoende tot
Onvoldoende
goed Het
onderdeel is volledig op
orde,
in
Het
onderdeel
control
Mogelijk zijn er minimale
in
ver-
Er
is globaal
op orde,
Het
onderdeel
con-
Het
zijn meerdere verbeterpunten
Er
control
zijn enkele verbeterpunten
Er
beterpunten
Stand
van
zaken
informatieveiligheid gemeente
Gemeente
is net
niet
in
onderdeel
is niet
in
control
trol
Woudenberg
2023
zijn veel verbeterpunten, bijsturing is nodig
pagina
1
van
5
Verantwoording per ENSIA-stelsel De onderstaande tabel geeft per stelsel (domein)
een
korte toelichting, bevindingen en de stand van zaken
weer.
ENSIA-stelsel
Toelichting, bevindingen
Implementatie BIO
Om op het gebied van informatieveiligheid weerbaar te blijven volgen we de landelijke Baseline Informatiebeveiliging Overheid (BIO). Deze BIO is het normenkader waarbij we op basis van een eigen risico-afweging keuzes maken in het implementeren van beheers- en beveiligingsmaatregelen. Hierbij blijft een basispakket aan generieke maatregelen voor iedere (overheid)organisatie verplicht.
Baseline Informatiebeveiliging Overheid
en
stand van zaken
Status
Voldoende
Het strategisch informatiebeveiligingsbeleid is geldig tot 2024 en in lijn met de voor overheden verplichte landelijke Baseline Informatiebeveiliging Overheid (BIO). In het kader van informatieveiligheid is onze menselijke verdedigingslinie een van de belangrijkste. Hierbij werken we continue aan bewustwording op het gebied van informatiebeveiliging en privacy bij onze medewerkers. Hiervoor volgen we een bewustwordingsprogramma voor alle medewerkers. Door het toenemende dreigingsniveau op informatiebeveiliging is extra menskracht vereist. Ook moet de komende jaren meer geïnvesteerd worden in technische maatregelen om onze weerbaarheid op het gebied van informatieveiligheid te behouden. Vanaf 2024 worden nieuwe/ aanvullende overeenkomsten gesloten met onze ICT leveranciers waarbij duidelijke afspraken over maatregelen rondom informatieveiligheid een belangrijke rol spelen. Gezien het toenemende landelijke dreigingsniveau zullen de kosten bij leverancier een stijgende lijn laten zien. Waarbij er altijd een afgewogen risicoafweging gemaakt dient te worden tussen de kosten en baten. Specifiek gekeken naar de borging van informatieveiligheid over het geheel gezien scoren we ons zelf op een (krappe) voldoende. Deze score komt voort uit resultaten van onder andere de verschillende ENSIA-onderdelen waaronder een externe audit. Er blijft echter werk aan de winkel.
Actie- en verbeterpunten worden vertaald naar onze meerjaren roadmap informatiebeveiliging en verbeterplannen.
Suwinet
Suwinet wordt gebruikt voor het uitvoeren van de Participatiewet.
Structuur uitvoeringsorganisatie Werk en Inkomen
Vanwege de hoeveelheid en gevoeligheid van (persoons)gegevens binnen Suwinet is bepaald dat iedere gemeente naast de zelfevaluatie ook extern getoetst wordt op naleving van het normenkader. Het uitvoeren van de audit voor Suwinet is een vereiste van de Regeling SUWI.
Ruim voldoende tot goed
Het onderzoek van de externe auditor geeft aan dat de gemeente Gemeente Woudenberg voldoet aan de wettelijk gestelde eisen en normen in het kader van informatieveiligheid rondom het gebruik en beheer van alle Suwinet-aansluitingen.
DigiD Digitale Persoonsidentificatie
DigiD is voor inwoners de manier om zichzelf digitaal te identificeren. DigiD wordt gebruikt voor digitale aanvragen die burgers en bedrijven kunnen doen via webformulieren. Het gaat hierbij om aanvragen voor de afdeling burgerzaken. Onvoldoende of onjuist beheer van een DigiD-aansluiting kan grote gevolgen hebben voor de landelijke keten en uiteindelijk persoonsinformatie van inwoners. Daarom heeft de toezichthouder bepaald dat iedere DigiD-aansluiting naast een jaarlijkse zelfevaluatie ook (extern) getoetst wordt op naleving van het normenkader.
Ruim voldoende tot goed
Het onderzoek van de externe auditor geeft aan dat onze processen rondom DigiD op orde zijn. Wij voldoen aan de gestelde informatiebeveiligingsnormen. De veiligheid van DigiD en websites staat onder druk. Het landelijke dreigingsbeeld geeft aan dat digitale risico’s onverminderd groot zijn en cyberaanvallen steeds meer succesvol zijn met alle gevolgen van dien. De beveiliging vraagt steeds meer aandacht waarbij het een uitdaging is om dit huidige niveau vast te houden.
Stand van zaken informatieveiligheid gemeente Gemeente Woudenberg 2023
pagina 2 van 5
ENSIA-stelsel
Toelichting, bevindingen
BRP
BRP is de basisregistratie waarin alle inwoners zijn geregistreerd. Gemeenten beheren deze BRP voor hun inwoners. Uiteindelijk worden alle BRP-registraties landelijk gekoppeld, zodat overheidsinstanties, zorgverleners en andere dienstverleners die gebruik mogen maken van deze BRP beschikken over de juiste persoonsinformatie. Vanwege het grote landelijke belang rondom de BRP zijn gemeenten verplicht om jaarlijks een zelfevaluatie uit te voeren.
Basis Registratie Personen
Deel 1 bestandscontrole op persoonslijsten
en
stand van zaken
Status
Bestandscontrole op de persoonslijsten. Bij de bestandscontrole in de Basisregistratie personen van 20-11-2023 is 99. 99% van de actuele persoonslijsten correct bevonden. Dit is in lijn met eerdere jaren, waarin de score steeds nagenoeg hetzelfde positieve resultaat liet zien. Dit voldoet ruimschoots aan de landelijke
Ruim voldoende tot goed
norm.
BRP Deel 2 Inhoudelijke controle op de persoonslijsten
Een inhoudelijke controle van persoonslijsten. Aan de hand van brondocumenten is een steekproefsgewijze controle uitgevoerd naar de juiste verwerking daarvan in de basisregistratie.
Net geen vol-
doende
De resultaten voldoen niet op alle aspecten aan de norm. Na verbeteracties is het aantal fouten in 2022 meer dan gehalveerd in 2023, maar daarna ongeveer gelijk gebleven. De steekproef wordt uitgevoerd aan de hand van brondocumenten die in de afgelopen 10 jaar in de BRP zijn opgenomen. Verbeteringen in het proces en kwaliteit zijn daardoor pas langzaam zichtbaar en hebben geen directe invloed op persoonslijsten uit het verleden. Sinds januari 2023 is ingezet op een intensieve controle van de mutaties in de BRP zodat fouten nu tijdig opgemerkt en gecorrigeerd worden. Deze controles worden gecontinueerd en de fouten verder geanalyseerd.
BRP Deel 3 Uitvoering van de
Een controle op uitvoering van de processen. Door middel van een zelfevaluatie vragenlijst is dit onderdeel onderzocht. In de vragenlijst staan vragen over de procedures die gevolgd worden bij het verwerken en beveiligen van per-
doende
soonsgegevens.
processen
De gemeente scoort op de meeste onderdelen beter dan het jaar ervoor. Echter er zijn nieuwe vragen bij gekomen waar minder op gescoord wordt. Het eindresultaat voor dit onderdeel is op een aantal onderdelen onvoldoende.
PUN
Gemeenten verzorgen de aanvraag en het uitreiken van reisdocumenten voor hun inwoners. Reisdocumenten zijn erg waardevol en vaak de sleutel tot identiteitsfraude. De processen rondom het aanvragen en uitreiken zijn daarom strikt. De burgemeester is verantwoordelijk voor de borging van deze processen en moet hierover jaarlijks verantwoording afleggen aan de minister van Binnenlandse Zaken en Koninkrijksrelaties. Via de ENSIA-verantwoording infomeren we ook het eigen bestuur over de stand van zaken.
Paspoort Uitvoeringsregeling Nederland
Net geen vol-
Net geen vol-
doende
De zelfevaluatie PUN over het jaar 2023 is afgerond waarbij de score op bijna alle thema’s omhoog is gegaan tot een voldoende niveau. Uitzondering is naleving. Hier scoren wij slecht op o. a. door personele bezetting waardoor een belangrijk onderwerp, functiescheiding, onvoldoende was. Dit is een redelijk eindresultaat. Er wordt aan gewerkt om dit in de toekomst te verbeteren.
BAG Basisregistratie Adressen en Gebouwen
De BAG bevat gemeentelijke basisgegevens van alle adressen en gebouwen in een gemeente. Kopieën van al deze gegevens zijn verzameld in een landelijke voorziening. Deze voorziening wordt landelijk gebruikt door overheden, organisaties en particulieren. Net als alle andere bronhouders verantwoorden we ons jaarlijks over de stand van zaken rondom het beheer van deze BAG.
Voldoende
De zelfevaluatie BAG over het jaar 2023 is afgerond met een score van 78%. Hiermee voldoen we aan de landelijk gestelde norm van minimaal 75%. Vorig jaar was de score 75%. De onderstaande verbeterdoelen zijn overgenomen uit de BAG-vragenlijst. Verbetermaatregelen ten aanzien van Kwaliteitseisen BAG Het maandelijks laten inmeten van de definitieve geometrie is wellicht een bespreekpunt hier. Dit zal afhankelijk zijn van de kosten en/of werklast voor andere afdelingen. Voor de
Stand van zaken informatieveiligheid gemeente Gemeente Woudenberg 2023
pagina 3 van 5
ENSIA-stelsel
Toelichting, bevindingen
en
stand van zaken
Status
toekomst termijnen in het Kwaliteitsdashboard in de gaten houden en objecten in de Bag registratie waar een terugmelding op is geweest in onderzoek zetten indien dit van toepassing is. Verbetermaatregelen ten aanzien van Kwaliteitsverbeteringstrajecten BAG Geen maatregelen nu. Verbetermaatregelen ten aanzien van Borging proces BAG Het handboek wordt jaarlijks bijgewerkt en dit wordt gecommuniceerd naar de stakeholders.
BGT Basisregistratie Grootschalige Topografie
De BGT is een digitale kaart van Nederland waarop gebouwen, wegen, waterlopen, terreinen en spoorlijnen eenduidig zijn vastgelegd. Kortom: de inrichting van de fysieke omgeving. De BGT is een landelijk uniforme registratie die alleen gemaakt kan worden vanuit een goede samenwerking tussen de diverse bronhouders. Gemeenten zijn als bronhouder medeverantwoordelijk voor de kwaliteit van deze landelijke basisregistratie. Net als alle andere bronhouders verantwoorden we ons jaarlijks over de stand van zaken rondom het beheer van deze BGT.
Ruim voldoende tot goed
De BGT is gegenereerd uit de geometrische databron Kernregistratie Topografie (KRT) voor haar informatie. De KRT is een interne databron binnen onze organisatie waarin alle geografische objecten van de gemeente Gemeente Woudenberg zijn geregistreerd. De KRT is leverancier van data naar de overige basisregistraties BAG, BGT en de BRO, waarbij wordt voldaan aan de wet- en regelgeving. De zelfevaluatie BGT over het jaar 2023 is afgerond met een score van 100%. Hiermee voldoen we aan de landelijk gestelde norm van minimaal 75%. Vorig jaar was de score 100%. De onderstaande verbeterdoelen zijn overgenomen uit de BGT-vragenlijst. Verbeterdoelen ten aanzien van Kwaliteitseisen BGT Koppeling BAG-BGT willen we in 2024 gaan implementeren, om mutaties en terugmeldingen geautomatiseerd te laten verlopen. Eind 2023 zullen we een BOR-BGT koppeling hebben gerealiseerd. Verbetermaatregelen ten aanzien van Kwaliteitsverbeteringstrajecten BGT Koppeling BAG-BGT willen we in 2024 gaan implementeren, om mutaties en terugmeldingen geautomatiseerd te laten verlopen. Eind 2023 zullen we een BOR-BGT koppeling hebben gerealiseerd. Verbetermaatregelen ten aanzien van Borging proces BGT Mandaatregeling en processenhandboek blijven evalueren en actualiseren waar nodig.
BRO Basisregistratie Ondergrond
De BRO bevat bodem- en ondergrondgegevens. Het gebruik van deze gegevens is de laatste decennia sterk toegenomen. Een goede informatievoorziening over de ondergrond is van wezenlijk belang voor het realiseren van bestuurlijke ambities als het omgevingsplan, de energietransitie, watertoets en dergelijke. Als we willen dat onze inwoners hier ook actief in participeren, moet het fundament hiervoor op orde en goed ingevuld zijn. De BRO is een van de elementen die de verschillende opgaves mogelijk moeten maken. De gemeente is bronhouder voor deze basisregistratie. Net als alle andere bronhouders verantwoorden we ons jaarlijks over de stand van zaken rondom het beheer van deze BRO.
Voldoende
Als men kijkt naar de geproduceerde hoeveelheid gegevens die onder de eerste 4 tranches van de BRO valt, is dat relatief weinig te noemen. Dat heeft als gevolg dat er nog weinig ervaring is opgedaan met het werkproces. De zelfevaluatie BRO over het jaar 2023 is positief afgerond met een score van 68%. Hiermee voldoen aan de landelijk norm. Vorig jaar was de score 72%. De ENSIA-score van BRO is nog erg theoretisch en moet met enige nuance bekeken worden. De onderstaande verbeterdoelen zijn overgenomen uit de BRO-vragenlijst. Verbeterdoelen ten aanzien van Kwaliteitseisen BRO
Stand van zaken informatieveiligheid gemeente Gemeente Woudenberg 2023
pagina 4 van 5
ENSIA-stelsel
Toelichting, bevindingen
en
stand van zaken
Status
n. v. t.
Verbetermaatregelen ten aanzien van Borging proces BRO Handboek/procedureboek opstellen
Stand van zaken informatieveiligheid gemeente Gemeente Woudenberg 2023
pagina 5 van 5