PR24.077 Aanbiedingsbrief rapport rekenkameronderzoek informatieveiligheid

Secretariaat: Het Rond 1 Zeist Gemeente Zeist: Postbus 513 3700 AM Zeist Telefoon 14 030 ▪ rekenkamer@zeist.nl

www.zeist.nl/rekenkamer

Gemeente Zeist Postbus 513 3700 AM ZEIST Datum:

23 mei 2024

Behandeld door: Hans Verhorst

Onderwerp:

Rekenkameronderzoek informatieveiligheid

Nummer: RIB 024…..

Bijlage:

Informatieveiligheid en privacy Gemeente Zeist (eindrapport van Prae Advies)

Geachte leden van de raad,

Met genoegen bieden wij u hierbij de rapportage aan over het rekenkameronderzoek naar de informatiebeveiliging en privacy in Zeist, verder samengevat als informatieveiligheid. Het onderzoek is naar tevredenheid van de rekenkamer uitgevoerd door en met Prae Advies en namens de rekenkamer begeleid door Hein Albeda en Hans Verhorst. De rekenkamer heeft vanwege haar expertise op dit gebied buitengewoon raadslid Marianne Junger gevraagd om dit onderzoek mee te begeleiden en mee te kijken bij de uitvoering. Wij hebben u in november 2023 over dit onderzoek geïnformeerd via RIB23.129. Achtergrond Informatieveiligheid is een zeer actueel thema. Gemeenten beheren en verwerken immers veel persoonsgegevens en gevoelige data en gebruiken daarbij digitale hulpmiddelen en zijn kwetsbaar op dit punt. Misbruik kan ernstige financiële, juridische en technische gevolgen hebben en kan de privacy van burgers en het imago van de gemeente aantasten. Daarom heeft de Rekenkamer Zeist onderzocht of de informatieveiligheid in Zeist voldoende geborgd is. Ofwel: is de gemeente goed beschermd tegen inbraken van buitenaf, tegen slordigheden en datalekken en is alles in processen geborgd? De focus van het onderzoek ligt op beveiliging en niet op de verwerking van gegevens door de gemeente. Met het onderzoek richt de rekenkamer de aandacht op drie invalshoeken: techniek, organisatie en beleid, mens en gedrag.

Er is een bureaustudie uitgevoerd, er zijn interviews gehouden en er zijn testen uitgevoerd op de systemen, de zogenoemde pentesten. Belangrijke technische uitkomsten zijn direct (tijdens het onderzoek) gedeeld met de organisatie, zodat zij hierop direct actie konden inzetten. Conclusies De rekenkamer concludeert dat de informatieveiligheid in de gemeente Zeist grotendeels in overeenstemming met de geldende normen geborgd is. De situatie is vergelijkbaar met de meeste gemeenten. Dat betekent wel dat risico's reëel zijn en dat er verbeterpunten zijn. De gemeente timmert op veel deelterreinen gelukkig hard aan de weg, maar alertheid blijft geboden. De eisen aan overheden nemen immers toe, onder andere door de turbulente ontwikkelingen op het gebied van cybersecurity, en daarmee worden de risico’s voor de gemeente ook groter.

1

Meer in detail kunnen in het kort de volgende conclusies worden getrokken uit het onderzoek: • •

•

•

•

• • •

•

Het beleid in Zeist is risico-gestuurd en voldoet grotendeels aan de gestelde normen. Een integraal risicomanagement is er echter nog niet. Zeist is op informatieveiligheid geen voorloper. Dit kan beter. De doorvertaling van het strategisch beleid naar de protocollen en richtlijnen op tactisch niveau en de werkprocessen op operationeel niveau moet worden verbeterd. De gemeente is kwetsbaar voor geavanceerde aanvallen en zou meer werk kunnen maken van informatieveiligheid. De functies voor informatieveiligheid en privacy zijn nu voldoende bezet en er is voldoende overleg. De eisen aan organisatie en bemensing zullen naar verwachting toenemen en het is dan een uitdaging om de juiste competenties binnen te halen en te behouden. Er staan voldoende middelen ter beschikking voor de benodigde maatregelen. Of dit voldoet aan de financiële norm die de Informatiebeveiligingsdienst stelt, kan niet worden gecontroleerd. Dat zou wel mogelijk moeten zijn. De faciliteiten die het Managementinformatiesysteem voor informatieveiligheid (ISMS) biedt om verbetermaatregelen te volgen worden nog niet vol benut. Daardoor is er een risico op ineffectiviteit en inefficiëntie bij het plannen en vastleggen van activiteiten op het gebied van informatieveiligheid en de beleidsleercyclus (PDCA). Uit de testen van de systemen komen risico’s naar voren.

Om veiligheidsredenen benoemen we deze risico’s niet expliciet. De risico’s zijn besproken met de gemeente en worden opgepakt. Het werken met autorisaties voor toegang tot systemen en informatie is een aandachtspunt. Bij bestuur en management is voldoende draagvlak voor beleid voor informatieveiligheid en privacy. Het risicobewustzijn bij de medewerkers en het lijnmanagement neemt toe, maar kan beter, zo blijkt uit de testen. Het eigenaarschap wordt niet overal gevoeld. Ingezet moet worden op verhoging van de taakvolwassenheid van de medewerkers. De gemeenteraad wordt nog te weinig betrokken bij kaderstelling en controle. College en raad zijn te weinig onderling in gesprek over de risico’s en ambities en de werking van het beleid.

De conclusie is dat de gemeente op veel deelterreinen gelukkig hard aan de weg timmert, maar dat risico’s reëel zijn en alertheid geboden blijft. De eisen aan overheden nemen toe. Criminelen zitten immers niet stil: zij blijven zich ontwikkelen, waardoor nieuwe risico’s ontstaan of bestaande risico’s veranderen. Het duurt enige tijd voordat richtlijnen als de Baseline Informatiebeveiliging Overheid (BIO) daarop zijn aangepast. Aanbevelingen Uit de conclusies zijn de volgende aanbevelingen afgeleid: Aanbevelingen aan raad en college: 1. Formuleer samen ambities op het gebied van informatieveiligheid en privacy. Ga na of het bestuurlijk en financieel haalbaar is om een hoger ambitieniveau voor informatieveiligheid na te streven, dan te voldoen aan de basismaatregelen uit de BIO, om op die manier de toenemende risico’s sneller aan te kunnen pakken. Concreet bijvoorbeeld: spreek af over welke periode de gemiddelde taakvolwassenheid van de medewerkers op een bepaald niveau moet zijn.

2

Het is ook van belang dat er structureel voldoende middelen beschikbaar zijn om de activiteiten op informatiebeveiliging en privacy te financieren. Als richtlijn kan de 10%-norm van de ICT-kosten gelden zoals de IBD die sinds kort stelt. Deze middelen moeten traceerbaar zijn in de jaarrekening. 2. Zorg ervoor dat de raad regelmatig geïnformeerd wordt over informatieveiligheid en privacy en spreek af op welke wijze dat gebeurt. Dat kan bijvoorbeeld halfjaarlijks diepgaand in een aparte raadscommissie of een commissie onder een bestaande commissie, naar aanleiding van de ENSIArapportages en de rapportages van de FG. Aanbevelingen aan het college: 1. Ga verder met activiteiten op het gebied van informatieveiligheid en privacy waar al een begin mee is gemaakt en blijf ook in de toekomst zorgen voor voldoende capaciteit in de lijn en ondersteuning daarvoor. Denk aan effectiever gebruik van het Managementsysteem voor informatieveiligheid (ISMS), uitrol van de autorisatiematrix en logging, het testen van systemen en fysieke beveiliging en de aanpak van maatregelen die daaruit naar voren komen. 2. Verstevig het investeren in activiteiten om het risicobewustzijn en de taakvolwassenheid van medewerkers te bevorderen. 3.

Vervolledig het informatieveiligheidsbeleid op tactisch en operationeel niveau: - vul de nog ontbrekende protocollen en richtlijnen voor informatiebeveiliging en privacy in. Een integraal continuïteitsplan is bijvoorbeeld een beleidsonderdeel op tactisch niveau dat nog niet is gerealiseerd. - zorg dat protocollen en richtlijnen in de werkprocessen worden ingebed. Daarmee wordt voldaan aan de BIO en wordt de daadwerkelijke werking van de maatregelen in praktijk bevorderd. 4. Richt een structuur voor integraal risicomanagement in. Bij Integraal risicomanagement gaat het gemeentebreed om de organisatie van risico-governance, -strategie, -beleid en -beheerprocessen, dus ook ten aanzien van informatieveiligheid en privacy in samenhang met andere terreinen. Dit past in het streven van het college om op termijn een ‘in control-statement’ af te kunnen geven. Nog geen bestuurlijke reactie Het onderzoeksrapport is op 16 april gedeeld met het college van B&W en op 21 mei met hen besproken. Afwijkend van de gebruikelijke werkwijze is bij deze brief nog geen bestuurlijke reactie gevoegd. Dat heeft te maken met de korte tijdspanne tussen het overleg met het college en de geplande ronde tafel van 20 juni. De rekenkamer hecht eraan om de uitkomsten nog voor het zomerreces met u te bespreken en heeft besloten u de rapportage (zonder de bestuurlijke reactie) alvast te sturen.

Het college heeft toegezegd dat de bestuurlijke reactie op zo kort mogelijke termijn wordt nagezonden. Tot slot In het bijgaande rapport van Prae Advies vindt u alle bevindingen van het onderzoek en de afgeleide conclusies en aanbevelingen. De rekenkamer bedankt mede namens de onderzoeker bestuur, directie en ambtenaren van de gemeente Zeist voor de uitstekende samen- en medewerking in dit onderzoek. Dat luisterde nauw vanwege de testen die in het kader van dit onderzoek zijn uitgevoerd.

3

De rekenkamer gaat graag op 20 juni met de raad in gesprek over het onderzoek. Voor vragen naar aanleiding van het onderzoek kunt u contact met ons opnemen via rekenkamer@zeist.nl.

Daniëlle Fictorie Voorzitter Rekenkamer Zeist

4