PR24.077 bijlage 1 Eindrapport RK onderzoek Informatieveiligheid Zeist
Tekst van het document
Rapport Informatiebeveiliging en privacy Gemeente Zeist
Rekenkamer Zeist April 2024
Auteur: drs. Etienne Lemmens Prae Advies en onderzoek, Utrecht
Prae Advies en onderzoek, handelsnaam van BB35 BV, Buys Ballotstraat 35, 3572 ZT Utrecht E info@prae-advies.nl | W www.prae-advies.nl
“Informatie is één van de voornaamste bedrijfsmiddelen van de gemeente. Het verlies van gegevens, uitval van ICT, of het door onbevoegden kennisnemen of manipuleren van informatie kan ernstige gevolgen hebben voor de bedrijfsvoering en dienstverlening, leiden tot imagoschade en verlies van vertrouwen in de overheid.” Uit: Bestuurlijke rapportage gemeente Zeist, 2020.
2
Inhoudsopgave
Samenvatting, conclusies en aanbevelingen........................................................................................... 4 1
Inleiding ......................................................................................................................................... 11
2
Doelstelling en onderzoeksvragen ................................................................................................ 13
3
Risico in beeld en in beleid ............................................................................................................ 17
4
Informatie gemeenteraad ............................................................................................................. 27
5
Bewustwording .............................................................................................................................. 30
6
Communicatie over datalekken ..................................................................................................... 35
7
Controle op naleving en voorkomen ............................................................................................. 37
8
Toegang tot gevoelige informatie ................................................................................................. 41
9
Autorisatiebeleid ........................................................................................................................... 50
Bijlage 1. Gebruikte termen en afkortingen .......................................................................................... 52 Bijlage 2. Onderzoeksvragen en normen .............................................................................................. 54 Bijlage 3. Lijst geraadpleegde stukken en respondenten...................................................................... 56 Bijlage 4. Richtlijnen/procedures Informatiebeveiliging en privacy ..................................................... 58 Bijlage 5. Volwassenheidsniveau NOREA .............................................................................................. 59
3
Samenvatting, conclusies en aanbevelingen Samenvatting Inleiding
Eind 2023 heeft de Rekenkamer Zeist onderzoek uitgevoerd naar de informatieveiligheid van de gemeente Zeist.1 Met het onderzoek wil de rekenkamer de raad in de breedte informeren of de informatieveiligheid bij de gemeente Zeist voldoende is geborgd. Gebleken is dat overheden op het gebied van cybersecurity grote bestuurlijke en financiële risico’s lopen, zodanig dat het onderwerp informatieveiligheid meer en meer op de bestuurlijke tafels terecht komt. De rekenkamer bedankt bestuur, directie en ambtenaren voor de uitstekende samen- en medewerking in dit onderzoek. Dat luisterde nauw vanwege de testen die in het kader van dit onderzoek zijn uitgevoerd.
Techniek, organisatie, mens
Met het onderzoek richt de rekenkamer de aandacht op drie invalshoeken: techniek, organisatie en beleid, mens en gedrag. Daartoe is een bureaustudie uitgevoerd, zijn interviews gehouden en zijn op de systemen testen uitgevoerd, zogenoemde pentesten. Deze samenvatting laat de belangrijkste bevindingen zien. De bevindingen leiden tot conclusies en aanbevelingen aan de gemeenteraad en het college.
Informatiebeveiliging en
Informatieveiligheid kent twee aspecten. Enerzijds de informatiebeveiliging, waarbij het vooral gaat om de beschikbaarheid, integriteit en vertrouwelijkheid van te verwerken informatie. De norm waaraan gemeenten moeten voldoen is de Baseline Informatieveiligheid Overheid (BIO). Anderzijds gaat het om privacy en dan gaat het met name om namens de gemeente te verwerken persoonsgegevens. De norm hiervoor is de Algemene Verordening Gegevensbescherming (AVG).
Privacy
Beleid
1 2
3
Volgens de reguliere beleidscyclus op informatieveiligheid wordt eerst via een behoefte- of GAP-analyse2 geanalyseerd waar de situatie op informatieveiligheid niet voldoet aan de eisen. Daarna worden op basis van een risicoanalyse de geprioriteerde activiteiten in een jaarplan opgenomen. Zeist wijkt hiervan iets af door in 2023 in plaats van met een jaarplan te werken met een Verklaring van Toepasselijkheid (VvT)3. De reguliere cyclus van GAP-analyse, risicoanalyse en jaarplan wordt wel weer opgepakt. Zeist volgt daarmee grotendeels de risico-gebaseerde reguliere beleidscyclus ten aanzien van informatieveiligheid en privacy. Wel constateert de
Het onderzoek is uitgevoerd door Prae Advies en onderzoek. De testen zijn uitgevoerd door IP4Sure en LBVD. GAP Is de Engelse term voor ‘kloof’. Dat betekent hier het verschil tussen de bestaande situatie en de gewenste situatie zoals voorgeschreven door de eisen van de Baseline Informatiebeveiliging Overheid (BIO). De Verklaring van Toepasselijkheid is een document waarin staat welke maatregelen een organisatie heeft genomen om de informatiebeveiliging te waarborgen en wat geactualiseerd dient te worden
4
rekenkamer dat bij de gemeente Zeist geen integraal risicomanagement is geïmplementeerd, waar informatieveiligheid onderdeel van is. Het strategische beleid is in Zeist vastgesteld in overeenstemming met de geldende normen. Het beleid is op het ‘three lines of defence’-principe4 geënt en de verantwoordelijkheden zijn conform dat principe in het beleid vastgelegd. De beleids- en visiestukken volgen de mainstream in gemeenteland. Ze getuigen nog niet van een grote ambitie op het gebied van informatieveiligheid en privacy. Voor de doorvertaling van het strategisch beleid naar het tactisch en met name operationeel niveau heeft de gemeente nog veel stappen te zetten. De middelen voor informatieveiligheid en privacy zijn niet afgebakend in de begroting en verantwoording, maar als iets nodig is worden de middelen door directie en bestuur ter beschikking gesteld. Bemensing
De functies op het gebied van informatieveiligheid en privacy zijn voldoende bezet om aan de huidige ambitie te kunnen voldoen. Bij een hogere ambitie past uiteraard meer capaciteit. Dat geldt sterker met het oog op toekomstige ontwikkelingen en eisen die aan de gemeente worden gesteld. De Chief Information Security Officer (CISO) is nu in de lijn gepositioneerd bij de afdeling Informatievoorziening. De IBD (de Informatiebeveiligingsdienst die gemeenten vanuit de VNG ondersteunt) ziet deze rol liever los van de lijn ingevuld. Met de huidige bezetting kan een CISO-functie ingevuld worden die onafhankelijk is van de lijn. Er zijn voldoende momenten waarop de professionals op informatieveiligheid en privacy elkaar treffen en de aangelegenheden op strategisch, tactisch en operationeel niveau onderling bespreken. Ook directie en bestuur zijn hierbij aangesloten.
Informatie gemeenteraad
De gemeenteraad wordt in de reguliere cyclus gerapporteerd over de vorderingen op het informatieveiligheids- en privacybeleid. Dat gebeurt jaarlijks door middel van de verplichte rapportages op informatieveiligheid (Eenduidige Normatiek Single Information Audit, ENSIA) en sinds kort door het jaarverslag van de Functionaris Gegevensbescherming. Daarbij krijgt de raad wel duiding, maar nog geen dieper inzicht in de risico’s die de gemeente op het gebied van informatieveiligheid en privacy loopt. Incidenteel krijgt de raad ook informatie via raadsinformatiebrieven en worden themabijeenkomsten georganiseerd. Er is geen structureel overleg over dit onderwerp tussen college en raad aangetroffen.
Bewustwording
De gesprekspartners vinden het positief dat er meer bewustwording bij de medewerkers is gekomen de laatste jaren. Tegelijk erkennen zij dat het
4
In het kort zijn er in de ‘three lines of defence’ drie verdedigingslagen: (lijn)management is primair verantwoordelijk voor strategie en sturing van de organisatie en managen van risico’s; de tweede lijn is verantwoordelijk voor de structuur en inrichting van de organisatie; de derde lijn is het (interne en externe) toezicht op de kwaliteit van sturing en beheersing.
5
gewenste niveau nog niet bereikt is. Het bestuur en directie zetten hier wel op in. Een lerende houding wordt sterk gepropageerd en management en college geven het goede voorbeeld. Ondanks veel activiteiten, zoals aandacht voor informatieveiligheid en privacy in het inwerkprogramma, e-learning en berichten op intranet, wordt het eigenaarschap bij het lijnmanagement en de eerste lijn van medewerkers nog te weinig beleefd. De gemiddelde score voor taakvolwassenheid op informatieveiligheid wordt in Zeist door de gesprekspartners ingeschat op 2 op de 5 puntsschaal van NOREA.5 Bij de phishingmail-test in het kader van het rekenkameronderzoek blijkt dat het klikpercentage onder de steekproef van medewerkers van de gemeente hoger is dan gemiddeld bij vergelijkbare phishing mails. Dat is ook een signaal dat de vereiste bewustwording van de risico’s bij de medewerkers nog niet is bereikt. Datalekken
De gemeente heeft een proces datalekken vastgesteld, waarin de activiteiten en communicatie bij een datalek zijn beschreven. Er is een meldpunt, waarbij onder andere de CISO en Privacyofficer zijn aangesloten. Er zijn weinig ‘echte’ datalekken gemeld, maar de communicatie met betrokkenen wordt als positief ervaren.
Controle
De gemeente heeft enkele middelen voor het naleven en voorkomen van incidenten op het gebied van informatieveiligheid en privacy tot zijn beschikking. Dat zijn onder andere de accountantscontroles, de Verbijzonderde Interne Controles en de assessments op de verwerking van persoonsgegevens (dpia’s). Deze leiden tot verbetermaatregelen. Een van de manieren om die activiteiten te volgen is het managementinformatiesysteem op informatieveiligheid (ISMS). Dat is in Zeist aanwezig, maar wordt niet optimaal benut. Het aantoonbaar vastleggen en borgen van activiteiten behoeft verbetering.
Pentesten
De gemeente voert zelf testen op de systemen uit, de laatste was in 2021. Daarbij zijn risico’s aangetroffen (waaronder één kritiek) die in verbeterplannen zijn opgenomen. De rekenkamer liet in november 2023 door een ethisch hacker de pentesten (penetratietesten) uitvoeren. Hierbij zijn risico’s gebleken. Zo wordt op basis van de interne pentest het risico dat de gemeente ten tijde van de test liep als hoog ingeschat. De ethisch hacker vond geen risico’s in het wifi-netwerk. Uit de audit op de autorisaties en het wachtwoordenbeleid (Active Directory) komen wel kwetsbaarheden naar voren, die te maken hebben met het niet consequent toepassen van het wachtwoordbeleid. En tot slot liet het bezoek van de mystery guests risico’s op een gemiddeld niveau zien.
5
NOREA is de beroepsorganisatie van IT-auditors, die onder andere een scorekaart voor de volwassenheid op informatiebeveiliging heeft opgesteld (zie bijlage 5).
6
De resultaten van de testen door de rekenkamer zijn direct gedeeld met de CISO. De ethisch hacker heeft uitleg gegeven over diens bevindingen en mede op basis daarvan heeft de gemeente verbetermaatregelen getroffen. Toegang tot gevoelige Informatie
De pentesten tonen dat er een kans bestaat op oneigenlijke toegang tot informatie binnen de gemeente. Van buitenaf is de toegang goed beveiligd met firewalls en virusscanners en intern zijn ook drempels opgeworpen. Toegang kan verkregen worden met twee factor authenticatie (2FA). Om verdacht verkeer op de systemen te kunnen monitoren en daarop te kunnen ingrijpen is een hardware matige oplossing gekozen, in afwachting van een geslaagde aanbesteding in VNG-verband van een applicatie (SIEM/SOC).
Logging
Logging betekent het vastleggen in zogenoemde logbestanden van wie toegang heeft gekregen tot informatie uit systemen. Er is een afweging gemaakt van welke applicaties het verkeer gelogd wordt en van welke niet. Die afweging heeft te maken met de beschikbare capaciteit om de loggingbestanden te checken en applicaties waarin veel bijzondere persoonsgegevens worden verwerkt. De controle op de informatie uit de logs en het vastleggen van de activiteiten behoeft verbetering.
Autorisaties
Medewerkers hebben autorisatie nodig om toegang tot informatie en applicaties te krijgen. Er is een proces vastgelegd waarbij de autorisaties worden toegekend en periodiek worden gecontroleerd. Voor een beperkt aantal applicaties is een autorisatiematrix aanwezig, waarmee de toekenning plaatsvindt op basis van rol en functie. De verdere uitrol van een dergelijke matrix staat voor 2024 op de planning. Uit de controles, onder andere van de accountant en in het kader van het rekenkameronderzoek, blijkt dat de juistheid van autorisaties een aandachtspunt is.
Conclusies Voldoende geborgd, maar werk aan de winkel
In het algemeen concludeert de rekenkamer dat in de gemeente Zeist de informatieveiligheid voldoende geborgd is, dat wil zeggen dat het in overeenstemming is met de geldende normen. De situatie is vergelijkbaar met de meeste gemeenten. Dat wil niet zeggen dat de gemeente Zeist achterover kan leunen. Er is nog werk aan de winkel, al timmert de gemeente op veel deelterreinen hard aan de weg. Op het gebied van informatiebeveiliging en privacy nemen de eisen die aan overheden worden gesteld toe, onder andere omdat de ontwikkelingen en bedreigingen rondom cybersecurity zeer turbulent zijn. Denk aan de toenemende mogelijkheden van Artificiële Intelligentie (AI) en aan geopolitieke actoren die baat kunnen hebben bij ontwrichting van digitale processen bij Nederlandse overheden. Criminelen zitten immers niet stil. Zij blijven zich ontwikkelen, waardoor nieuwe risico’s ontstaan of bestaande risico’s veranderen.
7
Organisatie voldoet aan de basis
Doorvertaling beleid onvoldoende
Functies voldoende bezet
Middelen voldoende, maar oncontroleerbaar
Managementinformatie niet ten volle benut
Testen laten risico’s zien die opgepakt worden
Autorisaties aandachtspunt
Het beleid ten aanzien van informatieveiligheid en privacy is risicogestuurd en voldoet grotendeels aan de gestelde normen. Wel concludeert de rekenkamer dat een integraal risicomanagement nog niet gerealiseerd is in Zeist. De BIO schrijft een basisset aan normen voor waar overheden aan moeten voldoen. De rekenkamer constateert dat het gemeentelijk beleid ambitieuzer mag en verder mag reiken dan de voorgeschreven normen. De gemeente Zeist is op informatieveiligheid geen voorloper. Het strategisch beleid is geformuleerd. Er is meer inzet nodig bij de doorvertaling van het strategisch beleid naar de protocollen en richtlijnen op tactisch niveau en vooral naar de werkprocessen op operationeel niveau. De functies voor informatieveiligheid en privacy zijn voldoende bezet en er zijn voldoende overlegmomenten onderling en met het management en bestuur om effectief te zijn. De verwachting is dat de eisen die aan de organisatie en de bemensing worden gesteld toe zullen nemen. Gelet op de kwantitatieve en (op specialistische functies) kwalitatieve krapte op de arbeidsmarkt, is het een uitdaging om de juiste competenties binnen te halen en te behouden. Samenwerking met andere gemeenten kan een oplossing zijn. Voor een aantal functies op het gebied van ICT, informatieveiligheid en privacy werken gemeenten al geregeld samen.
Er staan voldoende middelen voor informatieveiligheid ter beschikking voor de benodigde maatregelen. Maar oncontroleerbaar is of deze voldoen aan de norm die de Informatiebeveiligingsdienst (IBD) stelt, namelijk 10% van de middelen die de gemeente aan ICT besteedt. De faciliteiten van het managementinformatiesysteem voor informatieveiligheid (ISMS) worden nog niet ten volle benut. Dat betekent dat er een risico is op ineffectiviteit en inefficiëntie bij het plannen en vastleggen van activiteiten op informatieveiligheid en de onderliggende beleidsleercyclus (PDCA). Uit de testen die de rekenkamer heeft laten uitvoeren op de systemen en de fysieke veiligheid van de gemeente komen risico’s naar voren. Net als bij de geconstateerde risico’s uit eerdere testen (in opdracht van de gemeente zelf uitgevoerd) zijn de risico’s vertaald naar verbeterplannen en opgepakt. Gelet op het feit dat er zich steeds nieuwe dreigingen voordoen vereist de BIO jaarlijkse testen op de gemeentelijke systemen. Het werken met autorisaties voor toegang tot systemen en informatie is een aandachtspunt. Met name de uitrol van de tools en de controle op de correctheid van de autorisaties vraagt aandacht. De gemeente is van plan daar in 2024 actie op te ondernemen.
Aandacht voldoende, bewust- Uit het onderzoek blijkt dat er bij bestuur en management voldoende wording en taakvolwassenheid behoeven aandacht
draagvlak is voor beleid ten aanzien van informatieveiligheid en privacy. Het risicobewustzijn bij de medewerkers en het lijnmanagement (de proceseigenaren) neemt toe. Maar dat kan altijd beter. Het eigenaarschap ten 8
aanzien van informatieveiligheid wordt in de gemeentelijke organisatie niet overal gevoeld waar het volgens het beleid zou moeten liggen. De conclusie is dat ingezet moet worden op verhoging van de taakvolwassenheid van de medewerkers. Gemeenteraad te weinig betrokken
Gelet op het bestuurlijke en financiële belang wordt de gemeenteraad nog te weinig betrokken bij kaderstelling en controle op informatieveiligheid en privacy. College en raad zijn te weinig onderling in gesprek over de risico’s en de ambities op informatieveiligheid en de werking van het beleid.
Aanbevelingen De bovenstaande conclusies leiden tot de volgende aanbevelingen aan het college en de raad.
Aanbevelingen aan het college 1. Ga verder met activiteiten op het gebied van informatieveiligheid en privacy waar al een begin mee is gemaakt, zoals effectiever gebruik van de functionaliteit van het Informatiemanagementsysteem voor informatieveiligheid (ISMS), uitrol van de autorisatiematrix en logging, het testen van de systemen en de fysieke beveiliging en de aanpak van verbetermaatregelen die daaruit naar voren komen. Blijf ook in de toekomst zorgen voor voldoende capaciteit in de lijn en ondersteuning daarvoor. 2. Verstevig het investeren in activiteiten om het risicobewustzijn en de taakvolwassenheid van medewerkers te bevorderen. 3. Vervolledig het informatieveiligheidsbeleid op tactisch en operationeel niveau: - vul de nog ontbrekende protocollen en richtlijnen voor informatiebeveiliging en privacy in. Een integraal continuïteitsplan is bijvoorbeeld een beleidsonderdeel op tactisch niveau dat nog niet is gerealiseerd. - zorg dat protocollen en richtlijnen in de werkprocessen worden ingebed. Daarmee wordt voldaan aan de BIO en wordt de daadwerkelijke werking van de maatregelen in praktijk bevorderd. 4. Richt een structuur voor integraal risicomanagement in.
Bij Integraal risicomanagement gaat het gemeentebreed om de organisatie van risico-governance, -strategie, -beleid en -beheerprocessen, dus ook ten aanzien van informatieveiligheid en privacy in samenhang met andere terreinen. Dit past in het streven van het college om op termijn een ‘in control-statement’ af te kunnen geven.
9
Aanbevelingen aan college en raad 1. Formuleer samen ambities op informatieveiligheid en privacy. Ga na of het bestuurlijk en financieel haalbaar is een hoger ambitieniveau op informatieveiligheid na te streven, dan te voldoen aan de basismaatregelen uit de BIO, om op die manier de toenemende risico’s sneller aan te kunnen pakken. Concreet bijvoorbeeld: spreek af over welke periode de gemiddelde taakvolwassenheid van de medewerkers op een bepaald niveau moet zijn. Het is ook van belang dat er structureel voldoende middelen beschikbaar zijn om de activiteiten op informatiebeveiliging en privacy te financieren. Als richtlijn kan de 10%-norm van de ICT-kosten gelden zoals de IBD die sinds kort stelt. Deze middelen moeten traceerbaar zijn in de jaarrekening. 2. Zorg ervoor dat de raad regelmatig geïnformeerd wordt over informatieveiligheid en privacy en spreek af op welke wijze dat gebeurt. Dat kan bijvoorbeeld halfjaarlijks diepgaand in een aparte raadscommissie of een commissie onder een bestaande commissie, naar aanleiding van de ENSIA-rapportages en de rapportages van de FG.6
6
Zo heeft bijvoorbeeld de gemeente Hof van Twente een commissie op ICT onder de auditcommissie die regelmatig wordt gebriefd over de voortgang op de beveiligingsmaatregelen.
10
1 Inleiding Gemeenten zijn kwetsbaar
Onder andere door de toegenomen taken in het sociaal domein beheren en verwerken gemeenten meer en meer persoonsgegevens en gevoelige data. Dat doen gemeenten in toenemende mate met behulp van digitale hulpmiddelen. Gemeenten zijn daarbij kwetsbaar gebleken, zoals onder andere blijkt uit datalekken bij gemeenten, zoals Hof van Twente. Wat gebeurt er bijvoorbeeld als gevoelige informatie op straat komt te liggen of op het dark web7 wordt aangeboden? Of als de gegevens worden gegijzeld en de digitale dienstverlening aan burgers niet meer mogelijk is?8 Naast ernstige financiële, juridische en technische gevolgen kunnen deze crises de privacy van burgers en het imago van de gemeente aantasten.9 Dat zijn redenen voor de Rekenkamer Zeist geweest om een onderzoek te doen naar de opzet, het bestaan en de werking van het informatiebeveiliging- en privacybeleid in de gemeente Zeist. Dat onderzoek is in november en december 2023 uitgevoerd. De Rekenkamer bedankt de ambtelijke organisatie, met name de medewerkers van de afdeling Informatievoorziening (IV), voor de medewerking die de onderzoekers tijdens de loop van het onderzoek hebben ervaren. Hieronder gaan we in op doelstelling en onderzoeksvragen en de aanpak.
Leeswijzer In hoofdstuk 2 behandelen we de doelstelling, onderzoeksvragen en de aanpak van het onderzoek. De hoofdstukken 3 tot en met 11 bevatten de bevindingen, geordend aan de hand van de onderzoeksvragen. De bevindingen zijn getoetst in het kader van de ambtelijke hoor en wederhoor. In bijlage 1 zijn de meest gebruikte termen en afkortingen uitgelegd die voorkomen op het gebied van informatiebeveiliging en privacy. Het is nu eenmaal een sector die veel gebruik maakt van voornamelijk Engelstalige termen. In bijlage 2 komen de normen aan bod, gekoppeld aan de
7
8
9
Het dark web is de diepste en verborgen laag van het internet. Het is onderdeel van het ‘deep web’, omdat het niet toegankelijk is via reguliere zoekmachines. Het staat bekend als een plek waar illegale activiteiten plaatsvinden. Hoewel dit inderdaad gebeurt, bestaat het uit meer dan alleen illegale sites. Ransomware is malware (software met kwaadaardige bedoelingen) die de databestanden van gebruikers versleutelt, met als doel om deze later te ontsleutelen in ruil voor losgeld. Gemeenten hebben in 2013 in VNG-verband afgesproken te voldoen aan de maatregelen van de Baseline Informatiebeveiliging Gemeenten (BIG). De BIG is vanaf 2020 vervangen door de Baseline Informatiebeveiliging Overheid (BIO.) In 2021 hebben gemeenten in VNG-verband afgesproken structureel voldoende middelen voor de weerbaarheid tegen digitale bedreigingen vrij te maken. Vanaf 25 mei 2016 schrijft de Algemene Verordening Gegevensbescherming (AVG of GDPR) voor dat passende maatregelen getroffen moeten worden om persoonsgegevens te beveiligen, in het belang van de burger en de gemeenten zelf.
11
onderzoeksvragen. In bijlage 3 is de lijst opgenomen met geraadpleegde stukken en de lijst met functies van de respondenten. Vervolgens is in bijlage 4 een afbeelding opgenomen van de verschillende richtlijnen en procedures die in het tactische informatiebeveiligings- en privacybeleid worden gehanteerd. In hoofdstuk 5 wordt verwezen naar het volwassenheidsniveau zoals gehanteerd door de beroepsorganisatie van ITauditors in Nederland (de Nederlandse Organisatie van Register EDPAuditors, NOREA.). Daarom is deze in een tabel in bijlage 5 opgenomen.
12
2 Doelstelling en onderzoeksvragen In dit hoofdstuk gaan we in op de doelstelling, de onderzoeksvragen en de aanpak van het onderzoek. In §2.2 geven we een korte inleiding op het gebied van informatiebeveiliging en privacy.
2.1
Doelstelling en onderzoeksvragen
Hoofdvraag en doelstelling
De rekenkamer wil het onderzoek op drie aspecten richten: techniek, organisatie en beleid, en mens en gedrag. Met het onderzoek wordt de volgende hoofdvraag beantwoord: ‘’Is de informatieveiligheid bij de gemeente Zeist voldoende gewaarborgd?’’ De Rekenkamer wil in de breedte inzicht krijgen in de stand van de informatieveiligheid in de gemeente en daarbij terecht focussen op organisatie/proces, mens en techniek (zie hiervoor de inleiding op informatieveiligheid en privacy in §2.2).
Onderzoeksvragen
Deze hoofdvraag werken we uit, mede op basis van het offerteverzoek, naar de onderzoeksvragen zoals opgenomen in onderstaande tabel 1.
Tabel 1. Onderzoeksvragen 1. Heeft de gemeente Zeist op informatieveiligheid de risico's voldoende in kaart gebracht en op basis daarvan beleid geformuleerd? 2. Wordt de gemeenteraad goed geïnformeerd over de risico's en beheersingsmaatregelen? 3. Krijgen medewerkers goede uitleg en ondersteuning om veilig te werken? 4. Hoe communiceert de gemeente met betrokkenen en inwoners over datalekken? 5. Hoe controleert de gemeente op naleving van veilig werken en het voorkomen van beveiligingsincidenten? 6. Welke penetratietesten voerde de gemeente uit? Zo ja, zijn verbeterplannen opgesteld naar aanleiding van de pentesten en zijn deze opgevolgd? 7. Is het mogelijk om oneigenlijke toegang te krijgen tot gevoelige informatie die de gemeente in beheer heeft? 8. In hoeverre wordt in de organisatie van de gemeente Zeist vastgelegd wie wanneer toegang vraagt tot bestanden met gevoelige informatie (het loggen)? 9. Hoe is het autorisatiebeleid vorm gegeven? 10. Welke adviezen zijn te geven aan college, gemeentelijke organisatie en de gemeenteraad?
Voor de normen die we gebruiken om de antwoorden op bovenstaande vragen te beoordelen verwijzen we naar bijlage 2. De hoofdstukken 3 tot en met 11 bevatten de antwoorden op de onderzoeksvragen 1 tot en met 9. Onderzoeksvraag 10 wordt in de inleidende paragrafen conclusies en aanbevelingen beantwoord.
13
2.2
Korte inleiding op informatiebeveiliging en privacy
Informatiebeveiliging
Informatiebeveiliging gaat over het geheel aan preventieve, detectieve (opsporings-) en correctieve maatregelen, procedures en processen die de beschikbaarheid, integriteit en vertrouwelijkheid (BIV) van de informatie binnen een organisatie garanderen. Doel is de continuïteit van de informatie en de informatievoorziening of dienstverlening te waarborgen en eventuele gevolgen van (beveiligings)incidenten te beperken. Het beleid dat gemeenten hierop hebben afgesproken is neergelegd in de Baseline Informatiebeveiliging Overheid (BIO).10 De BIO bevat maatregelen die gemeenten op basis van een risicoanalyse kunnen nemen om aan het basisniveau voor informatiebeveiliging te voldoen. De Network and Information Security Directive 2 (NIS2) is Europese wetgeving die de richtlijnen van de BIO vanaf oktober 2024 verplicht stelt voor overheidsorganisaties, dus ook voor gemeenten.
Gegevensbescherming
Gegevensbescherming betreft de regels voor de verwerking van persoonsgegevens door bedrijven, instellingen en overheden. Doel is de privacy van burgers op een adequate manier te beschermen. De Europese General Data Protection Regulation (GDPR), in Nederland bekend als de Algemene Verordening Gegevensbescherming (AVG), is sinds mei 2018 van kracht.
Informatieveiligheid
De AVG schrijft onder andere voor dat passende maatregelen getroffen moeten worden om persoonsgegevens te beveiligen, in het belang van de burger en de gemeenten zelf. De twee onderwerpen informatiebeveiliging en gegevensbescherming (privacy) hebben dus onderling een grote overlap. Een deel van de protocollen en procedures op beide terreinen komt met elkaar overeen. Overkoepelend wordt vaak de term informatieveiligheid gebruikt, zie onderstaand afbeelding 2.1.
10
Gemeenten hebben in 2013 in VNG-verband afgesproken te voldoen aan de maatregelen van de Baseline Informatiebeveiliging Gemeenten (BIG). De BIG is vanaf 2020 vervangen door de Baseline Informatiebeveiliging Overheid (BIO). De baseline is gebaseerd op de kwaliteitsnormen NEN-ISO/IEC 27001:2017 en de NEN-ISO/IEC 27002:2017.
14
Afbeelding 2.1. Informatieveiligheid met privacy en informatiebeveiliging.
Bron: Rekenkamer Utrecht, 2021.
In dit onderzoek komen beide onderwerpen (informatiebeveiliging en privacy) aan bod. In bijlage 4 is visueel gemaakt hoe de richtlijnen en protocollen op informatiebeveiliging en privacy onderling samenhangen. Mens, techniek, organisatie
2.3
Informatieveiligheid wordt vaak nog enkel vanuit een technische invalshoek benaderd. De ervaring leert evenwel dat technische oplossingen te organiseren zijn, hoewel deze natuurlijk ook de praktische (pen)testen moeten doorstaan ("the proof of the pudding is in the eating"). Naast techniek zijn mens en organisatie essentieel bij informatiebeveiliging en privacy. Cruciale factoren die de informatieveiligheid bepalen zijn houding en gedrag van de menselijke actor, kortom bewustwording op risico’s bij medewerkers en lijnmanagement. Ook moeten de organisatorische randvoorwaarden gecreëerd zijn om techniek en mens te ondersteunen. Beleid en protocollen moeten daarvoor opgesteld en vastgesteld zijn (voor een gedeeltelijk overzicht van de protocollen op informatiebeveiliging en privacy zie afbeelding 3.1) en in de praktijk worden toegepast. Om dat optimaal te laten slagen moet beleid op informatiebeveiliging en privacy gedragen en uitgedragen worden door bestuur en directie van de gemeente.
Aanpak
Methoden
De onderzoeksvragen worden beantwoord door middel van een analyse van documenten in deskresearch, interviewverslagen en pentesten. De documenten bevatten beleid en rapportages van de gemeente. De
15
documenten die zijn bestudeerd zijn in bijlage 3 opgenomen, evenals de functies van de bestuurders en functionarissen van de gemeente Zeist die zijn geïnterviewd. De deskresearch vond plaats in de periode oktobernovember 2023. De interviews zijn in november 2023 afgenomen. Pentesten
In oktober en november 2023 zijn in het kader van het rekenkameronderzoek verschillende pentesten uitgevoerd op de systemen.11 Door de gemeente zijn eerder pentesten uitgevoerd, de laatste in 2021. De resultaten van deze test zijn gedeeld met de rekenkamer. In een vroeg stadium is door de rekenkamer en de onderzoeker overleg gevoerd met ambtenaren over de scope van de testen in het kader van het rekenkameronderzoek. Besloten is een interne netwerk test, een wifi netwerk test, een Active Directory (AD) audit en een inlooptest met mystery guests uit te voeren. Daartoe is besloten, deels omdat deze testen nog niet of lang geleden zijn uitgevoerd, deels deze een goed beeld geven van de veiligheid van de systemen. Voor een nadere uitleg van deze testen en de resultaten zie §8.1. Ook zijn in het kader van het rekenkameronderzoek phishing mails verstuurd naar medewerkers van de gemeente.12 De laatste phishing mail simulatie in opdracht van de gemeente zelf is uit 2022. Voor een uitleg van deze test en de resultaten zie §5.1. De nota van bevindingen is in maart 2024 voor de ambtelijke hoor en wederhoor (feitencheck) aangeboden. Het definitieve rapport is op 16 april 2024 voor de bestuurlijke hoor en wederhoor aan het College van B&W aangeboden.
11
12
Een pentest of penetratietest is een toets van een of meer computersystemen op kwetsbaarheden, waarbij deze kwetsbaarheden gebruikt kunnen worden om in deze systemen in te breken. Phishing is een vorm van internet oplichting en fraude, door middel van een vals e-mail bericht 'hengelen' naar inlog- of andere persoonsgegevens.
16
3 Risico in beeld en in beleid Onderzoeksvraag 1
Heeft de gemeente Zeist op informatieveiligheid de risico's voldoende in kaart gebracht en op basis daarvan beleid geformuleerd?
BIO
In dit hoofdstuk gaan we in op het beleid op informatieveiligheid van de gemeente Zeist. Daarbij gaan we ook in op het beleid op gegevensbescherming of privacy. De Baseline Informatiebeveiliging Gemeenten (BIG) legde tot en met 2019 de basis onder het informatieveiligheidsbeleid van gemeenten met een aantal beheersmaatregelen. De Baseline Informatiebeveiliging Overheid (BIO) is vanaf 2020 de geldende baseline voor de gehele overheid. De BIO is meer dan diens voorganger gebaseerd op risicomanagement. Daarvoor worden GAP-analyses13 gehouden om te bepalen in hoeverre de gemeente voldoet aan de maatregelen in de BIO. Als er maatregelen ontbreken dient een risicoanalyse te worden uitgevoerd om te bepalen welke maatregelen met prioriteit worden opgepakt en welke risico’s vooralsnog geaccepteerd worden.
Samenwerking op ICT met
De gemeente Zeist werkt met Nieuwegein samen op ICT-gebied. Zeist heeft zich niet aangesloten bij RID-Utrecht, de regionale ICT-dienstverlener, waarbij zes gemeenten en één sociale dienst zijn aangesloten. Zeist en Nieuwegein hebben een gezamenlijk datacenter in gebruik genomen, met een wederzijdse uitwijk, mochten de systemen van een van de gemeenten het begeven. De beide serverparken zijn van elkaar gescheiden en worden onderhouden door een externe partij. Zoals omschreven in de woorden van een van de respondenten is de gemeente nog een klassieke ICT-organisatie, die zoals meer gemeentelijke overheden de ambitie heeft om naar de ‘cloud’ te migreren.14
Beleidscyclus
Het informatieveiligheidsbeleid van de gemeente moet risicogestuurd zijn, zoals de BIO voorschrijft. De beleidscyclus van een gemeente ziet er als volgt uit. Overkoepelend is er het strategische informatieveiligheidsbeleid, waarin de doelen, rollen en functies op informatieveiligheid zijn beschreven. Dit beleid wordt om de 3 tot 4 jaar vastgesteld door het College van B&W. Daaronder ligt het tactische informatieveiligheidsbeleid, dat een groot aantal richtlijnen en protocollen bevat op informatieveiligheid. Deze worden in samenhang met andere beleidsterreinen opgesteld, zoals het privacy- of gegevensbeschermingsbeleid. De overlap op richtlijnen en protocollen met dat terrein is inzichtelijk in afbeelding 2.1 en
13
14
GAP is de Engelse term voor ‘kloof’. Dat betekent hier het verschil tussen de bestaande situatie en de gewenste situatie. GAP-analyse is de check of en in welke mate de maatregelen uit de BIO geïmplementeerd zijn. Bij migratie naar de cloud worden applicaties en gegevens van de ene locatie naar de servers van een provider van een cloud op internet verplaatst. De voordelen van cloudmigratie zijn het verminderen van de IT-kosten, maar ook op het gebied van onder andere beveiliging biedt het voordelen.
17
de afbeelding in bijlage 4. Tot slot moeten de verschillende protocollen en richtlijnen in procesbeschrijvingen hun neerslag krijgen en daarmee op operationeel niveau geborgd worden. Concrete jaarplannen dienen te worden opgesteld naar aanleiding van een analyse van de kloof tussen wat er onder andere aan protocollen, richtlijnen en activiteiten aanwezig is en wat er aanwezig zou moeten zijn (een GAP-analyse). Het MT stelt de jaarplannen vast. Een risicoanalyse bepaalt de urgentie van de in het jaarplan op te nemen activiteiten en welke risico’s voorlopig geaccepteerd worden. Over de uitvoering wordt door het College door middel van ENSIA (de Eenduidige Normatiek Single Information Audit) jaarlijks gerapporteerd aan de raad en de landelijke toezichthouders, zie daarvoor hoofdstuk 4.
Schema 3.1. Beleidscyclus Informatieveiligheid.
3.1
Beleid
Strategisch beleid
Het strategisch informatieveiligheidsbeleid van de gemeente Zeist voor de periode 2022-2026 is op 8-12-2022 door het College van B&W vastgesteld. Tegelijk is het privacybeleid voor dezelfde periode vastgesteld. De strategische stukken verwijzen naar dezelfde uitgangspunten, vooruitlopend op de in 2023 geformuleerde beleidsstukken in ‘Een goed leven in Zeist – ook digitaal’ en de ICT-visie 2030. De ambitie uit het informatieveiligheidsbeleid is als volgt weer te geven: voortdurend verbeteren, een goed en betrouwbaar functionerende informatievoorziening en een hoog volwassenheidsniveau dat niet op elk proces even hoog hoeft te zijn. Met betrouwbaar wordt bedoeld dat gegevens en informatie die de gemeente verwerkt beschikbaar (continuïteit van bedrijfsvoering), integer (juist en volledig) en vertrouwelijk (alleen geautoriseerd gebruik) is.
18
Strategische doelen
In het strategische beleidsstuk wordt gerefereerd aan de 10 bestuurlijke principes voor informatieveiligheid en het dreigingsbeeld van de Informatiebeveiligingsdienst Dienst (IBD). De strategische doelen van het beleid zijn als volgt geformuleerd: • • • • • • • • • •
het managen van de Informatieveiligheid; adequate bescherming van bedrijfsmiddelen; het minimaliseren van risico’s van menselijk gedrag; het voorkomen van ongeautoriseerde toegang; het garanderen van correcte en veilige informatievoorzieningen; het beheersen van de toegang tot informatiesystemen; het waarborgen van veilige informatiesystemen; het adequaat reageren op incidenten; het beschermen van kritieke bedrijfsprocessen; het beschermen en correct verwerken van persoonsgegevens van burgers en medewerkers; • transparantie over incidenten; 15 • het waarborgen van de naleving van dit beleid. Grondslag en ambities
Aan het beleid en de ambities liggen verschillende beleids-, visie- en ambitiestukken ten grondslag over informatieveiligheid en privacy. Dat is een doorgaand proces, dat niet ophoudt op het moment dat het strategische beleid eenmaal is vastgesteld. Daarvoor verandert de omgeving op informatieveiligheid te onstuimig en er komen steeds nieuwe bedreigingen bij. Maar ook nieuwe kansen en mogelijkheden om de bedreigingen het hoofd te bieden. Tot de beleids- en visiestukken behoren onder andere de Bestuurlijke rapportage informatieveiligheid 2020, “Weerbaarder verder... Beleid Informatieveiligheid & privacy” 2020, ‘Het goede leven in Zeist – ook digitaal’ 2023 en een nog vast te stellen ‘ICT-visie 2030’. Het laatste visiestuk is niet bestudeerd door de rekenkamer. De ambities in de bestudeerde stukken zijn grotendeels het volgen van het landelijke beleid. Terwijl in de interviews hogere ambities worden uitgesproken, zoals als gemeente op gebied van informatieveiligheid en privacy voorloper willen zijn. Die ambitie heeft zich nog niet vertaald naar het geformuleerde beleid.
Uitgangspunt
Uitgangspunten van het informatieveiligheidsbeleid in Zeist zijn de sturing op risico’s, verdeling van verantwoordelijkheden en rollen op basis van het RASCI-model en het 3-lijnenmodel (‘3-lines of defence’). RASCI verdeelt de verantwoordelijkheden en rollen naar -
15
verantwoordelijk (Responsible) > eindverantwoordelijk (Accountable) > ondersteunend (Supportive) > toezicht (Consulted) > geïnformeerd (Informed)
Het betreft transparantie en open communicatie met betrekking tot cybersecurity-incidenten.
19
Binnen het 3-lijnenmodel wordt kortweg onderscheid gemaakt tussen operationeel niveau, ondersteuning en toezicht. De eerste lijn van verdediging tegen bedreigingen bestaat uit de proceseigenaren/lijnmanagement en de medewerkers verantwoordelijken in de lijn (Responsible) en de eindverantwoordelijken (Accountable). In het verlengde van deze lijn zijn er de externe uitvoeringsorganisaties. De tweede lijn bestaat uit de professionals die de eerste lijn ondersteunen op informatieveiligheid en privacy. Tot slot bestaat de derde lijn uit het toezicht, waaronder de Functionaris Gegevensbescherming. In het model dat Zeist hanteert is een vierde lijn ingebracht, ‘Informed’, met onder andere inwoners, gemeenteraad, accountant en de Autoriteit Persoonsgegevens. Deze rolverdeling en toewijzing van verantwoordelijkheden ook in het visiestuk ‘Het goede leven in Zeist – ook digitaal’ opgenomen.
Tabel 3.1.
Verantwoordelijkheden belegd op basis van RASCI-model en 3-lijnenmodel
RASCI
3 Lines of Defence (LoD)
Rolverdeling -
R – Responsible (operationeel verantwoordelijk)
1e lijn
A – Accountable (bestuurlijk eindverantwoordelijk)
1e lijn
S – Supportive (ondersteunend)
2e lijn
C – Consulted / Toezicht (Iemand die geraadpleegd wordt) I – Informed (Iemand die geïnformeerd wordt)
3e lijn
-
4e lijn
-
-
Proceseigenaren Medewerkers Uitvoeringsorganisaties (‘verwerkers’) Het college (verwerkingsverantwoordelijke) Team Veilig werken, ICT, informatieveiligheid, Inkoop, JZ, risk- en kwaliteitsmanagement Functionaris Gegevensbescherming (FG) (in samenwerking met audit) Inwoners, De raad, Accountant; Autoriteit Persoonsgegevens (AP)
In het strategisch beleid is op praktisch niveau de volgende lijn vastgelegd: een borging in het de PDCA-cyclus (Plan-Do-Check-Act) met een risicobeheersing op basis van achtereenvolgens een GAP-analyse, een impact analyse en prioritering van actiepunten/activiteiten/maatregelen.16 Tactisch beleid nog niet geheel volledig
16
17
Onder het strategische beleid ligt het beleid op tactisch niveau, waarin de strategische uitgangspunten in richtlijnen en protocollen op de verschillende deelterreinen van informatieveiligheid en privacy zijn uitgewerkt. Daarbij is te denken aan een uitgeschreven wachtwoordenbeleid, encryptiebeleid,17 wijzigingsmanagement, leveranciersmanagement,
GAP is de Engelse term voor ‘kloof’. Dat betekent hier het verschil tussen de bestaande situatie en de gewenste situatie. GAP-analyse is de check of en in welke mate de maatregelen uit de BIO geïmplementeerd zijn. Encryptie of versleuteling is een methode om gegevens te coderen.
20
devicemanagement enz. Bijlage 4 geeft een gedeeltelijk overzicht van de in de BIO voorgeschreven richtlijnen en protocollen. Zo schrijft de BIO voor dat er een integraal bedrijfscontinuïteitsplan moet worden opgesteld. Er is een continuïteitsplan aanwezig, maar dat is vooral vanuit de afdeling Informatievoorziening (IV) opgesteld. Continuïteit in de breedte is er niet, met bijvoorbeeld personele richtlijnen bij een calamiteit en afspraken met de Veiligheidsregio. Zo zijn er nog lacunes in het arsenaal aan tactische beleidsstukken, waar de organisatie mee aan de slag is om aan de eisen van de BIO te voldoen. Doorvertaling naar operationeel gebied nog onvolledig
Op operationeel gebied ontbreekt het aan procesbeschrijvingen waarin de verschillende stappen waar aspecten op informatieveiligheid en privacy meespelen zijn opgenomen. In 2022 heeft de gemeente een consultant ingehuurd om de verschillende processen op het gebied van gegevensbescherming (privacy) te beschrijven en eventuele lacunes vast te stellen. Eind 2023 was een aantal processen in conceptversie met hoofd van de afdeling Informatievoorziening en de betreffende proceseigenaar besproken. De borging van deze processen staat voor 2024 in de planning. In 2023 is een kwaliteitsmedewerker aangenomen die hetzelfde moet doen op het gebied van informatieveiligheid. De ambitie is dat dit in het tweede kwartaal van 2024 gerealiseerd is. Uit de stukken en de interviews blijkt dat de doorvertaling van het strategische naar tactisch en operationeel niveau nog niet volledig is. Dat betekent dat nog niet alle activiteiten op informatieveiligheid en gegevensbescherming vastliggen in procesbeschrijvingen voor de werkvloer. Dat kan verstoringen in werkprocessen tot gevolg hebben. Bijvoorbeeld als tijdens de laatste fase van een proces duidelijk wordt dat stappen zijn overgeslagen, bijvoorbeeld de uitvoering van een data protection impact assessment (dpia)18 op een verwerkingsproces. Bijkomend risico is dat activiteiten niet goed vastgelegd of geborgd worden.
Daarop zijn nog stappen te zetten door de gemeente.
Jaarplannen zijn aanwezig
18
19
Het beleid van de gemeente Zeist is risicogestuurd, zoals de BIO voorschrijft. Voor 2021-2022 heeft de gemeente naar aanleiding van de ENSIA 2020 een risicoanalyse uitgevoerd. Onderzocht wordt in welke mate de gemeente de BIO-maatregelen heeft geïmplementeerd. De beheersmaatregelen die daaruit met prioriteit naar voren kwamen zijn in het Jaarplan 2021-2022 opgenomen. Daartoe behoren onder andere de implementatie van een wachtwoordkluis, professionalisering van het wijzigingenbeheer, monitoring op het netwerkverkeer (SIEM/SOC 19) en continuïteitsmanagement.
Data protection impact assessment (dpia) is een analyse op risico's in verband met privacy en gegevensbescherming bij verwerkingsprocessen. Onder de AVG verplicht bij gegevensverwerking met waarschijnlijk een hoog privacy risico. Zie ook §8.3.
21
In januari 2023 is naast een jaarplan een Verklaring van toepasselijkheid (VVT) opgesteld, bedoeld voor het bestuur, directie, lijn- en stafmanagers, auditors en externe toezichthouders. Deze verklaring geeft inzicht in hoeverre de BIO-normen zijn geïmplementeerd. Het is daarmee min of meer gelijk aan een risicoanalyse, en gesteld wordt dat de VVT door de proceseigenaren geactualiseerd moet worden. Uit een van de interviews blijkt dat de vastlegging van de activiteiten niet geheel voldoet aan de verwachtingen, in tegenstelling tot een jaarplan. De bedoeling is weer terug te keren naar de systematiek van risicoanalyse en op basis daarvan activiteiten opnemen in een jaarplan. Middelen beschikbaar als noodzaak is aangetoond
Onderdeel van het informatieveiligheidsbeleid is uiteraard ook de middelen die ermee gemoeid zijn. Investeren in informatieveiligheid is vaak een lastig discussiepunt, het wordt nooit helemaal duidelijk of de gedane investeringen effectief of efficiënt zijn. Het enige dat vaak achteraf geconstateerd kan worden is dat de investering te laag is geweest als blijkt dat een ransomware aanval succesvol is geweest. De IBD gaat uit van de vuistregel van een investering in informatiebeveiliging van ongeveer 10% van de ICT-kosten. Die middelen gaan aan allerlei verschillende posten op, van personeel tot en met trainingen en pentesten. Dat is niet afgebakend uit de begroting of jaarverslagen te destilleren en de respondenten hebben ook niet een dergelijk overzicht. Wel geven respondenten aan dat de middelen beschikbaar worden gemaakt als zij de noodzaak van te nemen maatregelen aantonen. Ook uit het bestuurlijke ‘peer to peer’ gesprek onder leiding van de VNG blijkt dat het College nooit geaarzeld heeft middelen vrij te maken voor ICT en bedrijfscontinuïteit.
3.2
Functionarissen In het strategisch beleid zijn de rollen en verantwoordelijkheden op informatieveiligheid en privacy beschreven. Hieronder gaan we in op de bezetting van de functies op de twee terreinen.
Chief Information Security Officer (CISO)
Op informatieveiligheid vervult de fulltime strategisch informatieadviseur CISO-taken (Chief Information Security Officer) en lis gepositioneerd bij de afdeling Informatievoorziening (IV). Als aandachtsgebied heeft deze strategisch informatieadviseur Informatieveiligheid, Gegevensbescherming en Cybersecurity. De inzet als CISO op informatieveiligheid is wisselend en niet afgebakend. Het is moeilijk in te schatten hoeveel tijd van de fulltime functie aan informatieveiligheid wordt besteed. Tot de taken van de informatieadviseur horen het opstellen van visiedocumenten op informatieveiligheid en gegevensbescherming, ondersteuning aan de proceseigenaren, deelname aan overleggen op
22
strategisch en tactisch niveau. De CISO is voorzitter van het Meldpunt Datalekken. De Informatiebeveiligingsdienst van de VNG (IBD) stelt dat de CISO een belangrijke en onafhankelijk van de lijn te positioneren functie heeft. De CISO valt onder de afdeling IV en zou via de hiërarchische lijn moeten communiceren met de portefeuillehouder en gemeentesecretaris. Uit de interviews blijkt dat dit spanningsveld nauwelijks aanwezig is. De CISO pakt de eigen rol op en heeft een directe eigen lijn naar het hoogste bestuurlijk en directieniveau. Zie ook de volgende paragraaf, §3.3. Privacyofficer (PO)
De Privacyofficer (PO) vormt een brug tussen informatieveiligheid en privacy. Deze is werkzaam bij de afdeling Informatievoorziening (IV), sinds kort fulltime. De taken van de PO omvat de ondersteuning aan proceseigenaren, bijhouden van het verwerkingsregister en check op verwerkingsovereenkomsten en het uitvoeren van quick scans op verwerkingsprocessen20. De PO is net als de CISO aangesloten op het Meldpunt Datalekken (zie ook hoofdstuk 6 ‘Communicatie over datalekken’).
Coördinator
Bij de afdeling Informatievoorziening (IV) is fulltime een coördinator werkzaam op functioneel beheer, technisch beheer en veilig werken op informatieveiligheid en privacy. Hij is tevens de coördinator van de rapportages in het kader van de Eenduidige Normatiek Single Information Audit (ENSIA, zie ook hoofdstuk 4). Dat zijn de jaarlijkse rapportages op informatieveiligheid en gegevensbescherming aan de landelijke toezichthouders en de gemeenteraad.
Functionaris gegevens-
Sinds vorig jaar is de Functionaris gegevensbescherming (FG) extern ingehuurd. Het is gebruikelijk bij gemeenten dat deze functie extern wordt ingevuld. De FG toetst steekproefsgewijs het beleid, de procedures en de maatregelen op gegevensbescherming. Jaarlijks rapporteert de FG aan college en de raad over opzet, bestaan en werking van het beleid.
bescherming (FG)
Chief Information Officer (CIO)
Informatieadviseur IV
20
Vanaf begin 2024 is het hoofd van de afdeling Informatievoorziening (IV) als Chief Information Officer (CIO) toegevoegd als lid van het directieteam (DT). Daarmee is vanuit informatievoorziening een directe link naar het DT gerealiseerd. Bij de afdeling IV zijn drie informatieadviseurs werkzaam. Eén van de strategische adviseurs heeft de rol van CISO (zie hiervoor). Een ander is gericht op ICT-infrastructuur en werkplekken, en heeft de rol van technisch adviseur security. Deze is onder andere verantwoordelijk voor beveiligingsmaatregelen naar aanleiding van adviezen of incidenten en ondersteuning en advies op informatiebeveiliging en gegevensverwerking. De derde heeft als aandachtsgebied informatiemanagement.
Quick scans zijn bedoeld om het risiconiveau van verwerkingsprocessen te bepalen en te bezien of een data protection impact assessment (dpia) uitgevoerd moet worden (zie ook hoofdstuk 7).
23
Kwaliteitsmedewerker AVG
Voor onder andere de procesbeschrijvingen op informatieveiligheid en privacy is sinds kort een kwaliteitsmedewerker AVG (Algemene Verordening Gegevensbescherming)21 werkzaam. Deze is fulltime aan de slag, in samenwerking met lijnmanagement en medewerkers, met de vertaling van strategisch beleid naar tactisch en operationeel niveau. Daarmee zijn de belangrijkste functionarissen op informatieveiligheid en gegevensbescherming, in de tweede en derde lijn volgens het 3 lijnenmodel, in beeld gebracht. Volgens de respondenten voldoet de bezetting aan de eisen en de ambities die de gemeente heeft. Tegelijkertijd geven respondenten aan dat als er meer formatie zou zijn, meer aandacht naar bijvoorbeeld de doorvertaling van beleid op strategisch naar tactisch en operationeel niveau en de borging van processen zou kunnen gaan. De verwachting in algemene zin is ook dat de omgeving zich snel en turbulent ontwikkelt, met name op informatieveiligheid, waardoor de eisen aan personeel in de nabije toekomst hoger worden.
3.3
Overleggen op informatieveiligheid en privacy Informatieveiligheid en privacy komen als onderwerpen langs in veel interne en enkele externe overleggen, op de verschillende niveaus in de gemeentelijke organisatie. Hieronder passeren deze de revue.
Strategisch informatieveiligheidsoverleg
Overleg met portefeuillehouder
Subopgaven afdeling IV
21
Hierin overleggen de CISO, hoofd afdeling Informatievoorziening (IV) en de informatieadviseur tweemaandelijks met elkaar over de grote lijnen en hoe de portefeuillehouder, gemeentesecretaris en DT geïnformeerd gaan worden. Zo wordt onder andere de ICT-visie 2030 besproken. De FG kan bij dit overleg aansluiten, indien nodig of gewenst. Op strategisch niveau heeft de portefeuillehouder twee keer per jaar overleg over informatieveiligheid met de CISO, het hoofd van de afdeling IV, en de gemeentesecretaris (SIVO). Daarnaast heeft de CISO tweewekelijks een 1-op-1 overleg met de portefeuillehouder en sinds kort een structureel periodiek overleg met de gemeentesecretaris. De FG overlegt twee keer per jaar met de portefeuillehouder. Het hoofd van de afdeling IV heeft vanuit zijn bredere rol ook een tweewekelijks overleg met de portefeuillehouder en de CISO, waarin informatieveiligheid en privacy ook ter sprake komen. Binnen de afdeling hebben de functionarissen op informatieveiligheid en privacy elke twee tot drie weken overleg op tactisch niveau, subopgave ‘Veilig Werken’. Daarin bespreken zij de jaarplannen en de voortgang op de implementatie van de maatregelen die daarin zijn opgenomen. Daarnaast is er de subopgave ‘ICT in control’ met de systeembeheerder, informatieadviseur en de helpdesk.
Deze subopgave is meer op de techniek gericht, zoals het inrichten van wijzigingsbeheer (changemanagement).
Algemene Verordening Gegevensbescherming (AVG), is Europese regelgeving die vanaf 2018 de privacyregels in de Europese lidstaten harmoniseert. Ook bekend onder de naam General Data Protection Regulation (GDPR).
24
Team Informatie en privacy
Met de medewerkers van de teams Sociaal Domein en Basisregistratie Personen was tot voor kort een regulier overleg met de CISO en Privacyofficer over informatievoorziening en gegevensbescherming. Juist met deze afdelingen omdat zij veel (bijzondere) persoonsgegevens verwerken en het risico op incidenten navenant groot is. Uit de interviews blijkt dat dit overleg in de toekomst anders wordt vormgegeven, hoe is nog niet duidelijk. De CISO en de PO hebben met enige regelmaat overleg met de medewerker die de procesbeschrijvingen op operationeel niveau op informatieveiligheid en privacy bijwerkt.
Regionaal
In Zuidoost Utrecht hebben de CISO’s en de privacyofficers elke twee weken een regionaal overleg, om onderling af te stemmen, uit te wisselen en van elkaar te leren. Indien nodig worden de CISO’s bij de gemeenschappelijke regelingen daarbij betrokken.
Crisisteam
Het operationeel crisisteam (OT) is niet zozeer een overlegorgaan, maar een team dat in tijden van een calamiteit daadkrachtig moet kunnen opereren, zoals bijvoorbeeld bij het lek Log4J in december 2021. Het hoofd van de afdeling Informatievoorziening (IV), de CISO, hoofd Dienstverlening, hoofd Communicatie vormen de kern van het crisisteam, onder leiding van een directielid. Een medewerker van het domein Veiligheid, die contact onderhoudt met de Veiligheidsregio, wordt altijd geïnformeerd en sluit op ad hoc basis aan.
Checklist cybercrisis
Door adviesbureau BCM is een checklist opgesteld met 6 activiteiten. Eén van de activiteiten is in de preventiesfeer, namelijk een jaarlijkse oefening in samenwerking met de Veiligheidsregio. De andere vijf betreffen activiteiten die in geval van een crisis moet worden ondernomen. Zoals inschakelen van de Informatiebeveiligingsdienst (IBD) van de VNG in de rol van Computer Emergency Response Team (CERT) en het activeren van het voornoemde operationeel crisisteam (OT).
Samenvatting
De beleidscyclus op informatieveiligheid en privacy wordt grotendeels gevolgd door de gemeente Zeist en is risicogebaseerd. Het strategische beleid is in overeenstemming met de geldende normen vastgesteld. Het beleid is op basis van het ‘three lines of defence’-principe geënt en de verantwoordelijkheden zijn conform dat principe in het beleid vastgelegd. De beleids- en visiestukken volgen de mainstream in gemeenteland en getuigen nog niet van een grote ambitie op het gebied van informatieveiligheid en privacy. Met de Verklaring van Toepasselijkheid (VvT) in plaats van een jaarplan is tijdelijk de beleidscyclus niet gevolgd. Aangegeven wordt dat de cyclus van GAP-, risicoanalyse en jaarplan wordt weer opgepakt. Op de doorvertaling van het strategisch beleid naar het tactisch en met name operationeel niveau heeft de gemeente nog veel stappen te zetten.
25
De middelen voor informatieveiligheid en privacy zijn niet afgebakend in begroting en verantwoording, maar als iets nodig is worden de middelen door directie en bestuur ter beschikking gesteld. De functies op informatieveiligheid en privacy zijn voldoende bezet om aan de huidige ambitie te kunnen voldoen. Bij een hogere ambitie past uiteraard meer capaciteit en dat geldt sterker met het oog op toekomstige ontwikkelingen en eisen die aan de gemeente worden gesteld. De CISO is nu in de lijn gepositioneerd bij de afdeling Informatievoorziening, hoewel de IBD deze bij voorkeur los van de lijn ingevuld ziet. Met de huidige bezetting kan een van de lijn onafhankelijke CISO-functie ingevuld worden. Er zijn voldoende momenten binnen de gemeente waarop de professionals op informatieveiligheid en privacy elkaar treffen en de aangelegenheden op strategisch, tactisch en operationeel niveau onderling bespreken. Ook directie en bestuur is hierop aangesloten.
26
4 Informatie gemeenteraad Onderzoeksvraag 2
Wordt de gemeenteraad goed geïnformeerd over de risico's en beheersingsmaatregelen?
In de BIO is vastgelegd dat de raad in het kader van de P&C-cyclus minimaal een keer per jaar wordt geïnformeerd over de stand van zaken met betrekking tot informatieveiligheid. Over gegevensbescherming en privacy zijn geen nadere bepalingen. In het RASCI-model is de raad als een partij aangemerkt die geïnformeerd moet of kan worden, net als inwoners, accountant en de Autoriteit Persoonsgegevens. Het kanaal dat jaarlijks gebruikt wordt om de raad te informeren is de ENSIA-rapportage. ENSIA
De jaarlijkse ENSIA-rapportage ziet toe op interne en externe audits op applicaties zoals Basisregistratie Personen (BRP) en Reisdocumenten, Digitale persoonsidentificatie (DigiD), Basisregistratie Adressen en Gebouwen (BAG), Basisregistratie Grootschalige Topografie (BGT), Basisregistratie Ondergrond (BRO), Waardering Onroerende Zaken (WOZ) en de Structuur uitvoeringsorganisatie Werk en Inkomen (Suwinet). Over deze applicaties moet de gemeente door middel van ENSIA verantwoording afleggen richting landelijke toezichthouders. Met name aan DigiD en Suwinet worden hoge eisen met betrekking tot veiligheid gesteld. Het college rapporteert hierover met een assurance-statement van een extern bureau. Daarin meldt het college onder andere in hoeverre voldaan wordt aan de eisen van de landelijke toezichthouders en of verbetermaatregelen van toepassing zijn. Daarnaast dient via ENSIA aan de gemeenteraad te worden gerapporteerd over de vorderingen op informatiebeveiliging, dat wil zeggen de vorderingen van de gemeente ten opzichte van de maatregelen die de BIO voorschrijft. In de ENSIA-rapportages aan de raad wordt ingegaan op de audits van Suwinet en DigiD en de (zelf)audits op de bovengenoemde applicaties. In de ENSIA rapportage 2021 is opgenomen dat DigiD en Suwinet aan de normen voldoen. Maar de WOZ die toen voor het eerst werd geaudit niet.
De te nemen maatregelen zijn door de Belastingsamenwerking gemeenten en hoogheemraadschap Utrecht (BghU) in een verbeterplan opgenomen en worden door de samenwerkende partijen (gemeenten en hoogheemraadschap) gemonitord. In de ENSIA 2022 is gemeld dat DigiD aan de normen voldoet, maar Suwinet niet.22 Door het college wordt aangegeven dat een verbeterplan is opgesteld en de in de
22
Het kan voorkomen dat Suwinet in een jaar voldoet aan de normen en een jaar later niet. De gehanteerde normen op informatieveiligheid worden soms aangescherpt.
27
Regionale Sociale Dienst Kromme Rijn Heuvelrug (RSD-KRH) deelnemende gemeenten de sociale dienst daarop zullen gaan monitoren. Raad krijgt duiding, maar geen inzicht in risico’s
Via Raadsinformatiebrieven (RIB) geïnformeerd
Jaarverslag FG: Rapportcijfer 7
Volgens respondenten kreeg de raad tot en met 2023 een duiding van de resultaten van de audits in het kader van ENSIA en de stand van zaken met betrekking tot de maatregelen van de BIO. Dat gebeurde in de vorm van een jaarplan met activiteiten. De raad krijgt tegenwoordig bij ENSIA een korte duiding van de bevindingen. De vorderingen op de volledige breedte van de maatregelen in de BIO komen in ENSIA niet aan bod. De raad krijgt daarmee geen inzicht in de risico’s of de beheersingsmaatregelen op alle aspecten van informatieveiligheid. Wel wordt er in het algemeen gemeld of er naar aanleiding van de geconstateerde verbeterpunten maatregelen worden getroffen. Via raadsinformatiebrieven (RIB) wordt de raad geïnformeerd over het beleid op informatieveiligheid en privacy. In december 2022 krijgt de raad de informatiebrief dat het strategische informatieveiligheids- en privacybeleid zijn vastgesteld door het college. Daarin wordt een themabijeenkomst aangekondigd over onder andere het ambitiedocument ‘Een goed leven in Zeist – ook digitaal’. Met de RIB van juli 2023 krijgt de raad het genoemde ambitiedocument en het jaarverslag van de FG toegestuurd. In het jaarverslag gaat de FG in op de stand van zaken met betrekking tot beleid en maatregelen op privacy en gegevensbescherming. De stand van zaken op de naleving van de AVG wordt beoordeeld met het rapportcijfer 7.