PR24.077 bijlage 1 Eindrapport RK onderzoek Informatieveiligheid Zeist

52

Open source intelligence onderzoek (Osint) Osint is een techniek om online sporen die op het eerste gezicht verborgen lijken naar de oppervlakte te halen. De techniek maakt gebruik van openbare bronnen. P&C-cyclus Planning & Control cyclus PDCA Plan-Do-Check-Act beleidsleercyclus Pentest Een pentest of penetratietest is een toets van een of meer computersystemen op kwetsbaarheden, waarbij deze kwetsbaarheden gebruikt kunnen worden om in deze systemen in te breken. Een whitebox test is een teststrategie waarbij de ethische hackers kennis hebben van de technische infrastructuur en systemen en met behulp van die kennis technische zwakheden trachten op te sporen. Dit in tegenstelling tot black- of greybox testen, waarbij de hackers vooraf respectievelijk geen of beperkte kennis hebben van de systemen Phishing mail Vorm van internet oplichting en fraude, door middel van een vals e-mail bericht 'hengelen' naar inlog- of andere persoonsgegevens PO Privacy officer Role based access control (Rbac) Concept waarmee toegang tot gegevens en systemen geschiedt op basis van rollen en functies van de medewerkers. Dat is het concept waarmee Identity Access Management (IAM) wordt uitgevoerd. SAAS Software-as-a-Service, is een model waarbij softwaretoepassingen via internet worden aangeleverd.

SIEM/SOC Security Information & Event Management (SIEM) en Security Operations Center (SOC) is software die computerdreigingen en verdacht verkeer op systemen detecteert en monitort. Suwinet Gemeenschappelijke elektronische Voorziening Suwi (Wet structuur uitvoering werk en inkomen), of GeVS, ook wel Suwinet genoemd. Is een digitale infrastructuur die is ontwikkeld om ervoor te zorgen dat de Suwipartijen (UWV, SVB en gemeenten) gegevens met elkaar kunnen uitwisselen TISO Technical Information Security Officer TPM Third Party Memorandum. Verklaring dat een derde partij, die de gegevens voor de gemeente verwerkt, voldoet aan de geldende richtlijnen over informatieveiligheid Verwerkingsregister Register waarin de gemeente bijhoudt welke persoonsgegevens de gemeente en de verwerkers die deze inschakelt verwerkt VNG Vereniging Nederlandse Gemeenten VNG Realisatie Kwaliteitsinstituut van de VNG (voorheen KING) Whitebox pentest Zie pentest

53

Bijlage 2. Onderzoeksvragen en normen De onderstaande normen zijn opgesteld op basis van de normen van de BIO (inclusief de 10 bestuurlijke principes informatiebeveiliging), AVG, Agenda Digitale Veiligheid 2020-2024 VNG. Mogelijk kunnen de gemeentelijke beleidsplannen aanvullende normen opleveren, waaraan de uitvoering van het informatiebeveiligings- en privacybeleid getoetst wordt.

Onderzoeksvragen 1.

2.

3.

4.

5.

6.

Normen

- Er worden met voldoende frequentie GAP- en risicoanalyses uitgevoerd. In de risicoanalyses zijn de belangrijkste risico's geïdentificeerd. - De gemeente beschikt over een actueel overkoepelend informatiebeveiligingsbeleid dat op onderdelen is uitgewerkt in specifieke procedures en/of richtlijnen. De inhoud van het informatiebeveiligingsbeleid sluit aan op good practices, zoals de BIO en relevante wet- en regelgeving (zoals de AVG). - De gemeente beschikt over een actueel informatiebeveiligingsplan met concrete activiteiten om nader invulling te geven aan diverse onderdelen van het informatiebeveiligingsbeleid. Op basis van de activiteiten is er een urenraming en budget opgesteld. - De gemeente besteedt 10% van het ICT-budget aan maatregelen ter bevordering van informatieveiligheid. - Taken en verantwoordelijkheden rond informatiebeveiliging en de bescherming van (bijzondere) persoonsgegevens zijn duidelijk belegd in de organisatie. - De functionarissen op informatiebeveiliging en privacy zijn goed gepositioneerd om hun rol te kunnen vervullen. Wordt de gemeenteraad goed geïnformeerd - Het college legt verantwoording af over het informatiebeveiligingsbeleid, de gemaakte afspraken en over de risico's en beheersingsmaatregelen? geplande activiteiten, volgens de BIO. - De raad kan zijn kaderstellende en controlerende rol invullen op basis van de aangereikte informatie.

- De gemeente heeft een bewustwordingsprogramma opgezet Krijgen medewerkers goede uitleg en voor medewerkers, in vaste dienst en externe inhuur. ondersteuning om veilig te werken? - In het inwerkprogramma voor nieuwe medewerkers wordt aandacht besteed aan informatiebeveiliging en privacy. - Informatie en protocollen/richtlijnen over informatiebeveiliging en privacy zijn makkelijk toegankelijk. - De functionarissen op informatiebeveiliging en privacy zijn bereikbaar voor medewerkers. - De gemeente heeft een protocol datalekken opgesteld dat Hoe communiceert de gemeente met voldoet aan de eisen van de AVG; betrokkenen en inwoners over datalekken? - De gemeente rapporteert in het kader van de P&C-cyclus over datalekken. - In het informatiebeveiligingsbeleid is beschreven hoe Hoe controleert de gemeente op naleving invulling wordt gegeven aan de PDCA-cyclus rond van veilig werken en het voorkomen van informatiebeveiliging en privacy. beveiligingsincidenten?

Heeft de gemeente Zeist op informatieveiligheid de risico's voldoende in kaart gebracht en op basis daarvan beleid geformuleerd?

Welke penetratietesten voerde de gemeente uit? Zo ja, zijn verbeterplannen opgesteld naar aanleiding van de pentesten en zijn deze opgevolgd?

- De gemeente laat jaarlijks testen en audits uitvoeren om de beveiliging van de systemen te testen - De gemeente stelt op basis van de resultaten uit de pentesten concrete verbeterplannen op en volgt deze op.

54

7.

8.

9.

- Het totaal aan beveiligingsmaatregelen geeft voldoende waarborgen voor een goede bescherming van de (bijzondere) persoonsgegevens die de gemeente in beheer heeft - De gemeente heeft afdoende technische maatregelen getroffen om ongeautoriseerde interne en externe toegang te voorkomen. - Op de systemen waarin (bijzondere) persoonsgegevens In hoeverre wordt in de organisatie van de worden verwerkt is logging aanwezig. gemeente Zeist vastgelegd wie wanneer toegang vraagt tot bestanden met gevoelige - De gemeente heeft de capaciteit om de loggingbestanden regelmatig te controleren.

Is het mogelijk om oneigenlijke toegang te krijgen tot gevoelige informatie die de gemeente in beheer heeft?

informatie (het loggen)? Hoe is het autorisatiebeleid vorm gegeven?

10. Welke adviezen zijn te geven aan college, gemeentelijke organisatie en de gemeenteraad?

- De gemeente werkt met een autorisatiematrix, of vergelijkbaar Identity Access Managementsysteem (IAM) waarin toegang tot informatie op basis van rollen wordt toegekend. - Bij in-, door- en uitstroom van medewerkers worden de autorisaties aangepast. - De autorisaties worden regelmatig op juistheid gecontroleerd. Geen normen.

55

Bijlage 3. Lijst van geraadpleegde stukken en respondenten Geraadpleegde stukken -

Accountantsverslag 2022 Gemeente Zeist Concept 25-05-2023 Analyse Holmes Gemeente Zeist april 2022 Bijlage 1. Managementletter Zeist 2022 Beleidsnotitie Bedrijfs Continuïteits Management BCM Bestuurlijke rapportage Informatieveiligheid 2020, Jaarplan informatieveiligheid 2021-2022 Bijlage 2 BCM Crisisstructuur en opschaling Bijlage beleidsnotitie BCM Checklist cybercrisis Collegevoorstel ENSIA 2022 inzake informatieveiligheid Coordinated Vulnerability Disclosure 2023 CV BCM Cybersecurity CV Beleid Informatieveiligheid en privacy CV ENSIA rapportage 2021 CV Visiedocument Een goed leven in Zeist - ook digitaal _ Jaarverslag FG Deelnemersverslag peer to peer gesprek digitale veiligheid tussen Veere en Zeist Def Rapport AFAS Zeist V1.0 Def Rapport Subsidieproces Zeist Definitief Rapport Audit ITGC DigiD aansluitbeleid - Beveiligingsplan Zeist 2022 ENSIA Collegeverklaring 2022 - Gemeente Zeist FG-verslag_GZST_2022-2023 Gemeente Zeist - ENSIA 2021 compleet Informatieveilig 2030 – De juiste dingen goed doen! 10-11-2023 Monitoring bevindingen VIC en Accountant 2021 + KB Rapportage - pentest Blackbox external threat v0.1 RIB Visiedocument Een goed leven in Zeist - ook digitaal _ Jaarverslag FG Strategisch Informatieveiligheidsbeleid Zeist 2022-2026 Strategisch Privacybeleid Zeist 2022-2026 V 1.0 Proceskaart Proces 7 Proces VWO's (Verwerkingsovereenkomsten) V 1.0 Processtroom Proces 7

VWO's V 1.0 Toelichting processtappen Proces 7 VWO's V1.0 Proceskaart Proces 11 Proces Melden Datalekken en Beveiligingsincidenten V1.0 Processchema Proces 11 Proces Melden Datalekken en Beveiligingsincidenten V1.0 Toelichting Processtappen Proces 11 Proces Melden Datalekken en Beveiligingsincidenten vastgesteld voorstel 29 maart 2022 Veilig werken onboardingsweek Verklaring van toepasselijkheid januari 2023 Visie en missie subopgave veilig werken 2021

56

-

Visiedocument Een goed leven in Zeist - ook digitaal 2023

Respondenten -

Bedrijfskundig adviseur Chief Information Security Officer en strategisch adviseur Coördinator functioneel beheer Functionaris gegevensbescherming Informatieadviseur Kwaliteitsmedewerker HR Kwaliteitsmedewerker Sociaal Domein Privacyofficer Proces- en informatiebeheerder Informatieveiligheid Teamleider Sociaal Domein Teammanager Control en concerncontroller Teammanager Informatieveiligheid Teammanager P&O

57

Bijlage 4. Richtlijnen/procedures voor Informatiebeveiliging en privacy

58

Bijlage 5. Volwassenheidsniveau NOREA Bron: Handreiking bij Volwassenheidsmodel Informatiebeveiliging, januari 2019, Nederlandse Nederlandse Beroepsorganisatie van Accountants.

59