RIB21.146 Bestuurlijke rapportage Informatieveiligheid

Publiekshal ▪ Het Rond 1, Zeist

www.zeist.nl ▪ www.twittter.com/gemeentezeist

Postbus 513, 3700 AM, Zeist

www.facebook.com/gemeentezeist

Telefoon 14 030 ▪ zeist@zeist.nl

Aan de gemeenteraad

Ontv. Griffie 20-07-2021/RIB21.146

Datum

20 juli 2021

Burgerservicenummer Bijlage(n) Onderwerp

Ons kenmerk

416047

Uw kenmerk

1 Bestuurlijke rapportage Informatieveiligheid

Behandeld door

Antoinette van Leeuwen

Portefeuillehouder

W. Catsburg

Geachte leden van de raad, Voor u ligt de bestuurlijke en integrale rapportage over de staat van de informatieveiligheid van de gemeente Zeist in 2020 als onderdeel van de ENSIA. De rapportage is gebaseerd op de verschillende zelfevaluaties en een vragenlijst die uitgaat van een landelijk gemeentelijk normenkader (Baseline Informatieveiligheid Overheid ofwel BIO), die de stand van zaken peilt inzake de inrichting van de Informatiebeveiliging bij gemeenten. Informatie is één van de voornaamste bedrijfsmiddelen van de gemeente. Het verlies van gegevens, uitval van ICT, of het door onbevoegden kennisnemen of manipuleren van informatie kan ernstige gevolgen hebben voor de bedrijfsvoering en dienstverlening, leiden tot imagoschade en verlies van vertrouwen in de overheid. Als gemeente hebben we een groot aantal (bijzondere) persoonsgegevens in beheer (de inwoner blijft eigenaar van zijn eigen persoonsgegevens), onder andere voor uitvoering van de wet en om goede dienstverlening te kunnen bieden. Het in bezit en beheer hebben van deze persoonsgegevens maakt ons extra kwetsbaar. Om dreigingen en verstoringen te voorkomen wordt continue ingespeeld op veranderingen 1 en gefocust op mogelijke verbeteringen.

Het zijn van een betrouwbare organisatie voor inwoners en ondernemers staat bij ons hoog in het vaandel, waarbij continue afwegingen worden gemaakt en de balans wordt gezocht tussen veiligheid en toegankelijkheid. De afhankelijkheid van en toegang tot (betrouwbare) informatie zijn actuele thema’s geworden. De (digitale) dreigingen en verstoringen nemen, mede door technologische ontwikkelingen, toe en daarmee ook de kwetsbaarheid van de gehele gemeentelijke informatievoorziening. Deze trend zien we landelijk terug, denk hierbij aan Hof van Twente, Lochem, Universiteit van Maastricht en dichter bij huis de kwetsbaarheden in Citrix bij de RID/RSD begin 2020, maar ook Internationaal. Zeker in het afgelopen (corona) jaar zijn mede door het online werken de dreigingen en risico’s toegenomen. In het afgelopen jaar hebben we versneld beleid en oplossingen moeten leveren en implementeren om de risico’s te minimaliseren en de (online) bedrijfsvoering en dienstverlening veilig te continueren. Dit heeft er wel toe geleid dat enkele acties beperkter zijn opgepakt en soms zijn doorgeschoven naar het jaarplan 2021/2022.

1

Met betrouwbaar wordt bedoeld: beschikbaarheid (continuïteit van de bedrijfsvoering), integriteit (juistheid, volledigheid) en vertrouwelijkheid (geautoriseerd gebruik) van gegevens en informatie.

Austerlitz ▪ Bosch en Duin ▪ Den Dolder ▪ Huis ter Heide ▪ Zeist

2

In de afgelopen jaren zijn al vele beheersmaatregelen genomen, vanuit de benadering van risicomanagement. Een soortgelijke aanpak wordt er gehanteerd bij privacyvraagstukken: “pas toe of leg uit”. Dit vereist naast het uitvoeren van zelfaudits vervolgens een bewuste en weloverwogen benadering en risicoafweging, om vervolgens op basis van die afweging keuzes te maken. Na het vaststellen van visie en beleid en het opleveren van een ‘state of the art’ datacenter, ligt de nadruk bij de beheersmaatregelen nu op het verhogen van de digitale weerbaarheid. Niet alleen van de interne organisatie, maar ook van onze ketenpartners, de gemeenschappelijke regelingen en van onze inwoners en ondernemingen. En daar hoort het creëren van verdere bewustwording op een veilige houding en gedrag bij. Het gaat immers om mensen, de manier waarop we werken het gereedschap waarmee het werk verricht wordt, over eigenaarschap, professionaliteit, risicobewustzijn en verantwoordelijkheid nemen. De risico’s rondom de vertrouwelijkheid, integriteit en beschikbaarheid van informatie(systemen) maken dat het onderwerp informatiebeveiliging niet mag ontbreken op de bestuurstafel. En vragen naast een heldere bestuurlijke visie ook om duidelijke beleidskaders:  Wij zetten structureel in op het verhogen van Informatieveiligheid en verdere professionalisering van de informatieveiligheidsfunctie in onze organisatie.

 Een betrouwbare informatievoorziening is noodzakelijk voor het goed functioneren van ons als gemeente en de basis voor het beschermen van rechten van burgers en bedrijven.  Dit vereist een integrale aanpak, goed opdrachtgeverschap en risicobewustzijn. Ieder organisatieonderdeel en alle medewerkers zijn hierbij betrokken. Om de digitale weerbaarheid, die wij als gemeente nastreven, blijvend op peil te houden moet Informatieveiligheid op de (bestuurlijke) agenda blijven. Het vergt continue inspanning om onze weerbaarheid op het door de organisatie gewenste niveau te krijgen en te houden. Het samenspel tussen het leveren van een excellente dienstverlening en het omgaan met informatieveiligheid is blijvend ‘doen, leren en ontwikkelen’, met aandacht voor kennis, houding en gedrag. Uit de beoordeling van de ENSIA zelfaudit blijkt dat alle voor Zeist van toepassing zijnde normen zijn geïmplementeerd en zelfs veelal een score van 100% hebben. Denk hierbij bijvoorbeeld aan de kwaliteit van de BAG gegevens of de naleving van het proces bij Reisdocumenten. Dit betekent dat we hiervoor onze zaken goed op orde hebben. De aandacht gaat uit naar normen waar nog een verdere verbeterslag op kan plaatsvinden. Mocht er behoefte zijn aan een mondelinge toelichting wordt dit door de CISO opgepakt en indien nodig een bijeenkomst gepland. We vertrouwen u hiermee voldoende te hebben geïnformeerd.

Voor vragen kunt u terecht bij Antoinette van Leeuwen (a.van.leeuwen@zeist.nl)

Hoogachtend, burgemeester en wethouders van Zeist, de gemeentesecretaris,

de burgemeester,

dr. H.S. Grotens

drs. J.J.L.M. Janssen

Austerlitz ▪ Bosch en Duin ▪ Den Dolder ▪ Huis ter Heide ▪ Zeist

Bestuurlijke rapportage informatieveiligheid 2020 Gemeente Zeist

Documentcode: Versie Versiedatum Gemaakt door: Goedgekeurd door V-Classificatie

0486668 Bijlage 1. bij Collegevoorstel 416047 (zaaknummer 0416047) 1.0 6 juli 2021 Rob Buning & Antoinette van Leeuwen College van B&W Intern document

Inhoudsopgave Inhoud 1.

MANAGEMENTSAMENVATTING .......................................................................... 4

2.

WAAR GAAT INFORMATIEVEILIGHEID OVER? ....................................................... 5 2.1. 2.2. 2.3.

3.

INLEIDING ............................................................................................................................................... 5 W AT IS INFORMATIEVEILIGHEID? ........................................................................................................... 5 HOE IS DE BESTUURLIJKE RAPPORTAGE OPGEBOUWD? ....................................................................... 6

RAPPORTAGE INFORMATIEVEILIGHEID ............................................................... 7 3.1. W AT IS DE STAND VAN ZAKEN? .............................................................................................................. 7 3.1.1. Cybercrime .............................................................................................................................. 7 3.1.2. Verhogen van de digitale weerbaarheid ................................................................................. 7 3.1.3. Participeren in GGI eilig: eten at er speelt .................................................................... 8 3.1.4. Informatieveiligheid borgen in samenwerkingsverbanden ...................................................... 8 3.1.5. Digitale identiteit van medewerkers ....................................................................................... 9 3.1.6. Bedrijfscontinuïteit .................................................................................................................. 9 3.1.7. Informatie op de juiste plek en veilig delen van informatie ................................................... 10 3.1.8. Resultaten van de zelfaudit op de kernapplicaties. ............................................................... 10 3.2.

W ELKE ACTIES ZIJN AFGELOPEN JAAR GENOMEN? ............................................................................. 12

4.

JAARPLAN 2021-2022 ...................................................................................... 15 4.1. 4.2. 4.3.

RESULTATEN METING ........................................................................................................................... 15 OVERZICHT BEHEERSMAATREGELEN JAARPLAN 2021/2022.............................................................. 15 CHECK MAATREGELEN ......................................................................................................................... 17

BIJLAGE 1. OVERZICHT BEVEILIGINGSINCIDENTEN 2020 ............................................ 18

Bestuurlijke rapportage Informatieveiligheid 2020 en jaarplan 2021-2022

3

1. Managementsamenvatting “Sturen op veilig gedrag, naast sturen op snel, efficiënt en kosteneffectief werken, vergt doorlopende aandacht van het management. Geen medewerker wil een datalek, een hack of een storing veroorzaken. Toch gebeurt dat af en toe wel doordat men niet wordt beoordeeld op veilig gedrag, en omdat de beschikbare middelen niet aansluiten bij de behoefte van medewerkers. Het is zaak een digitale veiligheidscultuur te cultiveren waarin veilig werken beloond wordt, medewerkers niet schromen om onveilige situaties te melden en waarin onveilige situaties ook daadwerkelijk worden voorkomen of verholpen.” Uit: Dreigingsbeeld Informatiebeveiliging Nederlandse Gemeenten 2021/2022 1

Voor u ligt de integrale rapportage over de staat van de informatieveiligheid van de gemeente Zeist. Informatie is één van de voornaamste bedrijfsmiddelen van de gemeente. Het verlies van gegevens, uitval van ICT, of het door onbevoegden kennisnemen of manipuleren van informatie kan ernstige gevolgen hebben voor de bedrijfsvoering en dienstverlening, leiden tot imagoschade en verlies van vertrouwen in de overheid. Als gemeente hebben we een groot aantal (bijzondere) persoonsgegevens in beheer (de inwoner blijft eigenaar van zijn eigen persoonsgegevens), onder andere voor uitvoering van de wet en om goede dienstverlening te kunnen bieden. Het in bezit en beheer hebben van deze persoonsgegevens maakt ons extra kwetsbaar. Om dreigingen en verstoringen te voorkomen wordt continue ingespeeld op veranderingen en gefocust op mogelijke verbeteringen. Het zijn van een betrouwbare2 organisatie voor inwoners en ondernemers staat bij ons hoog in het vaandel, waarbij continue afwegingen worden gemaakt en de balans wordt gezocht tussen veiligheid en toegankelijkheid. Afhankelijkheid van en toegang tot (betrouwbare) informatie zijn actuele thema’s geworden. Met een toename van (digitale) dreigingen en verstoringen, mede door technologische ontwikkelingen, en daarmee ook van de kwetsbaarheid van de gehele gemeentelijke informatievoorziening.

Deze trend zien we landelijk terug, denk hierbij aan Hof van Twente, Lochem, Universiteit van Maastricht en dichter bij huis de kwetsbaarheden in Citrix bij de RID/RSD begin 2020, maar ook Internationaal. Zeker in het afgelopen (corona) jaar zijn door het online werken de dreigingen en risico’s toegenomen. In het afgelopen jaar hebben we versneld beleid en oplossingen moeten leveren en implementeren om de risico’s te minimaliseren en de (online) bedrijfsvoering en dienstverlening veilig te continueren. Dit heeft er wel toe geleid dat enkele acties beperkter zijn opgepakt en soms zijn doorgeschoven naar het jaarplan 2021/2022. In de afgelopen jaren zijn al vele beheersmaatregelen genomen, vanuit de benadering van risicomanagement. Een soortgelijke aanpak wordt er gehanteerd bij privacyvraagstukken: “pas toe of leg uit”. Dit vereist naast het uitvoeren van zelfaudits vervolgens een bewuste en weloverwogen benadering en risicoafweging, om vervolgens op basis van die afweging keuzes te maken. Na het vaststellen van visie en beleid en het opleveren van een ‘state of the art’ datacenter, ligt de nadruk bij de beheersmaatregelen nu op het verhogen van de digitale weerbaarheid. Niet alleen van de interne organisatie, maar ook van onze ketenpartners, de gemeenschappelijke regelingen en van onze inwoners en ondernemingen.

En daar hoort het creëren van verdere bewustwording op een veilige houding en gedrag bij. Het gaat immers om mensen, de manier waarop we werken het gereedschap waarmee het werk verricht wordt, over eigenaarschap, professionaliteit, risicobewustzijn en verantwoordelijkheid nemen.

1 Dreigingsbeeld-informatiebeveiliging-IBD-2021-22-1.pdf (informatiebeveiligingsdienst.nl)

2

Met betrouwbaar wordt bedoeld: beschikbaarheid (continuïteit van de bedrijfsvoering), integriteit (juistheid, volledigheid) en vertrouwelijkheid (geautoriseerd gebruik) van gegevens en informatie.

Bestuurlijke rapportage Informatieveiligheid 2020 en jaarplan 2021-2022

4

2. Waar gaat Informatieveiligheid over? 2.1.

Inleiding

Een veilige betrouwbare informatievoorziening is noodzakelijk voor het goed functioneren van elk organisatieonderdeel van de gemeente Zeist en vormt de basis voor het beschermen van rechten van inwoners en bedrijven. Hierbij is Informatiebeveiliging nauw verweven met veiligheid en het beschermen van de persoonlijke levenssfeer van onze inwoners en het borgen van publieke waarden zoals transparantie, toegankelijkheid, begrijpelijkheid en menselijkheid. Dit vereist een integrale aanpak, goed opdrachtgeverschap en risicobewustzijn. Het niet of onvoldoende borgen van informatieveiligheid levert risico’s op. Zeker in de het afgelopen jaar hebben we een toename gezien van dreigingen en verstoringen. Deze kunnen leiden tot imagoschade, politieke schade, verstoring van bedrijfsvoering en dienstverlening en (indirecte) financiële schade door de boetes die kunnen worden opgelegd. Maar heeft vooral consequenties voor het niet kunnen voldoen aan het zijn van de betrouwbare digitale overheid die we willen zijn. In 2020 is in een afstudeerproject van een student van de Hogeschool Utrecht Integrale Veiligheid, een onderzoek uitgevoerd naar de ‘stand’ van Informatieveiligheid binnen onze organisatie. Uit deze enquête is veel waardevolle informatie naar voren gekomen, maar één punt stak daar met kop en schouders bovenuit.

Er is bij veel collega’s behoefte aan extra kennis en informatie over dit onderwerp. De uitkomsten hebben we vertaald naar de plannen voor verdere bewustwording, met als doel het verhogen van de digitale weerbaarheid. Eenduidige Normatiek Single Information Audit (ENSIA) De ENSIA (Eenduidige Normatiek Single Information Audit), heeft tot doel het verantwoordingsproces over informatieveiligheid bij gemeentes verder te professionaliseren door het toezicht te bundelen en aan te sluiten op de gemeentelijke Planning & Control-cyclus. Uitgangspunt is dat de gemeente één keer per jaar een zelfevaluatielijst invult (ofwel Single Information Audit). Er is een horizontale verantwoording: denk aan een IT audit, een collegeverklaring, een passage over Informatieveiligheid in het jaarverslag en onderliggende bestuurlijke rapportage. En er is een verticale verantwoording, waarbij de gemeente verantwoording aflegt aan de verschillende departementen, denk bijvoorbeeld aan verantwoording over Suwinet (zie 3.1.8). Het normenkader: Baseline Informatieveiligheid Overheid (BIO) De rapportage is gebaseerd op een zelfevaluatie, en de vragenlijst die uitgaat van het inmiddels één landelijk normenkader voor de gehele overheid: de Baseline Informatieveiligheid Overheid (BIO). Deze peilt de stand van zaken inzake de inrichting van de informatiebeveiliging.

De BIO positioneert de bestuurder en het management nog sterker dan voorheen in de rol waarin risico-gebaseerd wordt gestuurd op informatieveiligheid.

2.2.

Wat is Informatieveiligheid?

Informatieveiligheid is het samenhangend stelsel van beheersingsmaatregelen, dat de Continuïteit van de bedrijfsvoering, de Betrouwbaarheid/Integriteit van de gegevens en de Vertrouwelijkheid van de gegevensverwerking, en dus de Informatievoorziening garandeert. In de gemeentelijke visie op Informatieveiligheid komt tot uitdrukking dat we een betrouwbare overheid willen zijn. Ieder organisatieonderdeel en alle medewerkers zijn hierbij betrokken om dit te bereiken.

Bestuurlijke rapportage Informatieveiligheid 2020 en jaarplan 2021-2022

5

In het Informatieveiligheidsbeleid “Weerbaarder verder…”3 zijn de beleidsprincipes verwoord die we hanteren bij het verder ontwikkelen van beheersmaatregelen, spelregels en afspraken rondom informatieveiligheid, dit zijn:  Informatieveiligheid zit in ons DNA (informatieveiligheidsbeleid)  Aansluiten op bestaande standaarden (informatieveiligheidsbeleid)  Informatieveiligheid is van iedereen (personeel)  De gemeente blijft eindverantwoordelijk (computer- en netwerkbeheer)  Incidenten worden gemeld (beheer van informatieveiligheidsincidenten)  Privacy en vertrouwelijke informatie (naleving)  Wettelijke verplichtingen en auteursrechtelijk beschermd materiaal (naleving) Samenvattend: Informatieveiligheid is geen doel op zich, maar moet de primaire bedrijfsprocessen ondersteunen en de veilige en verantwoorde uitvoering daarvan mogelijk maken. Informatieveiligheid dient dus vanuit het primaire proces gestuurd te worden, daar waar het eigenaarschap van de informatie ligt.

2.3.

Hoe is de bestuurlijke rapportage opgebouwd?

De zelfevaluatie gaat over meer dan honderd vragen en antwoorden. De gemeente kan per vraag een stand van zaken, risico inschatting en opvolging definiëren als antwoord. Dat doet de complexe materie geen recht en er ontbreekt overzicht op de onderlinge samenhang. Deze samenhang hebben we daarom alsnog aangebracht in deze bestuurlijke rapportage. Dit hebben we gedaan door niet alleen te kijken naar het normenkader en de resultaten uit de zelfaudits, maar ook door op basis van risicobepaling te kijken wat wij als risico zien en ervaren in de dagelijkse praktijk. In deze rapportage leest u in hoofdstuk 3 treft u een toelichting aan op de stand van zaken van de informatieveiligheid. Aansluitend een overzicht van wat we afgelopen jaar hebben gerealiseerd en welke opvolging er gewenst is. In hoofdstuk 4: Jaarplan Informatieveiligheid 2021-2022 een overzicht van de beheersmaatregelen die gepland staan om in de komende periode uit te voeren. In bijlage 1 treft u een overzicht aan van beveiligingsincidenten die in 2020 zijn behandeld door de Security Officer.

3 “Weerbaarder verder...” Beleid Informatieveiligheid & privacy” (kenmerk: 272306)

Bestuurlijke rapportage Informatieveiligheid 2020 en jaarplan 2021-2022

6

3. Rapportage Informatieveiligheid De gemeente Zeist is zelf verantwoordelijk voor het opstellen en/of uitvoeren en/of handhaven van de regels voor wat betreft Informatieveiligheid. Hierbij geldt dat er wetgeving is waar altijd aan voldaan moet worden (BRP, SUWI, BAG et cetera). En er een gemeenschappelijk normenkader is als basis (Baseline Informatiebeveiliging Nederlandse Overheid (BIO), waarbij er ruimte is voor afweging en prioritering op basis van het ‘pas toe of leg uit’ principe.

3.1.

Wat is de stand van zaken?

Aan de hand van enkele thema’s treft u een overzicht aan van de grootste risico’s, de stand van zaken en de opvolging die wordt vereist. De uitgevoerde zelf audits, het Dreigingsbeeld 2021-20224 van de Informatie Beveiligings Dienst (IBD) en de dagelijkse praktijk bieden de basis voor deze rapportage. Ook de inzichten vanuit publicaties zoals het Cyber securitybeeld Nederland van het National Cyber Security Center (NCSC) en de Agenda digitale veiligheid 2020-2024 dragen hieraan bij. Omdat informatieveiligheid over risicomanagement gaat, heeft er een risicobepaling plaatsgevonden. Dit hebben we gedaan door niet alleen te kijken naar het normenkader en de resultaten uit de zelfaudits, maar ook door als team Informatieveiligheid een risicobepaling uit te voeren en te kijken wat wij als risico zien en ervaren in de dagelijkse praktijk.

3.1.1. Cybercrime Cyberincidenten kunnen onze maatschappij in het hart raken en gedurende korte of langere tijd verlammen. Het afgelopen jaar zijn er verschillende incidenten geweest waarbij duidelijk werd wat de impact van een digitale storing of aanval kan zijn. De kwetsbaarheden in Citrix-producten en ransomware-aanvallen zoals op de gemeente Lochem en de Universiteit Maastricht en de hack bij Hof van Twente, zijn voorbeelden daarvan. Onze maatschappij is in grote mate afhankelijk van digitale processen en analoge terugvalopties zijn niet altijd voorhanden. Door de situatie die is ontstaan door corona, waarbij veel meer via digitale weg wordt gedaan, zijn we afhankelijker en kwetsbaarder geworden. Dit blijkt ook uit het jaarlijkse Cybersecuritybeeld Nederland (CSBN) 5 van de Nationaal Coördinator Terrorismebestrijding en Veiligheid (NCTV), dat in samenwerking met Nationaal Cyber Security Centrum (NCSC) is opgesteld. In Zeist wordt vanuit team Veiligheid regionaal samengewerkt met de VRU, politie en diverse partijen. De focus ligt op bewustwording en verhogen van de digitale weerbaarheid van de samenleving met een nadruk op ouderen en jongeren. Maar vertaalt zich ook naar de interne organisatie.

3.1.2. Verhogen van de digitale weerbaarheid In 2020 was er veel aandacht voor digitale en technologische ontwikkelingen en de daarbij behorende risico’s. En daarbij aandacht voor (be)dreigingen en voor veiligheid, zoals verwoord in de publicatie ‘Agenda Digitale Veiligheid 2020-2024: een veilige digitale gemeente’6, en in het verlengde daarvan het verhogen van de digitale weerbaarheid van overheid en samenleving. Digitale veiligheid is een zaak van de gehele overheid, waarbij gemeenten een belangrijk aandeel hebben in de verantwoordelijkheid voor een veilige samenleving die zich in toenemende mate online afspeelt. Gemeenten moeten daarbij zich bewust zijn van de kansen en risico’s van digitalisering voor de eigen organisatie, ketenpartners, gemeenschappelijke regelingen en haar inwoners en ondernemers 7.

4

Dreigingsbeeld-informatiebeveiliging-IBD-2021-22-1.pdf (informatiebeveiligingsdienst.nl)

5 Cybersecuritybeeld Nederland (CSBN) 2020 | Publicatie | Nationaal Cyber Security Centrum (ncsc.nl) 6 VNG_agenda_digitale_veiligheid_2020-2024_def_0.pdf 7 resolutie-digitale-veiligheid-versie-3-december-2020.pdf (vng.nl)

Bestuurlijke rapportage Informatieveiligheid 2020 en jaarplan 2021-2022

7

Informatiebeveiliging is een proces van plannen, uitvoeren, controleren en bijstellen. Gemeenten groeien in volwassenheid van informatiebeveiliging, waarbij de focus verschuift van reageren op incidenten naar het herkennen en voorkomen van incidenten. Een digitaal weerbare gemeente kan potentiële incidenten vroegtijdig signaleren en de gevolgen ervan beperken, omdat de juiste maatregelen zijn getroffen en dit verhoogt de digitale weerbaarheid van gemeenten. Om de beheersmaatregelen en de zo geheten zelfevaluaties (controleerbaar) te managen maakt Zeist gebruik van een Information Security Management Systeem (ISMS). Dit is een hulpmiddel om integraal te sturen, te bewaken en te verantwoorden. In control zijn betekent in dit verband dat de gemeente weet welke maatregelen genomen zijn, dat er een planning is van de maatregelen die nog niet genomen zijn, en dat dit geheel verankerd is in de plan-do-check-act cyclus (PDCA-cyclus).

3.1.3. Participeren in GGI eilig:

eten at er speelt

Zeist is actief deelnemer in het VNG programma GGI-veilig8, een van de grootste landelijke aanbestedingen in drie functionele percelen, die tot doel heeft de weerbaarheid van gemeenten te vergroten. Dit VNG initiatief valt onder de overkoepelende noemer: “één overheid / samen organiseren”. We participeren hier bewust in vanuit de wetenschap dat we alleen in samenwerking met elkaar de dreigingen in de toekomst aankunnen (leren van elkaar). We trekken hierin samen op met Nieuwegein.

, Omdat Zeist in alle drie percelen actief is, profiteren we maximaal van de producten binnen de percelen. Zeist heeft via GGI-veilig in 2020 de firewall vervangen (perceel 2), een pentest uit laten voeren (perceel 3) en bereid zich nu voor op aansluiting van SIEM-SOC9 (perceel 1). Het laatstgenoemde draagt sterk bij aan ‘weten wat er speelt’ en daarmee het voorkomen van datalekken of hackaanvallen, doordat er snel gereageerd kan worden als er iets ‘speelt’ waar de beveiliging in geding is.

3.1.4. Informatieveiligheid borgen in samenwerkingsverbanden De ENSIA zelfevaluatie vraagt met nadruk om het goed inrichten en borgen van informatieveiligheid binnen de samenwerking met externe partijen (ketenpartners en samenwerkingsverbanden). 8 De GGI (Gemeentelijke Generieke Infrastructuur) is een veilige, samenhangende digitale infrastructuur

waardoor samenwerken tussen gemeenten en andere overheden beter, veiliger 9

SIEM: Security Information & Event Managementsystem. Een systeem dat autonoom en zo veel mogelijk ‘realtime’ informatie (logs) verzameld van interne systemen/software/apparatuur. SOC: Security Operations Center. Een centrale plek waar de verzamelde informatie geanalyseerd en vertaald wordt naar acties. Collectiviteit is hierbij een essentieel punt. 24/7 en ‘live’.

Bestuurlijke rapportage Informatieveiligheid 2020 en jaarplan 2021-2022

8

Gemeentes zijn hierbij niet alleen verantwoordelijk voor zorgvuldig omgaan met persoonsgegevens in de ketens die zij regisseren en de netwerken waarin ze samenwerken. Daarbij is het van belang om te weten waar ieders verantwoordelijkheid begint en eindigt. De gemeente participeert op allerlei gebieden in diverse samenwerkingsverbanden, bijv. Regionale Sociale Dienst, Gemeentelijke Heffingen, RMN, Leerplicht etc. Binnen de samenwerkingsverbanden staat Informatiebeveiliging inmiddels op de agenda, maar per samenwerkingsverband verschilt het in de mate waarin het is georganiseerd. Dit is bij de besturen niet altijd helder in beeld. Daarom is verdere bewustwording van management en bestuur bij de bestaande samenwerkingsverbanden essentieel. Het vereist, onder andere bij het actualiseren van bestaande overeenkomsten, het nemen van de juiste maatregelen en opstellen van juiste verwerkersovereenkomsten en/of convenanten) en het organiseren van verdere bestuurlijke verantwoording op Informatieveiligheid. Onderdeel hiervan is ook het maken van (bestuurlijke) afspraken voor wat betreft het borgen van de regionale verantwoordelijkheden over informatieveiligheid als onderdeel van de samenwerking. En het jaarlijks daarover bestuurlijk verantwoording afleggen naar de deelnemende gemeentes.

3.1.5. Digitale identiteit van medewerkers Medewerkers, intern en extern, komen binnen bij de organisatie, veranderen van functie en afdeling, werken thuis op eigen apparatuur en verlaten de organisatie. Het bijhouden van welke toegangsrechten tot systemen, programmatuur en gegevens de medewerker krijgt en houdt is een complex proces dat bij de toegangspoort strikte eisen stelt, maar ook gemonitord moet worden. Een sterk groeiend risico komt voort uit de complexiteit van het beheer van de (digitale) identiteit van medewerkers. Het vereist samenwerking tussen HRM, Facilitaire zaken en de verantwoordelijke managers en bewustwording van medewerkers inzake veiligheidsrisico’s. Centraal in dit thema staat het in-, door- en uitstroomproces van medewerkers en overige die op enig moment toegang krijgen tot gebouwen en ICT voorzieningen. Inclusief het vastleggen van verantwoordelijkheden. Deze processen zijn opnieuw geijkt en de doorontwikkeling richt zich het verder professionaliseren van het wijzigingsbeheer. Doel is om te weten wie iemand is en tot welke processen, ICT voorzieningen en gegevens diegene toegang heeft. Het is zaak om het personeelsproces in al zijn aspecten (P&O, Facilitair, ICT) scherp te houden.

En het bewustzijn van medewerkers en management over veilig gebruik en veilige toegang tot (mobiele) apparaten en gegevens in alle (werk)omstandigheden, blijvend te stimuleren.

3.1.6. Bedrijfscontinuïteit Intern, maar ook in samenwerking met partners in de regio wordt de gemeente steeds meer afhankelijk van het optimaal functioneren van ICT voorzieningen. Dit risico is onderkend en er wordt inmiddels gewerkt om het Business Continuity Management (BCM) in samenwerking met crisismanagement op orde te krijgen. Na de ingebruikneming van het nieuwe datacenter in samenwerking met de gemeente Nieuwegein is een wederzijdse ICT uitwijk gerealiseerd. Daarmee is de continuïteit van ICT voorzieningen als centrale voorziening geborgd. De uitwijk heeft als primair doel voorkomen van dataverlies en continuïteit van dienstverlening. In een alternatieve werklocatie, werkplekken en ICT voorzieningen op die werkplekken is nog niet voorzien. De uitwijk van de aansluiting op landelijke voorzieningen voor de basisregistratie personen (BRP) en de basisregistraties adressen en gebouwen (BAG) is conform de wettelijke verplichting geregeld.

Bestuurlijke rapportage Informatieveiligheid 2020 en jaarplan 2021-2022

9

Op het gebeid van bedrijfscontinuïteit bij calamiteiten dienen er nog zaken geregeld te worden. Naast processen en samenwerken met de veiligheidsregio moeten we hierbij ook denken aan het preventief maken en nemen van afspraken en besluiten en het bestuurlijk doorleven van een calamiteit het doorlopen van oefeningen (zogeheten crisis en cyber games).

3.1.7. Informatie op de juiste plek en veilig delen van informatie Gemeenten wisselen op alle beleidsterreinen informatie uit en beheren dat op vele manieren. Binnen de eigen organisatie, maar ook daarbuiten: met inwoners, ondernemers, ketenpartners en medeoverheden. Door informatie te delen kunnen gemeenten onder andere hun dienstverlening beter organiseren en de veiligheid van inwoners en bedrijven verbeteren. Als professionele organisatie past hierbij dat gemeenten ook de beveiliging van informatie adequaat organiseren. Veilig omgaan met informatie is essentieel in het dagelijkse werk. Het is zorgen voor de juiste balans in welke informatie je enerzijds als overheid daadwerkelijk nodig hebt (en deelt) zonder dat je inbreuk maakt op de privacyregels, en anderzijds je werk efficiënt kunt doen. Hierbij maak je continue (soms een juridische of ethische) afweging welke informatie, met wie en met welk doel je deelt en opslaat. En hoe je dit zo veilig mogelijk doet door gebruik te maken van de technische hulpmiddelen die hiervoor beschikbaar zijn gesteld (encryptie software). Het afsluiten van convenanten en opstellen van heldere instructies horen hier eveneens bij. Het gebruik van de verschillende opslagschijven en de komst van het gebruik van MS-teams vereist een nieuwe visie op Informatiemanagement. En het opstellen van spelregels voor het opslaan van informatie.

Bij de grotere kernapplicaties is hier inmiddels al mee gestart. 3.1.8.

Resultaten van de zelfaudit op de kernapplicaties.

Jaarlijks voert de gemeente zelfevaluaties uit over het gebruik van de door de gemeente beheerde basisregistraties. Deze zogeheten ENSIA zelfevaluaties zijn voor het jaar 2020 afgerond. De rapportages dienen ingediend te worden bij de toezichthouders in het kader van de verticale verantwoording. Deze verantwoording heeft al plaatsgevonden. Jaarlijks voert de gemeente zelfevaluaties uit over het gebruik van de door de gemeente beheerde basisregistraties. Deze zogeheten ENSIA zelfevaluaties zijn voor het jaar 2020 afgerond. Om als verantwoording van de gemeente te kunnen dienen moeten de evaluaties aan regels voldoen:  Zo dienen de resultaten inzake informatieveiligheid van ruimtelijk domein specifieke registraties: BAG (Basisregistratie Adressen), BGT (Basisregistratie Grootschalige Topografie) en BRO (Basis Registratie Ondergrond), vóór 1 mei kenbaar gemaakt te worden aan het Ministerie van BZK.  En met de Collegeverklaring inzake informatieveiligheid Suwinet, legt het College van B&W verantwoording af over in hoeverre de gemeente aan de beheersmaatregelen heeft voldaan, specifiek gericht op Suwinet. De beheersmaatregelen betreffen de voor de ENSIAverantwoording geselecteerde normen. Een bij de NOREA geregistreerde RE-auditor controleert de collegeverklaring en heeft een Assurance rapportage opgesteld. 

Zelfevaluatie BRP en Reisdocumenten Op dit onderdeel worden gemeenten geacht een minimale score te behalen. Zeist zit boven de norm. Zowel voor het onderdeel BRP en Reisdocumenten zijn er aanbevelingen voorgesteld. Deze hebben geen urgent of verplichtend karakter en deze aanbevelingen zijn opgenomen in het jaarplan van de afdeling Publiekszaken. Denk hierbij bijvoorbeeld aan het al dan niet opleggen van een bestuurlijke boete.

Bestuurlijke rapportage Informatieveiligheid 2020 en jaarplan 2021-2022

10

De zelfevaluatie BRP is afgerond met een score van 99,93 op een wettelijke norm van 99,56. Deze bestaat uit een ENSIA vragenlijst (score van 100% ) en vragenlijst zelfevaluatie BRP (score van 93%) De zelfevaluatie Reisdocumenten is afgerond met een score van 93,3 en een wettelijke norm van 93,2. Deze bestaat uit een ENSIA vragenlijst (score van 100%) en vragenlijst zelfevaluatie Reisdocumenten (score van 93,3%). 

Domein specifieke vragenlijsten BAG, BGT en BRO. Uit de zelfevaluaties BAG, BGT en BRO blijkt dat we boven de landelijke norm scoren (93%, 87% en 75%). Onze zorg zit niet op de onderdelen actualiteit, volledigheid en juistheid van de gegevens, want hier scoren we zo’n 100% op. Onze zorg zit op het aspect borging van de processen. Vooral de borging van de BRO verdient nog extra aandacht. Dit is mede vanwege de nieuwe en complexe materie en het feit dat het registreren niet regelmatig voorkomt, zoals bij de andere registraties. De verbeterpunten zijn opgenomen in het verbeterplan.



Suwinet bij RSD - KRH De interne beheersmaatregelen met betrekking tot Suwinet bij RSD-KRH voldoen niet aan alle toepasselijke normen en zijn daarom opgenomen in een verbeterplan. Door de IT-auditor is vastgesteld dat het onderdeel Suwinet-Inkijk aan alle normen voldoet, maar voor wat betreft het onderdeel Suwinet DKD-inlezen is vastgesteld dat niet aan alle normen is voldaan. RSD KRH heeft inmiddels een verbeterplan opgesteld om aan de normen te voldoen. Hierin zijn acties belegd en de acties worden gemonitord. De deelnemende gemeenten zullen hierover in gezamenlijkheid en in onderlinge afstemming met elkaar een dialoog onderhouden met de RSD KRH totdat de verbeterpunten zijn opgelost.

Bestuurlijke rapportage Informatieveiligheid 2020 en jaarplan 2021-2022

11

3.2.

Welke acties zijn afgelopen jaar genomen?

Veilig (en integer) werken staat in Zeist op de (politieke) agenda en in de afgelopen jaren zijn er al diverse beheersmaatregelen gerealiseerd. Dit blijft echter een continu proces, mede door de technologische ontwikkelingen, wijzigingen in de organisatie, toename van dreigingen en verstoringen en de gesignaleerde kwetsbaarheden en risico’s, zoals het online en thuiswerken en uiteraard de wetenschap dat je nooit 100% veilig kunt zijn. Het streven is om te voldoen aan onze eigen wens om een betrouwbare overheid en partner te willen zijn. Het normenkader en het nakomen van de afspraken over de ENSIA verantwoording geven ons hiervoor handvatten om de juiste afwegingen te kunnen maken (risicomanagement). Het daarbij leren van elkaar en het laag houden van de drempel om kwesties te melden zijn hierbij vanzelfsprekend. Onderstaand een korte weergave van acties die we in het afgelopen jaar hebben uitgevoerd. Zoals is te lezen lag er een grote druk op het zo spoedig en veilig mogelijk technische inregelen van en het ondersteunen bij het (nieuwe) online thuis, - en samenwerken. Dit heeft er wel toe geleid dat sommige acties voor dit jaar minder aandacht hebben gekregen. Denk hierbij aan het opstellen en inrichten van BCM en het uitvoeren van extra DPIA’s, opstellen van verwerkersovereenkomsten (VWO’s) en actualiseren van convenanten. 

Veilig online (samen)werken In 2020 heeft er door Corona een versnelling plaatsgevonden in het meer online samenwerken. Noodgedwongen is alles in het werk gesteld om de gehele organisatie inclusief bestuurders zo spoedig (en veilig) mogelijk in staat te stellen om hun werk te kunnen blijven doen en daarmee de dienstverlening te continueren. Onder andere is hardware versneld vervangen en verstrekt. En hebben we MS-teams als omgeving om samen te kunnen werken versneld uitgerold om in eerste instantie veilig digitaal te kunnen vergaderen en aansluitend interne en externe samenwerking te faciliteren. Dit alles inclusief trainingen, filmpjes et cetera. Met de uitrol en implementatie en verdere doorontwikkeling zijn we nog steeds bezig, mede door nieuwe wensen en mogelijkheden (denk aan Webinars, inwonersbijeenkomsten et cetera). Ook het (veilig) organiseren en begeleiden van de online Raadsvergaderingen had prioriteit. In deze periode was het echt pionieren op het gebied van veilig werken versus gebruikers gemak c.q. wensen.



Bewustwording Bewustwording of awareness met aandacht voor kennis, houding en gedrag is onlosmakelijk verbonden met het verhogen van de digitale weerbaarheid. En heeft alles te maken met het al dan niet aanwezig zijn van voldoende digitale vaardigheden. Digitale vaardigheden is daarom een essentieel punt binnen de bewustwording. Bewustwording geldt voor iedereen en het doel is dat deze structureel geborgd wordt en blijft en daarmee onderdeel wordt van ons DNA. Hier wordt op verschillende manieren aandacht aan gegeven, zoals in het introductie en inwerkprogramma en in de workshop “ik ben best wel Informatieveilig”. Tips op intranet, hulp bij phishingmails en structurele borging binnen de Zeist Academie (programma Holmes). En bij geconstateerde tekortkomingen worden collega’s persoonlijk benaderd door de servicedesk om uit te leggen wat er fout ging, waarom en hoe men dit kan voorkomen in de toekomst. Ook wordt er samenwerking met team veiligheid externe bewustwordingsacties georganiseerd. Zoals al eerder benoemd, het is en blijft mensenwerk! Hoewel begrijpelijk dat in de “hitte van het spel” de aandacht voor alle elementen van informatieveiligheid er soms nog bij inschiet, is dit niet acceptabel. De steeds hogere eisen aan informatieveiligheid vereisen, professionaliteit, risicobewustzijn en verantwoordelijkheid nemen op dit gebied.

Het moet, om het mooi te zeggen, onderdeel van je DNA worden, zodat je hier automatisch goed mee om gaat.

Bestuurlijke rapportage Informatieveiligheid 2020 en jaarplan 2021-2022

12



Dubbele verificatie (Two fact Authentication / 2FA) De digitale dreiging blijft toenemen en door corona heeft de digitalisering extra vaart gekregen, schreef het NCSC in juni. Aansluitend is gemeenten geadviseerd om “dubbele verificatie” (ofwel 2FA) aan te zetten, als een simpele manier om jezelf als persoon en organisatie te beschermen. Multifactorauthenticatie is een methode om de authenticiteit van een gebruiker te verifiëren op meer dan één enkele manier. Door meerdere factoren te combineren kan de beveiliging bij toegangscontrole worden aangescherpt. Een two factor authentication (2FA) is een authenticatie methode waarbij je twee stappen succesvol moet doorlopen om ergens toegang tot te krijgen. Eind 2019 zijn we in Zeist al beperkt begonnen met het toepassen van 2FA bij nieuwe SAAS diensten waarbij ook een Verwerkersovereenkomst is afgesloten, denk bijvoorbeeld aan Zorgned, PGAX en meer recentelijk het nieuwe Zaaksysteem. In 2021 is gestart met opstellen van een plan van aanpak om aansluitend 2FA verder te implementeren. Naast afsluiten bij toekomstige SAAS diensten ligt de focus op ‘intern” ofwel alles wat direct op het netwerk inlogt (laptops etc.).



Uitvoeren van een Data Protection Impact Analyse (DPIA) Voordat DPIA’s ‘verplicht’ werden heeft Zeist op een aantal kritische processen en systemen (de kroonjuwelen) al een dataclassificatie uitgevoerd om te bepalen hoe risicovol een informatiesysteem is. Ook heeft Zeist een in-company training gevolgd om zelfstandig een DPIA te kunnen voeren. Met die kennis en ervaring is begonnen met DPIA’s op een aantal processen. De beleidslijn is dat we bij nieuwe informatiesystemen standaard een DPIA uitvoeren. Als blijkt dat er al een DPIA is uitgevoerd, gebruiken we deze als basis om niet opnieuw het wiel uit te vinden (bijv. bij PGAX applicatie). Op informatiesystemen die worden uitgefaseerd voeren we geen DPIA meer op uit (denk aan het huidige Zaaksysteem). Jaarlijks bepalen we op welke informatie systemen we een DPIA uitvoeren. In 2020 is deze onder andere uitgevoerd op Zorgned, PGAX en in samenwerking met Utrecht op enkele Leerplicht systemen. De hieruit voortvloeiende maatregelen zijn ingepland om uitgevoerd te worden. Voor 2021 staat een DPIA gepland voor het nieuwe zaaksysteem, het nieuwe HRM systeem, en JVS (Leerling Volg Systeem). Het uitvoeren van een DPIA vindt in nauwe samenwerking plaats met de proceseigenaar, de leverancier, collega gemeenten, Functionaris Gegevensbescherming (FG) en er worden onderling door gemeenten ook informatie of zelfs volledige DPIA’s gedeeld.



Vraagstukken met een privacy component. In de afgelopen jaren zien we mede door de komst van de AVG, maar vooral een verhoogde belangstelling van burgers voor hun eigen privacy, een stijging van vraagstukken met een privacy component. Of om deze breder te benoemen een gegevensbeschermings component. Op de website10 is geregeld waar men terecht kan met vragen hierover. Intern spelen deze vragen ook: over het al dan niet registreren van bepaalde (persoons) gegevens of het combineren van (persoons)gegevens. Belangrijk is om in dit soort gevallen het gesprek aan te gaan en met elkaar te verkennen wat er mogelijk is. Het uitgangspunt (als afgeleide van de AVG) is om hierbij uit te gaan van registreren van een minimale gegevensverzameling, niet langer dan toegestaan vastleggen van de informatie en scherpte bij het samenvoegen (koppelen) van informatie en hierbij het ‘pas toe of leg uit’ principe te hanteren.

10 Persoonsgegevens en privacy (zeist.nl)

Bestuurlijke rapportage Informatieveiligheid 2020 en jaarplan 2021-2022

13



Screening van personeel In 2020 zijn de beleidsuitgangspunten opgesteld en is gestart met de implementatie van screening van personeel. Dit is een maatregel naast het opvragen van een VOG en het afleggen van de integriteitsbelofte. Voor extern personeel, ook via leveranciers, is het ondertekenen van een geheimhoudingsverklaring een onderdeel van de overeenkomst.



Het meldpunt datalekken De ervaring die het meldpunt afgelopen jaren heeft opgedaan heeft geleid tot een team die snel kan schakelen bij een melding. De (verantwoordelijk) wethouder en indien nodig de Raad, worden, conform de procedure, geïnformeerd. En er vindt continu afstemming en evaluatie plaats om te blijven leren van de meldingen. De betrokkenen op wie de melding betrekking had en ook de melder (dus ook als dit een externe betreft), worden of door de melder of door een lid van het meldpunt bij voorkeur persoonlijk geïnformeerd over de melding en de afwikkeling. Dit wordt als positief ervaren. De meldingen worden standaard, afhankelijk van omvang en impact, onderzocht, geanalyseerd en geregistreerd. Ook de meldingen in 2020 zijn, net als voorgaande jaren, vooral te classificeren als gebruikersfouten (vooral het gebruiken van een verkeerd emailadres, verkeerde bijlage in een envelop, het niet gebruiken van de BCC of het verkeerd anonimiseren van stukken. Er vindt altijd analyse plaats van het proces om helder te krijgen of er opnieuw een datalek kan ontstaan. Als die kans aanwezig is worden er aanvullende maatregelen genomen. Tijdens het inwerkprogramma wordt aandacht besteed aan de omgang met gegevens en het meldpunt datalekken. Dit heeft geleid tot een grote bekendheid met het meldpunt en wat je het beste kunt doen bij een (vermeend)datalek.

Het is mooi om te zien dat de drempel om te melden laag blijft maar de verantwoordelijk die collega’s nemen bij het melden en afwikkelen van een melding, hoog.



Doorontwikkeling datacenter in samenwerking met gemeente Nieuwgein Om aan de stijgende beveiligings, - en continuïteit vereisten te kunnen voldoen heeft Zeist in samenwerking met de gemeente Nieuwegein het datacentrum vervangen. Deze samenwerking zet zich door in het samen optrekken binnen het VNG programma GGI-veilig, met als doel een verdere verhoging van de veiligheid en bedrijfscontinuïteit.



Verstoringen van de infrastructuur en beveiligingsincidenten Ook in 2020 hebben er dreigingen en verstoringen plaatsgevonden. Voor meer inzicht verwijs ik u naar het overzicht in bijlage 1. Hierin staan de beveiligingsincidenten beschreven zoals deze door de security officer zijn behandeld.

Bestuurlijke rapportage Informatieveiligheid 2020 en jaarplan 2021-2022

14

4. Jaarplan 2021-2022 In dit hoofdstuk het jaarplan Informatieveiligheid 2021/2022 dat is gebaseerd op het normenkader Baseline Informatiebeveiliging Overheid (BIO). Dit jaarplan maakt onderdeel uit van de periodieke PDCA-rapportages. Het jaarplan geeft inzicht waar we als organisatie staan ten aanzien van het normenkader en of geplande actiepunten dienen te worden aangepast of dat er nieuwe actiepunten moeten worden opgenomen voor het komend jaar. De aanscherping komt voort uit de resultaten van de uitgevoerde meting die de basis vormt voor de ENSIA zelfevaluatie 2020, evenals de invoering van de BIO per 1 januari 2020. De BIO is gebaseerd op ISO 27002 en legt de nadruk op risicomanagement, waarbij de informatieveiligheid de verantwoordelijkheid is van de proceseigenaren, lees lijnmanagers.

4.1.

Resultaten meting

Van elke norm uit het normenkader is nagegaan of deze wel of niet voor Zeist van toepassing is. Indien de norm van toepassing is, dan is nagegaan of de norm geheel, deels of niet is geïmplementeerd. Uit de beoordeling blijkt dat alle voor Zeist van toepassing zijnde normen zijn geïmplementeerd en zelfs veelal een score van 100% hebben. Dit betekent dat we hiervoor onze zaken goed op orde hebben. De aandacht in het jaarplan gaat uit naar die normen die nog niet of onvolledig zijn geïmplementeerd. En deze normen en daarbij behorende acties treft u aan in de volgende paragraaf.

4.2.

Overzicht beheersmaatregelen jaarplan 2021/2022

Het overzicht geeft inzicht in de normen die deels of niet zijn geïmplementeerd en waar we dus aandacht aan moeten geven. De beoordeling van enerzijds de norm en anderzijds de uitgevoerde zelf audits uit hoofdstuk 3 leidt tot de onderstaande acties en beheersmaatregelen. Voor de realisering van de acties geldt dat wordt ingestoken op zo snel mogelijk gaan werken conform de vereisten en successievelijk, bijvoorbeeld bij evaluaties, herbeoordelingen of vernieuwing en aanbesteding de aan te passen zaken op het juiste niveau te brengen. Hoofdstuk Actiepunt / Werkinstructie

9.3.1.1

Actiehouder

Medewerkers worden ondersteund in het beheren van hun wachtwoorden Hoofd IV door het beschikbaar stellen van een wachtwoordenkluis. 2021 / 2022 De wens voor een wachtwoordenkluis komt ook vanuit de organisatie. In samenwerking met de organisatie wordt gekeken naar de verschillende oplossingen en zal aansluitend worden overgegaan tot implementatie.

12.1

Veranderingen in de organisatie, bedrijfsprocessen, informatie verwerkende faciliteiten en systemen die van invloed zijn op de informatiebeveiliging behoren te worden beheerst. Als vervolg op het in-en-uit dienst proces nu aandacht voor het verder professionaliseren van het wijzigingsbeheer.

Bestuurlijke rapportage Informatieveiligheid 2020 en jaarplan 2021-2022

Proceseigenaar & Hoofd IV Is een continu proces

15

12. 4.

De informatie verwerkende omgeving wordt gemonitord door een SIEM Hoofd IV en/ of SOC middels detectie-voorzieningen. Deze worden ingezet op basis Is continue proces van een risico-inschatting, mede aan de hand van de aard van de te beschermen gegevens en informatiesystemen, zodat aanvallen kunnen Realisatie 2022 worden gedetecteerd. Voor de gemeente is controle op de logging gericht op het netwerk en op de afzonderlijke applicaties (en vooral op de applicaties die als kroonjuweel zijn aangewezen). Dit gebeurt wel voor BRP en Suwinet maar nog niet voor andere kroonjuwelen. Door inzet o.a. Microsoft ATP en SIEM (onderdeel programma GGI-veilig) wordt dit in 2022 verder ingeregeld, er is al wel gestart met de voorbereidingen.

13.2.2

Zorg dat er uitwisselingsovereenkomsten zijn met externe partijen. Dit zorgt voor duidelijkheid en transparantie van gemaakte afspraken en belegde verantwoordelijkheden.

Strategisch adviseurs en proceseigenaren. Is continue proces.

Dit is inmiddels onderdeel geworden van het inkoophandboek. Daar waar contracten zijn afgesloten wordt dit punt standaard meegenomen. Daar waar geen contracten zijn afgesloten (denk aan eenmalige verstrekkingen) vindt vooraf een privacy toetsing plaats. Denk hierbij aan de IAC en gegevensuitwisselingen met Gemeenschappelijke Regelingen. Bij nieuwe dienstverlening gebeurt dit al, al bestaande afspraken worden bij evaluatie, herbeoordeling of vernieuwing op het gewenste niveau gebracht. 13.2.3.4

Om zekerheid te bieden over de integriteit van het elektronische bericht, wordt voor elektronische handtekeningen gebruik gemaakt van de AdES Baseline Profile standaard

Hoofd IV 2021/2022

Op dit moment heeft Zeist de Advanced Electronic Signatures (digitale handtekening met certificaat) niet in gebruik omdat we alles nog in eigen beheer (on premisis) hebben draaien. Deze Signatures passen we toe bij nieuw aan te sluiten SaaS diensten en bij aansluiten op de landelijke voorzieningen. 15.1.2

Voordat een contract wordt afgesloten, wordt in een risicoafweging Hoofd IV & Inkoop bepaald of de afhankelijkheid van een leverancier beheersbaar is. Een vast onderdeel van het contract is een expliciete uitwerking van de exitstrategie. Op dit moment wordt de exit strategie bij aanbestedingen van kroo ju ele al eege o e . Dit oet og erder geborgd orde binnen het contract en leveranciersmanagement.

Bestuurlijke rapportage Informatieveiligheid 2020 en jaarplan 2021-2022

16

16.1

Een Coordinated Vulnerability Disclosure (CVD) procedure is gepubliceerd Hoofd IV en en ingericht. Deze procedure is door de Security Officer al wel opgesteld communicatie maar wordt nog verder ingericht en gepubliceerd. Het doel is om bij te dragen aan de veiligheid van ICT-systemen door kennis van het delen van kwetsbaarheden. Eigenaren van ICT systemen kunnen dan nadat ze hierover geïnformeerd zijn kwetsbaarheden verhelpen vóórdat deze actief misbruikt kunnen worden door derden.

17.1.1/3

Informatieveiligheid en Business Continuïteit Management(BCM) moeten Afdeling IV, binnen de organisatie geborgd en op elkaar afgestemd zijn. Zoals ook in Crisismanagement, het huidige Corona tijdperk blijkt zijn verschillende plannen beschikbaar en team veiligheid, Control deze werken ieder voor zich, maar integrale samenhang ontbreekt nog. en CISO. De Veiligheidsadviseur, is in samenspraak met de crisismanager en de CISO Start 2021 inmiddels gestart om tot de implementatie van een beheerd proces van continuïteitsmanagement te komen.

Alle actiepunten worden afgestemd met de actiehouder(s). De gemaakte afspraken worden vastgelegd in het Information Security Management System (ISMS) en hierdoor automatisch op voortgang bewaakt. De actiehouder is belast met de afhandeling van zijn actiepunten. Zoals uit het voorgaande blijkt zijn de actiehouders(conform de BIO eisen) veelal de proceseigenaren. Deze kunnen dit uiteraard niet alleen doen. Onduidelijk is nog of en zo ja voor hoeveel tijd de proceseigenaren door het team Informatieveiligheid (opstellers van dit stuk en normaliter iemand van control) ondersteund kunnen worden. Deze structurele borging dient nog plaats te vinden.

4.3.

Check maatregelen

Het normenkader bevat naast meting en actiepunten ook checkmaatregelen die ingezet kunnen worden op normen die volgens de meting geïmplementeerd zijn. Welke normen gecheckt gaan worden, bepaalt de organisatie zelf en veelal is dat risico-gebaseerd. Het is dus niet zo dat elk geïmplementeerde norm jaarlijks gecheckt moet worden. Het voordeel van checkmaatregelen is dat meer zekerheid verkregen wordt over de naleving van het, mede door onszelf, vastgestelde normenkader. Er wordt gecheckt op de werkvloer (laat maar zien) waardoor de organisatie beter en efficiënter kan aantonen dat aan de gestelde normen wordt voldaan en elke check is voorzien van een score (voldoende of onvoldoende). Mocht uit checkmaatregelen toch blijken dat niet voldaan wordt aan een norm dan kan op basis van de eigen risicoanalyse zo nodig weer verbetering in gang gezet worden. De inzet van checkmaatregelen vloeit weliswaar voort uit de laatste meting, maar is geen onderdeel van het jaarplan dat primair gericht is op verbeterpunten (actiepunten). De inzet van checkmaatregelen is een wezenlijk onderdeel van het intern beheersingsproces. Doorgaans vindt deze plaats in overleg met degenen die hiermee primair belast zijn. Veelal worden hierover nadere afspraken gemaakt over inzet en planning en vastgelegd in een afzonderlijk intern controleplan.

Met deze cyclische aanpak van meten, prioriteren, vaststellen van actiepunten en het uitvoeren van checkmaatregelen in combinatie met tijdige stuurinformatie zoals plannen, voortgang en bereikte resultaten krijgt de organisatie op een effectieve en efficiënte wijze grip op de beheersing van dit normenkader.

Bestuurlijke rapportage Informatieveiligheid 2020 en jaarplan 2021-2022

17

Bijlage 1. Overzicht beveiligingsincidenten 2020 In deze bijlage worden de verschillende beveiligingsincidenten die zich in het afgelopen jaar hebben voorgedaan en zijn behandeld door de Security Officer kort toegelicht. We ontkomen er niet aan de formulering wat “technisch” van aard is. Bij het zich voordoen van de incidenten heeft er afstemming plaatsgevonden me het verantwoordelijke management en de bestuurder en indien van toepassing met de betrokken medewerkers. In sommige situaties is er ook gekozen om breder te communiceren over het incident en de genomen maatregelen via intranet. Verstoringen van de infrastructuur 





Op 4 januari heeft er een verstoring van de netwerkapparatuur plaatsgevonden. Hierdoor zijn meerdere systemen down gegaan. Door het down gaan van de systemen heeft er een corruptie plaats gevonden op een aantal data bestanden van onze virtuele servers. Het oplossen van de netwerkverstoring heeft slechts een paar uur geduurd. Het oplossen van de corruptie op de databestanden had een nasleep van ongeveer 7 dagen. Op 25 januari is een geheugenmodule van een fysieke Hyper-V host (t.b.v. van virtualisatie) defect geraakt. Hierdoor is de meerderheid op het Hyper-V cluster verloren gegaan en zijn diverse machines offline gegaan. Door het down gaan van de systemen heeft er een corruptie plaats gevonden op een aantal data bestanden van onze virtuele servers. Het herstellen van de meerderheid was binnen enkele minuten opgelost. Het vervangen van de geheugenmodule en het repareren van de corruptie duurde 4 dagen. Op 2 december heeft er een failover van de firewall plaatsgevonden. Deze failover is mislukt omdat de leverancier de configuratie nog niet helemaal op orde had. Hierdoor zijn onze systemen ongeveer 45 minuten niet bereikbaar geweest. Na het oplossen van dit probleem door de leverancier werkte alles weer naar behoren. Er is er geen corruptie van databestanden ontstaan.

Kritieke security incidenten 





Op 17 januari is een kwetsbaarheid ontdekt in de CryptoAPI van Mircrosoft (Crypt32.dll). Deze API is verantwoordelijk voor de afhandeling en versleuteling van beveiligingscertificaten. Door dit lek was deze versleuteling te kraken en konden kwaadwillende niet goedgekeurde software op kwetsbare systemen installeren. Dit was een wereldwijd probleem voor alle Windows 2016 en 2019 omgevingen. Microsoft heeft direct een patch beschikbaar gesteld. Het updaten van alle getroffen systemen heeft 3 dagen geduurd, in de tussentijd is alles gemonitord. Er is geen verdachte activiteit gedetecteerd. Identificatie van dit lek: CVE-2020-0601. Op 13 maart is een kwetsbaarheid ontdekt in het SMBv3 protocol van Microsoft. Dit protocol wordt normaal gesproken gebruikt om netwerkschijven te benaderen. Door deze kwetsbaarheid te misbruiken kan de aanvaller zichzelf SYSTEM rechten geven, dit is het hoogste account op een Windows machine (hoger nog dan het Administrator account). Dat was een wereldwijd probleem voor alle systemen met Windows 10/2016 versie 1903 en hoger. Microsoft heeft direct patches beschikbaar gesteld. Het updaten van alle getroffen systemen heeft 7 dagen geduurd, in de tussentijd is alles gemonitord. Er is geen verdachte activiteit gedetecteerd. Identificatie van dit lek: CVE-2020-0796.

Op 29 juli zijn door een kwetsbaarheid in verouderde software van ESRI (de geoviewer) persoonsgegevens zichtbaar op het internet geweest. Hier is ook een melding datalek van gemaakt. In overleg met ESRI is besloten om versneld de nieuwere versie van de software uit te rollen bij de gemeente en de externe toegang te beveiligen met 2 factor authenticatie. De totale doorlooptijd van deze update was 3 weken.

Bestuurlijke rapportage Informatieveiligheid 2020 en jaarplan 2021-2022

18

Phishing is een vorm van cybercrime waarbij criminelen een e-mail naar je verzenden om te proberen inloggegevens, creditcardinformatie, pincodes of andere persoonlijke gegevens van jou te achterhalen.

Er zijn in 2020 204 incidenten geweest waarin door medewerkers phishing/verdachte mails zijn ontvangen. In alle gevallen hebben deze medewerkers zich gemeld bij de servicedesk of security officer waardoor de mail geïdentificeerd kon worden en er geen schade is ontstaan.

Smishing of Sms-phishing is een vorm van cybercriminaliteit. Een cybercrimineel probeert persoonlijke informatie te verkrijgen van iemand, door middel van een sms-tekstbericht met misleidende informatie te sturen naar een slachtoffer.

Er zijn in 2020 15 incidenten geweest waarin door medewerkers phishing sms of WhatsApp berichten zijn ontvangen. In alle gevallen hebben deze medewerkers zich gemeld bij de Servicedesk of security officer waardoor het bericht geïdentificeerd kon worden en er geen schade is ontstaan. Virusmails Er zijn 2020 8 incidenten geweest waarin onze medewerkers een mail met virus is toegestuurd. In alle gevallen zijn deze virussen er door onze filters op tijd uitgehaald. Er is geen schade ontstaan. Social Enginering: omvat technieken die cybercriminelen inzetten om gebruikers te verleiden tot het prijsgeven van hun vertrouwelijke gegevens, de installatie van malware op hun computers en het openen van links naar geïnfecteerde sites.



Sextortion: is afpersing met een seksueel getinte foto (of video). De afperser wil geld of meer pikante foto’s. Vaak zijn de foto’s gestolen via sociale media, e-mails, door het overnemen van webcams of door apparatuur te stelen.

Een medewerker heeft een e-mail ontvangen waarin gesteld wordt dat via de webcam seksuele handelingen zijn vastgelegd en dat deze met het sociale netwerk worden gedeeld tenzij er losgeld betaald word. De medewerker is niet in het bezit van een webcam, maar was wel heel erg geschrokken. IT heeft uitgelegd dat dit vaak standaard mails zijn en dat er ingespeeld wordt op angst en schaamte. Er is niets betaald. I.v.m. privacy van de medewerker is dit incident niet verder geregistreerd. 

WhatsApp Fraude: Bij WhatsApp-fraude of sms-fraude vraagt een familielid of goede bekende u per WhatsApp of sms om op korte termijn een flink bedrag over te maken. Het blijkt echter geen familielid of goede bekende te zijn, maar een oplichter.

Er wordt misbruik gemaakt van het WhatsApp account van een medewerker. Kinderen op een school buiten de gemeente worden op een onprettige manier vanuit het account benaderd en de ouders van deze kinderen slaan alarm. Het telefoontoestel en nummer van de medewerker zijn direct vervangen. De ouders zijn ingelicht over dit voorval en er is aangifte gedaan bij de politie.