eindrapport Rekenkamercommissie informatiebeveiliging en privacy Gemeente Zutphen 2023
Tekst van het document
- Rapport – Informatiebeveiliging en privacy Gemeente Zutphen
Rekenkamercommissie Zutphen 16 augustus 2023
Auteur: drs. Etienne Lemmens Prae Advies en onderzoek, Utrecht Prae BV, Buys Ballotstraat 35, 3572 ZT Utrecht | T 06-11226755 | E info@prae-advies.nl | W www.prae-advies.nl KvK 321 249 60 | BTW NL8182.21.227 | IBAN: NL93 INGB 0004 9860 86
2
Inhoudsopgave INHOUDSOPGAVE ............................................................................................................................................ 3 SAMENVATTING, CONCLUSIES EN AANBEVELINGEN ........................................................................................ 4
SAMENVATTING................................................................................................................................. 4 CONCLUSIES.................................................................................................................................... 11 AANSPORINGEN EN AANBEVELINGEN................................................................................................... 12 1
BESTUURLIJKE REACTIE .......................................................................................................................... 14
2
REACTIE REKENKAMERCOMMISSIE ........................................................................................................ 16
3
INLEIDING .............................................................................................................................................. 17
3.1 4
DOELSTELLING, ONDERZOEKSVRAGEN EN AANPAK ............................................................................... 18
4.1 4.2 4.3 5
LEESWIJZER .......................................................................................................................... 17
DOELSTELLING EN ONDERZOEKSVRAGEN .................................................................................... 18 KORTE INLEIDING OP INFORMATIEBEVEILIGING EN PRIVACY ........................................................... 18 AANPAK ............................................................................................................................... 19
BEVINDINGEN ........................................................................................................................................ 21
5.1 5.2 5.3 5.4
INFORMATIEBEVEILIGINGS- EN PRIVACYBELEID ............................................................................ 21 BELEIDSUITVOERING EN MONITORING ....................................................................................... 29 BESCHERMING VAN DE GEGEVENS ............................................................................................ 38 HOE WORDT DE GEMEENTERAAD BETROKKEN BIJ HET INFORMATIEBEVEILIGINGSBELEID? ................... 42
BIJLAGE 1. VEEL VOORKOMENDE TERMEN EN AFKORTINGEN ........................................................................ 44 BIJLAGE 2. LIJST GERAADPLEEGDE STUKKEN EN LIJST RESPONDENTEN .......................................................... 46
GERAADPLEEGDE STUKKEN ................................................................................................................ 46 FUNCTIES RESPONDENTEN ................................................................................................................. 47 BIJLAGE 3. ONDERZOEKSVRAGEN EN NORMEN .............................................................................................. 48 BIJLAGE 4. RICHTLIJNEN/PROCEDURES INFORMATIEBEVEILIGING EN PRIVACY .............................................. 49 BIJLAGE 5. VOLWASSENHEIDSNIVEAU NOREA ............................................................................................... 50
3
Samenvatting, conclusies en aanbevelingen Samenvatting Inleiding
Gemeenten verwerken in ICT-systemen veel gegevens en na de decentralisaties met name van grote kwetsbare groepen inwoners. Door toenemende bedreigingen blijken gemeenten kwetsbaar op het gebied van informatiebeveiliging en gegevensbescherming, zoals bleek uit hacks en datalekken bij overheden en bedrijven/instellingen. Gemeenteraden, verantwoordelijk voor kaderstelling en controle van het beleid, zien het onderwerp informatieveiligheid steeds meer op de agenda komen. Dat is een van de redenen dat de Rekenkamercommissie Zutphen (rekenkamercommissie) in 2022 informatiebeveiliging en privacy heeft laten onderzoeken. De rekenkamercommissie vindt dat informatiebeveiliging en privacy belangrijk is. De rekenkamercommissie realiseert zich tegelijkertijd dat dit een nogal technisch onderwerp is wat voor alle raadsleden niet altijd even toegankelijk is. Het betreft een onderwerp met veel technische termen en veelal een eigen jargon. De rekenkamercommissie heeft getracht dit onderwerp op een zo toegankelijk mogelijk wijze in dit rapport tot uitdrukking te brengen. Verder heeft de REKENKAMERCOMMISSIE technische termen toegelicht in een voetnoot en in bijlage 1 is een verklarende woordenlijst opgenomen.
Informatiebeveiliging
Informatiebeveiliging gaat over het geheel aan preventieve, detectieve en correctieve maatregelen, procedures en processen die de beschikbaarheid, integriteit en vertrouwelijkheid (BIV) van de informatie binnen een organisatie garanderen. Doel is de continuïteit van de informatie en de informatievoorziening of dienstverlening te waarborgen en eventuele gevolgen van (beveiligings)incidenten te beperken. Het beleid dat gemeenten hierop hebben afgesproken is neergelegd in de Baseline Informatiebeveiliging Overheid (BIO).1 De BIO bevat maatregelen die gemeenten op basis van een risicoanalyse kunnen nemen om aan het basisniveau voor informatiebeveiliging te voldoen.
Gegevensbescherming
Gegevensbescherming betreft de regels voor de verwerking van persoonsgegevens door bedrijven, instellingen en overheden. Doel is de privacy van burgers op een adequate manier te beschermen. De Europese General Data Protection Regulation (GDPR), in Nederland bekend als de
1
Gemeenten hebben in 2013 in VNG-verband afgesproken te voldoen aan de maatregelen van de Baseline Informatiebeveiliging Gemeenten (BIG). De BIG is vanaf 2020 vervangen door de Baseline Informatiebeveiliging Overheid (BIO). De baseline is gebaseerd op de kwaliteitsnormen NEN-ISO/IEC 27001:2017 en de NEN-ISO/IEC 27002:2017.
4
Algemene Verordening Gegevensbescherming (AVG), is sinds mei 2018 van kracht.
Onderzoeksvraag
Met dit rapport wil de rekenkamercommissie de gemeenteraad van Zutphen inzicht geven in de stand van zaken met betrekking tot beleid en uitvoering van informatiebeveiliging en privacy. De volgende vraag staat in dit onderzoek centraal: Heeft de gemeente Zutphen de informatiebeveiliging en gegevensbescherming op orde? Het belang en de urgentie van Informatiebeveiliging en privacy (IB&P) neemt steeds meer toe. De gemeente Zutphen, zo heeft de rekenkamercommissie ervaren in dit onderzoek, is zich hiervan bewust. De gemeente komt van ver, mede omdat in de afgelopen jaren bezuinigd is op middelen en mensen onder andere op deze terreinen. De gemeente heeft wat betreft beleid en uitvoering nog zeer veel te doen en stelt het nodige in het werk om aan leidinggevenden en medewerkers aandacht voor deze onderwerpen te vragen. Uitvoering van informatiebeveiligingsbeleid is nooit af, de dreigingen nemen toe en kwaadwillenden vinden steeds nieuwere manieren om ongeoorloofd toegang te krijgen tot informatie. Met dit rapport verwacht de rekenkamercommissie de raad te ondersteunen, zodat deze inzicht krijgt in de stand van zaken en kan bijdragen aan de verdere ontwikkeling van informatiebeveiliging en privacy in de gemeente Zutphen. De rekenkamercommissie zal de bevindingen, conclusies en aanbevelingen uit dit onderzoek uitwerken aan de hand van de volgende vier onderzoeksvragen: 1.
In hoeverre beschikt de gemeente Zutphen over een adequaat informatiebeveiligings- en privacybeleid? 2. Hoe wordt het beleid uitgevoerd en hoe wordt de uitvoering gemonitord? 3. In hoeverre zijn gegevens bij de gemeente beschermd tegen de toegang door onbevoegden? 4. Hoe wordt de gemeenteraad betrokken bij het informatiebeveiligingsbeleid? Dit hoofdstuk wordt afgesloten met conclusies, aanbevelingen (punten waar extra aandacht voor gevraagd wordt) en aansporingen (punten waarop de gemeente aangespoord wordt om daar op te blijven inzetten.)
Onderzoeksvraag 1.
In hoeverre beschikt de gemeente Zutphen over een adequaat informatiebeveiligings- en privacybeleid?
Strategisch Informatie
Strategisch informatiebeveiligingsbeleid is in 2020 vastgesteld voor de periode 2020-2024. Gezien de snelle ontwikkelingen is dat een te lange
5
Beveiligingsbeleid
periode en de gemeente is bezig met een update. De doelen, ambitie en verantwoordelijkheden en de ambitie zijn in het beleid geformuleerd. Ambitie is te voldoen aan de BIO, dat is de basisset aan maatregelen voor informatiebeveiliging. De analyse voor het jaarplan met activiteiten op informatiebeveiliging om te voldoen aan de BIO is uitgevoerd, maar ten tijde van het onderzoek nog niet vastgesteld. De gemeente heeft de laatste jaren moeten bezuinigen en geconstateerd is dat er nog veel te doen is en scherpe prioriteiten gesteld moeten worden.
Privacybeleid
Op gegevensbescherming is in 2018 een 0-meting gehouden. Met behulp van een extern bureau is het privacybeleid opgesteld. Dat is nog niet geüpdatet en door externe en interne organisatorische ontwikkelingen is het beleid verouderd. Jaarlijks wordt een jaarrapportage opgesteld met activiteiten op privacy voor het volgende jaar. Specifiek en alleen voor het sociaal domein is een handreiking privacy opgesteld.
Actieplan
Op informatiebeveiliging en privacy is begin 2022 het actieplan ‘Actieplan Informatiebeveiliging en privacybescherming’ opgesteld, met de bedoeling het niveau hierop in de gemeente te verhogen. Onder andere vanwege de constatering dat veel activiteiten uit het privacyplan uit 2018 niet waren gerealiseerd. De interim CISO 2 heeft medio 2022 een update opgesteld. In het actieplan zijn activiteiten opgenomen om te voldoen aan de ambitie, namelijk voldoen aan de normen van de BIO en AVG. De activiteiten worden gecoördineerd door de functionarissen op informatiebeveiliging en privacy (zie hierna bij ‘Functies en positionering’). Een van de activiteiten met prioriteit in het Actieplan is het vergroten van bewustzijn en kennis bij medewerkers door trainingen.
Protocollen/richtlijnen
Ook in het Actieplan opgenomen is het op niveau brengen van de protocollen en richtlijnen die in het kader van informatiebeveiliging zijn voorgeschreven. Geconstateerd wordt dat er een deel van de noodzakelijke protocollen en richtlijnen beschikbaar is, maar een belangrijk deel ook niet. Zoals een volledig en integraal continuïteitsplan en een autorisatiebeleid. En de protocollen en richtlijnen die er zijn moeten deels ook geüpdatet moet worden. Een goed overzicht hierop was nog niet voorhanden tijdens het onderzoek. Met betrekking tot de AVG zij de meeste protocollen aanwezig en mist op onderdelen nog een element.
Functies en positionering
In het beleid zijn de rollen van de functionarissen op informatiebeveiliging en privacy beschreven en zij staan op intranet gepubliceerd. Recent zijn, mede vanwege de eerder genoemde bezuinigingen een adjunct bedrijfsvoering (CIO), teamleider I&A en een strategisch adviseur I&A gestart. De CISO wordt momenteel voor 0,6 fte interim ingevuld en deze is strategisch en onafhankelijk van de lijnorganisatie ingevuld, zoals
2
CISO: Chief Information Security Officer
6
gebruikelijk. Het lag in de bedoeling de functie naar 0,7 fte uit te breiden. Ondanks de strategische positionering is de CISO nog ook op tactisch en operationeel niveau bezig. Vanaf 2018 is voltijds een FG 3 aanwezig, die vanaf 1-1-2023 voor 0,8 fte werkzaam is. De FG is, evenals de CISO, strategisch en onafhankelijk van de lijn gepositioneerd. Op tactisch niveau wordt de FG bijgestaan door een privacy officer (PO) voor 0,45 fte en adviseur privacy voor 0,53 fte. Zij werken organisatiebreed, hoewel de adviseur privacy in eerste instantie gericht is op privacy in het sociaal domein. Ter ondersteuning van gegevensbescherming wordt erover gedacht om privacy ambassadeurs op te leiden en uren toe te wijzen. Getracht wordt een aantal functies, met name de éénpitters zoals de CISO en FG, gezamenlijk met buurgemeenten in te vullen, zodat kennis gedeeld kan worden. Overleggen
De PO en de adviseur privacy vormen samen het Team Privacy. De FG maakt daar overigens geen deel van uit. Driewekelijks is er een functionarissenoverleg waar de CISO, PO en adviseur privacy aan deelnemen. Daarnaast is een tweewekelijks overleg over informatiebeveiliging met de CIO, CISO, teamleider I&A en strategisch adviseur I&A. Dit overleg is de opvolger van de projectgroep ‘Versterken privacybescherming en informatieveiligheid’ die het Actieplan heeft opgesteld. Tevens is er een maandelijks overleg tussen CISO, teammanager I&A en de portefeuillehouder. De portefeuillehouder heeft geen structureel overleg met de FG. In urgente gevallen hebben de FG en de CISO een directe lijn naar de portefeuillehouder. Bij een crisis kan ad hoc snel een crisisteam worden geformeerd. Afhankelijk van de situatie is dat met de CIO, teammanager I&S en systeembeheerders en eventueel benodigde functionarissen.
Rapportages
De FG stelt de verplichte jaarlijkse rapportage over gegevensbescherming op, gericht aan gemeentesecretaris en college. Dit verslag wordt evenwel niet mede gericht aan de privacy officer en adviseur privacy. Tevens rapporteert de FG indien nodig over lopende zaken. De CISO rapporteert op basis van de ENSIA4-rapportage aan college en via deze aan de raad over informatiebeveiliging en privacy.
Onderzoeksvraag 2.
Hoe wordt het beleid uitgevoerd en wordt de uitvoering gemonitord? Na het vaststellen van het beleid volgt de volgende stap, implementeren en uitvoeren van het beleid. Voor informatiebeveiliging en privacy is het
3 4
FG: Functionaris Gegevensbescherming ENSIA staat voor Eenduidige Normatiek Single Information Audit
7
essentieel dat beleid en uitvoering gemonitord en getoetst worden, om te controleren of het afgesproken beleid daadwerkelijk in de praktijk werkt. Draagvlak
Een van de bestuurlijke principes in het strategisch informatiebeveiligingsbeleid is dat het gemeentebestuur het belang van informatiebeveiliging uitdraagt. Draagvlak bij het bestuur voor informatiebeveiliging en privacy is groeiende, na tijden van bezuinigingen en mindere aandacht voor deze beleidsvelden. De portefeuilles op enerzijds informatiebeveiliging en privacy en anderzijds bedrijfsvoering en ICT zijn momenteel belegd bij twee collegeleden. En er is relatief recent een adjunct-directeur bedrijfsvoering aangetreden die specifieker aandacht heeft voor de onderwerpen informatiebeveiliging en privacy.
Bewustwording
Zoals aangegeven is bewustwording op de risico’s bij medewerkers een van de geprioriteerde activiteiten in het Actieplan. Activiteiten zoals modules op e-learning en test phishing mails worden sinds 2022 aangeboden. Voor nieuwe medewerkers is een informatieboek met onder andere informatiebeveiliging en privacy als onderwerp. Vaak wordt aandacht voor informatiebeveiliging en privacy als een extra taak erbij ervaren, die afleidt van het ‘echte’ werk, mede omdat deze onderwerpen niet standaard als onderdeel van werkprocessen wordt meegenomen. Teams die al langer met persoonsgegevens werken zijn vaak meer risicobewust dan andere teams. Dat blijkt onder andere uit de casebeschrijving over het sociaal domein. Geconstateerd wordt dat het bij de teamleiders vaak nog ontbreekt aan een gevoel van urgentie die bewustwording te bevorderen.
Autorisaties
Het autorisatieproces, dat de toegang regelt van medewerkers tot informatie die zij nodig hebben voor hun werkzaamheden, en bijgevolg de toegang beperkt tot gegevens die zij niet in mogen zien. Dit proces is gekoppeld aan de in-, door- en uitstroom van medewerkers. Geconstateerd is dat op dit proces verbeteringen mogelijk zijn, zoals ook de accountant dat in het verleden constateerde. Er zijn verbeteringen aangebracht, maar de controle op de autorisaties kan nog verbeteren. Er staat om 2023 een structurele aanpak van het autorisatieproces op stapel, op basis van rollen/functies.
Derden en leveranciers
Elke verwerking van persoonsgegevens hoort in het verwerkingsregister te zijn opgenomen. En onder de contracten met derden die namens of voor de gemeente persoonsgegevens verwerken moeten verwerkersovereenkomsten liggen. De privacy officer moet de verwerkersovereenkomsten checken en in het register opnemen. De meeste medewerkers weten de privacy officer hiervoor te vinden. Bij de meeste aanbestedingen gaat het goed, maar er kan geen garantie gegeven worden dat dit bij alle aanbestedingen, onder andere onder de aanbestedingsgrens, het geval is. Voor hoe om te gaan met gegevensverwerking in het sociaal domein is een specifieke handreiking opgesteld en zijn onder andere convenanten
8
gesloten met derden om persoonsgegevens uit te wisselen. Er is nog geen (periodieke) check op de naleving van de afgesproken regels. DPIA’s/WPG
De verplichte data impact protection assessments (dpia’s) brengen risico’s m.b.t. informatiebeveiliging en privacy in kaart op werkprocessen met een hoog privacy-risico. De teamleiders voeren de dpia’s uit en de FG controleert. De taak om dpia’s uit te voeren is de afgelopen tijd stil komen te liggen, mede door drukte bij de teamleiders. Ze zijn wel weer opgepakt, er zijn evenwel nog veel processen te gaan waarvan de risico’s met een dpia in kaart moeten worden gebracht. Op de Wet politie gegevens (WPG) is in 2022 een audit uitgevoerd en met de verbeterpunten die daaruit naar voren kwamen gaat de gemeente aan de slag in 2023.
Managementsysteem
Voor de monitoring van de stand van zaken op informatiebeveiliging, onder andere voor het vullen van de ENSIA-rapportage, is onder andere een Information security management system (ISMS) aanwezig. Het ISMS is gekoppeld aan de beleidsleercyclus, de PDCA-cyclus. De teamleiders vullen die nog niet, waardoor de PDCA-cyclus niet goed wordt gevolgd. Ook het aanwezige managementsysteem op privacy wordt niet ten volle benut. Actie daarop is meegenomen in het Actieplan.
Taakvolwassenheid
Geconstateerd wordt dat op informatiebeveiliging en privacy veel ad hoc maatregelen worden genomen. Het bewustzijn op risico is groeiende, de beheersingsmaatregelen zijn grotendeels aanwezig, maar worden informeel en niet consistent en gestructureerd uitgevoerd. Ingeschat wordt dat de taakvolwassenheid gemiddeld tussen 1 en 2 op een schaal van 5 scoort en behoeft verbetering.
Monitoring
Voor de monitoring is een aantal instrumenten aanwezig. Bijvoorbeeld het melden door medewerkers van incidenten in Topdesk gaat over het algemeen goed. Geconstateerd wordt dat de analyse van de meldingen en verbeteracties effectiever kan. De accountant maakt in zijn rapporten/managementletters ook opmerkingen ten aanzien van de informatieveiligheid van de administratie, met name met het oog op de rechtmatigheid. De jaarrapportage van de FG over privacy en ENSIA over informatiebeveiliging en gegevensbescherming worden opgesteld door de CISO. ENSIA ziet toe op de audits op een aantal applicaties die bij de gemeente draaien. Ten aanzien van DigiD en Suwinet worden door de landelijke toezichthouders zware eisen gesteld met betrekking tot autorisaties en beveiliging. Over 2021 bleek de gemeente nog niet te voldoen aan alle eisen, onder andere op logging (zie hieronder bij de kantlijnkop ‘Techniek’) en controle.
9
Techniek
Op de techniek vindt ook monitoring plaats, onder andere door middel van logging.5 In het kader van Suwinet is geconstateerd dat logginggegevens niet uitvoerig gecheckt worden. Dat geldt ook voor andere applicaties. Verder zijn er de reguliere beschermingsprogramma’s aanwezig, zoals firewalls en virusscanners. Een applicatie voor detectie van verdacht verkeer is er niet. Resultaten van de testen in opdracht van de rekenkamercommissie op de systemen volgen bij de beantwoording van vraag 3 hieronder.
Onderzoeksvraag 3.
In hoeverre zijn gegevens bij de gemeente beschermd tegen de toegang door onbevoegden?
Systemen
De gemeente moet in het kader van BIO jaarlijks de systemen op kwetsbaarheden (laten) testen. Dat is voor 2022 niet gedaan door middel van zogenoemde pentesten.6 In 2022 is met medewerking van de provincie Gelderland wel een externe netwerk pentest uitgevoerd en een mystery guest op de hoofdlocatie van de gemeente. De verbeterpunten die daaruit naar voren kwamen zijn in een verbeterplan opgenomen. Aanvullend heeft de rekenkamercommissie een viertal testen uitgevoerd, nl. een interne netwerk pentest, een AD audit 7, een phishing mail is uitgezet onder raadsleden en een mystery guest heeft geprobeerd ongeoorloofd op de locatie van de Henry Dunantweg binnen te komen.
Resultaten testen
De scope (bereik) van de testen is altijd beperkt, gezien de kosten. En een serieus kwaadwillende hacker heeft tijd om te proberen ergens binnen te komen. De tests zijn dus altijd momentopnames. Met die beperking is het geconstateerde risico bij de interne netwerk pentest als laag in te schatten. De Active Directory audit (AD) is een check op wachtwoordenbeleid en gebruik. Met deze test zijn kwetsbaarheden gevonden die aanleiding hebben gegeven tot bijstelling van het wachtwoordenbeleid. De mystery guest test laat zien dat onbevoegden op de Henri Dunantweg ver kunnen doordringen tot in ruimtes die voor hen afgesloten zouden moeten zijn. Tot slot de phishing mail test onder raadsleden. ‘Slechts’ 18% van de
5
Logging is een vorm van monitoring waarbij (inlog)gegevens geautomatiseerd worden geregistreerd, bedoeld om bij te houden welke gebeurtenissen/ handelingen binnen een systeem of applicatie hebben plaatsgevonden. 6 Een pentest of penetratietest is een toets van een of meer computersystemen op kwetsbaarheden die gebruikt kunnen worden om in deze systemen in te breken. 7 AD staat voor Active Directory. De Active Directory staat beheerders toe om het beleid (rechten en instellingen) in het netwerk van een organisatie te beheren. Een AD audit test onder andere het wachtwoordenbeleid en inactieve accounts.
10
raadsleden, een score onder de benchmark van ca. 35%, heeft op de phishing mail geklikt. De testen hebben risico’s opgeleverd, die niet als heel kritiek zijn bevonden, maar wel aanleiding geven tot verbetermaatregelen op onder andere het wachtwoordenbeleid en de alertheid op onbevoegden op de fysieke locatie.
Onderzoeksvraag 4.
Hoe wordt de gemeenteraad betrokken bij het informatiebeveiligingsbeleid?
Informatie
De raad wordt jaarlijks geïnformeerd over informatiebeveiliging en privacy, zoals de BIO voorschrijft. In de jaarstukken in het kader van de P&C-cyclus komen de onderwerpen aan de orde, met enkele getroffen of te nemen maatregelen ter bestrijding van de risico’s. De inhoud is evenwel als summier aan te merken zeker gelet op het toenemende belang van en risico’s op informatiebeveiliging en gegevensverwerking voor gemeenten. De raad krijgt in de zijlijn van de rechtmatigheidsrapportages van de accountant, die een beperkte IT-audit uitvoert, een beeld van de stand van zaken op informatiebeveiliging en gegevensverwerking. De accountant wijst op het feit dat IT een steeds belangrijker onderdeel is van bedrijfsvoering. Maar er heeft bijvoorbeeld nog geen inhoudelijke discussie plaats gevonden tussen college en raad naar aanleiding van de aan de raad aangeboden informatie.
Verantwoordelijkheid raad
De raad heeft een kaderstellende en controlerende rol. Ook ten aanzien van informatiebeveiliging, wat doorgaans als onderdeel van bedrijfsvoering wordt gezien wat onder verantwoordelijkheid van het college valt. Er heeft nog geen gesprek plaatsgevonden over de ambities in het kader van informatiebeveiliging en privacy. Gelet op de motie die de raad op 7-112022 heeft aangenomen over ‘cyberrisico’ kan geconstateerd worden dat het onderwerp leeft bij de raad en er behoefte is aan meer informatie.
Conclusies Hoofdconclusie
Het belang van informatiebeveiliging en gegevensverwerking wordt bestuurlijk onderschreven. Het streven is te voldoen aan de basisset aan maatregelen op deze terreinen. Activiteiten en beheersmaatregelen worden opgepakt door bestuur en functionarissen op informatiebeveiliging en privacy. Door verschillende oorzaken, waaronder bezuinigingen hebben informatiebeveiliging en privacy de afgelopen jaren niet de aandacht gekregen die ze verdienden, gezien de toenemende risico’s. De urgentie om hierop te acteren wordt bestuurlijk gevoeld, en er is nog veel te doen om als gemeente Zutphen in control te komen op informatiebeveiliging en privacy.
11
Deelconclusies
Deze hoofdconclusie leidt tot de onderstaande deelconclusies: 1. Strategisch beleid op informatiebeveiliging en privacy is aanwezig, maar mist op punten aan actualiteit en volledigheid, onder andere in de onderliggende protocollen en richtlijnen. Veel moet nog ontwikkeld worden of worden aangepast aan de actualiteit. 2. De ambitie is te voldoen aan de BIO, wat een basisset aan maatregelen op informatiebeveiliging is. De gemeente weet wat er gedaan moet worden om dat te bereiken, en daarin ligt al een stevige opdracht. Een grotere ambitie dan voldoen aan de basisnormen is voor de korte termijn niet haalbaar en de gemeente loopt hierop risico’s. Er ontbreekt ook een ambitieuzer streven voor de (middel)lange termijn. 3. Het risicomanagement, waarop informatiebeveiligingsbeleid en gegevensverwerking gebaseerd moeten zijn, is nog niet volledig uitontwikkeld. 4. De functionarissen op informatiebeveiliging en gegevensverwerking zijn aanwezig, recent in formatie versterkt en op de juiste plek gepositioneerd. Bezien wordt of strategische functies met omringende gemeenten gedeeld kunnen worden. 5. Bewustwording op de risico’s en taakvolwassenheid bij medewerkers op informatiebeveiliging en privacy voldoet nog niet om ‘in control’ te zijn op informatiebeveiliging en privacy. Het urgentiegevoel bij het management om hierop te acteren behoeft versterking.
E-learning wordt aangeboden aan medewerkers, maar daar wordt onvoldoende op gestuurd. 6. Geconstateerd is dat veel maatregelen ad hoc worden genomen, deels ook omdat informatiebeveiliging en privacy niet integraal opgenomen zijn in de beschrijving van alle werkprocessen. Systemen ter controle, toetsing op de naleving van de regels en de monitoring van het dataverkeer behoeven nog verbetering. Het managementinformatiesysteem is aanwezig, maar wordt niet goed gevuld. Daardoor functioneert de beleidsleercyclus, PDCA, niet effectief. 7. De in eigen opdracht en in opdracht van de rekenkamercommissie uitgevoerde testen op de systemen laten verbeterpunten zien, waar de gemeentelijke organisatie mee aan de slag is gegaan. 8. De informatie over informatiebeveiliging en privacy aan de raad en het gesprek tussen college en de raad is aan te merken als summier en op hoofdlijnen. Verdieping op de kaderstellende en controlerende rol van de raad wordt gemist.
Aansporingen en aanbevelingen Aansporingen
Gemeente Zutphen zet de nodige stappen op informatiebeveiliging en privacy, waarbij de rekenkamercommissie het college wil aansporen door te gaan met de volgende punten. Blijf als gemeente voldoende aandacht en middelen besteden aan informatiebeveiliging en privacy (de norm die de IBD tegenwoordig hanteert is dat 10% van de middelen die aan ICT worden uitgegeven aan informatiebeveiliging worden besteed);
12
Ga verder met en intensiveer waar nodig de activiteiten in het ‘Actieplan Informatiebeveiliging en Privacybescherming’; Blijf via periodieke (pen)testen de vinger aan de pols houden, niet alleen op de systemen en netwerken, maar ook op risicobewustzijn van medewerkers en de fysieke beveiliging, werk de verbeterpunten uit de testen voor opvolging uit in een verbeterplan; Blijf investeren in risicobewustzijn bij medewerkers en doordring management van urgentie van informatiebeveiliging en gegevensbescherming; Ga verder met de uitvoeren van de voorgenomen dpia’s en het up-to-date houden van het verwerkingsregister. Aanbevelingen
De hiervoor gepresenteerde conclusies leiden tot de volgende acht aanbevelingen aan het college en de gemeenteraad;
Aan het college
1. Actualiseer het informatiebeveiligings- en privacybeleid op basis van risicomanagement en formuleer ambities hierop in samenspraak met de raad; 2. Breng aantal en actualiteit van de protocollen en richtlijnen zoals voorgeschreven in de BIO up-to-date; 3. Maak effectiever gebruik van de reeds aanwezige middelen voor controle en monitoring op informatiebeveiliging en privacy; 4. Verricht een 0-meting naar de taakvolwassenheid en bewustwording van medewerkers op informatiebeveiliging en formuleer daarop een ambitie en stappenplan om daarop in control te komen; 5. Maak informatiebeveiliging en privacy integraal onderdeel van de werkprocessen;
Aan college en raad
6. Ga samen het gesprek aan om de horizontale verantwoording (tussen raad en college) in te vullen, zodat de raad voor zijn adviserende en controlerende rol zicht krijgt op opzet, bestaan en werking van de maatregelen op informatiebeveiliging en privacy;
Aan de raad
7. Neem als raad een actievere kaderstellende en controlerende rol op de beleidsterreinen informatiebeveiliging en privacy en gebruik hiervoor onder andere de rapportages op privacy- en informatiebeveiligingsaspecten van de FG, ENSIA en accountant.
13
1 Bestuurlijke reactie Rekenkamercommisie gemeente Zutphen T.av. mevrouw K. van den Berg 's Gravenhof 2 7201 DB ZUTPHEN Inlichtingen bij: Willem Bal
Telefoon: 14 0575
Bijlage(n): -
Team: Control
Zaaknummer: 551625
Uw bericht van: 24-04-2023
Onderwerp: Onderzoek Informatiebeveiliging Datum: 30 mei 2023
Uw nummer: -
en privacy Geachte rekenkamercommissie, mevrouw Van den Berg, Op 24 april 2023 hebben wij uw brief ontvangen waarmee u de bestuurlijke nota, conclusies en aanbevelingen van het onderzoek naar informatiebeveiliging en privacy aanbiedt. U verzoekt ons om een bestuurlijke reactie die integraal wordt opgenomen in de aan de raad aan te bieden eindversie van het rapport. De bestuurlijke reactie hebben wij in deze brief opgenomen. Dank u voor het nauwkeurige onderzoek. Wij zijn blij met de aansporingen en aanbevelingen die in het rapport ‘Informatiebeveiliging en privacy gemeente Zutphen’ zijn opgenomen. Ambities op Informatiebeveiliging en Privacy Het voldoen aan de regelgeving op het gebied van Informatiebeveiliging en Privacy wordt gezien als randvoorwaarde voor de professionele gemeente. Dit vraagt van ons flinke inzet om te komen tot beleid, het inrichten van veilige processen en het treffen van (technische) maatregelen. Deze zorgen ervoor dat onze inwoners en bedrijven zakendoen met een betrouwbare gemeentelijke overheid die zorgvuldig met haar gegevens omgaat. Het rapport van de rekenkamercommissie helpt ons om de te nemen stappen op het gebied van informatiebeveiliging en privacy extra goed tegen het licht te houden. Wij beschouwen de onderwerpen informatiebeveiliging en privacy als een zeer belangrijk thema binnen de gemeente.
Daarbij voelen we de urgentie om ons te versterken. Dit blijkt onder andere uit het gegeven dat wij in april 2023 het ‘Actieplan Informatiebeveiliging en privacy’ hebben vastgesteld dat tot doel heeft om in control te komen en de risico’s voor de organisatie te verminderen. Om de borging en toename van de volwassenheid op dit thema te kunnen waarmaken loopt er tevens een aanvraag voor extra formatie ter versterking van de organisatie. In hoofdlijnen richt het actieplan zich op: Een beschrijving opstellen van de governance (besturing) met betrekking tot informatiebeveiliging en privacy. Hierin worden de rollen, taken en bevoegdheden binnen de organisatie op het gebied van informatiebeveiliging en privacy helder beschreven en duidelijk belegd. Het verhogen van het eigenaarschap en informatiebeveiligingsbewustzijn bij medewerkers, leidinggevenden en bestuur. Het opstellen van benodigd beleid en inrichten van veilige processen. Het (technisch) veilig inrichten van de ICT-omgeving. Aansporingen en aanbevelingen in het rapport ‘Informatiebeveiliging en privacy gemeente Zutphen’ In de voorbereiding op het opstellen van het gemeentelijk ‘Actieplan Informatiebeveiliging en privacy’ is er in de organisatie een brede inventarisatie gedaan van de te ondernemen stappen op dit thema. Actiepunten zijn benoemd en geïntegreerd in één plan.
Het gevolg is dat wij de in uw rapport genoemde aansporingen en aanbevelingen herkennen en erkennen. Alle aansporingen en aanbevelingen nemen wij ter harte en integraal over, behalve aanbeveling 4. Daarop en op een aantal andere in het rapport benoemde onderwerpen geven wij graag een nadere toelichting. Het rapport van de rekenkamercommissie beschrijft in aanbeveling 4 (pagina 13) dat er een 0-meting dient te worden verricht naar de taakvolwassenheid en bewustwording van medewerkers op
14
informatiebeveiliging om zodoende een ambitie en stappenplan te kunnen opstellen. Naar onze mening is dit niet nodig, omdat een dergelijke 0-meting al in 2021 is uitgevoerd. Daarbij kan deze 0meting worden verrijkt met de informatie die in 2022 is opgehaald door een onderzoek dat binnen de gemeente is uitgevoerd vanuit de provincie (project Troje) en de tests die zijn uitgevoerd in het rekenkameronderzoek. Nu dus geen energie steken in een nieuwe 0-meting, maar juist de informatie die voorhanden is analyseren en de benodigde maatregelen treffen. Dit wordt uitgevoerd binnen het vermelde actieplan. Het rapport van de rekenkamercommissie stelt op (pagina 11) dat er nog geen inhoudelijke discussie heeft plaatsgevonden tussen ons en de raad naar aanleiding van de aan de raad aangeboden informatie over de stand van zaken op informatiebeveiliging en gegevensverwerking. Het gaat dan om de informatie verstrekt als onderdeel van de P&C-cyclus en rechtmatigheidsrapportages van de accountant. Dit is echter onjuist en onze vraag is waarop u deze stelling baseert? Het rapport van de rekenkamercommissie beschrijft in aanbeveling 1 (pagina 13) dat wij de ambities in het kader van informatiebeveiliging en privacy in samenspraak met de raad moeten opstellen.
Het bespreken van de ambities en de op 7 november 2022 aangenomen motie ‘Cyberrisico’ vormen goede aanleidingen voor verder gesprek met de gemeenteraad. Er wordt hierover een open gesprek met de raad gefaciliteerd in een Forumspecial die is gepland voor september 2023. Aanbeveling 7 (pagina 13) van de rekenkamercommissie over de behoefte aan een actievere en verdiepende kaderstellende en controlerende rol door de raad is primair aan de raad gericht. Wij vinden dat ook heel belangrijk en constateren hierover dat: o Dit gesprek er logischerwijze niet is geweest door bezuinigingen en te weinig personele capaciteit. o De voortgang van implementatie van activiteiten op het gebied van informatiebeveiliging en privacy hierdoor ook vertraagd. o Activiteiten op het gebied van informatiebeveiliging en privacy werden niet integraal gepland en uitgevoerd, maar voornamelijk op ad hoc basis. Ons advies aan de raad is om een commissie informatieveiligheid en privacy in te stellen. Deze kan zich als vooruitgeschoven post verder verdiepen op dit belangrijke en urgente thema dat deels nogal technisch van aard is. Hierdoor kunnen wij in samenspraak werken aan de Digitale Weerbaarheid van de gemeente. En voor onze inwoners en bedrijven een betrouwbare gemeentelijke overheid zijn die zorgvuldig met haar gegevens omgaat.
Financiële gevolgen Om de activiteiten, zoals die zijn opgenomen in het ‘Actieplan Informatiebeveiliging en privacy’, te kunnen uitvoeren is er geld nodig. Bij de behandeling van de bestemming van het jaarrekeningsaldo 2022 wordt voorgesteld om budget beschikbaar te stellen voor de uitvoering van het actieplan. Verder houden wij rekening met structurele financiële en personele effecten voor de verdere implementatie van de regelgeving op het gebied van informatiebeveiliging en privacy. Dit is onder andere het gevolg van het actieplan dat moet worden uitgevoerd en de te verwachten intensivering van landelijk toezicht op de naleving van regelgeving. Dit vraagt om meer capaciteit, daarom loopt er een aanvraag voor extra formatie ter versterking van de organisatie. Vragen Als u nog vragen heeft over deze brief, neemt u dan contact op met Willem Bal, team Control. Dit kan via telefoonnummer 14 0575 (zonder kengetal) of info@zutphen.nl. Wilt u als u een bericht stuurt het zaaknummer vermelden? Met vriendelijke groet, burgemeester en wethouders van Zutphen, de burgemeester, de secretaris,
15
2 Reactie rekenkamercommissie De rekenkamercommissie waardeert het dat het college de belangrijkste aansporingen en aanbevelingen uit het onderzoek onderschrijft. U heeft toegelicht waarom u aanbeveling 4 niet overneemt. Wij hebben aanbevolen om een 0–meting uit te voeren naar de taakvolwassenheid en bewustwording van medewerkers. Uit de verstrekte informatie bleek namelijk niet dat deze is uitgevoerd. Dat is ook zo in de nota van bevindingen, die voor ambtelijke hoor en wederhoor (feitencheck) is voorgelegd, opgenomen. Daar is bij de feitencheck is helaas niet op gereageerd. Vandaar onze aanbeveling. Goed om te constateren dat in 2021 een 0-meting is uitgevoerd en aangevuld met nieuwe informatie leidt tot maatregelen in het actieplan. We raden de raad alert te zijn op de opvolging van de maatregelen uit het actieplan. U vraagt waarop de rekenkamercommissie zich baseert door te stellen dat er nog geen inhoudelijke discussie heeft plaatsgevonden tussen college en raad ten aanzien van informatiebeveiliging en gegevensverwerking. De rekenkamercommissie constateert dat de informatie aan de raad summier is. De raad heeft in november 2022 een motie aangenomen om meer informatie te delen, onder andere in de driehoek. Dat is aanleiding geweest om te concluderen dat er geen inhoudelijke discussie over de ambities op informatiebeveiliging en privacy met de raad is gevoerd.
Het is dan ook met instemming dat de rekenkamercommissie constateert dat het college in de bestuurlijke reactie de raad adviseert om een commissie informatieveiligheid en privacy in te stellen om een platform voor een dergelijke inhoudelijke discussie te creëren. Wij zullen de uitwerking van de aanbevelingen nauwgezet volgen en we nemen ons voor in 2024 de doorwerking van de aanbevelingen te onderzoeken.
16
3 Inleiding Gemeenten zijn kwetsbaar
Onder andere door de toegenomen taken in het sociaal domein beheren en verwerken gemeenten meer en meer persoonsgegevens en gevoelige data. Dat doen gemeenten in toenemende mate met behulp van digitale hulpmiddelen. Gemeenten zijn daarbij kwetsbaar gebleken, zoals onder andere blijkt uit datalekken bij gemeenten, zoals Hof van Twente en Buren. Wat gebeurt er bijvoorbeeld als gevoelige informatie op straat komt te liggen of op het dark web wordt aangeboden? Of als de gegevens worden gegijzeld en de digitale dienstverlening aan burgers niet meer mogelijk is? Naast ernstige financiële, juridische en technische gevolgen kunnen deze crises de privacy van burgers en het imago van de gemeente aantasten. 8 Dat zijn redenen voor de rekenkamercommissie Zutphen geweest om een onderzoek te doen naar opzet, bestaan en werking van het informatiebeveiliging- en privacybeleid in de gemeente Zutphen.
3.1 Leeswijzer Samenvatting, conclusies en aanbevelingen zijn in het hieraan voorafgaande hoofdstuk opgenomen. In hoofdstuk 2 behandelen we de doelstelling, onderzoeksvragen en de aanpak van het onderzoek. Hoofdstuk 3 bevat de bevindingen, geordend aan de hand van de onderzoeksvragen. Deze bevindingen zijn getoetst bij de in dit onderzoek betrokken respondenten en in verband met de feitencheck (ambtelijke hoor en wederhoor). In de bijlage 1 staan allereerst veel gebruikte termen en afkortingen die gebruikt worden bij informatieveiligheid en privacy. Daarna volgt in bijlage 2 de lijst met geraadpleegde stukken en de lijst met functies van de respondenten. Vervolgens komen in bijlage 3 de normen aan bod, gekoppeld aan de onderzoeksvragen. Bijlage 4 bevat een grafisch overzicht van de richtlijnen en procedures op informatiebeveiliging en privacy zoals door de Informatiebeveiligingsdienst (IBD) wordt weergegeven. In §3.2.5 wordt verwezen naar het volwassenheidsniveau zoals gehanteerd door de beroepsorganisatie van IT-auditors in Nederland (de Nederlandse Organisatie van Register EDP-Auditors, NOREA.). Daarom is deze in een tabel in bijlage 5 opgenomen
8
Gemeenten hebben in 2013 in VNG-verband afgesproken te voldoen aan de maatregelen van de Baseline Informatiebeveiliging Gemeenten (BIG). De BIG is vanaf 2020 vervangen door de Baseline Informatiebeveiliging Overheid (BIO.) In 2021 hebben gemeenten in VNG-verband afgesproken structureel voldoende middelen voor de weerbaarheid tegen digitale bedreigingen vrij te maken. Vanaf 25 mei 2016 schrijft de Algemene Verordening Gegevensbescherming (AVG of GDPR) voor dat passende maatregelen getroffen moeten worden om persoonsgegevens te beveiligen, in het belang van de burger en de gemeenten zelf.
17
4 Doelstelling, onderzoeksvragen en aanpak 4.1 Doelstelling en onderzoeksvragen Doelstelling en hoofdvraag
De Rekenkamercommissie Zutphen wil de gemeenteraad inzicht geven in de stand van zaken in de gemeente met betrekking tot beleid en uitvoering van informatiebeveiliging en privacy. Deze doelstelling is vertaald naar de volgende hoofdvraag: “Heeft de gemeente Zutphen de informatiebeveiliging en gegevensbescherming op orde?”
Onderzoeksvragen
De doelstelling en hoofdvraag worden uitgewerkt aan de hand van de onderzoeksvragen zoals opgenomen in onderstaande tabel 2.1.
Tabel 2.1. Onderzoeksvragen 1. Beschikt de gemeente Zutphen over een adequaat informatiebeveiligings- en privacybeleid? 2. Hoe wordt het beleid uitgevoerd en hoe wordt de uitvoering gemonitord? 3. In hoeverre zijn gegevens bij de gemeente beschermd tegen de toegang door onbevoegden? 4. Hoe wordt de gemeenteraad betrokken bij het informatiebeveiligings- en privacybeleid? Voor de normen bij deze onderzoeksvragen verwijzen we naar bijlage 3.
4.2 Korte inleiding op informatiebeveiliging en privacy Informatiebeveiliging
Informatiebeveiliging gaat over het geheel aan preventieve, detectieve en correctieve maatregelen, procedures en processen die de beschikbaarheid, integriteit en vertrouwelijkheid (BIV) van de informatie binnen een organisatie garanderen. Doel is de continuïteit van de informatie en de informatievoorziening of dienstverlening te waarborgen en eventuele gevolgen van (beveiligings)incidenten te beperken. Het beleid dat gemeenten hierop hebben afgesproken is neergelegd in de Baseline Informatiebeveiliging Overheid (BIO).9 De BIO bevat maatregelen die gemeenten op basis van een risicoanalyse kunnen nemen om aan het basisniveau voor informatiebeveiliging te voldoen.
Gegevensbescherming
Gegevensbescherming betreft de regels voor de verwerking van persoonsgegevens door bedrijven, instellingen en overheden. Doel is de privacy van burgers op een adequate manier te beschermen. De Europese General Data Protection Regulation (GDPR), in Nederland bekend als de
9
Gemeenten hebben in 2013 in VNG-verband afgesproken te voldoen aan de maatregelen van de Baseline Informatiebeveiliging Gemeenten (BIG). De BIG is vanaf 2020 vervangen door de Baseline Informatiebeveiliging Overheid (BIO). De baseline is gebaseerd op de kwaliteitsnormen NEN-ISO/IEC 27001:2017 en de NEN-ISO/IEC 27002:2017.
18
Algemene Verordening Gegevensbescherming (AVG), is sinds mei 2018 van kracht. Informatieveiligheid
De AVG schrijft onder andere voor dat passende maatregelen getroffen moeten worden om persoonsgegevens te beveiligen, in het belang van de burger en de gemeenten zelf. De twee onderwerpen informatiebeveiliging en gegevensbescherming (privacy) hebben dus onderling een grote overlap. Een deel van de protocollen en procedures op beide terreinen komen met elkaar overeen. Overkoepelend wordt vaak de term informatieveiligheid gebruikt, zie onderstaand afbeelding 2.1.
Afbeelding 2.1. Informatieveiligheid met privacy en informatiebeveiliging.
Bron: Rekenkamer Utrecht, 2021.
In dit onderzoek worden de beide onderwerpen, informatiebeveiliging en privacy, geadresseerd.
4.3 Aanpak De onderzoeksvragen worden beantwoord door middel van een analyse van documenten in deskresearch, interviewverslagen en pentesten (zie volgende alinea.) De documenten bevatten beleid en rapportages van de gemeente. De documenten die zijn bestudeerd zijn in bijlage 2 opgenomen, evenals de functies van de bestuurders en functionarissen van de gemeente Zutphen die zijn geïnterviewd. De deskresearch vond plaats in de periode oktober-december 2022. De interviews zijn in januari-februari 2023 afgenomen.
19
Pentesten
In december 2022 zijn in het kader van het rekenkameronderzoek verschillende pentesten uitgevoerd op de systemen, medewerkers en raadsleden van de gemeente Zutphen.10 Door de gemeente is aangegeven dat deze, in samenwerking met de provincie, ook testen uitvoert op de systemen. Deze pentesten zijn door de onderzoekers gecheckt en als adequaat beoordeeld. De rekenkamercommissie heeft daarop besloten geen externe netwerkpentest uit te laten voeren. Wel is besloten in het kader van het rekenkameronderzoek aanvullend een interne netwerk test, Active Directory (AD) audit 11, phishing 12 test en een mystery guest 13 uit te voeren. Voor een nadere uitleg van de testen en de resultaten zie §3.3.1. De nota van bevindingen is in maart 2023 voor de ambtelijke hoor en wederhoor (feitencheck) aangeboden.
10
11
12
13
Een pentest of penetratietest is een toets van een of meer computersystemen op kwetsbaarheden, waarbij deze kwetsbaarheden gebruikt kunnen worden om in deze systemen in te breken. De Active Directory (AD) staat beheerders toe om het beleid (rechten en instellingen) in het netwerk van een organisatie te beheren. De AD bevat een database waarin onder andere accounts en inloggegevens zijn opgenomen. Een AD audit test onder andere het wachtwoordenbeleid en inactieve accounts. Phishing is een vorm van internet oplichting en fraude, door middel van een vals e-mail bericht 'hengelen' naar inlog- of andere persoonsgegevens. Tijdens een mystery guest bezoek probeert een onderzoeker onder valse voorwendselen fysiek binnen te dringen in de gemeentelijke organisatie. Doel is inzicht te krijgen in kwetsbaarheden als ongeautoriseerde toegang mogelijk is tot kantoren en werkruimtes, tot werkstations, informatie of dossiers op bureaus, printers of afvalcontainers.
20
5 Bevindingen In dit hoofdstuk worden de bevindingen per onderzoeksvraag weergegeven.
5.1 Informatiebeveiligings- en privacybeleid In deze paragraaf presenteert de rekenkamercommissie de bevindingen met betrekking tot onderzoeksvraag 1: Beschikt de gemeente Zutphen over een adequaat informatiebeveiligingsen privacybeleid? In de sub paragrafen gaan we achtereenvolgens in op het beleid, de protocollen en richtlijnen in het kader van het informatiebeveiligingsbeleid, de positionering van de functionarissen en de diverse overleggen op informatiebeveiliging.
5.1.1 Beleid informatiebeveiliging en privacy Informatiebeveiligingsbeleid
Het strategisch informatiebeveiligingsbeleid is op 3-11-2020 vastgesteld door het college en in principe geldend van 2020-2024. Door de snelle ontwikkelingen, binnen en buiten de gemeentelijke organisatie, kan het informatiebeveiligingsbeleid volgens respondenten geactualiseerd worden. De Chief Information Security Officer (CISO) en de strategisch adviseur zijn bezig met het updaten van het beleid. De strategische doelen zoals geformuleerd in het informatiebeveiligingsbeleid zijn:
Het managen van de informatiebeveiliging. Adequate bescherming van bedrijfsmiddelen. Het minimaliseren van risico’s van menselijk gedrag. Het beschermen en correct verwerken van persoonsgegevens van burgers en medewerkers. Het voorkomen van ongeautoriseerde toegang. Het garanderen van correcte en veilige informatievoorzieningen. Het beheersen van de toegang tot informatiesystemen. Het waarborgen van veilige informatiesystemen. Het adequaat reageren op incidenten. Het beschermen van kritieke bedrijfsprocessen. Het waarborgen van de naleving van dit beleid. Ook de 10 bestuurlijke principes van informatiebeveiliging, behorende bij de BIO zijn in het beleid opgenomen.14
14
De 10 bestuurlijke principes informatiebeveiliging van de VNG luiden: 1. Bestuurders bevorderen een veilige cultuur; 2. Informatiebeveiliging is van iedereen; 3. Informatiebeveiliging is risicomanagement; 4. Risicomanagement is onderdeel van de besluitvorming; 5. Informatiebeveiliging behoeft ook aandacht in (keten)samenwerking; 6. Informatiebeveiliging
21
Ambitie
De ambitie van de gemeente is te voldoen aan eisen die de Baseline Informatiebeveiliging Overheid (BIO) stelt. Daarvoor moet een GAPanalyse15 uitgevoerd worden en op basis daarvan worden, in combinatie met een risicoanalyse, de activiteiten op informatiebeveiliging in een jaarplan informatiebeveiliging opgenomen.
GAP- en risicoanalyse
Uit de interviews blijkt dat de GAP-analyse is uitgevoerd en er is een jaarplan opgesteld. Op moment van interview moest dat nog vastgesteld worden door het MT en daarna doorgestuurd worden naar het college. In het jaarplan zijn activiteiten opgenomen en is een bijbehorende claim op mensen en middelen neergelegd. Geschetst wordt dat er een grote uitdaging voor de gemeente ligt. Uit de interviews blijkt dat de gemeente van ver komt, daar de afgelopen jaren op bezetting en techniek bezuinigd moest worden. Hetgeen gedaan moet worden om aan de ambitie te voldoen is volgens respondenten in beeld, in die zin wordt ‘in control’ zijn op informatiebeveiliging gedefinieerd. Maar niet alle activiteiten kunnen meteen opgepakt worden, met name met het oog op de snel ontwikkelende wereld in beveiligingsdreigingen. Vandaar dat prioriteiten gesteld moeten worden en een risicoanalyse gedaan moet worden op te nemen maatregelen. Daarbij wordt gelet op de maatregelen in de BIO en de risico’s die de IBD schetst, onder andere op basis van incidenten elders. Risicomanagement in het algemeen en de methodiek om risico’s op bedrijfsvoering en dienstverlening van de gemeente zelf te inventariseren en te wegen moet nog ontwikkeld worden.
Verantwoordelijkheden
In het informatiebeveiligingsbeleid zijn de verantwoordelijkheden voor de bestuurders, de functionarissen op informatiebeveiliging, lijnmanagement en medewerkers beschreven. College is eindverantwoordelijk en stelt het strategische beleid vast, de directie stelt het jaarplan vast en is verantwoordelijk voor de tactische uitvoering van de beleidsregels. De CISO is de onafhankelijke ondersteuner en rapporteert rechtstreeks aan de directie. De teamleiders zijn verantwoordelijk voor de uitvoering van beleidsregels op operationeel niveau. Tot slot zijn de medewerkers verantwoordelijk voor het verantwoord omgaan met de informatie waarover de gemeente beschikt en worden zij getraind in de beveiligingsprocedures.
Privacybeleid
In 2018 is een 0-meting uitgevoerd ten aanzien van de eisen van de Algemene Verordening Gegevensbescherming (AVG). Naar aanleiding daarvan is het privacybeleid opgesteld dat in 2018 door het college is vastgesteld. Dat is verouderd ten opzichte van de organisatorische
15
is een proces; 7. Informatiebeveiliging kost geld; 8. Onzekerheid dient te worden ingecalculeerd; 9. Verbetering komt voort uit leren en ervaring; 10. Het bestuur controleert en evalueert. Bron: De 10 bestuurlijke principes voor informatiebeveiliging. Behorende bij de Baseline Informatiebeveiliging Overheid (BIO), VNG, 2019. De GAP-analyse betekent een controle en analyse of en in welke mate de maatregelen uit de BIO geïmplementeerd zijn.
22
ontwikkelingen en momenteel wordt door de privacy officer en de adviseur privacy gewerkt aan een nieuwe versie. Ook een privacyplan is opgesteld door het externe bureau, waarvan de uitvoering bij de ambtelijke organisatie ligt. Naar aanleiding van de activiteiten wordt jaarlijks een Jaarrapportage gegevensbescherming opgesteld. Specifiek beleid
Op privacy in het sociaal domein is specifiek een handreiking opgesteld. Deze regelt onder andere hoe medewerkers op een AVG-conforme wijze rapportages waarin persoonsgegevens zijn verwerkt moeten opstellen. Voor andere beleidsterreinen en processen waarin persoonsgegevens worden verwerkt zijn geen specifieke handreikingen opgesteld.
Actieplan Informatie-
Op informatiebeveiliging en privacy is begin 2022 het ‘Actieplan Informatiebeveiliging en Privacybescherming’ opgesteld. De achterliggende wens van van de gemeente was om het niveau van informatiebeveiliging en privacybescherming te verhogen, omdat een achterstand in voorgenomen activiteiten uit het privacyplan werd geconstateerd. Het actieplan is opgesteld naar aanleiding van een extern rapport. In juli en september 2022 is het geüpdatet met bevindingen van de interim CISO op informatiebeveiliging. Getracht wordt met een projectmatige aanpak een aantal activiteiten uit te voeren, benodigd om te voldoen aan de BIO en AVG. Binnen een viertal prioriteiten zijn activiteiten opgenomen die met name met de organisatieen menskant van het informatiebeveiliging- en privacybeleid te maken hebben. Daartoe behoren het opstellen van protocollen en implementeren van managementsystemen, zoals het Information Security Management System (ISMS). Er is, zo is ook geconstateerd uit de interviews, structuur aangebracht in de budgetten van het team I&A, waardoor mede op informatieveiligheid beter gestuurd kan worden. En tot de geprioriteerde activiteiten uit het actieplan behoort het vergroten van bewustzijn en kennis via trainingen van medewerkers.
beveiliging en Privacybescherming
Draagvlak en ambitie
Uit de interviews blijkt dat het bestuurlijk draagvlak groeiende is. Voorheen werd het gezien als een noodzakelijk kwaad, dat veel geld kost. Gezien de financiële uitdaging van de gemeente was dat een extra last. Geconstateerd kan worden dat in het coalitieakkoord de term informatiebeveiliging niet voorkomt en de term privacy een keer in het kader van cameratoezicht (zie hierna bij datagedreven werken.) Maar ook wordt in interviews gemeld dat onder andere door incidenten elders, zoals Hof van Twente, Buren en Lochem, de bestuurlijke aandacht is aangewakkerd. Momenteel zijn er twee portefeuillehouders, een op informatiebeveiliging en privacy en een op bedrijfsvoering en ICT. In interviews wordt gemeld dat bij beide voldoende aandacht op de onderwerpen aanwezig is. Een beeld voor draagvlak voor informatiebeveiligings- en privacybeleid is in hoeverre in onder andere stukken voor de planning en control cyclus informatiebeveiliging en privacy ter sprake komt. In het coalitieakkoord
23
2022-2026 van het college dat na de gemeenteraadsverkiezingen in 2022 aantrad wordt nauwelijks melding gemaakt van informatiebeveiliging of privacy. Slechts een opmerking wordt gemaakt over cameratoezicht, zie hieronder bij ‘datagedreven werken’. In de meerjarenbegroting jaarschijf 2023 worden wel opmerkingen gemaakt, zoals doorontwikkeling van het beleid op technisch en organisatorisch vlak. Plus het investeren in de verbetering van het Identity and Access Management (IAM), zie daarvoor ook §3.1.2 en 3.2.2). Ook wordt de continue aandacht gevraagd voor bewustwording rondom informatieveiligheid. Datagedreven werken
Een apart hoofdstuk vormt datagedreven werken, het bij beslissings- en uitvoeringsprocessen gebruik maken van en koppelen van (big) data. Uit de interviews blijkt dat de wens er is om meer datagedreven te werken, maar er is nog geen beleid geformuleerd. Aan datagedreven werken kleven risico’s en ethische vragen, zoals onder andere blijkt uit de toeslagenaffaire. In het coalitieakkoord 2022-2026 wordt opgemerkt dat cameratoezicht in veel gevallen het gevoel van veiligheid kan vergroten en helpen met het oplossen van overlast en criminaliteit. Er worden ook bezwaren op het gebied van privacy en de uitvoerbaarheid aangegeven. Gemeld wordt dat in deze raadsperiode een afwegingskader cameratoezicht zal worden opgesteld met kaders waarbinnen mogelijk cameratoezicht toegepast kan worden. Een discussie over informatiebeveiliging en privacy met betrekking tot bodycams van BOA’s loopt. Er zijn ethische afwegingen te maken, zoals bijvoorbeeld bij armoedebeleid: welke data vraag je uit, met wie deel je de data en hoe voorkom je discriminatie? Datagedreven werken is ook in de begroting 2023 opgenomen. Een van de projecten die regionaal wordt uitgevoerd is Datalab GO, waar de gemeente Bronckhorst de penvoerder van is. Algoritmes en dashboards met samengestelde managementinformatie worden ontwikkeld. Het heeft de aandacht van de gemeente, maar het staat nog in de kinderschoenen.
Uit de interviews blijkt dat de gemeente hierop nog aan het leren en ontwikkelen is.
5.1.2 Protocollen en richtlijnen Protocollen/richtlijnen
16
17
In het informatiebeveiligings- en privacybeleid schrijft de BIO een aantal protocollen en richtlijnen voor om op informatiebeveiliging en privacy in control te komen, zie bijlage 4. Bij het opvragen van de documenten en in de interviews is een deel aangereikt, zoals de procedures ‘Back-up en restore’ 16, ’Hardening’ van de systemen, apparatuur en voorzieningen, ‘Incidentmanagement’, Wachtwoordbeleid’ 17 en ‘Toegangspassen’. Ook is
Uit de ambtelijke reactie blijkt dat in maart 2023 de back-up en restore voorziening in 2022/2023 opnieuw is ingericht. Een actuele beschrijving van de inrichting en beleid moet echter nog worden opgesteld. Uit de ambtelijke reactie blijkt dat het wachtwoordbeleid is aangepast, mede naar aanleiding van de pentesten in opdracht van de rekenkamercommissie, zie §3.3.1.
24
aangegeven dat er het nodige aan vereiste documenten mist of deels aanwezig is, of geüpdatet of herijkt zou moeten worden. De interim CISO heeft in kaart gebracht wat er aanwezig is. Daaruit blijkt dat er nog grote stappen gemaakt moeten worden en er voorheen wel de plannen waren die niet volledig zijn uitgevoerd. Aangegeven is dat er te weinig mensen waren, en ook te weinig aandacht, om die plannen goed op te pakken. Actieplan privacybescherming en infoveiligheid
In het Actieplan is binnen de vier prioriteiten opgenomen dat deze documenten aangevuld en geüpdatet zullen gaan worden. In een van de prioriteiten is het ontwikkelen van een integraal continuïteitsplan opgenomen. Dat was er ten tijde van de interviews nog niet volledig, aangegeven werd dat het er deels op verschillende deelterreinen is en deels in de hoofden van de betrokken medewerkers zit. Ook een autorisatiebeleid (Identity and Access Management), dat de wijze regelt waarop medewerkers toegang krijgen tot gegevens staat op de planning. Op basis daarvan kan dan het wachtwoordenbeleid op een juiste manier aangevuld worden. Een ruwe schatting uit de interviews is dat circa een kwart tot een derde van de benodigde documenten op informatiebeveiliging en privacy actueel en aanwezig is. Een enkele respondent wijt dat aan de ad hoc manier van werken bij de gemeente. Uit een van de interviews blijkt dat bij vragen van medewerkers over informatiebeveiliging en privacy het antwoord soms is dat er met betrekking tot dat vraagstuk nog geen werkwijze over is afgesproken.
AVG
Op gebied van privacy zijn de meeste in de AVG vereiste protocollen bij de gemeente aanwezig. Er is een privacystatement dat gepubliceerd is waarop inwoners kunnen zien welke gegevens in het algemeen door of namens de gemeente worden verwerkt en hoe zij hun recht op inzage kunnen krijgen. Ook is er een verwerkingsregister, waarin opgenomen is welke persoonsgegevens de gemeente verwerkt en met wie de gemeenten deze deelt of welke partij namens de gemeente deze gegevens verwerkt. Daarnaast werkt de gemeente met verwerkingsovereenkomsten waarvoor het model van de VNG wordt gebruikt. Er is een procedure voor het melden van datalekken en een procedure voor het uitvoeren van een data protection impact assessment (dpia). Een toestemmingsprocedure om persoonsgegevens in het kader van P&O te mogen delen wordt gemist.