eindrapport Rekenkamercommissie informatiebeveiliging en privacy Gemeente Zutphen 2023

Werkprocessen

Een van de respondenten geeft aan dat er geen privacychecks aanwezig zijn in de besluitvormingsprocessen of werkprocessen waarin persoonsgegevens worden verwerkt. Dat wil zeggen dat gegevensbescherming vaak niet op voorhand bij besluitvorming of inrichting van werkprocessen wordt betrokken. Dat geeft een risico op inefficiëntie daar het in dat geval lastiger is het aspect privacy tijdig mee te nemen en te voldoen aan de AVG.

25

5.1.3 Omvang aanstelling en positionering functionarissen op informatiebeveiliging Rollen op informatiebeveiliging en privacy

Op intranet staan de verschillende rollen van de functionarissen op ‘privacy en AVG’ gepubliceerd. Daarin is beschreven dat de teamleiders als proceseigenaar eindverantwoordelijk zijn en verantwoordelijk zijn voor de borging van de informatiebeveiliging en privacy in de werkprocessen in de teams. De medewerkers zijn verantwoordelijk voor het op peil houden van de eigen kennis op informatiebeveiliging en privacy. In het document ‘Diverse rollen op gebied van privacy en AVG’ wordt ook de CISO meegenomen, die met name op informatiebeveiliging werkzaam is. Hieronder gaan we op de verschillende specifieke functies op informatiebeveiliging en privacy in.

Informatiebeveiliging

Hiervoor is aangegeven dat er bezuinigd is op techniek en mensen en er zijn veel wisselingen in personeel op informatiebeveiliging te constateren. Zo zijn recent de adjunct directeur bedrijfsvoering (CIO), teamleider I&A en een strategisch adviseur gestart.

CISO

Er is voorzien in een CISO-functie, die momenteel interim door een externe kracht wordt ingevuld. De CISO coördineert het beleid op het vlak van informatiebeveiliging en zorgt voor een samenhangend pakket van technische en organisatorische maatregelen ter waarborging van de beschikbaarheid, integriteit en vertrouwelijkheid (biv) van de informatie binnen de gemeente. De CISO is de coördinator van de ENSIAverplichtingen 18 en houdt zich ook bezig met risicoanalyses en interne audits en het afhandelen van beveiligingsincidenten. Hij geeft advies en rapporteert direct aan het management over informatiebeveiliging. De CISO is strategisch en onafhankelijk van de lijn gepositioneerd. De vorige CISO was ook op tactisch en operationeel vlak actief. Een informatie(beveiligings)adviseur op tactisch niveau die de liaison met het operationele niveau kan onderhouden is niet aanwezig. Dat betekent dat de strategische functie van de CISO nog veel tactische en operationele taken uitvoert. Of informatiebeveiliging op operationeel goed in de werkprocessen wordt geïmplementeerd is afhankelijk van de kennis en taakvolwassenheid op informatiebeveiliging bij de teammanagers. Zie daarvoor §3.2 beleidsuitvoering.

Functionaris Gegevensbescherming

18

Er is vanaf 2018 een voltijds Functionaris Gegevensbescherming (FG) aanwezig in de gemeente Zutphen, die vanaf 1 januari 2023 voor 0,8 fte werkzaam is. Die capaciteit is hierop binnen de organisatie vrijgemaakt omdat er geen extra middelen beschikbaar waren. Zijn taken zijn onder

ENSIA staat voor de Eenduidige Normatiek Single Information Audit. Op basis van de resultaten van externe en interne audits worden de verticale toezichthouders (landelijke toezichthouders als Logius) en de horizontale toezichthouder (de gemeenteraad) geïnformeerd over de stand van zaken met betrekking tot informatiebeveiliging en privacy.

26

andere de organisatie informeren en adviseren over de AVG-verplichtingen, adviseren bij een dpia, als contactpersoon fungeren naar de Autoriteit Persoonsgegevens (AP) toe en aanspreekpunt voor inwoners met vragen over de AVG en privacy. De FG controleert als interne toezichthouder de naleving van de AVG en het privacybeleid. En rapporteert over zijn bevindingen aan de gemeentesecretaris en de portefeuillehouder. Deze functie is bedoeld om op strategisch niveau te functioneren. Privacy officer en adviseur privacy

Naast de strategische functie van de FG zijn er nog twee functionarissen op tactisch niveau werkzaam. In 2022 is een privacy officer voor 18 uur aangesteld, dat was tot voor kort 16 uur. Deze functionaris is verantwoordelijk voor het daadwerkelijk vormgeven van het privacybeleid. Ook is voor 21 uur een adviseur privacy voor gegevensbescherming aan het werk gegaan. De privacy officer werkt organisatiebreed en is het aanspreekpunt voor de directie. De adviseur privacy is in eerste instantie meer gericht op het sociaal domein, waarin uiteraard veel (persoons)gegevens worden verwerkt. De privacy officer en adviseur privacy vallen onder bestuursondersteuning en vormen sinds kort het Privacyteam. Zij pakken de meeste vraagstukken en zaken op gegevensbescherming gezamenlijk op. Zoals adviseren en ondersteunen de teamleiders, die de ‘proceseigenaren’ zijn en verantwoordelijk zijn voor de werkprocessen binnen de teams. En zij beantwoorden de vragen van medewerkers uit de vakteams.

Actieplan

Tot de activiteiten van de functionarissen op informatiebeveiliging en privacy behoren onder andere de punten uit het Actieplan privacybescherming en informatieveiligheid (zie § 3.1.1).

Formatie

Zoals eerder geconstateerd zijn er veel wisselingen geweest en is de formatie en het op peil houden van kennis, kunde en capaciteit een aandachtspunt en forse uitdaging voor de gemeente. Te meer daar er krapte op de arbeidsmarkt heerst, met name bij de technisch geschoolde functies. Die krapte wordt ook gevoeld bij de afdeling Informatiering en Automatisering (I&A) van de gemeente. Daar is externe ondersteuning voor de vaste staf aanwezig. Voor een middelgrote gemeente als Zutphen is salariëring van functionarissen met een specifieke, in dit geval technische, expertise een knelpunt. De CISO is voor 0,6 fte in dienst, en dat wordt uitgebreid naar 0,7. Uit de gesprekken blijkt dat de druk hoog is bij de functionarissen op informatiebeveiliging en privacy. Gegevensbescherming vergt continu aandacht en er moeten in de beschikbare uren keuzen gemaakt worden op basis van een inschatting van het risico.

1-pits functies

Gemeenten hebben moeite om vacatures voor gespecialiseerde 1-pits functies, zoals de FG en CISO, te vullen. In een aantal gemeenten worden deze functies gezamenlijk met buurgemeenten ingevuld. In de interviews wordt melding gemaakt van overleg tussen de gemeenten Voorst,

27

Brummen en Zutphen om dit soort functies dichter bij elkaar te organiseren en van elkaar te leren en elkaar te ondersteunen. Er zijn nog geen afspraken gemaakt om de functies gezamenlijk in te vullen. Uit de interviews blijkt dat wordt nagedacht over privacy ambassadeurs in de teams.19 Dat zijn medewerkers uit de teams zelf, die een speciale opleiding gegevensbescherming en uren voor deze taak krijgen. Op het terrein van informatiebeveiliging zijn er geen plannen voor dergelijke medewerkers.

Ambassadeurs

5.1.4 Overleggen op informatiebeveiliging en privacy Er zijn verschillende interne overleggen waar aangelegenheden op informatiebeveiliging en gegevensbescherming worden besproken. Team Privacy

De privacy officer en adviseur privacy vormen samen het team Privacy. Zij adviseren onder andere de teams en teamleiders, beantwoorden de vragen van medewerkers, handelen meldingen van datalekken af, beoordelen verwerkersovereenkomsten (zie §3.2.4) en zorgen voor bewustzijn op risico’s bij de medewerkers.

Functionarissenoverleg

Vanaf februari 2023 is er een driewekelijks overleg tussen de functionarissen op informatiebeveiliging en privacy waarin de lopende zaken worden besproken. Daar maken de CISO, privacy officer en adviseur privacy deel van uit. Indien nodig sluit de adjunct-directeur bedrijfsvoering aan. Een van de respondenten meldt dat dit overleg vanwege andere prioriteiten vaak wordt afgezegd.

CIO-overleg

Er is in 2021 een projectgroep ‘Versterken privacybescherming en informatieveiligheid’ gevormd naar aanleiding van de geconstateerde achterstand in activiteiten op informatiebeveiliging en privacy. Daaruit vloeide het ‘Actieplan privacybescherming en infoveiligheid’ voort (zie hiervoor §3.1.1). De projectgroep is op ‘stand by’ gezet en in plaats daarvan vindt tweewekelijks een overleg plaats tussen de adjunct-directeur bedrijfsvoering (Chief Information Officer [CIO]), de CISO, de teamleider I&A en de strategisch adviseur I&A. Daar wordt informatiebeveiliging besproken en thema’s als digitale dienstverlening en datagedreven werken. Een enkele respondent geeft aan dat het goed zou zijn informatiebeveiliging en het jaarplan in een brede projectgroep op te pakken, en in de staande lijnorganisatie te beleggen. Dat betekent ook een grotere claim op mensen en middelen waar een college- en raadsbesluit over genomen zouden moeten worden.

19

Uit de interviews blijkt er tot voor kort in de gemeenschappelijke regeling ‘Het Plein’ zogenoemde aandachtsfunctionarissen voor privacybescherming aangewezen waren. Zij kregen geen speciale training en moesten deze taak naast hun reguliere werk uitvoeren. Als het reguliere werk een hogere belasting met zich meebracht, vlakte de aandacht voor gegevensbescherming af.

28

Portefeuillehouderoverleg

Voorts is er een maandelijks overleg tussen de CISO, teammanager I&A en de portefeuillehouder. De portefeuillehouder heeft geen structureel overleg met de FG. De CISO en FG hebben in zeer urgente gevallen wel een directe lijn naar de portefeuillehouder, vanwege hun strategische en onafhankelijke positionering. De portefeuillehouder heeft daarnaast regelmatig overleg met de adjunct directeur bedrijfsvoering, waarin informatiebeveiliging en gegevensbescherming hoog op de agenda staan.

Crisisteam

Als er zich een crisis voordoet wordt een crisisteam gevormd. Zoals met de Log4J-kwetsbaarheid 20 die medio december 2021 wereldwijd werd geconstateerd. Op dat moment is een crisisteam gevormd van de directeur bedrijfsvoering, teammanager I&A en systeembeheerders dat tweemaal daags contact had om de crisis het hoofd te bieden.

Juridisch AVG-overleg

Specifiek voor de juridische aspecten op privacy en de AVG is er een wekelijks juristenoverleg. Hier zijn geen functionarissen op informatiebeveiliging en gegevensbescherming bij betrokken.

Rapportages

De FG stelt jaarlijks een gestructureerd verslag op van de geplande en gerealiseerde activiteiten op gegevensbescherming en privacy. Dat is ook wettelijk verplicht. Dit verslag wordt gedeeld met de gemeentesecretaris en het college. Merkwaardig is te constateren dat het verslag niet door de FG wordt gedeeld met de privacy officer en adviseur privacy. De FG neemt de opdracht letterlijk dat de rapportage strikt genomen bedoeld is voor de gemeentesecretaris. Daarnaast rapporteert hij indien nodig kort over lopende zaken. De CISO rapporteert zelf niet apart over informatiebeveiliging, maar is wel ENSIA-coördinator. In ENSIA (zie ook §3.2.5) wordt op basis van externe en interne audits voor de verticale verantwoording aan landelijke toezichthouders en de horizontale verantwoording aan de gemeenteraad over informatiebeveiliging en privacy gerapporteerd.

5.2 Beleidsuitvoering en monitoring Onderzoeksvraag 2

20

In deze paragraaf beantwoorden we de tweede onderzoeksvraag: “Hoe wordt het beleid uitgevoerd en hoe wordt de uitvoering gemonitord?” Hieronder gaan we in op draagvlak en bewustwording op informatiebeveiliging en privacy bij de gemeente, het autorisatieproces, afspraken op gegevensverwerking door derden, de data protection impact assessments (dpia’s) en monitoring van onder andere de beleidsuitvoering.

Log4J-kwetsbaarheid betrof een ernstige kwetsbaarheid in de door veel websites gebruikte module Apache Log4J. Kwaadwillenden konden dit lek in de software misbruiken om een server op afstand over te nemen en willekeurige codes zoals ransomware te installeren. Daardoor zouden datalekken kunnen ontstaan. De kwetsbaarheid is door het Nationaal Cyber Security Center als kritiek bestempeld.

29

5.2.1 Draagvlak en bewustwording Gevraagd naar wat er goed gaat met betrekking tot de uitvoering van het informatiebeveiligings- en privacybeleid antwoorden respondenten over het algemeen dat de bewustwording en draagvlak in de organisatie groeiende is. Medewerkers komen zelf vaker met vragen over informatiebeveiliging en privacy bij de functionarissen en melden eerder dan voorheen incidenten en datalekken. Er wordt meteen bij gemeld dat er nog een hele weg te gaan is en dat het onderwerp continu aandacht vergt. Draagvlak

Een van de bestuurlijke principes in het strategisch informatiebeveiligingsbeleid is dat het gemeentebestuur het belang van informatiebeveiliging uitdraagt. Over het algemeen wordt in de interviews aangegeven dat de ‘tone at the top’ zodanig is dat het belang van informatiebeveiliging en privacy wordt ingezien en het beleid goed wordt uitgedragen. In de directie is een nieuwe adjunct-directeur bedrijfsvoering die gevoel heeft bij de onderwerpen en in het college is een portefeuillehouder die daarop een pleitbezorger is. Zij willen zich als ambassadeur op de thema’s informatiebeveiliging en privacy positioneren.

Bewustwording

In de teams in de staande organisatie moeten de medewerkers zich bewust zijn van de risico’s op informatiebeveiliging en privacy en in de werkprocessen het beleid borgen. Zoals een van de geïnterviewden aangeeft: “Het onderwerp moet van de medewerkers zelf gemaakt worden: als jij niet wil dat iets naars met jouw informatie gebeurt, zorg dat dat niet gebeurt met de informatie die je verwerkt.” Kortom, informatieveiligheid is van iedereen in de organisatie. De teamleiders zijn als proceseigenaar daarvoor verantwoordelijk. In de interviews wordt aangegeven dat het vaak nog schort aan voldoende besef bij teamleiders van hun specifieke rol (die van ‘proceseigenaar’) bij informatiebeveiliging en privacy. Respondenten geven aan dat door de vele wisselingen bij de teamleiders, tijdgebrek en andere prioriteitstelling het lastig is om beleid en bewustwording te borgen. De teams die al langer persoonsgegevens en gevoelige informatie verwerken zijn over het algemeen wel bewuster van de risico’s en volgen de noodzakelijke procedures. De thema’s informatiebeveiliging en privacy zijn nog niet in alle teams een -vast item bij de werkoverleggen. En vaak wordt aandacht voor deze thema’s als een extra taak erbij ervaren, die afleidt van het ‘echte’ werk. Aangegeven wordt dat in veel afdelingen informatiebeveiliging en privacy niet als onderdeel van werkprocessen zijn meegenomen.

De beginselen van het beleid zijn neergezet, maar als daar geen werkproces aan ten grondslag ligt verdwijnt de aandacht naar de achtergrond. Er zijn geen medewerkers die de collega’s aanspreken op gedrag, bijvoorbeeld met betrekking tot het ‘clean desk’-beleid.

30

Bezoeken overleg

Corona gooide volgens geïnterviewden roet in het eten. Functionarissen op informatiebeveiliging en privacy kwamen wel eens langs bij teamoverleggen om kennis te maken, de praktijk te leren kennen en uitleg te geven. Door corona is dat niet meer gebeurd. Maar de functionarissen geven aan dat wel weer op te gaan pakken.

Case sociaal domein

Voor de uitvoering van het informatiebeveiligings- en privacybeleid geven we een korte schets hoe dat gebeurt in een domein waarin veel persoonsgegevens worden verwerkt. De beschrijving is in onderstaand kader opgenomen.

Case - Sociaal domein In het team sociaal domein is men al langer gewend (bijzondere) persoonsgegevens te verwerken. In de teamoverleggen komen de onderwerpen informatiebeveiliging en gegevensbescherming vaak terug. Men was al gewend aan de Wet Bescherming Persoonsgegevens en de AVG heeft ook weer niet zo heel veel veranderd in de werkwijzen. Functionarissen op informatiebeveiliging en privacy merken wel dat sinds de AVG van kracht werd, medewerkers meer met vragen komen of gegevens gedeeld mogen worden. Medewerkers werkzaam in het sociaal domein geven aan dat bij elke processtap met persoonsgegevens men er bewust van is met wie men toegang heeft tot de informatie, met wie die gedeeld wordt en dat het delen van persoonsgegevens gebeurt in lijn met de AVG. Voordeel is dat voor 28 uur een kwaliteitsmedewerker is aangesteld die hierop ondersteunt. Zoveel als mogelijk transparant werken en informatie opvragen en delen, bijvoorbeeld in het kader van de jeugdwet. Gespreksverslagen en rapporten worden in samenspraak met de betrokkenen opgesteld en ter inzage toegezonden. De verwerking en het delen van (bijzondere) persoonsgegevens geschiedt dan op basis van toestemming. In overleggen met externen, zoals de Veiligheidskamer of Vangnet, wordt casuïstiek besproken. Daarin komen persoonsgegevens aan de orde.

Hoe met deze informatie wordt omgegaan wordt geregeld in convenanten of er wordt vaak anoniem op de inhoud ingegaan. Met partijen die diensten verlenen aan de gemeente, zoals onafhankelijke keuringen in het kader van de Wmo, worden contracten met verwerkersovereenkomsten gesloten (zie ook §3.2.3). In het kader van preventie zijn landelijk overeenkomsten gesloten met partijen, zoals energiebedrijven, om vroegtijdig gegevens door te geven van inwoners met betalingsachterstanden en schulden. Met lokale partners, zoals de plaatselijke woningcorporatie kan dat ook lokaal geregeld worden.

31

Persoonsgegevens worden beveiligd via de mail verstuurd, met behulp van een button ‘Beveiligde mail’ in het mailprogramma. De externe die de mail ontvangt kan deze alleen openen met een code die via een ander kanaal wordt verzonden, bijv. een sms via een 06-nummer (2-factor authenticatie [2FA]). Sommige ontvangers geven aan dat te ingewikkeld te vinden en eigenlijk liever de mail met persoonsgegevens onbeveiligd te willen ontvangen. Dat gebeurt evenwel niet. Soms wordt de vergeten de mail beveiligd te versturen of naar een verkeerd adres gestuurd (een van de meest voorkomende gevallen van datalekken). De locatie HDW, waar medewerkers sociaal domein werkzaam zijn en klantgesprekken met de inwoners plaats vinden, is kwetsbaar wat betreft veiligheid (zie §3.1.1 Pentesten) en gevoelig met betrekking tot privacy. Uit de interviews blijkt dat klantgesprekken, waarin bijzondere persoonsgegevens over tafel kunnen gaan, in de openheid plaatsvinden en afluisterbaar zijn. Aangegeven wordt dat de andere kant van openheid is dat de veiligheid van de medewerkers makkelijker geborgd kan worden.

E-learning en phishingmails

Medewerkers worden geacht de eigen kennis op informatiebeveiliging en privacy op peil te houden. Informatie kunnen medewerkers vinden op intranet, Sjaak bij Wegwijzer onder de kop Informatiebeveiliging en privacy. En er worden cursussen aangeboden. Het aanbieden van e-learning aan medewerkers is een middel om de verantwoordelijkheid in de lijnorganisatie te vergroten. Modules worden sinds 2022 aangeboden en zijn in principe verplicht. De medewerkers moesten meteen 2 of 3 certificaten behalen. In de interviews is aangegeven dat de check op het daadwerkelijk volgen van de e-learning modules beter kan. Een wedstrijdelement tussen de teams is een ludieke manier om extra aandacht te vragen. De vraag die respondenten graag willen beantwoorden is hoe de intrinsieke motivatie van medewerkers te stimuleren. Aangegeven wordt dat medewerkers functiegericht zijn en behoefte hebben aan informatie die ze nodig hebben voor hun werkzaamheden. Met de vele functies in een gemeente is het lastig cursussen op maat aan te bieden. Het bewustzijn wordt ook getest met test phishing mails, onder andere in het project Troje in samenwerking met de provincie.

Nieuwe medewerkers

Voor nieuwe medewerkers is een informatieboekje aanwezig. Daarin is informatie opgenomen over hoe als ambtenaar van de gemeente Zutphen om te gaan met informatie en beveiligingsmaatregelen. De e-learning maakt nog geen structureel onderdeel uit van het inwerkprogramma.

5.2.2 Autorisaties Autorisaties

Het autorisatieproces (ook wel Identity and Access Management, IAM genoemd) betreft het verlenen van toegang (autorisatie) van medewerkers tot gebouwen, systemen en gegevens. Er is een procedure hoe autorisaties bij in-, door- en uitstroom (IDU) van medewerkers worden toegekend en

32

geblokkeerd. Dat proces verloopt via de teamleider, HRM en de beheerders. Als medewerkers instromen, dan moeten ze aan de slag kunnen en toegang krijgen tot applicaties en gegevens. Over het algemeen gaat dat goed daar waar de medewerker aan de slag moet. Het autorisatieproces verloopt vaak niet correct bij functiewisseling of uitstroom van de medewerker. De teamleider moet de medewerker afmelden voor de functie die deze vervult. Als dat niet correct gebeurt kan het voorkomen dat rechten van medewerkers te lang blijven doorlopen. Dat kan mogelijk een datalek tot gevolg hebben, vanwege de ongeoorloofde toegang tot informatie. Uit de interviews blijkt dat dat vooral kan voorkomen omdat rechten worden toegekend aan medewerkers in plaats van aan functies of rollen van medewerkers. Uit audits en accountantscontroles kwam herhaaldelijk naar voren dat er verbeterpunten zijn op het autorisatieproces. De accountantscontrole over 2020 gaf een aantal bevindingen op drie belangrijke applicaties (financiële, uitkerings- en salarisadministratie). De controle over 2021 wees uit dat een aantal punten is opgepakt, maar dat de controle op de autorisaties nog aangescherpt moest worden. Ook uit de interviews blijkt dat er te weinig controle op wordt uitgevoerd.

In de interviews is aangegeven dat het autorisatieproces op basis van rollen of functies in 2023 op de rol staat geïmplementeerd te worden vastgelegd.21

5.2.3 Gegevensverwerking door derden Gegevens en derden

De gemeente verwerkt gegevens, maar ook namens de gemeente worden door derden gegevens verwerkt waar de gemeente (verwerkings)verantwoordelijk voor is. Dat zijn bijvoorbeeld gegevens van inwoners in het sociaal domein, maar ook onder andere persoonsgegevens. Een aantal van de applicaties die gegevens verwerken draait zelfstandig bij de gemeente, een aantal draait in de ‘cloud’. Sinds de AVG moet de gemeente bijhouden door welke externe parttijen de gegevens worden verwerkt (in een verwerkingsregister). Onder de contracten met deze partijen moeten dan verwerkersovereenkomsten liggen waarin is opgenomen welke gegevens worden verwerkt, hoe deze beveiligd worden en hoe de gemeente daarop toeziet.

Verwerkersovereenkomsten

De procedure is dat verwerkersovereenkomsten onder de contracten met derden door de privacy officer worden gecontroleerd. Uit de interviews blijkt dat medewerkers daarop de privacy officer meer en meer weten te vinden. Met name als de aanbesteding boven de vastgestelde aanbestedingsgrenzen liggen. Uit de interviews blijkt dat niet gegarandeerd kan

21

In de interviews wordt gesproken over ‘Role based access control’ (Rbac), wat betekent dat toegang tot gegevens en systemen geschiedt op basis van rollen en functies van de medewerkers. Dat is het concept waarmee Identity Access Management (IAM) wordt uitgevoerd.

33

worden dat deze procedure wordt gevolgd als de aanbesteding onder de aanbestedingsgrens ligt. De bijlage van de verwerkersovereenkomst die over de eisen met betrekking tot informatiebeveiliging gaat moet door de CISO gecontroleerd worden. Dat proces is nog niet goed ingericht, met als gevolg dat die bijlage van veel verwerkersovereenkomsten niet gecontroleerd worden. Verwerkingsregister

De gemeente heeft via het verwerkingsregister zicht op alle processen waarin persoonsgegevens worden verwerkt en wordt aangegeven hoe informatiebeveiliging en privacy geregeld is in die processen. Ook de verwerkingsprocessen die door externe partijen voor of namens de gemeente worden uitgevoerd. Nieuwe contracten met onderliggende verwerkersovereenkomsten, die langs de privacy officer gaan, worden in het register opgenomen. Grote en langdurende contracten, zoals veel op het terrein van ICT, worden niet opengebroken om onderliggende verwerkersovereenkomst te sluiten. Alleen als de termijn afloopt en het contract vernieuwd wordt, wordt de verwerkersovereenkomst meegenomen en in het register opgenomen. Het verwerkingsregister loopt dus achter op de feitelijke situatie. Het register wordt bijgehouden met de applicatie I-Navigator en sinds eind 2022 is een beheerder aan de slag om het register up-to-date te brengen.

Convenanten

In het sociaal domein worden uiteraard veel persoonsgegevens verwerkt, ook door externe partijen. Voor meervoudige problematieken is het nodig gegevens met meerdere partijen te kunnen delen of te kunnen ontvangen. Er is een handreiking opgesteld voor privacy in het sociaal domein, zoals hoe een rapportage met persoonsgegevens conform de regels opgesteld moet worden. Uit de interviews blijkt dat de naleving van de handreiking niet periodiek wordt gecheckt. Om gegevens te kunnen delen met of ontvangen van derden worden apart convenanten afgesloten over de voorwaarden waaronder de gegevens gedeeld kunnen worden. Dat gebeurt onder andere met de Veiligheidskamer, waarbij geregeld is dat bij ernstige zorgen informatie wel gedeeld kan worden.22

5.2.4 Dpia’s Data protection impact assessment (dpia)

22

Data impact protection assessments (dpia’s) moeten volgens de AVG gehouden worden op werkprocessen waarbij persoonsgegevens worden verwerkt en een grote kans bestaat op een hoog privacy-risico. Onder andere de risico’s moeten ingeschat worden en beheersmaatregelen moeten worden getroffen. Een dpia is een intensief assessment. Gelukkig hoeven niet alle werkprocessen aan zo’n assessment onderworpen te

Met het Wetsvoorstel Aanpak meervoudige problematiek sociaal domein (‘Wams’), dat in 2023 in de Tweede kamer op de rol staat, zou dat nog eenvoudiger moeten worden.

34

worden. Om te bepalen welke een hoog privacy-risico hebben kunnen predpia’s worden afgenomen. Daarbij kan op een relatief eenvoudige wijze geconstateerd kan worden of een dpia nodig is. Afgelopen jaren was het streven dpia’s voortvarend op te pakken. De functionarissen op informatiebeveiliging en privacy kunnen daarbij van advies voorzien. Uit de interviews blijkt dat teamleiders het vullen van een dpia te technisch en lastig vinden. De teamleiders is een cursus aangeboden om dpia’s uit te voeren, maar volgens respondenten is deze door drukte bij de teamleiders niet doorgegaan. Dat betekent dat de taak om dpia’s grotendeels komt te liggen bij de privacy officer en adviseur privacy.

Teamleiders

De dpia’s worden sinds kort weer opgepakt en er moeten nog ca. 25 stuks uitgevoerd worden. Onder andere een over de Monitor Jeugd, die voor advies voorligt bij de FG. De lichte jeugdzorg moet nog een aparte dpia krijgen. Assessments over de Peutermonitor, Vroegsignalering en Handhaving zijn (bijna) afgerond. Onderweg zijn de dpia’s over bodycams bij Boa’s en ondermijning. Op een enkele dpia wordt iemand ingehuurd om de teamleiders te ondersteunen. Wet politie gegevens (WPG)

In aanvulling op de eisen die de AVG is sinds 2019 een aparte richtlijn voor gegevensbescherming door politie en justitie geïmplementeerd in onder andere de Wet politie gegevens (WPG). Deze richtlijn is van toepassing op de verwerking van gegevens die politie en justitie met gemeenten delen, onder andere met de burgemeester en de Boa’s. In dat kader moest uiterlijk 2022 door gemeenten een audit worden uitgevoerd, om aan te tonen dat de informatiehuishouding van de gemeente op orde was. Uit de interviews blijkt dat uit de audit bij de gemeente Zutphen veel verbeterpunten naar voren zijn gekomen, die in 2023 opgepakt moeten worden.

5.2.5 Monitoring Door bezuinigingen op mensen en middelen is de uitvoering van het beleid achter op de beleidsintenties geraakt. Vele wisselingen en uitval van functionarissen en van teamleiders hebben daar ook aan bijgedragen. Zoals eerder aangegeven zijn niet nog niet alle protocollen en procedures op informatiebeveiliging en privacy aanwezig, zijn nog niet alle werkprocessen aangevuld met procedures, is de taakvolwassenheid van de organisatie nog niet op een voldoende hoog niveau. Information security management system (ISMS)

23

Voor het genereren van management- en monitoringinformatie is een Information security management system (ISMS) bij de gemeente aanwezig. Dit systeem is gekoppeld aan de PDCA-cyclus.23 Het ISMS kan ook efficiënt gebruikt worden voor de ENSIA-rapportages (zie hierna). Het systeem is er wel, maar wordt weinig gevuld door de teamleiders, die als

PDCA is de beleidsleercyclus op basis van Plan-Do-Check-Act.

35

proceseigenaren aan zet zijn om het ISMS te vullen. Verbetering daarop wordt in het Actieplan meegenomen. Zolang het ISMS niet goed gebruikt kan worden, wordt de PDCA-cyclus niet goed nageleefd. Op privacy is ook een management informatiesysteem voorhanden, maar ook dat wordt niet ten volle gebruikt.24 Op informatiebeveiliging en privacy gebeurt veel ad hoc, volgens enkele respondenten. Dat laat zich ook merken in het systeem ‘Engage’, dat gestructureerd werkprocessen in kaart kan brengen. Dat is volgens een enkele respondent niet goed gevuld en daar wordt niet op gestuurd. Dit hangt ook samen met de taakvolwassenheid van de lijnorganisatie. Taakvolwassenheid

Uit de interviews blijkt dat het bewustzijn bij bestuur, MT, teamleiders en medewerkers groeit, maar zeker nog niet op het benodigde niveau is. Een meetlat voor de taakvolwassenheid op informatiebeveiliging van de organisatie op operationeel en strategisch niveau is die van de Nederlandse Beroepsorganisatie van Accountants (zie bijlage 5). Taakvolwassenheid geeft aan in hoeverre de organisatie op alle niveaus in control is op informatiebeveiliging, en in hoeverre medewerkers en management de beveiligingsvoorschriften zelfstandig kunnen uitvoeren. De taakvolwassenheid van de gemeente op informatiebeveiliging is niet gemeten, maar enkele respondenten die bekend zijn met deze meetlat geven aan dat uit de interviews blijkt dat deze tussen de 1 en 2 zou scoren. Dat houdt in dat beheersingsmaatregelen grotendeels aanwezig zijn, echter niet altijd consistent en gestructureerd, maar informeel worden uitgevoerd.

Incidentmanagement

Er is een procedure voor Incidentmanagement en er is een protocol voor het melden van datalekken. Incidenten op ICT, informatiebeveiliging en privacy worden via de helpdesk gemeld in de applicatie Topdesk. Over het algemeen gaat de melding en registratie naar behoren, maar de analyse en evaluatie van de incidenten en datalekken en het leren ervan kan volgens respondenten effectiever. Er waren tot voor kort nog veel openstaande geregistreerde datalekken, onder andere door onderbezetting volgens respondenten. Dat is een van de punten waarop in interviews is aangegeven dat Incidentmanagement en de procedure meldplicht datalekken beleid opnieuw bekeken moeten worden.

Rapportages

De CISO en PO stellen jaarplannen met activiteiten op informatiebeveiliging en privacy op, maar alleen de FG stelt een jaarverslag op. De CISO is wel ENSIA-coördinator, waarin op de vorderingen op de BIO (en deels AVG) worden gerapporteerd, richting landelijke toezichthouders en de gemeenteraad.

Privacyplan 2018

De gemeente Zutphen voldoet nog niet volledig aan de eisen van de BIO en de AVG. Op basis van de 0-meting op de AVG door een extern bureau uit

24

Er is een extern onderzoek geweest naar de informatiebeheersystemen, maar dat rapport was nog niet openbaar tijdens het onderzoek.

36

2018 is volgens respondenten te constateren dat een aantal activiteiten uit het toen opgestelde privacy plan door omstandigheden nog niet zijn uitgevoerd. ENSIA

De jaarlijkse ENSIA-rapportage ziet toe op interne en externe audits op applicaties zoals Basisregistratie Personen (BRP) en Reisdocumenten, Digitale persoonsidentificatie (DigiD), Basisregistratie Adressen en Gebouwen (BAG), Basisregistratie Grootschalige Topografie (BGT), Basisregistratie Ondergrond (BRO), Waardering Onroerende Zaken (WOZ) en de Structuur uitvoeringsorganisatie Werk en Inkomen (SUWI). Over informatiebeveiliging bij het gebruik en/of kwaliteit van deze registraties moet de gemeente door middel van ENSIA verantwoording afleggen richting de rijksoverheid. Met name aan DigiD en Suwinet worden hoge eisen met betrekking tot veiligheid gesteld. Het college moet hierover rapporteren met een assurance-statement van een extern bureau. Daarnaast wordt in het kader van ENSIA aan de gemeenteraad gerapporteerd over de vorderingen op informatiebeveiliging in het kader van de eisen van de BIO (zie ook §3.4).

Logging

25

Uit de ENSIA-rapportage over 2021 blijkt dat de gemeente niet aan alle eisen voldoet. Onder andere op de logging 25 en controle op gebruik van Suwinet moeten nog stappen gezet worden. Uit de interviews blijkt dat de standaard rapportages worden gecontroleerd, maar de logging-gegevens niet gecheckt worden op de redenen waarom gegevens uit Suwinet worden ingezien. De procedure daarop is niet up-to-date. Uit de interviews blijkt ook dat er op een aantal andere (zaak)systemen logging mogelijk is en ook wordt geregistreerd, maar dat deze niet periodiek en stelselmatig wordt

Logging is een vorm van monitoring waarbij (inlog)gegevens geautomatiseerd worden geregistreerd, bedoeld om bij te houden welke gebeurtenissen/ handelingen binnen een systeem of applicatie hebben plaatsgevonden.

37

gecontroleerd. Deze rol moet, volgens respondenten nog belegd worden in het beleid. SIEM/SOC

Een detectie op verdacht verkeer op de systemen wordt meestal uitgevoerd met zogenoemde Monitoring en Response applicaties.26 Gemeenten sloten zich via de samenwerking met de VNG aan bij een gezamenlijke inkoop van deze systemen. De gezamenlijke aanbesteding kwam tot een eind vanwege het stopzetten van de samenwerking tussen de VNG en KPN. Net als Zutphen beschikken veel gemeenten momenteel over een suboptimale detectie van dreigingen op de systemen. Uiteraard zijn de systemen van externe inbreuken beschermd door firewalls en virusscanners. Om toegang tot de systemen te krijgen moeten medewerkers ook voldoen aan de 2factor verificatie (2FA).27

5.3 Bescherming van de gegevens Onderzoeksvraag 3

In deze paragraaf beantwoorden we de derde onderzoeksvraag: In hoeverre zijn gegevens bij de gemeente beschermd tegen de toegang door onbevoegden?

ICT-infrastructuur

De gemeente Zutphen voert de ICT zelfstandig uit, samen met partijen die onderdelen van de infrastructuur in de ‘cloud’ organiseren.28 De bescherming van de gegevens is afhankelijk van de wijze waarop de infrastructuur beveiligd is en hoe de werking van de beveiliging periodiek wordt getest. Ook moet getest worden of de dienstverlening van de gemeente bij een calamiteit binnen acceptabele tijd hervat kan worden.

Aansluiting IBD

De gemeente is aangesloten bij de IBD. Via de Algemene Contactpersoon Informatiebeveiliging (ACIB) en de Vertrouwde Contactpersoon Informatiebeveiliging (VCIB) krijgt de gemeente van de IBD updates over acute en minder acute dreigingen op de door de gemeente gebruikte soften hardware.29 Om na een calamiteit de dienstverlening weer op te starten is een externe uitwijklocatie met dezelfde ICT-infrastructuur voorhanden. Een test of de uitwijk binnen acceptabele tijden uitgevoerd kan worden moet nog uitgevoerd worden, blijkt uit de interviews. Back-ups worden uitgevoerd, maar zoals eerder aangegeven is het back-up procedure recent opnieuw

26

27

28

29

Onder andere SIEM/SOC applicaties: Security Information & Event Management (SIEM) en Security Operations Center (SOC) is software die computerdreigingen en verdacht verkeer op systemen detecteert en monitort. Twee factor authenticatie is een authenticatie of verificatie methode waarbij twee stappen succesvol doorlopen moeten zijn om toegang te krijgen tot de systemen, zoals naast een wachtwoord het gebruik van een token of biometrisch gegeven. Uit de interviews blijkt dat er in het verleden samenwerking met de gemeente Apeldoorn op ICT verkend is, maar dat is niet doorgegaan. De Algemene Contactpersoon Informatiebeveiliging (ACIB) krijgt dreigingsmeldingen van algemene aard door van de IBD. De Vertrouwde Contactpersoon Informatiebeveiliging (VCIB) krijgt meldingen die vertrouwelijk van aard zijn, waarvan het dreigingsniveau van dien aard is dat deze niet openbaar verspreid mag worden.

38

ingericht maar moet het beleid en beschrijving van de inrichting en beleid nog worden opgesteld. Testen

In de BIO is opgenomen dat gemeenten de ICT-infrastructuur minimaal 1x per jaar met behulp van pentesten op kwetsbaarheden onderzoeken. De accountant constateerde over 2021 dat de gemeente Zutphen dat niet heeft gedaan. Er is besloten budget uit te trekken om jaarlijks pentesten op de systemen uit te (laten) voeren. In 2022 is dat, in het kader van het Actieplan en met medewerking van het project Troje van de provincie Gelderland wel uitgevoerd. Er is een pentest door een extern bureau uitgevoerd op het externe netwerk. De gemeente is bezig met de verbeterpunten naar aanleiding van de hoge risico’s die uit deze test zijn gebleken. Een deel van de verbetermaatregelen moet door de externe partijen, waarmee de gemeente op ICT samenwerkt, worden opgepakt. Ook heeft een mystery guest getracht ongeoorloofd binnen te dringen in het stadskantoor. Daarnaast zijn er onder medewerkers test phishing mails uitgezet. De medewerkers krijgen de resultaten uit de testen teruggekoppeld.

5.3.1 Pentesten Aanvullend op de pentesten van de gemeente Zutphen heeft de Rekenkamercommissie Zutphen besloten een interne netwerk pentest, een Active Directory audit, een phishing mail test en een mystery guest bezoek uit te voeren. Getest wordt op een beperkt aantal doelen, de reikwijdte of scope van het onderzoek, met een bepaalde risicoclassificatie. Deze risicoclassificatie is in de onderstaande tabel weergegeven. Tabel 3.5. Risicoclassificatie pentesten.

39

Afgesproken is dat kritieke risico's meteen gemeld zouden worden aan de CISO en gemeentesecretaris. Dat is niet aan de orde geweest. Hieronder gaan we nader in op de pentesten zelf en de daarbij gesignaleerde risico's. Interne netwerk pentest

In de periode 12 tot en met 16 december 2022 is door een ethische hacker een test uitgevoerd om de beveiliging van het interne netwerk te testen. Daarmee wordt de effectiviteit van de genomen beveiligingsmaatregelen geverifieerd. Gedurende de pentest zijn drie kwetsbaarheden met een medium risico en 2 kwetsbaarheden met een ‘best practice risico’ aangetroffen. Op basis van de uitgevoerde pentest, is binnen de scope van de testen, het risico dat de gemeente Zutphen loopt als laag in te schatten.30 Een pentest is altijd een momentopname en er wordt door ethische hackers altijd binnen een beperkte scope getest. De inschatting is dan ook altijd met het oog op die beperking geldig.

AD audit

De Active Directory (AD) audit is op 6 december 2022 uitgevoerd. Een AD staat beheerders toe om het beleid met betrekking tot rechten van medewerkers in het netwerk van een organisatie te beheren. De audit betrof de in totaal 1.409 accounts van de gemeente Zutphen, dat zijn gebruikers- en beheerdersaccounts. Niet allemaal worden ze door medewerkers en beheerders gebruikt, maar ze zijn wel met toegangsrechten in de Active Directory opgenomen. De AD audit checkt onder andere op zwakke en gekraakte wachtwoorden. Zwakke wachtwoorden worden gecheckt op de moeilijkheidsgraad, gekraakte wachtwoorden worden vergeleken met een lijst op internet met wachtwoorden die in relatie gebracht kunnen worden met de gemeente. Er zijn vier domeinen gescand op kwetsbaarheden en zwakheden van de daarin aanwezige accounts van gebruikers en administrators. Deze laatste hebben over het algemeen grotere toegangsrechten dan de gebruikersaccounts. Hieronder rapporteren we de totale aantallen voor alle vier domeinen. Van de in totaal 1.409 gebruikersaccounts zijn 388 met een wachtwoord van een jaar of ouder. De oudste wachtwoorden zijn sinds 2014 niet meer gewijzigd. Er zijn 3 zwakke wachtwoorden gevonden die niet voldoen aan de in het beleid gestelde moeilijkheidsgraad.

In totaal zijn er 98 wachtwoorden die vaker gebruikt worden en 285 accounts waarvan niet is ingesteld dat het wachtwoord periodiek vervangen moet worden. 18 accounts hebben een kwetsbare beveiliging (missen de AES-beveiligingssleutel). 206 accounts hebben wel een wachtwoord, maar is de optie ‘password not required’ ingeschakeld. Tot slot is op 1 account geen wachtwoord opgeslagen.

30

De scope van de test kan volgend jaar anders zijn en kan mogelijk veel meer en andere bevindingen opleveren. Zeker gezien er in de afgelopen jaren geen pentesten zijn uitgevoerd.

40

Van een aantal gebruikersaccounts is het wachtwoord publiekelijk bekend en is het wachtwoord sinds dat deze op internet zijn gepubliceerd niet meer vervangen.31 Daarnaast zijn op de administrator accounts ook risico’s aangetroffen, en deze accounts brengen additionele risico’s met zich mee. Een aantal gevonden kwetsbaarheden lijkt voort te komen uit het niet consequent toepassen van het wachtwoordbeleid. Daarnaast lijkt er geen beleid specifiek met betrekking tot beheerdersaccounts opgesteld te zijn, met een regelmatige check op deze accounts of een melding en check wanneer een account een geprivilegieerde toegang krijgt toebedeeld. Phishingmail

Er worden regelmatig test phishing mails rondgestuurd aan medewerkers, om de alertheid en meldbereidheid op dit soort mails te vergroten. Daarom heeft de rekenkamercommissie besloten niet nog een keer het bewustzijn van de medewerkers te beproeven, maar raadsleden te testen. Op 12 en 13 december zijn naar in totaal 57 accounts van @raad.zutphen.nl phishing mails gestuurd. Het bericht was dat een bloemenbezorger voor een dichte deur heeft gestaan en verzocht werd om op een link te klikken voor een nieuwe afspraak. In totaal hebben 10 van de 57 geadresseerden op de link geklikt (18%). Degene die op de link klikten kwamen op een landingspagina waarop werd gemeld dat ze op een test phishing mail hadden geklikt. Zij werden doorverwezen naar een site waarin uitleg werd gegeven hoe ze een phishing mail kunnen herkennen.

Mystery guest

Op 14 december is op de fysieke locatie Henri Dunantweg 1 van de gemeente Zutphen een mystery guest assessment uitgevoerd. Voor deze locatie is gekozen omdat in het kader van het cyberweerbaarheidsproject Troje van de provincie Gelderland het gemeentehuis zelf al door een mystery guest is bezocht. Door middel van social engineering 32 hebben de assessors toegang proberen te krijgen tot het gebouw, exclusieve ruimtes, documenten en/of computer systemen. Daarmee wordt de effectiviteit van de genomen beveiligingsmaatregelen en het risicobewustzijn van de medewerkers geverifieerd. De assessoren hebben toegang gekregen tot verdiepingen die gesloten zijn voor onbevoegden, toegang tot een technische ruimte en konden ongestoord werkzaamheden op een (eigen) computersysteem verrichten. Bij de rondgang zijn de assessoren niet aangesproken, behalve in een gereserveerde ruimte.

31

32

Publiekelijk bekende wachtwoorden zijn wachtwoorden die door middel van eerdere hacks zijn verworven/gestolen en die daarna op internet, en met name op het zogenoemde Dark Web, zijn gepubliceerd. Hackers verkopen de wachtwoorden vaak, in combinatie met de daarbij verworven accountnamen. Aangeraden wordt het wachtwoord regelmatig te vernieuwen en niet voor verschillende accounts hetzelfde wachtwoord te gebruiken. Social engineering is het misbruiken van menselijke eigenschappen zoals nieuwsgierigheid, vertrouwen, hebzucht, angst en onwetendheid.

41

Resultaten pentesten

Vooraf aan de pentesten is afgesproken dat een kritiek risico meteen gemeld zou worden aan de CISO en gemeentesecretaris, zodat meteen eventuele maatregelen getroffen konden worden. Dat is niet aan de orde geweest. De technische rapporten zijn na afloop en in overleg met de rekenkamercommissie door de ethische hackers met de CISO en de gemeentesecretaris gedeeld. Daarmee kunnen maatregelen genomen worden om de niet kritieke risico’s aan te pakken. Een medium of hoog risico kan zich tot een kritiek risico ontwikkelen.

5.4 Hoe wordt de gemeenteraad betrokken bij het informatiebeveiligingsbeleid? Onderzoeksvraag 4

In deze paragraaf beantwoorden we onderzoeksvraag 4: Hoe wordt de gemeenteraad betrokken bij informatiebeveiliging en privacy?

Informatievoorziening

In de BIO is de eis dat de raad minimaal 1x per jaar in het kader van de P&Ccyclus wordt geïnformeerd over de stand van zaken met betrekking tot informatiebeveiliging. In de jaarstukken van de gemeente over 2021 komt informatiebeveiliging en gegevensbescherming een paar keer aan de orde. Bij risicobeheersing met een kans van 50% op een financieel gevolg van €200.000 en mate van beïnvloeding van 1,22% wordt het volgende risico opgenomen: “Er wordt onvoldoende invulling gegeven aan de wettelijke regels met betrekking tot de beveiliging van persoonsgegevens en informatiebeveiliging.” De beheersmaatregel is het aanbieden van trainingen en invullen van functies. De trainingen en applicaties van INavigator en een nieuw ISMS worden genoemd. Zoals hiervoor is aangegeven moet het gebruik en de vulling van beide applicaties omhoog om effectief te zijn (zie §5.2.5).

Programma- en

In de programmabegroting 2023 is het risico op langdurige uitval van computersystemen door hacken en gijzelsoftware opgenomen. Met een mogelijk financieel gevolg van €1 miljoen en een mate ven beïnvloeding van 1%.33 In de Meerjarenbegroting wordt informatieveiligheid een paar keer geadresseerd. Namelijk dat het onderwerp continue aandacht en doorontwikkeling vraagt, op onder andere bewustwording, waarbij de verbetering van het Identity Access Management (IAM) genoemd wordt om te voldoen aan de verbetermaatregelen naar aanleiding van de ENSIAaudits. Aangegeven wordt dat de ICT-omgeving jaarlijks terugkerend intern en extern zal worden getest op kwetsbaarheden.

meerjarenbegroting

Motie gemeenteraad

33

Het onderwerp informatieveiligheid leeft bij de raad, onder andere vanwege de grote incidenten die bij andere gemeenten de afgelopen periode hebben gespeeld. Op 7 november 2022 heeft de gemeenteraad de motie aangenomen met als onderwerp ‘cyberrisico’. Door middel van de

Ter vergelijking, de financiële gevolgen van de hack met gijzelsoftware bij de gemeente Hof van Twente zijn berekend op in totaal €3,9 miljoen schade.

42

motie roept de raad het college op de verbetering van de informatiebeveiliging als vast agendapunt mee te nemen in het driehoeksoverleg burgemeester, griffier en gemeentesecretaris. Ook wordt het college verzocht de raad 2x per jaar te informeren over de stand van zaken rond de verbetering van de informatiebeveiliging. Accountant

De accountantscontroles zijn voor de raad ook een bron van informatie over informatiebeveiliging en privacy, zoals eerder in dit rapport al is langsgekomen. De controles zijn niet primair gericht op het doen van een uitspraak over de continuïteit of betrouwbaarheid van de gegevensverwerking door de gemeente. Wel constateert de accountant terecht dat IT een steeds belangrijker onderdeel vormt van de bedrijfsvoering en daarmee ook van de controle op de jaarrekening. De accountant voert op basis daarvan een (beperkte) IT audit uit. Deze is grotendeels gericht is op de rechtmatigheid van de financiële administratie van de gemeente, maar gaat ook breder. Daarmee kan de raad zich een beeld vormen van de bevindingen en beheersingsmaatregelen op authenticatie en autorisaties op enkele applicaties, fysieke beveiliging van de IT-omgeving, al dan niet uitvoeren van controles en pen-testen.34

Kaderstelling en controle

Uit de interviews blijkt dat het college en de raad nog geen gesprek zijn aangegaan met betrekking tot de ambitie van de gemeente op informatiebeveiligings- en privacybeleid. Dat is van belang met betrekking tot de kaderstellende rol van de raad. Uitvoering van beleid op Informatiebeveiliging en privacy vergt investeringen. De raad wordt met betrekking tot de controlerende rol geïnformeerd door middel van de ENSIA-rapportage en verder summier geïnformeerd in het kader van de P&C-cyclus. Onder andere vanwege de motie gaat de raad 2x per jaar geïnformeerd worden, dat gebeurt in het Forum. De raad wordt bij dreigende calamiteiten en grote incidenten incidenteel op de hoogte gehouden van het verloop, zoals met de dreiging van Log4J (zie §5.1.4).

Informatiebeveiliging raad

De raadsleden kunnen, vanuit hun rol, ook over (bijzondere) persoonsgegevens beschikken. Vandaar dat besloten is de e-learning voor medewerkers open te stellen voor raadsleden. Daarmee is tot na de verkiezingen en inwerkperiode gewacht.

34

Zo constateert de accountant in de managementletter 2021 dat het ontbreekt aan procedure voor wijzigingsbeheer t.b.v. de gebruikersorganisatie/applicaties, procedure rondom uitgifte en controle op unieke en individuele gebruikersnamen, periodieke controle op actieve gebruikers, periodieke controle op inrichting van wachtwoordbeleid, procedure voor het gestructureerd toekennen, wijzigen en ontnemen van rechten, periodieke controle op inrichting van rechten in het systeem conform beleid (middels functie-autorisatie matrix).

43

Bijlage 1. Veel voorkomende termen en afkortingen 2FA

Twee factor authenticatie is een authenticatie of verificatie methode waarbij twee stappen succesvol doorlopen moeten zijn om ergens toegang tot te krijgen, zoals naast het gebruik van een wachtwoord het gebruik van een token of biometrisch gegeven Applicatie Softwareprogramma, zoals SUWInet AVG (GDPR) Algemene Verordening Gegevensbescherming, Europese regelgeving die de privacyregels in de Europese lidstaten harmoniseert BIG Baseline Informatiebeveiliging Gemeenten, maatregelen voor de informatiebeveiliging bij gemeenten, in 2013 als standaard afgesproken in VNG-verband. Deze is in 2019 vervangen door de Baseline Informatiebeveiliging Overheid (BIO) BIO Baseline Informatiebeveiliging Overheid BIV Beschikbaarheid – Integriteit – Vertrouwelijkheid.

Termen waarop de beveiligingsrisico's van de informatie/applicaties zijn geënt Blackbox pentest Zie Pentest CERT Computer Emergency Response Team, multidisciplinair samengesteld team dat kan acteren op incidenten en crises CIO Chief Information Officer CISO Chief Information Security Officer Cloud De cloud staat voor een netwerk van computers die een soort 'wolk van computers' vormt, waarbij de eindgebruiker niet weet op hoeveel of welke computer(s) de software draait of waar die computers precies staan Dataclassificatie Betekent inzicht krijgen in de beschikbaarheid, de integriteit en de vertrouwelijkheid van de door of namens de organisatie beheerde en verwerkte informatie (BIV) DigiD Digitale Identiteit DPIA Data protection impact assessment, analyse op risico's in verband met privacy en gegevensbescherming bij verwerkingsprocessen. Onder de AVG verplicht bij gegevensverwerking met waarschijnlijk een hoog privacy risico. ENSIA Eenduidige Normatiek Single Information Audit, eenmalige informatieverstrekking en eenmalige IT-audit voor de horizontale (richting gemeenteraad als toezichthouder) en verticale verantwoording (richting landelijke toezichthouders) FG Functionaris gegevensbescherming, verplicht voor overheden. GAP Is de Engelse term voor ‘kloof’.

Dat betekent hier het verschil tussen de bestaande situatie en de gewenste situatie GAP-analyse Controle of en in welke mate de maatregelen uit de BIO geïmplementeerd zijn GDPR General Data Protection Regulation (zie ook AVG) GR Gemeenschappelijke regeling GRC Tool om de Governance, Risk and Compliance (GRC) op informatiebeveiliging en privacy te monitoren Greybox pentest Zie Pentest IAM Zie Identity and Access management IBD Informatiebeveiligingsdienst voor gemeenten ICT Informatie- en communicatietechnologie Identity and Access management (IAM) IAM regelt dat de juiste medewerkers het juiste toegangsniveau hebben tot de netwerken en de daarin opgeslagen of

44

verwerkte gegevens. Gebruikersrollen en toegangsrechten worden via een IAM-systeem gedefinieerd en beheerd. ISMS Information Security Management System Logging In bestanden vastleggen welk dataverkeer over een netwerk gaat. Zo kan worden vastgelegd wie toegang had tot persoonsgegevens. NBA De koninklijke Nederlandse Beroepsorganisatie van Accountants NOREA De Nederlandse Organisatie van Register EDP-Auditors P&C-cyclus Planning & Control cyclus PDCA Plan-Do-Check-Act beleidsleercyclus Pentest Een pentest of penetratietest is een toets van een of meer computersystemen op kwetsbaarheden die gebruikt kunnen worden om in deze systemen in te breken. Een whitebox test is een teststrategie waarbij de ethische hackers kennis hebben van de technische infrastructuur en systemen en met behulp van die kennis technische zwakheden trachten op te sporen. Dit in tegenstelling tot black- of greybox testen, waarbij de hackers vooraf respectievelijk geen of beperkte kennis hebben van de systemen Phishing mail Vorm van internet oplichting en fraude, door middel van een vals e-mail bericht 'hengelen' naar inlog- of andere persoonsgegevens PO Privacy officer Role based access control (Rbac) Concept waarmee toegang tot gegevens en systemen geschiedt op basis van rollen en functies van de medewerkers. Dat is het concept waarmee Identity Access Management (IAM) wordt uitgevoerd.

SAAS Software-as-a-Service, is een model waarbij softwaretoepassingen via internet worden aangeleverd. SIEM/SOC Security Information & Event Management (SIEM) en Security Operations Center (SOC) is software die computerdreigingen en verdacht verkeer op systemen detecteert en monitort. Social engineering Social engineering is een techniek waarbij een aanval op de computerbeveiliging via het verkrijgen van vertrouwelijke of geheime informatie (van personen). SSO Single Sign On, op 1 werkplek via 1 aanmelding toegang krijgen tot alle applicaties waar de gebruiker recht op heeft Suwinet Gemeenschappelijke elektronische Voorziening Suwi (Wet structuur uitvoering werk en inkomen), of GeVS, ook wel Suwinet genoemd. Is een digitale infrastructuur die is ontwikkeld om ervoor te zorgen dat de Suwipartijen (UWV, SVB en gemeenten) gegevens met elkaar kunnen uitwisselen TISO Technical Information Security Officer TPM Third Party Memorandum. Verklaring dat de derde partij, die de gegevens voor de gemeente bewerkt voldoet aan de geldende richtlijnen inzake informatiebeveiliging Verwerkingsregister Register waarin de gemeente bijhoudt welke persoonsgegevens de gemeente en de verwerkers die deze inschakelt verwerkt VNG Vereniging Nederlandse Gemeenten VNG Realisatie Kwaliteitsinstituut van de VNG (voorheen KING) Whitebox pentest Zie pentest

45

Bijlage 2. Lijst geraadpleegde stukken en lijst respondenten Geraadpleegde stukken -

Accountantsverslag Gemeente Zutphen, Boekjaar 2021, door Baker Tilly, 9-6-2022 Actieplan privacybescherming en infoveiligheid versie 20220727 Actieplan privacybescherming en infoveiligheid versie 20220909 Assurance-rapport IT-auditor, 21-4-2022 Begeleidend memo Rapportage Securitytest Gemeente Zutphen_v1_ 16-8-2022 Beleid logische toegangsbeveiliging gemeente Zutphen, 19-10-2020 Beleidsuitgangspunten toegangsbeleid, 19-10-2020 Beschrijving nulmeting Project Troje 6 mei 2022 Bijlage 1_Conclusies en adviezen, Auxzenze Checklist Verwerkersovereenkomst Coalitieakkoord 2022-2026, gemeente Zutphen Communicatie memo – kennistest & motivatiesurvey, 19-09-2022 Gemeente Zutphen Board letter 2020, 5-1-2021 Gemeente Zutphen, management letter 2021, 11-1-2021 Inkoop en aanbestedingsbeleid Zutphen 2018 vastgesteld door college op 22 mei 2018 def Inkoopvoorwaarden Leveringen en Diensten gemeente Zutphen 2018 Jaarrapportage gegevensbescherming 2021, april 2022 Jaarverslag en -rekening Gemeente Zutphen 2021 Management letter 2020, 22-12-2020 Management letter 2021, 11-1-2021 Meerjarenbegroting gemeente Zutphen, jaarschijf 2023 Model verwerkersovereenkomst gemeente Zutphen (versie 2.4-1) Motie Cyberrisico, 20221107 Overzicht beleidsstukken informatiebeveiliging en privacy Zutphen Overzicht bevindingen en actieplan.

Informatiebeveiliging en Privacybescherming (in bewerking), 27-2-2022, Projectgroep versterken privacybescherming en informatieveiligheid Procedure Back-up en restore Procedure Hardening gemeente Zutphen Procedure Incidentmanagement gemeente Zutphen Procedure Toegangspassen gemeente Zutphen Rapportage Securitytest Gemeente Zutphen - v1.0 Rollen op privacygebied, intranet Strategisch informatiebeveiligingsbeleid gemeente Zutphen 2020-2024, 3-11-2020 Toelichting kennistest en motivatiesurvey Troje project Wordversie Wachtwoordbeleid gemeente Zutphen, 19-10-2020

46

Functies respondenten -

Gemeentesecretaris Portefeuillehouder CISO FG Privacy officer Adviseur Privacy Afdelingshoofd I&A Drie medewerkers afdeling Sociaal Domein

47

Bijlage 3. Onderzoeksvragen en normen De onderstaande normen zijn voornamelijk ontleend aan de BIO en de AVG. Onderzoeksvragen

Normen

1. In hoeverre beschikt de gemeente Zutphen over een adequaat informatiebeveiligings- en privacybeleid?

- Het college stelt het integrale beleid ten aanzien van informatiebeveiliging en privacy vast. - Er vindt sturing plaats op basis van de BIO. - Het informatiebeveiligingsbeleid is opgesteld aan de hand van een GAP-analyse. Jaarlijks wordt op basis van een risicoanalyse het informatiebeveiligingsplan ingevuld. De gemeente neemt maatregelen om risico’s te verlagen. - Op onderdelen van informatiebeveiliging is beleid geformuleerd en zijn richtlijnen opgesteld, zoals gebruik van wachtwoorden, 2 factor authenticatie, mobiele datadragers, autorisaties en monitoring, protocol datalekken, wijzigingsbeleid enz. - De CISO en FG zijn gepositioneerd en geëquipeerd om hun taak adequaat uit te voeren. - Het bestuur en medewerkers dragen het beleid ten aanzien van informatiebeveiliging en privacy actief uit. - Medewerkers weten wat ze wel en niet mogen/moeten doen met gegevens, herkennen incidenten en rapporteren deze ook daadwerkelijk. - De gemeente heeft procedures om te leren van beveiligingsmeldingen met als doel beheersmaatregelen te verbeteren. - Over het functioneren van informatiebeveiliging en privacy wordt gerapporteerd aan het management, bij voorkeur op basis van een ISMS (Information Security Management System). - Het ISMS, indien aanwezig, is gekoppeld aan de PDCA-cyclus. - Op de systemen is logging geïnstalleerd en er is capaciteit aanwezig om deze te monitoren.

- Er is een procedure vastgesteld voor de wijze waarop informatiebeveiligingsgebeurtenissen en zwakke plekken in de beveiliging worden beheerd en gerapporteerd. - Gegevens die door en/of namens de gemeente worden verwerkt zijn beschermd tegen ongewenste invloeden van buitenaf en van binnenuit. - Er worden jaarlijks beveiligingsaudits uitgevoerd. - De gemeente heeft in beeld met welke partners gegevens worden gedeeld met behulp van het verwerkingsregister. - De gemeente maakt met partners en leveranciers afspraken over het veilig uitwisselen en verwerken van persoonsgegevens en de daarvoor te nemen maatregelen. - Over het functioneren van het informatiebeveiligingsbeleid wordt gerapporteerd aan de raad, in ieder geval jaarlijks in het kader van ENSIA.

2. Hoe wordt het beleid uitgevoerd en wordt de uitvoering gemonitord?

3. In hoeverre zijn gegevens bij de gemeente beschermd tegen de toegang door onbevoegden?

4. Hoe wordt de gemeenteraad betrokken bij het informatiebeveiligingsbeleid?

48

Bijlage 4. Richtlijnen/procedures Informatiebeveiliging en privacy

Bron: IBD.

49

Bijlage 5. Volwassenheidsniveau NOREA Bron: Handreiking bij Volwassenheidsmodel Informatiebeveiliging, januari 2019, NBA.

50