presentatie oordeelsvormende vergadering 28-08-2023 Zutphen

Informatiebeveiliging en privacy Rekenkamercommissie Zutphen Forum 15 juni 2023

Opzet en aanpak Conclusies

Inhoud

Aansporingen Aanbevelingen

Opzet en aanpak • Onderzoeksvraag: “Heeft de gemeente Zutphen de informatiebeveiliging en gegevens-bescherming op orde? ” • 4 onderzoeksvragen • Mens-techniek-organisatie • Aanpak: • Deskresearch • Interviews • Pentesten (interne netwerk, AD audit, phishing mail, mystery guest)

Mystery Guest Assessment • Effectiviteit van de beveiligingsmaatregelen op Henri Dunantweg 1 • Pretext: zich voordoen als technische specialisten die het wifi-signaal komen meten en verbeteren • Via social engineering informatie verzameld (onder andere via Linkedin)

Conclusies • Bestuurlijke aandacht aanwezig, functies op beleidsterreinen ingevuld • Beleid op informatiebeveiliging en privacy aanwezig, maar niet op alle aspecten actueel en niet zeer ambitieus • Beleid behoort risicogestuurd te zijn, risicomanagement nog niet volledig uitontwikkeld • Bewustwording en taakvolwassenheid op informatiebeveiliging en privacy bij medewerkers nog niet voldoende • Onvoldoende effectief gebruik van maatregelen en (management-) informatiesysteem • Pentesten tonen risico’s, resulterend in verbeterplan • Informatie aan de raad summier, verdiepende dialoog wordt gemist

Aansporingen • Blijf aandacht en middelen besteden aan informatiebeveiliging en privacy • Ga door en intensiveer waar nodig inzet op ‘Actieplan’ • Blijf periodiek de infrastructuur testen • Blijf investeren in bewustwording van medewerkers • Ga verder met de voorgenomen dpia’s en updaten van verwerkingsregister

Aanbevelingen - 1 Aan college: • Actualiseer beleid op informatiebeveiliging en privacy op basis van risicomanagement, actualiseer en update protocollen en procedures • Formuleer samen met de raad ambities • Maar effectiever gebruik van reeds aanwezige middelen voor controle en monitoring • Maak informatiebeveiliging en privacy integraler onderdeel van werkprocessen

Aanbevelingen - 2 Aan college en raad: • Ga samen het gesprek aan om de horizontale verantwoording in te vullen, zodat de raad zicht krijgt op opzet, bestaan en werking van maatregelen Aan de raad • Neem een actievere kaderstellende en controlerende rol op informatiebeveiliging en privacy (mede op basis van rapportages FG, ENSIA en accountant)