raadsvoorstel voor I-Babs

VOORBLAD

zaaknummer: 592350

RAADSVOORSTEL Onderwerp:

Aanbevelingen onderzoek rekenkamercommissie informatiebeveiliging en privacy

Programma:

1. Politiek dichtbij

Forum:

Oordeelsvormend

Portefeuillehouder

Eva Boswinkel

Inlichtingen bij:

Dolfing, Birgitta Tel: 0620401522

Soort bevoegdheid:

Kaderstellend Controlerend

Beleidsvrijheid:

Ruim

E-mailadres: B.Dolfmg@zutphen.nl

Programmabegrotingswijziging: Nee Programmabegrotingswij zigingsnummer: De rekenkamercormnissie stelt voor: 1. De conclusies en aanbevelingen uit het rapport ‘Informatiebeveiliging en privacy’ over te nemen en; 2. Het college te verzoeken de aanbevelingen 1 tot en met 5 uit te voeren; 3. Als college en raad gezamenlijk aanbeveling 6 uit te voeren en 4. Als raad aanbeveling 7 uit te voeren.

TOELICHTING Inleiding / aanleiding Conform het onderzoeksprogramma 2022-2023 heeft de rekenkamercommissie onderzoek laten doen naar informatiebeveiliging en privacy binnen de Gemeente Zutphen. De rekenkamercommissie vindt namelijk gezien de toenemende kwetsbaarheid van gemeenten bij de verwerking van eveneens grote groepen kwetsbare inwoners, dit onderwerp belangrijk en urgent. Met het onderzoeksrapport wil de rekenkamercommissie de gemeenteraad van Zutphen inzicht geven in de stand van zaken met betrekking tot beleid en uitvoering van informatiebeveiliging en privacy. In het onderzoek heeft de volgende vraag centraal gestaan: Heeft de gemeente Zutphen de informatiebeveiliging en gegevens bescherming op orde? De centrale onderzoeksvraag is uitgewerkt aan de hand van de volgende vier onderzoeksvragen: 1. In hoeverre beschikt de gemeente Zutphen over een adequaat informatiebeveiligings- en privacybeleid? 2. Hoe wordt het beleid uitgevoerd en hoe wordt de uitvoering gemonitord? 3. In hoeverre zijn gegevens bij de gemeente beschermd tegen de toegang door onbevoegden? 4. Hoe wordt de gemeenteraad betrokken bij het informatiebeveiligingsbeleid? De rekenkamercommissie heeft geconstateerd dat de Gemeente Zutphen hard werkt aan informatiebeveiliging en privacy en wil het college aansporen door te gaan met de volgende punten.

Blijf als gemeente voldoende aandacht en middelen besteden aan informatiebeveiliging en privacy (de norm die de IBD tegenwoordig hanteert is dat 10% van de middelen die aan ICT worden uitgegeven aan informatiebeveiliging worden besteed); Ga verder met en intensiveer waar nodig de activiteiten in het ‘Actieplan Informatiebeveiliging en Privacybescherming’; Blijf via periodieke (pen)testen de vinger aan de pols houden, niet alleen op de systemen en netwerken, maar ook op risicobewustzijn van medewerkers en de fysieke beveiliging, werk de verbeterpunten uit de testen voor opvolging uit in een verbeterplan; Blijf investeren in risicobewustzijn bij medewerkers en doordring management van urgentie van informatiebeveiliging en gegevensbescherming; Ga verder met de uitvoeren van de voorgenomen dpia’s en het up-to-date houden van het verwerkingsregister. Deze aansporingen leiden tot de volgende aanbevelingen. Aan het college: 1. Actualiseer het informatiebeveiligings- en privacybeleid op basis van risicomanagement en formuleer ambities hierop in samenspraak met de raad; 2. Breng aantal en actualiteit van de protocollen en richtlijnen zoals voorgeschreven in de BIO up-to-date; 3. Maak effectiever gebmik van de reeds aanwezige middelen voor controle en monitoring op informatiebeveiliging en privacy; 4.

Verricht een 0-meting naar de taakvolwassenheid en bewustwording van medewerkers op informatiebeveiliging en formuleer daarop een ambitie en stappenplan om daarop in control te komen; 5. Maak informatiebeveiliging en privacy integraal onderdeel van de werkprocessen. Aan college en raad: Ga samen het gesprek aan om de horizontale verantwoording (tussen raad en college) in te vullen, zodat de raad voor zijn adviserende en controlerende rol zicht krijgt op opzet, bestaan en werking van de maatregelen op informatiebeveiliging en privacy. Aan de raad: Neem als raad een actievere kaderstellende en controlerende rol op de beleidsterreinen informatiebeveiliging en privacy en gebruik hiervoor onder andere de rapportages op privacy- en informatiebeveiligings aspecten van de FG, ENSIA en accountant. Beoogd effect Met de inzichten uit dit onderzoek wil de rekenkamercommissie in het algemeen bijdragen aan de kaderstellende en controlerende taak van de raad. En meer specifiek dat de Gemeente Zutphen de aanbevelingen een goede plek geeft in beleid en uitvoering.

Argumenten De rekenkamercommissie heeft geconstateerd dat de Gemeente Zutphen hard werkt aan informatiebeveiliging en privacy, maar dat er hiernaast ook nog veel moet worden doorontwikkeld. Uitvoering van de aanbevelingen draagt bij aan vermindering van risico’s op onderbreking van dienstverlening aan inwoners en bedrijven en dat belangen van inwoners en ondernemers worden geschaad.

Uitvoering/Communicatie/Vervolgtraject Het rapport van de rekenkamercommissie wordt geplaatst op de website van de gemeente Zutphen. Bijlage(n)

BESLUIT

De raad van de gemeente Zutphen, gelezen het voorstel van de rekenkamercommissie met nummer 592350;

besluit:

1. De conclusies en aanbevelingen uit het rapport ‘Informatiebeveiliging en privacy’ over te nemen en; 2. Het college te verzoeken de aanbevelingen 1 tot en met 5 uit te voeren; 3. Als college en raad gezamenlijk aanbeveling 6 uit te voeren en; 4. Als raad aanbeveling 7 uit te voeren. Aldus besloten in de openbare vergadering van de raad van de gemeente Zutphen, gehouden op:

De voorzitter,

de griffier,