Rapport RK Zwolle 'Zwolle dataveilig'

Figuur 7.1. ENSIA-rapportage

Accountant

De accountant voert een IT-controle uit en rapporteert daarover in de boardletter. Informatieveiligheid wordt daarbij meegenomen, vooral binnen het kader van de toets op de financiële rechtmatigheid van de gemeentelijke financiën. De IT-controle is geen uitputtende toets op informatieveiligheid, maar levert nuttige bevindingen op met betrekking tot de vraag in hoeverre de gemeente voldoet aan de eisen die de wetgever op dat vlak stelt. De boardletters worden in de auditcommissie geagendeerd en besproken. In de brieven van de auditcommissie aan de gemeenteraad wordt zijdelings ingegaan op de vraagstukken op informatiebeveiliging die de accountant aansnijdt. De bedoeling is dat in de toekomst concern control de IT-audit intern gaat uitvoeren. Daarvoor is in 2025 een IT-auditor in de gemeente werkzaam geworden.

Ad hoc

Op deze wijze is de controle door de raad op informatiebeveiliging en privacy ingericht. Ad hoc wordt de raad door college ingelicht bij incidenten met consequenties voor de inwoners en de samenleving. Daarin zullen raad en college steeds een balans moeten vinden tussen enerzijds vertrouwelijkheid van gegevens of gebeurtenis en de impact op betrokkenen.

31

Sessies

Er worden via de griffie in overleg met de CISO of FG regelmatig sessies georganiseerd om de raad bij te praten over deze onderwerpen of een eventuele kennisachterstand weg te nemen. Vanuit de respondenten wordt de wens te kennen gegeven om meer contact met de raad te hebben. Maar de ervaring tot nu toe is dat deze informatiesessies door raadsleden weinig worden bezocht. Het beeld bij een aantal respondenten is dat de volwassenheid op informatieveiligheid bij de raad hoger kan. Er zijn incidenten op informatiebeveiliging en privacy geweest waarbij de raad betrokken was. Uit de phishingmail test (zie §5.1), die ook onder raadsleden is uitgezet, is een dubbel signaal op te halen. Er blijken relatief veel raadsleden in eerste instantie op de link in een verdachte mail te klikken. Maar opvallend is dat in tweede instantie geen raadslid inloggegevens prijs geeft.

32

Bijlage 1. Onderzoeksvragen en normen De onderstaande normen zijn opgesteld op basis van de normen van de Baseline Informatiebeveiliging Overheid (inclusief de 10 bestuurlijke principes informatiebeveiliging), Agenda Digitale Veiligheid 2024-2026 VNG en dreigingsbeelden van de IBD.

Onderzoeksvragen

Normen

Organisatie 1. Wat is het beleid van de gemeente Zwolle op het gebied van informatieveiligheid en voldoet dit aan de actuele standaarden?

2. Hoe gaat Zwolle om met risico’s en incidenten op het gebied van informatieveiligheid?

3. Zijn de functionarissen op informatiebeveiliging en gegevensbescherming met betrekking tot hun taak juist gepositioneerd? 4. Hoe wordt dit beleid uitgevoerd op strategisch, tactisch en operationeel niveau?

Mens 5. Op welke wijze wordt aandacht besteed aan de bevordering van bewustwording en eigenaarschap met betrekking tot risico’s op het gebied van informatiebeveiliging bij bestuurders en medewerkers van de gemeente en bij raadsleden? 6. Zijn de rollen die medewerkers hebben t.a.v. informatiebeveiliging duidelijk voor de medewerkers? Hoe is de ‘tone at the top’ en hoe werkt dit door in de organisatie? Krijgen de risico’s met betrekking tot informatiebeveiliging voldoende aandacht in alle organisatielagen?

- De gemeente beschikt over een actueel overkoepelend informatiebeveiligingsbeleid dat op onderdelen is uitgewerkt in specifieke procedures en/of richtlijnen. De inhoud van het informatiebeveiligingsbeleid sluit aan op good practices, zoals de BIO2 en andere relevante wet- en regelgeving (zoals de AVG). - De gemeente beschikt over een actueel informatiebeveiligingsplan met concrete activiteiten om nader invulling te geven aan diverse onderdelen van het informatiebeveiligingsbeleid. Op basis van de activiteiten is er een urenraming en budget opgesteld. - De gemeente besteedt 10% van het ICT-budget aan maatregelen ter bevordering van informatieveiligheid. - Er worden met voldoende frequentie GAP- en risicoanalyses uitgevoerd. In de analyses zijn de belangrijkste risico’s geïdentificeerd en worden verbetermaatregelen getroffen op de risico’s die niet geaccepteerd worden. - Taken en verantwoordelijkheden rond informatiebeveiliging en de bescherming van (bijzondere) persoonsgegevens zijn duidelijk belegd in de organisatie. - De functionarissen op informatiebeveiliging zijn goed gepositioneerd om hun rol te kunnen vervullen.

- Het beleid zoals vastgesteld op strategisch niveau wordt op tactisch niveau ingevuld met de benodigde protocollen en op operationeel niveau uitgewerkt in richtlijnen en werkwijzen - Het beleid wordt op strategisch, tactisch en operationeel uitgevoerd zoals is vastgelegd - Het normenkader van de BIO2 en de doelstellingen van de gemeente op informatieveiligheid worden gerealiseerd - Informatieveiligheid en gegevensbescherming is een onderdeel van de ‘onboarding’ van medewerkers - Medewerkers en bestuurders krijgen regelmatig scholing op de risico’s op informatieveiligheid - Raadsleden worden door de gemeente voorgelicht op de risico’s op informatieveiligheid en gegevensbescherming en door de gemeente daarin gefaciliteerd - Op bestuurlijk en directieniveau van de gemeente wordt informatiebeveiliging en gegevensbescherming regelmatig geadresseerd en bestuurders en directieleden dragen het belang van deze onderwerpen uit, onder andere door voorbeeldgedrag - De medewerkers van de gemeente zijn op de hoogte van hun rol op informatieveiligheid en gegevensbescherming en gedragen zich daarnaar

33

Techniek 7. Zijn gegevens bij de gemeente - De inrichting van de systemen is up-to-date en ingericht op voldoende beschermd tegen de toegang een beleid van 0-tolerance intern en extern door onbevoegden? - De systemen zijn ingericht dat zoveel mogelijk voorkomen wordt dat kwaadwillenden toegang krijgen tot de systemen, dat zo snel mogelijk verdacht verkeer wordt gedetecteerd en passende maatregelen worden getroffen om de schade zoveel mogelijk te beperken 8. In hoeverre wordt getoetst of de - De gemeente Zwolle voert de audits en de organisatie ‘in control’ is op het gebied (self)assessments in het kader van ENSIA uit van informatiebeveiliging via peer - De gemeente toetst regelmatig fysiek en digitaal de reviews, audits, self assessments (zelf systemen en gedrag en risicobewustzijn van medewerkers tests) of pentesten, inlooptesten, - Naar aanleiding van de testen worden phishing mails of netwerktesten? verbetermaagregelen geformuleerd en uitgevoerd - De digitale en fysieke infrastructuur van de gemeente doorstaan de testen in het kader van het rekenkameronderzoek 9.

In hoeverre is de continuïteit van de - De gemeente heeft een integraal beleid op gemeentelijke dienstverlening gewaarbedrijfscontinuïteit en back-up en herstel geformuleerd en borgd in geval van grootschalige uitval geïmplementeerd of verstoring van ICT en hoe is dat - Op de uitvoering daarvan wordt regelmatig geoefend geregeld? - Medewerkers zijn op de hoogte hoe zij incidenten en datalekken moeten melden en de opvolging van de verbetermaatregelen daarop is vastgelegd

Betrokkenheid van de raad 10. Hoe is de raad betrokken bij het beleid ten aanzien van informatieveiligheid? Op welke manier wordt de gemeenteraad geïnformeerd over de uitkomsten van uitgevoerde audits op het gebied van informatiebeveiliging? Is de raad daarmee adequaat gepositioneerd om zijn kaderstellende en controlerende rol te kunnen vervullen?

- De informatievoorziening aan de raad en de overlegmomenten tussen raad en college over informatieveiligheid zijn voldoende om de gemeenteraad te positioneren om de kaderstellende en controlerende rol te laten vervullen - De raad is dusdanig betrokken op het onderwerp informatieveiligheid dat vragen over het beleid en de uitvoering worden gesteld

34

Bijlage 2. Casebeschrijvingen ‘Follow the information’

Voor het rekenkameronderzoek zijn 2 verwerkingsprocessen in de organisatie nader onderzocht. Het doel is op procesniveau te onderzoeken wat er gebeurt met informatie die de organisatie binnenkomt, in welke systemen de gegevens worden verwerkt, wie toegang heeft tot deze informatie en met welke (externe) partijen de informatie wordt gedeeld. Daarmee kan op praktisch niveau een beeld verkregen worden wat informatiebeveiliging en privacy inhoudt voor een gemeente. Uit de overige onderzoeksbevindingen blijken er uitdagingen te zijn om gegevensbescherming in de operationele werkprocessen onder te brengen. Bij sommige afdelingen en teams is men daar heel actief mee, zoals bij de sociale wijkteams. Andere afdelingen zijn daar minder actief mee bezig.

Wmo-aanvraag

Gekozen is om een proces in het sociaal domein en een proces in het fysieke domein als case te onderzoeken. Voor het sociaal domein is de aanvraag van een Wmo-voorziening nader onderzocht, om meerdere redenen. Enerzijds omdat bij zo’n aanvraag (bijzondere) persoonsgegevens van inwoners verwerkt kunnen worden. Anderzijds omdat een Wmo-aanvraag als een kritisch bedrijfsproces is aangemerkt, omdat de impact van uitval onacceptabel groot is. Het is dan ook door de gemeente als ‘kroonjuweel’ aangemerkt.

Aanvraag omgevingsvergunning

Voor het verwerkingsproces in het fysieke domein is gekozen voor een aanvraag van een omgevingsvergunning. Een proces dat vanwege de Omgevingswet de laatste jaren een forse ontwikkeling heeft doorgemaakt. Maar is door de gemeente niet als kroonjuweel aangemerkt. Om met de twee cases te variëren is voor deze 2 processen gekozen.

Casus Wmo aanvraag Sociaal domein Inleiding De gemeente Zwolle heeft de uitvoering van de Wet Maatschappelijke Ondersteuning (Wmo) belegd bij de Sociale Wijkteams (SWT). Zwolle heeft vijf wijkteams, verspreid over de gemeente, die integraal werken en naast Wmo-aanvragen ook vraagstukken op het gebied van jeugdzorg en participatie behandelen. De teams zijn laagdrempelig bereikbaar voor inwoners via inloopspreekuren (twee keer per week per wijkteam) en een dagelijkse telefonische bereikbaarheidsdienst. De Sociale Wijkteams hebben een eigen e-mailextensie (swt.zwolle.nl) die verschilt van de reguliere gemeentelijke e-mailadressen (zwolle.nl). Dit draagt bij aan hun herkenbare positie tussen inwoners en de gemeentelijke organisatie. Daarnaast hebben zij een eigen webpagina met privacy voorschriften. Procesbeschrijving WMO-aanvraag Aanmelding en registratie

Het proces begint wanneer een inwoner contact opneemt met het wijkteam. Dit gebeurt via een van de volgende kanalen: • Het inloopspreekuur in de wijk • De telefonische bereikbaarheidsdienst • Een doorverwijzing door een andere partij

35

De medewerker die het eerste contact heeft, registreert de aanvraag in het systeem. Hierbij worden de volgende gegevens vastgelegd: • • • • •

Contactgegevens (naam, adres, telefoonnummer) Persoonsgegevens (BSN, geboortedatum) Gezinssituatie (samenstelling huishouden) Probleemomschrijving/situatieschets Eventueel betrokken andere instanties (huisarts, school) Bij dit eerste contact wordt de inwoner geïnformeerd over het feit dat er een dossier wordt aangemaakt en dat persoonsgegevens worden geregistreerd. Ook wordt verteld hoe het proces verder zal verlopen en dat er mogelijkheden zijn voor onafhankelijke cliëntondersteuning. Na registratie komt de casus op de wachtlijst van het betreffende wijkteam. Tijdens een verdelingsmoment, waarbij meerdere teamleden aanwezig zijn, wordt bepaald welke medewerker de casus zal oppakken als regisseur.

Toewijzing regisseur en onderzoeksfase

Voor gevoelige casussen, zoals aanvragen van bekende inwoners, collega's of familieleden van medewerkers, geldt een apart protocol. Deze casussen kunnen worden doorverwezen naar een ander wijkteam of zelfs naar een andere gemeente (zoals Kampen), om privacy en objectiviteit te waarborgen. De toegewezen regisseur neemt contact op met de inwoner en voert een of meerdere gesprekken om de vraag te verhelderen. Hierbij wordt gekeken naar: • • • • •

De precieze hulpvraag Eigen mogelijkheden van de inwoner (zelfredzaamheid) Mogelijkheden binnen het sociale netwerk Mogelijke voorliggende voorzieningen Noodzaak van een maatwerkvoorziening Tijdens deze fase wordt een integrale benadering gehanteerd. Er wordt breed gekeken naar de situatie van de inwoner, waarbij ook andere leefgebieden aan bod komen. Zo kan bijvoorbeeld blijken dat naast een WMO-voorziening ook ondersteuning nodig is op het gebied van schuldhulpverlening of participatie. Op basis van het onderzoek stelt de regisseur samen met de inwoner een ondersteuningsplan op. Dit plan bevat:

Opstellen ondersteuningsplan en beschikking

• • • •

Een beschrijving van de huidige situatie; De te bereiken doelen; De in te zetten voorzieningen; De duur van de ondersteuning. Het ondersteuningsplan wordt niet formeel ondertekend, maar er moet wel consensus over bestaan tussen de inwoner en de regisseur. Het plan wordt samen doorgenomen en zo nodig aangepast tot er overeenstemming is. Vervolgens maakt de regisseur in het systeem een conceptvoorziening aan, die naar de backoffice wordt gestuurd. De backoffice werkt dit uit tot een formele beschikking, die per post naar de inwoner wordt verzonden. Deze beschikking bevat ook een bezwaarclausule, zodat de inwoner weet hoe bezwaar kan worden gemaakt tegen de beslissing.

36

Voor materiële WMO-voorzieningen (zoals rolstoelen en scootmobielen) wordt contact opgenomen met de leverancier (Welzorg of Kerstin). Voor immateriële voorzieningen (zoals huishoudelijke hulp of begeleiding) wordt de aanvraag via het landelijke berichtenverkeer gecommuniceerd met de betreffende zorgaanbieder. Uitvoering en nazorg

Na toekenning van de voorziening blijft de regisseur betrokken bij de casus. De inwoner kan bij nieuwe vragen direct contact opnemen met de regisseur. Als er geen actieve begeleiding meer nodig is, wordt de casus op 'slapend' gezet in het systeem, maar de regisseur blijft eigenaar van het dossier. Bij nieuwe vragen of ontwikkelingen kan de casus eenvoudig weer geactiveerd worden. Informatiesystemen en gegevensverwerking

Kernsysteem

Het Sociaal Wijkteam gebruikt een specifiek primair systeem voor dossiervorming en registratie. Dat is een Software as a Service (SaaS) oplossing met verschillende componenten: • Regie: voor dossiervorming en casemanagement; • Financieel: voor financiële afhandeling; • Koppelvlak naar het landelijke berichtenverkeer via het Gemeentelijk

Gegevensknooppunt (GGK). Het systeem wordt niet beheerd door het Shared Service Center (SSC) ONS van de gemeente, maar direct door de leverancier. Het systeem wordt door ongeveer 25 gemeenten gebruikt, wat zorgt voor een robuuste en doorontwikkelde oplossing. Autorisatiestructuur

Voor het systeem hanteert het SWT een uitgebreid autorisatieschema: • Medewerkers hebben alleen toegang tot dossiers binnen hun eigen

wijkteam; • Om toegang te krijgen tot een specifiek dossier moet een medewerker een reden opgeven; • De regisseur krijgt een automatische melding wanneer iemand anders het dossier raadpleegt; • Toegangsrechten zijn functiegebonden (sociaal werker, backoffice medewerker, etc.) Het autorisatieschema wordt beheerd door de functioneel beheerder in samenwerking met het management. Bijzondere toegangsverzoeken worden altijd via deze lijn afgehandeld. De management-verantwoordelijkheid voor het autorisatiebeheer is hiermee duidelijk belegd. Controle en logging

Alle acties in het systeem worden gelogd, waaronder: • Wie heeft welk dossier bekeken • Welke wijzigingen zijn aangebracht • Wanneer heeft de raadpleging plaatsgevonden

Het management controleert elke twee maanden steekproefsgewijs welke dossiers door medewerkers zijn geraadpleegd. Daarnaast wordt het autorisatieschema elke zes maanden gecontroleerd op actualiteit en correctheid. Dit draagt bij aan het waarborgen van de privacy en informatieveiligheid.

37

Gegevensdeling en privacy Bij het delen van gegevens met andere partijen hanteert het SWT de volgende uitgangspunten, waarmee voldaan wordt aan de eisen van de AVG:

Uitgangspunten bij gegevensdeling

• Doelbinding: gegevens worden alleen gedeeld als dit noodzakelijk is voor

het doel; • Minimale gegevensdeling: er worden niet meer gegevens gedeeld dan

nodig; • Toestemming: voor het delen van gegevens is in principe toestemming

nodig van de inwoner; • Functionele omschrijving: er worden vooral functionele beperkingen

beschreven, geen medische diagnoses (tenzij deze door de inwoner zelf zijn gedeeld). Gegevens worden met zorgaanbieders gedeeld via het landelijke berichtenverkeer. De uitzondering hierop zijn materiële WMOvoorzieningen, waarvoor nog geen berichtenverkeer is ingericht. De gedeelde informatie is beperkt tot wat functioneel noodzakelijk is voor de uitvoering van de zorg.

Gegevensdeling met Zorgaanbieders

Bij jeugdhulp wordt doorgaans meer contextuele informatie gedeeld dan bij WMO, vanwege de complexiteit van de problematiek en om te voorkomen dat de jongere opnieuw zijn verhaal moet doen bij de zorgaanbieder. Gegevens kunnen, met toestemming van de inwoner, worden gedeeld met de volgende andere partijen:

Gegevensdeling met andere partijen

• • • •

Huisartsen; Scholen (bij jeugdhulp); Familieleden die als belangenbehartiger optreden; Het CAK (voor de eigen bijdrage). Intern worden gegevens soms besproken tijdens intervisies met collega's, overleg met gedragswetenschappers en verdelingsmomenten. Hierbij is er aandacht voor privacyaspecten, met name bij de verdelingsmomenten waar meerdere teamleden meekijken naar dossiers.

Communicatiemiddelen

Voor het delen van gegevens gebruikt het SWT verschillende communicatiemiddelen: • Beveiligde e-mail via Zivver voor externe communicatie met andere

professionals; • Berichtenverkeer voor communicatie met zorgaanbieders verloopt via het

beveiligde Gemeentelijk Gegevensknooppunt (GGK); • Reguliere post voor formele communicatie met inwoners; • Microsoft Teams voor interne communicatie;

In de praktijk wordt ook WhatsApp gebruikt voor laagdrempelig contact met inwoners. Het SWT erkent dat dit privacyrisico's met zich meebrengt. Er zijn geen formele richtlijnen voor het gebruik van WhatsApp, maar medewerkers zijn zich bewust van de beperkte veiligheid en vermijden het delen van persoonsgegevens via dit kanaal. Privacymaatregelen en verbeterpunten Bestaande privacy-

Het SWT heeft verschillende maatregelen getroffen om privacy te

38

waarborgen:

maatregelen

• • • •

In 2020 is een Data Protection Impact Assessment (DPIA) uitgevoerd; Er is een register van gegevensverwerkingen bijgehouden; Er zijn verwerkersovereenkomsten afgesloten met; Er is een datalekprocedure ingericht en medewerkers zijn hiervan op de hoogte; • Er zijn e-learnings over informatieveiligheid beschikbaar; Het bewustzijn rond informatieveiligheid onder medewerkers wordt als redelijk en groeiende beoordeeld. Medewerkers zijn zich bewust van het werken met vertrouwelijke gegevens en de noodzaak om deze zorgvuldig te behandelen. Ondanks de getroffen maatregelen zijn er nog verschillende verbeterpunten:

Verbeterpunten

• • • • • •

Reductie van aantal datalekken Verbetering van beveiligde gegevensuitwisseling met inwoners Aansluiting van materiële WMO-voorzieningen op het berichtenverkeer Betere sturing op deelname aan e-learnings over informatieveiligheid Duidelijkere richtlijnen voor het gebruik van WhatsApp Betere bewustwording rond het registreren van medische gegevens Het SWT geeft aan zich bewust te zijn van deze verbeterpunten en werkt aan het updaten van de DPIA en het verder verfijnen van het primaire proces, met specifieke aandacht voor informatieveiligheid en privacy.

Toekomstige ontwikkelingen

Het SWT werkt aan een verdere professionalisering van het informatiemanagement. Na de initiële opbouwfase van de wijkteams (vanaf 2015) is er nu meer ruimte voor doorontwikkeling van ondersteunende processen, waaronder informatieveiligheid. Respondenten geven aan dat de samenwerking met de gemeentelijke informatievoorziening (IV) kolom de afgelopen jaren is verbeterd, wat bijdraagt aan een betere borging van privacyaspecten. Ook komt er meer aandacht voor het actualiseren van procesbeschrijvingen, met daarin expliciete aandacht voor informatieveiligheid en privacy.

Casus Omgevingsvergunning Inleiding Deze casebeschrijving geeft inzicht in hoe het team Vergunningen, Toezicht en Handhaving (VTH) van de gemeente Zwolle omgaat met aanvragen voor omgevingsvergunningen. De beschrijving belicht de gebruikte systemen, geregistreerde gegevens, gegevensuitwisseling met andere partijen en de wijze waarop privacyvraagstukken worden behandeld. De informatie is gebaseerd op interviews met medewerkers van de gemeente Zwolle en de Omgevingsdienst IJsselland, die samen verantwoordelijk zijn voor de afhandeling van omgevingsvergunningen. De case biedt inzicht in de huidige werkwijze binnen het kader van de Omgevingswet.

39

Procesverloop Omgevingsvergunning Het proces van een omgevingsvergunning begint wanneer een inwoner of bedrijf een aanvraag indient via het landelijk Omgevingsloket. De aanvrager moet hiervoor inloggen met DigiD (particulieren) of eHerkenning (bedrijven). Deze identificatiemethode zorgt voor een eerste verificatie van de identiteit van de aanvrager.

Aanvraagproces

Hoewel het niet verplicht is om digitaal in te dienen, gebeurt dit in de praktijk vrijwel altijd. Slechts in uitzonderlijke gevallen (één of twee keer per jaar) wordt een aanvraag op papier ingediend. Daarnaast biedt de gemeente eventueel hulp bij het digitaal indienen van een aanvraag. Na indiening wordt de aanvraag vanuit het landelijk Omgevingsloket doorgestuurd naar het lokale VTH-systeem IJVI (IJssellandse VTH Informatievoorziening) van de gemeente Zwolle. De gemeente publiceert alle binnengekomen aanvragen op overheid.nl (bekendmakingen.nl). Dit is wettelijk verplicht. Daarnaast heeft Zwolle een eigen procedure, de "Zwolse Zienswijze", waarbij belanghebbenden in een vroeg stadium worden uitgenodigd om te reageren op de aanvraag. Deze aanpak is bedoeld om in een informele fase al draagvlak te creëren of aanpassingen door te voeren, voordat het definitieve besluit op de aanvraag wordt genomen en het proces formeler wordt in de bezwaarfase. Daarnaast is het de bedoeling om daarmee ook de zienswijzen in de uiteindelijke besluitvorming mee te nemen.

Publicatie en participatie

Bij publicatie worden de persoonsgegevens van de aanvrager niet gedeeld. Belanghebbenden die informatie opvragen over een aanvraag, krijgen geanonimiseerde stukken te zien. Door middel van taken wordt de aanvraag binnen de gemeente toegewezen aan verschillende specialisten, afhankelijk van de aard van de aanvraag. Bij complexe aanvragen kunnen meerdere adviseurs betrokken zijn, zoals:

Beoordelingsproces

• • • • •

Planologen; Verkeersdeskundigen; Milieuspecialisten (vaak van de Omgevingsdienst); Specialisten op het gebied van brandveiligheid (van de Veiligheidsregio); Welstandscommissie. Deze specialisten beoordelen elk hun eigen aspect van de aanvraag en brengen advies uit. De gemeente Zwolle heeft de regie over het proces, maar betrekt deze partijen voor hun specifieke expertise.

Besluitvorming

Na beoordeling door alle betrokken adviseurs wordt een besluit genomen over de aanvraag. In bepaalde gevallen, wanneer een aanvraag niet past binnen het omgevingsplan (voorheen bestemmingsplan) wordt eerst gekeken of van het plan afgeweken kan worden. Mogelijk kan of moet de omgevingsvisie aangepast worden en dan brengt de gemeenteraad een bindend advies uit. Dit geldt bijvoorbeeld voor plannen met meer dan vijf woningen in een specifiek gebied of voor andere politiek gevoelige kwesties zoals windmolens. Het uiteindelijke besluit wordt gecommuniceerd met de aanvrager. Als er vertrouwelijke gegevens in het besluit staan, wordt de beveiligde e-

40

maildienst Zivver gebruikt. Daarnaast wordt het besluit gepubliceerd op de site van overheid.nl. Gebruikte Systemen en Gegevensregistratie IJVI

Het centrale systeem voor de verwerking van omgevingsvergunningen is IJVI (IJssellandse VTH Informatievoorziening), dat door twaalf verschillende organisaties wordt gebruikt, waaronder de gemeente Zwolle. Het systeem wordt geleverd door Genetics en het softwarepakket heet Powerbrowser 2020. De Omgevingsdienst IJsselland voert het beheer uit voor tien gemeenten, de Veiligheidsregio en de Omgevingsdienst zelf. In IJVI worden de volgende persoonsgegevens geregistreerd: • • • • • • • • •

BSN-nummer; Naam; Geslacht; E-mailadres; Geboortedatum; Geboorteplaats; Adresgegevens; Naam van partner (indien van toepassing voor adressering); Eventuele overlijdensgegevens. IJVI is gekoppeld aan de Basisregistratie Personen (BRP) via een BRP API. Dit zorgt ervoor dat persoonsgegevens altijd actueel zijn en worden geverifieerd. Recent is een nieuwe functionaliteit geïmplementeerd die gericht is op dataminimalisatie, waardoor alleen de persoonsgegevens beschikbaar komen die noodzakelijk zijn voor het proces. Het medewerkersportaal of eSuite is het zaaksysteem van de gemeente Zwolle. Het fungeert als archiefsysteem voor documentopslag en is gekoppeld aan IJVI. De volgende informatie wordt gedeeld tussen IJVI en het medewerkersportaal:

Medewerkersportaal (eSuite)

• • • • •

Zaakomschrijving; Zaakstatus; Adresgegevens; Aanvraaggegevens; Documenten. Het medewerkersportaal wordt ook gebruikt door het Klant Contact Centrum (KCC) om burgers te informeren over de status van hun aanvraag zonder dat zij direct toegang hebben tot IJVI.

Overige systemen

Naast IJVI en het medewerkersportaal worden verschillende systemen gebruikt voor: • het financiële systeem voor facturering; • een module binnen het Omgevingsloket voor samenwerking met externe

partijen; • voor het genereren van briefsjablonen; • tussenleverancier die koppelingen beheert tussen DSO (Digitaal Stelsel

Omgevingswet) en IJVI; • voor communicatie met de gemeenteraad; • voor het maken en bewerken van documenten.

41

Voor al deze systemen en leveranciers zijn verwerkersovereenkomsten afgesloten wanneer zij persoonsgegevens verwerken. Gegevensuitwisseling en Privacy IJVI werkt met autorisaties om de toegang tot gegevens te regelen. Er zijn verschillende groepen gebruikers met eigen autorisatieniveaus, zoals:

Autorisaties en toegang

• • • •

Medewerkers die zaakregistraties mogen doen; Medewerkers die zaken kunnen afhandelen; Medewerkers met alleen leesrechten; Medewerkers die zaken mogen verwijderen. Toegang tot IJVI is beperkt tot geautoriseerde medewerkers. De medewerkers loggen in via single sign-on, nadat ze eerst met twee-factorauthenticatie hebben ingelogd op hun laptop. Opvallend is dat binnen een data-eigenaar (zoals de gemeente Zwolle) alle geautoriseerde medewerkers toegang hebben tot alle zaken, ook als ze niet direct betrokken zijn bij een specifieke zaak. Dit geldt ook voor medewerkers van de Omgevingsdienst en de Veiligheidsregio die werken voor de gemeente Zwolle. Deze brede toegang is gekozen om samenwerking te bevorderen, maar alle handelingen worden wel gelogd in het systeem. De proceseigenaar (leidinggevende) is verantwoordelijk voor het toewijzen van autorisaties aan medewerkers. Vier keer per jaar worden de autorisaties gecontroleerd om te zien of deze nog actueel zijn.

Gegevensuitwisseling met Externe Partijen

De gemeente Zwolle deelt gegevens uit IJVI met verschillende externe partijen: 1. Omgevingsdienst IJsselland: Voor milieu-gerelateerde aspecten van vergunningen 2. Veiligheidsregio: Voor brandveiligheid en externe veiligheid 3. Welstandscommissie: Voor esthetische beoordeling van bouwplannen 4. Andere overheden: Zoals provincie, waterschap en andere gemeenten 5. Semi-overheidsorganisaties: Zoals Vitens (waterbedrijf) De uitwisseling met andere overheden en semi-overheidsorganisaties verloopt via de Samenwerkingsfunctionaliteit (SWF) van het Omgevingsloket.

Externe Inhuur en flexibele Schil

Naast vaste medewerkers werkt de gemeente ook met ingehuurd personeel en een "flexibele schil" via raamcontracten met externe bureaus. Deze externen krijgen ook toegang tot IJVI, maar hebben allemaal een eigen account. Er wordt niet gewerkt met algemene accounts die door meerdere personen worden gebruikt. Privacymaatregelen en -vraagstukken

Dataminimalisatie en privacybescherming

De gemeente Zwolle en de Omgevingsdienst IJsselland nemen verschillende maatregelen om privacy te waarborgen: 1. Koppeling met BRP: Er is een directe koppeling met de Basisregistratie Personen om gegevens te verifiëren en actueel te houden 2. Dataminimalisatie: Recent is een nieuwe functionaliteit geïmplementeerd om alleen de persoonsgegevens beschikbaar te stellen die noodzakelijk zijn voor het proces

42

3. Beveiligde communicatie: Bij het delen van vertrouwelijke informatie wordt gebruik gemaakt van Zivver 4. Anonimisering: Bij het delen van stukken met belanghebbenden en derden worden persoonsgegevens geanonimiseerd 5. Beperkte toegang: Alleen geautoriseerde medewerkers hebben toegang tot IJVI 6. Loggen van handelingen: Alle handelingen in IJVI worden gelogd Omgang met Bijzondere persoonsgegevens

Soms komen ongevraagd bijzondere persoonsgegevens binnen bij aanvragen, bijvoorbeeld medische gegevens bij aanpassingen aan woningen voor mensen met een beperking. Het beleid is om deze gegevens niet op te nemen in het dossier. In plaats daarvan wordt alleen opgenomen dat er contact is geweest met bijvoorbeeld het WMO-team, zonder inhoudelijke medische details vast te leggen.

Data Protection Impact Assessment (DPIA)

Opvallend is dat er noch bij de gemeente Zwolle, noch bij de Omgevingsdienst IJsselland een Data Protection Impact Assessment (DPIA) is uitgevoerd voor het IJVI-systeem en het omgevingsvergunningsproces. Bij sommige andere gemeenten is dit wel gebeurd. De CISO (Chief Information Security Officer) en FG (Functionaris Gegevensbescherming) lijken geen regelmatige aanwezigheid te hebben bij afdelingsoverleggen om privacyaspecten te bespreken. Wel worden er trainingen gegeven over informatieveiligheid en de AVG, en is er een protocol voor het melden van datalekken.

Risico's en Aandachtspunten

Enkele risico's en aandachtspunten die naar voren komen uit deze casebeschrijving: 1. Brede toegang tot persoonsgegevens: Alle geautoriseerde medewerkers hebben toegang tot alle zaken, ook als ze niet direct betrokken zijn 2. Ontbreken van DPIA: Er is geen systematische analyse uitgevoerd van privacyrisico's 3. Informatiebeveiliging: De balans tussen gebruiksgemak en beveiliging vraagt continue aandacht 4. Externe partijen: Veel verschillende externe partijen hebben toegang tot (delen van) de persoonsgegevens Tegelijkertijd zijn er positieve punten, zoals de aandacht voor dataminimalisatie, de koppeling met de BRP voor accurate gegevens, de periodieke controle van autorisaties en het bewustzijn rondom bijzondere persoonsgegevens.

43

Bijlage 3. Gebruikte termen en afkortingen 2FA Applicatie AVG (GDPR) BIG

BIO BIV Blackbox pentest CERT CIO CISO Cloud

CyberSecurity-wet Dark web

Dataclassificatie

DigiD DPIA

'Endpoint protection'

ENSIA

FG GAP GAP-analyse GDPR GR GRC Greybox pentest

Zie MFA Softwareprogramma, zoals SUWInet, DigiD Algemene Verordening Gegevensbescherming, Europese regelgeving die de privacyregels in de Europese lidstaten harmoniseert Baseline Informatiebeveiliging Gemeenten, maatregelen voor de informatiebeveiliging bij gemeenten, in 2013 als standaard afgesproken in VNG-verband. Deze is in 2019 vervangen door de Baseline Informatiebeveiliging Overheid (BIO) Baseline Informatiebeveiliging Overheid Beschikbaarheid – Integriteit – Vertrouwelijkheid. Termen waarop de beveiligingsrisico's van de informatie/applicaties zijn geënt Zie Pentest Computer Emergency Response Team, multidisciplinair samengesteld team dat kan acteren op incidenten en crises Chief Information Officer Chief Information Security Officer De cloud staat voor een netwerk van computers die een soort 'wolk van computers' vormt, waarbij de eindgebruiker niet weet op hoeveel of welke computer(s) de software draait of waar die computers precies staan Ook bekend als Wet Bescherming Netwerken & Informatiesystemen (Wbni) Het dark web is de diepste en verborgen laag van het internet. Het is onderdeel van het ‘deep web’, omdat het niet toegankelijk is via reguliere zoekmachines. Het staat bekend als een plek waar illegale activiteiten plaatsvinden. Hoewel dit inderdaad gebeurt, bestaat het uit meer dan alleen illegale sites.

Betekent inzicht krijgen in de beschikbaarheid, de integriteit en de vertrouwelijkheid van de door of namens de organisatie beheerde en verwerkte informatie (BIV) Digitale Identiteit Data protection impact assessment, analyse op risico's in verband met privacy en gegevensbescherming bij verwerkingsprocessen. Onder de AVG verplicht bij gegevensverwerking met waarschijnlijk een hoog privacy risico. Of ‘eindpunt-beveiliging’ is het proces van het beschermen van apparaten zoals werkstations, servers en andere apparaten tegen kwaadaardige bedreigingen en cyberaanvallen Eenduidige Normatiek Single Information Audit, eenmalige informatieverstrekking en eenmalige IT-audit voor de horizontale (richting gemeenteraad als toezichthouder) en verticale verantwoording (richting landelijke toezichthouders) Functionaris gegevensbescherming, verplicht voor overheden. Is de Engelse term voor ‘kloof’. Dat betekent hier het verschil tussen de bestaande situatie en de gewenste situatie Controle of en in welke mate de maatregelen uit de BIO geïmplementeerd zijn General Data Protection Regulation (zie ook AVG) Gemeenschappelijke regeling Tool om de Governance, Risk and Compliance (GRC) op informatiebeveiliging en privacy te monitoren Zie Pentest

44

IAM Zie Identity and Access management IBD Informatiebeveiligingsdienst voor gemeenten ICT Informatie- en communicatietechnologie Identity and Access management (IAM) regelt dat de juiste medewerkers het juiste toegangsniveau hebben tot de netwerken en de daarin opgeslagen of verwerkte gegevens. Gebruikersrollen en toegangsrechten worden via een IAM-systeem gedefinieerd en beheerd ISMS Information Security Management System, een managementsysteem voor informatiebeveiliging dat gericht is op een continu verbeterproces op basis van de PDCA-cyclus Logging In bestanden vastleggen welk dataverkeer over een netwerk gaat. Zo wordt onder andere vastgelegd wie toegang had tot welke persoonsgegevens. MFA Multi factor authenticatie is een authenticatie of verificatie methode waarbij twee of meer stappen succesvol doorlopen moeten zijn om ergens toegang tot te krijgen, zoals naast het gebruik van een wachtwoord het gebruik van een token of biometrisch gegeven NBA De koninklijke Nederlandse Beroepsorganisatie van Accountants NIS2 Europese richtlijn Network & Information Systems Versie 2 NOREA De Nederlandse Organisatie van Register EDP-Auditors Open source intelligence onderzoek (Osint) Osint is een techniek om online sporen die op het eerste gezicht verborgen lijken naar de oppervlakte te halen.

De techniek maakt gebruik van openbare bronnen P&C-cyclus Planning & Control cyclus PDCA-cyclus de PDCA-cyclus is een methode voor continue verbetering met vier stappen: Plan, Do, Check, Act. Het wordt gebruikt om processen te verbeteren en problemen systematisch op te lossen Pentest Een pentest of penetratietest is een toets van een of meer computersystemen op kwetsbaarheden, waarbij deze kwetsbaarheden gebruikt kunnen worden om in deze systemen in te breken. Een whitebox test is een teststrategie waarbij de ethische hackers kennis hebben van de technische infrastructuur en systemen en met behulp van die kennis technische zwakheden trachten op te sporen. Dit in tegenstelling tot blackof greybox testen, waarbij de hackers vooraf respectievelijk geen of beperkte kennis hebben van de systemen Phishing mail Vorm van internet oplichting en fraude, door middel van een vals e-mail bericht 'hengelen' naar inlog- of andere persoonsgegevens PISO Privacy and information security officer, komt ook voor indien alleen gericht op privacy als privacy officer (PO) of meer technisch of operationeel als TISO (Technical and information security officer) Role based access control (Rbac) Concept waarmee toegang tot gegevens en systemen geschiedt op basis van rollen en functies van de medewerkers. Dat is het concept waarmee Identity Access Management (IAM) wordt uitgevoerd.

SAAS Software-as-a-Service, is een model waarbij softwaretoepassingen via internet worden aangeleverd SIEM/SOC Security Information & Event Management (SIEM) en Security Operations Center (SOC) is software die computerdreigingen en verdacht verkeer op systemen detecteert en monitort Suwinet Gemeenschappelijke elektronische Voorziening Suwi (Wet structuur uitvoering werk en inkomen), of GeVS, ook wel Suwinet genoemd. Is een digitale infrastructuur die is ontwikkeld om ervoor te zorgen dat de Suwipartijen (UWV, SVB en gemeenten) gegevens met elkaar kunnen uitwisselen 45

TPM

Verwerkingsregister VNG Realisatie VNG Wbni

Whitebox pentest

Third Party Memorandum. Verklaring dat een derde partij, die de gegevens voor de gemeente verwerkt, voldoet aan de geldende richtlijnen over informatieveiligheid Register waarin de gemeente bijhoudt welke persoonsgegevens de gemeente en de verwerkers die deze inschakelt verwerkt Kwaliteitsinstituut van de VNG Vereniging Nederlandse Gemeenten Wet Bescherming Netwerken & Informatiesystemen (Wbni). De Wbni, beter bekend als de CyberSecurity-wet, wordt aangescherpt met maatregelen voortkomende uit de Europese richtlijn Network & Information Systems V2 (NIS2). Vanaf 2025 Q3 van kracht Zie pentest

46

Bijlage 4. Documenten en respondenten Geraadpleegde documenten -

20211206 – datastatement gemeente Zwolle Aan de slag met Datateams in de organisatie. Implementatieleidraad voor het ontwikkelen van datagedreven oplossingen door Datateams in de organisatie Aan de slag met Datateams_Bijlagen_v1.0 Beleid toegangsbeveiliging/Beheer toegangsrechten, v0.9, 20221011 Bestuurlijke presentatie digitale veiligheid IJsselland 20240122 Bijlage 1 - DGW-strategie 2023 - v1.0 Bijlage 1a - Inrichting Datateams Bijlage I Eigenaarschap gemeente Zwolle Bijlage II Classificatie gegevenssets Brief Auditcommissie over accountantsverslag 2023 Brief Auditcommissie over accountantsverslag 2024 BVB - BIO-NIS2 Foto, 20240530 Checklist Gegevensmanagement 2023 Clear Screen Clean Desk beleid, Zwolle, 20220222 Contact met overheidsinstanties en speciale belangengroepen, 20223008 Continuïteitsplan ICT, gemeente Zwolle, 20220808 Coordinated vulnerability disclosure, 20220705 Digitaal Veiligheidsbeeld VCIB-mailinglijst Fysiek toegangsbeleid, 20220218 Gemeente Zwolle - Statement of Work Handreiking geheimhoudingsverklaring v0.4, 20220807 Hoofdlijnen bewustwordingsplan informatieveiligheid 1.0 - Kopie Info Blue Fingerprint Detailscenario 20240321, Infographic informatieveiligheidsbeleid Informatienota prioriteiten FG en CISO voor 2024 Informatieveiligheidsbeleid 2022-2026, 20220912 Jaarkalender PO Security 2024-2025 Jaarverslag FG 2023, 20240531 Kritische processen

(Kroonjuwelen) Mailwisseling wereldwijde storing met computers door Crowdstrike, 20240719 Managementletter 2023 Managementletter 2024 Nulmeting BIO, 2021 Samenvatting DPIA’s, FG Statement of Work, Zwolle en Awareways, 2024 Strategisch crisisplan ICT, voor ONS en partners Telewerkbeleid, 20220208 Uitnodiging cyber event Better Safe Than Sorry Zwolle 2 april 2024 Uitnodiging informatieavond Raads- en statenleden 1-2-2024 Uitvoeringsplan Cyberbeveiligingswet, gemeente Zwolle,20240923 Urgent call CISO - aanvulling Directieoverleg 20240612 VCIB melding vanuit MIVD en AIVD, 20240206 Verklaring ENSIA 2023 inzake informatieveiligheid DigiD en Suwinet, 20240306 Wachtwoordbeleid gemeente Zwolle, 20230414

47

Geïnterviewde respondenten -

CISO, gemeente Zwolle FG, gemeente Zwolle CISO, SSC ONS Portefeuillehouder, gemeente Zwolle Directeur, gemeente Zwolle Afdelingshoofd IV, gemeente Zwolle Sectiehoofd I&K, gemeente Zwolle Privacyofficer, gemeente Zwolle Medewerkers front- en backoffice Sociaal Wijkteam Casemanager Vergunningen, gemeente Zwolle Coördinator IJVI-beheerteam, Omgevingsdienst IJsselland Concerncontroller Coördinator afdeling IA

48

Bijlage 5. Volwassenheidsniveau NOREA Bron:

Handreiking bij Volwassenheidsmodel Informatiebeveiliging, januari 2019, Nederlandse Nederlandse Beroepsorganisatie van Accountants.

49