/1/png-2/roermond.png)
Gemeenteblad van Roermond
| Datum publicatie | Organisatie | Jaargang en nummer | Rubriek |
|---|---|---|---|
| Roermond | Gemeenteblad 2024, 25227 | beleidsregel |
Authentieke versie (PDF)
Informatie
Gerelateerd
Printen
Delen
Informatiebeveiligingsbeleid Roermond
Het college van burgemeester en wethouders van de gemeente Roermond heeft besloten het Informatiebeveiligingsbeleid Roermond vast te stellen.
Dit document geeft algemene beleidsuitgangspunten over informatiebeveiliging voor de gemeente Roermond. Deze uitgangspunten hebben een sterk normerend karakter en geven keuzes weer. Dit beleid is gebaseerd op de norm ‘Baseline Informatiebeveiliging Overheid (BIO)’.
De BIO is van toepassing op de overheid en hiermee op de volgende bestuursorganen:
- •
- •
- •
- •
In dit document is een aanzienlijk aantal beleidsuitgangspunten nader uitgewerkt en zijn beveiligingseisen en -maatregelen opgenomen, die organisatie breed voor alle processen en systemen gelden. Onderdeel van dit document is een beheerstructuur voor informatiebeveiliging, waarmee verantwoordelijkheden voor informatiebeveiliging worden belegd en informatiebeveiliging wordt ingebed in de reguliere planning- en control cyclus binnen de (kwaliteitshandhaving van de) bedrijfsvoering.
Informatiebeveiliging is de verzamelnaam voor de processen, die ingericht worden om de betrouwbaarheid van processen, de gebruikte informatiesystemen en de daarin opgeslagen gegevens te beschermen tegen al dan niet opzettelijk verrassingen met negatieve gevolgen voor de bedrijfsvoering, waarbij het bereiken van de gestelde doelen in gevaar wordt gebracht. Het begrip ‘informatiebeveiliging’ heeft betrekking op:
- •
- •
- •
Informatie is één van de belangrijkste bedrijfsmiddelen van de gemeente. Toegankelijke en betrouwbare overheidsinformatie is essentieel voor de gemeente, die zich verantwoordelijk gedraagt, aanspreekbaar en servicegericht is, die transparant en proactief verantwoording aflegt aan inwoners en raadsleden en die met minimale middelen maximale resultaten behaalt. De bescherming van waardevolle informatie is datgene waar het uiteindelijk om gaat. Hoe waardevoller de informatie is, hoe meer maatregelen er getroffen moeten worden.
Reikwijdte en afbakening informatiebeveiliging
Informatiebeveiliging is meer dan ICT, computers en automatisering. Het gaat om alle uitingsvormen van informatie (analoog, digitaal, tekst, video, geluid, geheugen, kennis), alle mogelijke informatiedragers (papier, elektronisch, foto, film, CD, DVD, USB, SD kaart, beeldscherm, smartphone, tablets, et cetera) en alle informatie verwerkende systemen (applicaties, systeemprogrammatuur, databases, hardware, bijbehorende bedrijfsmiddelen), maar vooral ook mensen en processen. Studies laten zien dat de meeste incidenten niet voortkomen uit gebrekkige techniek, maar vooral door menselijk handelen en een tekortschietende organisatie. Voorbeelden van informatiebeveiligingsmaatregelen zijn: clean desk en clear screen policy implementeren of hoe om te gaan met mobiele apparatuur en aanwijzingen voor telewerken.
Informatiebeveiliging vormt een onderdeel van de kwaliteitszorg voor bedrijfsprocessen en ondersteunende informatiesystemen en richt zich op de beschikbaarheid, vertrouwelijkheid en integriteit van de geautomatiseerde informatievoorziening. Informatiebeveiliging is een lijnverantwoordelijkheid en onderdeel van de kwaliteitszorg voor organisatie- en bestuursprocessen en de ondersteunende informatiesystemen.
Informatiebeveiligingsbeleid van de gemeente Roermond
Het bestuur en centraal management team spelen een cruciale rol bij het uitvoeren van dit informatiebeveiligingsbeleid. Zo maakt het centraal management team een inschatting van het belang dat de verschillende delen van de informatievoorziening voor de gemeente hebben, de risico’s die de gemeente hiermee loopt en welke van deze risico’s onacceptabel hoog zijn. Op basis hiervan zet het centraal management team dit beleid voor informatiebeveiliging op, draagt dit uit naar de organisatie en ondersteunt en bewaakt de uitvoering ervan.
Dit Informatiebeveiligingsbeleid treedt in werking na vaststelling door college van burgemeester en wethouders. Hiermee komt het oude Informatiebeveiligingsbeleid van de gemeente Roermond te vervallen.
1. Uitgangspunten informatiebeveiliging
De belangrijkste uitgangspunten voor dit beleid zijn:
- •
- •
De uitvoering van de informatiebeveiliging is een verantwoordelijkheid van het clustermanagement. Alle informatiebronnen en -systemen die gebruikt worden door de gemeente Roermond hebben een interne eigenaar die de vertrouwelijkheid en/of waarde bepaalt van de informatie die ze bevatten. De primaire verantwoordelijkheid voor de bescherming van informatie ligt dan ook bij de eigenaar van de informatie.
- •
Door periodieke controle, organisatie brede planning én coördinatie wordt de kwaliteit van de informatievoorziening verankerd binnen de organisatie. Het informatiebeveiligingsbeleid vormt samen met het informatiebeveiligingsplan het fundament onder een betrouwbare informatievoorziening. In het informatiebeveiligingsplan wordt de betrouwbaarheid van de informatievoorziening organisatie breed benaderd. Het plan wordt periodiek bijgesteld op basis van nieuwe ontwikkelingen, registraties in het incidentenregister en bestaande risicoanalyses.
- •
- •
- •
- •
Iedere medewerker, zowel vast als tijdelijk, intern of extern is verplicht waar nodig gegevens en informatiesystemen te beschermen tegen ongeautoriseerde verwerking (zoals toegang, gebruik, verandering, openbaring, vernietiging, verlies, overdracht enzovoort) en bij vermeende inbreuken hiervan melding te maken bij servicedesk van ICT-NML.
Praktisch wordt als volgt invulling gegeven aan de uitgangspunten:
- •
- •
- •
- •
- •
- •
- •
- •
- •
Hoewel de basiskernregistraties (zoals BRP, BAG, BGT en BRO) en toekomstige basisregistraties, het proces rond de aanvraag en uitgifte van paspoorten en Nederlandse identiteitskaarten (PNIK), het informatiesysteem rondom Suwinet allemaal belangrijk zijn in kader van informatiebeveiliging, krijgen zij niet meer of minder voorrang dan andere (primaire) processen binnen de gemeente. Het samenspel van alle processen binnen de bedrijfsvoering is belangrijk voor de missie en de visie van de gemeente en het behalen van de doelen die we gesteld hebben.
- •
- •
- •
- •
1.2 Het belang van informatie(veiligheid)
Informatie is één van de voornaamste bedrijfsmiddelen van Roermond. Het verlies van gegevens, uitval van ICT, of het door onbevoegden kennisnemen of manipuleren van bepaalde informatie kan ernstige gevolgen hebben voor de bedrijfsvoering maar ook leiden tot imagoschade. Ernstige incidenten hebben mogelijk negatieve gevolgen voor inwoners, bedrijven, partners en de eigen organisatie met waarschijnlijk ook politieke consequenties. Informatieveiligheid is daarom van groot belang. Informatiebeveiliging is het proces dat dit belang dient.
Het proces van informatiebeveiliging is primair gericht op bescherming van informatie, maar is tegelijkertijd een ‘enabler’; het maakt bijvoorbeeld elektronische dienstverlening op verantwoorde wijze mogelijk, evenals nieuwe, innovatieve manieren van werken. De focus is informatie uitwisselen in alle verschijningsvormen, zoals elektronisch, op papier en mondeling. Het gaat niet alleen over bescherming van privacy, maar ook over bescherming van vitale maatschappelijke functies die worden ondersteund met informatie (verkeer, vervoer, openbare orde en veiligheid, etc.). Het gaat ook niet alleen over ICT: verantwoord en bewust gedrag van medewerkers is essentieel voor informatieveiligheid. 1
De aanpak van informatiebeveiliging (Informatiebeveiligingsbeleid) in Roermond is risico gebaseerd. Dat wil zeggen: beveiligingsmaatregelen worden getroffen op basis van een toets tegen de baseline. Indien een systeem meer maatregelen nodig heeft, wordt een risicoanalyse uitgevoerd. Daartoe inventariseert de proceseigenaar de kwetsbaarheid van zijn werkproces en de dreigingen die kunnen leiden tot een beveiligingsincident, rekening houdend met de beveiligingseisen van de informatie. Het risico is de kans op beveiligingsincidenten en de impact daarvan op het werkproces en wordt bepaald door de proceseigenaar: risico = kans x impact.
Dit informatiebeveiligingsbeleid geldt voor de gemeente met de daaronder vallende diensten en kan ook (deels) worden opgelegd aan externe leveranciers of instanties waar mee samengewerkt wordt. De gemeente als opdrachtgever / systeemeigenaar is altijd verantwoordelijk voor de kwaliteit en veiligheid van de uitbestede diensten. De gemeente eist van de externe leveranciers dat zij voldoen aan alle aspecten van het Informatiebeveiligingsbeleid die voor de dienst of het betreffende systeem van belang zijn en betrekking hebben op de geleverde dienst. Indien externe partijen systemen beheren waarin persoonsgegevens verwerkt worden, wordt een verwerkersovereenkomst (zie artikel 28, lid 3 van de AVG2) afgesloten.
- •
De scope van dit beleid omvat alle gemeentelijke processen, onderliggende informatiesystemen, informatie en gegevens van de gemeente en externe partijen (bijv. politie), het gebruik daarvan door medewerkers en (keten)partners in de meest brede zin van het woord, ongeacht locatie, tijdstip en gebruikte apparatuur.
- •
Dit informatiebeveiligingsbeleid is een algemene basis. Voor bepaalde kerntaken gelden op grond van wet- en regelgeving specifieke (aanvullende) beveiligingseisen.3
- •
Gemeenten zijn de afgelopen jaren voornamelijk aan de slag gegaan met het beschermen van informatie door middel van de implementatie van de Baseline Informatiebeveiliging voor de Overheid (BIO). De BIO implementatie is gericht op bescherming van informatie in de ICT van de gemeente, waar de nadruk ligt op bescherming van vertrouwelijkheid. Gemeenten gebruiken ook automatisering voor besturing van industriële toepassingen, hierbij kun je denken aan besturing van bruggen en sluizen, verkeerslichten, maar ook gebouwbeheerssystemen. Deze industriële automatisering wordt ook wel OT (operationele technologie) of PA (procesautomatisering) genoemd.
Traditioneel communiceerden PA-systemen rechtstreeks met elkaar in een gesloten netwerk, ze waren niet gekoppeld aan het internet of andere netwerken. Tegenwoordig wordt steeds vaker een netwerkcomponent ingebouwd zodat beheer op afstand mogelijk wordt. Daarnaast is er ook een beweging gaande om sensor- en besturingstechniek in te zetten voor het meten, regelen en besturen van dingen in de publieke ruimte, dit wordt ook wel aangeduid met de term IoT (Internet of Things) en smart city concepten. Daarvoor worden ook steeds vaker koppelingen tot stand gebracht met de ICT-omgeving van de gemeente. De nadruk op de bescherming van PA en IoT ligt op veiligheid (safety), integriteit en beschikbaarheid, de beveiligingsfocus is dus anders dan bij ICT-systemen.
Hiervoor dient een apart PA-beleid opgesteld te worden. De VNG biedt hiervoor een handreiking aan.
1.7 Informatiebeveiligingsbeleid en architectuur
- •
Informatiebeveiliging is onderdeel van de informatiearchitectuur en zal worden uitgewerkt als onderdeel van die architectuur. Deze architectuur beschrijft onder meer principes, richtlijnen en maatregelen o.b.v. verschillende beschermingsniveaus (classificatie).4
1.8 Relevante wet- en regelgeving
De gemeente Roermond hanteert de volgende doelstellingen:
- •
Er is in dit document vastgesteld welke wetten en wettelijke maatregelen van toepassing zijn op de informatiebeveiliging van de gemeente Roermond.
De juridische grondslag voor informatiebeveiliging is terug te vinden in wet- en regelgeving, zoals onder meer de Algemene verordening gegevensbescherming (AVG).
Informatiebeveiliging en bescherming van persoonsgegevens zijn onlosmakelijk met elkaar verbonden. De AVG regelt in artikel 5 en 32 welke maatregelen organisaties moeten treffen, in het kader van informatiebeveiliging om op een adequate manier persoonsgegevens te beschermen. Voor wat betreft de gemeente is daarnaast uitgegaan van de verwerking van persoonsgegevens, zoals bedoeld in artikel 9 en 10 AVG en artikel 22 t/m 31 van de Uitvoeringswet AVG. Deze maatregelen maken deel uit van het ISMS van de gemeente Roermond.
Bepaalde wetten nader toegelicht
- •
De Wet BRP is met ingang van 6-1-2014 het wettelijke kader waaraan alle betrokkenen bij de basisregistratie van persoonsgegevens zich moeten houden. Om de kwaliteit van de Basisregistratie personen te waarborgen heeft het Ministerie van Binnenlandse Zaken en Koninkrijksrelaties (BZK) in Artikel 4.3 van de Wet BRP vastgelegd op welke manier periodiek onderzoek verricht moet worden naar de inrichting, de werking en de beveiliging van de basisregistratie, alsmede naar de verwerking van gegevens in de basisregistratie, voor zover het de gemeentelijke voorziening betreft of het college van burgemeester en wethouders verantwoordelijk is voor de bijhouding. Op basis van dit artikel dient er ook periodiek gerapporteerd te worden aan het Autoriteit Persoonsgegevens (AP) en aan De Minister van het ministerie van BZK.
- •
- •
- •
Daarnaast dient iedere gemeente vanaf 2004, overeenkomstig artikel 6.4, Regeling SUWI, in een beveiligingsplan aan te geven op welke wijze zij invulling geeft aan de beveiliging van de gegevensuitwisseling in het kader van SUWI. Ook moet de gemeente voldoen aan de beveiligingseisen, die als Suwinet partij aan de gemeente worden gesteld.
- •
In 2012 zijn de ICT-Beveiligingsrichtlijnen voor webapplicaties van kracht geworden. Deze richtlijnen zijn in 2015 herzien. De ICT-Beveiligingsrichtlijnen voor Webapplicaties van het Nationaal Cyber Security Centrum (NCSC) vormen een leidraad voor het veiliger ontwikkelen, beheren en aanbieden van webapplicaties en bijbehorende infrastructuur. De Beveiligingsrichtlijnen zijn breed toepasbaar voor ICT- oplossingen die gebruikmaken van webapplicaties. Hierdoor zijn ze zowel door afnemers, als door dienstaanbieders te gebruiken voor aan- en uitbestedingen, toezicht en onderlinge afspraken.
- •
Wetten en regelingen die van toepassing zijn (niet limitatief):
- •
- •
- •
- •
- •
- •
- •
- •
- •
- •
- •
- •
- •
- •
- •
- •
- •
- •
- •
- •
- •
- •
- •
- •
- •
- •
- •
- •
- •
- •
- •
- •
- •
- •
- •
- •
- •
- •
- •
2. Organisatie van de informatiebeveiliging
In dit hoofdstuk wordt uiteengezet welke taken en verantwoordelijkheden met betrekking tot informatiebeveiliging op welke plaats belegd zijn binnen de organisatie. De methodiek sluit aan bij de in de bedrijfsvoering bekende ‘Three Lines of Defence’ (3LoD), beschreven in de ‘Strategie Interne Beheersing’ die op 18 april 2023 door het college is vastgesteld. In dit model is het lijnmanagement (clusters-, opgave- en/of concernmanagers) verantwoordelijk voor de eigen processen.
De tweede lijn ondersteunt, adviseert, coördineert en bewaakt of het management zijn verantwoordelijkheden ook daadwerkelijk neemt. In de derde lijn wordt het geheel door een (interne) auditor van een objectief oordeel voorzien met mogelijkheden tot verbetering.
2.2 Aansturing: Concern Management Team (CMT)
Het Concern Management Team (CMT) zorgt dat alle processen en systemen en de daarbij behorende middelen altijd onder de verantwoordelijkheid vallen van een proceseigenaar. Het CMT zorgt dat de proceseigenaren zich verantwoorden over de beveiliging van de informatie die onder hen berust. Het CMT zorgt dat de eindverantwoordelijke portefeuillehouders binnen het college van burgemeester en wethouders gevraagd en ongevraagd geïnformeerd worden over de mate waarin informatiebeveiliging een onderdeel is van het handelen van de bedrijfsvoering.
Het CMT stelt het gewenste niveau van continuïteit en vertrouwelijkheid vast. Het CMT draagt zorg voor het uitwerken van tactische informatiebeveiliging beleidsonderwerpen en laat zich hierin bijstaan door de CISO van de gemeente. Het CMT autoriseert de benodigde procedures en uitvoeringsmaatregelen. Het onderwerp informatiebeveiliging wordt in de gemeente Roermond gezien als een integraal onderdeel van Risicomanagement.
2.3 Uitvoering: Proceseigenaren
Informatiebeveiliging valt onder de verantwoordelijkheden van alle proceseigenaren en om deze verantwoordelijkheid waar te maken dienen zij goed ondersteund te worden vanuit de tweede lijn. Deze verantwoordelijkheid kunnen zij niet delegeren, uitvoerende werkzaamheden wel. De bedoeling is dat alle processen, systemen, data, applicaties altijd minimaal één eigenaar hebben, er moet dus altijd iemand verantwoordelijk zijn. Proceseigenaren rapporteren over de door hun tactisch- en operationeel uitgevoerde informatiebeveiliging activiteiten aan het Concern Management Team. Afstemming met de afdelingen over de inhoudelijke aanpak vindt plaats door minimaal 2 keer per jaar het onderwerp Informatiebeveiliging te bespreken in het bedrijfsvoeringsoverleg.
Taken van de proceseigenaren in het kader van informatiebeveiliging zijn het:
- 1.
- 2.
- 3.
- 4.
2.4 Controle en verantwoording
Dit beleid is een verantwoordelijkheid van het bestuur van de gemeente. De bestuurders en het Concern Management Team van de gemeente Roermond zullen richting en sturing geven aan het onderwerp informatiebeveiliging door het geven van voorbeeldgedrag en het vragen om informatie.
Het Concern Management Team is verantwoordelijk voor het gevraagd en ongevraagd rapporteren over informatiebeveiliging aan respectievelijke portefeuillehouders. Het Concern Management Team rapporteert daarnaast over de mate waarin zij invulling hebben gegeven aan het uitwerken van tactische (deel) beleidsonderwerpen die aanvullend zijn op dit beleid.
De gemeente verantwoordt zich jaarlijks over informatiebeveiliging middels de ENSIA-systematiek.
Dat betekent dat jaarlijks de interne ENSIA-coördinator ervoor zorgt dat de informatie die nodig is voor het beantwoorden van vragen binnen ENSIA wordt opgehaald bij de verantwoordelijke proceseigenaren. De proceseigenaren leveren alle informatie die nodig is voor het invullen van de jaarlijkse ENSIA-vragenlijsten.
ENSIA staat voor Eenduidige Normatiek Single Information Audit en met ENSIA verantwoordt de gemeente zich jaarlijks ook horizontaal aan de gemeenteraad. Het verantwoordingsproces over informatieveiligheid bij gemeenten wordt hiermee verder geprofessionaliseerd door het toezicht te bundelen en aan te sluiten op de gemeentelijke Planning & Control-cyclus. Hierdoor heeft het gemeentebestuur meer overzicht over de stand van zaken van de informatieveiligheid en kan hier ook beter op sturen.
De verantwoording over de informatiebeveiliging komt in het jaarverslag tot uitdrukking in de Collegeverklaring Informatiebeveiliging. Met deze verklaring geeft het college van burgemeester en wethouders aan in hoeverre de gemeente voldoet aan de afspraken die gemaakt zijn voor de ENSIA-verantwoording Informatiebeveiliging. Ook worden de eventuele verbetermaatregelen vermeld die de gemeente gaat treffen. De ingevulde zelfevaluatievragenlijst vormt de basis voor het opstellen van de Collegeverklaring aan de Raad.
Middels deze verantwoording wordt het bestuur van de gemeente Roermond en de gemeenteraad geïnformeerd. De betrokkenheid van het bestuur is essentieel en laat zien dat de gemeente Roermond informatiebeveiliging serieus neemt en het een onderdeel laat zijn van de ambities om informatie van haar inwoners adequaat te beschermen.
- •
Het college van burgemeester en wethouders stelt formeel het Informatiebeveiligingsbeleid vast. De uitvoering van het beleid moet gecontroleerd worden, zowel het college van burgemeester en wethouders als de gemeenteraad (control functie) kunnen hiervoor opdracht geven om dit te (laten) controleren. Het Concern Management Team adviseert het college van burgemeester en wethouders formeel over vast te stellen beleid.
- •
De gemeentesecretaris / Algemeen directeur geeft namens het Concern Management Team op dagelijkse basis invulling aan de sturende rol door besluitvorming in het Concern Management Team voor te bereiden en toe te zien op de uitvoering ervan. De taken m.b.t. informatiebeveiliging die hieruit voortvloeien zijn belegd bij de ‘Chief Information Security Officer’. De CISO bevordert en adviseert gevraagd en ongevraagd over informatiebeveiliging en rapporteert eens per jaar organisatie breed aan het Concern Management Team over de stand van zaken. De gemeentesecretaris / Algemeen directeur draagt zorg voor onderstaande punten en wordt hierbij ondersteund door de CISO:
- o
- o
- o
- o
- o
- o
- o
- o
- •
- o
- o
- o
- •
- o
- o
- •
Chief Information Security Officer (CISO)
- o
- o
- o
Bevordert en adviseert gevraagd en ongevraagd over de beveiliging van de gemeente, verzorgt rapportages over de status, controleert of m.b.t. de beveiliging van de gemeente de maatregelen worden nageleefd, evalueert de uitkomsten en doet voorstellen tot implementatie c.q. aanpassing van plannen op het gebied van de informatiebeveiliging van de gemeente en op het gebied van wet- en regelgeving:
- ■
- ■
- ■
- ■
- o
- •
- •
- •
- •
- •
- •
- •
Deze rol geldt ten aanzien van de specifieke gegevensverzamelingen. In wetgeving worden verschillende benamingen aan rollen gegeven voor veelal dezelfde taken en verantwoordelijkheden ten aanzien van gegevensverzamelingen. Om eenduidigheid in naamgeving te verkrijgen wordt in dit beleidsdocument de veiligheidsverantwoordelijkheid ten aanzien van een specifieke gegevensverzameling toegewezen aan en gedefinieerd als beveiligingsbeheerder. Hierbij volgen de deelgebieden waarbij een beveiligingsbeheerder is aangewezen met vermelding van eventuele officiële rolbenaming: BRP, Reisdocumenten (officieel beveiligingsfunctionaris reisdocumenten), Rijbewijzen (officieel beveiligingsfunctionaris Rijbewijzen), BAG, SUWI (officieel Security officer SUWI) en DigiD.
Gelet op artikel 2 van de Verordening gegevensverstrekking basisregistratie personen Roermond, de artikelen 1.10 en 1.11 van de Wet basisregistratie personen en artikel 6 van het Besluit basisregistratie personen is het wenselijk de hoofdlijnen van het beheer van de gemeentelijke basisregistratie personen in een regeling vast te leggen en door het college van burgemeester en wethouders te laten vastleggen.
- •
- •
- o
- o
- o
- •
ICT-beheerorganisatie (ICT NML):
De ICT-beheerorganisatie heeft een security functionaris aangesteld voor dagelijks beheer van technische IB-aspecten. De security functionaris rapporteert aan de CISO van de gemeente Roermond. Informatiebeveiliging is onderdeel van de servicemanagement rapportage.
Er dient afstemmingsoverleg informatiebeveiliging en privacy te zijn, waarin de verantwoordelijken voor fysieke beveiliging, Informatiebeveiliging, privacy en persoonlijke integriteit participeren. Dit heeft als doel te komen tot een integraal informatiebeveiligingsbeleid en de uitvoering daarvan. Daartoe wordt onderling de werkwijze, de werkzaamheden, jaarrapportages en te treffen maatregelen op het gebied van beveiliging afgestemd.
Het onderwerp Informatiebeveiliging dient periodiek een onderdeel te zijn op de agenda van het Concern Management Team zodat er sturing kan plaatsvinden op de uitgevoerde activiteiten.
Maandelijks overleg met de gemeentesecretaris
- •
- •
- •
- •
- •
- •
Maandelijks overleg met de portefeuillehouder Informatie en communicatietechnologie
- •
- •
- •
- •
- •
Een 3-wekelijks overleg van het team Informatiebeveiliging en privacy met Concernmanager
- •
- •
- •
- •
- •
- •
- •
Wekelijks overleg Informatiebeveiliging en privacy
- •
- •
- •
- •
- •
- •
Informatiebeveiligingsbeleid, landelijke normen en wet- en regelgeving gelden ook voor externe partijen (leveranciers, ketenpartners) waarmee de gemeente samenwerkt (en informatie mee uitwisselt).5
Bij contractuele overeenkomsten gelden in beginsel altijd de Algemene Inkoop Voorwaarden (AIV), waarin onder meer geheimhouding en aansprakelijkheid is geregeld. Afwijkingen op de AIV dienen te worden getoetst aan Informatiebeveiligingsbeleid. Vereiste beveiligingsmaatregelen worden aanvullend vastgelegd in contracten en/of verwerkersovereenkomsten. Daarin is onder meer geborgd dat beveiligingsincidenten onmiddellijk worden gerapporteerd en dat de gemeente het recht heeft afspraken te (laten) controleren.6
Voor het tot stand brengen van datakoppelingen met externe partijen, gelden naast dit generiek informatiebeveiligingsbeleid specifieke procedures. Het doel van deze procedures is risicobeheersing. Voor externe hosting van data en/of services gelden naast dit generieke informatiebeveiligingsbeleid de richtlijnen voor cloud computing.7
- •
- o
- o
- o
hoogste beveiligingseisen voor bijzondere categorieën gegevens;8
- o
- •
Informatiebeveiliging is een continu verbeterproces. ‘Plan, do, check en act’ vormen samen het management systeem van informatiebeveiliging.9 Deze kwaliteitscyclus is in onderstaande figuur weergegeven.
- •
De gemeente maakt gebruik van een ISMS bestaande uit een plan-do-check-act cyclus (PDCA-cyclus) om aantoonbaar grip te blijven houden op de diverse voorbereidende, uitvoerende, beherende en controlerende activiteiten die periodiek nodig zijn om informatieveiligheid naar een hoger niveau te tillen. Het inrichten en beheer van een ISMS ligt bij de CISO. Het ISMS ondersteunt de governance van de informatiebeveiliging.
- •
Plan: De cyclus start met Informatiebeveiligingsbeleid, gebaseerd op wet- en regelgeving, landelijke normen zoals de BIO en ‘best practices’, uitgewerkt in regels voor onder meer informatiegebruik, bedrijfscontinuïteit en naleving. Planning geschiedt op jaarlijkse basis en wordt indien nodig tussentijds bijgesteld. De planning op hoofdlijnen is onderdeel van het jaarplan en uitgewerkt in het informatiebeveiligingsplan (Informatiebeveiligingsbeleid) van de gemeente. Afdelingsspecifieke activiteiten worden gepland in het afdelingsplan.
- •
- •
Check : Control is onderdeel van het werkproces met als doel: waarborgen van de kwaliteit van informatie en ICT, en compliance aan wet- en regelgeving.
Externe controle: betreft controle buiten het primaire proces door een auditor.10 Dit heeft het karakter van een steekproef. Jaarlijks worden diverse onderzoeken uitgevoerd, waarbij het Concern Management Team in principe opdrachtgever is. Bevindingen worden gerapporteerd aan het Concern Management Team.
- •
Act: De cyclus is rond met de uitvoering van verbeteracties o.b.v. check en externe controle. De cyclus is een continu proces; de bevindingen van controles zijn weer input voor de jaarplanning en beveiligingsplannen. De bevindingen worden in beginsel gerapporteerd aan Het Concern Management Team. Voor ingrijpende verbeteracties wordt een gevraagde beslissing voorgelegd.
3. Baseline Informatiebeveiliging Overheid
Het informatiebeveiligingsbeleid van de gemeente Roermond is gebaseerd op de ‘Baseline Informatiebeveiliging Overheid’, hierna te noemen BIO. Documentatie hierover is beschikbaar via de Informatiebeveiligingsdienst voor gemeenten (IBD)11. De gemeente heeft zich aangesloten op de dienstverlening van de IBD en bij de uitwerking van dit beleid zal zoveel mogelijk gebruik gemaakt worden van reeds beschikbare documentatie/handreikingen van de IBD. De IBD is de sectorale CERT / CSIRT12 voor alle Nederlandse gemeenten en onderdeel van de Vereniging Nederlandse Gemeenten. De IBD ondersteunt gemeenten op het gebied van informatiebeveiliging.
Er zijn een aantal verschillen tussen BIO en de oudere BIG. Zo is de BIO gebaseerd op de ISO27002:2017, wat o.a. een andere nummering van de controls oplevert. Verder geeft de BIO meer vrijheid voor het treffen van passende maatregelen op basis van risicoanalyse. Zo kent de BIO, in tegenstelling tot de oude BIG, drie verschillende basisbeveiligingsniveau ‘s (BBN): BBN1, BBN2 en BBN3. Van ieder informatiesysteem dient bepaald te worden aan welk beveiligingsniveau voldaan dient te worden op basis van een risicoanalyse; de zogenaamde ‘BBN-toets’. Het is de verantwoordelijkheid van elke proceseigenaar om ervoor te zorgen dat risico’s binnen zijn proces passend worden beheerst op basis van de BIO.
Ieder beveiligingsniveau kent een aantal zogenaamde ‘controls13’, waarbij voor een hoger beveiligingsniveau tevens de controls voor alle daar onder liggende niveaus dienen te worden meegenomen. Aan iedere control zijn implementatiemaatregelen gekoppeld om deze uit te voeren.
Een ander belangrijk verschil met de BIG is dat er in de BIO meer verantwoordelijkheid wordt gelegd bij het lijnmanagement (clustermanagement). Deze is eindverantwoordelijk voor het uitvoeren van de noodzakelijke risicoanalyses (de BBN-toets) om het toepasselijke beveiligingsniveau vast te stellen en de bij dat risico behorende maatregelen.
3.2 Invulling door gemeente Roermond
Voor de gemeente Roermond betekent de invoering van de BIO als opvolger van de BIG de komende jaren het doorlopen van een leercurve. Zo dienen er een aantal inhaalslagen te worden uitgevoerd om documenten en procedures aan te passen op de nieuwe norm, zoals het indelen van alle informatiesystemen naar de nieuwe basisbeveiligingsniveau ’s. Daartoe zullen de reeds uitgevoerde BIG ‘baselinetoetsen’ dienen te worden herzien naar de BBN-toets.
Wellicht de belangrijkste verandering zal zijn dat meer verantwoordelijkheid zal worden gelegd bij het lijnmanagement om te voldoen aan de BIO. Het Concern Management Team zal een belangrijke rol spelen bij de handhaving en controle van deze verantwoordelijkheid. De CISO en ISO zullen een meer coördinerende en adviserende rol krijgen dan voorheen het geval was.
4. Het risicomanagementproces binnen gemeente Roermond
4.1 Risicomanagement in de managementcyclus
Het proces informatiebeveiliging binnen de Gemeente Roermond is een cyclisch en iteratief proces (nader omschreven in paragraaf 2.13) dat start met het opstellen van een informatiebeveiligingsbeleid.
Aan de hand van de uitkomsten van Baselinetoets BBN BIO14 op bestaande maatregelen en risicoanalyses wordt een Informatiebeveiligingsplan opgesteld en geactualiseerd. De in het Informatiebeveiligingsplan vastgestelde maatregelen zullen vervolgens geïmplementeerd moeten worden. Als laatste dienen deze maatregelen en hun implementatie te worden geëvalueerd. De evaluatie kan leiden tot bijstellingen in het Informatiebeveiligingsplan indien hiertoe aanleiding is op basis van de gevonden resultaten.
Risicomanagement binnen de informatiebeveiliging sluit aan bij de vastgestelde Nota Risicomanagement en Weerstandsvermogen. Bij beide is het doelbewuster te leren omgaan met risico’s, deze meer systematisch in beeld te brengen en waar mogelijk beter te beheersen.
Risicomanagement werkt alleen als het geïntegreerd is in alle werkprocessen van de organisatie. Dat kan alleen bereikt worden als risico’s regelmatig op de agenda staan en als risico’s een plek/paragraaf krijgen in de besluitvorming. De gemeente dient met ketenpartners en leveranciers regelmatig het gesprek te voeren over risico’s en de maatregelen die ervoor zorgen dat de risico’s tot een acceptabel niveau worden teruggebracht. Omdat risicomanagement is gebaseerd op historische en actuele informatie en op toekomstige verachtingen moet er uitdrukkelijk rekening gehouden worden met eventuele beperkingen en onzekerheden die aan deze informatie en verwachtingen verbonden zijn. Daarom dient ervoor gezorgd te worden dat informatie toegankelijk, juist, volledig, actueel, tijdig en toegankelijk moet zijn voor relevante belanghebbenden.
Risico’s moeten behandeld worden en er zijn vele manieren om veiligheid te realiseren, maar aan alle zijn kosten verbonden. Risico’s kan men ontwijken, verkleinen, overdragen of wegnemen door het nemen van preventieve-, repressieve- en/of correctieve maatregelen. Welke strategie er ook gekozen wordt, ze kosten allemaal middelen in termen van tijd en geld. Voor maatregelen dienen derhalve een kosten-batenanalyse te worden gemaakt.
Een doel van risicomanagement is het leren van ervaringen en op basis hiervan verbeteringen doorvoeren. Door te zoeken naar verbeterpunten en de wil om te leren kan de organisatie bouwen aan het doorlopend verhogen van de digitale weerbaarheid. Om verbeterpunten inzichtelijk te maken is het belangrijk dat resultaten gecontroleerd en geëvalueerd worden evenals het nemen van eindverantwoordelijkheid en het doorhakken van lastige knopen. Controle is belangrijk om goed zicht te krijgen in de mate waarin het informatiebeveiligingsbeleid en risicomanagement ingebed is in de organisatie. Naast verslagen en managementrapportages zijn incidenten, en dan vooral de manier waarop ze afgewikkeld worden, een goede graadmeter om te zien hoe de organisatie omgaat met het onderwerp.
Voor elk kritisch bedrijfsproces en informatiesysteem wordt door het lijnmanagement periodiek een risicoanalyse uitgevoerd. Het begrip lijnmanagement wordt hierbij ruim opgevat (zie paragraaf 2.3). De resultaten van een dergelijke risicoanalyse worden vastgelegd in een systeemontwerp c.q. informatiebeveiligingsplan.
Het uitgangspunt tijdens deze risicoanalyses is, dat middels een BBN-toets bepaald wordt welke betrouwbaarheidseisen (BIV: Beschikbaarheid – Integriteit – Vertrouwelijkheid) ) van toepassing zijn op het desbetreffende proces en informatiesysteem en binnen welk beveiligingsniveau deze vallen. Indien de eisen niet binnen het desbetreffende niveau vallen, maar hoger liggen dan geeft een diepgaande risicoanalyse uitsluitsel over welke additionele matregelen getroffen dienen te worden. Daarbij is het belangrijk vast te stellen, dat de situatie binnen de gemeente Roermond zélf het uitgangspunt is voor de analyses.
Informatiesystemen dienen regelmatig te worden gecontroleerd (ge-audit) op naleving van beveiligingsnormen. Audits en andere activiteiten waarbij controles dienen te worden uitgevoerd op operationele systemen dienen zorgvuldig te worden gepland en goedgekeurd om het risico van verstoringen van bedrijfsprocessen tot een minimum te beperken.
Gemeenten zijn verantwoordelijk voor de kwaliteit van hun informatiebeveiliging. Informatieveiligheid en privacybescherming hebben daarom een belangrijke plaats op de gemeentelijke agenda. Het adequaat inrichten van een verantwoordingsproces is daarbij essentieel. Gemeenten verantwoorden zich elk jaar over de kwaliteit van de informatieveiligheid van diverse informatiesystemen. In 2017 is hier voor het eerst de verantwoordingssystematiek ENSIA ingezet.
Uitgangspunt bij ENSIA is het horizontale verantwoordingsproces vanuit het college van burgemeester en wethouders aan de gemeenteraad. Deze horizontale verantwoording vormt dan de basis voor het verticale verantwoordingsproces aan de landelijke toezichthouders die een rol hebben in het toezicht op informatieveiligheid. Dit zijn het Ministerie van Binnenlandse Zaken en Koninkrijksrelaties (BZK), Ministerie van Sociale Zaken en Werkgelegenheid (SZW), Ministerie van Infrastructuur en Waterstaat (I&W) en de Autoriteit Persoonsgegevens (AP).
De gemeente dient met ENSIA in één keer verantwoording af te leggen over de informatieveiligheid rondom het uitvoeren van de navolgende registratiesystemen (status juli 2022):
- •
- •
- •
- •
- •
- •
- •
- •
4.2.1 Jaarlijks DigiD assessment
Betrouwbare digitale communicatie is van groot belang voor het vertrouwen in en de integriteit van elektronische (overheids)dienstverlening. Het ministerie van BZK is verantwoordelijk voor de veiligheid van DigiD (Digitale Identiteit). Dit betreft niet alleen het middel zelf, maar ook de daarop aangesloten digitale diensten.
Met DigiD kan een natuurlijk persoon laten zien wie deze is als erop internet iets geregeld moet worden. Dat kan bij de overheid, het onderwijs, de zorg of een pensioenfonds.
Er wordt toezicht gehouden op de koppeling van DigiD met de webapplicatie van een aangesloten organisatie. Alle organisaties die DigiD gebruiken moeten per 1 augustus 2022 voldoen aan het DigiD Normenkader 3.0. Deze beveiligingsnorm is bedoeld voor organisaties die DigiD gebruiken en jaarlijks een ICT-beveiligingsassessment moeten doen. De norm is een selectie van richtlijnen uit het document 'ICT-beveiligingsrichtlijnen voor webapplicaties' van het Nationaal Cyber Security Centrum (NCSC). De norm is vastgesteld door het ministerie van Binnenlandse Zaken en Koninkrijksrelaties in overleg met Logius, AuditDienstRijk en het NCSC. Toetsing van de normen gebeurt op basis van een IT-audit uit te voeren door een onafhankelijk bij de beroepsgroep NOREA aangesloten IT-auditor.
Een organisatie met een DigiD aansluiting:
- •
- •
- •
Met het ICT-beveiligingsassessments DigiD houdt Logius toezicht op de DigiD aansluitingen met als doel het gebruik van DigiD veilig te houden. Logius houdt ook toezicht op het op tijd naleven van de assessmentplicht en beoordeelt de IT-auditrapportage (assessmentrapportage).
Het ICT-beveiligingsassessments DigiD biedt inwoners meer zekerheid dat DigiD als authenticatiemiddel veilig en betrouwbaar is. Het verplicht DigiD aansluithouders inzicht te geven in de informatieveiligheid van de op DigiD aangesloten webapplicatie.
4.2.2 Onafhankelijke beoordeling van Informatiebeveiliging
De benadering van de organisatie voor het beheer van informatiebeveiliging en de implementatie daarvan (d.w.z. beheerdoelstellingen, beheersmaatregelen, beleid, processen en procedures voor informatiebeveiliging) behoren onafhankelijk en met geplande tussenpozen te worden beoordeeld, of zodra zich wijzigingen voordoen in de implementatie van de beveiliging.
Het informatiebeveiligingsbeleid wordt minimaal één keer in de drie jaar geëvalueerd (door een onafhankelijke deskundige) en desgewenst bijgesteld.
De werkzaamheden voor de interne audits zijn opgenomen in het ‘Jaarplan Audit en Interne Controle’ Gemeente Roermond. Interne audits is de verzamelnaam voor alle beheersmatige activiteiten die nodig zijn om processen en activiteiten binnen een organisatie te beheersen, te sturen en te verbeteren. Interne controle is daarom aanwezig op alle niveaus, van medewerker tot en met Gemeentesecretaris. De verplichte audits dienen in de afdelingsplannen te worden opgenomen wat ertoe leidt dat er periodiek over gerapporteerd moet worden. Door de Plan-Do-Check-Act cyclus van (interne) audits wordt gezorgd voor het borgen van processen en een verdere doorontwikkeling van onder andere informatiebeveiliging.
De implementatie van de Informatiebeveiliging wordt onafhankelijk beoordeeld.
Deze activiteiten worden door geautoriseerde medewerkers binnen de gemeente uitgevoerd (interne controle afdeling, functioneel en technisch beheerders, Functionaris voor de Gegevensbescherming). Het betreft:
- •
- •
- •
- •
- •
Op de Informatiebeveiliging worden periodiek beveiligingsaudits uitgevoerd in opdracht van het lijnmanagement. Hiervoor worden afspraken gemaakt over de opdrachtverstrekking, de toetsingskaders en de uitvoering.
De (onafhankelijke) beoordeling c.q. toetsing moet uitsluitsel geven over:
- •
- •
- •
- •
De audit van de beveiliging van ICT-voorzieningen dient zo min mogelijk inbreuk te plegen op de beschikbaarheid, de vertrouwelijkheid en de integriteit van de ICT-voorzieningen.
Permanente link
Kopieer de link naar uw clipboard
https://zoek.officielebekendmakingen.nl/gmb-2024-25227.html