Strategisch Gemeentelijk Informatiebeveiligingsbeleid gemeente Castricum 2020 – 2023

Verspreiding

Goedkeuring

1.1. Reden voor een actueel Strategisch Informatiebeveiligingsbeleid

Een aantal ontwikkelingen maken het noodzakelijk, om het Informatiebeveiligingsbeleid te actualiseren en opnieuw vast te stellen:

• 1.

  Informatiebeveiliging is geen vrijblijvendheid meer, gezien de toenemende cybercrime, waarbij hacks op zowel landelijk- als regionaal niveau vrijwel dagelijks voorkomen. Vanuit het Rijk, de landelijke en Europese politiek wordt daarom veel ingezet om de gemeente op dit gebied te professionaliseren. Zie de verplichtingen vanuit de in november 2013 door de gemeenten aanvaarde VNG-resolutie ‘Informatiebeveiliging, als randvoorwaarde voor de professionele gemeente’,

  zoals het:

  • •

    Aansluiten op de IBD (Informatiebeveiligingsdienst);

  • •

    Implementeren van en expliciet voldoen aan de ‘Baseline Informatiebeveiliging Overheid’ (BIO);

  • •

    Het doorvoeren van ENSIA, als horizontale en verticale verantwoordingsstelsel voor de informatiebeveiliging gebaseerd op de BIO.

• De verantwoordingssystematiek over de Basisregistratie Personen (BRP), Paspoortuitvoeringsregeling (PUN), Digitale Persoonsidentificatie (DigiD), Basisregistratie Adressen en Gebouwen (BAG), Basisregistratie Grootschalige Topografie (BGT) en de Structuur uitvoeringsorganisatie Werk en Inkomen (Suwinet) is samengevoegd en gestroomlijnd. Uitgangspunt van ENSIA is de single information audit. Dit betekent dat maar één keer per jaar de zelfevaluatielijst ingevuld dient te worden en de informatie hieruit wordt gebruikt voor de horizontale verantwoording richting gemeenteraad en de diverse verticale verantwoordingslijnen richting departementen. De horizontale verantwoording bestaat uit de zelfevaluatie, een IT-audit, een verklaring van het College van B&W en een passage over Informatiebeveiliging in het jaarverslag.

• 2.

  De opkomst van ‘moderne’ technologieën’, zoals de doorontwikkeling van de digitale (internet)dienstverlening (conform ons ‘organisatiedoelen’) en cloudoplossingen, die echter ook weer bedreigingen voor de Informatiebeveiliging met zich meebrengen (de zogenaamde, inmiddels beruchte cybercriminaliteit). Denk tevens aan de toenemende inzet van mobiele apparaten zoals smartphones en tablets en de toepassing van Internet of Things in het publiek domein. Zo bieden dergelijke apparaten onze organisatie kansen op het gebied van bereikbaarheid, flexibiliteit en inzet op locatie. Echter, het is zaak om adequaat te handelen in geval bijvoorbeeld een smartphone of tablet ergens ‘vergeten’ of wellicht ontvreemd is. Een goede beveiliging van de mobiele apparaten en de daarop aanwezige gegevens is van een niet te onderschatten wezenlijk belang.

• 3.

  De overheveling van rijkstaken naar de gemeenten, zoals de in 2015 in werking getreden decentralisaties. Het gaat hier niet alleen meer om de lokale gemeentelijke Informatiebeveiliging. De mogelijke bedreigingen en risico’s strekken verder dan het eigen gemeentelijk grondgebied. Deze schaalvergroting en het gebruik van uiterst privacygevoelige gegevens binnen het sociaal domein (denk aan de jeugdzorg), vereist een professionele, integrale aanpak en sturing.

• 4.

  Het hebben van een vastgesteld, actueel Informatiebeveiligingsbeleid is een wettelijke (audit)verplichting, voortvloeiende vanuit onder andere de BIO en de wetgeving voor respectievelijk BRP, Digid en Suwi.

1.2. Wat is informatiebeveiliging?

Onder informatiebeveiliging wordt verstaan het treffen en onderhouden van een samenhangend pakket van maatregelen om de betrouwbaarheid van de informatievoorziening aantoonbaar te waarborgen. Kernpunten daarbij zijn beschikbaarheid, integriteit (juistheid) en vertrouwelijkheid van persoonsgegevens en andere informatie.

Het informatiebeveiligingsbeleid geldt voor alle processen van de gemeente en borgt daarmee de informatievoorziening gedurende de hele levenscyclus van informatiesystemen, ongeacht de toegepaste technologie en ongeacht het karakter van de informatie. Het beperkt zich niet alleen tot de ICT en heeft betrekking op het politieke bestuur, alle medewerkers, burgers, gasten, bezoekers en externe relaties.

1.3. Ambitie en visie van de gemeente op het gebied van Informatiebeveiliging

Informatiebeveiliging moet eraan bijdragen dat de gemeenten en de BUCH haar ambities, doelen en resultaten realiseert, en dus niet de realisatie in de weg mag staan. Informatiebeveiliging is om die reden geen doel op zichzelf, en dient in samenhang gebracht te worden met de doelen van de organisatie. Die doelen zijn onder andere geformuleerd in het concernplan 2017- 2021 Werkorganisatie BUCH.

Visie

Om de veiligheid, kwaliteit en de continuïteit van onze dienstverlening te waarborgenborgen worden op het gebied van informatiebeveiliging en privacy continu risicoanalyses uitgevoerd en worden aansluitend passende maatregelen getroffen.

Een solide inrichting van informatiebeveiliging aan de voorkant voorkomt extra tijdsinvestering en herstelkosten achteraf. Om deze solide inrichting te bereiken is het noodzakelijk om op het gebied van informatiebeveiliging te professionaliseren. Het huidige volwassenheidsniveau1 van informatiebeveiliging van de Werkorganisatie en de BUCH gemeenten ligt tussen niveau 1 en 2. De ambitie is om in 2023 volwassenheidsniveau 4 te bereiken. Zodra dat niveau bereikt is, heeft de organisatie Informatiebeveiliging geborgd binnen haar processen. Zij voldoet aan wet- en regelgeving én heeft voldoende kennis om proactief op ontwikkelingen te anticiperen. Zij weet haar risico’s te verkleinen tot een acceptabel niveau in lijn met de ambities uit de strategische agenda. Noodzakelijke randvoorwaarde om deze groei te bereiken, is de beschikbaarheid van kwalitatieve en kwantitatieve resources op de afdelingen.

Met de inrichting van een Informatiebeveiliging en privacy organisatie kan integraal worden gewerkt aan het verbeteren van de Informatiebeveiliging en privacy. Dit strategische informatiebeveiligingsbeleid 2020-2024 is het kader om gemeentelijke informatie te beschermen en draagt bij aan een verdere professionalisering van informatiebeveiliging.

2.1. Scope van het strategische informatiebeveiligingsbeleid

Dit beleid is van toepassing op de gehele organisatie, alle gemeentelijke processen, informatie, informatiesystemen en gegevens(verzamelingen) van de gemeente en externe partijen, het gebruik daarvan door medewerkers en (keten)partners in de meest brede zin van het woord, ongeacht locatie, tijdstip en gebruikte apparatuur. Het heeft betrekking op het politiek bestuur, alle medewerkers, inwoners, gasten, bezoekers en externe relaties. Het borgt daarmee de informatievoorziening gedurende de hele levenscyclus van informatiesystemen.

2.2. Plaats van het strategisch beleid

Het strategisch beleid wordt gebruikt om de basis te leggen voor de tactische beleidsplannen en daarmee richting te geven voor de verdere invulling van informatiebeveiliging op tactisch en operationeel niveau. De daaruit voortkomende werkzaamheden worden uitgewerkt in het jaarlijks te schrijven ‘Gemeentelijk Informatiebeveiligingsplan/managementreview’.

Voor bepaalde kerntaken gelden op grond van wet-en regelgeving specifieke (aanvullende)

beveiligingseisen2. Hiervoor gelden specifieke beleidskaders en/of informatiebeveiligingsplannen.

2.3. Grondslagen

Dit strategische informatiebeveiligingsbeleid is gebaseerd op:

• •

  NEN-ISO/IEC 27001:2017

• •

  NEN-ISO/IEC 27002:2017

• •

  Baseline Informatiebeveiliging Overheid (BIO)3 en de 10 principes voor informatiebeveiliging.

2.3.1. Standaarden informatiebeveiliging

De basis voor de inrichting van het beveiligingsbeleid is NEN-ISO/IEC 27001:2017. De maatregelen worden op basis van “best-practices” bij (lokale) overheden en NEN-ISO/IEC 27002:2017 genomen.

2.3.2. De Baseline Informatiebeveiliging Overheid

De Baseline Informatiebeveiliging Overheid (BIO) is het nieuwe normenkader voor de gehele overheid. De werkwijze van deze BIO is meer gericht op risicomanagement dan de oude Baseline Informatiebeveiliging Nederlandse Gemeenten (BIG). Dat wil zeggen dat de domein- en/of teammanagers nu moeten werken volgens de aanpak van de ISO 27001. Daarbij is risicomanagement van belang. Dit houdt voor het management in dat men op voorhand keuzes maakt en continu afwegingen maakt of informatie in bestaande en nieuwe processen adequaat beveiligd zijn in termen van beschikbaarheid, integriteit en vertrouwelijkheid.

2.4. Handvatten voor de rol van de bestuurder bij de BIO

VNG heeft aan het gemeentelijk bestuur de 10 principes van informatiebeveiliging (bronvermelding) uitgereikt. Deze principes bieden het bestuur handvatten op welke wijze het zijn rol kan invullen bij het borgen van informatiebeveiliging in de gemeentelijke organisatie Deze principes ondersteunen

de bestuurder bij het uitvoeren van goed risicomanagement bij o.a. beveiligingsincidenten met

directe gevolgen voor inwoners en/of medewerkers. De 10 principes voor informatiebeveiliging4 zijn een bestuurlijke aanvulling op het normenkader BIO en gaan over de waarden die de bestuurder zichzelf oplegt. De principes zijn als volgt:

• 1.

  Bestuurders bevorderen een veilige cultuur.

• 2.

  Informatiebeveiliging is van iedereen.

• 3.

  Informatiebeveiliging is risicomanagement.

• 4.

  Risicomanagement is onderdeel van de besluitvorming.

• 5.

  Informatiebeveiliging behoeft ook aandacht in (keten)samenwerking.

• 6.

  Informatiebeveiliging is een proces.

• 7.

  Informatiebeveiliging kost geld.

• 8.

  Onzekerheid dient te worden ingecalculeerd.

• 9.

  Verbetering komt voort uit leren en ervaring.

• 10.

  Het bestuur controleert en evalueert.

2.5. Belangrijkste uitgangspunten

De belangrijkste uitgangspunten van dit informatiebeveiligingsbeleid zijn:

• 1.

  Dit beleid vormt samen met het tactische informatiebeveiligingsbeleid en het informatiebeveiligingsplan het kader om informatieveiligheid in de organisatie te borgen.

• 2.

  Informatiebeveiliging mag niet ten koste gaan van de veiligheid van personen.

• 3.

  Het bestuur van de BUCH en de Gemeenten, de Algemeen Directeur en de (afdelings)managers dragen dit beleid uit en sturen aan op de implementatie van dit beleid.

• 4.

  Informatiebeveiliging is georganiseerd. Het management heeft continu aandacht voor het vergroten van het bewustzijn van medewerkers om zo de menselijke schakel te versterken.

• 5.

  De rol van de coördinator van informatiebeveiliging (Chief Information Security Officer: CISO), is ingevuld.

• 6.

  Regels en verantwoordelijkheden voor het informatiebeveiligingsbeleid zijn vastgesteld.

• 7.

  Informatiebeveiliging is een continu verbeterproces. Door organisatiebrede planning, het implementeren van maatregelen, het periodieke controleren én de coördinatie op dit proces is informatieveiligheid binnen de organisatie verankerd.

• 8.

  Informatiebeveiliging is een onderdeel van risicomanagement.

• 9.

  De gemeente en/of werkorganisatie stelt de benodigde mensen en middelen beschikbaar om haar eigendommen en werkprocessen te kunnen beveiligen volgens de wijze zoals gesteld in dit beleid.

• 10.

  Iedere medewerker, zowel vast als tijdelijk, intern of extern, is verplicht waar nodig gegevens en informatiesystemen te beschermen tegen ongeautoriseerde toegang, gebruik, verandering, openbaring, vernietiging, verlies of overdracht en bij vermeende inbreuken hiervan melding te maken.

• 11.

  Informatiebeveiliging is een continu verbeterproces. ‘Plan, do, check en act’ vormen samen het managementsysteem van informatiebeveiliging

2.6. Praktisch invulling aan de uitgangspunten

• •

  Het college van B&W en het BUCH bestuur stelt als eindverantwoordelijke het strategisch informatiebeveiligingsbeleid vast.

• •

  De Algemeen Directeur stelt jaarlijks het informatiebeveiligingsplan/managementreview vast.

• •

  De Algemeen Directeur is verantwoordelijk voor het (laten) uitwerken en uitvoeren van onderwerp specifieke tactische beleidsregels die aanvullend zijn op dit strategisch beleid.

• •

  De Algemeen Directeur is verantwoordelijk voor het vragen om informatie bij de domeinmanagers en ziet erop toe dat de domeinmanagers adequate maatregelen genomen hebben voor de bescherming van de informatie die onder hun verantwoordelijkheid valt.

• •

  De Chief Information Security Officer (CISO) ondersteunt de organisatie bij het bewaken en verhogen van de betrouwbaarheid van de informatievoorziening en rapporteert hierover gevraagd en ongevraagd. Indien de CISO van oordeel is dat zijn of haar adviezen onvoldoende worden opgevolgd, rapporteert hij of zij dat rechtstreeks aan de Algemeen Directeur. De keuze om van deze bevoegdheid gebruik te maken is exclusief voorbehouden aan de CISO.

• •

  Er dient aandacht te zijn voor de informatiebeveiliging n.a.v. de rapportage van de CISO in de beleidsvoorbereiding, besluitvorming en/of het handelen van de organisatie en in het kader van de P&C cyclus in het bijzonder. De onderwerpen, die als risicovol worden gezien, moeten tevens worden opgenomen in de auditplannen en – bij voldoende substantie – in de risicoparagraaf van de respectievelijke begrotingen voorzien van een risicoafweging, kwantificering en beheersmaatregelen.

• •

  De domeinmanagers zijn verantwoordelijk voor de uitvoering van de informatiebeveiliging voor de processen waarvoor zij verantwoordelijk zijn.

• •

  Hoewel de basiskernregistraties (zoals BRP, PUN, SUWI, BAG, BGT) en toekomstige basisregistraties belangrijk zijn in het kader van informatiebeveiliging, krijgen zij niet meer of minder voorrang dan andere (primaire) processen binnen de gemeente. Het samenspel van alle processen binnen de bedrijfsvoering is belangrijk voor de missie en de visie van de gemeente en het behalen van de doelen die zijn gesteld.

• •

  Alle medewerkers van de gemeente worden getraind/geïnformeerd in het gebruik van beveiligingsprocedures.

• •

  Medewerkers dienen verantwoord om te gaan met persoonsgegevens en andere informatie.

• •

  Domeinmanagers dienen erop toe te zien dat de controle op het verwerken van persoonsgegevens regelmatig wordt uitgevoerd, zodat zij kunnen vaststellen dat alleen rechthebbende ambtenaren de juiste persoonsgegevens ingezien en verwerkt hebben zoals omschreven in het privacy beleid

• •

  De beveiligingsmaatregelen worden bepaald op basis van risicomanagement. Domeinmanagers voeren de baselinetoetsen (BLT) uit op basis van de BIO om deze risico-afwegingen te kunnen maken.

2.7 Randvoorwaarden

Belangrijke randvoorwaarden om dit beleid te implementeren zijn:

• 1.

  De informatiebeveiligingstaken zijn belegd binnen de bedrijfsprocessen en de benodigde kwalitatieve en kwantitatieve resources zijn beschikbaar gesteld.

• 2.

  Alle medewerkers van de gemeente worden getraind in het gebruik van beveiligingsprocedures. Medewerkers kennen de beveiligingsprocedures en gebruiken deze procedures. Medewerkers zijn daarnaast op de hoogte van eisen die vanuit wet- en regelgeving aan hun bedrijfsprocessen gesteld worden en kennen deze kaders.

• 3.

  De informatiebeveiliging maakt deel uit van afspraken met ketenpartners en dienstenleveranciers.

• 4.

  Kennis en bewustzijn van informatiebeveiliging wordt actief bevorderd en geborgd bij alle lagen binnen de organisatie, ketenpartners en externe partijen.

• 5.

  Er zijn voldoende maatregelen geïmplementeerd die zorgen dat kwetsbaarheden in bedrijfsprocessen worden verkleind. Hierdoor worden informatiebeveiligingsincidenten verkleind en de effecten van de incidenten beperkt.

• 6.

  Periodiek worden onafhankelijke audits uitgevoerd om vast te stellen of de vereiste maatregelen uit het beleid in voldoende mate zijn geborgd.

• 7.

  De digitale weerbaarheid wordt verhoogd door de basis op orde te brengen.

• 8.

  Security en privacy by design principes worden toegepast bij innovaties. Denk hierbij aan common ground, internet of things (IoT) en Smart City, Omgevingswet.

• 9.

  Aanwezigheid van een werkend ISMS systeem waarin risicomanagement volgens PDCA wordt gehanteerd!

3.1. Aansturing: Algemeen Directeur

De Algemeen Directeur zorgt dat alle processen en systemen en de daarbij behorende middelen altijd onder de verantwoordelijkheid vallen van een domeinmanager. De Algemeen Directeur zorgt dat de domeinmanagers zich verantwoorden over de beveiliging van de informatie die onder hen berust. De Algemeen Directeur zorgt dat de eindverantwoordelijke portefeuillehouders binnen het college gevraagd en ongevraagd geïnformeerd worden over de mate waarin informatiebeveiliging een onderdeel is van het voorbereiden van beleid of besluiten danwel het handelen van de bedrijfsvoering. Op die manier kan het college zich ook verantwoorden naar de raad.

De Algemeen Directeur stelt het gewenste niveau van continuïteit en vertrouwelijkheid vast. De Algemeen Directeur draagt zorg voor het uitwerken van tactische informatiebeveiligingsbeleidsonderwerpen en laat zich hierin bijstaan door de CISO van de Werkorganisatie BUCH. De domeinmanager autoriseert de benodigde procedures en uitvoeringsmaatregelen. Het onderwerp informatiebeveiliging wordt in de BUCH gezien als een integraal onderdeel van beleidsvoorbereiding en -uitvoering, besluitvorming, bedrijfsvoering en (risico)management.

3.2. Uitvoering: Domeinmanagers

Informatiebeveiliging valt onder de verantwoordelijkheden van alle domeinmanagers. Om deze verantwoordelijkheid waar te maken dienen zij goed ondersteund te worden vanuit de tweede lijn. Deze verantwoordelijkheid kunnen zij niet delegeren, uitvoerende werkzaamheden wel. De bedoeling is dat alle processen, systemen, data, applicaties altijd minimaal 1 eigenaar hebben; er moet dus altijd iemand verantwoordelijk zijn. Domeinmanagers rapporteren aan de Algemeen Directeur over de door hen tactisch en operationeel uitgevoerde informatiebeveiligingsactiviteiten. Afstemming met de teams binnen de domeinen over de inhoudelijke aanpak vindt plaats door minimaal 2 keer per jaar het onderwerp Informatiebeveiliging te bespreken in het teamoverleg.

Taken van de domeinmanagers in het kader van informatiebeveiliging zijn:

• •

  Het leveren van input voor wijzigingen op maatregelen en procedures.

• •

  Het binnen de eigen teams uitdragen van het beveiligingsbeleid, de daaraan gerelateerde procedures.

• •

  Het vroegtijdig signaleren van de voornaamste bedreigingen waaraan de bedrijfsinformatie is blootgesteld.

• •

  Bespreking van beveiligingsincidenten en de consequenties die dit moet hebben voor beleid en maatregelen.

Voorbereiding en coördinatie van het informatiebeveiligingsmoment in het teamoverleg overleg ligt bij de CISO.

3.3. Controle en verantwoording

Dit Strategisch Beleid is een verantwoordelijkheid van het bestuur van de BUCH en de colleges van de BUCH gemeenten. De bestuurders en directeuren van de BUCH zullen volgens de 10 principes voor informatiebeveiliging richting en sturing geven aan het onderwerp informatiebeveiliging door het geven van voorbeeldgedrag en het vragen om informatie.

De Algemeen Directeur is verantwoordelijk voor het gevraagd en ongevraagd rapporteren over informatiebeveiliging aan respectievelijke portefeuillehouders. De Algemeen Directeur rapporteert daarnaast over de mate waarin zij invulling hebben gegeven aan het uitwerken van tactische (deel) beleidsonderwerpen die aanvullend zijn op dit strategische beleid.

3.4 Aansluiting Informatiebeveiligingsdienst Gemeenten

Eén van de doelen van de IBD5 is het aan gemeenten leveren van concrete ondersteuning in geval van incidenten en crisissituaties op het vlak van informatiebeveiliging.

Wij maken indien nodig gebruik van deze ondersteuning. De IBD informeert de gemeente via vastgestelde contactpersonen namelijk de algemeen contactpersoon informatiebeveiliging (ACIB)6 en de vertrouwde Contactpersoon Informatiebeveiliging (VCIB)7

3.5. ENSIA

Ter afsluiting van het jaarlijkse verantwoordingstraject8 rapporteren de afdelingsmanagers over de risico’s binnen hun bedrijfsprocessen en over de stand van zaken van de implementatie van informatiebeveiliging van het afgelopen jaar. De CISO coördineert dit proces en stelt jaarlijks vóór 1 mei aan de hand van de deelrapportages van de afdelingsmanagers een bestuurlijke rapportage op voor de ambtelijke en bestuurlijke opdrachtgever. De colleges van B&W legt met deze bestuurlijke rapportage, een raadsinformatiebrief én meteen aparte paragraaf in het jaarverslag verantwoording af aan zijn interne toezichthouders de gemeenteraden én aan de externe toezichthouders (Rijk). Op deze wijze kan de ambtelijk en de bestuurlijk opdrachtgever en het college sturen op informatiebeveiliging. Zij kunnen hiermee besluiten nemen om informatiebeveiligingsrisico’s tot een acceptabel niveau te brengen

3.6. CISO mandaat

Indien het risico hierom vraagt, informeert en adviseert de CISO onverwijld de Algemeen Directeur in geval van overtreding of dreigende overtreding van wet- en regelgeving of richtlijnen van hogere organen. De Ciso is bevoegd handelend op te treden en in te grijpen. De CISO legt achteraf verantwoording af over het handelend optreden.

3.7. Inwerkingtreding

De beleidsregels Informatieveiligheid & Privacy zoals vastgesteld op 19 september 2017 wordt ingetrokken. Het Strategisch Informatiebeveiligingsbeleid 2020-2023 treedt in werking met ingang van de dag na bekendmaking.

De beleidsregels worden aangehaald als: Informatiebeveiligingsbeleid gemeente Castricum 2020 – 2023.