Informatiebeveiligingsbeleid OWO-gemeenten

In de gemeentelijke organisatie hebben digitalisering en informatisering een grote rol bij het werken met (persoons)gegevens. De inwoner mag verwachten dat deze gegevens bij de gemeente in goede handen zijn en dat deze passend worden beveiligd. We beschikken als OWO-gemeenten over veel gevoelige gegevens en we worden als gemeenten met al onze ketenpartners steeds afhankelijker van goed werkende informatievoorzieningen en -systemen.

Om als gemeente te borgen dat we consistent veilig werken met (persoons)gegevens is het van belang een actueel informatiebeveiligingsbeleid te hebben. Dit OWO-informatiebeveiligingsbeleid is opgesteld om ondersteuning te bieden aan het college, gemeentesecretaris, directie, management en de algehele organisatie bij de sturing op en het beheer van informatieveiligheid. Met dit beleid zetten de gemeenten Ooststellingwerf, Opsterland en Weststellingwerf een volgende stap om de beveiliging van (persoons)gegevens binnen de gemeenten te versterken.

Harmonisering van informatiebeveiligingsbeleid

Waar de drie gemeenten voorheen afzonderlijk strategisch beleid hadden voor informatiebeveiliging, kiezen de gemeenten er nu voor om gezamenlijk beleid op te stellen. In een tijd van constante verandering op het gebied van digitale technologie en wet- en regelgeving, vereenvoudigt geharmoniseerd beleid de naleving en uitvoering ervan.

Opzet van het OWO-informatiebeveiligingsbeleid

Dit beleidsdocument is richtinggevend en kaderstellend en wordt door de gemeenten verder uitgewerkt en geconcretiseerd in protocollen, gedragsregels, procedures, rapportages en werkinstructies op tactisch en operationeel niveau. Ook worden de rollen en verantwoordelijkheden aangaande informatiebeveiliging beschreven.

Dit beleid hangt samen met de wettelijke kaders die aan informatieverwerking binnen specifieke onderdelen zijn gesteld, met betrekking tot de Wet Basisregistratie Personen (Wet BRP), de Algemene Verordening Gegevensbescherming (AVG), Paspoort uitvoeringsregeling Nederland 2001 (PUN), Reglement Rijbewijzen (RR), Basisregistratie Adressen en Gebouwen (BAG), Basisregistratie Grootschalige Topografie (BGT), Basisregistratie Ondergrond (BRO), de Wet Structuur Uitvoeringsorganisatie Werk en Inkomen (SUWI), het DigiD beveiligingsassessment (DigiD audit) en de Wet open overheid (Woo). Voor bepaalde taken gelden op grond van deze en wet- en regelgeving specifieke beveiligingseisen. Deze worden in aanvullende documenten uitgewerkt.

Wat is informatiebeveiliging?

Onder informatiebeveiliging (IB) verstaan we het zorgen voor een bewuste en veilige omgang met informatie door het toepassen van een combinatie van organisatorische en technische maatregelen. Deze maatregelen zijn erop gericht op de betrouwbaarheid (beschikbaarheid, integriteit en vertrouwelijkheid) van gemeentelijke processen, de gebruikte informatiesystemen en om de daarin opgeslagen gegevens aantoonbaar te beschermen tegen (on)opzettelijk misbruik. De Baseline Informatiebeveiliging Overheid (BIO) is de gestandaardiseerde norm voor informatiebeveiliging binnen de overheid.

Het begrip ‘informatiebeveiliging’ heeft betrekking op de volgende kwaliteitsaspecten:

• •

  beschikbaarheid: het zorgdragen voor het beschikbaar zijn van informatie en informatie-verwerkende bedrijfsmiddelen op de juiste tijd en plaats voor de gebruikers;

• •

  integriteit: het waarborgen van de correctheid, volledigheid, tijdigheid en controleerbaarheid van informatie en informatieverwerking.

• •

  vertrouwelijkheid: het beschermen van informatie tegen kennisname en mutatie door onbevoegden. Informatie is alleen toegankelijk voor degenen die hiertoe geautoriseerd zijn;

• •

  controleerbaarheid: het regelmatig controleren op de uitvoering van de beheersmaatregelen om (achteraf) vast te stellen of deze goed werken.

De maatregelen uit de BIO borgen de juiste toegankelijkheid van informatie, het opbouwen en onderhouden van het bewustzijn over informatieveiligheid bij de medewerkers, en – in het geval van incidenten – de eventuele gevolgschade van de incidenten te beperken.

Informatiebeveiliging is meer dan alleen digitale veiligheid – integraal werken

Informatiebeveiliging is breder meer dan alleen digitale veiligheid. Beschikbare en betrouwbare informatie is essentieel voor het goed functioneren van de gemeente en het optimaal organiseren (kwaliteit) en faciliteren van de bedrijfsvoering. Daarnaast is besluitvorming van de gemeente op basis van beschikbare en betrouwbare informatie de hoeksteen voor het vertrouwen van inwoners en ondernemers richting de gemeente.

Dit vereist meer en meer een integrale aanpak omdat Informatiebeveiliging geen op zichzelf staand beleidsveld is. Het ondersteunt de gemeente bij het uitvoeren van diens taken en is onderdeel van alle organisatieonderdelen. Dit betekent tevens dat iedere teammanager/-leider verantwoordelijk is voor de veiligheid en beveiliging van zijn eigen team/organisatieonderdeel, de processen die daaronder vallen en de (persoons)gegevens die daarbinnen worden verwerkt.

1.2 Doelstellingen van dit beleid

1.3 De visie en ambities van de OWO-gemeenten

1.4 Leeswijzer

In dit document worden eerst de aanleiding en doelstelling van dit beleidsstuk en de visie van de OWO-gemeenten op privacy en informatiebeveiliging besproken. In hoofdstuk 2 worden de interne en externe ontwikkelingen op het gebied van informatiebeveiliging besproken. Hoofdstuk 3 beschrijft vervolgens de beleidsdoelstellingen van de OWO-gemeenten met betrekking tot informatiebeveiliging. In hoofdstuk 4 worden de belangrijkste risico’s genoemd die nu, en in de toekomst een bedreiging kunnen vormen voor de dienstverlening van de OWO-gemeenten. Hoofdstuk 5 gaat in op de rollen, taken en verantwoordelijkheden van o.a. de gemeenteraad, het college van B&W, de directie, het management en medewerkers. In hoofdstuk 6 wordt aandacht besteed aan de borging van dit informatieveiligheidsbeleid in de OWO-gemeenten.

2.1 Interne ontwikkelingen

De ontwikkelingen in de samenleving en technologie maken dat informatiebeveiliging steeds belangrijker wordt. Enerzijds omdat inwoners en ondernemers snel(ler) digitaal geholpen willen worden, anderzijds omdat persoonsgegevens een steeds lucratiever doel vormen voor kwaadwillenden. Gemeenten hebben een hoop persoonsgegevens en lopen daardoor een groter risico, omdat zij daardoor een doelwit zijn.

2.2 Externe ontwikkelingen

2.3 Bewustwording

Vanwege de toenemende verandering van (digitale) technologie, het dreigingslandschap en de verantwoordelijkheden van de gemeente in dit speelveld is het van belang dat iedereen in de organisatie zich bewust is van zijn of haar verantwoordelijkheden.

Informatiebeveiliging is meer dan alleen techniek

Informatiebeveiliging gaat over veel meer dan ICT. Uiteindelijk is menselijk gedrag en informatiebeveiligingsbewustzijn de belangrijkste factor voor het veilig houden van informatie en de dienstverlening. Een groot deel van de informatiebeveiligingsincidenten uit de recente geschiedenis zijn terug te herleiden naar een menselijke fout. Het is noodzakelijk dat alle medewerkers de juiste instelling hebben ten aanzien van informatieveiligheid en privacy en dat het College, de gemeentesecretaris, de directie en het management dit actief uitdraagt en stimuleert. Op deze manier wordt het juiste gedrag bevorderd en ontstaat een cultuur waarin men elkaar aanspreekt op fout en goed gedrag.

De gemeente faciliteert, stimuleert en handhaaft veilig gebruik van informatie

Veilig gedrag ontstaat niet zomaar. De gemeente faciliteert en stimuleert de verbetering van bewustwording planmatig en structureel door middel van leerzame en interessante (bewustwordings)trainingen, lezingen, en speciale interventies zoals: het uitnodigen van een mystery guest of het organiseren van phishing campagnes. Het uitgangpunt hiervoor is het positief stimuleren van medewerkers om draagvlak en intrinsieke motivatie bij hen te creëren om veilig te werken.

Om te voldoen aan de visie en ambities van de OWO-gemeenten wordt gewerkt met de beleidsdoelstellingen die door de Informatiebeveiligingsdienst (IBD) zijn geformuleerd. De OWO-gemeenten omarmen deze beleidsdoelstellingen. Deze beleidsdoelstellingen sluiten aan bij de eigen visie en ambities, het realiseren ervan waarborgt de beveiliging van informatie binnen de OWO-gemeenten.

3.1 De beleidsdoelstellingen van dit beleid

De beleidsdoelstellingen, zoals geformuleerd door de IBD:

• •

  het managen van de informatiebeveiliging;

• •

  adequate bescherming van bedrijfsmiddelen;

• •

  het minimaliseren van risico’s van menselijk gedrag;

• •

  het voorkomen van ongeautoriseerde toegang;

• •

  het beheersen van de toegang tot informatiesystemen;

• •

  het garanderen van betrouwbare en veilige informatievoorzieningen;

• •

  het waarborgen van veilige informatiesystemen;

• •

  het adequaat reageren op incidenten;

• •

  het beschermen van kritieke bedrijfsprocessen;

• •

  het beschermen en correct verwerken van persoonsgegevens van inwoners, medewerkers en samenwerkende partijen;

• •

  het waarborgen van de naleving van dit beleid.

De 10 bestuurlijke principes voor informatiebeveiliging

De 10 bestuurlijke principes voor informatiebeveiliging zijn een bestuurlijke aanvulling op het normenkader van de BIO en de beleidsdoelstellingen van de IBD. De principes gaan over de waarden die de bestuurder zichzelf oplegt en uitdraagt aan de gemeentelijke organisatie. De principes worden verwerkt binnen alle gemeentelijke processen.

Bestuurders hebben een rol in het op orde brengen van de informatiebeveiliging. Onjuiste en/of onvolledige informatiebeveiliging kan leiden tot misbruik van informatie en heeft (in)directe nadelige gevolgen voor inwoners, ondernemers en partners van de gemeente. Daarmee is het onderwerp informatiebeveiliging nadrukkelijk gewenst op de bestuurstafel.

De 10 bestuurlijke principes voor informatiebeveiliging:

• 1.

  bestuurders bevorderen een veilige cultuur;

• 2.

  informatiebeveiliging is van iedereen;

• 3.

  informatiebeveiliging is risicomanagement;

• 4.

  risicomanagement is onderdeel van de besluitvorming;

• 5.

  informatiebeveiliging behoeft ook aandacht in (keten)samenwerking;

• 6.

  informatiebeveiliging is een proces;

• 7.

  informatiebeveiliging kost geld;

• 8.

  onzekerheid dient te worden ingecalculeerd;

• 9.

  verbetering komt voort uit leren en ervaring;

• 10.

  het bestuur controleert en evalueert.

3.2 Realiseren beleidsdoelstellingen

De uitwerking van de beleidsdoelstellingen vindt plaats in de jaarplannen voor informatiebeveiliging van de drie OWO-gemeenten. Ook werken de drie gemeenten samen, waaronder met team OWO-ICT, om uitvoering te geven aan dit beleid.

In de afgelopen jaren zijn er al stappen gezet. Gedurende de looptijd van dit beleid versterken de OWO-gemeente hun informatiebeveiliging verder – en waar dat nog niet het geval is – brengen zij deze in lijn met dit beleid. In het bijzonder gaan de drie gemeenten in de eerste twee loopjaren van dit beleid een intensieve samenwerking aan om de BIO verder te implementeren.

Onze gemeente digitaliseert net als de samenleving om ons heen. Zodoende is informatiebeveiliging een onderwerp dat steeds belangrijker wordt. Inwoners en partijen waar wij mee samenwerken willen snel en digitaal geholpen worden maar daarmee nemen moderne en digitale dreigingen alsmaar toe. Het IBD brengt periodiek in kaart wat de actuele, meest belangrijke risico’s zijn op het gebied van gemeentelijke informatiebeveiliging.

4.1 De belangrijkste risico’s zijn volgens de IBD als volgt:

• •

  Uitval van dienstverlening en bedrijfsvoering: als informatie niet beschikbaar is, leidt dat tot problemen in de dienstverlening en de bedrijfsvoering.

• •

  Vertrouwelijke informatie in verkeerde handen: onterechte toegang tot gevoelige informatie kan uiterst nadelig uitvallen voor inwoners en ondernemers

• •

  Fouten in de dienstverlening: informatiebeveiligingsincidenten kunnen leiden tot fouten in dienstverlening. Want als informatie niet integer is, kan dat leiden tot vertraagde of foute beslissingen, verkeerde handelingen en verspilling van tijd en menskracht.

Aanvullend op de genoemde risico’s valt de IBD in het bijzonder drie soorten dreigingen op:

• •

  Meer ransomware, met destructievere gevolgen: aan de lopende band proberen criminelen een ingang te vinden. De (potentiële) gevolgen van een aanval worden ook steeds ernstiger.

• •

  Steeds meer en ernstiger kwetsbaarheden in software: kwetsbaarheden met een hoge kans op misbruik en ernstige gevolgen komen in de afgelopen jaren relatief steeds vaker voor.

• •

  Gevaren in ketens uit het zicht: als gemeente neem je deel aan veel samenwerkingsverbanden. Dit heeft als gevolg dat er weinig zicht is op de feitelijke risico’s als taken zijn uitbesteed.

Aanvullend op bovengenoemde bekende risico’s voeren we als gemeente een eigen registratie waarin incidenten worden vastgelegd. Deze registratie geeft waardevolle informatie om van te leren en zodoende zijn incidenten uit het verleden ook nadrukkelijk input bij het actualiseren van beleid en procedures.

In dit hoofdstuk wordt het eigenaarschap van de bedrijfsprocessen met bijbehorende informatieprocessen en/of (informatie)systemen benoemd met de hieraan verbonden verantwoordelijkheden uiteengezet. Hiermee wordt duidelijk welke taken, verantwoordelijkheden en bevoegdheden met betrekking tot informatiebeveiliging en privacy op welke plaats zijn belegd binnen de OWO-gemeenten.

5.1. De organisatie van informatiebeveiliging

Hieronder worden de taken en verantwoordelijkheden rondom informatiebeveiliging in het kort besproken. In bijlage 1 zijn de taken en verantwoordelijkheden nader uitgewerkt.

De gemeenteraad

De gemeenteraad heeft een controlerende en toetsende rol met betrekking tot informatiebeveiliging en ziet erop toe dat het informatiebeveiligingsbeleid en de doelstellingen die daaruit voortvloeien worden behaald.

Het College van B&W

Het College van B&W van de gemeenten Ooststellingwerf, Weststellingwerf en Opsterland zijn integraal verantwoordelijk voor de beveiliging (in de beslissende rol) van informatie binnen de werkprocessen van de gemeente.

Het College van B&W stelt kaders voor informatiebeveiliging op basis van landelijke en Europese wet- en regelgeving en landelijke normenkaders. Dit doet het college van B&W o.a. door het vaststellen van het informatiebeveiligingsbeleid.

De directie

De directie (in de sturende rol) is verantwoordelijk voor het borgen van de uitvoering en naleving van het informatiebeveiligingsbeleid.

Enkele taken en verantwoordlijkheden van de directie:

• •

  De directie stelt periodiek onderliggend, flankerend beleid inclusief procedures, richtlijnen en beveiligingsmaatregelen vast;

• •

  stuurt op concern risico’s;

• •

  controleert of de getroffen maatregelen overeenstemmen met de betrouwbaarheidseisen;

• •

  controleert of deze maatregelen voldoende bescherming bieden en;

• •

  evalueert periodiek beleidskaders en stelt deze waar nodig bij.

Het lijnmanagement

Het lijnmanagement is in de vragende rol verantwoordelijk voor de integrale beveiliging van hun organisatieonderdeel.

Enkele taken en verantwoordlijkheden van het lijnmanagement:

• •

  stuurt op beveiligingsbewustzijn, bedrijfscontinuïteit en naleving van regels en richtlijnen (gedrag en risicobewustzijn);

• •

  stelt op basis van een expliciete risicoafweging betrouwbaarheidseisen vast voor de informatiesystemen binnen zijn/haar team (classificatie);

• •

  is verantwoordelijk voor de keuze en de implementatie van de beveiligingsmaatregelen die voortvloeien uit de betrouwbaarheidseisen;

• •

  rapporteert over compliance aan wet- en regelgeving en algemeen beleid van de gemeente aan de directie.

Chief Information Security Officer (CISO)

De CISO is verantwoordelijk voor het ontwikkelen, coördineren en bewaken van het gemeentelijke informatiebeveiligingsbeleid. De CISO vertaalt wet- en regelgeving (zoals de BIO) naar praktische maatregelen en adviseert bestuur en management over risico’s. Daarnaast stelt de CISO jaarplannen op voor informatiebeveiliging en rapporteert hij of zij over informatiebeveiliging aan de directie.

Medewerkers

Medewerkers zijn verantwoordelijk voor het naleven van het informatiebeveiligingsbeleid binnen hun eigen dagelijkse werkzaamheden. Daarnaast hebben medewerkers ook een signalerende functie, denk hierbij aan: het melden van incidenten benaderen van hun lijnmanager of de CISO bij vragen over informatiebeveiliging (binnen processen).

Ook kunnen medewerkers aanvullende werkzaamheden worden toegewezen rondom informatiebeveiliging door hun lijnmanager, ze zijn dan actiehouder m.b.t. informatiebeveiliging (denk hierbij aan het implementeren van BIO-maatregelen). Deze actiehouders van de verschillende organisatieonderdelen (HRM, PSA, Beheer en Onderhoud, I&A, etc.) zijn dan in de uitvoerende rol verantwoordelijk voor de uitvoering van de beveiligingsmaatregelen.

De sturende, vragende en uitvoerende rollen.

In onderstaande piramide staan de sturende, vragende en uitvoerende rollen afgebeeld.

Overzicht van de taken en verantwoordelijkheden

In onderstaand overzicht staan de taken en verantwoordelijkheden voor de verschillende doelgroepen afgebeeld. In bijlage 1 worden de taken en verantwoordelijkheden uitgebreider beschreven.

5.2 Belangrijkste uitgangspunten

Het bestuur, de directie en de managers spelen een cruciale rol bij het uitvoeren van dit strategische informatiebeveiligingsbeleid. Het management maakt een inschatting van het belang dat de verschillende delen van de informatievoorziening voor de gemeente heeft, de risico’s die de gemeente hiermee loopt en welke van deze risico’s onacceptabel hoog zijn.

Het management geeft een duidelijke richting aan informatiebeveiliging en laat zien dat zij informatiebeveiliging ondersteunt en zich hierbij betrokken voelt, door het uitdragen en handhaven van een informatiebeveiligingsbeleid van en voor de hele gemeente.

De belangrijkste uitgangspunten voor succesvolle naleving van het beleid

• •

  Alle informatie en informatiesystemen zijn vanuit het oogpunt van informatiebeveiliging van belang voor de gemeente, en mogelijk ook van vitaal en/of kritiek belang.

• •

  Deugdelijke uitvoering en naleving van de governancestructuur zoals in H5.1 en bijlage 1 beschreven.

• •

  Alle informatiebronnen en -systemen die gebruikt worden door de gemeente Ooststellingwerf, Weststellingwerf en Opsterland hebben een interne eigenaar die het beveiligingsniveau bepaalt van de informatie die ze bevatten. De primaire verantwoordelijkheid voor de bescherming van informatie ligt dan ook bij de eigenaar van de informatie.

• •

  De gemeente stelt de benodigde mensen en middelen beschikbaar om haar eigendommen en werkprocessen te kunnen beveiligen volgens de wijze zoals gesteld in dit beleid.

• •

  Iedere medewerker, zowel vast als tijdelijk, intern of extern, is verplicht waar nodig gegevens en informatiesystemen te beschermen tegen ongeautoriseerde toegang, gebruik, verandering, openbaring, vernietiging, verlies of overdracht en bij vermeende inbreuken hiervan melding te maken.

• •

  Informatiebeveiliging is een continu verbeterproces. ‘Plan, Do, Check en Act’ vormen samen het managementsysteem van informatiebeveiliging (ISMS), zie hoofdstuk 6.

• •

  (Operationele) regels en verantwoordelijkheden voor het informatiebeveiligingsbeleid dienen te worden vastgelegd en vastgesteld.

5.3 Informatiebeveiliging in de OWO-samenwerking

De OWO-gemeenten neemt deel aan verschillende samenwerkingsverbanden. Bij deze samenwerkingen is sprake van uitwisseling van informatie, waarvan de gemeente, eigenaar of beheerder is.

OWO-samenwerking en I&A

Bijzondere aandacht is er voor de bestuursovereenkomst OWO waarbij de ICT door de gemeente Weststellingwerf voor de drie gemeenten wordt uitgevoerd. Vanuit die hoedanigheid is OWO I&A de uitvoerende partij voor een groot gedeelte van de tactische en operationele informatiebeveiligingsrichtlijnen en -maatregelen. Binnen OWO I&A vervullen de Security Engineer (SE) en de Senior medewerker ICT een belangrijke rol bij de operationalisering van informatiebeveiliging op basis van dit beleid.

Concreet houdt dit onder andere in dat OWO I&A de technische beveiligingsmaatregelen voor onze infrastructuur neemt en ernaar streeft ons netwerk veilig te houden. Denk hierbij aan: back-up en restore, segmentatie van het netwerk en het bestrijden van informatiebeveiligingsincidenten. In de praktijk betekent dit ook veel afstemming tussen de CISO’s, de SE en de Senior medewerker ICT.

Samenwerking informatiebeveiliging in OWO-verband

Om de samenhang in informatiebeveiliging tussen de OWO-gemeenten te waarborgen is er regulier overleg tussen de CISO’s, de SE en de Senior medewerker ICT. In dit overleg worden de actualiteiten en ontwikkelingen (intern binnen OWO en extern) op het gebied van informatiebeveiliging besproken. Ook worden eventueel acties uitgezet om (strategisch) in te spelen op de actualiteiten en ontwikkelingen om informatiebeveiliging binnen de OWO-gemeenten te waarborgen. De drie gemeenten en de OWO-afdelingen zorgen ervoor dat zij elkaar voorzien van de benodigde informatie en tijdig afstemming met elkaar zoeken, waar nodig of wenselijk.

6.1 PDCA-cyclus informatiebeveiliging

Om de borging van het informatiebeveiligingsbeleid en de daarvan afgeleide plannen te realiseren wordt onderstaande Plan, Do, Check, Act (PDCA)-cyclus doorlopen (afbeelding 1). De volgende uitgangspunten worden gehanteerd voor het doorlopen van de PDCA-cyclus (Information Security Management System (ISMS)).

1. Plan (Plannen)

In deze fase wordt de basis gelegd voor het informatiebeveiligingsbeleid. De gemeente:

• •

  Voert een risicoanalyse uit om kwetsbaarheden, dreigingen en risico’s in kaart te brengen (bijv. via DPIA of risicobeoordelingen volgens BIO).

• •

  Stelt beleid en doelstellingen op, afgestemd op wetgeving (zoals de BIO, AVG en Wpg) en gemeentelijke belangen.

• •

  Bepaalt welke processen, systemen en informatiestromen beschermd moeten worden.

• •

  Stelt een plan van aanpak op met maatregelen (zowel organisatorisch als technisch) en benoemt verantwoordelijkheden.

2. Do (Uitvoeren)

De geplande maatregelen worden geïmplementeerd. Denk aan:

• •

  Invoering van beveiligingsmaatregelen (zoals toegangsbeheer, encryptie, back-ups, logging).

• •

  Opstellen en uitvoeren van procedures (incidentafhandeling, wijzigingsbeheer, classificatie van informatie).

• •

  Bewustwordingsactiviteiten voor medewerkers (bijv. (onboardings)trainingen, phishingtests, workshops).

• •

  Technische implementaties, zoals firewalls, monitoringtools of identity & access management.

3. Check (Controleren)

De gemeente controleert of de maatregelen effectief zijn en of het beleid wordt nageleefd:

• •

  Uitvoeren van interne controles, audits en self-assessments (bijvoorbeeld BIO-audits of ENSIA).

• •

  Evalueren van incidenten, meldingen en afwijkingen.

• •

  Monitoren van prestaties en risico's via logging, rapportages en dashboards.

• •

  Controleren of de informatiebeveiligingsdoelen worden behaald.

4. Act (Bijstellen)

Op basis van de uitkomsten uit de check-fase worden verbeteringen doorgevoerd:

• •

  Bijstellen van beleid, procedures of maatregelen waar nodig.

• •

  Behandelen van bevindingen uit audits of incidentanalyses.

• •

  Bijwerken van risicoanalyses en herprioriteren van maatregelen.

• •

  Stimuleren van continue verbetering via de managementcyclus en (eventueel) het ISMS.

Afbeelding 1 PDCA-cyclus informatieveiligheid

6.2 De sturende, vragende en uitvoerende rol in de PDCA-cyclus uitgewerkt

De invulling van de sturende, vragende en uitvoerende rol in een PDCA-cyclus zijn in onderstaand kader weergegeven.

6.2 Audits (ENSIA) en controle

Om te beoordelen of de organisatie zijn informatiebeveiligingsbeleid- en doelstellingen heeft behaald, worden periodieke onafhankelijke audits en controles uitgevoerd. Bij een audit toetst een onafhankelijke deskundige partij op de opzet, bestaan en voor een bepaald aantal normen op de werking van beheersmaatregelen. Hiervoor wordt doorgaans een externe partij, gecertificeerde auditor, ingeschakeld. De uitkomsten van de diverse interne en externe audits bieden input voor het actieplan zoals genoemd onder stap twee van de PDCA-cyclus. Als resultaat van de audit kunnen eventuele zwakheden in de beveiliging ontdekt worden en dit kan tot gevolg hebben dat er aanpassingen noodzakelijk zijn in het beveiligingsbeleid. De gemeente verantwoordt zich over informatiebeveiliging middels de jaarlijks verplichte ENSIA-systematiek (Eenduidige Normatiek Single Information Audit). De ENSIA toets door middel van zelfevaluaties en audits enerzijds de kwaliteit van de basisregistraties en anderzijds de informatiebeveiliging (afbeelding 3).

Naast de ENSIA en overige audits zijn er meer controles. De beheersing van de IT-omgeving maakt onderdeel uit van de accountantscontrole, onderverdeeld in de volgende onderwerpen: informatiebeveiligingsbeleid en AVG, leveranciersmanagement, wijzigingenbeheer, logische toegangsbeveiliging en continuïteitsbeheer. Informatiebeveiliging kan ook onderdeel uitmaken van een Rekenkameronderzoek. Om misbruik, oneigenlijk gebruik en fraude te voorkomen worden controles of onderzoeken uitgevoerd op onderwerpen als autorisatiebeheer en toegangscontrole. Ook controle op de technische naleving van beveiligingsnormen bij informatiesystemen, zoals penetratietesten, zijn onderdeel en input voor het actieplan. Ten slotte leren we van beveiligingsincidenten en indien daarbij persoonsgegevens zijn betrokken van datalekken door deze zorgvuldig te registreren en te evalueren.

Afbeelding 2 Het verantwoordingsproces ENSIA