Informatiebeveiligingsbeleid 2024 - 2026 gemeente Asten

Informatiebeveiliging creëert waarde, voorkomt schade en draagt bij aan de bedrijfsdoelstellingen van de organisatie. Om dat te bewerkstelligen zijn de volgende principes belangrijk:

1Bestuurders bevorderen een veilige cultuur

Menselijk gedrag en cultuur beïnvloeden op significante wijze alle aspecten van risicomanagement op elk niveau en in elk stadium.

Ik ben mij bewust van de voorbeeldfunctie van een bestuurder en ik draag uit dat risicomanagement van iedereen is. Ik zorg daarom voor een cultuur waarin iedereen vrij is om dreigingen waar te nemen en te melden. In eerste instantie bij de verantwoordelijke, maar indien nodig ook bij mij als bestuurder. Ik spoor managers aan om voorwaarden te scheppen zodat iedereen binnen de organisatie deelgenoot wordt van het proces van risicomanagement. Ik zorg ervoor dat fouten besproken kunnen worden en dat daarmee een lerende organisatie ontstaat. Ten slotte geef ik in mijn eigen doen en laten het goede voorbeeld van hoe je verantwoordelijk omgaat met informatie.

Toelichting

Zonder open cultuur waar iedereen vrij is om te spreken is het niet goed mogelijk om risico’s te identificeren en als de risico’s niet bekend zijn, kunt u ze ook niet adresseren. Als u in uw organisatie een cultuur bevordert waarin mensen zich vrij voelen om risico’s te melden en maatregelen voor te stellen, dan kunt u adequaat reageren op dreigingen en samenhangende risico’s.

2Informatiebeveiliging is van iedereen

Passende en tijdige betrokkenheid van belanghebbenden maakt het mogelijk dat hun kennis, opvattingen en percepties in aanmerking worden genomen. Dit resulteert in een verbeterd bewustzijn en goed geïnformeerd risicomanagement.

Ik maak medewerkers bewust van de risico’s van het werken met informatie en ik maak risicomanagement onderdeel van het MT-overleg en laat het anderen in vergaderingen agenderen. Ik zorg ervoor dat iedereen risicomanagement toepast en dat het gezien wordt als vanzelfsprekend en nuttig. Ik ben transparant naar de raad en zorg ervoor dat hij ook zijn rol kan pakken op dit onderwerp.

Toelichting

Iedereen moet betrokken worden bij risicomanagement, in alle lagen van de organisatie. Maak gebruik van de kennis en verantwoordelijkheid van proces- en systeem eigenaren. Gebruik uw Chief Information Security Officer (CISO), Privacy Officer (PO), Functionaris Gegevensbescherming (FG) en Controller als onafhankelijke adviseur en laat ze samenwerken in een risicoteam, waar u vanzelfsprekend ook zitting in heeft. Laat uw interne communicatie aandacht besteden aan het verspreiden van de boodschap, het belang en het voordeel van risicomanagement binnen uw organisatie. Goed uitgevoerd risicomanagement creëert waarde voor de organisatie omdat de kwaliteit van besluiten toeneemt en de kans op falen afneemt.

3Informatiebeveiliging is risicomanagement

Risicomanagement wordt bewust toegepast bij alle organisatie activiteiten.

Ik zorg dat risicomanagement een onderdeel is van het bestuurlijk overleg en dialoog. Daarnaast zal ik het integreren in het risicobewustzijn van alle medewerkers en het onderdeel laten zijn van de samenwerking met partners en ik zorg ervoor dat risicomanagement integraal onderdeel uitmaakt van uitbestedingen en samenwerkingen. Ik zorg ervoor dat risicomanagement geformaliseerd wordt binnen de hele organisatie met een duidelijke verdeling van verantwoordelijkheden en heldere besluitvorming.

Toelichting

Risicomanagement werkt alleen als het geïntegreerd is in alle werkprocessen van de organisatie. Dat kan alleen bereikt worden als risico’s regelmatig op de agenda staan en als risico’s een plek/paragraaf krijgen in alle bestuurlijke documenten. Maak lijnmanagers verantwoordelijk voor risicomanagement door afspraken met ze te maken over uw risicobereidheid. Lijnmanagers zijn verantwoordelijk voor de maatregelen en rapportage daarover.

4Risicomanagement is onderdeel van de besluitvorming

Risicomanagement is onderdeel van alle besluiten en risicomanagement is chefsache.

Ik maak medewerkers mede-eigenaar van het risicoproces op het vlak van informatieveiligheid en ik maak informatiebeveiliging onderwerp van alle overlegstructuren. Ik draag er zorg voor dat besluiten ten aanzien van de omgang met risico’s expliciet genomen en vastgelegd worden. Ik laat risicomanagement naadloos aansluiten op de strategische en beleidsmatige doelstellingen van de organisatie. Op deze wijze bied ik een duidelijk kader waarbinnen de medewerkers kunnen opereren.

Toelichting

U kunt als bestuurder alleen de juiste richting aangeven als informatie u bereikt. Door dreigingen en risico’s mee te nemen in de vragen die u stelt aan uw managers kunt u er in uw beslissingen ook rekening mee houden. Zo kunt u bijsturen voordat risico’s manifest worden en escalatie voorkomen.

5Informatiebeveiliging behoeft ook aandacht in (keten)samenwerking

Het risicomanagementproces is aangepast en staat in verhouding tot de externe en interne context van de organisatie die verband houdt met haar doelstellingen.

Ik zorg dat ik de risico’s ken die een gevaar vormen voor de informatievoorziening van de bedrijfsvoering van de gemeente en ik anticipeer op risico’s die voortkomen uit het werken in ketens en ik houd rekening met de complexiteit, de onzekerheid en ambiguïteit in de samenwerking met anderen. Bij samenwerken of uitbesteden van (delen) van de organisatie of processen zorg ik ervoor dat de risico’s in kaart gebracht zijn, verantwoordelijkheden verdeeld en dat de juiste maatregelen getroffen worden.

Toelichting

Het risicomanagementproces moet passen bij de organisatie en ondersteunen aan de organisatiedoelstellingen. De keten is zo sterk als de zwakste schakel. De gemeente dient met ketenpartners en leveranciers regelmatig het gesprek te voeren over risico’s en de maatregelen die ervoor zorgen dat de risico’s tot een acceptabel niveau worden teruggebracht.

6Informatiebeveiliging is een proces

Risico’s kunnen ontstaan, veranderen of verdwijnen als de externe en interne context van een organisatie verandert. Risicomanagement detecteert en anticipeert op die veranderingen en gebeurtenissen op een gepaste en tijdige manier.

Ik zorg ervoor dat risicomanagement cyclisch is en daarmee kan ik reageren op veranderingen en toekomstgericht sturen. Het staat daarom regelmatig op de agenda.

Toelichting

Risicomanagement moet een cyclisch, iteratief en terugkerend proces zijn, want dreigingen veranderen, doelstellingen veranderen, de omgeving verandert en wetgeving verandert. Indien u in uw risicomanagement geen rekening houdt met een veranderende omgeving, dan zijn uw maatregelen op termijn wellicht niet doeltreffend of doelmatig.

7Informatiebeveiliging kost geld

Risico’s moeten behandeld worden en er zijn vele manieren om veiligheid te realiseren, maar aan alle zijn kosten verbonden.

Ik zorg ervoor dat er voldoende middelen beschikbaar zijn om de onderkende risico’s op een adequate manier te behandelen. Als gebleken is dat een risico een bedreiging is voor de organisatiedoelstellingen en er maatregelen genomen moeten worden, dan zorg ik er ook voor dat de middelen beschikbaar zijn om deze maatregelen uit te voeren.

Toelichting

Risico’s kunt u ontwijken, mitigeren, overdragen of wegnemen door het nemen van preventieve-, repressieve-en/of correctieve maatregelen. Welke strategie u ook kiest, ze kosten allemaal middelen in termen van tijd en geld. Voor maatregelen kan derhalve een kosten-batenanalyse worden gemaakt.

8Onzekerheid dient te worden ingecalculeerd

De input voor risicomanagement is gebaseerd op historische en actuele informatie, evenals op toekomstige verwachtingen. Risicomanagement houdt expliciet rekening met eventuele beperkingen en onzekerheden die aan dergelijke informatie en verwachtingen zijn verbonden. Informatie moet tijdig, duidelijk en beschikbaar zijn voor relevante belanghebbenden.

Risicomanagement is gebaseerd op de best beschikbare informatie vanuit mijn organisatie en vanuit mijn samenwerkingen. Ik zorg ervoor dat alle belanghebbenden op een gestructureerde en voorspelbare wijze informatie delen die bijdraagt aan risicomanagement.

Toelichting

Zonder goede informatie kunt u geen goede risico-inschattingen en besluiten nemen. Zonder goede en tijdige informatie bent u niet bekend met de risico’s die uw organisatie loopt.

9Verbetering komt voort uit leren en ervaring

Risicobeheer wordt voortdurend verbeterd door leren en ervaring.

Door mijn inzet zorg ik ervoor dat risicogestuurd werken doorontwikkeld wordt. Ik reflecteer op ervaringen en ik nodig medewerkers uit tot het delen van ervaringen met betrekking tot de risico’s die de informatievoorziening bedreigen. Ik zorg ervoor dat de organisatie kan leren van incidenten en dat de organisatie leert te ontdekken wat wel en wat niet werkt.

Toelichting

Risicomanagement gedijt het beste in een organisatie die leert van ervaringen en op basis hiervan verbeteringen doorvoert. Hoe goed u uw informatiehuishouding ook beveiligt, incidenten zullen altijd voorkomen. Door te zoeken naar verbeterpunten en de wil om te leren bouwt u doorlopend aan het verhogen van uw digitale weerbaarheid.

10Het bestuur controleert en evalueert

Risicomanagement is het controleren en evalueren van resultaten, evenals het nemen van eindverantwoordelijkheid en het doorhakken van lastige knopen.

Ik geef opdracht om de werking van risicomanagement binnen mijn organisatie op effectiviteit en efficiency te (laten) controleren. Naast managementrapportages zijn (externe) controles de manier om te weten te komen of en hoe het beleid in de praktijk uitwerkt. Als bestuurder weeg ik goed geïnformeerd risico’s en belangen af en neem ik mijn verantwoordelijkheid om knopen door te hakken.

Toelichting

Controle is belangrijk om goed inzicht te krijgen in de mate waarin het informatiebeveiligingsbeleid en risicomanagement ingebed zijn in de organisatie. Naast verslagen en managementrapportages zijn incidenten, en dan vooral de manier waarop ze afgewikkeld worden, een goede graadmeter om te zien hoe de organisatie.

1Meld incidenten in EVA als:

•onbevoegden (mogelijk) vertrouwelijke informatie in handen hebben gekregen (datalek);

•je technische incidenten zoals inbraak, verlies of diefstal constateert;

•je twijfelt of een gebeurtenis een incident is.

2Begeleid bezoekers en spreek onbekenden aan

3Let goed op je toegangspas, dit is een sleutel

•Meld direct bij personeelszaken wanneer je de pas kwijt bent of je een pas gevonden hebt.

•Zorg ervoor dat je pas niet herleidbaar is naar de gemeente.

4Wees oplettend wanneer je werkt met informatie

•Vertrouwelijke informatie? Zorg ervoor dat niemand mee kan kijken of luisteren.

•Wees alert op telefoontjes, verstrek geen (persoons)gegevens wanneer je niet 100% zeker weet dat je de juiste persoon aan de telefoon hebt.

•Deponeer fysieke documenten met vertrouwelijke gegevens niet in de prullenbak. Maar behandel ze volgens de afgesproken werkwijze

•Deel geen vertrouwelijke informatie via de reguliere mail, social media, Dropbox, WeTransfer, Trello en soortgelijke programmatuur, maar gebruik Zorgmail (of een vervanger daarvan zoals Bastion365).

5Zorg voor een cleandesk en –screen

•Berg vertrouwelijke documenten op wanneer je de werkplek verlaat.

•Vergrendel altijd je beeldscherm wanneer je niet achter je beeldscherm zit (ook thuis).

•Berg waardevolle privé eigendommen zoals tassen, sleutels en portemonnees op.

6Houd je wachtwoorden altijd geheim, deel deze ook niet met collega’s

•Wijzig je wachtwoord wanneer deze (vermoedelijk) is gelekt.

•Gebruik hetzelfde wachtwoord niet voor verschillende toepassingen.

•Schrijf je wachtwoorden niet (digitaal) op. Maar stop die in de door, de werkgever beschikbaar gestelde, wachtwoordkluis

•Gebruik, voor zover de programmatuur dat toelaat overal 2-factor authenticatie.

•Toegang tot een systeem of mailbox van je collega nodig? EVA helpt je, na overleg met de CISO en de PO, hierbij.

7Beveilig (privé) apparatuur

•Denk hierbij aan het instellen van een wachtwoord, pincode, antivirussoftware et cetera.

•Meld verlies van je werklaptop, -tablet of -mobiel direct in EVA.

•(Laat) zakelijke gegevens wissen voor inleveren, afgifte of reparatie van apparatuur.

8Werk veilig met digitale gegevensdragers en mobiele apparaten

•Laat telefoons, tablets en laptops niet onbeheerd achter.

•Gebruik geen onbekende (open) Wifi-netwerken.

•Gebruik geen USB-sticks, zeker geen onbeveiligde of gevonden USB-sticks. Voor dataoverdracht naar bijvoorbeeld het streekarchief eerst overleg met de CISO.

•Plaats geen bestanden, en zeker niet met vertrouwelijke informatie, op mobiele apparaten.

9Wees alert op websites en e-mails

•Open geen verdachte bestanden.

•Klik niet op verdachte links, pop ups, afbeeldingen. En scan geen onbekende QR-codes

•Bel direct de CISO of het servicepunt van ICT NML wanneer je vermoedt dat je apparaat of digitale werkomgeving mogelijk is geïnfecteerd. Of er zich een andere onregelmatigheid heeft voorgedaan.

10Werk je met persoonsgegevens? Ga hier bewust mee om

•Vraag niet meer persoonsgegevens op dan nodig.

•Gebruik persoonsgegevens niet voor een ander doel dan waarvoor ze zijn verzameld.

•Vraag je af of je het doel kunt bereiken zonder persoonsgegevens.

•Deel persoonsgegevens niet zomaar met derden.

•Bewaar persoonsgegevens niet langer dan de wettelijke bewaartermijn

1In geval van een crisissituatie is de burgemeester altijd portefeuillehouder. Gemeentesecretaris en burgemeester zijn daarom altijd in de lead.

2Opdrachten aan de ambtelijke organisatie worden altijd door de gemeentesecretaris verstrekt. Een uitzondering daarin is een crisissituatie. In dat geval mag de burgemeester rechtstreeks een opdracht geven. Maar in Asten laten we dat, indien de situatie het toelaat, ook dat via de gemeentesecretaris lopen.

3We mogen meningsverschillen hebben en verschil van inzicht. Maar we behandelen elkaar altijd met respect. Naar buiten toe spreken we met één mond.

4Afgrenzing tussen crisis enerzijds en regulier beleid/uitvoering anderzijds gebeurt in overleg tussen de portefeuillehouders.

5Principe van integrale advisering: alle disciplines zijn betrokken, geven standpunten en vervolgens wordt er één advies gemaakt, met de mogelijkheid om de verschillende standpunten weer te geven (ivm mogelijke alternatieven en risico’s). Er gaat dus maar één standpunt naar buiten de gemeente Asten. Dit is belangrijk om ons eigen standpunt en onze positie niet te ondermijnen of een negatief beeld te voorkomen over de kwaliteit van onze besluitvorming.

6We informeren elkaar volledig en tijdig. Kennis is alléén macht als dit gedeelde kennis is. Dit is ook nodig voor het principe van integrale advisering.

MT

College

Gemeenteraad

Meerjarenbeleid

Betrekken

Vast laten stellen

Informeren

Jaarplan

Vast laten stellen

Informeren

--

ENSIA

Betrekken

Vast laten stellen

Informeren (onder geheimhouding)

Verbeterplan ENSIA

Vast laten stellen

--

--

Jaarverslag informatiebeveiliging

Vast laten stellen

Informeren

--