Bijlage 1 Uitwerking rollen informatiebeveiliging gemeente Heumen
De gemeenteraad
Toetsing en controle: de gemeenteraad draagt een specifieke bevoegdheid voor de controle en de toetsing op de werking van beleid binnen de gemeente. Het College legt in lijn met de P&C-cyclus jaarlijks verantwoording af aan de raad, door middel van een collegeverklaring/In Control Verklaring (ICV) – waarop door een auditor assurance wordt afgegeven – en daarnaast in het jaarverslag met een passage over informatiebeveiliging in de paragraaf bedrijfsvoering.
College van B&W
Het College van Burgemeester en Wethouders (B&W) keurt het beleid formeel goed en draagt zorg voor de naleving van het beleid in de gemeente. Ook is er een portefeuillehouder ICT vastgesteld die verantwoordelijk is voor informatiebeveiliging.
Het college informeert de Raad over de informatiebeveiliging van de gemeente door een aparte paragraaf op te nemen in de jaarrekening van de gemeente of door het doorgeleiden van een jaarrapportage.
Gemeentesecretaris
De gemeentesecretaris zorgt dat alle processen en systemen en de daarbij behorende middelen altijd onder de verantwoordelijkheid vallen van een afdelingshoofd. De gemeentesecretaris zorgt dat de afdelingshoofden zich verantwoorden over de beveiliging van de informatie die onder hen berust. De gemeentesecretaris zorgt dat de eindverantwoordelijke portefeuillehouders binnen het college gevraagd en ongevraagd geïnformeerd worden over de mate waarin informatiebeveiliging een onderdeel is van het handelen van de bedrijfsvoering. Op die manier kan het College zich verantwoorden naar de raad. De gemeentesecretaris heeft o.a. de volgende taken en bevoegdheden:
•Het stellen van kaders en het geven van sturing voor de veiligheid van informatie (gewenste niveau van continuïteit en vertrouwelijkheid);
•Het sturen op concern risico’s;
•Het periodiek evalueren van beleidskaders en deze bijstellen waar nodig;
•Het (laten) controleren of de getroffen veiligheidsmaatregelen overeenstemmen met de betrouwbaarheidseisen en of deze veiligheidsmaatregelen voldoende bescherming bieden;
•Het beleggen van de verantwoordelijkheid voor informatiebeveiligingscomponenten en systemen;
•Het (waar mogelijk) inrichten van functiescheiding tussen beleidsbepalende, uitvoerende en controlerende taken met betrekking tot informatiebeveiliging
•Autoriseren procedures en uitvoeringsmaatregelen.
Afdelingshoofd (MT)
De afdelingshoofden Bouwen Milieu en Leefomgeving (BML), Sociale Leefbaarheid (SOLE), Publiekszaken (PUZA), Bedrijfsondersteuning (BEON) en Facilitaire ondersteuning (FAON) zijn verantwoordelijk voor informatiebeveiliging in zijn of haar afdeling. Het afdelingshoofd onderhoudt hiervoor contact met de medewerkers die behoren bij de eigen afdeling en zorgt voor een correcte naleving van het beleid door zijn medewerkers (beleidsuitvoering). De belangrijkste taken en bevoegdheden van het afdelingshoofd, in afstemming met CISO en FG in het kader van informatiebeveiliging zijn:
•Rapporteren aan het college of gemeentesecretaris over de onder hun verantwoordelijkheid tactisch en operationeel uitgevoerde informatiebeveiligingsactiviteiten.
•Het vroegtijdig signaleren van de voornaamste bedreigingen waaraan de bedrijfsinformatie is blootgesteld;
•Het leveren van input voor nieuwe maatregelen en procedures en het uit laten voeren van maatregelen uit het jaarlijkse informatiebeveiligings- en privacyplan die op de afdeling van toepassing zijn;
•Het binnen de eigen afdeling uitdragen van het beveiligingsbeleid en de daaraan gerelateerde procedures waarbij er zorgt voor wordt gedragen dat de teams de CISO en de FG tijdig betrekken.
•Bespreking van beveiligingsincidenten en de consequenties die dit moet hebben voor beleid en maatregelen;
•Het sturen op beveiligings- en privacybewustzijn, op bedrijfscontinuïteit en op naleving van regels en richtlijnen
Applicatiebeheerder
Binnen de teams zijn er bepaalde medewerkers, voornamelijk applicatiebeheerders die fungeren als eerste aanspreekpunt voor team informatiebeveiliging en privacy omdat zij proceseigenaar zijn van een brede set informatie, wat aanvullende taken met zich mee brengt qua beheer, de coördinatie en advies ten aanzien van informatiebeveiliging en privacybescherming van specifieke gegevensverzamelingen en specifieke wet- en regelgeving.
Tot de taken en bevoegdheden van elke applicatiebeheerder behoren:
•Controleren, signaleren, rapporteren en aanpassen van de processen en applicaties; Tevens eerste aanspreekpunt.
•Informatiebeveiliging en privacy meenemen in beslissingen over de lopende en nieuwe processen en voorschriften van de applicaties;
•Uitvoering, toezicht en rapportage op de voorbereiding en uitvoering van het beveiligingsbeleid en- plan (en wet- en regelgeving) en hiermee compliance aan het afdelingshoofd en CISO/FG m.b.t. de eigen processen en applicaties.
•Vastleggen en beheren van maatregelen ten behoeve van eigen processen en applicaties in het Information Security Management System (ISMS).
•Opstellen van gebruikersdocumentatie informatiebeveiliging (en configuratie applicatie) zoals handleidingen, procedures, werkwijzen.
•Het classificeren van opgeslagen data in applicaties en gegevensverzamelingen en het opstellen van betrouwbaarheidseisen van applicaties/systemen.
•Beoordelen, toekennen en monitoren van autorisaties aan gebruikers op basis van een vastgesteld proces en met behulp van een autorisatiematrix;
•Toezicht houden dat nieuwe medewerkers worden geïntroduceerd en bekend gemaakt met de beveiligingsprocedures. Inclusief medewerkers aanspreken op de verantwoordelijkheid in hun dagelijkse werkprocessen en hiermee het sturen op beveiligingsbewustzijn, bedrijfscontinuïteit en op naleving van regels en richtlijnen.
We onderscheiden de volgende applicatiebeheerders:
•Applicatiebeheerder fysieke toegang en locatiebeheer: verantwoordelijk voor fysieke beveiliging van - en in - gebouwen en ruimtes binnen de gemeente.
•Beveiligingsbeheerder automatisering ICT Rijk van Nijmegen (iRvN): o.a. verantwoordelijk voor de technische beveiliging en beheer aspecten op het gebied van automatisering, zoals ICT security management, incident- en probleem management. Verzorgt logging, monitoring en rapportage over de automatisering en geeft advies.
•Applicatiebeheerder P&O: verantwoordelijk voor het bijhouden van persoonsgegevens van medewerkers en het in-en uitdiensttredingsproces.
•Applicatiebeheerder financiën: verantwoordelijk voor het toezicht op de naleving van de maatregelen en procedures op het gebied van financiële gegevens en alle daaraan gekoppelde registraties. Denk daarbij aan gevoelige informatie van crediteuren en debiteuren.
•Applicatiebeheerder inkomen: verantwoordelijk voor het toezicht op de naleving van de maatregelen en procedures die voortkomen uit de Participatiewet en Basis beveiligingsrichtlijnen SUWI. Denk daarbij aan gevoelige cliëntinformatie op het gebied van werk, uitkeringen en re-integratie.
•Coördinator kernteam: in de gemeente is de coördinator van het kernteam verantwoordelijk voor de beveiliging van de gegevens die verwerkt worden binnen het sociaal team.
•Applicatiebeheerders BAG, BGT en BRO en gegevensbeheer: toezien op naleving van de Wet- en Regelgeving van deze basisregistraties.
•CISO: is verantwoordelijk voor de realisatie van een betrouwbare, veilige en efficiënte inrichting van de informatievoorziening van de gemeente, waarbij rekening wordt gehouden met wet- en regelgeving. Ondersteunt functioneel-, gegevens- en applicatiebeheerders en verzorgt inhoudelijke kwaliteitszorg betreffende het gegevens verzamelen, de gegevensverwerking en de informatievoorziening.
•Applicatiebeheerder DigiD: een taak die bij de (web)applicatiebeheerder van de DigiD-aansluiting is belegd en verantwoordelijk is voor het toezicht op de naleving van de maatregelen en procedures die voortkomen uit de Basis beveiligingsrichtlijnen DigiD, zoals technische maatregelen bij de externe leverancier (infrastructuur, segmentering etc.) en de interne dataclassificatie, toegangsvoorziening en kwetsbaarhedenbeheer die jaarlijks wordt getoetst (ENSIA). Denk daarbij aan de bescherming van persoonsgegevens, voor zover een softwareleverancier waaraan diensten zijn uitbesteed daar niet voor verantwoordelijk is. Ook rapporteert de beveiligingsbeheerder DigiD hierover periodiek aan het afdelingshoofd Publiekszaken.
•Security Officer Suwinet: De security officer Suwinet is verantwoordelijk voor de beveiliging van Suwinet. De taken en bevoegdheden van de security officer Suwinet zijn:
•Aanspreekpunt voor Suwinet binnen de gemeente en bevordert en adviseert op het gebied van informatiebeveiliging Suwinet;
•Bevordert en beheerst beveiligingsprocedures en – maatregelen in het kader van Suwinet, zodanig
•dat de beveiliging van Suwinet overeenkomstig wettelijke eisen is ingevoerd;
•Controleert of en in hoeverre beveiligingsmaatregelen en -procedures worden nageleefd en monitort
•de uitvoering van het opgestelde beleid;
•Evalueert de uitkomsten en doet voorstellen voor implementatie en aanpassing van plannen op het
•gebied van de beveiliging Suwinet;
•Overlegt met CISO, het afdelingshoofd en de applicatiebeheerder inkomen over informatiebeveiliging en -beheer Suwinet;
•Stelt het informatiebeveiligingsplan Suwinet op en coördineert de periodieke evaluatie;
•Voert jaarlijks een controle uit op de naleving van het informatiebeveiligingsplan Suwinet;
•Rapporteert jaarlijks over het informatiebeveiligingsplan aan het afdelingshoofd;
•Applicatiebeheerder BRP en Reisdocumenten en Rijbewijzen: de applicatiebeheerder BRP en reisdocumenten en rijbewijzen is een taak die bij de afdeling Publiekszaken is belegd en verantwoordelijkheid met zich mee brengt om toe te zien op naleving van de beveiligingsmaatregelen en –procedures op het gebied van Basisregistratie Personen (BRP) en op het treffen van maatregelen om reisdocumenten en rijbewijzen, apparatuur, programmatuur, opslagmedia, documentatie en overige materialen te beveiligen tegen ontvreemding dan wel vernietiging ten gevolge van inbraak, diefstal, verduistering, overvallen, brand of anderszins. Tevens verantwoordelijk voor het beheer van de autorisaties voor de reisdocumentenmodules (RAAS en aanvraagstations) en voor het beheer van de autorisaties voor rijbewijzen, inclusief aanmelding bij de RDW.
Teams
Alle medewerkers dragen verantwoordelijkheid voor de veiligheid van de activiteiten die behoren tot hun eigen functie en taken. Onbewust menselijk handelen is de belangrijkste bedreiging voor de gemeentelijke informatievoorziening. Ongewenste, onbewuste acties blijken een groter risico voor de privacy van inwoners en de veiligheid van informatie dan bewuste en gerichte aanvallen. Zij dienen zorgvuldig en gedisciplineerd om te gaan met informatie en (informatie)systemen en zich bewust te zijn van eisen ten aanzien van de betrouwbaarheid, de integriteit en de beschikbaarheid van de informatieprocessen waarbij zij zijn betrokken. Mocht een medewerker iets signaleren m.b.t. informatieveiligheid of privacy neemt diegene contact op met de CISO of FG.
Chief Information Security Officer (CISO)
De CISO is de belangrijkste adviseur op het gebied van informatiebeveiliging. De CISO is verantwoordelijk voor de controle op een juiste uitvoering van het informatiebeveiligingsbeleid, de realisatie van de veiligheidsmaatregelen en de classificatie, coördinatie en escalatie van beveiligingsincidenten. Hieronder valt ook het controleren van autorisatiematrices. De CISO kan hiertoe de interne controle opdracht geven. De CISO is door het college gemandateerd en heeft de volgende taken en bevoegdheden:
•Beleid en coördinatie: het opstellen en actualiseren van het informatiebeveiligingsbeleid; het opstellen van informatiebeveiligingsplannen voor afdelingen of deelgebieden. Het coördineren van de werkzaamheden van collega’s, afdelingen en instanties die betrokken zijn bij de uitvoering van het informatiebeveiligingsbeleid en -plan en het ondersteunen van college of gemeentesecretaris en de leidinggevenden met kennis over informatiebeveiliging. Treedt op als coördinator bij een ICT-crisis.
•Controle en registratie: het toezicht houden op de implementatie en naleving van het informatiebeveiligingsbeleid; Het beheersen van de risicoanalyses en toezicht houden op de processen en beveiligingsmaatregelen Het bijhouden van de registratie van informatiebeveiligingsincidenten en het afhandelen van opgetreden incidenten en het nemen van preventieve maatregelen ter voorkoming van dergelijke incidenten. Stelt controleplannen op en voert risicoanalyses en interne audits uit of initieert deze.
•Communicatie en voorlichting: het onderhouden van externe en interne contacten op alle niveaus over informatiebeveiliging en deelname aan overleggen met betrekking tot informatiebeveiliging.
•Het verzorgen en coördineren van voorlichting en interne opleidingen van het personeel op het gebied van informatiebeveiliging en het stimuleren van het beveiligingsbewustzijn; Aanspreekpunt voor medewerkers van de gemeente over het onderwerp informatiebeveiliging en contactpersoon van de gemeente voor de Informatie Beveiligingsdienst (IBD).
•Advies en rapportage en uitvoering: het opstellen en uitwerken van beveiligingsplannen ten aanzien van de maatregelen, evenals het leveren van ondersteuning bij het uitvoeren van de geaccepteerde plannen, waarbij ook afgestemd wordt met lopende projecten binnen de organisatie. Overleg en rapportage o.a. via de P&C cyclus over het aspect informatiebeveiliging aan management, College en Raad. Adviseert over en voert maatregelen in op basis van de BIO.
Functionaris Gegevensbescherming (FG)
De FG heeft de volgende wettelijke taken (AVG Art 39), vertaald naar de situatie bij de gemeente:
•Informeren en adviseren van het College, het management, de raad en de medewerkers over hun verplichtingen met betrekking tot gegevensbescherming, tevens contactpersoon.
•Toezien op de naleving van zowel de AVG als alle andere wet- en regelgeving met betrekking tot persoonsgegevens. Hierbij hoort tevens toewijzing van verantwoordelijkheden, bewustmaking en opleiding van het bij de verwerking betrokken personeel en de betreffende audits;
•Desgevraagd adviseren omtrent gegevensbescherming effectbeoordeling, ook wel Data Protection Impact Assessment (DPIA) genoemd, en toezien op de uitvoering daarvan en het ondersteunen bij het besluitvormingsproces en het afsluiten van verwerkersovereenkomsten en convenanten en de vaststelling van reglementen;
•Toezichthouden op de registraties en afhandeling van beveiligingsincidenten waarbij persoonsgegevens betrokken zijn en toezichthouden op het melden van een datalek bij de Autoriteit en Persoonsgegevens en bij de betrokkenen.
•Samenwerken met en als contactpunt optreden voor de Autoriteit Persoonsgegevens (AP);
•Brengt verslag uit aan de hoogste leidinggevende van de verwerkingsverantwoordelijke, zijnde in veel gevallen de gemeentesecretaris, het college of de burgemeester en in sommige gevallen de gemeenteraad.
Interne controle (auditor)
De controller of auditor maar ook de FG verzorgt de interne controle op (het functioneren van) de beveiligingsorganisatie en geeft hierover gevraagd en ongevraagd advies aan de CISO. De interne controle is gemachtigd om op eigen initiatief, steekproefsgewijs, controles uit te voeren op een juiste uitvoering van het beleid door de gemeente . Dit kan bijvoorbeeld betrekking hebben op de controle op de voortgang van het uitvoeren van de maatregelen uit het informatiebeveiligingsbeleid of jaarplan. Over de resultaten van de uitgevoerde audits wordt door de lijnverantwoordelijken gerapporteerd aan de CISO. De CISO bundelt deze bijdragen en rapporteert hierover periodiek aan het college of management.