Beleid informatiebeveiliging en privacy 2024-2028 Gemeente Heusden

2.0 Informatiebeveiliging en privacy

In dit hoofdstuk is uiteengezet wat het belang van informatiebeveiliging en privacy is. Als ook wat de visie en doelen zijn op dit gebied.

4.0 Organisatie van informatiebeveiliging en privacy waarborging

Door het inrichten van een informatiebeveiligings- en privacy organisatie zorgt de gemeente Heusden voor passende aandacht en sturing. Iedereen die werkt binnen de gemeentelijke organisatie heeft een verantwoordelijkheid. Op hoofdniveau wordt dit op vier niveaus ingericht. In dit model is het lijnmanagement verantwoordelijk voor het realiseren van informatiebeveiliging en privacy binnen de eigen processen. De CISO en PO ondersteunen, adviseren, coördineren en bewaken of dit beleid wordt nageleefd.

College van B&W

Het college van B&W is bestuurlijk eindverantwoordelijk voor de Informatiebeveiliging en privacy van haar gemeente. Binnen het college van B&W zijn Informatiebeveiliging en privacy in een portefeuille belegd. Het college stelt het beleid voor Informatiebeveiliging en privacy vast en legt verantwoording af aan de gemeenteraad en stelselverantwoordelijken via de ENSIA

6https://vng.nl/projecten/ensia

.

Gemeentesecretaris

Is ambtelijk eindverantwoordelijk voor de Informatiebeveiliging en privacy van de organisatie.

Dit houdt in:

•Dat de eisen uit het beleid informatiebeveiliging en privacy zijn geïmplementeerd binnen de processen van de organisatie;

•Dat de benodigde capaciteit en middelen beschikbaar zijn voor de uitvoering van het beleid informatiebeveiliging en privacy;

•Dat het belang van doeltreffende informatiebeveiliging gecommuniceerd wordt naar de organisatie;

•Dat er passende informatiebeveiligingsdoelstellingen zijn voor de organisatie;

•Dat de organisatie deze informatiebeveiligingsdoelstellingen bewerkstelligt;

•Dat het beleid informatiebeveiliging en privacy continue verbetert.

Functionaris Gegevensbescherming (FG)

De positie en taken van de FG zijn wettelijk verankerd in de AVG (art. 37 en 38 AVG). In de basis betekent dit dat de FG onafhankelijk toezicht houdt op de naleving van de AVG door de gemeente. Daarnaast geeft de FG gevraagd en ongevraagd advies over onderwerpen en kwesties die de privacy rechten raken van inwoners of de medewerkers van de gemeente. De FG ziet tevens toe op de naleving van de AVG en bijbehorend gemeentebeleid.

Chief Information Security Officer (CISO)

De CISO coördineert, bewaakt en neemt deel aan de uitvoering van het managementproces rond informatiebeveiliging (PDCA-cyclus). De CISO ontwikkelt, in samenwerking met de uitvoerende organisatieonderdelen, operationele richtlijnen en procedures voor Informatiebeveiliging en continue verbetering. De CISO coördineert en bewaakt de uitvoering van het informatieveiligheidsbeleid en verhoogt en houdt het bewustzijn rond informatieveiligheid op peil door het opstellen en uitvoeren van een bewustwordingsplan. De CISO ondersteunt de organisatie met gevraagd en ongevraagd advies. De CISO kan opdracht geven om audits uit te voeren voor informatiebeveiliging. De CISO heeft een rechtstreekse rapportagelijn richting het college en de directie.

Privacy officer (PO)

De PO ondersteunt de organisatie bij de uitvoering en implementatie van de privacyregels. De PO coördineert de afhandeling van datalekken en AVG-privacyverzoeken. Tevens ondersteunt de PO de organisatie met het uitvoeren van DPIA’s en geeft het (on)gevraagd advies op het gebied van privacy. Verder draagt de PO namens het management zorg voor de administratieve organisatie op het gebied van privacy (zoals het verwerkingsregister, datalekregister, benodigde procedures e.d.). Samen met de CISO houdt de privacy officer de bewustwording onder collega’s op peil om te handelen volgens de AVG-principes en Informatiebeveiliging. De PO coördineert relevante audits, waaronder ENSIA en Wpg.

Chief Information Officer (CIO)

De organisatiebrede rol van CIO wordt ingevuld door de clustermanager Informatie en Automatisering. De CIO adviseert directie en bestuur over de strategie rond Informatiebeveiliging en zorgt voor de noodzakelijke middelen. De CIO is verantwoordelijk voor het functioneren van het managementproces rond informatieveiligheid (PDCA-cyclus). De CIO beoordeelt eventuele rest-risico’s op het gebied van informatiebeveiliging na afstemming met de lijnmanager en beslist wanneer deze moeten worden voorgelegd aan de directie.

Chief Privacy Officer (CPO)

De organisatiebrede rol van CPO wordt ingevuld door de Clustermanager Kwaliteitscontrol. De CPO adviseert directie en bestuur over de strategie rond privacy en zorgt voor de noodzakelijke middelen. De CPO is verantwoordelijk voor het functioneren van het managementproces rond privacy (PDCA-cyclus). De CPO beoordeelt eventuele rest-risico’s op het gebied van privacy na afstemming met de lijnmanager en beslist wanneer deze moeten worden voorgelegd aan de directie.

Het lijnmanagement

De lijnmanager is als proces- en risico-eigenaar verantwoordelijk voor Informatiebeveiliging en borging van privacy binnen zijn/haar organisatieonderdeel (afdelingen, opgave of programma).

De verantwoordelijkheden als eigenaar behelzen onder andere:

•Risico’s identificeren en indien nodig te mitigeren;

•Eventuele restrisico’s voorleggen aan CPO en/of CIO

•Bekend zijn met het beleid voor informatiebeveiliging en privacy en deze specifiek implementeren binnen de afdeling;

•De medewerkers van de afdeling in staat stellen het beleid uit te voeren door duidelijke instructies en het laten volgen van bewustzijnstrainingen;

•De medewerkers van de afdeling in staat stellen om afwijkingen op het beleid en incidenten te kunnen identificeren en melden;

•Zorgdragen dat informatiebeveiliging en privacy zijn geborgd bij de inkoop van diensten en producten;

•Zorgdragen dat verbeteringen worden doorgevoerd waar afwijkingen zijn geconstateerd;

•Betrokken zijn bij of verzorgen van de training en begeleiding van de medewerkers op het gebied van het informatiesysteem/de applicatie;

•Beheren en onderhouden van de bij het informatiesysteem/de applicatie behorende gebruikersdocumentatie.

De medewerkers

Alle medewerkers (inclusief inhuur, uitzendkrachten, stagiaires etc.) van de gemeente zijn zich bewust van het beleid en de onderliggende richtlijnen en procedures en handelen daarnaar. Hierin worden zij gestuurd door hun leidinggevenden en geadviseerd door de PO en CISO (team I&P). Bij (noodzakelijke) registratie van tot personen herleidbare gegevens moet worden voldaan aan de AVG.

5.0 Naleving en evaluatie

Beheersmaatregelen worden getroffen om risico’s te verminderen. Om de controle over de risico’s te waarborgen is het noodzakelijk regelmatig na te gaan of maatregelen nog werken en nog steeds de beoogde veiligheid bieden.

De gemeente Heusden controleert periodiek de maatregelen die voortkomen uit dit beleid door controles vanuit de Administratieve organisatie en interne controle (AO/IC), ENSIA, interne assessments en externe audits ten aanzien van (kosten)effectiviteit, privacy en informatiebeveiliging.

Periodiek wordt gerapporteerd over informatiebeveiliging en privacy (risico’s, effectiviteit getroffen maatregelen, voortgang te treffen maatregelen e.d.).

Op basis van o.a.:

•incidenten, datalekken en beveiligingsissues

•interne en externe audits/ controles/ pentesten

•leveranciersbeoordelingen;

•uitgevoerde risicoanalyses;

•(kwetsbaarheids)meldingen;

worden waar nodig corrigerende en/of preventieve maatregelen doorgevoerd. Maatregelen worden geselecteerd met het doel dat de kans op herhaling wordt geminimaliseerd. Of waardoor de doeltreffendheid van het managementsysteem wordt verbeterd en het geleverde product of dienst beter aansluit op de eisen van de burger, bedrijven en partners.

Een werknemer van de gemeente Heusden gaat zorgvuldig en functioneel om met privacy- en organisatiegegevens. Niet naleven van dit beleid voor informatiebeveiliging en privacy kan daarom ook disciplinaire maatregelen tot gevolg hebben. Zoals aangegeven in het personeelshandboek van de gemeente Heusden.