Aanhef
Het college van burgemeester en wethouders van de gemeente Roermond heeft besloten het Informatiebeveiligingsbeleid Roermond vast te stellen.
Inleiding
Dit document geeft algemene beleidsuitgangspunten over informatiebeveiliging voor de gemeente Roermond. Deze uitgangspunten hebben een sterk normerend karakter en geven keuzes weer. Dit beleid is gebaseerd op de norm ‘Baseline Informatiebeveiliging Overheid (BIO)’.
De BIO is van toepassing op de overheid en hiermee op de volgende bestuursorganen:
•Rijksdienst
•Provincies
•Waterschappen
•Gemeentes
In dit document is een aanzienlijk aantal beleidsuitgangspunten nader uitgewerkt en zijn beveiligingseisen en -maatregelen opgenomen, die organisatie breed voor alle processen en systemen gelden. Onderdeel van dit document is een beheerstructuur voor informatiebeveiliging, waarmee verantwoordelijkheden voor informatiebeveiliging worden belegd en informatiebeveiliging wordt ingebed in de reguliere planning- en control cyclus binnen de (kwaliteitshandhaving van de) bedrijfsvoering.
Informatiebeveiliging
Informatiebeveiliging is de verzamelnaam voor de processen, die ingericht worden om de betrouwbaarheid van processen, de gebruikte informatiesystemen en de daarin opgeslagen gegevens te beschermen tegen al dan niet opzettelijk verrassingen met negatieve gevolgen voor de bedrijfsvoering, waarbij het bereiken van de gestelde doelen in gevaar wordt gebracht. Het begrip ‘informatiebeveiliging’ heeft betrekking op:
•beschikbaarheid / continuïteit: het zorg dragen voor het beschikbaar zijn van informatie en informatie verwerkende bedrijfsmiddelen op de juiste tijd en plaats voor de gebruikers;
•exclusiviteit / vertrouwelijkheid: het beschermen van informatie tegen kennisname en mutatie door onbevoegden. Informatie is alleen toegankelijk voor degenen die hiertoe geautoriseerd zijn;
•integriteit / betrouwbaarheid: het waarborgen van de correctheid, volledigheid, tijdigheid en controleerbaarheid van informatie en informatieverwerking.
Waarom informatiebeveiliging?
Informatie is één van de belangrijkste bedrijfsmiddelen van de gemeente. Toegankelijke en betrouwbare overheidsinformatie is essentieel voor de gemeente, die zich verantwoordelijk gedraagt, aanspreekbaar en servicegericht is, die transparant en proactief verantwoording aflegt aan inwoners en raadsleden en die met minimale middelen maximale resultaten behaalt. De bescherming van waardevolle informatie is datgene waar het uiteindelijk om gaat. Hoe waardevoller de informatie is, hoe meer maatregelen er getroffen moeten worden.
Reikwijdte en afbakening informatiebeveiliging
Informatiebeveiliging is meer dan ICT, computers en automatisering. Het gaat om alle uitingsvormen van informatie (analoog, digitaal, tekst, video, geluid, geheugen, kennis), alle mogelijke informatiedragers (papier, elektronisch, foto, film, CD, DVD, USB, SD kaart, beeldscherm, smartphone, tablets, et cetera) en alle informatie verwerkende systemen (applicaties, systeemprogrammatuur, databases, hardware, bijbehorende bedrijfsmiddelen), maar vooral ook mensen en processen. Studies laten zien dat de meeste incidenten niet voortkomen uit gebrekkige techniek, maar vooral door menselijk handelen en een tekortschietende organisatie. Voorbeelden van informatiebeveiligingsmaatregelen zijn: clean desk en clear screen policy implementeren of hoe om te gaan met mobiele apparatuur en aanwijzingen voor telewerken.
Informatiebeveiliging vormt een onderdeel van de kwaliteitszorg voor bedrijfsprocessen en ondersteunende informatiesystemen en richt zich op de beschikbaarheid, vertrouwelijkheid en integriteit van de geautomatiseerde informatievoorziening. Informatiebeveiliging is een lijnverantwoordelijkheid en onderdeel van de kwaliteitszorg voor organisatie- en bestuursprocessen en de ondersteunende informatiesystemen.
Informatiebeveiligingsbeleid van de gemeente Roermond
Het bestuur en centraal management team spelen een cruciale rol bij het uitvoeren van dit informatiebeveiligingsbeleid. Zo maakt het centraal management team een inschatting van het belang dat de verschillende delen van de informatievoorziening voor de gemeente hebben, de risico’s die de gemeente hiermee loopt en welke van deze risico’s onacceptabel hoog zijn. Op basis hiervan zet het centraal management team dit beleid voor informatiebeveiliging op, draagt dit uit naar de organisatie en ondersteunt en bewaakt de uitvoering ervan.
Dit Informatiebeveiligingsbeleid treedt in werking na vaststelling door college van burgemeester en wethouders. Hiermee komt het oude Informatiebeveiligingsbeleid van de gemeente Roermond te vervallen.
4. Het risicomanagementproces binnen gemeente Roermond
4.1 Risicomanagement in de managementcyclus
4.1.1 Risicoanalyse
Voor elk kritisch bedrijfsproces en informatiesysteem wordt door het lijnmanagement periodiek een risicoanalyse uitgevoerd. Het begrip lijnmanagement wordt hierbij ruim opgevat (zie paragraaf 2.3). De resultaten van een dergelijke risicoanalyse worden vastgelegd in een systeemontwerp c.q. informatiebeveiligingsplan.
Het uitgangspunt tijdens deze risicoanalyses is, dat middels een BBN-toets bepaald wordt welke betrouwbaarheidseisen (BIV: Beschikbaarheid – Integriteit – Vertrouwelijkheid) ) van toepassing zijn op het desbetreffende proces en informatiesysteem en binnen welk beveiligingsniveau deze vallen. Indien de eisen niet binnen het desbetreffende niveau vallen, maar hoger liggen dan geeft een diepgaande risicoanalyse uitsluitsel over welke additionele matregelen getroffen dienen te worden. Daarbij is het belangrijk vast te stellen, dat de situatie binnen de gemeente Roermond zélf het uitgangspunt is voor de analyses.
4.2 Toetsing en evaluatie
4.2.1 Jaarlijks DigiD assessment
Betrouwbare digitale communicatie is van groot belang voor het vertrouwen in en de integriteit van elektronische (overheids)dienstverlening. Het ministerie van BZK is verantwoordelijk voor de veiligheid van DigiD (Digitale Identiteit). Dit betreft niet alleen het middel zelf, maar ook de daarop aangesloten digitale diensten.
Met DigiD kan een natuurlijk persoon laten zien wie deze is als erop internet iets geregeld moet worden. Dat kan bij de overheid, het onderwijs, de zorg of een pensioenfonds.
Er wordt toezicht gehouden op de koppeling van DigiD met de webapplicatie van een aangesloten organisatie. Alle organisaties die DigiD gebruiken moeten per 1 augustus 2022 voldoen aan het DigiD Normenkader 3.0. Deze beveiligingsnorm is bedoeld voor organisaties die DigiD gebruiken en jaarlijks een ICT-beveiligingsassessment moeten doen. De norm is een selectie van richtlijnen uit het document 'ICT-beveiligingsrichtlijnen voor webapplicaties' van het Nationaal Cyber Security Centrum (NCSC). De norm is vastgesteld door het ministerie van Binnenlandse Zaken en Koninkrijksrelaties in overleg met Logius, AuditDienstRijk en het NCSC. Toetsing van de normen gebeurt op basis van een IT-audit uit te voeren door een onafhankelijk bij de beroepsgroep NOREA aangesloten IT-auditor.
Een organisatie met een DigiD aansluiting:
•laat jaarlijks een assessment uitvoeren; Voor bestaande DigiD aansluitingen maakt dit assessment deel uit van ENSIA;
•zorgt voor het oplossen van eventuele tekortkomingen;
•levert een door een RE-auditor opgestelde en ondertekende rapportage aan bij Logius.
Met het ICT-beveiligingsassessments DigiD houdt Logius toezicht op de DigiD aansluitingen met als doel het gebruik van DigiD veilig te houden. Logius houdt ook toezicht op het op tijd naleven van de assessmentplicht en beoordeelt de IT-auditrapportage (assessmentrapportage).
Het ICT-beveiligingsassessments DigiD biedt inwoners meer zekerheid dat DigiD als authenticatiemiddel veilig en betrouwbaar is. Het verplicht DigiD aansluithouders inzicht te geven in de informatieveiligheid van de op DigiD aangesloten webapplicatie.
4.2.2 Onafhankelijke beoordeling van Informatiebeveiliging
De benadering van de organisatie voor het beheer van informatiebeveiliging en de implementatie daarvan (d.w.z. beheerdoelstellingen, beheersmaatregelen, beleid, processen en procedures voor informatiebeveiliging) behoren onafhankelijk en met geplande tussenpozen te worden beoordeeld, of zodra zich wijzigingen voordoen in de implementatie van de beveiliging.
Het informatiebeveiligingsbeleid wordt minimaal één keer in de drie jaar geëvalueerd (door een onafhankelijke deskundige) en desgewenst bijgesteld.
De werkzaamheden voor de interne audits zijn opgenomen in het ‘Jaarplan Audit en Interne Controle’ Gemeente Roermond. Interne audits is de verzamelnaam voor alle beheersmatige activiteiten die nodig zijn om processen en activiteiten binnen een organisatie te beheersen, te sturen en te verbeteren. Interne controle is daarom aanwezig op alle niveaus, van medewerker tot en met Gemeentesecretaris. De verplichte audits dienen in de afdelingsplannen te worden opgenomen wat ertoe leidt dat er periodiek over gerapporteerd moet worden. Door de Plan-Do-Check-Act cyclus van (interne) audits wordt gezorgd voor het borgen van processen en een verdere doorontwikkeling van onder andere informatiebeveiliging.
De implementatie van de Informatiebeveiliging wordt onafhankelijk beoordeeld.
Deze activiteiten worden door geautoriseerde medewerkers binnen de gemeente uitgevoerd (interne controle afdeling, functioneel en technisch beheerders, Functionaris voor de Gegevensbescherming). Het betreft:
•controle op de naleving van wettelijke en contractuele voorschriften;
•monitoren van de performance en de meldingen van de infrastructuur;
•controle op naleving van de beveiligingsrichtlijnen;
•controle op het hanteren van de juiste procedures;
•controle op het gebruik van de juiste ICT middelen.
Op de Informatiebeveiliging worden periodiek beveiligingsaudits uitgevoerd in opdracht van het lijnmanagement. Hiervoor worden afspraken gemaakt over de opdrachtverstrekking, de toetsingskaders en de uitvoering.
De (onafhankelijke) beoordeling c.q. toetsing moet uitsluitsel geven over:
•het Informatiebeveiligingsplan: elke beheerder van een bedrijfskritische applicatie moet beschikken over een plan dat voldoet aan de in het informatiebeveiligingsbeleid gestelde eisen.
•alle vastgestelde maatregelen: of deze daadwerkelijk en op de juiste wijze zijn geïmplementeerd.
•alle getroffen maatregelen: in welke mate deze afdoende en toereikend zijn. Daarbij moet speciaal aandacht geschonken worden aan de toegang van derden tot de infrastructuur en gegevens en de uitbesteding van ICT-diensten.
•de uitgevoerde risicoanalyses. Die moeten voor alle verantwoordelijkheidsgebieden c.q. informatiesystemen uitgevoerd zijn, waarbij de afhankelijkheden, de bedreigingen, de eisen en de te nemen maatregelen voor Informatiebeveiliging zijn vastgelegd en vastgesteld.
Randvoorwaarde
De audit van de beveiliging van ICT-voorzieningen dient zo min mogelijk inbreuk te plegen op de beschikbaarheid, de vertrouwelijkheid en de integriteit van de ICT-voorzieningen.