Informatiebeveiligingsbeleid 2024 - 2029

2.5.1. Tactische uitgangspunten Baseline Informatiebeveiliging Overheid

De tactische uitgangspunten van het informatieveiligheidsbeleid gaan in op de beheerdoelstellingen per onderdeel van de BIO. De BIO kent naast het Information Security Management System (ISMS – zie paragraaf 2.11 borging van informatiebeveiliging) een aantal inhoudelijke onderwerpen. Deze onderwerpen staan veelal niet op zich daar de onderwerpen vaak samen zorgen voor een niveau van veiligheid. Zo is er samenhang tussen de HRM-processen instroom, doorstroom en uitstroom en het beheer van autorisaties. Op het gebied van communicatie op het internet is er samenhang met het beheer van encryptiesleutels. Wanneer een organisatie excelleert op één gebied kan een ander gebied weer voor onveiligheid zorgen. We zeggen dan ook wel dat de beveiliging zo goed is als de zwakste schakel in de keten.

Per onderwerp zullen we op tactisch niveau aangeven wat het doel is van dit beheeraspect.

Veilig personeel

Doelstelling

Medewerkers dienen geschikt te zijn en geschikt te blijven voor hun functie. De belangrijkste waarborg is het aantrekken van betrouwbaar en geschikt personeel en de zorg dat de medewerkers geschikt blijven voor hun functie, zodat ze op een goede wijze met de informatie van de organisatie om kunnen gaan tijdens en na afloop van hun contract.

Toelichting

Informatieveiligheid valt en staat met de kennis, houding en gedrag van de medewerkers. Om de juiste medewerkers in de organisatie te krijgen, deze gedurende hun loopbaan te trainen en te coachen zodat zij over de kennis en vaardigheden beschikken die nodig zijn om hun functie naar behoren uit te voeren.

Beheer van bedrijfsmiddelen*

Doelstelling

De organisatie gebruikt een groot aantal systemen (apparatuur, devices en software) om de informatievoorziening te faciliteren. Het doel van dit beheer aspect is het identificeren van alle hard- en software zodat deze op een adequate wijze beheerd en beveiligd kunnen worden.

Toelichting

Om informatie adequaat te kunnen beheren is het van belang om inzicht te hebben in diverse ICT-componenten die gebruikt worden om informatie te verwerken. Er kan pas adequaat beheer gevoerd worden wanneer je in het zicht hebt wat je moet beheren. De administratie waarin de ICT-componenten worden beschreven, ook wel Configuratie Management Database (CMDB) genoemd, dient als basis van diverse beheerprocessen zoals patchmanagement, incidentmanagement evenals het informatieclassificatiesysteem waarmee de behoefte, de prioriteit en de mate van beveiliging door de verantwoordelijk manager kan worden bepaald.

Toegangsbeveiliging*

Doelstelling

Toegang tot informatie en informatie op een passende wijze beveiligen zodat onbevoegde openbaarmaking, wijziging, verwijdering of vernietiging van informatie wordt voorkomen.

Toelichting

Om effectieve toegangscontrole tot vertrouwelijke en privacygevoelige informatie te kunnen invoeren en onderhouden wordt er een toegangsrichtlijn opgesteld. Naast deze toegangsrichtlijn heeft ieder informatiesysteem nog een specifiek gedefinieerde uitwerking omtrent toegang, dat is afgestemd op het beveiligingsniveau van de informatie.

Cryptografie*

Doelstelling

Zorgen voor correct en doeltreffend gebruik van cryptografie om de vertrouwelijkheid, authenticiteit en/of integriteit van informatie te beschermen.

Toelichting

Een effectieve manier om informatie te beveiligen tegen onbevoegde inzage is het versleutelen van deze informatie. Dit gebeurt bij voorkeur zowel bij de opslag als het transport. Belangrijk beheeraspect is dat versleuteling wordt toegepast met behulp van sleutels die veilig genoeg zijn conform de actuele standaarden. Om verlies van data te voorkomen is het van belang dat er ten aanzien van het beheer van de sleutels goede maatregelen zijn getroffen.

Fysieke beveiliging en de beveiliging van de omgeving

Doelstelling

Onbevoegde fysieke toegang tot, schade aan en interferentie met informatie en informatie verwerkende faciliteiten van de organisatie voorkomen.

Toelichting

Een belangrijk aspect van informatieveiligheid is het voorkomen dat onbevoegden fysiek toegang hebben tot informatie. Ondanks de snelle ontwikkeling van digitale informatieverwerking is veel informatie ook nog analoog beschikbaar. Daarnaast dienen de informatie verwerkende computers en devices beschermd te worden tegen onbevoegde toegang.

Fysieke beveiliging wordt ingezet om onbevoegde fysieke toegang tot, schade aan en interferentie met informatie en informatie verwerkende faciliteiten van de organisatie voorkomen.

Beveiliging bedrijfsvoering*

Doelstelling

Correcte en veilige bediening van informatie verwerkende faciliteiten ter voorkoming van ongewenste aanpassingen, verlies en diefstal van gegevens

Toelichting

Informatie wordt door de gehele organisatie heen gebruikt en daarnaast wordt informatie ook gedeeld met andere organisaties. Doordat informatie wordt hergebruikt is het van belang dat informatie goed wordt beheerd. Uitgangspunt hierbij is dat ieder brok aan informatie wordt beheerd vanuit een aangewezen organisatieonderdeel die daarvoor eenduidige processen en controlemaatregelen heeft ingericht om de kwaliteit van de informatie te kunnen waarborgen.

Communicatiebeveiliging*

Doelstelling

Informatie van de organisatie die via het interne netwerk intern dan wel extern wordt getransporteerd dient afdoende te worden beveiligd om onderschepping en/of ongewenste aanpassing van informatie te voorkomen.

Toelichting

Bij het beheer van netwerken moet onderscheid worden gemaakt tussen het eigen netwerk en netwerken die de grens van de organisatie overschrijden. Voor transport van vertrouwelijke en privacygevoelige gegevens via netwerken dienen extra maatregelen ter waarborging van de veiligheid te worden getroffen om te zorgen dat de data-integriteit en de vertrouwelijkheid bij transport is gewaarborgd. Zeker nu we steeds meer met externe partijen samenwerking is het van groot belang te kunnen vertrouwen op de communicatiekanalen.

Aankoop, ontwikkeling en onderhoud van informatiesystemen

Doelstelling

Waarborgen dat informatieveiligheid integraal deel uitmaakt van informatiesystemen in de gehele levenscyclus en bij het testen van systemen. Dit zowel bij interne systemen als bij gebruik van een cloud-leverancier.

Toelichting

Bij de ontwikkeling van (informatie)systemen moeten beveiliging en privacy vanaf aanvang in het ontwerpproces of in het pakket aan eisen worden meegenomen. Bij standaardprogrammatuur moet voor aanschaf worden vastgesteld of geautomatiseerde beveiligingsmaatregelen zijn ingebouwd en aan de eisen vanuit de AVG wordt voldaan. Bij het onderhoud van (informatie)systemen moet informatieveiligheid een vast aandachtspunt zijn.

Leveranciersrelaties

Doelstelling

Er dienen met leveranciers overeenkomsten te worden gesloten die ervoor zorgen dat de dienstverlening in overeenstemming is met het informatieveiligheidsbeleid en de wettelijke bepalingen.

Toelichting

Organisaties zijn ten aanzien van de verwerking van informatie sterk afhankelijk van diverse leveranciers. Dit niet alleen vanwege de aanschaf en de primaire werking maar vanwege de dienstverlening die verbonden is aan de primaire dienstverlening. Het is van belang om met de leveranciers goede afspraken te maken over de aard van de dienstverlening. Daarnaast dient te worden gecontroleerd of ook aan de eisen wordt voldaan.

Beheer van informatie-beveiligingsincidenten

Doelstelling

Een consistente en doeltreffende aanpak bewerkstelligen van het beheer van informatieveiligheid incidenten, met inbegrip van communicatie over beveiligingsgebeurtenissen en zwakke plekken in de beveiliging

Toelichting

Het beheer van incidenten kent twee gezichtspunten. Ten eerste dienen incidenten snel en adequaat te worden afgehandeld maar daarnaast zijn incidenten ook een signaal dat bestaande maatregelen wellicht niet voldoen. Het is dus van belang dat een incident zowel goed en snel wordt afgehandeld en dat daarnaast een analyse plaatsvindt zodat duidelijk is wat de oorzaak is geweest en hoe we er structureel voor kunnen zorgen dat een dergelijk voorval niet meer plaats kan vinden.

Informatiebeveiligingsaspecten van bedrijfscontinuïteitsbeheer

Doelstelling

Beschikbaarheid van informatie verwerkende faciliteiten bewerkstelligen.

Toelichting

Continuïteitsbeheer heeft als doel om ervoor te zorgen dat de dienstverlening intern en extern ongestoord kan plaatsvinden. Om de dienstverlening ongestoord doorgang te laten vinden dienen we zowel te kijken naar de systemen die nodig zijn als naar de facilitaire voorzieningen.

Naleving

Doelstelling

Verzekeren dat informatieveiligheid wordt geïmplementeerd en uitgevoerd in overeenstemming met de beleidsregels en procedures van de organisatie ter voorkoming van schendingen van wettelijke, statutaire, regelgevende of contractuele verplichtingen betreffende informatieveiligheid en beveiligingseisen.

Toelichting

Het uitdragen van beleid en het opstellen van procedures moeten een waarborg bieden voor de kwaliteit. Het controleren van het beleid en de naleving van de procedures zijn erop gericht om te beoordelen of beleid en procedures ook werkbaar zijn in de praktijk. Daarnaast kunnen controles ook gebruikt worden om verdere sturing te geven aan de organisatie en zijn daarmee een essentieel onderdeel van de governance.

*valt onder de verantwoordelijkheid en beheer van het Shared Service Center (SSC)

2.5.2. Risicobenadering

De Friese Waddeneilanden volgen een aanpak van informatiebeveiliging op basis van risicobeheersing. Met een aanpak gebaseerd op risicobeheersing zijn de Friese Waddeneilanden in staat om een evenwichtige set van beveiligingsmaatregelen te implementeren en in staat om daarbij een goede afweging tussen kosten en noodzaak te maken. Risicobeheersing omvat de processen voor de identificatie van risico’s en het selecteren, implementeren en bewaken van maatregelen om deze te reduceren tot een acceptabel niveau. Het risico is de kans op beveiligingsincidenten en de impact daarvan op het werkproces en wordt bepaald door de proceseigenaar.

Het risico van beveiligingsincidenten is de kans op beveiligingsincidenten maal de impact daarvan op het proces: risico = kans x impact.

Voor het bepalen van - te mitigeren - risico’s kijken de Friese Waddeneilanden expliciet naar:

•Kans: hoe groot is de kans dat een bedreiging zich binnen een proces en-/of informatiesysteem kan voordoen

•Impact: wat is het gevolg van een bedreiging, als deze zich heeft voorgedaan, voor de gemeente in termen als financieel, imago, bestuurlijk en/of haar omgeving

Ook wordt een inschatting gemaakt van de dreigingen waartegen beschermd moet worden. De inschatting van mogelijke schade en dreigingen leidt tot beveiligingseisen om risico’s te beperken. Om deze eisen af te dekken worden passende maatregelen getroffen of wordt het (rest)risico geaccepteerd.

Vanuit de theorie kan men op vijf verschillende manieren een risico benaderen:

1Beperken: expliciet benoemen en analyseren van het risico en vervolgens de benodigde maatregelen treffen om de kans en de impact te beperken.

2Vermijden: pas het object of activiteit aan zodat het risico niet langer optreedt.

3Verplaatsen: pas het object of activiteit aan zodat het risico naar een ander object wordt verplaatst.

4Overdragen: beleggen van het geheel of een gedeelte van het risico bij een andere partij door het (proces) uit te besteden aan bijvoorbeeld een leverancier of door het te verzekeren.

5Accepteren: expliciet accepteren, door het hoogste bevoegde gezag, van de eventuele schade van het opgetreden risico.

Het startpunt voor een gestructureerde opbouw is het uitvoeren van een nulmeting, een zogenaamde GAP-analyse, op basis van de BIO. Deze analyse is bedoeld om inzicht te krijgen in het zogenaamde ‘gat’ tussen datgene wat nodig is en wat ontbreekt. Op basis van dat inzicht vindt een impactanalyse plaats waardoor de gemeente in staat is om prioritering te geven aan verbeterpunten voor de korte (het zogenaamde laaghangend fruit) en maatregelen voor de lange termijn.

Ook voert de organisatie periodiek risicoanalyses uit ten aanzien van haar informatiesystemen en bedrijfsprocessen. Door specifiek te kijken naar mogelijke bedreigingen en risico`s, en bijpassende maatregelen om risico`s te beperken, zijn de Friese Waddeneilanden in staat om haar systemen en bedrijfsprocessen adequaat en doelgericht te beschermen.

2.5.3. Basisbeveiligingsniveaus en maatregelen

Om risicomanagement hanteerbaar en efficiënt te houden, kiest de Baseline Informatiebeveiliging Overheid (BIO) voor risicomanagement dat is gebaseerd op te beschermen belangen en relevante dreigingen. Eén van de vernieuwingen van de BIO is dat er onderscheid is naar drie Basisbeveiligingsniveaus (BBN).

De beschreven belangen en dreigingen worden uitgedrukt in basis-beveiligings-niveaus: (BBN), namelijk:

BBN1: informatiesystemen op BBN1 zijn systemen waarvoor BBN2 als te zwaar wordt gezien. Voor BBN1 ligt de nadruk op ‘wat mag minimaal verwacht worden?’ Het kan voorkomen dat er nog wel hogere beschikbaarheids- en integriteitseisen nodig zijn. BBN1 is waar alle overheidssystemen als minimum aan moeten voldoen.

BBN2: Voor informatiesystemen binnen de overheid vormt BBN2 het uitgangspunt. Voor BBN2 en BBN2+ ligt de nadruk op de bescherming van de meest voorkomende categorieëninformatie volgens het principe ‘valt de maatregel onder goed huisvaderschap en toont deze beveiliging de betrouwbare overheid?’

BBN2 is van toepassing indien:

•er vertrouwelijke informatie wordt verwerkt;

•mogelijke incidenten leiden tot bestuurlijke commotie;

•de veiligheid van andere systemen afhankelijk is van de veiligheid van het eigen systeem.

BBN2+: het komt voor dat een proces of systeem een hoger beschermingsniveau nodig heeft dan BBN2, maar dat weerstand tegen statelijke actoren niet per se noodzakelijk is. Voor die situaties is het niveau BBN2+ van toepassing.

BBN3: BBN3 richt zich op de bescherming van als Departementaal Vertrouwelijk en vergelijkbaar vertrouwelijk bij andere overheidslagen gerubriceerde informatie, waarbij weerstand geboden moet worden tegen de dreiging, zoals Advanced Persistant Threats (APT’s), die uitgaat van statelijke actoren en beroepscriminelen. BBN3 is van toepassing indien hoog niveau van beveiliging. Er zijn maar 3 vragen die gesteld moeten worden om op het niveau van BBN3 uit te komen:

1Is er weerstand vereist tegen statelijke actoren?

2Heeft de informatie die ontvangen is een bepaalde classificatie (boven BBN2) meegekregen van de (externe) bronhouder?

3Is er weerstand nodig tegen georganiseerde misdaad en zware criminaliteit?

Als één van deze vragen met JA kan worden beantwoord, dan is BBN3 van toepassing.

Het bepalen van de basisbeveiligingsniveaus moet gezien worden in relatie tot de implementatie van de baseline. Het uitgangspunt van de BIO is dat een organisatie die de baseline volledig heeft geïmplementeerd de generieke beveiliging op orde heeft. Daarom hoeft de organisatie weinig aanvullende maatregelen te treffen voor de systemen van BBN2 (en 1) maar mogelijkerwijs wel voor de systemen op BBN3.

Daarnaast geldt dat het bepalen van de beveiligingsniveaus een project is dat in drie jaar wordt uitgevoerd en telkens per onderzocht systeem inzicht oplevert of en welke aanvullende maatregelen nodig zijn. De uitvoering van die maatregelen kan dus vrijwel meteen beginnen mits gelijktijdig aan de implementatie van de BIO wordt gewerkt.

Het behoort tot de rol van het management, proceseigenaar en/of systeemeigenaar van de Friese Waddeneilanden om door middel van een risicoanalyse per systeem vast te stellen welk beveiligingsniveau nodig is. Dat geldt voor bestaande en nieuwe informatiesystemen. Het aanpassen van bestaande systemen is echter arbeidsintensief en kostbaar. Vooraf maatregelen treffen is namelijk veel effectiever en goedkoper dan achteraf repareren.

De taakstelling voor deze planperiode is daarom vierledig:

1toepassing van de volledige BIO op de gemeentelijke ICT-infrastructuur;

2op elk IV/ ICT-project wordt het principe van ‘security by design’ toegepast;

3uiterlijk aan het eind van de planperiode is voor elk gemeentelijke informatiesysteem bepaald welke Basisbeveiligingsniveau van toepassing is en welke eventuele extra beveiligingsmaatregelen nodig zijn;

4door opsplitsing in deelprojecten worden maatregelen gaandeweg in gang gezet.

4.2.1. College B&W

Het college van B&W is bestuurlijk verantwoordelijk voor de beveiliging van informatie binnen de werkprocessen van de gemeente en stelt kaders op voor informatiebeveiliging op basis van landelijke en Europese wet- en regelgeving en landelijke normenkaders. Het college van B&W stelt formeel het informatiebeveiligingsbeleid vast, delegeert de uitvoering hiervan aan het directieteam en informeert de gemeenteraad over dit thema.

Binnen het college van B&W valt informatiebeveiliging onder de portefeuille van een van de portefeuillehouders. Het directieteam adviseert het college van B&W formeel over het vast te stellen beleid. Het college van Burgemeester en Wethouders handelt volgens, in overeenstemming met de 10 bestuurlijke principes informatieveiligheid (zie paragraaf 2.5)

4.2.2. Directie

De gemandateerde verantwoordelijkheid voor informatieveiligheid ligt bij de directie. De directie stelt het gewenste niveau van informatieveiligheid vast voor de gemeente.

De directie is ambtelijk verantwoordelijk voor de beveiliging van informatie en de daarbij behorende algemene sturing.

Het directieteam:

•stuurt de organisatie aan op beveiligingsrisico’s;

•stelt jaarlijks het informatiebeveiligingsplan en uitvoeringsplan vast in een directieoverleg;

•ziet erop toe dat de teamleiders adequate maatregelen genomen hebben voor de bescherming van de informatie, gegevensverzamelingen en informatiesystemen, die onder hun verantwoordelijkheid vallen;

•controleert of de getroffen maatregelen overeenstemmen met de beveiligingseisen en of deze voldoende bescherming bieden;

•evalueert periodiek beleidskaders en stelt waar nodig bij;

•handelt conform de 10 bestuurlijke principes informatieveiligheid (zie paragraaf 2.5).

4.2.3. Concerncontroller

De concerncontroller toetst in samenspraak met de CISO of de vastgestelde beveiligingsmaatregelen worden nageleefd. De concerncontroller staat buiten het primaire proces en is onafhankelijk. De concerncontroller heeft een onafhankelijke positie en kan het bestuur gevraagd en ongevraagd adviseren.

4.2.4. Chief Information Officer (CIO)

De Chief Information Officer (CIO) van de Gemeente Leeuwarden is ook verantwoordelijk voor het strategische informatiebeleid en informatiemanagement van de Friese Waddeneilanden. De CIO zorgt ervoor dat onze informatievoorziening goed aansluit op de doelstellingen van de organisatie. ICT, de bedrijfsstrategie en de organisatie zijn daarbij belangrijke aandachtsgebieden voor de CIO. In de samenleving neemt informatievoorziening en ICT – denk daarbij aan grote thema’s als bijvoorbeeld cloud computing, het nieuwe werken en de slimme samenleving – een steeds belangrijke positie in. De CIO speelt een sleutelrol in de innovatieve samenwerking met Leeuwarden, gericht op slimme oplossingen voor de opgaven binnen de snelgroeiende stad.

4.2.5. Teamleiders/Coördinatoren

Teamleiders/Coördinatoren zijn operationeel eindverantwoordelijk voor de integrale beveiliging binnen hun organisatieonderdelen, bedrijfsprocessen, gegevensverzamelingen en informatiesystemen. Deze verantwoordelijkheid kunnen zij niet delegeren, uitvoerende werkzaamheden wel. De bedoeling is dat alle processen, systemen, data, applicaties altijd minimaal 1 eigenaar hebben, er moet dus altijd iemand verantwoordelijk zijn.

De manager en teamleiders:

•voeren maatregelen uit, die op grond van de BIO op het team van toepassing zijn, en die zijn opgenomen in het uitvoeringsplan informatiebeveiliging;

•voeren maatregelen uit, als uitkomst van dataclassificatie en/ of risicoanalyse, van een informatiesysteem waarvan zij systeemeigenaar zijn ;

•voeren maatregelen uit, als uitkomst van dataclassificatie en/ of risicoanalyse, van een proces waarvan zij proceseigenaar zijn ;

•stellen op basis van een expliciete risicoafweging beveiligingseisen vast voor informatiesystemen en processen en zijn verantwoordelijk voor het uitdragen van de maatregelen die voortvloeien uit deze eisen;

•houden zich strikt aan de procedures voor indiensttreding, doorstroom en uitdiensttreding waarbij autorisaties, toegangsmiddelen en bedrijfsmiddelen tijdig worden aangevraagd en tijdig worden beëindigd en/of ingenomen;;

•dragen er zorg voor dat aanvragen voor (systeem)autorisaties, toegangsmiddelen, en bedrijfsmiddelen in overeenstemming zijn met de uit te voeren werkzaamheden van medewerkers;

•controleren periodiek of aan medewerkers toegekende autorisaties en bedrijfsmiddelen nog benodigd zijn voor het uitoefenen van de functie

•sturen op beveiligingsbewustzijn, bedrijfscontinuïteit en naleving van regels en richtlijnen (gedrag en bewustzijn);

•melden incidenten en datalekken en rapporteert in hoeverre hun organisatieonderdeel voldoet aan het informatiebeveiligingsbeleid van de gemeente;

•houden zich aan het wijzigingsmanagement bij nieuw te implementeren ICT oplossingen.

4.2.6. Personeel, Organisatie en Ontwikkeling (PO&O)

Het team is verantwoordelijk voor:

•het actueel houden en uitdragen van procedures voor in- en uitdiensttreding en wijziging van functie;

•screening van nieuwe medewerkers;

•het in ontvangst nemen en beoordelen van Verklaringen Omtrent het Gedrag (VOG).

4.2.7. Informatie & Communicatie Technologie (ICT)

Informatie & Communicatie Technologie (ICT) van het Shared Service Centrum is (mede)verantwoordelijk voor:

•het verzorgen van de beveiliging van de informatievoorziening en implementatie van beveiligingsmaatregelen die voortvloeien uit de beveiligingseisen en bijbehorende risicoanalyse;

•het beheren van werkplekken, telefonie, serverplatformen, lokale netwerken, WIFI, externe netwerkverbindingen zoals VPN-verbindingen, GEMnet, Digikoppeling, Enterprise Service Bus, en verzorgt het technische (wijzigings-)beheer van databases, bedrijfsapplicaties en kantoorautomatiseringshulpmiddelen;

•alle technische aansluitingen op andere ketenpartners en landelijke voorzieningen;

•alle beheeraspecten van informatiebeveiliging die betrekking hebben op ICT-aangelegen-heden zoals incident- en probleemmanagement, configuratie- en wijzigingsbeheer, hardening, patching, logging van activiteiten, back-up & recovery en uitwijk;

•het actief acteren op acute dreigingen die een gevaar vormen voor de informatievoorziening.

4.2.8. Chief Information Security Officer (CISO)

De CISO heeft een adviserende, faciliterende en coördinerende rol en zorgt ervoor dat taken belegd zijn op het gebied van informatiebeveiliging. De CISO is verantwoordelijk voor:

•het actueel houden van het informatiebeveiligingsbeleid en het informatiebeveiligingsplan;

•het inrichten van de informatiebeveiligingsorganisatie;

•de voorbereiding op toekomstige informatiebeveiligingsrisico’s en ICT-beveiligingsrisico’s o.b.v. het dreigingsbeeld Nederlandse Gemeenten;

•het gevraagd en ongevraagd adviseren van het college, het directieteam, managers, teamleiders en de concerncontroller;

•het opstellen van het beveiligingsplan en uitvoeringsplan op en het verzorgen van de actualisatie van deze plannen;

•het toezien op de voortgang van de realisatie van beveiligingsmaatregelen zoals vastgelegd in beveiligingsplannen waaronder ook de specifieke beveiligingsplannen voor de BRP, reisdocumenten en rijbewijzen en Suwinet;

•het coördineren van de uitvoering van informatieveiligheidsmaatregelen uit het uitvoeringsplan;

•het twee maal per jaar rapporteren aan het Privacy en Security Overleg (PSO) over de stand van de informatiebeveiliging en de voortgang. Aan het Privacy en Security Overleg (PSO) wordt deelgenomen voor de Chief Information Officer (CIO), de Concerncontroller, de Functionaris Gegevensbescherming (FG) en de CISO;

•het adviseren van de ontwikkelteams van de Leeuwarden Digitale Agenda op het gebied van security en privacy en voor de aspecten ‘Security By Design’ en ‘Privacy By Design’;

•het onderhouden van een intern en extern netwerk rond informatiebeveiliging;

•het aanjagen van bewustwording rond het onderwerp informatiebeveiliging;

•het ondersteunen van projecten die de informatieveiligheid vergroten, waarbij de primaire verantwoordelijkheid voor deze projecten bij het lijnmanagement ligt;

•de afhandeling en evaluatie van incidenten en het bijhouden van een registratie van informatiebeveiligingsincidenten.

4.2.9. Information Security Officer (ISO)

De Information Security Officer (ISO) van de Gemeente Leeuwarden speelt naast de CISO een belangrijke rol in het opstellen van en vertalen van het informatiebeveiligingsbeleid naar (technische) beveiligingsmaatregelen. De ISO draagt zorg de dagelijkse aansturing van informatiebeveiligingsactiviteiten binnen de gemeente. De ISO ondersteunt het management bij het uitvoeren van risk-assessments en het opstellen van de technische en organisatorische beveiligingseisen op basis van de Baseline Informatiebeveiliging Overheid (BIO). De ISO zorgt in het kader van informatiebeveiliging voor een beveiligingsplan en de daarbij behorende -standaarden, -procedures van de inrichting, kwaliteit en borging, risicoanalyse, risicomonitoring, incidentenregistratie, trainingen en evaluaties.

4.2.10. Operational Security Officer (OSO)

De Operational Security Officer (OSO) van de Gemeente Leeuwarden is verantwoordelijk voor het actief handhaven van het informatiebeveiligingsbeleid. Waar de Chief Information Security Officer (CISO) verantwoordelijk is voor het beleid, de coördinatie en de samenhang van beveiliging, is de Operational Security Officer (OSO) verantwoordelijk voor de uitvoering van de verschillende technische beveiligingsonderwerpen.

De Operational Security Officer zorgt, samen met de CISO, voor een samenhangend pakket van maatregelen ter waarborging van de vertrouwelijkheid, integriteit en beschikbaarheid van de informatie

4.2.11. Functionaris Gegevensbescherming (FG)

De Functionaris Gegevensbescherming (FG) van de Gemeente Leeuwarden is de interne toezichthouder voor de Friese Waddeneilanden als het gaat om privacy, naleving van de AVG, en de bescherming van persoonsgegevens. Onder de Europese privacy-verordening (AVG), die sinds mei 2018 van kracht is, zijn alle overheidsorganisaties verplicht een FG aan te stellen. De FG is verantwoordelijk voor het toezicht houden op de naleving van de privacywetten en –regels, het inventariseren en bijhouden van gegevensverwerkingen en het afhandelen van vragen en klachten van mensen binnen en buiten de organisatie. De FG houdt daarbij toezicht op de uitvoering van de technische- en organisatorische maatregelen om persoonsgegevens te beschermen tegen verlies, beschadiging of vernietiging, zoals beschreven in de AVG.

4.2.12. Privacy Officer (PO)

Waar de CISO verantwoordelijk is voor het informatiebeveiligingsbeleid is de Privacy Officer van de Gemeente Leeuwarden (ook wel juridisch adviseur privacy), verantwoordelijk voor het vormgeven en bewaken van het privacybeleid binnen de gemeente. Daarnaast ondersteunt de Privacy Officer (PO) de proces- en systeemeigenaar bij de uitvoering van een PIA. De PO speelt ook een belangrijke rol op de werkvloer, zo heeft zij net als de CISO een adviserende rol richting de vak-afdelingen en kan hij of zij vragen beantwoorden zoals: hoe moeten we deze gegevens delen? Aan welke regels dienen we ons te houden? Welke maatregelen moeten we de externe partij opleggen?

4.2.13. De beveiligingsbeheerder

Voor de volgende specifieke gegevensverzamelingen is een beveiligingsbeheerder aangewezen: BRP, PUN (Beveiligingsfunctionaris), BAG, BGT, SUWI (Security Officer Suwinet) en DigiD. De beveiligings-beheerder is verantwoordelijk voor het beheer, de coördinatie en advies ten aanzien van de informatieveiligheid van specifieke gegevensverzamelingen.

4.2.14. Security Officer Suwinet

De Security Officer beheert beveiligingsprocedures en -maatregelen in het kader van Suwinet-Inkijk, zodanig dat de beveiliging van Suwinet overeenkomstig wettelijke eisen en normenkaders is geïmplementeerd. De Security Officer Suwinet bevordert en adviseert over de beveiliging van Suwinet, verzorgt rapportages over de status, controleert of maatregelen worden nageleefd, evalueert, adviseert en doet voorstellen voor verbetering van de beveiliging van Suwinet.

De Security Officer Suwinet heeft formeel wat betreft rapportages een bijzondere rol. Deze rapporteert namelijk rechtstreeks aan de bestuurlijk verantwoordelijke en is tevens gemandateerd om specifieke gebruikersrapportage op te vragen wanneer op basis van eigen waarneming een vermoeden bestaat van misbruik of oneigenlijk gebruik van gegevens vanuit Suwinet-Inkijk.