Informatiebeveiligingsbeleid Bommelerwaard 2023 – 2026

2.2.1 De BIO

De BIO (Baseline Informatiebeveiliging Overheid) is het normenkader voor de gehele overheid. De werkwijze van deze BIO is meer gericht op risicomanagement dan de oude BIG. Dat wil zeggen dat de afdelingsmanagers nu meer dan vroeger moeten werken volgens de aanpak van de ISO 27001 en daarbij is risicomanagement van belang. Dit houdt voor het management in, dat men op voorhand keuzes maakt en continu afwegingen maakt of informatie in bestaande en nieuwe processen adequaat beveiligd zijn in termen van beschikbaarheid, integriteit en vertrouwelijkheid. Door de komst van de nieuwe ISO27002 is de binnen de overheid afgesproken BIO-evaluatie in 2023 vervroegd naar 2022. Zo zal in 2023 een vernieuwde BIO 2.0 verschijnen, met daarin de evaluatie en structuuraanpassing als gevolg van de nieuwe ISO27002. Deze aanpassingen zullen we dan volgen.

2.2.2 De 10 principes voor informatiebeveiliging

De 10 principes voor informatiebeveiliging die hieronder zijn opgenomen vormen een bestuurlijke aanvulling op het normenkader

1Deze principes worden gelijk met de BIO van kracht, zie besluitvorming Informatiebeveiligingsdienst (IBD) en Verenigde Nederlandse Gemeenten (VNG)

BIO en gaan over de waarden die de bestuurder zichzelf oplegt. De principes zijn als volgt:

1Bestuurders bevorderen een veilige cultuur.

2Informatiebeveiliging is van iedereen.

3Informatiebeveiliging is risicomanagement.

4Risicomanagement is onderdeel van de besluitvorming.

5Informatiebeveiliging behoeft ook aandacht in (keten)samenwerking.

6Informatiebeveiliging is een proces.

7Informatiebeveiliging kost geld.

8Onzekerheid dient te worden ingecalculeerd.

9Verbetering komt voort uit leren en ervaring.

10Het bestuur controleert en evalueert.

De principes gaan vooral over de rol van het bestuur bij het borgen van informatiebeveiliging in de gemeentelijke organisatie. Deze principes ondersteunen de bestuurder bij het uitvoeren van goed risicomanagement. Als er iets verkeerd gaat met betrekking tot het beveiligen van de informatie binnen de gemeentelijke processen, dan kan dit directe gevolgen hebben voor inwoners, ondernemers en partners van de gemeente. Daarmee is het onderwerp informatiebeveiliging nadrukkelijk gewenst op de bestuurstafel.

2.2.3 Risk management en Risico bereidheid

Binnen het risk management zal een kader geformuleerd worden waarbinnen het management haar risico-beoordeling kan uitvoeren. Dit kader waarborgt dat bij het realiseren van beleidsdoelen op een gepaste wijze met het risico omgegaan wordt. Daartoe zal de directie een risico-bereidheid formuleren met betrekking tot Privacy en Security risico’s welke de gemeentes en BVEB bereid zijn te lopen en wanneer het nemen van maatregelen noodzakelijk zal zijn.

2.2.4 Dreigingsbeeld Informatiebeveiliging Nederlandse Gemeenten

Het Dreigingsbeeld Informatiebeveiliging Nederlandse Gemeenten geeft een actueel zicht op incidenten en factoren uit het verleden, aangevuld met een verwachting voor het heden en de nabije toekomst. Dit dreigingsbeeld is daarmee het ideale document om focus aan te brengen in het actualiseren van dit beleid in de vorm van een Jaarplan informatiebeveiliging.

2.2.5 Informatie uit incidenten en inbreuken op de beveiliging

De gemeente kent naast het hierboven genoemde dreigingsbeeld natuurlijk een eigen systeem waarin incidenten worden vastgelegd. Dit systeem geeft ook waardevolle informatie om van te leren en dus zijn incidenten uit het verleden ook nadrukkelijk input bij het actualiseren van het beleid.

2.6.1 Strategische doelen

De strategische doelen van het informatiebeveiligingsbeleid zijn:

•Het managen van de informatiebeveiliging;

•Adequate bescherming van bedrijfsmiddelen;

•Het minimaliseren van risico’s van menselijk gedrag;

•Het voorkomen van ongeautoriseerde toegang;

•Het garanderen van correcte en veilige informatievoorzieningen;

•Het beheersen van de toegang tot informatiesystemen;

•Het waarborgen van veilige informatiesystemen;

•Het adequaat reageren op incidenten;

•Het beschermen van kritieke bedrijfsprocessen;

•Het beschermen en correct verwerken van persoonsgegevens van burgers en medewerkers;

•Het waarborgen van de naleving van dit beleid.

2.6.2 Belangrijkste uitgangspunten

De belangrijkste uitgangspunten van het beleid zijn:

•Alle informatie en informatiesystemen zijn van belang voor de Bedrijfsvoeringseenheid en de beide gemeenten, bepaalde informatie is van vitaal en kritiek belang. Het college is eindverantwoordelijke voor de informatiebeveiliging;

•Alle Proces Automatiseringssystemen (PA) die binnen de gemeentelijke gebouwen en in de publieke ruimte van de gemeente worden gebruikt, die van de gemeente zijn, zoals gebouwbeheersingssystemen en bijvoorbeeld camera technologie of pompen en gemalen.

•De uitvoering van de informatiebeveiliging is een verantwoordelijkheid van het lijnmanagement. Alle informatiebronnen en -systemen die gebruikt worden door de Bedrijfsvoeringseenheid en de beide gemeenten hebben een interne eigenaar die de vertrouwelijkheid en/of waarde bepaalt van de informatie die ze bevatten. De primaire verantwoordelijkheid voor de bescherming van informatie ligt dan ook bij de (proces)eigenaar van de informatie;

•Door periodieke controle, organisatie brede planning én coördinatie wordt de kwaliteit van de informatievoorziening verankerd binnen de organisatie. Het informatiebeveiligingsbeleid vormt samen met het informatiebeveiligingsplan het fundament onder een betrouwbare informatievoorziening. In het informatiebeveiligingsplan wordt de betrouwbaarheid van de informatievoorziening organisatiebreed benaderd. Het plan wordt periodiek bijgesteld op basis van nieuwe ontwikkelingen, registraties in het incidentenregister en bestaande risicoanalyses;

•Informatiebeveiliging is een continu verbeterproces. ‘Plan, do, check en act’ vormen samen het managementsysteem van informatiebeveiliging;

•De Bedrijfsvoeringseenheid en de beide gemeenten stellen de benodigde mensen en middelen beschikbaar om hun eigendommen en werkprocessen te kunnen beveiligen volgens de wijze zoals gesteld in dit beleid;

•Regels en verantwoordelijkheden voor het beveiligingsbeleid dienen te worden vastgesteld;

•Iedere medewerker, zowel vast als tijdelijk, intern of extern, is verplicht waar nodig gegevens en informatiesystemen te beschermen tegen ongeautoriseerde toegang, gebruik, verandering, openbaring, vernietiging, verlies of overdracht en bij vermeende inbreuken hiervan melding te maken.

2.6.4 Randvoorwaarden

Belangrijke randvoorwaarden zijn:

•De informatiebeveiliging maakt deel uit van afspraken met ketenpartners en leveranciers;

•Kennis en bewustzijn van informatiebeveiliging en omgaan met persoonsgegevens binnen de organisatie dienen actief bevorderd en geborgd te worden;

•Jaarlijks wordt een informatiebeveiligingsplan opgesteld onder leiding van de CISO, gebaseerd op:

•de uitkomsten van de jaarlijkse Eenduidige Normatiek Single Information Audit (ENSIA);

•het dreigingsbeeld gemeenten van de IBD;

•De door de afdelingsmanagers ingebrachte onderwerpen voor de informatievoorziening waarvoor zij verantwoordelijk zijn, bijvoorbeeld als uitkomst van een risicoanalyse.

3.3.1 ENSIA

De gemeente verantwoordt zich over informatiebeveiliging middels de ENSIA-systematiek. Aanvullend op dit beleid zijn extra normen van toepassing zoals opgenomen in de bijlage van dit document. Jaarlijks wordt een ENSIA-coördinator aangewezen. Deze zorgt ervoor dat de informatie die nodig is voor het beantwoorden van vragen binnen ENSIA wordt opgehaald bij de verantwoordelijke afdelingsmanagers. De afdelingsmanagers leveren alle informatie die nodig is voor het invullen van de jaarlijkse ENSIA-vragenlijsten.

De verantwoording over de informatiebeveiliging komt in het jaarverslag tot uitdrukking in de collegeverklaring Informatiebeveiliging. Met deze verklaring geeft het college van B en W aan in hoeverre de gemeente voldoet aan de afspraken die gemaakt zijn voor de ENSIA-verantwoording Informatiebeveiliging. Ook worden de eventuele verbetermaatregelen vermeld die de gemeente gaat treffen. De ingevulde zelfevaluatievragenlijst vormt de basis voor het opstellen van de collegeverklaring aan de raad.

Middels deze verantwoording worden het bestuur van de BVEB en de beide gemeenten en de raad geïnformeerd. De betrokkenheid van het bestuur is essentieel, en laat zien dat de BVEB en de beide gemeenten informatiebeveiliging serieus nemen en het onderdeel laten zijn van de ambities om informatie van inwoners adequaat te beschermen.

Inwerkingtreding

Dit informatiebeveiligingsbeleid treedt een dag na bekendmaking in werking. Het Informatiebeveiligingsbeleid Bedrijfsvoeringseenheid Bommelerwaard en de gemeenten Maasdriel en Zaltbommel 2020 – 2021 wordt per die datum ingetrokken. Het beleid wordt tweejaarlijks geëvalueerd en indien nodig herzien. Aanpassingen aan dit beleid worden bekendgemaakt. De meest actuele versie van het beleid is te vinden op de website van de gemeente.