Strategisch Informatieveiligheidsbeleid Gemeente Zeist 2022-2026

2.2. Nederlandse beleidsontwikkelingen

In nationaal verband wordt door de Rijksoverheid verder gewerkt aan de uitwerking van voornoemde EU-regelgeving, o.a. de Wet beveiliging netwerk- en informatiesystemen (Wbni) en de roadmap veilige hard- & software, het bestaande beleid (NCSA) en mogelijke nieuwe investeringen door het nieuwe kabinet. Wat betreft laatstgenoemde zijn de volgende zaken relevant:

•In de brede maatschappelijke heroverwegingen (BMH) is in 2021 voorgesteld dat het kabinet extra investeert in het verhogen van de weerbaarheid van vitale processen (vaak ook “vitale infrastructuur” genoemd) en een minister Digitale Zaken. Dit heeft zich onder andere vertaald in een staatssecretaris Digitalisering. De ambitie van het digitaliseringsbeleid van het kabinet is een veilige, inclusieve en kansrijke digitale samenleving, waarbij publieke waarden en de gebruikers centraal staan

2Kamerbrief hoofdlijnen beleid voor digitalisering - Digitale Overheid

.

•De Nederlandse vitale infrastructuur wordt gevormd door processen (zoals bijvoorbeeld telecom en energie) die zo vitaal zijn voor het functioneren van de samenleving, dat verstoring ervan leidt tot instabiliteit en discontinuïteit. De Rijksoverheid kijkt alleen naar de vitale processen die van nationaal belang zijn en heeft hiervoor criteria opgesteld. Dat leidt ertoe dat sommige processen en infrastructuur die op lokaal niveau vitaal zijn voor het functioneren van de stad, zoals ziekenhuizen en scholen, op nationaal niveau niet vitaal zijn en dus ook geen cybersecurity ondersteuning krijgen van het Rijk (via het NCSC).

•Het huidige kabinet heeft €95 miljoen extra geïnvesteerd in cybersecurity. Deze middelen zijn vooral geïnvesteerd in meer personele capaciteit bij verschillende overheidsonderdelen. Het NCSC schaart de gemeente niet onder vitaal en verwijst naar de Informatieveiligheidsdienst (IBD) van de VNG. De samenwerking tussen IBD en het NCSC is de laatste jaren versterkt.

•Bij Business Continuity Management (BCM) ligt de focus vooral op vitale infrastructuur en internationale normen & standaarden. We zien ook een toename van aandacht voor de bestrijding van cybercriminaliteit en gedigitaliseerde criminaliteit.

•De Cyber Security Raad (CSR) adviseert dat organisaties 10% van hun ICT-budget dienen te investeren in cybersecurity. Er zijn echter maar weinig organisaties die aan dit percentage voldoen. Naar dit advies wordt ook verwezen in de resolutie Digitale Veiligheid van de VNG.

3.2.1. De BIO

De BIO (Baseline Informatieveiligheid Overheid) is sinds 2020 het normenkader voor de gehele overheid. De werkwijze van deze BIO is gericht op risicomanagement. Dat wil zeggen dat de lijnmanagers nu meer dan voorheen moeten werken volgens de aanpak van de ISO 27001 en daarbij is risicomanagement van belang. Dit houdt voor het management in, dat men op voorhand keuzes maakt en continu afwegingen maakt of informatie in bestaande en nieuwe processen adequaat beveiligd zijn in termen van beschikbaarheid, integriteit en vertrouwelijkheid. We werken risico-gestuurd, dat wil enerzijds zeggen dat er in de uitvoering voorrang wordt gegeven aan het afwenden van de grootste risico’s. Anderzijds wil dit zeggen dat maatregelen niet altijd integraal voor de hele organisatie worden geïmplementeerd, maar dat ook dit risico-gestuurd wordt gedaan. We implementeren maatregelen die passen bij het gewenste risicoprofiel.

3.2.2. De 10 bestuurlijke principes voor Informatieveiligheid

We hanteren de door de VNG opgestelde 10 bestuurlijke principes voor Informatieveiligheid, deze principes zijn een bestuurlijke aanvulling op het BIO normenkader en gaan over de waarden die de bestuurder zichzelf oplegt. De principes zijn:

1Bestuurders bevorderen een veilige cultuur.

2Informatieveiligheid is van iedereen.

3Informatieveiligheid is risicomanagement.

4Risicomanagement is onderdeel van de besluitvorming.

5Informatieveiligheid behoeft ook aandacht in (keten)samenwerking.

6Informatieveiligheid is een proces.

7Informatieveiligheid kost geld.

8Onzekerheid dient te worden ingecalculeerd.

9Verbetering komt voort uit leren en ervaring.

10Het bestuur controleert en evalueert.

De principes gaan vooral over de rol van het bestuur bij het borgen van Informatieveiligheid in de gemeentelijke organisatie. Deze principes ondersteunen de bestuurder bij het uitvoeren van goed risicomanagement.

Als er iets verkeerd gaat met betrekking tot het beveiligen van informatie binnen de gemeentelijke processen, kan dit directe gevolgen hebben voor inwoners, ondernemers en partners van de gemeente. Daarmee is het onderwerp informatieveiligheid nadrukkelijk gewenst op de bestuurstafel.

3.2.3. Dreigingsbeeld Informatieveiligheid Nederlandse Gemeenten

De Informatieveiligheidsdienst (IBD) brengt eens in de twee jaar het Dreigingsbeeld Informatieveiligheid Nederlandse Gemeenten uit IBD_dreigingsbeeld_2023-2024_DEF-versie.pdf (Informatieveiligheidsdienst.nl). Dit document geeft een actueel zicht op incidenten en factoren uit het verleden, aangevuld met een verwachting voor het heden en de nabije toekomst. Een groeiende dreiging van ransomware-aanvallen met als gevolg uitval van, en fouten in de dienstverlening en bedrijfsvoering, vertrouwelijke informatie die in verkeerde handen terechtkomt en reputatieschade met als mogelijk gevolg minder vertrouwen in de overheid.

Dit dreigingsbeeld is daarmee het ideale document om focus aan te brengen in het actualiseren van beleid en plannen voor Informatieveiligheid.

3.2.4. Informatie uit incidenten en inbreuken op de beveiliging

De gemeente kent naast het hierboven genoemde dreigingsbeeld ook een eigen registratie waarin incidenten worden vastgelegd. Dit geeft waardevolle informatie om van te leren en dus zijn incidenten uit het verleden ook nadrukkelijk input bij het actualiseren van het beleid. Het blijvend evalueren en leren is hierbij het uitgangspunt.

3.2.5. Sourcing

Wij doen steeds minder zelf qua informatieverwerking, veelal omdat de markt die kant op blijft gaan, deels omdat we de kennis niet meer in huis hebben qua beheer. Nieuwe informatiesystemen worden als SaaS afgenomen. De kans op - en impact van grote verstoringen neemt door die fragmentering af, het risico moet per geval bekeken en beheerst worden (vergt tactische inzet, competenties en rollen

Wij kunnen 24/7 monitoring en respons die vereist is (o.a. SIEM-SOC) onmogelijk met eigen middelen klaarspelen. We worden dus ook daarin afhankelijk van marktpartijen en intern vergt die vooral een professionele regie-organisatie en bijvoorbeeld piket dienst.

Ook infrastructuur (datacenter en netwerk) zit in deze trend; dit laten we door externen beheren en veelal ook niet meer op onze locatie draaien. Daarmee ook de maatregelen qua beveiliging, die gaan daarmee ook naar externe partijen. Het voeren van regie blijft hierbij essentieel.

3.6.1. Strategische doelen

De strategische doelen van het Informatieveiligheidsbeleid zijn:

•het managen van de Informatieveiligheid;

•adequate bescherming van bedrijfsmiddelen;

•het minimaliseren van risico’s van menselijk gedrag;

•het voorkomen van ongeautoriseerde toegang;

•het garanderen van correcte en veilige informatievoorzieningen;

•het beheersen van de toegang tot informatiesystemen;

•het waarborgen van veilige informatiesystemen;

•het adequaat reageren op incidenten;

•het beschermen van kritieke bedrijfsprocessen;

•het beschermen en correct verwerken van persoonsgegevens van burgers en medewerkers;

•transparantie over incidenten;

•het waarborgen van de naleving van dit beleid.

3.6.2. Belangrijkste uitgangspunten

De belangrijkste uitgangspunten van het beleid zijn:

•Alle informatie en informatiesystemen zijn van belang voor de gemeente, bepaalde informatie is van vitaal en kritiek belang. Het college van B en W is eindverantwoordelijke voor de Informatieveiligheid en legt hierover verantwoording af aan de gemeenteraad.

•Alle proces automatiseringssystemen die binnen de gemeentelijke gebouwen en in de publieke ruimte van de gemeente worden gebruikt, die van de gemeente zijn, zoals gebouwbeheersingssystemen en bijvoorbeeld camera technologie of pompen en gemalen vallen binnen de scope van voorliggend beleid.

•Alles wat wij uitbesteden valt onder onze verantwoordelijkheid.

•De uitvoering van Informatieveiligheid is een verantwoordelijkheid van het lijnmanagement. Alle informatiebronnen en -systemen die gebruikt worden door de gemeente hebben een interne eigenaar die de vertrouwelijkheid en/of waarde bepaalt van de informatie en processen die ze bevatten. De primaire verantwoordelijkheid voor de bescherming van informatie en processen ligt dan ook bij de (proces)eigenaar van de informatie.

•Door periodieke controle, organisatie brede planning én coördinatie wordt de kwaliteit van de informatievoorziening verankerd binnen de organisatie. Het Informatieveiligheidsbeleid vormt samen met het Informatieveiligheidsplan het fundament onder een betrouwbare informatievoorziening. In het Informatieveiligheidsplan wordt de betrouwbaarheid van de informatievoorziening organisatie breed benaderd. Het plan wordt periodiek bijgesteld op basis van nieuwe ontwikkelingen, registraties in het incidentenregister en bestaande risicoanalyses.

•Informatieveiligheid is een continu verbeterproces. ‘Plan, do, check en act’ vormen samen het managementsysteem van Informatieveiligheid.

•De gemeente stelt de benodigde mensen en middelen beschikbaar om haar eigendommen en werkprocessen te kunnen beveiligen volgens de wijze zoals gesteld in dit beleid.

•Regels en verantwoordelijkheden voor het beveiligingsbeleid dienen te worden vastgelegd en vastgesteld.

•Iedere medewerker, zowel vast als tijdelijk, intern of extern, is verplicht waar nodig gegevens en informatiesystemen te beschermen tegen ongeautoriseerde toegang, gebruik, verandering, openbaring, vernietiging, verlies of overdracht en bij vermeende inbreuken hiervan melding te maken.

3.6.3. Invulling van de uitgangspunten

Praktisch wordt als volgt invulling gegeven aan de uitgangspunten:

•Het college van B en W stelt als eindverantwoordelijke het strategisch Informatieveiligheidsbeleid en het jaarlijks op te stellen Informatieveiligheidsplan vast.

•Het GMT is verantwoordelijk voor het laten uitvoeren van het door het college vastgestelde Informatieveiligheidsplan.

•Het GMT is verantwoordelijk voor het (laten) uitwerken en uitvoeren van onderwerp specifieke tactische beleidsregels die aanvullend zijn op dit strategisch beleid.

•Het GMT is verantwoordelijk voor het vragen om informatie bij de lijnmanagers en ziet erop toe dat de lijnmanagers adequate maatregelen genomen hebben voor de bescherming van de informatie, informatiesystemen en proces automatiseringssystemen die onder hun verantwoordelijkheid vallen.

•De Chief Information Security Officer (CISO) ondersteunt vanuit een onafhankelijke positie de organisatie bij het bewaken en verhogen van de betrouwbaarheid van de informatievoorziening en rapporteert hierover.

•Tijdens P&C-gesprekken dient er aandacht te zijn voor de Informatieveiligheid. De onderwerpen, die als risicovol worden gezien, worden opgenomen in (audit)plannen.

•De lijnmanagers zijn verantwoordelijk voor de uitvoering van Informatieveiligheid van de processen waarvoor zij verantwoordelijk zijn.

•Alle medewerkers van de gemeente worden getraind in het gebruik van beveiligingsprocedures. Medewerkers dienen verantwoord om te gaan met persoonsgegevens en andere informatie.

•Lijnmanagers dienen erop toe te zien dat de controle op het verwerken van persoonsgegevens regelmatig wordt uitgevoerd, zodat zij kunnen vaststellen dat alleen rechthebbende ambtenaren de juiste persoonsgegevens ingezien en verwerkt hebben.

•De beveiligingsmaatregelen worden bepaald op basis van risicomanagement. (lijn)managers zijn verantwoordelijk voor het uitvoeren van quickscans Informatieveiligheid op basis van de BIO om deze risico-afwegingen te kunnen maken.

3.6.4. Plan Do check Act

Informatieveiligheid is geen eenmalige activiteit maar een continu verbeterproces. Dit plan is slechts een enkele stap in een (reeds gestarte) cyclus die steeds opnieuw doorlopen wordt. De kwaliteitscyclus bestaat uit de volgende vier stappen:

•Plan: De cyclus begint met het beveiligingsbeleid, gebaseerd op wet- en regelgeving, normenkaders en beleid. Planning gebeurt jaarlijks en wordt vastgelegd in jaarplannen (generiek dan wel specifiek voor een afdeling of taakveld).

•Do: Op basis van het beleid en jaarplan worden beveiligingsmaatregelen geïmplementeerd. Uitvoering van beveiligingsmaatregelen maakt integraal onderdeel uit van het werkproces.

•Check: Control(e) is onderdeel van het werkproces met als doel: het waarborgen van de kwaliteit van de informatievoorziening en voldoen aan wet- en regelgeving. Jaarlijks worden er bovendien diverse onderzoeken uitgevoerd om opzet, bestaan en/of werking van beveiligingsmaatregelen te toetsen.

•Act: Met het opstellen en uitvoeren van verbetervoorstellen is de cyclus rond en start een nieuwe cyclus. Bevindingen van de controles en onderzoeken zijn input voor een nieuw plan.

De gemeente volgt een aanpak van Informatieveiligheid op basis van risicobeheersing. Het streven naar 100% veiligheid is een utopie. Met een aanpak gebaseerd op risicobeheersing is de gemeente beter in staat om een evenwichtige set van veiligheidsmaatregelen te implementeren en om daarbij een betere afweging tussen kosten en noodzaak te maken.

Het startpunt is het uitvoeren van een nulmeting (GAP analyse) op basis van de BIO en bedoeld om inzicht te krijgen in het ‘GAP’ tussen datgene wat nodig is en wat ontbreekt. Op basis van dat inzicht vindt een impactanalyse plaats waardoor de gemeente in staat is om prioritering te geven aan verbeterpunten voor de korte (denk aan ‘Quick Wins’) en lange termijn. Bij deze benadering is ruimte voor afweging en prioritering op basis van het principe ‘pas toe of leg uit’.

Indien een gemeentelijk proces meer beheersingsmaatregelen nodig heeft dan vindt hierop een (uitgebreide) risicoanalyse plaats. Daartoe inventariseert de proceseigenaar de kwetsbaarheid van het werkproces en de dreigingen die kunnen leiden tot een veiligheidsincident.

3.6.5. Randvoorwaarden

Belangrijke randvoorwaarden zijn:

•We maken afspraken met ketenpartners over Informatieveiligheid zodat beschikbaarheid, integriteit en vertrouwelijkheid van informatie ook daar is geborgd.

•We maken afspraken met (SAAS)leveranciers zodat beschikbaarheid, integriteit en vertrouwelijkheid van informatie ook daar is geborgd.

•We vergroten actief de kennis en het bewustzijn over Informatieveiligheid en omgaan met persoonsgegevens binnen de organisatie.

•Het verder beleggen en borgen van de governance binnen de organisatie.

•Jaarlijks wordt een werkplan veilig werken opgesteld onder leiding van de CIO, gebaseerd op:

•de uitkomsten van de jaarlijkse Eenduidige Normatiek Single Information Audit (ENSIA);

•het dreigingsbeeld gemeenten van de IBD;

•resultaten van risicoanalyse;

•de door de lijnmanagers ingebrachte onderwerpen.

4.3.1. ENSIA

De gemeente verantwoordt zich over Informatieveiligheid middels de ENSIA-systematiek. De ENSIA-coördinator is verantwoordelijk voor de coördinatie van dit proces. En zorgt ervoor dat de informatie die nodig is voor het beantwoorden van de ENSIA vragen wordt opgehaald bij de verantwoordelijke (lijn)managers. De (lijn)managers leveren de informatie voor het invullen van de jaarlijkse ENSIA-vragenlijsten.

De verantwoording over de Informatieveiligheid komt in het jaarverslag tot uitdrukking in de collegeverklaring Informatieveiligheid. Met deze verklaring geeft het college van B en W aan in hoeverre de gemeente voldoet aan de afspraken die gemaakt zijn voor de ENSIA-verantwoording Informatieveiligheid. Ook worden de eventuele verbetermaatregelen vermeld die de gemeente gaat treffen. De door de organisatie ingevulde zelfevaluatievragenlijst vanuit de ENSIA vormt de basis voor het opstellen van de collegeverklaring aan de raad. Met deze verklaring geeft het college aan in hoeverre de gemeente voldoet aan de voor DigiD en Suwinet geselecteerde informatiebeveiligings-normen op basis van de Eenduidige Normatiek Single Information Audit ENSIA) systematiek.

De betrokkenheid van het bestuur is essentieel, en laat zien dat de gemeente Informatieveiligheid serieus neemt en het een onderdeel laat zijn van de ambities om informatie van haar inwoners adequaat te beschermen.