Voor u ligt het Beleid Informatieveiligheid 2019 Weerbaarder verder…. van de gemeente Zeist waarin onder meer de kaders, uitgangspunten, verantwoordelijkheden en richting om Informatieveiligheid structureel te borgen in de gemeentelijke organisatie zijn vastgelegd. In dit document wordt bewust gesproken van Informatieveiligheid en niet over Informatiebeveiliging. Het gaat om het intrinsieke begrip ‘veiligheid van’ en niet het mechanistische ‘beveiligen van’.
Informatieveiligheid is geen doel op zich, maar moet de primaire bedrijfsprocessen ondersteunen en de veilige en verantwoorde uitvoering daarvan mogelijk maken.
Informatieveiligheid dient dus vanuit het primaire proces gestuurd te worden, daar waar het eigenaarschap van de informatie ligt.
Informatieveiligheid is erop gericht vertrouwelijke informatie afdoende te beschermen tegen misbruik of ongeautoriseerde toegang, maar ook om de beschikbaarheid en integriteit van de informatie en daaraan verbonden dienstverlening te blijven garanderen. Een overheid die informatieveiligheid niet omarmt, verliest het vertrouwen van de burger en daarmee haar legitimiteit.
De VNG heeft eind 2013 het belang van Informatieveiligheid benadrukt door in een algemene ledenvergadering een resolutie te bekrachtigen waarin staat dat informatieveiligheid wordt opgenomen in de portefeuille van een van de leden van het college van burgemeester en wethouders (B&W) en dat de Baseline Informatiebeveiliging Nederlandse Gemeenten (BIG) het gemeentelijke basisnormenkader voor informatieveiligheid wordt. In deze resolutie is ook aangegeven dat gemeentes de informatieveiligheid zowel bestuurlijk als organisatorisch borgen en deze transparant maken voor burgers, bedrijven en (keten)partners.
Een andere ontwikkeling waarin het belang van Informatieveiligheid tot uiting komt, is de komst van de Algemene Verordening Gegevensbescherming (AVG). Deze uniforme Europese regelgeving is er op gericht dat elke organisatie privacy van burgers als groot goed omarmt en borgt. Informatieveiligheid is hiermee nauw verbonden.
Reden te meer om Informatieveiligheid structureel te borgen in de organisatie. Dit beleidsdocument is normstellend en biedt daarvoor de basis. Centraal ligt de nadruk op het realiseren van een ISMS wat staat voor een Information Security Management System ofwel een informatie beveiligingsmanagementsysteem. Dat bestaat uit twee delen:
Allereerst is daar het gedachtengoed dat daarachter steekt, waarbij op bestuurlijk niveau op voortgang en verbetering van Informatieveiligheid wordt gestuurd. De leiding hanteert daarbij het model van Plan-Do-Check-Act als continue verbetercyclus. ISMS is als het ware de ‘motor’, een proces dat zorgdraagt voor de periodieke planning, implementatie, onderhoud, beoordeling en het verder verbeteren van de Informatieveiligheid als resultante van dat proces binnen de context van de gemeente. Zie ook paragraaf 4.3.
Het tweede deel is de bewaking van de Administratieve Organisatie in dezen. In een ISMS als softwaresysteem wordt de complexe stand van zaken (processen, documentatie, voortgang, evaluaties, etc.) bijgehouden om het overzicht op alle geplande en gerealiseerde dan wel (nog) niet gerealiseerde verbeteringen bij te kunnen houden.
Met ISMS als denkwijze en als systeem is de gemeente beter in staat om Informatieveiligheid te managen, bedrijfsmiddelen te beschermen, de bewustwording en acceptatie van Informatieveiligheid bij medewerkers te versterken, ongeautoriseerde toegang tot informatie te voorkomen, snel en adequaat te kunnen reageren op veiligheidsincidenten, persoonsgegevens van burgers en medewerkers te beschermen, de bedrijfscontinuïteit te garanderen en te voldoen aan naleving van wet- en regelgeving.
Hoofdstuk 1.
Artikel 1.1.