Gemeenten wisselen op alle beleidsterreinen informatie uit en beheren dat op vele manieren. Binnen de eigen organisatie, maar ook daarbuiten: met inwoners, ondernemers, ketenpartners en medeoverheden. Door informatie te delen kunnen gemeenten onder andere hun dienstverlening beter organiseren, de veiligheid van inwoners verbeteren en meer mensen aan het werk krijgen. Als professionele organisatie past hierbij dat gemeenten ook de beveiliging van informatie adequaat organiseren. Informatie moet immers beschikbaar, actueel, volledig en betrouwbaar zijn en mag alleen door bevoegden zijn in te zien. Bij de uitwisseling moeten gemeenten te allen tijde rekening houden met beveiligings- en privacyaspecten omdat ze een maatschappelijke en wettelijke verantwoordelijkheid hebben om de gegevens van hun inwoners onder alle omstandigheden te beschermen.
De risico’s rondom de vertrouwelijkheid, integriteit en beschikbaarheid van informatie(systemen) maken dat het onderwerp informatiebeveiliging niet mag ontbreken op de bestuurstafel.
Binnen informatieveiligheid is ICT slechts een onderdeel, het gaat in veel gevallen om de mens in de organisatie en de manier waarop deze met risico’s omgaat. Beveiliging van gegevens en systemen is een zaak van organisatie, procedures, werkprocessen en in de laatste plaats techniek. Het gaat om de mens, de manier waarop deze werkt en het gereedschap waarmee het werk verricht wordt.
In aanvulling op eerder genoemde baseline (BIO) zijn door de VNG de bijbehorende principes voor bestuurders vastgesteld 3 ’De 10 bestuurlijke principes voor informatiebeveiliging'. https://vng.nl/files/vng/de-10-bestuurlijke-principes-voor_20190109.pdf. Dit document is de bestuurlijke aanvulling op de baseline en helpt de bestuurder om de juiste dingen te doen. De principes gaan vooral over de rol van het bestuur bij het (verder) borgen van informatiebeveiliging in de organisatie. Daarmee gaat dit document over waarden die u zichzelf als bestuurder oplegt dienen daarom verbonden te zijn aan de waarden van de organisatie. De 10 bestuurlijke principes zijn:
Bestuurders bevorderen een veilige cultuur.
Informatiebeveiliging is van iedereen.
Informatiebeveiliging is risicomanagement
Risicomanagement is onderdeel van de besluitvorming
Informatiebeveiliging behoeft ook aandacht in (keten)samenwerking.
Informatiebeveiliging is een proces.
Informatiebeveiliging kost geld.
Onzekerheid dient te worden ingecalculeerd.
Verbetering komt voort uit leren en ervaring.
Het bestuur controleert en evalueert.
Zoals eerder aangegeven is naast het nog meer betrekken van de bestuurder in de informatiebeveiliging ook een belangrijke rol weggelegd voor de lijnmanagers. Daar zit een uitdaging.
De verantwoordelijkheid voor de informatieveiligheid komt meer dan voorheen te liggen bij die lijnmanager. Die zal vaker dan voorheen zelf beslissingen moeten nemen. Een en ander heeft (of kan) ook gevolgen hebben voor de verhouding tussen de lijnmanager (veelal de proceseigenaar) en de CISO (Chief Information Security Officer).
Een belangrijke taak is de komende jaren dan ook om, met behulp van de BIO, de lijnmanager te overtuigen van nut en noodzaak van informatiebeveiliging en te helpen bij het inrichten daarvan. Dat kan door het uitvoeren van risicomanagement, ten behoeve en op basis van het bedrijfsbelang van het proces. Het is hierbij belangrijk dat ieder bedrijfsmiddel een eigenaar heeft. Dat geldt ook voor processen, hardware en software, want als er niemand van is worden er mogelijk ook geen passende maatregelen genomen om deze adequaat te beschermen. Iedere computer en ieder softwarepakket heeft zijn zwakheden en als je niet weet welk apparaat of pakket je in huis hebt, kun je op voorhand ook niet de juiste maatregelen nemen ze te beschermen.
Hoofdstuk 5.
Artikel 5.2