De mens speelt bij informatiebeveiliging een dubbelrol. Hij/zij is handelend persoon en tegelijkertijd een risicofactor. Volgens het Dreigingsbeeld is dit zelfs de grootste dreiging voor de informatieveiligheid van Nederlandse gemeenten. Dus groter dan cybercrime en andere staten. Onze eigen praktijk van incidenten en datalekken van de afgelopen drie jaar bevestigt dit beeld. Daarom is bewustmaking een belangrijk onderdeel van informatiebeveiliging. Het grootste obstakel is en blijft de vrijblijvendheid op dit terrein. Het is noodzakelijk om bij de bewustmaking twee lijnen naast elkaar te hanteren:
De ‘zachte’ lijn van: informeren en overtuigen. Dit krijgt onder andere vorm in een jaarlijkse gemeentebrede campagne. Deze kan samenvallen met de landelijke campagne Alert Online die jaarlijks in oktober wordt gehouden. Daarnaast zijn incidenten vaak een goede aanleiding om mensen wakker te schudden. Behalve deze middelen die zich richten op de gehele organisatie is het nodig om in de dagelijkse werkpraktijk informatieveiligheid aandacht te geven.
De ‘harde’ lijn van regels en maatregelen. Zo ontbreekt het momenteel aan duidelijkheid welke gedragingen wel en niet van medewerkers verwacht mogen worden. Het Integriteitsprotocol biedt daarvoor alleen algemene aanwijzingen. Aan de andere kant is ook onduidelijk welke waarborgen op privacy de medewerkers hebben als zij werken met geautomatiseerd systemen. Het Privacyreglement Telefoon, e-mail en internetgebruik, dat dateert uit 2004, is dan ook aan vervanging toe. Daarnaast is het nodig om technische en organisatorische maatregelen te treffen die de kans op fouten minder groot maken. Hier ligt de relatie met het bepalen van de Basisbeveiligingsniveaus en het regelen van autorisaties tot systemen en gegevensverzamelingen en gebruik van veilige middelen om te e-mailen en gegevens uit te wisselen..
Bij de bewustmaking spelen teammanagers een belangrijke rol: om het concreet te maken hoort dit onderwerp op de agenda van werkoverleggen
Hoofdstuk 1
Artikel 1.5
Mensen maken fouten
Onderdeel van Gemeentelijk Informatiebeveiligingsbeleid (GIBB) 2019-2021