Doelstelling
Het bieden van ondersteuning aan het bestuur, management en organisatie bij de sturing op en het beheer van informatieveiligheid.
Resultaat
Beleid waarin de taken, bevoegdheden en verantwoordelijkheden voor informatieveiligheid alsmede het vereiste beveiligingsniveau zijn vastgelegd.
1.1 Strategisch beleidsdocument voor informatieveiligheid
Het college van B en W behoort dit gemeentebreed strategische beleidsdocument voor informatieveiligheid goed te keuren en kenbaar te maken aan alle medewerkers, alsmede hiernaar te handelen2[5.1.1.1 BIO]. Dit doet het college aan de hand van de 10 bestuurlijke principes voor informatieveiligheid zoals opgenomen in bijlage 2 van dit document.
Dit beleidsdocument bevat de onderstaande punten:
De doelstellingen en strategische uitgangspunten van informatieveiligheid voor de gemeente;
De beveiligingseisen;
De organisatie van informatieveiligheid (zie hoofdstuk 2);
Een omschrijving van de algemene en specifieke verantwoordelijkheden en bevoegdheden met betrekking tot informatieveiligheid voor leidinggevenden, medewerkers en ondersteunende informatieveiligheidsrollen (zie hoofdstuk 2);
De verwijzing naar relevante wet- en regelgeving en gemeentelijke regels en voorschriften op het gebied van privacybescherming, integriteit, archivering en fysieke beveiliging (zie II.II) en de wijze waarop naleving van deze wettelijke, reglementaire of contractuele verplichtingen wordt gewaarborgd (zie II.VI);
De beschrijving van een periodiek evaluatieproces waarmee de inhoud en de effectiviteit van het vastgestelde beleid kunnen worden getoetst (zie hoofdstuk 1.5).
1.2 Scope van het informatieveiligheidsbeleid
De scope van dit beleid omvat alle gemeentelijke informatieprocessen, hieronder vallen zowel de ambtelijke als bestuurlijke informatieprocessen. Organisatorisch zijn de uitgangspunten uit dit beleid van toepassing op zowel de ambtelijke organisatie als op (de leden van) het college, dit geldt ook voor de Gemeenteraad en de Griffie, tenzij zij zelf een informatieveiligheidsbeleid opstelt. Alle strategische beleidsuitgangspunten met betrekking tot informatieveiligheid en de organisatie van informatieveiligheid zijn in dit gemeentebreed document samengebracht.
Externe partijen moeten een zelfde beveiligingsniveau hanteren zoals opgenomen in dit beleid, zij moeten tevens aan kunnen tonen dat zij voldoen aan dit niveau van beveiliging. Specifieke informatie op het gebied van informatiebeveiliging van relevante expertisegroepen, leveranciers van hardware, software en diensten en de IBD wordt gebruikt om de informatiebeveiliging te verbeteren3[12.6.1 BIO]. De gemeente heeft uitgewerkt met welke instanties contact wordt onderhouden en door wie4[6.1.3.1BIO]. Dit overzicht wordt minimaal jaarlijks bijgewerkt5[6.1.3.2 BIO].
Op basis van dit strategische beleidsdocument, dat door het college van burgemeester en wethouders (B en W) wordt vastgesteld, wordt door de directie een “Tactisch gemeentebreed informatieveiligheidsbeleid” vastgesteld. Hierin wordt beschreven op welke manier de gemeente informatieveiligheid gaat borgen, rekening houdend met de risico’s. De kernelementen in het “Tactische gemeentebreed informatieveiligheidsbeleid” zijn de uitwerkingen van de volgende onderwerpen:
Autorisatiebeleid;
ICT ontwerp(en);
Beleid leveranciers/externe partijen;
Bedrijfsprocessen;
Beheerrichtlijnen ICT;
Configuratiebeheer;
Continuïteitsbeheer;
Interne controle;
Fysieke beveiliging (beveiliging die met behulp van fysieke middelen gerealiseerd wordt);
Gedragsregels;
HR proces;
Incidentenbeheer;
Loggingbeleid;
Wijzigingsproces.
Vervolgens zal de gemeente aanvullende procedures en andere operationele documentatie opstellen. Deze zullen de praktische uitwerking vormen van het Tactische beleid.
1.3 Borging van het informatieveiligheidsbeleid
Om de borging van het informatieveiligheidsbeleid en de daarvan afgeleide plannen te realiseren, wordt naast een toebedeling van rollen (zie hoofdstuk 2), onderstaande Plan, Do, Check, Act (PDCA) cyclus doorlopen. Alhoewel altijd tussentijds documenten kunnen worden bijgesteld, worden onderstaande uitgangspunten gehanteerd voor het doorlopen van de PDCA-cyclus resulterend in een Information Security Management System (ISMS)6[18.2.1.1 BIO] (zie figuur 1):
1. Informatieveiligheidsbeleid (zowel strategisch als tactisch)
Bevat het informatieveiligheidsbeleid en de visie op informatieveiligheid. Dit is een organisatiebreed beleid dat de uitgangspunten, de normen en de kaders biedt voor de veiligheid van alle onderliggende gemeentelijke informatieprocessen. Uitzonderingen hierop zijn toegestaan, maar dan wel duidelijk gemotiveerd én verifieerbaar, dit wordt ook wel het ‘pas toe of leg uit’ principe genoemd. Bijstelling van het informatieveiligheidsbeleid vindt plaats rond een cyclus van 3 jaar. Indien zich grote wijzigingen voordoen vindt actualisatie eerder plaats7[5.1.2.1 BIO];
2. Informatieveiligheidsanalyse
Stap twee is gericht op het implementatietraject. De implementatiefase begint met het uitvoeren van een informatieveiligheidsanalyse. Hiertoe wordt allereerst een overzicht opgesteld van de gegevensverzamelingen/applicaties in de gemeentelijke organisatie. Deze worden toegewezen aan een eigenaar en geclassificeerd op de risicoklassen beschikbaarheid, integriteit en betrouwbaarheid van de informatie (ook wel dataclassificatie genoemd). Tevens wordt het Basis Beveiligingsniveau (BBN) per informatiesysteem vastgesteld. Hierbij geldt dat gemeentebreed het BBN2 wordt gehanteerd, hiervan kan bij individuele informatiesystemen slechts voldoende beargumenteerd (vastgelegd) worden afgeweken. Hierna wordt de praktijksituatie in de gemeente getoetst aan het gemeentebrede informatieveiligheidsbeleid en aan de beveiligingsmaatregelen uit de BIO, middels het uitvoeren van een risico inventarisatie en evaluatie (RI&E), GAP-analyse, rondgang van het gebouw en een (eventuele) evaluatie van het vorige actieplan. Bijstelling van de informatieveiligheidsanalyse vindt plaats na 1 tot 2 jaar;
3. Actieplan Informatieveiligheid
Op basis van de informatieveiligheidsanalyse wordt in stap drie een actieplan opgesteld. De in de analyse geconstateerde risico’s worden gewogen en waar nodig van maatregelen voorzien. Prioritering van de acties wordt gedaan op basis van de risico’s die vanuit de RI&E zijn geconstateerd, de beschikbare tijd en de beschikbare middelen. Hierdoor ontstaat een compact actieplan waarmee de gemeente vaststelt welke verbeteracties gedurende een periode van 1 of 2 jaar worden uitgevoerd. Dit actieplan vormt een praktische leidraad voor de verbetering en borging van informatieveiligheid in de organisatie. De informatieveiligheidsorganisatie komt bij elkaar om de implementatie van het actieplan informatieveiligheid te evalueren te bewaken en waar nodig bij te stellen. Dit vindt conform de bespreking in het informatieveiligheidsoverleg (zie paragraaf 2.2) minimaal tweemaal per jaar plaats.
4. Technische en organisatorische maatregelen
Stap vier bestaat uit het opleveren van een complete set aan technische en organisatorische maatregelen die gericht is op de specifieke eisen van een onderdeel. Het kan gaan om maatregelen uit de BIO, maar ook om applicaties zoals de BRP, SUWI, de BAG, het financiële systeem, of om de primaire processen van de organisatie, ICT-beheerprocessen of de inrichting van de ICT-platformen. Dit betreft met name het opstellen van procedures en werkinstructies.
1.4 Audits en naleving
De directie beoordeelt regelmatig de naleving van de informatieverwerking en -procedures binnen haar verantwoordelijkheidsgebied aan de hand van de desbetreffende beleidsregels, normen en andere eisen betreffende beveiliging8[18.2.2 BIO]. Dit mondt uit in het jaarverslag. Daarin wordt in lijn met de P&C-cyclus en ondersteund door een In Control Verklaring (ICV) gerapporteerd over het doorlopen van de beschreven cyclus met betrekking tot informatieveiligheid. In deze rapportage worden ook andere voor informatieveiligheid en privacy relevante onderwerpen – zoals auditresultaten en de uitkomsten van interne controles – behandeld9[18.1.4.2, 18.2.2.1 BIO].
Om te beoordelen of de gemeente haar informatieveiligheidsbeleid- en doelstellingen heeft behaald, worden periodieke onafhankelijke audits - waarbij een onafhankelijke deskundige partij een toets uitvoert op de opzet, bestaan en werking van beheersmaatregelen - en controles uitgevoerd. Hiertoe kan een externe (erkende) partij worden ingeschakeld of de eigen afdeling concern control/auditafdeling. Jaarlijks wordt een auditplan (intern controleplan) opgesteld waarin wordt vastgelegd welke interne controles en audits in het komende jaar plaatsvinden en op welke informatiesystemen deze betrekking hebben10[18.2.1.2 BIO]. In dit plan wordt tevens een beschrijving van de uit te voeren controles opgenomen, evenals de uitvoerders en verantwoordelijken (lijnniveau) voor de controles gekoppeld aan een tijdsplanning. Ook de jaarlijkse controle op de technische naleving van beveiligingsnormen bij informatiesystemen, zoals penetratietesten, zijn onderdeel van dit plan11[18.2.3.1 BIO]. Over de resultaten van de uitgevoerde audits wordt door de lijnverantwoordelijken gerapporteerd aan de CISO. De CISO bundelt deze bijdragen en rapporteert hierover periodiek aan het bestuur.
Figuur 1: De informatieveiligheidspiramide met PDCA cirkel
Artikel 1.