De baseline maakt onderscheid in de volgende specifieke beheersmaatregelen:
Beheersmaatregelen m.b.t. identificatie, authenticatie en autorisatie
De eigenaar van de data is bevoegd toegang te verlenen.
Er worden in de regel geen ‘algemene’ identiteiten gebruikt. Voor herleidbaarheid en transparantie is het namelijk nodig om te weten wie een bepaalde actie heeft uitgevoerd. Indien dit geen (wettelijke) eis is kan worden gewerkt met functionele accounts.
De gemeente maakt, waar mogelijk, gebruik van bestaande (landelijke) voorzieningen voor authenticatie, autorisatie en informatiebeveiliging (zoals: DigiD en eHerkenning).
Wachtwoorden worden voor een beperkte periode toegekend (60 dagen). Wachtwoorden dienen aan eisen te voldoen, deze worden afgedwongen door het systeem. Voor medewerkers met speciale bevoegdheden (systeem en functioneel beheerders) gelden strengere eisen. 20 Het wachtwoordbeleid is uitgewerkt in het wachtwoord beleids document van de gemeente.
De gebruiker is verantwoordelijk voor het geheim blijven van zijn wachtwoord.
Authenticatiemiddelen zoals wachtwoorden worden beschermd tegen inzage en wijziging door onbevoegden tijdens transport en opslag (door middel van encryptie).
Autorisatie is rol gebaseerd. Autorisaties worden toegekend via functie(s) en organisatie onderdelen.
Toegang tot informatie met classificaties ‘midden’ of ‘hoog’ vereist ‘multi-factor’ authenticatie (bijv. naam/wachtwoord + token).
Beheersmaatregelen m.b.t. verlenen van externe toegang
!de gemeente kan een externe partij toegang verlenen tot het netwerk. Hiervoor dient een procedure gemaakt en gevolgd te worden. Externe partijen kunnen niet op eigen initiatief verbinding maken met het besloten netwerk van de gemeente, tenzij uitdrukkelijk overeengekomen.
De externe partij is verantwoordelijk voor authenticatie en autorisatie van haar eigen medewerkers. De gemeente heeft het recht hierop te controleren en doet dat aan de hand van de audit trail en interne logging.
De gemeente autoriseert en registreert de gebruikers die toegang hebben tot de Suwinet applicaties op basis van een formele proeedure waarin is opgenomen:
Het verlenen van toegang tot de benodigde gegevens op basis van de uit te voeren functie/taken; Het uniek identificeren van elke gebruiker tot één persoon;
Het goedkeuren van de aanvraag voor toegangsrechten door de manager of een gemandateerde; Het tijdig aanpassen of wijzigen van de autorisatie bij functiewijziging of vertrek;
Het benaderen van de Suwi-databestanden door gebruikers mag alleen plaatsvinden via applicatieprogrammatuur (tenzij sprake is van calamiteiten).
De controle op verleende toegangsrechten en gebruik vindt meerdere keren per jaar plaats. Dit gebeurt onder leiding van security officer Suwinet.
Beheersmaatregelen m.b.t. mobiel en thuiswerken
Voor werken op afstand is een werkomgeving beschikbaar. Toegang wordt verleend op basis van multifactor authenticatie.
Onbeheerde apparatuur (privé-apparaten of de ‘open laptop’) kan gebruik maken van draadloze toegangspunten (WiFi). Deze zijn logisch gescheiden van het bedrijfsnetwerk.
Bedrijfsapplicaties worden bij voorkeur zo aangeboden dat er geen informatie wordt opgeslagen op het mobiele apparaat (‘zero footprint’). Informatie dient te worden versleuteld bij transport en opslag conform classificatie eisen. 21 Separaat document
Voorzieningen als webmail, als ook sociale netwerk en sommige clouddiensten (Dropbox, Gmail, etc.) zijn door het lage beschermingsniveau (veelal alleen naam en wachtwoord, het ontbreken van versleuteling) niet geschikt voor het delen van vertrouwelijke en geheime informatie.
Organisatorische beheersmaatregelen
Toetsing op het informatiebeveiligingsbeleid is onderdeel van de toets voor projecten met een ICT-component en onderdeel van de project start en eind architectuur (PSA en PEA22 Dit zijn Prince2 termen, zie hiervoor de projectmanagement methodiek Prince2).
Projecten met een hoog risicoprofiel vallen onder toezicht van het team Informatievoorziening. Toetsing op architectuur en informatiebeveiliging is hier onderdeel van.
Projectmandaten worden ten behoeve van behandeling in overleg (onder meer) voorzien van een advies op informatiebeveiliging.
In het programma van eisen voor nieuwe informatiesystemen of uitbreidingen van bestaande informatiesystemen worden ook relevante beveiligingseisen opgenomen.
Specifieke beheersmaatregelen voor Suwinet
De gemeente is verantwoordelijk voor het beheer van de toegang tot Suwinet. Autorisatie van medewerkers moet plaatsvinden met behulp van een schriftelijk vastgelegde procedure waarin functies aan autorisaties - en in het verlengde daarvan aan Suwinet-rollen - worden gekoppeld. Concreet gaat het om het aanwezig zijn van een autorisatieprocedure en een autorisatiematrix die onderdeel uitmaakt van de procedure. Uit de autorisatiematrix blijkt dat de organisatie heeft nagedacht over welke functionarissen welke informatie via Suwinet mogen raadplegen, met andere woorden een opzet van de wijze waarop de organisatie de accounts en rollen toekent. Door een uitdraai uit Suwinet hiermee te vergelijken kan de organisatie controleren of de daadwerkelijk uitgereikte accounts en rollen overeenkomen met de in opzet bedachte accounts en rollen.
De autorisatieprocedure moet ervoor zorgen dat alle gebruikers uniek identificeerbaar zijn. Groepsautorisaties mogen dus niet worden afgegeven. Hierdoor kunnen gebruikers persoonlijk worden aangesproken op hun gebruik van Suwinet. Door aan te geven welke persoon welke functie(s) uitoefent, kan op een gestandaardiseerde en controleerbare wijze de autorisatie voor een persoon binnen Suwinet worden verleend en gecontroleerd. Het toekennen van rollen in Suwinet moet volgens een logische procedure plaats te vinden. Uit de autorisatieprocedure moet duidelijk worden op basis van welke afwegingen, welke medewerker welke gegevens mag zien.
In de autorisatieprocedure moeten alle stappen in het autorisatieproces aanwezig, helder beschreven en toegewezen zijn aan bevoegde functionarissen binnen de organisatie.
Van belang is dat het accountbestand meerdere keren (minimaal twee keer) per jaar wordt gecontroleerd en dat aansluitend inactieve accounts worden verwijderd. Om dit te kunnen aantonen is een schriftelijke vastlegging van zowel de procedure als de uitvoering van de controles belangrijk. Of er sprake is van een goed werkend accountbeheer wordt in beginsel over een periode van een jaar bekeken. Dit gebeurt op basis van maandelijkse gegevens van het BKWI naar het percentage inactieve accounts en naar het percentage geblokkeerde accounts bij de organisatie. Het BKWI verstaat onder een inactieve account een account waarmee niet tenminste 1x is ingelogd in een maand en onder een geblokkeerde account een account dat meer dan 90 dagen niet is gebruikt of waarmee 5x foutief is ingelogd.
Een combinatie van een hoog percentage geblokkeerde accounts samen met een hoog percentage niet actieve accounts is een indicatie van een niet goed werkend accountbeheer en vormt een reden tot nadere vragen aan de gemeente. Als richtsnoer wordt gehanteerd dat bij meer dan 80% actieve accounts er goed gebruik wordt gemaakt van Suwinet. Bij 60% tot 80% wordt het twijfelachtig en bij minder dan 60% lijkt er echt iets aan de hand te zijn.
Ook is het belangrijk dat zware rollen beperkt zijn uitgedeeld. Dit zijn de rollen waarvan het BKWI aangeeft dat het “risicovolle autorisaties” betreft. Beperkt betekent dat aan een klein percentage medewerkers van de gemeente deze rollen zijn toebedeeld. Het te ruim verstrekken van zware autorisaties vergroot het risico op onrechtmatige raadplegingen van de bestanden, omdat het voor een medewerker eenvoudiger is om - zonder te beschikken over een BSN gegevens van personen te raadplegen. Hierbij wordt gekeken naar de verhouding aantal accounts/accounts met zware rollen en de verhouding medewerkers sociale dienst/sociale recherche. Concreet wordt naar de volgende zware rollen gekeken: G018 (LRD/GBA zoeken), G030 (LRD/GBA zoeken uitgebreid) en G021/R1920 (RDW+ Fraude). Van belang is dat per functie (en per toegekende zware rol) moet worden gemotiveerd waarom er één of meerdere zware rollen zijn toegekend en dan met name waarom het noodzakelijk (proportioneel en subsidiair) is voor de uitoefening van de werkzaamheden. Voorts zijn aanvullende controles noodzakelijk.
Medewerkers die belast zijn met de uitvoering van de wettelijke taken die vallen onder de Participatiewet, IOAW en IOAZ hebben na autorisatie toegang tot Suwinet. Daarnaast heeft slechts een zeer beperkte groep toegang tot Suwinet: de gemeentelijke belastingdeurwaarders, burgerzaken of de regionale meld- en coördinatiefunctie voortijdig schoolverlaten. Voor deze groep moet een apart contract worden afgesloten met het BKWI. Gebruik van Suwinet door overige functionarissen zoals WMO-medewerkers, medewerkers parkeerbeheer of andere hiervoor niet genoemde medewerkers is niet toegestaan.
Hoofdstuk 6
Artikel 7.3
Beheersmaatregelen
Onderdeel van Informatiebeveiligingsbeleid gemeente Lingewaard