Generieke informatiebeveiligingsrollen binnen de gemeente Beekdaelen
| Rol | Taken en verantwoordelijkheden informatiebeveiliging |
| Gemeentesecretaris | Verantwoordelijk voor de informatiebeveiliging binnen de eigen organisatie. Stimuleert het management van de organisatieonderdelen om beveiligingsmaatregelen te nemen. Wijst een coördinator informatieveiligheid (CISO) aan. Stelt operationele kaders en geeft sturing ten aanzien van de veiligheid van informatie. Stuurt op de beheersing van risico’s. Evalueert periodiek de beleidskaders en stelt deze waar nodig bij. Belegt de verantwoordelijkheid voor informatieveiligheidscomponenten en systemen. Verantwoordelijk voor het inrichten van functiescheiding tussen uitvoerende, controlerende en beleidsbepalende taken met betrekking tot informatieveiligheid. |
| Afdelingsmanagers | Verantwoordelijk voor de juiste implementatie van beveiliging in de bedrijfsprocessen en systemen. Wijst voor ieder (informatie)systeem een proceseigenaar aan. Verantwoordelijk voor het (laten) uitvoeren van maatregelen uit de informatieveiligheidsanalyse die op de afdeling van toepassing zijn. Op basis van een expliciete risicoafweging opstellen van betrouwbaarheidseisen voor de afdelingsinformatiesystemen. Verantwoordelijk voor de keuze, de implementatie en het uitdragen van de maatregelen die voortvloeien uit de betrouwbaarheidseisen. Verantwoordelijk voor het sturen op beveiligingsbewustzijn, op bedrijfscontinuïteit en op naleving van regels en richtlijnen (gedrag en risicobewustzijn). Verantwoordelijk voor het rapporteren, via de controller, over compliance (voldoen) aan wet- en regelgeving en algemeen beleid van de organisatie in de P&C rapportages. |
| CISO | Is op organisatieniveau verantwoordelijk voor het actueel houden van het beleid, het adviseren bij projecten en het managen van risico’s evenals het opstellen van rapportages. Rapporteert rechtstreeks aan de eigen directie. Stelt voor de organisatie de informatieveiligheidsanalyse op en zorgt voor de actualisatie hiervan. Coördineert de prioritering van informatieveiligheidsmaatregelen uit de informatieveiligheidsanalyse en de uitvoering van het actieplan Informatieveiligheid. Stelt een afstemmingsmechanisme op voor overleg en rapportage met betrekking tot informatieveiligheid. Ondersteunt het bestuur en de afdelingshoofden met kennis over in formatieveiligheid, zodat zij hun verantwoordelijkheid voor de betrouwbaarheid van de informatievoorziening juist kunnen invullen. Is aanspreekpunt voor medewerkers van de organisatie over het onderwerp informatieveiligheid. Volgt de externe invloeden die van invloed zijn op het informatieveiligheidsbeleid en de informatieveiligheidsanalyse. Bevordert het beveiligingsbewustzijn in de organisatie. Houdt de registratie van informatiebeveiligingsincidenten bij in een incidentenregister en is verantwoordelijk voor de juiste afhandeling en evaluatie van incidenten. Wordt door de medewerkers geïnformeerd over beveiligingsincidenten en legt deze vast ten behoeve van rapportages. Rapporteert over de informatieveiligheid in de P&C managementrapportages. Hierbij bundelt de CISO de deelbijdragen van de afdelingsmanagers. Neemt deel aan regionale en landelijke informatieveiligheidsoverleggen. Richt een organisatie in, stelt procedures op en zorgt voor bewustwording bij het bestuur, management en medewerkers, zodanig dat aan de eisen van het Informatieveiligheidsbeleid wordt voldaan. |
| Controller informatieveiligheid | Is op organisatieniveau verantwoordelijk voor het verbijzonderde toezicht op de naleving van het informatieveiligheidsbeleid, de realisatie van voorgenomen veiligheidsmaatregelen en de escalatie van beveiligingsincidenten. Voert periodieke toetsing uit op de juiste naleving, de werking, de effectiviteit en de kwaliteit van de maatregelen ten aanzien van informatieveiligheid. De controller informatieveiligheid is hiervoor verantwoordelijk, maar organiseert dit proces waar mogelijk met de inzet van beveiligingsbeheerders. Het principe hierbij is dat de toetsing binnen een bepaald domein plaatsvindt door een beveiligingsbeheerder van een ander domein en visa versa. Controleert de voortgang van het uitvoeren van de maatregelen uit de informatieveiligheidsanalyse en actieplan informatieveiligheid. Controleert de periodieke actualisatie van het informatieveiligheidsbeleid en de informatieveiligheidsanalyse. Toetst/bewaakt het niveau van informatieveiligheid Toetst/bewaakt het evaluatieproces van beveiligingsincidenten. Neemt deel aan intern afstemmingsoverleg informatiebeveiliging. |
| Beveiligingsbeheerders BRP Reisdocumenten en rijbewijzen DigiD SIM DigiD iBurgerzaken DigiD ZorgNed Facilitaire zaken DIV HRM | Verantwoordelijk voor het beheer, de coördinatie en advies ten aanzien van de informatieveiligheid van eigen vakgebied. Verantwoordelijk voor het geheel van activiteiten gericht op de toepassing en naleving van de maatregelen en procedures die voortkomen uit het informatieveiligheidsbeleid, inclusief de maatregelen die op de audit en zelfevaluatie onderdelen gelden. Voorbereiden en coördinatie van audits en (zelf)evaluaties. Preventie en detectie van beveiligingsincidenten en het geven van een adequate respons. Coördineren van het toepassen van specifieke wet- en regelgeving. Rapporteert aan de coördinator informatieveiligheid en de controller informatieveiligheid. Een vertegenwoordiging van de beveiligingsbeheerders neemt deel aan intern afstemmingsoverleg informatiebeveiliging. Extra voor BRP: Ten aanzien van de BRP worden loggingsrapportages minimaal maandelijks beoordeeld door de BRP beheerder. Extra voor Facilitaire zaken: Houdt een registratie bij van alle bedrijfsmiddelen die verband houden met veiligheid van ruimten, gebouw(en) en de directe omgeving van de gebouwen. Verantwoordelijk voor de fysieke toegangsbeveiliging en kantoorinrichting (archiefkasten, kluizen enzovoort). Extra voor HRM: Verantwoordelijk voor de advisering inzake de personele en de organieke aspecten binnen de organisatie en speelt hiermee een belangrijke adviesrol op het gebied van organisatie en informatieprocessen. Extra reisdocumenten en rijbewijzen: Verantwoordelijk voor het toezicht op de naleving van de beveiligingsprocedures reisdocumenten en rijbewijzen. |
| De autorisatiebevoegde reisdocumenten / aanvraagstations | Verantwoordelijk voor het beheer van de autorisaties voor de reisdocumenten modules (RAAS en aanvraagstations). |
| De autorisatiebevoegde rijbewijzen | Verantwoordelijk voor het beheer van de autorisaties voor rijbewijzen, inclusief aanmelding bij de RDW. |
| Gegevensbeheerder | De gegevensbeheerder is voor een of meerdere informatiesystemen verantwoordelijk voor het geheel van activiteiten gericht op de inhoudelijke kwaliteitszorg betreffende het gegevens verzamelen, de gegevensverwerking en de informatievoorziening. Neemt deel aan intern afstemmingsoverleg informatiebeveiliging en gegevensbescherming. |
| Intern afstemmingsoverleg informatiebeveiliging en gegevensbescherming | Onderwerpen van het afstemmingsoverleg: Voortgang uitvoering maatregelen uit de analyses en/of uit het actieplannen informatieveiligheid en gegevensbescherming. Beveiligingsincidenten. Planning en voorbereiding van Audits, controles en zelfevaluaties. |
Overige rollen
| Rol | Taken en verantwoordelijkheden informatiebeveiliging |
| Privacy Officer | Adviseert binnen de organisatie over gegevensbescherming en over activiteiten ter bescherming van persoonsgegevens. Beheert het register van verwerkingen van persoonsgegevens tegen de achtergrond van de kaders van de privacywetgeving. Adviseert proceseigenaren bij wijzigingen in procesuitvoering en bedrijfsvoering. Coördineert en voert namens de organisatie een DPIA uit. Neemt als adviserend lid deel aan programma’s en projecten waarvan het resultaat gevolgen kan hebben voor de wijze van verwerking van persoonsgegevens. Geeft uitleg over de privacy voorschriften uit de privacywetgeving. Coördineert de privacy werkzaamheden. Verzorgen van meldingen van datalekken en intrekkingen van meldingen bij de Autoriteit Persoonsgegevens (Apen op basis van het advies van de Functionaris voor de gegevensbescherming (FG). Coördineren van AVG verzoeken van betrokkenen zoals inzage, correctie, verwijdering en verzet ten aan zien van persoonsgegevens en adviseren over de afhandeling. Inrichten van procedures voor het afhandelen van datalekken. Onderhoud van de standaarddocumenten voor verwerkersovereenkomsten, convenanten en reglementen. Advisering en ondersteuning bij het afsluiten van verwerkersovereenkomsten en convenanten en de vaststelling van procedures. Neemt deel aan intern afstemmingsoverleg informatiebeveiliging en gegevensbescherming. |
| Functionaris Gegevensbescherming | Interne toezichthouder op de verwerking van persoonsgegevens. Houdt toezicht op de toepassing en naleving van de privacywetgeving. Verantwoordelijk voor de uitvoer van de klachtenafhandelingsprocedure betreffende het nakomen van de AVG door de gemeenten en de gemeenschappelijke regeling. Dit betekent het initiëren, doorlopen, verzorgen van interne en externe communicatie en afsluiten van de klachtenafhandelingsprocedure. Neemt deel aan intern afstemmingsoverleg informatiebeveiliging en gegevensbescherming. Neemt deel aan regionaal afstemmingsoverleg gegevensbescherming. Adviseert concern breed over meldingen van (mogelijke) datalekken door dit op te nemen in een register van (mogelijke) datalekken en adviseert de organisatie of melding aan de Autoriteit Persoonsgegevens en betrokkenen vereist is. Adviseert de organisatie over DPIA’s en houdt toezicht op de uitvoering daarvan. Bewustmaken en opleiden van medewerkers op het gebied van gegevensbescherming. Werkt op diens verzoek samen met de Autoriteit Persoonsgegevens. Treedt op als contactpersoon op het gebied van gegevensbescherming voor burgers Adviseert de gemeente en samenwerkingspartijen over hun verplichtingen op het gebied van gegevensbescherming. Beheert het register van verwerkingen op basis van meldingen van proceseigenaren. |
| VCIB | Vertrouwde Contactpersoon Informatiebeveiliging voor de Informatie Beveiligingsdienst (IBD). Ontvangt incidentmeldingen of waarschuwingen waarvan de inhoud een vertrouwelijk karakter heeft. Verantwoordelijk voor de afhandeling van de vertrouwelijke incidentmeldingen en waarschuwingen van de IBD. |
| ACIB | Algemene Contactpersoon Informatiebeveiliging voor de IBD. De ACIB krijgt algemene waarschuwingen en informatie met een niet vertrouwelijk karakter over algemene bedreigingen en incidenten. |
| Beveiligingsbeheerder Parkstad-IT | Verantwoordelijk voor het beheer, de coördinatie en advies ten aanzien van de informatieveiligheid van de IT voorziening bij Parkstad-IT. Verantwoordelijk voor het geheel van activiteiten gericht op de toepassing en naleving van de maatregelen en procedures die voortkomen uit het informatieveiligheidsbeleid, inclusief de maatregelen die op de audit en zelfevaluatie onderdelen gelden. Voorbereiden en coördinatie van audits en (zelf)evaluaties. |
| Beveiligingsbeheerder Basisregistratie Adressen en Gebouwen (BAG) | Verantwoordelijk voor het beheer, de coördinatie en advies ten aanzien van de informatieveiligheid van de BAG Verantwoordelijk voor het geheel van activiteiten gericht op de toepassing en naleving van de maatregelen en procedures die voortkomen uit het informatieveiligheidsbeleid, inclusief de maatregelen die op de audit en zelfevaluatie onderdelen gelden. Voorbereiden en coördinatie van audits en (zelf)evaluaties. Preventie en detectie van beveiligingsincidenten en het geven van een adequate respons. Coördineren van het toepassen van specifieke wet- en regelgeving. Rapporteert aan het afdelingshoofd |
| Beveiligingsbeheerder Basisregistratie Grootschalige Topografie (BGT) | Verantwoordelijk voor het beheer, de coördinatie en advies ten aanzien van de informatieveiligheid van de BGT. Verantwoordelijk voor het geheel van activiteiten gericht op de toepassing en naleving van de maatregelen en procedures die voortkomen uit het informatieveiligheidsbeleid, inclusief de maatregelen die op de audit en zelfevaluatie onderdelen gelden. Voorbereiden en coördinatie van audits en (zelf)evaluaties. Preventie en detectie van beveiligingsincidenten en het geven van een adequate respons. Coördineren van het toepassen van specifieke wet- en regelgeving. Rapporteert aan het afdelingshoofd |
| Beveiligingsbeheerder Basis Registratie Ondergrond (BRO) | Verantwoordelijk voor het beheer, de coördinatie en advies ten aanzien van de informatieveiligheid van de BRO Verantwoordelijk voor het geheel van activiteiten gericht op de toepassing en naleving van de maatregelen en procedures die voortkomen uit het informatieveiligheidsbeleid, inclusief de maatregelen die op de audit en zelfevaluatie onderdelen gelden. Voorbereiden en coördinatie van audits en (zelf)evaluaties. Preventie en detectie van beveiligingsincidenten en het geven van een adequate respons. Coördineren van het toepassen van specifieke wet- en regelgeving. Rapporteert aan het afdelingshoofd. |
| Manager Suwinet | De manager is verantwoordelijk voor de aanvraag van mutaties in geval van in-, door- en uitstroom van medewerkers. Deze aanvraag wordt door de Security Officer SUWI gecontroleerd. |
| Beveiligingsbeheerder/Security Officer Suwinet | Verantwoordelijk voor het beheer, de coördinatie en advies ten aanzien van de informatieveiligheid bij de afdeling Sociaal, in het bijzonder voor Suwinet. Verantwoordelijk voor het geheel van activiteiten gericht op de toepassing en naleving van de maatregelen en procedures die voortkomen uit het informatieveiligheidsbeleid, inclusief de maatregelen die op de audit en zelfevaluatie onderdelen gelden. Voorbereiden en coördinatie van audits en (zelf)evaluaties. Preventie en detectie van beveiligingsincidenten en het geven van een adequate respons. Coördineren van het toepassen van specifieke wet- en regelgeving. Beheert beveiligingsprocedures en maatregelen in het kader van Suwinet, zodanig dat de beveiliging van Suwinet overeenkomstig wettelijke eisen is geïmplementeerd. Dit laatste impliceert eveneens de kwaliteitszorg, de kwaliteitsborging en de controle op het toegang en gebruik van Suwinet. Bevordert de beveiliging van Suwinet. Ziet er op toe dat de beveiligingsmaatregelen worden nageleefd. Adviseert en informeert medewerkers en management. Doet voorstellen tot implementatie of aanpassing van plannen op het gebied van de beveiliging van Suwinet. Evalueert de resultaten van verbetermaatregelen. De Security Officer verzorgt periodiek een rapportage met betrekking tot de beveiligingsstatus en het gebruik van Suwinet aan het hoogste management en/of het college. Controleert de aanvragen van mutaties door de manager. De Security Officer SUWI gaat hierbij na of de gevraagde autorisatie overeenkomt met de uit te voeren functie/rol. Indien de aanvraag akkoord is, worden de autorisaties en toegang inclusief wachtwoorden in orde gemaakt. Vraagt meerdere keren per jaar een rapportage op bij het BKWI over het gebruik van Suwinet. |
IT crisisbeheersing
Voorzitter informatiebeveiligingsoverleg Coördinator IT Beveiligingsbeheerder IT Lid van het MT Lid van team communicatie Relevante experts | Dit team komt uitsluitend bij elkaar in geval van grote incidenten of calamiteiten. Op basis van de mogelijke politieke gevolgen van het incident kiest de verantwoordelijk manager er voor om al dan niet de verantwoordelijke portefeuillehouder in te lichten.