Hieronder worden de vragen zoals gesteld door de indienende fractie tezamen met de beantwoording daarvan weergegeven.

Transcriptie

1 leden van de gemeenteraad gemeente Hellevoetsluis Postbus AA Hellevoetsluis bezoekadres: Oostzanddijk 26 telefoon fax IBAN NL16BNGH adres: uw kenmerk stuknummer zaaknummer 2014/09256 bijlage(n) datum 9 oktober 2014 verzonden 9 oktober 2014 Geachte heer, mevrouw, De gemeenteraadsfractie van D 66 heeft op 9 september 2014 vragen gesteld op grond van artikel 37 Regelement van Orde betreffende de beveiliging van persoonsgegevens bij het gebruik van Suwi-net. Door middel van dit schrijven doet het college van burgemeester en wethouders conform de daarvoor geldende procedure uw raad de beantwoording van de vragen toekomen. Hieronder worden de vragen zoals gesteld door de indienende fractie tezamen met de beantwoording daarvan weergegeven. Inleiding 1. Bij brief van juni 2012 aan het college van burgemeester en wethouders van Hellevoetsluis schrijft het ministerie van Sociale Zaken en Werkgelegenheid dat uit een inspectie is gebleken dat de beveiliging van persoonsgegevens, die worden gebruikt voor de uitvoering van de sociale zekerheid bij een aantal gemeenten, onvoldoende is. Het betreft hier m.n. het gebruik van Suwi-net. Aan het college is gevraagd na te gaan of de conclusies van de inspectie van toepassing zijn op de gemeente Hellevoetsluis. Vraag 1. Wanneer is deze brief binnen het college besproken en waar heeft dat toe geleid? zo dit niet heeft plaatsgevonden, waarom niet? Brieven aan het college betreffende zaken die direct te maken hebben met de uitvoering van gemeentelijke taken worden ter afhandeling aan de verantwoordelijke vakafdeling verzonden en ter kennisname aan het college. De vakafdeling heeft de verantwoordelijkheid gepaste actie te ondernemen uit naam van het college conform gemeentelijk beleid. De vakafdeling heeft in deze een informatie en advies verplichting naar het college betreffende eventueel te nemen maatregelen of gevolgen voor de gemeente. Door de vakafdeling is naar aanleiding van de brief onderzocht of de gemeente Hellevoetsluis voldoet aan de eisen die gesteld zijn aan het beheren en gebruiken van persoonsgegevens. Geconstateerd is dat dit het geval was. Inleiding 2. Bij brief van 19 december 2013 schrijft het ministerie recentelijk een vervolgonderzoek te hebben ingesteld. Daarin bleek dat slechts vier procent van de onderzochte gemeenten bij het gebruik van Suwi-net voldoende maatregelen hebben getroffen om de vertrouwelijkheid van uitgewisselde gegevens te waarborgen. In het Informatiebeleidsplan omschrijft het college Hellevoetsluis m.b.t. Suwi als vooroplopend t.o.v. vergelijkbare gemeenten.

2 Vraag 2. Betekent dit dat Hellevoetsluis in december 2013 tot die gemeenten behoorde die de door het ministerie omschreven maatregelen in voldoende mate hadden getroffen? zo neen, waarom niet? De gemeente Hellevoetsluis behoorde niet tot de gemeenten die onderzocht zijn door het ministerie. Naar aanleiding van de brief van het ministerie is onderzocht of de gemeente tot de 4 % van de gemeenten zou behoren, als er wel onderzoek was gedaan door het ministerie. Geconstateerd is dat de gemeente in relatie tot dit onderwerp afdoende maatregelen heeft genomen en dus tot de gemeenten behoort die de vertrouwelijkheid van de gegevens heeft gewaarborgd. Vraag 3a. Heeft u een beveiligingsbeleid of een beveiligingsplan waar het gaat om het gebruik van Suwi-net. In relatie tot de beveiliging van persoonsgegevens in Suwi-net heeft de gemeente een beveiligingsplan. Dit plan genaamd Beveiligingsplan Suwi-net Afdeling WIZ gemeente Hellevoetsluis 2012, is in de collegevergadering van 7 mei 2012 vastgesteld. Het plan is als bijlage gevoegd bij deze brief. Daarnaast is een nieuw algemeen informatiebeveiligingsplan, gebaseerd op de BIG, op 30 september 2014 vastgesteld. Vraag 3b. Wordt dat ook uitgedragen, geëvalueerd en formeel vastgesteld? Sinds wanneer? en zo neen, waarom niet? Het uitdragen van de uitgangspunten van het informatiebeveiligingsbeleid is formeel belegd bij de afdeling die gebruikt maakt van de systemen waar de gegevens in op te vragen zijn. Afspraken hierover worden afgestemd met de afdeling ICT van de gemeente. Wanneer hier aanleiding voor is worden de uitgangspunten besproken in werkoverleggen of bilaterale gesprekken. Voor Suwi-net specifiek is de afdeling Werk, Inkomen & Zorg verantwoordelijk Voor iedere werknemer van de gemeente geldt daarnaast dat zij bij aanvang van het dienstverband een overeenkomst moeten ondertekenen met betrekking tot het verantwoord gebruik van ICT en persoonlijke informatie van klanten. In het bij vraag 3a genoemde nieuwe beveiligingsplan wordt in dit kader expliciet aandacht besteed aan het structureel inbedden van rapportages en eventuele escalatie op grond van de Plan, Do, Check, Act ( PDCA) methode. 4. Heeft u een formeel vastgelegde autorisatieprocedure met betrekking tot het verstrekken van toegang tot Suwi-net? zo neen, waarom niet, zo ja, sinds wanneer en wat is de inhoud van die procedure? Er is een formeel vastgelegde autorisatieprocedure voor het verstrekken van toegang tot Suwi-net. Deze procedure is vastgelegd in het bij deze brief als bijlage gevoegde Beveiligingsplan Suwi-net Afdeling WIZ gemeente Hellevoetsluis Worden de door medewerkers verrichte opvragingen periodiek gecontroleerd? Zo neen, waarom niet? Zo ja, sinds wanneer? De activiteiten van medewerkers op Suwi-net worden periodiek opgevraagd en beoordeeld conform het beveiligingsplan. Dit gebeurt vanaf de introductie van de Suwi-net inkijk bij de gemeente. Vraag 6. Heeft u een security-officer benoemd die aan een collegelid rapporteert over het gebruik van Suwi-net? Zo neen, waarom niet? Zo ja sinds wanneer. Er is op 30 september 2014 een security-officer benoemd, tegelijk met het vaststellen van het nieuwe algemene informatieveiligheidsplan.

3 Vraag 6a. Hoeveel rapportages hebben inmiddels het licht gezien en wat is daar de inhoud van? De medewerker belast met de controle op het gebruik van Suwi-net kan op elk gewenst moment een uitdraai maken van de activiteiten van gebruikers van het Suwi-net in de gemeente. Dit wordt periodiek gedaan of als hier om wat voor reden dan ook aanleiding voor is. Op grond van de uitdraai kan een rapportage gemaakt worden. Deze bevat dan een overzicht van de raadplegingen van medewerkers op Suwi-net. Inleiding 3. Bij brief van 18 juli 2014 wijst het ministerie van Sociale zaken en werkgelegenheid op het bestaan van een zelftest waarmee gemeenten de lokale stand van zaken en eventueel verbeterpunten in kaart kunnen brengen. Vraag 7. Heeft het college deze test uitgevoerd? Zo neen, waarom niet. Zo ja, wanneer is de test uitgevoerd en wat waren de resultaten? De test is in april 2014 uitgevoerd. De resultaten toonden aan dat aanscherping van het beleid nodig was. Dit betrof overigens punten die niet te maken hadden met de directe beveiliging van de gegevens. Deze punten hadden betrekking op de interne structuur en beleidsevaluatie. M.b.t. tot de evaluatie van veiligheidsbeleid verwijzen wij u naar de beantwoording van vraag 3a. Hoogachtend, burgemeester en wethouders van Hellevoetsluis, namens dezen, de secretaris, de burgemeester,

4 Beveiligingsplan Suwinet Afdeling WIZ Gemeente Hellevoetsluis 2012 T.H. van der Stel Afdeling FaZa Security Officer Hellevoetsluis, 2 mei 2012

5 2 BEVEILIGINGSPLAN SUWINET AFDELING WIZ GEMEENTE HELLEVOETSLUIS 2012

6 Inhoudsopgave 0.1. Vaststelling 4 1. Inleiding 5 2. Beveiligingsplan Suwinet in relatie tot gemeentelijke organisatie Inleiding Internet Werkplekken 6 3. Medewerkers, taken en bevoegdheden Voorschriften Geautoriseerde functies voor Suwinet-Inkijk Taken in relatie tot Suwinet-Inkijk 7 4. Autorisaties Suwinet-Inkijk 9 5. Gebruik Suwinet-Inkijk Logging rapportages Regels bij beveiliging van persoonsgegevens in relatie tot verkregen Suwi-gegevens 17 Bijlage 1. Protocol inzage in Suwinet door cliënt en/of gemachtigde 19 Bijlage 2. Verklaring extern personeel 21 Bijlage 3. Lijst gebruikte afkortingen 22 BEVEILIGINGSPLAN SUWINET AFDELING WIZ GEMEENTE HELLEVOETSLUIS

7 0.1. Vaststelling Vastgesteld door het afdelingshoofd van de afdeling Facilitaire Zaken. 4 BEVEILIGINGSPLAN SUWINET AFDELING WIZ GEMEENTE HELLEVOETSLUIS 2012

8 1. Inleiding De uitvoering van de taken op het gebied van werk gebeurt in de gemeente Hellevoetsluis binnen het team Maatschappelijke Ondersteuning van de afdeling Werk, Inkomen en Zorg. Hieronder wordt dit aangeduid met de landelijk gebruikelijke term Sociale Zaken. De gemeente Hellevoetsluis heeft als uitvoerder van diverse wetten en regelingen te maken met veel registraties. Om de efficiency en de effectiviteit te verbeteren worden de laatste jaren steeds meer van die registraties gekoppeld en is samenwerking binnen verschillende ketens noodzakelijk. Een van die ketens is de keten van Werk en Inkomen. Dit is gebaseerd op de Wet Structuur uitvoering werk, kortweg Suwi. Ketenpartners zijn het Bureau Keteninformatisering Werk en Inkomen (BKWI), de stichting Inlichtingenbureau Gemeenten (IB), het Uitvoeringsinstituut Werknemersverzekeringen (UWV inclusief het UWV WERKbedrijf, de opvolger van het Centrum voor werk ) en gemeenten. Zij wisselen via een elektronische infrastructuur gegevens met elkaar uit. Dit is het Suwinet. Met de faciliteit Suwinet-Inkijk worden gegevens op basis van burger servicenummers (BSN) toegankelijk gemaakt voor bevoegde medewerkers. Daarnaast kan de burger zelf sinds begin 2008 zijn/haar binnen de Suwi-keten vastgelegde gegevens inzien via het Digitaal Klant Dossier (DKD). Het gaat daarbij om privacygevoelige gegevens. Denk aan arbeidsverleden, loon, uitkeringen en opleiding van burgers die bekend zijn binnen de Suwi-keten. De genoemde organisaties hebben die gegevens nodig om het recht op een uitkering vast te kunnen stellen en de juiste dienstverlening te kunnen leveren. Om de Suwi-keten effectief te laten functioneren moeten partijen er op kunnen vertrouwen dat hun gegevens door de partners in de Suwi-keten op een zorgvuldige en controleerbare wijze worden behandeld. De wetgever heeft bij de start van Suwinet in 2002 aangegeven dat gegevensbeveiliging noodzakelijk is. Voor alle ketenpartners is dit met beveiligingsvoorschriften uitgewerkt in artikel 6.4 en bijlage 1 van de Regeling Suwi. Dit betekent dat bevoegde gebruikers van Suwinet over nogal wat privacygevoelige informatie van cliënten kunnen beschikken. Daarnaast neemt het aantal bronnen waarvan Suwinet gebruik kan maken alleen maar toe. Inmiddels is ook de Rijksdienst voor het Wegverkeer (RDW) al aangesloten evenals de Sociale Verzekeringsbank (SVB). Op termijn zal naar verwachting ook de Belastingdienst aansluiten op Suwinet. Landelijk blijkt nog niet elke gemeente te beschikken over een (actueel) informatiebeveiligingsplan. Dat geldt ook voor Hellevoetsluis. Dat is feitelijk wel als verplichting opgenomen in de Regeling Suwi. In de Wet Bescherming Persoonsgegevens (WBP) is uitgebreid geregeld hoe met persoonsgegevens moet worden omgegaan. Voor welke doeleinden ze mogen worden verzameld. Op welke wijze ze mogen worden verwerkt. En welke beveiligingsmaatregelen er moeten worden getroffen. Al met al redenen genoeg om dit Beveiligingsplan Suwinet voor Sociale Zaken vast te stellen. Het Beveiligingsplan Suwinet is geen statisch document. Het is gebaseerd op diverse landelijke en sectorale uitgangspunten en documenten. De organisatie en omgeving van Sociale Zaken zijn voortdurend in ontwikkeling, onder andere door wijzigende of vernieuwende inzichten en wetgeving of aanpassingen in de informatiesystemen. Dit betekent dat dit plan periodiek moet worden beoordeeld op actualiteit en dus mogelijk regelmatig aanpassing behoeft. BEVEILIGINGSPLAN SUWINET AFDELING WIZ GEMEENTE HELLEVOETSLUIS

9 2. Beveiligingsplan Suwinet in relatie tot gemeentelijke organisatie 2.1 Inleiding De infrastructuur en internetapplicaties vallen technisch, qua gebruik en beveiligingsaspecten onder verantwoordelijkheid van de afdeling Facilitaire Zaken. Het gebruik van internet en het beveiligingsbeleid is centraal geregeld. De Suwi-wetgeving vereist een afzonderlijk beveiligingsplan en stelt specifieke eisen aan (controle op) het gebruik door de functionele afdeling, in dit geval Sociale Zaken. Deze nota beperkt zich dan ook tot het beveiligingsbeleid specifiek in relatie tot Suwinet. 2.2 Internet De gemeente Hellevoetsluis maakt gebruik van het beveiligde netwerk voor Nederlandse gemeenten, Gemnet genaamd. Om de Suwinet-Inkijk applicatie te gebruiken wordt via de gemeente Hellevoetsluis eerst verbinding gemaakt met Gemnet waarna verbinding wordt gemaakt met Suwinet-Inkijk. Er is in Hellevoetsluis een zeer beperkte gebruikersgroep voor Suwinet-Inkijk. Hierdoor is dit niet toegankelijk voor onbevoegden van buitenaf. Gemnet zorgt ervoor dat er geen onbevoegden kunnen binnen komen in het netwerk Suwinet. Verder heeft de gemeente Hellevoetsluis maatregelen getroffen voor een zo hoog mogelijk beveiligingsniveau: a. de dataverbindingen met de buitenwereld voor Suwinet lopen via Gemnet; b. alle internetverkeer wordt beveiligd door een dienst van Gemnet en de gemeente Hellevoetsluis; c. alle centrale computers en pc s zijn voorzien van actuele toegangsprogrammatuur en programmatuur ter beveiliging tegen virussen. 2.3 Werkplekken De computers op de werkplekken zijn beveiligd door middel van wachtwoorden. De werknemer moet zijn wachtwoord invoeren alvorens de pc gebruikt kan worden. De Suwinet-Inkijk applicatie heeft een eigen wachtwoord. Bij het actief gebruik van Suwinet is het niet toegestaan om de werkplek te verlaten. Bij het verlaten van de werkplek moet de applicatie worden afgemeld en afgesloten. Na 10 minuten geen gebruik te maken van de applicatie wordt deze automatisch afgesloten en moet opnieuw ingelogd worden. 6 BEVEILIGINGSPLAN SUWINET AFDELING WIZ GEMEENTE HELLEVOETSLUIS 2012

10 3. Medewerkers, taken en bevoegdheden 3.1 Voorschriften Het spreekt voor zich dat de medewerkers op verantwoorde wijze omgaan met de persoonsgegevens die zij raadplegen via Suwinet-Inkijk. Het is alleen toegestaan om gegevens van cliënten van Sociale Zaken te raadplegen bij controle van de rechtmatigheid en doelmatigheid inzake de wettelijke voorschriften. Gegevens die vanuit Suwinet worden afgedrukt komen beschikbaar op de printer van Sociale Zaken. De uitdraaien uit Suwinet worden in het persoonsdossier van de cliënten bewaard. De persoonsdossiers worden bewaard in een archiefkast welke wordt afgesloten wanneer de laatste medewerker de afdeling verlaat. Bij het verlaten van de werkplek dient men zich af te melden van de applicatie. Voor uitkeringsgerechtigden die hun gegevens in Suwinet via het recht op inzage wensen in te zien en eventueel te corrigeren is een protocol opgesteld (bijlage 1). Personeel dat in dienst is bij de gemeente valt onder het ambtenarenreglement. Dit betekent dat zij bij benoeming niet apart een verklaring behoeven te ondertekenen dat zij op verantwoorde wijze omgaan met privacygevoelige informatie. In het ambtenarenreglement is dit reeds opgenomen. De desbetreffende medewerker wordt voordat toegang tot de diverse applicaties wordt verleend gewezen op de gebruiksafspraken en de regels omtrent de vertrouwelijkheid. Voor extern of ingehuurd personeel dat dient te beschikken over de Suwinet-Inkijk applicatie is in de meeste gevallen via de inleenovereenkomst van de uitzendbureaus of de daaraan gekoppelde algemene voorwaarden de geheimhouding van vertrouwelijke gegevens door het bureau en de medewerker gewaarborgd. In situaties waarin dit niet het geval is, wordt bij de inhuur aan de medewerker een verklaring gevraagd omtrent de omgang met vertrouwelijke gegevens, waaronder Suwinet (zie bijlage 2). Voor het gebruik van de applicatie Suwinet-Inkijk zijn de medewerkers van Sociale Zaken, geautoriseerd door middel van het toekennen van een of meerdere gebruikersrollen. Binnen Suwinet-Inkijk kunnen afhankelijk van de rol brongegevens worden geraadpleegd. In hoofdstuk 4 volgt een opsomming van de gebruikersrollen binnen Suwinet-Inkijk en de daarvoor geautoriseerde functies. 3.2 Geautoriseerde functies voor Suwinet-Inkijk Er zijn verschillende functies binnen Sociale Zaken die geautoriseerd zijn om gebruik te maken van Suwinet-Inkijk. Het gaat om de volgende functies: applicatiebeheerder; ; medewerker uitkeringsadministratie; medewerker terugvordering en verhaal;. Daarnaast zijn er functies waarvoor geen autorisatie voor Suwinet-Inkijk noodzakelijk is, zoals: manager afdeling Werk, Inkomen en Zorg; teamcoördinator Sociale Zaken; beleidsmedewerker Werk, Inkomen en Zorg. 3.3 Taken in relatie tot Suwinet-Inkijk De afdelingsmanager Werk, Inkomen en Zorg is eindverantwoordelijk voor het gebruik en de beveiliging van Suwinet-Inkijk en legt daar verantwoording over af. De teamcoördinator Sociale Zaken is verantwoordelijk voor het actueel en volledig zijn en blijven van de Beveiligingsplan Suwinet gemeente Hellevoetsluis. Tevens bepaalt deze functionaris wie welke autorisaties ontvangt voor het gebruik van Suwinet-Inkijk. De BEVEILIGINGSPLAN SUWINET AFDELING WIZ GEMEENTE HELLEVOETSLUIS

11 beleidsmedewerker rapporteert jaarlijks over het beveiligingsplan en de bevindingen op dit gebied. De applicatiebeheerder van de gemeente Hellevoetsluis heeft de volgende taken in relatie tot Suwinet-Inkijk: Periodieke controle log-in gegevens. Doel: controleren of het gebruik van de gegevens binnen Suwinet-Inkijk plaatsvindt binnen de wettelijke kaders en overeenkomstig de doelen die de organisatie hiertoe heeft geformuleerd; Gebruikers Suwinet-Inkijk in opdracht van de teamcoördinator autoriseren voor toegang tot de applicatie; De autorisaties van medewerkers die uit dienst gaan of een andere functie gaan vervullen in opdracht van de teamcoördinator verwijderen resp. aanpassen; 8 BEVEILIGINGSPLAN SUWINET AFDELING WIZ GEMEENTE HELLEVOETSLUIS 2012

12 4. Autorisaties Suwinet-Inkijk Binnen Sociale Zaken zijn medewerkers al dan niet geautoriseerd om gebruik te maken van Suwinet-Inkijk. Het gaat hierbij om de volgende functies: applicatiebeheerder; ; medewerker uitkeringsadministratie; medewerker terugvordering en verhaal; secretariële ondersteuning;. In de onderstaande tabel volgen per rol de functies die rechten hebben met betrekking tot het gebruik van Suwinet-Inkijk. G002 Rol Omschrijving Functies Beroepen-en Opleidingenregister (B&O) Dit is een zoekmachine waarmee gezocht kan worden op samenhang tussen beroepenorientatie ( ik wil iets met ), bijbehorende beroepen en opleidingseisen. Het B&O biedt klantmanagers een handvat voor het uitzetten van reintegratieactiviteiten met de cliënt. G003 UWV WERKbedrijf Deze informatie is van belang voor de processen die samenhangen met rechtmatigheid en reïntegratie. G004 Fraude Score Kaart (FSK) Hiermee kunnen risicoprofielen in het kader van fraudebestrijding opgesteld worden. G005 LRD op BSN Via het opgeven van een BSN kan de LRD bevraagd worden op de NAW-gegevens van de klant. Deze gegevens worden via Suwinet- Inkijk beschikbaar gesteld aan die gemeenten die hiertoe zijn geautoriseerd. Voor deze pagina gelden de restricties zoals voor de bevraging. G018 LRD zoeken Voor het zoeken naar het BSN van een klant medewerker terugvordering en verhaal medewerker terugvordering en verhaal medewerker terugvordering en verhaal BEVEILIGINGSPLAN SUWINET AFDELING WIZ GEMEENTE HELLEVOETSLUIS

13 Rol Omschrijving Functies waarvan het BSN niet bekend is, maar andere persoonsgegevens (naam, geboortedatum, geslacht) wel. medewerker terugvordering en verhaal G019 GSD Het overzicht GSD bevat informatie over: NAW-gegevens Uitkeringsaanvragen Uitkeringsverhoudingen Vorderingen Reïntegratie van de klant, bekend bij alle gemeenten in Nederland. G020 RDW intake Op deze pagina kan op BSN gezocht worden naar de kentekens die op naam staan. G021 RDW fraude Deze pagina bevat extra informatie over verzekeringsgegevens van het voertuig en heeft extra zoeksleutels (zoals kenteken of naam).? Rechtmatigheid WWB In dit overzicht wordt beschikbare informatie met betrekking tot UWV WERKbedrijf, Sociale Zaken en UWV gecombineerd, aangevuld met informatie van de SVB over AKW, ANW en AOW. G026 Reïntegratie WWB In dit overzicht wordt beschikbare informatie met betrekking tot arbeid (bijv. werkervaring en opleidingen) van UWV WERKbedrijf, Sociale Zaken en UWV gecombineerd, aangevuld met informatie van de SVB over ANW. G024 Suwi Bedrijven Register Dit register bevat een groot deel van het Handelsregister van de KvK en een aanvulling van het bureau Marktselect. medewerker uitkeringsadministratie medewerker terugvordering en verhaal medewerker terugvordering en verhaal medewerker terugvordering en verhaal medewerker terugvordering en verhaal medewerker terugvordering en verhaal 10 BEVEILIGINGSPLAN SUWINET AFDELING WIZ GEMEENTE HELLEVOETSLUIS 2012

14 G025 Rol Omschrijving Functies Verificatie Informatie Systeem (VIS) Het VIS informeert over de unieke nummers van gestolen, vermiste of anderszins ongeldig verklaarde identiteits- en reisdocumenten uit binnen- en buitenland. Hieronder vallen onder meer paspoorten, visa en de Nederlandse op naam gestelde rijbewijzen. G026 Werk.nl Werk.nl bevat vacatures van het UWV WERKbedrijf en diverse andere vacaturesites. Er kan op vele ingangen worden gezocht. De klant kan via zijn cv plaatsen, zich inschrijven voor werk bij UWV WERKbedrijf en een e- aanvraag indienen. Werkgevers kunnen op profielen zoeken naar ingeschreven werkzoekenden. Werk.nl biedt de mogelijkheid om statistische overzichten te maken van vacatures en niet werkende werkzoekenden. G027 WWIK Op deze pagina worden alle gelopen (W)WIK perioden getoond.? Rechtmatigheid WWB incl. medebewoners uit de LRD Dit overzicht bevat dezelfde informatie als het hierboven genoemde overzicht Rechtmatigheid WWB maar nu met een link naar de medebewoners uit de LRD. G029 Klantbeeld Deze pagina toont per BSN de gegevens in het DKD die de klant ook zelf kan inzien als hij inlogt met DigiD via Werk.nl is een tool van UWV WERKbedrijf. Deze tool is automatisch beschikbaar bij het aanmaken van een account en hoeft dus niet apart geautoriseerd te worden. Deze pagina is van belang voor functionarissen bij de centrumgemeenten die de WWIK uitvoeren. Voor Hellevoetsluis is dat Spijkenisse. medewerker uitkeringsadministratie medewerker BEVEILIGINGSPLAN SUWINET AFDELING WIZ GEMEENTE HELLEVOETSLUIS

15 Rol Omschrijving Functies De pagina Klantbeeld is voor gemeenten alleen beschikbaar als de gemeente beschikt over een autorisatiebesluit LRD. Bij het toekennen van deze autorisatie aan een gebruiker moet rekening gehouden worden met het in feite toekennen van het gebruik van LRD op BSN. In de toekomst kan het Klantbeeld uitgebreid worden met meer informatie. De gemeente zal steeds moeten (her)overwegen of de gebruiker die geautoriseerd is voor het Klantbeeld ook inzage mag hebben in de nieuw toegevoegde informatie. terugvordering en verhaal G030 LRD zoeken uitgebreid Op deze pagina kan de LRD bevraagd worden voor de NAWgegevens van de klant via het ingeven van meerdere zoeksleutels zoals bijv. met geboortedatum, postcode en huisnummer. Ook voor deze pagina gelden de restricties zoals voor de bevraging. G031 Correctieservice Deze autorisatie is bedoeld voor het elektronisch terugmelden over gegevens door een professional. G033 Configureren correctieservice Inkomensverruiming+ NIBUD rekenmodule met voorinvulling Deze autorisatie is bedoeld om met de correctieservice zelfconfiguratiemodule in Suwinet-lnkijk de instellingen in de correctieservice te beheren. Met de NIBUD rekenmodule kunnen professionals medewerker terugvordering en verhaal medewerker terugvordering en verhaal applicatiebeheerder medewerker 12 BEVEILIGINGSPLAN SUWINET AFDELING WIZ GEMEENTE HELLEVOETSLUIS 2012

16 Rol Omschrijving Functies voor hun klanten aanspraken op allerlei landelijke inkomensverruimende regelingen met voorinvulling berekenen. Gedacht moet worden aan huuren zorgtoeslag, kinderopvangtoeslag, heffingskortingen, tegemoetkoming studiekosten etc. terugvordering en verhaal G034 Langdurigheidstoeslag Op deze pagina wordt de informatie die van belang is bij het beoordelen van het recht op LDT weergegeven. Dit is bedoeld als ondersteuning bij het afhandelen van aanvragen voor LDT van de niet eigen WWBcliënten, zoals de cliënten met een WAOof WIAuitkering.? Inkomensverruiming NIBUD rekenmodule leeg Idem als Inkomensverruiming+, maar dan zonder voorinvulling van LRD gegevens. Deze autorisatie kan gebruikt worden door gemeenten die geen autorisatie LRD via Suwinet hebben.? Status Correctie Deze autorisatie is bedoeld voor de medewerker(s) die de afhandeling van de elektronische correcties en terugmeldingen verzorgt. GSDADM Gebruikersbeheerder Iedere maand ontvangt Sociale Zaken een rapportage, waarin informatie wordt verstrekt over het gebruik van Suwinet- Inkijk door de medewerkers van Sociale Zaken. In de rapportage staat o.a. de volgende informatie: aantal opvragingen medewerker terugvordering en verhaal medewerker terugvordering en verhaal De informatie mag door iedere geïnteresseerde van de betreffende gemeente ingezien worden en bevat daarom geen gegevens over herkenbare medewerkers. BEVEILIGINGSPLAN SUWINET AFDELING WIZ GEMEENTE HELLEVOETSLUIS

17 SCI01 SCI02 SCI03 Rol Omschrijving Functies Suwinet-Inkijk meest opgevraagde BSN opvragingen binnen/buiten kantooruren aantal inlogpogingen. Raadplegen Bestand Potentiële Inburgeringsplichtingen (BPI) Raadplegen Informatiesysteem Inburgering (ISI) op BSN Raadplegen ISI op BSN of selectie Rol voor het inburgeringsportaal Rol voor het inburgeringsportaal Rol voor het inburgeringsportaal SCI05 Muteren BPI en ISI Rol voor het inburgeringsportaal SCI05 Muteren ISI Rol voor het inburgeringsportaal SCI06 SCI07 Alle bevoegdheden incl. signalen Raadplegen BPI en ISI Rol voor het inburgeringsportaal Rol voor het inburgeringsportaal 14 BEVEILIGINGSPLAN SUWINET AFDELING WIZ GEMEENTE HELLEVOETSLUIS 2012

18 5. Gebruik Suwinet-Inkijk Er zijn dus meerdere functies binnen Sociale Zaken waarbij Suwinet-Inkijk gebruikt wordt voor het raadplegen van cliëntgegevens en of informatie. In de onderstaande tabel volgt per functie in welke gevallen Suwinet-Inkijk gebruikt mag/kan worden. We spreken in die gevallen van geoorloofd gebruik. Functie Gebruik Suwinet-Inkijk voor: manager afdeling Samenleving geen teamcoördinator Sociale Zaken geen beleidsmedewerker geen applicatiebeheerder (vanuit Hellevoetsluis) configureren correctieservice beheren autorisaties afhandeling maandelijkse signalen IB klantmanager werk bij aanvragen WWB-, Ioaw-, Ioaz-, Bbzuitkering reïntegratietrajecten bij fraudesignalen bij heronderzoeken (zowel rechtmatigheid als doelmatigheid) medewerker uitkeringsadministratie uitvoeren taken uitkeringadministratie medewerker terugvordering en bij aanvragen WWB-uitkering in relatie tot verhaal verhaal bij debiteuren(her)onderzoeken ter vaststelling van actuele woonplaats, draagkracht, hoogte inkomen, werkgever afhandeling maandelijkse signalen IB bij fraudesignalen bij preventieonderzoeken en thematische onderzoeken toetser controleren van taken die de klantmanagers uitvoeren Wordt Suwinet om andere redenen gebruikt dan zoals hierboven is verwoord, dan is er in principe sprake van ongeoorloofd gebruik. BEVEILIGINGSPLAN SUWINET AFDELING WIZ GEMEENTE HELLEVOETSLUIS

19 6. Log-in rapportages Het BKWI heeft rapportages ontwikkeld omtrent de logging van het gebruik van Suwinet- Inkijk. Het BKWI is verplicht om gegevens te loggen waarmee het gebruik van Suwinet- Inkijk per medewerker van o.a. de gemeente kan worden nagegaan. De volgende gegevens worden gelogd: het tijdstip van iedere log-in en log-out en andere actie; de gebruikersnaam van degene die inlogt/uitlogt; elk BSN (of andere zoeksleutel) waarvan gegevens worden opgevraagd wordt als actie geregistreerd; elke actie, zoals de bekeken kolom- of overzichtspagina s. Het doel van deze logging is tweeledig: tegengaan en controleren van onrechtmatige, onregelmatige of doeloverschrijdende verwerking; wetenschappelijke en/of statistische doeleinden. De gebruikers van Suwinet-Inkijk moeten weten dat over hen gegevens worden verzameld en vastgelegd. Dit is een belangrijk onderdeel van de privacybescherming ten opzichte van deze medewerkers. Met het oog hierop moet de navolgende informatie worden verstrekt aan de medewerkers die (gaan) werken met Suwinet-Inkijk: het bestaan van de logging-applicatie; de (aard van de) gegevens die binnen deze applicatie worden gelogd; doelen van de logging; dat de gelogde gegevens niet voor andere doeleinden worden gebruikt dan waarvoor ze zijn vastgelegd; de wijze en het moment waarop en door wie een onrechtmatig of doeloverschrijdend gebruik van het Suwinet-Inkijk wordt geconstateerd; dat bij bovenstaande constatering dit door het teamcoördinator Sociale Zaken wordt gecommuniceerd met de betreffende medewerker(s). In het kader van de beveiliging wordt voorgesteld om de gegevens over het gebruik van Suwinet-Inkijk 1x per 3 maanden te laten uitvragen. Het betreft dan de volgende gegevens: inkijkacties; opvragingen unieke BSN; geldige ten opzichte van ongeldige rollen; inlogpogingen; administrator accounts; accounts per status; opvragingen per pagina; geregistreerde ten opzichte van actieve accounts. De logginggegevens worden door de applicatiebeheerder beoordeeld. 16 BEVEILIGINGSPLAN SUWINET AFDELING WIZ GEMEENTE HELLEVOETSLUIS 2012

20 7. Regels bij beveiliging van persoonsgegevens in relatie tot verkregen Suwi-gegevens Voor het werken met en de omgang met persoonsgegevens zijn vanuit de overheid een aantal regels opgesteld, die zijn verwoord in verschillende wet- en regelgeving. Concreet kunnen deze regels als volgt worden vertaald: 1. Beheren van wachtwoorden De gebruiker moet het door de administrator uitgegeven wachtwoord wijzigen zodra de eerste inlog plaatsvindt. Vervolgens vervalt dat wachtwoord iedere keer na 90 dagen. De gebruiker heeft dus het eigen beheer over het wachtwoord. Zodra een medewerker de gemeente verlaat, wordt het account verwijderd. Wanneer het account 90 dagen niet wordt gebruikt, vervalt het account automatisch. 2. Melden van beveiligingsincidenten Het is belangrijk dat beveiligingsincidenten worden gemeld bij de applicatiebeheerder van de Hellevoetsluis. Vervolgens wordt de afdeling Facilitaire Zaken (incidentmelding) van de gemeente Hellevoetsluis ingeschakeld om dat incident te onderzoeken. 3. Geheimhoudingsplicht Binnen Sociale Zaken wordt met persoonsgegevens gewerkt. Voor het werken met en de omgang met persoonsgegevens zijn vanuit de overheid een aantal regels opgesteld, die zijn verwoord in de Wet bescherming persoonsgegevens (WBP). In de wet Suwi en in de Cao zijn geheimhoudingsbepalingen opgenomen, waarin wordt aangegeven dat de persoonsgegevens niet verder bekend mogen worden gemaakt dan voor de uitoefening van de functie noodzakelijk is. 4. Gedragscode internet- en gebruik De gemeente hanteert een algemeen protocol voor gebruik van en internet. In dit protocol is aangegeven hoe de medewerkers behoren om te gaan met en internet op de werkplek. Tevens bevat dit protocol regels voor de manier waarop het gebruik van externe en internet wordt geobserveerd. Het protocol is voor alle medewerkers van de gemeente te raadplegen op het gemeentelijke Intranet. De gegevens die door middel van Suwinet-Inkijk zijn verkregen mogen niet via verzonden worden (dit geldt voor zowel het intern- als extern verkeer). Ook mogen deze gegevens niet op andere, externe gegevensdragers, op het internet worden opgeslagen (hierbij wordt tevens bedoeld: opslag in de Cloud). 5. Kennisnemen van het informatiebeveiligingsbeleid Het binnen Sociale Zaken geldende informatiebeveiligingsbeleid (inclusief instructies en protocollen) is op elke werknemer van toepassing die gebruik maakt van Suwinet-Inkijk. Alle gebruikers hebben een exemplaar van de beveiligingsplan ontvangen en ook nieuwe medewerkers/gebruikers zullen via de teamcoördinator een exemplaar ontvangen. Gebruikers van Suwinet-Inkijk moeten weten dat over hen gegevens worden vastgelegd en verzameld. Dit is een belangrijk onderdeel van de privacybescherming ten opzichte van deze medewerkers. In de beveiligingsplan is hier uitgebreid aandacht aan besteed. Jaarlijks, na de evaluatie van het beveiligingsplan, wordt dit onderwerp geagendeerd voor het werkoverleg. 6. Gegevensverstrekking aan derden via de telefoon Het uitgangspunt is dat er met terughoudendheid aan verzoeken om telefonische informatie over betrokkenen wordt tegemoetgekomen. Het voeren van telefoongesprekken brengt namelijk het risico met zich mee dat de identiteit van de gesprekspartner verkeerd wordt vastgesteld of dat persoonsgegevens worden verstrekt aan personen die geen recht op informatie hebben. In principe wordt er dan ook geen BEVEILIGINGSPLAN SUWINET AFDELING WIZ GEMEENTE HELLEVOETSLUIS

21 telefonische informatie over klanten verstrekt aan personen of instanties die beweren namens betrokkene te bellen. In die gevallen kan er een schriftelijk verzoek worden ingediend, voorzien van een machtiging. Bij een verzoek om telefonische informatieverstrekking van een ketenpartner wordt de verzoeker teruggebeld via het algemene nummer van de (vestiging van de) ketenpartner met het verzoek te worden doorverbonden. Dit terugbellen kan achterwege blijven wanneer het verzoek afkomstig is van een vaste contactpersoon. 7. Clear desk en clear screen policy De vertrouwelijke omgang met persoonsgegevens houdt onder andere in dat elke werkplek zodanig is ingericht, dat onbevoegden niet de beschikking kunnen krijgen over deze informatie. Vertrouwelijke gegevens mogen niet onbeheerd op het bureau achterblijven. Dossiers worden bewaard in een kast die na werktijd wordt gesloten. Bezoekers dienen zich bij binnenkomst in het gemeentekantoor eerst te melden bij de receptie. De kans is derhalve gering dat onbevoegden zonder te worden opgemerkt toegang krijgen tot de werkplek van de medewerkers. Clear screen betekent dat het werkstation moet worden vergrendeld met behulp van schermbeveiliging (met wachtwoord). De screensaver moet zodanig worden ingesteld dat na een aantal minuten de schermbeveiliging intreedt. 8. Geen vertrouwelijke gegevens in de prullenbak De correcte omgang met vertrouwelijke gegevens waaronder persoonsgegevens is erg belangrijk binnen Sociale Zaken. Ook het vernietigen van deze gegevens moet op een veilige manier plaats vinden. Vertrouwelijke gegevens mogen niet terecht komen in een prullenbak of een bak die voor oud papier bestemd is. Daarom worden deze gegevens afzonderlijk ingezameld en vernietigd. 9. Aanspreken van onbekende personen In het geval dat een medewerker van Sociale Zaken een voor hem/haar onbekende persoon in de gang van de afdeling tegenkomt waar officieel geen publiek zonder begeleiding mag komen, dient de medewerker deze persoon aan te spreken, zichzelf voor te stellen en de persoon in kwestie te vragen wat hij/zij hier doet. Personen die niet bevoegd zijn om zich op deze plek te bevinden worden hierdoor op deze overtreding gewezen. Het is de taak van de medewerker om hun beleefd maar duidelijk de weg naar het publieke gedeelte van het gebouw te wijzen en ze daar naar toe te begeleiden. 10. De dagelijkse werkzaamheden vs. Informatiebeveiliging Informatiebeveiliging is uitermate belangrijk voor het werk binnen Sociale Zaken waar veelvuldig met privacygevoelige informatie wordt gewerkt. Dit hoort dan ook bij de professionele en bekwame uitvoering van het werk. Ook cliënten vertrouwen op een zorgvuldige wijze van verwerken van hun gegevens. Reden waarom middels het werkoverleg geregeld aandacht voor dit onderwerp besteed dient te worden. 18 BEVEILIGINGSPLAN SUWINET AFDELING WIZ GEMEENTE HELLEVOETSLUIS 2012

22 Bijlage 1. Protocol inzage in Suwinet door cliënt en/of gemachtigde Om de privacy van de cliënt te waarborgen is zorgvuldigheid in de omgang met diens gegevens vereist. In bepaalde, in de hieronder beschreven gevallen, is gegevensinzage door derden mogelijk. De via Suwinet-Inkijk opvraagbare gegevens zijn alleen in elektronische vorm te zien. De gegevens mogen niet lokaal worden opgeslagen (op de harde schijf of op diskette). Hieronder volgt een handleiding voor een aantal situaties waar de Suwi-gebruiker mee te maken kan krijgen. INZAGE 1. De cliënt verzoekt uitsluitend schriftelijk om inzage in diens gegevens Stel de identiteit van de cliënt vast aan de hand van een geldig legitimatiebewijs (rijbewijs, paspoort, etc.); Vraag om het BSN van de cliënt; Stel vast dat het BSN is ontleend aan een officieel document (rijbewijs, paspoort etc.) Maak een uitdraai van de geraadpleegde gegevens of laat de cliënt meekijken op het scherm; Berg (mogelijk tweede) uitdraai onmiddellijk op in het cliëntendossier of vernietig eventueel uitgedraaid exemplaar; Beëindig inkijksessie. Het is mogelijk dat een cliënt telefonisch vraagt om een uitdraai van zijn/haar gegevens. In dat geval dient de cliënt verwezen te worden naar de mogelijkheid om daarvoor schriftelijk een verzoek in te dienen, dat binnen de wettelijk verplichte termijn dient te worden afgehandeld. Indien de cliënt inzage wil in al zijn/haar gegevens die bij een ketenpartner zijn geregistreerd, dient de cliënt te worden verwezen naar de betreffende ketenpartner. 2. Gemachtigde verzoekt schriftelijk om inzage in cliëntgegevens Stel vast dat de machtiging schriftelijk is gegeven en nauwkeurig omschreven; Stel de identiteit van de gemachtigde vast aan de hand van een geldig legitimatiebewijs (rijbewijs, paspoort, etc.); Stel de identiteit van de cliënt vast aan de hand van een geldig legitimatiebewijs (rijbewijs, paspoort, etc.); Vraag om het BSN van de cliënt; Stel vast dat het BSN is ontleend aan een officieel document (rijbewijs, paspoort etc.) Maak een uitdraai van de geraadpleegde gegevens of laat de gemachtigde meekijken op het scherm; Berg (mogelijk tweede) uitdraai onmiddellijk op in het cliëntendossier of vernietig eventueel uitgedraaid exemplaar; Beëindig inkijksessie. 3. Een derde verzoekt om inzage, hetzij schriftelijk, hetzij mondeling in cliëntgegevens Dit is niet mogelijk CORRECTIE 1. De cliënt verzoekt om correctie Stel de identiteit van de cliënt vast aan de hand van een geldig legitimatiebewijs (rijbewijs, paspoort, etc.); Vraag om het BSN van de cliënt; Stel vast dat het BSN is ontleend aan een officieel document (rijbewijs, paspoort etc.); Maak twee kopieën van het verzoek; Verstrek een kopie aan de cliënt, archiveer de andere kopie. 2. Gemachtigde verzoekt om correctie Stel vast dat de machtiging schriftelijk is gegeven en nauwkeurig omschreven; Stel de identiteit van de gemachtigde vast aan de hand van een geldig legitimatiebewijs (rijbewijs, paspoort, etc.); Stel de identiteit van de cliënt vast aan de hand van een geldig legitimatiebewijs (rijbewijs, paspoort, etc.); Vraag om het BSN van de cliënt; BEVEILIGINGSPLAN SUWINET AFDELING WIZ GEMEENTE HELLEVOETSLUIS

23 Stel vast dat het BSN is ontleend aan een officieel document (rijbewijs, paspoort etc.) Maak twee kopieën van het verzoek; Verstrek een kopie aan de gemachtigde, archiveer de andere kopie 3. Een derde verzoekt om correctie Dit is niet mogelijk 20 BEVEILIGINGSPLAN SUWINET AFDELING WIZ GEMEENTE HELLEVOETSLUIS 2012

24 Bijlage 2. Verklaring extern personeel Verklaring inzake geheimhouding van vertrouwelijke gegevens en het gebruik van Suwinet-Inkijk. Deze verklaring is noodzakelijk voor medewerkers waarbij de geheimhouding niet via het ambtenarenreglement of de inleenovereenkomst is geregeld. Ondergetekende: Naam: Functie: Organisatieonderdeel: Plaats: Datum: zegt toe dat hij/zij: er van op de hoogte is dat de privacywet- en regelgeving een zorgvuldige omgang met persoonsgegevens beoogt te beschermen en dat deze wet- en regelgeving het gebruik van persoonsgegevens in de ruimste zin van het woord verbindt aan regels; zorgvuldig zal omgaan met de (persoons)gegevens en de inhoud van de documenten die hij/zij bij de uitvoering van de werkzaamheden in SuwiI-verband mag inzien en zich daarbij houdt aan de werkinstructies zoals opgenomen in de functionele beschrijvingen van Suwinet-Inkijk en Suwinet-Mail. Concreet betekent dit onder meer dat hij/zij: o niet meer (persoons)gegevens inkijkt dan strikt noodzakelijk is; o zorgvuldig archiveert; o (persoons)gegevens niet aan onbevoegden verstrekt; o het wachtwoord zorgvuldig hanteert; kennis heeft genomen van de beveiligingsplan Suwinet en de regels die gelden voor het zorgvuldig omgaan met persoonsgegevens; gedurende de duur van zijn/haar inzet voor werkzaamheden in Suwi-verband enkel die (persoons)gegevens gebruikt, die van belang zijn voor het nastreven van het doel van SUWI; alle medewerking zal geven aan het naleven van de privacywet- en regelgeving door Sociale Zaken waar hij/zij werkzaam is; gedurende de duur van zijn/haar inzet voor de werkzaamheden in Suwi-verband en na beëindiging van deze werkzaamheden, tegenover derden geheimhouding zal betrachten met betrekking tot alle (persoons)gegevens waarvan hij/zij bij de uitvoering van de voornoemde werkzaamheden kennis neemt. Naam medewerker: Handtekening medewerker: BEVEILIGINGSPLAN SUWINET AFDELING WIZ GEMEENTE HELLEVOETSLUIS

25 Bijlage 3. Lijst gebruikte afkortingen Akw Algemene kinderbijslagwet Anw Algemene nabestaandenwet Aow Algemene ouderdomswet Bbz Besluit Bijstandsverlening Zelfstandigen BKWI Bureau Keteninformatisering Werk en Inkomen BSN Burger servicenummer CAO Collectieve Arbeidsovereenkomst DKD Digitaal Klantdossier IB Inlichtingenbureau IOAW Wet inkomensvoorziening oudere en gedeeltelijk arbeidsongeschikte werkloze werknemers IOAZ Wet inkomensvoorziening oudere en gedeeltelijk arbeidsongeschikte gewezen zelfstandigen IWI Inspectie Werk en Inkomen LRD Landelijk Raadpleegbare Deelverzameling GBA NAW naam, adres, woonplaats RDW Rijksdienst voor het Wegverkeer Suwi Structuur Uitvoeringsorganisatie Werk en Inkomen SVB Sociale Verzekeringsbank SZW Ministerie van Sociale Zaken en Werkgelegenheid UWV Uitvoeringsinstituut Werknemersverzekeringen WBP Wet Bescherming Persoonsgegevens WWB Wet Werk en Bijstand WWIK Wet werk kunstenaars 22 BEVEILIGINGSPLAN SUWINET AFDELING WIZ GEMEENTE HELLEVOETSLUIS 2012

26 Informatiebeveiliging Gemeente Hellevoetsluis 2014 Datum: 11 september 2014 Afdeling: Facilitaire Zaken

27 Inhoud Inleiding 3 Vaststelling Informatiebeleid Gemeente Hellevoetsluis 5 1 Uitgangspunten informatiebeveiliging Gemeente Hellevoetsluis 6 2 Organisatie van de informatiebeveiliging Interne organisatie Taken en rollen Functioneel overleg Rapportage en escalatielijn voor IB 10 3 Beheer van bedrijfsmiddelen Verantwoordelijkheid voor bedrijfsmiddelen Classificatie van informatie 12 4 Beveiliging van personeel 15 5 Fysieke beveiliging en beveiliging van de omgeving 16 6 Beveiliging van apparatuur en informatie Beheersmaatregelen Beheer van de dienstverlening door een derde partij Behandeling van media Uitwisseling van informatie 21 7 Logische toegangsbeveiliging Authenticatie en autorisatie Externe toegang Mobiel en thuiswerken Overige maatregelen Beveiliging van informatiesystemen (software) 23 8 Beveiligingsincidenten Melding en registratie Alarmfasen 24 9 Bedrijfscontinuïteit Naleving Organisatorische aspecten (Wettelijke) kaders Bijlage: Relevante documenten en bronnen Intern Extern 28

28 Inleiding Dit document geeft algemene beleidsuitgangspunten over informatiebeveiliging. Deze uitgangspunten hebben een sterk normerend karakter en geven keuzes weer. Met dit document kan de gemeente verdere in- en aanvulling geven aan haar beleid. Dit document is het optimum beleid gebaseerd op de BIG. Het is mogelijk dat een gemeente meer doelstellingen, maatregelen, risico s en uitgangspunten wil opnemen. Gemeentelijke organisaties verschillen immers qua structuur en grootte. In dit document is een aanzienlijk aantal beleidsuitgangspunten nader uitgewerkt en zijn beveiligingseisen en -maatregelen opgenomen, die gemeentebreed voor alle processen en systemen gelden. Onderdeel van dit document is een beheerstructuur voor informatiebeveiliging, waarmee verantwoordelijkheden voor informatiebeveiliging worden belegd en informatiebeveiliging wordt ingebed in de reguliere planning- en controlcyclus binnen de (kwaliteitshandhaving van de) bedrijfsvoeringsprocessen. De toegepaste hoofdstukken uit de Strategische variant van de Baseline Informatiebeveiliging voor Gemeenten: 5 Beveiligingsbeleid; 6 Organisatie van informatiebeveiliging; 7 Beheer van bedrijfsmiddelen; 8 Beveiliging van personeel; 9 Fysieke beveiliging en beveiliging van de omgeving; 10 Beheer van communicatie- en bedieningsprocessen; 11 Toegangsbeveiliging; 12 Verwerving, ontwikkeling en onderhoud van informatiesystemen; 13 Beheer van informatiebeveiligingsincidenten; 14 Bedrijfscontinuïteitsbeheer; 15 Naleving. Informatiebeveiliging Informatiebeveiliging is de verzamelnaam voor de processen, die ingericht worden om de betrouwbaarheid van gemeentelijke processen, de gebruikte informatiesystemen en de daarin opgeslagen gegevens te beschermen tegen al dan niet opzettelijk onheil. Het begrip informatiebeveiliging heeft betrekking op: beschikbaarheid / continuïteit: het zorg dragen voor het beschikbaar zijn van informatie en informatie verwerkende bedrijfsmiddelen op de juiste tijd en plaats voor de gebruikers; exclusiviteit / vertrouwelijkheid: het beschermen van informatie tegen kennisname en mutatie door onbevoegden. Informatie is alleen toegankelijk voor degenen die hiertoe geautoriseerd zijn; integriteit / betrouwbaarheid: het waarborgen van de correctheid, volledigheid, tijdigheid en controleerbaarheid van informatie en informatieverwerking. Waarom informatiebeveiliging? Informatie is één van de belangrijkste bedrijfsmiddelen van een gemeente. Toegankelijke en betrouwbare overheidsinformatie is essentieel voor een gemeente, die zich verantwoordelijk gedraagt, aanspreekbaar en servicegericht is, die transparant en proactief verantwoording aflegt aan burgers en raadsleden en die met minimale middelen maximale resultaten behaalt. De bescherming van waardevolle informatie is hetgeen waar het uiteindelijk om gaat. Hoe waardevoller de informatie is, hoe meer maatregelen er getroffen moeten worden. Reikwijdte en afbakening informatiebeveiliging Informatiebeveiliging is meer dan ICT, computers en automatisering. Het gaat om alle uitingsvormen van informatie (analoog, digitaal, tekst, video, geluid, geheugen, kennis), alle mogelijke informatiedragers (papier, elektronisch, foto, film, CD, DVD, beeldscherm et cetera) en alle informatie verwerkende systemen (de programmatuur, systeemprogrammatuur, databases, hardware, bijbehorende bedrijfsmiddelen), maar vooral ook mensen en processen. Studies laten zien dat de meeste incidenten niet voortkomen uit gebrekkige techniek, maar vooral door menselijk handelen en een tekort schietende organisatie. Voorbeelden van informatiebeveiligingsmaatregelen zijn: clean desk policy, hoe om te gaan 3

29 met mobiele devices en aanwijzingen voor telewerken. Opbouw document Het document is opgebouwd uit een voorbeeld van een informatiebeveiligingsbeleid en de bijbehorende bijlage op het beleidsdocument bestaande uit 10 separate hoofdstukken die in de pas lopen met de BIG. 4

30 Vaststelling Informatiebeveiligingsbeleid Gemeente Hellevoetsluis Het bestuur en management speelt een cruciale rol bij het uitvoeren van dit informatiebeveiligingsbeleid. Zo maakt het management een inschatting van het belang dat de verschillende delen van de informatievoorziening voor de gemeente hebben, de risico s die de gemeente hiermee loopt en welke van deze risico s onacceptabel hoog zijn. Op basis hiervan zet het management dit beleid voor informatiebeveiliging op, draagt dit uit naar de organisatie en ondersteunt en bewaakt de uitvoering ervan. Het gehele gemeentelijk management geeft een duidelijke richting aan informatiebeveiliging en demonstreert dat zij informatiebeveiliging ondersteunt en zich hierbij betrokken voelt, door het uitbrengen en handhaven van een informatiebeveiligingsbeleid van en voor de hele gemeente. Dit beleid is van toepassing op de gehele organisatie, alle processen, organisatieonderdelen, objecten, informatiesystemen en gegevens(verzamelingen). Het informatiebeveiligingsbeleid van is in lijn met het algemene beleid van de gemeente en de relevante landelijke en Europese wet- en regelgeving. Dit beleid bevat een bijlage met nadere aanwijzingen. De gemeente is zelf verantwoordelijk voor het opstellen en/of uitvoeren en/of handhaven van het beleid. Hierbij geldt: Er is wetgeving waar altijd aan voldaan moet worden, zoals niet uitputtend: GBA, SUWI, BAG en PUN, maar ook de archiefwet. Er is een gemeenschappelijk normenkader als basis: de Baseline Informatiebeveiliging Nederlandse Gemeenten (BIG). De gemeente stelt dit normenkader vast, waarbij er ruimte is voor afweging en prioritering op basis van het pas toe of leg uit principe. De volgende uitgangspunten zijn ontleend aan de Code voor Informatiebeveiliging (NEN/ISO 27002:2007) en de BIG: 1. Alle informatie en informatiesystemen zijn van kritiek en vitaal belang voor de gemeente. De verantwoordelijkheid voor informatiebeveiliging ligt bij het (lijn)management, met het College van B&W als eindverantwoordelijke. De verantwoordelijkheden voor de bescherming van gegevens en voor het uitvoeren van beveiligingsprocedures zijn expliciet gedefinieerd. 2. Door periodieke controle, organisatie brede planning én coördinatie wordt de kwaliteit van de informatievoorziening verankerd binnen de organisatie. Het informatiebeveiligingsbeleid vormt samen met het informatiebeveiligingsplan het fundament onder een betrouwbare informatievoorziening. In het informatiebeveiligingsplan wordt de betrouwbaarheid van de informatievoorziening organisatiebreed benaderd. Het plan wordt periodiek bijgesteld op basis van nieuwe ontwikkelingen, registraties in het incidentenregister en bestaande risicoanalyses. 3. Informatiebeveiliging is een continu verbeterproces. Plan, do, check en act vormen samen het management systeem van informatiebeveiliging. 4. De informatiebeveiligingsfunctionaris/chief Information Security Officer (CISO) ondersteunt vanuit een onafhankelijke positie de organisatie bij het bewaken en verhogen van de betrouwbaarheid van de informatievoorziening en rapporteert hierover. 5. De gemeente stelt de benodigde mensen en middelen beschikbaar om haar eigendommen en werkprocessen te kunnen beveiligen volgens de wijze gesteld in dit beleid. 6. Regels en verantwoordelijkheden voor het beveiligingsbeleid dienen te worden vastgelegd en vastgesteld. Alle medewerkers van de gemeente worden getraind in het gebruik van beveiligingsprocedures. 7. Iedere medewerker, zowel vast als tijdelijk, intern of extern is verplicht waar nodig gegevens en informatiesystemen te beschermen tegen ongeautoriseerde toegang, gebruik, verandering, openbaring, vernietiging, verlies of overdracht en bij vermeende inbreuken hiervan melding te maken. Dit IB-beleid treedt in werking na vaststelling door college van B&W. Hiermee komt het oude IB-beleid van de Gemeente Hellevoetsluis van 2012 te vervallen. Aldus vastgesteld door burgemeester en wethouders van Hellevoetsluis op 23 september 2014, de secretaris, de burgemeester, 5

31 1 Uitgangspunten informatiebeveiliging Gemeente Hellevoetsluis Samenhang Deze hoofdstukken vormen een onlosmakelijk geheel met het informatiebeveiligingsbeleid van de gemeente. Deze hoofdstukken corresponderen met de hoofdstukken 5 tot en met 15 uit de Tactische variant van de BIG. Ze geven een nadere invulling van het gemeentelijk informatiebeveiligingsbeleid. Het belang van informatie(veiligheid) Informatie is één van de voornaamste bedrijfsmiddelen van de Gemeente Hellevoetsluis. Het verlies van gegevens, uitval van ICT, of het door onbevoegden kennisnemen of manipuleren van bepaalde informatie kan ernstige gevolgen hebben voor de bedrijfsvoering maar ook leiden tot imagoschade. Ernstige incidenten hebben mogelijk negatieve gevolgen voor burgers, bedrijven, partners en de eigen organisatie met waarschijnlijk ook politieke consequenties. Informatieveiligheid is daarom van groot belang. Informatiebeveiliging (IB) is het proces dat dit belang dient. Visie De komende jaren zet de Gemeente Hellevoetsluis in op het verhogen van informatieveiligheid en verdere professionalisering van de IB-functie in de organisatie. Een betrouwbare informatievoorziening is noodzakelijk voor het goed functioneren van de gemeente en de basis voor het beschermen van rechten van burgers en bedrijven. Dit vereist een integrale aanpak, goed opdrachtgeverschap en risicobewustzijn. Ieder organisatieonderdeel is hierbij betrokken. Het proces van informatiebeveiliging is primair gericht op bescherming van gemeentelijke informatie, maar is tegelijkertijd een enabler ; het maakt bijvoorbeeld elektronische dienstverlening op verantwoorde wijze mogelijk, evenals nieuwe, innovatieve manieren van werken. De focus is informatie uitwisselen in alle verschijningsvormen, zoals elektronisch, op papier en mondeling. Het gaat niet alleen over bescherming van privacy, maar ook over bescherming van vitale maatschappelijke functies die worden ondersteund met informatie (verkeer, vervoer, openbare orde en veiligheid, etc.). Het gaat ook niet alleen over ICT: verantwoord en bewust gedrag van medewerkers is essentieel voor informatieveiligheid. Doelstelling Dit informatiebeveiligingsbeleid (IB-beleid) is het kader voor passende technische en organisatorische maatregelen om gemeentelijke informatie te beschermen en te waarborgen, dat de gemeente voldoet aan relevante wet en regelgeving. De Gemeente Hellevoetsluis streeft er naar om in control te zijn en daarover op professionele wijze verantwoording af te leggen. In control betekent in dit verband dat de gemeente weet welke maatregelen genomen zijn en dat er een SMART-planning is van de maatregelen die nog niet genomen zijn en als laatste dat dit geheel verankerd is in de PDCA-cyclus. Uitgangspunten Het informatiebeveiligingsbeleid van de Gemeente Hellevoetsluis is in lijn met het algemene beleid van de gemeente en de relevante landelijke en Europese wet- en regelgeving. Het beleid is gebaseerd op de Code voor Informatiebeveiliging (NEN/ISO 27002) en de Baseline Informatiebeveiliging Nederlandse Gemeenten (BIG). Het IB-beleid wordt vastgesteld door het college van B&W. De Directie herijkt periodiek het IBbeleid. Risicobenadering De aanpak van informatiebeveiliging (IB-beleid) in de Gemeente Hellevoetsluis is risk based. Dat wil zeggen: beveiligingsmaatregelen worden getroffen op basis van een toets tegen de Baseline Informatiebeveiliging Nederlandse Gemeenten (BIG) van VNG/KING (GAP-analyse). Indien een systeem meer maatregelen nodig heeft, wordt een risicoanalyse uitgevoerd. Daartoe inventariseert de proceseigenaar de kwetsbaarheid van zijn werkproces en de dreigingen die kunnen leiden tot een beveiligingsincident, rekening houdend met de beschermingseisen van de 6

32 informatie. Het risico is de kans op beveiligingsincidenten en de impact daarvan op het werkproces en wordt bepaald door de proceseigenaar: risico = kans x impact. Doelgroepen Het gemeentelijk IB-beleid is bedoeld voor alle in- en externe medewerkers van de gemeente: Doelgroep College van B&W Directie Lijnmanagement (proceseigenaren) Medewerkers Gegevenseigenaren Beleidsmakers IB-functionarissen Facilitaire zaken (H&S) Auditors Leveranciers en ketenpartners Relevantie voor IB-beleid Integrale verantwoordelijkheid Kaderstelling en implementatie Sturing op informatiebeleid en controle op naleving Gedrag en naleving Classificatie: bepalen van beschermingseisen van informatie Planvorming innen IB-kaders Dagelijkse coördinatie van IB Technische beveiliging Onafhankelijke toetsing Compliance Scope De scope van dit beleid omvat alle gemeentelijke processen, onderliggende informatiesystemen, informatie en gegevens van de gemeente en externe partijen (bijv. politie), het gebruik daarvan door medewerkers en (keten)partners in de meest brede zin van het woord, ongeacht locatie, tijdstip en gebruikte apparatuur. Dit gemeentelijke IB-beleid is een algemene basis. Voor bepaalde kerntaken gelden op grond van wet- en regelgeving specifieke (aanvullende) beveiligingseisen. IB-beleid en architectuur IB is onderdeel van de informatiearchitectuur van de Gemeente Hellevoetsluis en uitgewerkt in de IB-architectuur. Deze architectuur beschrijft onder meer principes, richtlijnen en maatregelen o.b.v. verschillende beschermingsniveaus (classificatie). Werking Dit IB-beleid treedt in werking na vaststelling door college van B&W. Hiermee komt het oude IBbeleid van de Gemeente Hellevoetsluis van 2012 te vervallen. 7

33 2 Organisatie van de informatiebeveiliging 2.1 Interne organisatie Risico s Het niet expliciet beleggen van verantwoordelijkheden en bijbehorende activiteiten, procedures en instrumenten, verhindert het daadwerkelijk en structureel uitvoeren en borgen van de beheersmaatregelen. Doelstelling: Beheren van de informatiebeveiliging (IB) binnen de organisatie. Er is een beheerkader vastgesteld om de implementatie van informatiebeveiliging in de organisatie te initiëren en te beheersen. Goedkeuring door de directie van het informatiebeleid, de toewijzing van de rollen en de coördinatie en beoordeling van de implementatie van het beleid binnen de organisatie. Verantwoordelijkheden Het college van Burgemeester en Wethouders is integraal verantwoordelijk voor de beveiliging (beslissende rol) van informatie binnen de werkprocessen van de gemeente. o stelt kaders voor informatiebeveiliging (IB) op basis van landelijke en Europese wet- en regelgeving en landelijke normenkaders; De Directie (in sturende rol) is verantwoordelijk voor kaderstelling en sturing. De directie: o stuurt op concern risico s; o controleert of de getroffen maatregelen overeenstemmen met de betrouwbaarheidseisen en of deze voldoende bescherming bieden; o evalueert periodiek beleidskaders en stelt deze waar nodig bij. De afdelingen binnen de gemeente (in vragende rol) zijn verantwoordelijk voor de integrale beveiliging van hun organisatieonderdelen. De directie: o stelt op basis van een expliciete risicoafweging betrouwbaarheidseisen voor zijn informatiesystemen vast (classificatie); o is verantwoordelijk voor de keuze, de implementatie en het uitdragen van de maatregelen die voortvloeien uit de betrouwbaarheidseisen; o stuurt op beveiligingsbewustzijn, bedrijfscontinuïteit en naleving van regels en richtlijnen o (gedrag en risicobewustzijn); rapporteert over compliance aan wet- en regelgeving en algemeen beleid van de gemeente in de managementrapportages. De gemeentelijke Service Organisatie of gelijkwaardig (ICT, HR, bedrijfsvoering, etc., in uitvoerende rol) is verantwoordelijk voor uitvoering. De gemeentelijke service organisatie: o o o o is verantwoordelijk voor beveiliging van de informatievoorziening en implementatie van beveiligingsmaatregelen, die voortvloeien uit betrouwbaarheidseisen (classificaties); is verantwoordelijk voor alle beheeraspecten van informatiebeveiliging, zoals ICT security management, incident en probleem management, facilitaire en personele zaken; verzorgt logging, monitoring en rapportage; levert klanten (technisch) beveiligingsadvies. 8

34 2.2 Taken en rollen Het College van B&W stelt formeel het IB-beleid vast. De uitvoering van het beleid moet gecontroleerd worden, zowel het College als de Raad (controle functie) kunnen hiervoor opdracht geven om dit te (laten) controleren. De gemeentedirectie adviseert B&W formeel over vast te stellen beleid. De CIO (Chief Information Officer) of vergelijkbare rol geeft namens de gemeentedirectie op dagelijkse basis invulling aan de sturende rol door besluitvorming in de directie voor te bereiden en toe te zien op de uitvoering ervan. De IB taken die hieruit voortvloeien zijn belegd bij de Chief Information Security Officer (CISO). De CISO bevordert en adviseert gevraagd en ongevraagd over IB en rapporteert eens per kwartaal concernbreed aan de directie over de stand van zaken. De coördinatie van informatiebeveiliging is belegd bij een strategische adviesfunctie binnen alle afdelingen. Uitvoerende taken zijn zoveel mogelijk belegd bij (decentrale) i-security functionarissen. De afdelingen rapporteren aan de CISO. Over het functioneren van informatiebeveiliging wordt jaarlijks gerapporteerd conform de P&C cyclus. De gemeentelijke service organisatie (met name ICT) heeft een security functionaris aangesteld voor dagelijks beheer van technische IB-aspecten. De security functionaris rapporteert aan de CISO. Informatiebeveiliging is onderdeel van de service management rapportage. Wie Plan: Kaderstelling Do: Uitvoering Check: Controle Act: Verbetering Sturen: Directie dagelijkse uitvoering: CIO/CISO Ontwikkelen van kaders (beleid en architectuur); regelementen; meerjarenplanning. Inbedding landelijke en EU-richtlijnen, advisering, handreikingen, crisisbeheersing en Controle, audit, pentesten. Bijsturen: Opdrachtverstrekking voor verbeteracties. Rapportage aan directie/b&w Vragen: Alle afdelingen Uitvoeren: Service organisatie (in uitvoerende rol) Formuleren van beveiligingseisen (classificatie) en opstellen clusterbeleid en beveiligingsplannen. Beleidsvoorbereiding, technische onderzoeken (marktverkenningen). incident respons. Stimuleren van beveiligingsbewustzijn bij medewerkers, risico- en bedrijfscontinuiteitmanagement. Leveren van security management en services (ICT), incidentbeheer, logging, monitoring en advies. Interne controle (IC), sturen op naleving van regels door medewerkers (gedrag), compliancy. Vulnerability scanning, evaluatie en rapportage. Verbeteren bedrijfscontinuiteit. Rapportage aan CIO/CISO. Uitvoeren verbeteracties. Advies aan de CIO/CISO over aanpassingen aan de informatievoorziening. 9

35 2.3 Functioneel overleg De CISO of gemeentelijke beveiligingsfunctionaris stelt een organisatie voor van security gerelateerde functionarissen binnen de gemeenten en de CISO organiseert tenminste eenmaal per kwartaal een (security) overleg met dit gremium. De CISO / beveiligingsfunctionaris is voorzitter. Het overleg heeft binnen de gemeente een adviesfunctie richting de CIO of gelijkwaardig en richt zich met name op beleid en adviseert over tactisch/strategische informatiebeveiliging kwesties. Het onderwerp Informatiebeveiliging dient verder een vast onderdeel te zijn op de agenda van het lijnoverleg zodat er sturing plaatsvindt op de uitgevoerde activiteiten. 2.4 Rapportage en escalatielijn voor IB (Decentrale) Security verantwoordelijke -> CISO -> CIO -> directie Externe partijen IB-beleid, landelijke normen en wet en regelgeving gelden ook voor externe partijen (leveranciers, ketenpartners) waarmee de gemeente samenwerkt (en informatie mee uitwisselt). Ook voor externe partijen geldt hierbij het comply or explain beginsel (pas toe of leg uit). Bij contractuele overeenkomsten gelden in beginsel altijd de Algemene Inkoop Voorwaarden (AIV), waarin onder meer geheimhouding en aansprakelijkheid is geregeld. Afwijkingen op de AIV dienen te worden getoetst aan IB-beleid. Vereiste beveiligingsmaatregelen worden aanvullend vastgelegd in contracten en/of bewerkersovereenkomsten. Daarin is onder meer geborgd dat beveiligingsincidenten onmiddellijk worden gerapporteerd en dat de gemeente het recht heeft afspraken te (laten) controleren. Voor het tot stand brengen van datakoppelingen met externe partijen, geldt naast generiek IBbeleid een gemeentelijke procedure Aanvragen externe toegang Intranet. Het doel van de procedure is risicobeheersing. Voor externe hosting van data en/of services gelden naast generiek IB-beleid de richtlijnen voor cloud computing. De gemeente is gehouden aan: o regels omtrent grensoverschrijdend dataverkeer; o toezicht op naleving van regels door de externe partij(en); o hoogste beveiligingseisen voor bijzondere categorieën gegevens; o melding bij college bescherming persoonsgegevens (CBP) bij doorgifte van persoonsgegevens naar derde landen (buiten de EU) ICT crisisbeheersing en landelijke samenwerking Voor interne crisisbeheersing dient een kernteam IB geïnstalleerd te zijn, bestaande uit CISO of functionaris informatiebeveiliging, security functionaris ICT Service organisatie, relevante experts en de gemeentelijke communicatie afdeling. De werkwijze dient te zijn vastgelegd. De Gemeente Hellevoetsluis participeert in relevante landelijke platforms en onderhoudt contacten met andere sectoraal georganiseerde IB-platforms PDCA Informatiebeveiliging is een continu verbeterproces. Plan, do, check en act vormen samen het management systeem van informatiebeveiliging. Deze kwaliteitscyclus is in onderstaande figuur weergegeven. Toelichting figuur 2: o o o Plan: De cyclus start met IB-beleid, gebaseerd op wet- en regelgeving, landelijke normen zoals de Baseline Informatiebeveiliging Nederlandse Gemeenten (BIG) en best practices, uitgewerkt in regels voor onder meer informatiegebruik, bedrijfscontinuïteit en naleving. Planning geschiedt op jaarlijkse basis en wordt indien nodig tussentijds bijgesteld. De planning op hoofdlijnen is onderdeel van het CIO/ICT jaarplan en uitgewerkt in het informatiebeveiligingsplan (IB-beleid) van de gemeente. Afdelingsspecifieke activiteiten worden gepland in het afdelings-ib plan of het afdelingsinformatieplan (IM-functie). Do: Het beleidskader is de basis voor risicomanagement, uitvoering van (technische) maatregelen en bevordering van beveiligingsbewustzijn. Uitvoering geschiedt op dagelijkse basis en maakt integraal onderdeel uit van het werkproces. Check: Control is onderdeel van het werkproces met als doel: waarborgen van de kwaliteit van informatie en ICT, en compliance aan wet- en regelgeving. 10

36 o Externe controle: betreft controle buiten het primaire proces door een auditor. Dit heeft het karakter van een steekproef. Jaarlijks worden meerdere van dergelijke onderzoeken uitgevoerd, waarbij de CIO/ICT in principe opdrachtgever is. Bevindingen worden gerapporteerd aan de CIO en de directies. Act: De cyclus is rond met de uitvoering van verbeteracties o.b.v. check en externe controle. De cyclus is een continu proces; de bevindingen van controles zijn weer input voor de jaarplanning en beveiligingsplannen. De bevindingen worden in beginsel gerapporteerd aan de directie. Voor ingrijpende verbeteracties wordt een gevraagde beslissing voorgelegd. 11

37 3 Beheer van bedrijfsmiddelen 3.1 Verantwoordelijkheid voor bedrijfsmiddelen Risico s: Bedrijfsmiddelen en informatie zijn blootgesteld aan risico s zoals diefstal, beschadiging of onoordeelkundig gebruik, waarbij niet voor alle ICT-configuratie items is vastgelegd wie de eigenaar/hoofdgebruiker is. Onduidelijkheid wie verantwoordelijk is voor gegevensbestanden, waardoor ook niemand verantwoordelijk is voor de beveiliging en kan optreden bij incidenten. Doelstellingen Bereiken en handhaven van een adequate bescherming van bedrijfsmiddelen van de organisatie. Voor alle bedrijfsmiddelen is de eigenaar vastgelegd alsook de verantwoordelijke voor het handhaven van de beheersmaatregelen. Beheersmaatregelen Alle bedrijfsmiddelen moeten geïdentificeerd zijn er moet een inventaris van worden bijgehouden. Alle informatie en bedrijfsmiddelen, die verband houden met ICT-voorzieningen aan een 'eigenaar' (een deel van de organisatie) toewijzen. Regels vaststellen, documenteren implementeren voor aanvaardbaar gebruik van informatie en bedrijfsmiddelen die verband houden met ICT-voorzieningen. Apparatuur, informatie en programmatuur van de organisatie mogen niet zonder toestemming vooraf van de locatie worden meegenomen. De verantwoordelijkheid voor specifieke beheersmaatregelen mag door de eigenaar worden gedelegeerd, maar de eigenaar blijft verantwoordelijk voor een goede bescherming van de bedrijfsmiddelen. Medewerkers dienen bij het gebruik van ICT-middelen, social media en gemeentelijke informatie de nodige zorgvuldigheid te betrachten en de integriteit en goede naam van de gemeente te waarborgen. Medewerkers gebruiken gemeentelijke informatie primair voor het uitvoeren van de aan hen opgedragen taken en het doel waarvoor de informatie is verstrekt. Privégebruik van gemeentelijke informatie en bestanden is niet toegestaan. Voor het werken op afstand en het gebruik van privémiddelen worden nadere regels opgesteld. Echter, de medewerker is gehouden aan regels zoals: o Illegale software mag niet worden gebruikt voor de uitvoering van het werk. o Er bestaat geen plicht de eigen computer te beveiligen, maar de gemeentelijke informatie daarop wel. o Het verbod op ongewenst gebruik in de (fysieke) kantooromgeving geldt ook als dat via de eigen computer plaatsvindt. De medewerker neemt passende technische en organisatorische maatregelen om gemeentelijke informatie te beveiligen tegen verlies of tegen enige vorm van onrechtmatig gebruik. De medewerker houdt hierbij in ieder geval rekening met: o de beveiligingsclassificatie van de informatie (zie hieronder); o de door de gemeente gestelde beveiligingsvoorschriften (o.a. dit informatiebeveiligingsbeleid); o aan de werkplek verbonden risico s; o het risico door het benaderen van gemeentelijke informatie met andere dan door de gemeente verstrekte of goedgekeurde ICT-apparatuur. 3.2 Classificatie van informatie Om te kunnen bepalen welke beveiligingsmaatregelen moeten worden getroffen t.a.v. processen en informatiesystemen worden beveiligingsclassificaties gebruikt. Classificatie maakt het vereiste beschermingsniveau zichtbaar en maakt direct duidelijk welke maatregelen nodig zijn. Er wordt geclassificeerd op drie betrouwbaarheidsaspecten van informatie: beschikbaarheid, integriteit 12

38 (juistheid, volledigheid) en vertrouwelijkheid(biv). Er zijn drie beschermingsniveaus van laag naar hoog. Daarnaast is er nog een niveau geen. Dit niveau geeft aan dat er geen beschermingseisen worden gesteld, bijvoorbeeld omdat informatie openbaar is. De niveaus zijn in onderstaande tabel weergegeven. Tussen haakjes staan voorbeelden. Deze niveaus zijn bedacht om het proces van classificeren te vereenvoudigen. Risico s: Geen inzicht in welke componenten, zowel hardware als software, het belangrijkst zijn voor de primaire processen. Onjuiste classificatie draagt bij aan het onjuist beschermen van informatie en bedrijfsmiddelen met als risico, dat deze verloren kunnen gaan of openbaar worden gemaakt terwijl dat niet de bedoeling is. Doelstellingen Informatie heeft een geschikt niveau van bescherming. Classificatie van informatie om bij verwerking de noodzaak en bescherming te kunnen aangeven. Adequate niveaus van bescherming van informatie zijn gedefinieerd en de noodzaak voor aparte verwerkingsmaatregelen is gecommuniceerd. Beheersmaatregelen: Informatie classificeren met betrekking tot de waarde, wettelijke eisen, gevoeligheid en onmisbaarheid voor de organisatie. Opstellen en uitdragen classificatiebeleid binnen de gemeente. Er dienen geschikte samenhangende procedures te worden ontwikkeld en geïmplementeerd voor de classificering en verwerking van informatie overeenkomstig het classificatiesysteem dat is vastgesteld. Niveau Vertrouwelijkheid Integriteit Beschikbaarheid Geen Openbaar informatie mag door iedereen worden ingezien (bv: algemene informatie op de externe website van de gemeente Niet zeker informatie mag worden veranderd (bv: templates en sjablonen) routeplanner) Laag Midden Hoog Bedrijfsvertrouwelijk informatie is toegankelijk voor alle medewerkers van de organisatie (bv: informatie op het intranet) Vertrouwelijk informatie is alleen toegankelijk voor een beperkte groep gebruikers (bv: persoonsgegevens, financiele gegevens)_ Geheim informatie is alleen toegankelijk voor direct geadresseerde(n) (bv: zorggegevens en strafrechtelijke informatie) Beschermd het bedrijfsproces staat enkele (integriteits-) fouten toe (bv: rapportages) Hoog het bedrijfsproces staat zeer weinig fouten toe (bv: bedrijfsvoeringinformatie en primaire procesinformatie zoals vergunningen) Absoluut het bedrijfsproces staat geen fouten toe (bv: gemeentelijke informatie op de website) Niet nodig gegevens kunnen zonder gevolgen langere tijd niet beschikbaar zijn (bv: ondersteunende tools als Noodzakelijk informatie mag incidenteel niet beschikbaar zijn (bv: administratieve gegevens) Belangrijk informatie moet vrijwel altijd beschikbaar zijn, continuïteit is belangrijk (bv: primaire proces informatie) Essentieel informatie mag alleen in uitzonderlijke situaties uitvallen, bijvoorbeeld bij calamiteiten (bv: basisregistraties) 13