Handboek beveiliging Suwinet 2014 gemeente Waterland

Transcriptie

1 Handboek beveiliging Suwinet 2014 gemeente Waterland

2 Inhoudsopgave 1 Inleiding 3 2 Juridisch kader Wet Bescherming Persoonsgegevens SUWI wet- en regelgeving en de WWB Overige wet- en regelgeving 4 3 ICT-beveiliging 4 4 Informatiebeveiliging Omgeving Uitgangspunten Beveiliging van toegang door derden. 7 5 Fysieke beveiliging Beveiliging ten aanzien van het personeel Beveiligingseisen bij aanname van personeel Registratie en autorisatie van gebruikers Instructie voor en informeren van gebruikers 8 7 Bedreigingen en incidenten Bedrijfsmiddelen en gegevens Bescherming tegen kwaadaardige software Reageren op incidenten en storingen Rapporteren van onvolkomenheden in de software 10 8 Beveiligingsorganisatie, taken en verantwoordelijkheden Beveiligingsadviescommissie Beheer Suwinet Afdelingshoofd Z&W Afdelingshoofd Publiekszaken Autorisatiebeheer Suwinet Gebruikersbeheer Suwinet Security Officer Juridisch beleidsmedewerker Z&W Gebruikers en rollen Suwinet 12 9 Controle op het gebruik Actualisatie en vaststelling 13 2

3 1 Inleiding Een betrouwbare, beschikbare en correcte informatiehuishouding is essentieel voor de dienstverlening van de gemeente. Burgers vertrouwen op de dienstverlening van de gemeente als meest nabije overheid. De gemeente beheert veel persoonsgegevens. Van de gemeente mag worden verwacht dat zij zorgvuldig omgaat met de gegevens die ze beheren en dat deze gegevens juist, accuraat en tijdig zijn. Door de toenemende digitalisering is het zorgvuldig omgaan met informatie en gegevens van burgers, bedrijven en organisaties en de beveiliging daarvan van steeds groter belang. Het Handboek beveiliging Suwinet is er op gericht de beschikbaarheid, continuïteit, integriteit, vertrouwelijkheid en controleerbaarheid van de (geautomatiseerde) gegevensuitwisseling binnen de gemeente Waterland en met de overige Suwi-partners (UWV, SVB en gemeentelijke sociale diensten) te waarborgen. Sinds 2004 dient iedere gemeente overeenkomstig artikel 6.4 Regeling SUWI in een beveiligingsplan zichtbaar aan te geven op welke wijze zij invulling geeft aan de beveiliging van de gegevensuitwisseling in het kader van SUWI. 2 Juridisch kader Het juridische kader schetst waar de gemeente Waterland zich voor wat betreft informatiebeveiliging van gegevensuitwisseling binnen de Wet SUWI aan dient te houden. 2.1 Wet Bescherming Persoonsgegevens De Wet Bescherming Persoonsgegevens (WBP) stelt dat persoonsgegevens alleen voor bepaalde uitdrukkelijk omschreven en gerechtvaardigde doeleinden mogen worden verkregen. Als gevolg van de WBP moeten persoonsgegevens in overeenstemming met de WBP en op behoorlijke en zorgvuldige wijze worden verwerkt. Op hoofdlijnen betekent dit: - Persoonsgegevens mogen slechts voor bepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden worden verzameld. - Voor de verwerking dient een van de in de WBP genoemde rechtvaardigingsgronden te bestaan. - Slechts onder bepaalde voorwaarden mogen persoonsgegevens voor andere doeleinden worden gebruikt dan waarvoor ze zijn verzameld. - Persoonsgegevens mogen slechts worden verwerkt voor zover zij voor het doel toereikend, ter zake dienend en niet bovenmatig zijn. - De organisatie treft de nodige maatregelen zodat de persoonsgegevens, gelet op het doel waarvoor ze worden verwerkt, juist en nauwkeurig zijn. - De organisatie legt passende technische- en organisatorische maatregelen ten uitvoer om persoonsgegevens te beveiligen tegen verlies of tegen enige vorm van onrechtmatige verwerking. De verantwoordelijke dient er tevens voor te zorgen dat ook de bewerker voldoende waarborgen biedt met betrekking tot technische en organisatorische beveiliging. - De organisatie informeert de betrokkene over de verwerking van zijn persoonsgegevens en biedt de betrokkene de gelegenheid tot inzage in zijn persoonsgegevens. Indien de gegevens feitelijk onjuist blijken te zijn of voor het doeleinde onvolledig, niet ter zake dienend of anderszins in strijd met de wet worden verwerkt, komt betrokkene het recht op correctie toe. In enkele gevallen kan betrokkene tevens gebruik maken van het recht van verzet. - Een privacyfunctionaris meldt de verwerking bij het College Bescherming Persoonsgegevens (CBP), voor zover de verwerking niet is vrijgesteld van aanmelding, zoals beschreven in het Vrijstellingsbesluit WBP. In dit Vrijstellingsbesluit zijn veel voorkomende verwerkingen beschreven waarvan de inbreuk op de privacy gering wordt geacht, zoals een debiteurenadministratie en verwerkingen ten aanzien van het beheer en beveiliging (waaronder bijvoorbeeld netwerksystemen). Volgens de WBP dient iedere geautomatiseerde gegevensverwerking bestemd voor de verwezenlijking van een doeleinde te worden gemeld bij het CBP. De verantwoordelijke wordt eveneens door de WBP verplicht passende technische en organisatorische maatregelen te nemen om de persoonsgegevens te beschermen tegen een onwettige verwerking. 3

4 2.2 SUWI wet- en regelgeving en de WWB Er wordt binnen het SUWInet-stelsel gebruik gemaakt van meerdere verzamelingen van persoonsgegevens, elk met haar eigen verantwoordelijke. De gegevens die worden uitgewisseld tussen de SUWI-organisaties vallen binnen het domein waarvoor de verantwoordelijkheden op basis van afspraken worden ingevuld. Dit betekent dat gezamenlijk het vereiste niveau van beveiliging en de benodigde maatregelen worden vastgesteld. De uitvoering van de maatregelen ligt vervolgens bij de SUWIorganisaties en bij het Bureau Keteninformatisering Werk en Inkomen (BKWI). Naast persoonsgegevens van cliënten omvat het domein ook persoonsgegevens van medewerkers. Dit betreft gegevens die worden vastgelegd in logbestanden. In de wetgeving zijn bepalingen opgenomen die tot doel hebben de persoonlijke levenssfeer van betrokkenen te beschermen. Voor Z&W is dit onder andere de Wet Structuur Uitvoering Werk en Inkomen (wet SUWI), het Besluit en de Regeling SUWI. Uit de SUWI regelgeving vloeien doel en taken van Z&W en de overige SUWI partijen voort. De sectorale wetgeving regelt onder meer de informatievoorziening van de SUWI-organisaties onderling en aan derden. Daarbij is bepaald dat de gegevensstromen tussen de SUWI-organisaties via het 'SUWInet' verlopen. Gegevensstromen waarin de SUWI-regelgeving niet voorziet zal, zonder goedkeuring van de Minister, niet plaatsvinden. Voor zover in de wet SUWI niet van de WBP wordt afgeweken, geldt de WBP. Daarnaast is de Wet Werk en Bijstand (WWB) relevant. Deze wet wordt vervangen door de Participatiewet (beoogde inwerkingtreding 1 januari 2015). In de WWB is een aparte paragraaf opgenomen over de regels die van toepassing zijn bij de uitwisseling van persoonsgegevens. Deze paragraaf kan als volgt op hoofdlijnen worden geschetst: - Werkgevers hebben een informatieplicht om inlichtingen te verstrekken betreffende de aanvrager van een uitkering of een uitkeringsgerechtigde betreffende omstandigheden die noodzakelijk zijn voor de uitvoering van de WWB. - Diverse instanties, zoals UWV, overige gemeenten, College voor zorgverzekeringen, pensioenfondsen, etc. hebben een informatieplicht naar Z&W indien noodzakelijk voor de uitvoering van de WWB. - Medewerkers die met persoonsgegevens in aanraking komen hebben een geheimhoudingsplicht, tenzij het voor de uitvoering van de WWB noodzakelijk is deze persoonsgegevens te verstrekken aan anderen. - De gemeente heeft een inlichtingenverplichting binnen gestelde regels ten aanzien van diverse instellingen, zoals UWV, de Sociale Verzekeringsbank, de Belastingdienst, overige gemeenten etc. Voor de verstrekking van gegevens tussen instanties wordt gebruik gemaakt van het Burgerservicenummer (BSN). 2.3 Overige wet- en regelgeving Naast de sectorale wet- en regelgeving en de WBP geldt er diverse andere wet- en regelgeving, zoals de Wet voor Computercriminaliteit, de Databankenwet, de Auteurswet en de Archiefwet. Vanwege het algemene karakter van dit voorliggende beleid wordt hier verder niet op ingegaan. 3 ICT-beveiliging Bij de gemeente Waterland wordt gebruikt gemaakt van een netwerk dat bestaat uit acht fysieke en circa dertig virtuele servers. Elke medewerker van de gemeente Waterland kan inloggen op iedere werkplek binnen de gemeente. Op de computers (zgn. Thin Clients ) op de werkplek kunnen geen gegevens opgeslagen worden door de gebruikers. Op elke werkplek is de inlogprocedure gelijk. De (digitale) informatiestromen vormen het zenuwcentrum van de gemeentelijke organisatie. De gemeentelijke organisatie, de bedrijfsvoering, is in een sterke mate afhankelijk van een ongestoorde werking van haar informatiesystemen. Van een gemeente mag worden verwacht dat zij zorgvuldig omgaat met de gegevens die ze beheren en ook de wetgever stelt daaraan eisen. In de WBP worden eisen gesteld die zich tegen verlies of enige onrechtmatige verwerking van gegevens richten en de gemeente moet passende maatregelen nemen. 4

5 Z&W garandeert een correcte en veilige bediening van ICT-voorzieningen. Alle werkprocessen die gebruikt worden in het primaire proces zijn gedocumenteerd. Wijzigingen in deze processen kunnen leiden tot gewijzigde instructies. Op deze manier hebben de medewerkers van Z&W altijd de beschikking over bijgewerkte instructies en beschrijvingen om de werkzaamheden uit te voeren. Het beheer en onderhoud van het informatiseringnetwerk is de verantwoordelijkheid van het taakveld I&A/Systeembeheer. Enkel medewerkers van het taakveld I&A/Systeembeheer zijn bevoegd om wijzigingen in de ICT-infrastructuur aan te brengen. Op deze manier wordt voorkomen dat op verschillende plaatsen binnen de organisatie wijzigingen plaatsvinden en kunnen de zaken beheerst worden. Wanneer op ICT gebied veranderingen plaatsvinden worden de medewerkers van de dienst daarover in kennis gesteld via I&A/Systeembeheer. De implementatie van eventuele patches en releases wordt geregeld door I&A/Systeembeheer. In overleg met de medewerkers van Z&W wordt een datum geprikt om tot feitelijke installering over te gaan. De beheersystemen van Systeembeheer monitoren permanent of de capaciteit van de verschillende servers van de gemeente nog voldoende is. Applicatiebeheerders hebben in deze geen rol. Nieuwe releases en updates worden eerst in de testomgeving geïnstalleerd en getest, alvorens implementatie in de productieomgeving plaatsvindt. Op deze wijze wordt het risico van foutmeldingen geminimaliseerd. Bij de feitelijke implementatie van wijzigingen wordt overleg gevoerd tussen I&A/Systeembeheeer en de medewerkers van Z&W. De kwetsbaarheid van de informatiesystemen is een groot risico voor de bedrijfsvoering en het is van groot belang om door middel van beveiligingsmaatregelen de risico s zo veel mogelijk te beperken. In dit kader is het ICT- beveiligingsplan 2014 opgesteld en door het college van burgemeester en wethouders vastgesteld in haar vergadering van 13 mei Voor het opstellen van het ICT-Beveiligingsplan is gebruik gemaakt van de handreiking dataclassificatie van de Informatiebeveiligingsdienst voor gemeenten (IBD), een initiatief van de VNG/KING (Kwaliteitsinstituut Nederlandse Gemeenten). Het eerste product van de IBD is de Baseline Informatiebeveiliging Nederlandse Gemeenten (BIG). Een normenkader aan de hand waarvan het informatieveiligheidsbeleid wordt getoetst en waaraan alle Nederlandse gemeenten zich hebben geconformeerd. Ook van deze Baseline is gebruik gemaakt bij het opstellen van het ICT-Beveiligingsplan. Het is onlosmakelijk met het ICT-Beveiligingsplan verbonden. 4 Informatiebeveiliging Informatiebeveiliging is het samenhangend geheel van maatregelen dat de beschikbaarheid, vertrouwelijkheid en integriteit van de gegevens garandeert en de controleerbaarheid van de getroffen maatregelen. Het betreft hier zowel de technische, de organisatorische, de juridische, als de menselijke aspecten. In dit hoofdstuk wordt kort ingegaan op verschillende onderwerpen die met informatiebeveiliging in het kader van SUWInet te maken hebben. In hoofdstuk 8 is de organisatie van de beveiliging aangegeven en de taken en verantwoordelijkheden van functies in de (informatie)beveiliging. 4.1 Omgeving De omgeving waarbinnen de normen geplaatst moeten worden, wordt gedefinieerd door de volgende functies: - SUWInet Inkijk Direct en snel ophalen van relevante gegevens op een gestandaardiseerde wijze via SUWInet, op basis van webtechnologie. - Meldingen Afhandelen van gebeurtenissen in de SUWI-ketens. Meldingen vinden plaats via het applicatiebeheer of via SUWInet SMTP (ongestructureerd maar nog niet mogelijk). - SUWInet Mail Een door het Bureau Keteninformatisering Werk en Inkomen (BKWI) geboden dienst die partijen uit het SUWI domein in staat stelt om s te versturen via het besloten netwerk SUWInet. 5

6 Daardoor vallen tenminste de volgende elementen binnen de reikwijdte van dit normenkader (zie ook onderstaande figuur): - Pc s, servers en het netwerk via welke toegang wordt verkregen tot de applicatie SUWInet Inkijk (denk ook aan wachtwoorden, autorisaties en netwerkcomponenten). - Dossiers (denk ook aan afdrukken, kopiëren, en). - Organisatie (denk ook aan arbeidscontracten, handboeken / handleidingen / werkinstructies). - Omgeving (denk ook aan locaties / ruimten, collega's, klanten). - Systemen welke andere ketenpartners inkijk mogelijkheden bieden bij de GSD en. 4.2 Uitgangspunten De gemeente moet voldoen aan de verplichtingen die voortvloeien uit de Wet Bescherming Persoonsgegevens (WBP), de Wet Structuur Uitvoeringsorganisatie Werk en Inkomen (Wet SUWI) en de Wet Eenmalige Gegevensuitvraag Werk en Inkomen (WEU). Deze laatste wet is verwerkt in de Wet SUWI. Uitgangspunt voor de informatiebeveiliging is: - artikel 6.4 van de Regeling SUWI: hierin is bepaald dat er een beveiligingsplan moet zijn waarin wordt aangegeven op welke wijze invulling wordt gegeven aan de beveiliging van de gegevensuitwisseling die plaatsvindt in het kader van Suwinet. Daarnaast is in dit artikel bepaald dat de gegevensuitwisseling binnen het Suwinet moet worden beveiligd tegen inbreuk op beschikbaarheid, integriteit en vertrouwelijkheid overeenkomstig normen die worden bepaald in bijlage I van de Regeling SUWI. - Normenkader zoals opgesteld door de beheersorganisatie van het Suwinet, het Bureau Keteninformatisering Werk en Inkomen (BKWI) Op grond van de WBP kan een cliënt inzage vragen in of correctie vragen van gegevens. Zulke verzoeken vereisen een zorgvuldige behandeling. Datzelfde geldt in nog sterkere mate bij de verstrekking van gegevens aan derden. Naast deze privacyaspecten van de gegevensuitwisseling dienen ook algemene beveiligingsaspecten in acht te worden genomen. In artikel 13 WBP is namelijk bepaald dat de verantwoordelijke passende technische en organisatorische maatregelen ten uitvoer moet leggen om persoonsgegevens te beveiligen tegen verlies of tegen enige vorm van onrechtmatige verwerking. 6

7 Deze maatregelen garanderen, rekening houdend met de stand van de techniek en de kosten van de tenuitvoerlegging, een passend beveiligingsniveau gelet op de risico s die de verwerking en de aard van de te beschermen gegevens met zich brengen. Deze maatregelen zijn er mede op gericht onnodige verzameling en verdere verwerking van persoonsgegevens te voorkomen. 4.3 Beveiliging van toegang door derden Voorkomen dient te worden dat tijdelijk onbeheerde gebruikersapparatuur ongeoorloofd gebruikt wordt om toegang te krijgen tot persoonsgegevens. In principe is geen enkele computer toegankelijk voor klanten of derden. Enkel de medewerkers van Z&W zijn bevoegd tot gebruik hiervan. Het risico dat derden inzage hebben in persoonsgegevens is bij Z&W voldoende ondervangen. Voordat applicaties met persoonsgegevens geopend kunnen worden, moet de gebruiker diverse inlogcodes invoeren. Zonder login kan zelfs geen gebruik gemaakt worden van het gemeentelijke netwerk. Om vervolgens de afzonderlijke applicaties te starten moet ook per applicatie een user-id en wachtwoord ingevoerd worden. Wanneer gebruikers na ingelogd te zijn hun werkplek verlaten, vergrendelen zij hun werkplek. Daarnaast wordt de werkplek na tien minuten inactiviteit automatisch vergrendeld. Bij de computers in de spreekkamers is wel enig risico aanwezig dat zij ongeoorloofd gebruikt worden, bij afwezigheid van de medewerkers van Z&W. Er zijn hieromtrent afspraken gemaakt, om bij verlaten van de werkplek eerst uit te loggen. 5 Fysieke beveiliging De fysieke beveiliging, elektrotechnische beveiliging en toegangscontrole van het gemeentehuis maken onderdeel uit van de algehele beveiliging en zijn niet specifiek van toepassing op de beveiliging van Suwinet. Het peil van de fysieke en elektrotechnische beveiliging wordt continue bewaakt en als zodanig opgenomen als taak voor de Beveiligingsadviescommissie (zie hoofdstuk 8). Om te voorkomen dat medewerkers van de dienst bij een eventuele crash van het netwerk gegevens over langere tijd kwijt zijn, worden dagelijks back-ups gedraaid van alle servers. Concreet betekent dit dat alle gegevens die zich op de servers bevinden (data, rapporten, beschikkingen etc) elke avond worden opgeslagen op tape. Het feitelijk uitvoeren van de back-ups wordt uitgevoerd door systeembeheer. De back-up tapes worden bewaard in een brand- en inbraak werende kluis. De systeembeheerders, de coördinator I&A en het afdelingshoofd Facilitaire Zaken hebben toegang tot deze kluis. Er is een noodprocedure in het geval de code die gebruikt wordt om de kluis te openen, verloren mocht gaan. Wanneer externen werkzaamheden moeten verrichten aan ICT-voorzieningen van de gemeente Waterland worden deze ingehuurd via I&A/Systeembeheer. Dit taakveld is verantwoordelijk voor de benadering van de firma s en eventuele inplanning. Uiteraard worden enkel bonafide bedrijven benaderd om werkzaamheden voor de gemeente te verrichten. Als extra beveiliging, worden de serverruimte in het gemeentehuis bij onderhoudswerkzaamheden enkel betreden in aanwezigheid van een systeembeheerder. Onderhoudsmonteurs werken niet zonder toezicht in deze ruimten. De servers staan in een afzonderlijke ruimte, die zoveel mogelijk stofvrij is en wordt gekoeld door een koelinstallatie. De toegang tot serverruimte van het gemeentehuis is enkel mogelijk met een aparte sleutel. De volgende bevoegde medewerkers van FZ zijn in het bezit hiervan: de systeembeheerders, de coördinator I&A en het afdelingshoofd FZ. 6 Beveiliging ten aanzien van het personeel De leidinggevenden hebben een rol in het vergroten van de bewustwording en gedrag bij de medewerkers betreffende het correct en integer omgaan met informatie. 7

8 6.1 Beveiligingseisen bij aanname van personeel Zittend personeel Personeel dat in dienst is bij de gemeente valt direct onder de rechtspositie voor ambtenaren (CAR- UWO). Dit betekent dat zij bij de aanstelling niet apart een verklaring dienen te ondertekenen dat zij op verantwoorde wijze omgaan met privacygevoelige informatie. Dit is opgenomen in de CAR-UWO. Wel heeft iedereen een Verklaring Omtrent Gedrag moeten inleveren bij P&O, een geldig ID (paspoort, ID-kaart) en een integriteitsverklaring. Tijdelijk personeel/stagiaires Personeel dat werkzaamheden verricht bij de gemeente en niet in een ambtelijk dienstverband is benoemd, is gedetacheerd via een uitzendbureau of een detacheringsbureau. De gemeente heeft met het vaste uitzendbureau PDZ de afspraak gemaakt dat elke uitzendkracht (waaronder stagiaires) bij de gemeente een Verklaring Omtrent Gedrag moet inleveren. Bij overeenkomsten met detacheringsbureaus wordt door de gemeente verlangd dat tijdelijk personeel bij de eigen werkgever een Verklaring Omtrent Gedrag heeft ingeleverd, die op verzoek van de gemeente kan worden getoond. In elk geval wil P&O bij alle functies een Verklaring Omtrent Gedrag ontvangen. Verder eist P&O dat het uitzendbureau of detachteringsbureau een kopie van een geldig ID (paspoort of ID-kaart) naar de afdeling P&O stuurt. Iedere inleenkracht tekent op de eerste werkdag een integriteitsverklaring en zorgt ervoor dat de afdeling P&O een kopie ontvangt van de originele Verklaring Omtrent het Gedrag. Nieuw personeel Aan een mogelijk nieuwe medewerker wordt al in de sollicitatie ronde bij het tweede gesprek gevraagd om een integriteitsverklaring te ondertekenen. Daarnaast dient een nieuwe medewerker een Verklaring Omtrent Gedrag in te leveren bij P&O. Na de aanstelling krijgt een nieuwe medewerker een gemeentebrede introductie. Hierbij wordt de medewerker gevraagd om een integriteitsverklaring te ondertekenen. Ook dient een nieuwe medewerker een geldig ID (paspoort of ID-kaart) te overleggen aan P&O. 6.2 Registratie en autorisatie van gebruikers Sinds maart 2013 maakt de organisatie gebruik van een Formulier autorisatie applicaties en uitgifte toegangsbadge en token. In dit formulier zijn de applicaties opgenomen die privacy gevoelige informatie c.q. persoonsgegevens bevatten. In het formulier is ook een geheimhoudingsverklaring gegevensgebruik opgenomen. Het proces en uitvoering worden beheerd door P&O. Leidinggevenden vragen via dit formulier specifieke autorisaties aan voor hun medewerkers, die daarvoor mede ondertekenen, inclusief de geheimhoudingsverklaring. Voor het gebruik van Suwinet geldt dat het afdelingshoofd Z&W aan de medewerker Planning&Control de namen doorgeeft van nieuwe medewerkers en medewerkers die uit dienst gaan op de afdeling Z&W. De medewerker P&C vraagt vervolgens een user-id en wachtwoord (op basis van de juiste gebruikersrol) voor de nieuwe medewerker aan bij I&A/Systeembeheer. Bij uitdiensttreding geeft de medewerker P&C de datum van uitdiensttreding door aan I&A/Systeembeheer en vervolgens wordt door deze afdeling de desbetreffende user-id geblokkeerd en verwijderd. Bij I&A/Systeembeheer is bekend welke medewerkers van Z&W een gebruikersprofiel hebben. Concreet betekent dit dat bekend is wie bevoegd is tot het inloggen op het netwerk van de gemeente Waterland. Er kan een overzicht samengesteld worden betreffende deze gegevens. De medewerker P&C vraagt dit overzicht periodiek, een keer per maand, op bij I&A/systeembeheer. Hij/zij controleert dan of de medewerkers op dit overzicht en hun gebruikersrollen nog correct zijn. 6.3 Instructie voor en informeren van gebruikers Z&W instrueert de individuele gebruikers betreffende correcte omgang met ICT-voorzieningen. Tijdens de algemene introductie van nieuwe medewerkers worden zij in kennis gesteld van het gebruik van privacygevoelige informatie. 8

9 Voor de medewerkers van Z&W en Publiekszaken is met betrekking tot SUWInet een gebruikershandleiding beschikbaar. Daarnaast wordt het handboek beveiliging Suwinet verstrekt en worden werkinstructies gegeven. Ook is beveiliging een vast agendapunt in werkoverleggen. Medewerkers zelf zijn (ook) verantwoordelijk voor een juist gebruik van Suwinet. Elke medewerker is er van op de hoogte dat hij/zij in het kader van de interne controle regulier gecontroleerd wordt of raadpleging en gebruik van gegevens verenigbaar is met de doeleinden waarvoor ze zijn opgevraagd of verstrekt (voor controle op het gebruik zie hoofdstuk 9). 7 Bedreigingen en incidenten Alle belangrijke informatiebedrijfsmiddelen zijn bij de gemeente Waterland op de een of andere manier beveiligd. In het ICT-Beveiligingsplan 2014 zijn de diverse bedreigingen en de beveiligingsmaatregelen om deze bedreigingen zo veel mogelijk te beperken opgenomen. In dit hoofdstuk zijn een aantal aspecten daarvan opgenomen. 7.1 Bedrijfsmiddelen en gegevens Binnen Z&W is het primaire proces beveiligd tegen uitval van het ICT-systeem. Wanneer er verstoringen optreden voor het primaire proces worden noodplannen in werking gezet. Op het gebied van calamiteiten zoals brand, bommeldingen etc. is het calamiteitenplan van kracht. Er zijn noodplannen beschikbaar zodra bijvoorbeeld stroomstoringen optreden. Informatie is beschikbaar bij zowel de Coördinator I&A alsmede de Beveiligingscoördinator. Een actueel overzicht van bedrijfsmiddelen en de beveiliging hieromtrent, is vastgelegd bij systeembeheer. Tevens onderhoudt systeembeheer de registratie en documentatie van alle aanwezige hard- en software in een Configuratie Management DataBase (CMDB) Alle datatransport vindt plaats door middel van vaste bekabeling welke gecontroleerd is op betrouwbaarheid. Binnen de gemeente Waterland wordt gebruik gemaakt van een eigen netwerk dat niet is aangesloten op een telefoonverbinding. Het datanetwerk is getoetst aan vastgestelde normen. Binnen de gemeente Waterland wordt geen gebruik gemaakt van cryptografische versleuteling bij data verzending. Omdat het netwerk van de gemeente Waterland los staat van openbare netwerken is onderschepping van data vrijwel niet mogelijk. Binnen Z&W wordt gewerkt met persoonsgegevens die aangemerkt kunnen worden als bijzondere persoonsgegevens zoals beschreven in artikel 16 WBP. Omdat deze gegevens niet specifiek onderscheiden kunnen worden binnen de gegevensuitwisseling en gezien het grote aantal uitwisselingen, wordt de risicoklasse van de gegevens vastgesteld op een combinatie van II en III. Logbestanden en de gebruikersadministratie bevatten persoonsgegevens van medewerkers. De gegevens die worden vastgelegd in deze bestanden worden vastgelegd in risicoklasse I. Binnen Z&W is afgesproken dat enkel medewerkers die werkzaam zijn in het primaire proces toegang krijgen tot SUWInet en wordt enkel voor hen een gebruikersaccount en wachtwoord aangemaakt. Naast inloggen op het gemeentelijke netwerk is een aparte inlog noodzakelijk voor SUWInet. 7.2 Bescherming tegen kwaadaardige software De gemeente Waterland gebruikt voor haar netwerk een firewall om kwaadaardige aanvallen van buitenaf te voorkomen. De verantwoordelijkheid van deze firewall ligt bij I&A/Systeembeheer. Naast het gebruik van een firewall, gebruikt de gemeente Waterland ook antivirus/antimalware software een mailgateway en een webgateway. Deze beveiligingssoftware wordt automatisch geactualiseerd (hierover zijn contracten afgesloten met leveranciers). Alle werkplekken binnen de gemeente Waterland zijn dusdanig beveiligd dat computers en servers zijn afgeschermd om geen kans te geven software te installeren. Er kunnen onder meer geen programma s of een programmacode door de gebruiker geïnstalleerd worden. Iedere medewerker moet zijn eigen toegekende inlognaam en wachtwoord intoetsen alvorens verbinding met het gemeentelijke netwerk kan worden gemaakt. 9

10 Iedere medewerker die de mogelijkheid heeft om van de applicatie SUWI-Inkijk gebruik te maken heeft een aparte inlognaam ontvangen, voorzien van een wachtwoord. Velden met sleutelgegevens zijn afgeschermd om wijzigingen aan de instellingen te voorkomen. 7.3 Reageren op incidenten en storingen Wanneer zich binnen Z&W een storing op ICT niveau voordoet wordt dit gemeld bij de gemeentelijke helpdesk van I&A/Systeembeheer (tel. 626). Na afhandeling van de storing krijgt degene die de storing heeft doorgegeven een melding dat de call is afgehandeld. Beveiligingsincidenten worden door I&A/Systeembeheer gerapporteerd en gedocumenteerd. Bij het opstellen van de jaarplanning worden, mede op basis van deze rapportage, zogenaamde projectmatige activiteiten benoemd om het ICT niveau verder te verbeteren en te beveiligen. De gemeente Waterland maakt bij calamiteiten op ICT-gebied gebruik van een vastgestelde methode. Deze methode geeft aan dat problemen door middel van een procedure worden afgehandeld. Verdere informatie is te vinden bij I&A/Systeembeheer. 7.4 Rapporteren van onvolkomenheden in de software Systeembeheer is verantwoordelijk voor het doorvoeren van autorisaties en systeemtechnische toegang tot SUWInet. Dit betekent dat de systeembeheerder degene is die de autorisaties verstrekt aan individuele medewerkers na ontvangst van een schriftelijke opdracht ( ) van de medewerker Planning & Control. Bij eventuele problemen op software gebied is hij/zij degene die als aanspreekpunt fungeert voor de medewerkers. Mochten de problemen niet meteen op te lossen zijn, wordt het probleem doorgegeven aan het BKWI. 8 Beveiligingsorganisatie, taken en verantwoordelijkheden Binnen de gemeente is het college van burgemeester en wethouders bestuurlijk verantwoordelijk voor de beveiliging van informatie binnen de werkprocessen van de gemeente en stelt het beleid vast. De afdelingshoofden zijn verantwoordelijk voor de informatiebeveiliging van zijn/haar afdeling en de handhaving van de personele beveiliging. Voor een zo goed mogelijke (informatie)beveiliging is het van belang om taken, verantwoordelijkheden en bevoegdheden zo veel mogelijk te scheiden. In de gemeente Waterland is een Beveiligingsadviescommissie ingesteld met als doel de (informatie)beveiliging organisatiebreed te waarborgen, te evalueren en actualiseren. De samenstelling en taken zijn opgenomen onder 8.1. De overige paragrafen zijn specifiek gericht op Suwinet. 8.1 Beveiligingsadviescommissie De Beveiligingsadviescommissie bestaat uit een voorzitter, vaste leden en leden die incidenteel afhankelijk van de te behandelen onderwerpen zitting hebben. Voorzitter van de commissie is het afdelingshoofd Publiekszaken. Vaste leden zijn de beveiligingsfunctionaris/security Officer Suwinet, de I&A-coördinator, de deskundige Basisregistratie Personen (BRP), de Arbo-coördinator (afdeling P&O) en een lid van de Ondernemingsraad. Incidenteel heeft de medewerker Planning&Control Z&W zitting De Beveiligingsadviescommissie heeft tot taak: - Het doen van voorstellen met betrekking tot een nadere ontwikkeling en implementatie van het gemeentelijke (informatie)beveiligingsbeleid. - Het doen van voorstellen met betrekking tot beveiliging in de breedste zin van het woord. - Het adviseren van het college van burgemeester en wethouders betreffende actuele en/of structurele beveiligingsproblemen. - Het initiëren en aansturen van het proces dat leidt tot het uitvoeren van een jaarlijks onderzoek naar de organisatorische, bouwkundige en elektrotechnische status van de beveiliging en het opstellen dan wel actualiseren van een jaarlijks beveiligingsplan. 10

11 8.2 Beheer Suwinet Suwinet is het gegevensuitwisselingssysteem van de sector Werk en Inkomen. Het Bureau Keteninformatisering Werk en Inkomen (BKWI) is beheerder van Suwinet. 8.3 Afdelingshoofd Z&W Het afdelingshoofd Z&W is primair verantwoordelijk voor de veiligheid van Suwinet. In de praktijk worden de activiteiten gericht op veilig(er) gebruik van Suwinet uitgevoerd door de Security Officer en de medewerker Planning&Control Z&W. Uitsluitend bevoegde personen hebben toegang tot de in Suwinet beschikbare (persoons)gegevens. De bevoegdheid moet worden afgeleid van de taak, functie of verantwoordelijkheid en is ter beoordeling van het afdelingshoofd Z&W. Het afdelingshoofd Z&W neemt besluiten tot het toekennen of intrekken van autorisaties voor Suwinet. Hij/zij geeft aan de medewerker Planning&Control Z&W de namen door van nieuwe medewerkers en medewerkers die uit dienst gaan op de afdeling Z&W. 8.4 Afdelingshoofd Publiekszaken Het afdelingshoofd Publiekszaken is verantwoordelijk voor een veilig en integer gebruik van Suwinet- Burgerzaken door de door hem/haar aangewezen medewerkers Publiekszaken. Uitsluitend bevoegde personen hebben toegang tot de in Suwinet-Burgerzaken en alleen met als doel adresonderzoek uit te voeren ingeval van twijfel over gegevens in de BRP (zie ook 8.9). Het afdelingshoofd Publiekszaken: - neemt besluiten tot het toekennen of intrekken van autorisaties voor Suwinet-Burgerzaken; - vraagt maandelijkse een gebruiksrapportage Suwinet-Burgerzaken op; - voert bij afwijkingen in de gebruikersrapportage nader verdiepend onderzoek uit door middel van het opvragen van een specifieke rapportage; - voert minimaal twee keer per jaar een onderzoek uit aan de hand van een opgevraagde specifieke rapportage. 8.5 Autorisatiebeheer Suwinet De medewerker Planning&Control Z&W is belast met het autorisatiebeheer van Suwinet. De medewerker P&C kan Suwinet-Inkijk niet raadplegen. De medewerker P&C voert in opdracht van het afdelingshoofd Zorg en Welzijn onderstaande taken uit:: - vraagt voor nieuwe gebruikers een user-id en wachtwoord (op basis van de juiste gebruikersrol) aan bij I&A/Systeembeheer; - geeft bij uitdiensttreding de gebruiker en datum van uitdiensttreding door aan I&A/Systeembeheer om het desbetreffende user-id te laten blokkeren en verwijderen; - controleert periodiek of de geautoriseerde medewerker daadwerkelijk toegang mogen hebben vanuit hun werkzaamheden en of ze de juiste autorisatie hebben. De medewerker P&C vraagt daartoe maandelijks bij systeembeheer een overzicht aan van de accounts en rollen; - vraagt maandelijks een gebruikersrapportage Suwinet-Inkijk op; - meldt afwijkingen in de rapportage aan het afdelingshoofd Z&W. 8.6 Gebruikersbeheer Suwinet Het gebruikersbeheer Suwinet is ondergebracht bij I&A/Systeembeheer. Twee systeembeheerders zijn geautoriseerd voor het aanmaken of verwijderen van gebruikers en het wijzigen van gebruikersautorisaties. De door Systeembeheer gebruikte users hebben geen toegang tot de middels Suwinet ontsloten gegevens. Het aanmaken/verwijderen van gebruikers en het wijzigen van de autorisaties daarvan gebeurt alleen schriftelijk ( ) na besluit van het afdelingshoofd Z&W en op aangeven van de autorisatiebeheerder. 11

12 8.7 Security Officer De functie van Security Officer is binnen de gemeente Waterland toebedeeld aan de coördinator Facilitaire Zaken, tevens beveiligingsfunctionaris. De Security Officer: - is het centrale aanspreekpunt op het gebied van informatiebeveiliging; - beheert en beheerst beveiligingsprocedures en maatregelen in het kader van Suwinet, zodanig dat de beveiliging van Suwinet overeenkomstig wettelijke eisen is geïmplementeerd; - bevordert en adviseert op het gebied van (informatie)beveiliging; - analyseert eventuele beveiligingsincidenten; - controleert of en in hoeverre beveiligingsmaatregelen en -procedures worden nageleefd en monitort de uitvoering van het opgestelde beleid; - evalueert de uitkomsten en doet voorstellen voor implementatie en aanpassing van plannen op het gebied van de beveiliging; - heeft jaarlijks overleg met het hoofd Z&W en/of de autorisatiebeheerder Suwinet over informatiebeveiliging en beheer binnen de afdeling Z&W; - rapporteert rechtstreeks aan het college van burgemeester en wethouders (eventueel aan de hand van de Verantwoordingsrichtlijn en zelfevaluaties); - zorgt (mede) voor het opstellen en onderhouden van het beveiligingshandboek. 8.8 Juridisch beleidsmedewerker Z&W De juridisch beleidsmedewerker Z&W: - voert bij afwijkingen in de gebruikersrapportage nader verdiepend onderzoek uit door middel van het opvragen van een specifieke rapportage; - voert minimaal twee keer per jaar een onderzoek uit aan de hand van een opgevraagde specifieke rapportage. De juridisch beleidsmedewerker Z&W is daartoe gemandateerd door het college van burgemeester en wethouders. 8.9 Gebruikers en rollen Suwinet Voor de uit te voeren taken/functies worden verschillende Suwinet variaties gebruikt met verschillende autorisatierollen. Er zijn geen speciale bevoegdheden waarbij het mogelijk is om de beveiliging in de systemen of toepassingen te omzeilen. Wachtwoorden voor het netwerk worden regelmatig gewijzigd (ICT-Beveiligingsplan) en accounts in Suwinet verlopen wanneer er 90 dagen geen gebruik van is gemaakt. Gebruikers Suwinet: - Suwinet-Inkijk - G-rollen; - Z&W/consulenten Sociale Zaken; - voor de wettelijke taken beschreven in de Wet Suwi en WWB. - Suwinet-Inburgering - SC-rollen; - medewerkers Z&W/Inburgering; - voor de wettelijke inburgeringstaken en beperkt tot de eigen cliënten die inburgeringsplichtig zijn; - beperkte bevraging eigen cliënten; geen misbruik mogelijk. - Suwinet-Burgerzaken - twee medewerkers Publiekszaken zijn geautoriseerd; - alleen voor adresonderzoeken ingeval van twijfel over de BRP-registratie, waarbij andere bronnen geraadpleegd worden (waaronder Suwinet). Gebruik, toegang en bevoegdheden van de Sociale Recherche zijn in beheer bij de gemeente Purmerend. 12

13 9 Controle op het gebruik Toegang tot de specifieke (persoons)gegevens in Suwinet is afhankelijk van de rol van een medewerker. De gemeente moet (steekproefgewijs) controleren of dat juist gebeurd, de beveiliging functioneert en maatregelen juist worden nageleefd en of medewerkers de correcte toegang en autorisatierollen hebben en niet onbevoegd (persoons)gegevens worden geraadpleegd. In dit handboek zijn de onderstaande controles opgenomen: - 1 x per maand overzicht ter controle accounts en rollen (autorisatiebeheerder); - 1 x per maand gebruikersrapportage Suwinet-Inkijk (autorisatiebeheerder); - 1 x per maand gebruikersrapportage Suwinet-Burgerzaken (afdelingshoofd Publiekszaken); - verdiepend onderzoek bij afwijkingen in gebruikersrapportages (juridisch beleidsmedewerker Z&W en voor Suwinet-Burgerzaken het afdelingshoofd Publiekszaken); - minimaal 2 x per jaar specifieke rapportage) Suwinet (juridisch beleidsmedewerker Z&W en voor Suwinet-Burgerzaken het afdelingshoofd Publiekszaken); - Jaarlijks wordt online een zelfanalyse uitgevoerd om het veilig(er) gebruik van Suwinet te toetsen aan het normenkader dat daarvoor is gesteld (Security Officer). 10 Actualisatie en vaststelling Het Handboek beveiliging Suwinet wordt jaarlijks geëvalueerd en zo nodig geactualiseerd. Het Handboek wordt vastgesteld door het college van burgemeester en wethouders. 13