Datum 17 februari 2016 Betreft Definitief verslag van bevindingen onderzoek Veilig gebruik Suwinet 2015

Transcriptie

1 Inspectie SZW Ministerie van Sociale Zaken en Werkgelegenheid > Retouradres Postbus LV Den Haag College van Burgemeester en Wethouders van de gemeente Montferland Postbus BA DIDAM komen: 'ilimhhiimi'i'h'-h 1 g - S i. Postbus LV Den Haag Parnassusplein 5 T Contactpersoon dhr. drs. ír. J.W.T.M. Urselmann T JUrselmann@minszw.nl Betreft Definitief verslag van bevindingen onderzoek Veilig gebruik Suwinet 2015 Kopie aan Gemeenteraad Geacht College, Hierbij ontvangt u het definitieve verslag van bevindingen van het onderzoek naar het veilig gebruik van Suwinet over Dit verslag wordt ook verzonden aan de Gemeenteraad. Op verzoek van de staatssecretaris beantwoordt de Inspectie SZW de vraag in welke mate gemeenten (sociale diensten) voldoen aan de eisen van vertrouwe lijkheid die worden gesteld aan de beveiliging van informatie die wordt uitgewis seld binnen Suwinet. Dit onderzoek is een vervolg op het onderzoek 'Suwinet, veilig omgaan met eikaars gegevens'. De Inspectie SZW heeft zich in dit onderzoek gericht op de essentiële beveiligingsnormen tegen inbreuk op de vertrouwelijkheid. Vertrouwelijkheid wil zeggen dat een persoonsgegeven alleen toegankelijk is voor een functionaris die daartoe bevoegd is. De ontvangen informatie is getoetst aan een zevental geselecteerde normen uit het Normenkader behorende bij de Verantwoordingsrichtlijn Gezamenlijke elektronische Voorzieningen Suwi (GeVS). Aan de hand van de definitieve verslagen van bevindingen van alle gemeenten wordt een rapportage opgesteld. Hierin worden de gemeenten met name ge noemd. Deze rapportage bevat tevens een overzicht van de opmerkingen van ge meenten op het conceptverslag van bevindingen. De rapportage zal voor een bestuurlijke reactie worden voorgelegd aan VNG en DIVOSA. De rapportage zal, na vaststelling door de Inspecteur-Generaal, door de staatssecretaris worden voorzien van haar reactie en vervolgens worden aangeboden aan de Eerste en Tweede Kamer. Indien een gemeente bij de uitvoering op het domein van werk en inkomen samenwerkt met een of meer andere gemeenten, worden de handelingen van dat samenwerkingsverband op het gebied van de informatiebeveiliging van Suwinet voor alle gemeenten gelijk beoordeeld. Pagina 1 van 6

2 Verwerking reactie van de gemeente Montferland op de conceptrapportage van bevindingen Op 11 januari 2016 heeft de heer Robins gereageerd op de voorlopige bevindingen van de Inspectie. Hieronder gaat de Inspectie per norm in op uw reactie. Normen 1.3 en 1.5 Wij hebben vastgesteld dat uw gemeente een strategisch informatiebeveiligingsplan en -beleid conform de richtlijnen van de BIG heeft vastgesteld. Het is tevens vastgesteld door ons - en bevestigd door u - dat de gemeente Montferland niet beschikt over een Suwinet-specifiek beveiligingsplan. Wij wijzen u op het feit dat dit onderzoek uitsluitend gericht is op de beveiliging omtrent Suwinet en derhalve vereist dat hier specifiek aandacht aan wordt besteed in het algemene beleidsplan of anders in een aparte passage. De Inspectie heeft waardering voor het gegeven dat u het informatiebeveiligingsbeleid in 2016 zal bijstellen en actualiseren. Ontegenzeggelijk heeft de BIG raak vlakken met de beveiliging van Suwinet, echter dit is niet specifiek genoeg om aan deze norm te kunnen voldoen. Derhalve zal onze bevinding niet kunnen worden aangepast voor normen 1.3 en 1.5. Norm 1.4 Bij norm 1.4 moet op een controleerbare wijze worden aangetoond dat het Suwinet beleidsplan centraal beschikbaar is en dat hier minstens tweemaal per jaar aandacht voor is. Deze vereiste documentatie hebben wij aanvankelijk niet aangetroffen. Echter, u geeft aan dat er continu aandacht is voor de beveiliging rondom het gebruik van Suwinet en dat de veiligheid van Suwinet continu be sproken wordt. Op basis van de door u aangeleverde verslaggeving heeft de Inspectie kunnen constateren dat u wel degelijk aandacht besteedt aan het veilig gebruik van Suwinet binnen uw gemeente. Met inachtneming van uw opmerkingen en documentatie hebben wij besloten deze norm goed te keuren. Norm febru 1 7 f e b r u a n In uw antwoord op de vragen in norm 2.2 stelt u dat de functies niet formeel vastgelegd, maar er in de praktijk wel degelijk een functiescheiding is van de diverse taken binnen Suwinet. zijn De Inspectie sluit niet uit dat dit in de praktijk het geval is. Echter, zonder documentatie is dit voor de Inspectie niet herleidbaar. Derhalve kunnen wij niet anders dan onze bevindingen op deze norm handhaven. Pagina 2 van 6

3 Norm 2.3 Deze norm vereist dat de Security Officer periodiek over het veilig gebruik van Suwinet rapporteert aan het hoogste management. In lijn met de argumentatie onder norm 1.4 is de vereiste bewijsvoering met betrekking tot dit punt niet aangetroffen en zijn uw stellingen om die reden niet waarneembaar voor de Inspectie. Tevens ontbreekt een formeel vastgelegde functieomschrijving van de Security Officer. De Inspectie heeft waardering voor het gegeven dat u op basis van onze aanbeveling op korte termijn een functieomschrijving voor de beheerders Suwinet en SO wilt vaststellen. Dit laat echter onverlet dat gedurende de onderzoeksperiode deze niet beschikbaar waren en derhalve niet aan de norm is voldaan. Om deze reden handhaven wij onze bevindingen voor norm Norm 13.1 Uw gemeente is het eens met de door de Inspectie gestelde conclusie. - Norm 13.5 Voor norm 13.5 is het vereist dat de aantoonbare controle op verleende toegangsrechten en het gebruik van Suwinet meerdere keren per jaar plaatsvindt. De Inspectie heeft geen ondersteunend bewijsmateriaal mogen ontvangen van uw stelling dat minimaal 1 keer per kwartaal de gebruikers van de afdeling Sociale Zaken worden vergeleken met de aanwezige actieve accounts op het netwerk. Derhalve is deze controle voor de Inspectie niet vast te stellen. Na uw opmerkingen gewogen te hebben, hebben wij ervoor gekozen onze bevin dingen op deze norm niet aan te passen. Wij willen u er met nadruk op wijzen dat de Inspectie zich bij haar onderzoek richt op de aantoonbare werking en beschikbaarheid van procedures en documenten gedurende de onderzoeksperiode. Definitief verslag van bevindingen In dit verslag worden bij de normen waaraan wel wordt voldaan geen afzonderlijke bevindingen opgenomen. Bij de normen waaraan niet wordt voldaan, zijn de belangrijkste bevindingen opgenomen, die tot deze conclusie hebben geleid. Norm 1.3 Het informatiebeveiligingsbeleid en het beveiligingsplan van het Suwinet zijn goedgekeurd door het management van de Suwi-partľj. Er is geen specifiek beveiligingsbeleid en -plan dat is gericht op SUWI dat ook formeel is vastgesteld. Pagina 3 van 6

4 Norm 1.4 Het informatiebeveiligingsbeleid en het beveiligingsplan van het Suwinet worden uitgedragen in de organisatie. Beoordeling: Uw gemeente voldoet aan de gestelde norm. Norm 1.5 Het informatiebeveiligingsbeleid en het beveiligingsplan van het Suwinet worden jaarlijks geëvalueerd en indien nodig geactualiseerd. Er is geen specifiek beveiligingsbeleid en -plan dat is gericht op SUWI dat jaarlijks wordt geëvalueerd. Norm 2.2 De taken, verantwoordelijkheden en bevoegdheden ten aanzien van het gebruik, de inrichting, het beheer en de beveiliging van Suwinet gegevens, applicaties, processen en infrastructuur moeten zijn beschreven en duidelijk en afhankelijk van de schaalomvang van de organisatie gescheiden zijn belegd. Operationeel beheer Functioneer beheer Technisch beheer Aansturing ICT-leveranciers Security Officer Autorisatiebeheer Eigenaarschap Suwinet De Suwinet functiescheiding is onvoldoende formeel vastgelegd. Norm 2.3 De Security Officer beheert en beheerst beveiligingsprocedures en -maatregelen in het kader van Suwinet, zodanig dat de beveiliging van Suwinet overeenkomstig wettelijke eisen is geïmplementeerd. De Security Officer bevordert en adviseert over de beveiliging van Suwinet, verzorgt rapportages over de status, controleert dat m.b.t. de beveiliging van Suwinet de maatregelen worden nageleefd, evalueert de uitkomsten en doet voorstellen tot implementatie c.q. aanpassing van plannen op het gebied van de beveiliging van Suwinet. De Security Officer rapporteert rechtstreeks aan het hoogste management. Pagina 4 van 6

5 Er is onvoldoende aangetoond dat de Security Officer periodiek over het veilig gebruik van Suwinet rapporteert aan het hoogste management. Taken, verantwoordelijkheden en werkzaamheden van de Security Officer zijn onvoldoende omschreven en niet formeel vastgesteld Norm 13.1 De Suwi-partij autoriseert en registreert de gebruikers die toegang hebben tot de Suwinet applicaties op basis van een formele procedure waarin is opgenomen: Het verlenen van toegang tot de benodigde gegevens op basis van de uit te voeren functie/taken; Het uniek identificeren van elke gebruiker tot één persoon; Het goedkeuren van de aanvraag voor toegangsrechten door de manager of een gemandateerde; Het tijdig wijzigen (dus ook intrekken) van de autorisatie bij functie wijziging of vertrek; Het benaderen van de Suwi-databestanden door gebruikers mag alleen plaatsvinden via applicatieprogrammatuur (tenzij sprake is van calamiteiten). Er is niet aangetoond op welke wijze autorisaties worden verstrekt en welke criteria hierbij worden gehanteerd. De gemeente heeft geen autorisatiematrix overgelegd waarin de in opzet uitgereikte autorisaties staan vermeld. Hierdoor is gemeente niet in staat te controleren welke autorisaties aan welke functies zijn verstrekt en of dat conform de opzet is gebeurd De gemeente heeft de Inspectie geen antwoord gegeven op de vragen omtrent de inzet van zware rollen. Norm 13.5 De controle op verleende toegangsrechten en gebruik vindt meerdere keren per jaar plaats. Interne controle op rechten en gebruik van Suwinet Analyseren van de van het BKWI verkregen informatie over het gebruik van Suwigegevens. Niet is aangetoond dat de controle op verleende toegangsrechten en gebruik meerdere keren per jaar plaatsvindt Pagina 5 van 6

6 Conclusie Uw gemeente voldoet aan 1 van de 7 geselecteerde normen. Vervolg Diverse gemeenten hebben aangegeven dat in de tussentijd - na de onderzoeksperiode - aanvullende maatregelen zijn getroffen. De Inspectie heeft deze maatregelen niet meer beoordeeld. Het betekent dat de scores in de tussentijd mogelijk zijn verbeterd. We zullen in de overkoepelende rapportage hier melding van maken en deze reacties ook doorgeven aan de staatssecretaris. Alle gemeenten die nog niet voldoen aan de 7 normen, ontvangen op korte termijn een brief van de staatssecretaris met een vooraankondiging tot een aanwijzing. Elke gemeente krijgt de gelegenheid om binnen een bepaalde termijn - afhankelijk van het aantal normen waaraan men voldoet - orde op zaken te stellen. Het College dient vervolgens te melden aan de staatssecretaris dat alle 7 normen op orde zijn. De Inspectie SZW zal op verzoek van de staatssecretaris daarna, via een steekproef, nagaan of de betreffende gemeenten voldoen aan de 7 normen. Hoogachtend, De inspecteur-generaal Sociale Zaken en Werkgelegenheid, namens deze, 3 - z Mevr. mr. C. Poştma rn MDR Directeur Pagina 6 van 6