Beveiligingsplan Suwinet, Kolom Werk en Inkomen 2018

Transcriptie

1 Beveiligingsplan Suwinet, Kolom Werk en Inkomen 2018 Pagina 1 van 11

2 Inhoudsopgave 1. Inleiding 2. Kader voor het Suwinet beveiligingsplan 3.1 Gebruikers voor Suwinet inkijk 3.2 Functie raadplegen 3.3 Logging rapportages 3.4 Doelen van logging 3.5 Verdeling taken / verantwoording 3.6. Functiebeschrijving Security Officer Suwinet gouden tips bij beveiliging van persoonsgegevens Bijlage 1 Protocol inzake het gebruik van gegevens Suwinet Bijlage 2 Verklaring Bijlage 3 Verantwoording afwijkende Suwinet-raadplegingen Pagina 2 van 11

3 1. Inleiding Het Bureau Keteninformatisering Werk en Inkomen (BKWI), het Werkbedrijf, de stichting Inlichtingenbureau Gemeenten (IB), het Uitvoeringsinstituut Werknemersverzekeringen (UWV), de Belastingdienst, de Informatie Beheer Groep (IBG), de RDW (Rijksdienst voor het wegverkeer) en gemeenten wisselen persoonsgegevens met elkaar uit via Suwinet, een elektronische infrastructuur. Met de faciliteit Suwinet-Inkijk worden gegevens op basis van Burger Service Nummers (BSN) toegankelijk gemaakt voor bevoegde medewerkers. Het gaat om privacygevoelige gegevens over arbeidsverleden, loon, uitkeringen en opleiding van inwoners. De organisaties hebben die gegevens nodig om het recht op een uitkering vast te kunnen stellen en de juiste dienstverlening te kunnen leveren. In dit beveiligingsplan zal eerst het kader voor het beveiligingsplan geschetst worden. Vervolgens wordt ingegaan op de bevoegdheden van gebruikers en aangegeven in welke situaties Suwinet gebruikt mag worden. Verder worden Tien gouden tips gegeven waar geautoriseerde medewerkers zich aan dienen te houden. 2. Kader voor het Suwinet beveiligingsplan, Kolom Werk en Inkomen Zowel het Bureau Keteninformatisering Werk en Inkomen (BKWI) als het Coördinatiepunt ICT ondersteunt de invoering bij gemeenten en stellen diverse voorbeelden via hun website beschikbaar. De gehanteerde plannen zijn veelal informatiebeveiligingsplannen die van toepassing zijn op de gehele organisatie. Onderwerpen zijn bijvoorbeeld: - fysieke toegangsbeveiliging gebouwen - fysieke toegangsbeveiliging dossiers - fysieke toegangsbeveiliging tot computerapparatuur - beveiliging van digitaal opgeslagen gegevens - beveiliging van (digitale) communicatiekanalen - back-ups van gegevens - integriteitbeleid gemeente - calamiteitenplan - waarborgen continuïteit (noodstroom e.d.) - periodieke testen en evaluatie van bovengenoemde zaken. Als onderdeel van de implementatie van de Baseline Informatiebeveiliging Nederlandse Gemeenten (BIG) is het informatiebeveiligingsbeleid voor onze gemeente vastgesteld. Hierin zijn voor de gemeente regels vastgesteld voor de beveiliging van gegevens. Het informatiebeveiligingsbeleid vormt het vertrekpunt voor het specifieke beveiligingsplan van de afdeling Sociale Zaken zoals bedoeld in de bijlage XIV van de regeling SUWI. Pagina 3 van 11

4 Om de SUWI keten effectief te laten functioneren moeten partijen er op kunnen vertrouwen dat hun gegevens door de partners in de Suwiketen op een zorgvuldige en controleerbare wijze worden behandeld. Hiervoor werken we met de nieuwe landelijke methode ENSIA. Met deze methode verantwoorden wij ons jaarlijks, via een zelfevaluatie, over de status van onze informatieveiligheid aan het college, de gemeenteraad en inwoners. Maar ook aan landelijke toezichthouders. Voor de medewerkers van de afdeling waar de Participatiewet, IOAW, IOAZ en BBZ wordt uitgevoerd zijn gebruikersnormen voor het gebruik van Suwinet opgesteld. 3.1 Gebruikers van Suwinet-Inkijk De volgende functies zijn geautoriseerd om gebruik te maken van Suwinet-Inkijk: - applicatiebeheerders Suwinet verzorgen autorisaties - consulenten inkomen/participatie mogen raadplegen - medewerkers boete, terugvordering en verhaal mogen raadplegen - administratief medewerkers mogen raadplegen - de security-officer Suwinet vraagt specifieke rapportages op 3.2 Functie raadplegen Hierboven staat wie Suwinet-Inkijk mogen raadplegen. Hier wordt aangegeven wanneer dat mag. Wordt Suwinet om andere redenen gebruikt dan zoals hieronder verwoord, dan is er in principe sprake van ongeoorloofd gebruik. Er is een zodanig onderscheid gemaakt in functie en rol binnen de autorisatiestructuur van Suwinet dat de medewerker de van belang zijnde gegevens kan raadplegen. - Consulenten inkomen/participatie mogen raadplegen bij het behandelen van aanvragen of melding dat belanghebbende een uitkering wil aanvragen, rechtmatigheidsonderzoeken en heronderzoeken voor zover het de Participatiewet, Ioaw, Ioaz, Bbz betreft. - Medewerkers terugvordering/verhaal/boete mogen raadplegen bij onderzoeken die samenhangen met boete, verhaal op onderhoudsplichtigen of vorderingen voor zover het de Participatiewet, Ioaw, Ioaz, Bbz betreft. - Consulenten inkomen en medewerkers terugvordering/verhaal/boete mogen de zwaardere rollen gebruiken in het kader van de poortwachters- en handhavingswerkzaamheden voor zover het de Participatiewet, Ioaw, Ioaz, Bbz betreft. - De administratief medewerkers van het cluster Backoffice van de afdeling Sociale Zaken mogen raadplegen om binnenkomende signalen, rapportages en inkomsten- en wijzigingsformulieren te verwerken. Vanaf juni 2017 werken we voor Suwinet met de whitelist/escapefunctie. Bevragingen via Suwinet van inwoners en bedrijven, waarmee we als gemeente nog geen dienstverleningsrelatie hebben, worden door de whitelist/escapefunctie beter zichtbaar. Pagina 4 van 11

5 Met alle betrokkenen is afgesproken dat het gebruik van de escapefunctie navolgbaar moet zijn in onze vakapplicatie Civision Samenleving. Als dit niet mogelijk is, wordt de raadpleging bijgehouden op het formulier Afwijkende Raadpleging Suwinet (bijlage 3). 3.3 Logging rapportages Het Bureau Keteninformatisering Werk en Inkomen (BKWI) heeft rapportages ontwikkeld over het gebruik van Suwinet-Inkijk en logt iedere bevraging met BSN, datum/tijdstip en onderdeel van Suwinet. Het BKWI is verplicht om gegevens te loggen waarmee het gebruik van Suwinet- Inkijk per medewerker van o.a. de gemeente kan worden nagegaan. Het doel van deze logging is tweeledig: 1.Voorkomen en controleren van onrechtmatige, onregelmatige of doeloverschrijdende verwerking 2. Wetenschappelijke en/of statistische doeleinden De gebruikers van Suwinet-Inkijk weten dat over hen gegevens worden verzameld en vastgelegd. Gekoppeld aan de autorisatie krijgen deze medewerkers door de scurity-officer Suwinet het protocol Suwinet-Inkijk (bijlage 1) uitgereikt en tekenen zij de zorgvuldigheidsverklaring Suwinet (bijlage 2). De getekende zorgvuldigheidsverklaringen Suwinet worden bewaard door de Security-Officer Suwinet. Dit is een belangrijk onderdeel van de privacybescherming. De medewerkers zijn op de hoogte van de volgende informatie: Het bestaan van de logging-gegevens. De (aard van de) gegevens die binnen deze applicatie worden gelogd. 3.4 Doelen van de logging / periodieke controle Vaststelling dat de gelogde gegevens niet voor andere doeleinden worden gebruikt dan waarvoor ze zijn vastgelegd. De wijze en het moment waarop en door wie een onrechtmatig of doeloverschrijdend gebruik van het Suwinet-Inkijk wordt geconstateerd. Dat bij bovenstaande constatering dit door de afdelingsmanager / senior medewerkers wordt gecommuniceerd met de betreffende medewerker(s). 3.5 Verdeling taken / verantwoording De afdelingsmanager Sociale Zaken is eindverantwoordelijk voor het gebruik en de beveiliging van Suwinet Inkijk. Pagina 5 van 11

6 In het kader van de beveiliging wordt het beheer voor het gebruik van Suwinet neergelegd bij de applicatiebeheerders Suwinet van de afdelingen Sociale Zaken. Deze medewerkers zijn verantwoordelijk voor het beheren van accounts. De (logging)-gegevens over het gebruik van Suwinet-Inkijk worden periodiek opgevraagd door de security officer-suwinet. De security-officer houdt periodiek een steekproef of bevragingen Suwinet aan de gemaakte afspraken voldoen. De resultaten van deze steekproef worden ter beschikking gesteld van de afdelingsmanager Sociale Zaken/de senior medewerkers. Ook worden er rapportages opgesteld ten behoeve van de reguliere p&c-cyclus Functiebeschrijving Security Officer Suwinet De functie van Security Officer Suwinet is binnen de gemeente Berg en Dal toebedeeld aan de medewerker kwaliteit van het cluster inkomen van de Afdeling Sociale Zaken. De Security Officer Suwinet: - is het centrale aanspreekpunt op het gebied van Suwinet binnen de gemeente Berg en Dal; - beheert en beheerst beveiligingsprocedures en maatregelen in het kader van Suwinet, zodanig dat de beveiliging van Suwinet overeenkomstig wettelijke eisen is ingevoerd; - bevordert en adviseert op het gebied van (informatie)beveiliging Suwinet; - controleert of en in hoeverre beveiligingsmaatregelen en -procedures worden nageleefd en monitort de uitvoering van het opgestelde beleid; - evalueert de uitkomsten en doet voorstellen voor implementatie en aanpassing van plannen op het gebied van de beveiliging Suwinet; - heeft overleg met het afdelingsmanager Sociale Zaken en de applicatiebeheerders Suwinet over informatiebeveiliging en -beheer Suwinet binnen de afdeling Sociale Zaken; - rapporteert rechtstreeks aan de afdelingsmanager Sociale Zaken / het MT / het College / de Raad; 4.Tien gouden tips bij beveiliging van persoonsgegevens Voor het werken met persoonsgegevens zijn vanuit de overheid een aantal regels opgesteld, die zijn verwoord in verschillende wet- en regelgeving. Als handvat hierbij 10 gedragsregels voor medewerkers van de afdeling Sociale Zaken. 1. Beheren van wachtwoorden De gebruiker moet het door de applicatiebeheerder Suwinet uitgegeven wachtwoord wijzigen zodra de eerste inlog plaatsvindt. Periodiek vervalt dat wachtwoord. De gebruiker beheert dus het wachtwoord. Zodra een medewerker de gemeente verlaat, wordt het account verwijderd door de applicatiebeheerder Suwinet. Wanneer het account niet wordt gebruikt, vervalt het account automatisch. Pagina 6 van 11

7 2. Melden van beveiligingsincidenten Gebruikers melden beveiligingsincidenten bij de applicatiebeheerder Suwinet. De applicatiebeheerder Suwinet schakelt vervolgens de Chief Information Security- Officer (CISO) in om het incident te onderzoeken. Voorbeelden van incidenten zijn: een virusmelding op het systeem of een inbraak of poging tot inbraak. 3. Geheimhoudingsplicht Binnen de afdeling wordt met persoonsgegevens gewerkt. Hiervoor zijn regels opgesteld, die zijn verwoord in de Algemene Verordening Gegevensbescherming (AVG). In de wet SUWI en in de CAO zijn geheimhoudingsbepalingen opgenomen, waarin wordt aangegeven dat persoonsgegevens alleen gebruikt mogen worden voor de uitoefening van de functie. 4. Gedragscode/ Privacyreglement We willen voorkomen dat onbevoegden vertrouwelijke informatie kunnen bezitten, raadplegen of beschadigen. Hiervoor hebben wij in de gedragscode voorschriften opgenomen. Daarnaast is er een privacyreglement. 5. Kennisnemen van het beveiligingsplan Suwinet Het beveiligingsplan Suwinet is op iedereen van toepassing die gebruik maakt van Suwinet- Inkijk. Alle gebruikers zijn op de hoogte. Nieuwe gebruikers worden op de hoogte gebracht door de Security-Officer Suwinet. Gebruikers van Suwinet-Inkijk moeten weten dat over hen gegevens worden vastgelegd en verzameld. Dit is een belangrijk onderdeel van de privacybescherming ten opzichte van deze medewerkers. 6. Gegevensverstrekking aan derden via de telefoon Het uitgangspunt is dat we terughoudendheid zijn om telefonisch informatie over inwoners en bedrijven te verstrekken. Het voeren van telefoongesprekken brengt namelijk de risico s met zich mee dat persoonsgegevens worden verstrekt aan personen die geen recht op deze informatie hebben. In principe wordt er dan ook geen telefonische informatie over inwoners en bedrijven verstrekt aan personen of instanties die beweren namens betrokkene te bellen. In die gevallen kan er een schriftelijk verzoek worden ingediend, voorzien van een machtiging. Bij een verzoek om telefonische informatieverstrekking van een ketenpartner (UWV / GSD / Inlichtingenbureau / SVB) wordt de verzoeker teruggebeld via het algemene nummer van de (vestiging van de) ketenpartner met het verzoek te worden doorverbonden. Dit terugbellen kan achterwege blijven indien afkomstig van een vaste contactpersoon. 7. Clean desk en clear screen policy Vertrouwelijke omgang met persoonsgegevens houdt onder andere in dat elke werkplek zodanig is ingericht, dat onbevoegden niet de beschikking kunnen krijgen over deze informatie. Vertrouwelijke gegevens mogen niet onbeheerd op het bureau achterblijven. Dossiers worden bewaard in een kast die na werktijd wordt gesloten. Bezoekers moeten zich bij binnenkomst in het gemeentehuis eerst melden bij de receptie. De kans is daarom gering dat onbevoegden zonder te worden opgemerkt toegang krijgen tot de werkplek van de medewerkers. Clear screen betekent dat het werkstation moet worden vergrendeld met behulp van schermbeveiliging (met wachtwoord), zodra de medewerker de werkplek verlaat. Pagina 7 van 11

8 8.Vertrouwelijke gegevens in de papierbak De correcte omgang met vertrouwelijke gegevens waaronder persoonsgegevens is erg belangrijk binnen de afdeling. Ook het vernietigen van deze gegevens moet op een veilige manier plaatsvinden. Binnen de gemeente is geregeld hoe vertrouwelijke stukken worden verzameld en vernietigd en iedereen is daarvan op de hoogte. Vertrouwelijke gegevens moeten in de bak komen die bestemd is voor oud papier. De verzamelde vertrouwelijke gegevens worden regelmatig aangeleverd bij het vernietigingsbedrijf. 9. Aanspreken van onbekende personen Als je een onbekende persoon in de gang tegenkomt waar officieel geen publiek zonder begeleiding mag komen, spreek je deze persoon aan. Je vraagt deze persoon zichzelf voor te stellen en vraagt wat hij/zij hier doet. Personen die niet bevoegd zijn, wordt beleefd maar duidelijk begeleid naar het publieke gedeelte van het gebouw. 10. De dagelijkse omgang met persoonsgegevens Informatiebeveiliging is ontzettend belangrijk voor het werk binnen een afdeling waar veel met privacygevoelige informatie wordt gewerkt. Het hoort bij de professionele en bekwame uitvoering van het werk. Ook inwoners vertrouwen op een zorgvuldige wijze van verwerken van hun gegevens. Reden waarom in het werkoverleg geregeld aandacht aam dit onderwerp wordt gegeven. Pagina 8 van 11

9 Bijlage 1 protocol PROTOCOL inzake het gebruik van gegevens van Suwinet-Inkijk Ter ondersteuning van de uitvoering van de werkzaamheden binnen de kolom werk en inkomen is de gemeente aangesloten op Suwinet-Inkijk. Hiermee is het mogelijk om gegevens uit te wisselen met Belastingdienst, IBG, UWV, Werkbedrijf, RDW en gemeenten. In de toekomst zullen nog andere bronnen worden toegevoegd. Op de gegevens van Suwinet-Inkijk zijn de bepalingen van de Algemene Verordening Gegevensbescherming (AVG) van toepassing. In verband hiermee zijn aan het gebruik van Suwinet- Inkijk regels verbonden. Voor de gemeente luiden die regels als volgt: De afdelingsmanager Sociale Zaken wijst medewerkers applicatiebeheer Suwinet aan als beheerder voor het gebruik van Suwinet-Inkijk. Zo ook medewerkers die worden geautoriseerd om gegevens uit dit systeem te raadplegen. De geautoriseerde raadplegers gebruiken gegevens uit Suwinet-Inkijk voor de behandeling van uitkeringszaken. De raadpleging van een bsn buiten de whitelist is navolgbaar in de vakapplicatie Civison Samenleving of op het formulier verantwoording afwijkende raadpleging Suwinet om dit, indien nodig, achteraf te kunnen verantwoorden (bijlage 3). De geautoriseerde medewerker heeft toegang tot Suwinet-Inkijk door middel van een toegangscode. Deze is strikt persoonlijk. Controle op gebruik van de gegevens van Suwinet-Inkijk die verenigbaar is met de doeleinden waarvoor zij worden verstrekt, vindt plaats met behulp van een audit-logginsysteem. Doel: verantwoording bij controle. De gemeentesecretaris benoemt de security-officer. De security-officer controleert periodiek het gebruik van de gegevens van het Suwinet-Inkijk en rapporteert bevindingen aan de afdelingsmanager Sociale Zaken / senior medewerkers / regulier P&C-cyclus van de gemeente. Als er sprake lijkt van onjuist gebruik van de gegevens van Suwinet-Inkijk hoort de afdelingsmanager Sociale Zaken de betreffende medewerker en neemt zo nodig maatregelen. Pagina 9 van 11

10 Bijlage 2 verklaring VERKLARING ZORGVULDIG GEBRUIK SUWINET Door aansluiting op Suwinet is het mogelijk om gegevens uit te wisselen met o.a. de Belastingdienst, de Informatiebeheergroep, het Uitvoeringsorgaan Werknemersverzekeringen, het Werkbedrijf, de RDW en gemeenten (zijnde de bronnen). Als gevolg daarvan zijn genoemde instanties te beschouwen als verantwoordelijke in de zin van de Algemene Verordening Gegevensbescherming (AVG) en daarom allemaal gebonden aan de bepalingen in deze wet. In de toekomst zal het aantal bronnen uitgebreid worden. Deze verklaring geldt ook voor bronnen die in de toekomst aangesloten gaan worden. De gemeente is op grond van voornoemde bepalingen gehouden om interne maatregelen te nemen ter voorkoming van een (mogelijk) onrechtmatig, onregelmatig of doeloverschrijdend gebruik van de beschikbare (persoons-) gegevens. Dit betekent dat de afdelingsmanager Sociale Zaken de verplichting heeft om regelmatig (met behulp van zogeheten auditlogginggegevens) te laten controleren of het gebruik van de gegevens uit Suwinet niet onwettig geschiedt of verder gaat dan is toegestaan. Ondergetekende: Cluster:.. verklaart: het raadplegen van de gegevens in Suwinet te beperken tot de gegevens van inwoners die bij haar of hem in behandeling zijn voor zover het de Participatiewet, Ioaw, Ioaz, Bbz betreft ; deze gegevens enkel aan te wenden voor het behandelen van de desbetreffende uitkeringsaangelegenheid voor zover het de Participatiewet, Ioaw, Ioaz, Bbz betreft ; er voor te zorgen dat het gebruik van de escapefunctie navolgbaar is in de vakapplicatie Civision Samenleving. Als dit niet mogelijk is, de raadpleging bij te houden op het formulier Afwijkende Raadpleging Suwinet. op de hoogte te zijn van de controle die de security-officer regelmatig dient in te stellen; kennis genomen te hebben van de informatie: Veilig telewerken. Hoe doe je dat? (zie: Intranet / projecten / informatiebeveiliging); op de hoogte te zijn dat er onderzoek plaats zal vinden / maatregelen genomen zullen worden als er sprake lijkt van onjuist gebruik van de gegevens van Suwinet-Inkijk. Datum:. Handtekening:... Pagina 10 van 11

11 Bijlage 3 Verantwoording afwijkende Suwinet raadplegingen NAAM MEDEWERKER: AFDELING EN CLUSTER: BSN NAW DATUM REDEN RAADPLEGING Pagina 11 van 11