BASELINETOETS. Een van de producten van de operationele variant van de Baseline Informatiebeveiliging Nederlandse Gemeenten (BIG)

Transcriptie

1 BASELINETOETS Een van de producten van de operationele variant van de Baseline Informatiebeveiliging Nederlandse Gemeenten (BIG)

2 Colofon Naam document BIG Versienummer 1.0 Versiedatum Juni 2014 Versiebeheer Het beheer van dit document berust bij de Informatiebeveiligingsdienst voor gemeenten (IBD). Copyright 2014 Kwaliteitsinstituut Nederlandse Gemeenten (KING). Alle rechten voorbehouden. Verveelvoudiging, verspreiding en gebruik van deze uitgave voor het doel zoals vermeld in deze uitgave is met bronvermelding toegestaan voor alle gemeenten en overheidsorganisaties. Voor commerciële organisaties wordt hierbij toestemming verleend om dit document te bekijken, af te drukken, te verspreiden en te gebruiken onder de hiernavolgende voorwaarden: 1. KING wordt als bron vermeld; 2. het document en de inhoud mogen commercieel niet geëxploiteerd worden; 3. publicaties of informatie waarvan de intellectuele eigendomsrechten niet bij de verstrekker berusten, blijven onderworpen aan de beperkingen opgelegd door KING; 4. ieder kopie van dit document, of een gedeelte daarvan, dient te zijn voorzien van de in deze paragraaf vermelde mededeling. Rechten en vrijwaring KING is zich bewust van haar verantwoordelijkheid een zo betrouwbaar mogelijke uitgave te verzorgen. Niettemin kan KING geen aansprakelijkheid aanvaarden voor eventueel in deze uitgave voorkomende onjuistheden, onvolledigheden of nalatigheden. KING aanvaardt ook geen aansprakelijkheid voor enig gebruik van voorliggende uitgave of schade ontstaan door de inhoud van de uitgave of door de toepassing ervan. Met dank aan De expertgroep en de reviewgemeenten die hebben bijgedragen aan het vervaardigen van dit product en de gemeente Amsterdam voor het aanleveren van hun aanpak. In samenwerking met De producten van de operationele variant van de Baseline Informatiebeveiliging Nederlandse Gemeenten (BIG) worden vervaardigd in samenwerking met: 2

3 Voorwoord De IBD is een gezamenlijk initiatief van de Vereniging van Nederlandse Gemeenten (VNG) en het Kwaliteitsinstituut Nederlandse Gemeenten (KING) en actief sinds 1 januari Aanleiding voor de oprichting van de IBD vormen enerzijds de leerpunten uit een aantal grote incidenten op informatiebeveiligingsvlak en anderzijds de visie Digitale Overheid De IBD is er voor alle gemeenten en richt zich op bewustwording en concrete ondersteuning om gemeenten te helpen hun informatiebeveiliging naar een hoger plan te tillen. De IBD heeft drie doelen: 1. het preventief en structureel ondersteunen van gemeenten bij het opbouwen en onderhouden van bewustzijn als het gaat om informatiebeveiliging. 2. het leveren van integrale coördinatie en concrete ondersteuning op gemeente specifieke aspecten in geval van incidenten en crisissituaties op het vlak van informatiebeveiliging. 3. het bieden van gerichte projectmatige ondersteuning op deelgebieden om informatiebeveiliging in de praktijk van alle dag naar een hoger plan te tillen. De ondersteuning die de IBD biedt bij het ICT-Beveiligingsassessment DigiD is een voorbeeld van een dergelijk project. Hoe realiseert de IBD haar doelen? Om invulling te kunnen geven aan haar doelen is door de IBD op basis van de Baseline Informatiebeveiliging Rijksdienst (BIR) een vertaalslag gemaakt naar een baseline voor de gemeentelijke markt. Deze Baseline Informatiebeveiliging Nederlandse Gemeenten (BIG) betreft twee varianten, een Strategische- én een Tactische Baseline. Beide varianten van de BIG zijn beschikbaar voor alle gemeenten op de community van de IBD, zodat door iedere gemeente tot invoering van de BIG kan worden overgegaan. Bestuur en management hebben met deze baseline een instrument in handen waarmee zij in staat zijn om te meten of de organisatie in control is op het gebied van informatiebeveiliging. Om de invoering van de Strategische- en Tactische Baseline te ondersteunen, zijn door de IBD in samenwerking met de Taskforce Bestuur en Informatieveiligheid Dienstverlening producten ontwikkeld op operationeel niveau. Dit heeft een productenportfolio opgeleverd, genaamd de Operationele Baseline Nederlandse Gemeenten. Onderhavig product is onderdeel van het productenportfolio. Naast een productenportfolio, heeft de IBD voor gemeenten ook een dienstenportfolio ontwikkeld. Voor een volledig overzicht van het producten- en dienstenportfolio, kunt u terecht op de website van de IBD. De gemeente is zelf verantwoordelijk voor het opstellen en/of uitvoeren en/of handhaven van de regels. Hierbij geldt: - Er is wetgeving waar altijd aan voldaan moet worden, zoals niet uitputtend: GBA, SUWI, BAG, PUN en WBP, maar ook de archiefwet. - Er is een gemeenschappelijk normenkader als basis: de Baseline Informatiebeveiliging Nederlandse Gemeenten (BIG). - De gemeente stelt dit normenkader vast, waarbij er ruimte is in de naleving van dat kader voor afweging en prioritering op basis van het pas toe of leg uit principe. 3

4 Leeswijzer Dit product maakt onderdeel uit van de operationele variant van de Baseline Informatiebeveiliging Nederlandse Gemeenten (BIG). Doel Het doel van dit document is het leveren van een aanpak die gebruikt kan worden om voor nieuwe processen en systemen een methode te hebben om te bepalen of de BIG afdoende is of niet. Tevens kan deze aanpak ook gebruikt worden om bij een bestaand proces en onderliggend informatiesysteem vast te stellen of de BIG-maatregelen voldoende zijn om het systeem/proces te beveiligen. Doelgroep Dit document is van belang voor het management van de gemeente, de systeemeigenaren, proceseigenaren, applicatiebeheerders en de ICT-afdeling/organisatie. Relatie met overige producten Baseline Informatiebeveiliging Nederlandse Gemeenten (BIG) o Strategische variant van de Baseline Informatiebeveiliging voor Gemeenten o Tactische variant van de Baseline Informatiebeveiliging voor Gemeenten Informatiebeveiligingsbeleid van de gemeente Privacy Impact assesment (PIA) gemeenten Maatregelen tactische variant Baseline Informatiebeveiliging Nederlandse Gemeenten (BIG) Er zijn richtlijnen met betrekking tot het bepalen van de risico's die het gebruik van gemeentelijk informatie in kantoorapplicaties met zich meebrengen en richtlijnen voor de bepaling van de beveiliging van deze informatie binnen deze kantoorapplicaties. Hierin is minimaal aandacht besteed aan de toegang tot de interne informatievoorziening, toegankelijkheid van agenda's, afscherming van documenten, privacy, beschikbaarheid, back-up en in voorkomend geval Cloud-diensten De bescherming van gegevens en privacy behoort te worden bewerkstelligd in overeenstemming met relevante wetgeving, voorschriften en indien van toepassing contractuele bepalingen. 4

5 1 De baselinetoets Informatie wordt steeds vaker beschouwd als een van de kritieke ingrediënten voor succesvolle bedrijfsvoering. Het ontberen van informatie, verminking of uitlekken van informatie aan onbevoegden, kan ernstige negatieve effecten hebben op bijna alle bedrijfsprocessen. Het resultaat van deze baselinetoets is bedoeld voor lijn- en procesmanagers die resultaatverantwoordelijkheid dragen. Deze managers hebben belang bij de juiste kwaliteit c.q. betrouwbaarheid van het proces, het informatiesysteem en de bijbehorende informatie. Daarbij hebben ze ook belang bij zo min mogelijk verstoring van het proces en zoveel mogelijk zekerheid omtrent het verloop van het proces en de kwaliteit van de informatievoorziening. De baselinetoets bestaat uit een aantal korte vragenlijsten en een methode om het belang van processen te bepalen. De proceseigenaar is verantwoordelijk voor de uitvoering van de baselinetoets. Bij het invullen kan de functionaris gegevensbescherming/ privacy-coördinator en/of de CISO van de gemeente of dienst worden ingeschakeld. Als de gemeente deze functionarissen niet heeft, dient een informatiemanager te worden betrokken. De baselinetoets maakt onverkort deel uit van de producten die tijdens de verkenningsfase van een project moeten worden opgeleverd en dient te allen tijde in kopie te worden verzonden aan de CISO van de gemeente 1. Door het College bescherming persoonsgegevens (CBP) kan worden getoetst of deze baselinetoets is uitgevoerd. Samenhang baselinetoets en diepgaande risicoanalyse Deze baselinetoets heeft een samenhang met de diepgaande risicoanalyse, beide zijn aanvullend aan elkaar. De betrouwbaarheidseisen uit de baselinetoets zijn bepalend aan of er een diepgaande risicoanalyse uitgevoerd moet worden. Als eerste stap, om te toetsen of een proces en onderliggend informatiesysteem voldoende beveiligd wordt door de maatregelen uit de BIG, dient deze baselinetoets uitgevoerd te worden. Baseline toets Vaststellen afhankelijkheid processen van informatiesystemen Betrouwbaarheids- eisen Resultaat hoog Diepgaande risicoanalyse Vaststellen dreigingen, kwetsbaarheden en maatregelen Maatregelen Resultaat laag BIG voldoende 1 Of vergelijkbare functionaris als er nog geen CISO is binnen de gemeente. 5

6 De resultaten van deze baselinetoets kunnen ook weer gebruikt worden bij de diepgaande risicoanalyse. De antwoorden op de vragen worden gewaardeerd met een cijfer. Op basis van het totaal van de antwoorden wordt duidelijk of de standaard beveiliging (BIG) voldoende is, of dat er een aanvullend onderzoek (diepgaande risicoanalyse) of een PIA (Privacy Impact Assessment) nodig is. Gebruik van de baselinetoets Deze baselinetoets kan op twee manieren worden gebruikt: 1. Om te bepalen of een proces, informatiesysteem en/of informatie binnen de BIG valt, of meer maatregelen nodig heeft, nadat de GAP-analyse en impactanalyse ten opzichte van de BIG gemeentebreed is uitgevoerd. De uitkomsten kunnen dan worden gebruikt om te bepalen of er meer maatregelen nodig zijn voor een proces en onderliggende informatiesystemen. Deze maatregelen kunnen worden verkregen uit een voorgedefineerde lijst met maatregelen bovenop de baseline, of door een diepgaande risicoanalyse. 2. Om in de fase voor het starten van een project of voor een nieuw informatiesysteem, deze baselinetoets op te laten stellen door de proces verantwoordelijke. De vragenlijst vormt dan input voor de te nemen additionele beveiligingsmaatregelen, welke in de definitiefase van het project nader worden uitgewerkt. Bijvoorbeeld door middel van een diepgaande risicoanalyse. Het resultaat van de baselinetoets kan duiden op een zwaartepunt in het te beschermen belang, er is bijvoorbeeld een hogere score voor Beschikbaarheid, maar niet op Intergriteit en Vertrouwelijkheid. In de daarna uit te voeren risicoanalyse dient dan de nadruk te liggen op Beschikbaarheid. 6

7 Informatiebeveiliging en Privacy in IV-Projecten Verkenning Definitie Informatiebeveiliging en Privacy B 8 I 14 V 14 B > 8 I > 14 V > 14 P > 3 Diepgaande Risicoanalyse en/of Privacy Impactnalyse Realisatiefase Maatregelen Baseline Maatregelen Baseline + Ontwerpen Functioneel Ontwerp Technisch Ontwerp Beheer en Governance Ontwerp Inkoop Programma van Eisen Contracten Leveranciers Convenant gebruikers SLA DAP Privacy Functionaris gegevensbescherming Transparantiedocument Bewerkersovereenkomst Projectaudits Testen Testplan Pentest Functioneel Technisch Werkinstructies Gebruikers Functioneel beheer Technisch/applicatie beheer (*) Als de BIV (Beschikbaarheid, Integriteit en Vertrouwelijkheid) -waarden worden overschreden dient een diepgaande risicoanalyse uitgevoerd te worden. Bovenstaande plaat geeft de samenhang weer als de PIA in een project wordt toegepast. In de verkenningsfase wordt de baselinetoets uitgevoerd. Het resultaat van de baselinetoets geeft uitslag over het feit of de BIG voldoende maatregelen bevat of niet. In het laatste geval moet een diepgaande risicoanalyse uitgevoerd worden. De maatregelen uit de diepgaande risicoanalyse dienen te worden toegevoegd aan de BIG maatregelen voor zover deze nog niet in de BIG staan. Ook zegt de baselinetoets of er in de verkenningsfase van een project een PIA uitgevoerd moet worden. Als er veel onduidelijk is in de verkenningsfase kan de baselinetoets herhaald worden in de definitiefase. Als het proces en de informatievoorziening grote wijzigingen ondergaan in de productfase dient opnieuw een baselinetoets te worden uitgevoerd. Uitgevoerde baselinetoetsen, diepgaande risicoanalyses en/of PIA s maken onderdeel uit van het systeem dossier en moeten worden bewaard zo lang als het informatiesysteem in gebruik is. 7

8 1.1 Belang proces Het bepalen van het belang van het proces (en de ondersteunende systemen) gebeurt, door na te gaan hoe groot de schade is die kan ontstaan als het betreffende betrouwbaarheidsaspect (Beschikbaarheid, Integriteit of Vertrouwelijkheid) niet in orde is. Het toekennen van waarden (per betrouwbaarheidsaspect) is specifiek voor de dienst en/of het betreffende verantwoordelijkheidsgebied. Invalshoeken om tot een waardebepaling te komen zijn bijvoorbeeld: Persoonlijke veiligheid Bijvoorbeeld: Wordt de veiligheid van personen bedreigd als gegevens niet beschikbaar zijn, een systeem uitvalt, of als er verkeerde informatie wordt verstrekt? Zo ja, hoe ernstig zijn de gevolgen? Persoonsgegevens Bijvoorbeeld: Wordt de persoonlijke levenssfeer van een persoon of een groep personen aangetast, of wordt er inbreuk gemaakt op een wet- of regelgeving als gegevens over personen in handen vallen van ongeautoriseerde personen? Zijn die gegevens versleuteld of niet? Hoe ernstig is de mate van ongemak voor een persoon of een groep personen? Wordt er gebruik gemaakt van bijzondere persoonsgegevens? Wettelijke en reglementaire verplichtingen Bijvoorbeeld: Kan er strafrechtelijk vervolgd worden of worden er civiele procedures aangespannen resulterend in, het moeten betalen van boetes of schadevergoedingen als niet voldaan wordt aan wettelijke of reglementaire verplichtingen, doordat informatie of een systeem niet beschikbaar is? Hoe hoog zijn de boetes of schadevergoedingen? Rechtshandhaving Bijvoorbeeld: Worden overtredingen of misdaden makkelijker als er een systeem uitvalt of als er door een systeem onjuiste of verouderde informatie wordt verstrekt? Hoe ernstig zijn deze consequenties? Economische belangen Bijvoorbeeld: Worden commerciële of economische belangen van de dienst, de gemeente of van derden geschaad als vertrouwelijke informatie bij ongeautoriseerde personen terecht komt? Hoe groot is de schade die kan ontstaan? 8

9 Financieel verlies/verstoring van activiteiten Bijvoorbeeld: Lijdt de organisatie directe of indirecte financiële schade als informatie niet beschikbaar is, of als er een systeem uitvalt? Hoe groot bedraagt de schade? Openbare orde Bijvoorbeeld: Veroorzaakt het niet goed functioneren van een systeem protesten, demonstraties of acties? Gaat het om groepen burgers of enkele? Blijft dit beperkt tot lokaal protest, of komt de openbare orde door demonstraties in gevaar? Beleid en werking van de openbare dienstverlening Bijvoorbeeld: Wordt de openbare dienstverlening belemmerd als een systeem uitvalt? Hoe ernstig is dit? Bijvoorbeeld, de publieksbalies kunnen niet werken door systeemuitval of de gemeentewerf kan niet openen door systeemstoringen. Kan dit weer leiden tot verstoring van de openbare orde? Imagoschade Bijvoorbeeld: Kan het uitvallen van systemen of in de openbaarheid komen van informatie, leiden tot negatieve publiciteit waardoor de betrekkingen met het publiek of andere organisaties schade lijden? Hoe ernstig is dit voor de organisatie? Politieke schade Alle voorgaande invalshoeken kunnen uiteindelijk tot gevolg hebben dat raadsvragen gesteld worden met als resultaat het opstappen van wethouders. Dit kan door een hoge boete, bijvoorbeeld voor het lekken van persoonsinformatie. 9

10 Logo Informatiebeveiliging en Privacy <Sjabloon> <projectnaam> Datum: Projectnummer: Projectleider: Opdrachtgever: Versie: Opsteller: Functie: Validatie door:: Functie:

11 Versiebeheer Versies Versie Datum Auteur Samenvatting van de wijzigingen X Goedkeuring Versie Datum Naam Business owner / proceseigenaar I&A-manager ICT-manager <zelf invullen, aanvullen> Ter informatie aan Versie Datum Naam <Projectbureau> CISO Voor opmerkingen met betrekking tot deze baselinetoets kunt u zich wenden tot de CISO van de gemeente <gemeente> 11

12 Inhoudsopgave 1 De baselinetoets Belang proces 8 2 Management samenvatting 13 3 Inleiding Project 14 4 Vragenlijst proces 15 5 Vragenlijst Beschikbaarheid, Integriteit en Vertrouwelijkheid (BIV) Vragenlijst Beschikbaarheid Vragenlijst Integriteit Vragenlijst Vertrouwelijkheid 21 6 Vragenlijst persoonsgegevens 23 7 Analyse en advies Analyse BIV Analyse Persoonsgegevens Advies 27 12

13 2 Management samenvatting <in te vullen na analyse met een korte samenvatting van beschikbaarheidseisen, integriteitseisen en vertrouwelijksheidseisen en advies> Inhoudsopgave 13

14 3 Inleiding <In te vullen door de invuller, waarom wordt deze baselinetoets uitgevoerd, door wie, wie is benaderd et cetera>. 3.1 Project <Korte samenvatting van het project; verwijzen naar een Programma Start Architectuur (PSA) en/of projectvoorstel, niet langer dan 1A4.> 14

15 4 Vragenlijst proces Naam en functie geïnterviewde <interview met business eigenaar> Groepssessie (meerdere namen benoemen en hun rol) Naam en functie proces Om welk proces gaat het, wat is het doel? Geef een bondige beschrijving van het proces/processen en benoem de proceseigenaar. <alle hoofdprocessen benoemen> <let op: bij meerdere proceseigenaren, alle betrokken proceseigenaren interviewen> <let op: Geef ook aan of het proces of de subprocessen 24/7 dienstverlening betreft of dat er in bepaalde perioden hoge beschikbaarheid nodig is(jaar, maand etcetera)> Maakt het proces/de processen deel uit van een keten/meerdere ketens? Zo ja beschrijf de keten/ketens Welke eventuele subprocessen zijn te onderscheiden? Welke hoofdactiviteiten worden binnen het proces uitgevoerd en wie doen dat? Beschrijf welke afnemers het proces heeft. Welke producten nemen zij af en welke kwaliteitseisen stellen zij aan deze producten? Beschrijf welke leveranciers het proces heeft. Welke producten leveren zij aan en welke eisen stellen zij aan de verwerking in het te onderzoeken proces? 15

16 Welke wet- en regelgeving is van toepassing op dit proces en welke specifieke eisen komen hieruit naar voren? Op dit informatiesysteem is de onderstaande wet- en regelgeving op het gebied van Informatiebeveiliging en Privacy van toepassing2: <Wet Bescherming Persoonsgegevens (WBP) Wet Basisregistratie Personen (BRP) Archiefwet SUWIwet Et cetera (aanvullen)> Door welke informatievoorziening wordt het proces ondersteund? <alleen invullen indien bekend> (beoogd) Eigenaar informatiesysteem <let op: eigenaar moet in deze fase bekend zijn, of benoemd worden> 2 Aangeven welke wet- en regelgeving van toepassing is. 16

17 5 Vragenlijst Beschikbaarheid, Integriteit en Vertrouwelijkheid (BIV). 5.1 Vragenlijst Beschikbaarheid Gevolgen van het niet beschikbaar hebben van de benodigde informatie of gegevens. (in het ergste geval) Waardering Argumentatie (verplicht invullen) B1 Managementbeslissingen: Hoe lang duurt het, voordat het nemen van beslissingen nadelig beïnvloedt wordt door het ontbreken van informatie? B2 Imagoverlies Hoe lang duurt het voordat er sprake is van imagoverlies wanneer informatie niet voorhanden is? B3 Hapering dienstverlening Hoe lang kan de applicatie of informatie niet beschikbaar zijn voordat er daadwerkelijk hapering in de dienstverlening aan burgers/bedrijven/ketenpartners ontstaat? B4 Wettelijke aansprakelijkheid: Hoe lang kan de applicatie of informatie niet beschikbaar zijn voordat er wettelijke of contractuele verplichtingen niet kunnen worden nagekomen? B5 Additionele kosten: Na welke periode zijn additionele kosten voor de organisatie te verwachten, bij het niet beschikbaar zijn van de applicatie of informatie? B6 Moreel van de medewerkers: Na welke periode is er sprake van een duidelijk negatieve invloed op het moreel en de motivatie van medewerkers, wanneer de informatievoorziening hapert? B7 Herstel: Hoe lang duurt het om te herstellen na een langdurige onbeschikbaarheid van een applicatie of informatie? uu da wee mnd r g k

18 Subtotalen B1-B7 Totaal Beschikbaarheid: 3 = zeer ernstige schade: de dienstverlening aan de burger/bedrijven/ketenpartners komt in gevaar, raadsvragen, reactie wethouder vereist, berichten in de krant, professionaliteit van het concern, de gemeentelijke dienst ter discussie. 2 = ernstige schade: krantenkoppen, vragen van belangrijke partners/klanten, budgettaire problemen. 1 = acceptabele schade, binnen marges: incident met direct betrokkenen is snel recht te zetten. 0 = verwaarloosbare schade of niet van toepassing. 18

19 5.2 Vragenlijst Integriteit Gevolgen van fouten in informatie of doelbewuste manipulatie van informatie om te frauderen of fraude te maskeren (in het ergste geval) I1 Managementbeslissingen: Kan onjuiste informatie leiden tot onjuiste beslissingen? Wat zijn de gevolgen? I2 Fraude potentie: Zijn er frauderisico s, en welke gevolgen hebben deze? I3 Onderbreking van strategische processen: In hoeverre kunnen de kernprocessen van de organisatie onderbroken worden als gevolg van ongeautoriseerde wijzigingen van, of fouten in informatie? I4 Vertrouwen van het publiek c.q. klanten: Kan het vertrouwen van het publiek geschaad worden door onjuiste informatie? I5 Wettelijke aansprakelijkheid: Wat kunnen de gevolgen zijn van het niet voldoen aan wettelijke of contractuele verplichtingen die veroorzaakt worden door onjuiste informatie? I6 Additionele kosten: In hoeverre kunnen er additionele kosten ontstaan door het toepassen van onjuiste informatie? Bijvoorbeeld door het moeten herstellen van een corrupte database of opnieuw invoeren van gegevens. I7 Moreel van de medewerkers: Wat zijn de schadelijke effecten op het moreel van medewerkers als u onjuiste informatie gebruikt? Subtotalen I1-I7 Waardering Argumentatie (verplicht invullen) Totaal Integriteit: 19

20 3 = zeer ernstige schade: raadsvragen, reactie wethouder vereist, belangrijke partners/klanten stellen professionaliteit van het concern of de gemeentelijke dienst ter discussie. 2 = ernstige schade: krantenkoppen, vragen van belangrijke partners/klanten, burgers budgettaire problemen. 1 = acceptabele schade, binnen marges: incident met direct betrokkenen is snel recht te zetten. 0 = verwaarloosbare schade of niet van toepassing. 20

21 5.3 Vragenlijst Vertrouwelijkheid Gevolgen van onbedoelde of ongeautoriseerde verspreiding van gegevens of informatie (in het ergste geval) V1 Vertrouwen van de burger: Wat zijn de gevolgen voor de gemeente indien de binnen het proces beschikbare informatie te vroeg c.q. niet volgens de regels verspreid wordt? V2 Vertrouwen van het publiek: Wat zijn de gevolgen voor het publieke imago van de gemeente als vertrouwelijke informatie van de organisatie onterecht wordt verspreid? V3 Vertrouwen van ketenpartners: Kan de gemeente toegang tot de keten geweigerd worden? V4 Vertrouwen van ketenpartners: Wat zijn de gevolgen voor de relatie met de ketenpartners, als vertrouwelijke informatie onterecht wordt verspreid. V5 (Wettelijke) Aansprakelijkheid: Wat zijn de gevolgen voor (wettelijke) aansprakelijkheid bij het onterecht verspreiden van deze informatie? V6 Additionele kosten: In hoeverre is er sprake van additionele kosten door onterechte verspreiding van deze informatie? V7 Moreel van de medewerkers: In hoeverre kan een duidelijk negatieve invloed op het moreel en de motivatie van medewerkers een gevolg zijn van de onterechte verspreiding van informatie? Subtotalen V1-V7 Waardering Argumentatie (verplicht invullen) Totaal Vertrouwelijkheid: 21

22 3 = zeer ernstige schade: raadsvragen, reactie wethouder vereist, belangrijke partners / klanten stellen professionaliteit van de gemeentelijke dienst ter discussie. 2 = ernstige schade: krantenkoppen, vragen van belangrijke partners /politiek/burgers afnemers. 1 = acceptabele schade, binnen marges: incident met direct betrokkenen is snel recht te zetten. 0 = verwaarloosbare schade of niet van toepassing. 22

23 6 Vragenlijst persoonsgegevens Persoonlijke gevolgen van onbedoelde of ongeautoriseerde verspreiding van persoonsgegevens van betrokkene(n) (in het ernstigste geval) Waardering Argumentatie P1 Veiligheid: Is de veiligheid van personen in het geding indien persoons gegevens uitlekken of onterecht worden verwerkt? P2 Chantage: Kan de betrokkene eventueel gechanteerd worden bij het uitlekken van persoonsgegevens? P3 Identiteits- en financiële fraude: Bestaat de mogelijkheid dat door het uitlekken van persoonsgegevens identiteits- of financiële fraude kan plaatsvinden? P4 Fysieke en geestelijke schade: Kan de betrokkene schade oplopen indien gegevens over de persoon openbaar worden of onterecht worden verwerkt? P5 Vertrouwen van de burger: Wat zijn de gevolgen voor het publieke imago van de gemeente als vertrouwelijke informatie over personen onterecht wordt verspreid/verwerkt? P6 (Wettelijke) Aansprakelijkheid: Wat zijn de gevolgen voor (wettelijke) aansprakelijkheid bij het onterecht verspreiden/verwerken van deze persoonlijke informatie? P7 Additionele kosten: In hoeverre is er sprake van additionele kosten door onterechte verspreiding/verwerking van deze persoonlijke informatie? P8 Moreel van de medewerkers: In hoeverre kan een duidelijk negatieve invloed op het moreel en de motivatie van medewerkers een gevolg zijn van de onterechte verspreiding/verwerking van informatie? Subtotalen P1-P8 Subtotaal Persoonsgegevens (P1-P9): 23

24 3 = zeer ernstige schade voor de persoon en de gemeentelijke organisatie: raadsvragen, reactie wethouder vereist, belangrijke partners/burgers en derden stellen professionaliteit van de gemeentelijke dienst ter discussie (let op, indien meldplicht datalekken wordt ingevoerd is door de hoogte van de boete ook een 3 mogelijk). 2 = ernstige schade voor de persoon, de gemeentelijke dienst: krantenkoppen, vragen van partners/burgers, boete CBP. 1 = acceptabele schade, binnen marges: incident met direct betrokkenen snel recht te zetten. 0 = verwaarloosbare schade of niet van toepassing. Algemene vragen m.b.t. doeleinden en doelbinding van de verwerking van persoonsgegevens Ja Nee Argumentatie P9 Hebt u het/de specifieke (doel)en waarvoor u de persoonsgegevens gaat verwerken in detail vastgelegd? P10 Worden bestaande persoonsgegevens voor nieuwe doeleinden verwerkt in een bestaand of nieuw systeem? 0 3 Omschrijf het doel 3 0 P11 Gaat het bij het project/systeem om het nastreven van nieuwe aanvullende doeleinden door bestaande persoonsgegevens, of verzamelingen daarvan, te gebruiken, vergelijken, delen koppelen of anderszins verder te verwerken? P12 Indien u op P11 ja hebt geantwoord: Hebben alle personen/instanties/systemen die betrokken zijn bij de verwerking dezelfde doelstelling met de verwerking van de desbetreffende persoonsgegevens of is daarmee spanning mogelijk gelet op hun taak of hun belang? P13 Indien u op P11 ja hebt geantwoord: Gelden dezelfde doelen voor het gehele proces? P14 Worden de verzamelde/verwerkte persoonsgegevens gebruikt om het gedrag / de aanwezigheid of de prestaties van mensen in kaart te brengen en/of te beoordelen en/of te voorspellen?

25 P15 Indien u op P14 ja hebt geantwoord: 0 3 Zijn de betrokkenen daarvan op de hoogte? P16 Indien u op P14 ja hebt geantwoord: 3 0 Zijn de gegevens die hiervoor worden gebruikt, afkomstig uit verschillende (eventueel externe) bronnen en zijn zij oorspronkelijk voor andere doelen verzameld? Subtotalen P9-P16 Subtotaal Persoonsgegevens (P9-P16): 25

26 7 Analyse en advies 7.1 Analyse BIV Beschikbaarheid (B1-B7) Vertrouwelijkheid (V1-V7) Integriteit (I1-I7) TOTAAL SCORE: score <vul de eindscore van de lijst in> <vul de eindscore van de lijst in> <vul de eindscore van de lijst in> Aantal score boven de baseline norm Focus Risico analyse # Hoger dan 1 Hoger dan 8 focus op Beschikbaarheid # Hoger dan 2 Hoger dan 14 focus op Integriteit # Hoger dan 2 Hoger dan 14 focus op Vertrouwelijkheid De totale score geeft een globale indicatie voor de beveiligingsbehoefte van het betreffende proces. Bij Beschikbaarheid aangeven of- en hoe vaak er hoger is gescoord dan een één (2 of hoger). Bij Integriteit aangeven of- en hoe vaak er hoger is gescoord dan een twee (dat is een 3) Bij Vertrouwelijkheid aangeven of en hoe vaak er hoger is gescoord dan een twee (dat is een 3) Het niveau van de Baseline Informatiebeveiliging Nederlandse Gemeenten bevindt zich op de volgende (BIV)-waarden 3 : - Beschikbaarheid: Belangrijk (waarde = 1 in de gehanteerde Beschikbaarheidsschaal). - Integriteit: Hoog (waarde = 2 in de gehanteerde Integriteitsschaal) - Vertrouwelijkheid: Vertrouwelijk (waarde =2 in de gehanteerde Vertrouwelijksheidsschaal) Vertaald naar de baselinetoets betekenen de uitkomsten van deze baselinetoets het volgende: Beschikbaarheid Integriteit Vertrouwelijkheid Norm 8 of minder = baseline 14 of minder = baseline 14 of minder = baseline Let op: Als er één of meerdere keren een twee (2) is gescoord bij Beschikbaarheid (B) en een drie (3) gescoord is bij de Integriteit (I) en Vertrouwelijkheid (V)- + Persoonsgegevens (P)-rating, dan betekent dat, dater een verhoogd risico aanwezig is. Op grond hiervan moet er, onafhankelijk van de rest van de scores, een diepgaande risicoanalyse uitgevoerd worden. De resultaten van deze baselinetoets dienen als input voor de diepgaande risicoanalyse. Focus risicoanalyse Indien één of meer van de BIV-waarden hoger worden ingeschat dan het niveau van de BIG dan dient bij de vervolganalyse de focus op deze betreffende BIV-aspecten worden gelegd. 7.2 Analyse Persoonsgegevens Persoonsgegevens (P1-P9) Verwerking Persoonsgegevens (P10-P16) TOTAAL SCORE: score Aantal scores 3 3 Zie handreiking dataclassificatie BIG 26

27 De totale score geeft een globale indicatie voor de beveiligingsbehoefte van het betreffende proces. In de 3+ kolom aangeven of binnen een bepaald aandachtsgebied een 3 is gescoord. Indien één of meer scores voor wat betreft de verwerking van persoonsgegevens hoger is dan een 3, dan dient u een Privacy Impact Analyse (PIA) uit te voeren en contact op te nemen met de CISO of gelijkwaardige functionaris. 7.3 Advies Advies kan zijn: De maatregelen uit de Baseline zijn voldoende voor de beveiliging van het onderzochte proces: er zijn geen aanvullende requirements of het bestaande systeem wordt voldoende beschermt door de BIG. of De maatregelen uit de Baseline zijn niet voldoende voor de beveiliging van het proces: er moet in de definitiefase van het project of voor het bestaande systeem alsnog een diepgaande risicoanalyse en/of Privacy Impact Analyse (PIA) uitgevoerd worden. Indien u één van de vragen P1-P16 met ja heeft beantwoord neem dan contact op met de CISO of gelijkwaardige functionaris van de gemeente voor nader advies over de uit te voeren PIA, een eventuele adviesaanvraag of de melding bij het CBP. 27

28 INFORMATIEBEVEILIGINGSDIENST V00R GEMEENTEN (IBD) NASSAULAAN JS DEN HAAG POSTBUS GK DEN HAAG HELPDESK ALGEMEEN FAX