Visie op Informatiebeveiliging

Transcriptie

1 Visie op Informatiebeveiliging Ronald Driehuis 17 juli 2015 Versie 1.1c

2 Inhoudsopgave 1. De essentie van informatiebeveiliging Wat is informatiebeveiliging? 3 2. Ontwikkelingen omgeving/techniek/maatschappij 4 3. Ontwikkelingen binnen de organisatie Dienstverlening Samenwerkingen Ambtenaar Efficiency 5 4. De aanpak, ontwikkeling en positionering van visie en beleid Uitwerking op hoofdlijnen Fysieke beveiliging Technische beveiliging Informatiesystemen Personele beveiliging Tot slot 11 2

3 1. De essentie van informatiebeveiliging Informatieprocessen nemen een steeds belangrijkere plaats in binnen onze samenleving. Door een veelheid aan factoren ontstaat de noodzaak om meer gegevens vast te leggen, te verwerken en zelfs aan elkaar te koppelen. De prominente plaats die informatieprocessen hebben gekregen binnen de samenleving heeft ook tot gevolg dat de afhankelijkheid van deze informatie sterk is toegenomen. Deze grote afhankelijkheid blijkt pas indien informatie niet voorhanden is of indien de kwaliteit van informatie niet aan de normen voldoet. Waar in het verleden wellicht in een dergelijke situatie gesproken kon worden in termen van ongemak of vervelend, komen nu complete bedrijfsprocessen stil te liggen als informatie niet voorhanden is of indien informatie niet aan de kwaliteitseisen voldoet, ofwel niet betrouwbaar is. Naast de steeds belangrijkere plaats die informatie binnen de samenleving inneemt is ook de vorm waarin informatie wordt vastgelegd, verwerkt en gekoppeld aan sterke ontwikkeling onderhevig. Waar nog maar relatief kort geleden de papiervorm het belangrijkste onderdeel vertegenwoordigde binnen informatieprocessen zijn dit nu de digitale gegevens. Deze digitale ontwikkeling leidt niet alleen tot een grote afhankelijkheid van informatie in algemene zin, maar van digitale informatiesystemen in het bijzonder. Deze beide ontwikkelingen vragen om bijzondere aandacht voor het aandachtsgebied informatiebeveiliging, waarbij het werkgebied informatiebeveiliging zich richt op een breed terrein dat alle aspecten ten aanzien van de veiligheid van informatie vertegenwoordigt. Te weten de juistheid, volledigheid, beschikbaarheid en controleerbaarheid. In dit voorliggende document is de visie vastgelegd die de gemeente Elburg volgt ten aanzien van haar informatiebeveiliging en hoe daarmee om te gaan. 1.1 Wat is informatiebeveiliging? Met de toenemende afhankelijkheid van informatiestromen wordt ook het onderdeel informatiebeveiliging zeer actueel. Waar het onderwerp voorheen veelal werd geassocieerd met het gebruik van ICT, blijkt informatiebeveiliging echter veel meer te zijn dan alleen ICT. We kunnen informatiebeveiliging definiëren als: Het geheel van preventieve, detectieve, repressieve en correctieve maatregelen, procedures en processen. Deze moeten de juistheid volledigheid, vertrouwelijkheid en continuïteit van alle vormen van informatie binnen de gemeentelijke organisatie en naar haar afnemers en klanten toe garanderen. Doel ervan is de continuïteit van de informatie en de informatievoorziening te waarborgen en de eventuele gevolgen van beveiligingsincidenten tot een acceptabel, vooraf bepaald niveau te beperken. Informatiebeveiliging is dus niet alleen een ICT aspect, maar heeft ook te maken met de fysieke beveiliging, de organisatie-inrichting, de processen en de mensen in de organisatie. 3

4 2. Ontwikkelingen omgeving/techniek/maatschappij Het vakgebied van informatievoorziening ontwikkelt zich enorm snel. De klanten van de gemeente verwachten dat zij via internet producten kunnen aanvragen, informatie kunnen opvragen en antwoorden kunnen vinden. Op het gebied van communicatie zien we dat brieven zijn vervangen door mailtjes en klachtenbrieven door tweets. De medewerkers kunnen zich uiten via Facebook, LinkedIn en Twitter. Het gebruik van sociale media is niet meer weg te denken en verkeerd gebruik van deze media kan leiden tot ernstige imago schade. De nieuwe technische ontwikkelingen maken grootschalige digitale opslag mogelijk en ook de ontsluiting van de informatie daaruit is vereenvoudigd. Door internet is het ook eenvoudig om gegevens te transporteren naar een ander. De gemeente is niet alleen meer zelf de gebruiker van informatie maar levert ook steeds meer informatie aan andere partijen. Op het gebied van de Basisregistratie Personen (BRP) speelt dit al enige tijd, maar ook vanuit de andere basisregistraties en informatiesystemen zien we een toename van de gemeente als leverancier van informatie. De maatschappij verwacht ondanks de verregaande digitalisering, dat de gemeente de gegevens van burgers goed beveiligt (met name de Wet bescherming persoonsgegevens (Wbp) is hier van belang). Vanuit de maatschappelijke roep om privacybescherming is recentelijk een nieuwe wet aangenomen die organisaties verplicht het uitlekken van privacy informatie te gaan melden en het niet melden gesanctioneerd kan worden met boetes tot ,-. Met de invoering van de nieuwe wet meldplicht datalekken ontstaat een publieke schandpaal. Ook zien we rondom de basisregistraties en DigiD nieuwe normenkaders en audits ontstaan. De toename van de digitalisering leidt dus ook tot een verhoogde regeldruk. 4

5 3. Ontwikkelingen binnen de organisatie Ook binnen de organisatie zijn er een aantal ontwikkelingen gaande die van invloed zijn op de digitalisering en informatiestromen. Veel van deze ontwikkelingen komen voort of hebben een duidelijke relatie met de informatievoorziening. Soms kunnen we zelfs stellen dat de informatievoorziening een strategische factor is voor verdere verbeteringen. Onderstaand een aantal relevante ontwikkelingen. 3.1 Dienstverlening De gemeente is bezig met de verbetering van de dienstverlening. Vanuit die visie is het belangrijk om de klant niet eenzijdig vanuit een vakgebied te benaderen maar goed in te kunnen spelen op unieke klantomstandigheden. Vanuit die visie is het noodzakelijk een integraal klantbeeld te kunnen hebben. Deze benadering maakt het mogelijk om niet alleen te bieden wat de klant vraagt maar om in te kunnen spelen op de specifieke omstandigheden en te kunnen bieden wat de klant nodig heeft. Het KCC en de informatie die het KCC voor de uitvoering van de rol nodig heeft speelt hierbinnen een belangrijke rol. 3.2 Samenwerkingen Gemeenten gaan steeds meer samenwerken. Ook binnen de regio Noord Veluwe wordt de noodzaak tot samenwerking onderschreven. De samenwerking wordt ook gezocht bij maatschappelijke partners om samen maatschappelijke doelen te bereiken. Deze ontwikkeling heeft invloed op het uitwisselen van informatie en daarmee ook op de informatiebeveiliging. 3.3 Ambtenaar 2.0 Ook op het gebied van personeel zijn sterke ontwikkelingen gaande. Er worden in deze tijd andere eisen gesteld aan de medewerker en andersom stelt de nieuwe medewerker ook eisen aan zijn werkomgeving. De nieuwe ambtenaar is proactief, communiceert over wat hij doet en heeft oog voor z n omgeving. De nieuwe ambtenaar zit niet aan z n stoel gekluisterd en wordt ondersteund in de werkzaamheden met moderne digitale hulpmiddelen. 3.4 Efficiency Vanuit de ministeries worden steeds meer taken bij de lokale overheid ondergebracht. Dit heeft tot gevolg dat het al aanzienlijke takenpakket geregeld wordt uitgebreid en veranderd. De middelen worden echter schaarser. De toename van werkzaamheden bij de decentrale overheid vraagt om integratie van werkprocessen en ICT. Door hergebruik van gegevens en slimmere informatieprocessen moeten gemeenten deze extra werkzaamheden opvangen. Alle genoemde ontwikkelingen hebben een effect op de intensivering van informatievoorziening van de gemeente. Deze intensivering stelt eisen aan de medewerker, de processen en de techniek en maakt de gemeente kwetsbaarder. 5

6 4. De aanpak, ontwikkeling en positionering van visie en beleid Informatiebeveiligingsbeleid en de activiteiten die van daaruit worden ontplooid, staan nooit op zich maar zijn afgeleid van de doelstellingen van de organisatie. Informatiebeveiliging is in deze een kwaliteitsaspect wat de gemeente helpt om haar doelen te bereiken. Uitgangspunt voor deze visie is het coalitieakkoord van de gemeente. Het coalitieakkoord gaat specifiek in op de veiligheid van informatie en geeft aan dat de digitale veiligheid extra aandacht krijgt. Als uitgangspunt wordt de Baseline Informatiebeveiliging voor Nederlandse gemeenten gebruikt. De gemeente Elburg heeft de visie dat samenwerking een strategisch middel is om de doelen van de gemeenten efficiënter en effectiever te bereiken. Er wordt kritisch gekeken naar de meerwaarde van samenwerking, maar zodra deze tot stand komt zal een veilige gegevensuitwisseling noodzakelijk zijn. De visie op informatiebeveiliging is opgesteld vanuit een integrale benadering en afgestemd met diverse betrokken functionarissen. Samen met de interne ontwikkelingen en het wettelijk kader heeft dit geleid tot een integrale benadering op het onderwerp informatiebeveiliging. Vervolgens is aan de hand van de uitgangspunten van deze visie op informatiebeveiliging een meer operationeel informatiebeveiligingsbeleid opgesteld. Hierin staan de kaders benoemd waar de gemeente zich aan wil houden. Deze kaders dienen op hun beurt wel gezien te worden in het licht van deze visie en de actuele ontwikkelingen. Grafisch kan de samenhang als volgt worden weergegeven. 6

7 5. De gemeente Elburg heeft vanuit de reeds opgestelde visiedocumenten een aantal strategische keuzes gemaakt. Onderstaand volgen de beleidskeuzes en relevante informatiebeveiligingsaspecten. Let wel: Deze keuzes en aspecten zijn nog redelijk abstract. In het Integraal Informatiebeveiligingsbeleid en -plan worden onderstaande punten concreet uitgewerkt. De gemeente Elburg levert kwalitatief goede dienstverlening Het verder ontwikkelen van de website als het belangrijkste communicatiekanaal in relatie tot de digitale dienstverlening. Dit uitgangspunt heeft deze consequenties: - de gemeente is digitaal bereikbaar op de afgesproken en noodzakelijke momenten; - de gemeente levert betrouwbare digitale informatie; - de gemeente maakt het mogelijk om via de website producten en diensten aan te vragen en te leveren. De gemeente Elburg is klantgericht Daarvoor is het van belang dat iedere medewerker die zich bezig houdt met dienstverlening aan burgers of bedrijven een breed inzicht heeft in het dossier van de klant (integraal klantbeeld). Dit uitgangspunt heeft deze consequenties: - de gemeente heeft integere en verantwoordelijke medewerkers die goed weten om te gaan met privacygevoelige informatie die beschikbaar is vanuit het integrale klantbeeld; - de gemeente voert proactief beleid op de doorontwikkeling van kennis en bewustwording van informatiebeveiliging; - de gemeente heeft een goede informatievoorziening. De gemeente Elburg is een betrouwbare gemeente Het consistent en betrouwbaar naar buiten treden vereist voortdurend aandacht. Dit uitgangspunt heeft deze consequenties: - de gemeente heeft de informatiesystemen zodanig op orde dat gevraagde informatie juist en volledig wordt opgeleverd; - in het geval van een calamiteit heeft de gemeente maatregelen getroffen om de beschikbaarheid van informatie zo snel mogelijk te herstellen; - de gemeente voldoet aantoonbaar aan de wettelijke eisen op het gebied van informatiebeveiliging; - indien privacy informatie uitlekt dan wordt dit gemeld aan de betreffende personen; - de gemeente staat open voor samenwerking en maakt voor aanvang van een mogelijke samenwerking heldere afspraken over de informatiebeveiliging; - de gemeente controleert op de naleving van de gemaakte afspraken op het gebied van informatiebeveiliging. 7

8 De gemeente Elburg is een efficiënte gemeente Middelen worden steeds schaarser en de maatschappij vraagt de gemeente om efficiënt en effectief met de beschikbare middelen om te gaan. Samenwerken op het gebied van bedrijfsvoering met als doel het bereiken van grotere efficiency, grotere effectiviteit of verminderen van kwetsbaarheid is hierbij van groot belang. Dit uitgangspunt heeft deze consequenties: - de gemeente maakt een risicoafweging bij de inzet van middelen voor informatiebeveiliging (proportionaliteitsbeginsel); - de gemeente heeft intern de informatiebeveiliging goed georganiseerd; - de gemeente integreert informatiebeveiliging binnen haar werkprocessen; - bij de implementatie van maatregelen staat het primaire proces van de gemeente voorop. Het primaire proces moet te allen tijde werkbaar blijven en mag dus niet in ernstige mate belemmerd worden door maatregelen; - de gemeente laat informatiebeveiliging meenemen / meewegen in de samenwerking met externe partners. 8

9 6. Uitwerking op hoofdlijnen De genoemde ontwikkelingen leiden tot een grotere afhankelijkheid en complexiteit van de informatievoorziening. De vraag is: Hoe kunnen we als gemeente het kwaliteitsaspect van informatiebeveiliging toevoegen aan de producten en diensten die we leveren? Het is van belang te bepalen waar de grenzen liggen. De uitdaging is met name binnen de wettelijke kaders te zoeken naar werkbare toepassingen. De gemeente kiest ervoor een goede invulling te geven aan de kwaliteitsaspecten van informatiebeveiliging. Dit met in acht name van de volgende kaders: 1. de verwachtingen van de klanten van de organisatie (burgers, ondernemers en (publiekrechtelijke) instanties); 2. de eisen die de gemeente er zelf aan stelt; 3. de wettelijke kaders. Binnen de informatiebeveiliging worden vanuit de theorie de volgende kwaliteitsaspecten onderkend: - Beschikbaarheid bevat de garanties voor het afgesproken niveau van dienstverlening, meer specifiek gaat het om de beschikbaarheid van de dienst op afgesproken momenten. - Integriteit geeft de mate aan waarin de gegevens in de informatiesystemen actueel en correct is. - Vertrouwelijkheid is het kwaliteitsbegrip waaronder privacybescherming, maar ook de exclusiviteit van informatie, gevangen kan worden. Het waarborgt dat alleen geautoriseerden toegang krijgen en dat informatie niet kan uitlekken. - Controleerbaarheid bevat de garanties voor het kunnen nagaan wie welke informatie op een bepaald tijdstip heeft gemuteerd of geraadpleegd. - Politieke gevoeligheid bevat de garanties voor het zorgvuldig gebruik van politiek gevoelige gegevens. De kwaliteitsaspecten worden binnen de gemeente Elburg binnen de volgende aandachtsgebieden meegenomen, waarbij een aantal keuzes wordt gemaakt. Deze keuzes worden in onderstaande paragrafen beschreven. 6.1 Fysieke beveiliging De toegang tot het gebouw, kritische ruimtes zoals archieven, serverruimte, kasten en bureaus. Maar ook brandbeveiliging en inbraakdetectie. Op het gebied van fysieke beveiliging gaan we er vanuit dat het gebouw niet hermetisch wordt afgesloten. We gaan er wel voor zorgen dat het gebouw wordt gecompartimenteerd en dat bezoekers vanuit de publieke ruimte niet zomaar kunnen doorlopen naar de kantooromgeving. Het risico dat een onbevoegde een kantoorruimte kan binnenlopen wordt geaccepteerd omdat het gebouw een publieke functie heeft. De strikte beveiliging geldt wel voor plaatsen zoals kasten en bureaus waarin vertrouwelijke stukken zitten, de serverruimte, de archiefruimten en de technische ruimten. 9

10 6.2 Technische beveiliging De beveiliging van het netwerk van de gemeente door firewalls en virusscanners, technische beveiligingsinstellingen en redundante infrastructuur en stroomvoorziening. Op het gebied van de technische beveiliging wordt uitgegaan van een zo goed mogelijke beveiliging. 100% kan hierbij niet worden gegarandeerd maar het uitgangspunt is wel zo veilig mogelijk. Daarbij kan onderscheid worden gemaakt tussen externe beveiliging (toegang tot het netwerk van buitenaf) en interne beveiliging (toegang tot het netwerk vanaf een interne locatie/werkplek). 6.3 Informatiesystemen De beveiliging binnen applicaties door middel van validatie, functiescheiding en toegangsrechten. In principe wordt er uitgegaan van een brede toegang tot informatie. Alleen voor privacy gevoelige informatie zoals persoons, medische en justitiële gegevens wordt uitgegaan van het principe dat de informatie nodig moet zijn voor de uitoefening van de rol/taak van de medewerker. 6.4 Personele beveiliging 1 Hoe selecteren we betrouwbaar personeel en hoe zorgen we ervoor dat medewerkers weten wat wel en wat niet kan binnen hun rol. Op het gebied van personele beveiliging gaan we uit van een betrouwbaar instroom- en uitstroombeleid. Iedereen die bij de gemeente werkzaamheden komt verrichten wordt tot op zekere hoogte gescreend (Verklaring omtrent gedrag (VOG), legt de eed/belofte af en onderschrijft het integriteitbeleid of tekent een contract (externen). Iedereen die aan die eisen voldoet, geniet het vertrouwen van de organisatie. In het onderstaande figuur wordt een indruk gegeven hoe binnen de vier kwaliteitsaspecten de informatiebeveiliging wordt ingevuld. 1 De fysieke beveiliging van het personeel (zoals alarmknoppen, brandalarm e.d.) valt hierbuiten. Dit valt onder facilitaire zaken en HRM. 10

11 7. Tot slot Deze visie geeft aan hoe de gemeente Elburg informatiebeveiliging ziet in relatie tot zijn bestuurlijke en organisatorische doelstellingen en de wijze waarop dit ingevuld wordt. Een verdere uitwerking staat in het gemeentebrede informatiebeveiligingsbeleidsplan Elburg