Waardering van informatie gemeente Nijmegen

Transcriptie

1 Collegevoorstel Openbaar Onderwerp Waardering van informatie gemeente Nijmegen Programma Bestuur & Middelen BW-nummer Portefeuillehouder B. van Hees Samenvatting In het informatiebeveiligingsbeleid van de gemeente Nijmegen is vastgelegd dat alle data geclassificeerd moet worden met betrekking tot de waarde, wettelijke eisen, gevoeligheid en onmisbaarheid voor de organisatie. Recent is deze classificatie uitgevoerd. Directie/afdeling, ambtenaar, telefoonnr. PI50, Rob Haans, 9305 Datum ambtelijk voorstel 10 maart 2017 Registratienummer Ter besluitvorming door het college 1. De bijgevoegde classificatie van data van de gemeente Nijmegen vast te stellen. Paraaf akkoord Datum Steller Rob Haans Alleen ter besluitvorming door het College Besluit B&W d.d. 2 mei 2017 X Conform advies Aanhouden Anders, nl. nummer: 3.9 Bestuursagenda Paraaf akkoord Datum Portefeuillehouder Collegevoorstel Dataclassificatie def (2)

2 Collegevoorstel 1 Probleemstelling Gemeentes hebben steeds meer te maken met risico s op gebied van ICT. Deze risico s proberen we te beheersen door het nemen van maatregelen. Welke maatregelen nodig zijn is afhankelijk van de waarde van de gegevens die we gebruiken voor de organisatie. In het informatiebeveiligingsbeleid is bepaald dat de proceseigenaren bepalen wat deze waarde is. De informatie van gemeente Nijmegen was tot nu toe nog niet geclassificeerd. Recent is deze classificatie uitgevoerd. Omdat het proceseigenaarschap niet formeel gemandateerd is, dient het vaststellen van de waarde van de gegevens door het College van B&W vastgesteld te worden. Om een waardering toe te kennen zijn per applicatie betrokken specialisten (beheerders, sleutelgebruikers en adviseurs) bevraagd op een viertal aspecten (waarbij aangesloten wordt op de landelijke standaard vanuit de Informatiebeveiligingsdienst van de VNG): Beschikbaarheid Hoe erg is het als informatie binnen de applicatie even of voor lange tijd niet beschikbaar is? Integriteit Vertrouwelijkheid Duurzaamheid Hoe erg is het als teksten of waarden in de applicatie onjuist zijn? Hoe goed moet de data beschermd worden tegen ongewenste veranderingen? Hoe erg is het als informatie in de applicatie gezien wordt door mensen die geen taak hebben die informatie te zien? Bevat de applicatie privacy-gevoelige informatie? Hoe erg is het als informatie op lange termijn niet meer beschikbaar is? Bevat de applicatie archiefwaardige informatie? Meer uitleg over het classificatieproces is te vinden in bijlage 1. De voorgestelde waardering zelf is te vinden in bijlage 2. Deze waardering zal in een vervolgfase gebruikt worden om te bepalen welke beveiligings- en archiveringsmaatregelen passend zijn bij de waarde (belang en risico) van de informatie(systemen) van de gemeente Nijmegen. 2 Juridische aspecten In het informatiebeveiligingsbeleid van de gemeente Nijmegen is vastgelegd dat alle informatie geclassificeerd moet worden met betrekking tot de waarde, wettelijke eisen, gevoeligheid en onmisbaarheid voor de organisatie. Het hebben van dit inzicht wordt geëist vanuit wettelijke regelingen zoals Suwi, de Wbp en de Archiefwet en getoetst bij audits en aansluittoetsen. Ook door rekenkamers, zoals recentelijk door de Rekenkamer van de gemeente Rotterdam, wordt het ontbreken van een vorm van dataclassificatie als een groot probleem gezien.

3 Collegevoorstel Vervolgvel 2 3 Doelstelling Door het vaststellen van het classificatie-overzicht kunnen de juiste beveiligings- en archiveringsmaatregelen vastgelegd worden. 4 Argumenten Om tot een juiste inschatting te komen heeft een grote groep (van meer dan 50) medewerkers van de gemeente Nijmegen en het ICT-bedrijf Rijk van Nijmegen meegewerkt aan het classificatietraject. Meer medewerkers (waaronder proceseigenaren) betrekken was ondoenlijk; daarmee zou het classificatieproces teveel tijd gaan vergen en waarschijnlijk vastlopen. Medewerkers hebben wel de mogelijkheid gehad om te reageren. Een aantal opvallende uitkomsten: - Ongeveer 1/3 e deel van de gemeentelijke applicaties (130 van de bijna 400 applicaties) bevat in meer of mindere mate vertrouwelijke informatie; - Voor 13 applicaties dient de integriteit van gegevens op het hoogste, absolute niveau beschermd te worden, met name om financiële of wettelijke risico s te voorkomen; - Iets minder dan 1/3 e deel van de gemeentelijke applicaties (118) moet vrijwel altijd beschikbaar zijn en leidt uitval tot productieverstoring en/of impact naar burgers en bedrijven. - Eén op de zes applicaties (67) bevat informatie die 10 jaar of langer na registratie nog relevant is voor de organisatie en/of de stad. 5 Financiën Het classificeren heeft geen directe financiële consequenties. Op basis van deze classificatie zullen de juiste beveiligings- en archiveringsmaatregelen bepaald worden. Dit kan leiden tot extra maatregelen, die mogelijk structureel of eenmalig kosten kunnen veroorzaken. Dit wordt binnen de bestaande besluitvormings- en financiële kaders voor ICT-besluitvorming gedaan. 6 Participatie en Communicatie De classificatie zal gecommuniceerd worden naar medewerkers binnen de gemeente en ketenpartners. Ketenpartners zullen mogelijk hun maatregelen moeten aanpassen aan een nieuwe classificatie. 7 Uitvoering en evaluatie Het afwegen van juiste beveiligings- en archiveringsmaatregelen kan ertoe leiden dat uitzonderingen gemaakt moeten worden op het gemeentelijk informatiebeveiligingsbeleid, of aanpassing ervan, als blijkt dat de kosten van maatregelen niet opwegen tegen de risico s. 8 Risico Dataclassificatie is een maatregel om te komen tot een betere risicobeheersing, doordat de organisatie erdoor beter bewust wordt van de waarde van de gegevens die beschermd moeten worden. Het focust vooral op de impact van risico s. Bij het bepalen van de juiste maatregelen in het vervolgtraject dient ook de kans van optreden van risico s meegenomen te worden en de kosten van het nemen van maatregelen. Deze aspecten samen zijn nodig voor een afgewogen besluit over risicobeheersing. Bijlage(n): Namen van Classificatie resultaat, classificatie proces

4 Dataclassificatie gemeente Nijmegen Opzet en werkwijze In het informatiebeveiligingsbeleid van Nijmegen is vastgelegd dat alle informatie geclassificeerd moet worden met betrekking tot de waarde, wettelijke eisen, gevoeligheid en onmisbaarheid voor de organisatie. Er dient een classificatiebeleid binnen de gemeente opgesteld en uitgedragen te worden. Er dienen geschikte samenhangende procedures te worden ontwikkeld en geïmplementeerd voor de classificering en verwerking van informatie overeenkomstig het classificatiesysteem dat formeel is vastgesteld. 1. Doel en achtergrond van dataclassificatie De mogelijke schade die een dreiging (bijv. uitval van een applicatie of een hack) kan toebrengen aan bepaalde informatie en de kans dat het optreedt, kan met een risicoanalyse worden geëvalueerd. Het management dient vervolgens aan te geven welke risico s aanvaardbaar zijn en welke met maatregelen moeten worden afgedekt. Dit is vaak een tijdrovend en abstract traject. Classificatie geeft een snelle indicatie van het belang van de informatie(systemen) en is daarmee een basis voor een risicoanalyse. Na de classificatie kunnen de juiste maatregelen getroffen worden waardoor enerzijds inbreuken op de veiligheid worden voorkomen en anderzijds daarvoor niet nodeloos veel inspanning getroost wordt. Dataclassificatie zou ook een rol moeten spelen in de wijze waarop bijvoorbeeld irvn haar netwerk en applicaties inricht. Welke applicaties kunnen open ingericht worden en welke moeten zorgvuldig beveiligd worden? Dit is iets wat vanuit de bedrijfswaarde van de informatie in de applicatie bepaald moet worden, en wat de gemeente Nijmegen dus zelf moet bepalen. Dataclassificatie maakt het vereiste beschermingsniveau zichtbaar en maakt direct duidelijk welke maatregelen t.a.v. processen en informatiesystemen nodig zijn. Ditzelfde principe is ook toepasbaar op duurzaam informatiebeheer, in het bijzonder voor digitale archieven. Ook daarvoor kunnen de noodzakelijke beheersmaatregelen afgeleid worden van de risicoindeling van de informatie. Het niet hanteren van risicoklassen voor informatiebeheer betekent dat voor alle gedigitaliseerde processen dezelfde regels gelden met het risico dat enerzijds overmatig onderhoud gepleegd wordt op minder belangrijke informatie terwijl anderzijds bepaalde informatie te weinig aandacht krijgt. Doel van een classificatie is inzicht te krijgen in de risico s op het gebied van informatiebeheer. Op basis daarvan kunnen passende beheersmaatregelen worden getroffen. Dataclassificatie vormt dus een basis voor governance op het gebied van informatiebeveiliging en informatiebeheer en kan in de uitvoering voor beide doelen in een project gecombineerd worden. Een gedeelde risicoanalyse bespaart inspanning en zal van een betere kwaliteit zijn, omdat verschillende inzichten met elkaar gecombineerd worden. In het informatiebeveiligingsbeleid zijn een aantal uitgangspunten beschreven over de toepassing van dataclassificatie. Daarnaast zijn er kort geleden een aantal (concept) classificatie-uitgangspunten opgesteld. Daarnaast wordt een totaaloverzicht gegeven van de uitgangspunten. Deze opzet is ná het uitvoeren nog enigszins aangepast, omdat bepaalde uitgangspunten in de praktijk niet goed bleken te werken.

5 2. Classificatiesysteem Voor de uitvoering van de dataclassificatie is het van belang om te bepalen wat het object van classificatie is, op welke onderdelen geclassificeerd wordt, wat de classificatieniveaus zijn en de daaraan gekoppelde beheersmaatregelen. Hiervoor is het proces in principe het uitgangspunt. Mede gezien de meer dan 700 processen in de gemeente Nijmegen en het ontbreken van een actueel overzicht hiervan is voor de praktische uitvoerbaarheid gekozen voor informatiesystemen / applicaties als object van classificatie. Hierbij wordt een relatie gelegd met de daarmee ondersteunde bedrijfsprocessen in Gemma. De meeste beheersmaatregelen zullen ook op het niveau van applicaties genomen worden. In applicaties voor meerdere processen en met hogere waardering kan indien nodig de classificatie tot op procesniveau uitgewerkt worden. De koppeling met Gemma bedrijfsprocessen 1 maakt het mogelijk om de relatie te leggen met de procestypen uit de nieuwe gemeentelijke selectielijst en de daaraan gekoppelde bewaartermijnen. Die bewaartermijnen zijn op hun beurt gebaseerd op een risicoanalyse en vormen dus een goed uitgangspunt voor de waardering voor duurzaamheid. Voor informatiebeveiliging wordt geclassificeerd op drie onderdelen van betrouwbaarheid van informatie: Beschikbaarheid, Integriteit en Vertrouwelijkheid ( BIV). Hoewel duurzaamheid voor een deel dezelfde aspecten kent, geldt dit als een apart onderdeel. Beschikbaarheid bij informatiebeveiliging is van toepassing op de waarde van de informatie tijdens het proces en niet voor de langere termijn. Voor duurzaamheid speelt ook het belang van de informatie voor openbaarheid en transparantie over het proces en voor het cultuurhistorisch belang. De bewaartermijn bepaalt daarbij voor een groot deel welke beheersmaatregelen genomen moeten worden om het beheer van digitale informatiebestanden voor die termijn mogelijk te maken. Daarvoor hebben we in Nijmegen twee niveaus: standaard en hoog. Voor informatiebeveiliging worden vier niveaus onderscheiden. Deze kunnen per onderdeel verschillende waarden hebben. 1

6 Onderstaande tabel geeft de classificatieniveaus per onderdeel. Informatie(systemen) krijgen dus per onderdeel een waardering en die kunnen dus ook van verschillend niveau zijn. Niveau / impact Geen Laag Midden Hoog Beschikbaarheid (B) Integriteit (I) Vertrouwelijkheid (V) Duurzaamheid Niet nodig Niet zeker, geen Openbaar Standaard gegevens kunnen zonder informatie mag worden informatie mag door Geen duurzaam gevolgen langere tijd niet veranderd iedereen worden ingezien. informatiebeheer noodzakelijk beschikbaar zijn. Informatie is rechtenvrij (Gegevens zijn na invoeren (open data). binnen 10 jaar niet meer Belangrijk Beschermd Bedrijfsvertrouwelijk relevant) informatie mag incidenteel niet het bedrijfsproces en informatie is toegankelijk beschikbaar zijn. Uitval is niet wetgeving staan enkele voor alle medewerkers van meteen productieverstorend, er (integriteits-) fouten toe. de organisatie. Informatie is zijn work-arounds mogelijk. Onjuistheid gegevens valt op of niet rechtenvrij, maar bevat heeft weinig impact. geen (privacy-)gevoelige informatie die afscherming vraagt. Noodzakelijk Hoog Vertrouwelijk Hoog informatie moet vrijwel altijd het bedrijfsproces en informatie is alleen Duurzaam informatiebeheer beschikbaar zijn, continuïteit is wetgeving staan zeer weinig toegankelijk voor een noodzakelijk (Gegevens zijn na belangrijk. Uitval fouten toe. Onjuistheid beperkte groep gebruikers. invoeren na 10 jaar of meer beschikbaarheid is gegevens valt niet snel op Informatie mag alleen nog relevant) productieverstorend, maar heeft en/of kan leiden tot geraadpleegd worden als geen directe impact. problemen. het noodzakelijk is voor rol/functie. Essentieel Absoluut Geheim informatie mag alleen in het bedrijfsproces en informatie is alleen uitzonderlijke situaties uitvallen, wetgeving staan geen fouten toegankelijk voor direct bijvoorbeeld bij calamiteiten. toe. Onjuistheid gegevens geadresseerde(n). Uitval beschikbaarheid heeft een heeft altijd impact. Informatie mag alleen directe en hoge impact. geraadpleegd worden als het noodzakelijk is voor rol/functie en er een directe betrokkenheid op persoonsniveau is. 3. Na het classificeren: beheermaatregelen Na het inventariseren, analyseren en classificeren zal blijken dat voor een deel van de applicaties en processen niet de beheermaatregelen zijn getroffen die passen bij de waarde van informatie die via de applicatie beheerd en toegankelijk is. Onder beheermaatregelen wordt bijvoorbeeld verstaan: autorisaties en wachtwoorden, ingebouwde procescontroles, uitwijk- en backupvoorzieningen, etc.. In het Informatiebeveiligingsbeleid is al voor een deel een koppeling gelegd tussen beheermaatregelen en classificatieniveaus. Op basis van een classificatie kan bepaald worden welke beheermaatregelen minimaal toegepast moeten worden. Na het classificatietraject zal beoordeeld moeten worden in hoeverre bestaande beheermaatregelen passen bij hetgene vanuit het informatiebeveiligingsbeleid wordt voorgeschreven en als het niet past, zal er per applicatie of onderdeel ervan beoordeeld moeten worden of de beheermaatregelen doorgevoerd gaan worden of niet, of in een aangepaste vorm. Dit is zoals in de beleidsuitgangspunten al is gesteld een

7 kosten-batenafweging, waarin ook politieke afwegingen een rol kunnen spelen. Uitzonderingen op het beleid dienen vastgelegd en op College-niveau vastgesteld te worden. De verschillen en het accepteren van afwijking kunnen ook leiden tot aanpassing van het informatiebeveiligingsbeleid zelf. Het beoordelen of de juiste beheermaatregelen zijn getroffen is de verantwoordelijkheid van de proces-, informatie- en applicatie-eigenaar, met advies van systeem-, applicatie- en informatiebeheerders en uiteindelijk de CISO. Hoewel het buiten de scope van de classificatie uitgevoerd dient te worden kan het wel als een vervolgstap van classificatie centraal opgepakt worden. Hiervoor zal een project opgezet dienen te worden. 4. Uitgangspunten classificatie Nr Principe Rationale Referentie/voorbeeld 1. De eigenaar van de gegevens is de proceseigenaar. De eigenaar van de gegevens bepaalt het vereiste beschermingsniveau (classificatie). Indien sprake is van wettelijke eisen, wordt dit expliciet aangegeven. De eigenaar van de gegevens bepaalt wie toegang krijgt tot welke gegevens en met welke rechten. Voor classificatie wordt hierbij uitgegaan van collectieve eigenaarschap van het College. 2. De classificatietabel heeft betrekking op alle in beheer zijnde gegevensverzamelingen, gegevensdragers, informatiesystemen, servers en netwerkcomponenten. 3. Het object van classificatie is informatie. We classificeren op het niveau van informatiesystemen (of informatieservices). De waarde van informatie wordt bepaald vanuit het proces en de doelstellingen/verantwoordelijkheden van de organisatie. Voor Nijmegen passen we dit toe door vaststelling door het College. Informatie kan op alle niveaus van informatiebeheer en communicatie beïnvloed worden. Beheermaatregelen vinden vrijwel altijd plaats op niveau van informatiesystemen. Het is daarnaast een manier om classificatie beheersbaar te houden.

8 Nr Principe Rationale Referentie/voorbeeld 4. Alle classificaties van alle bedrijfskritische systemen zijn centraal vastgelegd door de CISO en dienen jaarlijks gecontroleerd te worden door de eigenaren. 5. Er wordt gestreefd naar een zo laag mogelijk classificatieniveau; te hoge classificatie leidt tot onnodige kosten. Bovendien dient informatie in beginsel voor zoveel mogelijk mensen beschikbaar te zijn (transparante overheid). Er wordt gestreefd naar een balans tussen het te lopen risico en de kosten van tegenmaatregelen. De standaard BIV classificatie voor een GEMMA2 component is daarom LLL 6. Informatie kan meer of minder gevoelig of kritisch zijn. Voor bepaalde informatie kan een extra niveau van bescherming of een speciale verwerking nodig zijn. Aanvullende veronderstellingen worden alleen geformuleerd bij classificaties geen, M en H 7. Interne bedrijfsvoering, externe dienstverlening en (keten-) samenwerking zijn voor het classificeren van gelijk belang 8. Classificatie geldt voor de gemiddelde situatie Waarde van informatie veranderd door de tijd en moet steeds opnieuw geijkt worden. Standaard veronderstelling is dat alle GEMMA2 referentie componenten relevant zijn voor gemeenten, dus ook de BIV aspecten. De standaard veronderstelling is L, als er reden is hiervan af te wijken moet dit worden aangegeven Belang kan verschillen vanuit verschillend oogpunt bezien. Gelijkstelling van deze belangen voorkomt arbitraire classificatie en draagt positief bij aan de huidige SIB doelstellingen (klantpositie centraal, focus op samenwerking) Bij vrijwel elke component kunnen bijzondere omstandigheden de classificatie beïnvloeden. Deze kunnen en zullen daarom niet uitputtend vooraf apart in kaart worden gebracht GEMMA2 Bijvoorbeeld Betalingscomponent krijgt classificatie I=H, met de veronderstelling dat dit een fraudegevoelige component is met direct grote financiële gevolgen NORA GEMMA SIB 2016 Bijvoorbeeld - Bij rampsituaties.. - Buiten kantoortijden.. - Op betaaldagen.. - In schrijnende gevallen..