Rapportage beveiliging waardedocumenten 2016

Transcriptie

1 2016/ Rapportage beveiliging waardedocumenten 2016 Jaarlijkse rapportage aan burgemeester en wethouders over de kwaliteit en veiligheid van het aanvraag en uitgifteproces paspoorten en Nederlandse identiteitskaarten 1

2 2

3 Managementsamenvatting Op grond van de Paspoortuitvoeringsregeling Nederland is iedere Nederlandse gemeente verplicht om jaarlijks in de vorm van een zelfevaluatie onderzoek uit te voeren naar de kwaliteit en veiligheid van het aanvraag en uitgifteproces Paspoorten en NIK (Nederlandse Identiteitskaart). In de gemeente Zaanstad worden de zelfevaluatie en verdere kwaliteitscontroles uitgevoerd door de beveiligingsfunctionaris waardedocumenten, die hiervoor door B&W is benoemd. Voor het onderzoek en de bijbehorende rapportage aan de minister wordt gebruik gemaakt van de Kwaliteitsmonitor, een door het ministerie van Binnenlandse Zaken en Koninkrijksrelaties beschikbaar gestelde online toepassing. De Kwaliteitsmonitor geeft zowel per categorie als voor het gehele proces een objectief oordeel over de kwaliteit. Uit de uitgevoerde zelfevaluatie blijkt dat de gemeente Zaanstad met een totaalscore van 95% goed scoort op kwaliteit en veiligheid van het aanvraag en uitgifteproces Paspoorten en Nederlandse identiteitskaarten. Zaanstad voldoet daarmee ruim aan de wettelijke norm van 90%. Op onderdelen zijn echter verbeteringen mogelijk. De score per categorie is als volgt: Categorie Beleid Gegevens Processen Fysieke beveiliging Naleving Architectuur Personeel Calamiteiten Score per categorie 100% 88% 99% 100% 100% 0% 91% 93% Totaal resultaat 2016 Onvoldoende Onvoldoende Voldoende Voldoende (verdeling scores: Onvoldoende <90%, Voldoende 9095%, >95%). De wettelijke norm is 90%. Verbetermaatregelen De verbetermaatregelen die de gemeente kan treffen om de kwaliteit en de veiligheid van het aanvraag en uitgifteproces te optimaliseren bestaan uit het verbeteren van het werkproces om een document in bepaalde gevallen definitief aan het verkeer te onttrekken, het nog verder doorvoeren van functiescheiding, het proces rond screening van personeel nog verder aan te scherpen, opleiding en trainingen rond informatieveiligheid te formaliseren, en het volgens de eisen inrichten van gescheiden omgevingen in het ICTnetwerk. Adviezen Voor verdere optimalisering van de kwaliteit en veiligheid van het aanvraag en uitgifteproces paspoorten en Nederlandse identiteitskaarten adviseer ik de verbeterpunten naar aanleiding van de zelfevaluatie op te laten nemen in het beveiligingsplan voor 2017 van de afdeling KCC Burgerzaken. Daarnaast is het advies om eerder benoemde verbetermaatregelen die nog niet of niet volledig zijn doorgevoerd ook op te nemen in het beveiligingsplan. Per verbeterpunt kan zo worden afgewogen of en zo ja per wanneer een verbetermaatregel binnen de gemeente Zaanstad wordt doorgevoerd. Verder adviseer ik het gebruik van het handboek BRP en Waardedocumenten als naslagwerk onder de aandacht te houden bij de medewerkers en periodiek het veiligheidsbewustzijn van medewerkers en de werking en opvolging van werkprocedures te blijven toetsen.. 3

4 Inhoud Managementsamenvatting Inleiding Organisatie Opsteller, periode en verspreiding Permanente aandacht voor kwaliteit en beveiliging Bevindingen Handboek Beveiliging BRP en Waardedocumenten Bijzonderheden Advies Beveiligingsplan waardedocumenten lopende jaar Bijzonderheden Advies Controle met behulp van het evaluatieinstrument Bijzonderheden Advies Overige bevindingen in het afgelopen jaar Bijzonderheden Advies Tot slot Versiebeheer Versie 0.1 Datum 19 oktober 2016 Opsteller Linda hart oktober 2016 Linda hart Reden wijziging Conceptversie ter bespreking met afd. Burgerzaken 4

5 1 Inleiding Op grond van de Paspoortuitvoeringsregeling Nederland is iedere Nederlandse gemeente verplicht om jaarlijks in de vorm van een zelfevaluatie een onderzoek uit te voeren naar de kwaliteit en veiligheid van het aanvraag en uitgifteproces Paspoorten en NIK (Nederlandse Identiteitskaart). Voor het onderzoek en de bijbehorende rapportage aan de minister wordt gebruik gemaakt van de Kwaliteitsmonitor, een door het ministerie van Binnenlandse Zaken en Koninkrijksrelaties beschikbaar gestelde online toepassing. De Kwaliteitsmonitor geeft zowel per categorie als voor het gehele proces een objectief oordeel over de kwaliteit. Uit de uitgevoerde zelfevaluatie blijkt dat de gemeente Zaanstad met een totaalscore van 95% goed scoort op kwaliteit en veiligheid van het aanvraag en uitgifteproces Paspoorten en NIK. Zaanstad voldoet daarmee ruim aan de wettelijke norm van 90%. Op onderdelen zijn echter verbeteringen mogelijk. De automatisch uit de Kwaliteitsmonitor gegeneerde rapportage is ondertekend door de burgemeester en tijdig verstuurd aan de Rijksdienst voor Identiteitsgegevens. De interne rapportage, aangevuld met bevindingen uit verdere kwaliteitscontroles, treft u hierbij aan. 2 Organisatie De burgemeester is eindverantwoordelijk voor de beveiliging en het aanvraag en uitgifteproces van rijbewijzen en reisdocumenten. Het college van burgemeester en wethouders (opdrachtgever) heeft in het beveiligingsbeleid algemeen opdracht verstrekt aan het afdelingshoofd Klantcontact Burgerzaken om zorg te dragen voor specifiek beleid op het gebied van beveiliging en veiligheid van de bedrijfsprocessen rond waardedocumenten. Dit specifieke beleid is opgesteld en vastgelegd in het Handboek Beveiliging BRP en Waardedocumenten. De medewerkers van de afdeling Klantcontact Burgerzaken (uitvoerders) zijn gebonden aan de werkvoorschriften en beveiligingsprocedures op het gebied van een veilig en verantwoord gebruik van waardedocumenten. De burgemeester heeft de beveiligingsfunctionaris (controller) waardedocumenten benoemd die belast is met het toezicht op de uitvoering van procedures. Deze beveiligingsfunctionaris brengt op basis van dit toezicht met behulp van deze rapportage verslag uit over haar bevindingen. Indien nodig heeft de beveiligingsfunctionaris waardedocumenten de bevoegdheid rechtstreeks verslag uit te brengen aan de burgemeester zonder tussenkomst van het management. Hiermee wordt functiescheiding en onafhankelijkheid gewaarborgd. 2.1 Opsteller, periode en verspreiding Deze rapportage is opgesteld door Linda hart, beveiligingsfunctionaris waardedocumenten, en is bestemd voor burgemeester en wethouders van de gemeente Zaanstad. De rapportage bevat een weergave van mijn bevindingen over het afgelopen jaar en gaat over de periode oktober 2015 oktober

6 3 Permanente aandacht voor kwaliteit en beveiliging De Paspoort Uitvoeringsregeling Nederland 2001 (PUN) en het Reglement rijbewijzen vereisen van de verantwoordelijke autoriteit een belangrijke inzet op het gebied van de beveiliging van de waardedocumenten. De belangrijkste doelen zijn het voorkomen van fraude en misbruik en het minimaliseren van de kans op diefstal. Een beveiligingssysteem dat in staat is zichzelf te onderhouden en te controleren biedt daarbij de meeste garanties. De gemeente Zaanstad heeft daarvoor het volgende systeem ingericht: Plan Handboek reguliere acties Beveiligingsplan specifieke acties voor lopende jaar Act Rapportage(s) aan burgemeester en wethouders Beveiligingsplannen opstellen voor komend jaar Do Werken conform handboek Uitvoeren acties uit het beveiligingsplan voor lopende jaar Check Evaluatie handboek Evaluatie beveiligingsplannen lopend jaar Evaluatie o.g.v. regelgeving 1. Het handboek is opgesteld en bevat het beleid, de taken, verantwoordelijkheden en bevoegdheden en de verschillende procedures van waardedocumenten. Dit handboek is het plan voor de afdeling voor het uitvoeren van de reguliere taken. 2. Naast het handboek wordt jaarlijks een beveiligingsplan waardedocumenten opgesteld. Dit plan bevat alle nietreguliere acties die nodig zijn om de beveiliging en processen van aanvraag en uitgifte van waardedocumenten verder te vergroten. 3. De medewerkers voeren de (beveiligings)procedures op het gebied van een veilig en verantwoord gebruik van de waardedocumenten uit conform de afspraken die vastgelegd zijn in het handboek. 4. Verantwoordelijken voeren de acties uit het jaarlijkse beveiligingsplan uit. 5. Jaarlijks evalueert de beveiligingsfunctionaris of er gewerkt wordt conform het handboek en of het handboek nog actueel is. 6. Jaarlijks evalueert de beveiligingsfunctionaris of de maatregelen uit het beveiligingsplan uitgevoerd zijn. 7. Jaarlijks evalueert de gemeente de beveiliging en uitvoering met behulp van door het Ministerie beschikbaar gestelde hulpmiddelen. 8. De bevindingen uit de evaluaties worden in een rapportage aan de burgemeester verantwoord. 9. De verantwoordelijk manager stelt een beveiligingsplan waardedocumenten op voor het komende jaar waarin de nietreguliere actiepunten gepland zijn en aan een verantwoordelijke zijn gekoppeld. 6

7 4 Bevindingen Deze rapportage is opgesteld aan de hand van ingewonnen informatie, gehouden controles en door gebruik te maken van controlerapportages zoals deze voortkomen uit de geldende procedures en werkvoorschriften. 4.1 Handboek Beveiliging BRP en Waardedocumenten Het handboek is opgesteld en bevat het beleid, de taken, verantwoordelijkheden en bevoegdheden en de onderscheidene procedures van waardedocumenten. Dit handboek is het plan voor de afdeling voor het uitvoeren van de reguliere taken Bijzonderheden Het handboek is in 2016 aangepast met de verbeterpunten uit de zelfevaluatie die in 2015 waren geconstateerd. Ook zijn aanpassingen naar aanleiding van wetswijzigingen doorgevoerd Advies Het advies is om het gebruik van het handboek BRP en Waardedocumenten als naslagwerk onder de aandacht te houden bij de medewerkers. 4.2 Beveiligingsplan waardedocumenten lopende jaar De evaluatie van het beveiligingsplan waardedocumenten van het lopende jaar betreft een controle of de tijdens de zelfevaluatie in 2015 geconstateerde verbetermaatregelen zijn doorgevoerd Bijzonderheden Voor 2016 is geen formeel beveiligingsplan opgesteld door de afdeling KCC Burgerzaken. De meeste bevindingen uit 2015 zijn echter wel opgepakt en geheel of gedeeltelijk doorgevoerd Advies Het advies is om jaarlijks een beveiligingsplan op te stellen zodat de opvolging van de bevindingen formeel worden opgepakt en de status van de opvolging van verbetermaatregelen beter kan worden gevolgd. Daarnaast is het advies om de bevindingen uit de zelfevaluatie in 2015 die nog niet volledig zijn doorgevoerd op te nemen in het beveiligingsplan voor Controle met behulp van het evaluatieinstrument Voor deze evaluatie is gebruik gemaakt van de online vragenlijst in de Kwaliteitsmonitor van het ministerie Binnenlandse Zaken en Koninkrijksrelaties. Bij het invullen van deze vragenlijst waren de volgende functionarissen betrokken: Naam Hans van Asselt Marjolein VisserJager Linda hart Functie Afdelingshoofd Klantcontact Burgerzaken Allround medewerker KCC, Autorisatiebevoegde reisdocumenten en rijbewijzen Beveiligingsfunctionaris waardedocumenten 7

8 Cor Dudink Marieke de Vries en Marco Visser Kees Egberts en CeesJan Fonteijn Medewerker afdeling Facilitaire Zaken Medewerkers afdeling P&O Medewerkers afdeling IBT Na invulling van de vragenlijst wordt een detailrapportage gegenereerd met daarin het advies om verbetermaatregelen door te voeren. Gemeente Zaanstad scoort met een totaalscore van 95% goed op kwaliteit en veiligheid van het aanvraag en uitgifteproces reisdocumenten en voldoet daarmee ruim aan de wettelijke norm. Doordat de vragenlijst jaarlijks wijzigt, kan het zijn dat de scores per jaar iets anders uitvallen. De score per categorie voor 2016 is in onderstaande tabel weergegeven: Categorie Beleid Gegevens Processen Fysieke beveiliging Naleving Architectuur Personeel Calamiteiten Score per categorie 100% 88% 99% 100% 100% 0% 91% 93% Totaal resultaat 2016 Onvoldoende Onvoldoende Voldoende Voldoende (verdeling scores: Onvoldoende <90%, Voldoende 9095%, >95%). De wettelijke norm is 90%. Een toelichting en mogelijke verbeteringen per categorie staan hieronder beschreven Bijzonderheden Beleid De score voor deze categorie is goed, namelijk 100%. Het beveiligingsbeleid op het gebied van reisdocumenten is in de gemeente Zaanstad goed ingericht en heeft geleid tot toereikende schriftelijke procedures. Op goede wijze is de wet en regelgeving vertaald naar lokaal beleid, de inhoud van dat beleid en hoe het beleid wordt gewaarborgd. Gegevens De score voor deze categorie is onvoldoende, namelijk 88%. De toegang tot en het gebruik van gegevens rondom het reisdocumentenproces is in de gemeente Zaanstad onvoldoende geregeld. De gemeente waarborgt onvoldoende de kwaliteit van de gegevens en de bescherming van de vertrouwelijkheid. Een verbeterpunt die de gemeente kan treffen om de kwaliteit en de veiligheid van het aanvraagen uitgifteproces te optimaliseren is: Bij de opslag van de RAAS backup media de twee oudste backup media op de RAASlocatie bewaren, waarvan er één zich in een inbraak vertragende en brandwerende kast ( 1000,= indicatie waardeberging) bevindt NB Wij zijn in gesprek met de Rijksdienst voor Identiteitsgegevens over deze bevinding. De vraagstelling was niet helder en de juiste antwoordmogelijkheid werd niet gegeven. De gemeente Zaanstad voldoet wel degelijk aan bovenstaande eis. Processen De score voor deze categorie is goed, namelijk 99%. De processen op het gebied van reisdocumenten zijn in de gemeente Zaanstad vastgelegd in duidelijke procedures en voldoen in goede mate aan de eisen die over het werkproces in wet en regelgeving zijn vastgelegd. Om aan alle gestelde eisen in de wet en regelgeving te voldoen moet de gemeente de volgende acties ondernemen: Het document definitief aan het verkeer onttrekken als het document als gevonden is 8

9 ontvangen en de houder niet in de gemeente woonachtig is Fysieke beveiliging De score voor deze categorie is voldoende, namelijk 100%. De fysieke beveiliging bij de gemeente Zaanstad is goed. De fysieke bescherming en daarmee de veiligheid van reisdocumenten of medewerkers in dit proces is in goede mate geregeld. Naleving De score voor deze categorie is goed. Er is 100% van het totaal aantal punten behaald. Er wordt in de gemeente Zaanstad op goede wijze omgegaan met de uitkomsten van de zelfevaluatie. Architectuur De score voor deze categorie is onvoldoende. Er is 0% van het totaal aantal punten behaald. De gemeente scoort onvoldoende op het gebied van architectuur. De informatiesystemen rondom het reisdocumentenproces zijn niet ingericht zoals beschreven in circulaire BPR/U Verbeteracties zijn noodzakelijk om aan deze circulaire te voldoen en te komen tot een beter resultaat. Om aan alle gestelde eisen in de wet en regelgeving te voldoen moet de gemeente de volgende acties ondernemen: Het informatiesysteem in een geïsoleerd netwerksegment onderbrengen waardoor het op geen enkele wijze mogelijk is om verbinding met het internet te maken. De informatiesystemen t.b.v. de reisdocumenten en de reisdocumentenmodule zodanig beveiligen dat het onmogelijk is verbinding te maken met de informatiesystemen vanaf werkplekken of vanuit andere informatiesystemen die niet behoren tot de groep reisdocumenten en BRP. Personeel De score voor deze categorie is voldoende, namelijk 91%. Medewerkers vormen een belangrijk onderdeel in de betrouwbaarheid van het proces reisdocumenten. De beveiligingsaspecten op het gebied van personeel zijn voldoende in de gemeente Zaanstad. Er wordt op voldoende wijze aandacht besteed aan de integriteit en kwaliteit (competenties) van medewerkers. Er zijn echter verbeteringen wenselijk om tot een beter resultaat te komen: In het reisdocumentenproces functiescheiding tussen verstrekken en beheer inrichten In het reisdocumentenproces functiescheiding tussen beheer en uitreiken organiseren Bij aanstelling van vast én tijdelijk personeel de opgegeven gegevens van de medewerkers verifiëren Medewerkers voldoende kennis en bewustzijn meegeven op het gebied van informatiebeveiliging door middel van opleidingen en trainingen Calamiteiten De score voor deze categorie is voldoende, namelijk 93%. Calamiteitenbeheersing bij reisdocumenten is in de gemeente Zaanstad voldoende geregeld. De gemeente is voldoende voorbereid op een eventuele gebeurtenis die de normale bedrijfsvoering ernstig of langdurig zou kunnen verstoren. Er zijn echter verbeteringen mogelijk om de calamiteitenbeheersing verder te optimaliseren en tot een beter resultaat te komen: De burgemeester informeren als er een incident heeft plaatsgevonden 9

10 4.3.2 Advies Het advies is de bovenstaande voorgestelde verbeterpunten op te nemen in het beveiligingsplan voor 2017 van de afdeling KCC Burgerzaken. 4.4 Overige bevindingen in het afgelopen jaar Gedurende het afgelopen jaar heb ik toezicht gehouden op het beheer en de ontwikkeling van beveiligingsprocessen waardedocumenten en getoetst op de uitvoering van regelgeving en procedures ten aanzien van het waardedocumentenproces Bijzonderheden Gegeven adviezen van technische, organisatorische of fysieke aard: Instructie aan medewerkers Als onderdeel van het vergroten van bewustwording over informatieveiligheid heb ik in 2016 aan de medewerkers van afdeling KCC Burgerzaken een presentatie georganiseerd over informatieveiligheid. Toegang tot RAAS aanvraagstation en mobiel vingerafdrukopnameapparaat De toegang tot het mobiel vingerafdrukopnameapparaat is goed georganiseerd; er zijn overeenkomstig de bepalingen in de Paspoortuitvoeringsregeling ten hoogste drie medewerkers aangewezen die aanvragen in behandeling mogen nemen met behulp van het mobiel vingerafdrukopnameapparaat. De procedures voor toegang tot het aanvraagstation worden goed opgevolgd. Ik heb geconstateerd dat periodiek steekproeven worden gehouden om de werking van de procedures te toetsen. Uitvoering backup RAAS Gedurende het jaar heb ik gecontroleerd of de uitvoering van het backupproces en rapportage over het backupresultaat juist wordt gevolgd. Dit is het geval. Incidenten Er hebben zich geen incidenten voorgedaan Advies Het advies is om periodiek het veiligheidsbewustzijn van medewerkers en de werking en opvolging van werkinstructies te blijven toetsen. 5 Tot slot Volgens het werkproces wordt jaarlijks door het afdelingshoofd Klantcontact Burgerzaken een beveiligingsplan waardedocumenten opgesteld waarin de nietreguliere actiepunten worden opgenomen en toebedeeld aan verantwoordelijken. Hoewel er dit jaar geen formeel beveiligingsplan is opgesteld door de afdeling, heb ik geconstateerd dat de adviezen die ik in de rapportage over 2015 heb gegeven, geheel of gedeeltelijk zijn omgezet in actiepunten. 10

11 11

12 12