Informatiebeveiligingsplan basisregistratie personen (BRP) en waardedocumenten

Transcriptie

1 Collegevoorstel Openbaar Onderwerp Informatiebeveiligingsplan basisregistratie personen (BRP) en waardedocumenten Programma / Programmanummer Dienstverlening & Burgerzaken / 1011 Portefeuillehouder H.M.F. Bruls Samenvatting De wetgever stelt in de Wet basisregistratie personen (BRP), de Paspoortwet en het Reglement Rijbewijzen eisen aan de beveiliging van de uitvoeringsprocessen voor de BRP en Waardedocumenten. Aan de beveiliging dient een Informatiebeveiligingsplan ten grondslag te liggen. Daarnaast dient jaarlijks een inventarisatie plaats te vinden om inzicht te krijgen in de risico s en de te nemen maatregelen. BW-nummer Directie/afdeling, ambtenaar, telefoonnr. PU20, Marc Peters, 3570 Datum ambtelijk voorstel 4 september 2014 Registratienummer Ter besluitvorming door het college 1. Het Informatiebeveiligingsplan basisregistratie personen (BRP) en Waardedocumenten vast te stellen. 2. De bijlage risico-inventarisatie en evaluatie informatiebeveiliging BRP en Waardedocumenten vast te stellen. Paraaf akkoord Datum Steller Marc Peters Alleen ter besluitvorming door het College Besluit B&W d.d. 16 september 2014 X Conform advies Aanhouden Anders, nl. nummer: 4.2 Bestuursagenda Paraaf akkoord Datum Portefeuillehouder coll voorstel IBP 2014

2 Collegevoorstel 1 Probleemstelling Op 3 september 2013 is door ons College het Informatiebeveiligingsplan Gemeentelijke Basisadministratie Persoonsgegevens (GBA) en waardedocumenten vastgesteld. Omdat de GBA op 6 januari 2014 is vervangen door de Wet basisregistratie personen (Wbrp), is het noodzakelijk dit plan inclusief de risico-inventarisatie opnieuw vast te stellen. Mede daar het beleid minimaal eenmaal per raadsperiode dient te worden herijkt. 2 Juridische aspecten De wetgever stelt in de Wet basisregistratie personen (BRP), de Paspoortwet en het Reglement Rijbewijzen eisen aan de beveiliging van de uitvoeringsprocessen voor de BRP en Waardedocumenten. De verantwoordelijke bestuursorganen, burgemeester en wethouders voor de BRP, respectievelijk de burgemeester voor de andere twee processen, moeten jaarlijks rapporteren in hoeverre de organisatie aan deze eisen voldoet. Aan de beveiliging dient een Informatiebeveiligingsplan ten grondslag te liggen, waarin de uitgangspunten en beveiligingsprocedures zijn opgenomen die invulling geven aan die eisen. Het informatiebeveiligingsplan basisregistratie personen (BRP) en waardedocumenten vormt de basis voor de uit te voeren procedures met bijbehorende formulieren en rapportages. 3 Doelstelling Het vastleggen van beveiligingsmaatregelen voor kritische processen van Burgerzaken; Het voor derden aantoonbaar maken dat correct wordt omgegaan met het beheer van de BRP en waardedocumenten; Het in kaart brengen van risico s bij kritische processen van Burgerzaken en het nemen van passende maatregelen; Te bereiken dat zowel de zelfevaluatie paspoort en Nederlandse identiteitskaart als de zelfevaluatie BRP met succes wordt doorlopen. 4 Argumenten Informatiebeveiliging is een gemeentebreed onderwerp. In het kader van de Kwaliteitsmonitor heeft informatiebeveiliging rond de BRP en waardedocumenten een hoge prioriteit. De zelfevaluatie vereist dan ook een groot aantal beveiligingsmaatregelen rond de BRP en waardedocumenten. Ons College onderkent dat naast de wettelijke eis van de BRP en PUN, door het toenemende gebruik van ICT-mogelijkheden, het toenemend aantal informatiestromen en de toenemende computercriminaliteit, informatiebeveiliging een onderdeel van de bedrijfsvoering is. De gemeentelijke organisatie wordt steeds afhankelijker van al dan niet digitale informatiestromen. Schending van vertrouwelijkheid, integriteit en continuïteit heeft grote gevolgen. 5 Financiën Dit voorstel heeft geen financiële consequenties. 6 Participatie en Communicatie Binnen beide bureaus Burgerzaken zal het Informatiebeveiligingsplan BRP en waardedocumenten uitgereikt en besproken worden.

3 Collegevoorstel Vervolgvel 2 7 Uitvoering en evaluatie In het Informatiebeveiligingsplan BRP en waardedocumenten staan maatregelen die genomen zijn en genomen moeten worden. Jaarlijks wordt een rapportage over het Informatiebeveiligingsplan BRP en waardedocumenten uitgebracht en aan ons College ter besluitvorming aangeboden. Zonodig zal het Informatiebeveiligingsplan BRP en waardedocumenten door ons College worden geactualiseerd. Op grond van de fysieke, technische en personele aspecten is een inschatting gemaakt van het effect en de waarschijnlijkheid van een bepaalde bedreiging. Voor een groot aantal bevindingen geldt dat de waarschijnlijkheid en soms mede daardoor het effect in deze voor de gemeente Nijmegen onbeduidend of laag/gering zijn. Alle risico s zijn met een score lager dan 8 (waarschijnlijkheid maal effect) uit de risico inventarisatie gekomen. Dat betekent dat de risico s onbeduidend of laag/gering zijn. 8 Risico Er zijn geen risico s aan dit voorstel verbonden. Bijlage(n): Het Informatiebeveiligingsplan BRP en Waardedocumenten; De risico-inventarisatie en evaluatie informatiebeveiliging BRP en waardedocumenten

4 Informatiebeveiligingsplan BRP en Waardedocumenten Gemeente Nijmegen Versie : 3.2 Status : definitief Auteur : Marc Peters Datum : 15 september 2014

5 Alle rechten voorbehouden. Niets uit deze uitgave mag worden vermenigvuldigd, opgeslagen in een geautomatiseerd gegevensbestand, of openbaar gemaakt, in enige vorm of op enige wijze, hetzij elektronisch, mechanisch, door fotokopieën, opnamen of enig andere manier zonder voorafgaande schriftelijke toestemming van BMC Implementatie. Het eigen binnengemeentelijk gebruik door de gemeente Nijmegen is toegestaan. Copyright 2014, BMC Implementatie. Plan Informatiebeveiliging BRP en Waardedocumenten pagina 2 van 19

6 Inhoudsopgave 1 ALGEMEEN ALGEMEEN INLEIDING TOTSTANDKOMING, IMPLEMENTATIE EN EVALUATIE VERANTWOORDING GOEDKEURING INFORMATIEBEVEILIGINGSBELEID INFORMATIEBEVEILIGING RAAKVLAKKEN MET ANDER BELEID BELEIDSDOELSTELLING NIJMEGEN WETTELIJK KADER VERWERKING PERSOONSGEGEVENS TAKEN, VERANTWOORDELIJKHEDEN EN BEVOEGDHEDEN PASSENDE TECHNISCHE EN ORGANISATORISCHE MAATREGELEN BRP EN WAARDEDOCUMENTEN WETTELIJK KADER PERIODIEKE ZELFEVALUATIE, ONDERZOEK EN ACCOUNTANTSCONTROLE TAKEN, VERANTWOORDELIJKHEDEN EN BEVOEGDHEDEN FUNCTIESCHEIDING WAARDEDOCUMENTEN BIJLAGEN Plan Informatiebeveiliging BRP en Waardedocumenten pagina 3 van 19

7 Versiebeheer Versie Datum Gewijzigd door Korte beschrijving wijziging 1.0 BMC Implementatie Definitieve versie onder GBA BMC Implementatie Definitieve versie BRP BMC Implementatie Definitieve versie inclusief BIG Marc Peters Voorgelegd aan Overleggroep informatiebeveiliging BRP Marc Peters Vastgesteld in overleggroep informatiebeveiliging 1 Algemeen 1.1 Algemeen De wetgever stelt in de Wet basisregistratie personen (BRP), de Paspoortwet en het Reglement Rijbewijzen eisen aan de beveiliging van de uitvoeringsprocessen voor de BRP en Waardedocumenten. De verantwoordelijke bestuursorganen, burgemeester en wethouders voor de BRP respectievelijk de burgemeester 1 voor de andere twee processen, moeten jaarlijks rapporteren in hoeverre de organisatie aan deze eisen voldoet. Aan de beveiliging dient een Informatiebeveiligingsplan ten grondslag te liggen, waarin de uitgangspunten en beveiligingsprocedures zijn opgenomen die invulling geven aan die eisen. Dit document maakt deel uit van het in de vorige zin bedoelde Informatiebeveiligingsplan en vormt de basis voor de uit te voeren procedures met bijbehorende formulieren en rapportages waarnaar wordt verwezen in het hoofdstuk bijlagen. 1.2 Inleiding BRP en Waardedocumenten zijn niet de enige bedrijfsprocessen waarvoor beveiliging noodzakelijk is en in de voornoemde wetten is voorgeschreven. De gemeente verwerkt op tal van plaatsen in de organisatie gegevens over personen, waarvoor de Wet bescherming persoonsgegevens (Wbp) in artikel 13 de gemeente Nijmegen verplicht tot het treffen van beveiligingsmaatregelen. Ook buiten het domein van de persoonsgegevens valt er nog heel wat te beveiligen. Bijvoorbeeld besluitvormingsprocessen waarbij de gemeente Nijmegen als belanghebbende nadeel kan ondervinden als het besluit te vroeg in de openbaarheid komt. Een gemeentebreed beveiligingsbeleid met daarop afgestemde plannen is noodzakelijk om de totale bedrijfsvoering van de gemeente Nijmegen te beveiligen. Dit plan staat op zichzelf, maar is voor wat betreft de algemene beveiligingsmaatregelen afgestemd op de inhoud van de Baseline Informatiebeveiliging Nederlandse gemeenten van KING (mei, 2013). De Wet basisregistratie personen (Wet BRP) wordt de nieuwe grondslag voor de basisregistratie van persoonsgegevens en vervangt de Wet gemeentelijke basisadministratie persoonsgegevens (Wet GBA). De Wet BRP maakt onder andere vernieuwing van de ICT mogelijk en hierdoor wordt op termijn plaatsonafhankelijke dienstverlening voor burgers geïntroduceerd. Sommige van de wijzigingen kunnen pas worden doorgevoerd als de nieuwe ICT-voorzieningen (bijvoorbeeld BRP-ICT) in gebruik worden genomen. Deze worden gerealiseerd door het programma modernisering GBA. De eerste release zal niet eerder dan medio 2015 gereed zijn. Totdat alle nieuwe ICT-voorzieningen zijn opgeleverd, blijven gemeenten (gedeeltelijk) de GBA-ICT gebruiken, deze worden aangeduid als gemeentelijke voorziening. 1 In het vervolg van dit document zal voor de beide organen de term gemeentebestuur worden gebezigd met uitzondering van die plaatsen waar het strikt noodzakelijk is om de bestuursorganen concreet te duiden. Plan Informatiebeveiliging BRP en Waardedocumenten pagina 4 van 19

8 1.3 Totstandkoming, implementatie en evaluatie overleggroep informatiebeveiliging BRP Ten behoeve van de totstandkoming van het plan Informatiebeveiliging BRP en Waardedocumenten (WD) is door de gemeente Nijmegen een (permanent) overleggroep informatiebeveiliging BRP ingesteld. De samenstelling hiervan is opgenomen in de bijlage Functieverdeling. Overleggroep informatiebeveiliging BRP werkt onder verantwoordelijkheid van het hoofd van de afdeling Publiekszaken. De leden van overleggroep informatiebeveiliging BRP hebben of een sleutelrol in het beheer van de gemeentelijke voorziening, of in het beheer van waardedocumenten, of in de (fysieke) beveiliging van de Stadswinkel Uitvoering en evaluatie Informatiebeveiliging is pas effectief als deze op een gestructureerde manier wordt aangepakt en alle actoren die daarbij een rol hebben, daar op een juiste manier invulling aan geven. Beleidsdoelstellingen zijn bepalend voor het informatiebeveiligingsbeleid en in dit plan zijn die specifiek gericht op het gebied van BRP en Waardedocumenten. Binnen de organisatie moeten medewerkers verantwoordelijkheden krijgen voor de implementatie van dit beleid. De medewerkers worden betrokken (o.a. tijdens werkoverleg) bij de ontwikkeling en implementatie van het beleid en zijn mede verantwoordelijk voor de uitvoering. Daarnaast moet door de controller informatiebeveiliging worden vastgesteld of de maatregelen worden nageleefd. Dit plan wordt jaarlijks op relevantie en actualiteit geëvalueerd en beoordeeld door de beveiligingsbeheerder en bij noodzaak daartoe bijgesteld. Alle medewerkers van de gemeente Nijmegen worden via de gebruikelijke interne kanalen en voor zover noodzakelijk door hun leidinggevende via het reguliere werkoverleg geïnformeerd over voor hen van belang zijnde wijzigingen in informatiebeveiligingsbeleid, -plan, -maatregelen en/of procedures. Alle wijzigingen die direct betrekking hebben op individuele taken en bevoegdheden worden expliciet door de leidinggevende met zijn of haar betrokken medewerker(s) rechtstreeks gecommuniceerd. Dit plan Informatiebeveiliging BRP en Waardedocumenten bevat tevens een stelsel van procedures en maatregelen voor de dagelijkse praktijk. Dit stelsel moet regelmatig worden bezien op actualiteit. In dit plan zijn daarom afspraken vastgelegd over de verantwoordelijkheid voor handhaving en naleving van de getroffen maatregelen en procedures met betrekking tot BRP en Waardedocumenten. De belangrijkste afspraak in dit verband is dat overleggroep informatiebeveiliging BRP het voorliggend plan Informatiebeveiliging BRP en Waardedocumenten en de daarbij behorende procedures en bijlagen jaarlijks opnieuw bekijkt op actualiteit en controleert op naleving van de beleidsuitgangspunten. Overleggroep informatiebeveiliging BRP biedt het aangepaste plan vervolgens rechtstreeks ter advisering aan de gemeentesecretaris en het hoofd van de afdeling Publiekszaken aan. Daarna wordt het ter vaststelling aangeboden aan de bevoegde bestuursorganen, het college van B&W respectievelijk de burgemeester. Het gehele beleid dient minimaal eenmaal per raadsperiode te worden herijkt. 1.4 Verantwoording De Baseline Informatiebeveiliging Gemeenten (BIG) is het normenkader dat de beschikbaarheid, integriteit, vertrouwelijkheid en controleerbaarheid van gemeentelijke inform atie(system en) bevordert. Deze Baseline is een richtlijn die een totaalpakket aan informatiebeveiligingsmaatregelen omvat die Plan Informatiebeveiliging BRP en Waardedocumenten pagina 5 van 19

9 voor iedere gemeente geldt. D eze Baseline is opgezet rondom bestaande norm en; de N EN /ISO 27002:2007 en NEN/ISO 27001:2005. Deze standaard is voor de Nederlandse Overheid gekozen en algemeen aanvaard als de norm voor informatiebeveiliging. Voor specifieke maatregelen is in onderhavige Baseline ook gebruik gemaakt van onder andere de WBP, SUWI-wet, BRP, BAG en PUN. Dit plan Informatiebeveiliging BRP en Waardedocumenten is afgestemd met de inhoud van de Baseline Informatiebeveiliging Nederlandse gemeenten voor Nederlandse Gemeenten (BIG) van KING. Daarnaast is het voorliggend plan Informatiebeveiliging BRP en Waardedocumenten gebaseerd op regelgeving zoals die vermeld wordt in de in de aparte hoofdstukken van dit plan. 1.5 Goedkeuring Goedkeuring van de inhoud van dit document en de daarbij behorende procedures vindt plaats nadat de betrokken medewerkers van zowel de opdrachtnemer als opdrachtgever overeenstemming hebben bereikt over wat in het plan Informatiebeveiliging BRP en Waardedocumenten staat beschreven. Voor accordering van het voorliggend plan Informatiebeveiliging BRP en Waardedocumenten tekent hieronder de opdrachtgever: Nijmegen, Burgemeester en wethouders in haar hoedanigheid als verantwoordelijke voor de BRP. De burgemeester, De secretaris, De heer drs. H.M.F. Bruls de heer drs. B. van der Ploeg Burgemeester in zijn hoedanigheid als verantwoordelijke voor het onderdeel Waardedocumenten. De burgemeester, de heer drs. H.M.F. Bruls Plan Informatiebeveiliging BRP en Waardedocumenten pagina 6 van 19

10 2 Informatiebeveiligingsbeleid 2.1 Informatiebeveiliging Informatiebeveiligingsbeleid is volgens de NEN/ISO normen op schrift gesteld en door het gemeentebestuur, gemeentesecretaris en het hoofd van de afdeling Publiekszaken goedgekeurde beveiligingsbeleid met betrekking tot de informatievoorziening. Onder informatiebeveiliging wordt in dit kader verstaan een samenhangend geheel van maatregelen dat de beschikbaarheid, vertrouwelijkheid en integriteit van de gegevens garandeert en de controleerbaarheid van de getroffen maatregelen. 2.2 Raakvlakken met ander beleid Het informatiebeveiligingsbeleid heeft raakvlakken met het beleid en de daaruit voortvloeiende procedures die zijn gericht op de operationele veiligheid van het uitgifte- en beheerproces van waardedocumenten. Informatiebeveiligingsbeleid maakt deel uit van het totale beveiligingsbeleid van de gemeente. Dit is beschreven in het gemeentebrede informatiebeleidsplan. Dit beleid is gebaseerd op de inhoud van de Baseline Informatiebeveiliging Nederlandse gemeenten voor Nederlandse Gemeenten (BIG). Binnen dit beleidsterrein kan er onderscheid worden gemaakt tussen fysieke, logische en organisatorische beveiligingsmaatregelen met als voorbeelden identificatie van gebruikers, sleutelbeleid, personeelsbeleid en een clear desk policy. 2.3 Beleidsdoelstelling Nijmegen Het gemeentebestuur van Nijmegen stelt zich ten aanzien van de informatiebeveiliging als doel om beveiligingsmaatregelen te treffen die de continuïteit van de bedrijfsvoering garanderen. Maatregelen kunnen bestaan uit fysieke, organisatorische en logische maatregelen. De verschillende soorten van maatregelen richten zich in ieder geval op beschikbaarheid, integriteit, vertrouwelijkheid van gegevens en de controleerbaarheid van de gemeentelijke bedrijfsprocessen. Deze doelstelling geldt ten aanzien van alle gegevensverwerkende processen waarvoor het gemeentebestuur van Nijmegen de uiteindelijke verantwoordelijkheid draagt. Op het gebied van de BRP en Waardedocumenten neemt zij daarbij de algemene en specifieke eisen van het wettelijk kader als uitgangspunt. Als concrete norm voor de realisering van de beleidsdoelstelling wordt de eis neergelegd dat de informatiesystemen aangeduid in dit plan een beschikbaarheid tijdens werktijd kennen van minimaal 98,0%. Buiten werktijd worden er geen eisen gesteld aan de beschikbaarheid met uitzondering van voorzieningen in het kader van rampenbestrijding. 2.4 Wettelijk kader verwerking persoonsgegevens De Wbp vormt het algemeen kader voor de verwerking van persoonsgegevens. De verplichting tot beveiliging van persoonsgegevens is geregeld in artikel 13 van de Wbp. De tekst van dit artikel luidt: Artikel 13 Wbp De verantwoordelijke legt passende technische en organisatorische maatregelen ten uitvoer om persoonsgegevens te beveiligen tegen verlies of tegen enige vorm van onrechtmatige verwerking. Deze maatregelen garanderen, rekening houdend met de stand der techniek en de kosten van de tenuitvoerlegging, een passend beveiligingsniveau gelet op de risico s die de verwerking en de aard van de te beschermen persoonsgegevens met zich meebrengen. De maatregelen zijn er mede op gericht onnodige verzameling en verdere verwerking van persoonsgegevens te voorkomen. Het College bescherming persoonsgegevens (Cbp) kan de verantwoordelijke voor de verwerking van persoonsgegevens, bij gemeenten doorgaans het college van B&W of de burgemeester, aanspreken Plan Informatiebeveiliging BRP en Waardedocumenten pagina 7 van 19

11 op het niveau van de maatregelen voor de beveiliging van de verwerking van persoonsgegevens en de wijze waarop het stelsel van maatregelen is geïmplementeerd en wordt nageleefd. Buiten het algemeen kader van de Wbp dient het gemeentebestuur ook rekening te houden met de beveiligingseisen die andere wetten stellen, zoals dat voor dit plan zijn de Wet BRP, de Paspoortwet en het Reglement rijbewijzen. Voor dit plan is relevant dat de Wbp, voor wat betreft de verwerking van persoonsgegevens in de BRP niet van toepassing is (artikel 2, lid 2 d Wbp). De beveiliging van de BRP is geregeld bij en krachtens de Wet BRP. 2.5 Taken, verantwoordelijkheden en bevoegdheden De bestuurlijke verantwoordelijkheid voor het plan Informatiebeveiliging BRP en Waardedocumenten ligt bij het college van B&W respectievelijk de burgemeester. Deze organen laten het plan Informatiebeveiliging BRP en Waardedocumenten opstellen en zien toe op de uitvoering ervan door de betreffende medewerkers. De beveiligingsbeheerder is verantwoordelijk voor de inrichting, organisatie en uitvoering van het informatiebeveiligingsbeleid op het gebied van de persoonsinformatievoorziening. De beveiligingsbeheerder is in het bijzonder verantwoordelijk voor de opstelling, actualisering en uitvoering van het plan Informatiebeveiliging voor de gemeentelijke voorzieningen waarmee de gemeente Nijmegen uitvoering geeft aan de Wet BRP en voor het gegevensmagazijn. De controller Informatiebeveiliging is verantwoordelijk voor het toezicht op de naleving van de beveiligingsmaatregelen en procedures van het plan Informatiebeveiliging BRP en Waardedocumenten en ziet erop toe dat eens per jaar gecontroleerd wordt of de nog te nemen maatregelen gerealiseerd zijn (zie Regeling Beheer en Toezicht BRP) Verantwoordelijkheden gemeentebestuur Beveiliging is op bestuurlijk niveau de verantwoordelijkheid van het college van B&W van de gemeente Nijmegen. Het college van B&W stelt dit plan Informatiebeveiliging BRP vast en de burgemeester stelt het onderdeel Waardedocumenten vast. Genoemde bestuursorganen onderschrijven volledig de beveiligingsmaatregelen die in dit plan Informatiebeveiliging BRP en Waardedocumenten worden voorgeschreven en stellen, mede gelet op de wettelijke verplichtingen in de Wet BRP en Paspoortwet, dat de stand van zaken met betrekking tot de informatiebeveiliging jaarlijks wordt geëvalueerd om er zorg voor te dragen dat de informatiebeveiliging in de gemeente up-to-date blijft. Voor alle gegevensverwerkende processen rond het beheer en uitgifte van waardedocumenten heeft de burgemeester op basis van de Paspoortwet en het Reglement Rijbewijzen de uiteindelijke verantwoordelijkheid. Om zorg te dragen voor een jaarlijkse evaluatie en bijstelling van het plan Informatiebeveiliging BRP en Waardedocumenten is de rol van de beveiligingsbeheerder in het leven geroepen. Deze heeft de verantwoordelijkheid om namens de bestuursorganen toe te zien op naleving van de beveiligingsmaatregelen en procedures zoals uitgewerkt in het plan Informatiebeveiliging BRP en Waardedocumenten en daarover aan het college van B&W respectievelijk de burgemeester te rapporteren. De functie van de beveiligingsbeheerder moet niet verward worden met de functie van de beveiligingsfunctionaris reisdocumenten noch die van de beveiligingsfunctionaris rijbewijzen. Beide laatstgenoemde functies kennen zeer specifieke taken en verantwoordelijkheden op het beveiligingsgebied van enerzijds de reisdocumenten en anderzijds de rijbewijzen. Zie bijlage Functies waardedocumenten Verantwoordelijkheden van het hoofd van de afdeling Publiekszaken Beveiliging is op ambtelijk niveau de verantwoordelijkheid van het hoofd van de afdeling Publiekszaken van de gemeente Nijmegen. Plan Informatiebeveiliging BRP en Waardedocumenten pagina 8 van 19

12 Het hoofd van de afdeling Publiekszaken bepaalt binnen de gegeven bestuurlijke kaders de koers van het ambtelijk apparaat. Per jaar zullen de volgende punten met betrekking tot beveiliging aan de orde komen: Voortgang realisatie beveiligingsmaatregelen als beschreven in het plan Informatiebeveiliging BRP en Waardedocumenten en gerapporteerd door de beveiligingsbeheerder; Mogelijke ontwikkelingen die de bedrijfsinformatie bedreigen; Bespreking van en toezicht op beveiligingsincidenten zoals gerapporteerd door de beveiligingsfunctionaris reisdocumenten en/of de beveiligingsfunctionaris rijbewijzen; Goedkeuring van initiatieven om de (informatie)beveiliging te verbeteren; Geven van voor een ieder zichtbare ondersteuning bij de implementatie van beveiligingsmaatregelen; Bevorderen van het beveiligingsbewustzijn; Herziening en goedkeuring beveiligingsbeleid en de toegekende verantwoordelijkheden; Problematiek rondom beveiliging aan de orde stellen in het managementoverleg en of in de overleggroep informatiebeveiliging BRP; Melden van incidenten aan de burgemeester. In de functiebeschrijving van het hoofd van de afdeling Publiekszaken is het onderwerp beveiliging (het bovenstaande) als volgt omschreven: is verantwoordelijk voor de uitvoering van beleid op het terrein van Burgerzaken en Belastingen. 2.6 Passende technische en organisatorische maatregelen Welk niveau van technische en organisatorische maatregelen passend is wordt bepaald door de risicoklasse, waarin de persoonsgegevens worden ingedeeld en de context waarbinnen de gegevens worden verwerkt 2. De in de BRP vastgelegde persoonsgegevens zijn op grond van de door het College bescherming persoonsgegevens (CBP) gehanteerde classificatie ingedeeld in risicoklasse II (verhoogd risico). Dat wil zeggen er bestaan in vergelijking met het basisniveau van risicoklasse I extra negatieve gevolgen voor de betrokkene bij verlies, onbehoorlijke of onzorgvuldige verwerking van de persoonsgegevens. De indeling in deze risicoklasse komt voort uit de aard van de gegevensverwerking in de BRP: de gegevens die worden verwerkt hebben betrekking op de gehele bevolking van de gemeente Nijmegen. Een passend beveiligingsniveau Een adequaat niveau van beveiliging van persoonsgegevens kan worden bereikt door het treffen van een stelsel van technische en organisatorische maatregelen, waarvan het niveau aansluit bij de risico s welke verbonden zijn aan de gedefinieerde risicoklasse. De te nemen maatregelen worden gewogen aan de hand van de volgende criteria: Risico s zowel van de verwerking, als ook van de aard en de omvang van de persoonsgegevens. Stand van de techniek. Kosten Kwaliteitsaspecten Informatiebeveiligingsbeleid omvat een verzameling van strategische uitgangspunten waarin de bestuurlijke en ambtelijke top eendrachtig duidelijk maken aan het tactisch en operationeel niveau welke gedragslijn de gemeente Nijmegen dient te volgen om te komen tot een adequate informatiebeveiliging. Het beleid vormt daarmee de basis voor de hieronder uitgewerkte normen en maatregelen. Het maken en vaststellen van beveiligingsbeleid is nog geen garantie voor de goede werking. Hiervoor is het nodig dat de uitgangspunten in een informatiebeveiligingsbeleid concreet worden geformuleerd. Door middel van controles op de uitvoering dient het hoofd van de afdelingpubliekszaken vast te stellen of de maatregelen werken. Evaluatie van het beleid dient vervolgens plaats te vinden om na te gaan of het beleid nog steeds aansluit op de organisatie en of de juiste maatregelen zijn getroffen. 2 Richtsnoeren beveiliging van persoonsgegevens, Cbp 2013 februari 2013 Plan Informatiebeveiliging BRP en Waardedocumenten pagina 9 van 19

13 De beveiliging van persoonsgegevens kent vier kwaliteitsaspecten, namelijk: 1 e : beschikbaarheid De persoonsgegevens en de daarvan afgeleide informatie moeten zonder belemmeringen beschikbaar zijn overeenkomstig de daarover gemaakte afspraken en de wettelijke voorschriften. Beschikbaarheid wordt gedefinieerd als de ongestoorde voortgang van een gegevensverwerking. 2 e : integriteit De persoonsgegevens moeten in overeenstemming zijn met het afgebeelde deel van de werkelijkheid en niets mag ten onrechte worden achtergehouden of zijn verdwenen. 3 e : vertrouwelijkheid Uitsluitend bevoegde personen hebben toegang tot en kunnen gebruik maken van persoonsgegevens. 4 e : controleerbaarheid Een regelmatige controle op uitvoering van de beheersmaatregelen is noodzakelijk om vast te stellen of deze goed werken. Daarom is controleerbaarheid (auditability, assurance, audit trail) van groot belang. Controleerbaarheid is de mogelijkheid om (achteraf) vast te stellen hoe de informatievoorziening en haar componenten is gestructureerd en gebruikt. De gemeente Nijmegen hanteert voor deze kwaliteitsaspecten de volgende normen: Norm voor beschikbaarheid Het college van B&W en het hoofd van de afdeling Publiekszaken zijn zich ervan bewust dat de bedrijfsvoering geheel stil komt te liggen als de informatievoorziening wordt gestaakt als gevolg waarvan een aantal bedrijfskritische applicaties niet meer kunnen functioneren. Dit geldt onder andere en in het bijzonder voor de informatievoorziening vanuit de BRP. De informatievoorziening met betrekking tot de BRP moet tijdens de openingstijden van het gebouw Elckerlycpermanent beschikbaar zijn. In cijfers uitgedrukt betekent dit op jaarbasis een beschikbaarheid van gemiddeld 99,0%. Het functioneren van de BRP is cruciaal tijdens de openingstijden voor het publiek. De openingstijden (voor het publiek) zijn: Stadswinkel: ma t/m vrij: 9:00-17:00; van 13:00-17:00 uur alleen op afspraak; do 17:00-20:00 uur met en zonder afspraak. Steunpunt Stadswinkel (wijkcentrum Dukenburg/Meijhorst): di en vrij 9:00-17:00 uur; van 13:00-17:00 uur alleen op afspraak. Daarnaast dient het systeem dat de informatievoorziening BRP ondersteunt op jaarbasis tijdens kantooruren voor 98,0% beschikbaar te zijn. Met kantooruren worden hier bedoeld: 07:30-18:15 uur. Aangezien de BRP in beheer is bij de landelijke overheid, is de gemeente voor de realisatie van deze norm afhankelijk van de landelijk beheerder. Voor de continuïteit in de bedrijfsvoering is het noodzakelijk dat de gemeente voorzieningen treft die onverhoopte uitval van het landelijke systeem kan opvangen. Dit betreft voorzieningen die betrekking hebben op de gegevensbestanden, netwerkverbindingen en lokale systemen. De eerstkomende jaren zal de BRP nog worden uitgevoerd met behulp van de lokale voorzieningen, die gebaseerd zijn op de Wet GBA. Voor deze voorzieningen geldt dat een uitval nooit langer mag duren dan 48 uur. Er dienen adequate voorzieningen te zijn getroffen om ook in geval van calamiteiten na maximaal 48 uur de dienstverlening aan de burger en aan andere bestuursorganen Norm voor integriteit De technische en organisatorische inrichting van de gemeentelijke informatiesystemen zijn zodanig van aard en opzet dat de gegevens daarin volledig, juist, en actueel zijn. De verantwoordelijke personen en afdelingen van de gemeentelijke organisatie treffen hiervoor de nodige maatregelen. Plan Informatiebeveiliging BRP en Waardedocumenten pagina 10 van 19

14 Het is niet te voorkomen dat gegevens fouten bevatten. Een BRP-bestand zonder fouten is een nobel streven, maar is niet realistisch als concrete eis. Voor het evaluatie-instrument zijn kwaliteitsindicatoren opgesteld voor de gegevens die in de BRP zijn opgenomen. Deze indicatoren zijn gebaseerd op het Logisch Ontwerp en op regelgeving. Met de kwaliteitsindicatoren wordt gemeten in hoeverre de vastgelegde gegevens voldoen aan de genoemde regelgeving. De kwaliteitsindicatoren meten niet de overeenstemming van de BRP-gegevens met de 'feitelijke werkelijkheid'. Bij de uitgangspunten voor de beoordeling van de kwaliteitsindicatoren is het onderscheid in zes klassen van belang: Norm Zelfevaluatie *) Klasse (A) 99,70 2 (B) 99,70 3 (C) 99,60 4 (D) 99,50 5 (E) 99,50 6 (F) 99,40 *) Als kwaliteitsnorm bij het bepalen van de kwaliteit van de BRP-gegevens accepteert de gemeente per afzonderlijke klasse een score die minimaal gelijk is aan de score zoals die in bovenstaande tabel is opgenomen Norm voor vertrouwelijkheid Uitsluitend bevoegde personen in dienst van of werkzaam ten behoeve van de gemeente hebben toegang tot en kunnen gebruik maken van de in de voor hen relevante registraties opgenomen gegevens. De bevoegdheid van een persoon moet worden afgeleid van diens taak, dit ter beoordeling van de beheerder van de betreffende registratie, op aangeven van de direct leidinggevende van de betreffende persoon. Degenen van voornoemde personen, die belast zijn met de bijhouding van BRP gegevens en/of werken met waardedocumenten dienen een geheimhoudingsverklaring te hebben ondertekend Norm voor controleerbaarheid Mutaties in persoonsgegevens in de BRP kunnen gevolgen hebben die tot ver buiten het domein van de gemeente Nijmegen reiken. Bijvoorbeeld toelating tot Nederland is mede afhankelijk van de nationaliteit. Hoogte en duur van uitkeringen zijn veelal afhankelijk van leeftijd en burgerlijke staat. Dat betekent niet alleen dat de kwaliteit hoog moet zijn, maar dat, gelet op mogelijke belangenverstrengeling, ook gecontroleerd moet kunnen worden wie welke mutatie heeft verwerkt. De gemeente Nijmegen kent als norm dat 99% van alle mutaties in persoonsgegevens herleidbaar moeten zijn tot de individuele persoon die voor de mutatieverwerking verantwoordelijk was en dat zulks geldt voor 90% van alle raadplegingen. Samenvatting Beveiliging van (persoons-)gegevens vraagt om een zorgvuldige analyse van de risico s die met de gegevensverwerking samenhangen. Er zijn verschillende risico s te noemen die ertoe kunnen leiden dat bedrijfsprocessen stagneren. Bijvoorbeeld verlies van gegevens (raakt aan de kwaliteitsaspecten integriteit en beschikbaarheid) en onrechtmatig gebruik van gegevens (raakt aan het aspect vertrouwelijkheid), maken de resultaten van bedrijfsprocessen onbetrouwbaar. De in het voorliggend plan Informatiebeveiliging BRP en Waardedocumenten opgenomen procedures hebben als doel te voorkomen dat de risico s, behorend bij de aan de verwerking van persoonsgegevens verbonden risicoklasse (II) zich voordoen. Uitvoering van de procedures maakt het bedrijfsproces controleerbaar uit oogpunt van beveiliging. Plan Informatiebeveiliging BRP en Waardedocumenten pagina 11 van 19

15 3 BRP en Waardedocumenten 3.1 Wettelijk kader BRP Het op schrift stellen van de - in de praktijk van alledag al ingeburgerde beveiligingsprocedures is noodzakelijk om objectief te kunnen bepalen of de BRP-bestanden en bepaalde processen voldoen aan de eisen ten aanzien van beschikbaarheid (continuïteit), integriteit (betrouwbaarheid), vertrouwelijkheid (exclusiviteit) en controleerbaarheid. De gemeente moet op grond van de Wet BRP de beveiligingsmaatregelen nemen die die wet voorschrijft. De Wbp is namelijk niet van toepassing op de gegevensverwerking in het kader van de BRP. Als grondslag voor het beveiligingsbeleid op het onderdeel BRP in dit plan zijn van belang de artikelen 1.10 en 1.11 Wet BRP. Artikel 1.10 bepaalt dat de beveiligingsmaatregelen BRP bij of krachtens Algemene maatregel van bestuur (AMvB) worden geregeld (het Besluit BRP). Artikel 1.11 draagt het college van B&W op zich aan die maatregelen te houden. Gelet op het belang voor het beveiligingsbeleid volgt hieronder de tekst van artikel 6 Besluit BRP. Wet en Besluit BRP gaan verder in het stellen van eisen aan de beveiliging dan de Wbp. Bovendien geldt op grond van artikel 4.3 wet BRP de verplichting om jaarlijkse uiterlijk op 30 september zelf onderzoek te doen naar de inrichting, de werking en de beveiliging van de basisregistratie, alsmede naar de verwerking van gegevens in de basisregistratie. Artikel 6 Besluit BRP 1. Het college van burgemeester en wethouders treft ten aanzien van de gemeentelijke voorziening passende technische en organisatorische maatregelen ter beveiliging van de in de basisregistratie opgenomen gegevens tegen verlies of aantasting van deze gegevens en tegen onbevoegde kennisneming, wijziging of verstrekking van deze gegevens. 2. Onze Minister treft ten aanzien van de centrale voorzieningen passende technische en organisatorische maatregelen ter beveiliging van de in de basisregistratie opgenomen gegevens tegen verlies of aantasting van deze gegevens en tegen onbevoegde kennisneming, wijziging of verstrekking van deze gegevens. 3. De in het eerste en tweede lid bedoelde maatregelen omvatten ten minste: a) maatregelen gericht op personen die werkzaam zijn voor de verantwoordelijke voor de verwerking van gegevens in de basisregistratie; b) maatregelen gericht op de toegang tot gebouwen en ruimten waar in de basisregistratie opgenomen gegevens aanwezig zijn; c) maatregelen gericht op een deugdelijke werking en beveiliging van de apparatuur en programmatuur; d) maatregelen voor het geval de geheimhouding of integriteit van in de basisregistratie opgenomen gegevens is geschaad; e) maatregelen bij calamiteiten Reisdocumenten De wetgever stelt eisen aan de opslag, uitgifte en administratie van reisdocumenten. Deze eisen zijn neergelegd in de Paspoortuitvoeringsregeling Nederland 2001, kortweg PUN genoemd. Hoofdstuk XII van deze Regeling met als onderwerp beveiliging bepaalt in artikel 90: De met de uitvoering van de wet belaste autoriteiten treffen maatregelen om de onder hen berustende reisdocumenten, apparatuur, programmatuur, opslagmedia, documentatie en overige materialen te beveiligen tegen ontvreemding dan wel vernietiging ten gevolge van inbraak, diefstal, verduistering, overvallen, brand of anderszins. Deze te treffen maatregelen worden in dit plan Informatiebeveiliging BRP en Waardedocumenten verder uitgewerkt in concrete voorschriften op het gebied van fysieke beveiliging, back-up en herstel Plan Informatiebeveiliging BRP en Waardedocumenten pagina 12 van 19

16 en enkele voorschriften over hoe te handelen in bepaalde situaties. Artikel 93 lid 1 PUN vereist daartoe organisatorische maatregelen Rijbewijzen Het uitgifteproces van rijbewijzen komt sinds enkele jaren sterk overeen met dat van de Reisdocumenten. De artikelen 122 tot en met 130 van het Reglement Rijbewijzen hebben betrekking op de eisen aan de beveiliging rondom de uitgifte van rijbewijzen. Zo wordt geëist dat de met afgifte van rijbewijzen belaste autoriteiten zorg dragen voor een op schrift gestelde beveiligingsprocedure, met daarin in ieder geval beveiligingsvoorschriften ten aanzien van: toegang van personen tot en het beheer van rijbewijzen, de met de afgifte van rijbewijzen verband houdende materialen, apparatuur, toegangspassen en gebruikerscodes tot de apparatuur, de verantwoordelijkheden van de beveiligingsfunctionaris en de functiescheiding. 3.2 Periodieke zelfevaluatie, onderzoek en accountantscontrole Zelfevaluatie De in het plan Informatiebeveiliging BRP en Waardedocumenten voorgestelde beveiligingsmaatregelen en procedures vormen voor een groot deel eens per jaar het object van onderzoek bij de door de Paspoortwet en Wet BRP voorgeschreven zelfevaluaties Paspoorten en NIK en BRP. De uitslagen van deze zelfevaluaties worden door het college van B&W voor de BRP en de burgemeester voor de Reisdocumenten naar het Agentschap BPR gezonden en openbaar gemaakt via de webapplicatie Kwaliteitsmonitor. Die kwaliteitsmonitor is er ook voor de controle op de inhoudelijke kwaliteit van de gegevens Onderzoek BRP gegevens Het agentschap BPR voert periodiek inhoudelijke kwaliteitscontroles uit op de gegevens in de landelijke voorziening voor de BRP en stelt de resultaten van die controles beschikbaar via de Kwaliteitsmonitor. Elke gemeente kan de resultaten van de op haar betrekking hebbende onderdeel van de BRP in het onderdeel monitor Gegevens van de Kwaliteitsmonitor bekijken met behulp van een persoonlijke log-in. De gegevens in de BRP moeten voldoen aan de kwaliteitsnormen, welke op grond van artikel 47 Besluit BPR bij Ministeriële regeling worden bepaald Onderzoek BRP processen Gemeenten moeten periodiek zelf onderzoeken of zij voldoen aan de eisen die de wetgever stelt op het gebied van beveiliging en privacy bij de uitvoering van de BRP-werkzaamheden. Deze controle voert de gemeente uit aan de hand van een digitale vragenlijst BRP die BPR via de Kwaliteitsmonitor aan gemeenten beschikbaar stelt. De vragenlijst moet jaarlijks vóór 1 oktober definitief zijn ingevuld. De managementrapportage die de Kwaliteitsmonitor genereert na het definitief invullen van de vragenlijst, moet (eventueel aangevuld met de bevindingen van de beveiligingsbeheerder en voorzien van een actieplan van de gemeente) ter kennis worden gebracht aan het college van B&W. Deze ondertekent de rapportage en stuurt deze vóór 1 november naar het Agentschap BPR. De beveiligingsbeheerder neemt kennis van zowel de resultaten van deze jaarlijkse zelfevaluatie en houdt toezicht op de te ondernemen acties op geconstateerde tekortkomingen Onderzoek Paspoorten en NIK Sinds april 2013 gebruiken gemeenten voor haar onderzoek naar het reisdocumentenproces de vragenlijst in de Kwaliteitsmonitor van het agentschap BPR. Dit instrument moet verplicht gebruikt worden voor de evaluatie van het reisdocumentenproces en moet jaarlijks vóór 1 oktober definitief zijn ingevuld. De managementrapportage die de Kwaliteitsmonitor genereert na het definitief invullen van de vragenlijst, moet (eventueel aangevuld met de bevindingen van de beveiligingsfunctionaris reisdocumenten en voorzien van een actieplan van de gemeente) ter kennis worden gebracht aan de het college van B&W. Het bestuursorgaan, de burgemeester, ondertekent de rapportage en stuurt deze vóór 1 november naar het Agentschap BPR. Plan Informatiebeveiliging BRP en Waardedocumenten pagina 13 van 19

17 De beveiligingsfunctionaris reisdocumenten neemt kennis van zowel de resultaten van deze jaarlijkse zelfevaluatie en houdt toezicht op de te ondernemen acties op geconstateerde tekortkomingen Accountantscontrole Rijbewijzen Ook de procedures rond het verstrekken van rijbewijzen zijn onderwerp van controle. Op grond van artikel 128 lid 7 van het Reglement Rijbewijzen moeten de maatregelen zoals genoemd in artikel 128 lid 1 van dit reglement jaarlijks onderdeel uitmaken van de accountantscontrole. De bij de jaarlijkse evaluatie van het beheerproces rond Waardedocumenten (reisdocumenten en rijbewijzen) geconstateerde tekortkomingen worden schriftelijk vastgelegd en de daarop betrekking hebbende rapportages worden 5 jaar bewaard. Op de eventueel geconstateerde tekortkomingen wordt actie ondernomen. 3.3 Taken, verantwoordelijkheden en bevoegdheden Op grond van of krachtens de wet BRP, de Paspoortwet en het Reglement Rijbewijzen dienen een aantal taken, verantwoordelijkheden en bevoegdheden te worden vastgelegd en in de organisatie belegd. Zolang de gemeente de wet BRP uitvoert met de lokale voorzieningen die de Wet GBA voorschreef, dan betreft dit de beheerrollen die betrekking hebben op het informatiebeheer, gegevensbeheer, privacybeheer, applicatiebeheer en systeembeheerder. De beheerrollen ondergaan verandering, zodra de gemeente aansluit op de BRP en de GBA-voorzieningen afsluit. De taken en verantwoordelijkheden van de beheerrollen zijn beschreven in de op 2 september 2014 vastgestelde Regeling Beheer en Toezicht BRP. Op het gebied van de Waardedocumenten dienen te worden aangewezen een beveiligingsfunctionaris reisdocumenten, de Autorisatie Bevoegde Reisdocumenten, de beveiligingsfunctionaris rijbewijzen en de Autorisatie Bevoegde Rijbewijzen. De beschrijving en toekenning van de rollen in het kader van de Waardedocumenten maken deel uit van de bijlagen. Voor alle in dit hoofdstuk voorkomende functies is in de bijlage Functieverdeling de vervanging vastgelegd Verantwoordelijkheden van de beveiligingsfunctionaris reisdocumenten Op grond van artikel 93 lid 8 van de PUN 2001 is door de burgemeester een beveiligingsfunctionaris reisdocumenten aangewezen die belast is met het beheer van en het toezicht op de naleving van de beveiligingsprocedure. Van de aanwijzing of de vervanging van de beveiligingsfunctionaris reisdocumenten wordt direct schriftelijk melding gedaan aan het agentschap BPR (o.g.v. lid 9). De functie van beveiligingsfunctionaris is niet verenigbaar met het verrichten van andere handelingen ter uitvoering van de wet (o.g.v. lid 10). De taken en verantwoordelijkheden van de beveiligingsfunctionaris zijn in een functiebeschrijving opgenomen (o.g.v. lid 11). De taken en verantwoordelijkheden komen aan de orde bij De burgemeester draagt er zorg voor dat de beveiligingsfunctionaris in staat wordt gesteld alle handelingen te verrichten die uit zijn taak voortvloeien (o.g.v. lid 12). De beveiligingsfunctionaris reisdocumenten is rechtstreeks verantwoording verschuldigd aan de burgemeester (o.g.v. lid 13). De beveiligingsfunctionaris reisdocumenten is onafhankelijk van de taken en werkprocessen bij burgerzaken en heeft voldoende mogelijkheden om zijn taken goed te kunnen vervullen (ogv de vragen en uit het Beveiligingsnet) Functiebeschrijving van de beveiligingsfunctionaris reisdocumenten Tussen de opdrachtgever (burgemeester) en de beveiligingsfunctionaris is sprake van scheiding in verantwoordelijkheden (vraag 14 kwaliteitsmonitor ogv art. 93, lid 8 PUN). Tussen de uitvoerder (Burgerzaken) en de beveiligingsfunctionaris is tevens scheiding in verantwoordelijkheden o.g.v. art. 93 lid 10 van de PUN. Plan Informatiebeveiliging BRP en Waardedocumenten pagina 14 van 19

18 Taken Jaarlijkse (tussentijdse) controle op de uitvoering van de te nemen maatregelen (uit de jaarlijkse beveiligingsrapportage) (vraag 4 en 7 kwaliteitsmonitor); De beveiligingsfunctionaris rapporteert bij de eerstvolgende evaluatie, als er geen besluitvorming plaatsvindt op, of uitvoering wordt gegeven aan de adviezen en maatregelen uit de beveiligingsrapportage. En brengt dit schriftelijk ter kennis aan de burgemeester (vraag 8 kwaliteitsmonitor); De beveiligingsfunctionaris wordt bij het definitief invullen van de vragenlijst (kwaliteitsmonitor) betrokken door Burgerzaken; Op basis van de definitief ingevulde vragenlijst genereert de kwaliteitsmonitor een rapportage bestaande uit een bestuursrapportage (eventueel aangevuld met de bevindingen van de beveiligingsfunctionaris en de senior specialist burgerzaken, zijnde de rapportage evaluatie reisdocumenten) voor de burgemeester en een detailrapportage op basis waarvan de gemeente indien gewenst een actieplan kan opstellen; (vraag 9 kwaliteitsmonitor). Deze wordt rechtstreeks aan de burgemeester gerapporteerd (vraag 10 kwaliteitsmonitor); Dezelfde rapportage kan door de beveiligingsfunctionaris tevens worden toegezonden aan het hoofd Burgerzaken (bijlage K is vervallen); Naast de direct leidinggevende (Burgerzaken), kunnen medewerkers burgerzaken incidenten melden aan de beveiligingsfunctionaris, ter registratie (ogv de procedure rapportage van incidenten en vraag 109 kwaliteitsmonitor). Naast de direct leidinggevende (Burgerzaken) kan de burgemeester door de beveiligingsfunctionaris geïnformeerd worden over inbreuken (tekortkomingen in de beveiligingsvoorzieningen ogv de procedure rapportage van incidenten en vraag 109); Het (laten) verrichten van onderzoek bij beveiligingsincidenten met het doel dergelijke situaties in de toekomst te voorkomen; Het reviewen van de onderzoeksrapportages reisdocumenten (externe verantwoording) van de sr. specialist Burgerzaken. De uitkomsten van die onderzoeken liggen ten grondslag aan een aantal vragen uit de kwaliteitsmonitor; Deelname aan het veiligheidoverleg (werkgroep beveiliging) zie bijlage functieverdeling; Het ontvangen van verslagen van het overleg tussen de beveiligingsfunctionaris en het hoofd burgerzaken (zijnde verslagen van uit de overleggroep informatiebeveiliging BRP; waarin zaken aan de orde kunnen komen als incidenten; aan wie welke autorisatie de autorisatiebevoegde reisdocumenten toegekend heeft en andere kennisgevingen (dmv bureauverslagen te overleggen waarin beveiligingsonderwerpen zijn besproken) ogv Beveiligingsnet PUN; Controleren of de sr. specialist burgerzaken ten minste één maal per jaar voorlichting en instructies geeft aan medewerkers burgerzaken inzake beveiligingsprocedures en processen en risicobeperkende afspraken en maatregelen terzake (ogv art 93 lid 5 PUN); 3.4 Functiescheiding Waardedocumenten Om de kans te verkleinen dat medewerkers van de bureaus Burgerzaken en Publieksdienstverlening door kwaadwillenden worden misleid (externe fraude), of dat zij al dan niet onder druk van chantage, bedreiging of omkoping misbruik maken van hun bevoegdheden (interne fraude) is functiescheiding bij het verstrekken van waardedocumenten noodzakelijk. Hieronder een korte uitleg van de relevante termen: Aanvraag/verstrekking: Hieronder wordt verstaan het bij de balie behandelen van een aanvraag voor een Waardedocument en de beslissing daarop. Bij de aanvraag van een rijbewijs dient een aanvraagformulier te worden ingevuld; bij de aanvraag van een reisdocument moet een foto- en handtekeningformulier worden gebruikt. Eventueel kan daarbij een aanvraagformulier worden ingevuld. Beheer: Hieronder wordt verstaan de verantwoordelijkheid voor de materialen en (gepersonaliseerde) waardedocumenten tussen het moment van de aanvraag en de uitreiking. Uitreiking: Hieronder wordt verstaan het feitelijk aan de houder ter beschikking stellen van het op zijn naam gestelde waardedocument. Plan Informatiebeveiliging BRP en Waardedocumenten pagina 15 van 19

19 3.4.1 Functiescheiding Reisdocumenten Op grond van de PUN dient de volgende functiescheiding te worden gerealiseerd: Tussen de beveiligingsfunctionaris reisdocumenten en degenen die belast zijn met uitvoerendeen beheertaken met betrekking tot reisdocumenten (PUN art. 93, lid 10). De beveiligingsfunctionaris reisdocumenten mag niet betrokken zijn bij of verantwoordelijkheid dragen voor de procedures rondom reisdocumenten. Dit voorkomt dat de beveiligingsfunctionaris reisdocumenten zijn eigen werk controleert. Tussen aanvraag/verstrekking, beheer en uitreiking van reisdocumenten (PUN art. 93 lid 1, sub c). Het reisdocument moet door een andere medewerker worden uitgereikt dan degene die de beslissing op de aanvraag heeft genomen. De functiescheiding op dit gebied wordt in de gemeente Nijmegen bereikt doordat op het uitreikformulier of het aanvraagformulier de paraaf van de medewerker is geplaatst, die over de aanvraag heeft beslist. Door de medewerkers wordt er middels de signalering in de reisdocumentenmodule op toegezien dat de uitreiking door een andere medewerker plaatsvindt. Voorts dient er ingevolge artikel 93, lid 1, sub c van de PUN functiescheiding te zijn gerealiseerd tussen degene die het beheer heeft over de voorraad gepersonaliseerde reisdocumenten en de medewerkers die de aanvraag behandelen dan wel de uitreiking verzorgen. Indien door een te geringe personele capaciteit deze functiescheiding onmogelijk is, kan tijdelijk hiervan worden afgeweken. Zie procedure Ontbreken van voldoende functiescheiding. Hierbij gelden op grond van artikel 93, lid 3 van de PUN de volgende voorschriften: Schriftelijk wordt vastgelegd: De reden waarom tijdelijk niet aan de eis van functiescheiding kan worden voldaan; De periode waarin niet aan de eis van functiescheiding kan worden voldaan; De namen van de medewerkers, die in deze periode zijn belast met de aanvraag/verstrekking, het beheer en de uitreiking van de reisdocumenten. De uitdraai uit het RAAS en de afschriften van de in deze periode verstrekte documenten worden afzonderlijk bewaard. Na afloop van de betreffende periode controleert de beveiligingsfunctionaris reisdocumenten of de schriftelijke vastlegging aanwezig is en de aanvraag/verstrekking, het beheer en de uitreiking op de voorgeschreven wijze hebben plaatsgevonden Functiescheiding Rijbewijzen Op grond van het Reglement Rijbewijzen dient de volgende functiescheiding te worden gerealiseerd: Tussen aanvraag en uitreiking van rijbewijzen Het rijbewijs wordt door een andere medewerker uitgereikt dan degene die de beslissing op de aanvraag heeft genomen. De functiescheiding op dit gebied wordt in de gemeente Nijmegen bereikt doordat op het uitreikformulier of het aanvraagformulier de paraaf van de medewerker is geplaatst, die over de aanvraag heeft beslist. Door de medewerkers wordt er middels de signalering in de rijbewijsmodule op toegezien dat de uitreiking door een andere medewerker plaatsvindt. Indien door een te geringe personele capaciteit deze functiescheiding onmogelijk is, kan tijdelijk hiervan worden afgeweken. Zie procedure Ontbreken van voldoende functiescheiding. Hierbij gelden op grond van artikel 128, lid 3 van het Reglement Rijbewijzen de volgende voorschriften: Schriftelijk wordt vastgelegd: De reden waarom tijdelijk niet aan de eis van functiescheiding kan worden voldaan; De periode waarin niet aan de eis van functiescheiding kan worden voldaan; Plan Informatiebeveiliging BRP en Waardedocumenten pagina 16 van 19

20 De namen van de ambtenaren, die in deze periode zijn belast met de aanvraag, het beheer en de uitreiking van de rijbewijzen. De betreffende aanvraagformulieren en de gegevens over de in deze periode verstrekte documenten worden afzonderlijk bewaard. Na afloop van de betreffende periode controleert de beveiligingsfunctionaris rijbewijzen of de schriftelijke vastlegging aanwezig is en de aanvraag, het beheer en de uitreiking op de voorgeschreven wijze hebben plaatsgevonden Verantwoordelijkheden van de beveiligingsfunctionaris rijbewijzen Op grond van artikel 128, lid 6 van het Reglement Rijbewijzen is door de burgemeester een beveiligingsfunctionaris rijbewijzen aangewezen. Deze beveiligingsfunctionaris rijbewijzen is aangesteld voor het beheer van en het toezicht op de naleving van de beveiligingsprocedures betrekking hebbend op de rijbewijzen (ogv art 128, lid 6). De taken en verantwoordelijkheden van deze functionaris zijn in onderstaande functiebeschrijving opgenomen Functiebeschrijving van de beveiligingsfunctionaris rijbewijzen Plaats in de organisatie De beveiligingsfunctionaris rijbewijzen is op grond van artikel 128. lid 6 van het Reglement Rijbewijzen aangewezen door de burgemeester. Daarbij is in ieder geval sprake van functiescheiding tussen deze beveiligingsfunctie en de uitvoerende taken met betrekking tot de afgifte en het beheer van rijbewijzen. Taken De beveiligingsfunctionaris rijbewijzen is verantwoordelijk voor: De jaarlijkse controle (steekproefsgewijs) op de naleving van de beveiligingsprocessen, - procedures en instructies betreffende rijbewijzen (ogv art. 128 lid 4 en art 129 Reglement Rijbewijzen); Het toezicht houden of (nieuwe) medewerkers worden geïnstrueerd en bekendgemaakt met de beveiligingsprocedures en -processen, betrekking hebbend op de rijbewijzen; Indien tijdelijk niet aan functiescheiding, bedoeld in het derde lid van artikel 128 Reglement Rijbewijzen kan worden voldaan, controleert de beveiligingsfunctionaris rijbewijzen ogv hetzelfde artikel lid 4, na afloop van de betreffende periode of de schriftelijke vastlegging aanwezig is en de aanvraag, het beheer en de uitreiking op de voorgeschreven wijze hebben plaatsgevonden. Plan Informatiebeveiliging BRP en Waardedocumenten pagina 17 van 19

21 4 Bijlagen Algemeen Basisdocument plan Informatiebeveiliging BRP en Waardedocumenten Risico inventarisatie en evaluatie BRP Procedure Communicatie over beveiliging Procedure Rapportage van Incidenten Procedure Toegangsbeleid gemeentelijke gebouwen en ruimten Procedure Clear-desk policy Procedure Introductie nieuw personeel Procedure Antecedentenonderzoek Procedure Sleutel- en toegangsbeheer Procedure Logging beleid Rapportage Controle communicatie over beveiliging Rapportage Toetsing Clear-desk policy Rapportage Evaluatie Informatiebeveiligingsbeleid en beveiligingsplan Bijlage Functieverdeling Bijlage machtiging bewerker (BZK) Bijlage Bewerkersovereenkomst Bijlage vragenlijst bewerker ICT Procedure Continuïteitsbeheer Procedure Autorisatie tot het lokale netwerk Procedure Afvoeren van computers Procedure Antivirus voorzieningen Procedure Goedkeuren updates gemeentelijke voorziening Procedure Vernietiging van verwijderbare media Procedure Logging gemeenten Rapportage Controle autorisaties LAN Rapportage test restore back-up Rapportage uitwijk Bijlage Intern uitwijkplan BRP Bijlage Uitwijkcontract Bijlage Back-up registratie Bijlage Onderhoudscontract Bijlage Proces-verbaal vernietiging van verwijderbare media BRP Verordening gegevensverstrekking BRP Regeling Verstrekkingen BRP Regeling Beheer en Toezicht BRP Procedure Autorisatie tot de gemeentelijke voorziening Procedure communicatie over logging van toegang tot en gebruik van systemen Procedure Herstel van mutaties Procedure Correctie Procedure Gegevensverwerking Procedure Verstrekkingsbeperking Procedure Identificatie en Machtiging Plan Informatiebeveiliging BRP en Waardedocumenten pagina 18 van 19

22 Procedure Inzagerecht Procedure Protocollering Procedure Terugmeldingen Procedure Verstrekking van gegevens aan organen van de gemeente Procedure Verstrekken gegevens uit de BRP Rapportage Controle autorisaties Rapportage Test herstel mutaties Rapportage Controle gegevensverstrekking en protocollering Rapportage Controle gegevensverwerking Rapportage Controle inzagerecht Rapportage Controle privacyregelgeving Rapportage Controle recht op verstrekkingsbeperking Rapportage Terugmeldingen Managementrapportage zelfevaluatie BRP Bijlage Activiteitenkalender informatiebeveiliging en privacy Bijlage Autorisatieformulier BRP Bijlage formulier registratie reconstructie Bijlage Geheimhoudingsverklaring Bijlage Parafenlijst inzage Bijlage Uitdraai kwaliteitsmonitor zelfevaluatie BRP Bijlage Verstrekkingentabel BRP Waardedocumenten Procedure Aanvraag en uitreiking waardedocumenten Procedure Autorisatie RAAS aanvraagstations en rijbewijsmodule Procedure Back-up en restore RAAS Procedure Kasbeheer Procedure Ontbreken van voldoende functiescheiding Procedure Ontvangst en beheer waardedocumenten Procedure Overvalinstructie en agressief publiek Rapportage Controle autorisaties RAAS/Aanvraagstations en rijbewijsmodule Rapportage Controle ontbreken van voldoende functiescheiding Rapportage Evaluatie paspoorten en NIK Rapportage Evaluatie rijbewijzen Bijlage Activiteitenkalender Waardedocumenten Bijlage Aangewezen medewerkers mobiele vingerapparatuur Bijlage Aangewezen medewerkers waardedocumenten Bijlage Aangifteformulier overval Bijlage Autorisatiebevoegden waardedocumenten Bijlage Formulier Identificatievragen Bijlage Functies Waardedocumenten Bijlage Ontvangst- en innamebewijs identificatiekaart/smartcard Bijlage Ontvangstlijst waardedocumenten Bijlage Onvoldoende functiescheiding Bijlage Uitdraai kwaliteitsmonitor zelfevaluatie Paspoorten en NIK Managementrapportage zelfevaluatie Paspoorten en NIK Plan Informatiebeveiliging BRP en Waardedocumenten pagina 19 van 19

23 Procedure Inzagerecht Procedure Protocollering Procedure Terugmeldingen Procedure Verstrekking van gegevens aan organen van de gemeente Procedure Verstrekken gegevens uit de BRP Rapportage Controle autorisaties Rapportage Test herstel mutaties Rapportage Controle gegevensverstrekking en protocollering Rapportage Controle gegevensverwerking Rapportage Controle inzagerecht Rapportage Controle privacyregelgeving Rapportage Controle recht op verstrekkingsbeperking Rapportage Terugmeldingen Managementrapportage zelfevaluatie BRP Bijlage Activiteitenkalender informatiebeveiliging en privacy Bijlage Autorisatieformulier BRP Bijlage formulier registratie reconstructie Bijlage Geheimhoudingsverklaring Bijlage Parafenlijst inzage Bijlage Uitdraai kwaliteitsmonitor zelfevaluatie BRP Bijlage Verstrekkingentabel BRP Waardedocumenten Procedure Aanvraag en uitreiking waardedocumenten Procedure Autorisatie RAAS aanvraagstations en rijbewijsmodule Procedure Back-up en restore RAAS Procedure Kasbeheer Procedure Ontbreken van voldoende functiescheiding Procedure Ontvangst en beheer waardedocumenten Procedure Overvalinstructie en agressief publiek Rapportage Controle autorisaties RAAS/Aanvraagstations en rijbewijsmodule Rapportage Controle ontbreken van voldoende functiescheiding Rapportage Evaluatie paspoorten en NIK Rapportage Evaluatie rijbewijzen Bijlage Activiteitenkalender Waardedocumenten Bijlage Aangewezen medewerkers mobiele vingerapparatuur Bijlage Aangewezen medewerkers waardedocumenten Bijlage Aangifteformulier overval Bijlage Autorisatiebevoegden waardedocumenten Bijlage Formulier Identificatievragen Bijlage Functies Waardedocumenten Bijlage Ontvangst- en innamebewijs identificatiekaart/smartcard Bijlage Ontvangstlijst waardedocumenten Bijlage Onvoldoende functiescheiding Bijlage Uitdraai kwaliteitsmonitor zelfevaluatie Paspoorten en NIK Managementrapportage zelfevaluatie Paspoorten en NIK Plan Informatiebeveiliging BRP en Waardedocumenten pagina 20 van 20

24 Risico-inventarisatie en evaluatie Informatiebeveiliging BRP en Waardedocumenten Gemeente Nijmegen Versie : 1.0 Status : definitief Auteur : Marc Peters Datum : 15 september 2014 Bijlage bij het plan Informatiebeveiliging Pagina 1 van 20

25 Alle rechten voorbehouden. Niets uit deze uitgave mag worden vermenigvuldigd, opgeslagen in een geautomatiseerd gegevensbestand, of openbaar gemaakt, in enige vorm of op enige wijze, hetzij elektronisch, mechanisch, door fotokopieën, opnamen of enig andere manier zonder voorafgaande schriftelijke toestemming van BMC Implementatie. Het eigen binnengemeentelijk gebruik door de gemeente Nijmegen is toegestaan. Copyright 2014, BMC Implementatie Bijlage bij het plan Informatiebeveiliging Pagina 2 van 20

26 Inhoudsopgave 1 RISICO ANALYSE INLEIDING HET HOE EN WAAROM VAN EEN RISICO ANALYSE WAARSCHIJNLIJKHEID EN EFFECT PRIORITEITSTELLING ANALYSE MATRIX TOELICHTING OP DE ANALYSE BIJLAGE KENMERKEN COMPUTERRUIMTE KENMERKEN FYSIEKE BEVEILIGING KENMERKEN GEMEENTELIJKE VOORZIENING KENMERKEN GEMEENTELIJK LAN Bijlage bij het plan Informatiebeveiliging Pagina 3 van 20

27 Bijlage RI&E V doc Gemeente Nijmegen 1 Risico analyse 1.1 Inleiding Het optreden van een gebeurtenis welke, bij het ontbreken van passende maatregelen, duidelijk waarneembare gevolgen (materieel dan wel immaterieel) voor de organisatie heeft, noemen we een calamiteit. Calamiteiten zijn niet uit te sluiten daar het niet mogelijk is om voor alle mogelijk gebeurtenissen beheersmaatregelen te treffen. Daarnaast dient in ogenschouw te worden genomen dat beheersmaatregelen tijd en geld kosten zowel bij de opzet als in het onderhoud. Het is dus van belang om een goede analyse te maken van de calamiteiten die in de organisatie kunnen optreden om zodoende de juiste maatregelen te kunnen treffen. Risico s zijn altijd gerelateerd aan de doelstelling van de organisatie. Daar veel diensten en producten afhankelijk zijn van de informatievoorziening is het van belang om een goede analyse te maken. De risico s die een organisatie loopt ten aanzien van de informatiebeveiliging zijn in veel gevallen gelijk. De onderstaande risico s kunnen worden onderkend: De klant 1 krijgt geen informatie; De klant krijgt niet tijdig de gewenste informatie; De klant krijgt verkeerde informatie; De klant krijgt onvolledige informatie; Vertrouwelijke informatie komt in verkeerde handen. Hoewel voor elke organisatie verschillend, is het toch mogelijk een aantal gevolgen van een calamiteit te noemen: Vitale informatie gaat verloren; Controle is niet meer mogelijk; Informatie is niet meer beschikbaar; Goederen en diensten kunnen niet geleverd worden; Demotivatie bij medewerkers; Chaos; Fraude; Vertrouwelijke informatie lekt uit. 1.2 Het hoe en waarom van een risico analyse Voordat de uitgangspunten waaraan de informatiebeveiliging moet voldoen bepaald worden, wordt een risico analyse inclusief een gevolgschade onderzoek uitgevoerd om de risico s voor de bedrijfsprocessen te analyseren. Later kunnen dan voor de kritieke bedrijfsprocessen de kans van optreden (waarschijnlijkheid) of de mogelijke schade (het effect) worden weggenomen of beperkt. Wordt deze analyse overgeslagen dan worden maatregelen gekozen welke wellicht het beoogde doel niet waarborgen. 1 Met klant bedoelen we zowel de interne als de externe klant. Bijlage bij het plan Informatiebeveiliging Pagina 4 van 20

28 Bijlage RI&E V doc Gemeente Nijmegen Een risico analyse kan op een aantal manieren plaatsvinden. Een veel gebruikte manier is de kwantitatieve methode waarbij de risico s voor het manifest worden van alle onderkende bedreigingen (het optreden van een calamiteit dus) voor de organisatie bepaald worden. Bij een gevolgschade onderzoek (die aan de hand van de risico analyse uitgevoerd kan worden) wordt de materiële (en wellicht ook de immateriële) schade die optreedt bij het manifest van een calamiteit per gebeurtenis gekwantificeerd en daarna gesommeerd. De totale schadeverwachting per jaar geeft het MT Publiekszaken gereedschap in handen om de kosten van voorzieningen te relateren aan de te vermijden risico s. In de laatste jaren komt de kwalitatieve methode meer in zwang. Hierbij worden risico s niet meer in cijfers achter de komma bepaald maar worden klassen samengesteld en kan het MT Publiekszaken vervolgens keuzen maken welke risico s men wil kunnen overleven. Deze methode levert meer tastbare handvatten. Het MT Publiekszaken ziet hierdoor in een oogopslag welke processen de hoogste prioriteit dienen te krijgen. De kwalitatieve methode wordt in het voorliggend plan Informatiebeveiliging BRP en Waardedocumenten toegepast. 1.3 Waarschijnlijkheid en effect Om de beveiliging verder te verbeteren, moet een risico analyse worden uitgevoerd. Er dient eerst bewustwording te zijn voordat men adequate maatregelen kan treffen. Er zijn een aantal generieke bedreigingen die kunnen worden onderscheiden ten aanzien van de informatiebeveiliging. Deze kunnen worden onderverdeeld in 3 hoofdgroepen: Fysieke bedreigingen; Personele bedreigingen; ICT technische bedreigingen. In de analysematrix (1.5) wordt gebruik gemaakt van bedreigingen per kwaliteitsaspect (data-integriteit, beschikbaarheid, vertrouwelijkheid en controleerbaarheid) van de informatiebeveiliging. Sommige bedreigingen hebben betrekking op meer dan één aspect en in die gevallen is de bedreiging ondergebracht in de meest logische categorie. Niet alle bedreigingen zijn even groot. Om toch een inschatting te maken van de ernst van de risico's worden twee factoren ingevoerd waarmee de risico's ten opzichte van elkaar kunnen worden gewogen: waarschijnlijkheid en effect. Waarschijnlijkheid Het begrip waarschijnlijkheid heeft betrekking op de kans dat een incident zich zal voordoen. Deze inschatting is moeilijk te maken. Niet alles over wat zich aan ongewenste incidenten voordoet, is bekend. In de risico analyse is expertkennis gekoppeld aan interviews met betrokkenen bij de gemeente Nijmegen. De bevindingen hiervan hebben geleid tot de beveiligingsmaatregelen zoals opgesomd in paragraaf 1.5. Effect De schade van genoemde incidenten kan aanzienlijk zijn. Niet alleen omdat waardevolle documenten of informatie verloren kunnen c.q. kan gaan, maar ook omdat de gevolgen voor medewerkers groot kunnen zijn. Ook kan het incident nadelige gevolgen hebben voor het beeld van de gemeente bij het publiek. Bijlage bij het plan Informatiebeveiliging Pagina 5 van 20

29 Bijlage RI&E V doc Gemeente Nijmegen 1.4 Prioriteitstelling De risico's zijn in de risicoanalyse ten opzichte van elkaar gewogen op de aspecten "waarschijnlijkheid" en "effect" conform de CRAMM methode. Uit de combinatie van "waarschijnlijkheid" en "effect" kan de grootte van het risico worden bepaald. Dit leidt vervolgens tot een zogenoemde prioriteitstelling: een volgorde van de risico's waar men zich tegen moet wapenen. WAARSCHIJNLIJKHEID Vier niveaus van waarschijnlijkheid 1. ONBEDUIDEND geen geregistreerde of aantoonbare incidenten, wel procedure aanwezig; geen recente incidenten. 2. LAAG zeer weinig geregistreerde incidenten; wel vermoeden maar geen aantoonbare incidenten. 3. GEMIDDELD regelmatig geregistreerde incidenten of een zichtbare trend; sterke aanwijzing uit meerdere bronnen. 4. HOOG aantal incidenten wijst op een kritieke situatie of een campagne tegen de gemeente; grote waarschijnlijkheid van toekomstige incidenten gebaseerd op geïdentificeerde factoren. EFFECT Vier niveaus van gevolgschade 1. ONBEDUIDEND geen meetbaar effect; te verwaarlozen invloed op imago bij het publiek. 2. GERING er zijn aantoonbare kosten op lokaal niveau, niet op centraal niveau; implicatie voor imago bij het publiek op lokaal niveau. 3. BEDUIDEND kan een merkbaar gevolg hebben op de bedrijfsvoering; serieuze schade aan het imago bij het publiek met aanmerkelijke kosten voor herstel. 4. KRITIEK ernstige ontwrichting van de bedrijfsvoering; bedrijfsvoering op lange termijn wordt aangetast; ernstige aantasting van het imago van de gemeente bij het publiek met hoge kosten en grote inspanning voor herstel. Figuur 1 Verduidelijking prioriteitsstelling Bijlage bij het plan Informatiebeveiliging Pagina 6 van 20

30 Bijlage RI&E V doc Gemeente Nijmegen Het Informatiebeveiligingsbeleid van de gemeente Nijmegen stelt dat de beschikbaarheid van de gegevensprocessen moet zijn afgestemd op het betreffende bedrijfsproces. In dit kader zijn technische en organisatorische maatregelen noodzakelijk om een passend beveiligingsniveau te bereiken. Deze maatregelen moeten zijn gebaseerd op een zorgvuldige risico analyse, waarbij de lokale omstandigheden bepalend zijn voor de omvang van de bedreigingen. Teneinde deze risico s te inventariseren en adequate voorzieningen te treffen om de beschikbaarheid van de gegevensprocessen te garanderen is een risico analyse uitgevoerd met de leden van overleggroep informatiebeveiliging BRP van de gemeente Nijmegen. Op is door de overleggroep informatiebeveiliging BRP een afweging gemaakt van de kans op het optreden van deze bedreigingen en het effect hiervan. Hierbij zijn de normen vanuit het BIG (Baseline Informatieveiligheid Gemeenten) van het IBD KING grotendeels meegenomen. Dit betekent dat in de RI&E 2014 is gepoogd daar waar mogelijk de benodigde maatregelen niet alleen te betrekken op de eisen gesteld vanuit de Zelfevaluatie BRP maar ook al is gekeken naar waar de overlappingen zitten met de andere kritische applicaties, denk hierbij aan BAG, SUWI en DigiD. Het product van de kans op het optreden van de bedreiging maal het effect heeft geleid tot een prioriteitsstelling in de genoemde risico s. Het resultaat hiervan is zichtbaar gemaakt in de volgende tabel. Bijlage bij het plan Informatiebeveiliging Pagina 7 van 20

31 Bijlage RI&E V doc Gemeente Nijmegen 1.5 Analyse matrix Kwaliteitsaspect / Bedreiging Beschikbaarheid Beschikbaarheidsvoorzieningen Welke continuïteitsmaatregelen zijn getroffen Uitwijkregeling (ook facilitaire zaken) Back-up Getroffen maatregelen (de vet gedrukte onderdelen zijn een norm bij de Zelfevaluatie BRP) Effect Prioriteit* Rest risico Nog te nemen maatregelen Planning Waarschijnlijkheid Verantwoordelijke Staat voor de tijd waarin een systeem functioneert zoals bedoeld. Rekening houdend met de garanties over het afgesproken niveau van dienstverlening Actueel Informatiebeveiligingsplan (2) Hfd PZ Jaarlijkse risico- en maatregelenanalyse is uitgevoerd en vastgesteld De gemeentelijke voorziening wordt gemonitord op beschikbaarheid Periodieke back-up Berichtenverkeer wordt afgehandeld vóór back-up De datasave van de periodieke back-up wordt bewaard in een beveiligde ruimte buiten de serverruimte Procedure Continuïteitsbeheer Brondocumenten worden zodanig bewaard dat aansluiting kan worden gevonden met de datum en het tijdstip van de laatste periodieke backup Procedure Herstel mutaties BRP Er is een uitwijkcontract Hfd I&A voor de gemeentelijke voorziening waarin wordt gegarandeerd dat de Bijlage bij het plan Informatiebeveiliging Pagina 8 van 20

32 Bijlage RI&E V doc Gemeente Nijmegen Kwaliteitsaspect / Bedreiging Getroffen maatregelen (de vet gedrukte onderdelen zijn een norm bij de Zelfevaluatie BRP) gemeentelijke voorziening binnen 24 uur operationeel is op de locatie van de uitwijkleverancier of op een eigen locatie Uitwijknoodplan: Bijlage intern uitwijkplan geautomatiseerde systemen Jaarlijkse uitwijktest Rapportage test uitwijk Rapportage test restore Rapportage test herstel Effect Prioriteit* Rest risico Nog te nemen maatregelen Planning Waarschijnlijkheid Verantwoordelijke Hfd I&A 1 Explosie / Gas / Omgeving Gasaansluiting Wat zit in de omgeving 2 Brand Bouwmateriaal gebouw Materiaal dakbedekking Leeftijd gebouw Vrijstaand of aangebouwd Wat zit in de omgeving 3 Stroomstoring Is er een noodstroom voorziening? Wat is hierop aangesloten Afsluitpunten nutsvoorzieningen bekend Route gevaarlijke stoffen Brandmelders Brandhaspels Brandblussers Branddetectie Inspectie Brandweer BHV organisatie UPS Noodstroom Generator beschikbaar (eventueel huur) Airco op noodstroomvoorziening aangesloten (3) (3) (4) 4 Uitvallen of trage ICT Afspraken over wijziging (4) Bijlage bij het plan Informatiebeveiliging Pagina 9 van 20

33 Bijlage RI&E V doc Gemeente Nijmegen Kwaliteitsaspect / Bedreiging voorzieningen Hoe is het wijzigingenbeheer geregeld Hoe is het incidenten beheer geregeld Hoe is het probleembeheer geregeld Welke continuïteitsmaatregelen zijn getroffen Getroffen maatregelen (de vet gedrukte onderdelen zijn een norm bij de Zelfevaluatie BRP) hardware Incidentenbeheer Procedure Goedkeuren updates gemeentelijke voorziening Testomgeving aanwezig Patch en update beleid Incidentenbeheer Zie maatregelen bij beschikbaarheidsvoorzieningen Effect Prioriteit* Rest risico Nog te nemen maatregelen Planning Waarschijnlijkheid Verantwoordelijke 5 Diefstal / insluiping Welke maatregelen in preventieve sfeer camera s / kluis / kasten / controle waardevolle goederen) Geen waardevolle spullen dicht bij de ramen Hoe is de fysieke toegangsbeveiliging geregeld Is er een bezoekersregeling Is er een afsluitcontrole Camera s Sociale controle Clean desk procedure Fysieke beveiliging Aanwezigheid policy Bezoekersregeling (inschrijven uitschrijven) Bezoek begeleiden Bewegingssensoren Compartimentering gebouw Alarmeringssysteem (2) 6 Sabotage Motivatie knelpunten Gevolgen reorganisatie 7 Virussen Aansluitmogelijkheden op het systeem (USB / Externe harddisk) Draadloos netwerk Oog voor de medewerker (management) Interne controle Alertheid bij management op kwetsbare situatie personeel Procedure Antivirus voorzieningen USB beleid Restrictie internettoegang en internet protocol (4) (8) Bijlage bij het plan Informatiebeveiliging Pagina 10 van 20

34 Bijlage RI&E V doc Gemeente Nijmegen Kwaliteitsaspect / Bedreiging Virus controle thuiswerken Getroffen maatregelen (de vet gedrukte onderdelen zijn een norm bij de Zelfevaluatie BRP) Effect Prioriteit* Rest risico Nog te nemen maatregelen Planning Waarschijnlijkheid Verantwoordelijke 8 Phishing digitaal (wachtwoorden, pincode achterhalen) Virus / malware controle Opleiding medewerkers Virus / malware controle (6) 9 Hacking Heeft er een test plaatsgevonden op de firewall en de website Wordt de firewall extern gehost Wordt de firewall extern onderhouden Aansluiting op Gemnet Firewall Hack-test (PEN test) (6) Virussen in software Periodieke hacktest Systeembehe erder. 10 Fysiek geweld Hoe zijn medewerkers beschermd tegen agressieve bezoekers (noodknop) 11 Verbaal en digitaal geweld Hoe zijn medewerkers beschermd tegen agressieve bezoekers (noodknop) Training Procedure Overvalinstructie en agressief publiek Noodknoppen Alarmopvolging Bijstandsteam Training Noodknoppen Alarmopvolging Bijstandsteam (2) (2) Data-integriteit staat voor de juistheid, volledigheid en tijdigheid (actualiteit) van de informatie. Onvolledigheden/ Onjuistheden Procedure Gegevensverwerking (2) Bijlage bij het plan Informatiebeveiliging Pagina 11 van 20

35 Bijlage RI&E V doc Gemeente Nijmegen Kwaliteitsaspect / Bedreiging Fouten in handmatige invoer Foute in externe aanlevering Systeemfouten 12 Externe fraude Hoe zijn de controle maatregelen rond het verkrijgen van waardedocumenten ingericht Op welke wijze worden deze gecontroleerd bv bij eerste inschrijving (identiteitsfraude) Getroffen maatregelen (de vet gedrukte onderdelen zijn een norm bij de Zelfevaluatie BRP) Procedure Correctie Rapportage controle gegevensverwerking Functiebeschrijving beveiligingsfunctionaris rijbewijzen en reisdocumenten Procedure Ontvangst en beheer waardedocumenten Procedure Aanvraag en uitreiking waardedocumenten Bijlage Ontvangstbewijs Identificatiekaart Rapportage Evaluatie rijbewijzen Rapportage Evaluatie Paspoorten en NIK Zelfevaluatie Paspoorten en NIK Zelfevaluatie BRP Patch updates (Oracle; Key) ABC fouten / 6 klassen maand-overzichten Training Interne controle Naleving procedures Toepassing functiescheiding Procedure Identificatie Formulier Identificatievragen Procedure Aanvraag en uitreiking waardedocumenten Procedure Gegevensverwerking Alertheid bij management op kwetsbare situatie personeel Effect Prioriteit* (1) Rest risico Nog te nemen maatregelen Planning Waarschijnlijkheid Verantwoordelijke Hfd PZ Hfd PZ Bijlage bij het plan Informatiebeveiliging Pagina 12 van 20

36 Bijlage RI&E V doc Gemeente Nijmegen Kwaliteitsaspect / Bedreiging 13 Interne fraude Hoe zijn de controle maatregelen rond de kritische processen geregeld Op welke wijze worden deze gecontroleerd Worden inlogcodes uitgewisseld Worden werkstations afgesloten Getroffen maatregelen (de vet gedrukte onderdelen zijn een norm bij de Zelfevaluatie BRP) Interne controle Toepassing functiescheiding Naleving procedures Procedure Aanvraag en uitreiking waardedocumenten Procedure Gegevensverwerking Effect Prioriteit* (3) Rest risico Nog te nemen maatregelen Planning Waarschijnlijkheid Verantwoordelijke Vertrouwelijkheid 14 Schenden vertrouwelijkheid / Uitlekken gevoelige informatie Regels gegevensverstrekking Elektronisch verstrekking (verkeerd mailadres) Verstrekking op papier (verkeerd adres) / Prullenbakken / Papiercontainer / laten slingeren documenten Wat mogen technische applicatiebeheerders en systeembeheerders Hoe gaan mensen in de organisatie om met vertrouwelijke gegevens heeft betrekking op de privacybescherming en op de exclusiviteit van informatie. Vertrouwelijkheid waarborgt dat alleen geautoriseerden toegang krijgen tot de betreffende informatie en dat informatie niet voor anderen inzichtelijk is. Het beveiligingsbewustzijn (4) wordt gestimuleerd Instructie medewerkers over risico s Informatiebeveiliging en over de Privacyvoorschriften Bijlage Parafenlijst Gebruik Formulier Autorisaties Gebruik Geheimhoudingsverklaring Procedure Verstrekkingsbeperking Procedure Identificatie en Machtiging Procedure Verstrekken van gegevens aan organen van de gemeente met o.a. regeling omtrent telefonische verstrekking Bijlage bij het plan Informatiebeveiliging Pagina 13 van 20

37 Bijlage RI&E V doc Gemeente Nijmegen Kwaliteitsaspect / Bedreiging Getroffen maatregelen (de vet gedrukte onderdelen zijn een norm bij de Zelfevaluatie BRP) van gegevens Procedure Autorisatie tot het systeem Rapportage controle autorisaties Procedure Inzagerecht Procedure Identificatie en Machtiging Er is een privacybeheerder BRP aangesteld Regeling Beheer en Toezicht BRP Rapportage controle privacyregelgeving Rapportage Controle gegevensverstrekking en protocollering Bijlage Proces verbaal vernietiging van verwijderbare media Procedure Afvoeren van computers Procedure vernietiging papier met vertrouwelijk gegevens Effect Prioriteit* Rest risico Nog te nemen maatregelen Planning Waarschijnlijkheid Verantwoordelijke 15 Ongeautoriseerd gebruik systeem Is er een adequate gebruikersprocedure Voorziet P&O in informatie over instroom, doorstroom en uitstroom van medewerkers. Worden inlogcodes uitgewisseld Worden werkstations Er is een Verordening/Reglement waarin opgenomen de derden regeling Individuele identificatie van alle gebruikers Voorkomen wachtwoord uitwisseling (kluisprocedure**) Procedure Autorisatie tot (6) Bijlage bij het plan Informatiebeveiliging Pagina 14 van 20

38 Bijlage RI&E V doc Gemeente Nijmegen Kwaliteitsaspect / Bedreiging afgesloten Getroffen maatregelen (de vet gedrukte onderdelen zijn een norm bij de Zelfevaluatie BRP) het systeem Gebruik Formulier autorisaties Rapportage controle autorisaties Eisen aan wachtwoorden conform Zelfevaluatie BRP (en BIG) Effect Prioriteit* Rest risico Nog te nemen maatregelen Planning Waarschijnlijkheid Verantwoordelijke 16 Phishing telefonisch (wachtwoorden, pincode achterhalen) Opleiding medewerkers Algemeen BIV 17 Mensen als risico op BIV - Wachtwoorden uitwisselen - Gebruik en uitwisseling toegangsdruppel - (Privé) Gebruik / internet / mobiele telefonie - Opbergen vertrouwelijke documenten - Vertrouwelijk oud papier - Stukken brengen naar archief. - Facturen met boete omdat ze te lang open staan Voorlichting Houding Voorbeeld gedrag management Voorlichting en communicatie, ook als onderwerpen in werkoverleggen en in de P&O cyclus Teams ICT, DIV en FZ die interactief met de gebruikers communiceren (en dus niet in één richting, directief of technisch) Voorbeeld gedrag management Sociale controle binnen de organisatie Cultuur creëren waarin aanspreken op ongewenst (onveilig) I gedrag mogelijk is en ook gebeurt (1) Bewustwordingscampagne (3) bewustwordingscampagnec Hfd BZ Controleerbaarheid heeft betrekking op de mogelijkheid om achteraf toegang en transacties te kunnen verifiëren Bijlage bij het plan Informatiebeveiliging Pagina 15 van 20

39 Bijlage RI&E V doc Gemeente Nijmegen Kwaliteitsaspect / Bedreiging 18 Onvolledige controle Vastlegging in procedures Vastlegging van taken, bevoegdheden en verantwoordelijkheden (functiescheiding) Logging Log controle Getroffen maatregelen (de vet gedrukte onderdelen zijn een norm bij de Zelfevaluatie BRP) beveiligingsbeleid en plan Taken, bevoegdheden en verantwoordelijkheden systeembeheer, applicatiebeheer, informatiebeheer, privacybeheer, gegevensbeheer en beveiligingsbeheer zijn eenduidig vastgelegd in de Bijlage Regeling Beheer en Toezicht BRP Er is sprake van functiescheiding tussen degenen die beveiligingsmaatregelen opstellen, uitvoeren en controleren: opgenomen in de Regeling Beheer en Toezicht BRP en in het basisdocument Audit trail is mogelijk (loggen) voor alle mutaties Audit trail is mogelijk (loggen) voor alle raadplegingen Procedure Protocollering Rapportage Controle gegevensverstrekking en protocollering Managementrapportage Paspoorten en NIK Managementrapportage BRP Functiebeschrijving van de Effect Prioriteit* (1) Rest risico Nog te nemen maatregelen Planning Waarschijnlijkheid Verantwoordelijke Bijlage bij het plan Informatiebeveiliging Pagina 16 van 20

40 Bijlage RI&E V doc Gemeente Nijmegen Kwaliteitsaspect / Bedreiging Getroffen maatregelen (de vet gedrukte onderdelen zijn een norm bij de Zelfevaluatie BRP) Effect Prioriteit* Rest risico Nog te nemen maatregelen Planning Waarschijnlijkheid Verantwoordelijke beveiligingsfunctionaris reisdocumenten en rijbewijzen Bijlage Bewerkersovereenkomst Uitvoeren controle middels Bijlage Vragenlijst bewerker prioriteit 16 = hoogste prioriteit (waarschijnlijkheid x effect) ** Het bewaren van een password in de kluis voor noodgevallen. Na gebruik hiervan dient controle plaats te vinden van de gepleegde mutaties. Figuur 2 Risico en prioriteitsstelling 1.6 Toelichting op de analyse Op grond van de fysieke technische en personele aspecten voor zover bekend bij de aanwezigen is op grond van de vakkennis en de getroffen maatregelen een inschatting gemaakt van het effect en de waarschijnlijkheid van een bepaalde bedreiging. Voor alle bevindingen geldt dat de waarschijnlijkheid en soms mede daardoor het effect in deze voor de gemeente Nijmegen onbeduidend of laag/gering zijn. Alle deze risico s zijn met een score kleiner dan 9 uit de risico analyse gekomen. De nog te nemen maatregelen opgenomen in de 7 e kolom kunnen beschouwd worden als een actielijst voor de gemeente, waarvan de voortgang jaarlijks moet worden beoordeeld en over moet worden gerapporteerd. Bijlage bij het plan Informatiebeveiliging Pagina 17 van 20

41 Bijlage RI&E V doc Gemeente Nijmegen 2 Bijlagen 2.1 Kenmerken computerruimte Om aan de in het plan Informatiebeveiliging beschreven vereisten voor de beschikbaarheid te voldoen heeft de computer- of serverruimte waarin de gemeentelijke voorziening (voorheen GBA applicatie) van de gemeente Nijmegen is opgesteld, op nog nader te bepalen de volgende kenmerken ter voorkoming van gegevensverlies: De computerruimte heeft een verhoogde vloer. De computerruimte heeft en temperatuur regeling. De computerruimte kent luchtbehandeling (stof/vuil). De computerruimte is een apart (brand) compartiment. Toegangscontrole. Noodstroomaggregaat en brandblusinstallatiec Aankruisen indien van toepassing. 2.2 Kenmerken fysieke beveiliging Om aan de in het plan Informatiebeveiliging beschreven vereisten voor de beschikbaarheid, vertrouwelijkheid en controleerbaarheid te voldoen hebben de in het plan Informatiebeveiliging beschreven kritische ruimten, op nog nader te bepalen de volgende kenmerken ter voorkoming van gegevensverlies en de bescherming van het eigen personeel: Er zijn bewegingsmelders in de onmiddellijke nabijheid. Er zijn (interne) alarmknoppen in de onmiddellijke nabijheid. Er zijn overvalknoppen in de onmiddellijke nabijheid. Er is een bliksemafleider. Er zijn rook- en brandmelders in de onmiddellijke nabijheid. Er zijn brandblussers in de onmiddellijke nabijheid. Er zijn detectiepoorten in de onmiddellijke nabijheid. Fysieke bewaking en BHV-ers Aankruisen indien van toepassing Bijlage bij het plan Informatiebeveiliging Pagina 18 van 20

42 Bijlage RI&E V doc Gemeente Nijmegen 2.3 Kenmerken gemeentelijke voorziening Om aan de in het plan Informatiebeveiliging beschreven vereisten voor de beschikbaarheid te voldoen heeft het de door gemeente Nijmegen ingezette gemeentelijke voorziening op nog nader te bepalen de volgende kenmerken ter voorkoming van gegevensverlies. Gemeentelijke voorziening kent een UPS als noodstroomvoorziening welke het systeem in staat stelt minimaal binnen 15 minuten af te sluiten. Gemeentelijke voorziening kent eigen stroomvoorziening (dieselgenerator). Gemeentelijke voorziening kent RAID 5 beveiliging. Gemeentelijke voorziening kent gespiegelde schijven (mirroring). Het door de Gemeentelijke voorziening gebruikte databasemanagement systeem kent een re do log waardoor het herstellen van mutaties mogelijk is. Wachtwoorden zijn alleen bij de gebruiker bekend. Wachtwoorden bestaan uit minimaal 8 karakters, waarvan tenminste 1 hoofdletter, 1 cijfer en 1 vreemd teken. Wachtwoorden zijn maximaal 60 dagen geldig en mogen niet binnen 6 keer herhaald worden. Gemeentelijke voorziening wordt tijdens de openingstijden gemonitord op beschikbaarheid. Het gemeten beschikbaarheidpercentage van de gemeentelijke voorziening tijdens de openingstijden is conform de garantie gedurende het afgelopen jaar. Gemeentelijke voorziening wordt buiten de openingstijden gemonitord op beschikbaarheid.c Het gemeten beschikbaarheidpercentage van de gemeentelijke voorziening buiten de openingstijden is conform deze garantie gedurende het afgelopen jaar. Er is een balie uitwijksysteem. Aankruisen indien van toepassing. Bijlage bij het plan Informatiebeveiliging Pagina 19 van 20

43 Bijlage RI&E V doc Gemeente Nijmegen 2.4 Kenmerken gemeentelijk LAN Om aan de in het plan Informatiebeveiliging beschreven vereisten voor de beschikbaarheid, vertrouwelijkheid en controleerbaarheid te voldoen heeft het door gemeente Nijmegen gebruikte Local Area Netwerk op nog nader te bepalen de volgende kenmerken ter voorkoming van gegevensverlies. Het lokaal netwerk is gesegmenteerd. Het netwerk is dusdanig ingericht dat het aantal netwerkstoringen zoveel mogelijk wordt beperkt. Er worden alleen standaard netwerkcomponenten gebruikt. Het lokaal netwerk wordt afgeschermd van publieke netwerken door het gebruik van een firewall. Alle netwerkcomponenten worden beheerd en worden voortdurend gemonitord. Wachtwoorden worden op een veilige manier uitgegeven (controle identiteit van de gebruiker). Tijdelijke wachtwoorden of wachtwoorden die standaard in software of hardware worden meegegeven worden bij eerste gebruik vervangen door een persoonlijk wachtwoord. Gebruikers bevestigen de ontvangst van een wachtwoord. Wachtwoorden zijn alleen bij de gebruiker bekend. Wachtwoorden bestaan uit minimaal 8 karakters, waarvan tenminste 1 hoofdletter, 1 cijfer en 1 vreemd teken. Wachtwoorden zijn maximaal 60 dagen geldig en mogen niet binnen 6 keer herhaald worden. BRP gegevens worden bij datacommunicatie via netwerk buiten fysieke beveiligde zone versleuteld. Dit gebeurt o.a. bij het werken op afstand (= telewerken). BRP gegevens worden bij opslag buiten fysieke beveiligde zone versleuteld opgeslagen. Dit gebeurt o.a. bij het werken op afstand (= telewerken). Aankruisen indien van toepassing. Bijlage bij het plan Informatiebeveiliging Pagina 20 van 20

44 voor iedere gemeente geldt. Deze Baseline is opgezet rondom bestaande normen; de NEN/ISO 27002:2007 en NEN/ISO 27001:2005. Deze standaard is voor de Nederlandse Overheid gekozen en algemeen aanvaard als de norm voor informatiebeveiliging. Voor specifieke maatregelen is in onderhavige Baseline ook gebruik gemaakt van onder andere de WBP, SUWI-wet, BRP, BAG en PUN. Dit plan Informatiebeveiliging BRP en Waardedocumenten is afgestemd met de inhoud van de Baseline Informatiebeveiliging Nederlandse gemeenten voor Nederlandse Gemeenten (BIG) van KING. Daarnaast is het voorliggend plan Informatiebeveiliging BRP en Waardedocumenten gebaseerd op regelgeving zoals die vermeld wordt in de in de aparte hoofdstukken van dit plan. Goedkeuring Goedkeuring van de inhoud van dit document en de daarbij behorende procedures vindt plaats nadat de betrokken medewerkers van zowel de opdrachtnemer als opdrachtgever overeenstemming hebben bereikt over wat in het plan Informatiebeveiliging BRP en Waardedocumenten staat beschreven. Voor accordering van het voorliggend plan Informatiebeveiliging BRP en Waardedocumenten tekent hieronder de opdrachtgever: Nijmegen, Burgemeester en wethouders in haar hoedanigheid als verantwoordelijke voor de BRP. De burgemeester, De secretaris, De heer drs. H.M.F. Bruls de heer drs. B. van der Ploeg Burgemeester in zijn hoedanigheid als verantwoordelijke voor het onderdeel Waardedocumenten. De burgemeester, de heer drs. H.M.F. Bruls Plan Informatiebeveiliging BRP en Waardedocumenten pagina 1 van 1