Verslag Visitatiecommissie Informatieveiligheid

Transcriptie

1 Verslag Visitatiecommissie Informatieveiligheid gemeente Harderwijk Tijd en datum maart 2016 Aanwezig gemeente Harderwijk Harm-Jan van Schaik, burgemeester Jan Peter Wassens, gemeentesecretaris/algemeen directeur Jan Willem van Lenthe, concerncontroller Jeroen de Jong, wethouder, o.a. bedrijfsvoering Chris Deben, CISO. Aanwezig Visitatiecommissie Informatieveiligheid Frans Backhuijs (voorzitter) Maarten Ruys Wim Blok Eric Warners (secretaris) De Visitatiecommissie informatieveiligheid dankt de gemeente Harderwijk hartelijk voor haar gastvrijheid. De Commissie heeft een open gesprek kunnen voeren, wat zij zeer heeft gewaardeerd. Ze denkt een goed beeld te hebben gekregen van de wijze waarop de gemeente Harderwijk werkt aan informatieveiligheid en wat de grootste uitdagingen zijn. De Commissie heeft het beeld dat de gemeente Harderwijk het belang van informatieveiligheid voor haar dienstverlening beseft en hier intensief werk van maakt. Daarbij viel de Commissie specifiek de volgende zaken positief op: - Bestuurlijk en topambtelijk bestaat sterke betrokkenheid bij en kennis over het onderwerp informatieveiligheid. Dit helpt om de komende acties vanuit het programma sterk in de organisatie neer te zetten. - Gemeente Harderwijk werkt samen met de andere gemeenten uit de GR MeerInzicht aan een sterk inhoudelijk programma voor het verbeteren van informatieveiligheid. De volgende stap is hier in de komende periode met veel energie uitvoering aan gaan geven. - In het programma is nadrukkelijk aandacht voor de rol en verantwoordelijkheden op de korte en lange termijn. De Commissie ziet deze verbinding als essentieel om resultaten te gaan borgen. In dit verslag beschrijven we achtereenvolgens ons verkregen beeld, een aantal aanbevelingen voor het handelingsperspectief van de gemeente voor de komende periode en enkele slotnoties. 1

2 Het beeld van de Commissie is gecategoriseerd in vijf onderdelen: 1. Digitalisering algemeen; 2. Gerichtheid; 3. Verankering; 4. Extern leren en 5. Werking. Handelingsperspectief Van Plan naar Do De Commissie is positief over de beoogde aanpak van Harderwijk zoals vastgelegd in het Security Programma. Harderwijk geeft daarbij zelf ook aan dat het nu zaak is om van plannen naar uitvoering te komen. Cruciaal hierbij is een sterke CISO die de uitvoering kan coördineren en een kernteam dat in de verschillende onderdelen van de organisatie de realisatie aanjaagt. De Commissie heeft in diverse gemeenten gezien dat hierbij is gekozen voor een stuurgroep informatieveiligheid bestaande uit de ambassadeurs in de organisatie. De stuurgroep kan fungeren als het centrale aanspreek- en coördinatiepunt voor de uitvoering van het programma. De Commissie stemt in met Harderwijk dat het snel werven van een geschikte CISO de prioriteit heeft. Aanvullend kunnen concrete afspraken over de frequentie van de voortgang op bestuurlijk en topambtelijk niveau helpen om grip te geven op de realisatie van het programma. In veel andere gemeente wordt daarbij het ritme van de kwartaalrapportages gebruikt om op topambtelijk en bestuurlijk niveau het gesprek te voeren. Rol en betrokkenheid van de Raad De Raad is tot op heden op enige afstand betrokken bij het onderwerp informatieveiligheid. Bij de gemeente Harderwijk bestaat de behoefte om op strategisch niveau het gesprek aan te gaan met de Raad. De Commissie doet hiervoor de suggestie om het onderwerp te verbinden aan toekomstgerichte vraagstukken, denk aan de nieuwe omgevingswet, Smart Cities of de datagestuurde gemeente. Dit soort onderwerpen nodigen uit om samen met de Raad gedachten te vormen over de toepassing en betekenis van informatieveiligheid op de lange termijn. Door informatieveiligheid te zien als een succesvoorwaarde voor de volledig digitale gemeente ontstaat ruimte voor strategische discussie over informatieveiligheid met de Raad. Blijf gericht aandacht besteden aan informatieveiligheid in de samenwerkingsverbanden Harderwijk is actief in diverse samenwerkingsverbanden. In veel van de samenwerkingsverbanden zijn afspraken over informatieveiligheid met name vastgelegd in bewerkersovereenkomsten. De Commissie doet de suggestie om op bestuurlijk niveau en topambtelijk niveau ook informatieveiligheid periodiek te blijven agenderen. Informatieveiligheid in de samenwerkingsverbanden is en blijft immers ook bij het onderbrengen van taken in een samenwerkingsverband de bestuurlijke verantwoordelijkheid van de deelnemende organisaties Een systematisch leerprogramma De Commissie doet de suggestie om de aandacht voor houding en gedrag in de organisatie ook op langere termijn te borgen door het leren verder te systematiseren. Door bedachte leeracties te verbinden met opleidingsplannen en systematisch aandacht voor het kennisniveau in de organisatie (bijvoorbeeld een periodieke uitvoering van een peiling van de kennis) wordt het leren binnen de organisatie stevige ondergrond geboden. 2

3 Periodieke interactie met het lijnmanagement over het verder inrichten van het leerbeleid is daarbij wenselijk. Dit geeft de mogelijkheid om heel gericht te blijven zoeken naar de best werkende mix van interventies en acties. Daarnaast kan de VNG Harderwijk helpen om in contact te komen met gemeenten die op dit vlak goede stappen hebben gemaakt. 1. Digitalisering algemeen (context) Gemeente Harderwijk geeft aan als ambitie te hebben om technologie slim in te zetten in de organisatie. Om dienstverlening te verbeteren en doelmatigheid te vergroten. In het Collegeprogramma is hiervoor onder meer het thema Smart Cities verder uitgewerkt in enkele doelstellingen. Harderwijk wil op het gebied van digitalisering innovatief zijn, maar streeft niet naar voorop lopen. Er zijn in Harderwijk diverse projecten die concreet uitvoering geven aan de ambities. Zo wordt zaakgericht werken geïmplementeerd, werkt men aan de doorvoering van het nieuwe werken en werkt men aan de verdere harmonisatie en standaardisering van de dienstverlening. Informatieveiligheid is een onderdeel van de digitalisering in de zin dat alle nieuwe ontwikkelingen zoveel mogelijk worden getoetst aan compliancy met de BIG. Belangrijkste uitdagingen is de soms schijnbare tegenstelling tussen hoogwaardige dienstverlening en informatieveiligheid. Daarnaast is bewustwording in de breedte van de organisatie een aandachtspunt. 2. Besef van het belang van werken aan informatieveiligheid (gerichtheid) Bestuurlijk en topambtelijk onderkent men het belang van informatieveiligheid. Informatieveiligheid is zowel in de formele gremia als informeel onderwerp van gesprek. In de breedte van de organisatie is de aandacht voor informatieveiligheid nog in ontwikkeling Portefeuillehouder College Raad 40 Gemeentesecretaris MT 20 CISO 0 Bestuurlijke gerichtheid Ambtelijke gerichtheid Organisatiebreed Figuur 1: mate van bestuurlijke en ambtelijke gerichtheid Op bestuurlijk niveau is gerichtheid op het onderwerp informatieveiligheid. Zowel de burgemeester als de wethouder zijn nauw betrokken bij de ontwikkelingen en creëren ruimte om snelle stappen voorwaarts te maken. Er is op bestuurlijk niveau veel kennis aanwezig over het onderwerp informatieveiligheid. In de breedte van het College is men doordrongen van het belang van informatieveiligheid, maar is op dagelijkse basis daar relatief minder aandacht voor. 3

4 De Raad onderkent ook het belang van informatieveiligheid. In de praktijk blijkt deze betrokkenheid vooral na incidenten. Ambtelijk is het onderwerp in de afgelopen periode meer en meer in de aandacht gekomen. Op topambtelijk niveau onderkent men het belang en de urgentie van het onderwerp. Incidenten en externe onderzoeken helpen om de aandacht vast te houden. Dit heeft onder meer geleid tot de start van het security programma informatieveiligheid dat een extra impuls beoogt te geven aan informatieveiligheid in de gemeente Harderwijk (en andere gemeenten die deelnemen aan de GR MeerInzicht zie het kopje extern leren). In de breedte van de organisatie is de aandacht voor informatieveiligheid in ontwikkeling. Afdelingen die betrokken zijn bij de (verplichte) audits hebben al sterk hun aandacht gericht op informatieveiligheid. Andere afdelingen zijn hierbij nog minder ver. In de komende periode gaat veel aandacht worden besteed aan het bewustzijn, onder meer door middel van een awarenesscampagne. Uitgangspunt is hierbij dat informatieveiligheid zoveel mogelijk wordt geïntegreerd in het reguliere handelen, waardoor de lasten beperkt blijven. 3. Formele positionering in bestuur, organisatie en in P&C cyclus (verankering) De formele positionering van informatieveiligheid is in termen van verantwoordelijkheden duidelijk vorm gegeven. Er is een beleids- en jaarplan en de verplichte controles en audits worden uitgevoerd. Informatieveiligheid staat beschreven in de paragraaf bedrijfsvoering van het jaarverslag. Figuur 2: mate van bestuurlijke en ambtelijke verankering De governance-structuur is als volgt te schetsen: - College stelt beleid vast. - Portefeuillehouder is bestuurlijk verantwoordelijk. - Gemeentesecretaris is ambtelijk verantwoordelijk. - CISO bereidt samen met de concerncontroller het beleid voor. De CISO rapporteert direct aan zowel de gemeentesecretaris als de portefeuillehouder. 4

5 - Lijnmanagement is verantwoordelijk voor de realisatie van informatieveiligheid in de lijn. De governance-structuur wordt verder versterkt doordat het onderwerp in de afgelopen periode regelmatig op de agenda staat in het MT, in het portefeuillehoudersoverleg en het bilateraal overleg tussen gemeentesecretaris en CISO. Daarnaast worden in de Auditcommissie resultaten van onderzoeken, audits en zelftests besproken. Harderwijk heeft naar aanleiding van de Resolutie Informatieveiligheid beleid vastgesteld. Dit beleid wordt jaarlijks vertaald naar een jaarplan, gebaseerd op een GAP-analyse. Zowel het beleid als het jaarplan worden vastgesteld door het College. Het jaarplan 2016 ligt nu ter besluitvorming voor bij het College. In het jaarplan is een kwartaalplanning opgenomen waarin staat beschreven welke acties door wie dienen te worden uitgevoerd. Gemeente Harderwijk doorloopt de verplichte controles en audits, aangevuld met interne controles. De audits worden uitgevoerd door de concerncontroller. Men heeft de ambitie om toe te werken naar een integrale vorm van controleren waarbij resultaten inzichtelijk worden gemaakt met een ISMS-tool. Informatieveiligheid is opgenomen in het jaarverslag als onderdeel van de paragraaf bedrijfsvoering. 4. Extern leren Harderwijk participeert in diverse formele samenwerkingen. In vele van de samenwerkingen is informatieveiligheid een onderwerp van gesprek. Het vraagt aandacht om het onderwerp ook structureel op de agenda te houden. Harderwijk is aangesloten bij de IBD en zowel bestuurlijk als ambtelijk participeert men in netwerken waar informatieveiligheid op de agenda staat. Figuur 3: mate van participatie in netwerken Harderwijk werkt samen met Ermelo en Zeewolde in de Gemeenschappelijke Regeling MeerInzicht. 5

6 Naast informatievoorziening & Automatisering (I&A), HRM, Belastingen en Facilitaire zaken is ook de adviseur informatieveiligheid (CISO) daar ondergebracht. Harderwijk is opdrachtgever, medeeigenaar en klant van MeerInZicht. Afspraken over informatieveiligheid zijn vastgesteld in het informatiebeveiligingsbeleid. Dit beleid geldt zowel voor de GR als de deelnemende gemeenten. Ter uitvoering van het informatieveiligheidsbeleid is een 3-jarig securityprogramma gestart, waarbij de plan-fase in de afrondende fase is en men nu overgaat naar de concrete uitvoering ervan. Harderwijk participeert daarnaast in de formele samenwerking SDV Ermelo, Harderwijk, Zeewolde waarbij ook het gebruik van SUWI is belegd. Verder is de uitvoering van de jeugdwet voor twee jaar ondergebracht bij Regio Noord Veluwe. RNV is aangesloten op CORV. Bij beiden is aandacht voor het onderwerp informatieveiligheid, maar is de uitdaging om deze aandacht ook vast te blijven houden. Dit geldt specifiek voor de afspraken met het Streekarchief over de digitalisering van de gemeentelijke documentatie. Zowel bestuurlijk als ambtelijk participeert men in de informele netwerken waar informatieveiligheid op de agenda gaat. Bestuurlijk doet men mee aan regionale bijeenkomsten over informatieveiligheid. De CISO is ambtelijk actief in de IBD community. Zo is men gastheer voor één van de regiobijeenkomsten in Harderwijk is aangesloten bij de IBD. 5. Daadwerkelijk leren, daadwerkelijk beleid uitvoeren (werking) Harderwijk lijkt de beleidsvorming goed op orde te hebben. Duidelijke afspraken met als resultaat een jaarplan met acties. De uitdaging is nu om afspraken en acties tot uitvoering te gaan brengen om zo een volgende stap te kunnen maken. Figuur 4: mate van werking van de verankering en het leren De werking van de governance-structuur is als volgt te beschrijven: - Het College stelt het beleid en de jaarplannen vast. Naar aanleiding van incidenten wordt mogelijk het onderwerp tussentijds besproken. 6

7 - De portefeuillehouder heeft regelmatig contact met de CISO over vorderingen en uitdagingen op het gebied van informatieveiligheid. - De portefeuillehouder en burgemeester bespreken informeel het onderwerp en de vorderingen. - De CISO werkt samen met de controller aan de beleidsvorming en de verdere uitwerking van het programma. - De CISO rapporteert direct aan de gemeentesecretaris. De gemeentesecretaris bespreekt het onderwerp in het MT. In Harderwijk wordt informatieveiligheid besproken in reguliere overleggen. Hier zijn geen vaste afspraken over frequentie gemaakt. Door de toenemende aandacht en een recent extern onderzoek is de intensiteit van de besprekingen in de afgelopen periode toegenomen. Het streven is om op korte termijn te starten met de uitvoering van het programma. De ambities is dan per kwartaal resultaten te bespreken met in ieder geval de gemeentesecretaris. Het jaarplan kent verschillende elementen. De kern richt zich op de implementatie van de BIG. Het plan omvat acties uiteenlopend van bewustzijnsacties, tot beleidsacties en technische maatregelen. In het jaarplan is nadrukkelijk ook aandacht voor de communicatie over uitdagingen, lopende acties en resultaten. Jaarlijks vinden de verplichte controles en audits plaats, aangevuld met (steekproefsgewijze) interne testen. Zo zijn enige tijd geleden hackers gevraagd om de beveiliging door te lichten. De ambitie is om het geheel aan controles te integreren in de reguliere P&C-cyclus en hiervoor een ISMSsysteem in te richten. De jaarlijkse verantwoording vindt plaats via het jaarverslag. Hierover is momenteel nog relatief weinig interactie met de Raad. 6. Tot slot - Het gesprek is door zowel de Commissie als de gemeente Harderwijk als aangenaam en leerzaam ervaren. Het gesprek helpt met name om scherp te kijken naar de eigen activiteiten. 7