Projectvoorstel Landelijke aanpak informatiebeveiliging

Transcriptie

1 Landelijke aanpak infrmatiebeveiliging Relatie IOOV audit 2007

2 Titel Prject Dcumentnummer : Prjectvrstel : : xxxx Datum : 20 ktber 2009 Versie : 1.0 Status Opdrachtgever Prjectleider Opsteller(s) : Ter vaststelling : A. Rietstra prtefeuillehuder IB RHC : G. Alberts, H.P.G. Janssen. : G. Alberts, H.P.G. Janssen.

3 Inhudspgave 1 PROJECTVOORSTEL Plaats dcument Versie geschiedenis Gedkeuring Verspreiding Begrippenlijst 1 2 INLEIDING Del van dit dcument Achtergrndinfrmatie 3 3 PROJECTDEFINITIE Prjectdelstellingen Bereik (Scpe) Op te leveren prducten en diensten Afbakening Randvrwaarden Relaties met andere prjecten 8 4 GLOBALE BUSINESS CASE Redenen m het prject te starten Opties Fasering en Tijdschema Financiële baten en lasten 12 5 PROJECTORGANISATIE FOUT! BLADWIJZER NIET GEDEFINIEERD. 5.1 Prjectmanagementstructuur Rlbeschrijvingen 13 6 KWALITEITSVERWACHTINGEN 15 7 RISICO S 16 Pagina i

4 1 Prjectvrstel 1.1 Plaats dcument De brn van dit dcument is te vinden in: F:\RBB\Prces prjecten\frmats dcumenten\prjectvrstel.dt 1.2 Versie geschiedenis Versiedatum Veranderingen Markering/wijzigingen Eerste uitgave 1.3 Gedkeuring Dit dcument is geldig indien gedgekeurd en ndertekend dr: Naam Handtekening Functie Datum Versie A. Rietstra Ptfh. I RHC H.P.G. Janssen Ptfh InfrmatieBeveiliging landelijk CIO-verleg 1.4 Verspreiding Dit dcument wrdt gestuurd naar: Naam Functie Datum Versie Leden RHC Beleidsverantwrdelijke krps Directeur vtspn Beleidsverantwrdelijke vtspn CIO's Aanspreekpunt IV krps 1.5 Begrippenlijst Beveiliging is het treffen van maatregelen m een te beveiligen del te beschermen tegen schadelijke invleden. Pagina 1

5 BBNP Basis Beveiligingsniveau Nederlandse Plitie. Dit mvat een set van minimale beveiligingsmaatregelen p technisch en rganisatrisch gebied. Infrmatiebeveiliging is het geheel van preventieve, detectieve, repressieve en crrectieve maatregelen alsmede prcedures en prcessen die de beschikbaarheid, exclusiviteit en integriteit van alle vrmen van infrmatie binnen een rganisatie f een maatschappij garanderen, met als del de cntinuïteit van de infrmatie en de infrmatievrziening te waarbrgen en de eventuele gevlgen van beveiligingsincidenten tt een acceptabel, vraf bepaald niveau te beperken. Op basis van een risicanalyse wrdt het gewenste niveau van beveiliging bepaald. Daarbij wrdt in de regel een BIV-klasse beschikbaarheid, integriteit (=betruwbaarheid) en vertruwelijkheid (=exclusiviteit) bepaald, vaak uitgebreid met een indicatie vr cntrleerbaarheid (het belang m achteraf tegang en transacties te kunnen verifiëren). Infrmatiebeveiliging is een nderwerp dat ged verankerd met zijn in het tpmanagement van de rganisatie en is deels gebaseerd p het creëren van draagvlak bij gebruikers. Een bewustwrdingsprgramma met dan k de invering van de beveiligingsmaatregelen ndersteunen. Beschikbaarheid bevat de garanties vr het afgesprken niveau van dienstverlening gericht p de beschikbaarheid van de dienst p de afgesprken mmenten (bedrijfsduur, waarbij rekening wrdt gehuden met uitvalstijden, stringen en incidenten). Integriteit is het kwaliteitsbegrip dat juistheid, vlledigheid, tijdigheid en geautriseerdheid van de transacties mvat. Vertruwelijkheid is het kwaliteitsbegrip waarnder privacybescherming maar k de exclusiviteit van infrmatie gevangen kan wrden. Het waarbrgt dat alleen geautriseerden tegang krijgen en dat infrmatie niet kan uitlekken. Tezicht vindt plaats vanuit de IT-audit discipline en vanwege diverse wettelijke tezichthuders. Dr middel van het uitveren van IT en privacy-audits kan wrden vastgesteld f het vereengekmen niveau van beveiliging is gerealiseerd. Ok kan een rganisatie wrden gecertificeerd p basis van de Cde vr Infrmatiebeveiliging, de Nederlandse versie van de BS 7799 en tegen de internatinale standaard ISO RIP In 1997 stelden de ministers van BZK en Justitie de Regeling Infrmatiebeveiliging Plitie (RIP) vast. In de RIP werd de verantwrdelijkheid van de krpsbeheerders m een beveiligingsbeleid te frmuleren en beveiligingsplannen p te stellen verwrd. De drie plitieberaden (OM-Plitieberaad, Krpsbeheerdersberaad en de Raad van Hfdcmmissarissen) nderschreven destijds de Regeling Infrmatiebeveiliging Plitie (RIP) en gaven pdracht vr de ntwikkeling van een Stelsel vr Infrmatiebeveiliging. Ok gaven ze aan dat een en ander dr de krpsen in 2005 geïmplementeerd zu meten zijn. Inspectie OOV Inspectie Openbare Orde en Veiligheid IBF (IBF-er) Infrmatie Beveiliging Functinaris Pagina 2

6 2 Inleiding 2.1 Del van dit dcument Dit dcument is bedeld m: er zeker van te zijn dat de ndzakelijke autriteiten bestaan en zijn benemd; er geneg basisinfrmatie is m het prject te starten; het werk in de vlgende (initiatie-)fase te plannen; de rganisatie p de hgte te brengen van het prject. Het pstartprces heeft tt del inzicht te verschaffen in de aanleiding, de prjectdefinitie, de hfdlijnen van de prjectaanpak en vrstellen te den vr de mgelijke samenstelling van het prjectmanagement. De belangrijkste redenen vr gebruik van dit dcument zijn m te dienen als basisdcument p grnd waarvan de Stuurgrep de start van het prject kan autriseren. 2.2 Achtergrndinfrmatie De cntext van het prject Infrmatiebeveiliging gaat ver de zrg vr de betruwbaarheid van infrmatie: integriteit: dat infrmatie juist, vlledig en actueel is, exclusiviteit: dat infrmatie terecht kmt bij degene die er recht p heeft en niet bij iemand anders, beschikbaarheid: dat infrmatie beschikbaar is p het mment dat en de plaats waar de infrmatie ndig is. Het zu misschien beter zijn te spreken ver betruwbaarheidszrg maar infrmatiebeveiliging is nu eenmaal ingeburgerd. Er zijn gede redenen infrmatiebeveiliging, de zrg vr de betruwbaarheid van infrmatie, serieus te nemen. De plitie verzamelt en beschikt ver gigantische heveelheden infrmatie. Die infrmatie kmt uit de administratie (de aangiften, verhren, verificaties, etc), uit het actief verzamelen via uitluisteren, infrmanten en brnnennderzek en is afkmstig van externe partijen. De infrmatie gaat ver mensen en aan de hand van die infrmatie kunnen mensen wrden beschreven, tt in de finesses. Het is daarm vanzelfsprekend, in een rechtstaat, dat de uiterste zrg wrdt besteed aan de zrg vr de betruwbaarheid (integriteit, exclusiviteit, beschikbaarheid) van die infrmatie. Dr nbetruwbare infrmatie kan schade ntstaan aan de belangen van burgers en kunnen burgers in de uitefening van hun rechten belemmerd wrden. Vr de plitie is infrmatie nntbeerlijk. De plitie kan znder infrmatie haar werk niet uitveren in de straat en de buurt, bij de criminaliteitsbestrijding, bij de advisering aan bestuurders. Infrmatie is k cruciaal vr het sturen van het werk; niet vr niets wrdt gesprken ver infrmatiegestuurde plitie. Als de plitie zichzelf en haar werk serieus neemt, dan draagt zij zrg vr integriteit, exclusiviteit Pagina 3

7 en beschikbaarheid van de infrmatie waarmee ze werkt. In nderzeken van de inspectie OOV, nder meer in De plitiële jeugdtaak en Opspring gevnden, wrdt infrmatiebeveiliging als kritische succesfactr beschreven. De prestaties in het peratinele vlak wrden sterk beïnvled dr het cijfer vr infrmatiebeveiliging. De plitie deelt steeds vaker en steeds meer infrmatie met elkaar en met derden, natinaal en internatinaal. Verzamelen en gebruiken van infrmatie ligt steeds minder in één hand. Verzamelaars en gebruikers, verstrekkers en afnemers zijn anniem vr elkaar, maken deel uit van ketens, zijn partijen p een markt van bvenreginale, natinale en sms zelfs glbale betekenis. En dan is het cruciaal dat er zekerheden zijn ingebuwd, via afspraken en maatregelen, dat de verstrekte infrmatie vldet aan vastgestelde kwaliteitsnrmen en slechts gebruikt wrdt vr vereengekmen delen. Het belang van adequate beveiliging van de plitiële infrmatievrziening is vastgelegd in wet- en regelgeving. In navlging van het Vrschrift Infrmatiebeveiliging Rijksdienst werd vr het plitiedmein de Regeling Infrmatiebeveiliging Plitie pgesteld en in maart 1997 van kracht verklaard. De regeling heeft een sterk he -karakter: legt de nadruk p tedeling van verantwrdelijkheden vr de infrmatievrziening, wijst een methde aan vr het bepalen van de ndzakelijke beveiligingsmaatregelen en bepaalt dat afspraken gemaakt meten wrden ver de betruwbaarheid van infrmatie bij uitwisseling. In 2004 is de regeling aangevuld met de nrmstelling vr de inrichting van de interceptiefaciliteiten. Ter ndersteuning van de uitvering van de regeling werd in 1997 het Expertisecentrum Infrmatiebeveiliging Nederlandse Plitie pgericht vr een peride van vijf jaren. Het Expertisecentrum heeft een vlledig instrumentarium pgeleverd vr de tepassing van de regeling in de plitiepraktijk, het Stelsel vr Infrmatiebeveiliging. Op 1 januari is de Wet Plitiegegevens van kracht gewrden die de Wet p de Plitieregisters vervangt. Die wet benadrukt het belang van grip p het infrmatievrzieningsprces, geeft daarvr aanwijzingen, benemt de ndzaak van infrmatiebeveiliging en schrijft de inrichting van een autrisatiefunctie vr. Het bijzndere, en van de Wet Bescherming Persnsgegevens afwijkend regime van de Wet Plitiegegevens, vindt zijn rsprng in de verweging dat plitiegegevens (ngal eens) znder medeweten en instemming van de betrkkene wrden pgeslagen en verwerkt Aanleiding tt het prject Dr de Inspectie vr Openbare Orde en Veiligheid is een nderzek uitgeverd naar de infrmatiebeveiliging bij de Nederlandse plitie. De rapprtage van dat nderzek is in maart 2007 verschenen nder de titel Samen werken, samen beveiligen. Met die titel geeft de inspectie aan dat beveiliging een kwestie is van samen en randvrwaardelijk vr samen werken. Het rapprt schetst een niet heel rskleurig beeld van de stand van zaken met betrekking tt infrmatiebeveiliging bij de Nederlandse plitiekrpsen. Vr alle duidelijkheid: het rapprt cnstateert niet dat de Nederlandse plitie een acuut beveiligingsprbleem heeft, 1 Bij het nemen van maatregelen in het BBNP is) uitgegaan van de ten vigerende WBP. (Zie de inleiding BBNP) Pagina 4

8 in de zin van infrmatielekken f verkeerd handelen als gevlg van nbetruwbare infrmatie. Dat kan de inspectie niet weten want daar is ng nit systematisch plitiebreed nderzek naar gedaan. Het rapprt cnstateert dat het schrt aan de randvrwaarden vr betruwbare infrmatievrziening. Het beleid, vr zver er beleid met betrekking tt infrmatiebeveiliging is gefrmuleerd, is vaak veruderd, niet aangepast aan de veranderde situatie. Impliciet is daarmee aangegeven dat het beleid niet f in nvldende mate van papier tt uitvering is gekmen. Niet in elk krps is een infrmatiebeveiligingsfunctinaris (IBF) aangesteld. In smmige krpsen, waar it een functinaris is aangesteld, is de functie weer verdwenen 2. Maatregelen zijn min f meer hapsnap genmen, naar de waan van de dag. Verantwrdingsinfrmatie van de implementatie is de maatregel p papier k tt uitvering gekmen? ntbreekt. De stand van zaken met betrekking tt infrmatiebeveiliging is bij vrijwel geen krps geëvalueerd en dus nduidelijk. De inspectie cnstateert verder dat het stelsel vr infrmatiebeveiliging en de daarbij behrende pleidingen niet zijn nderhuden. De cnstatering heeft vral betrekking p de leidraad Basisbeveiliging Nederlandse Plitie (BBNP) en k p de handreiking Organisatie van de Infrmatievrziening. Overigens bevat het rapprt k lichtpuntjes. Er zijn ngal wat best practices ntwikkeld en lessns learned. De inspectie cnstateert dus dat de plitie de afspraken die vervat zijn in de Regeling Infrmatiebeveiliging Plitie niet is nagekmen, inclusief de later daaraan tegevegde nrmstelling vr interceptie, en k niet de afspraak is nagekmen die zij met zichzelf heeft gemaakt ten aanzien van het basisbeveiligingsniveau. De inspectie cnstateert dat de plitie nvldende grip p het prces, het infrmatieprces heeft, in afspraken en maatregelen. Belangrijk, met het g p de tekmst, is dat k het Stelsel vr Infrmatiebeveiliging niet is nderhuden. Dat cnstateert de inspectie met name ten aanzien van de leidraad Basisbeveiligingsniveau Nederlandse Plitie (BBNP) en ten aanzien van de handreiking Organisatie van de infrmatievrziening. Revisie van het Stelsel is absluut ndzakelijk wil de plitie k in de tekmst kunnen beschikken ver een gemeenschappelijk en geaccepteerd instrumentarium. 2 Het belang van een hulprganisatie en van een infrmatiebeveiligingsfunctinaris als spil daarvan blijkt uit de bevindingen: krpsen die een hulprganisatie hebben ingericht en een IBF hebben aangesteld kmen verder. De hgst scrende krpsen Amsterdam - Amstelland en Nrd en Ost Gelderland geven daarvan blijk. Pagina 5

9 3 Prjectdefinitie 3.1 Prjectdelstellingen Het del van het prject m de situatie p het gebied van infrmatiebeveiliging plitiebreed p het vrgeschreven niveau te brengen en in het resultaat een evenwichtige balans te ntwikkelen tussen de aandacht vr techniek en gedrag. Het vergrte deel van de infrmatiebeveiligingssituatie is intussen afhankelijk van gedrag van medewerkers. Het prject kent als zwaartepunt het hmgeniseren van de business p het stuk van risicherkenning, duiding en aanpak. In dit kader is het van grt belang m draagvlak te ntwikkelen vr de landelijke ntwikkelingen bij alle plitiemedewerkers dr middel van een structurele cmmunicatiedraagglf als basis vr cncrete implementatie. 3.2 Bereik (Scpe) Het bereik van het prject is het dr de raad van hfdcmmissarissen vastgestelde Basisbeveiligingsniveau Nederlandse Plitie (BBNP) te implementeren binnen de krpsen en binnen de VtS-verzrgingsgebieden. De implementatie van het BBNP wrdt beschuwd als minimale zekerstelling vr betruwbare uitwisseling van infrmatie tussen de krpsen en gezamenlijk gebruik van infrmatiesystemen. Uitgangspunt is dat de krpsen met betrekking tt de betruwbaarheidseisen en maatregelen een z unifrm mgelijk niveau bereiken, als bedeld in artikel 5 van de Regeling Infrmatiebeveiliging Plitie 97. Het vrgestelde infrmatiebeveilingsprject met niet alleen vanuit het IOOV standpunt, maar k vanuit bedrijfsveringsptiek pbrengsten pleveren. Tt p heden heeft de beveiligingsaanpak sterk in het teken van de ksten en belemmeringen in het werk gestaan, maar is in de planvrming nvldende aandacht geschnken aan revenuen van een landelijke aanpak. De cntext van het prject zal derhalve aanvullend p de pdracht m te kmen tt de invering van het BBNP tevens bestaan uit de aanpak van de hierna genemde nderdelen: a. De realisatie van eenduidige gebruikerspleidingen; b. Onderzek naar de mgelijkheid m te kmen tt de invering van een eenduidige en internatinaal erkende beveiligingscde en tepassing daarvan; c. Herziening van het nrmenkader vr audits en de mgelijkheden van kppeling aan het standaard auditprces in het kader van INK en WPG; d. Onderzek naar mgelijkheden p het gebied van landelijke benchmarking; e. Inveging van het nderwerp infrmatiebeveiliging in jaarlijkse accuntancy verklaring. Pagina 6

10 3.3 Op te leveren prducten en diensten Het prject zal de navlgende prducten pleveren: Nrmenkader: Er wrdt een dcument pgeleverd, waarin de vlgende elementen aan de rde kmen: Sturing: Richtlijnen: Tezicht: Peridieke risic-afwegingen p hfdlijnen Beleidsvaststelling, inclusief kwaliteitsaspecten en afbreukrisic's (p prcessen, dataverzamelingen, infrmatiesystemen en infrastructurele vrzieningen) Verantwrdelijkheidstedeling Ontwikkeling en nderhud systemen Tegang tt het gebruik Persnele maatregelen (waarnder screening) Privacywaarbrgen Tets fysieke maatregelen He verantwrding wrdt afgelegd Onafhankelijke cntrles Beleid: een generieke beschrijving van de risic's, die samenhangen met plitie-infrmatie een gestandaardiseerd beveiligingsplan, implementeerbaar per krps, inhudende tenminste: he systeemntwikkeling en -nderhud plaats heeft he tegang en gebruik tt gegevens is geregeld welke persnele maatregelen wrden genmen he privacy wrdt gewaarbrgd welke fysieke maatregelen wrden genmen een gestandaardiseerd calamiteitenplan, implementeerbaar per krps Tezicht: de wijze waarp inzicht in het krps wrdt gebrgd de inbedding van de beveiligingsaudits in de INK-audticylcus he nafhankelijke cntrles wrden uitgeverd 3.4 Afbakening Het nderwerp infrmatiebeveiliging heeft een relatie met het prject WPG implementatie. Waar p persnen herleidbare gegevens immers ten dienste van de plitie een bijzndere categrie vrmen, maken zij nverminderd deel uit van de te beschermen infrmatie. Ok die -hewel nder een specifiek stuk wetgeving ressrterende- gegevens interacteren immers met nderwerpen als persneel, facilities en IT-cmmunicatie. Binnen het landelijke prject infrmatiebeveiliging zullen intussen geen nderwerpen wrden uitgeverd die nderdeel zijn in het WPG implementatieprject. Pagina 7

11 Met klem wrdt benadrukt dat de ndzaak m plitiebreed tt een eenduidig niveau van beveiliging te kmen (als vrgeschreven in de Regeling Infrmatiebeveiliging Plitie) alleen maar bereikt kan wrden dr middel van een gezamenlijke aanpak, die als vlgt vrm zal krijgen: 1. Vr de regie zal een slanke prjectgrep te wrden samengesteld, die functineert met intensieve participatie van de cmmunity van Infrmatiebeveiligingsfunctinarissen van de plitieregi's, het Krps Landelijke PlitieDiensten en de VtSPN. Deze prjectgrep is verantwrdelijk vr de rganisatie van de landelijk afstemming en de ntwikkeling van diensten en prducten die ndzakelijk zijn vr lkale implementatie. Hierin wrdt k begrepen de rganisatie van vakinhudelijke en fysieke ndersteuning van de lkale infrmatiebeveiligingsfunctinaris. 2. De feitelijke realisatie van invering van de rganisatrische BBNP maatregelen p krpsniveau zal een verantwrdelijkheid blijven van het lijnmanagement van het krps, zals benemd in het Stelsel vr infrmatiebeveiliging Nederlandse Plitie. De technische maatregelen zullen (mede) dr VtsPN verzrgd meten wrden. 3.5 Randvrwaarden De harde cndities waarnder het prject met wrden uitgeverd zijn als vlgt beschreven: 1. Expliciete instemming van de betrkken autriteiten is een abslute ndzaak. 2. De drlptijd van het landelijk prject wrdt gesteld p maximaal 2½ jaar na de feitelijke start. 3. Krpsen die gebruik willen maken van de prducten en ndersteuning van de landelijke prjectgrep dienen te vlden aan een nader te mschrijving instapniveau. 4. Het landelijk prject dient de beschikking te hebben ver de bendigde middelen in geld, prjectruimte en bendigde middelen p gebied van kantrautmatisering, verver etc. 5. De participatie van de infrmatiebeveiligingsfunctinarissen, van de krpsen, het krps Landelijke Plitiediensten en VtSPN, in het landelijk prject dient gegarandeerd te zijn. 6. De balans tussen (het temp en) de realisatie van rganisatrische en technische maatregelen en vrzieningen dient dr de stuurgrep te wrden bewaakt. 3.6 Relaties met andere prjecten Het nderwerp infrmatiebeveiliging heeft een relatie met het prject WPG implementatie. Onder 3.4 Afbakening is hierver een pmerking vermeld. Vrts zijn er relaties met de nderstaande prjecten: C2000. Het C2000 cmmunicatienetwerk is het mbiele cmmunicatie- en alarmeringsnetwerk ten beheve van de Openbare Orde en Veiligheid (OOV) diensten binnen Nederland. Pagina 8

12 Vr dit netwerk is qua beleid gekzen de methdiek van de nrm NEN-ISO/IEC (Managementsystemen vr infrmatiebeveiliging) te vlgen, zals k is geadpteerd in het Vrschrift Infrmatiebeveiliging Rijksdienst 2007 (VIR2007). Hierin staat het prces van infrmatiebeveiliging beschreven, dat wrdt aangestuurd vanuit een managementsysteem dat Infrmatin Security Management System (ISMS) wrdt genemd. Dit systeem heeft als del dat p systematische en adequate wijze beveiligingsmaatregelen wrden tegepast. Deze beveiligingsmaatregelen staan beschreven in een andere nrm NEN-ISO/IEC 27002:2007 ( Cde vr Infrmatiebeveiliging ). ICT-strategie. De Vrziening tt samenwerking Plitie Nederland, vtspn, is met betrekking tt infrmatievrzieningen en ICT, mede verantwrdelijk vr het gezamenlijke infrmatiemanagementprces en de aansluiting daarvan p de lkale infrmatiemanagementprcessen, Op basis van haar strategie wrden gerealiseerd: IDmanagement, waarnder Autrisatiebeheerserver en Single Sign On; Visientwikkeling Identitymanagement en wrden er prducten pgeleverd. Dezen zijn vermeld in een zgenaamde "radmap". Prject Kaders bedrijfsarchitectuur Nederlandse plitie (BaNp). De BaNp geldt primair vr ICT, maar zij raakt zwel het fysiek en rganisatrisch aspect, teneinde de ICT-maatregelen überhaupt te laten renderen. Een vrbeeld is het uitgifte prces en beheerprces van tkens f het vereisen van een beveiligingsrganisatie binnen krpsen, waar sleutelbeheer is belegd. De resultaten van dit prject zijn in hfdlijnen: visie, uitgangspunten en de belangrijkste principes vrtkmende uit de nderstaande hfdlijnen. Pagina 9

13 4 Glbale Business Case 4.1 Redenen m het prject te starten Het del van het prject is de situatie p het gebied van infrmatiebeveiliging plitiebreed p het vrgeschreven niveau te brengen en in het resultaat een evenwichtige balans te ntwikkelen tussen de aandacht vr techniek en gedrag. De kern van het prject wrdt gevrmd dr de implementatie van de maatregelen genemd in het BBNP. Het unifrmeren en verbeteren van de situatie p infrmatiebeveiligingsgebied binnen Plitie Nederland zal leiden tt vermindering van het aantal infrmatiebeveiligingsincidenten, tt vergrting van het vertruwen van de burgers in de plitie, en tt een veiliger uitwisseling van infrmatie tussen de krpsen en partners c.q. derden Huidige werkwijze De huidige werkwijze wrdt gekenmerkt dr een individuele aanpak per krps, waardr per krps k een verschillend niveau van beveiliging is gerealiseerd. De uitkmst van de genemde IOOV audit tnt dit in alle duidelijkheid Tekmstige werkwijze De tekmstige werkwijze kent in de prjectfase een landelijke regie, die zal leiden tt cncrete aanpak van invering van maatregelen, gebaseerd p landelijke besluitvrming en de realisatie van een eenduidig niveau van beveiliging in de krpsen. In de eindfase zal sprake zijn van een benemde beveiligingsautriteit, die beleid aan de hand van genrmeerde kaders mnitrt, stuurt en waar ndig ndersteunt en die keuzen vr de Nederlandse plitie maakt. 4.2 Opties In de aanlp naar het prject zijn naar aanleiding van de uitkmsten van de IOOV audit Samen werken Samen beveiliging, en naar aanleiding van besluitvrming in het Krpsbeheerdersberaad en de Raad van Hfdcmmissarissen verschillende pties in verweging genmen. Deze zijn als vlgt te mschrijven:. a. De aanpak van infrmatiebeveiliging per regi individueel, znder landelijke prjectgrep en landelijke regie. b. Aanpak met een relatief mvangrijke landelijke prjectgrep, met daaraan verbnden ksten. c. Aanpak met een kleine prjectgrep die de verantwrdelijkheid krijgt vr regie en landelijke afstemming en betrkkenheid van de IBF cmmunity, met daaraan verbnden beperkte ksten. Deze prjectbrief gaat uit van een prjectmatige aanpak als bedeld nder C. De nderbuwing vr deze keuze is als vlgt: Pagina 10

14 1. De cnclusie is getrkken dat landelijke eenduidigheid niet kan znder landelijke regie. 2. In het gekzen mdel is er sprake van een verantwrdelijkheidsdefinitie die geen afbreuk det aan de uitgangspunten van het Stelsel vr infrmatiebeveiliging Nederlandse Plitie. 3. Het gekzen mdel geeft ptimale participatiemgelijkheden van de IBF cmmunity en zal draagvlak en persnlijke ntwikkeling met zich brengen. 4. De ksten vr de vrgestelde aanpak zijn relatief laag in relatie tt het begde resultaat. 4.3 Fasering en Tijdschema Een eerste aanzet vr een glbale planning van de verschillende managementfasen. FASE PRODUCTEN DATUM GEREED Initiëren prject (IP) Inhud van het prject (realisatie) Afsluiten van het prject. Vastgestelde prjectpdracht Januari 2010 Benemde prjectleider Januari 2010 Opgesteld Plan van Aanpak Februari 2010 Gedgekeurd Plan van Aanpak April 2010 Benemde prjectrganisatie April 2010 Implementatie instructie per krps en landelijke afstemming Cmmunicatie prject. Vanaf najaar 2010 peridiek Start Cmmunicatie awareness najaar 2010 Mnitring en rapprtage vrtgang prject peridiek Beschrijving audit als sytematiek binnen INK-mdel Einde prject Architectuurplssingen VtsPN Vrtgangsrapprtage Samenkmsten IB-gemeenschap best practices /lessns learned. Inveren rubriceringsregeling 2011 Eind 2010/begin 2011 maandelijks 3x per jaar Harmnisatie met prjecten/ jaarplannen VtsPN Vanaf 2011 Opleidingen Vanaf 2011 Fase eindrapprt Vrjaar Eindrapprtage Vrjaar 2012 Aanbevelingen en brging Vrjaar 2012 Decharge Vrjaar 2012 Pagina 11

15 4.4 Financiële baten en lasten De prjectksten kmen tt stand dr het inzetten van menskracht. Het vlgende wrdt vrzien: Rl menskracht Krps Opdrachtgever p.m. NH-Nrd CSO p.m. vtspn Prtefeuillehudend CIO 50% fte Limburg-Nrd Prjectleider 100% fte Ng te benemen Beleidsmedewerker 100% fte Ng te benemen Secretariële ndersteuning 100% fte Ng te benemen Sr. Beleidsmedewerker p.m. vtspn IBF p.m. Alle krpsen De menskracht, aangevuld met materiële lasten, zijn, -ver twee jaren prjectlptijd-, als vlgt in kaart gebracht: Omschrijving Herkmst ksten Bedrag Salarisksten prtefeuillehudend CIO Detachering bji vtspn (sch 13) ,= Salarisksten prjectleider Detachering bij vtspn (sch 12) ,= Salarisksten beleidsmedewerker Detachering bij vtspn (sch 10) ,= Salarisksten sercretar(is) (esse) Detachering bij vtspn (sch 7) ,= Cmmunicatieksten, themadagen, beveiligingscmmunity Bureauksten, vergaderen, verver, Ontwikkelen draagglf ,= Onvrzien, afrnding ,= Ttaal ,= De besmde prjectksten zijn bedeld vr de rganisatie van de het landelijke prject wat ndzakelijk is vr eenduidige implementatie in de krpsen. Vr de tedeling van deze prjectksten aan de krpsen wrdt de vlgende ptie aangebden: De helft van de prjectksten kmt vr helft ten laste van het budget bvenreginale vrzieiningen en andere helft wrdt aan de krpsen gefactureerd. De aan de krpsen te factureren bedragen zijn gerelateerd aan de uitkmsten van de IOOV-rapprtage. Deze verdeling lijkt tegemet te kmen aan het gegeven dat er krpsen zijn, die al substantiële investeringen deden vr infrmatiebeveiliging. Deze krpsen blijven bvendien investeren drdien zij de IBF-er mee laten werken aan het realiseren van het prject. De feitelijke implementatieksten in de krpsen en de ksten in relatie tt de participatie van de Pagina 12

16 infrmatiebeveiligingsfunctinarissen in het landelijk prject kmen vr rekening van het eigen krps. Vr de mvang van de cmmunicatieksten in relatie tt het ntwikkelen van een cmmunicatie-draagglf is aanvullend nderzek ndzakelijk. Uitgaven van ditbudget alleen na uitdrukkelijke testemming van de pdrachtgever. 4.5 Prjectmanagementstructuur Een effectieve rganisatiestructuur is vr het prject de vrwaarde vr succes. De structuur maakt cmmunicatie met besluitvrmende rganen mgelijk. Het zijn de leden van de Stuurgrep, de Prjectleider en het Prgrammabureau, die tezamen verantwrdelijk zijn vr het management van het prject. 4.6 Rlbeschrijvingen Stuurgrep De stuurgrep die ten beheve van het prject Landelijke aanpak Infrmatiebeveiliging wrdt ingericht bestaat uit: prtefeuillehuder IB RHC Krpsbeheerder Krpsbeheerder Twente CIO, prtefeuillehuder IB CSO, vtspn Prjectleider (vrzitter) (lid) (lid) (lid) (lid) (lid) Prceseigenaar (Opdrachtgever) Namens de Raad van Krpschefs is A. Rietstra prtefeuillehuder IB RHC als pdrachtgever verantwrdelijk vr het Landelijk prject Infrmatiebeveiliging De pdrachtgever is gemandateerd m zaken te den met de prjectleider. De pdrachtgever fiatteert plannen van aanpak cq. de prducten die binnen het prject geprduceerd wrden, enz.. Als pdrachtgever maakt zij deel uit van de stuurgrep. Zij rapprteert eens per kwartaal aan de RKC i.. De pdrachtgever is verantwrdelijk vr het faciliteren van het prject zals in het plan van aanpak mschreven. Hiernder wrdt mede verstaan het ter beschikking stellen van mensen, middelen en financiën. Wanneer het verkrijgen van extra financiën, persneel dan wel een afwijking van de prjectpdracht aan de rde is legt de pdrachtgever dit vr aan de vrzitter van de stuurgrep. Prjectleider (pdrachtnemer) De prjectleider is belast met de uitvering van het prject. De prjectleider: Geeft leiding aan de prjectrganisatie. Stelt een plan van aanpak en de daarbij behrende planning en begrting p; Pagina 13

17 Geeft uitvering aan het vastgestelde plan van aanpak. Hij heeft hierte de beschikking ver een prjectrganisatie waarin de bendigde capaciteit en kwaliteit vertegenwrdigd is; Bewaakt de vrtgang van het prject. Rapprteert de pdrachtgever ver de vrtgang van het prject, draagt zrg vr tijdige aanlevering van de afgesprken prducten vlgens de vraf bepaalde kwaliteit. Hij pleegt zndig tussentijds verleg; Stelt zndig een afwijkingsrapprt p. Dit ingeval zich ntwikkelingen vrden die een succesvlle uitvering van het prject vlgens de gemaakte afspraken in gevaar brengen. Hij brengt dit afwijkingsrapprt in bij de pdrachtgever. Na besluitvrming binnen de stuurgrep past hij zndig het plan van aanpak aan. Pleegt regelmatig afstemmingsverleg met de prjectleiders van de aan dit prject gerelateerde deelprjecten; De IBF-er: In het krps is de IBF-er de verbindende schakel tussen prject en krps. Participeert p tactisch niveau in de landelijke prjectgrep Ontwikkelt een implementatieplan vr eigen rganisatie Is verantwrdelijk vr implementatie van het plan in eigen rganisatie. Pagina 14

18 5 Kwaliteitsverwachtingen Het prject met vlden aan de eisen die aan Prince2 cmpliant prjecten mgen wrden gesteld p het gebied van: - Prjectbeheersing - Verdeling van verantwrdelijkheden - Management van de prject fase vergangen - Gebruik van wijzigingsprcedures - Auditeerbaarheid van de prject prcessen De brging in het prject ntstaat dr: - de bijeenkmsten van de stuurgrep, - de rapprtages vanuit de stuurgrep aan de RKC, Brging na het prject vindt plaats dr: - de te huden audits, - de verplichte pname in elke tekmstige PID van een hfdstuk Infrmatiebeveiliging. Vr de verige kwaliteitsverwachtingen wrdt verwezen naar de beschrijving van de glbale businesscase, zals verwrd in hfdstuk 4.1. Pagina 15

19 6 Risic s Hiernder wrden de belangrijkste directe en indirecte risic s aangegeven die mede de vervlgstappen bepalen. Risic s kunnen liggen in aantasting kwaliteit van prducten f dienstverlening, p het vlak van uitwisseling van infrmatie/systemen, in de impact ervan p de rganisatie en de mate van veranderingsbereidheid en de implementatiekracht. Geef aan de kans dat een risic zich kan vrden en de impact daarvan. (geef aan p een schaal van 0 tt 5, waarbij 0 staat vr geen impact tt 5 hge mate van impact). Bedreiging Tegenmaatregel Kans Effect Risic Risic-eigenaar Prject werkruimte kmt niet beschikbaar Bendigde financiën niet beschikbaar t.b.v. landelijk prject Krpsen vlden niet aan instapniveau Participatie IBF cmmunity niet gegarandeerd Kennisniveau IBF s Acceptatie landelijke aanpak ntbreekt in krpsen Ad-hc werk en vergaderruimte rganiseren Lyaliteits verzek den bij krpsen vr beschikbaar stellen van ruimte en middelen Krpsen dienen eerst zelf de ndige maatregelen te nemen m dit niveau te bereiken Nieuwe keuze maken in aanpak. Onderdeel 4.2 keuze b vlledig landelijk prject Vrafgaande aan participatie eerst kennisntwikkeling p gewenst niveau Cmmunicatie impuls, intensiveren van verleg met verantwrdelijken stuurgrep stuurgrep krpsen krpsen krpsen / prjectleider krpsen / prjectleider Pagina 16