Beveiligingsplan Suwinet Versie 0.2 2015
Inhoudsopgave 1. Inleiding 3 2. Kader voor de beveiliging Suwinet 4 3.1 Gebruikers voor Suwinet-inkijk 5 3.2 Functie raadplegen 5 3.3 Logging rapportages 5 4. Gedragsregels bij beveiliging van persoonsgegevens 7 Bijlage 1 Protocol inzake het gebruik van gegevens Suwinet-inkijk 8 Bijlage 2 Gedragsregels bij beveiliging van persoonsgegevens 9 Bijlage 3 Verklaring Suwinet 11 Pagina 2 van 12
1. Inleiding Het Bureau Keteninformatisering werk en inkomen (BKWI), het Werkbedrijf, de stichting Inlichtingenbureau Gemeenten (IB), het Uitvoeringsinstituut Werknemersverzekeringen (UWV), de Belastingdienst, de Informatie Beheer Groep (IBG), de RDW (Rijksdienst voor het wegverkeer) en gemeenten wisselen persoonsgegevens met elkaar uit via Suwinet, een elektronische infrastructuur. Met de faciliteit Suwinet-Inkijk worden gegevens op basis van Burger Service Nummers (BSN) toegankelijk gemaakt voor bevoegde medewerkers. Het gaat om privacygevoelige gegevens over arbeidsverleden, loon, uitkeringen en opleiding van burgers. De organisaties hebben die gegevens nodig om het recht op een uitkering vast te kunnen stellen en de juiste dienstverlening te kunnen leveren. Om de SUWI keten effectief te laten functioneren moeten partijen er op kunnen vertrouwen dat "hun" gegevens door de partners in de Suwiketen op een zorgvuldige en controleerbare wijze worden behandeld. De wetgever heeft bij de start van Suwinet in 2002 aangegeven dat gegevensbeveiliging noodzakelijk is. In 2014 is een nieuw Informatiebeveiligingsplan 2014 vastgesteld. Dit plan inclusief protocol en verklaring vormen een bijlage van het Informatiebeveiligingsplan van de gemeente Coevorden. Sedert geruime tijd hebben medewerkers van het team Werk en Bentheimer in het kader van de Participatiewet toegang tot Suwinet. Daarbij gaat het om hoogst privacygevoelige gegevens over arbeidsverleden, loon, uitkeringen en opleiding van burgers. In deze beveiligingsnotitie zal eerst het kader voor de beveiliging geschetst worden. Vervolgens wordt ingegaan op de bevoegdheden van gebruikers en aangegeven in welke situaties Suwinet gebruikt mag worden. Verder worden 'Tien gedragsregels' gegeven waar medewerkers van de afdeling zich aan dienen te houden. Pagina 3 van 12
2. Kader voor de beveiliging van Suwinet Zowel het Bureau Keteninformatisering Werk en Inkomen als het Coördinatiepunt ICT ondersteunt de invoering bij gemeenten en stellen diverse voorbeelden via hun website beschikbaar. De gehanteerde plannen zijn veelal informatiebeveiligingsplannen die van toepassing zijn op de gehele organisatie. Onderwerpen zijn bijvoorbeeld: fysieke toegangsbeveiliging gebouwen fysieke toegangsbeveiliging dossiers fysieke toegangsbeveiliging tot computerapparatuur beveiliging van digitaalopgeslagen gegevens beveiliging van (digitale) communicatiekanalen back-ups van gegevens integriteitbeleid gemeente calamiteitenplan waarborgen continuïteit (noodstroom e.d.) periodieke testen en evaluatie van bovengenoemde zaken. De gemeente Coevorden heeft zich middels het huidig Informatiebeveiligingsplan geconformeerd aan de Baseline Informatiebeveiliging Gemeenten ( BIG) en dus ook aan de beveiliging van gegevens. Dit gegeven vormt het vertrekpunt voor het specifieke beveiliging van de daarvoor in aanmerking komende afdelingen. De gemeente Coevorden gaat ervan uit dat de in dit plan opgenomen gebruikersnormen voldoende zijn voor de medewerkers voor het gebruik van Suwinet. Pagina 4 van 12
3. 1 Gebruikers van Suwinet-Inkijk De volgende functies zijn geautoriseerd om gebruik te maken van Suwinet-Inkijk: functioneel beheer verzorgt autorisatie voor Suwinet; medewerker interne controle / security officer vraagt logging gegevens op; klantmanagers Werk en Inkomen mogen raadplegen; administratief medewerkers mogen opvragenlraadplegen voor een globale check op het recht op een uitkering; juridisch kwaliteitsmedewerkers mogen raadplegen. De afdelingsmanager Publiekservice is eindverantwoordelijk voor het gebruik en de beveiliging van Suwinet Inkijk. 3.2 Functie raadplegen Hierboven is benoemd wie Suwinet-Inkijk mogen raadplegen. Hier wordt aangegeven wanneer en waarvoor dat mag. Wordt Suwinet om andere redenen gebruikt dan zoals hieronder verwoord, dan is er in principe sprake van ongeoorloofd gebruik. Over het algemeen geldt dat slechts mag worden geraadpleegd, indien die stap valt binnen de bij de functie behorende werkzaamheden. Klantmanagers Werk en Inkomen mogen raadplegen bij het behandelen van aanvragen of melding dat belanghebbende een uitkering wil aanvragen, rechtmatigheidsonderzoeken en tussenonderzoeken voor zover het de Participatiewet, IOAW, IOAZ, Bbz 2004 of een andere door de afdeling uitgevoerde regeling betreft. Het raadplegen van Suwinet-Inkijk wordt met een afschrift in het dossier vastgelegd. Er is een zodanig onderscheid gemaakt in functie en rol binnen de autorisatiestructuur van Suwinet dat de medewerker de voor hem/haar van belang zijnde gegevens kan raadplegen. De administratief medewerker mag opvragen/raadplegen voor een globale check op het recht op een uitkering. Juridisch kwaliteitsmedewerkers mogen raadplegen om besluiten te kunnen toetsen. Raadplegen van Suwinet-Inkijk in andere situaties moet door de medewerker worden vastgelegd in een word- of excelbestand waarbij de volgende gegevens moeten worden vermeld: BSN, NAWgegevens, datum en reden opvraag. Een BSN raadplegen van een cliënt die onbekend is in Civision Samenlevingszaken in verband met een rechtmatigheids- en/of fraudeonderzoek wordt door de medewerker zelf geregistreerd om dit indien nodig achteraf te kunnen verantwoorden aan de medewerker interne controle. 3.3 Logging rapportages Het Bureau Keteninformatisering Werk en Inkomen (BKWI) heeft rapportages ontwikkeld over het gebruik van Suwinet-Inkijk en logt iedere bevraging met BSN, datum/tijdstip en onderdeel van Suwinet. Het BKWI is verplicht om gegevens te loggen waarmee het gebruik van Suwinet-Inkijk per medewerker van o.a. de gemeente kan worden nagegaan. Het doel van deze logging is tweeledig: 1. Tegengaan en controleren van onrechtmatige, onregelmatige of doeloverschrijdende verwerking: 2. Wetenschappelijke en/of statistische doeleinden. Pagina 5 van 12
De gebruikers van Suwinet-Inkijk weten dat over hen gegevens worden verzameld en vastgelegd. Bij indiensttreding krijgen zij het protocol 'Suwinet-Inkijk' (bijlage 1) uitgereikt en tekenen zij de verklaring Suwinet (bijlage 3). Dit is aanvullend op de afgelegde ambtseed resp. integriteits- en geheimhoudingsverklaring voor externe medewerkers een belangrijk onderdeel van de privacybescherming en informatiebeveiliging ten opzichte van deze medewerkers. Nu Suwinet hoogst privacygevoelige gegevens bevat, rechtvaardigt dit een specifieke verklaring van medewerkers die persoonsgegevens van de volgende informatie: uit Suwinet raadplegen. De medewerkers zijn op de hoogte * Het bestaan van de logging-gegevens; * De (aard van de) gegevens die binnen deze applicatie worden gelogd. Doelen van de logging; * De gelogde gegevens worden niet voor andere doeleinden gebruikt dan waarvoor ze zijn vastgelegd. * Het vastleggen van de wijze en het moment waarop en door wie een onrechtmatig of doeloverschrijdend gebruik van het Suwinet-Inkijk wordt geconstateerd. * Dat bij bovenstaande constatering dit door de teamleider wordt gecommuniceerd met de betreffende medewerker(s). In het kader van de beveiliging wordt het beheer voor het gebruik van Suwinet neergelegd bij de functioneel beheerders van de afdeling Publieksservice. Zij zijn verantwoordelijk voor het beheren van accounts. De (Iogging)-gegevens over het gebruik van Suwinet-Inkijk worden regelmatig uitgevraagd door de medewerker interne controle/ security officer. De medewerker houdt regelmatig een steekproef of aan de gemaakte afspraken voldaan wordt. De resultaten van deze steekproef worden gerapporteerd aan de manager van de afdeling Publieksservice. Pagina 6 van 12
4 Gedragsregels bij beveiliging van persoonsgegevens Voor het werken met en de omgang met persoonsgegevens zijn vanuit de overheid een aantal regels opgesteld, die zijn verwoord in verschillende wet- en regelgeving. Voor medewerkers die Suwinet raadplegen, gelden de gedragsregels zoals opgenomen in bijlage 2. Verantwoording Deze beveiligingsnotitie vormt een bijlage bij het Informatiebeveiligingsplan. De controle op gebruik van Suwinet wordt gewaarborgd door de controles die in het Informatiebeveiligingsplan staan beschreven. Bij het opstellen van de bovengenoemde rapportage wordt eveneens gerapporteerd over het proces van opvragen c.q. het co troleren van logging gegevens. Aldus vastqestel / oor burgemeester en wethouders van de gemeente Coevorden op... '1".. ~.,. Wir,~,~/ ~,;:7"..., secretaris... Pagina 7 van 12
Bijlage 1 PROTOCOL inzake het gebruik van gegevens van Suwinet-Inkijk Ter ondersteuning van de uitvoering van de Participatiewet en het beheer van de Basisregistratie personen (Bpr) is de gemeente Coevorden aangesloten op de Suwinet-Inkijk. Hiermee is het mogelijk om gegevens uit te wisselen met Belastingdienst, IBG, UWV, Werkbedrijf, RDW en gemeenten. In de toekomst zullen nog andere bronnen worden toegevoegd. Op de gegevens van Suwinet-Inkijk zijn de bepalingen van de Wet bescherming persoonsgegevens van toepassing. In verband hiermee zijn aan het gebruik van Suwinet-Inkijk regels verbonden. Voor de gemeente Coevorden luiden die regels als volgt: De manager van de afdeling Publieksservice wijst een medewerker functioneel beheer aan als gegevensbeheerder voor het gebruik van Suwinet-Inkijk, alsmede medewerkers die worden geautoriseerd om gegevens uit dit systeem te raadplegen. De medewerkers die geautoriseerd zijn voor het raadplegen van de gegevens uit Suwinet-Inkijk worden gerechtigd en beperkt tot het inwinnen van informatie die verband houdt met de werkzaamheden die voortvloeien uit hun functie en noodzakelijk is voor de behandeling van de zaak die bij hem/haar in behandeling is. De geautoriseerde medewerker heeft toegang tot Suwinet-Inkijk door middel van een toegangscode. Deze is strikt persoonlijk. Controle op gebruik van de gegevens van Suwinet-Inkijk die verenigbaar is met de doeleinden waarvoor zij worden verstrekt, vindt plaats met behulp van een audit-ioggingsysteem. Van Suwinet-Inkijkgegevens die strikt noodzakelijk worden opgevraagd voor personen die niet voorkomen in een werkproces van de applicatie Civision Samenlevingszaken, houdt de medewerker afzonderlijk een eigen registratie in een Word- of Excelbestand bij. Te vermelden: BSN, NAWgegevens, datum en reden opvraag. Doel: verantwoording bij controle. Voor de gemeente Coevorden is een security-officer aangewezen die bevoegd is om het auditloggingsysteem te raadplegen. Dit systeem dient om het gebruik van de gegevens van het Suwinet Inkijk te controleren. De security-officer controleert regelmatig het gebruik van de gegevens van het Suwinet-Inkijk en rapporteert de bevindingen aan de manager van de afdeling en de betreffende teamleider. Indien sprake is van een kennelijk onjuist gebruik van de gegevens van Suwinet-Inkijk hoort de manager de betreffende medewerker en neemt in overeenstemming met het beveiligingsplan en de CARUWO zo nodig rechtspositionele maatregelen. Voor ingehuurde derden kan dit leiden tot contractontbinding onverlet de mogelijkheden om andere maatregelen te treffen. Pagina 8 van 12
Bijlage 2 Gedragsregels bij beveiliging van persoonsgegevens Voor het werken en de omgang met persoonsgegevens zijn vanuit de overheid een aantal regels opgesteld, die zijn verwoord in verschillende wet- en regelgeving. Voor medewerkers die Suwinet raadplegen gelden de volgende gedragsregels. 1. Beheren van wachtwoorden De gebruiker moet het door de functioneel beheer uitgegeven wachtwoord wijzigen zodra de eerste inlog plaatsvindt. Vervolgens vervalt dat wachtwoord uiterlijk na een jaar. De gebruiker heeft het eigen beheer over het wachtwoord. Zodra een medewerker de gemeente verlaat, wordt het account verwijderd. Wanneer het account niet wordt gebruikt, vervalt het account automatisch. 2. Melden van beveiligingsincidenten Het is belangrijk dat bij beveiligingsincidenten gehandeld wordt in overeenstemming met het vastgestelde Informatiebeveiligingsplan. Incidenten worden gemeld bij de functioneel beheerder. De functioneel beheerder kan vervolgens een andere functionaris die daartoe is bevoegd is, inschakelen om dat incident te onderzoeken. Voorbeelden van incidenten zijn: een virusmelding op het systeem of een inbraak of poging tot inbraak. 3. Geheimhoudingsplicht Binnen de afdelingen die Suwinet raadplegen wordt met persoonsgegevens gewerkt. Voor het werken met en de omgang met persoonsgegevens zijn vanuit de overheid een aantal regels opgesteld, die zijn verwoord in de Wet bescherming persoonsgegevens (WBP). In de wet SUWI en in de CAO zijn geheimhoudingsbepalingen opgenomen, waarin wordt aangegeven dat de persoonsgegevens niet verder bekend mogen worden gemaakt dan voor de uitoefening van de functie noodzakelijk is. 4. Gedragscode internet- en e-mailgebruik Het college heeft beleidsregels "Elektronisch berichtenverkeer gemeente Coevorden 2014" vastgesteld. In deze beleidsregels is onder meer aangegeven hoe de medewerkers behoren om te gaan met email en internet op de werkplek. In dit kader gelden eveneens de afspraken zoals vastgelegd over Telewerken. Op Hofnet is daarover nadere informatie opgenomen. 5. Kennisnemen van het informatiebeveiligingsbeleid Het binnen de gemeente Coevorden geldende informatiebeveiligingsbeleid (inclusief instructies en protocollen) is op iedereen binnen de afdeling van toepassing die gebruik maakt van Suwinet-Inkijk. Bestaande gebruikers zijn op de hoogte; nieuwe gebruikers worden op de hoogte gesteld. Gebruikers van Suwinet-Inkijk moeten weten dat over hen gegevens worden vastgelegd en verzameld. Dit is een belangrijk onderdeel van de privacybescherming ten opzichte van deze medewerkers. 6. Gegevensverstrekking aan derden via de telefoon Het uitgangspunt is dat er met terughoudendheid aan verzoeken om telefonische informatie over Pagina 9 van 12
betrokkenen wordt tegemoetgekomen. Het voeren van telefoongesprekken brengt namelijk de risico's met zich mee dat de identiteit van de gesprekspartner verkeerd wordt vastgesteld of dat persoonsgegevens worden verstrekt aan personen die geen recht op informatie hebben. In principe wordt er dan ook geen telefonische informatie over klanten verstrekt aan personen of instanties die beweren namens betrokkene te bellen. In die gevallen kan er een schriftelijk verzoek worden ingediend, voorzien van een machtiging. Bij een verzoek om telefonische informatieverstrekking van een ketenpartner wordt de verzoeker teruggebeld via het algemene nummer van de (vestiging van de) ketenpartner met het verzoek te worden doorverbonden. Dit terugbellen kan achterwege blijven indien afkomstig van een vaste contactpersoon. 7. Clean desk en clear screen policy De vertrouwelijke omgang met persoonsgegevens houdt onder andere in dat elke werkplek zodanig is ingericht, dat onbevoegden niet de beschikking kunnen krijgen over deze informatie. Vertrouwelijke gegevens mogen niet onbeheerd op het bureau achterblijven. Dossiers worden bewaard in een kast die na werktijd wordt gesloten. Bezoekers dienen zich bij binnenkomst in het gemeentehuis eerst te melden bij de receptie. De kans is daarom gering dat onbevoegden zonder te worden opgemerkt toegang krijgen tot de werkplek van de medewerkers. Clear screen betekent dat het werkstation moet worden vergrendeld met behulp van schermbeveiliging (met wachtwoord), zodra de medewerker de werkplek verlaat. 8. Geen vertrouwelijke gegevens in de prullenbak De correcte omgang met vertrouwelijke gegevens - waaronder persoonsgegevens - is erg belangrijk binnen de afdeling. Ook het vernietigen van deze gegevens moet op een veilige manier plaatsvinden. Binnen de gemeente is geregeld hoe vertrouwelijke stukken worden verzameld en vernietigd en iedereen is daarvan op de hoogte. De verzamelde vertrouwelijke gegevens worden regelmatig aangeleverd bij het vernietigingsbedrijf. Vertrouwelijke gegevens dienen niet terecht te komen in een prullenbak of een bak die bestemd is voor oud papier. 9. Aanspreken van onbekende personen In het geval dat een medewerker van de afdeling een voor hem/haar onbekende persoon in de gang van de afdeling tegenkomt waar officieel geen publiek zonder begeleiding mag komen, dient de medewerker deze persoon aan te spreken, zichzelf voor te stellen en de persoon in kwestie te vragen wat hij/zij hier doet. Personen die niet bevoegd zijn om zich op deze plek te bevinden worden hierdoor op deze overtreding gewezen. Het is de taak van de medewerker om hun beleefd maar duidelijk de weg naar het publieke gedeelte van het gebouw te wijzen en ze daar naar toe te begeleiden. 10. De dagelijkse werkzaamheden vs. Informatiebeveiliging Informatiebeveiliging is uitermate belangrijk voor het werk binnen een afdeling waar veelvuldig met privacygevoelige informatie wordt gewerkt en hoort dan ook bij de professionele en bekwame uitvoering van het werk. Ook cliënten vertrouwen op een zorgvuldige wijze van verwerken van hun gegevens. Reden waarom in het werkoverleg geregeld aandacht voor dit onderwerp dient te zijn. Pagina 10 van 12
Bijlage 3 Verklaring Suwinet De gemeente is op grond van de Wet Suwi en de Wet Bescherming persoonsgegevens gehouden om interne maatregelen te nemen ter voorkoming van een (mogelijk) onrechtmatig, onregelmatig of doeloverschrijdend gebruik van de beschikbare (persoons- )gegevens. Suwinet bevat hoogst privacygevoelige gegevens. Dit rechtvaardigt, onverlet de afgelegde ambtseed respectievelijk de integriteits- en geheimhoudingsverklaring voor externe medewerkers, een specifieke zorgvuldigheids- en geheimhoudingsverklaring van medewerkers die persoonsgegevens uit Suwinet raadplegen. Ondergetekende Naam en voorletters Geboortedatum Functie Naam van dienst of onderdeel verklaart: Hij/zij kennis heeft genomen van het beveiligingsplan Suwinet, het daarin opgenomen protocol en de gedragsregels inzake het gebruik van gegevens van de Suwinet-Inkijk applicatie en de wijze waarop het gebruik van deze applicatie wordt geraadpleegd, vastgelegd, gecontroleerd en gerapporteerd. Geheimhouding Hij/zij verplicht is tot geheimhouding van alle vertrouwelijke informatie die hij/zij in het kader van de overeenkomst met de gemeente Coevorden heeft verkregen tenzij op hem/haar een wettelijke plicht tot bekendmaking rust. Informatie geldt als vertrouwelijk als dit door de gemeente is medegedeeld of als dit voortvloeit uit de aard van de informatie. Hij/zij is bekend met hetgeen over geheimhouding is bepaald in de wet (Wetboek van Strafrecht artikel 272; Algemene wet bestuursrecht artikel 2:5; Ambtenarenwet artikel 125a; Wet structuur uitvoeringsorganisatie werk en inkomen (Suwi) artikel 74). Hij/zij is er mee bekend dat ook na beëindiging van de functie hij/zij gehouden blijft aan geheimhouding. Hij/zij is er mee bekend dat bij een vermoeden van onrechtmatig gebruik of misbruik van de Suwi-gegevens een onderzoek plaatsvindt. Bij vaststelling van onrechtmatig handelen of van misbruik zullen passende maatregelen worden getroffen. Het handelen in strijd met het Beveiligingsplan Suwinet en de daarin opgenomen gedragsregels kan leiden tot rechtspositionele maatregelen zoals bedoeld in de Car-Uwo, danwel beëindiging van het contract onverlet de mogelijkheden tot het nemen van andere maatregelen.. Datum:. Handtekening:. Pagina 11 van 12
Wetsartikelen Wetboek van Strafrecht Artikel272 1. Hij die enig geheim waarvan hij weet of redelijkerwijs moet vermoeden dat hij uit hoofde van ambt, beroep of wettelijk voorschrift dan wel van vroeger ambt of beroep verplicht is het te bewaren, opzettelijk schendt, wordt gestraft met gevangenisstraf van ten hoogste een jaar of geldboete van de vierde categorie. 2. Indien dit misdrijf tegen een bepaald persoon gepleegd is, wordt het slechts vervolgd op diens klacht. Algemene wet bestuursrecht Artikel2:5 1. Een ieder die is betrokken bij de uitvoering van de taak van een bestuursorgaan en daarbij de beschikking krijgt over gegevens waarvan hij het vertrouwelijke karakter kent of redelijkerwijs moet vermoeden, en voor wie niet reeds uit hoofde van ambt, beroep of wettelijk voorschrift ter zake van die gegevens een geheimhoudingsplicht geldt, is verplicht tot geheimhouding van die gegevens, behoudens voor zover enig wettelijk voorschrift hem tot mededeling verplicht of uit zijn taak de noodzaak tot mededeling voortvloeit. 2. Het eerste lid is mede van toepassing op instellingen en daartoe behorende of daarvoor werkzame personen die door een bestuursorgaan worden betrokken bij de uitvoering van zijn taak, en op instellingen en daartoe behorende of daarvoor werkzame personen die een bij of krachtens de wet toegekende taak uitoefenen. Am btenarenwet Artikel 125a lid 3 1. 2. 3. De ambtenaar is verplicht tot geheimhouding van hetgeen hem in verband met zijn functie ter kennis is gekomen, voor zover die verplichting uit de aard der zaak volgt. Wet structuur uitvoeringsorganisatie werk en inkomen Artikel74. 1. Het is een ieder verboden hetgeen hem uit of in verband met enige werkzaamheid bij de uitvoering van deze wet over de persoon of zaken van een ander blijkt of wordt meegedeeld, verder bekend te maken dan voor de uitvoering van deze wet noodzakelijk is dan wel op grond van deze wet is voorgeschreven of toegestaan. 2. Het in het eerste lid vervatte verbod is niet van toepassing indien: a. enig wettelijk voorschrift tot de bekendmaking verplicht; b. degene op wie de gegevens betrekking hebben schriftelijk heeft verklaard tegen de verstrekking van deze gegevens geen bezwaar te hebben; c. de gegevens niet herleidbaar zijn tot individuele natuurlijke personen. 3. Degene die op grond van de artikelen 62, 72 of 73 gegevens verstrekt dient na te gaan of degene aan wie de gegevens worden verstrekt redelijkerwijs bevoegd is te achten om die gegevens te verkrijgen. 4. Onverminderd het eerste tot en met derde lid is artikel 464 van Boek 7 van het Burgerlijk Wetboek voorzover het betreft de overeenkomstige toepassing van de artikelen 457 en 464, tweede lid, onderdeel b, van Boek 7 van het Burgerlijk Wetboek niet van toepassing indien in verband met de uitvoering van deze wet handelingen worden verricht op het gebied van de geneeskunst door personen, voor wie het in het eerste lid vervatte verbod geldt. Pagina 12 van 12