Presentatie

INFORMATIEVEILIGHEID
een uitdaging van ons allemaal
PUBLIEKE DIENSTVERLENING
& INFORMATIEVEILIGHEID
noodzakelijke kennis of onnodige ballast?
Informatieveiligheid
… een uitdaging van ons allemaal

Start
Publieke Dienstverlening en Informatieveiligheid
Publieke Dienstverlening bij gemeenten
Volgens WIKIPEDIA:
De publieke dienstverlening van gemeenten, inwoners en bedrijven verplaatst
zich van het loket in het gemeentehuis steeds meer naar het
digitale loket op websites van gemeenten. De wijze waarop de diensten
worden geleverd liggen vast in een aantal wetten.
Publieke Dienstverlening bij gemeenten
Volgens WIKIPEDIA:
Voor het beoordelen van de taken van gemeenten op het terrein van publieke
dienstverlening zijn de volgende criteria van belang:
 bereikbaarheid: hoe staat het met de bereikbaarheid van de
gemeente?
 wachttijden: word ik binnen aanvaardbare tijden geholpen?
 bejegening: word ik correct behandeld?
 lever- en doorlooptijden: binnen welke termijn worden de diensten
en producten geleverd?
 leges: wat zijn de kosten?
 elektronische mogelijkheden: welke mogelijkheden voor
e-dienstverlening biedt de gemeente?
De aanleiding
Informatieveiligheid is meer dan techniek alleen

Start
Strategie VDP







Nee ten zij
Aanscherping 2020 traject
 Bulk
 Beperkt zelfredzaam
 Multiproblem
3D, ketens
Informatie in allerlei stromen essentieel
Beschikbaar, integer, privacy
Allerlei projecten VDP
Maar informatieveiligheid?
De Taskforce Bestuur en Informatieveiligheid
Dienstverlening
 Mede op advies van de
Onderzoeksraad Voor Veiligheid
 Geïnitieerd door minister Plasterk,
Ministerie van BZK
 Gestart per 13 februari 2013
 Actief voor een periode van twee jaar
 Gericht op Verplichtende
Zelfregulering
 Focus op bestuur en topmanagement
De gezichten achter de Taskforce BID
De doelen
1. Versnelling te weeg brengen bij bestuur en topmanagement op het
vlak van bewustzijn als het gaat om informatieveiligheid, samen met
de koepelorganisaties per overheidslaag
2. Concrete middelen ontwikkelen om sturing op informatieveiligheid
door bestuur en topmanagement binnen de overheidslagen mogelijk
te maken
3. Verankeren van veiligheidsbeleid in structuren en werkprocessen
4. = organisatieleren
De aanleiding
Informatieveiligheid is meer dan techniek alleen

Start
De conclusie
Informatieveiligheid is mensenwerk


Informatieveiligheid gaat helaas slechts deels om techniek
Bewustzijn van informatieveiligheid bij management (en medewerkers) is
waar het echt om draait!
 Als punt op de horizon voor de Taskforce is om deze reden in eerste
instantie bewust gekozen voor Verplichtende Zelfregulering (vereist juiste
mentaliteit) en bewust niet voor wetgeving
Informatieveiligheid staat of valt met bewustzijn



… en dat bewustzijn start met het besef dat de wereld verandert
… en daarmee ook onze dienstverleningsmodellen, zeker Publieke
Dienstverlening
… met het besef dat onze gemeentelijke organisatie zich door deze
digitalisering onbedoeld uitbreidt buiten de muren van ons kantoor:
 Informatie wordt steeds vaker digitaal ontsloten middels allerlei
apparaten die binnen en buiten de gemeentelijke muren worden
gebruikt
 Informatie wordt ook door onze burgers en bedrijven door de
opkomst en impact van social media inmiddels ‘anders’ gebruikt
 Kortom: informatieveiligheid gaat eigenlijk om INFORMATIE en
VEILIGHEID in de breedste zin des woords
Informatie en veiligheid
het zit in de details…

Start
De risico’s voor gemeenten
Voorbeelden bedreigingen
Voorbeeld van impact
Informatie diefstal
Verlies van persoonsgegevens, fraude
Hacking
Illegale aanpassingen op websites,
fraude
Technische storing van netwerk
Uitval van systemen, geen paspoorten
kunnen uitgeven
Virus
Uitval van systemen, geen uitkeringen
kunnen uitkeren
Menselijke fouten
Uitval van systemen, verlies van data
De oplossing
Informatieveiligheid vereist een plek aan de bestuurstafel, zeker bij Publieke Dienstverlening


Ervaring leert dat echte informatieveiligheid pas wordt bereikt als we
allemaal, van hoog tot laag, doordrongen zijn van het belang én van de
risico’s
Daar zit de echte oplossing. Hoog tijd dus voor een verscherping van het
bewustzijn en concrete sturing op informatieveiligheid binnen gemeenten
De meerwaarde
Informatieveiligheid is niet vrijblijvend


Ook hier geldt; de gemeentelijke ketting is zo sterk als de zwakste schakel
Kortom, samenwerken én eigen verantwoordelijkheid
Het perspectief


Alle overheidslagen en organisaties, dus ook gemeenten hebben over
twee jaar een solide basis voor verplichtende zelfregulering op
informatiebeveiligingsvlak
In iedere organisatie dient een jaarlijkse cyclus te zijn geborgd waarin
ambtelijke en bestuurlijke oordeelsvorming over informatieveiligheid
plaatsvindt en uiteraard een verbeteraanpak wordt neergelegd
De uitgangspunten (1/2)
Verplichtende Zelfregulering conform Statement BRG



Een normatieve basis per gemeente en per overheidslaag (ISO 27001 en
ISO 27002)
Een verankering van deze normatiek. Elke betrokken gemeente regelt de
informatieveiligheid op adequaat niveau
Op het niveau van de overheidslagen is er een stelsel van afspraken over
de verantwoordelijkheid van koepelorganisaties zoals VNG. Op landelijk
niveau belegde en daarvoor ingerichte voorzieningen faciliteren deze
zelfregulering
De uitgangspunten (2/2)
Verplichtende Zelfregulering conform Statement BRG



Auditing is hierbij een belangrijk instrument. De ontwikkeling van een
stelsel van single audit is uiteraard een stimulerende factor voor
zelfregulering bij gemeenten
Elke gemeente, nader ondersteund per overheidslaag, traint regulier op
een actieve gerichtheid van bestuur, management, ICT-functionarissen en
andere medewerkers op informatieveiligheid
Voor elke gemeente en elke overheidslaag zijn een probleemanalyse en
veranderplan opgesteld, die uiteindelijk leiden tot een verplichtende
zelfregulering van informatieveiligheid
Verplichtende Zelfregulering
Stelsel
Overheidslaag
Organisatie
Stelsel:
• Kaderstelling
• Controlemechanismen
• Toezicht
De basis van zelfregulering
Zelfregulering veronderstelt dat er binnen de gemeentelijke overheidslaag:
 verantwoordelijkheid ten aanzien van het probleem bestaat
 een bepaald niveau van kennis aanwezig is
 voldoende draagvlak bestaat voor zelfregulering
 een voldoende organisatiegraad bestaat
De start





Een baseline voor gemeenten
De audits zoals het ICT-Beveiligingsassessment DigiD
Verplichte audits, GBA.Suwi
De kennis van pioniers en best practices
De opleidingen vanuit bestaande gremia
De normatieve basis




ISO 27001
ISO 27002
GEMMA
Richtsnoeren
De veiligheidscyclus als basis
De veiligheidscyclus is de basis voor actie binnen elke stap.
Een voorbeeld: informatieveiligheidsbeleid bevat beleid op gebied van:
 pro-actie
 preventie
 preparatie
 respons
 nazorg en herstel
Verplichtende Zelfregulering bij informatieveiligheid
Zelfregulering betekent:
 maken van een risicoanalyse
 maken van beleid en toepassing van normen
 sturing op uitvoering van beleid
 controle, verantwoording en toezicht op beleid en uitvoering daarvan
 bijstelling en leren waar nodig
ISO
Baseline overheidslaag
Maken van
analyse (GAP &
risico)
Audit extern
Maken van
beleid
Monitor
Uitvoeren
Controleren
Bijstellen
Evalueren
Oordelen
Verantwoorden
Sancties
Toezicht
28
Hoe stimuleert de Taskforce BID deze
Verplichtende Zelfregulering?




De gemeentelijke overheidslaag gesteund door de Taskforce BID stelt een
veranderplan (programmering) op via twee lijnen: gerichtheid en
verankeren
Deze programmering start waar er al energie of beweging is (projecten,
initiatieven, bestuurlijke thema’s) binnen een overheidslaag
Deze programmering is zoveel mogelijk gericht op bestaande netwerken
en gremia en richt zich op co-creatie van pioniers en faciliteren van
beginners
Programmering neemt normen en architecturen als uitgangspunt,
overheidslaag is verantwoordelijk voor implementatie
De onderdelen van de programmering






Workshops en bewustwordingsbijeenkomsten
Systematiek voor risicoanalyse
Format voor informatieveiligheidsbeleid
Stappenplan voor implementatie norm en veiligheidscyclus
Systematiek voor controle en toezicht
Systematiek voor verandering en bijstelling
Informatieveiligheid blijft mensenwerk…

Start
VRAGEN?
DE specificaties
Voorbeeld G4




Baselines gebaseerd op ISO’s
10 hoofdprocessen hoogste prioriteit bij informatiebeveiliging
‘In control’-verklaring door alle afdelingsmanagers
Classificatie van informatie, A&K analyse en verantwoordelijkheden bij
nieuwe ICT-projecten
Voorbeeld IJsselstein




Informatiebeveiligingsbeleidsplan als deelplan van informatiebeleid
Raad nu al informeel betrokken
College B&W stelt vast en bepaalt of plan doorgaat naar Raad
Raad zal naar alle waarschijnlijkheid controlerende functie krijgen
ISO
Baseline overheidslaag
Maken van
analyse (GAP &
risico)
Audit extern
Maken van
beleid
Monitor
Uitvoeren
Controleren
Bijstellen
Evalueren
Oordelen
Verantwoorden
Sancties
Toezicht
36
De stand van zaken RO: PDCA Cyclus
Status bij gemeenten
Norm
Risico’s
Beleid
Uitvoering
Controle
Toezicht
IST
GEMMA √
ISO 27001 √
ISO 27002 √
Risicoanalyses bij
aantal
gemeenten
Beleidsparagraaf
√
Gemeente
√
Raad √
Rekenkamer
√
Raad √
SOLL
BIG √
GEMMA √
Systematiek Beleidsvoor risico- plan
analyses
Gemeente
Raad √
Rekenkamer
√
Edp auditor?
Audit
anderen?
Raad √
Rol IBD?
Rol
VNG?

Download Report