<b>Bijsluiter</b>. De hyperlink naar het originele document werkt niet meer. Daarom laat Woogle de tekst zien die in dat document stond. Deze tekst kan vreemde foutieve woorden of zinnen bevatten en de opmaak kan verdwenen of veranderd zijn. Dit komt door het zwartlakken van vertrouwelijke informatie of doordat de tekst niet digitaal beschikbaar was en dus ingescand en vervolgens via OCR weer ingelezen is. Voor het originele document, neem contact op met de Woo-contactpersoon van het bestuursorgaan.<br><br>====================================================================== Pagina 1 ======================================================================

<pre>gemeente

Lelystad

Aan de raad van de gemeente Lelystad

uw brief van uw kenmerk ons kenmerk datum
U17-104946 1 3 SEP 2017

behandeld door doorkiesnummer bijlagen dossiernummer

P. Poelstra 140320 -

onderwerp pr-nummer

Informeren informatieveiligheid 1° halfjaar

Geachte leden van de raad,

Naar aanleiding van het rekenkamerrapport “Digitale veiligheid” van maart 2016, is afgesproken dat
twee keer per jaar de stand van zaken van informatiebeveiliging aan u gerapporteerd wordt.
Onderstaand vindt u een weergave over de eerste helft van 2017.

Visitatiecommissie VNG

In het voorjaar heeft de visitatie Informatieveiligheid van de VNG een bezoek gebracht aan onze
gemeente. De commissie heeft geconstateerd dat de gemeente Lelystad op een realistische manier
werkt aan informatieveiligheid. Daarbij viel specifiek positief op dat de gemeente Lelystad werkt op
basis van een vastgestelde visie en een gedragen informatieveiligheidsbeleid. Waarbij de uitvoer
periodiek getoetst wordt op basis van een auditkalender.

De aanbevelingen die zijn gedaan hebben betrekking op stapsgewijs dataclassificatie invoeren en
leveranciersmanagement. Deze aanbevelingen krijgen een plek in de architectuur resp.
bewerkersovereenkomsten waar al mee gewerkt wordt.

Uitkomsten op hoofdlijnen van de audits in het eerste halfjaar van 2017:

e UWV Gegevensdiensten (gegevens over werk en inkomen): geen afwijkingen geconstateerd
op basis van het door UWV aangereikte normenkader — dit is ook zo bevestigd door de IT-
auditors van het UWV.

e DigiD-assessment (identiteit vaststellen op internet): bij de 3 externe leveranciers waar met
DigiD gewerkt wordt (Centric, Pink en Seneca) is geconstateerd dat aan alle
beveiligingsrichtlijnen van Logius (onderdeel van het Ministerie van Binnenlandse Zaken)
wordt voldaan. Ook de interne beheerorganisatie van de gemeente Lelystad is in orde
bevonden.

Meldplicht Datalekken

In de periode waar deze rapportage betrekking op heeft is er driemaal een
melding gedaan aan de Autoriteit Persoonsgegevens over een lek van
vertrouwelijke informatie.

Gemeente Lelystad
Stadhuisplein 2
Postbus 91

8200 AB Lelystad
14 0320
www.lelystad.nl
</pre>

====================================================================== Einde pagina 1 =================================================================

<br><br>====================================================================== Pagina 2 ======================================================================

<pre>ons kenmerk datum pagina
2
Î 3 SEP. 2017

Het betrof eenmaal mail die verkeerd geadresseerd was, een drietal enquêtes die verkeerd verstuurd
waren en tien brieven die abusievelijk verstuurd waren.

In alle gevallen geldt dat er geen negatieve gevolgen voor betrokkenen zijn opgetreden. Wel zijn
betrokkenen conform de Meldplicht datalekken geïnformeerd. Al deze gevallen zijn besproken met de
betrokken medewerkers met als doel dit voortaan te voorkomen.

Beveiliging tegen dreigingen van buitenaf

Om hacks en/of virussen van buitenaf te weren zijn uiteraard de nodige ICT-beveiligingsmaatregelen
staande praktijk. Daarnaast wordt er een strikt patchbeleid gevoerd (= doorvoeren van o.m.
beveiligingsupdates) en is onze gemeente aangesloten bij de InformatieBeveiligingsDienst (IBD, een
gezamenlijk initiatief van VNG en KING). De [BD levert integrale coördinatie en concrete
ondersteuning in geval van incidenten en crisissituaties. De IBD waarschuwt onze gemeente voor
mogelijke virussen, wormen, botnetten en aanvallen van buitenaf.

Vervolg

Vanaf medio 2017 gaat de door de VNG vastgestelde ENSIA-methodiek van start. ENSIA staat voor
Eenduidige Normatiek Single Information Audit. Dat houdt in dat de verantwoording naar de
rijksoverheid over informatiebeveiliging via een vast stramien en op een vast moment in het jaar
plaatsvindt. In het najaar zijn DigiD en BRP en Paspoorten aan de beurt alsook verantwoording over
uitvoering van de BIG (Baseline Informatiebeveiliging Gemeenten). De doorontwikkeling van BRP
overigens is door minister Plasterk deze zomer stopgezet.

In het 1° kwartaal van 2018 wordt de Collegeverklaring informatiebeveiliging opgesteld. Uiterlijk 15 juli
2018 legt het college verantwoording over informatiebeveiliging af aan de gemeenteraad. Deze
horizontale verantwoording vormt de basis voor het verticale verantwoordingsproces aan nationale
partijen die een rol hebben in het toezicht op informatieveiligheid.

Wij verwachten u hiermee voldoende te hebben geïnformeerd.
Hoogachtend,
het college van de gemeente Lelystad,

de secretaris,

| NG

/

Ir. N. Versteeg MCM J. Sparreboom, locoburgemeester
</pre>

====================================================================== Einde pagina 2 =================================================================

<br><br>