<b>Bijsluiter</b>. De hyperlink naar het originele document werkt niet meer. Daarom laat Woogle de tekst zien die in dat document stond. Deze tekst kan vreemde foutieve woorden of zinnen bevatten en de opmaak kan verdwenen of veranderd zijn. Dit komt door het zwartlakken van vertrouwelijke informatie of doordat de tekst niet digitaal beschikbaar was en dus ingescand en vervolgens via OCR weer ingelezen is. Voor het originele document, neem contact op met de Woo-contactpersoon van het bestuursorgaan.<br><br>====================================================================== Pagina 1 ======================================================================

<pre>Jaarverslag Informatiebeveiliging
Midden-Delfland
2019
</pre>

====================================================================== Einde pagina 1 =================================================================

<br><br>====================================================================== Pagina 2 ======================================================================

<pre>Inhoud
Managementsamenvatting .................................................................................................... 3
     Activiteiten in 2019 .......................................................................................................... 3
     Beveiligingsincidenten ...................................................................................................... 3
     Zelfevaluaties .................................................................................................................. 3
     Vooruitblik 2020 op het gebied van de informatiebeveiliging.................................................. 3
1.      Inleiding ...................................................................................................................... 4
2.      IB-beleid, doelstellingen en ambities ............................................................................... 5
     Wat is informatiebeveiliging? ............................................................................................. 5
     Baseline Informatiebeveiliging gemeenten (BIG). ................................................................. 5
     Uitgangpunten en doelen van ons informatiebeveiligingsbeleid .............................................. 5
     Relatie met privacy .......................................................................................................... 6
     Baseline Informatiebeveiliging Overheid (BIO) vervangt de BIG ............................................. 6
     Horizontale en verticale verantwoording op basis van ENSIA ................................................. 8
     Verantwoordingsrapportages zelfevaluatie 2019 ................................................................. 10
3.      Collegeverklaring ENSIA inzake informatiebeveiliging DigiD en Suwinet .............................. 15
4.      Samenvattend beeld en resultaten informatiebeveiliging 2019 .......................................... 16
5.      Disclaimer .................................................................................................................. 18
6.      Belangrijkste beheersmaatregelen IB ............................................................................. 19
7.      Realisatie doelstellingen IB-beleid .................................................................................. 20
8.      Incidenten en ontdekte kwetsbaarheden......................................................................... 24
9.      Meerjarenperspectief ................................................................................................... 28




                                                                    2
</pre>

====================================================================== Einde pagina 2 =================================================================

<br><br>====================================================================== Pagina 3 ======================================================================

<pre>Managementsamenvatting
Het college van B&W van gemeente Midden-Delfland legt jaarlijks verantwoording af over de
uitvoering van het informatiebeveiligingsbeleid. Dit jaarverslag bevat die verantwoording.

Activiteiten in 2019
In 2019 is op het gebied van informatiebeveiliging het volgende gerealiseerd:
      Het Informatiebeveiligingsbeleid 2016 – 2019 is met een jaar verlengd.
      Het Strategisch Informatiebeveiligingsbeleid 2020-2023 is vastgesteld.
      Het Dataclassificatiebeleid is vastgesteld en er is gestart met de uitvoering.
      De firewall, antivirusoplossing en spamfilter zijn vervangen en voldoen nu aan de normen.
      Het Information Management Security System is uitgebreid om efficiënter verantwoording
       af te kunnen leggen aan de toezichthouders.
      We zijn gestart met het actualiseren van het personeelsbeleid naar de actuele normen voor
       informatiebeveiliging.

Beveiligingsincidenten
In 2019 zijn 31 incidenten en geconstateerde kwetsbaarheden gemeld bij de CISO en adviseurs
Informatiebeveiliging. Het gaat hierbij ook om ontdekte kwetsbaarheden die met updates van
software en aanpassingen van de hardware zijn opgelost.

In 2019 zijn er van deze beveiligingsincidenten negen aangemerkt als datalek In twee gevallen is
melding gedaan bij de Autoriteit Persoonsgegevens (AP) en zijn de betrokkenen geïnformeerd. Een
van deze datalekken is bij de AP gemeld door de externe partij waar de oorzaak van het datalek
lag.

Zelfevaluaties
Gemeenten moeten richting de Rijksoverheid verantwoording afleggen over de Basisregistratie
Personen (BRP), Paspoortuitvoeringsregeling (PUN), Digitale persoonsidentificatie (DigiD),
Basisregistratie Adressen en Gebouwen (BAG), Basisregistratie Grootschalige Topografie (BGT),
Basisregistratie Ondergrond (BRO) en de Structuur uitvoeringsorganisatie Werk en Inkomen
(SUWI):
       Voor BRP en PUN scoort de gemeente Midden-Delfland binnen de gestelde normen.
       De gemeente Midden-Delfland is DigiD aansluithouder. Door een externe IT-auditor is
        vastgesteld dat wordt voldaan aan het gestelde normenkader.
       Gemeente Midden-Delfland gebruikt Suwinet. Door een externe IT-auditor is vastgesteld
        dat wordt voldaan aan het gestelde normenkader.
       BAG scoort voldoende derhalve worden nog verbeteracties voorgesteld.
       BGT scoort nog niet op alle onderdelen binnen de norm daarom worden verbeteracties
        voorgesteld.
       BRO scoort nog niet op alle onderdelen binnen de norm daarom worden verbeteracties
        voorgesteld.

Vooruitblik 2020 op het gebied van de informatiebeveiliging
Activiteiten voor 2020:
        In combinatie met voorlichting over privacy zal informatiebeveiliging continu onder de
         aandacht van de medewerkers worden gebracht om de bewustwording bij hen te
         vergroten.
        Het invoeren van de beveiligingsmaatregelen gaat in 2020 verder. Daarnaast zal een
         aanvang worden gemaakt met de uitvoering van het Strategisch
         Informatiebeveiligingsbeleid 2020-2023 dat is gebaseerd op de Baseline
         Informatiebeveiliging Overheid.
        Gegevens zijn één van de belangrijkste bedrijfsmiddelen van de gemeente. Aandacht voor
         de kwaliteit, actualiteit en compleetheid van de basisregistraties is daarom van groot
         belang. Speciale aandacht is nodig voor de implementatie van de BRO.
        Het Information Security Management System (ISMS) wordt aangepast aan de BIO en
         gevuld met maatregelen, taken, rollen en verantwoordelijk medewerkers om de plan-do-
         check-act cyclus voor informatiebeveiliging vorm te geven.
        Met het gevulde ISMS creëren we periodiek management informatie over de voortgang van
         de taken en de status van ons informatiebeveiligingsplan.
        Er wordt gestart met de vervanging van onze technische infrastructuur door nieuwe
         hardware die voldoet aan de hedendaagse beveiligingseisen.
        Ons Responsible Disclosurebeleid wordt vastgesteld en gepubliceerd op onze website.


                                               3
</pre>

====================================================================== Einde pagina 3 =================================================================

<br><br>====================================================================== Pagina 4 ======================================================================

<pre>1. Inleiding

Met de VNG resolutie “Informatieveiligheid, randvoorwaarde voor de professionele gemeente” van
2013 hebben de gemeenten afgesproken de Baseline Informatieveiligheid Gemeenten (BIG) te
implementeren. Deze baseline is nu de kern van de verantwoording over informatieveiligheid aan
de gemeenteraad. Gemeenten verantwoorden zich daarom elk jaar over de kwaliteit van de
beveiliging van de informatievoorziening. Over 2017 gebeurde dit voor het eerst met de Eenduidige
Normatiek Single Information Audit (ENSIA).
Gemeenten voeren nu over 2019 opnieuw een zelfevaluatie informatiebeveiliging uit. Deze is onder
meer gericht op beveiligingsnormen van de BIG, AVG, BRP, PUN, BAG, BGT, DigiD en Suwinet. Het
college van B&W rapporteert aan de gemeenteraad over de stand van zaken van de
informatievoorziening met een jaarverslag.

Dit jaarverslag informatiebeveiliging bevat naast informatie over de informatiebeveiliging in brede
zin ook een verwijzing naar de Collegeverklaring ENSIA over een aantal geselecteerde
beveiligingsnormen (DigiD en Suwinet). Een gecertificeerd IT-auditor heeft de Collegeverklaring
getoetst en een Assurancerapport opgeleverd dat nodig is voor de verticale verantwoording.

Met dit derde jaarverslag over onze informatiebeveiliging geven we uitvoering aan de
verantwoordingsplicht naar de gemeenteraad.




                                                 4
</pre>

====================================================================== Einde pagina 4 =================================================================

<br><br>====================================================================== Pagina 5 ======================================================================

<pre>2. IB-beleid, doelstellingen en ambities

Met de vaststelling van het integraal informatiebeveiligingsbeleid in 2015 zette de gemeente
Midden-Delfland een belangrijke stap om de beveiliging van persoonsgegevens en andere
informatie binnen de gemeente op orde te houden. Het beleid is gebaseerd op de Baseline
Informatiebeveiliging Nederlandse Gemeenten en in 2019 met een jaar verlengt tot 2020.


Wat is informatiebeveiliging?
Onder informatiebeveiliging wordt verstaan: het treffen en onderhouden van een samenhangend
pakket aan maatregelen om de betrouwbaarheid van de informatievoorziening te waarborgen.
Kernpunten daarbij zijn beschikbaarheid, integriteit (juistheid) en vertrouwelijkheid van
persoonsgegevens en andere informatie. Het informatiebeveiligingsbeleid geldt voor het complete
proces van informatievoorziening en de hele levenscyclus van informatiesystemen. Het beperkt
zich niet alleen tot de ICT en heeft betrekking op het politiek bestuur, alle medewerkers, burgers,
Midden-Delfland, bezoekers en externe relaties.

Baseline Informatiebeveiliging gemeenten (BIG).
In november 2013 is tijdens de Buitengewone Algemene Ledenvergadering (BALV) van de
Vereniging van Nederlandse Gemeenten (VNG) de Resolutie ‘Informatieveiligheid, randvoorwaarde
voor de professionele gemeente’ bekrachtigd. Deze Resolutie is opgesteld door de Vereniging van
Nederlandse Gemeenten (VNG) in samenwerking met de Informatiebeveiligingsdienst voor
gemeenten (IBD) en de Taskforce Bestuur en Informatieveiligheid Dienstverlening (Taskforce BID).
De resolutie houdt in dat iedere gemeente het informatiebeveiligingsbeleid vaststelt aan de hand
van de Baseline Informatiebeveiliging Nederlandse Gemeenten (BIG), die is opgesteld door de IBD.
Tevens borgen de gemeenten informatieveiligheid zowel bestuurlijk als ambtelijk en maken ze de
invulling op informatieveiligheid transparant voor burgers, bedrijven en ketenpartners.

Informatieveiligheid is geborgd in de organisatie
Ons doel is om ‘in control’ te zijn op het gebied van informatiebeveiliging. ‘In control’ zijn betekent
dat we weten welke passende technische en organisatorische maatregelen genomen
moeten worden, welke maatregelen er al zijn en welke maatregelen nog moeten worden ingericht.

Het belang van informatieveiligheid is voor alle doelgroepen duidelijk
Mensen zijn de sleutel tot informatiebeveiliging. Voor een beveiligingsincident dat uitmondt in een
datalek is vaak niet meer nodig dan een klik op een verkeerd linkje, een verkeerd geadresseerde
e-mail met gegevens over een burger, een verloren laptop of het uitlenen van een toegangspas.
Dit risico kan alleen beheerst worden als dag-in-dag-uit gewerkt wordt aan bewustzijn van
medewerkers, als medewerkers veilige tools en procedures ter beschikking hebben om hun werk te
doen en als bestuurders zelf het goede voorbeeld geven.

De P&C-cyclus voor informatieveiligheid is ingericht
De implementatie van informatiebeveiliging is een continu proces. Omgevingsfactoren en
navenante bedreigingen en kwetsbaarheden die deze met zich mee kunnen brengen, veranderen
voortdurend.

Informatiebeveiligingsplan
Op basis van het informatiebeveiligingsbeleid stellen we jaarlijks een informatiebeveiligingsplan
op. Hierin geven we aan op welke wijze de informatiebeveiliging wordt
verbeterd en welke tijdsplanning hierbij gehanteerd gaat worden. Een belangrijk punt voor 2020 is
de implementatie van de Baseline Informatiebeveiliging Overheid (BIO).

Uitgangpunten en doelen van ons informatiebeveiligingsbeleid

De belangrijkste globale uitgangspunten van het informatiebeveiligingsbeleid zijn:
   ·   Het college van B&W is eindverantwoordelijk voor informatiebeveiliging en stelt het
       informatiebeveiligingsbeleid vast.
   ·   De gemeentesecretaris is als Chief Information Officer (CIO) verantwoordelijk voor de
       uitvoering van het Informatiebeveiligingsbeleid.
   ·   De Chief Information Security Officer (CISO) is gepositioneerd in een lijnfunctie.
   ·   De CISO rapporteert jaarlijks over de informatiebeveiliging aan het college van
       burgemeester en wethouders.


                                                   5
</pre>

====================================================================== Einde pagina 5 =================================================================

<br><br>====================================================================== Pagina 6 ======================================================================

<pre>   ·    In het kader van de signaalfunctie rapporteert de CISO in bijzondere gevallen waarbij de
        veiligheid van de organisatie in het gedrang komt of dreigt te raken rechtstreeks aan de
        gemeentesecretaris in zijn functie als CIO.
   ·    Aan de hand van een GAP-analyse (0-meting) wordt periodiek een top 10 van te nemen
        maatregelen opgesteld.
   ·    Kennis en bewustzijn van informatiebeveiliging en omgaan met persoonsgegevens binnen
        de Gemeente Midden-Delfland worden bevorderd en geborgd.

De strategische doelen van het informatiebeveiligingsbeleid zijn:
   ·   Het managen van de informatiebeveiliging
   ·   Adequate bescherming van de ICT bedrijfsmiddelen
   ·   Het voorkomen van ongeautoriseerde toegang
   ·   Het garanderen van correcte en veilige informatievoorzieningen
   ·   Het beheersen van de toegang tot informatiesystemen
   ·   Het waarborgen van veilige informatiesystemen
   ·   Het adequaat reageren op incidenten
   ·   Het beschermen van kritieke bedrijfsprocessen
   ·   Het beschermen en correct verwerken van persoonsgegevens van inwoners en
       medewerkers
   ·   Het minimaliseren van risico’s van menselijk gedrag


Relatie met privacy
Met de inwerkingtreding van de Algemene Verordening Gegevensbescherming (AVG) op 25 mei
2018 is privacy volop in de schijnwerpers komen te staan. Privacy heeft alleen betrekking op
persoonsgegevens, waarbij dat begrip overigens ook heel ruim is. Zo kan het kenteken van een
auto beschouwd worden als een persoonsgegeven als het herleidbaar is tot een individueel
persoon. Informatiebeveiliging heeft een breder aandachtsgebied. De beveiliging is bijvoorbeeld
ook gericht op de bedrijfscontinuïteit en beperkt zich niet tot uitsluitend persoonsgegevens.
Toch is het niet vreemd dat privacy en informatiebeveiliging vaak in één adem worden genoemd.
Een aantal beveiligingsmaatregelen is van directe invloed op het waarborgen van de privacy.
Omgekeerd dragen privacy vereisten zoals het afsluiten van verwerkersovereenkomsten, bij aan
verhoging van de informatiebeveiliging. Informatiebeveiliging en privacy worden binnen gemeente
Midden-Delfland daarom in samenhang opgepakt.


Baseline Informatiebeveiliging Overheid (BIO) vervangt de BIG
Vanaf 1 januari 2020 is de Baseline Informatiebeveiliging Overheid (BIO) van kracht. 2019 is
bestempeld als een overgangsjaar. De BIO vervangt de bestaande baselines informatieveiligheid
voor Gemeenten, Rijk, Waterschappen en Provincies. Van BIG, BIR, BIR2017, IBI en BIWA naar
BIO. Hiermee ontstaat één gezamenlijk normenkader voor informatiebeveiliging binnen de gehele
overheid, gebaseerd op de internationaal erkende en actuele ISO-normatiek (NEN-ISO 27002).

De BIO is een doorontwikkeling, ofwel een ‘update’, van de nu bestaande BIG. Gemeenten baseren
hun informatiebeveiligingsbeleid en hun verantwoording aan de gemeenteraad en de
toezichthouders vanuit het Rijk (middels ENSIA) op deze BIG. De werkzaamheden die voor de BIG
zijn verricht zijn al grotendeels in lijn met de BIO.

Meer gericht op risicomanagement

De BIO legt meer nadruk op risicomanagement dan de BIG, die meer gaat over specifieke
maatregelen. De rol van de bestuurder en lijnmanager is ten aanzien van risicomanagement
explicieter dan de BIG aangaf. Om daaraan invulling te geven wordt tegelijkertijd met de BIO een
handreiking ‘10 bestuurlijke principes voor informatiebeveiliging’ van kracht. Deze principes
ondersteunen bestuurders bij de invulling van hun verantwoordelijkheid.

De BIO verschilt op een aantal punten van de BIG. De grootste verschillen zijn:

   1.   Minder maatregelen (bijna 60% minder)
   2.   Maatregelen zijn altijd verplicht
   3.   Meer risicomanagement (het begint met een QuickScan, de QIS)
   4.   Gaat uit van drie basis beveiliging niveaus (BBN)
   5.   Selectie van ontbrekende maatregelen vooraf


                                                 6
</pre>

====================================================================== Einde pagina 6 =================================================================

<br><br>====================================================================== Pagina 7 ======================================================================

<pre>   6. Toewijzing van maatregelen op eindverantwoordelijke
   7. Een baselinetoets die nu QIS heet en die rekening houdt met die drie niveaus uit de BBN

De grootste verandering zal zijn dat ook ENSIA compleet opnieuw zal moeten worden ingericht.
Daarvoor is heel wat werk te verzetten. Ook een grote verandering is dat de aanpak anders is dan
bij de BIG. Dat betekent een wijziging in het ondersteuningsaanbod van de IBD door middel van
operationele BIO-producten voor gemeenten.

Inwerkingtreding in 2020, overgangsjaar 2019

De BIO is sinds 1 januari 2020 van kracht. In 2019 konden gemeenten zich voorbereiden op de
overgang van de BIG naar de BIO. De informatiebeveiligingsdienst (IBD) ondersteunt gemeenten
daarbij met producten en regionale bijeenkomsten.

Omdat ons Informatiebeveiligingsbeleid (IB-beleid) na de maximale 3 jaar afliep in 2019 is
vanwege de komst van de BIO en het overgangsjaar 2019 het huidige IB-beleid met een jaar
verlengd tot 2020. In december 2019 heeft het college van burgemeester en wethouders ons op de
BIO gebaseerde Strategisch Informatiebeveiligingsbeleid 2020-2023 vastgesteld.




                                                7
</pre>

====================================================================== Einde pagina 7 =================================================================

<br><br>====================================================================== Pagina 8 ======================================================================

<pre>Horizontale en verticale verantwoording op basis van ENSIA


ENSIA (Eenduidige Normatiek Single Information Audit)

Aanleiding
Per 1 juli 2017 is het project ENSIA (Eénduidige Normatiek Single Information Audit) voor
gemeenten van start gegaan. ENSIA is een gezamenlijk project van het ministerie van
Binnenlandse Zaken (BZK), gemeenten, het ministerie van Sociale Zaken en Werkgelegenheid
(SZW), het ministerie van Infrastructuur en Milieu (I&M) en de Vereniging Nederlandse Gemeenten
(VNG). Het project heeft tot doel invulling te geven aan de verantwoordelijkheid van gemeenten
rond informatieveiligheid.
De invoering van ENSIA betekent dat alle gemeenten vanaf 2017 werken met één verant-
woordingsstelsel voor informatieveiligheid Daarbij wordt jaarlijks verantwoording afgelegd over
DigiD, Suwinet, de paspoortuitvoeringsregeling (PUN), de Basisregistratie Personen (BRP), de
Basisregistratie Adressen en Gebouwen (BAG) en de Basisregistratie Grootschalige Topografie
(BGT). In de verantwoording over 2019 is daar ook de Basisregistratie Ondergronden (BRO) bij
gekomen. Deze keer is de zelfcontrole over de BRO nog niet wettelijk verplicht. In 2020 is de
ENSIA BRO zelfcontrole wel een wettelijke verplichting.
De verantwoording sluit aan bij de gemeentelijke P&C-cyclus en is in lijn met de Baseline
Informatieveiligheid Nederlandse Gemeenten (BIG).

Achtergrond
De kern van ENSIA is dat de gemeentelijke organisatie transparant is en verantwoording aflegt
over de manier waarop zij in control is op het thema ‘informatieveiligheid’. Die verantwoording legt
de gemeentelijke organisatie af aan haar eigen toezichthouder, in dit geval de gemeenteraad.
Gemeenten hebben over dit principe in de algemene ledenvergadering van de VNG van november
2013 overeenstemming bereikt.
Gemeenten leggen niet alleen verantwoording af aan de eigen toezichthouder. Van oudsher
bestonden verplichtingen ten aanzien van het ministerie van BZK rond de Basisregistratie Personen
(BPR), de PUN en DigiD, en het ministerie van IenW rond de BAG en de BGT. Naar aanleiding van
de onderzoeken van de inspectie SZW is de regelgeving Suwinet aangescherpt en moeten
gemeenten zich ook daarover verantwoorden.
ENSIA integreert al deze typen verantwoordingen in één werkwijze, met één eenduidige taal: de
BIG. Alle bestaande verantwoordingen zijn in goed overleg met de toezichthouders aangepast op
ENSIA. Voor alle verantwoordingen geldt dat waar mogelijk is aangesloten op de BIG. Specifieke
toezichtinformatie is nodig en waar mogelijk verwerkt in de ENSIA-vragenlijst die de bevraagbare
versie van de BIG als basis kent. Daarnaast blijft de noodzaak aanwezig om domein specifieke
toezichtinformatie te blijven leveren. Het voornemen is dat ENSIA met andere registraties verder
zal worden uitgebreid zoals nu ook het geval is met de BRO en de AVG.

Hoewel deze nieuwe methodiek tot een vereenvoudiging van de audits moet leiden hebben de
eerdere ENSIA verantwoordingen geleerd dat de werkzaamheden op dit gebied elk jaar weer
verder toeneemt.
Dit komt met name doordat de normenkaders op het gebied van informatiebeveiliging en privacy
substantieel worden uitgebreid en de reikwijdte op een toenemend aantal domeinen en registraties
van toepassing is geworden (BGT en BRO) of nog wordt.

De nieuwe ENSIA-regelgeving biedt ons de kans om het proces rondom de verplichte
aantoonbaarheid van informatieveiligheid te optimaliseren. De sterk toegenomen en nog steeds
toenemende digitalisering binnen de gemeente en de maatschappij vraagt veel aandacht voor de
kwaliteit van informatieveiligheid en vanaf mei 2019 ook de privacybescherming. We beheren
onder andere veel persoonsgegevens en dat neemt toe door decentralisatie van overheidstaken.
Elk jaar moet de gemeente zich dan ook verantwoorden over de kwaliteit van informatieveiligheid
en/of de hierbij gebruikte informatiesystemen/-platformen.




                                                 8
</pre>

====================================================================== Einde pagina 8 =================================================================

<br><br>====================================================================== Pagina 9 ======================================================================

<pre>Uitvoering van ENSIA 2019
ENSIA ondersteunt zowel het horizontale als het verticale verantwoordingsproces. De ontwikkeling
gaat daarbij steeds meer in de richting van horizontale verantwoording. Hieronder is het ENSIA-
proces voor het verantwoordingsjaar 2019 grafisch weergegeven. Meer informatie over ENSIA en
de werkwijze is terug te vinden op www.ensia.nl.




Over 2019 vormt de BIG nog de kern van de horizontale verantwoording aan de gemeenteraad. In
2019 is een zelfevaluatie uitgevoerd door middel van het invullen van vragenlijsten. Op basis van
de uitkomsten van deze zelfevaluatie is een collegeverklaring opgesteld waarop een audit heeft
plaatsgevonden. De scope van deze audit over 2019 beperkt zich net als over 2017 en 2018 nog
tot Suwinet en DigiD. Zo wordt ‘horizontaal’ de collegeverklaring (waarin de gemeente de algehele
status van informatieveiligheid verantwoordt) als bijlage van dit jaarverslag verwerkt. Deze
collegeverklaring wordt vervolgens als integraal rapport mee geleverd als bijlage bij dit jaarverslag
informatiebeveiliging (zie ook hoofdstuk 3).

Het horizontale verantwoordingsproces vormt een belangrijke basis voor de IT-auditor en de
gemeente.

Toelichting werkwijze zelfevaluatie.
Via de online ENSIA tool is aan de gemeentelijke ENSIA-coördinator een zelfevaluatie vragenlijst
beschikbaar gesteld voor informatieveiligheid bij gemeenten over de volle breedte van de BIG met
inbegrip van de specifieke normen op het gebied van informatiebeveiliging:
    -   Basisregistratie Personen (BRP)
    -   Paspoortuitvoeringsregeling (PUN)
    -   Digitale persoonsidentificatie (DigiD)
    -   Basisregistratie Adressen en Gebouwen (BAG)
    -   Basisregistratie Grootschalige Topografie (BGT)
    -   Structuur uitvoeringsorganisatie Werk en Inkomen (Suwinet)
    -   Basisregistratie Ondergrond (BRO) (over 2019 als proefjaar)
    -   Algemene Verordening Gegevensbescherming (AVG)
In de periode van 1 juli tot 31 december 2019 zijn deze vragenlijsten ingevuld en ingeleverd.




                                                  9
</pre>

====================================================================== Einde pagina 9 =================================================================

<br><br>====================================================================== Pagina 10 ======================================================================

<pre>De beantwoording van de vragen over deze normen is terug te vinden in de
verantwoordingsrapportage over de BIG. Daarnaast zijn over de proceseigen normenkaders over
de BAG, BGT en BRO aparte verantwoordingsrapportages als bijlagen toegevoegd.

Verticale verantwoording
‘Verticaal’ verantwoorden we de met de collegeverklaring de specifieke status per auditonderdeel
(voor 2019 Suwinet en DigiD) richting de betreffende toezichthouder (zoals Logius voor DigiD).
Daarnaast rapporteren we over de BAG, BGT en BRO naar de verticale toezichthouders.
De rapportagedeadline hiervoor was 1 mei 2020 maar is vanwege de corona pandemie verlengd tot
1 juni 2020.

Het verticale verantwoordingsproces van de gemeente ziet er als volgt uit:




Hieronder vindt u de conclusies uit de betreffende verantwoordingsrapportages.


Verantwoordingsrapportages zelfevaluatie 2019

De verantwoordingrapportages over de ingevulde ENSIA vragenlijsten zijn als bijlagen bijgevoegd.

De verantwoordingsrapportage over de BIG bevat de vragen die wettelijk gericht zijn op de
specifieke normen (BRP,PUN, SUWINET, DigiD en AVG).
Daarnaast zijn apart de verantwoordingsrapportages over de BAG, BGT en BRO als bijlagen van dit
jaarverslag bijgevoegd. Deze bevatten ook de niet BIG gebaseerde vragen, de zogenaamde
specifiek op de normenkaders van BAG, BGT en BRO gerichte vragen.

Het totaal van collegeverklaring, het jaarverslag IB inclusief de verantwoordingsrapportages BIG,
BAG, BGT en BRO de horizontale verantwoording aan de gemeenteraad.

Samen met de collegeverklaring over SUWI en DIGID vormt het jaarverslag IB inclusief de
verantwoordingsrapportages BIG, BAG, BGT en BRO de horizontale verantwoording aan de
gemeenteraad.



                                                10
</pre>

====================================================================== Einde pagina 10 =================================================================

<br><br>====================================================================== Pagina 11 ======================================================================

<pre>Zelfevaluatie BIG

Onderwerpen uit de BIG zijn:
· Beveiligingsbeleid
· Organisatie van de informatiebeveiliging
· Beheer van bedrijfsmiddelen
· Beveiliging van personeel
· Fysieke beveiliging en beveiliging van de omgeving
· Beheer van communicatie- en bedieningsprocessen
· Logische toegangsbeveiliging
· Verwerving, ontwikkeling en onderhoud van informatiesystemen
· Beveiligingsincidenten
· Bedrijfscontinuïteit
· Naleving

In de hoofdstukken 4, 6 en 7 wordt uitgebreid ingegaan op de resultaten van 2019 en de
geïmplementeerde maatregelen.


Resultaten zelfevaluaties per stelsel

Via de ENSIA systematiek is verantwoording afgelegd aan het Rijk. In de volgende paragrafen
wordt per zelfevaluatie een toelichting gegeven. De bijbehorende rapportages zijn als bijlagen
opgenomen bij deze rapportage.

Zelfevaluaties BRP en PUN

De Basisregistratie Personen (BRP) is onderdeel van het stelsel van basisregistraties van de
Nederlandse overheid. De Nederlandse overheid registreert persoonsgegevens in de BRP. Alle
overheidsinstellingen en bestuursorganen (zoals de Belastingdienst) zijn verplicht voor hun taken
gebruik te maken van die gegevens. Het gaat daarbij onder andere om naam, geboortedatum,
geboorteplaats, verblijfplaats en familierelaties. Met deze gegevens wordt bijvoorbeeld een
paspoort en identiteitskaart verstrekt of wordt de hoogte van een studietoelage berekend.
Voor het uitgeven van paspoorten hebben gemeenten met wetgeving te maken zoals de
Paspoortuitvoeringsregeling Nederland 2001 (PUN).
Jaarlijks moeten gemeenten verantwoording afleggen over het gebruik van de BRP en de PUN. Met
de komst van ENSIA is het inhoudelijke deel afgesplitst van het beveiligingstechnische deel. Het
inhoudelijke deel, dat onder andere kijkt naar de kwaliteit van de persoonsgegevens in het BRP en
de inrichting van de verwerkingsprocessen, wordt door de vakafdeling uitgevoerd. Het
beveiligingstechnische deel wordt op basis van de BIG-richtlijnen uitgevraagd. De zelfevaluaties
BRP1 en PUN2 zijn ingediend zodat de externe toezichthouder (het ministerie van Binnenlandse
zaken en Koninkrijkszaken) zich hierover een oordeel kan vormen.
Op het inhoudelijke deel van de zelfevaluaties scoort gemeente Midden-Delfland binnen de gestelde
normen. De scores van het ENSIA-deel voor de zelfevaluatie BRP en PUN treft u hieronder aan.

ENSIA BRP-score gemeente Midden-Delfland
 Onderdeel             Waarde                        Maximale score        Percentages
                       Midden-Delfland
    Organisatie van de              356              400                   89,0 %
    beveiliging
    Toegangsbeveiliging             368              400                   92,0 %
    Naleving                        380              400                   95,0 %
    Puntentotaal BRP                1.104            1200                  92,0 %



ENSIA PUN-score gemeente Midden-Delfland

1
    Uittreksel zelfevaluatie BRP
2
    Uittreksel zelfevaluatie PNIK


                                                11
</pre>

====================================================================== Einde pagina 11 =================================================================

<br><br>====================================================================== Pagina 12 ======================================================================

<pre> Onderdeel                   Waarde                  Maximale score         Percentages
                             Midden-Delfland
 Organisatie van de          174                     174                    100,0 %
 beveiliging
 Toegangsbeveiliging         240                     252                    95,2 %
 Naleving                    174                     174                    100,0 %
 Puntentotaal                588                     600                    98,0 %
 Reisdocumenten



Zelfevaluatie Basisregistratie Adressen en Gebouwen (BAG)

De BAG (Basisregistratie Adressen en Gebouwen) is onderdeel van het stelsel van basisregistraties.
Gemeenten zijn bronhouders van de BAG. Zij zijn verantwoordelijk voor het opnemen van de
gegevens in de BAG en voor de kwaliteit ervan. Alle gemeenten stellen gegevens over adressen en
gebouwen centraal beschikbaar via de Landelijke Voorziening (BAGLV). Het Kadaster beheert de
BAGLV en stelt de gegevens beschikbaar aan de diverse afnemers.
De BAG bevat informatie over: panden, verblijfsobjecten, standplaatsen, ligplaatsen,
nummeraanduidingen, openbare ruimtes en woonplaatsen. De attributen die hierbij horen zijn
onder andere naam, huisnummer, status, oppervlakte, geometrie, bouwjaar en gebruiksdoel.
De BAG bevat deze gegevens van heel Nederland.

In de wet BAG zijn de taken en bevoegdheden van de betrokken partijen beschreven.
Kwaliteitsborging is beschreven in de Regeling Zelfcontrole. Het college van burgemeester en
wethouders is verantwoordelijk voor de uitvoering van de taken op grond van de Wet BAG.
De verantwoordingsrapportage is opgesteld op basis van de jaarlijkse zelfevaluatie. Zoals
beschreven in de Regeling Zelfcontrole BAG is de verantwoordingsrapportage bedoeld om
horizontaal verantwoording af te leggen aan de gemeenteraad over de uitvoering van de Wet BAG
en om verticaal verantwoording af te leggen aan het Ministerie van Infrastructuur en Milieu als
formeel toezichthouder.

Conclusie zelfevaluatie BAG
De BAG scoort voldoende derhalve worden onderstaande verbeteracties voorgesteld:
  Thema            Verbetermaatregelen
  Borging proces   Er moet een 2e BAG beheerder komen die bij afwezigheid van de BAG
                   beheerder de werkzaamheden over kan nemen. Dit moet in 2020
                   georganiseerd worden.
                   In 2020 moet gecontroleerd worden of het processenhandboek en de
                   procesbeschrijvingen nog kloppen.
  Tijdigheid       We zorgen dat de continuïteit in de processen geborgd blijft, zodat alle
                   mutaties tijdig verwerkt kunnen worden
  Volledigheid     In 2020 moet er wederom een mutatiesignalering uitgevoerd worden. De
                   signaleringen worden daarbij gecontroleerd en verwerkt.
  Juistheid        Door het project van de WOZ (Waardering Onroerende Zaken), waarbij
                   alle oppervlaktes van de woningen opnieuw bepaald moeten worden,
                   wordt de kwaliteit van de oppervlaktes in de BAG verbeterd. De WOZ
                   geeft de oppervlakteberekeningen door aan de BAG en daarna worden ze
                   in de BAG gemuteerd. Hierbij vergelijke we de geometrie van de BAG
                   panden met de geometrie van de BGT panden. De verschillen lossen we
                   vervolgens op.




                                                12
</pre>

====================================================================== Einde pagina 12 =================================================================

<br><br>====================================================================== Pagina 13 ======================================================================

<pre>Zelfevaluatie Basisregistratie Grootschalige Topografie (BGT)


De Basisregistratie Grootschalige Topografie (BGT) is een gedetailleerde (in vaktaal: grootschalige)
digitale kaart van heel Nederland. Daarin worden alle objecten als gebouwen, wegen, water,
spoorlijnen en groen op een eenduidige manier vastgelegd.
Het doel van de BGT is: de hele overheid gebruik laten maken van dezelfde basisgegevens over de
grootschalige topografie van Nederland. Als alle overheidspartijen in Nederland werken met
dezelfde gegevens, dan zorgt dat voor:
  -    een betere dienstverlening aan burgers en bedrijven, want de gegevens zijn altijd actueel en
       betrouwbaar;
  -    administratieve lastenverlichting, want het kost bedrijven en burgers minder tijd en minder
       moeite om gegevens aan te leveren;
  -    een betere samenwerking binnen de overheid, want eenduidige afspraken over gegevens
       maken eenvoudige uitwisseling mogelijk;
  -    kostenbesparing, want minder fouten, minder inwinnen en minder communicatieproblemen
       zorgen voor minder kosten.

De taken op grond van de Wet BGT worden door de bronhouders in medebewind uitgevoerd. Met
de verantwoordingsrapportage legt het college van burgemeester en wethouders over deze
uitvoering horizontaal verantwoording af aan de gemeenteraad.
De verantwoordingsrapportage wordt daarnaast gebruikt om verticaal verantwoording af te leggen
aan het ministerie van Infrastructuur en Milieu, als formeel toezichthouder.

Conclusie zelfevaluatie BGT
BGT scoort nog niet op alle onderdelen binnen de norm daarom worden onderstaande
verbeteracties voorgesteld:

        Thema            Verbetermaatregelen
        Borging proces   De processen van de BGT moeten beschreven worden en moeten
                         geborgd worden binnen de organisatie.
                         De vacature van BGT beheerder moet ingevuld worden inclusief
                         achtervang.
                         Er moet een koppeling/afstemming tussen BOR en BGT georganiseerd
                         worden.
                         De mandaatregeling moet op het gebied van de BGT aangepast worden.
        Actualiteit      De processen tussen de BAG en BGT moeten geoptimaliseerd worden.
                         De processen tussen de BOR en BGT moeten vastgelegd worden.
        Volledigheid     Als ingewonnen projecten (revisietekeningen) direct aangeleverd worden
                         en verwerkt worden in de BGT, hoeft dit niet op luchtfoto te wachten.
                         ook voor de BOR geldt dat 1x per 3 maanden deze mutaties aangeleverd
                         moeten worden aan de BGT.
        Juistheid        We stellen een objectenhandboek op, zodat de BGT de objecten op de
                         gewenste manier vast kan leggen.




Zelfevaluatie Basisregistratie Ondergrond (BRO)


Het gebruik van bodem- en ondergrondgegevens bij de overheid en particuliere organisaties is de
laatste decennia sterk toegenomen, zowel kwalitatief als kwantitatief. Deze gegevens spelen een
cruciale rol op uitvoerend niveau, maar zijn ook van belang bij het oplossen van maatschappelijke
vraagstukken. Daarbij valt onder meer te denken aan het inpassen van de gevolgen van
klimaatverandering zoals de stijging van de zeewaterspiegel en bodemdaling. Andere voorbeelden
zijn het gebruik van informatie in de ruimtelijke ordening, bij ondergronds bouwen, koude-
warmteopslag of de opslag van CO2. Met de Basisregistratie Ondergrond (BRO) beoogt de overheid
de informatievoorziening sterk te verbeteren door publieke gegevens over de ondergrond op
gestandaardiseerde wijze voor zowel de overheid als andere partijen ter beschikking te stellen.
De gegevens in de BRO zijn ondergebracht in zes domeinen:



                                                13
</pre>

====================================================================== Einde pagina 13 =================================================================

<br><br>====================================================================== Pagina 14 ======================================================================

<pre>   1. In bodem- en grondonderzoek komt informatie die veelal afkomstig is van bedrijven actief
       in grond-, weg- en waterbouw.
   2. Bodemkwaliteit bevat de gegevens die worden verzameld door de meetnetten van het
       RIVM, de provincies en Alterra.
   3. Het domein grondwatermonitoring wordt gevoed door de informatie uit het netwerk van
       putten in ons land die samenstelling, kwaliteit en kwantiteit van het grondwater doorlopend
       meten.
   4. Grondwatergebruik bevat gegevens over het onttrekken van grondwater door bijvoorbeeld
       bedrijven, die daar een vergunning volgens de Waterwet moeten aanvragen.
   5. Het domein Mijnbouwwet bevat gegevens die bedrijven hebben vergaard door boringen
       voor het opsporen, winnen en opslaan van delfstoffen en aardwarmte.
   6. In Modellen zijn de Bodemkaart van Nederland (schaal 1:50 000), de Geomorfologische
       kaart (schaal 1:50 000), GeoTOP en REGIS opgenomen.
Bronhouders:
      ministeries EZ (diepe) en IenW (ondiepe) ondergrond;
      Alterra (Bodem Informatie Systeem), voorts RWS, provincies, waterschappen, gemeenten;
      maar ook Prorail, DSM, en andere overheidsorganen die ondergrondgegevens beheren.


Conclusie zelfevaluatie BRO

BRO scoort nog niet op alle onderdelen binnen de norm daarom worden onderstaande
verbeteracties voorgesteld:
        Thema            Verbetermaatregelen
        Borging proces   1. Het aanwijzen van een BRO coördinator
                         2. De mandaatregeling moet op het gebied van de BRO aangepast
                         worden.
                         3. processen beschrijven en borgen in de organisatie
                         4. Het koppelen van de BRO aan de p&c-cyclus
        Tijdigheid       De processen beschrijven en borgen in de organisatie
        Volledigheid     De processen beschrijven en borgen in de organisatie
        Juistheid        De BRO coördinator gaat de processen beschrijven en implementeren om
                         de tijdigheid van de informatie in de BRO te waarborgen.




                                               14
</pre>

====================================================================== Einde pagina 14 =================================================================

<br><br>====================================================================== Pagina 15 ======================================================================

<pre>3. Collegeverklaring ENSIA inzake informatiebeveiliging DigiD en
   Suwinet



Het college van Burgemeester en wethouders geeft in een verklaring aan in hoeverre de
beheersmaatregelen voldoen aan de voor de ENSIA verantwoording geselecteerde normen voor
DigiD en Suwinet.

Bij de ENSIA vragenlijsten is geconstateerd dat bij gemeente Midden-Delfland op 31 december
2019 de interne beheersingsmaatregelen in opzet en bestaan voldoen aan de geselecteerde
normen inzake DigID en Suwinet.

U treft de collegeverklaring als bijlage van dit jaarverslag aan.

Een gecertificeerd auditor toetst of onze interne beheersingsmaatregelen in opzet en bestaan
voldoen aan de normen inzake DigID en Suwinet. Hierover levert de auditor een Assurance
verklaring af en bekrachtigt de collegeverklaring. Deze documenten zijn van belang voor de
verticale verantwoording aan de departementen.




                                                  15
</pre>

====================================================================== Einde pagina 15 =================================================================

<br><br>====================================================================== Pagina 16 ======================================================================

<pre>4. Samenvattend beeld en resultaten informatiebeveiliging 2019


Dit is het tweede jaarverslagslag is over onze informatiebeveiliging. Vorig jaar gaven we u een
beeld van onze activiteiten en behaalde resultaten vanaf het moment dat we in 2015 gestart zijn
met ons informatiebeveiligingsbeleid. In dit verslag beperken wij ons tot de activiteiten en
behaalde resultaten van het afgelopen jaar.

Het gemeentelijk informatiebeveiligingsbeleid is actueel. We hebben ons in 2015 geconformeerd
aan het normenkader van de Baseline Informatiebeveiliging Nederlandse Gemeenten (BIG) en we
zijn aangemeld bij de Informatiebeveiligingsdienst (IBD).
                                     De IBD is een gezamenlijk initiatief van de VNG en KING. De
                                     IBD is er voor alle gemeenten en richt zich op bewustwording,
                                     kennisdeling en concrete ondersteuning op het vlak van
                                     informatiebeveiliging (incidentpreventie, -detectie en
                                     -coördinatie).
                                     Door als gemeente ‘officieel’ aan te sluiten bij de IBD, krijgen
                                     we specifieke ondersteuning in geval van incidenten. De IBD
                                     biedt bovendien concrete producten en diensten die
                                     gemeenten kunnen helpen bij de sturing op
                                     informatiebeveiliging binnen hun organisatie.
Voor meer informatie over de IBD, zie hun site https://www.informatiebeveiligingsdienst.nl/

Om het informatiebeveiligingsbeleid goed te implementeren, werken we op basis van een “GAP-
analyse/risicoanalyse”. Deze analyses zijn uitgevoerd in directe samenspraak met de betrokken
collega’s van de vakafdelingen. Hiermee is het “GAP” of “gat” tussen de huidige en de gewenste
situatie (volgens de normen van de BIG) in beeld gebracht. Vanuit deze analyse hebben we een
planning en rangschikking van maatregelen gemaakt, om aan de normen met de hoogste prioriteit
te voldoen. Deze planning en prioritering is vormgegeven en geactualiseerd in een jaarlijkse top 10
te nemen maatregelen en quick-wins waaraan in 2019 verder is gewerkt. Voortdurend wordt na de
genomen maatregelen de top 10 aangevuld met nieuwe, op de gap-analyse gebaseerde, acute
dreigingen en de aanbevelingen uit de ENSIA verantwoording over 2018.

In 2019 hebben we op basis van de in werking getreden AVG met leveranciers en dienstverleners
verwerkersovereenkomsten en dataleveringsovereenkomsten afgesloten. Hierin zijn de
verantwoordelijkheden geregeld voor de beveiliging van het gebruik van onze privacygevoelige
gegevens. We hebben naast technische maatregelen, zoals beveiligingsaanpassing van onze email
oplossingen, ook structureel gewerkt aan bewustzijn bij de medewerkers.

Informatiebeveiliging en privacybescherming hebben een grote ‘houding en gedrag’- kant.
Vanwege de inwerkingtreding van de AVG zijn door de projectgroep Privacy gemeente-brede
bijeenkomsten georganiseerd waarbij vooral is ingegaan op hoe er vertrouwelijk met
persoonsgegevens van personen moet worden gegaan. Onze interne beveiligingsorganisatie
bestaat uit medewerkers van de verschillende teams die binnen hun team zorgen voor bewustzijn
en aanspreekpunt zijn voor informatiebeveiliging voor hun team. Zij zijn in 2019 opgeleid en
worden periodiek bijgeschoold door Fox IT om te zorgen dat hun kennis up to date is en blijft.
Daarnaast zijn er voor de borging van de AVG en de privacybescherming medewerkers binnen de
organisatie aangewezen als privacy-ambassadeur.

Een overzicht van de op de BIG gebaseerde maatregelen uit de top 10 vindt u in hoofdstuk 6.




                                                 16
</pre>

====================================================================== Einde pagina 16 =================================================================

<br><br>====================================================================== Pagina 17 ======================================================================

<pre>Algemene Verordening Gegevensbescherming (AVG)

Sinds 25 mei 2019 is de Algemene Verordening Gegevensbescherming (AVG) van toepassing. Deze
verordening vervangt de Privacyrichtlijn 95/46, waarop de huidige Wet Bescherming
Persoonsgegevens (WBP) is gebaseerd. Het doel van de AVG is de bescherming van
persoonsgegevens te vergroten. Alle organisaties die met persoonsgegevens werken, zoals de
gemeente Midden-Delfland, zijn verplicht de privacybescherming op orde te hebben.
Aan het niet of niet goed naleven van de AVG zijn grote risico’s verbonden. Door de Autoriteit
Persoonsgegevens kunnen forse boetes worden opgelegd. Ook kan de betrokken organisatie
reputatieschade naar de burgers toe oplopen. Om die reden heeft de Rekenkamer Midden-Delfland
de recente invoering van de AVG aangegrepen om te kijken naar de manier waarop de gemeente
de benodigde maatregelen heeft genomen.

In oktober en november 2018 heeft de Rekenkamer Commissie (RKC) van de gemeente Midden-
Delfland onderzoek gedaan naar het volwassenheidsniveau van de gemeentelijke organisatie in de
bescherming van de privacy bij de verwerking van persoonsgegevens van inwoners uit Midden-
Delfland. Het doel van het onderzoek is de gemeenteraad van Midden-Delfland inzicht te geven in
het gemeentelijk privacybeleid en aanbevelingen te doen over mogelijke verbeteringen van dit
beleid.

Op 14 mei 2019 presenteerde de rekenkamercommissie haar bevindingen over het onderzoek naar
Privacy In het rapport van de RKC zijn verschillende aanbevelingen gedaan. Deze aanbevelingen
zijn waardevol om een scherpe blik te houden op de implementatie van de AVG. De resultaten en
ambtelijke reactie op het rapport geven een afdoende beeld als horizontale verantwoording.
Daarom laten we een verdere uiteenzetting over de AVG in dit jaarverslag IB achterwege. De
Functionaris Gegevensbescherming draagt vanuit de AVG zelf zorg voor een jaarverslag.

Bij het incidenten overzicht informatiebeveiliging in hoofdstuk 8 leest u ook het aantal en soort
datalekken over 2019.




                                                 17
</pre>

====================================================================== Einde pagina 17 =================================================================

<br><br>====================================================================== Pagina 18 ======================================================================

<pre>5. Disclaimer


Beveiligingsincidenten zijn helaas niet te voorkomen; 100% beveiliging is een utopie. De vraag is
dan ook niet zozeer of er een beveiligingsincident met een hoge impact zal plaatsvinden, maar
wanneer. Beveiligingsincidenten kunnen leiden tot onderbreking van werkzaamheden,
reputatieschade en aanzienlijke financiële schade als gevolg van het bestrijden van een incident en
het herstellen naar een normale situatie.
De maatregelen die we nemen zijn erop gericht de risico’s zoveel mogelijk te minimaliseren tegen
aanvaardbare kosten. Daarnaast houden we rekening met de impact op dienstverlening en
bedrijfsvoering. Een hele goede maatregel is bijvoorbeeld het uitschakelen van alle
internetverbindingen van het gemeentehuis. Een hacker van buiten het kantoor zou dan geen
enkele kans meer hebben. Dit is in deze tijd onwerkbaar omdat onze gegevensuitwisseling met
inwoners en andere overheden voor een groot gedeelte via het internet lopen.
Naast preventieve maatregelen richten we ons ook op procedures en maatregelen wanneer zich
een incident voordoet. Zodat we met onze dienstverlening en bedrijfsvoering zo snel mogelijk weer
operationeel zijn.




                                                18
</pre>

====================================================================== Einde pagina 18 =================================================================

<br><br>====================================================================== Pagina 19 ======================================================================

<pre>6. Belangrijkste beheersmaatregelen IB

In de BIG staan 133 controles met daaronder 303 maatregelen.
Het vraagt meerdere jaren om deze te toetsen en wanneer nodig te implementeren.
Het is daarom nodig om inzicht te krijgen in wat er moet gebeuren met welke prioriteit.
Met een delegatie van applicatie- en procesbeheerders is daarom in 2016 een GAP- en
Impactanalyse uitgevoerd op gemeente-brede maar ook systeem specifieke maatregelen.
De GAP-analyse is het uitzoeken waar men staat ten opzichte van de BIG-maatregelen.
Een soort 0-meting, wat heeft men aan maatregelen al ‘in huis’ en wat is hiervan nog up to date.
Hierbij is het van belang om alvast na te denken of maatregelen gemeente-breed of systeem
specifiek zijn. Deze stap geeft ook al inzicht in hoe het nu geregeld is, dus wie voert feitelijk welke
informatiebeveiligingsmaatregelen uit.

Hiermee is er inzicht gekomen in waar we de focus voor het komende jaar qua BIO-implementatie
op leggen:
           a. De status van belangrijke gemeente-brede maatregelen.
           b. Essentiële processen.
           c. Kritische systemen.
           d. De status van systeemspecifieke maatregelen.


Conclusies GAP-en impactanalyse

Uit de eerste GAP-analyse kwamen 155 nog te implementeren maatregelen.
Om de juiste prioriteit te krijgen bij deze 155 openstaande maatregelen die de gemeente Midden-
Delfland als eerste op moet pakken is naast de Gap-analyse ook een risico- en impactanalyse
gemaakt.

Omdat het onmogelijk is om 155 punten tegelijk op te pakken, hebben we ons na de risico- en
impactanalyse) gericht op een top 10 lijst. De te implementeren maatregelen op deze top 10 lijst
pakken we als eerste op. Daarna richten we ons jaarlijks op 10 nieuwe normen en te nemen
maatregelen van de BIG, volgens de prioritering uit de impact- en risicoanalyse.

De term ‘Baseline Informatiebeveiliging Nederlandse Gemeenten’ suggereert één
basisbeveiligingsniveau aan beveiligingsmaatregelen voor informatiebeveiliging voor alle
gemeenten. Dus maatregelen die je altijd verwacht aan te treffen.
Er is getoetst wat van de Tactische Baseline is geïmplementeerd. Met name de generieke
beveiligingsmaatregelen die gemeente-breed gelden.
Bij deze generieke beveiligingsmaatregelen gaan we uit van.:

       Het gemeentelijk informatiebeveiligingsbeleid, dit is gelijk voor de gehele gemeente
       Het toewijzen van de Chief Information Security Officer (CISO)-rol
       Verantwoordelijkheden van de lijnmanagers (te verankeren in het beleid)
       (ITIL) beheerprocessen en aandacht voor beveiliging
       Personele beveiligingsmaatregelen
       Fysieke toegangsbeveiligingsmaatregelen
       Beveiligingsmaatregelen voor apparatuur en software
       Malware scanning als generieke dienst (dus niet ten behoeve van één informatiesysteem)
       Omgang met (mobiele) gegevensdragers
       Het hebben van een Information Security Management Systeem (ISMS)




                                                  19
</pre>

====================================================================== Einde pagina 19 =================================================================

<br><br>====================================================================== Pagina 20 ======================================================================

<pre>7. Realisatie doelstellingen IB-beleid



Hieronder geven we aan met welke genomen maatregelen we invulling hebben gegeven aan de in
hoofdstuk 1 genoemde strategische doelen.

De strategische doelen van het informatiebeveiligingsbeleid:

·   Het managen van de informatiebeveiliging
·   Adequate bescherming van de ICT bedrijfsmiddelen
·   Het voorkomen van ongeautoriseerde toegang
·   Het garanderen van correcte en veilige informatievoorzieningen
·   Het beheersen van de toegang tot informatiesystemen
·   Het waarborgen van veilige informatiesystemen
·   Het adequaat reageren op incidenten
·   Het beschermen van kritieke bedrijfsprocessen
·   Het beschermen en correct verwerken van persoonsgegevens van burgers en medewerkers
·   Het minimaliseren van risico’s van menselijk gedrag


De drie belangrijkste punten, die in grote mate het succes bepalen van de implementatie van de
BIG:

 Maatregel                                                                 Doelstelling
 Informatiebeveiligingsbeleid                                              Het managen van de
 Er is op dit moment een compleet gemeente-breed                           informatiebeveiliging
 informatiebeveiligingsbeleid. Dit is in 2016 door het college van
 burgemeester en wethouders vastgesteld. Volgens regelgeving is dit
 beleid drie jaar geldig en zou daarom in 2019 geactualiseerd moeten
 worden. Vanwege het overgangsjaar 2019 van BIG naar BIO
 (Baseline Informatiebeveiliging Overheden) en de impact daarvan
 heeft ons college ingestemd met het voor een jaar (2019) verlengen
 van ons huidige beleid gebaseerd op de BIG. In december 2019 is het
 op de BIO gebaseerde nieuwe informatiebeveiligingsbeleid
 vastgesteld.

 Informatiebeveiligingsorganisatie                                         Het managen van de
 De IB-organisatie is op 1 maart 2017 door het college vastgesteld.        informatiebeveiliging
 Zonder IB-organisatie is het onmogelijk om tot een goede borging van
 informatiebeveiliging te komen binnen de organisatie.
 Elk bedrijfsproces bestaat uit verschillende informatiestromen, waarbij
 ook verschillende (informatie-)systemen gebruikt worden. Voor al
 deze onderdelen zijn de taken, bevoegdheden en
 verantwoordelijkheden met betrekking tot informatiebeveiliging
 vastgelegd en toegewezen aan een functie/rol in de organisatie. De
 leden van de IB-organisatie worden sinds 2017 opgeleid. In 2020
 wordt de IB-organisatie aangepast naar de nieuwe
 organisatiestructuur en de kaders van de BIO.

 ISMS                                                                      Het managen van de
 Er is een ISMS (Information Security Management System)                   informatiebeveiliging
 geïmplementeerd binnen de gemeente Midden-Delfland. Deze
 software gebruiken we als ondersteunende tool om alle
 bedrijfsprocessen in relatie met informatiebeveiliging in kaart te
 brengen, te monitoren en te borgen binnen de gemeentelijke
 organisatie. Ook verantwoorden we in het ISMS de stand van zaken
 per proces en per norm. Het ISMS wordt op dit moment nog verder
 ingericht en uitgerold over de IB-organisatie.




                                                20
</pre>

====================================================================== Einde pagina 20 =================================================================

<br><br>====================================================================== Pagina 21 ======================================================================

<pre>Hiermee zijn de randvoorwaarden ingevuld voor een succesvolle verdere implementatie van het IB-
beleid.
Hieronder volgen de overige zes punten die als prioriteit zijn aangeduid bij de GAP-, risico- en
impact-analyse. Hierbij is een hoge mate van urgentie van implementatie zeer gewenst en in
sommige gevallen zelfs noodzakelijk:

 Maatregel                                                                Doelstelling
 Bewustwording                                                            Het minimaliseren van
 Er wordt in de organisatie structureel aandacht gegeven aan              risico’s van menselijk
 bewustwording over informatiebeveiliging. Onderzoek heeft                gedrag
 aangetoond dat incidenten op het vlak van informatiebeveiliging voor
 80% te wijten zijn aan menselijke fouten.
 Zo geven we periodiek aandacht aan phishingmail en ransomeware.
 In 2019 is dat vooral via intranet gedaan en ad-hoc na signalering
 van actuele dreiging of ontvangen phishingmail. Door de
 inwerkingtreding van de AVG is in 2019 veel aan bewustwording
 gedaan op het gebied van privacybescherming. Zowel met
 lunchbijeenkomsten als sessies met verschillende teams is aandacht
 gegeven aan de AVG en privacybescherming.
 In- en uitdienst-treden en functieverandering van                        Het voorkomen van
 medewerkers                                                              ongeautoriseerde toegang.
 Onze in- en uitdienst-treden procedure voor medewerkers moet
 worden geactualiseerd naar de huidige normen voor
 informatiebeveiliging. Toegangsregelingen van onder andere
 applicaties tijdens verandering van functie worden onvoldoende
 vastgelegd. Toegangsregelingen van kernapplicaties zijn nog
 onvoldoende in kaart gebracht. Dit heeft ook een grote relatie met de
 nieuwe Europese privacywetgeving (AVG) die per 25 mei 2019 van
 kracht is. Dit is al bij de ENSIA verantwoording over 2017 door onze
 auditor als belangrijk verbeterpunt aangedragen. Om dit proces te
 verbeteren is in 2019 bij het team Personeelszaken gestart om
 maatregelen door te voeren en de huidige procedure te actualiseren.
 Inmiddels is dit breder opgepakt. We actualiseren het totale
 Personeelsbeleid op informatiebeveiliging in 2020.
 Dit bevat dan ook een vastgesteld in- en uitdiensttredingsproces dat
 aan de huidige normen voldoet.
 Besmetting door virussen en malware                                      · Het voorkomen van
 Op diverse ICT-niveaus zijn technische maatregelen getroffen om dit        ongeautoriseerde
 risico tot een minimum te beperken. Toch blijft dit een groot punt van     toegang.
 aandacht en zorg. De zwakste schakel is de mens. Dit geven we            · Het garanderen van
 voornamelijk in de diverse bewustwording sessies grote aandacht.           correcte en veilige
 In 2019 hebben we met Westland en Leidschendam-Voorburg gestart            informatievoorzieningen.
 met een gezamenlijke aanbesteding uitgevoerd voor de vervanging          · Het beheersen van de
 van de firewall. De firewall is een volwaardige high-end oplossing die     toegang tot
 ons met de laatste technologie beschermt tegen kwaadwillende               informatiesystemen.
 indringers. De implementatie van de firewall is in het 3e kwartaal van   · Het waarborgen van
 2019 afgerond.                                                             veilige
                                                                            informatiesystemen.
                                                                          · Het beschermen van
                                                                            kritieke
                                                                            bedrijfsprocessen.
 Mobile Device Management                                                 · Het voorkomen van
 Eind 2018 zijn we gestart om ons mobile devicemanagement (MDM)             ongeautoriseerde
 beleid te actualiseren naar de normen uit de BIG. Begin 2019 is het        toegang.
 beleid geformaliseerd. Daarnaast zijn gebruik van mobiele devices en     · Het beheersen van de
 thuiswerken nauw verbonden met bewustwording en gedrag van                 toegang tot
 medewerkers.                                                               informatiesystemen.
                                                                          · Het waarborgen van
                                                                            veilige
                                                                            informatiesystemen.
 Logging en monitoring                                                    · Het managen van de
                                                                            informatiebeveiliging.


                                                21
</pre>

====================================================================== Einde pagina 21 =================================================================

<br><br>====================================================================== Pagina 22 ======================================================================

<pre> Er zijn in 2019 oplossingen geïmplementeerd en geactualiseerd om         · Het adequaat reageren
 goede logging- en monitoring-procedures op ons netwerkverkeer te           op incidenten.
 kunnen borgen. Gemeenten moeten aantoonbaar bewijs kunnen
 overhandigen aan allerlei instanties om:
   -    te bewijzen dat de gemeente er alles aan heeft gedaan wat
        binnen haar macht ligt om de inwoner zo goed mogelijk te
        helpen. Met een op een later moment in te richten SIEM kunnen
        we log-gegevens van verschillende domeinen combineren.
   -    aan te tonen dat het in- en uitgaand gegevensverkeer wordt
        gemonitord en er snel proactief op dreigingen kan worden
        gereageerd.

 Cloud gebruik                                                         · Het managen van de
 Er moeten procedures worden vastgelegd over cloud gebruik door          informatiebeveiliging.
 ambtenaren, als gegevensopslag, maar ook voor cloud
 applicatieleveranciers. Hoewel de meeste gemeentelijke applicaties en
 gegevensbestanden lokaal geïnstalleerd zijn, bieden steeds meer
 gemeentelijke applicatieleveranciers hun software via een cloud model
 aan. Over deze diverse cloud modellen bestaat veel verwarring. Eigen
 beleid op het gebruik op cloud-oplossingen moet duidelijk en kaders
 geven op het gebied van informatiebeveiliging en privacy.
 We hebben in Midden-Delfland een beperkt aantal software
 oplossingen bij leveranciers draaien (waaronder bijvoorbeeld het bij
 de gemeenteraad bekende iBabs). Het gegevensverkeer van en naar
 deze leveranciers vindt versleuteld plaats en de verbindingen voldoen
 aan de vereiste normen. Met de betreffende leveranciers is een
 verwerkersovereenkomst of dataleveringsovereenkomst afgesloten,
 waarmee de beveiliging van privacygevoelige gegevens is
 gewaarborgd.
 In 2019 was beoogd een beleidsdocument over cloud gebruik op te
 stellen, dit wordt op dit moment gerelateerd aan ons nieuw
 Informatiebeleidsplan 2020-2024 en het 2e kwartaal 2020 ter
 vaststelling aangeboden.


Naast de hierboven genoemde TOP 10 aan maatregelen benoemen we hieronder nog andere
genomen maatregelen die bijdragen aan de informatiebeveiliging.

 Maatregel                                                               Doelstelling
 Protocol incidentmanagement                                             Het adequaat reageren
 Een incident in onze informatiehuishouding is een gebeurtenis die de    op incidenten.
 bedrijfsvoering negatief kan beïnvloeden. Incidentmanagement is
 het geheel van organisatorische maatregelen, om een incident
 adequaat te detecteren, melden en behandelden. Hiermee
 minimaliseer of voorkom je de kans op uitval van bedrijfsvoering of
 ontstane schade.
 100% beveiligen van informatie is niet mogelijk. Het is niet de vraag
 of er iets gaat gebeuren maar wanneer. Met dit protocol beschrijven
 we de handelwijze voor beveiligingsincidenten op onze
 informatievoorziening en de afhandeling hiervan. Het melden van
 datalekken maakt hier ook deel van uit. In 2018 is het protocol
 incidentmanagement aangepast aan de normen voor het melden
 van datalekken op grond van de in werking getreden AVG.
 Verwerkersovereenkomsten met externe partijen of                        Het beschermen en
 ketenpartners                                                           correct verwerken van
 Steeds meer privacygevoelige gegevens worden verwerkt en                persoonsgegevens van
 opgeslagen bij ketenpartners en leveranciers. De gegevens staan         inwoners en
 dan niet meer bij ons in huis opgeslagen of worden gedeeld.             medewerkers.
 Informatiebeveiliging wordt daarom meegewogen bij het besluit om
 samenwerking met een een externe partij aan te gaan. Voorafgaand
 aan het afsluiten van een contract voor uitbesteding of externe
 inhuur wordt bepaald welke toegang (fysiek, netwerk of tot
 gegevens) de externe partij(en) moet(en) hebben om de in het


                                                22
</pre>

====================================================================== Einde pagina 22 =================================================================

<br><br>====================================================================== Pagina 23 ======================================================================

<pre> contract overeen te komen opdracht uit te voeren en welke
 noodzakelijke beveiligingsmaatregelen hiervoor nodig zijn.
 Wanneer externe partijen systemen beheren waarin
 persoonsgegevens verwerkt worden, wordt zoals bepaald in de AVG
 altijd een verwerkersovereenkomst of dataleveringsovereenkomst
 afgesloten. Ook bij uitbesteding van werkzaamheden blijft de
 gemeente verantwoordelijk voor de gegevensverwerking. Bijzondere
 aandacht gaat uit naar het sociaal domein waar sprake is van een
 groot aantal ketenpartners, met name zorgverleners. Wij hebben
 met de meeste partijen inmiddels een verwerkersovereenkomst
 afgesloten. In 2019 volgen de resterende. Onderdeel daarvan zijn
 ook afspraken hoe om te gaan met datalekken.
 Updaten van verouderde software                                        · Het voorkomen van
 Het afgelopen jaar hebben we samen wet ICT-Westland een groot          ongeautoriseerde
 aantal verouderde applicaties vervangen voor recente versies.          toegang.
 Verouderde software die niet meer wordt ondersteund of waarvan         · Het garanderen van
 de ondersteuning afloopt leveren risico’s op in de beschikbaarheid     correcte en veilige
 maar ook in het niet meer ontvangen van beveiligingsupdates.           informatievoorzieningen.
 Het gaat hierbij om de kantoor applicaties van Microsoft Office, ons   · Het beheersen van de
 document managementsysteem en onsje documentsjabloon                   toegang tot
 applicaties.                                                           informatiesystemen.
                                                                        · Het waarborgen van
                                                                        veilige
                                                                        informatiesystemen.
                                                                        · Het beschermen van
                                                                        kritieke
                                                                        bedrijfsprocessen.

Regionale samenwerking

Sinds 2017 zijn medewerkers (Ciso en informatieadviseurs) van Midden-Delfland op regionaal
niveau betrokken bij structureel overleg over informatiebeveiliging.
Het doel van het overleg is met name om kennis en ervaringen te delen.




                                               23
</pre>

====================================================================== Einde pagina 23 =================================================================

<br><br>====================================================================== Pagina 24 ======================================================================

<pre>8. Incidenten en ontdekte kwetsbaarheden

Rapportage van incidenten zoals datalekken en de afhandeling daarvan.

In 2019 zijn 31 incidenten en geconstateerde kwetsbaarheden gemeld bij de CISO en adviseurs
Informatiebeveiliging.
Het gaat hierbij ook om ontdekte kwetsbaarheden die met updates van software en aanpassingen
van de hardware zijn opgelost.
De afgelopen 3 jaar is met het toenemende bewustzijn het aantal gemelde incidenten nog
gestegen. Op de langere termijn verwachten we dat het aantal incidenten daalt omdat de
organisatie en ketenpartners bewuster met gevoelige informatie omgaat. Het grootste gedeelte van
de incidenten wordt op dit moment immers veroorzaakt doordat de medewerkers zich niet bewust
zijn van het de risico’s van het onzorgvuldig handelen met informatie.

De opgetreden incidenten kunnen op diverse manieren worden ingedeeld. De belangrijkste indeling
is die in het kader van de AVG en de Wet meldplicht datalekken. Een incident in de
informatiehuishouding is niet per definitie meldingsplichtig is in het kader van de AVG. Bij een
incident wordt onderzocht of er persoonsgegevens in verkeerde handen kunnen zijn gekomen. Als
dat het geval is dan wordt het incident gemeld met de maatregel die we hebben genomen om het
datalek te dichten.
Van de Informatie Beveiligingsdienst (IBD) worden we met regelmaat geïnformeerd over ontdekte
kwetsbaarheden in gebruikte systemen en software. Deze zijn met de geboden software-updates
snel opgelost.

Incidenten en geconstateerde kwetsbaarheden in 2019
Datum         Categorie                     Omschrijving                                  Melding
                                                                                          aan AP
17-1-2019     Malware                       Emailbericht met bijlage ontvangen waarin     Nee
                                            zich mogelijk een met een virus besmet
                                            document bevindt
8-2-2019      Informatiebeveiliging         Naar werkgever (rijksoverheid) verstuurde    Nee
                                            mail in kader loonkostensubsidie. Verstuurd
                                            met verkeerd BSN-nummer van de betrokken
                                            werknemer.
4-3-2019      Informatiebeveiliging         Filmpje van een cliënt sociaal domein        Nee
                                            gemaakt (met zijn toestemming) voor
                                            gemeenteraad (besloten vergadering, maar
                                            zonder oplegging geheimhouding). Dit filmpje
                                            is abusievelijk met whatsapp naar een andere
                                            cliënt gestuurd.
29-3-2019     Informatiebeveiliging         In proces/route van een digitaal formulier   Nee
                                            voor nieuw personeel blijkt het toekennen
                                            van een (voorlopig) wachtwoord ook gemaild
                                            te worden naar personen die dat niet zouden
                                            mogen weten.
3-4-2019      Malware                       Ransomware phisingmails van de Rabobank       Nee
                                            ontvangen m.b.t. te betalen facturen.

26-4-2019     Ontdekte kwetsbaarheid        Kwetsbaarheid verholpen in Server software    Nee
                                            van IBM.

14-5-2019     Ontdekte kwetsbaarheid        Kwetsbaarheid verholpen in                    Nee
                                            hardwarecomponent die externe toegang tot
                                            netwerk autoriseert.
15-5-2019     Ontdekte kwetsbaarheid        Kwetsbaarheden verholpen in                   Nee
                                            besturingssystemen Microsoft Windows.

15-5-2019     Ontdekte kwetsbaarheid        Ernstige kwetsbaarheid verholpen in           Nee
                                            hardware/software processoren
                                            server/laptops



                                               24
</pre>

====================================================================== Einde pagina 24 =================================================================

<br><br>====================================================================== Pagina 25 ======================================================================

<pre>15-5-2019   Ontdekte kwetsbaarheid   Kwetsbaarheid internet browser verholpen       Nee
                                     waarmee kwaadwillenden beveiliging zouden
                                     kunnen omzeilen om toegang te krijgen tot
                                     gevoelige gegevens.
15-5-2019   Ontdekte kwetsbaarheid   Kwetsbaarheid verholpen in database Server     Nee
15-5-2019   Ontdekte kwetsbaarheid   Kwetsbaarheden verholpen in Microsoft Office Nee
                                     Niet verzonden brief in niet afgesloten        Nee
19-6-2019   Informatiebeveiliging    envelop gevonden tussen mappen in de repo
                                     ruimte.
                                     Gezamenlijke netwerkmap aangemaakt. Deze       Ja
                                     is door medewerker aangemaakt met enkele
                                     gemachtigden. Uiteindelijk bleek deze per
21-6-2019   Informatiebeveiliging    abuis toch beschikbaar voor andere
                                     medewerkers in de gemeentelijke
                                     organisatie. Map bevatte documenten met
                                     privacygevoelige gegevens van een inwoner.
15-7-2019   Ontdekte kwetsbaarheid   Kwetsbaarheid verholpen in onderdeel van       Nee
                                     systeemsoftware.
15-7-2019   Malware                  Emailbericht ontvangen over mogelijk           Nee
                                     misbruik domeinnaam ketenpartners waarin
                                     virus zat.

18-7-2019   Informatiebeveiliging    Emailbericht ontvangen waarbij                 Nee
                                     kwaadwillende verzoekt om bitcoins te
                                     betalen
8-8-2019    Informatiebeveiliging    Emailbericht ontvangen waarbij                 Nee
                                     kwaadwillende verzoekt om bitcoins te
                                     betalen
26-8-2019   Ontdekte kwetsbaarheid   Geconstateerde kwetsbaarheden in firewall is   Nee
                                     verholpen. Vanwege de kwetsbaarheden
                                     bestond de mogelijkheid om aanvallen uit te
                                     voeren die mogelijk leiden tot: Denial-of-
                                     Service (DoS); Manipulatie van gegevens of
                                     Toegang tot gevoelige gegevens. Dit is na
                                     controle niet geconstateerd.

27-8-2019   Informatiebeveiliging    Bestand met gegevens van partner               Nee
                                     (echtgenoot) verzonden naar partner

2-9-2019    Informatiebeveiliging    Emailbericht ontvangen waarbij                 Nee
                                     kwaadwillende verzoekt om bitcoins te
                                     betalen
17-9-2019   Ontdekte kwetsbaarheid   Leverancier van systeemsoftware voor           Nee
                                     virtuele servers heeft meerdere
                                     kwetsbaarheden verholpen in haar software.
                                     Een kwaadwillende zou de kwetsbaarheden
                                     kunnen misbruiken om toegang te krijgen tot
                                     gevoelige gegevens.
23-9-2019   Ontdekte kwetsbaarheid   Kwetsbaarheid verholpen in noodstroom          Nee
                                     batterij systemen
24-9-2019   Ontdekte kwetsbaarheid   Diverse kwetsbaarheden verholpen in            Nee
                                     software voor virtuele servers.

27-9-2019   Informatiebeveiliging    Voor de ITIL-processen van de reseller van     Ja
                                     MDM-software is er een aparte cloud-
                                     applicatie in gebruik, waarbij er de
                                     mogelijkheid was om met een zoekfunctie
                                     andere klantgegevens te bekijken. De
                                     reseller heeft melding gedaan bij de
                                     Autoriteit Persoonsgegevens (AP)




                                       25
</pre>

====================================================================== Einde pagina 25 =================================================================

<br><br>====================================================================== Pagina 26 ======================================================================

<pre>16-10-2019   Informatiebeveiliging    Aangetekende post: dossiers aanvraag tot     Nee
                                      naturalisatie IND door verkeerde persoon
                                      ontvangen (woonachtig in Spanje) wegens
                                      foutief vermeldde postcode.
5-11-2019    Informatiebeveiliging    Omgevingsvergunning verzonden aan            Nee
                                      verkeerd correspondentie adres.

7-11-2019    Informatiebeveiliging    Emailbericht ontvangen waarbij               Nee
                                      kwaadwillende verzoekt om bitcoins te
                                      betalen
2-12-2019    Ontdekte kwetsbaarheid   Kwetsbaarheid opgelost voor software die     Nee
                                      nog toegangsrechten met standaard
                                      wachtwoorden
24-12-2019   Ontdekte kwetsbaarheid   Kwetsbaarheid verholpen in systeemsoftware   Nee
                                      voor serverbased computing.




                                        26
</pre>

====================================================================== Einde pagina 26 =================================================================

<br><br>====================================================================== Pagina 27 ======================================================================

<pre>Melding van datalekken

Sinds 2016 geldt de wet Meldplicht datalekken en per 25 mei 2019 is de nieuwe
Europese Algemene Verordening Gegevensbescherming (AVG) van kracht geworden. Als onze
organisatie niet voldoet aan deze wetten, is dat een risico op een bestuurlijke boete van de
Autoriteit Persoonsgegevens van maximaal 20 miljoen euro.
In 2019 zijn er landelijk 26.956 datalekken gemeld bij de Autoriteit Persoonsgegevens. Het aantal
meldingen is een stuk meer dan de 20.881 van 2018. De meeste datalekken werden gemeld door
organisaties uit de sectoren financiële dienstverlening, zorg en welzijn en openbaar bestuur.

Van de gemelde incidenten zijn er uiteindelijk twee incidenten als datalek gemeld bij de Autoriteit
Persoonsgegevens (AP). Binnen 72 uur worden datalekken bij de Autoriteit Persoonsgegevens (AP)
gemeld. Er vindt dan direct verder onderzoek plaats naar de risico’s voor personen waarvan de
gegevens zijn gelekt. Dit is ook bepalend of deze personen worden geïnformeerd over dit datalek.
Andere incidenten die niet als datalek bij de AP zijn gemeld betreffen incidenten waarbij gegevens
niet buiten de organisatie zijn gekomen of waarbij door snel te handelen het risico op schade voor
de persoon in kwestie teniet is gedaan. Bij een van de twee gemelde datalekken lag de oorzaak bij
een externe partij die het datalek heeft gemeld.




Met leveranciers en ketenpartners zijn verwerkers- of dataleveringsovereenkomsten afgesloten. De
in deze overeenkomsten opgenomen eisen op het gebied van informatiebeveiliging zorgen ervoor
dat de risico’s aanzienlijk verkleind zijn.

Daarnaast wordt gewerkt aan het implementeren van technische componenten. Hiermee wordt het
mogelijk om systematisch in de gaten houden wat er gebeurt in de gemeentelijke systemen,
afwijkingen herkennen en hier vervolgens adequaat op reageren.
Detectie zorgt voor het vroegtijdig signaleren van afwijkingen en bedreigingen en geeft daarmee
ruimte om incidenten te voorkomen voordat ze manifest worden. Detectie zorgt dat kosten als
gevolg van incidenten laag blijven en incidenten uiteindelijk zelfs voorkomen kunnen worden, maar
ook dat zaken die niet of nooit gezien worden wel aan het licht komen en kunnen worden
aangepakt. Detectie en de reactie op meldingen vereist echter tijd van beheerders, die deze tijd
vaak niet beschikbaar hebben.
Als de gemeente niet weet wat er gebeurt, dan kan ook niet worden gestuurd op risico's. Gebrek
aan inzicht in wat er feitelijk gebeurt is onwenselijk omdat dit het bestuur belet om adequaat te
kunnen sturen op risico's, ernaar te handelen en ervan te leren. Het implementeren van de
BIG/BIO en de AVG brengt de basis op orde. Daarmee kan informatiebeveiliging en
privacybescherming als proces worden ingericht waarmee de focus op detectie en actieve preventie
gezien wordt als de logische vervolgstap.




                                                27
</pre>

====================================================================== Einde pagina 27 =================================================================

<br><br>====================================================================== Pagina 28 ======================================================================

<pre>9. Meerjarenperspectief

Inwoners, ondernemingen en instellingen moeten erop kunnen vertrouwen dat we zorgvuldig
omgaan met (persoons)gegevens. Het is daarom van groot belang dat gegevens alleen onder
strikte voorwaarden gebruikt worden en goed beveiligd zijn tegen onbevoegd gebruik. Ons
meerjareninformatiebeveiligingsbeleid kent passende technische en organisatorische maatregelen
om informatie te beschermen. Ook waarborgt het beleid dat de gemeente voldoet aan de relevante
wet- en regelgeving. De beveiligingsfunctionaris (Ciso) zorgt voor de coördinatie en het toezicht op
de naleving van beveiligingsmaatregelen en -procedures, voor elk onderdeel van het
informatiebeveiligingsbeleid. Jaarlijks toetsen we door middel van zelfevaluatie en externe audits
de maatregelen voor de waardedocumenten, BRP, BAG, BGT, BRO, DigiD en Suwinet.

We houden rekening met ontwikkelingen en nieuwe opkomende bedreigingen.
Dat vraagt om tijdig anticiperen en middelen beschikbaar stellen om maatregelen te nemen.

We hebben afgelopen jaren te maken gehad met nieuwe trends en ontwikkelingen, dit zal ook de
komende jaren niet anders zijn. Zo heeft de Coronacrisis nu al een enorme invloed op de toename
van digitaal plaats en tijd onafhankelijk werken.
Diverse ontwikkelingen in de nabije toekomst maar ook die afgelopen periode al zijn ingezet mogen
niet onderbelicht blijven.

De digitale dreiging voor de nationale veiligheid is permanent. Vrijwel alle vitale processen en
systemen in Nederland zijn deels of volledig gedigitaliseerd waarbij er nauwelijks terugvalopties of
analoge alternatieven zijn.
Deze factoren, gecombineerd met het achterblijven van de weerbaarheid, maken Nederland
kwetsbaar voor digitale aanvallen. De effecten van de forse investeringen van zowel overheid als
bedrijfsleven, de nieuwe meldplicht cybersecurity en strengere wet- en regelgeving zullen de
komende jaren zichtbaar moeten worden. (Bron: Nationaal Cyber Security Center, juni 2019)

In feite zijn de hieronder uitgewerkte punten onder te brengen in een aantal dreigingen. Deze
moeten gezien worden als reminders waar rekening mee moet worden gehouden.
         -    Doorontwikkeling van ransomware / gijzelsoftware
         -    Schaarste op de arbeidsmarkt
         -    Cloud gebruik
         -    Shadow ICT

Ransomware, ook wel gijzelsoftware genoemd, is gebaseerd op een bepaald verdienmodel.
Hoewel er veel aan tegenmaatregelen wordt geïmplementeerd blijft de bewustwording aan
medewerkers de grootste factor om het risico te verkleinen. Het klikken op een link of bijlage in
een ‘foute’ e-mail gebeurt zomaar.
Met het nemen van tegenmaatregelen, zullen de organisaties of groeperingen achter dit fenomeen
op zoek gaan naar andere manieren om hun verdienmodel in stand te houden. We zagen de
afgelopen jaren al berichten over de dreiging van het openbaar maken van versleutelde data, dus
behalve versleuteling ook actieve openbaarmaking, als niet betaald wordt.

Schaarste op de arbeidsmarkt moet niet onderschat worden. Nu al is het ontzettend moeilijk om de
juiste mensen te vinden. Gemeenten concurreren ook de komende jaren met alle andere
organisaties in ons land om informatiebeveiligingsexperts.
De benodigde kennis in combinatie met inzicht in de opgaven voor gemeenten is schaars (en
daardoor duur) aan het worden.

Schaduw-ICT is het fenomeen dat er een hele wereld aan ICT-middelen bestaat buiten de 'officiële'
door de organisatie beheerde systemen. Denk hierbij aan het gebruik van eigen laptops, usb-
sticks, telefoons, privé e-mail maar ook diensten als Dropbox, Wetransfer tot aan zelfontwikkelde
softwarepakketten.
Vaak worden dergelijke middelen gebruikt met het oog op de productiviteit, maar doordat niet is
nagedacht over beheer, beveiliging en wettelijke kaders kunnen vervelende situaties ontstaan.
Schaduw-ICT is DE driver voor ongewenste risico's zoals bijvoorbeeld datalekken, overtredingen
van de wet en ongeautoriseerde toegang.

Naast deze dreigingen hebben we te maken met een aantal ontwikkelingen die de komende jaren
aandacht gaan vragen.


                                                 28
</pre>

====================================================================== Einde pagina 28 =================================================================

<br><br>====================================================================== Pagina 29 ======================================================================

<pre>Het gaat daarbij om:
    1. Aandacht voor privacy
    2. Baseline Informatiebeveiliging Overheid
    3. Internet of things (IoT)en smart society
    4. Kunstmatige intelligentie (AI)
    5. Common Ground

De invoering van de Algemene Verordening Gegevensbescherming (AVG) heeft voor een boost
gezorgd in de aandacht voor de bescherming van persoonsgegevens. Een positieve ontwikkeling,
want privacy is hierdoor een blijvend aandachtspunt voor gemeenten.
Dit helpt de informatieveiligheid te vergroten.

De Baseline Informatiebeveiliging Overheid (BIO) wordt het nieuwe normenkader voor alle
overheden. Deze vervangt de Baseline Informatiebeveiliging Gemeenten (BIG). De huidige
baselines van gemeenten, provincies, waterschappen en het rijk zijn allemaal nog gebaseerd op de
NEN/ISO normen uit 2005 en lopen achter op de nieuwe normen uit 2013. Een gezamenlijk kader
voorkomt dat alle overheidslagen voor zichzelf een nieuwe baseline moeten opstellen.
De BIO wordt gezamenlijk beheerd, onder regie van het ministerie van Binnenlandse Zaken.

Smart society-projecten dragen bij aan het vergroten
van de leefbaarheid en veiligheid binnen de gemeente.
Voorheen ‘domme’ objecten, worden slim (IoT) en
maken het besturen van de stad makkelijker.
Bijvoorbeeld prullenbakken die zelf aangeven dat ze vol
zitten, of parkeerplaatsen die zelf aangeven dat ze vrij
zijn. Maar dit zet ook de informatieveiligheid verder
onder druk. De IoT-apparatuur en -software die
gemeenten hiervoor inzetten, zorgt voor meer risico’s en
kwetsbaarheden. Zeker als ook de scheiding tussen
gemeentelijke ICT en IoT niet goed wordt geregeld. Een
verouderd camerasysteem in het gemeentelijke netwerk
kan dan de entree zijn tot gegevens en systemen van de
gemeente.

Kunstmatige intelligentie of artificial intelligence (AI) biedt kansen voor gemeenten. AI kan
gemeenten helpen om beter inzicht te krijgen in hun processen en gegevens, en daarmee zorgen
voor een betere dienstverlening voor inwoners en ondernemers. Het is ook een beveiligingstool van
de toekomst. Met AI kunnen betere veiligheidsanalyses worden gedaan van allerlei systeem- en
netwerkinformatie. Hiermee hebben gemeenten sneller inzicht in mogelijke incidenten of
inbraakpogingen. De technologie is echter nog erg onvolwassen en vormt daarmee een risico voor
de bedrijfsvoering.
Hackers kunnen dit in de toekomst gebruiken om in te breken op gemeentelijke systemen.

Met Common Ground wordt een grote stap gezet in de richting van een open, transparante
overheid waarbinnen gegevens sneller en veiliger kunnen worden uitgewisseld, zowel intern als
extern. Common Ground is een beweging waarin gemeenten werken aan een stapsgewijze
modernisering van de ICT-infrastructuur. Naast aandacht voor privacy is er vanaf het begin ook
veel aandacht voor informatieveiligheid.




       Wake-up-calls uit het verleden
       Het DigiNotar incident in 2011 was een wake-up-call voor de
       Nederlandse overheid als het gaat om het belang van vertrouwen
       in data voor de Nederlandse samenleving. De hack bij KPN in
       2012 schudde het management van KPN wakker omtrent het
       belang van cybersecurity. Wannacry en NotPetya – waarvan de
       schade respectievelijk tussen de 4 en 8 miljard en op 10 miljard
       dollar wordt geschat – waren een wake-up-call voor overheden
       en bedrijven wereldwijd.




                                                  29
</pre>

====================================================================== Einde pagina 29 =================================================================

<br><br>====================================================================== Pagina 30 ======================================================================

<pre>30
</pre>

====================================================================== Einde pagina 30 =================================================================

<br><br>