<b>Bijsluiter</b>. De hyperlink naar het originele document werkt niet meer. Daarom laat Woogle de tekst zien die in dat document stond. Deze tekst kan vreemde foutieve woorden of zinnen bevatten en de opmaak kan verdwenen of veranderd zijn. Dit komt door het zwartlakken van vertrouwelijke informatie of doordat de tekst niet digitaal beschikbaar was en dus ingescand en vervolgens via OCR weer ingelezen is. Voor het originele document, neem contact op met de Woo-contactpersoon van het bestuursorgaan.<br><br>====================================================================== Pagina 1 ======================================================================

<pre>28370017
         Proces   beveiligingsincidenten    en  datalekken    —
                                                                Provincie  Groningen
         Datum: 12    april  2023
         Auteur   en  beheer document:
              1. Inleiding
         Als Provincie Groningen is het     van   belang   dat medewerkers     beveiligingsincidenten melden, zodat de risico's in
         kaart zijn  en er  verbeteracties kunnen worden         uitgevoerd. De Baseline Informatiebeveiliging Overheid (BIO)
         vereist dat de athandeling van beveiligingsincidenten georganiseerd verloopt. Daarnaast isin de Algemene
         Verordening Gegevenshescherming (hierna: AVG) een meldplicht datalekken opgenomen. Deze meldplicht
         verplicht organisaties om datalekken te melden bij de toezichthouder (in Nederland is dit de Autoriteit
         Persoonsgegevens) en, in sommige gevallen, ook bij de betrokkenen (de personen op wie de gegevens die zijn
         gelekt betrekking hebben, bijvoorbeeld inwoners en/of medewerkers).
         In dit proces wordt omschreven op welke manier Provincie             Groningen omgaat met beveiligingsincidenten en
         eventuele datalekken. In het proces is       vastgelegd hoe en naar wie de meldingen intern doorgezet dienen te
         worden, wie verantwoordelijk is voor welke melding en hoe en in welke vorm de melding aan de toezichthouder
         en eventueel ook aan de betrokkenen wordt gedaan.
         Voor de persoonsgegevens die de          provincie Groningen verwerkt       in het kader    van  strafrechtelijke handhaving  is
         de WPG    van  toepassing, welke    een   met de AVG     vergelijkbare meldplicht     kent.  Onderhavig proces is daarop
         tevens   van toepassing.
         Mochten     toekomstige (wettelijke) wijzigingen/veranderingen aanpassing              van  dit document    noodzakelijk maken,
         dan zal de                    binnen Provincie     Groningen    deze aanpassing     doorvoeren     en het versienummer
         updaten.
              2.    Beveiligingsincident   of datalek
         Van  een  beveiligingsincident   is sprake wanneer zich daadwerkelijk een "incident"             heeft voorgedaan.   Alleen een
         dreiging  van een    inbreuk op de   beveiliging is daarom nog geen incident.
         Een  beveiligingsincident    wordt  vervolgens     een  datalek  wanneer   de inbreuk    gevolgen heeft voor     de
         persoonsgegevens die Provincie Groningen verwerkt. De hieronder                  genoemde voorbeelden van
         beveiligingsincidenten zijn    datalekken als    er  persoonsgegevens     bij  betrokken   zijn.
         Artikel 4  van de AVG    bepaalt  dat  er sprake   is van een datalek, als er een inbreuk is op de beveiliging van
         persoonsgegevens die per       ongeluk    of op  onrechtmatige wijze leidt tot de vernietiging, het verlies, de wijziging       of
         de  ongeoorloofde verstrekking van        of de ongeoorloofde toegang tot doorgezonden, opgeslagen of anderszins
         verwerkte gegevens. Onder een datalek valt dus niet alleen het vrijkomen (lekken) van gegevens, maar ook
         onrechtmatige verwerking van gegevens. We spreken van een datalek als persoonsgegevens in handen vallen
         van  derden die geen toegang tot die gegevens zouden mogen hebben.
         Voorbeelden     van  beveiligingsincidenten     die leiden tot datalekken     zijn:
              e
                    Perongeluk    kunnen inzien in systemen met persoonsgegevens;
              e     Onbedoeld    publiceren   van gevoelige persoonsgegevens op internet;
              e     Een medewerker      ontvangt per ongeluk het personeelsdossier van een collega;
              e     Een e-mail met    gevoelige   persoonsgegevens wordt verstuurd           aan  de verkeerde persoon;
              e     Verlies  van een  laptop,  iPad of  smartphone     met  (gevoelige)    gegevens   over  medewerkers of    burgers;
              e     Een  kwijtgeraakte USB-stick     met persoonsgegevens;
              e¢    Fen inbraak in   een databestand door       een  hacker;
              e
                    Ongecontroleerd niet beschikbaar hebben           van  informatiesystemen       die (persoons)gegevens bevatten,
                    bijvoorbeeld door een DDoS-aanval.
                                        Proces   beveiligingsincidenten en datalekken   -
                                                                                          Provincie Groningen
                                                                                                                                            0000000040
</pre>

====================================================================== Einde pagina 1 =================================================================

<br><br>====================================================================== Pagina 2 ======================================================================

<pre>28370017
         In de Richtsnoeren       voor   de melding van inbreuken in verband met persoonsgegevens (3 oktober 2017 en
         herzien op 6 februari       2018) wordt uitgelegd onder welke voorwaarden een incident moet worden gemeld aan
         de Autoriteit Persoonsgegevens en aan de betrokkenen. Betrokkenen zijn de personen over wiens gegevens het
         betreft. Binnen een provincie is de betrokkene veelal een burger of een eigen medewerker.
               3.     Persoonsgegevens
         Bij een    datalek  zijn altijd persoonsgegevens betrokken. Een persoonsgegeven betreft alle informatie over een
         geidentificeerde of identificeerbare natuurlijke persoon (de betrokkene). Als identificeerbaar wordt beschouwd
         een natuurlijke persoon die direct of indirect kan worden geidentificeerd, met name aan de hand van een
         identificator zoals een naam, een identificatienummer, locatiegegevens, een online identificator of van een of
         meer elementen die kenmerkend zijn voor de fysieke, fysiologische, genetische, psychische, economische,
         culturele of sociale identiteit van die natuurlijke persoon (artikel 4 AVG).
         De ernst     van een   incident wordt veelal     bepaald   door de omvang      en   het soort persoonsgegevens die betrokken
         zijn bij het incident.     Naast de   algemene    persoonsgegevens      zijn in de AVG     bijzondere persoonsgegevens bepaald.
         Deze     categorie  van   persoonsgegevens vereist extra        waarborgen bij      de verwerking daarvan. Het betreft gegevens
         met   betrekking tot:
               e      Ras of etnische    afkomst;
               eo     Politieke  opvattingen;
               eo
                      Religieuze of levensheschouwelijke overtuigingen, of het lidmaatschap van een vakbond blijken;
               e
                     Verwerking van genetische gegevens, biometrische gegevens met het oog op de unieke identificatie
                     van een    persoon;
               e
                      Gegevens    over   gezondheid;
               e
                      Gegevens    met   betrekking tot    iemands seksueel    gedrag    of seksuele    gerichtheid.
         In de    Uitvoeringswet     AVG   (UAVG) wordt het BSN niet als bijzonder persoonsgegeven aangemerkt. Met het                   BSN
         kan echter     gemakkelijk     een  koppeling worden gemaakt tussen informatie uit verschillende bestanden.
         Onzorgvuldig gebruik van het BSN brengt daarom privacy risico's met zich mee. Bijvoorbeeld misbruik van
         persoonsgegevens en identiteitsfraude. Het BSN mag alleen worden verwerkt indien daar een wettelijke
         grondslag voor is.
               4.     Doel van   dit proces
         Dit proces zet uiteen hoe de         provincie Groningen omgaat        met beveiligingsincidenten en (de meldplicht)
         datalekken. Het      belangrijkste    is dat medewerkers      mogelijke beveiligingsincidenten of datalekken herkennen           en
         melden via:
                     Telefoon:                                                        SRE
               e
                                                                                              (|CT helpdesk);
               e      E-mail:                                                                         {@provinciegroningen.nl;
                                                                                       She
               .
                                                                                                @provinciegroningen.nl;
               .                                                                       SR BL8    © rovinciegroningen.nl:
               e      Domeinleider
                      of eventueel    vertrouwelijk bij:
               *      de                                             (EB):               @provinciegroningen.nl;
               e      de                        5.1.2e                                    CREE         © provinciegroningen.nl.
         NB   Bij twijfel altijd melden!
         Het proces hoe de        gemelde beveiligingsincidenten en/of         datalekken worden        afgehandeld,  staat in bijlage 1
         nader     uitgewerkt.
                                            Proces  beveiligingsincidenten en datalekken   -
                                                                                             Provincie  Groningen
                                                                                                                                             0000000041
</pre>

====================================================================== Einde pagina 2 =================================================================

<br><br>====================================================================== Pagina 3 ======================================================================

<pre>28370017
               5.   Melden datalek      aan  de Autoriteit Persoonsgegevens       (AP)
         In artikel 33  van   de AVG is  bepaald dat de verwerkingsverantwoordelijke in geval van een inbreuk verplicht is de
         inbreuk zonder onredelijke vertraging te melden aan de AP en, indien mogelijk, uiterlijk 72 uur nadat hij er
         kennis van heeft gekregen. Indien binnen 72 uur geen definitieve melding kan worden gemaakt, dan moet er
         een voorlopige melding gemaakt worden. Datalekken waarbij het onwaarschijnlijk is dat de inbreuk een risico
         inhoudt voor de rechten en vrijheden van de betrokkene(n) hoeven niet te worden gemeld. Dit is bijvoorbeeld
         het geval indien door goede encryptie de persoonsgegevens onbegrijpelijk of ontoegankelijk zijn voor
         onbevoegden.
         De                                              f 129 adviseert over de melding aan de provinciesecretaris, indien nodig
         aan   Gedeputeerde Staten. De afweging tot het melden wordt gemaakt door de provinciesecretaris, namens de
         Gedeputeerde Staten als verwerkingsverantwoordelijke voor de persoonsgegevens. De melding wordt gemaakt
         door EEE] EXE
                 ic
               6.   Melden datalek      aan  betrokkene(n)
         Indien de inbreuk leidt tot ernstige       nadelige gevolgen voor de persoonlijke levenssfeer van de betrokkene(n),
         dan   moet(en) deze betrokkene(n) worden geinformeerd over het incident. Het afdelingshoofd waar het incident
         zich  heeft voorgedaan zal op aangeven van de g& contact opnemen met de betrokkene(n).
         Als gemeld moet worden aan de betrokkene(n), wordt een kennisgeving opgesteld                    met  (in ieder geval) de
         volgende inhoud:
               e
                    Algemene omschrijving van de aard van de inbreuk;
               e    De maatregelen die zijn getroffen door de Provincie Groningen;
               ¢    De maatregelen die de betrokkene zelf kan treffen om de negatieve gevolgen van de inbreuk te
                    beperken (voorbeeld: veranderen van gebruikersnaam en wachtwoord);
               e
                    (Contactgegevens/-persoon zodat de betrokkene meer informatie over de inbreuk kan krijgen.
                                                                    Beveiligingslek
                                      Heeft zich  een
                                      beveiligingsincident
                                                                          Beveiligingsincident
                                     voorgedaan?
                     Zijn bij het beveiligingsincident
                     persoonsgegevens verloren gegaan, of is
                     onrechtmatige verwerking redelijkerwijs niet                          Datalek
                     uit te sluiten?
                           Gaat het  om   persoonsgegevens van gevoelige
                           aard, of is er om een    andere reden sprake van                      Melden aan de
                           (een aanzienlijke kans op) ernstige nadelige                             Autoriteit
                           gevolgen voor de bescherming van de verwerkte                       Persoonsgegevens
                           persoonsgegevens?
                                           Waren   niet alle gelekte  gegevens   (goed)
                                           versleuteld, of heeft het datalek  om   andere
                                                                                                           Melden aan de
                                           redenen waarschijnlijk ongunstige gevolgen
                                           voor de persoonlijke levenssfeer van de
                                                                                                             betrokkene
                                           betrokkene?
               7.   Register datalekken
         Er is een  register   van datalekken conform artikel 33 AVG. Het doel         van het datalekregister is dat de organisatie
         leert  van eerdere datalekken       en maatregelen neemt om de kans op nieuwe datalekken te verminderen.
         Daarnaast kan met het datalekregister aan de Autoriteit Persoonsgegevens worden aangetoond dat de
         organisatie zich houdt aan de meldplicht datalekken. De 12 beheert dit register.
                                          Proces  beveiligingsincidenten en datalekken -
                                                                                         Provincie Groningen
                                                                                                                                     0000000042
</pre>

====================================================================== Einde pagina 3 =================================================================

<br><br>====================================================================== Pagina 4 ======================================================================

<pre>28370017
         Bijlage  1: Interne  procedure afthandelen beveiligingsincidenten                en   datalekken
         Het proces    voor  het afhandelen       van een     beveiligingsincident en/of datalek doorloopt de volgende stappen.
         In  bijlage 2 zijn de activiteiten in    een   flowchart behorende          bij deze procesheschrijving opgenomen.
           Doel                      Goede       werkafspraken maken omtrent beveiligingsincidenten en, indien het om                         een
                                     datalek gaat,        om tijdig (onverwijld, doch uiterlijk 72 uur na ontdekking van het
                                      incident) een datalek te kunnen melden bij de Autoriteit Persoonsgegevens
                                     Activiteiten
           1                          Binnenkomst         melding beveiligingsincident
                                      Een   melding      kan op verschillende manieren binnenkomen.
                                            eo     Telefoon:                        CT
                                            *                            i halgdess)
                                                                                   @provinciegroningen.nl;
                                            .      uk          5.1.2e                coon:            roningen.nl;
                                            .
                                                   mECRBel
                                                                        ER
                                                            Q @provinciegroningen.nl;
                                            e      Domeinleider
                                                   of eventueel      vertrouwelijk bij:
                                            eo     de                                                        ;
                                                                                                                   1 {@provinciegroningen.nl;
                                            .      de                              sie
                                                                     @provinciegroningen.nl.
                                                                                                          |
                                     Alle   meldingen worden doorgezet naar de ICT Helpdesk. De helpdesk bekijkt of een
                                     incident      gekoppeld kan worden aan een bestaande melding of wijziging. Als dit niet het
                                     geval is wordt er een nieuwe melding aangemaakt in Topdesk. Indien dat wel het geval
                                      is, wordt het incident gekoppeld aan de bestaande melding in Topdesk.
                                      Buiten     kantoortijden      is ook  een  piketdienst      beschikbaar.
                                     Alle incidenten worden             doorgezet    aan  de                    BE
           2                         Start     regievoering
                                      De                               of bij diens   afwezigheid dE is de regievoerder.
                                      De   regievoerder       start  een  registratie van de afthandeling van de melding
                                      (Logboek). Alle volgende handelingen, inclusief datum en tijdstip, met betrekking tot
                                     de melding worden aan deze registratie toegevoegd conform het SIRT-rapportage
                                     format. Registratie van meldingen vindt plaats via Topdesk.
                                      De    INGE                          -  een  eerste    analyse.   Als uit de   analyse blijkt   dat het incident
                                     geen      impact heeft op de verwerking van              persoonsgegevens of          voor  de provincie
                                     Groningen zelf, worden de             EEE                 -    de
                                     achteraf       geinformeerd. Bij twijfel       over  of  er  sprake  is   van een  impact     op de verwerking
                                     van    persoonsgegevens worden              altijd de                       en de
                                                  5.1.2e
                                                                       geinformeerd. Voor alle meldingen die              een impact hebben op
                                     de persoonsgegevens of              voor  de  provincie Groningen zelf wordt de SIRT-rapportage
                                     opgeslagen        in Kiwi.
                                      In  geval   het   beveiligingsincident tevens persoonsgegevens omvat en daarmee een
                                                                                           ll
                                     datalek is, worden                                                                     5.1.2e
                                                                 altijd de                      cn de
                                     bijgeschakeld.        In  dat  geval  moet   de   melding     minimaal     de antwoorden       bevatten op de
                                     vragen      die  bij een   datalek   moeten     worden      gemeld   aan    de Autoriteit    Persoonsgegevens
                                      (zie bijlage 3).
           3                         Vooraankondiging bij de AP
                                     Als er sprake is van een mogelijk datalek, kan door de Provinciesecretaris, na advies te
                                     hebben ingewonnen van de IE worden besloten, dat een vooraankondiging van het
                                                                                                                        |i            }
                                      incident bij de AP moet worden gedaan. In dat geval doet de
                                     vooraankondiging via het meldloket datalekken van de AP. Mogelijke ontvangers van
                                          Proces    beveiligingsincidenten    en  datalekken    -
                                                                                                  Provincie  Groningen
                                                                                                                                                      0000000043
</pre>

====================================================================== Einde pagina 4 =================================================================

<br><br>====================================================================== Pagina 5 ======================================================================

<pre>28370017
         deze   vooraankondiging zijn:
               eo
                     Proceseigenaar / domeinleider
               e     Provinciesecretaris
         Analyse
         De regievoerder wijst        een  of meer mensen aan        (hierna: “onderzoeksteam”,
         medewerkers        van  de ICT  Helpdesk,    de  melder)    en verzoekt hen de melding verder te
         onderzoeken.
         Aspecten hierbij zijn:
         *
           |s er  sprake   van een    beveiligingsincident
         *
           |s er  sprake   van  verwerking van persoonsgegevens
         *
           Welke persoonsgegevens zijn betrokken bij het incident
         *
           |s het lek te dichten en zo ja, wie moet hiervoor actie ondernemen
         *
           Wat is de omvang       van   het incident
         *
           Wie is de    proceseigenaar
         Deze informatie wordt door het onderzoeksteam                  terug gemeld   aan de regievoerder.
         Andere acties onderzoeksteam:
         *
           70   nodig veiligstellen    van  logfiles (kopie maken) voor nadere analyse
         *
           70   nodig veiligstellen    van  het  getroffen systeem of een forensische kopie       maken
         Beoordelen incident
         Zodra uit de     analyse blijkt dat er sprake is van een beveiligingsincident, dan activeert
         en  informeert de      regievoerder het SIRT-team. Het SIRT-team bestaat in ieder geval uit
         de                                                       de         5.1.2e
                                    ,
                                      het verantwoordelijke afdelingshoofd          en wanneer er  sprake is
         van een    incident ten aanzien      van  persoonsgegevens ook de
         IEEE                           Dit team beoordeelt de ernst        (omvang
                                                                                      *
                                                                                        impact) van het
         incident. Indien     er persoonsgegevens        zijn betrokken wordt het beveiligingsincident
         aangemerkt       als mogelijk   datalek.
         Het SIRT-team       bepaalt vervolgens wie als stakeholders moeten worden toegevoegd
         aan  het team. Dit kunnen        bijvoorbeeld zijn: processpecialisten, beheerders of key-
         users.    Ook  worden de melder en/of         de domeinleider van de melder betrokken.
         Maatregelen
         Het onderzoeksteam onderzoeken welke technische                   maatregelen noodzakelijk zijn   om
         het lek   zo  spoedig mogelijk     te  dichten  en  wie hiervoor actie moet     ondernemen; zij
         koppelen dit terug aan het SIRT-team. In de regel zullen deze maatregelen door                de
         liinorganisatie (betreffende IT-beheerders in overleg met de systeem-
         verantwoordelijke) worden uitgevoerd. Alle maatregelen die genomen moeten
         worden, worden geregistreerd en gemeld aan het SIRT-team en de systeem-
         verantwoordelijke. De regievoerder neemt deze meldingen over in het logbhoek.
         Monitoren      voortgang
         Het SIRT-team houdt het         verloop van de implementatie in de gaten en toetst of de
         geimplementeerde oplossing het incident voldoende heeft opgelost. Ook wordt de
         doorlooptijd van de oplossing in de gaten gehouden. Als er onvoldoende voortgang                   is
         zal het SIRT-team dit escaleren         aan  de Provinciesecretaris.
         Op het moment van opleveren van de oplossing zal het SIRT-team het besluit leveren
         of de implementatie het incident voldoende oplost. De SIRT-rapportage wordt hierop
         aangepast.
         Beoordeling datalek
         In het geval het SIRT-team beoordeelt dat er sprake is van een inbreuk op de
         bescherming van persoonsgegevens (datalek) informeert het SIRT-team de 1.24 De                   g&=
         adviseert vervolgens de provinciesecretaris en zo nodig Gedeputeerde Staten. De
         registreert het datalek in het register datalekken.
         Melden datalek bij de AP/ betrokkene(n)
            Proces    beveiligingsincidenten   en datalekken   -
                                                                 Provincie Groningen
                                                                                                               0000000044
</pre>

====================================================================== Einde pagina 5 =================================================================

<br><br>====================================================================== Pagina 6 ======================================================================

<pre>28370017
                              De  i  adviseert de Provinciesecretaris        over het melden. Indien noodzakelijk maakt de
                                               namens    GS  een  melding van het datalek bij de AP. Indien noodzakelijk
                              melden   bij betrokkene(n) door de gedelegeerd verantwoordelijke op advies van de 1.24
         10                   Evaluatie proceseigenaar
                              De systeem verantwoordelijke stelt een schriftelijke evaluatie van het incident            en de
                              getroffen maatregelen op en overhandigt deze aan de regievoerder.
         11                   Sluiten Logboek
                              De  regievoerder,   het SIRT-team    en   de  proceseigenaar besluiten     in onderling overleg op
                              welk moment het incident wordt        afgesloten.      De  regievoerder sluit het logboek af; de
                              proceseigenaar ontvangt      een  afschrift   van  het  loghoek. Rapportage vindt plaats in
                              KIWI.
         Functies   en rollen
         ICT  Helpdesk                                               Neemt de       melding  aan en  informeert RE
                                                                                                                        5120 |}
                                                                        51 2e
         Directieteam    (DT)                                       Gedelegeerd verantwoordelijk voor dit proces
         s12e  5.1.2e €5.1.2e                                        De regievoerder codrdineert de vervolgacties op         de
                                                                    melding en houdt hierover een logboek bij.
                                                                     De   BE    houdt binnen de provincie Groningen
                                                                    toezicht op de toepassing       en  naleving van
                                                                    informatieveiligheid.
         SIRT-Team                                                   Beoordelen      en  monitoren de   athandeling van   het
                                                                    incident.
         Proceseigenaar                                              Is  verantwoordelijk voor het proces (domeinleider of
                                                                    teamleider) waar het datalek plaats vond. Tevensis
                                                                    deze verantwoordelijk voor het uitvoeren van de
                                                                    vervolgstappen in de incidentathandeling en de
                                                                    voortdurende communicatie hierover met de
                                                                     regievoerder.
                                             =)                      De   @&
                                                                              houdt binnen de provincie Groningen toezicht
                                                                    op de     toepassing   en  naleving van de AVG. Op grond
                                                                    van    de wet heeft    een
                                                                                                12 een  onafhankelijke positie in
                                                                    de    organisatie.
                                                                           aki in dit proces    een back-up   voor de  1] en
                                                                    verzorgt de feitelijke melding van het datalek bij de
                                                                    AP.
         Team communicatie                                          Team communicatie wordt door het SIRT
                                                                    geinformeerd        over het incident. Indien  van
                                                                    toepassing wordt de eventuele         melding   aan
                                                                    betrokkenen in gang gezet.
         Melder datalek                                              Een melder kan via het formulier op de website         van
                                                                    de provincie      een  datalek melden   aan  de ICT
                                                                     Helpdesk. De melder kan ook via de ICT Helpdesk F124
                                                                                 @provinciegroningen.nl) of telefonisch
                                                                     (EXEL cen datalek melden. Een melding kan ook
                                                                     (vertrouwelijk) worden gedaan bij de
                                                                     Bap rovinciegroningen.nl)
         Verwerkingsverantwoordelijke                                De verantwoordelijke voor de persoonsgegevens in
                                                                    de zin van de wet is het bestuursorgaan dat het doel
                                                                    van en de middelen voor de verwerking van
                                                                    persoonsgegevens vaststelt. Bij de provincie is dit GS,
                                                                     PS, de CdK of de Commissie Rechtsbescherming.
                                 Proces  beveiligingsincidenten en datalekken    -
                                                                                   Provincie Groningen
                                                                                                                                  0000000045
</pre>

====================================================================== Einde pagina 6 =================================================================

<br><br>====================================================================== Pagina 7 ======================================================================

<pre>28370017
         Autoriteit Persoonsgegevens (AP)                           De AP is de nationale toezichthouder.
                                 Proces beveiligingsincidenten en datalekken -
                                                                               Provincie Groningen
                                                                                                          0000000046
</pre>

====================================================================== Einde pagina 7 =================================================================

<br><br>====================================================================== Pagina 8 ======================================================================

<pre>28370017
         Bijlage 2: Flowchart SIRT
         Voor   security incidenten wordt het security incidenten proces (SIRT) gevolgd. Dit proces is
         beschreven in het document proces                     beveiligingsincidenten en datalekken.
         Het SIRT (Security Incident responsteam) en het CMT (Crisis Management Team) is in deze
         beschrijving cok opgenomen. Het security incidentproces is hieronder beschreven:
                  |      Incidentmelding
                                  y              |
                     Eerste                            Escalatie
                             beoordeling door
                  |      de  lijn 0.b.v. het
                       classificatieoverzicht                            W
                                          De-escalatie
                                                         (   Nadere   beoordeling door
                                                                    funciionans
                                                                                                           |           BCM
                                                                                                                     procedure
                                                                                         )         |
                                                                                                   |
                                                                                                           1
                                                                         i}
                                                                                                   I
                                  v
                                                                                                   I
                  |   Regulier incidentproces                  Afhandeling   in SIRT
                                                                                       |
                                                                                                   I
                                                                                                   |
                                    J                                    3 F
                                                                                                   |
                                                                                                   |
                                                                                                   I
                  |            Afsluiting
                                                    |               Afsluiting
                                                                                       |           |
                                                                                                   I
                                                                                                   |
                                                                                                   I
                                                                                                   |
                              Evaluatie
                                                    |                Evaluate
                                                                                       |           I
         Met 'functionaris' wordt bedoeld de                 Security Manager of Security Officer.
         Het eventueel escaleren na een melding dient binnen 2 uur plaats te vinden. In geval van een datalek
         zijn wij verplicht om het datalek zonder onredelijke vertraging te melden aan de AP en, indien
         mogelijk, uiterlijk 72 uur nadat hij er kennis van heeft gekregen. Indien binnen 72 uur geen definitieve
         melding kan worden gemaakt, dan moet er een voorlopige melding gemaakt worden. Datalekken
         waarbij het onwaarschijnlijk is dat de inbreuk een risico inhoudt voor de rechten en vrijheden van de
         betrokkene(n) hoeven niet te worden gemeld. Dit is bijvoorbeeld het geval indien door goede encryptie
         de persoonsgegevens onbegrijpelijk of ontoegankelijk zijn voor onbevoegden.
                                             Proces   beveiligingsincidenten     en datalekken -
                                                                                                 Provincie Groningen
                                                                                                                               0000000047
</pre>

====================================================================== Einde pagina 8 =================================================================

<br><br>====================================================================== Pagina 9 ======================================================================

<pre>28370017
         Bijlage 3:  Meldloket datalekken Autoriteit Persoonsgegevens
         De  melding bij   de AP vindt   plaats via het  digitale meldloket op de website     van  de AP.
         De  volgende    vragen dienen te worden beantwoord
         Tijdlijn
                    Exacte datum waarop de inbreuk was, indien bekend
                    Startdatum   van  de  periode waarbinnen de inbreuk was
                    Einddatum    van  de  periode waarbinnen de inbreuk was
                    Duurt de inbreuk op dit moment nog voort?
                    Wanneer werd de inbreuk ontdekt?
                    Als u de inbreuk later meldt dan 72      uur na  de  ontdekking,   wat is daarvan dan de reden?
         Gegevens over het datalek
                    Aard  van de inbreuk
                    Inbreuk op de   vertrouwelijkheid van de gegevens
                    Inbreuk op de   integriteit van de gegevens
                    Inbreuk op de beschikbaarheid        van de gegevens
         Aard   van  het incident
                    Wat is de aard   van  het incident   waarbij  er een  inbreuk op de   beveiliging van  persoonsgegevens is
                    geweest?
                    Geef  een  samenvatting van het incident waarbij        er een inbreuk op de    beveiliging van persoonsgegevens
                    is geweest
         Persoonsgegevens die betrokken zijn bij het datalek
                    Persoonsgegevens      in het  algemeen
                    Naam
                    Geslacht, geboortedatum en/of leeftijd
                    Burgerservicenummer (BSN)
                    Contactgegevens
                    Toegangs- of identificatiegegevens
                    Financiéle gegevens
                    (Kopieén van) paspoorten of andere legitimatiebewijzen
                    Locatiegegevens
                    Persoonsgegevens betreffende strafrechtelijke veroordelingen en strafbare feiten of daarmee verband
                    houdende veiligheidsmaatregelen
                    Onbekend / anders, namelijk:
                    Bijzondere categorieén van persoonsgegevens
                    Persoonsgegevens waaruit iemands ras of etnische atkomst blijkt
                    Persoonsgegevens waaruit iemands politieke opvattingen blijken
                    Persoonsgegevens waaruit iemands religieuze of levensheschouwelijke overtuigingen blijken
                    Persoonsgegevens waaruit iemands lidmaatschap van een vakbond blijkt
                    Gegevens met betrekking tot iemands seksueel gedrag of seksuele gerichtheid
                    Gegevens over iemands gezondheid
                    Genetische gegevens
                    Biometrische gegevens
                    Hoeveelheid persoonsgegevens
                    Geef  (eventueel bij benadering)      aan hoeveel   gegevensrecords ("gegevensregisters") zijn getroffen    door
                    de inbreuk
                    De groep   mensen van     wie persoonsgegevens betrokken        zijn bij het datalek
                    Werknemers
                    Klanten  (huidig en potentieel)
                    Leerlingen of studenten
                                         Proces  beveiligingsincidenten en datalekken -
                                                                                        Provincie Groningen
                                                                                                                                     0000000048
</pre>

====================================================================== Einde pagina 9 =================================================================

<br><br>====================================================================== Pagina 10 ======================================================================

<pre>28370017
                  Patiénten
                  Minderjarigen
                  Personen uit kwetsbare groepen
                  Omschrijf de    groep  mensen van     wie persoonsgegevens       zijn betrokken bij de inbreuk.
                  Van minimaal hoeveel personen          zijn  persoonsgegevens betrokken        bij de inbreuk?
                  Van maximaal hoeveel personen           zijn persoonsgegevens betrokken         bij de inbreuk?
         Maatregelen   die zijn getroffen   voordat het datalek      plaatsvond
                  Waren de persoonsgegevens op het moment dat de inbreuk zich voordeed                      versleuteld, gehasht of op
                  een  andere manier     onbegrijpelijk of ontoegankelijk voor onbevoegden?
                  Als de persoonsgegevens deels        onbegrijpelijk    of ontoegankelijk waren,      om  welk deel gaat dat dan?
                  Als de persoonsgegevens       geheel    of deels  onbegrijpelijk of  ontoegankelijk     waren  gemaakt,  op welke
                  manier is dit dan   gebeurd?
         Gevolgen van het datalek
                  Gevolgen van de     inbreuk op de    vertrouwelijkheid,     de integriteit en/of de beschikbaarheid      van de
                  gegevens.
                  Onbevoegden      hebben kennis kunnen         nemen van    de gegevens
                  De gegevens kunnen op       een   onbehoorlijke     of onrechtmatige     manier worden misbruikt
                  Er worden binnen      uw  eigen organisatie mogelijk onjuiste, onvolledige of achterhaalde
                  persoonsgegevens      gebruikt
                  Er worden    mogelijk onjuiste, onvolledige of achterhaalde         persoonsgegevens       hergebruikt voor  andere
                  doeleinden of    doorgegeven aan andere organisaties
                  Een essentiéle dienst kan     tijdelijk  niet  meer  worden verleend     aan  de betrokkenen
                  Een essentiéle dienst kan     permanent niet       meer   worden verleend    aan    de betrokkenen
                  Anders, namelijk
         Lichamelijke, materiéle   en  immateriéle schade voor de betrokkenen
                  Welke   gevolgen   kan de inbreuk hebben         voor de  persoonlijke  levenssfeer    van  de betrokkenen?
                  Discriminatie
                  |dentiteitsdiefstal of -fraude
                  Financiéle verliezen
                  Reputatieschade
                  Verlies  van vertrouwelijkheid van door het beroepsgeheim beschermde                  persoonsgegevens
                  Ongeoorloofde ongedaanmaking van pseudonimisering
                  Betrokkenen kunnen hun rechten en vrijheden niet uitoefenen
                  Betrokkenen worden verhinderd controle             over  hun persoonsgegevens uit te oefenen
                  Andere    gevolgen, namelijk:
                  Geef  een   inschatting  van  de ernst   van   de mogelijke gevolgen    voor   de betrokkenen
         Vervolgacties naar aanleiding    van  het datalek
                  Informeren    van  de betrokkenen
                  Heeft  u  het datalek  gemeld    aan  de betrokkenen of bent      u van   plan  dat te gaan doen?
                  Wanneer heeft     u het datalek    gemeld     aan de betrokkenen?
                                       Proces  beveiligingsincidenten   en datalekken -
                                                                                        Provincie  Groningen
                                                                                                                                       0000000049
</pre>

====================================================================== Einde pagina 10 =================================================================

<br><br>====================================================================== Pagina 11 ======================================================================

<pre>28370017
                  Wanneer    gaat   u het datalek melden        aan de betrokkenen?
                  Wat isde inhoud       van  de  melding   aan   de betrokkenen?
                  Hoeveel betrokkenen heeft          u geinformeerd     of gaat u informeren?
                  Welk communicatiemiddel of welke communicatiemiddelen                    gebruikt   u of gaat  u gebruiken   om  de
                  betrokkenen te informeren?
                  Waarom ziet    u   af  van het melden     van  het datalek  aan  de betrokkenen?
                  Als het informeren      van  alle betrokkenen     een  onevenredige inspanning zou vergen, licht dan toe          hoe u
                  door  een openbare mededeling           of  een soortgelijke maatregel de betrokkenen gaat informeren.
                  Welke   maatregelen      heeft   u getroffen   waardoor het niet   nodig    is om  de betrokkenen te informeren?
                  Welke andere redenen heeft           u om   de betrokkenen niet te informeren?
         Maatregelen   om  de inbreuk     aan  te pakken
                  Welke technische       en  organisatorische maatregelen       heeft  uw   organisatie getroffen    om  de inbreuk   aan
                  te pakken   en om     verdere inbreuken te voorkomen?
         Internationale aspecten
                  Heeft de inbreuk zich      voorgedaan      in een grensoverschrijdende gegevensverwerking,           en  is de AP voor
                  deze  verwerking     de leidende toezichthouder?
                  Als er sprake  is  van een   grensoverschrijdende gegevensverwerking,             om  welke EU-landen gaat het dan?
                  Heeft  uw organisatie of bedrijf, het datalek gemeld bij privacytoezichthouders               in een  of meer  andere
                  EU-landen, of gaat u dat nog doen?
                  Ja, namelijk
                  Heeft  uw  organisatie of bedrijf, het datalek gemeld bij Europese toezichthouders                op andere
                  meldplichten,    of gaat   u dat nog doen?
                  Ja, namelijk
                                         Proces  beveiligingsincidenten  en datalekken -
                                                                                         Provincie  Groningen
                                                                                                                                          0000000050
</pre>

====================================================================== Einde pagina 11 =================================================================

<br><br>====================================================================== Pagina 12 ======================================================================

<pre>28370017
         Bijlage 4: Sjabloon SIRT-rapportage
         datum:
         betreft:
         Beschrijving  incident
         SIRT Team
                                        Wanneer betrokken
                                                                      Domeinleider
                                                                      Proceseigenaar
         Tijdlijn
                             Tijd         dels (Zh)
                                       Pita
                        gi
         Constatering
         Resultaat
         Vervolg  acties
                                     Proces beveiligingsincidenten en datalekken -
                                                                                   Provincie Groningen
                                                                                                       0000000051
</pre>

====================================================================== Einde pagina 12 =================================================================

<br><br>