Strategisch Gemeentelijk Informatiebeveiligings- en privacy beleid gemeente Tholen 2024 tot 2027 (Tholen)

Strategisch Gemeentelijk Informatiebeveiligings- en privacy beleid gemeente Tholen 2024 tot 20271.Inleiding Deze beleidsnota beschrijft het strategisch informatiebeveiligings- en privacy beleid (IB&P beleid) voor de jaren 2024 tot 2027 en vervangt het in 2019 vastgestelde ‘Gemeentelijk Informatiebeveiligingsbeleid 2020-2023’. Dit beleid is richtinggevend en kaderstellend voor onderwerp-specifieke beleidsdocumenten voor informatiebeveiliging en privacy op tactisch niveau en werkinstructies op operationeel niveau. Met dit ‘Strategisch Gemeentelijk Informatiebeveiliging- en Privacybeleid 2024-2027 zet de gemeente een volgende stap om de beveiliging van persoonsgegevens en andere informatie binnen de gemeente te continueren en voort te gaan op de stappen die in de voorgaande jaren gezet zijn. De basis voor dit strategisch beleid is de NEN-ISO/IEC 27002:2017 en de daarvan afgeleide Baseline Informatiebeveiliging Overheid (BIO) (zie bijlage A) en het VNG Borgingsproduct AVG versie 3.0. De principes die zijn gehanteerd bij het opstellen van dit strategisch beleid, zijn gebaseerd op de 10 principes voor informatiebeveiliging zoals uitgewerkt door de VNG en de beginselen uit de AVG voor het verwerken van persoonsgegevens, zie hoofdstuk 2. 1.1Leeswijzer In hoofdstuk 2 wordt de kern van het strategisch beleid uiteengezet. Dit beleid wordt op tactisch niveau aangevuld met onderwerp specifieke tactische beleidsregels die aanvullend zijn op dit strategisch beleid. Tactische en operationele aspecten van informatiebeveiliging en privacy worden verder uitgewerkt en geconcretiseerd in afzonderlijke informatiebeveiligings- en privacy plannen. Dit wordt gedaan op basis van input van de teamleiders, de Chief Information Security Officers (CISO), de privacy functionarissen (Privacy Officer (PO) en Functionaris Gegevensbescherming (FG)), het dreigingsbeeld Nederlandse gemeenten van de IBD en de uitkomsten van risicoanalyses en DPIA’s. Hoofdstuk 3 beschrijft hoe de taken en verantwoordelijkheden in de organisatie belegd zijn. 1.2Wat is informatiebeveiliging? Onder informatiebeveiliging wordt verstaan het treffen en onderhouden van een samenhangend pakket van maatregelen om de betrouwbaarheid van de informatievoorziening aantoonbaar te waarborgen. Kernpunten daarbij zijn beschikbaarheid, integriteit (juistheid) en vertrouwelijkheid van (persoons)gegevens en andere informatie. Het informatiebeveiligingsbeleid geldt voor alle processen van de gemeente en borgt daarmee de informatievoorziening gedurende de hele levenscyclus van informatiesystemen, ongeacht de toegepaste technologie en ongeacht het karakter van de informatie. Het beperkt zich niet alleen tot de ICT en heeft betrekking op het politieke bestuur, alle medewerkers, burgers, gasten, bezoekers en externe relaties. 1.3Privacy & Gegevensbescherming (AVG) De gemeente werkt met (persoons)gegevens van inwoners, ondernemers, medewerkers en (keten)partners. Deze gegevens verzamelt de gemeente voor het goed kunnen uitvoeren van de gemeentelijke wettelijke taken. Denk hierbij onder andere aan taken in het sociaal domein, openbare orde en veiligheidsdomein of voor burgerzaken. Om als gemeente deze taken goed uit te voeren zijn persoonsgegevens noodzakelijk. Bij de omgang met persoonsgegevens van inwoners en personeel hebben gemeenten een grote verantwoordelijkheid. Privacy is een essentieel en complex vraagstuk. Dit komt onder andere door de toenemende digitalisering van de samenleving en dienstverlening van gemeenten, de decentralisatie van overheidstaken naar gemeenten, de gegevensuitwisseling met (keten)partners, de technische mogelijkheden en veranderende wetgeving. Privacy raakt de hele gemeentelijke organisatie en verdient, samen met informatiebeveiliging, continu aandacht. De inwoner moet erop kunnen vertrouwen dat de gemeente zorgvuldig en veilig met deze persoonsgegevens omgaat. 1.4Ambitie en visie 1.4.1Visie De gemeente Tholen streeft naar een veilige en vertrouwelijke informatievoorziening waarin de bescherming van informatie en privacy centraal staat. De visie van de gemeente Tholen is gebaseerd op het idee dat elke gebruiker van de informatievoorzieningen (intern en extern) moet kunnen rekenen op een robuuste, proactieve en betrouwbare bescherming. In het licht van toenemende cyberdreigingen en technologische ontwikkelingen erkent de gemeente Tholen de noodzaak te streven naar continue verbetering van de informatiebeveiliging om te kunnen blijven anticiperen op nieuwe risico's en adequaat te kunnen reageren op incidenten. De betekenis van informatiebeveiliging gaat voor de gemeente Tholen dan ook verder dan het naleven van regelgeving alleen; het behoort een fundament te zijn en daarmee een onlosmakelijk onderdeel van de organisatie. 1.4.2Ambitie De ambitie van de gemeente Tholen is om te streven naar voortdurende verbetering van de informatiebeveiliging en bescherming van privacy, om te kunnen blijven anticiperen op bestaande en nieuwe dreigingen. Daarbij zet de gemeente Tholen in op continue educatie en bewustwording om een cultuur van veiligheid te bevorderen binnen de gemeentelijke organisatie en belanghebbenden. De gemeente maakt hierbij keuzes over de prioritering en fasering van de implementatie van maatregelen, op basis van een steeds terugkerende risicoafwegingen. De insteek van dit risicomanagement is enerzijds dat er cyclisch en methodisch vanuit een PDCA-cyclus wordt omgegaan met informatiebeveiliging en privacy, en anderzijds dat er een vorm van implementatie plaatsvindt die rekening houdt met het verander- en implementatievermogen van de gemeentelijke organisatie. Over de resultaten legt de gemeente ieder jaar via ENSIA (zie www.ensia.

1. nl)verantwoording af aan de gemeenteraad en het Rijk. 2.Strategisch beleid 2.1Strategische doelen Het doel van deze beleidsnota is om op strategisch niveau richting te geven aan de ambtelijke organisatie en de onderliggende tactische plannen op het gebied van informatiebeveiliging- en privacy voor de jaren 2024 tot 2027. De uitwerking van dit beleid in concrete maatregelen en activiteiten vindt plaats in een jaarlijks bij te stellen informatiebeveiligings- en privacy plan. Het strategisch beleid op informatiebeveiliging en privacy biedt ondersteuning aan het bestuur, het management en de organisatie bij de sturing op en het beheer van informatieveiligheid en privacy. De strategische doelen van het IB&P beleid zijn: Het managen van de informatiebeveiliging. Adequate bescherming van bedrijfsmiddelen en persoonsgegevens. Het sturen op en toepassen van dataminimalisatie. Het minimaliseren van risico’s van menselijk gedrag. Het voorkomen van ongeautoriseerde toegang. Het garanderen van correcte en veilige informatievoorzieningen. Het beheersen van de toegang tot informatiesystemen. Het waarborgen van veilige informatiesystemen. Het adequaat reageren op incidenten. Het beschermen van (kritieke) bedrijfsprocessen. Het beschermen en correct verwerken van persoonsgegevens van burgers en medewerkers. Voldoen aan de wettelijke verplichtingen voortvloeiend uit de AVG en dit op ieder moment met bewijs kunnen aantonen. Het waarborgen van de naleving van dit beleid. 2.2Plaats van het strategisch beleid Deze beleidsnota beschrijft op strategisch niveau het informatiebeveiligings- en privacy beleid. Het strategisch beleid wordt gebruikt om de basis te leggen voor de tactische beleidsplannen en geeft daarmee richting voor de verdere invulling van informatiebeveiliging en privacy op tactisch en operationeel niveau. Figuur 1 Visualisering en indruk van de positie van het strategisch beleid. 2.310 principes De 10 principes voor informatiebeveiliging zijn een bestuurlijke aanvulling op het normenkader BIO en gaan over de waarden die de bestuurder zichzelf oplegt. De principes zijn als volgt: Bestuurders bevorderen een veilige cultuur. Informatiebeveiliging is van iedereen. Informatiebeveiliging is risicomanagement. Risicomanagement is onderdeel van de besluitvorming. Informatiebeveiliging behoeft ook aandacht in (keten)samenwerking. Informatiebeveiliging is een proces. Informatiebeveiliging kost geld. Onzekerheid dient te worden ingecalculeerd. Verbetering komt voort uit leren en ervaring. Het bestuur controleert en evalueert. De principes gaan vooral over de rol van het bestuur bij het borgen van informatiebeveiliging in de gemeentelijke organisatie. Deze principes ondersteunen de bestuurder bij het uitvoeren van goed risicomanagement. Als er iets verkeerd gaat met betrekking tot het beveiligen van de informatie binnen de gemeentelijke processen, dan kan dit directe gevolgen hebben voor inwoners, ondernemers en partners van de gemeente. Daarmee is het onderwerp informatiebeveiliging nadrukkelijk gewenst op de bestuurstafel. 2.4Ontwikkelingen De ontwikkelingen die van belang zijn voor de actualisering van het IB&P beleid zijn de volgende: 2.4.1Regionale samenwerking Werken onder architectuur Het werken onder architectuur is van belang om (ICT) oplossingen op het gebied van informatiebeveiliging en privacy optimaal beter op elkaar af te stemmen en te laten aansluiten bij de behoeften van de deelnemers in het samenwerkingsverband ICT-WBW. Zeeuwse norm De Zeeuwse overheid kan door samenwerking haar weerbaarheid versterken met als doel te voorkomen dat er misbruik of oneigenlijk gebruik wordt gemaakt van de Zeeuwse overheid. De thema’s en ambities die de Zeeuwse overheden hiervoor nastreven zijn vastgelegd in de Zeeuwse norm weerbare overheid. 2.4.2De BIO De BIO (Baseline Informatiebeveiliging Overheid) is het normenkader voor de gehele overheid. De werkwijze van deze BIO is gericht op risicomanagement. Dat wil zeggen dat de teamleiders nu meer dan vroeger moeten werken volgens de aanpak van de ISO 27001 en daarbij is risicomanagement leidend. Dit houdt voor het management in, dat men op voorhand keuzes maakt en continu afwegingen maakt of informatie in bestaande en nieuwe processen adequaat beveiligd zijn in termen van beschikbaarheid, integriteit en vertrouwelijkheid. 2.4.3Network and Information Security Directive (NIS2) De Network and Information Security Directive (NIS2-richtlijn) is gericht op versterking van de digitale en economische weerbaarheid van Europese lidstaten. Gemeenten gelden hierbij als 'essentiële entiteit’. De NIS2-richtlijn richt zich op digitale (cyber) risico’s voor netwerk- en informatiesystemen. NIS2 kent een aantal verplichtingen: zorgplicht, meldplicht, registratieplicht en toezicht. 2.4.4De AVG Nieuwe technologische ontwikkelingen, innovatieve voorzieningen, globalisering en een steeds digitaler wordende overheid maakt het zorgvuldig omgaan met persoonsgegevens steeds complexer en noodzakelijker. De gemeente Tholen is zich hiervan bewust en wil daarom met dit beleid aangeven hoe in algemene zin invulling wordt gegeven aan nationale en Europese wet- en regelgeving op het gebied van privacy, waaronder de Algemene Verordening Gegevensbescherming (AVG). 2.4.5De WPG De gemeente heeft buitengewoon opsporingsambtenaren (BOA) in dienst. Zij verwerken naast gegevens die onder de AVG vallen ook gegevens die vallen onder de wet Politiegegevens (WPG). Hiervoor moet de gemeente beleid en samenhangende procedures hebben ingeregeld die betrekking hebben op toegangsrechten, autorisaties, data classificatie, risico-inschatting, registratie en logging, meldplicht en documentatieplicht. 2.4.6Dreigingsbeeld Informatiebeveiliging Nederlandse Gemeenten Het Dreigingsbeeld Informatiebeveiliging Nederlandse Gemeenten van de Informatiebeveiligingsdienst (IBD) geeft zicht op incidenten en factoren uit het verleden, aangevuld met een verwachting voor het heden en de nabije toekomst. Dit dreigingsbeeld wordt gebruikt om focus aan te brengen in het actualiseren van beleid en plannen voor informatiebeveiliging. 2.4.7Beveiligingsadviezen Nationaal Cyber Security Centrum (NCSC) Beveiligingsadviezen die door het NCSC worden gepubliceerd naar aanleiding van een recent gevonden kwetsbaarheid of geconstateerde dreiging. Beveiligingsadviezen beschrijven de mogelijke gevolgen en mogelijke oplossingen van een kwetsbaarheid of dreiging. 2.4.8Informatie uit incidenten, inbreuken op de beveiliging en datalekken De gemeente gebruikt naast het hierboven genoemde dreigingsbeeld ook systemen waarin incidenten worden vastgelegd. Deze systemen geven ook waardevolle informatie om van te leren en dus zijn incidenten uit het verleden ook nadrukkelijk input bij het actualiseren van het beleid. 2.5Standaarden informatiebeveiliging De BIO is gebaseerd op de NEN-ISO/IEC 27001:2017 en de NEN-ISO/IEC 27002:2017. De maatregelen worden op basis van best practices bij (lokale) overheden en NEN-ISO/IEC 27002:2017 genomen. Voor de ondersteuning van gemeenten bij het formuleren en realiseren van hun informatiebeveiligingsbeleid heeft de interbestuurlijke werkgroep Normatiek1De Interbestuurlijke werkgroep Normatiek bestaat uit vertegenwoordigers van bijvoorbeeld VNG en de IBD, maar ook waterschappen, provincies en het rijk. in 2018 de Baseline Informatiebeveiliging Overheid (BIO) uitgebracht, afgeleid van beide NEN-normen. Deze BIO bestaat uit een baseline met verschillende niveaus van beveiligen. De inhoud en structuur van deze beleidsnota is afgestemd op die van de BIO. Ook het Informatiebeveiligings- en privacyplan zal deze structuur volgen. Binnen de gemeente wordt naast ICT ook Operationele Technologie (OT) ingezet. Met OT worden systemen bedoeld voor de besturing van apparaten voor middel van Proces Automatisering (PA). Het beveiligingsbeleid van de gemeente is ook voor de bescherming van PA en dit beleid betreft dan ook beleidsteams die zich met PA bezig houden.2https://www.ncsc.nl/binaries/ncsc/documenten/publicaties/2022/oktober/10/basismaatregelen-voor-cybersecurity-van-iacs/BIACS+2022.pdf Voor de bescherming van PA gebruikt de gemeente de Cybersecurity Implementatie Richtlijn (CSIR).3https://www.cert-wm.nl/csir 2.6Scope informatiebeveiliging en privacy De scope van deze beleidsnota omvat alle gemeentelijke processen, onderliggende informatiesystemen, procesautomatisering, informatie en gegevens van de gemeente en externe partijen (bijvoorbeeld politie), het gebruik daarvan door medewerkers en (keten)partners in de meest brede zin van het woord, ongeacht locatie, tijdstip en gebruikte apparatuur. Dit strategisch gemeentelijke Informatiebeveiligingsbeleid is een algemene basis en dekt tevens aanvullende beveiligingseisen uit wetgeving af zoals voor de AVG, UAVG, Wpg, BRP, PNIK/PUN, DigiD en SUWI. Voor bepaalde kerntaken gelden op grond van deze en wet- en regelgeving ook nog enkele specifieke (aanvullende) beveiligingseisen (bijvoorbeeld SUWI, gemeentelijke basisregistraties en DigiD met norm B.01 eisen). Deze worden in aanvullende beleidsdocumenten geformuleerd. Bewust wordt in het strategisch beleid geen uitputtend overzicht van onderliggende documenten opgenomen. In de onderliggende documenten wordt de link naar het strategisch beleid gelegd. 2.7Uitgangspunten Het bestuur, Het DT en het teammanagement spelen een cruciale rol bij het uitvoeren van dit strategische IB&P beleid. Het teammanagement maakt een inschatting van het belang dat de verschillende delen van de informatievoorziening voor de gemeente heeft, de (privacy) risico’s die de gemeente hiermee loopt en welke van deze risico’s onacceptabel hoog zijn. Het gehele gemeentelijke management geeft richting aan informatiebeveiliging en privacy en laat zien dat zij informatiebeveiliging en privacybescherming ondersteunt en zich hierbij betrokken voelt. Dit gebeurt door het actief uitdragen en handhaven van het IB&P beleid van en voor de hele gemeente. Dit beleid is van toepassing op de gehele organisatie, alle processen, organisatieonderdelen, objecten, informatiesystemen, procesautomatisering en (persoons)gegevens(verzamelingen). Dit beleid is in lijn met het algemene beleid van de gemeente en de relevante landelijke en Europese wet- en regelgeving. 2.7.1Belangrijkste uitgangspunten De belangrijkste uitgangspunten van het beleid zijn: De uitvoering van de informatiebeveiliging en privacybescherming is een verantwoordelijkheid van het lijnmanagement. Alle informatiebronnen en -systemen die gebruikt worden door de gemeente Tholen hebben een interne (proces)eigenaar die de vertrouwelijkheid, privacyeisen en/of waarde bepaalt van de informatie die ze bevatten. De primaire verantwoordelijkheid voor de bescherming van informatie en ketens van informatiesystemen ligt dan ook bij de eigenaar van de informatie; Door periodieke controle, planning én coördinatie wordt de kwaliteit van de informatievoorziening en privacy verankerd binnen de organisatie. Het IB&P beleid vormt samen met de tactische informatiebeveiliging- en privacyplannen het fundament onder een betrouwbare informatievoorziening en privacy bescherming. In deze plannen wordt de betrouwbaarheid van de informatievoorziening en privacy organisatiebreed benaderd. De plannen worden periodiek bijgesteld op basis van nieuwe ontwikkelingen, registraties in het incidentenregister en risicoanalyses voor informatiebeveiliging en privacy; Informatiebeveiliging en privacybescherming is een continu verbeterproces. ‘Plan, do, check en act’ vormen samen het managementsysteem van informatiebeveiliging en privacybescherming. De gemeente stelt de benodigde mensen en middelen beschikbaar om haar eigendommen en werkprocessen te kunnen beveiligen en te voldoen aan de privacy eisen volgens de wijze zoals gesteld in dit beleid; Regels en verantwoordelijkheden voor het IB&P beleid dienen te worden vastgelegd en vastgesteld; Iedere medewerker, zowel vast als tijdelijk, intern of extern, is verplicht waar nodig (persoons)gegevens en informatiesystemen te beschermen tegen ongeautoriseerde toegang, gebruik, verandering, openbaring, vernietiging, verlies of overdracht en bij vermeende inbreuken hiervan melding te maken; Vastgestelde beleidsstukken en uitwerkingen daarvan (bijv. procedures, standaarden en werkinstructies) worden centraal beheerd in het managementsysteem voor informatiebeveiliging en privacybescherming. Tijdens Planning & Control-gesprekken dient er aandacht te zijn voor de informatiebeveiliging en privacy n.a.v. de rapportage van de CISO en of de FG. De onderwerpen, die als risicovol worden gezien, moeten tevens worden opgenomen in de auditplannen. Hoewel de basiskernregistraties (zoals BRP, PUN/PNIK, SUWI, BAG, BGT) en toekomstige basisregistraties belangrijk zijn in het kader van informatiebeveiliging, krijgen zij niet meer of minder voorrang dan andere (primaire) processen binnen de gemeente. Het samenspel van alle processen binnen de bedrijfsvoering is belangrijk voor de missie en de visie van de gemeente en het behalen van de doelen die zijn gesteld. Alle medewerkers van de gemeente worden getraind in het gebruik van beveiligingsprocedures. Alle medewerkers hebben een minimale basiskennis van de privacywetgeving en weten deze bewust toe te passen in hun dagelijks werk. Medewerkers dienen verantwoord om te gaan met persoonsgegevens en andere informatie. Een bewustwordingsprogramma draagt eraan bij dat medewerkers hiertoe in staat zijn. Informatiebeveiliging en privacybescherming maakt deel uit van de ontwikkelingsbeoordelingssystematiek en wordt besproken tussen de manager en de medewerker. 2.7.2Randvoorwaarden Randvoorwaarden zijn de eisen waaraan moet worden voldaan om het strategisch IB&P beleid uit te kunnen voeren. Belangrijke randvoorwaarden zijn: De informatiebeveiliging en privacy eisen maken deel uit van afspraken met ketenpartners, leveranciers en gemeenschappelijke regelingen en worden periodiek geëvalueerd/gecontroleerd. Kennis en bewustzijn van informatiebeveiliging en privacybescherming en omgaan met persoonsgegevens binnen de organisatie dienen actief bevorderd en geborgd te worden. Jaarlijks wordt het informatiebeveiligings- en privacyplan opgesteld onder leiding van het hoofd informatiebeveiliging, gebaseerd op: Dit IB&P beleid; De uitkomsten van de jaarlijkse Eenduidige Normatiek Single Information Audit (ENSIA); Andere audit resultaten; Het dreigingsbeeld gemeenten van de IBD; Uitkomsten risico-analyses en DPIA’s; De door de teamleiders ingebrachte onderwerpen voor de informatievoorziening waarvoor zij verantwoordelijk zijn, bijvoorbeeld als uitkomst van een risicoanalyse of een privacy analyse (DPIA). Om uitvoering te kunnen geven aan dit strategisch beleid en het IB&P plan worden voldoende financiële middelen en uitvoeringscapaciteit ter beschikking gesteld. 3.Organisatie, taken & verantwoordelijkheden In dit hoofdstuk wordt uiteengezet welke taken en verantwoordelijkheden met betrekking tot informatiebeveiliging en privacy op welke plaats belegd zijn binnen de organisatie. De methodiek sluit aan bij het in de bedrijfsvoering bekende ‘Three Lines Model’ (eerder bekend als ‘Three Lines of Defense’). In dit model is het lijnmanagement in de eerste lijn verantwoordelijk voor het realiseren van informatiebeveiliging en privacy binnen de eigen processen; In de tweede lijn bewaken de CISO, security officers en Privacy Officers, of het lijnmanagement zijn verantwoordelijkheden ook daadwerkelijk neemt. Zij adviseren en ondersteunen het lijnmanagement met het coördineren van maatregelen; In de derde lijn wordt het geheel door een (interne) auditor en/of FG van een objectief oordeel voorzien met mogelijkheden tot verbetering, hier is ook de ENSIA coördinator gepositioneerd. 3.1college van B&W De eindverantwoordelijkheid ten aanzien van alle informatie en informatiesystemen ligt bij het college van B&W, de Burgemeester (bij taken in het kader van handhaven Openbare Orde en Veiligheid) of de gemeenteraad. De eindverantwoordelijkheden zijn benoemd in het register van verwerkingen. Dit geldt voor alle gemeentelijke informatiesystemen ongeacht waar deze worden gehost. 3.2Directieteam (DT) Het DT zorgt dat alle (persoons)gegevens, processen en systemen en de daarbij behorende middelen altijd onder de verantwoordelijkheid vallen van een teamleider. Het DT zorgt dat de teamleiders zich verantwoorden over de beveiliging en bescherming van de privacy van de (persoons)gegevens of andere informatie die onder hen berust. Het DT zorgt dat de eindverantwoordelijke portefeuillehouders binnen het college gevraagd en ongevraagd geïnformeerd worden over de mate waarin informatiebeveiliging en privacybescherming een onderdeel is van het handelen van de bedrijfsvoering. Op die manier kan het college zich ook verantwoorden naar de raad. Het DT stelt het gewenste niveau van continuïteit en vertrouwelijkheid vast. Het DT draagt zorg voor het uitwerken van tactische informatiebeveiligings- en privacybeleidsonderwerpen en laat zich hierin bijstaan door de CISO en PO van de gemeente. Het DT autoriseert de benodigde procedures en uitvoeringsmaatregelen. Het onderwerp informatiebeveiliging en privacybescherming wordt in de gemeente Tholen gezien als een integraal onderdeel van risicomanagement. 3.2.1Taken en Verantwoordelijkheden van het DT Het DT stelt jaarlijks de tactische informatiebeveiligings- en privacyplannen vast. Het DT is verantwoordelijk voor het (laten) uitwerken en uitvoeren van onderwerp specifieke tactische beleidsregels die aanvullend zijn op dit strategisch beleid. Het DT is verantwoordelijk voor het vragen om informatie bij de teamleiders en ziet erop toe dat de teamleiders adequate maatregelen genomen hebben voor de bescherming van de (persoons)gegevens, informatiesystemen en procesautomatiseringsystemen die onder hun verantwoordelijkheid valt. 3.3Teamleiders Informatiebeveiliging en privacy valt onder de verantwoordelijkheden van alle teammanagers. Om deze verantwoordelijkheid waar te maken dienen zij goed ondersteund te worden vanuit de tweede lijn. De verantwoordelijkheid kunnen zij niet delegeren, uitvoerende werkzaamheden wel. De bedoeling is dat alle processen, systemen, (persoons)gegevens, applicaties altijd minimaal 1 eigenaar hebben; er moet dus altijd iemand verantwoordelijk zijn. Teamleiders rapporteren aan de het DT over de door hen tactisch en operationeel uitgevoerde informatiebeveiligings- en privacybeschermende activiteiten. Afstemming met de teams over de inhoudelijke aanpak vindt plaats door minimaal jaarlijks het onderwerp informatiebeveiliging en privacy te bespreken in het bedrijfsvoeringsoverleg. 3.3.1Taken en Verantwoordelijkheden van de teamleiders De teamleiders zijn verantwoordelijk voor de uitvoering van de informatiebeveiliging voor de processen waarvoor zij verantwoordelijk zijn. De teamleiders zijn verantwoordelijk voor de borging van de AVG binnen de processen waarvoor zij verantwoordelijk zijn en het bijbehorende verwerkingsregister. De teamleiders zijn verantwoordelijk voor het oefenen met informatiebeveiligings- en privacy incidenten en bedrijfscontinuïteit. Teamleiders dienen erop toe te zien dat de controle op het verwerken van persoonsgegevens regelmatig wordt uitgevoerd, zodat zij kunnen vaststellen dat alleen rechthebbende ambtenaren de juiste persoonsgegevens ingezien en verwerkt hebben. De beveiligingsmaatregelen worden bepaald op basis van risicomanagement. Teamleiders voeren quickscans informatiebeveiliging uit op basis van de BIO en bij verwerken van persoonsgegevens tevens (Pre-)DPIA’s op basis van de AVG, om deze risico-afwegingen te kunnen maken. Teamleiders zijn verantwoordelijk voor het voldoen aan wet- en regelgeving die op hun processen van toepassing zijn en geven invulling aan de rollen die binnen die wet- en regelgeving bedacht is; Teamleiders dragen binnen de eigen teams het IB&P beleid uit en de daaraan gerelateerde procedures; Teamleiders zijn verantwoordelijk voor het vroegtijdig signaleren van de voornaamste (privacy)bedreigingen waaraan bedrijfsinformatie is blootgesteld; Teamleiders betrekken vroegtijdig de CISO en de PO bij nieuwe of gewijzigde processen, functionaliteiten en applicaties en leveren input voor wijzigingen op maatregelen en procedures; Teamleiders voeren risicoanalyses en (pre-)DPIA’s uit voor de processen waar zij verantwoordelijk voor zijn; Teamleiders bespreken beveiligingsincidenten en privacy inbreuken en de consequenties die dit moet hebben voor beleid en maatregelen. 3.4Chief Information Security Officer (CISO) De Chief Information Security Officer (CISO) ondersteunt vanuit een onafhankelijke positie de organisatie bij het bewaken en verhogen van de betrouwbaarheid van de informatievoorziening en rapporteert hierover rechtstreeks aan het DT, voorafgaand aan de P&C-gesprekken. 3.5Functionaris gegevensbescherming (FG) De Functionaris voor Gegevensbescherming (FG) is verantwoordelijk voor het intern onafhankelijk toezien op en adviseren van het college van B&W over de juiste en zorgvuldige omgang met persoonsgegevens zoals de AVG voorschrijft. De FG brengt een jaarverslag uit waarin hij zijn bevindingen en aanbevelingen vastlegt. Het DT en de teamleiders stellen proactief informatie over de bescherming van persoonsgegevens ter beschikking aan de functionaris gegevensbescherming. Desgevraagd verstrekken zij aanvullende informatie aan de functionaris gegevensbescherming. 3.6Controle en verantwoording Dit Strategisch IB&P Beleid is een verantwoordelijkheid van het bestuur van de gemeente Tholen. De bestuurders en directeur(
2. en)van de gemeente Tholen werken volgens de 10 principes voor informatiebeveiliging en de beginselen voor het verwerken van persoonsgegevens. Zij geven sturing aan het onderwerp informatiebeveiliging en privacy door het geven van voorbeeldgedrag en het vragen om informatie. Het DT is verantwoordelijk voor het gevraagd en ongevraagd rapporteren over informatiebeveiliging en privacy aan respectievelijke portefeuillehouders. Het DT rapporteert daarnaast over de mate waarin zij invulling hebben gegeven aan het uitwerken van tactische (deel) beleidsonderwerpen die aanvullend zijn op dit strategische beleid. 3.6.1ENSIA De gemeente verantwoordt zich over informatiebeveiliging middels de ENSIA-systematiek. Dit betekent dat er een ENSIA-coördinator is aangewezen. Deze zorgt ervoor dat de informatie die nodig is voor het beantwoorden van vragen binnen ENSIA wordt opgehaald bij de verantwoordelijke teamleiders. De teamleiders leveren alle informatie die nodig is voor het invullen van de jaarlijkse ENSIA-vragenlijsten. Via ENSIA verantwoordt de gemeente zich ook aan de toezichthouders van de stelsels waaronder DIGID/BAG/SUWI. 3.6.2AVG Burgemeesters en wethouders leggen verantwoording af aan de gemeenteraad over het naleven van de privacywet (AVG). Middels deze verantwoording worden het bestuur van de gemeente Tholen en de raad geïnformeerd. De betrokkenheid van het bestuur is essentieel, en laat zien dat de gemeente Tholen informatiebeveiliging en privacybescherming serieus neemt en het een onderdeel laat zijn van de ambities om informatie van haar inwoners adequaat te beschermen. Vastgesteld op d.d. 12 december 2023Burgemeester en wethouders van de gemeente Tholen,de secretaris,w.g. J.K. Fraanjede burgemeester,w.g. M.L.P. SijbersBijlageA Baseline Informatiebeveiliging Overheid (BIO) De Baseline Informatiebeveiliging Overheid (BIO) is geheel gestructureerd volgens NEN-ISO/IEC 27001:2017, bijlage A en NEN-ISO/IEC 27002:2017. Het Forum Standaardisatie heeft deze normen opgenomen in de ‘pas toe-of-leg uit’- lijst met verplichte standaarden voor de publieke sector, volgens het comply or explain principe. Dit betekent dat de overheid deze normen toepast tenzij er expliciet geformuleerde redenen zijn om dat niet te doen. De BIO beschrijft de invulling van de NEN-ISO/IEC 27001:2017 en de NEN-ISO/IEC 27002:2017 voor de overheid. Met klem vermeldt zij dat de BIO deze normen niet vervangt. In de BIO hebben specifieke overheidsmaatregelen de tekstkleur groen. NEN-ISO/IEC 27001:2017 en de NEN-ISO/IEC 27002:2017 beschrijven details voor implementatie (implementatierichtlijnen) en eisen voor de procesinrichting (o.a. het ISMS uit NEN-ISO/IEC 27001:2017). Die documenten geven dus de details voor de toepassing, die niet in de BIO zijn beschreven en die nodig blijven voor een goede implementatie van de BIO. Het gebruik van de NEN-ISO/IEC normen 27001 en 27002 in de BIO is auteursrechtelijk beschermd. Het gebruik van teksten uit deze normen in de BIO geschiedt met toestemming van het Nederlands Normalisatie Instituut. Voor meer informatie over de NEN en het gebruik van hun producten zie: www.nen.nl Wijzigingshistorie: Versie Datum Opmerkingen 0.1 11-6-2017 Aanpassingen van BIR 2017 versie 0.6 0.2 11-7-2017 Omschrijven naar ISO 27001 aanpak (hoofdstuk 4), samenvoegen hoofdstuk 3 en 4, ISO 27001 aanpak in hoofdstuk 4, tekstuele aanpassing controls (must/should) 0.3 Verschillende opmerkingen verwerkt 0.4 10-10-2017 Diverse opmerkingen verwerkt van leden, splitsen baseline in 2 delen, analoog aan de BIR2017 0.5 20-10-2017 Hoofdstuk 4 toegevoegd in deel 2 om ISMS te borgen als control / maatregel 0.6 20-02-2018 Verder aanscherping als gevolg van review commentaar, maken apart addendum voor specifieke Rijks zaken 0.7 02-05-2018 Aanpassing als gevolg van commentaar BZK, 3 delen samengevoegd, alignment met de BIR2017 bewerkstelligd, totale herziening BIO, ISMS-deel als gevolg van commentaar laten vervallen 0.8 21-05-2018 Verdere aanpassingen als gevolg van commentaar en opmerkingen door gemeenten, waterschappen en provincies 0.9 25-05-2018 Verdere aanpassingen als gevolg van commentaar en verspreiding concept onder leden werkgroep Normatiek 1.0 01-06-2018 Laatste wijzigingen en commentaar NCSC en BZK verwerkt 1.01 11-10-2018 Wijzigingen uit de community, opmerkingen Forum Standaardisatie en kleine typo’s aangepast, copyright NEN toegevoegd 1.02 01-11-2018 Aanwijzing NEN, jaartal ISO veranderd van 2013 naar 2017, inhoudelijk geen wijzigingen, de 2017 versie is ontstaan als gevolg van een Europees besluit. 1.03 13-03-2019 Aangepaste passage over gebruik van de NEN-ISO/IEC 27001:2017 en NEN-ISO/IEC 27002:2017. Deze passage en de wijzigingshistorie verplaatst van pagina 4 naar pagina 2. 1.04 04-11-2019 Aanpassingen van BIO 1.03 naar 1.04 als gevolg van onderhoudsronde BIO 2019. Betreft correctie van feitelijke onjuistheden en splitsing / aanpassing / verplaatsing van bepaalde maatregelen. 1.04zv 17-06-2020 Verwijzingen naar handreikingen eruit verwijderd. Deze worden opgenomen in een apart document dat op de BIO-overheid-portaal wordt gepubliceerd en onderhouden Voorwoord Informatiebeveiliging vormt een belangrijk kwaliteitsaspect van de informatievoorziening van de overheid. Het beveiligen van informatie is echter geen eenmalige zaak, maar een proces waarbij steeds de Plan-Do-Check-Act cyclus wordt doorlopen. Het doorlopen van dit proces is een verantwoordelijkheid van het lijnmanagement. Om te voorkomen dat informatie en informatiesystemen te licht of te zwaar worden beveiligd, vormt risicomanagement een belangrijk onderdeel in dit proces. De eerste stap in het beveiligingsproces is het maken van een risicoafweging. Daarbij wordt een inschatting gemaakt van mogelijke schade als informatiesystemen (tijdelijk) niet beschikbaar zijn, de informatie niet integer is en/of deze informatie in verkeerde handen valt. Ook wordt een inschatting gemaakt van de dreigingen waartegen de overheid beschermd moet worden. De inschatting van mogelijke schade en dreigingen leidt tot beveiligingseisen om het risico te beperken. Om deze eisen af te dekken worden passende maatregelen getroffen of wordt het (rest)risico geaccepteerd. De Baseline Informatiebeveiliging Overheid (BIO) helpt het lijnmanagement bij het nemen van zijn verantwoordelijkheid ten aanzien van informatiebeveiliging. Het ingewikkelde proces van risicomanagement wordt met de BIO vereenvoudigd. In de BIO zijn namelijk op basis van de generieke schades en dreigingen voor de overheid standaard basisbeveiligingsniveaus (BBN’
3. s)gedefinieerd met bijbehorende beveiligingseisen die moeten worden ingevuld. Per bedrijfsproces bepaalt het lijnmanagement het BBN; de BIO biedt daarvoor een zogenaamde BBN-toets. In de BIO staat per BBN beschreven aan welke controls uit de ISO 27002 (Code voor Informatiebeveiliging) moet worden voldaan. Bij alle controls dient, op basis van een individuele risicoafweging, bepaald te worden hoe aan de beveiligingsdoelstelling van de control voldaan kan worden. Daarbij zijn de controls, waar van toepassing, gedeeltelijk uitgewerkt in verplichte, concrete overheidsmaatregelen. De controls zijn toebedeeld aan rollen, waarmee de verdeling over verantwoordelijken makkelijker is. Zo kan ook de dienstenleverancier die de expertise heeft, bepalen met welke concrete maatregelen hij de control invult. Ten slotte moet verantwoording worden afgelegd over de risicoafweging en over de effectieve invulling van de controls. Deze verantwoording is onderdeel van de bestuurlijke verantwoording over de beveiliging van informatiesystemen. De wijze en mate van detail van de verantwoording hangt af van het BBN. Des te hoger het BBN, des te meer detail nodig is in verband met de hogere potentiële impact. Dienstenleveranciers leggen verantwoording af aan hun (gedeelde) opdrachtgever en er wordt verantwoording afgelegd aan de ketenpartners met wie afspraken over de beveiliging van informatie zijn gemaakt. De opdrachtgever ziet erop toe dat de afgenomen diensten in overeenstemming met de gestelde eisen beveiligd zijn; de afnemers van de diensten mogen hierop vertrouwen en worden door de opdrachtgever geïnformeerd over uitzonderingssituaties. De BIO biedt hiermee de basis om te zorgen dat de beveiliging van informatie(systemen) bij alle bedrijfsonderdelen van de overheid bevorderd wordt. Deze bedrijfsonderdelen kunnen erop vertrouwen dat gegevens die worden verstuurd naar of worden ontvangen van andere onderdelen van de overheid, in lijn met wet- en regelgeving, passend beveiligd zijn. Waar naleving (nog) niet volledig mogelijk is, dienen de bedrijfsonderdelen via een ‘explain’ de eventuele risico’s inzichtelijk te maken aan hun ketenpartners. De BIO is opgedeeld in twee delen waarbij het eerste deel de achtergrond weergeeft en het tweede deel het daadwerkelijk uit te voeren kader omvat. Deel 1 Achtergrond BIO 1.Informatiebeveiliging bij de overheid 1.1Inleiding Informatiebeveiliging is het proces van vaststellen van de vereiste beveiliging van informatiesystemen in termen van vertrouwelijkheid, beschikbaarheid en integriteit alsmede het treffen, onderhouden en controleren van een samenhangend pakket van bijbehorende maatregelen4Artikel 1 sub a Voorschrift Informatiebeveiliging Rijksdienst 2007, Stcrt. 2007, 122/11.. De BIO beoogt zo de beveiliging van informatie(systemen) bij alle bestuurslagen en bestuursorganen van de overheid te bevorderen, zodat alle onderdelen erop kunnen vertrouwen dat onderling uitgewisselde gegevens, in lijn met wet- en regelgeving, passend beveiligd zijn. Het doel is continuïteit in de bedrijfsprocessen door waarborgen van juiste en tijdige informatie. Daarmee is de BIO ook van toepassing op besturings- en meetprocessen voor zover deze binnen een bestuursorgaan gebruikt worden. De BIO is van toepassing op de overheid. In verband hiermee is de BIO van toepassing op de volgende bestuursorganen: Rijksdienst Provincies Waterschappen Gemeentes Daarnaast wordt aanbevolen de BIO te verankeren in de taakomschrijving van de overige overheidsorganisaties en organisaties waarmee de overheid publiek-privaat samenwerkt en private samenwerkingen waarbij de overheid de enige aandeelhouder is. 1.2Informatiebeveiligingskaders en uitgangspunten overheid De overheid past risicomanagement toe om tot de juiste beveiliging van informatie en informatiesystemen te komen binnen de context van de bedrijfsdoelstellingen. Risicomanagement is het inzichtelijk en systematisch inventariseren, beoordelen en – door het treffen van maatregelen – beheersbaar maken van risico’s en kansen, die het bereiken van de doelstellingen van de organisatie bedreigen dan wel bevorderen, op een zodanige wijze dat verantwoording kan worden afgelegd over de gemaakte keuzes5Artikel 5 lid 2 BVR en Artikel 1 sub d BVR.. De insteek van risicomanagement in het kader van de BIO is dat er cyclisch en methodisch vanuit een PDCA-cyclus wordt omgegaan met informatiebeveiliging. De overheidslagen kiezen als basis voor deze procesmatige inrichting van risicomanagement en het inrichten van de PDCA-cyclus voor de NEN/ISO 27001:20176De NEN/ISO 31000-aanpak wordt gezien als een goed alternatief voor de 27001.. Voor de rijksoverheid vindt nadere specificatie plaats in de algemene voorschriften voor de beveiliging van informatiesystemen: het Beveiligingsvoorschrift Rijksdienst7Beveiligingsvoorschrift Rijksdienst 2013, Stcrt. 2013, 15496. (BVR), het Voorschrift Informatiebeveiliging Rijksdienst8Voorschrift Informatiebeveiliging Rijksdienst 2007, Stcrt. 2007, 122/11. (VIR) en het Voorschrift Informatiebeveiliging Rijksdienst - Bijzondere Informatie9Voorschrift Informatiebeveiliging Rijksdienst - Bijzondere Informatie 2013, Stcrt. 2013, 15497. (VIR-BI) Voor de BIO geldt (op basis van deze documenten van NEN/ISO 27001 en BVR, VIR en VIR-BI) kort samengevat het volgende: Een ruime definitie voor een informatiesysteem, namelijk “een samenhangend geheel van gegevensverzamelingen, en de daarbij behorende personen, procedures, processen en programmatuur alsmede de voor het informatiesysteem getroffen voorzieningen voor opslag, verwerking en communicatie”10Artikel 1 sub b VIR. . Het lijnmanagement is verantwoordelijk voor de beveiliging van informatie(systemen). Informatiebeveiliging is een cyclisch proces, volgens de Plan-Do-Check-Act cyclus11Artikel 4 VIR, ISO 6.1 en 9.1.. Deze Plan-Do-Check-Act cyclus maakt het lijnmanagement verantwoordelijk voor het treffen van maatregelen op basis van risicomanagement. De secretaris/algemeen directeur van een organisatie is eindverantwoordelijk12In sommige organisaties heet de eindverantwoordelijke “bestuursvoorzitter” of “directeur” en moet de term “secretaris/algemeen directeur” als “bestuursvoorzitter” of “directeur” worden gelezen. voor deze beveiliging en voor de inrichting en werking van de beveiligingsorganisatie13Artikel 5 lid 2 BVR en Artikel 4 lid 1 BVR.. Het lijnmanagement stelt op basis van een expliciete risicoafweging de betrouwbaarheidseisen voor zijn informatiesystemen vast14Artikel 4 sub a en sub b VIR, ISO 27001 6.1 en 6.2.. Op basis van de betrouwbaarheidseisen kiest, implementeert en draagt het lijnmanagement de maatregelen uit15Artikel 4 sub a en sub b VIR, ISO 27001 6.1 en 6.2.. De BIO is allereerst een gemeenschappelijk normenkader voor de beveiliging van de informatie(systemen) van de overheid. Daarnaast concretiseert de BIO een aantal normen tot verplichte overheidsmaatregelen: op grond van wet- en regelgeving16Zie voor nadere detaillering: Bijlage 1: Wet- en regelgeving.; vanwege de gemeenschappelijke veiligheid van informatieketens; omdat deze fundamenteel zijn voor een betrouwbare c.q. professionele informatievoorziening. De Baseline Informatiebeveiliging Overheid BIO is gebaseerd op de ISO 27002- standaard17NEN-ISO/IEC 27002:2017, (dit is de 27002:2013 met geconsolideerde correctiebladen C1 en C2).. 1.3ISO 27002 De ISO 27002 'Code voor Informatiebeveiliging' geeft richtlijnen en principes voor het initiëren, het implementeren, het onderhouden en het verbeteren van informatiebeveiliging binnen een organisatie. Deze standaard is een best practice om informatiebeveiligingsrisico’s aan te pakken met betrekking tot vertrouwelijkheid, integriteit en beschikbaarheid van de informatievoorziening. De standaard kan gezien worden als een nadere specificatie van de ISO 27001-standaard18De NEN-ISO/IEC 27001-standaard bevat eisen waar het managementsysteem voor informatiebeveiliging aan dient te voldoen. Het is deze norm waartegen wordt geaudit bij certificering. Deze standaard specificeert eisen voor het vaststellen, implementeren, uitvoeren, controleren, beoordelen, bijhouden en verbeteren van een gedocumenteerd Information Security Management System (ISMS) in het kader van de algemene bedrijfsrisico’s van een organisatie.. De ISO 27002 kan dienen als een praktische richtlijn voor het ontwerpen van veiligheidsstandaarden binnen een organisatie en als effectieve methode voor het bereiken van deze veiligheid. De ISO bestaat uit 114 controls; de term ‘control’ wordt in de ISO vertaald als een beheersmaatregel19De Nederlandse versie van ISO 27002 spreekt van beheersmaatregelen. Er zijn echter ook implementatiemaatregelen. Om het onderscheid daartussen makkelijker te maken, hanteert de BIO de Engelse term, namelijk ‘controls’. Het gebruik van deze term sluit aan bij de informatiebeveiligingspraktijk.. De BIO volgt de opbouw van de ISO 27002 en zijn controls. De controls zijn in de BIO letterlijk20In tegenstelling tot de verschillende oude baselines, zijn de controls dus niet tekstueel aangepast. overgenomen. Dit vergemakkelijkt afstemming met externe partners of leveranciers. Daarnaast vult de BIO enkele bepalingen uit het VIR inzake PDCA-cyclus en verantwoordelijkheden op een generieke wijze in21Met name artikel 4 sub a en sub b van het VIR.. 1.4Evaluatie en bijstelling Door de snelle ontwikkelingen van de techniek verouderen maatregelensets voor informatiebeveiliging snel. De BIO is daarom zo veel mogelijk op een abstractieniveau geschreven waarbij dergelijke wijzigingen en ontwikkelingen een zo klein mogelijke impact hebben op de maatregelen.22Ook de ISO is vanuit dit principe opgesteld. De BIO beschrijft het wat en niet het hoe. Desondanks kunnen wijzigingen noodzakelijk zijn bij bijvoorbeeld aanpassingen van onderliggende wet- en regelgeving of nieuwe dreigingen en kwetsbaarheden. Dit document wordt daarom regelmatig in zijn geheel geëvalueerd en indien nodig bijgesteld. Daarnaast wordt specifiek bezien of er wijzigingen en aanvullingen in de maatregelen en de (operationele) handreikingen nodig of gewenst zijn om hiermee de praktische toepasbaarheid te vergroten. Besluiten hierover worden via de bestaande informatiebeveiligingsgremia genomen en door de beheerder van de BIO verwerkt23Daartoe is in het OBDO een procedure overeengekomen.. 1.5Forum Standaardisatie De overheid volgt de standaarden die op de ‘pas toe of leg uit’-lijst van het Forum Standaardisatie24Zie ook de website van het Forum Standaardisatie op https://www.forumstandaardisatie.nl (hierna het Forum) staan. De BIO is gebaseerd op de NEN-ISO/IEC 27002:2017 en vanuit de BIO wordt verwezen naar de NEN-ISO/IEC 27001:2017, beide standaarden staan op de ‘pas toe of leg uit’-lijst25Zie ook: https://www.forumstandaardisatie.nl/open-standaarden/lijst/verplicht van het Forum. Ook een aantal technische maatregelen uit de BIO staan op de ‘pas toe of leg uit’-lijst of op de ‘open standaarden’-lijst26Zie ook: https://www.forumstandaardisatie.nl/open-standaarden/lijst/aanbevolen van het Forum. Deze technische invullingen zijn niet allemaal uitgewerkt in deze BIO. Er is voor gekozen alleen aan te geven of de maatregel ingevuld wordt door een verplichte of open standaard van het Forum. Hierdoor wordt de BIO minder onderhoudsgevoelig. 2.Opzet van de BIO 2.1.Opzet BBN’s Om risicomanagement hanteerbaar en efficiënt te houden, kiest de BIO voor een diepgang van de uitwerking van het risicomanagement die proportioneel is aan de te beschermen belangen in combinatie met relevante dreigingen. Daarom onderscheidt de BIO drie basisbeveiligingsniveaus (BBN’s). Voor BBN1 ligt de nadruk op ‘wat mag minimaal verwacht worden?’. Voor BBN2 ligt de nadruk op de bescherming van de meest voorkomende categorieën informatie volgens het principe ‘valt de maatregel onder goed huisvaderschap; toont deze beveiliging de betrouwbare overheid?’. BBN327De aanvullende eisen die gelden vanaf BBN3 zijn in deze huidige versie van de BIO nog niet nader uitgewerkt. is van toepassing op gerubriceerde informatie Departementaal Vertrouwelijk dan wel vergelijkbaar vertrouwelijk bij andere overheidslagen, waarbij weerstand tegen statelijke actoren of vergelijkbare dreigers nodig is. De keuze voor een BBN wordt gemaakt door de proceseigenaar en is gebaseerd op risicomanagement. De BIO gaat vergezeld van een methode van risicoafweging, de BBN-toets28De BBN-toets is geen volwaardige vervanger van de Quickcan BIO of van een andere uitgebreide risicoanalysemethodiek. De BBN-toets zorgt er alleen voor dat eenvoudig het juiste BBN geselecteerd kan worden en dat bepaald kan worden in hoeverre extra eisen noodzakelijk zijn. . In Deel 2 wordt deze methode verder toegelicht29Gewerkt gaat worden aan een handreiking waarin ten opzichte van de drie BBN-niveaus wisselingen in niveaus voor de aspecten beschikbaarheid, integriteit en vertrouwelijkheid worden aangegeven. Wellicht gaan de controls en maatregelen nog nader gespecificeerd worden naar de drie verschillende aspecten.. 2.2.Controls Na de BBN-toets doorloopt het lijnmanagement alle toepasselijke controls30De Nederlandse versie van ISO 27002 spreekt van beheersmaatregelen. Er zijn echter ook implementatiemaatregelen. Om het onderscheid daartussen makkelijker te maken, hanteert de BIO de Engelse term, namelijk ‘controls’. Het gebruik van deze term sluit aan bij de informatiebeveiligingspraktijk. uit de BIO31Met uitzondering van twee controls (6.1.4 en 14.2.4) bevat de BIO alle controls uit de ISO 27002.. Op basis van een risicoafweging wordt bepaald hoe moet worden voldaan aan de gestelde beveiligingsdoelstellingen van de controls. Voor het voldoen aan deze doelstellingen kunnen implementatierichtlijnen uit de ISO 27002, overheidsmaatregelen en/of operationaliseringen in handreikingen worden gebruikt. Er geldt een hardheidsbepaling: in het geval een control voor een specifiek geval niet van toepassing kan zijn, is de control niet van toepassing. Dit geldt bijvoorbeeld voor een control die betrekking heeft op een externe koppeling, terwijl het betreffende informatiesysteem geen externe koppeling heeft. De organisatie hoeft zich daar niet over te verantwoorden. 2.3.Implementatierichtlijnen Iedere control is in de ISO 27002 uitgewerkt in implementatierichtlijnen. Bij het uitvoeren van risicoafwegingen zijn de implementatierichtlijnen zeer nuttig. Ze helpen bij het kiezen van de benodigde beveiligingsmaatregelen. Deze richtlijnen moeten dus worden gezien als voorbeelden hoe de controls uitgewerkt kunnen worden in maatregelen; het volgen van deze richtlijnen is niet verplicht. Deze implementatierichtlijnen zijn niet in de BIO opgenomen, hiervoor wordt verwezen naar de ISO 27002. 2.4.Overheidsmaatregelen Een deel van de controls is uitgewerkt in verplichte maatregelen, omdat zij: voortvloeien uit wet- en regelgeving32Het gaat dan enkel om de beveiligingseisen die voortvloeien uit wet- en regelgeving. Andere vereisten vallen buiten de scope van de BIO.. Het niet treffen van een dergelijke maatregel is dan in strijd met deze externe wet- en regelgeving; zo basaal zijn dat zij het fundament vormen van een betrouwbare c.q. professionele informatievoorziening; dienstbaar zijn aan de beveiliging in een procesketen of netwerk; niet-naleving door een enkele organisatie is per saldo ineffectief voor de gehele keten. Het vormt een risico voor alle andere partijen in de keten en leidt bij hen tot extra maatregelen en kosten. Voor de keten als geheel is dit inefficiënt. Voor een generieke dienst geldt een afweging die analoog is aan het ketenvraagstuk. De BIO noemt deze verplichte maatregelen ‘overheidsmaatregelen’. De overheidsmaatregelen dekken niet de gehele beveiligingsdoelstellingen van de control af. Net als bij de controls geldt hier een hardheidsbepaling: in het geval een maatregel voor een specifiek geval niet van toepassing kan zijn, vervalt de verplichting. Dit geldt bijvoorbeeld voor een overheidsmaatregel die betrekking heeft op een externe koppeling, terwijl het betreffende informatiesysteem geen externe koppeling heeft. Bij een aantal overheidsmaatregelen zijn verwijzingen toegevoegd naar relevante wet- en regelgeving. Deze verwijzingen zijn of overheidsbreed geldend of specifiek toegesneden op een aandachtsgebied (bijvoorbeeld de ‘Gedragsregeling voor de digitale werkomgeving’) en hebben een verplichtend karakter. 2.5.Addendum De BIO is generiek geschreven en geldig voor alle doelgroepen. Sommige overheidslagen hebben specifieke wet- en regelgeving die alleen gelden binnen die overheidslaag. Om tegemoet te komen aan de behoefte van deze overheidslagen en deze specifieke wet- en regelgeving niet verloren te laten gaan, is er aan de BIO een addendum toegevoegd. In dit addendum is deze wet- en regelgeving gekoppeld aan de control of maatregel waartoe zij behoren. Het addendum is toegevoegd aan de BIO in deel 3. 2.6.Operationalisering in handreikingen Om de praktische toepasbaarheid van de BIO te verhogen, wordt de BIO aangevuld met handreikingen. Dit zijn aanbevelingen in het kader van de bedrijfsvoering die geen verplichtend karakter hebben en niet essentieel zijn voor de werking van een stelsel. Een handreiking geeft dus advies hoe bepaalde normen, standaarden, technieken of maatregelen te implementeren of te hanteren zijn. Een handreiking kan meer specifiek zijn toegesneden op een overheidslaag (interdepartementaal, gemeentebreed, etc.) of op een bepaald aandachtsgebied. In deze BIO zijn geen verwijzingen opgenomen naar handreikingen. Een actueel overzicht met alle verwijzingen wordt geboden in een apart document dat te vinden is op het BIO-overheid portaal. 2.7.Rollen In het algemeen geldt dat onderdelen van de BIO op verschillende plaatsen in de organisatie worden toegepast op grond van verschillende verantwoordelijkheden en gezagsverhoudingen. De BIO onderscheidt drie (hoofd)rollen: de secretaris/algemeen directeur, de proceseigenaar en de dienstenleverancier. Deze rollen zijn hieronder beschreven vanuit het perspectief van informatiebeveiliging. Er zijn uiteraard meer rollen betrokken bij informatiebeveiliging, zoals toezichthouder en medewerker, maar het gaat hier om de verantwoordelijke voor de uitvoering van de control. Secretaris/algemeen directeur Als eindverantwoordelijke voor het beveiligingsbeleid in de organisatie is de secretaris/algemeen directeur verantwoordelijk voor de uitvoering van organisatiebrede vraagstukken ten aanzien van informatiebeveiliging33In sommige organisaties heet de eindverantwoordelijke “secretaris-generaal”, “directeur” of “bestuursvoorzitter” en moet de term “secretaris/algemeen directeur” als “secretaris-generaal”, “directeur” of “bestuursvoorzitter” worden gelezen.. In de praktijk kan deze rol worden uitgevoerd door bijvoorbeeld de CIO of een directeur Inkoop34Bij het Rijk kan dat bijvoorbeeld ook de beveiligingsambtenaar (BVA) zijn.. Proceseigenaar Onder de proceseigenaar wordt de lijnmanager verstaan die verantwoordelijk is voor de beveiliging van het betreffende proces / informatiesysteem. Dienstenleverancier Bedoeld wordt de dienstenleverancier (bijvoorbeeld SSO) binnen de overheid of organisaties in de markt waaraan de secretaris/algemeen directeur of proceseigenaar (een deel van) de beveiligingstaak inbesteedt respectievelijk uitbesteedt. In de BIO staat aangegeven welke controls voor welke rol toepasselijk zijn. Omdat de overheid pluriform is georganiseerd, is deze toedeling indicatief. De BIO verplicht wel om de controls en overheidsmaatregelen die bij de rollen staan intern toe te delen en hierbij rekening te houden met voldoende functiescheiding. In het algemeen is de organisatie van de informatiebeveiligingsfunctie, waaronder verantwoordelijkheden, taken en bevoegdheden, terug te vinden in het informatiebeveiligingsbeleid van de organisatie. 35Artikel 3 sub b VIR. 3.Basisbeveiligingsniveaus Zoals in paragraaf 2.1 beschreven, onderscheidt de BIO drie basisbeveiligingsniveaus (BBN’s). Ieder BBN bestaat uit een aantal controls, een aantal verplichte overheidsmaatregelen en een verantwoordings- en toezichtregime. Elk niveau bouwt voort op het vorige niveau. Daarbij vult BBN2 de controls van BBN1 aan. BBN2 vult ook de overheidsmaatregelen van BBN1 aan of vervangt deze door maatregelen met meer gewicht. Hetzelfde geldt voor BBN3 in relatie tot BBN1 en BBN2. Als informatie wordt ontvangen van derden wordt deze ontvangen informatie behandeld conform de aanwijzingen van de afzender. Als de afzender geen markering of rubricering meegeeft wordt de ontvangen informatie behandeld conform de classificatie-eisen van het ontvangende proces. 3.1.BBN1 Informatiesystemen op BBN1 zijn systemen waarvoor BBN2 als te zwaar wordt gezien. Het kan voorkomen dat er nog wel hogere beschikbaarheids- en integriteitseisen nodig zijn. BBN1 is waar alle overheidssystemen als minimum aan moeten voldoen. Controls en overheidsmaatregelen komen voort uit: wet- en regelgeving; algemeen geldende beveiligingsprincipes (fundamentele controls en maatregelen). 3.2.BBN2 Voor informatiesystemen binnen de overheid vormt BBN2 het uitgangspunt. BBN2 is van toepassing indien36Zie de BBN-toets in Deel 2 voor meer details.: er vertrouwelijke informatie wordt verwerkt; mogelijke incidenten leiden tot bestuurlijke commotie; de veiligheid van andere systemen afhankelijk is van de veiligheid van het eigen systeem. Het te beschermen belang van BBN2 is maximaal Departementaal Vertrouwelijk (DepV), (zoals gedefinieerd in het VIR-BI)/vergelijkbaar vertrouwelijk bij andere overheidslagen en privacygevoelige informatie met een verhoogd vertrouwelijkheidsniveau. Dergelijke informatie komt veelvuldig voor bij de overheid. Het gaat verder om commercieel vertrouwelijke informatie of informatie in het kader van beleidsvorming; het is dus niet beperkt tot als DepV/vergelijkbaar vertrouwelijk bij andere overheidslagen gerubriceerde informatie. BBN2-informatie wordt preventief beschermd tegen alle dreigingen met uitzondering van geavanceerde dreigingen, zoals Advanced Persistent Threats (APT’s), afkomstig van statelijke actoren of beroepscriminelen. Daarvoor geldt een bescherming achteraf: zij dienen te kunnen worden gedetecteerd, waarop vervolgens passend gereageerd moet worden. Voor informatiesystemen waar Departementaal Vertrouwelijke informatie en vergelijkbaar vertrouwelijk bij andere overheidslagen wordt verwerkt en waar weerstand tegen de geavanceerde dreiging van statelijke actoren of gelijkwaardige beroepscriminelen is vereist, is het BBN2 dus niet voldoende. De controls van het BBN2 omvatten de controls van BBN1. Dit geldt ook voor de maatregelen waarbij enkele maatregelen van BBN1 in de BBN2-variant verzwaard zijn. De keuze hiervoor komt voort uit: wet- en regelgeving, in het bijzonder beveiligingseisen als gevolg van WBP/AVG; aansluitvoorwaarden van generieke/gemeenschappelijke diensten; afhankelijkheden in ketens en netwerken; minimale eisen ten behoeve van een efficiënte beveiliging van BBN3. 3.3.BBN3 BBN3 richt zich op de bescherming van als Departementaal Vertrouwelijk en vergelijkbaar vertrouwelijk bij andere overheidslagen gerubriceerde informatie, waarbij weerstand geboden moet worden tegen de dreiging, zoals Advanced Persistant Threats (APT’s), die uitgaat van statelijke actoren en beroepscriminelen. BBN3 is van toepassing indien: verlies van informatie een grote impact heeft, waarvan niet uit te leggen is als deze niet gerubriceerd is en beschermd wordt op BBN3; informatie met een rubricering (niet zijnde BBN2) wordt geleverd door derden; aansluiting op een infrastructuur BBN3 is vereist om informatie te kunnen verwerken op deze infrastructuur (bijvoorbeeld om al op de infrastructuur aanwezige gerubriceerde informatie niet in gevaar te brengen). Om redenen van efficiency sluit BBN3 aan op relevante NAVO-regelgeving waarin ook al rekening wordt gehouden met het bieden van weerstand tegen statelijke actoren37Zowel voor EU als voor NAVO gerubriceerde informatie geldt dat de beveiligingsvoorschriften standaard rekening houden met het bieden van weerstand tegen statelijke actoren. Voor de BIO is uiteindelijk gekozen om aan te sluiten bij de NAVO-regelgeving omdat de NAVO-eisen gedetailleerder zijn dan die van de EU en daarmee meer zekerheid bieden dat ook daadwerkelijk weerstand tegen statelijke actoren kan worden geboden. Voor de goede orde: alleen op NATO gerubriceerde informatie heeft het NAVO-verdrag rechtstreekse werking, BBN3 is Nederlandse informatie waarop het NAVO-verdrag niet rechtstreeks werkt; de toepasselijkheid van het NAVO-verdrag voor BBN3 is een keuze die de overheid zelf via deze BIO maakt.. Dit betekent dat BBN3 bestaat uit de controls en overheidsmaatregelen uit BBN2, aangevuld met relevante eisen uit het VIR-BI, relevante bepalingen uit regelingen andere overheidslagen en uit het NAVO-verdrag voor de beveiliging van informatie38CM