Controleverslag procesdeel GBA-audit

Controleverslag procesdeel GBA-audit Gemeente Krimpen aan den IJssel

Procesauditor Verificateur procesaudit Organisatie Datum Versie Projectnummer

: : : : : :

De heer E.M. Kaouass De heer C.J.M. de Grijs CISA DEKRA Certification b.v. 4 december 2012 2.0 (definitief) 223.052

121207 Controle procesdeel GBA audit Krimpen ad IJssel; versie 2.0

Pagina 1 van 31

Distributielijst De heer P.J. Berkers Mevrouw C.M. Kool Audit team

Afdelingshoofd Publiekscentrum, gemeente Krimpen aan den IJssel Applicatiebeheer en GBA-specialist, gemeente Krimpen aan den IJssel DEKRA Certification b.v.

GBA-applicatie Leverancier Naam GBA-applicatie

Centric Key2Burgerzaken

Overige gegevens Template versie Datum procescontrole Datum verificatie Datum zelfevaluatie Datum bespreking resultaten

1.0 4 september 2012 22 oktober 2012 31 augustus 2012 26 november 2012


Pagina 2 van 31

INHOUD 1

MANAGEMENTSAMENVATTING ...................................................................... 4 1.1 1.2 1.3 1.4

2

OPDRACHTVERSTREKKING............................................................................... 4 INTEGRITEIT GBA AUDITINSTELLING EN BETROKKEN AUDITORS ........................... 4 OPBOUW VAN DE RAPPORTAGE ........................................................................ 4 WIJZE VAN UITVOERING ................................................................................... 4

RAPPORT VAN BEVINDINGEN CONTROLE PROCESDEEL .......................... 6 2.1 2.2 2.3 2.4 2.5

INLEIDING ....................................................................................................... 6 INTERVIEWS EN ACTIVITEITEN CONTROLE PROCESDEEL ...................................... 6 CONTROLEVERSLAG PROCESMATIG DEEL .......................................................... 7 BEVEILIGINGSDOCUMENTATIEDOSSIER ........................................................... 30 GELEIDELIJST AFHANDELING CONTROLEVERSLAG ............................................ 31


Pagina 3 van 31

1 1.1

Managementsamenvatting Opdrachtverstrekking Op 6 februari 2012 is door DEKRA Certification b.v. offerte uitgebracht voor de uitvoering van de GBA-audit bij de gemeente Krimpen aan den IJssel. Na opdrachtverstrekking door de gemeente Krimpen aan den IJssel heeft DEKRA Certification b.v. het plan van aanpak voor de uitvoering van de GBA audit op 7 mei 2012 verstuurd. Door de gemeente is de zelfevaluatie op het procesdeel uitgevoerd op 31 augustus 2012. Op 4 september 2012 vond zowel de inhoudelijke GBA-audit als de privacy-audit en de controle van het procesdeel plaats.

1.2

Integriteit GBA auditinstelling en betrokken auditors DEKRA Certification b.v. is door de minister voor Binnenlandse Zaken aangewezen als GBA auditinstelling. De uitvoering van de controle is door DEKRA Certification b.v. uitbesteed aan BMC te Amersfoort. DEKRA Certification b.v. verzekert de volledige geheimhouding van informatie die zij in de loop van de audit heeft verkregen. DEKRA Certification b.v. garandeert de privacybescherming van de burger en de bescherming van eigendomsrechten. Noch de inhoudelijke auditor, noch de procesauditor noch de verificateur woont in de gemeente Krimpen aan den IJssel. Geen van de auditors is werkzaam geweest gedurende een jaar voorafgaand aan de audit bij het betrokken organisatie onderdeel van auditee. Tenslotte mogen zowel de inhoudelijke als de procesauditor het jaar voorafgaand en volgend op de uitvoering van de GBA-audit niet betrokken zijn bij vergelijkbare adviesopdrachten bij auditee.

1.3

Opbouw van de rapportage In voorliggende controleverslag zijn de diverse bevindingen ten aanzien van de controle van de beantwoording van een aantal vragen inzake het procesdeel opgenomen. Deze vragen zijn door het Agentschap BPR in een steekproef bepaald.

1.4

Wijze van uitvoering De GBA-audit is opgesplitst in een inhoudelijke audit, een privacygedeelte en een controle van de door de gemeente uitgevoerde zelfevaluatie van het procesdeel. Bij de uitwerking hiervan is dan ook geen sprake meer van een auditrapportage maar van een controleverslag, waarin wordt ingegaan op de bevindingen van de door de gemeente Krimpen aan den IJssel verstrekte antwoorden. De resultaten van de zelfevaluatie zijn beoordeeld door de heer E.M. Kaouass en geverifieerd door De heer C.J.M. de Grijs CISA.

1.4.1 Uitvoering controle van de zelfevaluatie Het procesmatige deel van de audit is door de gemeente Krimpen aan den IJssel zelf uitgevoerd in de vorm van een zelfevaluatie op 31 augustus 2012. Tijdens de controle van deze zelfevaluatie toetst de auditor de heer E.M. Kaouass op 4 september 2012 de door de gemeente uitgevoerde audit en let daarbij op de juistheid van de beantwoording van de vragen door de gemeente, ten aanzien van de onderdelen Lokaal beleid en uitgangspunten, Uitvoering en Controle, advies en evaluatie. De controle heeft plaatsgevonden door middel van een interview en mogelijk door het doen van bevindingen ter plaatse. Het gaat hierbij concreet om de volgende activiteiten:

identificeren van de aanwezige documenten; vaststellen ontbrekende documenten (met @ gemerkt in de vragenlijst, maar niet aanwezig); doornemen en globaal beoordelen van de aanwezige documenten; vaststellen aanvullende vragen voor interviews;


Pagina 4 van 31

bekijken computerruimte; bekijken ruimte waar de back-up tapes worden bewaard; bekijken ruimte waar de GBA-administratie wordt gevoerd; bekijken ruimte waar de direct geprinte mutaties worden bewaard; bekijken actuele bevoegdheidsprofielen op de GBA server; bekijken aanlogprocedures (netwerk/GBA server) ten behoeve van het beoordelen van de logische toegangsbeveiliging; vastleggen bevindingen en vaststellen conclusies, risico’s en aanbevelingen; opstellen rapportage.

Het interview is afgenomen aan de hand van het door het agentschap BPR en College Bescherming Persoonsgegevens (CBP) verstrekte protocol en de daarbij behorende gestructureerde vragenlijst, na inzage van de in dit protocol vermelde en door de gemeente overlegde documentatie. Bij de controle is geen gebruik gemaakt van aanvullende programmatuur, anders dan voor tekstverwerkingsdoeleinden.


Pagina 5 van 31

2 2.1

Rapport van bevindingen controle procesdeel Inleiding In dit hoofdstuk worden de bevindingen ten aanzien van de bij de controle op het door de gemeente Krimpen aan den IJssel d.d. 31 augustus 2012 uitgevoerde procesdeel van de GBA audit weergegeven. Hierbij is de volgorde aangehouden van de vragenlijst van het agentschap BPR. De controle is gebeurd op basis van de zes door het agentschap BPR geselecteerde vragen uit de 19 mogelijke vragen in vermelde vragenlijst. Het rapport van bevindingen is opgesteld door de auditor de heer E.M. Kaouass.

2.2

Interviews en activiteiten controle procesdeel In het kader van de controle op het procesdeel is d.d. 4 september 2012 gesproken met de volgende personen: Naam

Functie

Mevrouw C.M. Kool

Applicatiebeheerder en GBA-specialist


Pagina 6 van 31

2.3

Controleverslag procesmatig deel

Vraag

Omschrijving

Verplicht

1

Lokaal beleid en uitgangspunten

1.1

DEFINITIE VAN RESULTATEN

Geselecteerde Vraag?

Conclusie controle

Eventueel bij de controle door de auditor geconstateerde tekortkoming

Juist ingevuld Geen

De gemeente heeft een informatiebeveiligingsbeleid vastgesteld waarbij in ieder geval de belangrijkste aandachtspunten en de te behalen resultaten zijn gedefinieerd. Burgemeester en wethouders hebben in één of meer beleidsnotities de volgende resultaten gedefinieerd 1.1.1

De beschikbaarheid van het GBA informatiesysteem moet zijn gegarandeerd. De vertrouwelijkheid van de GBA gegevens moet zijn gewaarborgd.

Ja

Ja

Ja

Nee

1.1.3

De data integriteit (=volledigheid, juistheid en tijdigheid) moet zijn gewaarborgd.

Ja

Nee

1.1.4

De controleerbaarheid van de gegevens in de GBA moet worden gewaarborgd.

Ja

Nee

1.1.5

Uitvoering van het beveiligingsproces

Ja

Ja

Ja

Nee

1.1.2

1.1.6

Zijn de taken, functies en bevoegdheden om de bij vragen 1.1 tot en met 1.4 genoemde garanties en waarborgen te realiseren toegewezen aan organieke functies? Wordt tenminste eenmaal per jaar aan burgemeester en wethouders een managementrapport uitgebracht waarin


Juist ingevuld Geen

Pagina 7 van 31

Vraag

Omschrijving

Verplicht


Ja

Nee

Conclusie controle


wordt aangegeven in welke mate de gewenste garanties en waarborgen worden bereikt? 1.1.7

Controller van het beveiligingsproces Is de verantwoordelijkheid voor deze jaarlijkse rapportage toegewezen aan één of meerdere organieke functies?

1.1.8

Verstrekt de security officer (of Nee beveiligingsbeheerder) naast de managementrapportage gevraagd en ongevraagd adviezen om te komen tot het gewenste en gedefinieerde beveiligingsniveau?

Nee

1.2

RISICOANALYSE

1.2.1

Het opstellen van beleid en uitgangspunten, alsmede het treffen van maatregelen en het onderzoeken, aanpassen en adviseren dient te geschieden op basis van een toereikende risicoanalyse. Is er een risicoanalyse uitgevoerd? nee Nee

1.2.1.1

Is er gebruik gemaakt van een nee aantoonbare methodiek voor de risico analyse? Zo ja geef aan welke methodiek.

Nee

1.2.1.2

Is de risicoanalyse eenmalig uitgevoerd en nadien niet meer herhaald?

nee

Nee

1.2.1.3

Wordt de risicoanalyse jaarlijks uitgevoerd?

nee

Nee

1.2.1.4

Is de risicoanalyse uitgevoerd door interne medewerker(s), die niet verantwoordelijk voor of betrokken zijn bij de GBA?

nee

Nee

1.2.1.5

Is de risicoanalyse uitgevoerd door

nee

Nee


Pagina 8 van 31

Vraag

Omschrijving

Verplicht


nee

Nee

Conclusie controle


interne medewerker(s), die betrokken zijn bij de GBA (Burgerzaken en/of I&A)? 1.2.1.6

Is de risicoanalyse is uitgevoerd door externe deskundigen?

1.3

(INFORMATIE)BEVEILIGINGSPLAN Het treffen van beveiligingsmaatregelen om de ongestoorde werking van de GBA te garanderen vindt plaats op een gestructureerde wijze. Hiervoor stelt de gemeente een (informatie)beveiligingsplan op.

1.3.1

1.3.1.1

Beschikt uw gemeente over een actueel en vastgesteld 1 (informatie)beveiligingsplan ? Zo ja vul dan de volgende deelvragen in: Systeem inventarisatie

ja

Nee

nee

Nee

nee

Nee

ja

Nee

Zijn in het (informatie)beveiligingsplan de primaire en ondersteunende processen en voorwaarden (o.a. mensen, gebouwen, techniek, middelen) voor een werkend GBA systeem geïnventariseerd? 1.3.1.2

Afhankelijkheidsanalyse Is in het (informatie)beveiligingsplan de mate waarin de organisatie en de dienstverlening afhankelijk is van deze processen en voorwaarden geïnventariseerd?

1.3.1.3

Dreigingsanalyse Is in het (informatie)beveiligingsplan de mate waarin deze processen worden

1

Indien bij de vragen 1.3.1.1 tot en met 1.3.1.7 het antwoord geen enkele keer “ja” is, dan is het antwoord bij vraag 1.3.1 “nee”.


Pagina 9 van 31

Vraag

Omschrijving

Verplicht


ja

Nee

ja

Nee

Conclusie controle


bedreigd door interne of externe factoren geïnventariseerd? 1.3.1.4

Maatregelenanalyse. Zijn in het (informatie)beveiligingsplan de maatregelen die getroffen moeten worden om deze bedreigingen te voorkomen of te beheersen geïnventariseerd?

1.3.1.5

Vaststelling Zijn de maatregelen die worden vereist vastgesteld?

1.3.1.5.1

Betreft het vastgestelde maatregelen op het gebied van beschikbaarheid of continuïteit gericht op de ongestoorde voortgang van de informatievoorziening GBA?

nee

Nee

1.3.1.5.2

Betreft het vastgestelde maatregelen op het gebied van betrouwbaarheid of integriteit gericht op de juistheid, volledigheid en tijdigheid van gegevens?

nee

Nee

1.3.1.5.3

Betreft het vastgestelde maatregelen op het gebied van vertrouwelijkheid of exclusiviteit gericht op het beschermen van de rechtmatige toegang en gebruik van de GBA?

nee

Nee

1.3.1.5.4

Betreft het vastgestelde maatregelen gericht op de controleerbaarheid om inzicht te verkrijgen over de structuur en werking van het beveiligingssysteem en te kunnen vaststellen of overeenstemming met de eisen wordt bereikt?

nee

Nee


Pagina 10 van 31

Vraag

Omschrijving

Verplicht


1.3.1.6

Termijnen

ja

Nee

ja

Nee

ja

Nee

Conclusie controle


Is de termijn waarbinnen de vereiste maatregelen moeten zijn uitgevoerd vastgesteld? 1.3.1.7

Interne auditing Vindt de evaluatie van de uitvoering van de vereiste maatregelen tenminste eenmaal per jaar plaats?

1.3.1.8

Taken Is de functionele en organieke verantwoordelijkheid voor het uitvoeren van de vereiste maatregelen vastgelegd en gecommuniceerd met de betrokkenen?

2

Uitvoering

2.1.1.

TAKEN EN FUNCTIES Het vastleggen van taken, bevoegdheden en verantwoordelijkheden is belangrijk om het beveiligingsproces in de gemeente te implementeren. Tevens is het wettelijk voorgeschreven (art. 14 Wet GBA) om met betrekking tot de GBA te voorzien in een actuele beheerregeling.

2.1.1.1

Is de functie Informatiebeheerder GBA organiek aangewezen?

nee

Nee

2.1.1.2

Is de functie Privacybeheerder GBA organiek aangewezen?

ja

Nee

2.1.1.3

Is de functie Applicatiebeheerder GBA organiek aangewezen?

ja

Nee

2.1.1.4

Is de functie Systeembeheerder GBA organiek aangewezen?

ja

Nee

2.1.1.5

Is de functie Gegevensbeheerder GBA organiek aangewezen?

ja

Nee


Pagina 11 van 31

Vraag

Omschrijving

Verplicht


Conclusie controle


2.1.1.6

Is de functie security officer / Beveiligingsbeheerder organiek aangewezen?

nee

Ja

Juist ingevuld Geen

2.1.2

FUNCTIESCHEIDING Het scheiden van functies en verantwoordelijkheden draagt bij aan het in stand houden van een integere en zorgvuldige inbedding. Functiescheiding maakt deel uit van de basisprincipes van de administratieve organisatie, nl. een opdrachtgever, de uitvoering en de controller die rapporteert aan de opdrachtgever.

2.1.2.1

Is er sprake van functiescheiding tussen ja degene die het beveiligingsbeleid opstelt (de opdrachtgever), degene die zijn aangewezen of verantwoordelijk zijn voor de realisatie van het beleid (de uitvoerder) en degene die de uitvoering controleert en daarover rapporteert aan de opdrachtgever (de controller)?

2.1.3

RISICOBEWUSTZIJN EN COMMUNICATIE

Nee

Draagvlak en begrip zijn essentiële onderdelen om medewerkers te motiveren en te stimuleren bepaalde procedures uit te voeren. Met het geven van informatie en uitleg ontstaat begrip en een beter draagvlak. 2.1.3.1

Worden de medewerkers die werken met of gebruik maken van de GBA geïnstrueerd over de mogelijke risico’s en (verplichtende) richtlijnen en procedures om schade en incidenten te voorkomen?

ja

Nee

2.1.3.1.1

Zo ja:de instructie vindt tenminste eenmaal per jaar plaats? Zo ja: moeten de genoemde medewerkers kennis nemen van voorschriften en procedures en deze kennisname bevestigen (paraferen)?

nee

Nee

nee

Nee

2.1.3.1.2

2.1.4

BEVEILIGINGSGEDRAG ALS ONDERDEEL VAN HET FUNCTIONEREN


Pagina 12 van 31

Vraag

Omschrijving

Verplicht


Conclusie controle


Draagvlak en risicobewustzijn is niet altijd voldoende. Soms moet een medewerker meer functioneel worden aangesproken bij niet gewenst gedrag. Het functioneringsgesprek is hiervoor de basis. Het niet zorgvuldig omgaan met beveiligingsvoorschriften is ongewenst gedrag. 2.1.4.1

Maakt de wijze waarop medewerkers zich nee houden aan de voorschriften inzake (informatie)beveiliging structureel deel uit van functioneringsgesprekken?

2.1.5

BEWERKER

Nee

De gemeente kan voor de GBA gebruik maken van een bewerker. Dit is een externe partij die namens de verantwoordelijke voor de GBA zorgt voor het bijhouden en/of verwerken van persoonsgegevens. 2.1.5.1

Maakt de gemeente gebruik van een bewerker ex. art. 53 Besluit GBA?

nee

Nee

2.1.5.1.1

zo ja:

ja

Nee

ja

Nee

Is de gemeente met deze bewerker een overeenkomst aangegaan waaruit blijkt dat deze bewerker zal voldoen aan de gestelde beveiligingseisen? 2.1.5.1.1.1

Zo ja: Toetst de gemeente zelf periodiek aan de hand van een checklist of de bewerker voldoet aan de beveiligingseisen in deze overeenkomst dan wel schakelt hiervoor een extern bureau in of de toetsing op de bewerker wordt uitgevoerd door een externe deskundige die door de bewerker is ingeschakeld en een afschrift van het rapport wordt gezonden aan de gemeente?

2.1.6

TERUGMELDING BIJ GEBLEKEN INCONSISTENTIE VAN GEGEVENS


Pagina 13 van 31

Vraag

Omschrijving

Verplicht


Conclusie controle


2.1.6.1

In de praktijk kan het voorkomen dat gegevens in de GBA niet overeenkomen met gegevens waarover bijv. een afnemer beschikt. In dat geval is er sprake van inconsistentie van gegevens. Op dat moment is het van belang te zorgen voor een proces dat deze gegevens worden onderzocht en met elkaar in overeenstemming worden gebracht. Beschikt de gemeente over een actuele nee Nee procedure voor het verwerken van terugmeldingen van binnen- en buitengemeentelijke afnemers? zo ja: zijn in de procedure de volgende onderwerpen geregeld?

2.1.6.1.1

De wijze waarop kan of moet worden gemeld.

nee

Nee

2.1.6.1.2

De verantwoordelijkheid voor het ontvangen en verwerken van terugmeldingen.

nee

Nee

2.1.6.1.3

De termijnen waarbinnen terugmeldingen moeten zijn verwerkt.

nee

Nee

2.1.6.1.4

De wijze waarop de melder wordt bericht hoe de terugmelding is verwerkt.

nee

Nee

2.1.6.1.5

De wijze waarop afnemers worden bericht nee over een verwerkte terugmelding.

Nee

2.1.6.1.6

De wijze waarop het proces van terugmelding wordt bewaakt.

Nee

2.1.7

INCIDENTMELDING

nee

Niet alleen inconsistentie van gegevens is een risico, er kunnen ook andere (bijna) incidenten voorvallen. Ongewenste toegang tot gegevens, technische problemen met de energievoorziening e.v.a. Het melden van dergelijke (bijna) incidenten kan leiden tot een proces van verbetering en leermomenten.

2.1.7.1

Beschikt de gemeente over een actuele procedure voor het verwerken van

nee

Ja


Juist ingevuld Hoewel het versienummer van de procedure overeenkomst met die van het basisdocument Informatiebeveiligingsplan GBA en waardedocumenten 2012,

Pagina 14 van 31

Vraag

Omschrijving

Verplicht


incidentmeldingen?

2.1.7.1.1


wijkt de datum af. Aangenomen wordt dat deze procedure onderdeel uitmaakt van het op 10 april 2012 formeel door het College als geheel vastgestelde document.

2

zo ja: In de procedure zijn de volgende onderwerpen zijn geregeld: De wijze waarop kan of moet worden gemeld.

Conclusie controle

nee

Ja

Juist ingevuld Geen

2.1.7.1.2

De verantwoordelijkheid voor het ontvangen en verwerken van incidentmeldingen.

nee

Ja

Juist ingevuld Geen

2.1.7.1.3

De termijnen waarbinnen incidentmeldingen moeten zijn verwerkt.

nee

Ja

Juist ingevuld De gemeente heeft bij deze vraag “nee” ingevuld terwijl in de procedure wel een termijn wordt genoemd. De termijn die in de procedure genoemd wordt is echter een richtlijn omdat in de procedure staat dat het onderzoek in principe binnen één maand na melding wordt afgerond. Dit biedt dus de ruimte om het onderzoek ook na één maand af te ronden. Zij hebben de vraag geïnterpreteerd als of er een harde termijn is vastgesteld waarbinnen de incidentmelding verwerkt moet zijn omdat in de vraagstelling het woord “moeten” voorkomt.

2.1.7.1.4

De wijze waarop de melder wordt bericht hoe de incidentmelding is verwerkt.

nee

Ja

Juist ingevuld Geen

2.1.7.1.5

Van de incidentmeldingen wordt een registratie bijgehouden of verslag gemaakt.

nee

Ja

Juist ingevuld Geen

2.1.8

GEGEVENSVERWERKING

2.1.8.1

2

De integriteit (juistheid, volledigheid, tijdigheid) van de gegevens in de GBA dient te worden gewaarborgd. Heeft het bestuur of management van de ja Nee gemeentelijke organisatie in één of meerdere actuele documenten instructies met betrekking tot waarborging van de integriteit (juistheid, volledigheid, tijdigheid) van de gegevens in de GBA

Indien bij de vragen 2.1.7.1.1 tot en met 2.1.7.1.5 het antwoord geen enkele keer “ja” is, dan is het antwoord bij vraag 2.1.7.1. “nee”.


Pagina 15 van 31

Vraag

Omschrijving

Verplicht


Conclusie controle


vastgesteld?

2.1.8.1.1

Zo ja, hebben de instructies in ieder geval ja betrekking op het invoeren van gegevens, het controleren van gegevens en het wijzigen van de ingevoerde gegevens?

Nee

2.1.8.1.2

ziet het management minimaal één keer per jaar toe op de naleving van de instructies?

ja

Nee

2.1.8.2

Worden minimaal één keer per jaar producties c.q. controle programma’s gedraaid voor het beheersen van de integriteit van de gegevens?

ja

Nee

2.1.8.2.1

Zo ja,

ja

Nee

wordt aan het management schriftelijk gerapporteerd over de resultaten van de producties c.q. controle programma’s?

2.2

Technische maatregelen

2.2.1

UITWIJK EN TEST Het treffen van maatregelen om de continuïteit te garanderen is verankerd in het Logisch Ontwerp. Een belangrijke maatregel is het kunnen terugvallen op een ‘reserve’ GBA informatiesysteem, ook wel uitwijk genaamd.

2.2.1.1

Heeft uw gemeente een actuele ja overeenkomst afgesloten met een externe partij voor het beschikbaar houden en op het moment dat het nodig is ter beschikking stellen van een uitwijkconfiguratie?

Nee

2.2.1.1.1

zo nee:

Nee

ja

Beschikt uw gemeente zelf over een


Pagina 16 van 31

Vraag

Omschrijving

Verplicht


nee

Nee

Conclusie controle


nevenlocatie waarin een uitwijkconfiguratie beschikbaar wordt gehouden en zo nodig op het moment dat het nodig is ter beschikking is? 2.2.1.1.1.1

zo ja: Bevindt de externe uitwijklocatie zich in een ander gebouw dan de reguliere GBA configuratie?

2.2.1.2

Beschikt uw gemeente beschikt over een intern uitwijkdraaiboek waarin alle taken, verantwoordelijkheden en acties zijn vastgelegd?

ja

Nee

2.2.1.2.1

Zo ja:

nee

Nee

is het draaiboek altijd beschikbaar, ook indien de reguliere locatie niet beschikbaar is? 2.2.1.3

Wordt de uitwijkconfiguratie tenminste 1 x per 12 maanden getest op actualiteit en juiste werking?

ja

Nee

2.2.1.3.1

Zo ja:

ja

Nee

is van deze test een verslag opgesteld? 2.2.2

FYSIEKE UITWIJK Als het gemeentehuis, als reguliere locatie, als gevolg van bijvoorbeeld brand overstroming gas- of chemicaliëngevaar, niet meer beschikbaar is voor de primaire dienstverlening, moet daarvoor ook fysiek worden uitgeweken. Kantoor en baliewerkplekken op een andere locatie zijn dan noodzakelijk.

2.2.2.1

Zijn er zodanige voorzieningen getroffen nee dat de meest noodzakelijke dienstverlening van de gemeente, inclusief het beheer en het gebruik van de GBA, op een andere locatie kan

Nee


Pagina 17 van 31

Vraag

Omschrijving

Verplicht


Conclusie controle


plaatsvinden indien de reguliere locatie als gevolg van een calamiteit niet kan worden gebruikt? 2.2.2.2

Beschikt de gemeente over een actueel draaiboek (noodplan) waarin alle taken, verantwoordelijkheden en acties zijn vastgelegd?

ja

Nee

2.2.2.2.1

zo ja:

nee

Nee

Is het draaiboek altijd beschikbaar, ook indien de reguliere locatie niet beschikbaar is? 2.2.3

BACK-UP VAN GEGEVENS Bij een back-up worden de gegevens in de GBA gekopieerd naar een medium dat fysiek is gescheiden van de GBA server. Het maken van back-up vindt plaats opdat GBA-gegevens kunnen worden gereconstrueerd.

2.2.3.1

Wordt voor het maken van een back-up gebruik gemaakt van tape, verwijderbare harde schijven of een ander geschikt back-up medium dan wel een directe verbinding met een externe locatie (mirror)?

nee

Nee

2.2.3.1.1

Zo ja:

ja

Nee

nee

Nee

Worden de gegevens van de GBA periodiek gekopieerd naar het back-up medium, tenminste na iedere werkdag, eenmaal per week of eenmaal per maand? 2.2.3.1.2

Zo ja: Vindt altijd controle plaats dat het kopieerproces correct is verlopen nadat de gegevens naar het back-up medium


Pagina 18 van 31

Vraag

Omschrijving

Verplicht


nee

Nee

ja

Nee

Conclusie controle


zijn gekopieerd? 2.2.3.1.3

Zo ja: Vindt altijd een handmatige of geautomatiseerde toets plaats of de gegevens zijn geverifieerd en kunnen worden terug gelezen nadat de gegevens naar het back-up medium zijn gekopieerd?

2.2.3.1.4

Zo ja: Vindt de opslag van back-up media op een externe locatie die zich in een andere ruimte bevindt dan de GBA server?

2.2.4

RECONSTRUCTIE EN HERSTEL Als het nodig is om een back-up terug te plaatsen, moeten mutaties die hebben plaatsgevonden na deze back-up opnieuw worden ingevoerd om de actuele en gewenste situatie in de GBA te herstellen.

2.2.4.1

Worden de bronnen die gebruikt zijn voor de mutaties of de schriftelijke mutatieverslagen, sinds de laatste backup zodanig bewaard dat aansluiting wordt gevonden met de datum en het tijdstip van de laatste back-up?

ja

Ja

2.2.4.2

Worden de overige mutaties bewaard in een bestand dat fysiek is gescheiden van de GBA server en dat kan worden gebruikt voor het opnieuw invoeren of inlezen van de mutaties zodat aansluiting wordt gevonden met de datum en het tijdstip van de back-up?

ja

Nee

2.2.4.3

Wordt de reconstructie en het herstellen van de GBA tenminste eenmaal per 12 maanden getest?

ja

Nee


Juist ingevuld Geen

Pagina 19 van 31

Vraag

Omschrijving

Verplicht


2.2.4.3.1

Zo ja:

nee

Nee

ja

Nee

Conclusie controle


Vindt deze reconstructietest gelijktijdig plaats met de uitwijktest? 2.2.4.3.2

Zo ja: Is er van de reconstructietest een verslag opgesteld?

2.2.5

2.2.5.1

2.2.5.2

RECHTMATIGE TOEGANG EN GEBRUIK GBA Toegang en gebruik van de GBA moet voorbehouden zijn aan uitsluitend rechtmatige gebruikers. Gebruikers zijn medewerkers belast met het aanbrengen van mutaties, het raadplegen van gegevens, het applicatiebeheer, het systeembeheer en/of de leverancier voor onderhoud. Wordt door uw gemeente uitsluitend aan ja Ja Juist ingevuld Geen individuele personen een eigen identificatie (gebruikersnaam en wachtwoord) verstrekt? Voldoet het wachtwoord en het gebruik daarvan voldoet aan alle volgende gegevens? • tenminste 6 posities om toegang te krijgen tot de GBA applicatie

ja

Nee

ja

Nee

•

de verplichting om het wachtwoord te wijzigen na maximaal 60 dagen

ja

Nee

•

het nieuwe wachtwoord ja verschilt op tenminste 4 posities met de voorgaande 3 wachtwoorden

Nee

•

na het ingeven van 3 foute wachtwoorden wordt een blokkering toegepast

Nee

ja


Pagina 20 van 31

Vraag

Omschrijving

Verplicht


ja

Nee

ja

Nee

Conclusie controle


waardoor de (onterechte) gebruiker niet meer zonder hulp van het applicatie- of systeembeheer zelfstandig kan inloggen •

2.2.5.2.1

het wachtwoord is door geen gebruiker op te vragen

Zo nee: Wordt in plaats van een wachtwoord een ander systeem van minimaal een gelijkwaardig beveiligingsniveau gebruikt, namelijk ……….……

2.2.5.3

Is de toegang tot GBA gegevens uitsluitend mogelijk na persoonlijke identificatie?

ja

Nee

2.2.5.4

Worden de verstrekte persoonlijke identificaties tot het GBA systeem periodiek gecontroleerd op geldigheid en actualiteit van de autorisaties?

ja

Nee

2.2.5.4.1

Zo ja:

ja

Nee

Is van deze activiteit is een controleverslag autorisaties opgesteld? 2.2.6

LOGGING VAN HET GEBRUIK VAN DE GBA Het kan nodig of wenselijk zijn om achteraf te kunnen vaststellen welke gebruiker (user) handelingen in het GBA systeem heeft uitgevoerd. Om die reden worden alle handelingen geregistreerd en opgeslagen in een bestand.

2.2.6.1

Wordt er een logfile vastgelegd waarin de activiteiten van elke gebruiker is gelogd?

nee

Nee

2.2.6.1.1

Zo ja:

nee

Nee


Pagina 21 van 31

Vraag

Omschrijving

Verplicht


nee

Nee

nee

Nee

Conclusie controle


Wordt deze logfile periodiek gecontroleerd op afwijkingen en mogelijk ongeoorloofd gebruik of toegangspogingen? 2.2.6.1.1.1

Zo ja: Is van deze laatste activiteit is een controleverslag logfile opgesteld?

2.2.6.1.2

Wordt de logfile voor reconstructiedoeleinden bewaard gedurende tenminste 24 maanden?

2.2.7

TOEGANG OP AFSTAND TOT DE GBA Externe partijen (bijvoorbeeld de leverancier van de GBA-software, bewerkers, toegang op afstand eigen medewerkers) kunnen door middel van remote control handelingen verrichten op het GBA-systeem.

2.2.7.1

Kunnen externe partijen door middel van remote control handelingen verrichten op het GBA-systeem?

nee

Nee

2.2.7.1.1

zo ja:

nee

Nee

nee

Nee

nee

Nee

Gebruikt de externe partij het GBA systeem uitsluitend op initiatief van de gemeente? 2.2.7.1.2

zo ja: Is de externe partij een gebruiker in het GBA en beschikt voor dat doel over een persoonlijke identificatie en de handelingen worden gelogd?

2.2.7.1.3

zo ja:


Pagina 22 van 31

Vraag

Omschrijving

Verplicht


nee

Nee

nee

Nee

nee

Nee

nee

Nee

Conclusie controle


Maakt de externe partij gebruik van de GBA via datacommunicatie faciliteiten (inbel- of terugbel-verbindingen)? 2.2.7.1.4

zo ja: Worden deze faciliteiten voor dat specifieke gebruik ingeschakeld en na het noodzakelijke gebruik weer direct uitgeschakeld?

2.2.7.1.5

zo ja: Worden de handelingen van de externe partij gedurende de ingelogde tijd continu beoordeeld?

2.2.7.1.5.1

zo nee: de handelingen van de externe partij worden na afloop zo uiterlijk de eerstvolgende werkdag gecontroleerd aan de hand van de logfile?

2.2.7.1.6

Wordt van de controle van de handelingen van de externe partij een verslag opgesteld?

3

Controle, advies en evaluatie

3.1

EVALUATIE VAN BEVEILIGINGSMAATREGELEN Het periodiek beoordelen van beveiligingsmaatregelen is belangrijk om te kunnen werken met actuele en goed werkende procedures en processen. Als er tekortkomingen zijn vastgesteld moeten deze worden gerepareerd. Niet alleen controle op de juiste werking van procedures en de wijze waarop deze door mensen wordt uitgevoerd is van belang. Ook het aanbieden van adviezen aan de opdrachtgever om geconstateerde tekortkomingen te verhelpen hoort daarbij.

3.1.1

Is er in de gemeente een security officer / beveiligingsbeheerder aangesteld belast

nee

Nee


Pagina 23 van 31

Vraag

Omschrijving

Verplicht


nee

Nee

nee

Nee

nee

Nee

nee

Nee

nee

Nee

Conclusie controle


met de evaluatie van (informatie)beveiligingsvoorschriften? 3.1.1.1

Zo ja: Is deze security officer / beveiligingsbeheerder op geen enkele wijze belast met de uitvoering van de beveiligingsprocessen die hij/zij controleert?

3.1.1.2

Zo ja: Evalueert de security officer / beveiligingsbeheerder in welke mate de door het bestuur of de leiding gedefinieerde en vereiste resultaten worden bereikt?

3.1.1.3

Zo ja: Stelt de security officer / beveiligingsbeheerder een managementrapportage op over de evaluatie?

3.1.1.4

Zo ja: Wordt de management-rapportage aangeboden aan het bestuur of de leiding van de organisatie zonder tussenkomst van en/of rectificatie door de uitvoerende lijnorganisatie?

3.1.1.5

Zo ja: Brengt de security officer / beveiligingsbeheerder tevens advies uit ten aanzien van gewenste organisatorische en/of technische verbeteringen aan het bestuur of leiding


Pagina 24 van 31

Vraag

Omschrijving

Verplicht


Conclusie controle


van de gemeentelijke organisatie? 3.2

HET BEVEILIGINGSDOCUMENTATIEDOSSIER Het door de gemeente aan te leggen beveiligingsdocumentatiedossier bevat tenminste de onderstaande documenten die aantonen dat aan de gestelde vragen is voldaan. Indien deze documenten deel uitmaken van een groter geheel, zoals een integraal (informatie-)beveiligingsplan, dan kan dit integrale plan in de plaats komen van de individuele documenten.

3.2.1

Is er een actueel beveiligingsdocumentatiedossier aangelegd dat betrekking heeft op de periode waarover de audit wordt gehouden?

ja

Nee

3.2.1.1

Zo ja:

nee

Nee

Worden de beveiligingsdocumentatiedossiers die betrekking hebben op voorgaande auditperioden tenminste 11 jaren bewaard ? 3.2.1.2

Bevat het beveiligingsdocumentatiedossier de beleidsnotities bedoeld bij de vragen 1.1.1 t/m 1.1.4?

ja

Nee

3.2.1.3

Bevat het beveiligingsja documentatiedossier het formatieplan waarin de taken, verantwoordelijkheden en bevoegdheden met betrekking tot de informatiebeveiliging zijn vastgelegd of de functie- en taakomschrijvingen waarin de taken, verantwoordelijkheden en bevoegdheden met betrekking tot de informatiebeveiliging zijn vastgelegd dan wel andere formele documenten (zie vragen 1.1.5, 1.1.7, 1.3.1.8, 2.1.1.1 t/m 2.1.1.6, 2.1.2.1 en 3.1.1)?

Nee

3.2.1.4

Bevat het beveiligingsja documentatiedossier de managementrapportage bedoeld bij vraag

Nee


Pagina 25 van 31

Vraag

Omschrijving

Verplicht


Conclusie controle


1.1.6? 3.2.1.5

Bevat het beveiligingsdocumentatiedossier de adviezen bedoeld bij vraag 1.1.8?

nee

Nee

3.2.1.6

Het beveiligingsdocumentatiedossier bevat de meest recente risicoanalyse (zie vraag 1.2.1)?

nee

Nee

3.2.1.7

Het beveiligingsdocumentatiedossier bevat het (informatie)beveiligingsplan bedoeld bij vraag 1.3.1?

ja

Nee

3.2.1.8

Het beveiligingsdocumentatiedossier bevat de voorschriften m.b.t. het instrueren van medewerkers i.h.k.v. risicobewustzijn en communicatie (zie vraag 2.1.3.1)?

ja

Nee

3.2.1.9

Het beveiligingsdocumentatiedossier bevat de documenten waaruit blijkt dat medewerkers kennis hebben genomen van de instructie (zie vraag 2.1.3.1.2)?

nee

Nee

3.2.1.10

Het beveiligingsdocumentatiedossier bevat de document(en) waaruit blijkt dat het onderwerp bedoeld in vraag 2.1.4.1 structureel deel uitmaken van functioneringsgesprekken?

nee

Nee

3.2.1.11

Het beveiligingsdocumentatiedossier bevat de overeenkomst met de bewerker bedoeld bij de vraag 2.1.5.1.1?

ja

Nee

3.2.1.12

Het beveiligingsdocumentatiedossier bevat de documenten waaruit blijkt dat de bewerker wordt getoetst aan het voldoen

ja

Nee


Pagina 26 van 31

Vraag

Omschrijving

Verplicht


Conclusie controle


aan de overeengekomen beveiligingseisen (zie vraag 2.1.5.1.1.1)? 3.2.1.13

Het beveiligingsdocumentatiedossier bevat de document(en) waaruit blijkt dat er een procedure is voor het verwerken van terugmeldingen (zie vraag 2.1.6.1)?

nee

Nee

3.2.1.14

Het beveiligingsdocumentatiedossier nee bevat de document(en) waaruit blijkt dat er een procedure is voor het verwerken van incidentenmeldingen (zie vraag 2.1.7.1)? Het beveiligingsdocumentatiedossier nee bevat de registratie of het verslag bedoeld bij vraag 2.1.7.1.5? Het beveiligingsdocumentatiedossier ja bevat de document(en) waaruit blijkt dat er instructies zijn m.b.t. waarborging van de integriteit (zie vraag 2.1.8.1)?

Nee

3.2.1.17

Het beveiligingsdocumentatiedossier bevat de document(en) waaruit blijkt dat er wordt toegezien op de naleving van de instructies als bedoeld in vraag 2.1.8.1.2?

nee

Nee

3.2.1.18

Het beveiligingsdocumentatiedossier bevat de document(en) waaruit blijkt dat wordt gerapporteerd over de resultaten van de producties c.q. controleprogramma’s (zie vraag 2.1.8.2.1)?

ja

Nee

3.2.1.19

Het beveiligingsdocumentatiedossier bevat de document(en) waaruit blijkt dat er een overeenkomst is afgesloten m.b.t. een uitwijkconfiguratie (zie vraag 2.2.1.1)?

ja

Nee

3.2.1.15

3.2.1.16

Nee

Nee


Pagina 27 van 31

Vraag

Omschrijving

Verplicht


3.2.1.20

Het beveiligingsdocumentatiedossier bevat het interne uitwijkdraaiboek als bedoeld bij vraag 2.2.1.2?

ja

Nee

3.2.1.21

Het beveiligingsdocumentatiedossier bevat het verslag van de laatste uitwijktest (zie vraag 2.2.1.3.1)?

ja

Nee

3.2.1.22

Het beveiligingsdocumentatiedossier bevat het noodplan als bedoeld bij vraag 2.2.2.2?

ja

Nee

3.2.1.23

Het beveiligingsdocumentatiedossier bevat het verslag van de laatste reconstructietest (zie vraag 2.2.4.3.2)?

ja

Nee

3.2.1.24

Het beveiligingsdocumentatiedossier bevat het controleverslag autorisaties (zie vraag 2.2.5.4.1)?

ja

Nee

3.2.1.25

Het beveiligingsdocumentatiedossier bevat controleverslag logfile (zie vraag 2.2.6.1.1)?

nee

Nee

3.2.1.26

Het beveiligingsdocumentatiedossier bevat controleverslag toegang op afstand (zie vraag 2.2.7.1.6)?

nee

Nee

3.2.1.27

Het beveiligingsdocumentatiedossier nee bevat managementrapportage bedoeld bij vraag 3.1.1.3?

Nee

3.2.1.28

Het beveiligingsdocumentatiedossier nee bevat adviezen bedoeld bij vraag 3.1.1.5?

Nee


Conclusie controle


Pagina 28 van 31

)* Conclusie: Aan de eisen is voldaan Er zijn onvolkomenheden geconstateerd. Deze leiden weliswaar niet tot een heraudit, maar verbeteringen zijn gewenst. Op dit onderdeel zijn onvolkomenheden geconstateerd die leiden tot een heraudit op dit onderdeel.


Pagina 29 van 31

2.4

Beveiligingsdocumentatiedossier De gemeente heeft ter ondersteuning van de beoordeling van het procesdeel van de GBA-audit een beveiligingsdocumentatiedossier overlegd. De volgende documenten zijn geraadpleegd ten behoeve van de controle: Documentomschrijving De beleidsnotitie(s) waaruit de eisen blijken op het gebied van beschikbaarheid, vertrouwelijkheid, integriteit en controleerbaarheid Het formatieplan waarin de beveiligingstaken zijn belegd of de relevante functiebeschrijvingen waarin deze taken zijn opgenomen De managementrapportage van de controller aan de opdrachtgever. Het (informatie)beveiligingsplan Het voorschrift of procedure waaruit blijkt hoe en wanneer medewerkers worden geïnstrueerd inzake beveiligingsonderwerpen Als dit van toepassing is, de overeenkomst met de bewerker van GBA gegevens Als dit van toepassing is, het rapport waaruit blijkt dat de bewerker voldoet aan de beveiligingseisen Het voorschrift of procedure dat zorgt voor de instructies aan gebruikers van de GBA gericht op het waarborgen van integriteit en kwaliteit Het voorschrift of procedure waaruit blijkt dat er wordt gerapporteerd over de periodieke kwaliteitscontroles met productie of controleprogramma’s Als dit van toepassing is, de overeenkomst met een uitwijkleverancier Het verslag van de laatste uitwijktest


Pagina 30 van 31

2.5

Geleidelijst afhandeling controleverslag

Versie Omschrijving activiteit

Door

0.1

Opstellen rapport van bevindingen over de uitkomsten van de procescontrole

De heer E.M. Kaouass

0.2

Verificatie van het rapport van bevindingen procesdeel en opstellen van het concept controle verslag

De heer C.J.M. de Grijs CISA

0.3

Goedkeuren wijzigingen in het geverifieerde concept controle verslag

De heer E.M. Kaouass

1.0

Redactie van het concept controleverslag en verzending aan gemeente en bespreker

De heer C.J.M. de Grijs CISA

Handtekening

Bespreken van het concept De heer J.L.F. van controleverslag met de gemeente Engelen Krimpen aan den IJssel en het maken van aanvullende afspraken

2.0

Redactie van het definitieve De heer C.J.M. de Grijs controleverslag en het verwerken van CISA de aanvullende afspraken met de gemeente Krimpen aan den IJssel


Pagina 31 van 31

Controleverslag procesdeel GBA-audit

Recommend Documents