I N F O R M A T I E B E V E I L I G I N G S P L A N 2 0 1 1 & R I S I C O A N A L Y S E ( D E F I N I T I E F )
Inhoudsopgave REVISIE HISTORIE ....................................................................................................................... 3 MANAGEMENTSAMENVATTING................................................................................................ 4 1 HET INFORMATIEBEVEILIGINGSPLAN 2011 ......................................................................... 5 2 RISICOANALYSE.................................................................................................................... 6 2.1 WERKWIJZE ...................................................................................................................................... 6 2.2 STRUCTUUR VAN D E R APPORTAGE ................................................................................................. 7
2.3 DREIGINGSANALYSE ......................................................................................................................... 7 2.4 BEVEILIGINGSBELEID (5) .................................................................................................................. 9 2.5 ORGANISATIE VAN INFORMATIEBEVEILIGING (6).......................................................................... 10 2.6 BEHEER VAN B EDRIJFSMIDDELEN (7) ............................................................................................ 12 2.7 BEVEILIGING VAN P ERSONEEL (8) .................................................................................................. 13
2.8 FYSIEKE B EVEILIGING E N B EVEILIGING VAN D E OMGEVING (9) .................................................... 14 2.9 BEHEER VAN C OMMUNICATIE-‐-‐ E N B EDIENINGSPROCESSEN (10) ................................................. 17 2.10 TOEGANGSBEVEILIGING (11) ....................................................................................................... 23 2.11 VERWERVING, ONTWIKKELING E N ONDERHOUD VAN INFORMATIESYSTEMEN (12) ................. 26 2.12 BEHEER VAN INFORMATIEBEVEILIGINGSINCIDENTEN (13) ......................................................... 28 2.13 BEDRIJFSCONTINUÏTEITSBEHEER (14).......................................................................................... 29 2.14 NALEVING (15) ............................................................................................................................. 30
3 MAATREGELEN .................................................................................................................. 33 BIJLAGE 1, B RONNEN............................................................................................................... 34
Revisie historie
ManagementsamenvaIng Sinds d e v orige v ersie v an d it informaWebeveiligingsplan is er o p h et gebied v an informaWebeveiliging b ehoorlijk w at v eranderd in d e gemeente . Waar in 2007 h et o nderwerp n og h oofdzakelijk b ij t eam I CT lag, is h et n u b reder in d e o rganisaWe b elegd. Daarnaast is er n u een informaWebeveiligings-‐-‐ b eleid d at d e ambiWe o p gebied v an informaWebeveiliging v oor d e gemeente v astlegt. O ok d e gemeentebrede en integrale aanpak v an h et o nderwerp, d at d aardoor n iet meer d oor een aantal afdelingen o naaankelijk w ordt ingevuld, is o nderdeel v an d eze v erandering. Het is n u Wjd d eze v ernieuwing d oor t e zeben, en een v olgende stap t e maken o p h et gebied v an informaWebeveiliging. Dit p lan is h et u itgangspunt v oor d ie v olgende stap. Een eenvoudige stap d ie er grotendeels u it b estaat o m d oor t e gaan o p d e h uidige w eg, en d e acWepunten u it d it p lan in gang t e zeben. Een t oelichWng h ierop. Die t oelichWng b egint met d e constatering u it d e r isicoanalyse d ie v oor d it informaWebeveiligingsplan is gemaakt, d at er in d e t ussenWjd w einig n ieuwe r isico’s zijn o ntstaan, en d at r isico’s d ie men n u ziet o ok al in d e r isicoanalyse en h et informaWebeveiligingsplan in 2007 zijn geadresseerd. Enkele v oorbeelden: •
De afdeling Publiek en S ociaal geeg aan d at men zich zorgen maakt o ver d e gevolgen v an een u itval v an I T apparatuur. M en is v an mening d at informaWesystemen t e v aak u itvallen en d at storingen n iet snel genoeg o pgelost w orden. Dit k an o ndervangen w orden d oor maatregel 5.10, een interne S LA w aarbij d e afspraken t ussen t eam I CT en d e o rganisaWe w orden v astgelegd en v ervolgens k unnen w orden gemeten. Door h et maken v an d e S LA o ntstaat afstemming t ussen v raag en aanbod in d e zin d at d e o rganisaWe d uidelijk maakt w at men v erwacht en t eam I CT v astlegt o p w elke d ienstverlening d e o rganisaWe k an r ekenen.
•
In een t ussenWjdse r isicoanalyse t .b.v. d e G BA audit in 2008 w ordt b rand in d e computerruimte als b elangrijk r isico genoemd. H et p unt is al b enoemd in h et informaWebeveiligingsplan in 2007 middels p unt 5.8. S indsdien is u itvoering v an d eze maatregel b lijven liggen.
•
In d iezelfde r isicoanalyse, en d oor iedereen d ie in d e gemeente b ij informaWebeveiliging betrokken is, w ordt b ewustwording en h ouding en gedrag gezien als p unt d at meer aandacht n odig h eeg. Juist o mdat d e factor mens v an grote invloed is o p d e b etrouwbaarheid v an d e informaWevoorziening. O ok d it p unt is r eeds in h et p lan u it 2007 o pgenomen en sindsdien n iet structureel o pgepakt.
Het d oel v an d e v oorbeelden h ierboven is n iet o m t e w ijzen o f b eschuldigen. H et laat zien d at geleidelijke u itvoering v an d e maatregelen u it d it p lan een eenvoudige manier
is o m d e b etrouwbaarheid v an d e informaWevoorziening v an d e gemeente t e v erhogen. Dit is v an groot b elang in een Wjd w aar d e d ienstverlening v an gemeenten in t oenemende mate aaankelijk is v an (geautomaWseerde) informaWesystemen. Deze t oename is al in h et p lan in 2007 genoemd en b estaat n og steeds. De d igitalisering v an d ienstverlening en d e samenwerking met k etenpartners b lijg in o ntwikkeling en zal d e aaankelijkheid n og v erder v ergroten. Als laatste moet n og gezegd w orden d at b ij h et u itvoeren v an d e r isico analyse geen o naanvaardbare risico’s aangetroffen zijn. O ver h et algemeen zijn d e n oodzakelijke maatregelen getroffen.
1 Het informaLebeveiligingsplan 2011 Dit d ocument is d e ediWe 2011 v an h et informaWebeveiligingsplan v an d e gemeente . H et p lan b evat n aast een b eschrijving v an d e h uidige status v an d e informaWebeveiliging een p lan v oor d e v erbetering d aarvan. Een r isicoanalyse inventariseert d aartoe d e h uidige situaWe en d e k nelpunten d aarin. Aan d e h and v an d e k nelpunten v an d e r isico analyse zijn een r eeks maatregelen geformuleerd. Deze w orden in d e p lanperiode p rojectmaWg u itgevoerd. H et p lan k an d aarom w orden o pgevat als een implementaWeplan v an n og t e t reffen maatregelen. Dit b eveiligingsplan is een integraal o nderdeel v an h et stelsel v an d ocumenten d at d e gemeente in h et k ader v an informaWebeveiliging h eeg o pgesteld. De b asis v an d at stelsel is h et ‘InformaWebeveiligingsbeleid 2010’. V oor meer achtergrond o ver informaWebeveiliging en d e inrichWng d aarvan in d e gemeente w ordt d aarom v erwezen n aar d at b eleid w aar o ok d e funcWe en b etekenis v an d it p lan n ader o mschreven staan. Het fi guur h iernaast, o vergenomen v anuit h et informaWe-‐-‐ beveiligingsbeleid, schets d e h iërarchie v an d ocumenten r ond informaWebeveiliging. Dit p lan is een n ieuwe v ersie v an h et p lan u it 2007. Enkele o nderdelen u it d ie v oorgaande v ersie o ntbreken in d eze ediWe o mdat ze inmiddels o nderdeel u itmaken v an d e gemeentebrede d ocumenten. H et gaat h ierbij met n ame o m d e p aragraaf o ver informaWebeveiligingsbeleid, d e b rede b eschrijving v an t aken, b evoegdheden en v erantwoordelijkheden. Deze o nderdelen staan immers in h et informaWebeveiligingsbeleid d at sindsdien gemaakt is. Daarnaast is d e gedetailleerde b eschrijving v an r eden en inhoud v an d e maatregelen u it d e v orige v ersie v an d e r isicoanalyse in d eze v ersie n iet h erhaald. De maatregelen zijn t e v inden in h et maatregelenoverzicht in d e b ijlage b ij d it p lan. Indien gewenst k an d e gedetailleerde b eschrijving InformaWebeveili g ingsbeleid
InformaWebeveili g ingsplan
en d e achtergrond v oor d e maatregelen in d e v orige v ersie v an h et informaWebeveiligingsplan w orden o pgezocht. Drie constateringen u it d e r isicoanalyse d ie
voorheen o nderdeel u itmaakte v an h et ‘Beveiligingsplan R eisdocumenten en R ijbewijzen’ Procedure:
xyzP rocedure:
xyz2
zijn meegenomen in d e n ieuwe gemeentebrede r isicoanalyse. H et zijn ‘ sogware storingen’, ‘ fysiek geweld’ en ‘ verbaal geweld’. Daarnaast zijn v oor d eze r isicoanalyse d e r esultaten v an d e separate r isicoanalyse d ie in 2008 t en behoeve v an d e G BA audit is gedaan b ekeken.
2 Risicoanalyse Dit hoofdstuk bevat het resultaat van de risico analyse op het gebied van informaWebeveiliging zoals die in januari 2011 in de gemeente is uitgevoerd. Op basis van deze risico analyse zijn nieuwe of aanvullende maatregelen gekozen voor het informaWebeveiligingsplan van de gemeente. Die maatregelen staan omwille van de overzichtelijkheid ook in dit hoofdstuk.
2.1 W erkwijze De basis van deze risicoanalyse bestaat, net zoals in de versie van 2007, uit een risico inventarisaWe op basis van de code voor informaWebeveiliging. Aanvullend op de risicoanalyse is voor dit informaWebeveiligingsplan ook een dreigingsanalyse uitgevoerd. Door bij de risicoanalyse de code voor informaWebeveiliging als uitgangspunt en leidraad te nemen is op eenvoudige wijze gegarandeerd dat het hele spectrum van informaWebeveiliging wordt gedekt. B ij de risico inventarisaWe is per doelstelling (paragraaf) en beheersmaatregel (sub-‐-‐ paragraaf) van de code voor informaWebeveiliging de situaWe bij de gemeente vastgelegd. Na de inventarisaWe is een maatregelenanalyse uitgevoerd. Daar waar de huidige situaWe afwijkt van hetgeen de code voor informaWebeveiliging suggereert, is gekeken of er, aanvullend op de maatregelen in de risicoanalyse uit 2007, nieuwe aanvullende maatregelen nodig zijn. Bovendien is voor dit informaWebeveiligingsplan ook een dreigingsanalyse uitgevoerd. De resultaten van die dreigingsanalyse zijn gebruikt als uitgangspunt bij het bepalen van de prioriteit van de maatregelen De risicoanalyse van dit plan is gebaseerd op de laatste versie van de code voor informaWebeveiliging, die uit 2007 ( ISO norm N EN-‐-‐ISO/IEC 27002:2007). B ij de risicoanalyse in 2007 is gebruik gemaakt van de toen gangbare versie uit 2000. De versies zijn inhoudelijk vrijwel idenWek. In de versie uit 2007 zijn enkele beheersmaatregelen in een andere hoofdstuk gezet, en zijn er enkele beheersmaatregelen bijgekomen. Dit is in de risicoanalyse verwerkt.
2.2 S tructuur v an d e rapportage Dit informaWebeveiligingsplan (en de risicoanalyse er in) bestaat uit een
aantal onderdelen. • De r esterende p aragrafen v an d it h oofdstuk b evaben d e r esultaten v an d e zojuist genoemde d rie analyses: •
De r esultaten v an d e d reigingsanalyse staan in §2.3
•
De r isicoanalyse, r isico inventarisaWe o p b asis v an d e d e code v oor informaWebeveiliging, staat in d e p aragrafen 2.4 t /m 2.15. Per h oofdstuk u it d e code v oor informaWebeveiliging is in d e b etreffende p aragraaf d e situaWe v astgelegd.
•
De r esultaten v an d e maatregelenanalyse zijn t elkens p er p aragraaf v an d e r isicoanalyse (§2.4 t /m 2.15) o pgenomen. Direct n a d e b eschrijving v an een h oofdstuk u it d e code w orden d e v oorgestelde n ieuwe o f aanvullende maatregelen o pgesomd. Dit v oorkomt geblader t ussen d e situaWebeschrijving en maatregelen. De v oorgestelde maatregelen zijn t elkens aan h et einde v an een p aragraaf in een t abel w eergegeven. Per maatregel is o ok aangegeven o f h et een o rganisatorische o f t echnische maatregel is, en w at d e p rioriteit v an d e maatregel is. De p rioriteit is mede b epaald o p b asis v an d e d reigingsanalyse. Een groter r isico v oor d e gemeente b etekent een grotere p rioriteit b ij h et u itvoeren v an d e maatregelen. B ij een d eel van d e maatregelen is een t oelichWng o pgenomen.
Het r esultaat v an d eze analyses, h et o verzicht v an acWviteiten en t e n emen maatregelen h eeg d e v orm v an een Excel spreadsheet en w ordt als apart b estand v erspreid. De t abel b evat zowel d e maatregelen v an d e v orige r isicoanalyse als v an d eze r isicoanalyse . V oor h et b epalen v an d e p rioriteiten en h et v aststellen v an d e v olgorde w aarin d e maatregelen w orden u itgevoerd is h et r esultaat v an d e d reigingsanalyse als u itgangspunt gebruikt.
2.3 D reigingsanalyse 2.3.1 Werkwijze dreigingsanalyse De d reigingsanalyse is u itgevoerd d oor v oor een aantal globale b edreigingen een inschaong t e maken v oor zowel d e w aarschijnlijkheid d at d e b edreiging manifest w ordt, als d e o mvang v an d e gevolgschade. De combinaWe v an b eide factoren b epaalt d e p rioriteit d ie aan h et t egengaan v an d e b edreiging w ordt gegeven. B ij h et p rioriteren v an d e maatregelen is d aarom h et r esultaat v an d e d reigingsanalyse als b asis genomen. Het b epalen v an d e categorie v oor w aarschijnlijkheid en effect v an elke b edreiging is u itgevoerd d oor d e informaWebeveiligingsbeheerder v an d e gemeente d ie d aarvoor met d iverse managers en afdelingshoofden h eeg gesproken.
2.3.2 Categorieën voor waarschijnlijkheid e n e ffect Voor w aarschijnlijkheid en effect is d e o nderstaande categorie-‐-‐indeling gebruikt:
Waarschijnlijkheid Effect 1, O nbeduidend 1, O nbeduidend • geen geregistreerde of a antoonbare incidenten; • geen recente incidenten. • geen m eetbaar e ffect;
• te verwaarlozen invloed op imago bij het publiek
2, Laag 2, G ering • zeer w einig geregistreerde incidenten; • wel vermoeden m aar geen a antoonbare incidenten • er z ijn a antoonbare kosten op lokaal niveau, niet op centraal niveau; • implicaWe voor imago bij het publiek op lokaal niveau.
3, G emiddeld 3, B eduidend • regelmaWg geregistreerde incidenten of e en zichtbare trend; • sterke a anwijzing uit m eerdere bronnen. • kan e en m erkbaar gevolg hebben op de bedrijfsvoering; • serieuze s chade a an het imago bij het publiek m et aanmerkelijke kosten voor herstel.
4, H oog 4, K ri9ek •
aantal incidenten w ijst op e en kriWeke s ituaWe of een campagne tegen de gemeente;
•
grote w aarschijnlijkheid van toekomsWge incidenten gebaseerd op geïdenWficeerde factoren.
• ernsWge ontwrichWng van de bedrijfsvoering; • bedrijfsvoering op lange termijn w ordt a angetast; • ernsWge a antasWng van het imago van de gemeente bij het publiek m et hoge kosten e n grote inspanning voor herstel
2.3.3 Bedreigingen e n waardering In d e v olgende t abel staan d e b edreigingen en d e v astgestelde w aarden v oor w aarschijnlijkheid en effect, en d e d aaruit v olgende r isico-‐-‐o mvang
Risico 1
Te laag b ewustzijn informaWebeveiliging
3
3
9
2
Capaciteitsprobleem p ersoneel
4
2
8
3
Computervirus
1
3
3
4
Stroomstoring / b likseminslag
2
3
6
5
Brand + k oeling computerruimte
3
4
12
6
Externe calamiteiten (vliegverkeer / chloortrein)
1
3
3
7
Capaciteitsprobleem spanningsvoorziening
2
2
4
8
Fraude intern
2
3
6
9
Fraude extern
2
3
6
10
Terreur
1
4
4
11
Wateroverlast
2
2
4
12
Extern p ersoneel
3
2
6
13
Afvoeren gegevensdragers
2
2
4
14
FuncWescheiding + w achtwoorddiscipline
4
3
12
15
Externe t oegang n etwerk / h ackers
1
3
3
2.4 B eveiligingsbeleid (5) Vanaf d eze p aragraaf zijn d e r esultaten v an d e r isicoinventarisaWe en maatregelenanalyse v astgelegd. I n d eze p aragraaf w orden d e d oelstellingen v an h et eerste h oofdstuk v an d e code v oor informaWebeveiliging met als o nderwerp b eveiligingsbeleid, b esproken.
2.4.1 InformaLebeveiligingsbeleid Beleidsdocument voor informa2ebeveiliging •
De gemeente b eschikt o ver een d oor h et college v astgesteld informaWebeveiligingsbeleid vastgelegd in h et d ocument ‘ InformaWebeveiligingsbeleid 2010’ [1]. H et d ocument b evat alle v oor de gemeente n oodzakelijke elementen d ie v anuit d e code v oor informaWebeveiliging en w et en r egelgeving aan zo’n b eleid gesteld w orden. H et gemeentebrede en integrale b eleid is v an t oepassing o p d e gehele o rganisaWe en n eemt d e n oodzaak w eg v oor apart b eleid v oor informaWebeveiliging p er afdeling.
Beoordeling en evalua2e •
In h et ‘ InformaWebeveiligingsbeleid 2010’ is een h oofdstuk gewijd aan d e o rganisaWe v an informaWebeveiliging. Daar is o ok b eschreven met w elke frequenWe en o nder w elke v oorwaarden h et b eleid w ordt b eoordeeld en gereviseerd.
Maatregelen Ref O / T Prio -‐-‐ O p h et gebied v an b eveiligingsbeleid zijn geen n ieuwe o f aanvullende maatregelen n odig. Toelich2ng: -‐-‐ -‐-‐ -‐-‐ Door h et o pstellen v an h et informaWebeveiligingsbeleid in 2010 zijn een groot d eel v an d e maatregelen u it h et p lan v an 2007, v an ‘ 1, B eveiligingsbeleid’ gerealiseerd.
2.5 OrganisaLe v an informaLebeveiliging (6) De gemeente h eeg d e o rganisaWe v an informaWebeveiliging b eschreven in h et informaWebeveiligingsbeleid 2010. De d aadwerkelijke invulling v an alle r ollen en b ijbehorende t aken, b evoegdheden en v erantwoordelijkheden is n og in u itvoering.
2.5.1 Interne organisaLe Betrokkenheid van de direc2e bij informa2ebeveiliging Coördina2e van
informa2ebeveiliging Toewijzing van verantwoordelijkheden voor informa2ebeveiliging •
Zijn b eschreven in h et informaWebeveiligingsbeleid.
•
Uitvoering d ient n og t er h and genomen t e w orden.
Goedkeuringsproces voor I T-‐-‐voorzieningen •
De coördinator v an h et t eam I CT is b udgethouder v oor d e I T v oorzieningen.
•
De h uidige w erkwijzen w aarborgen d at n ieuwe informaWesystemen (apparatuur en p rogrammatuur) o p een b eheerste w ijze en met t oestemming v an h et b etrokken management in gebruik w orden genomen. Er w ordt een v ast p roces gebruikt. Dit p roces is n iet formeel v astgelegd.
Geheimhoudingsovereenkomst •
De gemeente k ent geen geheimhoudingsverklaringen v oor medewerkers. S inds 2009 wordt w el d e eed o f geloge afgelegd.
Contact met overheidsinstan2es Contact met speciale belangengroepen •
Voor zover n oodzakelijk w orden d eze contacten o nderhouden d oor d e informaWebeveiligingsfuncWonaris en d e informaWebeveiligingsbeheerder. Deze v erantwoordelijkheid is in h et informaWebeveiligingsbeleid v astgelegd.
•
Op d it moment is h et aantal en d e o mvang v an incidenten geen aanleiding o m u itsluitend t .b.v. informaWebeveiliging structurele communicaWe in t e r ichten met instanWes v oor w etshandhaving, r egelgevende instanWes, leveranciers v an informaWediensten en t elecommunicaWe-‐-‐b edrijven, o m ervoor t e zorgen d at in geval v an een incident snel d e b enodigde acWe k an w orden o ndernomen en advies k an w orden ingewonnen. B ovendien o ntbreekt h iervoor, gezien d e o mvang v an d e o rganisaWe, d e menskracht.
OnaCankelijke beoordeling van informa2ebeveiliging •
Vanuit d e G BA-‐-‐audit w ordt d e informaWebeveiliging elke 3 j aar d oor een externe auditor b eoordeeld. Z ij h et met een b eperking t ot h et w erkgebied v an d e G BA. Echter, d oordat informaWebeveiliging n u integraal en gemeentebreed is ingericht w orden b ij d eze audit o ok d e d iverse gemeentebrede aspecten en d ocumenten zoals informaWebeveiligingsbeleid en informaWebeveiligingsplan in d e audit b etrokken.
• Bovendien is o m d it informaWebeveiligingsplan t e k unnen maken d e informaWebeveiliging v an d e gemeente d oor een o naaankelijke p arWj o nderzocht en b eoordeeld.
2.5.2 Externe parLjen Iden2fica2e van risico's die betrekking hebben op externe par2jen B eveiliging behandelen in de omgang met klanten Beveiliging behandelen in overeenkomsten met een derde par2j • Toegang d oor d erden t ot I CT v oorzieningen, b urgers, andere b ezoekers, leveranciers, etc. is met diverse maatregelen o mgeven. •
Aan d e getroffen maatregelen ligt geen t heoreWsche r isicoanalyse t en grondslag. De maatregelen k omen v oort u it ervaringen, en w orden in d e d agelijkse p rakWjk getoetst en w aarnodig aangepast (aangescherpt o f afgezwakt).
Beveiliging behandelen in overeenkomsten met een derde par2j • Er w ordt gebruik gemaakt v an d e standaard p aragrafen d ie leveranciers o ver b eveiliging in h un contracten h ebben o pgenomen. De salarisverwerking (P&O) en d e aanslagvervaardiging v oor b elasWngen zijn u itbestedingen w aarbij d e v erantwoordelijkheid v oor d e informaWeverwerking b ij een d erde ligt. I n b eide gevallen b etreg h et grote gespecialiseerde o rganisaWes d ie d eze d ienstverlening aanbieden, en is aannemelijk gemaakt d at in d e contracten goede w aarborgen v oor b eveiliging en p rivacy zijn o pgenomen. De contracten zijn in h et k ader v an d eze r isicoanalyse n iet inhoudelijk b eoordeeld.
Maatregelen Ref O / T Prio 2.7 B ewaak d e invoering v an d e o rganisaWe v an informaWebeveiliging zoals in h et b eleid b eschreven. 6.1.2 O H Het informaWebeveiligingsbeleid legt d e b asis v oor een goede informaWebeveiliging. De d aadwerkelijke gemeentebreder implementaWe v an informaWebeveiliging, zoals in d at b eleid b eschreven in h et h oofdstuk ‘ De o rganisaWe v an informaWebeveiliging’ is v an d oorslaggevend b elang v oor h et succes v an informaWebeveiliging. H et is d e eerste stap d ie er t oe leidt d at informaWebeveiliging een n ormaal k waliteitsaspect v an d e b edrijfsvoering v an d e gemeente w ordt.
2.6 B eheer v an b edrijfsmiddelen (7) Doel v an d it o nderdeel is h et b ereiken en h andhaven v an een adequate b escherming v an bedrijfsmiddelen, w aaronder d e informaWe, v an d e o rganisaWe. Bij afdelingen zoals Publiek en S ociaal, w aar p rivacy en v ertrouwelijkheid v an b elang zijn, zijn v anuit d e eigen afdeling d e n odige p rocedures en maatregelen ingericht. B ij t eam I CT w orden enkele b ackups, b ijvoorbeeld d ie met gegevens o ver b elasWngen en v an d e G BA, met grotere zorgvuldigheid d an d e o verige t apes b ehandeld. I n h et informaWebeveiligingsbeleid 2010 is h et classificaWesysteem v an d e gemeente b eschreven. De invulling v an h et b eleid d ient n og t er h and genomen t e w orden. Samenvabend. Daar w aar n oodzakelijk zijn r eeds d e j uiste maatregelen getroffen. H et b eleid, b eschreven in h et classificaWesysteem in h et informaWebeveiligingsbeleid moet n og u itgevoerd w orden. De standaard acWviteiten d ie h iervoor in d e code v oor informaWebeveiliging zijn o pgenomen (hieronder o pgesomd) w orden w aarnodig ingevuld. H et gaat o m: •
Verantwoordelijkheid v oor b edrijfsmiddelen
Inventarisa2e van bedrijfsmiddelen Eigendom van bedrijfsmiddelen Aanvaardbaar gebruik van bedrijfsmiddelen •
ClassificaWe v an informaWe
Richtlijnen voor classifica2e Labeling en verwerking van informa2e
Maatregelen Ref O / T Prio V oor h et b eheer v an b edrijfsmiddelen zijn geen n ieuwe o f aanvullende maatregelen n odig.
2.7 B eveiliging v an p ersoneel (8) Doel v an d it o nderdeel is b ewerkstelligen d at w erknemers, ingehuurd p ersoneel en externe gebruikers hun v erantwoordelijkheden b egrijpen, en geschikt zijn v oor d e r ollen w aaraan zij invulling geven.
2.7.1 Voorafgaand aan het dienstverband Rollen en verantwoordelijkheden •
In funcWeomschrijvingen zijn geen specifieke eisen o ver h et o mgaan met (vertrouwelijke) informaWe o pgenomen.
•
De v erantwoordelijkheden r ond informaWebeveiliging zijn specifiek b eschreven in h et I nformaWebeveiligingsbeleid en d aarnaast in d ocumenten zoals h et ‘ Beveiligingsplan R eisdocumenten en R ijbewijzen’.
Screening •
Van elke n ieuwe medewerker w ordt een V OG gevraagd. B enoeming is alWjd o nder v oorbehoud. (Bij t eam I CT is in h et v erleden een b enoeming n iet d efiniWef k unnen w orden o mdat een medewerker geen V OG k on o verleggen.).
Arbeidsvoorwaarden •
Alle v aste medewerkers v allen o nder d e ambtenarenwet. Daarnaast h anteert d e gemeente h et C AR-‐-‐UWO v an d e V NG. Z owel in d e ambtenarenwet als in h et C AR-‐-‐UWO zijn v erplichWngen o ver h et v ertrouwelijk o mgaan met gevoelige informaWe v astgelegd.
• Tijdelijke medewerkers, u itzendmedewerkers, gedetacheerden en consultants, v allen o nder eigen arbeidsregelingen
2.7.2 Tijdens het dienstverband Direc2everantwoordelijkheid •
De d irecWe is h oofdverantwoordelijke v oor informaWebeveiliging. Dit is zowel in w et en r egelgeving als in h et informaWebeveiligingsbeleid v an d e gemeente v astgelegd. I n d at b eleid w orden t evens d e v erantwoordelijkheden v oor alle medewerkers b eschreven.
Bewustzijn, opleiding en training ten aanzien van informa2ebeveiliging • Er zijn afspraken met p ersoneelszaken d at informaWebeveiliging t er sprake k omt b ij d e introducWe van n ieuwe medewerkers. H et is o nbekend o f d at o p d it moment n og gebeurt. •
De afdeling Publiek en S ociaal h eeg in h et ‘ Beveiligingsplan R eisdocumenten en R ijbewijzen’ v astgelegd d at elke n ieuwe medewerker o p d e h oogte w ordt gebracht v an d e b eveiligingsmaatregelen o p d e afdeling.
•
Specifieke t rainingen gericht o p informaWebeveiligingsbewustzijn o f j uist gedrag d at informaWebeveiliging b evordert w orden n iet gehouden.
•
Beveiliging en b eveiligingsbewustzijn zijn n iet o pgenomen als competenWes.
Disciplinaire maatregelen • Een (formeel) d isciplinair p roces v oor aaandeling v an inbreuk o p d e b eveiliging is v astgelegd in d e arbeidsvoorwaarden (CAR-‐-‐UWO) en ambtenarenwet. • Het is d aarnaast in n ader u itgewerkt en t oegelicht in h et ‘ Integriteitbeleid gemeente ’ en in h et ‘ Protocol Elektronische C ommunicaWe’.
2.7.3 Beëindiging of wijziging van dienstverband Beëindiging van verantwoordelijkheden • Voor zover b ekend w orden medewerkers d ie v ertrekken er n iet specifiek o p gewezen d at bepaalde v erantwoordelijkheden, zoals geheimhouding en v ertrouwelijkheid v an gegevens o ok n a het d ienstverband n og b lijven d oorlopen.
Retournering van bedrijfsmiddelen • Dit v ormt een o nderdeel v an d e v aste stappen d ie b ij h et einde v an een d ienstverband w orden gevolgd.
Blokkering van toegangsrechten •
De afdelingsmanager moet d it melden aan d e t eam I CT. I n d e p rakWjk w ordt h et n og w el eens v ergeten. V anwege d e o mvang v an d e o rganisaWe gaat d it meestal w el goed. O ok o mdat h et r elaWef w einig v oorkomt d at mensen d e o rganisaWe v erlaten. H et zicht o p Wjdelijke en ingehuurde medewerkers is minder d an d at o p v aste medewerkers.
Maatregelen Ref O / T Prio
Neem in d e p rocedure d ie gevolgd w ordt v oor v ertrekkende medewerkers o p d at aandacht b esteed w ordt aan h et feit d at b epaalde v erantwoordelijkheden d oorlopen n a afloop v an d e aanstelling o f h et (Wjdelijke) d ienstverband. 8.3.1 O L
2.8 Fysieke b eveiliging en b eveiliging v an d e o mgeving (9) Voorkomen v an o nbevoegde fysieke t oegang t ot, schade aan o f v erstoring v an h et t errein en d e informaWe v an d e o rganisaWe is h et d oel v an d it o nderdeel.
2.8.1 Beveiligde ruimten Fysieke beveiliging van de omgeving • Er is een p arkeergarage o nder h et gemeentehuis d ie in p rincipe v oor iedereen t oe-‐-‐ gankelijk is. •
De p arkeergarage is v oorzien v an b randmelders, h eeg geen camerabewaking, en geen automaWsche b randblusinstallaWe.
•
De d eur d ie v anuit d e p arkeerkelder t oegang t ot h et gemeentehuis v erleent, is b e-‐-‐ veiligd met een elektronsch slot en k aartlezer. Alleen met een t ag met d e j uiste au-‐-‐t orisaWe k an d e d eur w orden geopend.
Fysieke toegangsbeveiliging •
Het gemeentehuis is b eveiligd met een elektronisch t oegangssysteem.
• Medewerkers h ebben een t ag (pasje) v oor t oegang t ot h et gemeentehuis en een d eel v an d e werkvertrekken. •
Er zijn t wee zones. Een p ubliek t oegankelijke, en één met d e w erkvertrekken.
•
De Afdeling Publiek en S ociaal is aanvullend v oorzien v an een apart af t e sluiten d eur. De d eur is b uiten k antoorWjden en Wjdens d e lunch o f o p andere momenten d at er n iemand o p d e afdeling is, afgesloten. (zie v oor d etails h et B eveiligingsplan R eisdocumenten en R ijbewijzen)
•
Ook b ij t eam I CT is d e k amer gesloten b ij afwezigheid v an h et t eam.
•
Er is een r ecepWe aanwezig. B ezoekers moeten zich eerst melden b ij d e r ecepWe.
• Bezoekers moeten d oor een medewerker u it d e o penbare zone w orden o pgehaald, en d aar n a afloop v an h et b ezoek w eer w orden t eruggebracht. • Buiten d e o peningsuren v an h et gemeentehuis (8:30 – 17:00 en o p d onderdag t ot 19:00) zijn buitendeuren alleen t e o penen met een t ag. O m 23:00 schakelt h et alarm in.
Beveiliging van kantoren, ruimten en voorzieningen •
De afdeling Publiek en S ociaal h eeg een p ublieksbalie. V anuit een eerdere r isicoanalyse d oor d e afdeling is gebleken d at fysiek en v erbaal geweld t egen medewerkers v an d e gemeente als r isico w ordt gezien. H et aantal d aadwerkelijke incidenten v alt mee, maar medewerkers geven aan d at t raining en o pleiding o p d it gebied meer structureel aangepakt zou moeten w orden.
•
Er is een b liksemafleidingsinstallaWe o p h et gemeentehuis geïnstalleerd. G eleiders staan v rijwel r echt b oven d e computerruimte geïnstalleerd. H et is n iet b ekend o f d it een r isico v oor d e computerapparatuur o plevert. Er is h ierover geen afstemming geweest t ussen d e installateur v an d e b liksemafleider en t eam I CT.
• Door h et h ele gemeentehuis h een h angen b randmelders. Doormelding n aar alarmcentrale en brandweer is v oorzien. •
Op d e eerste v erdieping h angen in alle gangen en h allen en o p d e k amer v an t eam I CT b ewegingsmelders. O p d e b egane grond h angen ze in alle w erkvertrekken. B ij alarm w ordt d irect d oorgemeld n aar d e alarmcentrale, d ie o p h aar b eurt d e melding aan d e p oliWe d oorgeeg.
•
De aircondiWoning w aarvan in 2007 w erd geconstateerd d at d eze n iet geschikt w as v oor conWnue gebruik in een computerruimte (bedoeld v oor w inkels), is inmiddels v ervangen d oor een geschikt exemplaar.
• De computerruimte is een v oormalige k luis. De r uimte is r ondom v an b eton en w aterdicht. Er is één r aam, en één d eur. B eide zijn b randwerend. •
In d e computerruimte is een r ookmelder geïnstalleerd. Deze is aangesloten o p d e b randmeldinstallaWe v an h et gemeentehuis. M eldingen gaan n aar d e meldkamer v an h et b eveiligingsbedrijf.
• In d e computerruimte is in eigen b eheer een t emperatuursensor geïnstalleerd. De installaWe geeg een alarm v ia een S MS d oor aan d e systeembeheerders.
Werken in beveiligde ruimten • Het gemeentehuis k ent t wee r uimtes met aanvullende b eveiliging, d e afdeling Publiek en S ociaal, en d e w erkruimte v an t eam I CT.
• De computerruimte is alleen t oegankelijk v anuit h et w erkvertrek v an d e h et t eam I CT. De d eur v an d e computerruimte is standaard gesloten en v oorzien v an een mechanisch en elektronisch slot. De sleutels v an d e sloten w orden b eheerd d oor d e medewerkers v an h et t eam I CT • De computerruimte w ordt o ok gebruikt als k luis d oor t eam B eheer v an d e afdeling F inanciën, toegang v indt alleen p laats o nder b egeleiding v an een medewerker v an t eam I CT
Openbare toegang en gebieden voor laden en lossen •
N.v.t.
2.8.2 Beveiliging van apparatuur Plaatsing en bescherming van apparatuur •
Is n iet b eschreven. Door d e o mvang v an d e o rganisaWe is er alWjd een medewerker v an t eam I CT o p d e h oogte v an, en aanwezig b ij d e installaWe v an apparatuur in d e computerruimte. Er is een p arkeergarage o nder h et gemeentehuis d ie in p rincipe v oor iedereen t oegankelijk is.
Nutsvoorzieningen •
De computerapparatuur en n etwerkapparatuur is v oorzien v an U PS (Uninteruptable Power S upply, O nonderbreekbare S panningsvoorziening)
•
Voor een langdurige stroomstoring b eschikt h et gemeentehuis o ver een eigen N oodstroom-‐-‐ aggregaat (NSA). H et aggregaat w ordt o nderhouden en r egelmaWg getest. (Door o nderhoud gemeentelijke gebouwen, M . V eenstra)
• Mocht h et N SA n iet aanschakelen d an v erzorgen d e U PS’en een gecontroleerd afsluiten v an alle serverapparatuur.
Beveiliging van kabels •
Alle b ekabeling t ussen servers is intern in d e computerruimtes.
•
De b ekabeling t ussen w erkstaWons en d e computerruimte loopt d oor gesloten goten. De b ekabeling is n iet v oorzien v an aanvullende fysieke b eveiliging. Andere maatregelen zoals d e v ercijfering v an alle n etwerkverkeer n aar en v an d e C itrix w erkstaW-‐-‐o ns, maken h et r isico o p een inbreuk v an h et n etwerk v ia d e k abels gering.
•
Alle d ataverkeer t ussen server en C itrix w erkstaWons is v ercijferd.
• In d e d e p arkeerkelder lopen d e k abels v oor alle externe v erbinding d oor één o nbe-‐-‐ schermde kabelgoot.
Onderhoud van apparatuur •
Voor een d eel v an d e apparatuur in d e computerruimte zijn servicecontracten afgesloten met d e r especWevelijke leveranciers. Er is contractueel v astgelegd d at b innen 8 u ur w ordt gereageerd. O ver h et algemeen zijn geen gegarandeerde h erstelWjden v astgelegd.
•
Voor d e C itrix servers is geen o nderhoudscontract. Er is een r eservemachine o p locaWe beschikbaar.
Beveiliging van apparatuur buiten het terrein •
Op d it moment w ordt b uiten d e o rganisaWe w einig apparatuur gebruikt d ie gegevens v an d e o rganisaWe b evat. Er zijn enkele laptops in gebruik, v oornamelijk v oor p resentaWes. H et is o nbekend o f d eze laptops b edrijfsgegevens o f d ocumenten v an d e gemeente b evaben. De laptops k unnen n iet als een n ormaal w erkstaWon o p h et
n etwerk gebruikt w orden, d at k an alleen v ia d e afgeschermde C itrix o mgeving. Thuiswerk v indt p laats v ia t huis geplaatste C itrix w erkstaWons o ver een (beveiligde) V PN v erbinding o f v ia d e b eveiligde C itrix w eb interface. I n b eide gevallen w orden lokaal geen gegevens o pgeslagen. •
Er zijn enkele PDA’s en S mart Phones in gebruik. Agenda en contacten k unnen w orden gesynchroniseerd v ia een speciale b eveiligde t oegang in d e DMZ (een apart v an d e r est v an h et n etwerk geïsoleerd n etwerksegment).
Veilig verwijderen of hergebruiken van apparatuur Zie 2.9.7 B ehandeling van media, ‘Beheer van verwijderbare media’ Verwijdering van bedrijfseigendommen • Een b eleid o f p rotocol w aarin is aangegeven o nder w elke v oorwaarden apparatuur, sogware, informaWe, d ocumenten, etc. b uiten d e o rganisaWe mogen w orden meegenomen o ntbreekt.
Maatregelen Ref O / T Prio 5.14 Evalueer samen met d e medewerkers aan d e p ublieksbalie d e o pleidingen en t rainingen o p h et gebied v an o mgaan met fysiek en v erbaal geweld aan d ie b alie 9.1.4 O H
2.9 B eheer v an communicaLe-‐-‐ en b edieningsprocessen (10) Dit o nderdeel moet een correcte en v eilige b ediening v an I T-‐-‐v oorzieningen w aarborgen.
2.9.1 Bedieningsprocedures en verantwoordelijkheden Gedocumenteerde bedieningsprocedures •
Vanuit d e eisen v oor G BA zijn enkele w erkinstrucWes gemaakt.
•
Team I CT o nderhoudt d e o verige w erkinstrucWes.
Wijzigingsbeheer • Wijzigingen w orden gepland en u itgevoerd in o verleg met d e b etrokken applicaWebeheerder o f gebruikers. •
Wijzigingsbeheer is n iet als p roces ingericht.
•
Door d e o mvang v an d e I CT infrastructuur zijn d e gevolgen v an w ijzigingen meestal w el d oor t eam I CT t e b eoordelen.
• De o mvang v an d e o rganisaWe b rengt met zich mee d at v oor elke applicaWe b ekend is w ie d e gebruikers zijn. •
De t oenemende complexiteit v an d e I CT infrastructuur b etekent d at h et b eoordelen v an w ijzigingen steeds moeilijker w ordt. V oorbeelden zijn d e o nderlinge r elaWes t ussen applicaWes, maar o ok h et t oenemende aantal o rganisaWes b uiten d e gemeente zoals k etenpartners w aarmee moet w orden samengewerkt.
•
Patch management, h et installeren v an r eparaWesogware v oor (onder meer) k wetsbaarheden en v eiligheidsgaten, w ordt automaWsch gedaan met b ehulp v an een M icrosog WSUS server. Dit v oor een aantal PC w erkplekken met h et Windows O .S.
• Voor d e ‘ thin client’ w erkstaWons is gezien h et k leine r isico geen p atchmanagement n odig. •
Voor d e servers w orden p atches v an d e systeemsogware h andmaWg geïnstalleerd.
Func2escheiding • De o rganisaWe is n iet groot genoeg v oor funcWescheiding b ij h et b eheer v an I CT infrastructuur. • Om h et gebrek aan funcWescheiding t e compenseren k an logging en controle o p d e logs w orden toegepast. Dat is o p d it moment n iet ingericht.
Scheiding van voorzieningen voor ontwikkeling, testen en produc2e •
De gemeente o ntwikkelt geen eigen sogware. Althans n iet v oor d e p rimaire p rocessen. Ten b ehoeve v an enkele administraWes, zoals v erkeersbesluiten en maatregelen, b osbeheer en w egenbeheer zijn ‘ elektronische k aartenbakken’ met M S-‐-‐ Access gemaakt. Aanpassingen o p d eze applicaWes zijn zeldzaam en w orden in een separate o ntwikkelomgeving u itgevoerd.
2.9.2 Beheer van de dienstverlening door e en derde parLj Dienstverlening •
De salarisverwerking (P&O) en d e aanslagvervaardiging v oor b elasWngen zijn u itbestedingen w aarbij d e v erantwoordelijkheid v oor d e informaWeverwerking b ij een d erde ligt. I n b eide gevallen b etreg h et grote gespecialiseerde o rganisaWes d ie d eze d ienstverlening aanbieden, en is aannemelijk gemaakt d at in d e contracten goede w aarborgen v oor b eveiliging en p rivacy zijn o pgenomen. De contracten zijn in h et k ader v an d it informaWebeveiligingsplan n iet b ekeken.
Controle en beoordeling van dienstverlening door een derde par2j •
Een structurele o f p eriodieke r apportage h iervan v ind n iet p laats.
Beheer van wijzigingen in dienstverlening door een derde par2j •
Doordat h et p roces w ijzigingsbeheer n iet is ingevuld v ind d it n iet p laats.
2.9.3 Systeemplanning en -‐-‐acceptaLe Capaciteitsplanning • Twee maal p er j aar w ordt d oor één v an d e medewerkers v an t eam I CT een analyse v an d e capaciteit v an d e I CT infrastructuur gedaan. H ierbij w ordt geen v aste p rocedure o f p roces gevolgd.
Accepta2e van systemen •
Grote u pdates v an sogware w orden d oor d e applicaWebeheerder v an d e sogware getest. Daarvoor w ordt eerst v oorafgaand aan d e t est een t estomgeving met d e n ieuwe sogware ingericht.
•
Na akkoord d oor d e applicaWebeheerder w ordt d e sogware b uiten k antoorWjden geïnstalleerd. V oorafgaand aan d e installaWe w ordt een b ackup gemaakt zodat d e o orspronkelijke situaWe alWjd t e h erstellen is.
• Omdat o p h et t estsysteem n iet alle v oorzieningen zoals externe v erbindingen aanwezig zijn is, is een v olledige t est n iet alWjd mogelijk. • Kleine u pdates v an gebruikte sogware w orden zonder gebruikerstest geïnstalleerd. O ok w eer o p een w ijze w aarbij h erstel v an d e o orspronkelijke situaWe mogelijk is.
2.9.4 Bescherming tegen virussen e n ‘mobile code’
Maatregelen tegen virussen Maatregelen tegen ‘mobile code’ • Op elke w erkplek is d e t oegang n aar d e b uitenwereld (CD, DVD, U SB p oorten) standaard afgesloten. Alleen indien funcWoneel n oodzakelijk zijn d eze middelen t oegankelijk. •
Elke server en elke w erkplek (werkstaWon) met een k oppeling n aar d e b uitenwereld, v ia n etwerk, C D e.d. w ordt v oorzien v an h et AnW V irus p akket S ophos.
•
Overige w erkstaWons en servers zijn n iet v an anW v irus sogware v oorzien.
2.9.5 Back-‐-‐up Reservekopieën maken (back-‐-‐ups) • Op elke w erkplek is d e t oegang n aar d e b uitenwereld (CD, DVD, U SB p oorten) standaard afgesloten. Alleen indien funcWoneel n oodzakelijk zijn d eze middelen t oegankelijk. •
Elke server en elke w erkplek (werkstaWon) met een k oppeling n aar d e b uitenwereld, v ia n etwerk, C D e.d. w ordt v oorzien v an h et AnW V irus p akket S ophos.
•
Overige w erkstaWons en servers zijn n iet v an anW v irus sogware v oorzien.
2.9.6 Beheer van netwerkbeveiliging Maatregelen voor netwerken Beveiliging van netwerkdiensten •
Het b eheer v an h et n etwerk w ordt gedaan d oor t eam I CT.
•
Taken en v erantwoordelijkheden o p d it gebied zijn n iet expliciet v astgelegd. Team I CT b eheert h et n etwerk o p b asis v an eigen inzicht o ver d e eisen en w ensen v an d e o rganisaWe en d e w ebelijke v erplichWngen.
•
Afspraken met d e o rganisaWe o ver d e service eisen w aaraan h et n etwerk b ijvoorbeeld o p h et gebied v an b eschikbaarheid en v ertrouwelijkheid moet v oldoen zijn o nder meer v astgelegd in o pgeleverde k engetallen en een n oWWe aan d e d irecWe o ver h et b eheer v an d e I CT v oorzieningen. O ok h et informaWebeveiligingsbeleid legt eisen v oor b eschikbaarheid, integriteit en v ertrouwelijkheid v ast.
•
Eén d ocument met d aarin alle afspraken o ver b etrouwbaarheid v an d e I CT-‐-‐ infrastructuur t ussen t eam-‐-‐ICT en d e o rganisaWe, een S LA (Service Level Agreement) o f d e N ederlandse v ariant DNO (Dienst N iveau O ver-‐-‐eenkomst) is n iet o pgesteld.
• Het n etwerk b evat ingebouwde r edundanWe d oordat k erncomponenten d ubbel u itgevoerd zijn. • Er zijn d iverse maatregelen genomen o m h et n etwerk af t e schermen v oor o nrechtmaWg gebruik en t oegang v an b uitenaf. De b elangrijkste h iervan is d e C isco F irewall. • Pogingen o m o ngeautoriseerd t oegang t e v erkrijgen t ot h et n etwerk en n etwerkbeheerfuncWes worden geregistreerd. Deze r egistraWe w ordt echter n iet geanalyseerd. • Op elke w erkplek is d e t oegang n aar d e b uitenwereld (CD, DVD, U SB p oorten) standaard afgesloten. Alleen indien funcWoneel n oodzakelijk zijn d eze middelen t oegankelijk.
2.9.7 Behandeling van m edia
Beheer van verwijderbare media •
Een b eleid o f r egeling w aarin h et b eheer v an computermedia d ie d e o rganisaWe v erlaten en d e gegevens d ie d aar o p staan, o ntbreekt. Team I CT p ast v oor media o nder h aar b eheer eigen r egels t oe.
• Ook v oor informaWe o p p apier o ntbreekt een o rganisaWebreed b eleid. Per afdeling w ordt n aar eigen inzicht gehandeld. V olgens één v an d e geïnterviewden b elanden p rivacygevoelige b rieven regelmaWg in d e p rullenbak. Alle p apier d at in speciaal d aarvoor b estemde p apierbakken zit w ordt gecontroleerd afgevoerd.
Verwijdering van media • Team I CT laat t apes en h arde schijven d oor een gespecialiseerd b edrijf v ernieWgen. C D’s en DVD’s worden v ersnipperd. • Harde schijven d ie stuk gaan w orden v aak d oor d e leverancier v ervangen. De o orspronkelijke media gaan t erug n aar d e leverancier. • Voor zover b ekend zijn er geen aanvullende afspraken met d e leverancier v an d e k opieermachines over d e gegevens o p d e schijven v an d ie machines. (Veel moderne ‘ MulW F uncWonals’ b evaben een schijf w aarop af t e d rukken informaWe Wjdelijk w ordt b ewaard en lang n a h et afdrukken / k opiëren n og leesbaar b lijg.) •
Paspoorten en r ijbewijzen w orden d oor d e afdeling Publiek en S ociaal zelf v ernieWgd.
•
Papierafval d at in d e p apierbak gaat, w ordt centraal verzameld en d oor een gespecialiseerd en gecerWficeerd b edrijf v ernieWgd. Daarom zijn alle d ecentrale eigen p apierversnipperaars in d e afgelopen Wjd w eggehaald.
•
Beleid en eisen r ond d e afvoer v an media zijn n iet v astgelegd.
Procedures voor de behandeling van informa2e • Vanuit d e n ormale b edrijfsvoering v an d e gemeente zijn d iverse maatregelen genomen o m bedrijfseigen gegevens j uist t e b ehandelen.
Beveiliging van systeemdocumenta2e •
Alle p apieren systeemdocumentaWe staat in k asten o p d e k amer v an t eam I CT.
• Elektronische systeemdocumentaWe staat o p een p lek o p h et n etwerk d ie u itsluitend v oor leden van t eam I CT t oegankelijk is • SysteemdocumentaWe v an sogware d ie o nder v erantwoordelijkheid v an een applicaWebeheerder valt w ordt d oor d ie applicaWebeheerder b eheerd. •
Elektronische systeemdocumentaWe v an t oepassingssogware o nder b eheer v an een applicaWebeheerder staat o p een p lek o p h et n etwerk d ie u itsluitend v oor d ie applicaWebeheerder en leden v an t eam I CT t oegankelijk is.
2.9.8 Uitwisseling van informaLe Beleid en procedures voor informa2e-‐-‐uitwisseling • Dit o nderdeel v an d e code gaat o ver h et u itwisselen v an gegevens en p rogrammatuur o p verwisselbare media d ie v ervolgens o p enigerlei w ijze v erstuurd w orden. •
Verstrekking v an G BA gegevens v ia alternaWeve media w orden, conform d e v oorschrigen in d e WGBA, aangetekend v erzonden aan d e afnemers. Een
b egeleidingsbrief is o nderdeel v an elke v erzending. •
Vanuit d e w et WOZ (Waardering O nroerende Z aken) v ind gegevensuitwisseling p laats met TaxaWebureaus, w aterschappen, d e B elasWngdienst en h et C BS. H et b etreg w ebelijk gereguleerde u itwisselingen o p b asis v an een S tandaard U itwisselings F ormaat
Uitwisselingsovereenkomsten •
Voor d e meeste o rganisaWes w aarmee (elektronische) gegevens w orden u itgewisseld zijn d e v oorwaarden d aarvan w ebelijk b epaald, d an w el d oor d e andere o rganisaWe o pgelegd. H et b etreg h ier n amelijk v eelal andere o verheden zoals U WV, B elasWngdienst, R DW etc.
• Een o verzicht v an alle instanWes w aarmee contractueel is v astgelegd gegevens u it t e w isselen o f waarmee d e gemeente o p b asis v an w et-‐-‐ en r egelgeving gegevens u it moet w isselen o ntbreekt.
Fysieke media die worden getransporteerd •
Media met b ackups w orden u itsluitend d oor medewerkers v an t eam I CT v ervoerd.
• Aanvullende maatregelen zoals v ercijferen v an d e d ata o f v ervoeren in b eveiligde containers zijn niet getroffen.
Elektronisch berichtenuitwisseling • Er zijn geen aanvullende t echnische maatregelen getroffen o m d e authenWciteit en integriteit v an berichten v ast t e stellen. • In h et ‘ Protocol Elektronische C ommunicaWe’, zijn r egels v astgelegd o ver h oe men zich d ient t e uiten en gedragen b ij h et v ersturen en b eantwoorden v an e-‐-‐mail. • In d e r egeling w ordt o ok ingegaan o p d e r isico’s v an e-‐-‐mail (inzage d oor o nbekenden). •
Het b eleid b evat geen r egels o ver d e soort gegevens d ie v ia e-‐-‐mail v erstuurd mogen w orden en w elke aanvullende t echnische maatregelen b ij v ersturen v an v ertrouwelijke gegevens moeten w orden genomen. B ijvoorbeeld v oor h et v ia e-‐-‐ mail v ersturen v an een G BA selecWe.
•
Team I CT h eeg enkele t echnische maatregelen getroffen r ond e-‐-‐mail. Z o is een conten{ilter geïnstalleerd d at inkomende en u itgaande e-‐-‐mail o p b epaalde t ermen fi ltert. Daarnaast zijn b eperkingen ingesteld o p o mvang en t ype v an d e b ijlagen.
• Vercijferde b ijlagen zijn n iet t oegestaan en w orden d oor h et e-‐-‐mail fi lter t egengehouden. •
Niet alle e-‐-‐mail w ordt systemaWsch en automaWsch gearchiveerd. Externe inkomende en u itgaande e-‐-‐mail w ordt automaWsch een h alf j aar b ewaard. I nterne e-‐-‐mail w ordt n iet gearchiveerd. Daarnaast is archivering v an e-‐-‐mail p rocedureel geregeld v ia h et ‘ ‘Protocol Elektronische C ommunicaWe’, en d e d aarin genoemde ‘ instrucWe E-‐-‐mail en archivering’.
Systemen voor bedrijfsinforma2e •
Het b eleid en d e p rocedures o m informaWe t e b eschermen d ie een r ol speelt b ij d e o nderlinge k oppeling v an systemen v oor b edrijfsinformaWe d ie d eze b eheersmaatregel v oorschrijg, is n iet als d usdanig b eschreven. I n d e p rakWjk w orden d e r isico’s d ie b ij d eze u itwisseling spelen w el alWjd o nderzocht, en w orden w aarnodig p rocedures en maatregelen ingevoerd.
2.9.9 Diensten voor e -‐-‐commerce
Onlinetransac2es •
Elektronische v ormen v an gemeentelijke d ienstverlening zijn o ndertussen een v anzelfsprekend o nderdeel v an d ie d ienstverlening. De gebruikte systemen w orden v eelal afgenomen v an leveranciers d ie o ok b eveiliging v oor h un r ekening n emen.
•
Specifieke aanvullende maatregelen b innen d e gemeente zijn v astgelegd in d e projectdocumentaWe v an d e b etreffende p rojecten.
Openbaar beschikbare informa2e •
Beveiliging v an d e w ebsite is in h anden v an d e h osWng p rovider v an d e w ebsite.
• Het b eheer v an d e inhoud v an d e gemeentelijke w ebsite ligt b ij d e afdeling communicaWe. •
De sterke groei v an d igitale d ienstverlening b ij gemeenten leidt t ot een sterke groei v an p ubliek t oegankelijke systemen. Een j uiste b eveiliging v an d e b edrijfsgegevens v an d e gemeente b egint met een b eleid h ierover. Z o’n b eleid, d at d omeinen o nderscheidt, v oorwaarden v oor o nderlinge informaWe-‐-‐u itwisseling v astlegt en d e b eveiliging n ormeert, is er n u n iet.
•
Het ‘ Protocol Elektronische C ommunicaWe’ legt v ast h oe o m t e gaan met informaWeuitwisseling v ia communicaWekanalen als t elefoon, fax, e-‐-‐mail, internet en sociale media. B ovendien is d e v erantwoordelijkheden v oor medewerkers o p d it gebied v astgelegd in w et en r egelgeving zoals ambtenarenwet, WPB en WGBA.
2.9.10 Controle Aanmaken audit-‐-‐logbestanden • Het systemaWsch maken v an logbestanden met h et d oel o nbevoegde h andelingen t e signaleren o f achteraf aan t e k unnen t onen, gebeurt v oor enkele applicaWes zoals o nder meer d e G BA applicaWe. •
Op d e meeste systemen (o.a. h et w indows d omein) w orden logs b ijgehouden v an alle aanmeldingen en aanmeldpogingen. Er is geen standaard v astgesteld w aarin is v astgelegd w elke gegevens w orden gelogd en w elke b ewaartermijn w ordt gebruikt .
Controle van systeemgebruik •
Systeemlogs w orden n iet systemaWsch b ekeken o f (automaWsch) geanalyseerd.
•
Er w ordt n iet gecontroleerd o f d e I T systemen j uist en v eilig w orden gebruikt
•
In h et k ader v an w etgeving w orden o p d e afdeling Publiek en S ociaal v anuit G BA en d e Paspoortwet controles u itgevoerd o p d e eigen p rocessen.
Bescherming van informa2e in logbestanden • De logbestanden d ie w orden b ijgehouden zijn n iet b eschermd d oor o ngeautoriseerde w ijzigingen.
Logbestanden van administrators en operators • De h andelingen v an systeembeheerders w orden automaWsch gelogd. Daarnaast h ouden d e systeembeheerders zelf b ij w elke w erkzaamheden w aarom v erricht zijn.
Registra2e van storingen •
Indien systemen d it o ndersteunen w orden storingen in logbestanden v astgelegd.
Synchronisa2e van systeemklokken •
SynchronisaWe v an systeemklokken is v an b elang v oor h et analyseren v an
logboeken o ver meerdere servers en (sogware)systemen. De systeemklokken w orden v oor zover mogelijk gesynchroniseerd met een interne en externe N TP-‐-‐server.
Maatregelen Ref O / T Prio -‐-‐ V oor b eheer v an communicaWe-‐-‐ en b edieningsprocessen zijn geen nieuwe o f aanvullende maatregelen n odig. -‐-‐ -‐-‐ -‐-‐
2.10 Toegangsbeveiliging (11) Beheersen v an d e t oegang t ot informaWe o p grond v an b edrijfsbehoegen en b eveiligingseisen is h et doel v an d it o nderdeel.
2.10.1 Bedrijfseisen ten aanzien van toegangsbeheersing Bedrijfseisen ten aanzien van toegangsbeheersing • De eisen v oor t oegangsbeheersing zijn v oor een gemeente v oornamelijk v astgelegd in w et en regelgeving. • Daarnaast h eeg d e gemeente in h et informaWebeveiligingsbeleid b eschreven h oe h iermee o m t e gaan.
Toegangsbeleid • Een eigen b eleid v oor b eveiliging v an t oegang t ot d e geautomaWseerde systemen is n iet vastgelegd. Team I CT gebruikt eigen standaards. • Voor h et t oegangsbeleid geld in h et algemeen d at medewerkers t oegang k rijgen t ot een applicaWe of d elen d aarvan indien d at v oor d e u itoefening v an h un funcWe n oodzakelijk is. •
Er is geen specifiek b eleid v oor h et t huis en o p andere locaWes b uiten h et gemeentehuis o mgaan met stukken, anders d an v astgelegd in h et integriteitsbeleid v an d e gemeente en h et ‘ Protocol Elektronische C ommunicaWe’.
•
Het archief h eeg b eleid (regels) o pgesteld o ver h oe o m t e gaan met o pgevraagde d ossiers. Door d e afdelingen w orden d eze r egels o ver h et algemeen n iet strikt n ageleefd. S tukken, w aaronder o ok k abinetsdossiers, b lijven v aak langer in h anden v an d e afdeling d an h et archief w il.
2.10.2 Beheer van toegangsrechten van gebruikers Registra2e van gebruikers •
RegistraWe v an gebruikers is een gedeelde b evoegdheid v an t eam I CT en applicaWebeheerders. De v erantwoordelijkheid r ust b ij d e applicaWebeheerders. Team I CT b eheert d e accounts v an d e KA o mgeving. ApplicaWebeheerders b eheren d e gebruikers v an d e eigen applicaWes
•
Eén centrale administraWe o ver alle administraWes o ntbreekt.
• Een autorisaWematrix w aarin p er funcWe o f r ol d e autorisaWes p er I CT systeem zijn u itgezet is v oor zover b ekend n iet aanwezig.
Beheer van speciale bevoegdheden
•
Voor b eheeraccounts w orden d oor d e systeembeheerders groepaccounts gebruikt.
•
In applicaWes w aar systeembeheerders b eheerwerkzaamheden u it moeten v oeren w ordt w el gebruik gemaakt v an p ersoonlijke accounts. Aaankelijk v an d e applicaWe zijn d at speciale b eheeraccounts, o f n ormale gebruikersaccounts. I n geen enkele applicaWe h ebben systeembeheerders d ezelfde r echten als gebruikers.
Beheer van gebruikerswachtwoorden • Gedragsregels v oor h et o mgaan met w achtwoorden zijn n iet expliciet v astgelegd, maar w orden wel ad h oc mondeling met medewerkers gecommuniceerd. •
Vanuit d e o rganisaWe w ordt geconstateerd d at er steeds meer v erschillende w achtwoorden moeten w orden o nthouden, en d at h et d aardoor lasWger w ordt o m zorgvuldig met alle w achtwoorden o m t e b lijven gaan.
Beoordeling van toegangsrechten van gebruikers •
De t oegangsrechten w orden n iet p eriodiek gecontroleerd. I n h et v erleden is in d e M anagement Leber h et advies gegeven o m p eriodiek v ast t e stellen d at d e b evoegdheden in h et geautomaWseerde systeem o vereenkomen met d e funcWes v an d e v erschillende funcWonarissen.
2.10.3 V erantwoordelijkheden van gebruikers Registra2e van gebruikers •
RegistraWe v an gebruikers is een gedeelde b evoegdheid v an t eam I CT en applicaWebeheerders. De v erantwoordelijkheid r ust b ij d e applicaWebeheerders. Team I CT b eheert d e accounts v an d e KA o mgeving. ApplicaWebeheerders b eheren d e gebruikers v an d e eigen applicaWes
•
Eén centrale administraWe o ver alle administraWes o ntbreekt.
Gebruik van wachtwoorden •
Voor d e w achtwoorden d ie t oegang geven t ot d e d esktop zijn d e eisen: • Minimaal 6 t ekens; • Mag n iet t e v eel o p d e v orige lijken; • Moet o m d e 60 d agen w ijzigen; • Kan n iet b innen een d ag w eer t erug w orden gewijzigd; • Voor ‘ zware’ applicaWes mag h et w achtwoord n iet lijken o p d e v orige 5 w acht-‐-‐ woorden.
•
Voor centrale infrastructuur zoals servers gelden d ezelfde eisen.
Onbeheerde gebruikersapparatuur •
Bij alle w erkstaWons w ordt n a 10 minuten d e screensaver ingeschakeld.
•
Gebruikers moeten d an h un w achtwoord o pgeven o m w eer t e k unnen w erken.
‘Clear desk’-‐-‐ en ‘clear screen’-‐-‐beleid • Elk afdelingshoofd ziet h ier v oor d e eigen afdeling o p t oe. Er is geen algemene o rganisaWebrede clear d esk p olicy. • Na 10 minuten schakelt d e automaWsche schermbeveiliging in. Deze moet met h et w achtwoord worden o ntgrendeld. •
Het is n iet mogelijk d ocumenten o p d e d esktop t e zeben
2.10.4 Toegangsbeheersing voor netwerken Beleid ten aanzien van het gebruik van netwerkdiensten
• Beleid o f een p rocedure w aarin d e t oegang t ot interne en externe n etwerkdiensten w ordt beheerst o f gereguleerd o ntbreekt. •
Team I CT b epaalt d e r egulering v an d e internet t oegang.
• In d e p rakWjk is w el gegarandeerd d at gebruikers u itsluitend t oegang k rijgen t ot d iensten en applicaWes w aartoe zij geautoriseerd zijn.
Authen2fica2e van gebruikers bij externe verbindingen •
Thuiswerken w aarbij een medewerker een w erkstaWon v an d e gemeente t huis h eeg, w orden geauthenWficeerd met een u sercode / w achtwoord d at in d e h ardware v an h et w erkstaWon is o pgeslagen
• De autorisaWe v an t huiswerken o ver een internet v erbinding met b ehulp v an C itrix gebeurt o p basis v an een R SA t oken en een eigen R SA server in d e gemeentelijke I CT infrastructuur.
Iden2fica2e van netwerkapparatuur •
Is in d e situaWe v an d e gemeente n iet r elevant
Bescherming op afstand van poorten voor diagnose en configura2e •
Dit is p rocedureel geregeld. Toegang o p afstand t ot d e gemeentelijk I CT infrastructuur v oor d iagnose en o nderhoud is gereguleerd, h et staat standaard u it. Toegang w ordt u itsluitend v erleend n a t elefonisch contact t ussen d e b etreffende leverancier en t eam I CT.
•
Leveranciers maken steeds meer gebruik v an h ulpmiddelen o m assistenWe o p afstand t e v erlenen. H et is n iet b ekend h oe v aak d it gebeurd en er is geen centrale r egistraWe v an h et gebruik v an d ergelijke h ulpmiddelen.
Scheiding van netwerken • Dit is w aarnodig t oegepast. H et n etwerk is o pgedeeld in een aantal segmenten. V oornamelijk vanuit v erschillende b eveiligingsbehoegen.
Beheersmaatregelen voor netwerkverbindingen •
Waarnodig zijn b eperkingen o p h et gebruik v an n etwerkdiensten d oor gebruikers b eperkt. F irewalls, anW v irus, V PN, Terminal S erver etc. zijn allen v oorbeelden v an b eheersmaatregelen d ie d e t oegang t ot h et n etwerk v an d e gemeente r eguleren en b eschermen
Beheersmaatregelen voor netwerkroutering • De fi rewall (en r outer) w orden b eheerd d oor t eam I CT. C onfiguraWewijzigingen w orden ad-‐-‐h oc, wanneer n odig u itgevoerd. Er w ordt n iet b ijgehouden w ie w at aanpast en w aarom. • Er zijn u it o ogpunt v an b eveiliging geen r edenen o m o ok h et interne n etwerk anders in t e d elen dan n u h et geval is.
2.10.5 Toegangsbeveiliging voor besturingssystemen Beveiligde inlogprocedures • Alle aanlogprocedures zijn v oorzien v an een aantal standaard maatregelen zoals b lokkering v an het account n a een b eperkt aantal fouWeve aanmeldingen • Voor een aantal applicaWeprogramma’s is b lokkering v an h et account n a een b eperkt aantal fouWeve aanmeldingen ingeregeld
Gebruikersinden2fica2e en –authen2ca2e •
Elke v aste medewerkers h eeg een p ersoonlijk account o p n aam.
•
Tijdelijke medewerkers maken gebruik v an een aantal p er afdeling gereserveerde accounts. V oor d e d uur v an d e w erkzaamheden k rijgt d e medewerker een eigen p ersoonlijk account u it d eze groep t oegewezen.
• Voor systeembeheer w ordt aaankelijk v an h et systeem gebruik gemaakt v an p ersoonlijke o f groepsaccounts.
Systemen voor wachtwoordbeheer •
De eisen v oor d it p unt w orden p as r elevant indien d e gemeente gebruik zou gaan maken v an I denWty M anagement o f S ingle S ign O n w aarbij gebruikers n og maar één k eer aan h oeven t e melden o m alle gebruikte systemen t e k unnen gebruiken.
Gebruik van systeemhulpmiddelen • Gebruik v an systeemhulpmiddelen is v oorbehouden aan systeembeheerders. V oor gebruikers is deze p rogrammatuur afgeschermd.
Time-‐-‐out van sessies •
Voor elke w erkplek is d it ingesteld o p 10 minuten
Beperking van verbindings2jd •
Dit is in d e situaWe v an d e gemeente n iet r elevant
2.10.6 Toegangsbeheersing voor toepassingen en informaLe Beperken van toegang tot informa2e • Is in alle b elangrijke applicaWes t oegepast. G ebruikers k unnen slechts d e informaWe r aadplegen o f aanpassen d ie u it h oofde v an d e funcWe n odig is.
Isoleren van gevoelige systemen •
De gemeente b eschikt n iet o ver systemen d ie gegevens v erwerken w aarvoor aanvullende maatregelen zoals fysieke isolaWe v an h et systeem n oodzakelijk zijn.
2.10.7 Draagbare computers e n telewerken Draagbare computers en communica2evoorzieningen •
Het is n iet t oegestaan o m mobiele computers / laptops aan t e sluiten o p h et n etwerk v an d e gemeente. Daarnaast zijn in h et n etwerk t echnische maatregelen getroffen o m d it o nmogelijk t e maken.
Telewerken • Telewerken is mogelijk v ia d e b eveiligde w ebinterface v an C itrix, o f d oor een standaard w erkplek die o ok in h et gemeentehuis w orden gebruikt t huis v ia een V PN aan t e sluiten.
Maatregelen Ref O / T Prio -‐-‐ V oor t oegangsbeveiliging zijn geen n ieuwe o f aanvullende maatregelen n odig. -‐-‐ -‐-‐ -‐-‐
2.11 Verwerving, o ntwikkeling en o nderhoud v an informaLesystemen (12) Dit h oofdstuk v an d e code h eeg als d oel h et w aarborgen v an d e b eveiliging v an (zelf) o ntwikkelde en gekochte informaWesystemen. I nformaWesystemen o mvaben b esturingssystemen, infrastructuur, b edrijfstoepassingen, k ant-‐-‐en-‐-‐k lare p roducten, d iensten en t oepassingen d ie d oor d e gebruiker zijn o ntwikkeld. Aangezien d e gemeente n auwelijks zelf sogware o ntwikkelt w ordt aan d it aspect v an d it h oofdstuk v an d e code slechts zeer b eperkt aandacht b esteed. I n h et v erleden zijn een aantal d atabank t oepassingen gebouwd met h et d atabanken p akket M S Access. Alle gebouwde d atabank t oepassingen w orden o p d en d uur u itgefaseerd. Bij h et aanschaffen v an sogware geldt v aak d at d e gemeente slechts k euze h eeg u it een b eperkt aanbod. V ooral b ij sogware d ie specifiek v oor gemeentes is o ntwikkeld. Daarom h eeg d e gemeente b ij d eze p akkeben slechts een geringe invloed o p d e specificaWes er v an. Dit h oudt v oor een aantal criteria en eisen u it d it h oofdstuk v an d e code v oor informaWebeveiliging in d at ze minder r elevant zijn. H etzelfde geldt v oor informaWesysteem d ie als d ienst w orden afgenomen.
2.11.1 Beveiligingseisen voor informaLesystemen Analyse en specifica2e van beveiligingseisen • Bij d e aanschaf v an applicaWesogware w orden d e b eveiligingseisen w aaraan d e sogware moet voldoen n iet in h et selecWeproces meegenomen.
2.11.2 Correcte verwerking in toepassingen De k waliteitscriteria in d eze p aragraaf w orden in h et selecWeproces v an applicaWes v oor zover b ekend n iet meegenomen. H et v ormt echter slechts een b eperkt r isico, o mdat alle b elangrijke applicaWes o ok d oor v ele andere N ederlandse gemeenten w orden gebruikt, en soms (zoals G BA) v anuit w et en r egelgeving al aan d e genoemde criteria moeten v oldoen en d aarop o ok getoetst w orden. De p unten zijn:
Valida2e van invoergegevens Beheersing van interne gegevensverwerking Integriteit van berichten Valida2e van uitvoergegevens
2.11.3 Cryptografische beheersmaatregelen Beleid voor het gebruik van cryptografische beheersmaatregelen • Niet v an b elang aangezien d e gemeente geen gebruik maakt v an zelf ingerichte cryptografische systemen.
Sleutelbeheer • Alle cerWficaten d ie n odig zijn v oor b eveiligde (versleutelde) v erbindingen met d erden, w orden beheerd d oor systeembeheer. • Een o verzicht v an alle b eheerde cerWficaten, w aar en h oe ze w orden gebruikt, w anneer ze verlopen, etc. o ntbreekt
2.11.4 Beveiliging van systeembestanden Beheersing van opera2onele programmatuur •
De gemeente o ntwikkelt n iet zelf. B escherming v an b roncode is d aarom n iet aan d e orde.
•
Het instaleren v an n ieuwe v ersies v an t oepassingsprogrammatuur o p servers gebeurt u itsluitend d oor systeembeheerders. V oor applicaWes gebeurt d it p as n a t oestemming v an d e b etreffende applicaWebeheerder.
Bescherming van testdata •
Veelal w ordt een k opie v an d e p roducWedata gebruikt als t estdata. O mdat h et acceptaWetests zijn d ie v aak u itgevoerd w orden d oor d ezelfde mensen d ie o ok h et p roducWesysteem gebruiken b rengt d it w einig extra r isico met zich mee.
Toegangsbeheersing voor broncode van programmatuur •
Niet v an t oepassing
2.11.5 Beveiliging bij ontwikkelings-‐-‐ en ondersteuningsprocessen Niet v an t oepassing d aar h et o ntwikkeling v an sogware b etreg.
2.11.6 Beheer van technische kwetsbaarheden Beheersing van technische kwetsbaarheden •
Patch management, h et installeren v an r eparaWesogware v oor (onder meer) k wetsbaarheden en v eiligheidsgaten, w ordt automaWsch gedaan met b ehulp v an een M icrosog WSUS server. Dit v oor een aantal PC w erkplekken met h et Windows O .S.
Maatregelen Ref O / T Prio 10.1 B etrek b ij h et selecWe t raject v an n ieuwe sogware h et aspect informaWebeveiliging in h et p roject. 12.1.1 O M Door h et o nderwerp informaWebeveiliging v anaf h et b egin in elk p roject t e b etrekken w ordt v ermeden d at security achteraf moet w orden t oegevoegd. Dat k a n iet alleen v ertraging v eroorzaken, maar is o ok n og v aak v eel d uurder.
2.12 Beheer v an informaLebeveiligingsincidenten (13) Doel v an d it o nderdeel is b ewerkstelligen d at informaWebeveiligingsgebeurtenissen en zwakheden d ie v erband h ouden met informaWesystemen j uist w orden afgehandeld. Dat Wjdig corrigerende maatregelen w orden genomen, en d at j uist en Wjdig aan h et management w ordt gerapporteerd. En d at n a evaluaWe maatregelen w orden genomen o m v ergelijkbare incidenten t egen t e gaan.
2.12.1 Rapportage van informaLebeveiligingsgebeurtenissen en zwakke plekken Verantwoordelijkheden en procedures
• Er b estaat een p rocedure gericht o p d e G BA. Er is geen o rganisaWebrede p rocedure d ie b eschrijg hoe t e h andelen in geval v an b eveiligingsincidenten. •
In h et informaWebeveiligingsbeleid 2010 is globaal b eschreven h oe o m t e gaan met informaWebeveiligingsincidenten.
• Het ‘ Handboek B eveiliging & Privacy G BA’ b evat een p rocedure v oor incidenten specifiek gericht op gegevens v an d e G BA. •
Ook h et ‘ Beveiligingsplan R eisdocumenten en R ijbewijzen’ b evat specifieke p rocedures.
Rapportage van zwakke plekken in de beveiliging •
Een centraal meldpunt w aar medewerkers (indien gewenst anoniem) zwakke p lekken in d e b eveiliging, o f suggesWes t er v erbetering k unnen melden is n iet aanwezig. Dergelijke zaken w orden v eelal informeel aan t eam I CT gemeld.
2.12.2 Beheer van informaLebeveiligingsincidenten en -‐-‐verbeteringen Verantwoordelijkheden en procedures • De v erantwoordelijkheden r ond h et aaandelen v an informaWebeveiligingsincident zijn in h et informaWebeveiligingsbeleid b eschreven. De w erkwijze (procedure) is d aar globaal b eschreven.
Leren van informa2ebeveiligingsincidenten • Sommige incidenten w orden in h et afdelingsoverleg v an t eam I CT b esproken. I n d at geval w ordt alWjd b ekeken h oe h et incident in d e t oekomst v ermeden k an w orden. • Een p eriodieke en systemaWsche r apportage o ver informaWebeveiligingsincidenten w aar d it t er sprake k omt w ordt n iet gemaakt.
Verzamelen van bewijsmateriaal •
Het v oert gezien d e o mvang v an d e o rganisaWe, h et aantal medewerkers en d e complexiteit v an h et gebied v an d igitaal forensisch o nderzoek, t e v er o m h iervoor u itgebreide v oorzieningen t e t reffen, o f p ersoneel o p t e leiden. I n h et geval v an een ernsWg incident w ordt externe experWse ingehuurd.
Maatregelen Ref O / T Prio 11.1 S tel een p rocedure ‘ aaandelen informaWebeveiligingsincident’ o p zoals d eze o ok in h et informaWebeveiligingsbeleid is b eschreven. Pas n aast d e p rincipes u it h et b eleid d e implementaWerichtlijnen u it d it p unt v an d e code v oor informaWebeveiliging t oe. 13.2.1 O H Er moet n aast d e specifieke p rocedures v oor G BA en R eisdocumenten een algemene p rocedure k omen w aarin n iet alleen h et snel aaandelen v an h et incident, en h et b eperken v an d e schade aan d e o rde k omt, maar w aar o ok aandacht is v oor h et analyseren v an h et incident en h et achteraf t reffen v an maatregelen o m h et incident in d e t oekomst t e v oorkomen. Daarnaast is administraWe v an incidenten en analyse v an t rends v an b elang en is v an b elang w elke t ypen incidenten o nderscheiden w orden, en w elke gebeurtenissen als incident aangemerkt w orden. De code v oor informaWebeveiliging b evat h iervoor b ruikbare implementaWerichtlijnen.
2.13 BedrijfsconLnuïteitsbeheer (14) ConWnuïteitsbeleid is specifiek gericht o p t egengaan v an en h et r eageren o p v erstoringen v an b edrijfsacWviteiten en h et b eschermen v an d e (kriWeke) b edrijfsprocessen t egen d e effecten v an grootschalige storingen o f calamiteiten. B edrijfsprocessen w orden steeds meer aaankelijk v an h et juist en o ngestoord funcWoneren v an I CT v oorzieningen. H et n a een calamiteit b eschikbaar h ebben v an de j uiste I CT middelen is een essenWeel o nderdeel v an d e calamiteitenplanning. Daarvoor is coördinaWe t ussen t eam I CT en d e r est v an d e o rganisaWe een v ereiste.
2.13.1 InformaLebeveiligingsaspecten van bedrijfsconLnuïteitsbeheer Vanuit v erplichWngen in d e WGBA zijn een aantal maatregelen getroffen o m h et p roces v an d e G BA n a een calamiteit t e k unnen v oortzeben. De h uidige maatregelen b eperken zich t ot h et t reffen v an t echnische v oorzieningen n a een calamiteit. Daarnaast o ntbreekt een o rganisaWebreed conWnuïteitsbeleid. Er b estaan een aantal geïsoleerde p lannen zoals h et o ntruimingsplan. C oördinaWe t ussen d e v erschillende iniWaWeven is n iet structureel ingericht. Samenvabend: De standaard acWviteiten d ie h iervoor in d e code v oor informaWebeveiliging zijn o pgenomen (hieronder o pgesomd) w orden v oor d e G BA u itgevoerd. V oor d e o verige b edrijfsprocessen zijn er d iverse losse iniWaWeven maar o ntbreekt coördinaWe en b eleid v oor:
Informa2ebeveiliging opnemen in het proces van bedrijfscon2nuïteitsbeheer B edrijfscon2nuïteit en risicobeoordeling Con2nuïteitsplannen ontwikkelen en implementeren waaronder informa2ebeveiliging Kader voor de bedrijfscon2nuïteitsplanning Testen, onderhoud en herbeoordelen van bedrijfscon2nuïteitsplannen Maatregelen Ref O / T Prio 8.3 O verweeg o m d e p lannen d ie in d e w inter 2009/20010 t en b ehoeve v an d e d reigende grieppandemie zijn gemaakt o p h et gebied v an calamiteitenbeheer als b asis t e gebruiken en h ierop v oort t e b orduren v oor een structurele aanpak v an conWnuïteitsbeheer. De sjablonen v an t oen k unnen gebruikt w orden o m o ok v oor enkele andere scenario’s een conWnuïteitsplan t e maken. 3.8.1 O M
2.14 Naleving (15) Voorkomen v an schending v an enige w etgeving, w ebelijke en r egelgevende o f contractuele verplichWngen, en v an enige b eveiligingseisen is w at d it o nderdeel v an d e code n astreeg.
2.14.1 N aleving van weielijke voorschrijen Iden2fica2e van toepasselijke wetgeving •
Voor d e k ernsystemen w ordt d it gedaan d oor d e leveranciers v an d e sogware.
Intellectuele eigendomsrechten (Intellectual Property R ights, I PR)
•
RegistraWe v an sogware en b ijbehorende licenWes w ordt d oor t eam I CT gedaan.
• Elke medewerker met t oegang t ot d e systemen k rijgt d e b eschikking o ver een standaard p akket aan applicaWes. • Toewijzen v an een specifieke licenWe aan een gebruiker gebeurt ad-‐-‐h oc, o p aanvraag v an d e gebruiker o f zijn afdelingshoofd. • Een v aste p rocedure v oor h et aanvragen en t oewijzen v an een licenWe aan een medewerker is n iet aanwezig. •
Zelf installeren v an sogware d oor een gebruiker is afgeschermd.
• Aanvullende maatregelen o m t e w aken v oor schending v an eigendomsrechten zoals auteursrecht, octrooirecht o f h andelsmerken zijn n iet n odig.
Bescherming van bedrijfsdocumenten •
Het archief h eeg b eleid en r egels v oor alle b ewaarde d ocumenten.
•
Specifiek o p d e b eveiliging v an elektronische informaWe gericht b eleid en p rocedures zijn n iet b ekend. B edoeld w ordt h ier b eveiliging t egen v erlies, v ernieWging, v ervalsing v an b elangrijke b edrijfsdocumenten.
Bescherming van gegevens en geheimhouding van persoonsgegevens •
Het h oofd Publiek en S ociaal v ervult d e funcWe v an Privacybeheerder v an h et G BA-‐-‐systeem. H iervoor b estaat d eel 2 v an h et ‘ Handboek B eveiliging & Privacy G BA’, met als Wtel ‘Beveiligingsvoorzieningen Privacydeel’.
•
Voor d e p ersoonsgegevens v an d e medewerkers ligt d e v erantwoordelijkheid b ij P&O.
•
Voor zover b ekend zijn geen o rganisaWebreed b eleid en p rocedures v astgelegd v oor privacybescherming.
Voorkomen van misbruik van I T voorzieningen •
Dit w ordt o nder meer aangesWpt in d e p rotocollen ‘ Het gebruik v an e mail’. [2] en ‘ Het gebruik v an internet’. [3]. Er zijn geen aanvullende maatregelen genomen o m h et gebruik v an I CT systemen anders d an v oor o rganisaWedoeleinden t egen t e gaan.
Voorschri^en ten aanzien van het gebruik van cryptografische middelen •
Niet v an t oepassing
2.14.2 N aleving van beveiligingsbeleid en -‐-‐normen e n technische naleving Naleving van beveiligingsbeleid en -‐-‐normen • In h et informaWebeveiligingsbeleid is b eschreven d at d e informaWebeveiligingsfuncWonaris t oeziet op d e n aleving v an b eleid en maatregelen en h ierover p eriodiek r apporteren aan h et M T. •
Daarnaast is h et ingevuld v oor d e G BA en in h et B eveiligingsplan S uwinet.
Controle op technische naleving • In 2010 is n og een n etwerkscan u itgevoerd v oor d e eigen b eheerder systemen. Een scan o p d e kwetsbaarheid v an d e elektronische d ienstverlening is in v oorbereiding. •
Overige controles w orden v oor zover b ekend n iet systemaWsch u itgevoerd.
2.14.3 O verwegingen bij audits van informaLesystemen
Omdat er geen audits o p h et gebied v an informaWebeveiliging w orden u itgevoerd is d eze r ubriek v an d e code v oor informaWebeveiliging n iet r elevant. I ndien er een audit v oor informaWebeveiliging u itgevoerd w ordt d ienen d e b eheersmaatregelen in d e r ubriek u iteraard in acht genomen t e w orden. H et zijn:
Beheersmaatregelen voor audits van informa2esystemen Bescherming van hulpmiddelen voor audits van informa2esystemen
Maatregelen Ref O / T Prio 9.5 Laat een indringertest u itvoeren o p d e elektronische dienstverlening v an d e gemeente 15.2.2 O +T H
Bij Team I CT is n aar aanleiding v an enkele v oorbeelden, en arWkelen in k ranten en o p internet d e o vertuiging o ntstaan d at b eveiliging v an elektronische d ienstverlening n og t e v aak o nvoldoende is. Z eker o mdat d eze d ienstverlening extern b etrokken w ordt, en d e gemeente er zelf geen invloed o p h eeg, maar w el d e imagoschade o ndervindt in geval v an een incident, k an een indringertest extra w aarborgen b ieden.
3 Maatregelen Dit hoofdstuk bevat het overzicht van de maatregelen, het feitelijke plan. Het overzicht heeg de vorm van een E xcel spreadsheet die als apart bestand wordt verspreid. Daarnaast is een PDF versie van het plan gemaakt, waar het plan en de tabel in 1 document zijn opgenomen.
Bijlage 1, Bronnen Voor h et maken v an d it informaWebeveiligingsplan zijn gebruikt: 1. I nformaWebeveiligingsplan gemeente , 23 n ovember 2007 2. I nformaWebeveiligingsbeleid 2010, 17 februari 2010 3. Protocol Elektronische C ommunicaWe gemeente 4. B eveiligingsplan R eisdocumenten en R ijbewijzen, ediWe 2010 5. H andboek B eveiliging & Privacy G BA. 6. B eveiligingsplan S uwinet, Afdeling Publiek en S ociaal, gemeente , augustus 2005
7. R isicoanalyse t .b.v. G BA audit 2008. Document: ‘ FAC-‐-‐gw-‐-‐1273-‐-‐Risico analyse I nformaWebeveiligingsplan 2007 – 2010’ 8. I nformaWebeveiligingsbeleid G BA gemeente 2008 9. I ntegriteitbeleid gemeente 10. Code v oor informaWebeveiliging 2007, I nformaWetechnologie -‐-‐ B eveiligingstechnieken -‐-‐ C ode v oor informaWebeveiliging, N EN-‐-‐ISO/IEC 27002:2007
