Informatiebeveiligingsplan ISD Bollenstreek Versie 1.0

Informatiebeveiligingsplan ISD Bollenstreek Versie 1.0

1 Inhoud 2

Inleiding ....................................................................................................................................3

3

Beveiligingsorganisatie.............................................................................................................. 5

4

Beveiligingseisen ten aanzien van personeel ............................................................................ 9

5

Fysieke beveiliging en beveiliging van de omgeving................................................................ 10

6

Beveiliging van apparatuur ......................................................................................................12

7

Logische toegangsbeveiliging .................................................................................................14

8

Beheer van bedrijfsmiddelen ...................................................................................................18

9

Beheer van communicatie- en bedieningsprocessen .............................................................. 19

10 Ontwikkeling en onderhoud van systemen .............................................................................. 21 11 Continuïteitsmanagement ....................................................................................................... 22 12 Naleving ..................................................................................................................................23 13 Bijlagen ..................................................................................................................................24

Versie beheer: Versie 1.0

Datum Mei 2015

Wijziging Eerste opzet

2 Informatiebeveiligingsplan ISD Bollenstreek, mei 2015

Vastgesteld

2 Inleiding Informatie is één van de voornaamste bedrijfsmiddelen van Intergemeentelijke Sociale Dienst Bollenstreek (ISD). Het verlies van gegevens, uitval van ICT, of het door onbevoegden kennisnemen of manipuleren van bepaalde informatie kan ernstige gevolgen hebben voor de bedrijfsvoering. Het kan ook leiden tot imagoschade. Ernstige incidenten hebben mogelijk negatieve gevolgen voor burgers, bedrijven, partners en de eigen organisatie met waarschijnlijk ook politieke consequenties. Informatieveiligheid is daarom van groot belang. Informatiebeveiliging is het proces dat dit belang dient. In het informatie beveiligingsbeleid heeft de ISD vastgelegd welke kaders de ISD hanteert om de informatieveiligheid te waarborgen. Het Informatiebeveiligingsplan ( IB-plan) vormt de basis voor het operationele niveau: het bepalen van de te nemen beveiligingsmaatregelen en deze implementeren. In dit Informatiebeveiligingsplan (IB-plan) beschrijven we welke informatiesystemen in de bedrijfsprocessen een rol spelen en welke eisen vanuit de doelstelling van deze bedrijfsprocessen moeten worden gesteld aan de beveiliging daarvan.

2.1 Doel van informatiebeveiliging Het informatiebeveiligingsbeleid (IB-beleid) is het kader voor passende technische en organisatorische maatregelen om informatie van de ISD te beschermen. Hierbij waarborgen we dat de ISD voldoet aan relevante wet en regelgeving. Een onderdeel van het beleid is een opsomming van maatregelen die al genomen zijn en een SMART planning van maatregelen die nog genomen moeten worden. Dit geheel is verankerd in een PDCA-cyclus.

2.2

Definitie informatiebeveiliging

Onder informatiebeveiliging wordt binnen de ISD verstaan: Het treffen en onderhouden van een samenhangend pakket van maatregelen ter waarborging van de betrouwbaarheid van het informatievoorzieningsproces. Betrouwbaarheid is de overkoepelende term voor beschikbaarheid (continuïteit, responstijd), integriteit (juistheid, volledigheid, tijdigheid, geoorloofdheid) en vertrouwelijkheid (exclusiviteit). Hiermee geven we aan in welke mate de organisatie zich kan verlaten op een informatiesysteem voor haar informatievoorziening. Dit betreft zowel de technische en de organisatorische, als de menselijke aspecten.

2.3 Leeswijzer Deze paragraaf geeft aan welke verschillende onderwerpen in dit document aan bod komen. Met een helder beveiligingsbeleid geeft het management sturing aan en ondersteuning ten behoeve van informatiebeveiliging. Het informatiebeveiligingsbeleid wordt beschreven in hoofdstuk 2 Beveiligingsbeleid. De eisen aan de organisatie zijn uitgewerkt in hoofdstuk 3 Beveiligingsorganisatie. De bescherming van de gegevens staat vermeld in: Hoofdstuk 4 Beveiligingseisen ten aanzien van personeel; Met passende handvatten voor het personeel worden risico's op fouten zoveel als mogelijk voorkomen. Hoofdstuk 5 Fysieke beveiliging en beveiliging van de omgeving; Om schade en verstoring aan gebouwen, de omgeving en de informatie van de organisatie te voorkomen wordt de fysieke toegang daartoe adequaat beheerst. Hoofdstuk 6 Beveiliging van de apparatuur Om schade aan en uitval van apparatuur te voorkomen wordt fysieke toegang tot apparatuur en de aansturing van apparatuur beheerst.


Hoofdstuk 7 Logische toegangsbeveiliging Ter voorkoming van ongeoorloofde toegang tot informatie worden logische toegangsbeveiligingsmethoden ingezet. Hoofdstuk 8 Beheer van bedrijfsmiddelen In dit hoofdstuk geven we aan hoe de ISD haar bedrijfsmiddelen beveiligt tegen verstoringen Hoofdstuk 9 Beheer van communicatie- en bedieningsprocessen Om schade en verstoring vanuit de beheer- en bedieningsprocessen te voorkomen worden deze sterk gecontroleerd uitgevoerd. Hoofdstuk 10 Ontwikkeling en onderhoud van systemen; Ter bescherming van informatie worden al tijdens de ontwikkeling van het systeem en de processen waarborgen ingebouwd. Hoofdstuk 11 Continuïteitsmanagement; In dit hoofdstuk worden maatregelen besproken tegen grootschalige storingen en calamiteiten. Hoofdstuk 12 Naleving; Door middel van controles wordt vastgesteld in welke mate het beleid en de wettelijke verplichting worden nagekomen zodat eventuele schade tot het minimum kan worden beperkt.


3 Beveiligingsorganisatie 3.1 Organisatorische infrastructuur voor informatiebeveiliging Beveiliging is op bestuurlijk niveau de verantwoordelijkheid van het Dagelijks Bestuur (DB) van de ISD. DB stelt dit IB-plan vast. Uitvoerend is het MT verantwoordelijk. Zij onderschrijft volledig de beveiligingsmaatregelen die dit IB-plan voorschrijven. Om zorg te dragen voor de inbedding van dit beleid, jaarlijkse evaluatie en bijstellingen van onderhavig IB-plan zijn de verantwoordelijkheden van de betrokken functionarissen beschreven en is de rol van Security Officer (SO) in het leven geroepen. Deze laatste heeft de verantwoordelijkheid toe te zien op naleving van de beveiligingsmaatregelen en procedures zoals uitgewerkt in dit IB-plan. 3.1.1

Verantwoordelijkheden van het managementteam

In het IB- beleid is opgenomen dat het MT verantwoordelijk is voor sturing, controle en uitvoering van het de informatiebeveiliging. Het MT: o o o o o o o

stuurt op risico’s voor de ISD; controleert of de getroffen maatregelen overeenstemmen met de betrouwbaarheidseisen en of deze voldoende bescherming bieden; evalueert periodiek beleidskaders en stelt deze waar nodig bij. stelt op basis van een expliciete risicoafweging betrouwbaarheidseisen voor de informatiesystemen vast (classificatie); is verantwoordelijk voor de keuze, de implementatie en het uitdragen van de maatregelen die voortvloeien uit de betrouwbaarheidseisen; stuurt op beveiligingsbewustzijn, bedrijfscontinuïteit en naleving van regels en richtlijnen (gedrag en risicobewustzijn); rapporteert over compliance aan weten regelgeving en algemeen beleid van de gemeente in de managementrapportages.

Per jaar komen de volgende punten met betrekking tot beveiliging aan de orde:



Voortgang realisatie beveiligingsmaatregelen als beschreven in het IB-plan en gerapporteerd door de SO.

   

Mogelijke ontwikkelingen die de bedrijfsinformatie bedreigen. Bespreking van en toezicht op beveiligingsincidenten zoals gerapporteerd door de SO. Goedkeuring van initiatieven om de (informatie)beveiliging te verbeteren. Geven van voor een ieder zichtbare ondersteuning bij de implementatie van beveiligingsmaatregelen. Bevorderen van het beveiligingsbewustzijn. Herziening en goedkeuring beveiligingsbeleid en de toegekende verantwoordelijkheden.

 

3.1.2

Verantwoordelijkheden van de SO

Het MT heeft de SO benoemd. De SO is verantwoordelijk voor het toezicht op de naleving van de maatregelen en procedures die voortkomen uit het IB-plan. De SO rapporteert periodiek (minimaal eens per jaar) gevraagd en ongevraagd aan het MT.


De SO is verantwoordelijk voor:

 Voorbereiding beveiligingsbeleid en -plan.  Rapportage (per jaar) over de implementatie aan het MT.  Rapportage van beveiligingsincidenten.  Het beheer van en toezicht op de naleving van de beveiligingsprocedures.  Beoordeling van de documentatie met betrekking tot de beveiligingsincidenten voor eventuele handhaving en aanpassing van het bestaande beleid. Het minstens eenmaal per jaar geven van voorlichting en instructie aan medewerkers aan de hand van toetsing van de opgestelde beveiligingsprocedures in de praktijk. Het introduceren en bekendmaken van de beveiligingsprocedures aan nieuwe medewerkers.

 

Noot: Het afdelingshoofd Bedrijfsondersteuning is benoemd tot SO 3.1.3

Verantwoordelijkheden van de afdelingshoofden

In het IB-beleid is aangegeven dat de afdelingshoofdenverantwoordelijk zijn voor:   

Definiëren beveiligingseisen Sturen op bedrijfscontinuïteit Toetsing op naleving

De afdelingshoofden zijn aangewezen als informatiebeheerder. Zij zorgen voor het toewijzen van taken en verantwoordelijkheden om de hiervoor genoemde vertrouwelijkheid te waarborgen en te controleren. De informatiebeheerder is afdelingshoofd van de betreffende afdeling en bepaalt in het kader van beveiliging het volgende:

  

Het beleid en de keuze rondom de bedrijfsproces ondersteunende applicatie(s). Welke medewerkers de taak van gegevensbeheer en gegevensverwerking uitvoeren. Welke rol(len) de medewerker moet vervullen en welke autorisaties voor het raadplegen, opvoeren, muteren en afvoeren van gegevens hij/zij daarvoor nodig heeft. Het aan de medewerkers verlenen van het recht om hun ervaringen rondom aspecten van beveiliging aan de orde te stellen. De klokkenluidersregeling kan hier tevens voor gebruikt worden. Het onderwerp informatiebeveiliging tenminste eenmaal per jaar te agenderen op het reguliere werkoverleg. Het verplichten van medewerkers tot het direct melden van onregelmatigheden met betrekking tot de beveiliging. Het aanspreken van medewerkers op geconstateerd onzorgvuldig gedrag in relatie tot beveiliging. Het bevorderen van en in de gelegenheid stellen tot het volgen van cursussen, trainingen en opleidingen van medewerkers die verantwoording dragen voor de beveiliging.

     3.1.4

Verantwoordelijkheden van de coördinatoren

In het IB-beleid is opgenomen dat de coördinatoren verantwoordelijk zijn voor beveiliging van de informatievoorziening en implementatie van beveiligingsmaatregelen, die voortvloeien uit betrouwbaarheidseisen (de BIV-codering). De coördinatoren zijn de spil in het web van beveiliging van de informatie.  Zij zijn verantwoordelijk voor de uitvoering van de informatiebeveiliging op de afdeling waarvan zij coördinator zijn.  Zij zorgen voor starten en het beëindigen van autorisaties voor de medewerkers en inhuurkrachten bij begin respectievelijk het einde van werkzaamheden op de door hen 6 Informatiebeveiligingsplan ISD Bollenstreek, mei 2015

aangestuurde afdeling.  In werkoverleggen besteden zij regelmatig aandacht aan de informatiebeveiliging.  Bij implementatie van nieuw beleid zorgen zij dat de instructies aan de eisen voor informatiebeveiliging voldoen.

3.1.5

Verantwoordelijkheden van de applicatiebeheerder

In het IB beleid is aangegeven dat applicatiebeheer verantwoordelijk is voor:  alle beheeraspecten van informatiebeveiliging, zoals ICT security management, incident en probleem management en facilitaire zaken;  verzorging van logging, monitoring en rapportage;  levering van (technisch) beveiligingsadvies aan klanten. De applicatiebeheerders worden door het MT aangewezen. De applicatiebeheerder heeft de volgende taken:

       



     

Verstrekt adviezen aan het afdelingshoofd en aan de coördinatoren over het te voeren beleid met betrekking tot de desbetreffende applicatie(s). Draagt zorg voor de beschikbaarheid en kwaliteit van de desbetreffende applicatie(s). Treedt op als intermediair tussen gebruikers, het managementteam en automatiseringsen informatiedeskundigen met betrekking tot de desbetreffende applicatie(s). De applicatiebeheerder functioneert als opdrachtgever aan ICT Teylingen voor het technisch beheer en functioneel beheer. Signaleert de behoefte aan uitbreiding van apparatuur en overlegt dit met zowel het afdelingshoofd bedrijfsondersteuning als met de systeembeheerder van de gemeente Teylingen. Is betrokken in geval van daadwerkelijke uitwijk van de desbetreffende applicatie(s). Signaleert het onjuist omgaan met de desbetreffende applicatie(s) en meldt dit aan de leidinggevende zodat deze maatregelen kan nemen om dit te voorkomen. De applicatiebeheerder is verantwoordelijk voor het versiebeheer van de applicatie. Hij bepaalt in geval er updates op patches beschikbaar zijn of deze moeten worden geplaatst en functioneert in dit kader als opdrachtgever in de richting van het ICT Teylingen. De applicatiebeheerder houdt een registratie bij van wanneer welke patches en updates zijn doorgevoerd. De applicatiebeheerder is verantwoordelijk voor het incidentbeheer. In geval zich problemen voordoen met de applicatie functioneert de applicatiebeheerder als eerste aanspreekpunt. In dat kader heeft hij indien nodig overleg met de leverancier. Daarnaast draagt de applicatiebeheerder er zorg voor dat indien incidenten die niet uit de applicatie voortkomen maar van technische aard zijn, worden overgedragen aan het ICT Teylingen. De applicatiebeheerder houdt een incidentenregistratie bij en rapporteert regelmatig aan het management over de voortgang. Draagt zorg voor de tijdige en kwalitatief goede verwerking van gegevens met behulp van de desbetreffende applicatie(s). Draagt zorg voor de tijdige en kwalitatief goede oplevering van informatie uit de desbetreffende applicatie(s). Verzorgt in samenwerking met het ICT Teylingen de acceptatie van nieuwe releases van de desbetreffende applicatie(s). Bewaakt een juiste toepassing van de gebruikersprocedures. Verzorgt of is betrokken bij de training en begeleiding van de medewerkers op het gebied van de desbetreffende applicatie(s). Beheert en onderhoudt de bij de desbetreffende applicatie(s) behorende documentatie.


De applicatiebeheerder is verantwoordelijk voor de functionele inrichting van de applicatie. In overleg met de leverancier draagt de applicatiebeheerder zorg voor de inrichting van de applicatie. De applicatiebeheerder draagt zorg voor het opmaken van de rechtenprofielen. De applicatiebeheerder wijst rechten toe en trekt rechten in. De applicatiebeheerder is verantwoordelijk voor het beheer van de gegevens die in de applicatie worden vastgelegd. Dit houdt ondermeer in dat hij voorafgaand aan het uitvoeren van updates of patches test of deze geen ongewenste effecten met zich meedragen. 3.1.6

Verantwoordelijkheden van de medewerker P&O

In het IB-beleid is beschreven dat de medewerker P&O verantwoordelijk is voor personele zaken. De taken die hierbij horen zijn: 

  





  

Het juist afhandelen van de beveiligingsaspecten van het aangaan, wijzigen en beëindigen van een dienstverband of een overeenkomst met externen. De medewerker P&O houdt toezicht op dit proces. Het vastleggen van verantwoordelijkheden ten aanzien van beveiliging vóór het dienstverband in passende functiebeschrijvingen en in de arbeidsvoorwaarden. Het screenen van alle kandidaten, ingehuurd personeel en externe gebruikers voor een aanstelling, in het bijzonder voor vertrouwensfuncties. Het verzamelen van een Verklaring Omtrent het Gedrag (VOG) bij nieuwe medewerkers, ingehuurd personeel en externe gebruikers voor een aanstelling voor indiensttreding. De VOG wordt indien nodig herhaald tijdens het dienstverband. Het opstellen van een overeenkomst over beveiligingsrollen en –verantwoordelijkheden van werknemers, ingehuurd personeel en externe gebruikers die ICT-voorzieningen gebruiken en het laten ondertekenen hiervan. Het regelen van trainingen voor alle medewerkers (en voor zover van toepassing externe gebruikers van onze systemen) die de ISD nodig acht voor informatiebeveiliging. Deze trainingen herhaalt de ISD regelmatig om het beveiligingsbewustzijn op peil te houden. Het regelen dat bij beëindiging van het dienstverband en inhuur de medewerker alle bedrijfsmiddelen van de ISD retourneert. Het uitvoeren van de disciplinaire maatregelen die gelden bij inbreuk op de beveiliging, zoals onder meer genoemd in het Ambtenarenreglement en regelingen geldend voor de ISD. Zorgen dat externen die in opdracht van de ISD werken de regels kennen van het IB-beleid.


4 Beveiligingseisen ten aanzien van personeel 4.1 Beveiligingseisen bij aanname van personeel De ISD schenkt aandacht aan informatiebeveiliging ten aanzien van vast en tijdelijk personeel op de volgende wijze. Voor indiensttreding leveren de toekomstig personeelsleden een verklaring over gedrag in. Medewerkers krijgen na hun benoeming een introductie van hun afdelingshoofd. Tijdens deze introductie ondertekenen zij een Integriteitsverklaring. Hierin is onder andere geregeld dat de werknemer alle zaken waarvan hij/zij weet of vermoedt dat ze een vertrouwelijk karakter hebben, geheim houden. Ook dienen medewerkers als gevolg van de Wet op de Identificatieplicht bij aanname een kopie van hun legitimatiebewijs te overleggen. Bij aanname van vast personeel worden de originelen van behaalde diploma's overlegd, waarna een kopie hiervan wordt opgeborgen in het personeelsdossier.

4.2 Training voor gebruikers De afdeling kwaliteit instrueert de individuele gebruikers over correcte omgang met ICT voorzieningen. Zij stellen de nieuwe medewerkers in kennis van het gebruik van privacygevoelige informatie. Er zijn voor diverse systemen handreikingen opgesteld in welke situatie al dan niet informatie aan klanten en/of derden verstrekt mag worden. Twee keer per jaar brengt applicatiebeheer het IB beleid onder de aandacht van de werknemers va de ISD door een bericht op Intranet. In werkoverleggen zorgen de coördinatoren dat het IB beleid op de agenda staat in het bijzonder bij implementatie van nieuw beleid.

4.3 Reageren op incidenten en storingen Wanneer zich binnen de organisatie een storing op ICT niveau voordoet, wordt dit gemeld bij de helpdesk van de gemeente Teylingen. Bij voorkeur via het "Helpdesk" icoontje op het bureaublad of via [email protected] of telefonisch via 0252 783400. Na ontvangst van een foutmelding wordt door de helpdesk een zogenoemd cal nummer gegenereerd. Na afhandeling van de storing krijgt degene die de storing heeft doorgegeven een melding dat de storing is opgelost. Binnen de ISD neemt incidentenbeheer ook een belangrijke plek in. Informatiebeveiligingsincidenten worden door applicatiebeheer gerapporteerd en gedocumenteerd. Deze documentatie is leidend voor het eventueel aanpassen van het beleid en de handhaving van dit beleid. 4.3.1

Rapporteren van onvolkomenheden in de software

De applicatiebeheerders zijn verantwoordelijk voor de diverse applicaties. Zij verstrekken op verzoek van een afdelingshoofd of van de coördinatoren autorisaties aan individuele medewerkers. Bij eventuele problemen op software gebied is de applicatiebeheerder aanspreekpunt voor de medewerkers die de applicatie gebruiken. Mochten de problemen niet gelijk op te lossen zijn, wordt het probleem besproken met de ICT afdeling van de gemeente Teylingen, waarna de applicatiebeheerder verder actie onderneemt. Wanneer het onvolkomenheden betreft in de standaard software op een werkplek, is de servicedesk ICT van de gemeente Teylingen het eerste aanspreekpunt.


5 Fysieke beveiliging en beveiliging van de omgeving 5.1 Beveiligde ruimten Deze paragraaf geeft inzicht in de wijze waarop de ISD de IT-voorzieningen heeft beschermd tegen ongeoorloofde toegang, schade en storingen. De ISD is zeer afhankelijk van IT-voorzieningen voor het verrichten van de primaire processen. Uitval van deze voorzieningen heeft als risico dat bijvoorbeeld bijstandsuitkeringen niet of niet tijdig uitbetaald worden. Om de risico's te borgen bevinden de servers, met daarop de back up bestanden van de data van de softwarepakketten, zich niet fysiek in het gebouw van de ISD. De data en back-up staan bij de gemeente Teylingen in Sassenheim en worden beiden gespiegeld naar Voorhout. De servers zijn geplaatst in de server-ruimte en de toegang tot deze ruimtes is slechts toegestaan voor medewerkers van ICT Teylingen en de leden van het managementteam. In geval van calamiteiten heeft ook de brandweer toegang tot de server-ruimte. Door middel van het fysiek afsluiten van deze ruimte is ongeoorloofde toegang geborgd. Back-up omgeving is gelokaliseerd in dezelfde ruimte. Bij storingen aan de IT voorzieningen worden monteurs ingeschakeld om de geconstateerde problemen op te lossen.

5.2 Fysieke beveiliging van de omgeving Bij de ISD is een deel van het gebouw toegankelijk voor publiek. Dit betreft de publiekstoegankelijke ruimte de centrale hal van het UWV en de receptie, die zonder beperkingen te betreden zijn door bezoekers. De voor publiek vrij toegankelijke ruimten zijn in zoverre gedefinieerd dat de toegangsdeuren naar de niet voor publiek toegankelijk ruimten alleen geopend kunnen worden met een pasje, dan wel door de beveiliger. De ISD is bij de deelnemende gemeenten onderdeel van de van de gemeentelijke loketdiensten en maakt gebruik van de lokaal loketten. Voor de beveiliging van deze lokale loketten sluit de ISD aan bij de beveiliging ter plaatse. De omgeving en het gebouw Het gebouw is voorzien van inbraakbeveiliging. Ter afhandeling van een inbraakincident is een piketdienst ingesteld. De personeelsingang wordt beveiligd door middel van een elektronisch sleutelsysteem. In de publiekstoegankelijke ruimte is een beveiliger aanwezig. In spreekkamers is stil alarm aanwezig binnen bereik van de medewerkers. Ook in de spreekkamers bij de gemeenten is stil alarm aanwezig. De niet publiekstoegankelijke ruimten zijn afgesloten met een elektronisch sleutelsysteem. Medewerkers van de ISD zijn in bezit van een toegangspasje. In het bezoekersregister, dat bij de receptie aanwezig is worden alle bezoekers geregistreerd (naam, naam organisatie, aankomst, vertrek, collega die heeft ingehuurd). Een medewerker van de ISD haalt de bezoekers na aanmelding op en zorgt er ook voor dat de bezoeker het pand weer verlaat. Onderhoudsmedewerkers van leveranciers, installatiebedrijven etc. die geacht worden werkzaamheden te verrichten dienen zich te kunnen legitimeren als zijnde medewerker van het betreffende bedrijf.


Serverruimte In deze ruimte staat de telefooncentrale en het patchsysteem. De server van het tijdsregistratiesysteem en de server van het netwerk staan bij de gemeente Teylingen. Bij applicatiebeheer is altijd bekend wanneer onderhoudsmedewerkers werkzaamheden komen verrichten. Alleen actieve apparaten bevinden zich in de server-ruimte. Mocht een beveiligingsincident zich voordoen, binnen of buiten kantoortijden schakelt de alarmcentrale de verantwoordelijke persoon van de piketdienst in. Deze handelt het incident af en registreert het door middel van het "Incident Registratie Formulier" (zie bijlage).

5.3 Fysieke toegangsbeveiliging Omdat de ISD op verschillende manieren betreden kan worden, zijn ook afzonderlijke maatregelen genomen om dit te beveiligen. In deze paragraaf staat op welke manier dit is gebeurd. Personeelsingang De ingang voor het personeel is in de parkeergarage. Zij is beveiligd met een elektronisch sleutelsysteem. Dit sleutelsysteem deelt de ISD met Stek en het UWV. Alle medewerkers met een werkplek in het gebouw van STEK UWV en ISD zijn in bezit van een elektronische sleutel om de toegangsdeur te openen. Dit kan tussen 7:00 uur tot 19:00 uur. Publieksingang De hoofdingang is de publieksingang en is open tussen 8:30 uur en 17:00 uur. Toegang van de publiekstoegankelijke ruimten naar de werkruimten van medewerkers is toegankelijk met een elektronische pas. De deur sluit automatisch door een dranger. Serverruimte Toegang tot de serverruimte in het gebouw van de ISD is geregeld met een sleutel. De toegang tot de server in Telingen is geregeld in het beveiligingsplan van de gemeente Teylingen welke als bijlage is toegevoegd. In geval van calamiteiten heeft de brandweer toegang tot deze server-ruimte. Thuiswerken De medewerker kan gebruik maken van een thuiswerkoplossing. Hierbij kan de medewerker met een eigen pc toegang krijgen tot het netwerk van de ISD. Deze oplossing is beveiligd via 2-weg authenticatie (SMS code via de mobiele telefoon). Hierbij zijn de mobiele nummers van de medewerker bekend en kan ook toegang tot het netwerk geregeld worden, na tussenkomst van de leidinggevende, via ICT Teylingen.


6 Beveiliging van apparatuur

6.1 Algemene beveiligingsmaatregelen 6.1.1

Het plaatsen en beveiligen van apparatuur

De servers zijn in de server-ruimte van de gemeente Teylingen geplaatst waar geautoriseerde medewerkers (ICT Teylingen) kunnen binnengaan. 6.1.2

Stroomvoorziening

De ISD kan uitval van server apparatuur in zekere mate voorkomen door een zogenaamde UPS, een noodstroomvoorziening en overspanningsbeveiliging. In geval van langdurig stroomuitval wordt er een noodaggregaat aangesloten. Hiervoor is een contract met een externe partij afgesloten. 6.1.3

Beveiliging van kabels

Alle bekabeling, van stroom- tot communicatiebekabeling, is afdoende beveiligd tegen interceptie of beschadiging. 6.1.4

Onderhoud van apparatuur

Het onderhoud van apparatuur wordt verzorgd door de ICT- leverancier in overleg met ICT Teylingen. De printers zijn in onderhoud bij de leverancier van de printers. 6.1.5

Beveiliging van apparatuur buiten de locatie

De uitwijklocatie is voorzien van fysieke beveiligingsmaatregelen, zoals sloten en camerabewaking. 6.1.6

Veilig afvoeren en hergebruiken van apparatuur

Bij uitfasering van apparatuur wordt door ICT Teylingen in samenwerking met de ICT leverancier gevoelige informatie verwijderd. 6.1.7

Overige algemene beveiligingsmaatregelen

De vertrouwelijke omgang met persoonsgegevens houdt onder andere in dat elke werkplek zodanig is ingericht, dat onbevoegden niet de beschikking kunnen krijgen over deze informatie. Vertrouwelijke gegevens mogen niet onbeheerd op het bureau achterblijven. Dossiers worden bewaard in een kast die na werktijd wordt gesloten. Clear screen betekent dat het werkstation moet worden vergrendeld met behulp van schermbeveiliging (met wachtwoord). De screensaver is zodanig ingesteld dat je handmatig de schermbeveiliging kan activeren of dat na een 10-aantal minuten de schermbeveiliging intreedt. Dit is door ICT Teylingen voor iedere medewerker standaard ingesteld. De ISD maakt hier gebruik van aparte en eigen KPN SDSL lijnen naar de verschillende loketten. De router en firewall zijn eigendom van de ISD en worden beheerd door ICT Teylingen. Voor een beperkt deel wordt de infrastructuur van de betreffende gemeente gebruikt. (bijvoorbeeld voor telefonie, bekabeling en printen).


6.2 Beveiliging van toegang door derden In deze paragraaf wordt uitleg gegeven over de maatregelen die genomen zijn om toegang tot de ICT-voorzieningen door derden te beheersen. Wanneer externen werkzaamheden moeten verrichten aan systemen, infrastructuur of applicaties bij de ISD worden deze ingehuurd via ICT Teylingen of via het afdelingshoofd bedrijfsondersteuning. Zij zijn verantwoordelijk voor de benadering van de bedrijven. Voor inhuur van externe partijen geldt dat de collega die inhuurt verantwoordelijk is. Als extra beveiliging wordt de server-ruimte (Teylingen) bij onderhoudswerkzaamheden alleen betreden in aanwezigheid van een applicatiebeheerder. Onderhoudsmonteurs werken niet zonder toezicht in deze ruimte. Daarnaast is toegang tot server-ruimte slechts mogelijk met een combinatie van een sleutel en een code en is de ruimte voorzien van een alarm. Slechts applicatiebeheerders, medewerkers van de gemeente Teylingen, medewerkers van de brandweer en het managementteam hebben deze toegangsautorisatie tot de server-ruimte. Het risico dat derden inzage hebben in persoonsgegevens is bij de ISD voldoende ondervangen. Voordat applicaties met persoonsgegevens geopend kunnen worden, moet de gebruiker verschillende inlogcodes invoeren. Zonder login kan geen gebruik gemaakt worden van het netwerk.

6.3 Uitbesteding De beveiliging van informatie is bij de ISD niet uitbesteed.


7 Logische toegangsbeveiliging 7.1 Beleid ten aanzien van toegangsbeveiliging Aangegeven wordt welke richtlijnen met betrekking tot toegangsbeveiliging bij de ISD zijn gedefinieerd. Binnen de ISD is vastgelegd dat slechts personen die binding hebben met de primaire processen toegang krijgen tot de gegevens. In het kader van de informatievoorziening ontvangt iedere medewerker autorisaties voor de voor hem belangrijke applicaties.

7.2 Management van toegangsrechten/autorisatiebeheer In deze paragraaf worden de procedures met betrekking tot autorisatiebeheer binnen de ISD uitgelegd. 7.2.1

Registratie van gebruikers

Het afdelingshoofd/coördinator meldt nieuwe medewerkers aan bij de gemeente Teylingen. Nieuwe medewerkers ontvangen via ICT Teylingen binnen afgesproken termijnen een gebruikers-ID en gebruikersprofiel. Deze afspraken zijn concreet terug te vinden in het autorisatiebeleid. Bij ICT Teylingen is bekend welke medewerkers een gebruikersprofiel hebben. Concreet betekent dit dat bekend is wie bevoegd is tot het inloggen op het netwerk van de ISD. Er kan een overzicht samengesteld worden over deze gegevens. Het afdelingshoofd/coördinator geeft door aan applicatiebeheer welke bevoegdheden een betreffende medewerker heeft. 7.2.2

Speciale bevoegdheden

Er zijn bij de ISD geen medewerkers met speciale bevoegdheden aanwezig. Met speciale bevoegdheden wordt bedoeld dat het mogelijk is als gebruiker de normale beveiliging in systemen of toepassingen te omzeilen. 7.2.3

Beheer gebruikerswachtwoorden

Om te voorkomen dat medewerkers gedurende zeer lange tijd hetzelfde wachtwoord gebruiken, dienen zij na een afgesproken periode het netwerkwachtwoord te wijzigen. Dit om misbruik van de wachtwoorden te voorkomen. Dit proces is niet beschreven, maar wordt wel toegepast door ICT Teylingen.

7.3 Verantwoordelijkheden van gebruikers Effectieve beveiliging vereist de medewerking van de gebruikers. Zij dienen daarom door hun leidinggevende en directe collega's te worden gewezen op hun verantwoordelijkheid voor het handhaven van effectieve toegangsbeveiliging, in het bijzonder met betrekking tot het gebruik van wachtwoorden en de beveiliging van gebruikersapparatuur. 7.3.1

Gebruik van wachtwoorden

Medewerkers van de ISD zijn zelf verantwoordelijk voor het voorkomen van ongeautoriseerde toegang. Dit betekent dat zij op een verantwoorde wijze om moeten gaan met wachtwoorden en registratie daarvan. Naar alle medewerkers is, bij indiensttreding, gecommuniceerd dat wachtwoorden strikt persoonlijk zijn en niet uitgewisseld mogen worden tussen collega's (uitzonderlijke noodsituaties uitgesloten).


Na eerste aanmelding dient de gebruiker het wachtwoord te wijzigen in een voor hem makkelijk te onthouden combinatie. Periodiek verschijnt de melding dat het wachtwoord gaat verlopen en een nieuw wachtwoord moet worden ingevoerd. 7.3.2

Onbeheerde gebruikersapparatuur

Voorkomen dient te worden, door middel van een schermbeveiliging, dat tijdelijk onbeheerde gebruikersapparatuur ongeoorloofd gebruikt wordt om toegang te krijgen tot persoonsgegevens. Geen enkele computer is toegankelijk voor klanten of derden. Alleen de medewerkers van de ISD zijn bevoegd tot gebruik hiervan. In de publiekstoegankelijke ruimten zijn de computers dusdanig opgesteld dat ongeoorloofd gebruik door klanten niet mogelijk is. Bij de computers in de spreekkamers is wel enig risico aanwezig dat zij ongeoorloofd gebruikt worden, bijvoorbeeld bij afwezigheid van de medewerker van de ISD. Het is mogelijk om per gebruiker voorkeursinstellingen toe te passen voor wat betreft schermbeveiliging. Dit betekent dat bij afwezigheid van de medewerker na een vastgestelde periode een schermwachtwoord ingevoerd moet worden om handelingen te kunnen verrichten. Bij het opstarten van elk werkstation is de gebruiker verplicht een gebruikers-ID en wachtwoord in te geven alvorens van het netwerk van de ISD gebruik gemaakt kan worden. Om vervolgens de afzonderlijke applicaties te starten moet ook per applicatie een gebruikers-ID en wachtwoord ingevoerd worden.

7.4 Verantwoordelijkheden netwerken Binnen de ISD wordt gebruik gemaakt van een netwerk dat onder verantwoordelijkheid valt van ICT Teylingen. 7.4.1

Beleid ten aanzien van netwerkdiensten

ledere medewerker van de ISD ziet na het inloggen op het netwerk slechts de applicaties waar hij voor geautoriseerd is. 7.4.2

Verplichte route

Alle datatransport vindt plaats door middel van vaste bekabeling die gecontroleerd is op betrouwbaarheid. Het WIFI netwerk is gescheiden van het productienetwerk.

7.5 Toegangsbeveiliging 7.5.1

Netwerktoegang

Alle op het netwerk aangesloten werkstations worden bij aanmelding geïdentificeerd door de server. Na het invoeren van een persoonsgebonden gebruikersnaam en wachtwoord kan een medewerker gebruik maken van het werkstation. Bij drie foutieve aanmeldpogingen dient de medewerker zijn account te activeren bij ICT Telingen. De kwaliteit van wachtwoorden wordt bewaakt door het standaard wachtwoordmanagementsysteem, waarbij wachtwoorden beperkt geldig zijn en lastiger te achterhalen zijn. 7.5.2

Systeemhulpmiddelen

De systeemhulpmiddelen, zoals Active Directory, RES workspace manager beschikken over een inlogprocedure, waarbij ook gekeken wordt naar autorisaties.


7.5.3

Gebruik van werkstations

Alle medewerkers kunnen standaard op werkdagen tussen 7:00 en 19:00 toegang krijgen tot het pand van de ISD en daarmee ook zich aanmelden op een werkstation.

7.6 Toegangsbeveiliging voor toepassingen Voor het gebruik van applicaties waarbij gewerkt wordt met persoonsgegevens dient een medewerker een gebruikersnaam en wachtwoord in te voeren. De gebruikersnamen en wachtwoorden worden slechts uitgereikt aan geautoriseerde medewerkers. Deze worden door applicatiebeheer uitgegeven en beheerd.

7.7 Monitoring van toegang tot en gebruik van systemen Logging Suwinet Het Bureau Keteninformatisering Werk en Inkomen (BKWI) heeft rapportages ontwikkeld over de logging van het gebruik van Suwinet-Inkijk. Het BKWI is verplicht om gegevens te loggen waarmee het gebruik van Suwinet-Inkijk per medewerker van o.a. de ISD kan worden nagegaan. De volgende gegevens worden gelogd:

   

het tijdstip van iedere login en log-out en andere actie; de gebruikersnaam van degene die inlogt/uitlogt; elk BSN-nummer (of andere zoeksleutel) waarvan gegevens worden opgevraagd wordt als actie geregistreerd; elke actie, zoals de bekeken kolom- of overzichtspagina 's.

Het doel van deze logging is tweeledig:

1. 2.

tegengaan en controleren van onrechtmatige, onregelmatige of doel overschrijdende verwerking: wetenschappelijke en/of statistische doeleinden.

De gebruikers van Suwinet-Inkijk moeten weten dat over hen gegevens worden verzameld en vastgelegd. Dit is een belangrijk onderdeel van de privacybescherming ten opzichte van deze medewerkers. Met het oog hierop moet de navolgende informatie worden verstrekt aan de medewerkers die (gaan) werken met Suwinet-Inkijk:

     

het bestaan van de logging-applicatie; de (aard van de) gegevens die binnen deze applicatie worden gelogd; doelen van de logging; dat de gelogde gegevens niet voor andere doeleinden worden gebruikt dan waarvoor ze zijn vastgelegd; de wijze van en het moment waarop en door wie een onrechtmatig of doel overschrijdend gebruik van het Suwinet-Inkijk wordt geconstateerd. dat bij bovenstaande constatering dit door de SO wordt gecommuniceerd met de betreffende medewerkers

In het kader van de beveiliging wordt voorgesteld om de gegevens over het gebruik van Suwinet-Inkijk regelmatig te laten uitvragen.


Het betreft dan de volgende gegevens:

1. 2. 3. 4. 5. 6. 7. 8.

Inkijkacties; Opvraging unieke BSN-nummers; Geldige ten opzichte van ongeldige rollen; Inlogpogingen; Administrator accounts; Accounts per status; Opvraging per pagina; Geregistreerde ten opzichte van actieve accounts.

De logging gegevens worden door Security Officer beoordeeld.

Synchronisatie van systeemklokken Handmatige aanpassing van systeemklokken wordt voorkomen door synchronisatie van systeemklokken. Tevens krijgt de medewerker geen toegang een systeemklok van de servers aan te passen.

7.8 Mobiele computers en telewerken We maken gebruik van de VM ware view omgeving in combinatie met laptoppen. Met de laptoppen wordt zo op een afgeschermde omgeving op afstand gewerkt. Hierdoor is het niet noodzakelijk om laatste updates van het besturingssysteem te installeren. In 2015 wordt een basis beveiligingssysteem op de laptoppen geïnstalleerd.


8 Beheer van bedrijfsmiddelen 8.1 Verantwoording van bedrijfsmiddelen In deze paragraaf wordt aangegeven op welke manier de ISD haar bedrijfsmiddelen beveiligt tegen verstoringen. Vooral wordt het in kaart brengen en beheren van de bedrijfsmiddelen bedoeld. Alle belangrijke informatiebedrijfsmiddelen zijn bij de ISD beveiligd.

8.2 Beheer van informatie De data van de systemen van Teylingen wordt realtime gespiegeld van locatie Sassenheim naar Voorhout door het SAN. De “echte” back-up is niet realtime, maar vindt volgens vastgestelde intervallen plaats (minimaal dagelijks) en wordt ook gespiegeld van locatie Sassenheim naar Voorhout. Er wordt alleen naar disks ge-backupt, er wordt niet op tapes weggeschreven en buiten onze locaties bewaard.


9 Beheer van communicatie- en bedieningsprocessen 9.1 Bedieningsprocedures en verantwoordelijkheden De implementatie van eventuele aanvullende softwarefunctionaliteiten wordt geregeld door ICT Teylingen. In overleg met de betreffende applicatiebeheerder wordt een datum gekozen om tot feitelijke installering over te gaan. Alleen medewerkers van ICT Teylingen zijn bevoegd om wijzigingen in de ICT-infrastructuur aan te brengen. Op deze manier wordt voorkomen dat op verschillende plaatsen binnen de organisatie wijzigingen plaatsvinden. De ISD maakt bij calamiteiten op ICT-gebied gebruik van een uitwijkprocedure van de gemeente Teylingen. Iedere medewerker van de ISD heeft toegang tot ICT- voorzieningen die noodzakelijk zijn voor de uitoefening van zijn/haar werkzaamheden. Er is duidelijk sprake van functiescheiding. Per functionaris verschillen, indien van toepassing, de autorisaties. Op deze manier wordt misbruik van voorzieningen tegengegaan. Achteraf vindt er controle plaats op het gebied van de rechtmatigheid van de primaire processen. Deze controle wordt uitgevoerd door de SO. Voor de uitvoerende werkzaamheden met betrekking tot de Centric-applicaties wordt gebruik gemaakt van een testomgeving en een productieomgeving. Nieuwe software versies of patches worden eerst getest in de testomgeving alvorens plaatsing in de productieomgeving.

9.2 Systeemplanning en acceptatie Door applicatiebeheer wordt periodiek bekeken of de capaciteit van de verschillende servers van de ISD nog voldoende is. De medewerkers hebben in deze geen rol. Nieuwe releases en updates worden eerst in de testomgeving uitgeprobeerd, alvorens implementatie in de productieomgeving plaatsvindt. Op deze wijze wordt het risico van foutmeldingen geminimaliseerd. Bij de feitelijke implementatie van wijzigingen wordt overleg gevoerd.

9.3 Bescherming tegen kwaadaardige software Deze paragraaf geeft de maatregelen weer die de ISD heeft genomen om het binnendringen van kwaadaardige software te voorkomen en te ontdekken. De ISD gebruikt voor haar netwerk een firewall om kwaadaardige aanvallen van buitenaf te voorkomen. De verantwoordelijkheid van deze firewall ligt bij applicatiebeheer. Naast het gebruik van een firewall, gebruikt de ISD ook antivirus software. Deze antivirus software is zowel op de servers geplaatst als op alle werkplekken. Applicatiebeheer garandeert dat gebruikt gemaakt wordt van de laatste geactualiseerde versie. Hierover zijn contracten afgesloten met leveranciers. De SO dient 1 x per jaar een audit te laten uitvoeren met betrekking tot de netwerkbeveiliging (hackers proef). Dit om lekken in de beveiliging preventief op te sporen.


9.4 Back-up De ISD maakt gebruik van een specifieke back-upapplicatie die dagelijks een reservekopie aanmaakt en op een andere locatie plaatst. Naast het aanmaken van een reservekopie, slaat de applicatie werkzaamheden (van bijvoorbeeld systeembeheer) en/of storingen op in een logboek. Er zijn afspraken gemaakt voor periodieke controle van de logboeken.

9.5 Netwerkbeheer De ISD maakt geen gebruik van draadloze datacommunicatie. Persoonsgegevens kunnen daardoor onmogelijk draadloos worden uitgewisseld. Uitwisseling van persoonsgegevens vindt plaats op basis van een beveiligde verbinding via Gemnet.

9.6 Behandeling en beveiliging van media De media (cd's, diskettes, USB-geheugen) met gegevens worden op een veilige manier bewaard, afgevoerd of vernietigd. De beschikbare media dienen opgeborgen te worden in een gesloten bureaulade. Als de media niet meer gebruikt worden of stuk zijn dan dienen de media vernietigd te worden. Daarvoor kan het ingeleverd worden bij taakveld Archief en Interne Zaken. Gebruik van persoonsgegevens vindt plaats op basis van functiescheiding. Slechts de medewerkers die bevoegd zijn tot het ontvangen, bewerken en beheren van persoonsgegevens zijn in staat bij deze gegevens te komen. Elektronische systeemdocumentatie (MS Word documenten) is opgeslagen in een aparte map op het netwerk. Alleen bevoegde medewerkers hebben toegang tot deze informatie. De schriftelijke systeemdocumentatie wordt in een afsluitbare kast bij applicatiebeheer bewaard.


10 Ontwikkeling en onderhoud van systemen 10.1 Beveiligingseisen voor systemen Bij de ISD wordt gebruikt gemaakt van één groot netwerk, verdeeld over verschillende servers. Op elke werkplek is de inlogprocedure gelijk. Het beheer en onderhoud van het informatisering netwerk is de verantwoordelijkheid van het applicatiebeheer.

10.2 Beveiliging van toepassingssystemen Iedere medewerker moet zijn eigen toegekende inlognaam en wachtwoord intoetsen alvorens verbinding met het netwerk kan worden gemaakt. Velden met sleutelgegevens zijn afgeschermd om wijzigingen aan de instellingen te voorkomen.

10.3 Crypto grafische beveiliging Binnen de ISD wordt geen gebruik gemaakt van crypto grafische versleuteling bij data verzending, omdat de gegevens al via een beveiligde verbinding worden verzonden.

10.4 Beveiligen van systeembestanden In deze paragraaf wordt vermeld hoe de systeembestanden van de individuele werkplek en servers zijn beveiligd. Servers van de ISD zijn helemaal niet toegankelijk voor individuele gebruikers. Slechts medewerkers van de afdeling automatisering zijn bevoegd om systeembestanden te benaderen.

10.5 Beveiliging bij ontwikkel- en ondersteuningsprocessen Wijzigingen in applicaties worden automatisch gevolgd via een vastgestelde procedure. De procedure wordt door de leverancier (vaak Centric) aangeleverd.


11 Continuïteitsmanagement Het primaire proces is beveiligd tegen uitval. Wanneer er verstoringen optreden van het primaire proces, worden noodplannen in werking gezet. Betreffende calamiteiten zoals brand, bommeldingen etc. is het calamiteitenplan van de ISD van kracht. Er is een uitwijkprocedure voor de ICT omgeving, deze wordt jaarlijks uitgevoerd en aan de wettelijke eisen getoetst.


12 Naleving 12.1 Naleving van wettelijke voorschriften In deze paragraaf wordt de link gelegd tussen informatiebeveiliging en wetgeving. De ISD heeft op verschillende onderdelen te maken met wetgeving waar zij aan moet voldoen. Zaken die te maken hebben met de Wet Bescherming Persoonsgegevens, Archiefwet en Wet SUWI zijn beschikbaar in het algemene archief dat in het gebouw van de ISD is gevestigd. De organisatie maakt gebruik van verschillende applicaties. Er kan een onderscheid gemaakt worden tussen applicaties die alleen gebruikt worden door specifieke afdelingen en applicaties die door de hele ISD worden gebruikt. De informatie betreffende de overige applicaties wordt centraal via applicatiebeheer geregistreerd en gedocumenteerd.

12.2 Beoordeling van de naleving van het beveiligingsbeleid en de technische vereisten Er is een protocol van kracht waarin medewerkers op de hoogte gesteld worden van de richtlijnen hoe om te gaan met internetgebruik. Dit protocol is voor iedere medewerker toegankelijk via het intranet (te vinden onder Personeelsgids).

12.3 Overwegingen ten aanzien van systeemaudits Het samenwerkingsverband Audit Aanpak van het College Bescherming Persoonsgegevens (CBP) en diverse instanties hebben auditproducten ontwikkeld waarmee vastgesteld kan worden hoe de sociale dienst persoonsgegevens verwerkt. Deze producten zijn:

 



De QuickScan: een beknopte vragenlijst waarmee functionarissen binnen een organisatie snel inzicht kunnen verkrijgen in de mate waarin men zich bewust is van de stand van zaken rond de bescherming persoonsgegevens; De WBP Zelfevaluatie: hiermee kan een organisatie zelfstandig en in betrekkelijk korte tijd de kwaliteit van maatregelen voor de bescherming en beveiliging van persoonsgegevens beoordelen. Door bij de uitvoering van de WBP Zelfevaluatie expliciet de sterke punten en verbeterpunten te identificeren, kan een goede basis worden gelegd voor vervolgactiviteiten; Het Raamwerk Privacy Audit: deze audit is bedoeld voor het opstellen van een werkplan voor het uitvoeren van een privacy audit door een (privacy)deskundige auditor. Een privacy audit geeft de leiding van een organisatie met een hoge mate van zekerheid een objectief oordeel over de naleving van de wettelijke bepalingen en daarmee ook inzicht in de sterke en zwakke punten rond de bescherming van persoonsgegevens. Binnen de ISD zal jaarlijks een interne meting plaatsvinden op het gebied van de beveiliging van persoonsgegevens. Deze meting zal verricht worden door de SO.

Naast de CBP metingen dienen ook audits te worden gehouden op het gebruik van Suwinet-Inkijk en DigiD. Ook een IT audit door de accountant wordt jaarlijks uitgevoerd. Hiervoor zijn aparte protocollen opgesteld.


13 Bijlagen De volgende bijlagen zijn bijgevoegd: I. II. III. IV. V. VI.

Integriteitregels Eed integriteitsverklaring Belofte integriteitsverklaring Gedragscode Internet en e-mailgebruik; Privacyreglement e-mail en internetgebruik 10 gouden regels voor informatiebeveiliging;


13.1 Bijlage I. DE TIEN INTEGRITEITSREGELS VAN DE ISD BOLLENSTREEK 1. Ik geef het goede voorbeeld Ik besef dat ik onderdeel ben van de overheid. Ik dien het algemeen belang en probeer met mijn handelen het vertrouwen in de overheid te versterken. Ik houd me aan de wettelijke voorschriften en aan algemeen aanvaarde gedragsregels. Ik treed correct op tegen burgers en bedrijven. Ik discrimineer niet en verleen geen voorkeursbehandelingen. Ik voer mijn werk op een professionele manier uit. Ik geef de ambtelijke leiding en het bestuur juiste, relevante en volledige informatie. Situaties waarin ik niet volgens professionele normen kan werken stel ik intern aan de orde. Ik ga respectvol met mijn collega’s om. Ik houd er rekening mee dat normen en waarden onderling kunnen verschillen. Ik ben aanspreekbaar op mijn gedrag. Ik ga verantwoord om met middelen van de ISD (gelden, diensten, goederen, kennis). Ik vermijd het maken van onnodige kosten. Ik draag verantwoordelijkheid voor mijn eigen handelen. Ik kan de keuzes die ik binnen mijn werk maak verantwoorden. Ik ondersteun de verantwoordelijkheid van mijn leidinggevende door hem of haar waar nodig te informeren.

2. Ik ga vertrouwelijk om met gevoelige informatie Ik ga binnen en buiten mijn werk zorgvuldig om met persoonlijke gegevens van burgers, gegevens van bedrijven en instellingen, politiek gevoelige informatie en andere informatie die in handen van buitenstaanders de belangen van de ISD kunnen schaden. Ik ga functioneel om met gevoelige informatie. Ik respecteer de privacy van cliënten, zakelijke relaties en collega’s. Ik gebruik financiële informatie en voorkennis van beleid alleen voor de uitoefening van mijn functie en niet voor andere doeleinden. Ik ‘lek’ geen vertrouwelijke informatie vanuit de ISD naar buiten. Ik laat niet uit slordigheid buitenstaanders meeluisteren naar een gesprek over het werk of meekijken naar interne stukken. Ik verstrek geen informatie aan media zonder overleg met de leiding. Ik zorg ervoor dat stukken met vertrouwelijke gegevens veilig zijn opgeborgen als ik mijn werkplek verlaat en zorg ervoor dat mijn computer is afgesloten. Informatie waarover het bestuur een geheimhoudingsplicht heeft opgelegd houd ik geheim.

3. Mijn nevenfuncties en privé-activiteiten botsen niet met mijn functie en met de ISD Ik ben me ervan bewust dat activiteiten die ik naast mijn werk verricht het functioneren van de ISD op een of andere manier kunnen raken. Voorbeelden van nevenactiviteiten zijn bestuursfuncties, commissariaten, vrijwilligerswerk, een eigen bedrijfje en vennoot- of aandeelhouderschap. Ik meld een (voorgenomen) nevenactiviteit bij mijn leidinggevende als de activiteit raakvlakken heeft met mijn functie-uitoefening. Een raakvlak is in elk geval aanwezig als ik activiteiten verricht voor een organisatie, instantie of bedrijf dat op een of andere manier banden heeft met de ISD. Ik meld activiteiten die (kunnen) leiden tot een botsing of onverenigbaarheid met ISD-belangen waar ik in mijn functie mee te maken heb. Ik meld een nevenactiviteit ook als deze het risico op schade met zich mee kan brengen voor de organisatie. Zo kan mijn productiviteit eronder lijden als ik in mijn vrije tijd als barkeeper regelmatig tot laat aan het werk bent. Een ander voorbeeld zijn ethisch of politiek omstreden privé-activiteiten van ambtenaren. Die zouden schade kunnen toebrengen aan het imago of de geloofwaardigheid van de ISD. Ik realiseer me dat ook het oordeel van de buitenwereld van belang is. Ik kan mijn ‘petten’ misschien zonder probleem scheiden, maar als mijn nevenactiviteit de schijn van belangenverstrengeling wekt, is dit ook schadelijk voor het vertrouwen in de overheid. Ook financiële belangen in de privé-sfeer (bijvoorbeeld het hebben van aandelen) kunnen een onafhankelijke besluitvorming in de weg staan of de schijn daarvan hebben. Als de organisatie niets weet van mijn financiële belangen, ben ik de enige die kan inschatten of dat belang zich verdraagt met mijn functie-uitoefening. Heb ik in mijn functie een relatie met een bedrijf waar ik persoonlijk een financieel belang in heb, dan vermijd ik risico’s en bespreek dit met mijn leidinggevende.

4. Geschenken, aanbiedingen en incidentele vergoedingen accepteer ik niet Ik accepteer geen geschenken van burgers. Ik accepteer een geschenk van een bedrijf of overige relatie alleen als mijn onafhankelijke opstelling ten opzichte van de gever daardoor niet beïnvloed wordt. Ik ga na of acceptatie van het geschenk verplichtingen schept voor de toekomst. Ik bedenk ook hoe de buitenwereld zou kunnen aankijken tegen het aannemen van een geschenk (In veel gevallen levert dit geen probleem op. Denk aan een fles wijn voor een door u verrichte presentatie, een ceremonieel aan u overhandigd rapport van een bureau of aan bedrijfsattenties, zoals kalenders en pennen. Dergelijke geschenken zijn bedoeld als blijk van waardering voor uw specifieke inspanning of de goede samenwerkingsrelatie. Een geschenk van een derde dat u in verband met uw werk hebt gekregen is in principe eigendom van de ISD). Alle geschenken die ik accepteer meld ik bij mijn leidinggevende (via het noteren ervan in een document op de W-schijf). Geschenken die naar mijn idee meer dan € 50,- waard zijn accepteer ik niet. Ik meld ook 25 Informatiebeveiligingsplan ISD Bollenstreek, mei 2015

aangeboden geschenken die ik niet heb geaccepteerd en in het vooruitzicht gestelde geschenken (bedrijfsattenties, zoals agenda’s, kalenders, pennen, muismatten en hebbedingetjes, hoeft u niet te melden). Aanbiedingen voor privé-werkzaamheden, kortingen op privé-goederen en andere gunsten accepteer ik niet. Geschenken die op mijn huisadres worden aangeboden accepteer ik niet. Indien een geschenk toch thuis is afgeleverd, bespreek ik de bestemming daarvan met mijn leidinggevende. Geschenken die mij worden aangeboden door een relatie die nog iets van mij ‘nodig’ heeft (een opdracht, vergunning, subsidie, beslissing in bezwaarprocedure), accepteer ik niet. Ik accepteer geen geldbedragen. Als afgesproken is dat een derde betaalt voor mijn verrichtingen, gebeurt dat door middel van een factuur aan de ISD. Vanzelfsprekend vraag ik nooit gunsten voor mezelf aan derden.

5. Ik ben terughoudend met uitnodigingen voor deelname aan reizen, congressen, evenementen en diners Ik beoordeel of een uitnodiging relevant is voor de ISD. Ik bespreek alle uitnodigingen met mijn leidinggevende. Ik reis niet op kosten van derden. Als deelname aan een reis functioneel is, dan is er sprake van een dienstreis en gelden de algemene regels: er is toestemming nodig van de leidinggevende en de kosten zijn voor de ISD. Ik neem mijn verantwoordelijkheid bij informele contacten met derden, zoals recepties en etentjes waar alcohol wordt geschonken. Zorg dat ik ‘nee’ kan blijven zeggen als het ‘nee’ moet zijn. Ik ben ervoor verantwoordelijk dat de leiding op de hoogte is van het reilen en zeilen binnen mijn functie-uitoefening. Blijkt achteraf een uitnodiging meer te hebben omvat dan ingeschat, dan laat ik dit aan mijn leidinggevende weten.

6. Ik ga verantwoord om met voorzieningen en personeelsregelingen van de ISD Ik hou privé-gebruik van e-mailsysteem, internet, (mobiele) telefoon, kopieerapparaat en dergelijke beperkt. Ik zorg ervoor dat dit mijn dagelijkse werkzaamheden niet hindert. Ik laat mijn privé-gebruik van apparatuur openlijk zijn, zodat ik erop kan worden aangesproken. Mijn leidinggevende of collega kan een andere opvatting hebben van ‘beperkt gebruik’ dan ik. Ik neem geen ISD-eigendommen mee naar huis. Het lenen van eigendommen voor privé-gebruik is alleen mogelijk als ik daarvoor toestemming van mijn leidinggevende heb gekregen. Ik doe geen privé-bestellingen via de ISD. Ik verzend geen ongefrankeerde privé-post via de postkamer. Ik declareer alleen kosten die ik heb gemaakt. Ik maak eerlijk gebruik van regelingen voor het personeel. Verantwoord gebruik van ISD-middelen betekent ook: naleven van de werktijden en de regels bij ziekteverzuim.

7. Ik scheid de belangen van familieleden, vrienden en ex-collega’s van die van de ISD Ik ben alert op situaties in mijn werk waarin ik met privé-relaties te maken krijg. Ik licht mijn leidinggevende in over aanvragen en offertes van vrienden, familieleden of bedrijven waarin familie of vrienden werkzaam zijn. Ik voorkom de schijn van vriendjespolitiek en behandel dergelijke aanvragen niet zelf. Ik ben terughoudend met het geven van adviezen aan bekenden in de privé-sfeer. Ik ben bedacht op botsing van belangen. Ik let bij het inhuren van ex-collega’s goed op het volgen van de juiste procedure van inhuur en aanbesteding. Ik kan motiveren waarom de inhuur van een ex-ambtenaar als zelfstandige nodig en verantwoord is. Ik realiseer me hoe dat kan overkomen op de buitenwereld die geen achtergrondinformatie heeft. Ik bespreek de risico’s met mijn leidinggevende.

8. Niet-integere zaken maak ik bespreekbaar Ik bespreek twijfels over de integriteit van collega’s zo veel mogelijk met henzelf. Is dit niet mogelijk of leidt dit niet tot resultaat, dan licht ik mijn leidinggevende, de vertrouwenspersoon, de directeur van de dienst of de voorzitter van het dagelijks bestuur in. Ik ben ook zelf aanspreekbaar op mijn handelen en mijn uitlatingen. Collega’s en burgers kunnen mijn werkwijze en mijn woorden anders ervaren dan ik bedoel. Ik meld een vermoeden van fraude of corruptie bij mijn leidinggevende, de vertrouwenspersoon, de directeur van de dienst of bij de voorzitter van het dagelijks bestuur. Bij vermoedens van fraude, maar ook bij andere twijfelachtige zaken, kan ik gebruikmaken van de Klokkenluidersregeling. De ISD is verplicht om een reactie te geven op mijn melding (Wilt u dat niet bekend wordt dat u de misstand aankaart, dan kunt u via de vertrouwenspersoon een melding te doen. Alleen de vertrouwenspersoon is dan op de hoogte van uw identiteit.)

9. Ik draag (als leidinggevende) het integriteitbeleid uit Als leidinggevende geef ik het goede voorbeeld. Ik ben open over mijn manier van werken. Ik ben aanspreekbaar op mijn werkwijze en houding naar mijn medewerkers. Bij twijfel en vragen over de juiste handelwijze kunnen medewerkers bij mij terecht. Ik bespreek twijfels en vragen over integriteit in 26 Informatiebeveiligingsplan ISD Bollenstreek, mei 2015

werkverband en stimuleer medewerkers hetzelfde te doen. Ik ben alert op risicogevoelige situaties waarin medewerkers terecht kunnen komen en draag bij aan hun weerbaarheid daartegen. Ik spreek medewerkers aan op dubieus gedrag, maak afspraken en tref zonodig maatregelen.

10. De ISD Bollenstreek is een integere organisatie… …en daar lever ik een actieve bijdrage aan waardoor de ISD voor medewerkers, burgers, zakenpartners en andere belanghebbenden een open en eerlijke organisatie is.


13.2 Bijlage II. Eed integriteitsverklaring

VERKLARING EED

Ik verklaar kennis te hebben genomen van de regels met betrekking tot integriteit zoals deze zijn vastgelegd in:  

de volgens de Ambtenarenwet 1929 toepasselijke wetsbepalingen de Gedragscode voor ambtenaren bij de ISD Bollenstreek,

welke mij in het kader van de dienstverhouding met de ISD Bollenstreek ter kennis zijn gesteld. Ik zweer dat ik me aan deze regels zal houden en me zal gedragen volgens de Gedragscode. Ik zweer overigens dat ik plichtsgetrouw en nauwgezet de mij opgedragen taken zal vervullen en me zal gedragen zoals een goed ambtenaar betaamt, dat ik zorgvuldig, onkreukbaar en betrouwbaar zal zijn en dat ik niets zal doen dat het aanzien van het ambt zal schaden.

Zo waarlijk helpe mij God Almachtig!

Handtekening:

Datum:

Naam en voorletters:

Functie:


13.3 Bijlage III. Belofte integriteitsverklaring

VERKLARING BELOFTE Ik verklaar kennis te hebben genomen van de regels met betrekking tot integriteit zoals deze zijn vastgelegd in: de volgens de Ambtenarenwet 1929 toepasselijke wetsbepalingen de Gedragscode voor ambtenaren bij de ISD Bollenstreek, welke mij in het kader van de dienstverhouding met de ISD Bollenstreek ter kennis zijn gesteld. Ik beloof dat ik me aan deze regels zal houden en me zal gedragen volgens de Gedragscode. Ik beloof overigens dat ik plichtsgetrouw en nauwgezet de mij opgedragen taken zal vervullen en me zal gedragen zoals een goed ambtenaar betaamt, dat ik zorgvuldig, onkreukbaar en betrouwbaar zal zijn en dat ik niets zal doen dat het aanzien van het ambt zal schaden.

Dat verklaar en beloof ik!

Datum:

Handtekening:


13.4 Bijlage IV. Gedragscode email en internetgebruik

Nota Gedragscode e-mail en internet gebruik ISD BOLLENSTREEK Februari 2009


1. BEHEERORGANISATIE E-MAIL EN INTERNET GEBRUIK 1.1 Inleiding Elektronische verzending van berichten wordt binnen onze ISD- organisatie de laatste jaren steeds vaker gebruikt. Behalve voor berichten wordt e-mail ook gebruikt om bestanden en documenten uit te wisselen. Met de komst van Internet in onze organisatie krijgen we ook de mogelijkheid om e-mail extern te verzenden en te ontvangen. De voordelen hiervan zijn groot; afstanden spelen geen rol meer en de kosten zijn laag. E-mail en internet zal als communicatiemiddel voorlopig de bestaande schriftelijke en telefonische communicatie niet vervangen. Het is vooral een uitbreiding van bestaande communicatiemogelijkheden. De mogelijkheden om berichten te ontvangen en te verzenden brengen ook nieuwe verantwoordelijkheden met zich mee voor de gebruikers. Wat haal je allemaal binnen en welke risico's zijn daaraan verbonden? Hoe regel je de registratie en archivering? Deze notitie beschrijft het ISD-beleid voor dit soort vraagstukken. 1.2 Begrippen In het vervolg van dit document zal een aantal begrippen worden gebruikt. Om verschil van interpretatie te voorkomen is hieronder een aantal relevante begrippen gedefinieerd zoals ze in dit document gebruikt worden. Publiek: Hiermee wordt gedoeld op burgers en bedrijven die communiceren met de ISD vanuit hun rol als klant. Onder publiek vallen niet de zakelijke contacten die de gemeenten heeft met andere overheden of bedrijven. Formele correspondentie: Met formele correspondentie wordt bedoeld post (tussen de ISD en de wederpartij) waarvan de inhoud:  (rechts)gevolgen heeft of kan hebben voor de wederpartij en/of de ISD;  of een bewijs-of verantwoordingsfunctie heeft of in de toekomst kan krijgen of op andere wijze voor langere tijd van belang kan blijven voor de ISD;  of van belang is voor een juiste interpretatie van andere gegevens of ambtelijke correspondentie. Functioneel emailadres: Een emailadres dat bestaat uit de functienaam gevolgd door @isdbollenstreek.nl. Functionele emailadressen zijn bijvoorbeeld [email protected] on [email protected] Persoonlijk emailadres: Het emailadres dat bestaat uit de naam van de medewerkers gevolgd door @isdbollenstreek.nl. Een persoonlijke adres is bijvoorbeeld [email protected] ISD emailadressen: Alle emailadressen die eindigen op @isdbollenstreek.nl, dit betreft dus zowel de functionele als persoonlijke emailadressen. 1.3 Applicatiebeheer Net zoals bij de kernapplicaties een applicatiebeheerder/systeembeheerder vanuit zijn vakinhoudelijke kennis ondersteuning biedt aan de organisatie voor het pakket, zal voor het gebruik van internet on externe e-mail ook een applicatiebeheerder/systeembeheerder aangesteld moeten worden. Omdat wij deze diensten inkopen bij de gemeente Teylingen zijn dit de systeembeheerders bij de gemeente Teylingen. 2. Gedragscode E-MAIL Om misbruik van e-mail te voorkomen is het nodig een aantal spelregels of te spreken. De werknemers dienen te weten waar ze zich aan moeten houden. Gebruikers e-mail Technisch is het mogelijk elke gebruiker een extern emailadres te geven. De organisatie zal echter een keuze moeten maken wat wenselijk is. In de huidige situatie heeft elke gebruiker een intern emailadres. De volgende autorisaties zijn denkbaar voor externe e-mail:  Elke gebruiker krijgt een extern emailadres  Alleen gebruikers die het voor de uitoefening van hun functie nodig hebben krijgen een extern emailadres.  Alleen functionele emailadressen worden uitgegeven. Geadviseerd wordt elke gebruiker externe e-mail te geven omdat e-mailen steeds meer een algemeen goed wordt waar iedereen over beschikt. 2.1


2.2 Naamgeving Om e-mail te kunnen ontvangen moeten gebruikers een uniek emailadres hebben. Een emailadres is samengesteld uit de eigen naam van de gebruiker plus de domeinnaam (isdbollenstreek.n1) met als koppeling het @ teken. Er wordt geen onderscheid gemaakt tussen hoofd- en kleine letters. Een persoonlijk emailadres zal als volgt worden samengesteld: 1. De eerste voorletter van de voornaam 2. Een punt (.) 3. Indien van toepassing: een of meer tussenvoegsels aan elkaar geschreven 4. De achternaam zonder meisjesnaam. 5. Gevolgd door de domeinnaam @isdbollenstreek.nl Enkele voorbeelden die via bovenstaande systematiek samengesteld zijn:  [email protected]  j. [email protected]  [email protected] Voor emailadressen maakt het geen verschil of hoofdletters of kleine letters worden gebruikt. Het is van belang dat een eenduidige systematiek gebruikt wordt bij het samenstellen van het emailadres. Zo worden vergissingen voorkomen en kan iemand die het emailadres niet kent maar wel de naam van de persoon toch zelf het emailadres samenstellen. Voor de distributie van elektronische postberichten die op het centrale punt worden ontvangen is een centrale dienstpostbus ingericht. Het centrale emailadres van de gemeente is [email protected]. Dit adres is onder het publiek bekend gemaakt via de gangbare media en op de website www.isdbollenstreek.nl. Indien daar behoefte aan bestaat kunnen een aantal "al i as" em ai l adressen a an het ce nt ral e em ail adres worde n gek opp el d, zoal s [email protected] Functionele emailadressen kennen geen vaste systematiek van samenstelling. Enige voorwaarde is dat ze eindigen op @isdbollenstreek.nl. Door afdelingshoofden kunnen functionele emailadressen aangevraagd worden. Het MT dient haar goedkeuring te geven aan de functionele emailadres naam. 2.3 Uitgangspunten gebruik e-mail Voor het gebruik van externe e-mail vanaf de werkplek zijn de volgende uitgangspunten gedefinieerd: Alleen voor zakelijke toepassingen mag gebruik gemaakt worden van de ISD emailadressen die eindigen op @isdbollenstreek.nl. De reden hiervoor is dat de ISD verantwoordelijk is voor hetgeen via deze emailadressen wordt verstuurd. Om ongewenste situaties en misbruik te voorkomen is het daarom niet toegestaan privé e-mail te versturen via deze zogenoemde zakelijke emailadressen.

1.

E-mailen voor privédoeleinden met e-mail adressen die eindigen op @isdbollenstreek.nl is dus niet toegestaan maar in voorkomende gevallen mag wel vanaf het ISD-netwerk gebruik worden gemaakt van een eigen emailadres, zoals jan.smitfreemail.nl om privé e-mail te versturen. Dit kan alleen via de Internet-Browser in combinatie met webbased e-mail, een voorbeeld hiervan is de website www.twigger.nl.

2.

Naast het onderscheid tussen privé en zakelijk wordt onderscheid gemaakt in persoonlijke en functionele emailadressen. Voor het publiek mag in principe alleen gebruik gemaakt worden van het centrale emailadres van de ISD of indien van toepassing een van de functionele emailadressen.

3.

Formele correspondentie mag (in principe) niet via de e-mail worden afgehandeld. De mogelijkheden ontbreken om een waterdicht systeem voor paraferen en ondertekening aan te bieden. Bovendien is het voor derden mogelijk om elektronische berichten onderweg te onderscheppen en te veranderen. Zolang e-mail niet juridisch gelijk gesteld is aan gewone post heeft het de status van een telefoongesprek.

4.

Personeelsvertrouwelijke informatie van de ISD mag niet via de e-mail worden verstuurd. Behalve dat internetverkeer "afgeluisterd" kan worden, kan ook per ongeluk aan een verkeerde geadresseerde het emailbericht worden gestuurd. Ander gevaar is dat de geadresseerde redelijk eenvoudig het bericht met een druk op de knop kan doorzenden naar een groot aantal emailadressen.

5.

Standaard wordt aan elk uitgaand emailbericht aan het einde van de tekst automatisch een disclaimer toegevoegd. Deze disclaimer zal de tekst bevatten: "De informatie, verzonden met dit emailbericht, is uitsluitend bestemd voor de geadresseerde. Gebruik van deze informatie door anderen dan de geadresseerde en door hen die niet gerechtigd zijn van de informatie kennis te nemen, is niet

6.


toegestaan. Vanwege de elektronische verzending van dit bericht kunnen er geen rechten worden ontleend aan (de inhoud van de informatie in) dit emailbericht en de eventueel bijgevoegde documenten. Indien u een formele beslissing van de ISD Bollenstreek wilt waaraan rechtsgevolgen zijn verbonden (zoals een beschikking), is een emailbericht onvoldoende. In dat geval kunt u schriftelijk om een ondertekende brief verzoeken. Zie ook www.isdbollenstreek.nl (onder home). De ISD Bollenstreek staat niet in voor een juiste en volledige overbrenging van de inhoud van een verzonden email, noch voor tijdige ontvangst daarvan". De disclaimer mag niet door de medewerker worden verwijderd. 7. Emailberichten zullen geautomatiseerd gecontroleerd worden op virussen en andere zaken die een bedreiging vormen voor de veiligheid en beveiliging van het computernetwerk. Alle bekende virussen zullen automatisch verwijderd worden. Een virusscanner zal nooit 100% veiligheid kunnen bieden maar wel een dusdanige bescherming bieden dat het gebruik van e-mail verantwoord is. 2.4 Procedure e-mail correspondentie Voor de correspondentie via de e-mail gelden de volgende regels: Aan het publiek wordt als regel het centrale emailadres van de ISD bekend gemaakt of indien van toepassing het betreffende functionele emailadres.

1.

Het centrale emailadres ([email protected]) dient minimaal 1 keer per dag gelezen te worden. De functionele emailadressen dienen minimaal lx per dag gelezen te worden.

2.

3. Er wordt automatisch een ontvangstbevestiging gestuurd en wordt er in de ontvangstbevestiging globaal aangegeven wat de afhandelingprocedure is en termijn waarop reactie verwacht kan worden. Medewerkers die een emailbericht ontvangen van het publiek op het persoonlijk emailadres dienen dit door te sturen naar het functionele emailadres. De medewerker dient de afzender te verzoeken in het vervolg emailberichten aan het betreffende functionele emailadres te richten.

4.

Een aanvraag of verzoek dat per e-mail ingediend wordt mag niet zomaar genegeerd worden. Formele correspondentie die via de e-mail binnenkomt dient daarom door de medewerker beantwoord te worden met de mededeling dat de ISD formele correspondentie via de e-mail niet accepteert.

5.

Elke medewerker is zelf verantwoordelijke voor de beoordeling of het emailbericht formeel of informeel is. Bij twijfel kan advies gevraagd worden aan het afdelingshoofd.

6.

In elk e-mail dat verstuurd wordt vanaf het persoonlijk emailadres dient u uw naam, juiste functiebenaming, postadres en telefoonnummer automatisch te laten vermelden.

7.

8. Medewerkers dienen dagelijks hun persoonlijke e-mail te controleren op nieuwe berichten. Bij langdurige afwezigheid dient het e-mail programma zo ingesteld te worden dat de afzender automatisch een bericht krijgt van afwezigheid. Ook voor e-mail correspondentie geldt dat de manier waarmee er mee wordt omgegaan en het taalgebruik de goede naam van de ISD niet mag aantasten. Een burger die een emailbericht van een ambtenaar ontvangt kan hieraan namelijk rechten en plichten ontlenen. Dat geldt zowel voor een strafrechtelijke aansprakelijkheid als een aansprakelijkheid in het civiele recht.

9.

Emailberichten van en naar het publiek worden in eerste aanleg niet geregistreerd. Mocht registratie noodzakelijk zijn dan kan de email doorgestuurd worden aan de communicatiemedewerker die dan de registratie verzorgt.

10.

11. Ontvangen en verzonden berichten die niet aan regels bij en/of krachtens wettelijke bepalingen zijn gebonden, hebben in beginsel een informeel karakter. Dergelijke berichten kunnen echter direct voor het archief van waarde zijn of dat later worden. Zij kunnen bijvoorbeeld een rol gaan spelen in het primaire proces en een dusdanige informatieve waarde krijgen dat zij kunnen dienen om het verloop van een bepaalde zaak te reconstrueren. Zij kunnen dus een rechtsgevolg hebben en worden daardoor alsnog formele post. Dergelijke inkomende en uitgaande emailberichten dienen door de medewerker zelf gearchiveerd te worden en in afschrift aan de communicatiemedewerker te worden aangeboden. 3. GEDRAGSCODE INTERNET Om de beveiliging van het gemeentelijk netwerk niet in gevaar te brengen en ongewenste situaties te 33 Informatiebeveiligingsplan ISD Bollenstreek, mei 2015

voorkomen is het noodzakelijk een aantal spelregels vast te leggen voor het internet gebruik. 3.1 Gebruikers Internet Technisch is het mogelijk elke gebruiker een internet toegang te geven. De organisatie zal echter een keuze moeten maken wat wenselijk is. De volgende autorisaties zijn denkbaar voor internet toegang:

1. Elke gebruiker krijgt internet toegang; 2. Alleen gebruikers die het voor de uitoefening van hun functie nodig hebben krijgen internet toegang; 3. ledereen krijgt toegang tot GemNet, het besloten intranet met uitsluitend overheidsinformatie, en gebruiker die het voor de uitoefening van hun functie nodig hebben .krijgen ook algehele internet toegang.

4. Alleen gebruikers die het voor de uitoefening van hun functie nodig hebben krijgen internet toegang en er komt een centrale PC waar gebruikers zonder internet toegang kunnen internetten; Geadviseerd wordt om invulling te geven aan autorisatie. 3.2 Uitgangspunten gebruik internet De volgende uitgangspunten gelden voor het internet gebruik:

1. In principe mag internet, net zoals e-mail, alleen gebruikt worden voor zakelijke toepassingen. Voor het privégebruik van internet geldt hetzelfde als het telefoongebruik op werk voor privédoeleinden.

2. Al het internetverkeer wordt geautomatiseerd gecontroleerd op virussen en andere zaken die een

bedreiging vormen voor de veiligheid en beveiliging van het computernetwerk. Onveilig internetbestanden zullen automatisch worden geweerd door de zogenaamde firewall.

3. Van iedere gebruiker wordt het surfgedrag automatisch geregistreerd, het is technisch mogelijk om na te gaan welke pagina's op welk tijdstip bezocht zijn. Dit internet surfgedrag van individuele medewerkers wordt echter niet gemonitord. Indien daar zwaarwegende argumenten voor zijn kan het dagelijks bestuur besluiten de historie van het internet surfgedrag van een medewerker in kaart te laten brengen. De medewerker zal hiervan op de hoogte worden gesteld.

4. De centrale internetserver van de gemeente Teylingen slaat omwille van de snelheid elke webpagina op die opgevraagd wordt. Behalve snelheidswinst kan aan de hand hiervan een overzicht gemaakt worden van het aantal maal dat websites bezocht zijn. De overzichten die dit oplevert zijn geanonimiseerd. De logbestanden worden een maand bewaard en daarna verwijderd.

5. Programma's die een veiligheidsrisico vormen voor het gemeentelijk en ISD- netwerk zijn verboden. Dit zijn in feite alle programma's waarbij bestanden gedeeld worden met andere gebruikers op internet of online met elkaar berichten uitgewisseld kunnen worden. Andere programma's die verboden zijn omdat zij conflicteren met de internetserver van de gemeente zijn alle FTP-programma's en download versnellers. De beveiliging van het netwerk zal zo ingesteld worden dat medewerkers deze programma's in principe niet kunnen gebruiken. 3.3 Aandachtspunten internet gebruik Naast een groot aantal mogelijkheden kent het internet ook een aantal risico's. Een aantal aandachtspunten bij het gebruik van Internet is hieronder opgesomd:

1. Wanneer u informatie van Internet haalt dient u zich ervan te vergewissen dat dit betrouwbare

informatie is. Op veel particuliere website doet men het soms voorkomen dat het een officiële website betreft. Voorbeelden van officieuze websites zijn bijvoorbeeld www.Teylingen.com of www.gemeente-Tevlingen.nl. Daarnaast rust op teksten en afbeeldingen auteursrecht en mogen daarom niet zomaar overgenomen worden. Dit geldt ook voor teksten en afbeeldingen op Internet. Schriftelijke toestemming en bronvermelding is mogelijk maar het is vaak lastig op Internet met zekerheid vast te stellen wat de bron is.

2. Alle gegevens die over Internet verstuurd worden, zoals een emailbericht, een wachtwoord, paspoortnummer enz. enz., kunnen door hackers redelijk eenvoudig onderschept worden. Gegevens over Internet worden namelijk niet in een gesloten envelop verstuurd zoals bij de gewone fysieke post het geval is maar worden als het ware als briefkaarten verstuurd. Op sommige websites wordt dit opgelost door vertrouwelijke gegevens versleuteld te verzenden, dus als het ware een gesloten envelop. Bij zo'n beveiligde websitepagina verschijnt een geel slot onderaan in de werkbalk van uw internet-browser en soms krijgt u ook een melding dat u op een beveiligde webpagina zit. Gegevens die u op die pagina invult en verstuurd worden versleuteld en kunnen daarmee niet zondermeer gelezen 34 Informatiebeveiligingsplan ISD Bollenstreek, mei 2015

worden. Via internet kunnen veel programma's en rapporten gedownload worden. Het downloaden van documenten kent nauwelijks risico's, daarentegen kunnen van programma's niet op voorhand bepaald worden welke werking het programma zal uitvoeren. Zo zou bijvoorbeeld de harddisk gewist kunnen worden. Middels een firewall en virusscanner wordt het gevaar echter tot een minimum teruggebracht daardoor kan in principe aan het netwerk geen schade worden aangebracht. Bij twijfel over de werking van een programma kan de netwerkbeheerder om advies gevraagd worden.

3.

4. Door de beheerders van websites worden veelal logbestanden bijgehouden van het internetgedrag van haar bezoekers. Gegevens die geregistreerd worden zijn: - vanaf welke locatie (URL = volledige website adres) de gebruiker op de website komt (zie tabel). Voor de gemeente is dit www.isdbollenstreek.nl. - van welke organisatie de bezoeker deel uitmaakt of waarbij deze geabonneerd is (zie tweede tabel). Vanaf welke URL kwamen de laatste 5 bezoekers? 1 home.hetnet.nl/zoeken.asp 1 nl.altavista.com/cgi-bin/query 1 079.paqina.n1/079.html 1 www.Teylingen.com/cqi-bin/index/search.cgi 1 haagschecourant.nl/CDA/regioindex Bovenstaande tabel laat zien welke websites bezocht werden voordat gebruiker op de huidige website kwam. Gebruikers zijn dus geenszins anoniem zijn op Internet!

4 januari 4 januari 4 januari 4 januari 5 januari

11:22 13:10 16:03 16:24 8:45

Laat ste 5 bezoekers Nederland (hccnet.n1) Onbekend (62.58.19.x) Nederland (pzh.n1) Nederland (telegraafnet.n1) VS Commercieel (ibm.com)

Bovenstaande tabel laat zien tot welke organisatie de bezoekers behoren en hoe Iaat ze de website bezochten.


Bijlage I NETIQUETTE E-MAIL VERKEER In het algemeen gelden de volgende nettiquette in het e-mail verkeer tussen personen:



Beantwoorden Emailberichten zijn over het algemeen informeel van karakter. Gebruik korte en bondige teksten, zonder in telegramstijl te vervallen. Bij beantwoording van emailberichten is het gevaar dat u snel een spontane reactie geeft waar u later spijt van kan krijgen. Daarom is het verstandig niet meteen te antwoorden. Lees bij beantwoording de vraag en uw antwoord na, verstuur nooit voordat u uw eigen reactie nog eens integraal gelezen hebt;



Beantwoordingtekst: Bij beantwoorden of forwarden is het belangrijk niet in het oorspronkelijke bericht wijzigingen aan te brengen. Gebruik bij beantwoording alleen de ruimte voor of na het oorspronkelijke bericht. Gebruikelijk is de reactie boven de oorspronkelijke tekst te zetten. Meestal wordt de oorspronkelijke tekst automatisch gemarkeerd middels het inspringen van de tekst, met een andere kleur of doordat deze vooraf gegaan wordt met een teken als ">".



Fatsoensnormen: Laat uzelf niet provoceren als u een bericht ontvangt dat niet voldoet aan de gebruikelijke fatsoensnormen. Zeg in uw antwoord dat de toon van het bericht u niet aanstaat en antwoordt alleen op concrete punten. Het is ook een goede tactiek om dergelijke berichten, flames genoemd, gewoon te negeren.



Discussie: Ga nooit een discussie aan via de e-mail door heen en weer e-mail te beantwoorden. E-mail leent zich voor eenvoudige zaken, voor gecompliceerde zaken verdient het de aanbeveling gewoon te bellen en eventueel de conclusies uit het gesprek achteraf op de e-mail te zetten



Hoofdletters: Woorden in hoofdletters schrijven maakt het bericht minder goed leesbaar. Het in hoofdletters schrijven van woorden dient als SCHREEUWEN te worden opgevat!



Forwarden (doorsturen): U dient enige reserves in acht te nemen bij het forwarden (doorsturen) van berichten. Het wordt als onbehoorlijk beschouwd om een e-mail door te sturen zonder vooraf de afzender van het bericht te raadplegen.



Kettingbrieven: Doe niet mee aan kettingbrieven en het doorzenden van reclame uitingen. Ook "ramp" berichten, met het verzoek om deze door te sturen naar zoveel mogelijk andere gebruikers, dienen met de nodige argwaan bekeken te worden. Meestal is er sprake van een "hoax", d.w.z. een bericht dat opzettelijk de wereld is ingestuurd om zoveel mogelijk onrust te veroorzaken en onnodig berichtenverkeer voort te brengen.



Emoties: Wees voorzichtig met het gebruik van grappen, sarcasme e.d. Omdat vaak via de e-mail slechts kale tekst en geen gezichtsuitdrukkingen kunnen worden meegezonden kan de toonzetting soms niet worden herkend. Dit kan aanleiding zijn voor misverstanden. Om toch op een beperkte manier gevoelens te kunnen uitdrukken maakt men gebruik van zogenaamde emoticons, ofwel smileys. Voorbeelden van zo'n smiley zijn: :-) het lachebekje, dus :-( Niet blij, dus Bijlage II

RAPPORT: GOED WERKEN IN NETWERKEN

Ondertitel: Regels voor controle op e-mail en internetgebruik van werknemers Bron: ·Registratiekamer Onderstaand stuk is de management samenvatting van het rapport. Het is ter kennisname toegevoegd omdat veel van de keuzes gebaseerd zijn op de adviezen in dit rapport. E-mail Controle van e-mail is op zichzelf niet verboden. De werkgever is bevoegd om voorwaarden te stellen aan het gebruik van e-mail faciliteiten of bepaalde soorten gebruik te verbieden. De werkgever zal wel de doeleinden moeten bepalen waarvoor hij controle noodzakelijk acht. De maatregelen moeten in een redelijke verhouding staan tot de belangen van de werknemer. Via e-mail zal de werknemer immers niet alleen zakelijk communiceren, maar in sommige gevallen ook privézaken afhandelen. Eveneens zal de 36 Informatiebeveiligingsplan ISD Bollenstreek, mei 2015

werknemer de ruimte moeten worden gelaten om zijn werkzaamheden naar eigen inzicht te verrichten zonder dat zijn baas voortdurend over zijn schouder meekijkt. Continue controle op e-mail - met name op de inhoud ervan - doet daaraan afbreuk. Op grand van de belangenafweging moet de werkgever vervolgens het minst vergaande midde1 kiezen. Internet internetgebruik leidt tot andere risico's voor de werkgever en de werknemer. Voor de werkgever kan het gaan om de beveiliging van het netwerk, het tegengaan van 'verboden gebruik' of het beschermen van andere bedrijfsbelangen zoals bedrijfsgeheimen of de goede naam van de organisatie. Deze risico's doen de behoefte aan controle ontstaan. Voor de werknemer staat vaak diens privacy door de controle onder druk. Maar ook de vrijheid van meningsuiting of de informatievrijheid kan in het geding zijn. Evenals controle op e-mail is controle op het internetgebruik van werknemers echter toegestaan. Met name is de werkgever bevoegd om voorwaarden te stellen aan het gebruik (bijv. tijd en plaats) of bepaalde soorten gebruik te verbieden. Ook hier geldt dat de genomen maatregelen in een redelijke verhouding moeten staan tot de belangen van werknemer en dat de gebruikte middelen niet een verdergaande inbreuk mogen maken op die belangen dan strikt noodzakelijk is. Beknopt overzicht vuistregels voor de werkgever Algemeen 1. Behandel zaken online op dezelfde manier als off line. 2. Stel heldere regels op met de instemming van de ondernemingsraad. 3. Publiceer de regels op een voor de werknemer toegankelijke wijze. 4. Stel vast in hoeverre prive-gebruik van de faciliteiten is toegestaan. Welke software mag daarvoor gebruikt worden. 5. Maak verboden gebruik zoveel mogelijk softwarematig onmogelijk. 6. Anonimiseer rapportages en gebruiksstatistieken. 7. Houdt rekening met de back-ups van het systeem. 8. Garandeer de integriteit van de systeembeheerder. 9. Bespreek geconstateerd gedrag zo spoedig mogelijk met betrokkene. 10. Biedt inzage in de gegevens. 11. Evalueer de regels periodiek. E-mail/internet 12. Zorg voor een scheiding in zakelijke mail en privé-mail. Zo dit niet mogelijk is, ontzie privé mail dan zoveel mogelijk. 13. Beperk de controle tot het vooraf geformuleerde doel. Voorzie in op de doeleinden toegesneden controlemechanismen. Doeleinden kunnen zijn: - Begeleiding / individuele beoordeling - Bewijs / archief - Systeem- en netwerkbeveiliging - Controle op bedrijfsgeheimen - Voorkomen van negatieve publiciteit Tegengaan van seksuele intimidatie - Naleving afspraken over verboden gebruik - Kostenen capaciteitsbeheersing 14. Voer de controles op naleving zo beperkt mogelijk uit (maatwerk). 15. Beperk de logging van het netwerkgebruik tot de verkeersgegevens (e-mail) of de gegevens die noodzakelijk zijn voor het doel (internet). 16. Bewaar de loggegevens niet langer dan noodzakelijk is. - E-mail: 1 maand - Internet: 1 maand


13.5 Bijlage V. Privacyreglement e-mail en internetgebruik PRIVACYREGLEM ENT E-MAIL- EN INTERNETGEBRUIK Het dagelijks bestuur van de Intergemeentelijke Sociale Dienst Bollenstreek gelet op: - het feit dat de Intergemeentelijke Sociale Dienst Bollenstreek aan degenen die bij haar organisatie werkzaam zijn e-mailen internet faciliteiten ter beschikking stelt om met behulp daarvan hun functie uit te oefenen - de wenselijkheid een Privacyreglement vast te stellen waarin naast regels voor e-mailen internetgebruik eveneens regels zijn opgenomen voor het vastleggen en monitoren van dit gebruik - het bepaalde in de Wet bescherming persoonsgegevens - de instemming met het Privacyreglement door de Ondernemingsraad van [nader in te vullen] besluit het volgende Privacyreglement e-mailen internetgebruik vast te stellen: HOOFDSTUK 1 DEFINITIES, REIKWIJDTE EN DOELEINDEN Artikel 1 Definities In dit Privacyreglement wordt verstaan onder: 1. Wbp: Wet bescherming persoonsgegevens; 2. College bescherming persoonsgegevens: het College als bedoeld in artikel 51 Wbp; 3. ISD: de Intergemeentelijke Sociale Dienst Bollenstreek; 4. Betrokkene: gebruiker van de elektronische communicatiemiddelen op wie een persoonsgegeven betrekking heeft en die aan te merken is als: a. medewerker in dienst van de ISD b. persoon die (betaalde of niet-betaalde) werkzaamheden voor de ISD verricht, anders dan in ambtelijk dienstverband; 5. E-mail faciliteiten: de door of namens de ISD aan betrokkenen ter beschikking gestelde e-mail faciliteiten; 6. Internet faciliteiten: de door of namens de ISD aan betrokkenen ter beschikking gestelde internet faciliteiten; 7. Elektronische communicatiemiddelen: e-mailen/of internet faciliteiten; 8. Persoonsgegeven: elk gegeven betreffende een geïdentificeerde of identificeerbare natuurlijke persoon in de zin van de Wbp; 9. Verwerken van persoonsgegevens: elke handeling of elk geheel van handelingen met betrekking tot persoonsgegevens, waaronder in ieder geval het verzamelen, vastleggen, ordenen, bewaren, bijwerken, wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiding of enige andere vorm van terbeschikkingstelling, samenbrengen, met elkaar in verband brengen, alsmede het afschermen, uitwissen of vernietigen van gegevens; 10. Bestand: elk, al dan niet geautomatiseerd, gestructureerd geheel van persoonsgegevens, ongeacht of dit geheel van gegevens gecentraliseerd is of verspreid is op een functioneel of geografisch bepaalde wijze, dat volgens bepaalde criteria toegankelijk is en betrekking heeft op verschillende personen; 11. Verantwoordelijke: het dagelijks bestuur, zijnde het bestuursorgaan dat het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt; 12. Onrechtmatig gebruik dan wel misbruik van de elektronische communicatiemiddelen: een doen of nalaten in strijd met dit Privacyreglement of andere weten regelgeving of een inbreuk op een recht. Artikel 2 Reikwijdte 1. Dit Privacyreglement is van toepassing op het verwerken van persoonsgegevens inzake het gebruik van elektronische communicatiemiddelen. 2. Dit Privacyreglement geldt voor medewerkers in dienst van de ISD en personen die (betaalde of niet-betaalde) werkzaamheden voor de ISD verrichten, anders dan in ambtelijk dienstverband. Artikel 3 Doeleinden 1. De verwerking van persoonsgegevens inzake het gebruik van de elektronische communicatiemiddelen heeft de volgende doeleinden: a. het verkrijgen van inzicht in de mate van gebruik van de elektronische communicatiemiddelen; b. het voorkomen van onrechtmatig gebruik dan wel misbruik van de elektronische communicatiemiddelen. 3. De omvang van de controle ter voorkoming van onrechtmatig gebruik dan wel misbruik van de 38 Informatiebeveiligingsplan ISD Bollenstreek, mei 2015

elektronische communicatiemiddelen als bedoeld in het eerste lid sub b, wordt zo beperkt mogelijk gehouden, in die zin dat deze in redelijke verhouding staat tot het doel waarvoor deze wordt aangewend. HOOFDSTUK 2 VERANTWOORDELIJKH EDEN EN BEHEER Artikel 4 Verantwoordelijkheden en beheer 1. Door de verantwoordelijke worden de nodige maatregelen getroffen opdat persoonsgegevens, gelet op de doeleinden waarvoor zij worden verwerkt, juist en nauwkeurig zijn. 2. Door de verantwoordelijke worden passende technische en organisatorische maatregelen ten uitvoer gelegd om persoonsgegevens te beveiligen tegen verlies of tegen enige vorm van onrechtmatige verwerking. 3. Door de verantwoordelijke worden één of meerdere systeembeheerders bij de gemeente Teylingen aangewezen die belast zijn met het beheer van het (de) bestand(en). Deze systeembeheerders zijn, op grond van artikel 125a, derde lid, Ambtenarenwet, verplicht tot geheimhouding van de persoonsgegevens waarvan zij kennis nemen, behoudens voor zover enig wettelijk voorschrift hen tot mededeling verplicht of uit hun taak de noodzaak tot mededeling voortvloeit. HOOFDSTUK 3 GEBRUIK ELEKTRONISCHE COMMUNICATIEMIDDELEN Artikel 5 Gebruik elektronische communicatiemiddelen 1. Betrokkenen gebruiken de elektronische communicatiemiddelen primair voor het uitvoeren van de aan hen door de ISD opgedragen taken. 2. Incidenteel privégebruik van de elektronische communicatiemiddelen door betrokkenen is toegestaan mits dit gebruik in overeenstemming is met dit Privacyreglement en dit gebruik in geen geval storend is voor dan wel ten koste gaat van het uitvoeren van de aan hen door de ISD opgedragen taken. 3. Het is betrokkenen niet toegestaan met behulp van de e-mail faciliteiten kettingbrieven te versturen of pornografisch materiaal te versturen of op te vragen, dan wel dreigende, seksueel intimiderende, racistische of discriminerende opmerkingen te maken. Evenmin is het betrokkenen toegestaan met behulp van de e-mail faciliteiten illegale software te verzenden of op te vragen dan wel bestanden zonder voorafgaand overleg met de systeembeheerder(s) te verzenden of op te vragen waarvan betrokkene redelijkerwijs moet aannemen dat deze te omvangrijk zijn. 4. Het is betrokkenen niet toegestaan met behulp van de internet faciliteiten bewust internetsites die pornografisch, dan wel racistisch materiaal bevatten te bezoeken, mee te doen in chat-sessies, online te gokken, illegale software te downloaden dan wel zonder voorafgaand overleg met de systeembeheerder(s) bestanden te downloaden waarvan betrokkene redelijkerwijs moet aannemen dat deze te omvangrijk zijn. 5. Indien betrokkenen met gebruik van de internet faciliteiten handelingen verrichten die als email toepassingen zijn te kwalificeren, dan zijn de bepalingen van artikel 5, derde en vierde lid, van overeenkomstige toepassing. 6. Betrokkenen zullen bij het gebruik van de elektronische communicatiemiddelen de nodige zorgvuldigheid betrachten en de integriteit en goede naam van de ISD waarborgen. Artikel 6 Voorkomen onrechtmatig gebruik dan wel misbruik De ISD neemt zoveel mogelijk maatregelen in technische zin ter voorkoming van onrechtmatig gebruik dan wel misbruik van de elektronische communicatiemiddelen. HOOFDSTUK 4 VASTLEGGING, BEWARING, VERWIJDERING EN VERSTREKKING PERSOONSGEGEVENS Artikel 7 Vastlegging 1. Elektronisch vastleggen van persoonsgegevens geschiedt (automatisch) door de door de ISD en de (aangewezen systeembeheerders van de) gemeente Teylingen ingezette software. 2. De vastlegging beperkt zich tot de gegevens die noodzakelijk zijn voor de doeleinden van de verwerking als bedoeld in artikel 3, te weten: a. voor het verkrijgen van inzicht in de mate van gebruik van de elektronische communicatiemiddelen worden alleen stroom- en soortgegevens vastgelegd; b. voor het voorkomen van onrechtmatig gebruik dan wel misbruik van de elektronische communicatiemiddelen wordt het gebruik van de elektronische communicatiemiddelen op individueel en inhoudelijk niveau gevolgd; dit geschiedt slechts bij een redelijk vermoeden van onrechtmatig gebruik dan wel misbruik van de elektronische communicatiemiddelen. 39 Informatiebeveiligingsplan ISD Bollenstreek, mei 2015

Artikel 8 Persoonsgegevens 1. In de in artikel 7 genoemde vastlegging worden ten hoogste de volgende persoonsgegevens opgenomen: a. gebruikersidentificatie, naam, voornaam of voorletters van de betrokkene; b. naam en/of codering van de afdeling waaronder de betrokkene valt; c. gegevens over de toegang tot internet die door de ISD is geboden aan de betrokkene, inclusief gebruikersnaam en internet Protocol-adres; d. gegevens betreffende de datum en het tijdstip van het openen en sluiten van de toegang tot internet door de betrokkene en gegevens betreffende de datum en het tijdstip van het verzenden, dan wel ontvangen van e-mailberichten door de betrokkene; e. gegevens, inclusief datum en tijdstip, betreffende de door de betrokkene bezochte internetsites (internet Protocol-adressen en (de onderdelen van) de webpagina’s); f. de inhoud van de door de betrokkene verzonden, dan wel ontvangen e-mailberichten. 2. Indien er een redelijk vermoeden bestaat van onrechtmatig gebruik dan wel misbruik van de elektronische communicatiemiddelen door betrokkene, kan door de verantwoordelijke opdracht worden gegeven om de in het eerste lid, sub e en/of f van dit artikel bedoelde gegevens vast te leggen en te verstrekken aan de personen bedoeld in artikel 10. Artikel 9 Bewaring en verwijdering 1. De in artikel 8, eerste lid, genoemde persoonsgegevens worden maximaal zes maanden bewaard. Gegevens die ouder zijn dan zes maanden worden automatisch verwijderd, tenzij er een redelijk vermoeden bestaat van onrechtmatig gebruik dan wel misbruik van de elektronische communicatiemiddelen in die periode. In dat geval worden de gegevens uit die zes maanden bewaard zolang dit in het kader van nader onderzoek en eventueel te treffen maatregelen jegens een betrokkene noodzakelijk is. Zodra een nader onderzoek is afgerond en dit niet leidt tot maatregelen jegens een betrokkene worden de gegevens verwijderd. 2. Indien de systeembeheerder om technische redenen persoonsgegevens als bedoeld in artikel 9, eerste lid, niet kan verwijderen, wordt onder verwijderen verstaan het niet meer verstrekken van deze gegevens voor de in artikel 3 geformuleerde doeleinden. Artikel 10 Personen aan wie persoonsgegevens worden verstrekt 1. De vastgelegde persoonsgegevens worden, na bewerking, verstrekt aan: a. de directeur om inzicht te verkrijgen in de mate van gebruik van de elektronische communicatiemiddelen. Het betreft hier dan slechts de gegevens als bedoeld in artikel 8, eerste lid, sub a tot en met d in geaggregeerde, niet tot de persoon herleidbare vorm. b. de verantwoordelijke indien er een redelijk vermoeden bestaat van onrechtmatig gebruik dan wel misbruik van de elektronische communicatiemiddelen. Het betreft hier dan de gegevens als bedoeld in artikel 8, eerste lid. c. degene(n) die op verzoek van de verantwoordelijke is (zijn) belast met of leiding geeft (geven) aan onderzoek naar onrechtmatig gebruik dan wel misbruik van de elektronische communicatiemiddelen. Het betreft hier dan de gegevens als bedoeld in artikel 8, eerste lid. HOOFDSTUK 5 RECHTEN VAN BETROKKENE: VERBETEREN, AANVULLEN, VERWIJDEREN OF AFSCHERMEN PERSOONSGEGEVENS Artikel 11 Rechten van de betrokkene 1. Aan de betrokkene die daarom aan verantwoordelijke verzoekt wordt een overzicht verschaft van de hem/haar betreffende persoonsgegevens die worden verwerkt. Indien een gewichtig belang van de verzoeker dit eist, voldoet de verantwoordelijke aan dit verzoek in een andere dan schriftelijke vorm, die aan dat belang is aangepast. 2. Degene aan wie overeenkomstig het eerste lid kennis is gegeven van de hem betreffende persoonsgegevens, kan de verantwoordelijke verzoeken deze te verbeteren, aan te vullen, te verwijderen, of af te schermen indien deze feitelijk onjuist zijn, voor het doel of de doeleinden van de verwerking onvolledig of niet ter zake dienend zijn dan wel anderszins in strijd met een wettelijk voorschrift worden verwerkt. Het verzoek bevat de aan te brengen wijzigingen. 3. De verantwoordelijke bericht de verzoeker binnen vier weken na ontvangst van het in het tweede lid genoemde verzoek schriftelijk of, dan wel in hoeverre, hij daaraan voldoet. Een weigering is met redenen omkleed. Een beslissing op een verzoek geldt als een besluit in de zin van artikel 1:3, Algemene wet bestuursrecht. 40 Informatiebeveiligingsplan ISD Bollenstreek, mei 2015

4. De verantwoordelijke draagt er zorg voor dat een beslissing tot verbetering, aanvulling, verwijdering of afscherming zo spoedig mogelijk wordt uitgevoerd. HOOFDSTUK 6 SANCTIES, OPENBAARMAKING, INWERKINGTREDING EN SLOTBEPALING Artikel 12 Sancties 1. Overtreding van dit Privacyreglement kan voor medewerkers in dienst van de ISD resulteren in disciplinaire maatregelen als bedoeld in de Arbeidsvoorwaardenregeling van de ISD. 2. Overtreding van dit Privacyreglement kan voor personen die (betaalde of niet-betaalde) werkzaamheden voor de ISD verrichten, anders dan in ambtelijk dienstverband, resulteren in: a. maatregelen waardoor deze personen, al dan niet tijdelijk, geen beschikking meer hebben over (een deel van) de elektronische communicatiemiddelen. b. opzegging van de privaatrechtelijke overeenkomst met deze persoon of de organisatie waarvoor deze persoon werkzaam is. Artikel 13 Onvoorziene omstandigheden In gevallen waarin dit Privacyreglement niet voorziet of bij twijfel omtrent de toepassing van dit Privacyreglement beslist het dagelijks bestuur. Artikel 14 Openbaarmaking en inwerkingtreding 1. Dit Privacyreglement wordt verstrekt of ter beschikking gesteld aan al degenen die, direct of indirect, de beschikking krijgen over elektronische communicatiemiddelen. 2. Dit Privacyreglement treedt in werking op [nader in te vullen]. Artikel 15 Slotbepaling Onverminderd het bepaalde in dit Privacyreglement, zal op het verwerken van persoonsgegevens de op 1 september 2001 in werking getreden Wbp van toepassing zijn.


13.6 Bijlage VI. 10 Gouden Regels voor informatiebeveiliging 1. Beheren van wachtwoorden De medewerker moet het door het applicatiebeheer uitgegeven wachtwoord wijzigen zodra de eerste inlog plaatsvindt. Vervolgens vervalt dat wachtwoord iedere keer na 90 dagen. De gebruiker heeft dus het eigen beheer over het wachtwoord. Zodra een medewerker de ISD verlaat, wordt het account verwijderd. Wanneer het account 12 weken niet wordt gebruikt, wordt het account automatisch geblokkeerd. Het account kan eventueel direct geactiveerd worden door medewerkers van applicatiebeheer. 2. Melden van beveiligingsincidenten Het is belangrijk dat beveiligingsincidenten worden gemeld bij applicatiebeheer. Voorbeelden van incidenten zijn: een virusmelding op het systeem of een inbraak of poging tot inbraak. 3. Geheimhoudingsplicht Binnen de ISD wordt met persoonsgegevens gewerkt. Voor het werken met en de omgang met persoonsgegevens zijn vanuit de overheid een aantal regels opgesteld, die zijn verwoord in de Wet bescherming persoonsgegevens (WBP). 4. Gedragscode internet- en emailgebruik De ISD hanteert een protocol voor gebruik van email en internet. In dit protocol is aangegeven hoe de medewerkers behoren om te gaan met email en internet op de werkplek. Tevens bevat dit protocol regels voor de manier waarop het gebruik van externe email en internet wordt geobserveerd. Het protocol is voor alle medewerkers van de ISD te raadplegen op het Intranet. 5. Kennisnemen van het informatiebeveiligingsbeleid Het binnen de ISD geldende informatiebeveiligingsbeleid (inclusief instructies en protocollen) is op iedereen binnen de organisatie van toepassing. Alle medewerkers kunnen een exemplaar van de beveiligingsplan downloaden via intranet. Jaarlijks, bij de evaluatie van het beveiligingsplan, wordt dit onderwerp geagendeerd voor het werkoverleg. 6. Gegevensverstrekking aan derden via de telefoon Het uitgangspunt is dat er met terughoudendheid aan verzoeken om telefonische informatie over personen wordt tegemoetgekomen. Het voeren van telefoongesprekken brengt namelijk de risico's met zich mee dat de identiteit van de gesprekspartner verkeerd wordt vastgesteld of dat persoonsgegevens worden verstrekt aan personen die geen recht op informatie hebben. In principe wordt er dan ook geen telefonische informatie over klanten verstrekt aan personen of instanties die beweren namens betrokkene te bellen. In die gevallen kan er een schriftelijk verzoek worden ingediend, voorzien van een machtiging. Bij een verzoek om telefonische informatieverstrekking van een ketenpartner wordt de verzoeker teruggebeld via het algemene nummer van de (vestiging van de) keten partner met het verzoek te worden doorverbonden. Dit terugbellen kan achterwege blijven indien afkomstig van een vaste contactpersoon.

7. Clear desk en clear screen policy De vertrouwelijke omgang met persoonsgegevens houdt onder andere in dat elke werkplek zodanig is ingericht, dat onbevoegden niet de beschikking kunnen krijgen over deze informatie. Vertrouwelijke gegevens mogen niet onbeheerd op het bureau achterblijven. Dossiers worden bewaard in een kast die na werktijd wordt gesloten. Bezoekers dienen zich bij binnenkomst in het pand van de ISD eerst te melden bij de receptie. De kans is derhalve gering dat onbevoegden zonder te worden opgemerkt toegang krijgen tot de werkplek van de medewerkers. Clear screen betekent dat het werkstation moet worden vergrendeld met behulp van schermbeveiliging (met wachtwoord). De screensaver is zodanig ingesteld dat je handmatig de schermbeveiliging kan activeren of dat na een 15-aantal minuten de schermbeveiliging intreedt. Dit is door applicatiebeheer voor iedere medewerker standaard ingesteld.

8. Geen vertrouwelijke gegevens in de prullenbak De correcte omgang met vertrouwelijke gegevens - waaronder persoonsgegevens - is erg belangrijk binnen de organisatie. Ook het vernietigen van deze gegevens moet op een veilige manier plaatsvinden. Daarom zijn er in de Repro-ruimte (kamer 1.01), op de kamers van de sectorhoofden en de kamer van de gemeentesecretaris papierversnipperaars geplaatst. Vertrouwelijke gegevens dienen niet terecht te komen in een prullenbak of een bak die bestemd is voor oud papier. 42 Informatiebeveiligingsplan ISD Bollenstreek, mei 2015

9. Aanspreken van onbekende personen In het geval dat een medewerker van de gemeente ISD een voor hem/haar onbekende persoon in de gang van de afdeling tegenkomt waar officieel geen publiek zonder begeleiding mag komen, dient de medewerker deze persoon aan te spreken, zichzelf voor te stellen en de persoon in kwestie te vragen wat hij/zij hier doet. Personen die niet bevoegd zijn om zich op deze plek te bevinden worden hierdoor op deze overtreding gewezen. Het is de taak van de medewerker om hun beleefd maar duidelijk de weg naar het publieke gedeelte van het gebouw te wijzen en ze daar naar toe te begeleiden.

10. De dagelijkse werkzaamheden vs. Informatiebeveiliging Informatiebeveiliging is uitermate belangrijk voor het werk binnen de organisatie waar veelvuldig met privacygevoelige informatie wordt gewerkt en hoort dan ook bij de professionele en bekwame uitvoering van het werk. Ook de burgers vertrouwen op een zorgvuldige wijze van verwerken van hun gegevens. Reden waarom middels het werkoverleg geregeld aandacht voor dit onderwerp besteed dient te worden.


Informatiebeveiligingsplan ISD Bollenstreek Versie 1.0

Recommend Documents