Beveiligingsplan Suwinet afdeling Werk Inkomen en Zorg
Steller: M. de Lange Versie: 4 Datum: 13 mei 2013 (aangepast)
1. Inleiding Het Bureau Keteninformatisering werk en inkomen (BKWI), de stichting Inlichtingenbureau Gemeenten (IB), het Uitvoeringsinstituut Werknemersverzekeringen Werkbedrijven (UWV Werkbedrijven) en gemeenten wisselen persoonsgegevens met elkaar uit via Suwinet-Inkijk, een elektronische infrastructuur. Met de faciliteit Suwinet-Inkijk worden gegevens op basis van burgerservicenummers toegankelijk gemaakt voor bevoegde medewerkers. Het gaat over privacygevoelige gegevens over arbeidsverleden, loon, uitkeringen en opleidingen van burgers die in aanmerking (willen) komen voor een uitkering. De organisaties hebben die gegevens nodig om het recht op een uitkering vast te kunnen stellen en de juiste dienstverlening te kunnen leveren. Om de SUWI keten effectief te laten functioneren moeten partijen er op kunnen vertrouwen dat hun gegevens door de partners in de Suwiketen op een zorgvuldige en controleerbare wijze worden behandeld. De wetgever heeft bij de start van Suwinet in 2002 aangegeven dat gegevensbeveiliging noodzakelijk is. Voor alle Suwinet-partijen gelden beveiligingsvoorschriften welke zijn uitgewerkt in de regeling Suwi. Naar aanleiding van een brief van de Inspectie Werk en Inkomen (IWI) in december 2009 hebben wij binnen Werk Inkomen en Zorg (WIZ) met een werkgroep een risicoanalyse gemaakt van het gebruik van Suwinet. Die analyse is in het AO besproken en heeft geleid tot de opdracht aan Team Bedrijfsondersteuning (BO) een beveiligingsplan te maken dat aan de door ons zelf vastgestelde risico’s tegemoet komt.
2. Verantwoordelijkheid afdeling Werk Inkomen en Zorg Het afdelingshoofd WIZ is eindverantwoordelijke voor het gebruik en de beveiliging van Suwinet Inkijk. Aan deze verantwoordelijkheid wordt invulling gegeven door: 1. 2. 3. 4.
drie maandelijkse controles uit te voeren (teamleider BO) op logging gegevens Doel: controleren of het gebruik van de gegevens binnen Suwinet-Inkijk plaatsvindt binnen de geldende regels. jaarlijkse controle door Informatie-en Applicatiebeheer (I&A) op de actualiteit en volledigheid van het beveiligingsplan; Verantwoording af te leggen over de beveiliging van het gebruik van Suwinet. I&A zal in een jaarlijks rapporteren over het beveiligingsplan en hoe de uitvoering hiermee omgaat; op basis van de Suwi-net autorisaties door I&A toegang verlenen aan medewerkers van de afdeling werk inkomen en zorg;
5.
elk maand wordt de lijst van autorisaties geschoond op niet gebruikte accounts;
6.
aanstellen van een Security Officer.
1
3. Gebruik Suwinet-Inkijk Er zijn acht functiegroepen die gebruikmaken van Suwinet-Inkijk voor het raadplegen van cliëntgegevens/informatie te weten: - Informatie en applicatiebeheerder; - Interne controle; - Administratieve Financiële Medewerkers (uitkeringsadministratie); - Consulenten (coaches werk inkomen en zorg en intakers ); - Inburgeringconsulenten; - Algemeen Administratief Medewerkers; - Debiteurenbeheerders; - Preventiemedewerkers. Per functiegroep is gekeken in welke gevallen en in welke mate van Suwinet-Inkijk gebruikt gemaakt mag/kan worden. We spreken in die gevallen van geoorloofd gebruik. Wordt Suwinet om andere redenen gebruikt dan zoals hieronder verwoord, dan is er in principe sprake van ongeoorloofd gebruik. Afspraken over gebruik van het Suwinet-Inkijk: Het gebruik van Suwinet-Inkijk of wel de toewijzing van de autorisaties heeft plaatsgevonden op basis van de “handreiking autorisaties gemeenten” . Deze handreiking is uitgegeven door BKWI / Suwinet-Inkijk. Kijkende naar de functiegroepen is door I&A een beoordeling gemaakt welke gegevens beschikbaar moeten zijn voor een betreffende functionaris om zijn of haar taak goed uit te kunnen voeren. De omschreven functiegroepen hebben geleidt tot de in de bijlage omschreven rollen. Voorop staat dus dat een gebruiker een goede beoordeling kan maken van zowel de rechtmatigheid- als doelmatigheid. Tevens om in de beoordeling een goed beeld te verkrijgen van draagkracht, hoogte van het inkomen, werkgever en actuele adres en woonplaats gegevens. Ook is bij het toebedelen van de rollen rekening gehouden met de Wet éénmalige gegevensuitvraag werk en inkomen (WEU). Uit de rapportages van de medewerkers moet de reden van het raadplegen van Suwinet-Inkijk kunnen worden gemotiveerd.
2
4. Controle op zorgvuldig gebruik van Suwinet Het BKWI is verplicht om gegevens te loggen waarmee het gebruik van Suwinet-Inkijk per medewerker van de afdeling WIZ wordt nagegaan. De volgende gegevens worden gelogd: - het tijdstip van iedere log-in en log-out en andere actie; - de gebruikersnaam van degene die inlogt/uitlogt; - elk BS-nummer (of andere zoeksleutel) waarvan gegevens worden opgevraagd wordt als actie geregistreerd; - elke actie, zoals de bekeken kolom- of overzichtspagina´s. Het doel van deze logging is tweeledig: - tegengaan en controleren van onrechtmatige, onregelmatige of doeloverschrijdende verwerking; -wetenschappelijke en/of statistische doeleinden. De WIZ-gebruikers van Suwinet-Inkijk moeten weten dat over hen gegevens worden verzameld en vastgelegd. Dit is een belangrijk onderdeel van de privacybescherming ten opzichte van deze medewerkers. Met het oog hierop moet de navolgende informatie worden verstrekt aan de medewerkers die (gaan) werken met Suwinet-Inkijk: Het bestaan van de logging-applicatie; - de (aard van de) gegevens die binnen deze applicatie worden gelogd; - doelen van de logging; - dat de gelogde gegevens niet voor andere doeleinden worden gebruikt dan waarvoor ze zijn vastgelegd; - de wijze en het moment waarop en door wie een onrechtmatig of doeloverschrijdend gebruik van het Suwinet-Inkijk wordt geconstateerd. - dat bij bovenstaande constatering een melding aan het afdelingshoofd Werk Inkomen en Zorg wordt gedaan en dat hierover gecommuniceerd wordt met de betreffende medewerker(s). In het kader van de beveiliging worden de gegevens over het gebruik van Suwinet-Inkijk 1x per 3 maanden uitgevraagd door de teamleider Bedrijfsondersteuning WIZ. Het betreft dan de volgende gegevens: - Inkijkacties; - Opvragingen unieke BS-nummer; - Geldige ten opzichte van ongeldige rollen; - Inlogpogingen; - Administrator accounts; - Accounts per status; - Opvragingen per pagina; - Geregistreerde ten opzichte van actieve accounts. De logging gegevens worden beoordeeld. Zonodig wordt hierover gerapporteerd aan het afdelinghoofd en teamleiders.
3
5. Tien gouden regels bij beveiliging van persoonsgegevens Voor het werken met en de omgang met persoonsgegevens zijn vanuit de overheid een aantal regels opgesteld, die zijn verwoord in verschillende wet- en regelgeving. Concreet kunnen deze regels als volgt worden vertaald: 1. Beheren van wachtwoorden De gebruiker moet het door I&A uitgegeven wachtwoord wijzigen zodra de eerste inlog plaatsvindt. Vervolgens vervalt dat wachtwoord iedere keer na 90 dagen. De gebruiker heeft dus het eigen beheer over het wachtwoord. Zodra een medewerker de afdeling c.q. gemeente verlaat, wordt het account door I&A verwijderd. Wanneer het account 30 dagen niet gebruikt wordt, blokkeert het account. 2. Melden van beveiligingsincidenten Het is belangrijk dat beveiligingsincidenten worden gemeld bij I&A. Vervolgens wordt de Security Officer van afdeling Advies en Beheer / team Kwaliteit, Onderzoek en Informatie ingeschakeld om dat incident te onderzoeken. Voorbeelden van incidenten zijn: een virusmelding op het systeem of een inbraak of poging tot inbraak. 3. Geheimhoudingsplicht Binnen de afdeling Werk Inkomen en Zorg wordt met persoonsgegevens gewerkt. Voor het werken met en de omgang met persoonsgegevens zijn vanuit de overheid een aantal regels opgesteld, die zijn verwoord in de Wet bescherming persoonsgegevens (WBP). In de wet SUWI zijn geheimhoudingsbepalingen opgenomen, waarin wordt aangegeven dat persoonsgegevens niet verder bekend mogen worden gemaakt dan voor de uitoefening van de functie noodzakelijk is. De gemeente Lelystad kent bovendien de verplichting voor elke ambtenaar tot het afleggen van de ambtseed/belofte. Alle in dienst zijnde medewerkers hebben deze eed of belofte inmiddels afgelegd en nieuwe medewerkers wordt de eed of belofte afgenomen op het moment van indiensttreding. Nieuwe medewerkers dienen ook een “verklaring omtrent gedrag” (VOG) bij personeelszaken in te leveren. Inhuurmedewerkers c.q. detacheringbureaus leveren een “bewijs omtrent integriteit” (INT) in, tevens dienen inhuurmedewerkers bij personeelszaken een “verklaring omtrent gedrag” (VOG) te laten zien waarna personeelszaken een aantekening in het inhuurdossier maakt. De afdeling WIZ maakt gebruik van een algemene geheimhoudings- en zorgvuldigheidsverklaring opgesteld door het BKWI waarin ook de opslag van gegevens in de gemeente Lelystad wordt genoemd. Voor de toekomst moeten wij gaan denken aan aansluiting zoeken bij de afdeling Burgerzaken, Belastingen en Leerlingenzaken cluster burgerzaken (BBL) om te komen tot een gezamenlijk te tekenen geheimhoudingsplicht. De vorm van voorlichting c.q. het onder de aandacht brengen bij de medewerkers van de geheimhoudingsplicht en informatiebeveiliging door WIZ gaat één keer per jaar plaatsvinden in de teams tijdens team vergaderingen. De geheimhoudingsverklaring moet getekend worden bij het aanvragen van de accounts.
4
4. Gedragscode internet- en emailgebruik De gemeente Lelystad hanteert een handboek voor gebruik van email en internet. In dit handboek genaamd Handboek Informatie Beveiliging Lelystad is aangegeven hoe de medewerkers behoren om te gaan met email en internet op de werkplek. Tevens bevat dit handboek regels voor de manier waarop het gebruik van externe email en internet wordt geobserveerd. Het handboek is voor alle medewerkers van de gemeente te raadplegen op het gemeentelijke Intranet. 5. Kennisnemen van het informatie beveiligingsbeleid / geheimhoudingsverklaring Het binnen de afdeling WIZ geldende informatie beveiligingsbeleid (inclusief instructies) is op iedereen binnen de afdeling van toepassing die gebruik maakt van Suwinet-Inkijk. Alle gebruikers kunnen kennisnemen van dit beveiligingsplan op Intranet. Nieuwe medewerkers/ gebruikers zullen hierop gewezen worden bij het toekennen van de autorisatie tevens moeten de nieuwe medewerkers / gebruikers op dat moment de geheimhoudingsverklaring tekenen. 6. Gegevensverstrekking aan derden via de telefoon Het uitgangspunt is dat er met terughoudendheid aan verzoeken om telefonische informatie over betrokkenen wordt tegemoetgekomen. Het voeren van telefoongesprekken brengt namelijk de risico’s met zich mee dat de identiteit van de gesprekspartner verkeerd wordt vastgesteld of dat persoonsgegevens worden verstrekt aan personen die geen recht op informatie hebben. In principe wordt er dan ook geen telefonische informatie over klanten verstrekt aan personen of instanties die beweren namens betrokkene te bellen. In die gevallen dient er een schriftelijk verzoek worden ingediend, voorzien van een machtiging. Bij een verzoek om telefonische informatieverstrekking van een ketenpartner wordt de verzoeker teruggebeld via het algemene nummer van de ketenpartner met het verzoek te worden doorverbonden. Dit terugbellen kan achterwege blijven indien afkomstig van een vaste contactpersoon. 7. Clean desk en clean screen policy De vertrouwelijke omgang met persoonsgegevens houdt onder andere in dat elke werkplek zodanig is ingericht, dat onbevoegden niet de beschikking kunnen krijgen over deze informatie. Vertrouwelijke gegevens mogen niet onbeheerd op het bureau achterblijven. Clean screen betekent dat het werkstation moet worden vergrendeld, “Windows-L” met behulp van schermbeveiliging (met wachtwoord). De screensaver is zodanig ingesteld dat na 15 minuten de schermbeveiliging intreedt. Dit is door ICT/team Systeembeheer voor iedere medewerker standaard ingesteld. 8. Geen vertrouwelijke gegevens in de prullenbak De correcte omgang met vertrouwelijke gegevens – waaronder persoonsgegevens – is erg belangrijk binnen de afdeling WIZ. Ook het vernietigen van deze gegevens moet op een veilige manier plaatsvinden. Daarom zijn er op iedere kamer blauwe bakken geplaatst, waarin het te vernietigen materiaal verzameld wordt. De verzamelde vertrouwelijke gegevens worden regelmatig aangeleverd bij het vernietigingsbedrijf. Vertrouwelijke gegevens dienen niet terecht te komen in een prullenbak of een bak die bestemd is voor oud papier.
5
9. Aanspreken van onbekende personen In het geval dat een medewerker van de afdeling WIZ een voor hem/haar onbekende persoon op de werkvloer van de afdeling tegenkomt waar officieel geen publiek zonder begeleiding mag komen, dient de medewerker deze persoon aan te spreken, zichzelf voor te stellen en de persoon in kwestie te vragen wat hij/zij hier doet. Personen die niet bevoegd zijn om zich op deze plek te bevinden worden hierdoor op deze overtreding gewezen. Het is de taak van de medewerker om hun beleefd maar duidelijk de weg naar het publieke gedeelte van het gebouw te wijzen en ze daar naar toe te begeleiden. De medewerker van de afdeling WIZ moet altijd zijn/haar pas zichtbaar dragen. 10. Informatiebeveiliging in uitvoering Informatiebeveiliging is uitermate belangrijk voor het werk binnen een afdeling WIZ waar veelvuldig met privacygevoelige informatie wordt gewerkt en hoort dan ook bij de professionele en bekwame uitvoering van het werk. Jaarlijks wordt door I&A in teamoverleggen instructie c.q. voorlichting gegeven over het beveiligingsbeleid.
6. Protocol inzage in Suwinet door cliënt en/of gemachtigde Om de privacy van de cliënt te waarborgen is zorgvuldigheid in de omgang met diens gegevens vereist. De via Suwinet-Inkijk opvraagbare gegevens zijn alleen in elektronische vorm te zien. De gegevens mogen niet lokaal worden opgeslagen (op de harde schijf of op diskette). In de jaarlijkse voorlichting aan de gebruikers moet hier aandacht aangegeven worden. Handleiding voor het verlenen van inzage. 1. de cliënt verzoekt om inzage, hetzij schriftelijk, hetzij mondeling: - stel de identiteit van de cliënt vast aan de hand van een geldig legitimatiebewijs (rijbewijs, paspoort, etc.); - vraag om het BS-nummer van de cliënt; - stel vast dat het BS-nummer is ontleend aan een officieel document (rijbewijs, paspoort etc.) - maak een uitdraai van de geraadpleegde gegevens of laat de cliënt meekijken op het scherm; - berg (mogelijk tweede) uitdraai onmiddellijk op in het cliëntendossier of vernietig eventueel uitgedraaid exemplaar; - beëindig inkijksessie. Het is mogelijk dat een cliënt telefonisch vraagt om een uitdraai van zijn/haar gegevens. In dat geval dient de cliënt verwezen te worden naar de balie of moet een schriftelijk verzoek indienen, dat binnen de wettelijk verplichte termijn dient te worden afgehandeld. Indien de cliënt inzage wil in al zijn/haar gegevens die bij een ketenpartner zijn geregistreerd, dient de klant te worden verwezen naar de betreffende ketenpartner.
6
2. Gemachtigde verzoekt schriftelijk om inzage in cliëntgegevens: - stel vast dat de machtiging schriftelijk is gegeven en nauwkeurig omschreven; - stel de identiteit van de gemachtigde vast aan de hand van een geldig legitimatiebewijs (rijbewijs, paspoort, etc.); - stel de identiteit van de cliënt vast aan de hand van een geldig legitimatiebewijs (rijbewijs, paspoort, etc.); - vraag om het BS-nummer van de cliënt; - stel vast dat het BS-nummer is ontleend aan een officieel document (rijbewijs, paspoort etc.) - maak een uitdraai van de geraadpleegde gegevens of laat de gemachtigde meekijken op het scherm; - berg (mogelijk tweede) uitdraai onmiddellijk op in het cliëntendossier of vernietig eventueel uitgedraaid exemplaar; - beëindig inkijksessie. 3. Een derde verzoekt om inzage, hetzij schriftelijk, hetzij mondeling in cliëntgegevens: - dit is niet toegestaan Handleiding voor correctie. 1.De cliënt verzoekt om correctie: - stel de identiteit van de cliënt vast aan de hand van een geldig legitimatiebewijs (rijbewijs, paspoort, etc.); - vraag om het BS-nummer van de cliënt; - stel vast dat het BS-nummer is ontleend aan een officieel document (rijbewijs, paspoort etc.); - informeer de cliënt dat hij/zij een officieel verzoek moet indienen via een standaardformulier; - maak twee kopieën van het verzoek; - verstrek een kopie aan de cliënt, archiveer de andere kopie. 2. Gemachtigde verzoekt om correctie - stel vast dat de machtiging schriftelijk is gegeven en nauwkeurig omschreven; - stel de identiteit van de gemachtigde vast aan de hand van een geldig legitimatiebewijs (rijbewijs, paspoort, etc.); - stel de identiteit van de cliënt vast aan de hand van een geldig legitimatiebewijs (rijbewijs, paspoort, etc.); - vraag om het BS-nummer van de cliënt; - Stel vast dat het BS-nummer is ontleend aan een officieel document (rijbewijs, paspoort etc.) - informeer de gemachtigde dat hij/zij een officieel verzoek moet indienen via een standaardformulier; - maak twee kopieën van het verzoek; - verstrek een kopie aan de gemachtigde, archiveer de andere kopie
7
3. Een derde verzoekt om correctie -Dit is niet mogelijk
7. Communicatie De afdeling WIZ informeert haar cliënten over het beveiligingsbeleid door middel van een jaarlijks bericht in de nieuwsbrief WIZ. Het beveiligingsplan wordt ter kennisname aangeboden aan de Raad van de gemeente Lelystad.
8. Controle op de naleving De eenheid IC van het team Bedrijfsondersteuning en de Security Officer zullen op de naleving van dit beveiligingsplan controleren.
8
Bijlage rollen: Legenda (de benamingen als onder aangegeven worden op deze wijze nog gebruikt door het Suwinet) CWI GBA GSD RDW VIS WWIK
= Centrum Werk Inkomen = Gemeentelijke Basis Administratie = Gemeentelijke Sociale Dienst = Rijksdienst voor het Wegverkeer = Verificatie Identiteit Systeem = Wet Werk en inkomen kunstenaars
Informatie en applicatiebeheerder; Hebben toegang om ondersteuning te kunnen verlenen aan gebruikers om de autorisaties en toekenning van rollen te kunnen inrichten en onderhouden
Bedrijfsondersteuners; Bedrijvenregister CWI GBA GSD Inkomensverruiming Inkomensverruiming + Klant algemeen en + Langdurigheidstoeslag RDW VIS WWIK Zoek + in GBA Zoek in GBA Zoek in RDW
Administratieve Financiële Medewerkers (uitkeringsadministratie); Bedrijvenregister CWI GBA GSD Inkomensverruiming + Klant algemeen Klant algemeen + Langdurigheidstoeslag WWIK Zoek + in GBA Zoek in GBA
9
Consulenten (coaches werk inkomen en zorg en intakers ); Bedrijvenregister CWI GBA GSD Inkomensverruiming Klant algemeen Klant algemeen + Langdurigheidstoeslag RDW VIS WWIK Zoek + in GBA Zoek in GBA
Inburgeringsconsulenten; CWI GBA GSD Zoek in GBA BPI en ISI (SCI06)
Algemeen Administratief Medewerkers; CWI GBA GSD Klant algemeen VIS WWIK Zoek in GBA
Debiteurenbeheerders; Bedrijvenregister CWI GBA GSD Inkomensverruiming Klant algemeen Klant algemeen + RDW Terugvordering&verhaal VIS WWIK Zoek + in GBA Zoek in GBA Zoek in RDW
10
Preventiemedewerkers Bedrijvenregister CWI GBA GSD Inkomensverruiming+ Klant algemeen Klant algemeen + Langdurigheidstoeslag RDW Terugvordering&verhaal VIS WWIK Zoek + in GBA Zoek in GBA Zoek in RDW
11
Onderhoud op document: 11-02-2013 Tekst rond zorgvuldigheidsverklaring aangepast 13-05-2013 Functie groep bedrijfsondersteuners aangepast in interne controle
12
