Strategisch Informatiebeveiligingsbeleid GBLT 2022-2025

In hoofdstuk 4 wordt de kern van het strategisch beleid uiteengezet. Dit beleid wordt op tactisch niveau aangevuld met onderwerp specifieke tactische beleidsregels die aanvullend zijn op dit strategisch beleid. In het Informatiebeveiligingsplan (vastgesteld door het MT) worden deze tactische en operationele aspecten van de informatiebeveiliging verder uitgewerkt en geconcretiseerd. Dit wordt gedaan op basis van input van de proceseigenaren, de CISO en het dreigingsbeeld van de IBD. Daarin staan dan ook de acties en planning vermeld, om de praktijk in overeenstemming te brengen met datgene wat in het beleid is geëist. Hoofdstuk 5 beschrijft vervolgens hoe de taken en verantwoordelijkheden in de organisatie belegd zijn.

Onder informatiebeveiliging wordt verstaan: het treffen en onderhouden van een samenhangend pakket van maatregelen om de continuïteit en de betrouwbaarheid van de informatievoorziening aantoonbaar te waarborgen. Kernpunten daarbij zijn beschikbaarheid, integriteit (juistheid) en vertrouwelijkheid van persoonsgegevens en andere informatie.

Het strategisch informatiebeveiligingsbeleid geldt voor alle processen van GBLT en borgt daarmee de informatievoorziening gedurende de hele levenscyclus van informatiesystemen, ongeacht de toegepaste technologie en ongeacht het karakter van de informatie. Het beperkt zich niet alleen tot de ICT en heeft betrekking op het bestuur, alle GBLT medewerkers, klanten, gasten, bezoekers en externe relaties.

We kunnen informatiebeveiliging definiëren als:

“Het geheel van preventieve, detective, repressieve en correctieve maatregelen, procedures en processen. Deze moeten de juistheid, volledigheid, vertrouwelijkheid en continuïteit van alle vormen van informatie binnen GBLT en naar haar opdrachtgevers en klanten toe garanderen”. (Wikipedia Informatiebeveiliging, 2022)

Doel ervan is de continuïteit van de informatie en de informatievoorziening te waarborgen en de eventuele gevolgen van beveiligingsincidenten tot een acceptabel, vooraf bepaald niveau te beperken.

Informatie is één van de voornaamste bedrijfsmiddelen van GBLT. Het verlies van gegevens, uitval van ICT, of het door onbevoegden kennisnemen of manipuleren van bepaalde informatie kan ernstige gevolgen hebben voor de bedrijfsvoering van GBLT. Ernstige incidenten hebben mogelijk negatieve gevolgen voor klanten, deelnemers en de eigen organisatie met mogelijk ook politieke consequenties. Informatieveiligheid is daarom van groot belang. Informatiebeveiliging is het proces dat dit belang dient.

Continuïteit is de voortgang en de permanente beschikbaarheid van informatie en ongestoorde voortgang van de informatieverwerking en alle bedrijfsprocessen van GBLT die nodig zijn voor de dienstverlening en de uitvoering van haar taken.

Het strategisch informatiebeveiligingsbeleid is een verzameling van strategische uitgangspunten waarin het bestuur van GBLT eensgezind duidelijk maakt aan de organisatie welke gedragslijn GBLT dient te volgen om te komen tot een adequate informatiebeveiliging. Het strategisch informatiebeveiligingsbeleid vormt daarmee de basis voor de verderop uitgewerkte normen en maatregelen.

Het maken en vaststellen van het strategisch informatiebeveiligingsbeleid is nog geen garantie voor de goede werking. Hiervoor is het nodig dat de uitgangspunten in een strategisch informatiebeveiligingsbeleid concreet worden geformuleerd. Door middel van controles op de uitvoering dient het management vast te stellen of de maatregelen werken. Evaluatie van het beleid dient vervolgens plaats te vinden om na te gaan of het beleid nog steeds aansluit op de organisatie en of de juiste maatregelen zijn getroffen. Informatiebeveiliging is een continu proces gebaseerd op de Plan Do Check Act (PDCA) cyclus.

Het doel van dit document is het presenteren van het ‘Strategisch informatiebeveiligingsbeleid voor de jaren 2022 tot 2025’. De uitwerking van dit beleid in concrete maatregelen staat beschreven in het tactische informatiebeveiligingsplan en wordt bijgehouden in het Information Security Management System (ISMS).

De ontwikkelingen die van belang zijn voor de actualisering van het strategisch informatiebeveiligingsbeleid zijn de volgende:

• •

  De Baseline Informatieveiligheid Overheid;

• •

  De 10 principes voor informatiebeveiliging;

• •

  Het dreigingsbeeld Informatiebeveiliging Nederlandse Gemeenten;

• •

  De informatie uit incidenten en inbreuken op de beveiliging;

• •

  De actuele bedreigingen.

De basis voor de inrichting van het informatiebeveiligingsbeleid is NEN-ISO/IEC 27001. De maatregelen worden op basis van best practices bij (lokale) overheden en NEN-ISO/IEC 27002 genomen.

Voor de ondersteuning van gemeenten en belastingsamenwerkingen bij het formuleren en realiseren van hun informatiebeveiligingsbeleid heeft de interbestuurlijke werkgroep Normatiek² in 2018 de Baseline Informatiebeveiliging Overheid (BIO) uitgebracht, afgeleid van beide NEN-normen. Deze BIO bestaat uit een baseline met verschillende niveaus van beveiligen. Ook zullen praktische operationele handreikingen worden uitgebracht, zoals een handleiding voor het uitvoeren van een risicoanalyse voor het opstellen van een beveiligingsplan. De inhoud en structuur van dit beleid zijn afgestemd op die van de ISO en de BIO. Ook het Informatiebeveiligingsplan zal deze structuur volgen.

Het strategisch informatiebeveiligingsbeleid wordt gebruikt om de basis te leggen voor het tactische informatiebeveiligingsplan en geeft daarmee richting voor de verdere invulling van informatiebeveiliging op tactisch en operationeel niveau.

De daaruit voortkomende werkzaamheden worden uitgewerkt en continu bijgehouden in het ISMS en jaarlijks behandeld door een GAP- en Impactanalyse.

De scope van dit strategische informatiebeveiligingsbeleid omvat alle GBLT processen, onderliggende informatiesystemen, informatie en gegevens van GBLT en externe partijen, het gebruik daarvan door medewerkers en (keten)partners in de meest brede zin van het woord, ongeacht locatie, tijdstip en gebruikte apparatuur.

Het bestuur en MT van GBLT spelen een cruciale rol bij het uitvoeren van dit strategisch informatiebeveiligingsbeleid. Het Dagelijks Bestuur (DB) stelt dit strategische informatiebeveiligingsbeleid vast en dit wordt ter informatie aangeboden aan het Algemeen Bestuur (AB). De directie van GBLT zorgt er voor dat de belangen en risico’s van de informatievoorziening van GBLT duidelijk zijn, welke risico’s GBLT hiermee loopt en welke van deze risico’s onacceptabel hoog zijn.

Op basis hiervan stelt de CISO het informatiebeveiligingsbeleid op, ondersteunt en bewaakt de uitvoering ervan.

Het MT draagt uit dat informatiebeveiliging een belangrijk aspect is voor GBLT. Dit doet zij door het informatiebeveiligingsbeleid te onderschrijven en haar betrokkenheid te tonen. Het MT draagt dit actief uit en handhaaft dit richting de organisatie.

Dit strategische informatiebeveiligingsbeleid is van toepassing op de gehele organisatie, alle processen, organisatieonderdelen, objecten, informatiesystemen en gegevens(verzamelingen). Het strategische informatiebeveiligingsbeleid is in lijn met het algemene beleid van GBLT en de relevante landelijke en Europese wet- en regelgeving.

• •

  Er is een gemeenschappelijk normenkader als basis: de Baseline Informatiebeveiliging Overheid (BIO). Dit normenkader geldt dus expliciet ook voor de bedrijfsprocessen waar de audits zich op richten.

• •

  GBLT conformeert zich aan dit normenkader, waarbij er ruimte is voor afweging en prioritering op basis van het “pas toe of leg uit” principe.

• •

  Alle informatie en informatiesystemen zijn van belang voor GBLT, bepaalde informatie is van vitaal en kritiek belang.

• •

  De uitvoering van de informatiebeveiliging is een verantwoordelijkheid van de directie, met het Dagelijks Bestuur als eindverantwoordelijke. De verantwoordelijkheden voor de bescherming van gegevens en voor het uitvoeren van beveiligingsprocedures zijn expliciet gedefinieerd.

• •

  Alle informatiebronnen en -systemen die gebruikt worden door GBLT hebben een interne (proces)eigenaar die de vertrouwelijkheid en/of waarde bepaalt van de informatie die ze bevatten. De primaire verantwoordelijkheid voor de bescherming van informatie ligt dan ook bij deze eigenaar van de informatie.

• •

  Door periodieke controle, organisatie brede planning én coördinatie wordt de kwaliteit van de informatievoorziening verankerd binnen GBLT.

• •

  Het strategisch informatiebeveiligingsbeleid vormt samen met het informatiebeveiligingsplan het fundament onder een betrouwbare informatievoorziening. In het informatiebeveiligingsplan wordt de betrouwbaarheid van de informatievoorziening organisatie breed benaderd. Het plan wordt periodiek bijgesteld op basis van nieuwe ontwikkelingen, registraties in het incidentenregister en bestaande risicoanalyses.

• •

  GBLT stelt de benodigde mensen en middelen beschikbaar om haar eigendommen en werkprocessen te kunnen beveiligen volgens de wijze zoals gesteld in dit strategische informatiebeveiligingsbeleid.

• •

  Regels en verantwoordelijkheden voor het strategisch informatiebeveiligingsbeleid dienen te worden vastgelegd en vastgesteld. Alle gebruikers van informatiesystemen beschikken over voldoende kennis ten aanzien van informatiebeveiliging.

• •

  Iedere medewerker, zowel vast als tijdelijk, intern of extern is verplicht waar nodig gegevens en informatiesystemen te beschermen tegen ongeautoriseerde toegang, gebruik, verandering, openbaring, vernietiging, verlies of overdracht en bij vermeende inbreuken hiervan melding te maken.

• •

  Informatiebeveiliging is een continu verbeterproces. ‘Plan, do, check and act’. Dit wordt bijgehouden en vastgelegd in het ISMS evenals de implementatie van de BIO (zie afb. ISMS).

• •

  In de Verklaring Van Toepasselijkheid (VVT) is vastgelegd welke beveiligingsrichtlijnen uit de BIO door GBLT van toepassing zijn verklaard, wanneer ze zijn of worden gerealiseerd en in welk document de maatregelen in opzet staan beschreven.

Informatie Security Management System

(afb. ISMS)

De directie zorgt dat alle processen en systemen en de daarbij behorende middelen altijd onder de verantwoordelijkheid vallen van een proceseigenaar. De directie zorgt dat de proceseigenaren zich verantwoorden over de beveiliging van de informatie die onder hen berust.

De directie stelt het gewenste niveau van continuïteit en vertrouwelijkheid vast. De directie draagt zorg voor het uitwerken van tactische informatiebeveiligingsbeleidsonderwerpen en laat zich hierin bijstaan door de CISO van GBLT. De directie autoriseert de benodigde procedures en uitvoeringsmaatregelen. Het onderwerp informatiebeveiliging en continuïteit wordt bij GBLT gezien als een integraal onderdeel van risicomanagement. GBLT beschouwt daarbij de BIO als normenkader.

Informatiebeveiliging valt onder de verantwoordelijkheden van alle proceseigenaren. Om deze verantwoordelijkheid waar te maken dienen zij goed ondersteund te worden vanuit de organisatie. De proceseigenaren worden daarbij ondersteund en gefaciliteerd door de Security Officer en de CISO.

Taken van de proceseigenaren in het kader van informatiebeveiliging zijn:

• •

  Het leveren van input voor wijzigingen op maatregelen en procedures.

• •

  Het binnen de eigen afdeling uitdragen van het beveiligingsbeleid, de daaraan gerelateerde procedures.

• •

  Het vroegtijdig signaleren van de voornaamste bedreigingen waaraan de bedrijfsinformatie is blootgesteld.

• •

  Bespreking van beveiligingsincidenten en de consequenties die dit moet hebben voor beleid en maatregelen.

  Voorbereiding en coördinatie van het overleg ligt bij de CISO.

Dit Strategisch informatiebeveiligingsbeleid is een verantwoordelijkheid van het dagelijks bestuur van GBLT. De bestuurders en directie van GBLT zullen volgens de 10 principes (hoofdstuk 4.2.2) voor informatiebeveiliging richting en sturing geven aan het onderwerp informatiebeveiliging door het geven van voorbeeldgedrag en het vragen om informatie.

De directie rapporteert daarnaast periodiek over de mate waarin zij invulling hebben gegeven aan het uitwerken van tactische (deel) beleidsonderwerpen die aanvullend zijn op dit strategische informatiebeveiligingsbeleid.

• 1.

  Met betrekking tot het informatiebeveiliging worden de volgende functionarissen onderkend:

  • •

    Het dagelijks bestuur

  • •

    Directie

  • •

    Systeem-, gegevens-, en proceseigenaren

  • •

    Chief Information Security Officer (CISO)

  • •

    Security Officer (SO)

  • •

    Interne controle & audit

  • •

    Adviseur risicomanagement

• 2.

  Het dagelijks bestuur keurt het beleid formeel goed en draagt zorg voor de naleving van het beleid van GBLT (Beleidsbepaling).

• 3.

  De directie is verantwoordelijk voor de uitvoering van het beleid en draagt zorgt voor de afstemming met het dagelijks bestuur.

• 4.

  De proceseigenaren zijn verantwoordelijk voor een correcte naleving van het beleid door hun medewerkers (Beleidsuitvoering).

• 5.

  De Chief Information Security Officer (CISO) ondersteunt vanuit zijn onafhankelijke positie de organisatie bij het bewaken en verhogen van de betrouwbaarheid van de informatievoorziening en rapporteert hierover rechtstreeks aan het MT. De CISO is primair verantwoordelijk voor het informatiebeveiligingsbeleid. Dit betreft zowel het implementeren van beleid als het toezicht houden op de uitvoering ervan. De CISO wordt hierbij ondersteunt door de Security Officer (SO).

• 6.

  Het eigenaarschap van systemen, gegevens en processen is belegd bij de MT leden van GBLT. De eigenaren zijn verantwoordelijk voor het treffen en in stand houden van de autorisatiemaatregelen (Beleidsinrichting). De gegevenseigenaren zijn verantwoordelijk voor de beveiliging van de onder hun ressorterende gegevens. De gegevens-, systeem- of proceseigenaren verlenen de toestemming aan gebruikers tot gebruik van de onder de verantwoordelijkheid van de eigenaar ressorterende gegevens, systemen en processen (toewijzen van de autorisaties). Deze verleende rechten worden vastgelegd.

• 7.

  Interne controle & audit

• De interne auditor kan op verzoek een audit uitvoeren op informatiebeveiliging uitvoeren.

• 8.

  Adviseur risicomanagement

• De adviseur risicomanagement ondersteund bij het opstellen van risicoprofielen en geeft advies over de impact van risico’s en het nemen van maatregelen om deze risico’s te beheersen.