Transcript bijlage - Gemeente Waterland

Handboek
beveiliging Suwinet
2014
gemeente Waterland
Inhoudsopgave
1
Inleiding…………………………………………………………………………
3
2
2.1
2.2
2.3
Juridisch kader………………………………………………………………….
Wet Bescherming Persoonsgegevens………………………………………….
SUWI wet- en regelgeving en de WWB………………………………………..
Overige wet- en regelgeving……………………………………………………
3
3
4
4
3
ICT-beveiliging…………………………………………………………………
4
4
4.1
4.2
4.3
Informatiebeveiliging…………………………………………………………..
Omgeving……………………………………………………………………….
Uitgangspunten…………………………………………………………………
Beveiliging van toegang door derden………………………………………….
5
5
6
7
5
Fysieke beveiliging……………………………………………………………..
7
6
6.1
6.2
6.3
Beveiliging ten aanzien van het personeel…………………………………….
Beveiligingseisen bij aanname van personeel…………………………………
Registratie en autorisatie van gebruikers……………………………………...
Instructie voor en informeren van gebruikers…………………………………
7
8
8
8
7
7.1
7.2
7.3
7.4
Bedreigingen en incidenten…………………………………………………….
Bedrijfsmiddelen en gegevens………………………………………………….
Bescherming tegen kwaadaardige software……………………………………
Reageren op incidenten en storingen…………………………………………..
Rapporteren van onvolkomenheden in de software……………………………
9
9
9
10
10
8
8.1
8.2
8.3
8.4
8.5
8.6
8.7
8.8
8.9
Beveiligingsorganisatie, taken en verantwoordelijkheden…………………….
Beveiligingsadviescommissie…………………………………………………...
Beheer Suwinet…………………………………………………………………..
Afdelingshoofd Z&W……………………………………………………………
Afdelingshoofd Publiekszaken………………………………………………….
Autorisatiebeheer Suwinet………………………………………………………
Gebruikersbeheer Suwinet………………………………………………………
Security Officer…………………………………………………………………..
Juridisch beleidsmedewerker Z&W…………………………………………….
Gebruikers en rollen Suwinet……………………………………………………
10
10
11
11
11
11
11
12
12
12
9
Controle op het gebruik………………………………………………………….
13
10
Actualisatie en vaststelling………………………………………………………
13
2
Handboek beveiliging Suwinet 2014
1
Inleiding
Een betrouwbare, beschikbare en correcte informatiehuishouding is essentieel voor de dienstverlening van
de gemeente. Burgers vertrouwen op de dienstverlening van de gemeente als meest nabije overheid. De
gemeente beheert veel persoonsgegevens. Van de gemeente mag worden verwacht dat zij zorgvuldig
omgaat met de gegevens die ze beheren en dat deze gegevens juist, accuraat en tijdig zijn. Door de
toenemende digitalisering is het zorgvuldig omgaan met informatie en gegevens van burgers, bedrijven en
organisaties en de beveiliging daarvan van steeds groter belang.
Het „Handboek beveiliging Suwinet‟ is er op gericht de beschikbaarheid, continuïteit, integriteit,
vertrouwelijkheid en controleerbaarheid van de (geautomatiseerde) gegevensuitwisseling binnen de
gemeente Waterland en met de overige Suwi-partners (UWV, SVB en gemeentelijke sociale diensten) te
waarborgen. Sinds 2004 dient iedere gemeente overeenkomstig artikel 6.4 Regeling SUWI in een
beveiligingsplan zichtbaar aan te geven op welke wijze zij invulling geeft aan de beveiliging van de
gegevensuitwisseling in het kader van SUWI.
2
Juridisch kader
Het juridische kader schetst waar de gemeente Waterland zich voor wat betreft informatiebeveiliging van
gegevensuitwisseling binnen de Wet SUWI aan dient te houden.
2.1
Wet Bescherming Persoonsgegevens
De Wet Bescherming Persoonsgegevens (WBP) stelt dat persoonsgegevens alleen voor bepaalde
uitdrukkelijk omschreven en gerechtvaardigde doeleinden mogen worden verkregen. Als gevolg van de
WBP moeten persoonsgegevens in overeenstemming met de WBP en op behoorlijke en zorgvuldige wijze
worden verwerkt. Op hoofdlijnen betekent dit:
- Persoonsgegevens mogen slechts voor bepaalde, uitdrukkelijk omschreven en gerechtvaardigde
doeleinden worden verzameld.
- Voor de verwerking dient een van de in de WBP genoemde rechtvaardigingsgronden te bestaan.
- Slechts onder bepaalde voorwaarden mogen persoonsgegevens voor andere doeleinden worden
gebruikt dan waarvoor ze zijn verzameld.
- Persoonsgegevens mogen slechts worden verwerkt voor zover zij voor het doel toereikend, ter zake
dienend en niet bovenmatig zijn.
- De organisatie treft de nodige maatregelen zodat de persoonsgegevens, gelet op het doel waarvoor ze
worden verwerkt, juist en nauwkeurig zijn.
- De organisatie legt passende technische- en organisatorische maatregelen ten uitvoer om
persoonsgegevens te beveiligen tegen verlies of tegen enige vorm van onrechtmatige verwerking. De
verantwoordelijke dient er tevens voor te zorgen dat ook de bewerker voldoende waarborgen biedt
met betrekking tot technische en organisatorische beveiliging.
- De organisatie informeert de betrokkene over de verwerking van zijn persoonsgegevens en biedt de
betrokkene de gelegenheid tot inzage in zijn persoonsgegevens. Indien de gegevens feitelijk onjuist
blijken te zijn of voor het doeleinde onvolledig, niet ter zake dienend of anderszins in strijd met de wet
worden verwerkt, komt betrokkene het recht op correctie toe. In enkele gevallen kan betrokkene
tevens gebruik maken van het recht van verzet.
- Een privacyfunctionaris meldt de verwerking bij het College Bescherming Persoonsgegevens (CBP),
voor zover de verwerking niet is vrijgesteld van aanmelding, zoals beschreven in het Vrijstellingsbesluit
WBP. In dit Vrijstellingsbesluit zijn veel voorkomende verwerkingen beschreven waarvan de inbreuk
op de privacy gering wordt geacht, zoals een debiteurenadministratie en verwerkingen ten aanzien van
het beheer en beveiliging (waaronder bijvoorbeeld netwerksystemen).
Volgens de WBP dient iedere geautomatiseerde gegevensverwerking “bestemd voor de verwezenlijking
van een doeleinde” te worden gemeld bij het CBP. De verantwoordelijke wordt eveneens door de WBP
verplicht passende technische en organisatorische maatregelen te nemen om de persoonsgegevens te
beschermen tegen een onwettige verwerking.
3
Handboek beveiliging Suwinet 2014
2.2
SUWI wet- en regelgeving en de WWB
Er wordt binnen het SUWInet-stelsel gebruik gemaakt van meerdere verzamelingen van
persoonsgegevens, elk met haar eigen verantwoordelijke. De gegevens die worden uitgewisseld tussen de
SUWI-organisaties vallen binnen het domein waarvoor de verantwoordelijkheden op basis van afspraken
worden ingevuld. Dit betekent dat gezamenlijk het vereiste niveau van beveiliging en de benodigde
maatregelen worden vastgesteld. De uitvoering van de maatregelen ligt vervolgens bij de SUWIorganisaties en bij het Bureau Keteninformatisering Werk en Inkomen (BKWI). Naast persoonsgegevens
van cliënten omvat het domein ook persoonsgegevens van medewerkers. Dit betreft gegevens die worden
vastgelegd in logbestanden.
In de wetgeving zijn bepalingen opgenomen die tot doel hebben de persoonlijke levenssfeer van
betrokkenen te beschermen. Voor Z&W is dit onder andere de Wet Structuur Uitvoering Werk en
Inkomen (wet SUWI), het Besluit en de Regeling SUWI.
Uit de SUWI regelgeving vloeien doel en taken van Z&W en de overige SUWI partijen voort. De sectorale
wetgeving regelt onder meer de informatievoorziening van de SUWI-organisaties onderling en aan derden.
Daarbij is bepaald dat de gegevensstromen tussen de SUWI-organisaties via het 'SUWInet' verlopen.
Gegevensstromen waarin de SUWI-regelgeving niet voorziet zal, zonder goedkeuring van de Minister, niet
plaatsvinden. Voor zover in de wet SUWI niet van de WBP wordt afgeweken, geldt de WBP. Daarnaast is
de Wet Werk en Bijstand (WWB) relevant. Deze wet wordt vervangen door de Participatiewet (beoogde
inwerkingtreding 1 januari 2015).
In de WWB is een aparte paragraaf opgenomen over de regels die van toepassing zijn bij de uitwisseling
van persoonsgegevens. Deze paragraaf kan als volgt op hoofdlijnen worden geschetst:
- Werkgevers hebben een informatieplicht om inlichtingen te verstrekken betreffende de aanvrager van
een uitkering of een uitkeringsgerechtigde betreffende omstandigheden die noodzakelijk zijn voor de
uitvoering van de WWB.
- Diverse instanties, zoals UWV, overige gemeenten, College voor zorgverzekeringen, pensioenfondsen,
etc. hebben een informatieplicht naar Z&W indien noodzakelijk voor de uitvoering van de WWB.
- Medewerkers die met persoonsgegevens in aanraking komen hebben een geheimhoudingsplicht, tenzij
het voor de uitvoering van de WWB noodzakelijk is deze persoonsgegevens te verstrekken aan
anderen.
- De gemeente heeft een inlichtingenverplichting binnen gestelde regels ten aanzien van diverse
instellingen, zoals UWV, de Sociale Verzekeringsbank, de Belastingdienst, overige gemeenten etc. Voor
de verstrekking van gegevens tussen instanties wordt gebruik gemaakt van het Burgerservicenummer
(BSN).
2.3
Overige wet- en regelgeving
Naast de sectorale wet- en regelgeving en de WBP geldt er diverse andere wet- en regelgeving, zoals de
Wet voor Computercriminaliteit, de Databankenwet, de Auteurswet en de Archiefwet. Vanwege het
algemene karakter van dit voorliggende beleid wordt hier verder niet op ingegaan.
3
ICT-beveiliging
Bij de gemeente Waterland wordt gebruikt gemaakt van een netwerk dat bestaat uit acht fysieke en circa
dertig virtuele servers. Elke medewerker van de gemeente Waterland kan inloggen op iedere werkplek
binnen de gemeente. Op de computers (zgn. “Thin Clients”) op de werkplek kunnen geen gegevens
opgeslagen worden door de gebruikers. Op elke werkplek is de inlogprocedure gelijk. De (digitale)
informatiestromen vormen het zenuwcentrum van de gemeentelijke organisatie. De gemeentelijke
organisatie, de bedrijfsvoering, is in een sterke mate afhankelijk van een ongestoorde werking van haar
informatiesystemen. Van een gemeente mag worden verwacht dat zij zorgvuldig omgaat met de gegevens
die ze beheren en ook de wetgever stelt daaraan eisen. In de WBP worden eisen gesteld die zich tegen
verlies of enige onrechtmatige verwerking van gegevens richten en de gemeente moet passende
maatregelen nemen.
4
Handboek beveiliging Suwinet 2014
Z&W garandeert een correcte en veilige bediening van ICT-voorzieningen. Alle werkprocessen die
gebruikt worden in het primaire proces zijn gedocumenteerd. Wijzigingen in deze processen kunnen
leiden tot gewijzigde instructies. Op deze manier hebben de medewerkers van Z&W altijd de beschikking
over bijgewerkte instructies en beschrijvingen om de werkzaamheden uit te voeren.
Het beheer en onderhoud van het informatiseringnetwerk is de verantwoordelijkheid van het taakveld
I&A/Systeembeheer. Enkel medewerkers van het taakveld I&A/Systeembeheer zijn bevoegd om
wijzigingen in de ICT-infrastructuur aan te brengen. Op deze manier wordt voorkomen dat op
verschillende plaatsen binnen de organisatie wijzigingen plaatsvinden en kunnen de zaken beheerst
worden. Wanneer op ICT gebied veranderingen plaatsvinden worden de medewerkers van de dienst
daarover in kennis gesteld via I&A/Systeembeheer.
De implementatie van eventuele patches en releases wordt geregeld door I&A/Systeembeheer. In overleg
met de medewerkers van Z&W wordt een datum geprikt om tot feitelijke installering over te gaan.
De beheersystemen van Systeembeheer monitoren permanent of de capaciteit van de verschillende servers
van de gemeente nog voldoende is. Applicatiebeheerders hebben in deze geen rol.
Nieuwe releases en updates worden eerst in de testomgeving geïnstalleerd en getest, alvorens
implementatie in de productieomgeving plaatsvindt. Op deze wijze wordt het risico van foutmeldingen
geminimaliseerd. Bij de feitelijke implementatie van wijzigingen wordt overleg gevoerd tussen
I&A/Systeembeheeer en de medewerkers van Z&W.
De kwetsbaarheid van de informatiesystemen is een groot risico voor de bedrijfsvoering en het is van
groot belang om door middel van beveiligingsmaatregelen de risico‟s zo veel mogelijk te beperken. In dit
kader is het „ICT- beveiligingsplan 2014‟ opgesteld en door het college van burgemeester en wethouders
vastgesteld in haar vergadering van 13 mei 2014.
Voor het opstellen van het ICT-Beveiligingsplan is gebruik gemaakt van de „handreiking dataclassificatie‟
van de Informatiebeveiligingsdienst voor gemeenten (IBD), een initiatief van de VNG/KING
(Kwaliteitsinstituut Nederlandse Gemeenten). Het eerste product van de IBD is de „Baseline
Informatiebeveiliging Nederlandse Gemeenten‟ (BIG). Een normenkader aan de hand waarvan het
informatieveiligheidsbeleid wordt getoetst en waaraan alle Nederlandse gemeenten zich hebben
geconformeerd. Ook van deze Baseline is gebruik gemaakt bij het opstellen van het ICT-Beveiligingsplan.
Het „Handboek beveiliging Suwinet 2014‟ is onlosmakelijk met het ICT-Beveiligingsplan verbonden.
4
Informatiebeveiliging
Informatiebeveiliging is “het samenhangend geheel van maatregelen dat de beschikbaarheid,
vertrouwelijkheid en integriteit van de gegevens garandeert en de controleerbaarheid van de getroffen
maatregelen”. Het betreft hier zowel de technische, de organisatorische, de juridische, als de menselijke
aspecten. In dit hoofdstuk wordt kort ingegaan op verschillende onderwerpen die met
informatiebeveiliging in het kader van SUWInet te maken hebben. In hoofdstuk 8 is de organisatie van de
beveiliging aangegeven en de taken en verantwoordelijkheden van functies in de (informatie)beveiliging.
4.1
Omgeving
De omgeving waarbinnen de normen geplaatst moeten worden, wordt gedefinieerd door de volgende
functies:
- SUWInet Inkijk
Direct en snel ophalen van relevante gegevens op een gestandaardiseerde wijze via SUWInet, op basis
van webtechnologie.
- Meldingen
Afhandelen van gebeurtenissen in de SUWI-ketens. Meldingen vinden plaats via het applicatiebeheer
of via SUWInet SMTP (ongestructureerd maar nog niet mogelijk).
- SUWInet Mail
Een door het Bureau Keteninformatisering Werk en Inkomen (BKWI) geboden dienst die partijen uit
het SUWI domein in staat stelt om e-mails te versturen via het besloten netwerk SUWInet.
5
Handboek beveiliging Suwinet 2014
Daardoor vallen tenminste de volgende elementen binnen de reikwijdte van dit normenkader (zie ook
onderstaande figuur):
- Pc‟s, servers en het netwerk via welke toegang wordt verkregen tot de applicatie SUWInet Inkijk (denk
ook aan wachtwoorden, autorisaties en netwerkcomponenten).
- Dossiers (denk ook aan afdrukken, kopiëren, e-mailen).
- Organisatie (denk ook aan arbeidscontracten, handboeken / handleidingen / werkinstructies).
- Omgeving (denk ook aan locaties / ruimten, collega's, klanten).
- Systemen welke andere ketenpartners inkijk mogelijkheden bieden bij de GSD‟en.
4.2
Uitgangspunten
De gemeente moet voldoen aan de verplichtingen die voortvloeien uit de Wet Bescherming
Persoonsgegevens (WBP), de Wet Structuur Uitvoeringsorganisatie Werk en Inkomen (Wet SUWI) en de
Wet Eenmalige Gegevensuitvraag Werk en Inkomen (WEU). Deze laatste wet is verwerkt in de Wet
SUWI.
Uitgangspunt voor de informatiebeveiliging is:
- artikel 6.4 van de Regeling SUWI: hierin is bepaald dat er een beveiligingsplan moet zijn waarin wordt
aangegeven op welke wijze invulling wordt gegeven aan de beveiliging van de gegevensuitwisseling die
plaatsvindt in het kader van Suwinet. Daarnaast is in dit artikel bepaald dat de gegevensuitwisseling
binnen het Suwinet moet worden beveiligd tegen inbreuk op beschikbaarheid, integriteit en
vertrouwelijkheid overeenkomstig normen die worden bepaald in bijlage I van de Regeling SUWI.
- Normenkader zoals opgesteld door de beheersorganisatie van het Suwinet, het Bureau
Keteninformatisering Werk en Inkomen (BKWI)
Op grond van de WBP kan een cliënt inzage vragen in of correctie vragen van gegevens. Zulke verzoeken
vereisen een zorgvuldige behandeling. Datzelfde geldt in nog sterkere mate bij de verstrekking van
gegevens aan derden. Naast deze privacyaspecten van de gegevensuitwisseling dienen ook algemene
beveiligingsaspecten in acht te worden genomen. In artikel 13 WBP is namelijk bepaald dat de
verantwoordelijke passende technische en organisatorische maatregelen ten uitvoer moet leggen om
persoonsgegevens te beveiligen tegen verlies of tegen enige vorm van onrechtmatige verwerking.
6
Handboek beveiliging Suwinet 2014
Deze maatregelen garanderen, rekening houdend met de stand van de techniek en de kosten van de
tenuitvoerlegging, een passend beveiligingsniveau gelet op de risico‟s die de verwerking en de aard van de
te beschermen gegevens met zich brengen. Deze maatregelen zijn er mede op gericht onnodige
verzameling en verdere verwerking van persoonsgegevens te voorkomen.
4.3
Beveiliging van toegang door derden
Voorkomen dient te worden dat tijdelijk onbeheerde gebruikersapparatuur ongeoorloofd gebruikt wordt
om toegang te krijgen tot persoonsgegevens. In principe is geen enkele computer toegankelijk voor
klanten of derden. Enkel de medewerkers van Z&W zijn bevoegd tot gebruik hiervan.
Het risico dat derden inzage hebben in persoonsgegevens is bij Z&W voldoende ondervangen. Voordat
applicaties met persoonsgegevens geopend kunnen worden, moet de gebruiker diverse inlogcodes
invoeren. Zonder login kan zelfs geen gebruik gemaakt worden van het gemeentelijke netwerk. Om
vervolgens de afzonderlijke applicaties te starten moet ook per applicatie een user-id en wachtwoord
ingevoerd worden. Wanneer gebruikers na ingelogd te zijn hun werkplek verlaten, vergrendelen zij hun
werkplek. Daarnaast wordt de werkplek na tien minuten inactiviteit automatisch vergrendeld.
Bij de computers in de spreekkamers is wel enig risico aanwezig dat zij ongeoorloofd gebruikt worden, bij
afwezigheid van de medewerkers van Z&W. Er zijn hieromtrent afspraken gemaakt, om bij verlaten van
de werkplek eerst uit te loggen.
5
Fysieke beveiliging
De fysieke beveiliging, elektrotechnische beveiliging en toegangscontrole van het gemeentehuis maken
onderdeel uit van de algehele beveiliging en zijn niet specifiek van toepassing op de beveiliging van
Suwinet. Het peil van de fysieke en elektrotechnische beveiliging wordt continue bewaakt en als zodanig
opgenomen als taak voor de Beveiligingsadviescommissie (zie hoofdstuk 8).
Om te voorkomen dat medewerkers van de dienst bij een eventuele crash van het netwerk gegevens over
langere tijd kwijt zijn, worden dagelijks back-ups gedraaid van alle servers. Concreet betekent dit dat alle
gegevens die zich op de servers bevinden (data, rapporten, beschikkingen etc) elke avond worden
opgeslagen op tape. Het feitelijk uitvoeren van de back-ups wordt uitgevoerd door systeembeheer. De
back-up tapes worden bewaard in een brand- en inbraak werende kluis. De systeembeheerders, de
coördinator I&A en het afdelingshoofd Facilitaire Zaken hebben toegang tot deze kluis. Er is een
noodprocedure in het geval de code die gebruikt wordt om de kluis te openen, verloren mocht gaan.
Wanneer externen werkzaamheden moeten verrichten aan ICT-voorzieningen van de gemeente Waterland
worden deze ingehuurd via I&A/Systeembeheer. Dit taakveld is verantwoordelijk voor de benadering van
de firma‟s en eventuele inplanning. Uiteraard worden enkel bonafide bedrijven benaderd om
werkzaamheden voor de gemeente te verrichten. Als extra beveiliging, worden de serverruimte in het
gemeentehuis bij onderhoudswerkzaamheden enkel betreden in aanwezigheid van een systeembeheerder.
Onderhoudsmonteurs werken niet zonder toezicht in deze ruimten.
De servers staan in een afzonderlijke ruimte, die zoveel mogelijk stofvrij is en wordt gekoeld door een
koelinstallatie. De toegang tot serverruimte van het gemeentehuis is enkel mogelijk met een aparte sleutel.
De volgende bevoegde medewerkers van FZ zijn in het bezit hiervan: de systeembeheerders, de
coördinator I&A en het afdelingshoofd FZ.
6
Beveiliging ten aanzien van het personeel
De leidinggevenden hebben een rol in het vergroten van de bewustwording en gedrag bij de medewerkers
betreffende het correct en integer omgaan met informatie.
7
Handboek beveiliging Suwinet 2014
6.1
Beveiligingseisen bij aanname van personeel
Zittend personeel
Personeel dat in dienst is bij de gemeente valt direct onder de rechtspositie voor ambtenaren (CARUWO) . Dit betekent dat zij bij de aanstelling niet apart een verklaring dienen te ondertekenen dat zij op
verantwoorde wijze omgaan met privacygevoelige informatie. Dit is opgenomen in de CAR-UWO.
Wel heeft iedereen een Verklaring Omtrent Gedrag moeten inleveren bij P&O, een geldig ID (paspoort,
ID-kaart) en een integriteitsverklaring.
Tijdelijk personeel/stagiaires
Personeel dat werkzaamheden verricht bij de gemeente en niet in een ambtelijk dienstverband is benoemd,
is gedetacheerd via een uitzendbureau of een detacheringsbureau. De gemeente heeft met het „vaste‟
uitzendbureau PDZ de afspraak gemaakt dat elke uitzendkracht (waaronder stagiaires) bij de gemeente een
Verklaring Omtrent Gedrag moet inleveren. Bij overeenkomsten met detacheringsbureaus wordt door de
gemeente verlangd dat tijdelijk personeel bij de eigen werkgever een Verklaring Omtrent Gedrag heeft
ingeleverd, die op verzoek van de gemeente kan worden getoond. In elk geval wil P&O
bij alle functies een Verklaring Omtrent Gedrag ontvangen. Verder eist P&O dat het uitzendbureau of
detachteringsbureau een kopie van een geldig ID (paspoort of ID-kaart) naar de afdeling
P&O stuurt. Iedere inleenkracht tekent op de eerste werkdag een integriteitsverklaring en zorgt ervoor
dat de afdeling P&O een kopie ontvangt van de originele Verklaring Omtrent het Gedrag.
Nieuw personeel
Aan een mogelijk nieuwe medewerker wordt al in de sollicitatie ronde bij het tweede gesprek gevraagd om
een integriteitsverklaring te ondertekenen. Daarnaast dient een nieuwe medewerker een Verklaring
Omtrent Gedrag in te leveren bij P&O. Na de aanstelling krijgt een nieuwe medewerker een
gemeentebrede introductie. Hierbij wordt de medewerker gevraagd om een integriteitsverklaring te
ondertekenen. Ook dient een nieuwe medewerker een geldig ID (paspoort of ID-kaart) te overleggen aan
P&O.
6.2
Registratie en autorisatie van gebruikers
Sinds maart 2013 maakt de organisatie gebruik van een “Formulier autorisatie applicaties en uitgifte
toegangsbadge en token”. In dit formulier zijn de applicaties opgenomen die privacy gevoelige informatie
c.q. persoonsgegevens bevatten. In het formulier is ook een geheimhoudingsverklaring gegevensgebruik
opgenomen. Het proces en uitvoering worden beheerd door P&O. Leidinggevenden vragen via dit
formulier specifieke autorisaties aan voor hun medewerkers, die daarvoor mede ondertekenen, inclusief de
geheimhoudingsverklaring.
Voor het gebruik van Suwinet geldt dat het afdelingshoofd Z&W aan de medewerker Planning&Control
de namen doorgeeft van nieuwe medewerkers en medewerkers die uit dienst gaan op de afdeling Z&W.
De medewerker P&C vraagt vervolgens een user-id en wachtwoord (op basis van de juiste gebruikersrol)
voor de nieuwe medewerker aan bij I&A/Systeembeheer. Bij uitdiensttreding geeft de medewerker P&C
de datum van uitdiensttreding door aan I&A/Systeembeheer en vervolgens wordt door deze afdeling de
desbetreffende user-id geblokkeerd en verwijderd.
Bij I&A/Systeembeheer is bekend welke medewerkers van Z&W een gebruikersprofiel hebben. Concreet
betekent dit dat bekend is wie bevoegd is tot het inloggen op het netwerk van de gemeente Waterland.
Er kan een overzicht samengesteld worden betreffende deze gegevens. De medewerker P&C vraagt dit
overzicht periodiek, een keer per maand, op bij I&A/systeembeheer. Hij/zij controleert dan of de
medewerkers op dit overzicht en hun gebruikersrollen nog correct zijn.
6.3
Instructie voor en informeren van gebruikers
Z&W instrueert de individuele gebruikers betreffende correcte omgang met ICT-voorzieningen.
Tijdens de algemene introductie van nieuwe medewerkers worden zij in kennis gesteld van het gebruik van
privacygevoelige informatie.
8
Handboek beveiliging Suwinet 2014
Voor de medewerkers van Z&W en Publiekszaken is met betrekking tot SUWInet een
gebruikershandleiding beschikbaar. Daarnaast wordt het handboek beveiliging Suwinet verstrekt en
worden werkinstructies gegeven. Ook is beveiliging een vast agendapunt in werkoverleggen.
Medewerkers zelf zijn (ook) verantwoordelijk voor een juist gebruik van Suwinet. Elke medewerker is er
van op de hoogte dat hij/zij in het kader van de interne controle regulier gecontroleerd wordt of
raadpleging en gebruik van gegevens verenigbaar is met de doeleinden waarvoor ze zijn opgevraagd of
verstrekt (voor controle op het gebruik zie hoofdstuk 9).
7
Bedreigingen en incidenten
Alle belangrijke informatiebedrijfsmiddelen zijn bij de gemeente Waterland op de een of andere manier
beveiligd. In het ICT-Beveiligingsplan 2014 zijn de diverse bedreigingen en de beveiligingsmaatregelen om
deze bedreigingen zo veel mogelijk te beperken opgenomen. In dit hoofdstuk zijn een aantal aspecten
daarvan opgenomen.
7.1
Bedrijfsmiddelen en gegevens
Binnen Z&W is het primaire proces beveiligd tegen uitval van het ICT-systeem. Wanneer er verstoringen
optreden voor het primaire proces worden noodplannen in werking gezet. Op het gebied van calamiteiten
zoals brand, bommeldingen etc. is het calamiteitenplan van kracht. Er zijn noodplannen beschikbaar zodra
bijvoorbeeld stroomstoringen optreden. Informatie is beschikbaar bij zowel de Coördinator I&A alsmede
de Beveiligingscoördinator. Een actueel overzicht van bedrijfsmiddelen en de beveiliging hieromtrent, is
vastgelegd bij systeembeheer. Tevens onderhoudt systeembeheer de registratie en documentatie van alle
aanwezige hard- en software in een Configuratie Management DataBase (CMDB)
Alle datatransport vindt plaats door middel van vaste bekabeling welke gecontroleerd is op
betrouwbaarheid. Binnen de gemeente Waterland wordt gebruik gemaakt van een eigen netwerk dat niet is
aangesloten op een telefoonverbinding. Het datanetwerk is getoetst aan vastgestelde normen.
Binnen de gemeente Waterland wordt geen gebruik gemaakt van cryptografische versleuteling bij data
verzending. Omdat het netwerk van de gemeente Waterland los staat van openbare netwerken is
onderschepping van data vrijwel niet mogelijk.
Binnen Z&W wordt gewerkt met persoonsgegevens die aangemerkt kunnen worden als bijzondere
persoonsgegevens zoals beschreven in artikel 16 WBP. Omdat deze gegevens niet specifiek onderscheiden
kunnen worden binnen de gegevensuitwisseling en gezien het grote aantal uitwisselingen, wordt de
risicoklasse van de gegevens vastgesteld op een combinatie van II en III.
Logbestanden en de gebruikersadministratie bevatten persoonsgegevens van medewerkers. De gegevens
die worden vastgelegd in deze bestanden worden vastgelegd in risicoklasse I.
Binnen Z&W is afgesproken dat enkel medewerkers die werkzaam zijn in het primaire proces toegang
krijgen tot SUWInet en wordt enkel voor hen een gebruikersaccount en wachtwoord aangemaakt. Naast
inloggen op het gemeentelijke netwerk is een aparte inlog noodzakelijk voor SUWInet.
7.2
Bescherming tegen kwaadaardige software
De gemeente Waterland gebruikt voor haar netwerk een firewall om kwaadaardige aanvallen van buitenaf
te voorkomen. De verantwoordelijkheid van deze firewall ligt bij I&A/Systeembeheer.
Naast het gebruik van een firewall, gebruikt de gemeente Waterland ook antivirus/antimalware software
een mailgateway en een webgateway. Deze beveiligingssoftware wordt automatisch geactualiseerd
(hierover zijn contracten afgesloten met leveranciers).
Alle werkplekken binnen de gemeente Waterland zijn dusdanig beveiligd dat computers en servers zijn
afgeschermd om geen kans te geven software te installeren. Er kunnen onder meer geen programma‟s of
een programmacode door de gebruiker geïnstalleerd worden. Iedere medewerker moet zijn eigen
toegekende inlognaam en wachtwoord intoetsen alvorens verbinding met het gemeentelijke netwerk kan
worden gemaakt.
9
Handboek beveiliging Suwinet 2014
Iedere medewerker die de mogelijkheid heeft om van de applicatie SUWI-Inkijk gebruik te maken heeft
een aparte inlognaam ontvangen, voorzien van een wachtwoord. Velden met sleutelgegevens zijn
afgeschermd om wijzigingen aan de instellingen te voorkomen.
7.3
Reageren op incidenten en storingen
Wanneer zich binnen Z&W een storing op ICT niveau voordoet wordt dit gemeld bij de gemeentelijke
helpdesk van I&A/Systeembeheer (tel. 626). Na afhandeling van de storing krijgt degene die de storing
heeft doorgegeven een melding dat de call is afgehandeld.
Beveiligingsincidenten worden door I&A/Systeembeheer gerapporteerd en gedocumenteerd. Bij het
opstellen van de jaarplanning worden, mede op basis van deze rapportage, zogenaamde “projectmatige
activiteiten” benoemd om het ICT niveau verder te verbeteren en te beveiligen.
De gemeente Waterland maakt bij calamiteiten op ICT-gebied gebruik van een vastgestelde methode.
Deze methode geeft aan dat problemen door middel van een procedure worden afgehandeld. Verdere
informatie is te vinden bij I&A/Systeembeheer.
7.4
Rapporteren van onvolkomenheden in de software
Systeembeheer is verantwoordelijk voor het doorvoeren van autorisaties en systeemtechnische toegang tot
SUWInet. Dit betekent dat de systeembeheerder degene is die de autorisaties verstrekt aan individuele
medewerkers na ontvangst van een schriftelijke opdracht (e-mail) van de medewerker Planning & Control.
Bij eventuele problemen op software gebied is hij/zij degene die als aanspreekpunt fungeert voor de
medewerkers. Mochten de problemen niet meteen op te lossen zijn, wordt het probleem doorgegeven aan
het BKWI.
8
Beveiligingsorganisatie, taken en verantwoordelijkheden
Binnen de gemeente is het college van burgemeester en wethouders bestuurlijk verantwoordelijk voor de
beveiliging van informatie binnen de werkprocessen van de gemeente en stelt het beleid vast. De
afdelingshoofden zijn verantwoordelijk voor de informatiebeveiliging van zijn/haar afdeling en de
handhaving van de personele beveiliging. Voor een zo goed mogelijke (informatie)beveiliging is het van
belang om taken, verantwoordelijkheden en bevoegdheden zo veel mogelijk te scheiden.
In de gemeente Waterland is een Beveiligingsadviescommissie ingesteld met als doel de
(informatie)beveiliging organisatiebreed te waarborgen, te evalueren en actualiseren. De samenstelling en
taken zijn opgenomen onder 8.1. De overige paragrafen zijn specifiek gericht op Suwinet.
8.1
Beveiligingsadviescommissie
De Beveiligingsadviescommissie bestaat uit een voorzitter, vaste leden en leden die incidenteel afhankelijk
van de te behandelen onderwerpen zitting hebben. Voorzitter van de commissie is het afdelingshoofd
Publiekszaken. Vaste leden zijn de beveiligingsfunctionaris/Security Officer Suwinet, de I&A-coördinator,
de deskundige Basisregistratie Personen (BRP), de Arbo-coördinator (afdeling P&O) en een lid van de
Ondernemingsraad. Incidenteel heeft de medewerker Planning&Control Z&W zitting
De Beveiligingsadviescommissie heeft tot taak:
- Het doen van voorstellen met betrekking tot een nadere ontwikkeling en implementatie van het
gemeentelijke (informatie)beveiligingsbeleid.
- Het doen van voorstellen met betrekking tot beveiliging in de breedste zin van het woord.
- Het adviseren van het college van burgemeester en wethouders betreffende actuele en/of
structurele beveiligingsproblemen.
- Het initiëren en aansturen van het proces dat leidt tot het uitvoeren van een jaarlijks onderzoek
naar de organisatorische, bouwkundige en elektrotechnische status van de beveiliging en het
opstellen dan wel actualiseren van een jaarlijks beveiligingsplan.
10
Handboek beveiliging Suwinet 2014
8.2
Beheer Suwinet
Suwinet is het gegevensuitwisselingssysteem van de sector Werk en Inkomen. Het Bureau
Keteninformatisering Werk en Inkomen (BKWI) is beheerder van Suwinet.
8.3
Afdelingshoofd Z&W
Het afdelingshoofd Z&W is primair verantwoordelijk voor de veiligheid van Suwinet. In de praktijk
worden de activiteiten gericht op veilig(er) gebruik van Suwinet uitgevoerd door de Security Officer en de
medewerker Planning&Control Z&W.
Uitsluitend bevoegde personen hebben toegang tot de in Suwinet beschikbare (persoons)gegevens. De
bevoegdheid moet worden afgeleid van de taak, functie of verantwoordelijkheid en is ter beoordeling van
het afdelingshoofd Z&W. Het afdelingshoofd Z&W neemt besluiten tot het toekennen of intrekken van
autorisaties voor Suwinet. Hij/zij geeft aan de medewerker Planning&Control Z&W de namen door van
nieuwe medewerkers en medewerkers die uit dienst gaan op de afdeling Z&W.
8.4
Afdelingshoofd Publiekszaken
Het afdelingshoofd Publiekszaken is verantwoordelijk voor een veilig en integer gebruik van SuwinetBurgerzaken door de door hem/haar aangewezen medewerkers Publiekszaken.
Uitsluitend bevoegde personen hebben toegang tot de in Suwinet-Burgerzaken en alleen met als doel
adresonderzoek uit te voeren ingeval van twijfel over gegevens in de BRP (zie ook 8.9).
Het afdelingshoofd Publiekszaken:
- neemt besluiten tot het toekennen of intrekken van autorisaties voor Suwinet-Burgerzaken;
- vraagt maandelijkse een gebruiksrapportage Suwinet-Burgerzaken op;
- voert bij afwijkingen in de gebruikersrapportage nader verdiepend onderzoek uit door middel van het
opvragen van een specifieke rapportage;
- voert minimaal twee keer per jaar een onderzoek uit aan de hand van een opgevraagde specifieke
rapportage.
8.5
Autorisatiebeheer Suwinet
De medewerker Planning&Control Z&W is belast met het autorisatiebeheer van Suwinet.
De medewerker P&C kan Suwinet-Inkijk niet raadplegen.
De medewerker P&C voert in opdracht van het afdelingshoofd Zorg en Welzijn onderstaande taken uit::
- vraagt voor nieuwe gebruikers een user-id en wachtwoord (op basis van de juiste gebruikersrol) aan bij
I&A/Systeembeheer;
- geeft bij uitdiensttreding de gebruiker en datum van uitdiensttreding door aan I&A/Systeembeheer om
het desbetreffende user-id te laten blokkeren en verwijderen;
- controleert periodiek of de geautoriseerde medewerker daadwerkelijk toegang mogen hebben vanuit
hun werkzaamheden en of ze de juiste autorisatie hebben. De medewerker P&C vraagt daartoe
maandelijks bij systeembeheer een overzicht aan van de accounts en rollen;
- vraagt maandelijks een gebruikersrapportage Suwinet-Inkijk op;
- meldt afwijkingen in de rapportage aan het afdelingshoofd Z&W.
8.6
Gebruikersbeheer Suwinet
Het gebruikersbeheer Suwinet is ondergebracht bij I&A/Systeembeheer. Twee systeembeheerders zijn
geautoriseerd voor het aanmaken of verwijderen van gebruikers en het wijzigen van gebruikersautorisaties.
De door Systeembeheer gebruikte users hebben geen toegang tot de middels Suwinet ontsloten gegevens.
Het aanmaken/verwijderen van gebruikers en het wijzigen van de autorisaties daarvan gebeurt alleen
schriftelijk (e-mail) na besluit van het afdelingshoofd Z&W en op aangeven van de autorisatiebeheerder.
11
Handboek beveiliging Suwinet 2014
8.7
Security Officer
De functie van Security Officer is binnen de gemeente Waterland toebedeeld aan de coördinator
Facilitaire Zaken, tevens beveiligingsfunctionaris.
De Security Officer:
- is het centrale aanspreekpunt op het gebied van informatiebeveiliging;
- beheert en beheerst beveiligingsprocedures en – maatregelen in het kader van Suwinet, zodanig dat de
beveiliging van Suwinet overeenkomstig wettelijke eisen is geïmplementeerd;
- bevordert en adviseert op het gebied van (informatie)beveiliging;
- analyseert eventuele beveiligingsincidenten;
- controleert of en in hoeverre beveiligingsmaatregelen en -procedures worden nageleefd en monitort de
uitvoering van het opgestelde beleid;
- evalueert de uitkomsten en doet voorstellen voor implementatie en aanpassing van plannen op het
gebied van de beveiliging;
- heeft jaarlijks overleg met het hoofd Z&W en/of de autorisatiebeheerder Suwinet over
informatiebeveiliging en – beheer binnen de afdeling Z&W;
- rapporteert rechtstreeks aan het college van burgemeester en wethouders (eventueel aan de hand van
de Verantwoordingsrichtlijn en zelfevaluaties);
- zorgt (mede) voor het opstellen en onderhouden van het beveiligingshandboek.
8.8
Juridisch beleidsmedewerker Z&W
De juridisch beleidsmedewerker Z&W:
- voert bij afwijkingen in de gebruikersrapportage nader verdiepend onderzoek uit door middel van het
opvragen van een specifieke rapportage;
- voert minimaal twee keer per jaar een onderzoek uit aan de hand van een opgevraagde specifieke
rapportage.
De juridisch beleidsmedewerker Z&W is daartoe gemandateerd door het college van burgemeester en
wethouders.
8.9
Gebruikers en rollen Suwinet
Voor de uit te voeren taken/functies worden verschillende Suwinet variaties gebruikt met verschillende
autorisatierollen. Er zijn geen speciale bevoegdheden waarbij het mogelijk is om de beveiliging in de
systemen of toepassingen te omzeilen. Wachtwoorden voor het netwerk worden regelmatig gewijzigd
(ICT-Beveiligingsplan) en accounts in Suwinet verlopen wanneer er 90 dagen geen gebruik van is gemaakt.
Gebruikers Suwinet:
- Suwinet-Inkijk
- G-rollen;
- Z&W/consulenten Sociale Zaken;
- voor de wettelijke taken beschreven in de Wet Suwi en WWB.
- Suwinet-Inburgering
- SC-rollen;
- medewerkers Z&W/Inburgering;
- voor de wettelijke inburgeringstaken en beperkt tot de eigen cliënten
die inburgeringsplichtig zijn;
- beperkte bevraging eigen cliënten; geen misbruik mogelijk.
- Suwinet-Burgerzaken - twee medewerkers Publiekszaken zijn geautoriseerd;
- alleen voor adresonderzoeken ingeval van twijfel over de BRP-registratie,
waarbij andere bronnen geraadpleegd worden (waaronder Suwinet).
Gebruik, toegang en bevoegdheden van de Sociale Recherche zijn in beheer bij de gemeente Purmerend.
12
Handboek beveiliging Suwinet 2014
9
Controle op het gebruik
Toegang tot de specifieke (persoons)gegevens in Suwinet is afhankelijk van de rol van een medewerker.
De gemeente moet (steekproefgewijs) controleren of dat juist gebeurd, de beveiliging functioneert en
maatregelen juist worden nageleefd en of medewerkers de correcte toegang en autorisatierollen hebben en
niet onbevoegd (persoons)gegevens worden geraadpleegd.
In dit handboek zijn de onderstaande controles opgenomen:
- 1 x per maand overzicht ter controle accounts en rollen (autorisatiebeheerder);
- 1 x per maand gebruikersrapportage Suwinet-Inkijk (autorisatiebeheerder);
- 1 x per maand gebruikersrapportage Suwinet-Burgerzaken (afdelingshoofd Publiekszaken);
- verdiepend onderzoek bij afwijkingen in gebruikersrapportages (juridisch beleidsmedewerker Z&W en
voor Suwinet-Burgerzaken het afdelingshoofd Publiekszaken);
- minimaal 2 x per jaar specifieke rapportage) Suwinet (juridisch beleidsmedewerker Z&W en
voor Suwinet-Burgerzaken het afdelingshoofd Publiekszaken);
- Jaarlijks wordt online een zelfanalyse uitgevoerd om het veilig(er) gebruik van Suwinet te toetsen aan
het normenkader dat daarvoor is gesteld (Security Officer).
10
Actualisatie en vaststelling
Het Handboek beveiliging Suwinet wordt jaarlijks geëvalueerd en zo nodig geactualiseerd.
Het Handboek wordt vastgesteld door het college van burgemeester en wethouders.
13
Handboek beveiliging Suwinet 2014