Informatiebeveiligingsbeleid gemeente De Bilt

Inhoudsopgave

Inhoudsopgave 2

• 1.

  Inleiding 4

• 2.

  Informatiebeveiligingsbeleid 6

• 3.

  Beveiligingsorganisatie 7

• 4.

  Classificatie en beheer van bedrijfsmiddelen 8

4.1. Overzicht van bedrijfsmiddelen 8

4.2. Classificatie van informatie en informatiesystemen 8

• 5.

  Beveiligingseisen ten aanzien van personeel 9

• 5.1.

  Definities 9

• 5.2.

  Verklaring omtrent het gedrag 9

• 5.3.

  Geheimhoudingsplicht 9

• 5.4.

  Communicatie over informatiebeveiliging 9

• 6.

  Fysieke beveiliging en beveiliging van de omgeving 10

6.1. Inleiding 10

6.2. Omschrijving van ruimten 10

6.3. Uitgangspunten voor fysieke beveiliging 10

6.4. Beveiliging van gebouwen 10

6.5.Beveiliging van ruimten 10

6.5.1. Beveiliging van kritische ruimten 11

6.5.2. Beveiliging van werkruimten 11

6.5.3. Beveiliging van openbare ruimten 11

6.6. Beheer van toegangsmiddelen 11

6.7.Beveiliging van apparatuur 12

6.7.1. Algemeen 12

6.7.2. Veilig afvoeren en hergebruiken van apparatuur 12

6.8. Clean desk policy 12

• 7.

  Beheer van communicatie- en bedieningsprocessen 13

• 7.1.

  Inleiding 13

7.2. Systeembeheer 13

7.4. Adequate functiescheiding 14

7.5. Systeemplanning en –acceptatie 14

7.6. Viruscontrole 15

• 7.7.

  Beperking gegevensverlies 15

• 7.8.

  Logging van beheersactiviteiten 16

7.9. Richtlijnen voor gegevensdragers 16

7.9.1. Beheer van gegevensdragers 16

7.9.2. Controle op leesbaarheid van gegevensdragers 17

7.9.3. Afvoer en vernietiging van gegevensdragers 17

• 7.

  10. Uitwisseling van informatie en software 17

• 7.

  11. Internet 17

• 7.

  12. E-mail 18

• 7.

  13. Externe netwerkverbindingen 18

• 8.

  Toegangsbeveiliging 19

8.1. Algemene uitgangspunten 19

8.2. Functies en autorisatie 19

8.3. Toegangsverlening tot systemen 20

8.4. Beheer van user-id’s en wachtwoorden 21

8.5. Logging en monitoring 21

8.6. Controle op beveiliging 21

8.7.Inbelvoorzieningen 22

8.8. Beveiliging van apparatuur voor eindgebruikers 22

8.9. Mobiele computers 23

9.Ontwikkeling en onderhoud van systemen 24

9.1. Ontwikkeling en onderhoud 24

9.2. Wijzigingsbeheer 24

10.GBA en waardedocumenten 26

10.1. Algemeen 26

10.2. Taken, verantwoordelijkheden en bevoegdheden 26

11.Incidentmanagement 27

11.1. Incidentafhandeling 27

11.2. Meldingsplicht beveiligingsincidenten 27

11.3. Maatregelen bij overtreding 27

12.Continuïteitsmanagement 28

12.1. Continuïteitsplanning 28

12.2. Calamiteiten 28

12.3. Risicoanalyse 28

12.4. Rampenplan en BHV 28

12.5. Verantwoordelijkheden 28

13.Naleving 30

13.1. Wettelijke vereisten 30

13.2. Onafhankelijke toetsing 30

• 1.

  Bijlage A Classificatie van informatiesystemen 31

• 2.

  Bijlage B Schema risicoanalyse 32

• 3.

  Bijlage C Begrippenlijst 33

• 1.

  Inleiding

Informatie en informatiesystemen vormen essentiële middelen. De inwoners van De Bilt gaan ervan uit dat de gemeente op een zorgvuldige en vertrouwelijke manier met hun gegevens omspringt. Als gemeente beschikken we niet alleen over veel persoonsgegevens van onze inwoners maar doen we ook aan verwerking van deze gegevens. Het risico dat onze bedrijfskritische en privacygevoelige informatie in verkeerde handen valt neemt toe. Informatie kent veel verschijningsvormen, van het gesproken woord tot het papieren dossier, van fax tot verkeer op een netwerk. De vastlegging, verwerking en verzending van gegevens met behulp van informatietechnologie krijgt een steeds dominantere rol. Informatiebeveiliging dient zich daarom in toenemende mate te richten op de beveiliging van elektronische gegevens en informatiesystemen. Daarbij dient de beveiliging van andere, meer traditionele gegevensdragers met dezelfde mate van aandacht te worden behandeld. Ook de wetgeving stelt bepaalde eisen aan beveiliging. Een belangrijke rol spelen de Wet op Persoonsregistraties, de Wet Bescherming Persoonsgegevens, de Wet Computercriminaliteit, maar ook de Auteurswet, de Octrooiwet en de Wet Telecommunicatievoorzieningen. Al deze ontwikkelingen leiden ertoe dat informatiebeveiliging een steeds grotere uitdaging wordt.

Informatiebeveiliging wordt gedefinieerd als het waarborgen van:

• ·

  Vertrouwelijkheid, informatie is alleen toegankelijk voor degenen, die hiertoe geautoriseerd zijn;

• ·

  Integriteit: de correctheid en de volledigheid van informatie en verwerking;

• ·

  Beschikbaarheid: geautoriseerde gebruikers hebben op de juiste momenten tijdig toegang tot

  informatie en aanverwante bedrijsmiddelen.

Informatiebeveiliging wordt bereikt door een passende verzameling beveiligingsmaatregelen in te zetten, op het gebied van beleid, middelen, gedragsregels, procedures, organisatiestructuren. Dit betreft dus niet alleen technische maatregelen.

Het stelsel van beveiligingsmaatregelen heeft tot doel een blijvend niveau van beveiliging te realiseren. Door een zorgvuldige borging wordt bereikt dat het gewenste niveau van beveiliging ook op langere termijn blijft gehandhaafd.

Informatiebeveiliging is gericht op het realiseren van een optimaal niveau van beveiliging. Dit optimum wordt bereikt door een zorgvuldige afweging van kosten en baten.

De Code voor Informatiebeveiliging wordt beschouwd als uitgangspunt voor het ontwikkelen van richtlijnen die specifiek op de organisatie zijn toegesneden. De Code voor Informatiebeveiliging is de Nederlandse versie van de Bristish Standards 7799, ofwel BS 7799 die later als ISO/IEC 17799 als internationale standaard voor informatiebeveiliging in organisaties is gepubliceerd. De Code voor Informatiebeveiliging bestaat uit twee delen: een norm (NEN ISO 27001, voorheen BS 7799-2) en een 'code of practice' (NEN ISO 27002). De çode of practice geeft handreikingen voor de implementatie van de maatregelen in de organisatie.

De Code bestaat uit de volgende onderwerpen:

• §

  Beveiligingsbeleid;

• §

  Beveiligingsorganisatie;

• §

  Classificatie en beheer van bedrijfsmiddelen;

• §

  Beveiligingseisen ten aanzien van personeel;

• §

  Fysieke beveiliging en beveiliging van de omgeving;

• §

  Beheer van communicatie- en bedieningsprocessen;

• §

  Toegangsbeveiliging;

• §

  Ontwikkeling en onderhoud van systemen;

• §

  Incidentmanagement;

• §

  Continuïteitsmanagement;

• §

  Naleving.

De Code voor Informatiebeveiliging (NEN-ISO 27001 en 27002) gelden als leidraad voor het informatiebeveiliingsbeleid van de gemeentelijke organisatie. Slechts de adviezen en maatregelen uit de Code voor invomatiebeveiliging welke specifiek toepasbaar zijn voor de gemeentelijke organisatie worden uitgewerkt in richtlijnen.

2.Informatiebeveiligingsbeleid

Het College van burgemeester en wethouders van De Bilt besluit:

• 1.

  De Nota Infomatiebeveiligingsbeleid De Bilt vast te stellen, waarbij ingestemd wordt met de volgende uitgangspunten: a. De Code voor Informatiebeveiliging (NEN-ISO 27001 en 27002) als leidraad voor het informatiebeveiliingsbeleid van de gemeentelijke organisatie vast te stellen; b. Slechts de adviezen en maatregelen uit de Code voor infomatiebeveiliging uit te werken in richtlijnen, wanneer deze specifiek toepasbaar zijn voor de gemeentelijke organisatie; c. De in het informatiebeveiligingsbeleid beschreven maatregelen geven het ambitieniveau van de gemeente De Bilt weer; d. Elk gemeentelijk organisatieonderdeel conformeert zich aan het Informatiebeveiligingsbeleid; e. Alle medewerkers en politiek ambtsragers (college-, raadsleden en fractie-assistenten) zijn gehouden gegevens en informatiesystemen te beschermen tegen ongeautoriseerde toegang, gebruik, verandering, openbaring, vernietiging, verlies of overdracht; f. Het college en het management bevorderen het beveiligingsbewustzijn van de politiek ambtsdragers, respectievelijk medewerkers actief; g. Alle onderdelen van dit beleid uit te werken in concrete richtlijnen en maatregelen, toegesneden op de taken en verantwoordelijkheden van de betrokken politiek ambtsdragers of medewerkers; h. Periodiek een risicoanalyse uit te voeren om vast te stellen of voor specifieke gegevens of informatiesystemen aanvullende maatregelen noodzakelijk zijn. De frequentie van de risicoanalyse is gerelateerd aan de classificatie van de informatiesystemen. De naleving van genomen maatregelen wordt periodiek getoetst.

• 2.

  Het informatiebeveiligingsbeleid eens per raadsperiode te herzien en indien nodig te actualiseren.

Namens het college van burgemeester en wethouders,

A.J. Gerritsen

Portefeuillehouder informatiebeheer

3.Beveiligingsorganisatie

3.1. Toewijzing van verantwoordelijkheden

Het college van B&W is verantwoordelijk voor de vaststelling van het informatiebeveiligingsbeleid en de daarin opgenomen richtlijnen. Binnen het college valt het onder de wethouder met personeel, organisatie en informatie in zijn portefeuille. Het college informeert de Raad.

De directeur Bedrijfsvoering is ambtelijk verantwoordelijk voor informatiebeveiliging. De directeur Bedrijfsvoering brengt gevraagd en ongevraagd de onderwerpen informatiebeveiliging in het algemeen en het projecten in het kader van I-beveiliging.

De concernadviseur informatiebeveiliging (CIB) ressorteert onder de directeur Bedrijfsvoering. Hij is eindverantwoordelijk voor het opstellen van het beveiligingsbeleid (niet beperkt tot de informatievoorziening). De CIB vult daarnaast het beleid in met concrete beveiligingsrichtlijnen. Deze richtlijnen zal de CIB op hoofdlijnen opstellen en gezamenlijk met de specialisten op diverse vakgebieden vertalen naar praktisch toepasbare procedures. De CIB ziet toe op de realisatie van en controle op het beleid. De CIB adviseert de concerncontroller over beleidsvraagstukken. Daarbij is de CIB het centrale meldpunt voor beveiligingsincidenten. Deze functie is gemeentebreed en omvat daarom een klankbord en adviesrol ‘over de diensten heen’.

De manager van de afdeling BOR is verantwoordelijk voor de fysieke beveiliging van gebouwen en computerruimtes. De manager van de afdeling Concernstaf is verantwoordelijk voor de beveiliging van het netwerk en de hardware die aan het netwerk is aangesloten. Binnen de concernstaf is de beveiligingsspecialist de specialist in het realiseren van beveiligingsmaatregelen in netwerken en de daarop aangesloten hardware. De beveiligingsspecialist stelt concrete specificaties aan beveiligingssystemen op.

De afdelingsmanagers zijn verantwoordelijk voor de uitvoering van de informatiebeveiliging binnen hun eigen afdelingen, binnen de kaders van het informatiebeveiligingsbeleid. Hierbij worden zij ondersteund door de unit I&A.

De eigenaar van een informatiesysteem heeft de eindverantwoordelijkheid voor de integere werking van het informatiesysteem en bepaalt ‘wie wat mag’ met het systeem en de aanwezige informatie (gegevens) en bepaalt dus de (beveiligings)eisen van het informatiesysteem binnen de bestaande kaders.

De handhaving en de uitvoering van de beveiligingsvoorschriften dienen getoetst te worden door een onafhankelijke partij, te weten een interne auditor. De directeur Bedrijfsvoering geeft opdracht tot het uitvoeren van de toetsing.

4.Classificatie en beheer van bedrijfsmiddelen

4.4.1. Overzicht van bedrijfsmiddelen

4.Elk gemeentelijk organisatieonderdeel dient te beschikken over een juist, volledig en actueel overzicht van bedrijfsmiddelen die betrekking hebben op de verwerking, opslag en communicatie van informatie. Door classificatie worden de bedrijfsmiddelen ingedeeld in categorieën, die het belang van die middelen aangeeft. De uitkomst van de classificatie bepaalt de prioriteitstelling voor het op orde brengen van het overzicht. Voorts dient periodiek een risico-analyse op deze terreinen gehouden te worden. De gebieden waarop de gemeente een verhoogd risico loopt dienen inzichtelijk gemaakt te worden. Tot deze bedrijfsmiddelen behoren onder meer hardware, software, gegevensbestanden, documentatie, procesbeschrijvingen en ingekochte diensten. (NB. nog niet van alle processen zijn beschrijvingen beschikbaar.)

4.Aan elk van deze bedrijfsmiddelen dient een eigenaar toegewezen te zijn; de eigenaar is hierbij gedefinieerd als de functionaris die de directe verantwoordelijkheid over het desbetreffende bedrijfsmiddel draagt.

4.4.2. Classificatie van informatie en informatiesystemen

4.Door een globale risicoanalyse dient door elk gemeentelijk organisatieonderdeel te worden vastgesteld of voor specifieke informatiesystemen of gegevensverzamelingen aanvullende maatregelen noodzakelijk zijn.

4.De risicoanalyse kan plaatsvinden volgens een eenvoudig schema (zie bijlage B), waarbij voor elk bedrijfsmiddel of elke categorie bedrijfsmiddelen wordt aangegeven hoe belangrijk de aspecten beschikbaarheid, integriteit en vertrouwelijkheid voor de bedrijfsvoering zijn.

4.Uit de risicoanalyse kan een eventuele behoefte aan aanvullende beveiligingsmaatregelen worden afgeleid.

4.De risicoanalyse dient periodiek te worden herhaald. De frequentie hangt af van de classificatie (zie bijlage A. Informatiesystemen die vallen in categorie 1 dienen 1 keer per jaar aan een risicoanalyse onderworpen te worden. Degene die in categorie 2 vallen, 1 keer in de drie jaar.

4.De eigenaar van de gegevens en informatiesystemen is verantwoordelijk voor het initiëren en uitvoeren van de risicoanalyse.

5.Beveiligingseisen ten aanzien van personeel

5.1.Definities

5.De gemeente onderscheidt de volgende groepen van personen:

• §

  Interne medewerkers zijn alle personen die in tijdelijke of vaste dienst zijn bij de gemeente, of een daarmee vergelijkbare status hebben.

• §

  Externe medewerkers zijn niet in dienst van de gemeente, maar van een leverancier en verrichten op regelmatige basis diensten voor de gemeente binnen de terreinen en gebouwen van de gemeente. Voorbeelden van deze diensten zijn consultancy, catering, schoonmaak, verzorging, bewaking, en ook telecommunicatie, technische installatie en automatisering. (Onder deze categorie vallen ook stagiaires, uitzendkrachten en overige externe inhuurkrachten.)

• §

  Bezoekers zijn personen die te gast zijn bij één van de medewerkers van de gemeente.

• §

  Aangesloten derden zijn personen die door informatietechnologie toegang hebben tot de systemen van de gemeente.

5.Op elk van bovenstaande groepen is dit beleid van toepassing. Bovendien zijn op sommige groepen specifieke richtlijnen van toepassing, die op andere plaatsen in dit beleid worden gedefinieerd.

5.2.Verklaring omtrent het gedrag

5.De gemeente stelt als vereiste voor indiensttreding een verklaring omtrent het gedrag als bedoeld in de Wet op de justitiële documentatie en op de verklaringen omtrent gedrag (art. 2:2 lid 3 CAR/UWO). Daarnaast kan, indien het om een kwetsbare functie gaat, de positieve uitkomst van antecedentenonderzoek en/of een veiligheidsonderzoek als voorwaarde worden gesteld. In de gemeente De Bilt zijn regelingen van melding en openbaarmaking van nevenwerkzaamheden en een meldingsplicht van financiële belangen van kracht. Tevens wordt verwezen naar de gedragscode die de gemeente hanteert. De unit Personeel en Organisatie ziet er op toe dat aan deze vereisten en voorwaarden wordt voldaan.

5.3.Geheimhoudingsplicht

5.De ambtenaar is tot geheimhouding verplicht van hetgeen hem in verband met zijn functie ter kennis is gekomen, voor zover die verplichting uit de aard der zaak volgt, aldus artikel 125a, derde lid, van de Ambtenarenwet. Voor sommige ambtenaren bestaat daarnaast ook nog een bijzondere geheimhoudingsplicht (bijvoorbeeld op grond van art. 67 Invorderingswet 1999).

5.Daarnaast kent de Algemene wet bestuursrecht (artikel 2:5) een algemene geheimhoudingsplicht voor een ieder voor wie niet reeds op grond van ambt, beroep, of wettelijk voorschrift een geheimhoudingsplicht geldt voor die gegevens waarvan zij het vertrouwelijk karakter kennen op redelijkerwijs moeten vermoeden. Nieuwe medewerkers dienen bij in dienst treden de ambtseed af te leggen, respectievelijk een geheimhoudingsverklaring te tekenen indien het een externe medewerker betreft.

5.4.Communicatie over informatiebeveiliging

5.Alle medewerkers worden geïnformeerd over het belang van informatiebeveiliging en over de belangrijke rol die elke betrokkene daarbij speelt. De invoering van het informatiebeveiligingsbeleid zal op deze wijze worden bevorderd. Bij het invoeren van maatregelen wordt iedere keer gekeken hoe de betrokken medewerkers het best kunnen worden geïnformeerd.

5.Ook in het introductieprogramma voor nieuwe medewerkers dient aandacht aan informatiebeveiliging te worden besteed.

6.Fysieke beveiliging en beveiliging van de omgeving

6.6.1. Inleiding

6.De fysieke beveiliging omvat een stelsel van maatregelen die erop is gericht de ongeautoriseerde toegang tot, schade aan of verstoring van terreinen, gebouwen, ruimten en voorzieningen te voorkomen of vroegtijdig te detecteren.

6.6.2. Omschrijving van ruimten

6.De Bilt kent drie afgebakende en fysiek beveiligde terreinen: de gemeentewerf, de wijkpost Maartensdijk en de kwekerij. De overige terreinen zijn niet afgebakend en fysiek beveiligd. De belangrijkste objecten van fysieke beveiliging zijn de gebouwen, waarin het bestuurlijk en ambtelijk apparaat gehuisvest is.

6.Binnen de gebouwen bevinden zich ruimten. Ruimten worden onderverdeeld in drie categorieën:

1.kritische ruimten, waarin elektronische gegevens zijn opgeslagen of informatiesystemen zijn

6.geplaatst waarvan de beschikbaarheid, integriteit en/of vertrouwelijkheid kritisch zijn voor de

6.betrouwbaarheid en continuïteit van de bedrijfsvoering van een gemeentelijk organisatieonderdeel

6.en/of van de organisatie als geheel;

• 2.

  werkruimten, waarin interne en externe medewerkers hun dagelijkse werk verrichten, en waarbinnen kritische gegevens kunnen worden verwerkt of opgeslagen;

• 3.

  openbare ruimten, waarin uitsluitend openbare gegevens aanwezig zijn. Tot deze ruimten behoort onder meer de publiekshal en baliefuncties voor inwoners van de gemeente.

6.Binnen kritische ruimten en werkruimten kunnen gegevens zijn opgeslagen in kasten en/of bureaus. Daarnaast vindt opslag van gegevens plaats met behulp van IT-middelen zoals computers, randapparatuur, netwerkverbindingen en permanente opslagmedia en worden gegevens meegenomen in koffers en tassen.

6.6.3. Uitgangspunten voor fysieke beveiliging

6.De volgende uitgangspunten liggen ten grondslag aan de fysieke beveiliging:

6.Medewerkers die in het bezit zijn van een toegangspasje krijgen toegang tot het kantorengedeelte waar zij werkzaam zijn. Tegen misbruik van het toegangspasje dienen maatregelen te worden getroffen. Burgers hebben in principe alleen tijdens openingsuren van het gebouw toegang tot de openbare ruimtes. Tijdens het verblijf kunnen de burgers zich alleen (vrij) bewegen binnen deze openbare ruimte. Bezoekers krijgen uitsluitend toegang tot het afgesloten deel van het gemeentelijk gebouw na goedkeuring door de verantwoordelijke functionaris. Tijdens het verblijf staan de bezoekers onder verantwoordelijkheid van een interne medewerker. Bezoekers dienen zich bij de receptie te melden. Burgershebben in principe alleen tijdens openingsuren van het gebouw toegang tot de openbare ruimtes. Tijdens het verblijf kunnen de inwoners zich alleen (vrij) bewegen binnen deze openbare ruimte.

6.6.4. Beveiliging van gebouwen

6.Voor bezoekers is de volgende regeling van kracht:

• §

  de bezoekers melden zich bij een receptionist;

• §

  de betrokken interne medewerker (de gastheer/gastvrouw) wordt door de receptionist gewaarschuwd dat de bezoeker is gearriveerd;

• §

  de bezoeker wordt door een interne medewerker bij de receptie afgehaald of naar de medewerker gebracht door de gastheer/gastvrouw ;

• §

  de bezoeker wordt tijdens het verblijf door een interne medewerker begeleid;

• §

  de bezoeker wordt na het verblijf door een interne medewerker tot aan de receptie begeleid.

6.5.Beveiliging van ruimten

6.Bij de beveiliging van ruimten wordt onderscheid gemaakt tussen kritische ruimten, werkruimten en openbare ruimten.

6.6.5.1. Beveiliging van kritische ruimten

6.Geautoriseerde interne medewerkers krijgen toegang tot kritische ruimten met behulp van een toegangspas (met speciale autorisatie) en/of sleutel.

6.Voor externe medewerkers en niet geautoriseerde interne medewerkers wordt op individuele basis beoordeeld, middels identificatie etc., of zij geautoriseerd zijn de kritische ruimte te betreden. Daarbij wordt ook beoordeeld of deze toegang al dan niet onder begeleiding van een geautoriseerde interne medewerker dient plaats te vinden.

6.Indien externe medewerkers worden geautoriseerd om zonder toezicht een kritische ruimte te betreden, dan kan hiervoor een speciale toegangspas of sleutel beschikbaar worden gesteld. Als een externe medewerker beschikt over een speciale toegangspas of sleutel, kan hij bij eventuele calamiteiten verantwoordelijk worden gesteld.

6.Het verlenen van toegang tot een kritische ruimte of het verstrekken van een speciale toegangspas of sleutel mag alleen plaatsvinden door een geautoriseerde interne medewerker, na goedkeuring door de eigenaar van de kritische ruimte.

6.Kritische ruimten mogen nooit onbeheerd worden achtergelaten. Als er geen geautoriseerde vaste of externe medewerkers in de ruimte aanwezig zijn, dient deze te zijn afgesloten.

6.Indien een bezoeker noodzakelijkerwijs in de kritische ruimte aanwezig dient te zijn, dient deze door een geautoriseerde vaste medewerker te worden begeleid.

6.6.5.2. Beveiliging van werkruimten

6.Binnen een werkruimte dienen alle gegevens bij langdurige afwezigheid van een medewerker (aan het einde van de werkdag en bij verlof) in een afgesloten kast of bureaulade te worden bewaard.

6.Medewerkers hebben toegang tot een werkruimte, indien zij er voor het uitoefenen van hun werkzaamheden aanwezig dienen te zijn.

6.Bezoekers krijgen uitsluitend onder begeleiding of na expliciete toestemming van de betrokken vaste medewerker toegang tot werkruimten.

6.Het is niet toegestaan een onbekende te laten “meeliften” door de met pasjes beveiligde toegangsdeuren.

6.6.5.3. Beveiliging van openbare ruimten

6.Alle medewerkers en bezoekers hebben toegang tot de openbare ruimten.

6.6.6. Beheer van toegangsmiddelen

6.Onder toegangsmiddelen worden verstaan: identiteitspassen, waarmee toegang tot de gebouwen kan worden verkregen, speciale toegangspassen en badges, waarmee toegang tot kritische ruimten kan worden verkregen, en sleutels voor ruimten, kasten en bureauladen.Het beheer van toegangsmiddelen omvat het uitgeven, registreren en intrekken van toegangsmiddelen, zoals pasjes en sleutels, en het treffen van passende maatregelen na verlies, diefstal of misbruik.

6.Voor de volgende deelverantwoordelijkheden dienen procedures te zijn opgesteld:

• 1.

  het autoriseren van medewerkers voor toegang tot kritische ruimten;

• 2.

  de uitgifte van toegangsmiddelen aan vaste medewerkers;

• 3.

  de uitgifte van toegangsmiddelen aan externe medewerkers;

• 4.

  het intrekken van toegangsmiddelen bij uitdiensttreding of beëindiging van het contract;

• 5.

  het blokkeren van toegangsmiddelen na uitdiensttreding of beëindiging van het contract;

• 6.

  de registratie van toegangsmiddelen, waarin minstens de volgende gegevens moeten worden

  vastgelegd: namen van de personen die een toegangsmiddel bezitten; Datum van uitgifte van de

  toegangsmiddelen; nummers van de toegangsmiddelen die in gebruik en in bewaring zijn;

• 7.

  de gang van zaken bij van verlies, diefstal of misbruik.

6.7.Beveiliging van apparatuur

6.7.6.7.1. Algemeen

6.7.Er dienen maatregelen te worden genomen om apparatuur te beschermen tegen dreigingen als diefstal, brand, rook, water, stof, trillingen, elektromagnetische straling.Kritische componenten dienen te zijn aangesloten op een UPS (uninteruptable power supply), om de schadelijke gevolgen van een stroomuitval te beperken.

6.7.Apparatuur dient te worden onderhouden overeenkomstig de leveranciersvoorschriften.

6.7.6.7.2. Veilig afvoeren en hergebruiken van apparatuur

6.7.Bij het afvoeren van apparatuur dient te worden gewaarborgd dat geen bedrijfsgegevens meer achterblijven op de apparatuur. Hiertoe dienen de media niet op de standaardmanier te worden gewist, maar fysiek te worden vernietigd of op een veilige manier te worden overschreven.

6.6.8. Clean desk policy

6.De Bilt heeft een clean desk policy. De clean desk policy houdt in dat alle medewerkers ervoor dienen te zorgen dat informatiesystemen, documenten en gegevensdragers niet onbeheerd in ruimten worden achtergelaten. Binnen een werkruimte dienen alle gegevens bij langdurige afwezigheid van een medewerker (aan het einde van de werkdag en bij verlof) in een afgesloten kast of bureaulade te worden bewaard.

6.De clean desk policy vermindert de kans op beschadiging, verlies of diefstal van bedrijfsmiddelen en laat duidelijk zien dat de gemeente zorgvuldig omgaat met persoonsgevoelige gegevens. De clean desk policy geldt voor alle kritische ruimten, werkruimten en openbare ruimten en is van toepassing op alle gegevens en bedrijfsmiddelen die bestemd zijn voor intern of extern gebruik (met uitzondering van tijdschriften, brochures, boeken en kranten). De clean desk policy is ook van toepassing op mobiele apparatuur.

6.De clean desk policy geldt ook voor medewerkers die hun gemeentelijke werkzaamheden op locatie verrichten. Medewerkers die thuis werkzaamheden verrichten moeten ook daar zorgvuldig omgaan met vertrouwelijke stukken. In geen geval mogen deze vertrouwelijk stukken (prints, concept stukken e.d) in de openbare afvalstroom worden gedeponeerd.

7.Beheer van communicatie- en bedieningsprocessen

7.1.Inleiding

7.Het beheer van computers en netwerken omvat normen en maatregelen met betrekking tot de noodzakelijke beveiligingsmaatregelen rond het beheer van de technische infrastructuur. Deze normen en maatregelen hebben betrekking op de activiteiten die worden uitgevoerd door de beheerders. Met name voor dit onderwerp zal het beveiligingsbeleid voortdurend op actualiteit moeten worden getoetst, zodat ook bij nieuwe ontwikkelingen in de informatietechnologie en -toepassing adequate beveiligingsmaatregelen worden getroffen.

7.De richtlijnen voor computer- en netwerkbeheer zijn als volgt onderverdeeld:

• §

  systeembeheer;

• §

  incidentafhandeling;

• §

  adequate functiescheiding;

• §

  scheiding van “ontwikkeling + testen” en “productie + beheer”;

• §

  systeemplanning en –acceptatie;

• §

  viruscontrole;

• §

  verlies van gegevens;

• §

  logging van beheersactiviteiten;

• §

  gegevensdragers;

• §

  uitwisseling van gegevens met derden;

• §

  internet;

• §

  e-mail.

7.7.2. Systeembeheer

7.De verantwoordelijkheid voor het dagelijks beheer van de systemen ligt bij de volgende organisatorische eenheden:

• §

  n De unit Informatie en Automatisering (I&A) van de afdeling Concernstaf voor technisch beheer van de centrale computers, centrale applicaties, netwerken, internetkoppeling en werkplekken.

• §

  De unit Gebouwenbeheer van de afdeling Beheer Openbare Ruimte (BOR) , o.a. het beheer van het fysieke toegangssysteem en de telefooncentrale;

• §

  Externe partijen, in die gevallen waarbij onderdelen van het beheer zijn uitbesteed.

7.De bovenstaande drie eenheden zullen verder worden aangeduid als dienstenleveranciers.

7.De beschrijving van standaarden, procedures en maatregelen bij de dienstenleveranciers dient, op een zodanig niveau plaats te vinden, dat hiermee de werkbaarheid geen geweld wordt aangedaan. Dit houdt in dat alle standaardwerkzaamheden die dagelijks of op periodieke basis door beheerders worden uitgevoerd, dienen te zijn gedocumenteerd. In principe moet een nieuwe medewerker die zich gaat bezighouden met computer- en netwerkbeheer aan de hand van deze documentatie in staat zijn om alle standaard beheerswerkzaamheden uit te voeren. In de praktijk is het niet mogelijk om de kennis en ervaring die benodigd is bij calamiteiten of niet-standaard werkzaamheden op gedetailleerde wijze vast te leggen. Het spreiden van essentiële kennis is daarom van groot belang. De werkzaamheden van dienstenleveranciers dienen te worden ondersteund door bedieningsinstructies en procedures waarin is vastgelegd welke werkzaamheden en activiteiten moeten worden uitgevoerd voor het dagelijkse beheer en de bediening. Daarnaast dient middels autorisatieformulieren aangegeven te worden welke medewerker voor welk onderdeel geautoriseerd is om inzage te hebben, voorwaardelijk voor de uitvoering van de specifieke taak.

7.Dienstenleveranciers dienen ervoor zorg te dragen dat in de handboeken voor het dagelijks beheer van de systemen correcte procedures zijn opgenomen en worden nageleefd, met inachtneming van het menselijk handelen.

7.Dienstenleveranciers dienen ervoor zorg te dragen dat het beheer en het onderhoud van besturingssystemen en standaardapplicaties plaatsvindt volgens voorschriften van de leverancier; met name dient gelet te worden op de installatie van wijzigingen die betrekking op beveiliging, zoals patches, services packs, hot-fixes en dergelijke.

7.Naamgeving van gebruikers, groepen en IT-hulpmiddelen dient plaats te vinden volgens richtlijnen. Er dienen voorschriften te worden gebruikt voor de naamgeving van alle via het WAN (Wide Area Network) toegankelijke netwerkdiensten.

7.Er dienen richtlijnen te worden opgesteld voor de inrichting van alle IT-componenten, zoals clients, server en routers.

7.7.3.Incidentafhandeling ICT

7.Een beveiligingsincident is iedere gebeurtenis die geresulteerd heeft of had kunnen resulteren in verlies van of schade aan informatie of die een doorbreking is van het beveiligingsbeleid of de daartoe opgestelde richtlijnen en procedures. Een adequate incidentafhandeling moet waarborgen dat de schade van dergelijke incidenten wordt geminimaliseerd en dat de gemeente ervan leert. De procedure voor de afhandeling van beveiligingsincidenten betreffende ICT dient te worden vastgesteld. Hierbij dient gebruik gemaakt te worden van logfiles.Voor de afhandeling van de overige categorieën beveiligingsincidendenten wordt verwezen naar hoofdstuk 10.

7.7.4. Adequate functiescheiding

7.Door adequate functiescheiding is het mogelijk om de risico’s van menselijke fouten en eventueel opzettelijk misbruik van systemen te verminderen. Doorvoering van volledige functiescheiding zal omwille van de werkbaarheid echter niet altijd wenselijk zijn.

7.In algemene termen kan bij de scheiding van functies onderscheid gemaakt worden tussen functies betreffende ontwikkeling, beheer en gebruik van informatiesystemen. Tussen ontwikkelaars, beheerders en gebruikers dient een functiescheiding te zijn aangebracht.

7.De activiteiten voor het ontwikkelen en testen van applicaties kunnen wijzigingen veroorzaken in de programmatuur en de gegevens die gemeenschappelijk worden gebruikt in dezelfde gegevensverwerkende omgeving. Hierdoor ontstaat het risico dat door ontwikkel- en testactiviteiten de continuïteit van bepaalde diensten in gevaar komt.

7.Er dient daarom altijd een strikte logische scheiding te worden gerealiseerd tussen test/ontwikkelomgevingen en productieomgevingen. Voor deze logische scheiding wordt verwezen naar de richtlijnen van hoofdstuk 8.

7.Voor kritische systemen dient bovendien een fysieke scheiding te worden aangebracht. Deze fysieke scheiding dient te worden gerealiseerd door voor ontwikkel- en testactiviteiten separate apparatuur aan te schaffen waarop zich geen productieapplicaties of productiegegevens bevinden. Andersom dienen geen ontwikkel- en testactiviteiten plaats te vinden op productieapparatuur.

7.De overdracht van programmatuur tussen de verschillende omgevingen (i.e. bijvoorbeeld verplaatsing van een (aangepaste) applicatie van de testomgeving naar de productieomgeving, nadat een acceptatietest heeft plaatsgevonden) dient op een gecontroleerde wijze plaats te vinden. Is er sprake van wijzigingen die betrekking hebben op de functionaliteit van de systemen of wijzigingen die een bedreiging kunnen vormen voor de beschikbaarheid van de systemen, dan dient de overdracht plaats te vinden na autorisatie door de gebruiker.

7.De IT diensten leverancier dient de gebruiker altijd op de hoogte te stellen van aan te brengen wijzigingen in de systemen.

7.Minimaal 1x per jaar dient voor elke kritische applicatie (zie bijlage A, alle applicaties in categorie 1) een uitwijk, restore en reconstructie plaats te vinden. Voor iedere applicatie dient een contract met een uitwijkleverancier afgesloten te zijn. Dit is altijd dezelfde leverancier als die van de betreffende applicatie.

7.7.5. Systeemplanning en –acceptatie

7.Er dient een prognose te worden gemaakt van de toekomstige capaciteitseisen om het risico van overbelasting van het systeem te reduceren.

7.De operationele eisen van nieuwe systemen dienen te worden vastgesteld, gedocumenteerd en getest voordat de systemen goedgekeurd en in gebruik genomen kunnen worden.

7.7.6. Viruscontrole

7.Een virus is een kwaadaardig computerprogramma dat zichzelf vermenigvuldigt door zich vast te hechten aan andere programma’s en gegevensbestanden. Door de toenemende uitwisseling van elektronische gegevens vormen virussen een bijzonder risico.

7.De Bilt dient adequate technische en organisatorische maatregelen te treffen om te voorkomen dat programma’s en gegevens worden geïnfecteerd. De noodzakelijke technische maatregelen dienen deel uit te maken van de standaardconfiguratie van IT-middelen.

7.De organisatorische maatregelen dienen te worden vertaald naar richtlijnen en procedures die bindend zijn voor elke vaste en externe medewerker.

7.Bij het optreden van een virusincident zal de procedure voor afhandeling van incidenten moeten worden gevolgd. Om onnodige communicatie te voorkomen, mogen waarschuwingen over computervirussen alleen worden uitgebracht door de unit I&A.

7.7.Beperking gegevensverlies

7.Medewerkers dienen adequate maatregelen te treffen om te voorkomen dat gegevens verloren gaan door menselijke fouten, storingen of opzettelijk handelen.

7.Ook moeten adequate maatregelen getroffen worden om gegevens die verloren zijn gegaan weer beschikbaar te maken. Hiertoe dienen dagelijks reservekopieën van alle bedrijfsgegevens te worden gemaakt.

7.Voor een aantal kritische systemen is het gewenst om het verlies van gegevens verder te beperken dan één dag. Bij kritische systemen moet daarom worden overwogen vaker reservekopieën te maken of de gegevens te repliceren.

7.Van bedrijfsgegevens die zijn opgeslagen op servers dient de unit I&A dagelijks een reservekopie te maken.

7.Er dient ook dagelijks een reservekopie gemaakt te worden van de testservers.

7.Zoveel als mogelijk dienen bedrijfsgegevens niet te worden opgeslagen op desktop-systemen en mobiele computerapparatuur. Is dat wel het geval, dan is de eindgebruiker van de apparatuur verantwoordelijk voor het nemen van zodanige beveiligingsmaatregelen dat de gegevens niet toegankelijk zijn voor derden en voor het maken van reservekopieën.

7.Bij het maken van reservekopieën dient rekening te worden gehouden met de wettelijke bewaartermijn van gegevens.

7.In de handboeken voor systeembeheerders dienen procedures te zijn opgenomen voor het maken van cyclische reservekopieën. Het opnieuw beschikbaar maken van verloren gegane gegevens (restore) dient regelmatig te worden getest.

7.Reservekopieën dienen goed beveiligd te worden opgeslagen.

7.Reservekopieën van de centrale systemen dienen minstens dagelijks te worden opgeslagen op een geografisch gescheiden locatie, te weten: in de brand en inbraakwerende kluis Locatie Jagtlust.

7.Alle reservekopieën dienen uniek te worden geregistreerd en mogen op generlei wijze verloren raken. De wijze van registratie dient de volledigheid van de reservekopieën te ondersteunen.

7.8.Logging van beheersactiviteiten

7.Om toezicht te kunnen houden op de activiteiten van systeem- en netwerkbeheerders, dient registratie van beheersactiviteiten plaats te vinden (logging).

7.Hierbij wordt onderscheid gemaakt tussen de volgende vormen van logging:

• §

  automatische logging, die door de systemen en netwerken zelf wordt verzorgd. Voor de automatische logging dienen instellingen op de verschillende systemen te worden geactiveerd. Naast de normale systeemlogging, die betrekking heeft op bepaalde activiteiten van alle gebruikers, dienen de activiteiten van beheerders op uitgebreidere wijze gelogd te worden (bv. gebruik van speciale en hoge privileges op het systeem). Bij het bepalen van instellingen wordt het gestelde beleid voor beveiliging en controle op als uitgangspunt genomen. De ingestelde logging dient de performance van de systemen niet in grote mate op een negatieve wijze te beïnvloeden;

• §

  handmatige logging, die door de systeem- en netwerkbeheerders wordt verzorgd.

7.Naast de automatische systeemlogging zijn beheerders zelf verantwoordelijk voor het bijhouden van een handmatig geregistreerd logboek, al dan niet in geautomatiseerde vorm. In dit logboek worden alle belangrijke beheerswerkzaamheden opgenomen. Hierbij dient te worden opgemerkt dat het niet de bedoeling is dat beheerders bij wijze van spreken van minuut tot minuut een vastlegging van werkzaamheden moeten opstellen. Als stelregel kan worden gebruikt dat alle grote en kritische beheerswerkzaamheden en ook alle werkzaamheden en situaties die afwijken van de dagelijkse activiteiten worden vastgelegd in het logboek. De beheerder vermeldt hiertoe in het logboek de datum en het tijdstip van uitvoering, de reden van de uitvoering en een omschrijving van de uitgevoerde werkzaamheden en ook het resultaat van deze werkzaamheden.

7.7.9. Richtlijnen voor gegevensdragers

7.Gegevensdragers worden gebruikt om gegevens of programmatuur op te slaan, te bewaren of uit te wisselen met derde partijen. Voorbeelden van gegevensdragers zijn: usb-sticks, tapes, papier, schijven en cd-rom’s. In verband met de beschikbaarheid, integriteit en vertrouwelijkheid van de gegevens en programmatuur is het wenselijk om zorgvuldig bij te houden waar deze zich bevinden, welke gegevensverzamelingen ze bevatten en wanneer ze zijn vernietigd.

7.Eenieder die gegevensdragers onder zijn beheer heeft is verantwoordelijk voor de beveiliging ervan. Voor de gegevensdragers kan onderscheid gemaakt worden tussen:

• §

  het beheervan gegevensdragers;

• §

  de controle op leesbaarheid van gegevensdragers;

• §

  de vernietiging van gegevensdragers.

7.Voor elk van deze aspecten dienen richtlijnen, maatregelen en procedures te worden opgesteld.

7.7.9.1. Beheer van gegevensdragers

7.Elektronische gegevensdragers (onder andere usb-sticks, cd-rom’s, tapes, cartridge) met vertrouwelijke gegevens dienen, wanneer deze niet in gebruik zijn, in afgesloten kasten, ruimtes of afgesloten bureauladen te worden bewaard.

7.Bij het beheer van gegevensdragers dient aandacht te worden besteed aan de wettelijke bewaartermijn van gegevens.

7.Het is verboden om gegevensdragers en andere IT-middelen met vertrouwelijke gegevens onbeheerd in een niet afgesloten werkruimte, openbare ruimte, thuis of in de auto achter te laten.

7.7.9.2. Controle op leesbaarheid van gegevensdragers

7.Regelmatig moeten centraal gebruikte gegevensdragers (met name de elektronische gegevensdragers) worden gecontroleerd op leesbaarheid. Per type gegevensdrager zal door de technisch beheerder moeten worden bepaald hoe vaak de controle moet plaatsvinden. Hierbij moet ook gedacht worden aan verandering van apparaten (digitale duurzaamheid).

7.De unit I&A dient door middel van een procedure te waarborgen dat backup-tapes niet vaker en/of langer worden gebruikt dan een vastgesteld (veilig) maximum.

7.Voor de individueel gebruikte gegevensdragers zoals harde schijven van pc’s is de gebruiker verantwoordelijk voor het regelmatig maken van reservekopieën en het controleren van de leesbaarheid van de back-ups.

7.7.9.3. Afvoer en vernietiging van gegevensdragers

7.Als elektronische gegevensdragers niet meer worden gebruikt of worden afgevoerd zullen de gegevens die erop staan onleesbaar moeten worden gemaakt (fysieke vernietiging of overschrijving van de data).

7.Ook niet-elektronische gegevensdragers zoals papieren documenten dienen op veilige wijze te worden (vernietigd en) afgevoerd, bijvoorbeeld door versnippering en/of afvoer door een betrouwbare dienstverlener die de beveiligingsmaatregelen in acht neemt.

7.Voor afvoer en vernietiging van media dienen algemene richtlijnen te bestaan. Beveiligingseisen dienen te zijn beschreven in contracten met derde partijen.

7.10. Uitwisseling van informatie en software

7.De doelstelling van de maatregelen in deze paragraaf is het voorkomen dat informatie die wordt uitgewisseld tussen organisaties verloren gaat, gewijzigd of misbruikt wordt.

7.De uitwisseling van gegevens met andere organisaties dient plaats te vinden op basis van overeenkomsten waarin de (technische en organisatorische) beveiligingseisen zijn gespecificeerd. Indien sprake is van structurele uitwisseling van gegevens, dienen hiervoor procedures en richtlijnen te worden opgesteld.

7.Gegevens waarop het auteursrecht berust, mogen uitsluitend worden uitgewisseld indien het auteursrecht hierdoor niet wordt geschonden.

7.Bij het transport van media buiten het gemeentehuis dient aandacht te worden geschonken aan de verpakking van het medium. Deze dient het medium, afhankelijk van het soort informatie, te beschermen tegen fysieke schade die tijdens het transport kan optreden. Het gebruik van gesloten containers voor bijvoorbeeld het transport van backup-tapes dient te worden overwogen. Ook moet altijd gebruik worden gemaakt van betrouwbare transport- of koeriersdiensten.

7.11. Internet

7.Aan het gebruik van Internet zijn kansen, maar ook risico’s verbonden. De gemeente dient adequate technische en organisatorische maatregelen te treffen om deze risico’s te ondervangen. Zowel het beheer als het gebruik van Internet dienen aan specifieke richtlijnen gebonden te zijn. De unit I&A is verantwoordelijk voor het realiseren van een Internetkoppeling voor de medewerkers via een firewall. Andere internetaansluitingen, bijvoorbeeld voor het ontplooien van samenwerkingsverbanden met andere overheidsdiensten en derden, vallen onder externe netwerkverbindingen.

7.Internettoegang dient uitsluitend plaats te vinden via de door de unit I&A geboden standaardconfiguratie en firewall. Andere toegangsmogelijkheden, zoals modems, bieden onvoldoende beschermingsmaatregelen en stellen de gegevens en informatiesystemen van De Bilt bloot aan onaanvaardbare risico’s. Het gebruik van modems is uitzonderlijke gevallen toegestaan. Hiervoor worden toetsingscriteria en controleprocedures opgesteld.

7.De gemeente heeft het recht om Internetgebruik door interne en externe medewerkers te monitoren (conform artikel 6 privacyegelement e-mail en internetgebruik De Bilt) Alle medewerkers worden gericht geïnformeerd over de risico’s van het gebruik van Internet. Elke gemeentemedewerker dient zich bij het gebruik van Internet te houden aan het Protocol gebruik internet en e-mail gemeente De Bilt (artikel 6 privacyregelement e-mail en internetgebruik De Bilt).

7.12. E-mail

7.E-mail is een waardevol communicatiemedium. De vertrouwelijkheid, integriteit en authenticiteit van e-mail berichten zijn in den regel echter niet gewaarborgd. Aan het gebruik van e-mail zijn daarom risico’s verbonden.Bij e-mail kan onderscheid worden gemaakt tussen interne e-mail en externe e-mail. Voor interne e - mail en externe e-mail wordt dezelfde programmatuur gebruikt. Interne e-mail is e-mail die wordt uitgewisseld tussen medewerkers, waarbij gebruik wordt gemaakt van het netwerk. Op interne e-mail zijn geen bijzondere maatregelen van toepassing. Externe e-mail is e-mail die wordt uitgewisseld tussen medewerkers en derden, waarbij gebruik wordt gemaakt van externe netwerken, zoals het Internet. Aan externe e-mail zijn bijzondere risico’s verbonden.

7.Voor e-mail geldt het e-mail protocol zoals dat door de gemeente is opgesteld (zie artikel 6 privacyregelement e-mail en internetgebruik De Bilt).

7.13. Externe netwerkverbindingen

7.Een volledig, juist en actueel overzicht van alle externe netwerkverbindingen met derden, inclusief eventuele modems dient beschikbaar te zijn. Aan elke externe netwerkverbinding dient een eigenaar te zijn toegewezen. Externe netwerkverbindingen mogen slechts tot stand worden gebracht in uitzonderingsgevallen. Hiervoor worden toetsingscriteria opgesteld.

7.Derde partijen waarmee een externe netwerkverbinding tot stand is gebracht, dienen te voldoen aan beveiligingseisen die gelijkwaardig zijn aan het in dit beleid gestelde.

7.Met deze derden dienen afspraken over informatiebeveiliging te worden gemaakt, die in een bindende overeenkomst worden vastgelegd. Externe netwerkverbindingen dienen op dagelijkse basis te worden gemonitored.

8.Toegangsbeveiliging

Toegangsbeveiliging voor systemen omvat het inrichten van de toegang tot informatiesystemen en onderdelen van de technische infrastructuur op zodanige wijze dat slechts geautoriseerde personen toegang tot deze systemen kunnen krijgen. Deze normen en maatregelen hebben betrekking op de toegang tot de verschillende besturingssystemen en netwerken, de applicaties die op deze technische infrastructuur actief zijn en de gegevens die op de systemen zijn opgeslagen. Het risico dat hier mee wordt afgedekt, is dat onbevoegde personen opzettelijk of onopzettelijk op ongeautoriseerde wijze toegang kunnen krijgen tot de systemen en kennis kunnen nemen van de gegevens die zich op deze systemen bevinden. Hiernaast bestaat het risico dat schade kan worden aangericht binnen de systemen, waardoor de beschikbaarheid van de gegevens in gevaar komt.

Door het inrichten van de toegangsbeveiliging dient te worden bereikt dat zowel eindgebruikers als beheerders slechts toegang kunnen krijgen tot gegevens en informatiesystemen voor zover dit nodig is voor de door hen uitgevoerde functie (“need to know”).

De richtlijnen voor toegangsbeveiliging zijn onderverdeeld in de volgende onderwerpen:

• §

  algemene uitgangspunten;

• §

  functies en autorisatie;

• §

  toegangsverlening tot systemen;

• §

  beheer van user-id’s en wachtwoorden;

• §

  logging en monitoring;

• §

  controle op beveiliging;

• §

  inbelvoorzieningen.

  8.1. Algemene uitgangspunten

  De toegangsbeveiliging dient voor alle medewerkers op zodanige wijze ingericht te zijn dat de toegang tot IT-componenten wordt gebaseerd op de functie die door de betreffende medewerker in de organisatie wordt vervuld.

  Onder IT-componenten worden onder meer verstaan:

  • §

    onderdelen van de technische infrastructuur, met inbegrip van besturingssystemen, netwerk en apparatuur zoals servers, pc’s, werkstations, terminals en routers;

  • §

    applicaties en “middleware”;

  • §

    gegevens of gegevensbestanden.

  De logische toegangsbeveiliging heeft betrekking op alle medewerkers en functies in de organisatie en betreft zowel eindgebruikers op de systemen als de medewerkers die beheersfuncties uitoefenen. De eigenaar van een informatiesysteem dient uitgangspunten te formuleren op grond waarvan functies kunnen worden ingedeeld en toegang tot het systeem kan worden verschaft. De verschillende systemen dienen zo te worden ingericht dat aan de geformuleerde uitgangspunten wordt voldaan. De eigenaar van een applicatie of onderdeel van de technische infrastructuur is inhoudelijk verantwoordelijk voor de inrichting van de logische toegangsbeveiliging ervan.

  Het hoofd van de unit I&A is verantwoordelijk voor de controle op de inrichting van de logische toegangsbeveiliging van de gebruikte systemen.

  8.2. Functies en autorisatie

  In relatie tot de informatiesystemen en onderdelen daarvan kunnen de volgende functies worden onderscheiden:

  • §

    eigenaar;

  • §

    functioneel applicatiebeheerder;

  • §

    technisch applicatiebeheerder;

  • §

    systeembeheerder;

  • §

    gebruiker.

  De verantwoordelijkheden van de hierboven onderkende functies zijn als volgt:

  • §

    de eigenaar van een IT-component dient richtlijnen op te (laten) stellen voor het gebruik van de IT-component. Hij laat medewerkers autoriseren voor de toegang tot en het gebruik van het IT-component;

  • §

    de functioneel applicatiebeheerder is een gedelegeerde functie van de eigenaar. De functioneel beheerder voert de operationele taken uit betreffende de naleving van de richtlijnen betreffende een IT-component en autoriseert de medewerkers voor de toegang tot en het gebruik van het IT-component;

  • §

    de technische applicatie beheerder ziet toe op het inhoudelijk gebruik van de IT-componenten zorgt ervoor dat de IT-component voldoet aan de eisen die hieraan door de gebruiker worden gesteld;

  • §

    de systeembeheerder is verantwoordelijk voor het faciliteren en inrichten van de toegangsbeveiliging en draagt zorg voor operationele beheerstaken;

  • §

    de gebruiker is verantwoordelijk voor het zorgvuldig omgaan met toegangskenmerken, zoals wachtwoorden en user-id’s.

  Voor elke onderscheiden functie dient de toegang tot informatiesystemen en onderdelen van de technische infrastructuur te worden vastgesteld en vastgelegd (hieronder vallen tevens communicatieve informatiedragers zoals mobiele telefoons e.d.; hierbij mag worden uitgegaan van overzichten die door de informatiesystemen worden gegenereerd en door het verantwoordelijk management worden geautoriseerd. De logische toegangsbeveiliging dient conform deze autorisatie te worden ingericht.

  8.3. Toegangsverlening tot systemen

  Het gebruik van informatietechnologie moet zo zijn georganiseerd dat alleen bevoegden toegang hebben tot de verschillende IT-componenten. Op deze manier wordt voorkomen dat gegevens in verkeerde handen vallen door ongeautoriseerde toegang of dat gegevens verloren gaan door het ondeskundig gebruik van de systemen.

  Het betreft bij toegangsverlening tot systemen niet alleen het verkrijgen van de permanente toegang die benodigd is voor het uitvoeren van de functie, maar tevens het verkrijgen van tijdelijke toegang die noodzakelijk is voor eenmalige werkzaamheden of noodgevallen.

  De eigenaar/functioneel applicatiebeheerder van de IT-component heeft de beslissingsbevoegdheid bij het toekennen van toegang tot het systeem.

  De toegang tot systemen en applicaties dient schriftelijk te worden aangevraagd bij de eigenaar/functioneel applicatiebeheerder van de betreffende IT-component, die deze aanvraag dient te autoriseren.

  Voor het verlenen van toegang dienen procedures te worden gehanteerd die voorschrijven dat de toegang moet worden aangevraagd met behulp van speciale aanvraagformulieren.

  Deze formulieren kunnen door geautoriseerde leidinggevenden worden ingediend. Vervolgens dient de eigenaar/functioneel beheerder van de IT-component de aanvraag te autoriseren en worden de autorisaties op de systemen en binnen de applicaties geactiveerd.

  De toegekende autorisaties dienen te worden geregistreerd door de eigenaar/functioneel beheerder van de betreffende IT-component.

  Indien medewerkers binnen de organisatie van functie veranderen, dienen de autorisaties tot systemen en applicaties aan de nieuwe functie te worden aangepast. Hiertoe dient de eigenaar/functioneel beheerder van een IT-component van de betreffende functieverandering op de hoogte te worden gesteld. Dit dient tevens betrekking te hebben op medewerkers die de organisatie verlaten. Het risico bestaat dat bij het verlaten van de organisatie de toegang tot systemen en applicaties blijft bestaan terwijl de betreffende medewerker hiertoe niet meer geautoriseerd is.

  8.4. Beheer van user-id’s en wachtwoorden

  Om gebruik te kunnen maken van applicaties en onderdelen van de technische infrastructuur, zoals apparatuur, besturingssystemen en netwerken, dienen gebruikers een autorisatie-aanvraag in te dienen.

  Na goedkeuring van de autorisatie-aanvraag wordt voor de gebruiker een unieke identificatie (user-id) aangemaakt. Dit user-id wordt voorzien van een persoonlijk wachtwoord.

  Om toegang tot het systeem of de applicatie te verkrijgen moet behalve een user-id ook een wachtwoord worden ingevoerd. Dit wachtwoord dient te voldoen aan voorgeschreven richtlijnen.

  Het gedrag van gebruikers ten aanzien van wachtwoorden dient te voldoen aan de volgende criteria:

  • §

    het wachtwoord mag niet letterlijk (in onversleutelde vorm) worden vastgelegd;

  • §

    nooit mag meerdere malen achtereenvolgens hetzelfde wachtwoord worden gebruikt. Het gebruik van andermans gebruikersidentificatie (user-id) is verboden. Het beschikbaar stellen van gebruikersidentificatie en wachtwoord aan anderen is niet toegestaan. Indien anderen toegang moeten krijgen tot gegevens, bijvoorbeeld in geval van ziekte, dan moet dit worden geregeld via degene die de autorisaties op het desbetreffende kantoor uitgeeft.

  Indien een gebruiker zijn wachtwoord vergeten is, dient met grote mate van zekerheid bepaald te worden of de gebruiker die een nieuw wachtwoord aanvraagt, de degene is die hij zegt te zijn (bv. controlevragen).

  Het toekennen en intrekken van toegangspermissies dient deel uit te maken van de standaardprocedure bij in- en uitdiensttreding van vaste en externe medewerkers.

  8.5. Logging en monitoring

  De gemeente heeft het recht de activiteiten van gebruikers en beheerders te loggen om problemen te kunnen oplossen, eventueel misbruik te kunnen detecteren en het gebruik van de systemen te analyseren. Hiervoor zijn richtlijnen opgesteld die weergegeven zijn in artikel 40 van UWO II. De basis voor een succesvolle logging en monitoring bestaat uit een dusdanige vastlegging dat deze herleidbaar is tot het individu dat de gelogde activiteiten heeft uitgevoerd. Daarnaast dient ook de datum en tijd van de activiteit te worden gelogd. Hierbij dient er rekening te worden gehouden met synchronisatie van systeemklokken.

  Indien zich kritieke gebeurtenissen voordoen dient de technisch beheerder hiervan op de hoogte gesteld te worden. Tevens dient een beveiligingsincident te worden gemeld, waarna de procedure voor afhandeling van beveiligingsincidenten in werking treedt.

  8.6. Controle op beveiliging

  Naast het registreren van gebeurtenissen en incidenten met betrekking tot de beveiliging is het van belang dat de situatie op regelmatige basis aan een controle wordt onderworpen. Hierbij kan onderscheid worden gemaakt tussen een dagelijkse, operationele controle en een uitgebreide periodieke controle. In de dagelijkse controle wordt ingegaan op incidenten die zich voordoen, waarom deze zich voordoen, door wie dit gebeurt en welke acties op korte termijn moeten worden ondernomen om hier verbetering in aan te brengen. De uitgebreide periodieke controle richt zich op een analyse van de huidige situatie waarbij niet alleen naar incidenten wordt gekeken maar waar alle aspecten van beveiliging onder de loep worden genomen. Ook kan tijdens deze periodieke controles worden gecontroleerd op overtollige user ID’s en accounts. De frequentie van deze laatste controle is lager en enigszins afhankelijk van het belang van de omgeving en de systemen. Alle controles in een jaar kunnen vooraf worden vastgelegd in een controleprogramma.

  De dagelijkse, operationele controle wordt uitgevoerd door de technisch beheerder. Hierbij wordt niet alleen gedoeld op het anticiperen op incidenten die via het beeldscherm zichtbaar worden of die bij het centrale meldpunt worden gemeld maar ook op een vaste controle op logbestanden en veranderingen in de IT-infrastructuur.

  Incidenten met betrekking tot de beveiliging kunnen behalve door de technisch beheerder tevens worden geconstateerd door de gebruiker zelf. Het meest voor de hand liggende voorbeeld hiervan is een inbraak in een kamer of kast met ontvreemding van spullen of gegevens. Minder voor de hand liggend maar zeker zichtbaar is het gebruik of misbruik van het user-id. Voor het aanloggen worden gegevens getoond over het aantal mislukte aanlogpogingen sinds de laatste succesvolle aanlogpoging en de datum en tijd van de laatste succesvolle aanlogpoging. Op basis van deze gegevens is het voor de gebruiker mogelijk om incidenten op te merken, waarna zij volgens de geldende procedure kunnen worden gemeld.

  Er dienen controleprocedures te worden opgesteld voor de uitvoering van dagelijkse controles. Er dient daarbij een controleplan te zijn voor de controle op de naleving van de controleprocedures.

  8.7.Inbelvoorzieningen

  Onder een inbelvoorziening wordt verstaan: elke faciliteit waarmee een gebruiker van buitenaf door middel van een openbare communicatievoorziening een verbinding tot stand kan brengen tussen de apparatuur van de gebruiker en de IT-middelen van de gemeente, waarna door de gebruiker op afstand werkzaamheden kunnen worden uitgevoerd.

  Voor het activeren van technische middelen om een inbelvoorziening voor gebruikers mogelijk te maken, dient een aantal voorwaarden te worden vastgelegd. Daartoe behoren onder meer:

  • §

    het bepalen van de werkzaamheden die door middel van de inbelvoorziening mogen worden

  • §

    uitgevoerd;

  • §

    het vastleggen van de IT-middelen waarvoor werkzaamheden door middel van de inbelvoorzieningmogen worden uitgevoerd;

  • §

    het bepalen van de tijdstippen waarop van de inbelvoorziening gebruik mag worden gemaakt,

  • §

    waarbij onderscheid wordt gemaakt tussen activiteiten van eindgebruikers en beheersactiviteiten;

  • §

    eventuele specifieke voorwaarden die van toepassing zijn voor een bepaald IT-middel. Indien wordt besloten dat bepaalde werkzaamheden niet door middel van een inbelvoorziening mogen worden uitgevoerd, dienen technische maatregelen te worden getroffen om dit onmogelijk te maken. Om gebruik te kunnen maken van de inbelvoorziening, dient voor de betreffende gebruiker een autorisatie-aanvraag te worden ingediend.

  Toegang tot het netwerk via een openbare lijn van het telefoonnetwerk mag alleen plaatsvinden indien gebruik wordt gemaakt van een terugbelsysteem of een fysiek identificatiemiddel in combinatie met een geheime code.

  Inbelpogingen dienen te worden gelogd. De logfiles dienen regelmatig steekproefsgewijs door de unit I&A te worden gecontroleerd. Dit geldt alleen ingeval van vaste voorzieningen, die onder beheer staan van de unit I&A. De overige inbelmogelijkheden zijn niet toegestaan (bijv. modems en laptops).

  De inbelverbinding dient te worden verbroken indien deze gedurende een zekere periode niet actief is geweest. Het inbellen dient te geschieden op een separaat, speciaal hiervoor bestemd systeem.

  8.8. Beveiliging van apparatuur voor eindgebruikers

  Alle pc’s dienen middels een wachtwoord bij het opstarten (een boot-password) te zijn beveiligd tegen ongeautoriseerde toegang. Als extra beveiliging kan worden gedacht aan een hardware token (bv. een chipcard) als authenticatiemiddel. Zodra biometrische methodes voorhanden zijn kan het gebruik hiervan worden overwogen.

  Alle pc’s dienen voorzien te zijn van een “screensaver” met wachtwoord, dat automatisch wordt ingeschakeld indien de pc enige tijd niet is gebruikt. Pc’s zonder “screensaver” moeten worden uitgeschakeld als zij niet worden gebruikt.

  8.9. Mobiele computers

  Gebruikers dienen te worden gewezen op de risico’s die gepaard gaan met het gebruik van laptops, palmtops, organisers en mobiele telefoons. De beveiligingsmogelijkheden van de apparatuur bepalen welke informatie er op bewaard en/of bewerkt mag worden. Gevoelige bedrijfsgegevens op laptops dienen te zijn beveiligd met encryptie. Voorts dienen laptops fysiek beschermd te worden tegen diefstal en niet onbeheerd te worden achtergelaten. Gebruikers moeten zelf zorgdragen voor de backup van de gegevens.

9.Ontwikkeling en onderhoud van systemen

9.9.1. Ontwikkeling en onderhoud

9.Reeds bij het ontwerp inzake de ontwikkeling en het onderhoud van informatiesystemen en de technische infrastructuur dient rekening te worden gehouden met beveiligingsaspecten. Hiertoe dient te worden vastgesteld hoe groot het belang is van de beschikbaarheid, integriteit en vertrouwelijkheid van de gegevens en informatiesystemen. Op basis van een analyse dient te worden bepaald of aanvullende maatregelen binnen de applicatie of in de technische infrastructuur noodzakelijk zijn.

9.Bij deze analyse dient minstens rekening te worden gehouden met eisen ten aanzien van:

• §

  de toegang tot gegevens en diensten;

• §

  logging;

• §

  wettelijke vereisten;

• §

  het maken van reservekopieën (back-ups);

• §

  herstel van storingen. Daarbij dienen de volgende specifieke beveiligingsmaatregelen te worden overwogen:

• §

  validatie van invoergegevens;

• §

  controle op interne verwerking;

• §

  encryptie van gegevens;

• §

  verificatie van berichten;

• §

  authenticatie van gebruikers, apparatuur en programmatuur.

9.Testgegevens die zijn afgeleid van werkelijke productiegegevens dienen adequaat te worden beveiligd en zodanig te worden beperkt, dat de testgegevens niet meer te herleiden zijn tot de oorspronkelijke productiegegevens (depersonificatie).

9.Bovenstaande eisen gelden ook voor aankoop van software.

9.9.2. Wijzigingsbeheer

9.Medewerkers mogen zelf geen software installeren op hun pc.

9.Er moeten formele procedures voor het beheer van wijzigingen in applicaties en onderdelen van de technische infrastructuur opgesteld worden.

9.Het doel van deze procedures is ervoor te zorgen dat alleen geautoriseerde en geplande wijzigingen worden aangebracht in informatiesystemen. Hierdoor kunnen mogelijke bedreigingen van de beschikbaarheid, integriteit en vertrouwelijkheid tot een minimum worden beperkt. Om schade aan informatiesystemen tot het minimum te beperken, is strenge controle vereist op de implementatie van wijzigingen. De procedures voor het beheer van wijzigingen dienen ervoor te zorgen dat beveiligings- en controleprocedures niet in gevaar worden gebracht, dat ondersteunende programmeurs uitsluitend toegang hebben tot voor hen benodigde delen van het systeem en dat formeel toestemming wordt verkregen voor wijzigingen. Voor iedere wijziging moet toestemming worden verkregen van de systeemeigenaar/houder.

9.Er dient een procedure te bestaan met betrekking tot het aanbrengen van wijzigingen in informatiesystemen. Deze procedure moet in ieder geval de volgende punten omvatten:

• §

  een overzicht van de van toepassing zijnde autorisaties:

• §

  contactpersoon;

• §

  gebruikersautorisatie voor wijzigingsaanvragen;

• §

  autorisatieniveau’s voor acceptatie van wijzigingsvoorstellen;

• §

  gebruikersautorisatie voor acceptatie van voltooide wijzigingen;

• §

  verificatie van de gevolgen van de voorgestelde wijziging:

• §

  gevolgen voor de en vertrouwelijkheid, integriteit en beschikbaarheid;

• §

  gevolgen voor de performance van het informatiesysteem en andere systemen;

• §

  documentatie van voorgestelde en uitgevoerde wijzigingen.

9.Er dient een functionaris verantwoordelijk te zijn voor het definiëren en documenteren van aangevraagde wijzigingen.

9.Er dient een functionaris verantwoordelijk te zijn voor het uitvoeren van de verificatie van de gevolgen van aangevraagde wijzigingen.

9.Bij de ontwikkeling van applicatieprogrammatuur dient versiebeheer te worden toegepast.

10.GBA en waardedocumenten

10.10.1. Algemeen

10.Ten aanzien van de informatiebeveiliging van de Gemeentelijke Basis Administratie (GBA) wordt aangesloten bij het informatiebeveiligingsplan GBA en waardedocumenten. In dit plan worden de risico’s verbonden aan het toenemend gebruik van computersystemen zichtbaar gemaakt en aangegeven hoe deze risico’s maximaal kunnen worden beperkt. Het plan stelt de treffen maatregelen in concrete voorschriften op het gebied van fysieke beveiliging, back-up en herstel en enkele voorschriften hoe te handelen in bepaalde situaties. Hierbij wordt aangesloten bij gestelde wettelijke eisen (PUN) en regelgeving (Regelement Rijbewijzen). Het plan voorziet in eigen voorschriften op het gebied van beveiliging, informatiebeveiligingsbeleid en risico analyse.

10.10.2. Taken, verantwoordelijkheden en bevoegdheden

10.Het informatiebeveiligingsplan GBA en waardedocumenten zijn de taken, verantwoordelijkheden en bevoegdheden geregeld. De verantwoordelijkheid voor het plan ligt ten alle tijden bij het college van Burgemeester en Wethouders en namens deze het unithoofd burgerzaken. Deze stelt het informatiebeveiliginsplan GBA en waardedocumenten op en ziet toe op de uitwerking ervan door de betreffende medewerkers. De beveiligingsbeheerder is verantwoordelijk voor de controle van het Informatiebeveiligingsplan GBA en waardedocumenten en ziet erop toe dat eens per jaar gecontroleerd wordt of de nog te nemen maatregelen gerealiseerd zijn en het informatiebeveiligingsplan GBA en waardedocumenten hierop aangepast wordt.

11.Incidentmanagement

11.11.1. Incidentafhandeling

11.Een beveiligingsincident is iedere gebeurtenis die geresulteerd heeft of had kunnen resulteren in verlies van of schade aan informatie of die een doorbreking is van het beveiligingsbeleid of de daartoe opgestelde richtlijnen en procedures. Een adequate incidentafhandeling moet waarborgen dat de schade van dergelijke incidenten wordt geminimaliseerd en dat de gemeente ervan leert. De procedure voor de afhandeling van beveiligingsincidenten dient te worden vastgesteld voor verschillende categorieën van incidenten. Hierbij dient gebruik gemaakt te worden van logfiles. Daarnaast heeft de unit I&A de plicht om beveiligingsincidenten die gerelateerd zijn aan ICT vast te leggen, zie hiervoor het bepaalde in 7.3 incidentenafhandeling ICT.

11.11.2. Meldingsplicht beveiligingsincidenten

11.Alle medewerkers zijn verplicht alle beveiligingsincidenten en waargenomen of vermoede zwakke plekken in de beveiliging zo snel mogelijk te melden aan hetzij het bedrijfsbureau, hetzij de eigen afdelingsmanager. Het incident wordt zo spoedig mogelijk doorgezet naar de verantwoordelijke voor de betreffende organisatorische eenheid. Medewerkers dienen ervan op de hoogte te worden gesteld dat zij onder geen enkele voorwaarde de mogelijke aanwezigheid van een zwakke plek mogen proberen te bewijzen; dit is voor hun eigen bescherming, omdat pogingen om een zwakke plek te testen gezien kunnen worden als mogelijk misbruik van het systeem. De meldingsplicht geldt ook voor incidenten die niet direct gerelateerd zijn aan informatietechnologie, zoals brand, inbraak, vandalisme of diefstal. De meldingsprocedure dient nader te worden uitgewerkt.

11.11.3. Maatregelen bij overtreding

11.Medewerkers en bezoekers dienen zich te houden aan het informatiebeveiligingsbeleid, de beveiligingsrichtlijnen en specifieke maatregelen. Indien betrokkenen handelen in strijd met deze voorschriften levert dit plichtsverzuim op en kunnen disciplinaire maatregelen worden genomen op grond van de CAR/UWO. Deze maatregelen variëren van een schriftelijke waarschuwing tot strafontslag. Deze maatregelen maken deel uit van het Sanctiebeleid Integriteitschendingen De Bilt.

11.Daarnaast is overtreding van de geheimhoudingsplicht in artikel 272 van het Wetboek van Strafrecht strafbaar gesteld.

12.Continuïteitsmanagement

12.12.1. Continuïteitsplanning

12.Continuïteitsplanning is gericht op de voortzetting van het bedrijfsproces van de gemeente bij het optreden van een calamiteit. Er kunnen zich calamiteiten voordoen waarbij een langdurige verstoring van het bedrijfsproces een reëel risico is. Continuïteitsplanning moet erin voorzien dat de voortgang van de gegevensverwerking dan gewaarborgd is.

12.12.2. Calamiteiten

12.Tot calamiteiten worden onder andere brand, stroomstoringen en persoonlijke ongevallen gerekend waarbij het bedrijfsproces voor langere tijd is verstoord. Door het beschrijven van beveiligingsvoorschriften en maatregelen waaraan het personeel zich dient te houden indien er sprake is van een calamiteit, worden de risico's voor het personeel verminderd en de continuïteit van de organisatie gewaarborgd.

12.12.3. Risicoanalyse

12.Voor alle informatiesystemen en gegevensverzamelingen die kritiek zijn voor de bedrijfsprocessen is het essentieel dat de continuïteit gewaarborgd is. De risicoanalyse vindt plaats met behulp van het schema uit bijlage B. De risicoanalyse wordt periodiek herhaald. Voor een uitzetting van de frequentie hiervan wordt verwezen naar Code 5.2 (pag. 9) en bijlage A.

12.Voor informatiesystemen dient te zijn aangegeven of ze kritisch zijn voor de voortgang van de bedrijfsprocessen. Voor kritische informatiesystemen dient een plan te worden opgesteld voor voortgang van de gegevensverwerking indien een calamiteit optreedt. De gemeentelijke organisatieonderdelen zijn verantwoordelijk voor het opstellen van deze plannen.

12.12.4. Rampenplan en BHV

12.Er dient een crisisteam te bestaan dat actie onderneemt indien zich een calamiteit voordoet. Onderscheid wordt hierbij gemaakt tussen een calamiteit binnen de gemeentegrenzen en een calamiteit op het gemeentecomplex.

12.12.5. Verantwoordelijkheden

12.De gemeentelijke organisatieonderdelen zijn verantwoordelijk voor het initiëren en controleren van maatregelen die de continuïteit van de systemen moeten waarborgen.

12.Er dienen procedures te zijn beschreven inzake:

• §

  het inschakelen van het crisisteam bij het optreden van een calamiteit, zowel indien het gaat om een calamiteit binnen de gemeentegrenzen als een calamiteit op het gemeentecomplex;

• §

  diagnose en besluitvorming;

• §

  het uitvoeren van herstelacties na het constateren van een calamiteit.

• §

  Indien de herstelactie een uitwijk betreft, dan dient het volgende te worden bepaald:

• §

  uitwijkprocedures voor de bedrijfsvoortzetting;

• §

  het testen van uitwijkprocedures.

12.De unit I&A is verantwoordelijk voor het opstellen van een calamiteitenplan voor de technische infrastructuur.

12.Continuïteitsplannen dienen alle relevante operationele informatie te bevatten, zoals: samenstelling van de verschillende teams zoals het crisisteam en het BHV-team, bereikbaarheidsgegevens (ook thuis), gegevens over derde partijen zoals leveranciers en dienstverleners, locaties. Continuïteitsplannen dienen regelmatig te worden herzien en getest. In een controleplan dient hiertoe te worden vastgelegd wanneer en met welke frequentie verificaties, walk throughs en praktijktoetsen moeten worden uitgevoerd, en wie hiervoor verantwoordelijk is. Van de tests dienen verslagen te worden opgemaakt en bewaard.

13.Naleving

13.13.1. Wettelijke vereisten

13.Het gebruik van informatiesystemen dient te voldoen aan alle wettelijke voorschriften en vereisten. Auteursrechtelijk beschermd materiaal mag niet worden gekopieerd zonder toestemming van de eigenaar. Dit geldt ook voor programmatuur; voor alle aanwezige software (en gebruikers) dienen geldige licenties beschikbaar te zijn.

13.Persoonsgegevens dienen adequaat te worden beveiligd en zo nodig te worden geregistreerd/aangemeld (Wet bescherming persoonsgegevens)

13.Documenten waaruit rechten en plichten van de gemeente kunnen blijken, dienen te worden bewaard, waarbij de wettelijke bewaartermijn in acht genomen dient te worden (Burgerlijke rechtsvordering, Burgerlijk wetboek, Algemene wet inzake rijksbelastingen)

13.13.2. Onafhankelijke toetsing

13.Alle maatregelen op het terrein van informatiebeveiliging dienen periodiek voor de gemeente te worden gecontroleerd door een onafhankelijke afdeling of instantie. Onder “onafhankelijke instantie” wordt hierbij onder meer verstaan de externe accountant.

1.Bijlage A Classificatie van informatiesystemen

De informatiesystemen van de gemeente De Bilt zijn als volgt te classificeren.

1.Beschikbaarheid

In geval van een calamiteit (bv. brand van het gebouw) dient er voor zorggedragen te worden dat de dienstverlening aan de burger wordt zo spoedig mogelijk wordt gecontinueerd. Hiervoor hanteren we 2 categorieën. Categorie 1 zijn de processen en bijbehorende systemen die als hoog geclassificeerd worden, categorie 2 als middel.

Categorie 1:

Burgerzaken: GBA kwaliteitscontrole Content, GWS/WMO zorgloket, Kas4all burgerzaken, key@burgerzaken

Sociale dienst: Key2Onderwijs, gebouwbeheer. Onderwijs

Belastingen: MVB4all WOZ, GISVG belastingen plus

Financiën: Key2Financiën

Categorie 2:

Overige processen en informatiesystemen.

2.Privacy

Informatiesystemen worden ook geclassificeerd op grond van privacygevoeligheid van de gegeven, m.a.w. hoe erg is het als deze gegevens op straat komen te liggen. Categorie geeft de informatiesystemen aan waarbij dit als erg geclassificeerd, categorie 2 is minder erg.

Categorie 1:

Burgerzaken: GBA kwaliteitscontrole Content, GWS/WMO zorgloket, Kas4all burgerzaken, key@burgerzaken

Sociale dienst: Key2Onderwijs, gebouwbeheer. Onderwijs

Belastingen: MVB4all WOZ, GISVG belastingen plus

Financiën: Key2Financiën

Categorie 2:

De overige processen en informatiesystemen.

3.Ramp binnen de gemeente

Indien er een ramp binnen de gemeente plaatsvindt (bv. buiten kantooruren) dan dienen onderstaande informatiesystemen beschikbaar te zijn:

Categorie 1:

GBA (inwoners)

Internet (rampensite)

Office (mail, word)

GRIB (registratie gezochte en gevonden mensen) VBR (vastgoed basis registratie)

Milieuregistratie

Sacaderegistratie (CRAS)

2.Bijlage B Schema risicoanalyse

Voor elk bedrijfsmiddel of elke categorie bedrijfsmiddelen wordt aangegeven hoe belangrijk de aspecten beschikbaarheid, integriteit en vertrouwelijkheid. De mate ven belangrijkheid wordt als volgt weergegeven:

1=zeer onbelangrijk

2=onbelangrijk

3=vrij onbelangrijk

4=noch belangrijk, noch onbelangrijk

5=vrij belangrijk

6=belangrijk

7=zeer belangrijk

3.Bijlage C Begrippenlijst

Aangesloten derde Een persoon die door middel van informatietechnologie toegang heeft tot de systemen van de gemeente.

Applicatie Programmatuur (software) die de functionaliteit van het informatiesysteem vertegenwoordigt en tot doel heeft de gebruiker in een organisatie te ondersteunen bij de uitvoering van een activiteit. Dit gebeurt door het invoeren, opslaan, verwerken en verstrekken van gegevens met en door deze programmatuur.

Authenticatie Het proces om de beweerde bron of de identiteit van een communicerende partij te verifiëren.

Autoriseren Het delegeren van bevoegdheden.

Back-up Reservekopie van programma- en/of gegevensbestanden.

Bandbreedte Capaciteit van een netwerk (i.e. hoeveelheid gegevens die per tijdseenheid kan worden getransporteerd).

Baseline Een set van maatregelen die minimaal noodzakelijk wordt geacht.

Bedrijfsbureau Op deze plek kunnen incidenten worden gemeld.

Beheer De instandhouding van onderdelen van informatietechnologie, overeenkomstig de eisen en randvoorwaarden die vanuit het gebruik daarvan worden gesteld.

Beschikbaarheid Het waarborgen van de beschikbaarheid van al datgene dat voor de informatievoorziening noodzakelijk is zodat aan de gestelde eisen kan worden voldaan.

Beveiligingsincident Een beveiligingsincident is een (dreigende) verstoring van de bedrijfsprocessen, die negatieve gevolgen kan hebben voor de beschikbaarheid, betrouwbaarheid of vertrouwelijkheid van deze bedrijfsprocessen.

Bezoeker Een persoon die te gast is bij één van de medewerkers van de gemeente.

Biometrisch Betrekking hebbend op bepaalde unieke eigenschappen van levende wezens. Biometrische methoden worden gebruikt voor authenticatie; bekende voorbeelden zijn een vingerafdruk, de iris van het oog en de handpalm.

Calamiteitenplan Het calamiteitenplan beschrijft de noodzakelijke acties bij acute of dreigende noodsituaties in of rondom locaties van de gemeentelijke organisatie. Het calamiteitenplan heeft tot doel persoonlijk letsel en schade aan de gebouwen en de inventaris tot een minimum te beperken.

Eigenaar De eigenaar heeft de eindverantwoordelijkheid voor de integere werking van het informatiesysteem en bepaalt “wie wat mag” met het systeem en bepaalt dus de (beveiligings)eisen van het informatiesysteem.

Encryptie Versleuteling.

Externe medewerker Een persoon die niet in dienst is, maar op regelmatige basis diensten voor de gemeente verricht binnen de terreinen en gebouwen van de gemeente. Voorbeelden zijn consultants, cateraars, schoonmakers, verzorgers, bewakers.

Firewall Software en/of hardwarevoorziening om ongeautoriseerde toeging tot een lokaal netwerk te voorkomen, met neme vanaf internet.

Gebruiker Degene die een IT-bedrijfsmiddel in de praktijk toepast en de gegevens benadert en bewerkt.

Gegevensdrager Een medium waarop gegevens zijn opgeslagen.

Gemeentecomplex Alle percelen (gronden en gebouwen die in eigendom zijn van de gemeente.

Gevoelige gegevens Gegevens die, indien deze aan anderen dan gerechtigden, voortijdig bekend zou worden materiële of morele schade kunnen toebrengen aan de rechtmatige bezitter.

Hot Fixes Wijzigingen die direct uitgevoerd worden om een gebleken probleem zo snel mogelijk te verhelpen.

Houder Degene die de gedelegeerde verantwoordelijkheid heeft van de eigenaar voor de (decentrale) toepassing van het informatiesysteem binnen de spelregels en ruimte die de eigenaar hiervoor heeft gegeven.

Informatiebeveiliging Het treffen en onderhouden van een samenhangende set van maatregelen gericht op het waarborgen van de beschikbaarheid, betrouwbaarheid en vertrouwelijkheid van informatie en informatievoorziening.

Informatiebeveligings- Een vastlegging door de organisatie van doelstellingen en standpunten met beleid betrekking tot de beveiliging van haar medewerkers, processen en

apparatuur.

Informatiesysteem Het geheel van apparatuur, programmatuur en technische voorzieningen en de personen die verantwoordelijk zijn voor de besturing en ondersteuning van de bijbehorende bedrijfsprocessen.

Integriteit Het waarborgen van de betrouwbaarheid van de verwerkte en opgeslagen informatie en toegepaste programmatuur. Ook wel betrouwbaarheid genoemd.

Interne medewerker Persoon die in tijdelijke of vaste dienst is, of die een daarmee vergelijkbare status heeft.

IT-beveiligingsincident Een IT-beveiligingsincident is een (dreigende) verstoring van de bedrijfsprocessen, die negatieve gevolgen kan hebben voor de beschikbaarheid, betrouwbaarheid of vertrouwelijkheid van deze bedrijfsprocessen, waarbij met name de beveiliging van IT-bedrijfsmiddelen in het geding is. Een voorbeeld van een IT-beveiligingsincident is het ontvreemden van gegevens uit

een informatiesysteem.

Kritische ruimte Ruimte waarin elektronische gegevens zijn opgeslagen of informatiesystemen zijn geplaatst waarvan de beschikbaarheid, integriteit en/of vertrouwelijkheid kritisch zijn voor de betrouwbaarheid en continuïteit van de bedrijfsvoering van een gemeentelijk organisatieonderdeel en/of van de organisatie als geheel.

Logfile Gegevensbestand waarin het optreden van gebeurtenissen en/of activiteiten wordt vastgelegd.

Logging Logging is de automatische (en eventueel handmatige) vastlegging van de activiteiten die op een systeem worden uitgevoerd, of in algemene zin de systematische vastlegging van het optreden van vooraf gedefinieerde gebeurtenissen. Het beoordelen van deze vastleggingen, en dus van de onderliggende activiteiten/gebeurtenissen, valt onder monitoring

Logische toegangsbeheersing Het beheersen van de toegang tot apparatuur, programmatuur en gegevens met behulp van programmatuur, al dan niet in combinatie met harware. Zoals bij fysieke toegangsbeheersing behoort ook hier tot het wezen van toegangsbeheersing selectiviteit: het recht van toegang geldt voor bepaalde personen, voor bepaalde tijdvakken en voor bepaalde gegevens en programmatuur.

Medewerker Interne en externe medewerkers.

Monitoring Het (continu) waarnemen van de activiteiten van een systeem of service, alsmede het registreren van waargenomen abnormaliteiten.

Ontwikkeling Het geheel van activiteiten dat zich uitstrekt van de vaststelling van de wenselijkheid van een toepassing (een computerprogramma, ook wel software genoemd) tot en met het als getest gelden van zo een toepassing, met nadrukkelijk inbegrip van alle onderhoud daaraan. Voor deze begripsbepaling is het niet van belang of de ontwikkeling een toepassing in zijn geheel of een uitbreiding op een bestaande toepassing betreft.

Openbare gegevens Gegevens waarin elke burger inzage zou mogen krijgen, zonder dat dit schadelijke gevolgen voor de gemeentelijke organisatie tot gevolg heeft.

Openbare ruimte Ruimte waarin uitsluitend openbare gegevens aanwezig zijn. Tot deze ruimten behoort onder meer de publiekshal van de gemeente.

Patchen Een tijdelijke wijziging van programmatuur die uitgevoerd wordt om een gebleken probleem op korte termijn te verhelpen.

Persoonsgegevens Gegevens die herleidbaar zijn tot individuele natuurlijke personen.

Platform Informatiebeveiliging Een organisatie die technische standaarden definieert voor de

(PI) beveiliging van IT-omgevingen.

Router Apparatuur die de routes van data door een computernetwerk uitstippelt.

Risicoanalyse Het op gestructureerde wijze analyseren van bedreigingen waaraan een organisatie blootstaat.

Screensaver Programmatuur op een pc die na ingestelde tijdsduur het beeld op het computerscherm wist en de toegang tot de pc blokkeert, zodat voorkomen wordt dat onbevoegden kennis kunnen nemen van vertrouwelijke informatie. Zodra de bevoegde gebruiker zich weer heeft geïdentificeerd (bijvoorbeeld met een wachtwoord) wordt de blokkering opgeheven.

Service pack Set van aanpassingen (nieuwe functionaliteit en oplossingen voor bekende tekortkomingen) aan software die door de leverancier (periodiek) beschikbaar wordt gesteld.

Testen Het proces, volgend op de programmering (het “schrijven” van een programma), waarin een applicatie op haar juiste werking wordt getoetst. Het afgescheiden gedeelte van een informatiesysteem waarop de testwerkzaamheden worden uitgevoerd, wordt de testomgeving genoemd.

Uitwijk Het elders voortzetten van de bedrijfsvoering (bij calamiteiten).

Vertrouwelijkheid Het waarborgen van de vertrouwelijkheid bij de omgang met de door de gemeente opgeslagen informatie en het waarborgen van de vertrouwelijkheid bij de verstrekking van informatie aan derden.

Virus Kwaadaardig computerprogramma dat zichzelf vermenigvuldigt en verspreidt door zich te hechten aan andere programma’s en gegevensbestanden.

Werkruimte Ruimte waarin interne en externe medewerkers hun dagelijkse werk verrichten, en waarbinnen kritische gegevens kunnen worden verwerkt of opgeslagen.