avg

Inhoud Gemeenten hebben in 2021 een aantal complexe uitdagingen: de energietransitie, uitvoering wet WMO betreffende het sociaal domein, de financiële gevolgen van de coronacrisis, ondersteuning van de Tweede Kamer verkiezingen en het blijven aanjagen van de woningbouw. Om deze uitdagingen aan te kunnen hebben zij inzicht nodig in de financiën die hiervoor benodigd zijn.   ENSIA Gemeenten leggen nu al verantwoording af in de ‘Eenduidige Normatiek Single Information Audit’ (ENSIA). Hierin legt de gemeente verantwoording af aan de gemeenteraad en de toezichthouder op basis van de eindsituatie van Informatiebeveiliging opgeleverd van het afgelopen jaar. Tevens moeten de gemeenten vanaf dit jaar ook binnen de rechtmatigheidsverantwoording aangeven dat zij de financiële baten goed en rechtmatig hebben aangewend. Deze rechtmatigheidsverantwoording past in de ontwikkeling naar meer eigenaarschap van gemeenten voor het 'in control' zijn.    In Control Statement Gemeenten die 'zich willen verbeteren en pro-actief willen sturen', doen dit met behulp van een In Control Statement. Hiermee verklaren het bestuur en management dat de interne beheersings- en controlesystemen van een gemeente adequaat en effectief zijn.  Niet elke gemeente kan dit of is hier al op ingericht en ook hebben niet alle gemeenten informatie over de diverse domeinen een aandachtsgebieden integraal beschikbaar. Vaak zijn er standalone toepassingen of losse excel bestanden waarmee de gemeenten tracht een beeld te vormen over de te verantwoorden onderdelen.     Management Control Framework Om gemeenten hierbij te ondersteunen heeft Cruxer het Management Control Framework (MCF) ontwikkeld waarmee de gemeentelijke organisatie ondersteund wordt door middel van handvatten en beheersingsmaatregelen, waarmee zij blijvend kunnen voldoen aan de wettelijke bepalingen om de integriteit, voortdurende beschikbaarheid en beveiliging van de geautomatiseerde gegevensverwerking te waarborgen zoals o.a. aangegeven in de Baseline Informatiebeveiliging Overheid (BIO). Tevens zijn relaties mogelijk naar de GDPR – Algemene verordening gegevensbescherming (AVG)​, het Norea Volwassenheidsmodel Informatiebeveiliging 2019, de RODIN (Referentiekader opbouw digitaal informatiebeheer 2107) en de ENSIA.   Integraal beeld Het MCF geeft de gemeente een integraal beeld van de opzet en bestaan van de interne beheersing en ondersteunt ook de werking in de dagelijkse activiteiten hiervan. Gemeenten hebben hierdoor de mogelijkheid om gericht bij te sturen waardoor de gehele PDCA-cycle wordt ondersteund. Omdat het MCF ook de relaties legt met de bedrijfs- en werkprocessen en de inrichting hiervan binnen de organisatie is onderbouwing van het In Control Statement voor de gemeente mogelijk. Het MCF biedt niet alleen ondersteuning aan de CISO van de gemeente maar ook aan de verantwoordelijken binnen de control functie. Vanwege de mogelijkheid relaties te leggen naar procesmanagement en applicatiemanagement is ondersteuning van de informatievoorziening mogelijk. Als een gemeente gebruik wil maken van het MCF dan wordt gestart met het digitaliseren van de aanwezige eigen risk-managementcycle gekoppeld aan de eigen bedrijfs- en werkprocessen. Dit wordt aangevuld en verbeterd waarna via workflows de maatregelen worden getoetst en onderbouwd met evidence. Interne rapportages en dashboards geven de gemeente het benodigde inzicht voor het opstellen van de In Control Statement.   Uitgebreide informatie over Management Control Framework is te vinden in deze flyer.   Neem voor meer informatie contact op met: René van der Reijden, rene@cruxer.nl Eric van Mierlo, eric@cruxer.nl   Deze blogpost is geschreven door onze partner Cruxer.  

Inhoud Gemeenten hebben sinds 1 januari 2015, door de komst van de nieuwe Jeugdwet en decentralisatie van overheidstaken, de verantwoordelijkheid gekregen over de jeugdhulpverlening. Het doel van deze decentralisatie is om de hulp die aan gezinnen geboden wordt nodig is om deze meer te richten op preventie, het bieden van juiste, integrale, hulp op maat voor gezinnen, waarbij wordt uitgegaan van de eigen kracht van gezinnen en hun sociale omgeving en er meer ruimte is voor professionals door vermindering van de regeldruk. Deze enorme verandering in het zorgsysteem ging gepaard met forse bezuinigingen, die bij sommige gemeenten tot enorme tekorten leiden. De deskundigheid binnen gemeenten neemt toe, maar de verschillen tussen gemeenten zijn echter nog steeds groot en niet iedere gemeente weet de soms complexe zorgvraag adequaat te adresseren. Dit uit zich bijvoorbeeld in verschillende administratieve processen. Bij iedere gemeente moet weer andere informatie aangeleverd worden en een ander type factuur worden gestuurd. Voor een organisatie die voor tientallen gemeenten werkt, levert dit uiteraard veel administratie en bureaucratie op. Daarnaast moet het potentieel voor verbetering vooral ook gezocht worden in de aansluiting tussen de domeinen. Dit had 1 van de mogelijke voordelen van de decentralisatie moeten zijn, namelijk integrale hulverlening: over de verschillende ‘domeinen heen’. De aansluiting van de jeugdhulp op schuldhulpverlening, werk en inkomen, jeugdgezondheidszorg, veiligheidsbeleid, volkshuisvestingsbeleid en onderwijs zou na de decentralisatie een stuk beter geregeld kunnen worden. Jeugdhulpverlening-organisaties geven echter aan dat er veel winst is te behalen door het schrappen van verschillende procedures en administratie. Ook leidt de decentralisatie niet automatisch tot integrale samenwerking. Gemeenten werken vaak nauwelijks samen en houden de budgetten strikt gescheiden. De situatie op de werkvloer verbetert op deze manier niet en voedt de discussie over wachtlijsten en werkdruk. Het corona-virus drukt op de kwaliteit van de jeugdzorg. Door het thuisblijven ‘verdwijnen’ kinderen uit beeld bij de zorgdragende instanties, wat de noodzaak voor een integrale aanpak duidelijk maakt. Deze benodigde samenwerking tussen verschillende organisaties vereist duidelijke protocollen en strikte regelgeving, waarbij het naleven van de AVG eveneens een prominente rol krijgt toegedicht. Daarnaast lopen de kosten in het sociaal domein verder op, wat een gestroomlijnde uitvoering van jeugdzorg verder bemoeilijkt. Om de kwaliteit van de jeugdzorg te waarborgen is het van belang voor gemeenten om inzicht te krijgen welke invloed het corona-virus heeft op de uitvoering van de Jeugdwet en het naleven van de regelgeving. De vraag van dit onderzoek luidt dan ook als volgt: ‘Welke invloed heeft Covid-19 op de bedrijfsvoering van gemeenten om aan de kwaliteitsvraag en gestelde regelgeving omtrent jeugdzorg te blijven voldoen?   Auteur: Burt van Dinter

Inhoud Zes jaar geleden is een samenwerkingsverband opgezet inzake Applicatie Portfolio Management met verschillende ministeries. Tot op de dag van vandaag komen deze partijen tweewekelijks bij elkaar om het palet van portfolio management uit te breiden en generiek in te richten voor de aangesloten organisaties. Naast de permanente leden haken regelmatig ook andere overheden aan voor kennisuitwisseling op het gebied van portfoliomanagement. In dit samenwerkingsverband is Mavim van het begin ‘trusted partner’ geweest bij de doorontwikkeling van het portfolio. Het huidige palet aan portfoliomanagement bestaat uit de volgende onderdelen: Project Portfolio Management, Information Security Management System (BIO/AVG), Enterprise Architectuur, Procesmanagement, Applicatie Portfolio Management en Product Portfolio Management.   Portfoliomanagement onderdelen In de zomer van 2020 is het samenwerkingsverband verder doorontwikkeld naar een 2.0 versie. Dit was nodig omdat veel overheden zich in een geleidelijke transitie bevinden van on-premises software naar cloud services en daarnaast is de monitoring van informatiebeveiliging en privacy een steeds significanter onderdeel van het portfolio.   Transitie Een volgende belangrijke stap zal worden de transitie van Applicatie Portfolio Management naar Applicatie Lifecycle Management. Inmiddels hebben de aangesloten partijen namelijk wel goed in kaart welke IT-componenten men als departement in beheer heeft. Vanaf nu gaat het er om de levenscyclus van de betreffende IT goed te managen. De omgeving van overheid verandert steeds sneller, hierop zal de strategische IT-visie continu moeten worden aangepast. Simpelweg software aanschaffen is niet meer genoeg, telkens zal weer moeten worden nagegaan of de functionaliteit van de betreffende software wel voldoet aan de veranderende eisen.’   Wil jij hierover meer informatie ontvangen? Neem dan contact op met Mavim Team Overheid.   Auteur: Dhammika van Gent, Value Engineer bij Mavim

Inhoud Compliance zou in 2020 voor iedere organisatie een prioriteit moeten zijn. Eenvoudiger zal het zeker niet gaan worden en de impact van komende aanvullingen op de wetgeving voor de zorg en publieke sectoren zal gemanaged moeten worden. Als je budget wilt aanvragen bij jouw manager dan krijg je ongetwijfeld deze vragen; Waarvoor? Wat gaat dit opleveren? Wat is het verbeterplan en de waarde van het resultaat? Wat gaat dit kosten? Het is lastig om een pragmatisch plan te ontwikkelen met meetbare doelstellingen. Dit is nu juist waarom wij de Audittrail AVG- en IB-audit hebben ontwikkeld. Geen systematische één-op-één toetsing van praktijk aan een kader, maar een meting van de volwassenheid van jouw organisatie.   Hoe werkt een AVG “Audit”? Wij controleren de opzet, bestaan en – tot op zekere hoogte – de werking van jouw AVG-compliance en bepalen een volwassenheidsniveau (1-5) per genomen maatregel. Dit geeft een helder inzicht in het algemene volwassenheidsniveau van de organisatie. Aan de hand hiervan bepalen we samen het ambitieniveau van de organisatie én verkrijgen we input voor een jaarplan. Per maatregel zetten we uiteen hoe te komen tot het ambitieniveau. Pragmatisch en laagdrempelig. Ons advies aan eenieder is om een plan van aanpak te maken gebaseerd op feiten waardoor je kunt gaan toewerken naar een continu verbeterprogramma. Spreadsheets alleen gaan hierbij niet helpen, verbeteren doe je samen!   Rendement op jouw AVG-investering In 2017 wisten we niet hoe snel we geld moesten reserveren voor de implementatie van de AVG met als streefdatum om op 25 mei 2018 “klaar” te zijn. De investeringen zijn groot geweest, maar wat heeft het nu opgeleverd? Na 25 mei 2018 is geconstateerd dat vele managers een beetje AVG-moe zijn en men niet echt weet waarom er in dit vraagstuk verder geïnvesteerd moet worden. Waarom zoveel tijd, geld en resources investeren terwijl er zo weinig rendement te behalen valt? Op zich (deels) een valide standpunt. Ongetwijfeld zijn er ook in jouw organisatie weer vele zaken veranderd het afgelopen jaar. Nieuwe werknemers, nieuwe systemen, nieuwe processen. Allemaal onderdeel van jouw organisatie en stuk voor stuk onderdelen waarin (meestal) persoonsgegevens worden verwerkt. Privacy compliance is echter geen eenmalig ding, maar hoort vast en continu onderdeel uit te maken van de strategie en de organisatiedoelstellingen. Daarbij komt dat de ontwikkelingen binnen IT zo snel gaan dat ze bijna niet meer te volgen zijn. Als het werk uit 2018 niet goed is onderhouden, loop je het risico dat je al het eerder uitgegeven geld dus weggegooid heeft. AVG-moe of niet.   Grijp daarom nu in! Goed en gecontroleerd compliance management is een kans om de cultuur van de organisatie te professionaliseren en tevens een mogelijkheid om risico’s te herkennen en te mitigeren. Goed en volwassen compliance management vraagt een kritische blik op processen en welke informatie hierin rondgaat. Door processen goed in te richten en te managen sla je een optimalisatieslag. Bovendien vraagt informatieveilig werken een risicoanalyse om zo tot passende beveiligingsmaatregelen te komen. Combineer dan ook informatiebeveiliging met risicomanagement voor efficiënt compliance management. Wanneer de processen helder in kaart zijn is het ook makkelijker om proceseigenaren te ondersteunen bij het naleven van de AVG. Beleg verantwoordelijkheden bij de juiste personen en geef de Privacy Officer de regie terug. Zorg dat verplichte documentatie zoals het verwerkingsregister en datalekkenregister dynamische documenten worden, die inzicht bieden in de organisatie en haal daar jouw voordeel uit. Wij begrijpen dat dit allemaal klinkt als een fikse opgave maar juist daarom heeft Audittrail het Compliance Management Framework gebouwd in het Mavim Platform. Hiermee kun je in één keer al bovengenoemde onderdelen duurzaam inregelen. En speciaal voor de AVG-moeie manager: het jaarplan zoals beschreven, is geborgd in het systeem en geeft inzicht in de behaalde resultaten en geeft je handvatten voor de komende jaren als er wederom budget noodzakelijk is voor continue verbetering.   Bron: Audittrail   > Meer weten over informatiebeveiliging, de privacy audit en het Compliance Management Framework? Download hier de Productsheet

Inhoud Sinds de inwerkingtreding van de AVG lijken veel organisaties informatiebeveiliging voornamelijk als het stukje ‘passend beveiligen’ uit de AVG te behandelen. Maar, informatiebeveiliging is zo veel meer en belangrijker dan alleen het beschermen van persoonsgegevens. Wanneer informatie niet goed beveiligd is, kan dit grote, impactvolle risico’s met zich meebrengen.   Meer dan persoonsgegevens Wanneer alleen op het stukje beveiligen van persoonsgegevens wordt gelet, wordt een groot deel aan informatie dat jouw bedrijf bezit (die mogelijk kritisch is voor het bestaan van de organisatie) vergeten. Denk bijvoorbeeld aan het geheime recept van frisdrank of blauwdrukken van een beveiligingssysteem. Of nog erger, toegang tot de schakelaars van een stedelijk energienetwerk. Dit zijn belangrijke stukken informatie, maar geen persoonsgegevens. Het is daarom belangrijk de hele organisatie goed te beveiligen, zowel fysiek als digitaal. Kijk daarom verder dan alleen artikel 39 van de AVG.   Beschikbaarheid, integriteit, vertrouwelijkheid Bekende vormen van gegevensroof zijn ransomware of hacks. Maar risico’s voor jouw bedrijfsgegevens komen niet alleen in de vorm van diefstal. De aantasting van de beschikbaarheid, integriteit of vertrouwelijkheid (BIV) van informatie kan een organisatie enorme financiële schade en/of reputatieschade toebrengen. Door vanuit de BIV-classificatie alle informatie binnen de organisatie te beveiligen zorg je ervoor dat deze risico’s worden gemanaged. Naast potentiële aanvallen van buitenaf is het belangrijk om ook de interne risico’s te overwegen. Een gepikeerde medewerker met ongeoorloofde toegang tot bepaalde gegevens kan ook flinke schade aanrichten.   Awareness Er gaat geen week voorbij zonder bericht over een grote hack, ransomware of ander soort datalek. Om jouw organisatie op een hoger volwassenheidsniveau te krijgen is het van essentieel belang om voldoende inzicht te krijgen in de verbinding van jouw Informatiebeveiliging en privacy naar jouw mensen, processen en IT-systemen.   Ook is awareness, het bewustmaken van medewerkers, een belangrijk onderdeel van het informatiebeveiligingsbeleid. Het juist beveiligen van informatie is enorm belangrijk. Door de invoering van de AVG, maar zeker ook door de recente groei van cybercriminaliteit. Bewustwording van medewerkers is dan ook cruciaal in het mitigeren van risico’s voor jouw informatiebeveiliging en privacy. Social engineering tests zijn bewezen instrumenten om organisaties bewust te maken van de risico’s die zij bewust en onbewust lopen.   Normenkaders echt toepassen Zonder gegarandeerde BIV van belangrijke informatie kan de bedrijfscontinuïteit onder druk komen te staan. Implementeer maatregelen uit de ISO27000-serie, of een branche-specifieke informatiebeveiligingsnorm zoals de NEN 75-serie, BIO of BIC om jouw informatievoorziening zo veilig mogelijk te managen. Informatiebeveiliging is erg omvangrijk. Er zijn veel verschillende onderdelen die allemaal regelmatig aandacht vragen. Een oplossing om informatiebeveiliging eenvoudig te onderhouden is het Compliance Management Framework (CMF) van Audittrail. Dit is gebouwd in het Mavim Platform en zorgt ervoor dat jouw informatiebeveiligingsprogramma continu wordt onderhouden. Daarnaast kun je in het CMF jouw informatiebeveiliging eenvoudig koppelen aan jouw privacy programma.   Bron: Audittrail   > Meer weten over Informatiebeveiliging en het Compliance Management Framework? Download hier de Productsheet

Inhoud Privacy is in aanloop van 25 mei 2018 door veel organisaties opgepakt als project. De nieuwe privacywetgeving (AVG) gaf de mogelijkheid om privacy nu eens goed in te richten. Een projectteam werd samengesteld en samen werd gewerkt aan een gedegen opzet van privacy met een beleid, procedures, een verwerkingsregister en het organiseren van rechten voor betrokkenen. Ook werd vanuit dit projectteam gedacht over privacy verantwoordelijken en een al dan niet verplichte Functionaris gegevensbescherming (FG).   Enige tijd later Alle verplichte documenten zijn opgeleverd en privacy is in opzet aanwezig in de organisatie. Het projectteam krijgt decharge en de aangewezen Privacy Officer (PO) gaat zelf aan de slag. De projectgroep was een veilige omgeving, los van de rest van de organisatie waar alle aandacht vol op privacy lag en meerdere mensen ermee bezig waren. Eenmaal in de organisatie razen alle andere prioriteiten en veranderingen als snelverkeer langs de PO heen. Compliance is ineens een van de vele onderwerpen op de lijst en bovendien eentje die net al het projectbudget had gekregen, dus nu is een ander onderwerp aan de beurt.   Van opzetten naar onderhouden In plaats van het opzetten hebben we het nu over het onderhouden van een privacy programma. Dit brengt andere vragen met zich mee voor de Privacy Officer: “Voldoe ik wel voldoende aan de AVG? Hoe houd ik mijn verwerkingsregister bij? Waarover moet ik precies rapporteren en aan wie? Moet ik niet budget aanvragen voor komend jaar? Wat heeft de meeste prioriteit? Hoe los is drie incidenten en een datalek op in de acht uur die ik deze week aan privacy mag besteden?”. Eigenlijk zijn al deze vragen samen te vatten in: “Lukt het één Privacy Officer om de hele organisatie compliant te houden?”. Audittrail en Mavim zijn samen op zoek gegaan naar een oplossing om de Privacy Officer te ondersteunen in de transitie van project naar programma. Dit heeft als resultaat opgeleverd dat wij een op expertise gebaseerd product hebben gebouwd dat een combinatie bevat van onder andere een digitaal verwerkingsregister, risicoanalyse, awareness rapporten, procesvisualisaties en verplichte documentatiestukken is. We noemen dit het Compliance Management Framework (CMF). Naast een compleet privacy programma kun je hierin ook een volledig Informatiebeveiligingsprogramma opzetten en onderhouden. Vooral het stukje onderhouden is hier cruciaal: in veel organisaties verslapt de aandacht voor Security en Privacy na verloop van tijd. Dankzij de communicatiefunctie van het CMF kan de PO de juiste personen verantwoordelijk houden voor de eigen processen. Met het Mavim Platform als software achter onze kennis en expertise creëer je jouw eigen ideale control omgeving, één centrale bron van waarheid en krijgt de Privacy Officer de regie terug in handen.    Bron: Audittrail   > Meer weten over het Privacy en het Compliance Management Framework? Download hier de Productsheet

Inhoud De uitdaging Veel organisaties zijn verplicht compliance management goed te organiseren. Compliance in control houden is geen eenvoudige opgave. Bovendien blijkt het lastig om compliance een vast onderdeel van de organisatiecultuur te maken. Vaak krijgt één collega privacy ‘erbij’ en belandt informatiebeveiliging al snel bij de ICT-afdeling. Wet- en regelgeving en normenkaders zijn uitvoerig en complex. Veel compliance projecten typeren zich dan ook door losse spreadsheets en acties waarmee aan de belangrijkste hoofdstukken wordt voldaan. Denk bijvoorbeeld aan het verwerkingsregister vanuit de AVG of een ISO27002 auditrapportage. Het doel van compliance management is zorgdragen voor het mitigeren en verminderen van risico’s voor de organisatie. Hiervoor is het noodzakelijk om compliance daar te beleggen waar het echt hoort. Om de Privacy- of Security Officer meer een regierol te geven en compliance ook bij proceseigenaren en verantwoordelijke medewerkers te beleggen, is meer nodig dan men nu gewend is. Dit soort zaken zijn vaak in losse documenten of zogenaamde “point solutions” vastgelegd. Omdat deze niet met elkaar communiceren is het lastig om één centraal compliance managementsysteem op te zetten als ware het één bron van waarheid.   Het Audittrail CMF is de oplossing voor al deze zaken! Ons team van gecertificeerde Mavim consultants heeft, samen met onze Privacy en Informatiebeveiligingsexperts, een volledig nieuwe oplossing gebouwd (in het Mavim Platform) op basis van problematiek die we bij grote én kleine klanten in diverse branches hebben kunnen identificeren. Door gebruik te maken van het Audittrail Compliance Management Framework (CMF) voorkom je zaken als verschuiving van focus, verval in de waan van de dag, en het managen van losse documenten en spreadsheets. Het CMF is één platform waar verschillende compliance-gebieden samenkomen: privacy, informatiebeveiliging en risicomanagement. Beleg taken bij proceseigenaren en houd hen verantwoordelijk. Zo maak je compliance onderdeel van het DNA van de organisatie. In het CMF vind je templates voor verschillende informatiebeveiligingsnormen (zoals BIC, BIG, ISO, KWH, of HKZ), maar ook middelen om de AVG passend in te regelen binnen jouw organisatie. Leg de verbinding tussen privacy- en informatiebeveiligingsvraagstukken. Zo kun je overzichtelijk vele uitdagingen managen, eenvoudig rapporteren aan het management, en bij audits bewijzen aan externe partijen dat de mate van control hoog genoeg is om risico’s significant te verminderen.   Voordelen Het CMF is gebaseerd op ervaring van onze professionals binnen honderden projecten Privacy & Informatiebeveiliging borgen zonder veel tijd te investeren Compliance onderdeel van de hele organisatie maken Te allen tijde in control (geen vertraging of verslapping) Lage investeringskosten Duidelijke afspraken met één betrouwbare partner Te koppelen met andere systemen zoals Microsoft Power BI, Compliance manager, Naris, Topdesk etc. Inclusief software voor interne communicatie en verantwoording aan derden (Audit)   Bron: Audittrail   > Meer weten over het Compliance Management Framework? Download hier de Productsheet

Inhoud "Er moet meer bestuurlijke aandacht komen voor informatieveiligheid, met een hechtere verbinding tussen bestuurder en de chief information security officer (CISO). De CISO heeft binnen de gemeentelijke organisatie een spilfunctie, om ervoor te kunnen zorgen dat de juiste acties worden genomen ten aanzien van de informatiebeveiliging". Dat concludeerde de Visitatiecommissie Informatieveiligheid na het bezoeken van de colleges B&W en CISO’s van 120 gemeenten eind 2017. De visitatiecommissie stelde vast dat het in alle gevallen van belang is dat de CISO onafhankelijk is gepositioneerd, een directe rapportagelijn heeft naar de (eindverantwoordelijke) gemeentesecretaris en de (bestuurlijk) portefeuillehouder en daarmee periodiek overleg heeft. Daarnaast dient de CISO verbonden te zijn met de ambtelijke organisatie en het primaire proces. Het is voor een CISO echter niet doenlijk (en ook niet zijn/haar rol) om nauw betrokken te zijn bij de specifieke werkprocessen. Gemeenten verschillen van elkaar qua organisatie en daardoor in de wijze waarop de CISO functie wordt ingevuld. Met de invoering van de Baseline Informatiebeveiliging Overheid (BIO) en het verbindend verklaren van dit normenkader voor de hele overheid per 1 januari 2020, is aanstelling van een CISO niet langer vrijblijvend, maar verplicht geworden. De aanstelling van een CISO is een belangrijke voorwaarde om de implementatie en uitvoering van de informatiebeveiliging binnen de organisatie te initiëren en te beheersen. Tevens is sinds 25 mei 2018 de Algemene Verordening Gegevensbescherming van kracht, de wet die strenge eisen stelt aan de verwerking van persoonsgegevens en de informatiebeveiligingsmaatregelen. Ook zijn de rechten van betrokken flink uitgebreid. Maar ook de buitenwereld is bezig met een privacy inhaalslag; de Autoriteit Persoonsgegevens is begonnen met handhaving en heeft net de eerste AVG boete uitgedeeld aan het HAGAZiekenhuis. Aan een betrokkene bij een datalek door gemeente Enschede is door de rechterbank Overijssel in hoger beroep een schadevergoeding toegekend van €500.- Een datalek met duizenden betrokkenen kan zo al snel flink in de papieren lopen en naar verwachting zullen collectieve claim procedures dan ook snel volgen. Zaak dus om uw informatiebeveiliging op orde te hebben. Kijkend ook naar de astronomische boetes die momenteel worden uitgedeeld aan de multinationale datafabrieken zoals FaceBook dan is het duidelijk dat informatiebeveiliging in zeer korte tijd een serieus vakgebied geworden is waar organisaties, gezien het enorme aantal vacatures, een flinke inhaalslag op aan het maken zijn. Kortom; de CISO is in toenemende mate en met versneld tempo van belang om er binnen de gemeente over te waken dat (persoons)gegevens van burgers en bedrijven goed verwerkt worden en onverlaten er niet bij kunnen. Hierbij geldt voor kleinere gemeentes dat een deeltijd- of gecombineerde-functie CISO beter is dan helemaal geen CISO. En soms is het inhuren van een CISO voor een paar dagen per maand door meerdere aanpalende gemeentes ook een goede eerste stap. De CISO is in ieder geval wel vast onderdeel van het gemeentelijk meubilair geworden!   Maar waar hebben we het dan samen over? Als burgemeester, wethouder, gemeentesecretaris, raadslid of collega ambtenaar wordt u soms pas actief betrokken bij het werk van de CISO als het te laat is. Als de krant bericht dat de gemeente gehackt is, als er een datalek heeft plaatsgevonden of als er om budget gevraagd wordt in de voorjaarsnota. Informatiebeveiliging echter, is de verantwoordelijkheid van iedereen binnen de organisatie die met data omgaat. Bewustwording en het pro-actief bezig zijn met informatiebeveiliging is dus cruciaal. De volgende 5 vragen kunt u de CISO stellen om het gesprek met hem of haar te starten. Het zijn mogelijke vragen om de dialoog te starten, geen vastomlijnde aanpak voor informatiebeveiliging. Daarvoor verwijs ik graag naar de Informatiebeveiligingsdienst. 5 vragen zijn natuurlijk bij lange na niet voldoende dus het is slechts een eerste aanzet. Ook is de relevantie van sommige vragen tijdgebonden en daardoor over een tijdje wellicht weer minder actueel. Maar we kunnen toch ergens beginnen? Ik nodig u uit andere relevante vragen via de comments toe te voegen en de lijst aan te vullen..   1. wat is ons dataprotectie-risicoprofiel? Ik begin de eerste vraag niet zonder reden. Er zijn CISO's die compliance-based en andere die risk-based werken. De eerste zal séc willen voldoen aan de (wettelijke) voorschriften (de groene vinkjes) terwijl de tweede kijkt naar de actuele informatiebeveiligingrisico's en kiest voor adequate mitigatie ervan om zo toch de organisatorische doelstellingen te kunnen blijven behalen. Het paraat hebben van de laatste stand van zaken op Technologisch-, Personeel- en Organisatorisch dataprotectie-gebied is daarom ook van groot belang. Waar zitten de gaten ten opzichte van de overheidsbaseline (GAP-Analyse) plus welke bijzonderheden heeft deze gemeente waar we specifiek naar moeten kijken? Heb je een Informatiebeveiligingsplan waarin staat hoe we hier mee omgaan? Welke beveiligings incidenten hebben we de afgelopen tijd aan de hand gehad en hebben we data onbedoeld vrijgegeven? Een interessante openingsvraag toch?   2. ben je al begonnen met het ISMS? De Informatie BeveiligingsDienst definieert het ISMS als volgt: "Het Information Security Management System (ISMS) is een procesgerichte benadering voor informatiebeveiliging. Het is een managementsysteem waarin het risicobeheerproces centraal staat, zodat risico’s adequaat worden beheerd. Het ISMS is de motor van de informatiebeveiligingsactiviteiten en wordt onderhouden middels de plan-do-check-act cyclus". Het werken volgens een ISMS geeft aan dat de CISO het beleid niet alleen opstelt maar ook de implementatie ervan toetst en het beleid door de tijd heen bijstelt waar nodig. Vaak wordt een ISMS tool gebruikt om het framework en de bijbehorende documenten in onder te brengen. Het ISMS is een van de beste manieren om de taken van een CISO over te dragen aan een opvolger. Het stelt ook tijdelijke krachten in staat om sneller op stoom te zijn.   3. hoe staan we ervoor met de ENSIA rapportage? ENSIA staat voor Eenduidige Normatiek Single Information Audit en betekent eenmalige informatieverstrekking en eenmalige IT-audit. Met ENSIA sluit de verantwoording over informatieveiligheid aan op de planning en control-cyclus van de gemeente. Hierdoor heeft het gemeentebestuur meer overzicht over de informatieveiligheid van hun gemeente en kan het beter sturen en verantwoording afleggen aan de gemeenteraad. ENSIA helpt gemeenten in één keer slim verantwoording af te leggen over informatieveiligheid gebaseerd op de BIG (en vanaf 2020 op de BIO). De verantwoordingssystematiek over de Basisregistratie Personen (BRP) en wet- en regelgeving Reisdocumenten (PUN en PNIK), Digitale persoonsidentificatie (DigiD), Basisregistratie Adressen en Gebouwen (BAG), Basisregistratie Grootschalige Topografie (BGT), Basisregistratie Ondergrond (BRO) en de Structuur uitvoeringsorganisatie Werk en Inkomen (Suwinet) is samengevoegd en gestroomlijnd. De eerste ENSIA cyclus is achter de rug en de nieuwe 2019 cyclus is gestart per 1 juli jongstleden. Bespreek samen het resultaat 2018 en op welke wijze 2019 aangevlogen wordt. Wat zijn de lessons learned en hoe, adviseert de CISO, gaan we de vastgestelde tekortkomingen wegwerken?   4. zijn we op tijd klaar met de BIO implementatie? Vanaf 1 januari 2019 is de Baseline Informatiebeveiliging Overheid (BIO) van kracht. De BIO vervangt per 1 januari 2020 de bestaande baselines informatieveiligheid voor Gemeenten, Rijk, Waterschappen en Provincies. Van BIG, BIR, BIR2017, IBI en BIWA naar BIO. 2019 is een overgangsjaar. Hiermee ontstaat één gezamenlijk normenkader voor informatiebeveiliging binnen de gehele overheid, gebaseerd op de internationaal erkende en actuele ISO-normatiek. Helder, actueel en veilig. Vraag de CISO (kudo's voor u, u heeft er al een aangesteld ;-) naar de impact voor de gemeente, waar u staat als organisatie en op welke wijze de belangrijkste wijzigingen doorgevoerd kunnen worden. De BIO Praatplaat kan helpen het gesprek met de clusters te voeren om inzichtelijk te krijgen wat er nog moet gebeuren. Maak ook hier in overleg keuzes in de activiteiten om compliant te geraken. First things first, eerst de hoge risico's, dan de lagere.   5. hoe staan we ervoor m.b.t. de 2019 streefbeeld afspraken? De vorige vragen waren redelijk strategisch en tactisch van aard op het gebied van informatiebeveiliging. Toch ontkomt u er niet aan af en toe over de techniek te praten. De laatste CISO vraag is daardoor misschien wat te complex voor de gemiddelde ambtenaar maar niet minder relevant. Kijk eens hoe ver u samen komt! Binnen de overheid zijn er adoptieafspraken over standaarden voor internetveiligheid en informatieveiligheid. Op dit moment is de afspraak dat ALLE websites van de overheid beveiligd moeten zijn met de standaarden HTTPS, HSTS en TLS conform de richtlijnen van het Nationaal Cyber Security Centrum (NCSC). Daarnaast dienen domeinnamen beveiligd te zijn met de standaard DNSSEC. Voor mail is de afspraak dat de standaarden SPF, DKIM en DMARC worden ondersteund voor het voorkomen van phishing en dat STARTTLS en DANE worden toegepast voor het beveiligen van mailverkeer. Na het instellen van de mailstandaarden dienen DMARC en SPF vervolgens zodanig geconfigureerd te worden dat phishing van mail actief wordt bestreden. Dit betekent dat voor deze standaarden niet het tempo van ‘pas toe of leg uit’ wordt gevolgd (i.e. wachten op een volgend investeringmoment en dan de standaarden implementeren) maar dat actief wordt ingezet op implementatie van de standaarden op de korte termijn. Weinig overheden kunnen al deze afspraken allemaal tijdig (eind 2019) nakomen. De praktijk leert dat het implementeren ervan over meerdere schakels dient te gebeuren, derde (cloud)partijen die je niet altijd zelf in de hand hebt waardoor het ook nog eens eindeloos kan duren. Bespreek met uw CISO wat er gebeurt als u niet tijdig klaar bent, de risico's die u loopt en de verantwoordelijkheid die u in de keten hebt om wél tijdig klaar te zijn. Vraag uw CISO om advies op welke wijze de techniek aangepast moet worden en wie in de organisatie deze taken dienen uit te voeren.   Tot slot Zoals al eerder gezegd is de dataprotectie arbeidsmarkt op dit moment enorm schaars. Goed opgeleide medewerkers zijn lastig te vinden en de gemeentelijke salarissen kunnen moeilijk concurreren met het bedrijfsleven. Zorg er derhalve voor dat u de CISO en zijn/haar stafmedewerkers voldoende uitrusting geeft om het werk ook daadwerkelijk te kunnen verrichten. Dat is niet alleen salaris maar zeker ook voldoende budget voor opleiding, seminars/congressen, ICT-tooling en tijdelijke ondersteuning (inhuur) voor projectwerk. Ook een directe, doorlopende en open dialoog met het bestuur en college is belangrijk. Immers, gemeentelijke informatiebeveiliging is een bestuurlijke verantwoordelijkheid. Als laatste en hopelijk ten overvloedde, noem ik daarom nog vraag 6. Eigenlijk de meest belangrijke vraag die u uw CISO kunt stellen: "Hoe gaat het met je, heb je het nog naar je zin en wat kan ik voor je doen?"   Auteur:  Dimitri v. Zantvliet Rozemeijer MBA CISM CISA CIPP-E CIPM FIP, CISO / Manager Strategie, Security en Privacy gemeente Haarlemmermeer    

Inhoud   Het is alweer ruim 20 jaar geleden dat de voorloper van de Code voor Informatiebeveiliging (CvI) werd geboren. Zover ik weet ontstond ze uit een vrijage van Shell met het Britse Ministry of the Interior als een antwoord op de uit de hand lopende automatisering. Tot dan toe was er vanzelfsprekende controle door de geslotenheid van de gebruikte systemen. Client-server brak met de regels en zorgde voor onduidelijke grenzen aan je systeem. Je moest met veel meer verschillende factoren rekening gaan houden. Bovendien was er een heel nieuwe groep IT’ers die zich met dataverwerking ging bezighouden die de oude beveiligingsparadigma’s niet had geleerd. Het antwoord op deze ontwikkelingen was een ‘best practice’. Zo’n verzameling handreikingen was handig als checklist en verschafte je als nieuweling gelijk een soort opleiding in de strijd voor de veiligheid.   Best practice Gaandeweg werd duidelijk dat het eenmalig afwerken van een lijst maar beperkt soelaas biedt. Continue beheersing is nodig, met een kwaliteits-‘proces’. De PDCA-toevoeging was geboren en kreeg later een ISO-jasje. Certificeren doen we nu al jaren op basis van die PDCA waarbij de best practice er is om vanuit de risico’s uit te kiezen, niet om blind uit te voeren.   Baseline Er is al jaren óók een beweging die daar dwars tegenin gaat, die zogenaamde ‘baselines’baart. Baselines zijn maatregelsets die een basisniveau aan beveiliging moeten opleveren en direct duidelijkheid geven over wat er moet worden gedaan. Een soort bevroren best practices, dus. Bijzondere systemen en processen die meer beveiliging behoeven krijgen extra maatwerkmaatregelen. Dat klink toch goed? Ja, best goed, maar er zijn nadelen, flinke nadelen. Om te beginnen bedenkt iedereen sector zijn eigen baseline, als uitdrukking van de eigenheid. Het heeft in dat geval niets met de inhoud te maken, maar is een poging de eigenheid als verleider te gebruiken om de boel in beweging te krijgen. Zo is er één voor de rijksoverheid (de BIR), voor de gemeenten (de BIG), de waterschappen (ja, de BIWA), voor woningbouwcoöperaties (de BIC) en een voor de Provincies (nee, niet de BIP, maar de Interprovinciale Baseline Informatiebeveiliging, de IBI). En ik mis er vast nog wel een paar. De centrale gedachte is dat binnen sectoren de organisaties risico’s en cultuur delen en daarom een eigen baseline verdienen. Mijn waarneming is dat de verschillen tússen sectoren vaak kleiner zijn dan tussen organisatie bínnen een sector.   Volwassenheid Al die baselines zijn (soms losjes) gebaseerd op de CvI (of nazaten daarvan) en vertonen nogal verschillende niveaus van volwassenheid. Vaak zie je het ontstaansproces erin weerspiegeld: iedere deelnemer in de werkgroep zijn zin of alleen dat waar we het over eens kunnen worden. De BIWA onderscheidt zo’n 280 maatregelen, de IBI 1.906. Dan is er het vraagstuk van het onderhoud. Goedwillende groepen mensen (zoals in elke vereniging getrokken door een paar bevlogen types) bouwen onvermoeibaar een versie 1. De eerst update wil dan ook nog wel lukken, maar dan is de energie er wel uit. Hoe moet het daarna verder, wie pakt het dan op?   Kwaliteitsproces Heb je je baseline al weten te beleggen bij alle uitvoerders in je organisatie, dan komt de vraag hoe je het kwaliteitsproces aan de gang houdt. Het ‘project’ is immers voltooid. Een kwaliteits-‘proces’ biedt een prima antwoord met zijn cyclische benadering, maar dát zit in zo’n baseline nou net niet mee verpakt.. Dan is er ook nog de afstemming met je leveranciers: ga je al die maatregelen stuk voor stuk met ze doornemen? We zijn in een wereld beland waarin we elkaar ISO-certificaten toesturen, of ISAE-rapporten. XL-sheets vol met sector-eigen maatregelen opsturen naar jecloud-suppliers is geen zeker succesrijke strategie. Dat levert een ingewikkeld gesprek of een heel hoge rekening op, geen directe bijdrage aan de veiligheid.   Beoordeling En last but not least is er de vraag van de beoordeling van het resultaat: krijgt iedere sectorale baseline een eigen beoordeling en certificaat? Dat levert allemaal oordelen van heel verschillende vorm en inhoud op, waarmee het slecht communiceren is naar je doelgroep of toezichthouder. We werken ondertussen steeds meer in ketens waar dat wél nodig is. Ik ken ondertussen een paar sectoren waar de baseline niet echt het verschil heeft gemaakt. De baseline heeft eerder geleid tot vragen als: moeten we dat allemaal wel toepassen? En in welke volgorde? Kan het niet wat minder? Dan worden er analyses en grootse plannen (documenten) tegenaan gegooid, wat al snel leidt tot stroperigheid. Na verloop van tijd (soms jaren) is de energie weg en een kans voor meer veiligheid verkeken.   ISO27001 Ondertussen wint de ISO27001 sterk aan reputatie en toepassing in de volle breedte. De certificaten verschaffen klanten en toezichthouders een genormeerd, uniform en dus te vertrouwen oordeel over hoe je organisatie -doorlopend- met informatiebeveiliging bezig is. De ISO-norm wordt ook inhoudelijk steeds volwassener, ook al is er kritiek mogelijk. Bijvoorbeeld dat deze internationale norm ruimte voor verschillende volwassenheidsniveaus toelaat. Het is immers primair een hulpmiddel voor toepassing door organisaties die aan veiligheid willen werken. Aanvullende transparantie over de volwassenheid van de maatregel-implementaties kan dat probleem verhelpen.   Aanvullen staat vrij Een verwijt dat ook gemaakt wordt is dat de IT-ontwikkelingen (met name bij cloudtoepassingen) sneller gaan dan deze best practice. Dat is waar, maar niets weerhoudt je ervan om een andere of aanvullende best practice te gebruiken om die tekortkoming te repareren, zoals de CloudControlsMatrix of de ENISA-checklist. Kortom de ISO27001 is het beste instrument voor interne en externe doelen. Dus wég met de baseline en húp met de ISO27001. Werk aan een volwassen beheersing op basis van je eigen risicobeoordeling, organisatiestijl en -cultuur en vraag dat ook van je leveranciers.    Er is hoop! Aan het begin van de zomer is bekend geworden dat in overheidsland (onder aanvoering van BZK) gewerkt gaat worden aan de BIO, de Baseline Informatiebeveiliging Overheid.. maar pas nádat eerst een update van de BIR is gedaan. Wordt de BIO nóg een baseline zult u zeggen, of is het doel opruimen van de wildgroei en streven naar uniformiteit? Het lijkt erop dat mijn bede -een beetje- verhoord wordt en de ISO27001+2 écht de kern gaan vormen. Er zal een ‘dun laagje’ omheen geschreven worden, verschillend per overheidslaag.. Maar of het PDCA-denken écht de kern wordt? We zullen zien, waar het toe leidt, hoopgevend is het zeker. Hoop hebben we ook nodig, want werken met baselines…. brrrrrr! Wég met de baseline!Door: André Beerten. Staat informatiebeveiliging ook bij uw organisatie hoog op de agenda? Bekijk hier hoe u eenvoudig grip krijgt op de beschikbaarheid, integriteit en vertrouwelijkheid van informatiestromen

Inhoud Terwijl veel organisaties momenteel nog bezig zijn met de Meldplicht Datalekken, die 1 Januari 2016 van start is gegaan, komt er alweer een nieuwe wet om de hoek kijken. In mei 2018 gaat de nieuwe Europese privacywetgeving in Nederland van kracht. Het niet naleven van deze wetgeving kan hoge sancties tot gevolg hebben.   Verwerking persoonsgegevens General Data Protection Regulation (GDPR) geldt voor alle organisaties die persoonsgegevens verwerken. Het ziet er naar uit dat de Europese wetgeving doorwerkt in de Nederlandse ‘Meldplicht Datalekken’ en de ‘Wet Bescherming Persoonsgegevens’.  Bij deze wetgeving gaat het niet alleen om bescherming van digitale gegevens, maar ook gegevens op papier. Opvallend is dat deze wetgeving veel middelgrote bedrijven raakt en ook verschillende lagen binnen een organisatie. De boetes liggen in de Europese privacywetgeving een stuk hoger. Dit kan zelfs 4% van de jaarlijkse wereldwijde omzet bedragen. Daarnaast kan geconcludeerd worden dat er inhoudelijk voor Nederland weinig gaat veranderen. Door de ‘Meldplicht Datalekken’ is Nederland goed voorbereid op de Europese wetgeving.    Interne organisatie Uit onderzoek blijkt dat 70% van alle beveiligingsincidenten worden veroorzaak vanuit de eigen interne organisatie. Dit komt doordat medewerkers niet bewust zijn van bepaalde richtlijnen, procedures en instructies die binnen de organisatie gevolgd moeten worden. Hierdoor worden risico’s vaak niet tijdig onderkent, door gebrek aan kennis en ervaring. Dit blijkt ook uit de uitzending van Zembla op 30 november 2016 waarin wordt ontdekt dat privacygevoelige informatie van particulieren maar ook zeer vertrouwelijke informatie over organisaties (als terrorismebestrijdingsorganisatie Europool) voor het grijpen ligt. In deze uitzending komt duidelijk naar voren dat vrijwel iedere organisatie te hacken is. Volgens de Europese Commissie zijn het aantal cyberincidenten vorig jaar gestegen met 38%. Zelfs 80% van alle Europese bedrijven heeft wel eens problemen met cybercriminaliteit ondervonden. Dit geeft aan dat de situatie zorgelijk is.    Webwinkels en digitale beveiliging Wanneer je als handelsorganisatie beschikt over vertrouwelijke bedrijfsinformatie evenals persoonlijke klantinformatie, zoals NAW-, bestel- en betalingsgegevens speelt informatiebeveiliging een grote rol. Uit onderzoek naar de veiligheid van webwinkels (consumentenbond, 2015) is gebleken dat tweederde van de top 100 webwinkels hun digitale beveiliging niet op orde heeft. In 38% van de onderzochte webwinkels ging het om een ernstige veiligheidslek, waarmee gegevens zoals e-mailadressen, bestelinformatie of wachtwoorden van consumenten werd bemachtigd.  Daarnaast hebben vele organisaties kennis over de klant op het gebied van koopgedrag en smaakvoorkeuren. Denk bijvoorbeeld aan de informatie die retailers bezitten door middel van een bonus- of klantenkaart over de smaakvoorkeuren en het koopgedrag van een klant.   Onveilige kanalen Ook maken medewerkers gebruik van redelijk onveilige kanalen als internet en e-mail. Dergelijke kanalen zijn zeer gevoelig voor digitale criminaliteit als phishing, hacking, et cetera. Medewerkers behoren beschermd te worden tegen deze digitale dreigingen van buitenaf. Wanneer gevoelige informatie zoals persoonsgegevens niet goed beveiligd zijn, kan dat leiden tot datalekken. Of een identiteitshack, waarbij iemands naam, profielfoto en andere persoonlijke informatie gekopieerd en misbruikt op internet. Dit kan ernstige gevolgen hebben. Het doel van de wetgeving is ervoor te zorgen dat ondernemers zorgvuldiger omgaan met deze persoonsgegevens en dat de beveiliging hiervan op orde is om uiteindelijk te voorkomen dat privacygevoelige informatie op straat belandt. Naast de enorme boetes die je kunt ontvangen bij het niet naleven van deze wetgeving, kan een datalek grote schade aanrichten aan het imago of reputatie van organisaties. De kosten om deze schade te herstellen kunnen daarbij aanzienlijk oplopen.   Veilig omgaan met informatie Maar hoe zorgt u er voor dat alle mensen in de organisatie weten hoe zij omgaan met het beveiligen van hun informatie? Met het Information Security Management System (ISMS) framework van Mavim kunnen processen, procedures, risico’s en wet- en regelgeving in kaart worden gebracht. Aan de hand van de gedefinieerde risico’s en bijhorende maatregelen wordt inzicht gegeven in de mate van risicobeheersing. Beveiligingsrisico’s kunnen eenvoudig geïdentificeerd worden. Het ISMS framework zorgt ervoor aantoonbaar in control te zijn conform het GDPR, ‘Meldplicht Datalekken’ en de ‘Wet Bescherming Persoonsgegevens’. het zorgt tevens voor kostenbesparingen als gevolg van verbeterde operationele controle en verliesbeheersing. 2018 lijkt misschien nog ver weg, maar het implementeren van informatiebeveiliging binnen uw organisatie is een zorgvuldig proces dat de nodige tijd vergt. Begin dus op tijd! Meld je dan nu aan voor de webinar ‘Expert College Informatiebeveiliging’ dat 17 januari 2017 vindt plaats. Of download de factsheet over het ‘ISMS framework’. Auteur: Annick van der NapWordt het voor uw organisatie ook de hoogste tijd om privacygevoelige informatie zorgvuldig te borgen en beveiligen? Zie hier welke stappen u kunt ondernemen in een eerste stap naar privacy compliancy. Benieuwd hoe u de risico’s van datalekken op uw eigen organisatie projecteert? Deze online sessie geeft u handvatten hoe u risico’s in kaart kunt brengen en welke vervolgstappen u kunt nemen.