Digitale Veiligheid.pdf
Een raadslid stelde op 22 december 2022 schriftelijke vragen aan het college van burgemeester en wethouders van Woudenberg (11 vragen).
In het kort
11 vragen en wat het college antwoordt
- Is de gemeente bekend met de notitie het “ Dreigingsbeeld informatiebeveiliging Nederlandse gemeenten 2023-2024” van de Informatiebeveiligingsdienst (IBD) . → De gemeente is bekend met de notitie.
- Eind 2021 zijn tienduizenden softwarepakketten met grote spoed aangepast of bijgewerkt. → De kwetsbaarheid in de apache Log4j software heeft uiteraard ook impact gehad op de gemeente Woudenberg.
- Heeft de gemeente zicht of bij alle samenwerkingsverbanden die de gemeente heeft, daar de informatiebeveiliging en privacy op orde zijn? → Staat de controle op de naleving hiervan op de agenda? blad 2 van 4 Veel samenwerkingsverbanden zijn met andere gemeenten/ overheidsinstanties.
- Heeft het college een vast percentage in het budget opgenomen voor informatiebeveiliging en privacy? → In 2017 is geadviseerd door de Cyber Security Raad een percentage van 10% van het ICT-budget.
- Heeft de gemeente data backup’s en zo ja, met welke frequentie worden deze getest? → Er worden dagelijks backup’s gemaakt van verschillende systemen en databases.
- Zijn er extra beveiligingsmaatregelen genomen voor de ICT voorzieningen bij de gemeentewerf en de Kleine Schans omdat zij huisvesten in andere locaties? → De ICT voorzieningen bij de gemeentewerf bestaan vooral uit een WiFi netwerk en 2 thin clients (digitale werkplekken).
- Worden er jaarlijkse testen uitgevoerd met uitval van systemen in de eigen blad 3 van 4 organisatie en met samenwerkingspartners? → In hoeverre kan de Dienstverlening dan doorgaan?
- Is met de gemeente Veenendaal een Third Party Memorandom (TPM) afgesloten of een accountantsverklaring voor de uitbestede WOZ-werkzaamheden, waarmee zij kunnen aantonen… → Dit geldt ook voor alle overige uitbestede werkzaamheden van onze gemeente.
Overgenomen uit de brief van het college; hieronder staan de volledige vragen en antwoorden.
Aanleiding
Gemeenteraad van Woudenberg Ter attentie van dhr. Van Schaik cc. Gemeenteraad van Woudenberg
Verzonden op:
Zaaknr:
Documentnr:
Contactpersoon:
Afdeling:
Bijlage(n):
Onderwerp:
Z.339105 D.239600 W. Bast I&A Schriftelijke vragen GBW inzake digitale veiligheid
Geachte heer Van Schaik,
Op 1 november jongstleden heeft u conform artikel 36 van het Reglement van orde van de gemeenteraad schriftelijke vragen aan het college gesteld inzake de digitale veiligheid. Zowel binnen de gemeente als bij de samenwerkingspartners.
Hierna treft u de beantwoording per vraag aan.
Vragen en antwoorden
Vraag 1
Is de gemeente bekend met de notitie het “ Dreigingsbeeld informatiebeveiliging Nederlandse gemeenten 2023-2024” van de Informatiebeveiligingsdienst (IBD) . Zo ja, hoe kijkt het college naar deze notitie?
Antwoord van het college
De gemeente is bekend met de notitie. De notitie biedt, net als veel andere beschikbare informatie, handvatten waarvan we dankbaar gebruik maken.
Vraag 2
Eind 2021 zijn tienduizenden softwarepakketten met grote spoed aangepast of bijgewerkt. Is de gemeente Woudenberg eind 2021 hierbij ook betrokken geweest om incidenten te voorkomen?
Antwoord van het college
De kwetsbaarheid in de apache Log4j software heeft uiteraard ook impact gehad op de gemeente Woudenberg. In die periode hebben leveranciers hun softwarepakketten aangepast en zijn deze door ICT Veenendaal geüpdatet zodra deze beschikbaar waren. In afwachting van de updates is een risicoanalyse gemaakt met als resultaat sommige softwarepakketten en verbindingen tijdelijk uit te zetten.
Vraag 3
Heeft de gemeente zicht of bij alle samenwerkingsverbanden die de gemeente heeft, daar de informatiebeveiliging en privacy op orde zijn?
Antwoord van het college
Staat de controle op de naleving hiervan op de agenda?
blad 2 van 4
Veel samenwerkingsverbanden zijn met andere gemeenten/ overheidsinstanties. Zij moeten vanuit de BIO (Baseline Informatiebeveiliging Overheid) aan dezelfde minimale voorwaarden voldoen en worden ook jaarlijks geaudit op diverse onderdelen.
Hiernaast wordt met leveranciers (ook andere overheidsinstanties) die onze data gebruiken altijd een verwerkersovereenkomst getekend.
Controle staat in sommige gevallen op de agenda, bijvoorbeeld bij gebruik van DigiD. Maar er wordt niet jaarlijks bij alle samenwerkingsverbanden door de gemeente Woudenberg gecontroleerd of informatiebeveiliging en privacy op orde zijn.
Vraag 4
Heeft het college een vast percentage in het budget opgenomen voor informatiebeveiliging en privacy?
Antwoord van het college
In 2017 is geadviseerd door de Cyber Security Raad een percentage van 10% van het ICT-budget. Sindsdien is de dreiging alleen maar toegenomen.
Er is een percentage van het ICT budget opgenomen voor informatiebeveiliging en privacy.
Momenteel ligt dit op ca 5%, maar dit is exclusief de maatregelen die ICT Veenendaal zelf neemt en worden betaald middels de DVO.
Vraag 5
Heeft de gemeente data backup’s en zo ja, met welke frequentie worden deze getest?
Antwoord van het college
Er worden dagelijks backup’s gemaakt van verschillende systemen en databases. Jaarlijks worden deze getest.
Vraag 6
Zijn er extra beveiligingsmaatregelen genomen voor de ICT voorzieningen bij de gemeentewerf en de Kleine Schans omdat zij huisvesten in andere locaties?
Antwoord van het college
De ICT voorzieningen bij de gemeentewerf bestaan vooral uit een WiFi netwerk en 2 thin clients (digitale werkplekken). Het netwerk is hetzelfde als dat binnen het gemeentehuis en wordt centraal beheerd. Er staan dus geen voorzieningen bij de gemeentewerf waardoor daar extra voorzieningen getroffen moet worden.
De Kleine Schans heeft een eigen ICT leverancier en werken met een eigen digitale werkplek.
Wel wordt (on)gevraagd advies gegeven door de gemeente wanneer dit van toepassing is.
Hiernaast wordt de Kleine Schans meegenomen in de bewustwordingsacties die vanuit de gemeente worden geïnitieerd.
Vraag 7
Worden er jaarlijkse testen uitgevoerd met uitval van systemen in de eigen blad 3 van 4 organisatie en met samenwerkingspartners?
Antwoord van het college
In hoeverre kan de Dienstverlening dan doorgaan?
Onze ICT systemen draaien in een dubbele ring. Dit betekent dat wanneer de ICT infrastructuur wegvalt in Veenendaal alles doordraait op een andere locatie.
Er worden niet jaarlijks tests uitgevoerd met iedere samenwerkingspartner. Er zijn SLA’s afgesproken in dienstverleningsovereenkomsten mbt de continuïteit van de dienstverlening.
Ook de samenwerkingspartners moeten voldoen aan de BIO. Met de gemeente Veenendaal is er een ICT Continuïteitsplan opgesteld waarin staat beschreven welke processen binnen welke periode weer moeten kunnen draaien.
Vraag 8
Is met de gemeente Veenendaal een Third Party Memorandom (TPM) afgesloten of een accountantsverklaring voor de uitbestede WOZ-werkzaamheden, waarmee zij kunnen aantonen aan de gestelde veiligheidseisen te voldoen?
Antwoord van het college
Dit geldt ook voor alle overige uitbestede werkzaamheden van onze gemeente.
Voor de uitbestede WOZ-werkzaamheden is wel een accountantsverklaring afgesloten, maar niet op het gebied van ICT/ veiligheid. Ook is er geen TPM afgesloten. Wel moet de gemeente Veenendaal net als iedere overheidsinstantie voldoen aan de BIO en maatregelen die daar bij horen. Dit geldt ook voor alle overige uitbestede werkzaamheden. In de DVO is wel opgenomen dat Veenendaal informatie aanlevert voor de ENSIA verantwoording op het gebied van WOZ-werkzaamheden en de hieruit voortkomende verbeteringen oppakt, net zoals ze dit voor de eigen organisatie doen. Het afsluiten van een TPM vraagt om een specifiek afgekaderde opdracht wat wel en niet binnen de TPM valt. Dit moet vervolgens ook door een auditor beoordeeld worden. Dit vereist een aangepast/ uitgebreid DVO en brengt ook extra kosten met zich mee. Er vinden momenteel wel gesprekken plaats of en hoe dit in de toekomst vormgegeven kan worden.
Vraag 9
Werkt de gemeente conform de Digitale Resolutie Veiligheid, aangenomen op 122-2021 in de Buitengewone Algemene Ledenvergadering van het VNG?
Antwoord van het college
(Digitale Veiligheid: kerntaak voor gemeenten). Als voorbeeld:
- Heeft de gemeente een jaarlijks incidentenoverzicht?
Ja.
- Heeft de gemeente een digitaal en actueel incidentbestrijdingsplan?
blad 4 van 4
Er is geen incidentenbestrijdingsplan in het kader van beveiligingsincidenten. Wel is er een ICT continuïteitsplan waarin staat beschreven welke dienstverlening na welke tijd weer beschikbaar is.
- Heeft de gemeente periodiek oefeningen om de gemeentelijke weerbaarheid te testen bij cyberincidenten?
Nee, er zijn geen oefeningen die periodiek plaatsvinden.
Vraag 10
Staat het onderwerp Digitale Veiligheid regelmatig op de agenda bij het college van B&W?
Antwoord van het college
Digitale veiligheid komt periodiek terug op de agenda bij het vaststellen van de ENSIAverantwoording en de audits voor DigiD en Suwinet. Hiernaast ad hoc wanneer er zich ontwikkelingen voordoen (denk bijv aan de Log4j of de hack bij de gemeente Hof van Twente).
Vraag 11
Heeft de IBD al ondersteuning moeten leveren bij incidenten binnen onze gemeente?
Antwoord van het college
Nee
Bekijk de brief: 01a. Beantwoording vragen GBW-fractie inzake Digitale Veiligheid.pdf
Bron: raadsinformatie van de gemeente Woudenberg (Open Raadsinformatie). De vragen en antwoorden zijn automatisch uit de brief gelezen; het origineel is leidend.