De bedrijfsvoering van de gemeente Eindhoven kenmerkt zich door tweebenigheid. Enerzijds levert bedrijfsvoering in gelijkwaardig partnerschap ondersteuning aan het primair proces om de opgaven van de stad te realiseren. Anderzijds heeft bedrijfsvoering een verantwoordelijkheid vanuit specialisme en vakmanschap voor de continuïteit en de ontwikkeling van onze organisatie tot een compacte, flexibele, wendbare, effectieve, efficiënte, duurzame en toekomstbestendige organisatie: een moderne overheid die de juiste dingen op het juiste niveau en met de juiste partners weet te doen.

Samen met het primair proces werkten we in 2017 aan de opgaven van de stad en werkten we steeds meer opgavengericht. Daarnaast investeerden we in de ontwikkeling en continuïteit van onze organisatie. Daarbij stond en staat onze organisatie financieel en capacitair onder druk. In 2017 hebben we verbeteringen in gang gezet om onze basis op orde te brengen voor wat betreft financiële beheersbaarheid en robuustheid, rechtmatigheid en doelmatigheid en doeltreffendheid. Zo hebben we verbeterslagen gemaakt in het proces van maandafsluitingen, hebben we stappen gezet om onze inkoop te professionaliseren en hebben we ook geïnvesteerd in informatieveiligheid en privacy. Deze verbeterstappen hebben een meerjarig karakter. In de managementletter heeft de accountant aangegeven dat versnelling noodzakelijk is en verbeterslagen nog onvoldoende zichtbaar (toetsbaar) zijn. Dat is onderkend en op de belangrijkste thema’s worden de stappen/mijlpalen en hun voortgang specifiek gevolgd. Daarnaast is extra capaciteit ingezet voor de verbetering van de bedrijfsvoering in het sociaal domein.

We hebben in 2017 de toetsing van onze gegevensverwerkingen voortgezet en maatregelen genomen om te voldoen aan wettelijke vereisten. Technologie is de motor van veel kansen tot verandering en biedt ons – door slim gebruik van onder meer big data en open data - kansen taken en processen anders, goedkoper, efficiënter en met meer impact uit te voeren en bij te dragen aan een Smart Society.

Deze verantwoording volgt de opzet zoals die in de begroting 2017 is opgenomen, zodat een vergelijk kan worden gemaakt op realisatie van de doelstellingen. Deze opzet gebruiken we inmiddels niet meer omdat deze toch een wat versnipperd beeld geeft. Voor komende jaren zullen we hier focus op de belangrijkste thema’s terug laten komen.

Informatiebeveiliging

Met de VNG resolutie ‘Informatieveiligheid, randvoorwaarde voor de professionele gemeente’ van november 2013 hebben gemeenten afgesproken om de informatiebeveiliging op orde te krijgen en te houden. Een van de afspraken in de resolutie draagt de gemeente op om in het jaarverslag een aparte (sub-)paragraaf over informatiebeveiliging op te nemen in de paragraaf Bedrijfsvoering. Met deze paragraaf verantwoordt het college van burgemeester en wethouders zich aan de gemeenteraad over informatiebeveiliging in brede zin.

Informatiebeleid, doelstellingen en afspraken
De belangrijkste doelstellingen voor de gemeente Eindhoven waren voor 2017:

  • Extra aandacht hebben voor informatiebeveiliging en privacy, enerzijds op basis van de bevindingen van de Rekenkamercommissie in haar onderzoek naar informatiebeveiliging en privacy in het sociaal domein in 2016. Anderzijds omdat digitalisering niet alleen kansen met zich meebrengt, maar grotere afhankelijkheid van digitale systemen en data vraagt ook meer aandacht voor de beveiligings- en privacyaspecten daarvan. Zowel in technische als procesmatige zin en zowel operationeel, tactisch als strategisch. Daarom wilde de Gemeente Eindhoven in 2017 een stevige slag maken om compliant aan de BIG te worden en te anticiperen op de Europese richtlijnen rondom data en privacy die vanaf 2018 in wetgeving verankerd is.
  • Om betrouwbare en continue dienstverlening mogelijk te maken heeft de Gemeente Eindhoven de interne ICT systemen vervangen, deze zijn verdeeld over twee locaties en de data wordt nu deels automatisch weggeschreven op beide locaties, zodat er een verbeterslag heeft plaatsgevonden met betrekking tot de redundantie van het netwerk.
  • Daarnaast heeft de Gemeente Eindhoven de ENSIA-verantwoording voor de eerste maal moeten uitvoeren. ENSIA staat voor Eenduidige Normatiek Single Information Audit. Dit betekent eenmalige informatieverstrekking en eenmalige IT-audit. In 2017 zaten DigiD en SUWInet in de scoop van de IT audit.
  • ENSIA (= Eenduidige Normatiek Single Information Audit) helpt gemeenten in één keer slim verantwoording af te leggen over informatieveiligheid gebaseerd op de BIG (= Baseline Informatiebeveiliging Gemeenten)  met inbegrip van de specifieke normen over informatiebeveiliging in wet- en regelgeving.

Algemeen beeld en resultaten afgelopen periode
 Eind 2017 is een eigen fulltime Chief Information Security Officer (CISO) geworven voor het vormgeven van het informatiebeveiligingsbeleid en het inrichten van een governance structuur op het gebied van informatiebeveiliging. Tot eind 2017 is de functie noodgedwongen op parttime basis vervuld middels inhuur. Er is  met behulp van externe expertise een GAP analyse uitgevoerd op de stand van zaken met betrekking tot de invoering van de Baseline Informatiebeveiliging Gemeenten (BIG) en zijn de nog te nemen beveiligingsmaatregelen cq verbeteringen geprioriteerd, welke in 2018 procesmatig ontworpen en geïmplementeerd worden door de CISO. Daarnaast is er gewerkt aan beveiligingsbewustzijn.

Beheersmaatregelen informatie beveiliging
Een overzicht van de belangrijkste maatregelen die bijdragen aan het realiseren van onze doelstellingen:

  • In 2018 zal de actualisering van het informatiebeveiligingsbeleid worden afgerond welke de basis zal vormen voor de verdere governance van informatiebeveiliging binnen de Gemeente Eindhoven. Naast de technische maatregelen, zoals een vulnerability scanner, security information and event management (SIEM) oplossing, de onder eigen regie uit te voeren penetratietesten, waarmee de eigen systemen worden gecontroleerd op kwetsbaarheden die kunnen worden uitgebuit om zodoende ongeautoriseerde toegang te krijgen.
  • Op velerlei manieren is de bewustwording voor informatiebeveiliging en privacy vergroot. Zowel via onze algemene communicatie via ons intranet (PINO) als via individuele en gezamenlijke sessies. Ook gericht op afzonderlijke doelgroepen. Zo hebben een 80-tal specifiek daarbij betrokken medewerkers in het kader van het project dataclassificatie workshops gevolgd op het gebied van open data, privacy en informatiebeveiliging. Daarnaast is door de Hack-me-please sessies met verschillende partners aan de bewustwording gewerkt. Binnen het sociaal domein is een extra inspanning geleverd op het gebied van bewustwording met workshops (ruim 130 deelnemers), lezingen, communicatie via werkoverleggen, mail en ludieke acties.
  • Met de uitvoering van onze GAP-analyse weten we precies waar we staan met onze informatiebeveiliging, op basis daarvan is een plan van aanpak gemaakt. Dat er nog veel werk is te verzetten met het op orde brengen van de basis is evident. Met het aanstellen van een CISO en het projectmatig opzetten van de uit te voeren werkzaamheden voortvloeiend uit de GAP-analyse zal informatiebeveiliging en ook privacy de komende periode de nodige aandacht krijgen.
  • Het toetsen van de effectiviteit van de maatregelen zal in eerste instantie met de zelfevaluatie van de ENSIA-tool geschieden, uiteraard aangevuld met de audits op het gebied van SUWInet en DigiD. In de loop van 2018 zullen ook andere instrumenten tegen het licht worden gehouden die het niveau van informatiebeveiliging en privacybescherming  binnen de Gemeente Eindhoven naar een hoger niveau moeten tillen.

Incidenten
Het melden van datalekken is per 1 januari 2016 verplicht op grond van de Wet meldplicht datalekken. Sinds 1 juni 2016 is de FG (Functionaris Gegevensbescherming) verantwoordelijk voor het beoordelen of een datalek een datalek persoonsgegevens is en het beoordelen of er wel of niet een melding bij de AP (Autoriteit Persoonsgegevens) gedaan moet worden en of de betrokkene geïnformeerd moet worden.
Bij een datalek gaat het om toegang  tot of vernietiging, wijziging of vrijkomen van persoonsgegevens bij de organisatie zonder dat dit de bedoeling van de gemeente is. Maar niet alleen het vrijkomen (lekken) van persoonsgegevens, ook de onrechtmatige verwerking van persoonsgegevens is een datalek. Om goed te kunnen voldoen aan de meldplicht datalekken is een intern proces vastgelegd dat regelmatig wordt aangepast aan de praktijk.
Er is een mailbox meldpuntdatalekken@eindhoven.nl opengesteld. De FG beheert de mailbox en controleert dagelijks. Na februari 2018 zal opnieuw naar de rolverdeling bij het proces gekeken worden in overleg met de CISO. De FG houdt een intern register voor de datalekken bij en beheert ook de achterliggende dossiers. Indien de AP bij de gemeente een onderzoek doet zijn deze gegevens beschikbaar. In 2017 zijn 297 datalekken gemeld bij de FG. Van deze 297 datalekken zijn er 52 gemeld bij de AP. Van 297 datalekken staan er op dit moment (21 februari 2018) nog 35 op niet afgehandeld.
Voor wat betreft incidenten met betrekking tot informatiebeveiliging wordt er ook een register bijgehouden, daarbij is over 2017 op te maken dat de meeste incidenten zich voordoen met spam/virussen.

Meerjarenperspectief
Na het dichten van de Gaps voortvloeiend uit de GAP-analyse op de BIG, zal er vanuit de CISO een geactualiseerd informatiebeveiligingsbeleid worden uitgerold, waarin verantwoordelijkheden en rollen staan beschreven. Het daadwerkelijk laten landen in de organisatie en het verder vergroten van de bewustwording zal nog de nodige tijd in beslag nemen. Daarnaast zal er een geactualiseerde security en privacy governance structuur binnen de organisatie moeten worden opgezet inclusief PDCA (plan, do, check, act) waarmee de structurele borging in de organisatie wordt gerealiseerd.