In veel gemeenten wordt informatiebeveiliging pas zichtbaar zodra er een technische maatregel nodig is. Multifactor-authenticatie, logging, back-ups, patchen, een pentest. Stuk voor stuk nodig, daar niks mis mee. Maar het zorgt er ook voor dat digitale veiligheid al snel iets van ICT lijkt.

En dat is jammer, want de grootste risico’s ontstaan meestal ergens anders. In een bestuurlijke keuze, in de manier waarop een werkproces is ingericht, in een inkooptraject, in gegevens die met een ketenpartner worden gedeeld of in een project dat nu eenmaal live moet. Of in een prioriteit die wel wordt uitgesproken, maar waar vervolgens geen tijd, geld of eigenaar bij hoort.

Download hier een pdf van deze blog

Daardoor zie ik de CISO regelmatig in een lastige positie belanden: aan het trekken aan maatregelen waarover anderen besluiten. De CISO vraagt om betere autorisaties, maar wie welke toegang nodig heeft bepaalt de proceseigenaar. Hij of zij wijst op risico’s bij een leverancier, terwijl inkoop en het projectteam het contract tekenen. En als het gaat over continuïteitsafspraken, is het uiteindelijk het management dat bepaalt welk proces voorrang krijgt bij uitval.

Zolang de lijnorganisatie zich geen eigenaar voelt, blijft informatiebeveiliging steken in adviezen, actielijsten en techniek. Er gebeurt dan van alles, maar de keuzes die er echt toe doen worden ergens anders gemaakt. Meestal zonder dat iemand ze een beveiligingskeuze noemt.

Digitale veiligheid begint bij organisatiesturing

Voor mij gaat informatiebeveiliging uiteindelijk over één vraag: hoe betrouwbaar kan een gemeente haar werk doen? Kunnen inwoners hun zaken regelen, kloppen de gegevens, is gevoelige informatie goed beschermd, gaat de dienstverlening door als er iets misgaat, en weten medewerkers wat ze op zo’n moment moeten doen?

Dat zijn geen technische vragen. Ze gaan over dienstverlening, rechtmatigheid, continuïteit en vertrouwen.

Neem een nieuwe applicatie voor het sociaal domein. ICT kijkt naar de koppelingen, het toegangsbeheer en de technische inrichting. De CISO adviseert over risico’s en maatregelen, de privacy officer kijkt naar de persoonsgegevens. Maar hoe het proces eruit komt te zien, bepaalt de organisatie zelf. Welke medewerkers mogen een dossier inzien? Welke gegevens zijn echt nodig? Welke uitzonderingen komen in de praktijk voor, en wat doe je bij spoed? Wat deel je met externe partijen?

Daar worden beveiligingskeuzes gemaakt, ook al valt het woord beveiliging in dat overleg geen enkele keer.

Waar die keuzes zich verstoppen

Het helpt om concreet te maken waar beveiliging in gewoon gemeentelijk werk zit.

Inkoop. Waar staat de data? Wie heeft beheerrechten? Hoe snel reageert de leverancier bij een incident, en meldt hij kwetsbaarheden ook uit zichzelf? En wat gebeurt er als hij wordt overgenomen of stopt met de dienst?

Procesinrichting. Mag een medewerker alle dossiers zien, of alleen die van het eigen team? Is functiescheiding nodig? En wie controleert of tijdelijke rechten daadwerkelijk weer worden ingetrokken — want daar gaat het in de praktijk het vaakst mis.

Gegevensdeling. Welke gegevens gaan er naar een samenwerkingspartner, en is dat structureel of eenmalig? Hoe weet je of die gegevens nog kloppen? En wie informeert de inwoner erover?

Verandertrajecten. Een project wil live, de planning staat onder druk en een maatregel schuift door naar “fase 2”. Soms kan dat prima. Soms accepteer je er stilzwijgend een risico mee dat eigenlijk te groot is, en heeft niemand dat ergens als besluit vastgelegd.

Continuïteit. Wat herstel je als eerste bij een grote storing? Burgerzaken, jeugdzorg, betalingen, openbare orde en veiligheid? ICT krijgt de systemen uiteindelijk wel weer aan de praat, maar de volgorde is een keuze van de organisatie.

Wie doet wat?

Een heldere rolverdeling voorkomt dat alles op het bordje van de CISO belandt.

• Het bestuur bepaalt de risicobereidheid. Welke risico’s vindt de gemeente acceptabel? Welke dienstverlening moet hoe dan ook doorgaan? Waar is extra investering nodig?
• Het management stuurt op prioriteit, capaciteit en opvolging. Blijven maatregelen liggen omdat teams er geen tijd voor hebben, dan is dat geen securityprobleem maar een managementvraagstuk.
• Proceseigenaren zijn verantwoordelijk voor hun eigen proces. Zij weten welke informatie nodig is, waar de uitzonderingen zitten en welke maatregelen werkbaar zijn. Ze hoeven geen securityspecialist te worden, maar moeten wel een risico kunnen wegen vanuit hun proces.
• De CISO adviseert, verbindt en houdt het overzicht, en vertaalt technische risico’s naar gevolgen voor dienstverlening, bestuur en organisatie.
• De FG en privacy officer kijken naar de bescherming van persoonsgegevens, de rechten van inwoners, DPIA’s en zorgvuldige verwerking. De FG heeft daarbij een onafhankelijke advies- en toezichtrol.
• ICT zorgt voor de technische inrichting, het beheer, de monitoring en het herstel. ICT kan veel oplossen, maar kan niet namens de organisatie bepalen welk risico acceptabel is.

Informatiebeveiliging wordt volgens mij pas volwassen als deze rollen elkaar aanvullen, in plaats van dat één rol alles probeert af te dekken.

Van technisch risico naar bestuurlijke vraag

Het grootste verschil dat je als CISO kunt maken, zit wat mij betreft in de vertaling. Een technische bevinding landt zelden in een MT. Dezelfde bevinding als vraag over dienstverlening wel.

• “Logging ontbreekt” klinkt technisch. De vraag eronder is: kunnen we achteraf vaststellen wie gevoelige dossiers heeft ingezien?
• “Back-ups zijn niet getest” klinkt operationeel. De vraag eronder is: weten we zeker dat kritieke dienstverlening binnen de afgesproken tijd terug is?
• “Patches lopen achter” klinkt als ICT-beheer. De vraag eronder is: accepteren we dat bekende kwetsbaarheden langer openstaan op systemen waar onze dienstverlening op draait?
• “Er is geen MFA” klinkt als een maatregel. De vraag eronder is: vinden we het acceptabel dat één gestolen wachtwoord toegang geeft tot gemeentelijke gegevens?
• “De leverancier heeft geen exit-afspraken” klinkt contractueel. De vraag eronder is: kunnen we straks nog bij onze eigen gegevens als de samenwerking stopt?

Zodra je het zo formuleert, verandert het gesprek. Met een openstaande maatregel kan een bestuurder weinig. Met de vraag of hij de gevolgen accepteert des te meer.

Praktisch aan de slag

1. Begin klein. Kies één proces waar veel gegevens, afhankelijkheden en bestuurlijke gevoeligheid samenkomen. Jeugdzorg, vergunningverlening, burgerzaken of belastingen bijvoorbeeld.
2. Ga zitten met de proceseigenaar. Breng samen in kaart welke informatie nodig is, welke applicaties en leveranciers erbij horen en wat er gebeurt bij uitval, fouten of onbevoegde toegang. Vertaal de belangrijkste technische bevindingen daarna naar proces- en bestuurlijke vragen.
3. Leg vast wie besluit. Wie is eigenaar van de maatregel, wie accepteert een restrisico en wanneer komt het onderwerp terug? Zonder eigenaar wordt een risico vanzelf weer een openstaande actie van de CISO.
4. Haak aan bij bestaande momenten. Projectstart, inkoop, managementrapportage, procesreview, evaluatie na een incident, nieuwe gegevensdeling. Hoe eerder je aan tafel zit, hoe minder je achteraf hoeft te corrigeren.

Tot slot

Informatiebeveiliging wordt zichtbaar via techniek, maar wordt voor een groot deel bepaald door keuzes in de organisatie. Wie krijgt toegang, welke leverancier kiezen we, welke gegevens delen we, welke processen moeten doorgaan bij uitval en welke risico’s accepteren we tijdelijk? Die keuzes kan de CISO niet alleen maken. Bestuur, management, proceseigenaren, privacy, juridische zaken en ICT hebben er allemaal een rol in.

Mijn tip: pak één technisch risico van je actielijst en vertaal het naar een bestuurlijke vraag. Kijk daarna wie daarover moet besluiten — en of die persoon al aan tafel zit.

Meer informatie of hulp nodig?

Wil je binnen jouw gemeente informatiebeveiliging beter verbinden aan organisatiesturing, procesverantwoordelijkheid en bestuurlijke keuzes? IB&P helpt bij het voeren van risicogesprekken, het inrichten van de rolverdeling en het vertalen van technische bevindingen naar besluiten. Neem gerust contact met ons op om te bespreken wat we voor jouw gemeente kunnen betekenen.

Bij het schrijven van onze blogs wordt AI gebruikt als hulpmiddel om de tekst scherper, duidelijker en leesbaarder te maken. De gedachten, ervaringen, argumenten en visie in deze blogs zijn echter van de auteurs. AI helpt bij de redactie, niet bij het bepalen van wat de auteurs vinden of willen vertellen.