Vlaamse Toezichtcommissie voor het elektronische bestuurlijke gegevensverkeer SHOPT-IT Informatieveiligheid omdat het moet!

Transcriptie

1 voor het elektronische bestuurlijke gegevensverkeer SHOPT-IT 2013 Informatieveiligheid omdat het moet! Caroline Vernaillen 25 april 2013

2 Wie zijn wij o adviseurs van de VTC o De voor het elektronische bestuurlijke gegevensverkeer WIE Opgericht bij E-GOV decreet Verantwoording aan Vlaams Parlement Controleren van stromen van persoonsgegevens die uitgaan van een Vlaamse instantie Hoe:1 machtigen van die stromen 2 adviezen (regelgeving, VDI-decreet) 3 beantwoorden van vragen en begeleiding 2

3 Volgen van reglementen en procedures Voor Vlaamse instanties gelden de privacywet het e-govdecreet Risicobeheersing - informatieveiligheid sensu stricto Voorwaarden in machtigingen 3

4 Volgen van reglementen en procedures owaarom? Garanties bieden aan burgers voor veilige verwerking van persoonsgegevens door de Vlaamse instanties 2 ledig - evenwicht: o efficiënte en effectieve dienstverlening garanderen; o bescherming persoonlijke levenssfeer. 4

5 ode privacywet: wet van 8 december 1992 tot bescherming van de persoonlijke levenssfeer ten opzichte van de verwerking van persoonsgegevens (WVP) 5

6 Definitie van persoonsgegeven: iedere informatie betreffende een geïdentificeerde of identificeerbare natuurlijke persoon = zeer ruim = niet beperkt tot privacy/persoonlijke levenssfeer 6

7 Definitie van verantwoordelijke voor de verwerking Niet de IT-dienst Niet de personeelsleden WEL het management het hoofd van de entiteit = verantwoordelijk voor de naleving van de privacywet 7

8 HOE De principes van de privacywet naleven: Finaliteit Proportionaliteit Transparantie Veiligheid 8

9 ohet e-govdecreet: Decreet van 18 juli 2008 betreffende het elektronische bestuurlijke gegevensverkeer 9

10 Artikel 6: verplichtingen Vlaamse Bestuursinstanties 1. De instanties zijn in ieder geval verplicht : 1 persoonsgegevens te verwerken overeenkomstig de privacywet; 2 bij iedere nieuwe toepassing van het elektronische bestuurlijke gegevensverkeer vooraf adequate technische en organisatorische maatregelen in te bouwen voor de naleving van de privacywet; 3 op elk moment te waken over de kwaliteit en de veiligheid van gegevens en alle maatregelen te treffen om een perfecte bewaring van persoonsgegevens te garanderen; 4 de toezichtcommissie te ondersteunen bij de vervulling van haar opdrachten; 5 de toezichtcommissie informatie te verstrekken en inzage in alle dossiers en informatieverwerkende systemen te verschaffen telkens als ze daarom vraagt. 10

11 Artikel 8: machtigingsverplichting De elektronische mededeling van persoonsgegevens door een instantie vereist een machtiging van de Toezichtcommissie[...] 11

12 Artikel 9: Veiligheidsconsulent Iedere instantie die een authentieke gegevensbron beheert die persoonsgegevens bevat, iedere instantie die elektronische persoonsgegevens ontvangt of uitwisselt, en iedere entiteit die overeenkomstig artikel 4, 3, aangewezen is en persoonsgegevens verwerkt, wijst een veiligheidsconsulent aan. De Vlaamse Regering bepaalt de opdrachten en de manier van aanwijzing van die veiligheidsconsulenten. 12

13 Artikel 9: Veiligheidsconsulent o advies en aanbevelingen omtrent de uitvoering van het veiligheidsbeleid; o onder rechtstreeks gezag van verantwoordelijke voor dagelijks bestuur; o kennis over informatieveiligheid en informaticaomgeving van de instantie; o voldoende tijdsbesteding; o geen onverenigbaarheid ulent.doc 13

14 o Sancties: niet naleven privacywet is strafbaar verwerking/gegevensstroom kan worden stopgezet tuchtsancties/ontslag o Schadeclaims o Vertrouwen in de overheid krijgt een deuk 14

15 Informatieveiligheid - risicobeheersing Informatieveiligheid ook informatie op papier betreft niet alleen persoonsgegevens maar ook o andere vertrouwelijke informatie o de beschikbaarheid en betrouwbaarheid van de informatie voor beleid, voor dossierverwerking, 15

16 HOE Belangrijkste instrumenten: informatieveiligheidsconsulent informatieveiligheidsplan 16

17 Informatieveiligheidsplan - ISO norm als inspiratie (cf. IT-dienst) - Richtsnoeren privacycommissie n_informatiebeveiliging_0.pdf - Richtsnoeren voor steden en gemeenten 17

18 Informatieveiligheidsplan! risico-analyse! awareness! voldoende middelen! stappenplan! contract met de verwerker (dataleverancier, (onder)aannemer) 18

19 Informatieveiligheidsplan Hoofdstukken: 1. Risico 2. Beleid 3. Organisatie: intern + externe partijen 4. Bedrijfsmiddelen: classificatie informatie! 5. Personeel 6. Fysieke omgeving 7. Communicatie en operationele procedures 8. Toegang tot persoonsgegevens 9. Aanschaffen, ontwikkelen en onderhouden informatiesystemen 10. Informatiebeveiligingsincidenten 11. Bedrijfscontinuïteit 12. Naleving 19

20 Voorwaarden in machtigingen oveiligheidsconsulent oveiligheidsplan mobile mapping AGIV: machtiging treedt pas in werking voor lokale besturen die voldoen aan voorwaarden 20

21 Linken o o Vragen? toezichtcommissie{at}vlaanderen{dot}be 21

22 Tool V-ICT-OR 22

23 Bevragingstool: Wat? 1. Richtsnoeren verwerkt in on-line vragenlijst 2. Met maturiteit & risico indicatie 3. Aangevuld met levend handboek 4. Aanbod van begeleiding bij invullen

24

25 Maturiteit en Risico Indicatie van Maturiteit o Van 1 (we voldoen absoluut niet) tot 5 (we zijn een rolmodel) o COBIT idee Indicatie van Risico o Weging van het belang van een norm voor en bestuur (vb Waterovelast) Indicatie van Impact o Weging van de impact voor het bestuur in kwestie Indicatie van Controle o Weging van de inschatting van de mate van controle

26 Toelichting per vraag Levend handboek o Bijlage per vraag met verklaring op maat van Management (secretaris, MT, ) IT beheerder IT specialist Security specialist o Inhoud door werkgroep security & community o Wiki stijl: Verwijzing naar wetgeving en interpretaties Hulp bij implementatie.

27 Voordelen van begeleiding bij invullen Objectieve begeleiding bij het invullen Genereren van gestandaardiseerd rapport Mogelijkheid tot rapportering aan college en raad => Vergelijkbaarheid resultaten => Statistisch terugkoppeling naar centrale overheid

28 Resultaten blijven zichtbaar voor bestuur Mogelijkheid om projectmatig te verbeteren o Verder uitwerken van bepaalde topics o Input voor informatieveiligheidsplan o Vergroten van awareness rond informatierisico s