AB-commissie informatieveiligheid

De plv. CIO stelt stelt zich voor.

Naar aanleiding daarvan vraagt de commissie om een overzicht van functies binnen het domein informatieveiligheids. Dit wordt opgesteld en toegevoegd aan het overdrachtsdossier.

De plv. CIO doet een mededeling over een recent voorkomen beveiligingsincident. Vechtstromen heeft tijdig maatregelen getroffen. Daarnaast heeft uitvoerig onderzoek uitgewezen dat er geen ongeoorloofde incidenten hebben plaatsgevonden. De commissie vraagt om hier aandacht aan te besteden in het standaard weekbericht aan het AB. De portefeuillehouder stemt dit af met de SD.

De commissie wordt bijgepraat over het doel en de opzet van de STROOMdag op 9 december.

De commissie stemt in met de datum voor de eindevaluatie en geeft aanvullende vragen voor de evaluatie mee.

Overzicht van evaluatievragen voor 27 januari:

• Welke belangrijkste resultaten heeft de commissie bereikt?
• Heeft de commissie haar taak en doelstelling naar behoren kunnen vervullen?
• Hoe heeft de commissie haar rol als toezichthouder, klankbord en gesprekspartner ingevuld?
• Welke thema's verdienen ook in de volgende bestuursperiode bestuurlijke aandacht, of vragen om extra alertheid?
• Welke ervaringen zouden wij de nieuwe commissie willen meegeven?
• Waar liggen kansen voor verdere professionalisering?
• Hoe wil de commissie omgaan met geheimhouding, vertrouwelijkheid en openbaarheid?
• Hoe hebben het DB en de portefeuillehouder de rol en meerwaarde van de commissie ervaren?
• Hoe heeft de ambtelijke organisatie de rol en meerwaarde van de commissie ervaren?
• Hoe kijkt de commissie terug op haar samenstelling en aanwezige expertise?
• In hoeverre sloot de vergaderfrequentie aan bij de opgaven en het doel van de commissie?
• Welke behoefte heeft de commissie aan informatie over incidenten en dreigingen richting het AB?

De commissie constateert alvast dat de huidige vergadercyclus niet past bij het ritme van de kwartaalrapportages en/of investeringsaanvragen en vraagt de ambtelijke organisatie om een voorstel.

De commissie is van mening dat het thema weerbaarheid zoveel mogelijk in de openbaarheid moet worden besproken. Onderwerpen die vanwege incidenten, dreigingen of specifieke maatregelen niet openbaar kunnen worden behandeld, worden geagendeerd voor de commissie Informatieveiligheid. Dit kan zowel informatieveiligheid als fysieke veiligheid betreffen.
Het is aan de ambtelijke organisatie om aan te geven welke onderwerpen hiervoor in aanmerking komen.

De commissie bespreekt de AB-brief en kwartaalrapportage en stelt een aantal vragen:

• wanneer de rapportage van de pilot audit wordt verwacht;
• een nadere toelichting op de in de brief genoemde organisatieontwikkelingen;
• incidenten: ook een reeks aan kleine incidenten kunnen grote gevolgen hebben. Graag aandacht besteden in de brief hoe hierop wordt geacteerd;
• er bestaat onduidelijkheid over wie uiteindelijk bepaalt of een risico wordt geaccepteerd: de organisatie/ DB of het AB. Benadrukt wordt dat het AB het gewenste volwassenheidsniveau en de randvoorwaarden heeft bepaald. De organisatie handelt vervolgens binnen dit kader. De commissie verzoekt deze context explicieter in de brief op te nemen.

Over de rapportage als geheel spreekt de commissie haar zorg uit over de hoeveelheid onderdelen die als rood zijn aangemerkt als gevolg van personele tekorten. De commissie informeert naar de gevolgen als de bezetting het komende kwartaal niet is opgelost. Daarbij wordt gevraagd of de afgesproken doelstellingen nog binnen de gestelde termijnen haalbaar zijn en of risico's toenemen. Aangegeven wordt dat de bestaande risico's niet zijn toegenomen, maar dat de verdere groei naar een hoger volwassenheidsniveau vertraging oploopt. De commissie vraagt dit onderscheid duidelijk op te nemen in de brief. De commissie vraagt tot slot om direct geïnformeerd te worden wanneer risico's wel toenemen.