Informatie is essentieel voor het functioneren van een provincie. Het is belangrijk dat de provincie die informatie goed beschermt tegen bijvoorbeeld cybercriminelen. Incidenten kunnen grote gevolgen hebben bijvoorbeeld wanneer informatie van burgers of bedrijven ‘op straat’ komt te liggen. De Rekenkamer Oost-Nederland onderzocht of provincies Gelderland en Overijssel hun informatie voldoende beschermen. Zij concludeert in haar rapport ‘In veilige handen?’ dat de provincies effectieve maatregelen nemen om informatie te beveiligen. Tegelijk zijn er verbeteringen mogelijk om ervoor te zorgen dat dit ook in de toekomst zo blijft.
Effectieve maatregelen, aandacht voor bewustwording blijft nodig
Uit praktijktesten van computersystemen en -netwerken blijkt dat de provincies Gelderland en Overijssel meerdere effectieve beschermingsmaatregelen nemen om hun informatie te beschermen. Het is binnen redelijke termijn niet gelukt om door te dringen tot cruciale systemen. De provincies besteden bovendien op verschillende manieren aandacht aan het vergroten van de bewustwording rondom informatieveiligheid bij hun medewerkers. De praktijktesten onderstrepen dat aandacht voor bewustwording nodig blijft.
Beleid en praktijk sluiten niet aan
Tegelijkertijd constateert de Rekenkamer dat het beleid en de praktijk op meerdere - soms cruciale - punten niet op elkaar aansluiten. Zo zijn belangrijke controles niet (goed) uitgevoerd terwijl dit wel in het beleid staat. Ook is het beleid op onderdelen niet actueel. Dit brengt onnodige risico’s voor de informatieveiligheid met zich mee. Daarom beveelt de Rekenkamer aan meer aandacht te besteden aan het borgen van het beleid zodat de uitvoering in lijn met het beleid is en het beleid actueel en volledig blijft.
Beheersing informatieveiligheid voldoet nog niet
Voor een goede beheersing van de informatieveiligheid is het belangrijk dat de provincie beveiligingsmaatregelen monitort en dat de directie en het bestuur zich er periodiek van verzekeren dat de informatieveiligheid op orde is. De Rekenkamer constateert dat de monitoring op onderdelen nog beperkt is en dat directie en bestuur vooral betrokken worden bij incidenten. Gezien de grote impact die incidenten zoals hacks kunnen hebben, beveelt de Rekenkamer aan de monitoring van en verantwoording over informatieveiligheid te verbeteren.
Dit artikel is ook te vinden in het dossier Informatiebeveiliging
