Het ministerie van Justitie en Veiligheid (J&V) verwacht jaarlijks EUR 500.000 extra nodig te hebben om zijn informatiebeveiliging op orde te krijgen. Dat stelt minister Ferd Grapperhaus in een brief aan de Tweede Kamer en een bijlage met details over het plan van aanpak. Met name gevaren voor privacy van burgers moeten aangepakt worden.
Grapperhaus regeert op tekortkomingen in de informatiebeveiliging die de Algemene Rekenkamer (ARK) eerder dit jaar constateerde in het rapport Verantwoordingsonderzoek 2017. Met name op het gebied van risico- en incidentmanagement waren al wel doorgevoerde verbeteringen nog onvoldoende gevorderd om de onvolkomenheid voor informatiebeveiliging op te heffen, aldus de ARK.
Eerder deze maand gaf minister Kasja Ollongren (Binnenlandse Zaken, Koninkrijksrelaties) al aan dat zij streeft naar meer samenwerking tussen ministeries om te werken aan betere informatiebeveiliging. Ook hiervoor is een plan van aanpak opgesteld.
Nog geen digitale volwassenheid
Volgens de Rekenkamer was er nog geen sprake van volwassenheid van de centrale sturing en beheersing van informatiebeveiliging: een score van 2.9 op een totaal van 5. Volgens Grapperhaus van JenV heeft zijn ministerie de ambitie om in 2021 te groeien naar een gemiddeld volwassenheidniveau van 4.2. ‘Dat zal een behoorlijke inspanning vergen’, aldus de minister in de kamerbrief, met name op het voornoemde gebied van risico- en incidentmanagement.
Speerpunten voor de komende jaren zijn:
- Het verbeteren van de governance ten aanzien van de informatiebeveiliging.
- Het versterken van risicomanagement.
- Het verbeteren van incidentmanagement.
Mix preventie en repressie
Het plan van aanpak van het ministerie is een mix van preventieve en repressieve maatregelen. Preventieve maatregelen betreffen onder meer het continu bewust maken van medewerkers hoe om te gaan met waardevolle informatie. Het gaat daarbij om data waarvan de minister vindt dat die op het hoogste niveau van weerbaarheid moet zijn georganiseerd, ‘om het hoofd te bieden aan dreiging van corruptie, verlies of diefstal door onder andere criminelen en statelijke actoren.’
De factor mens is belangrijk, zo schrijft Grapperhaus, aangezien bijna driekwart van de beveiligingsincidenten wordt veroorzaakt door onbewust handelen. De repressieve maatregelen zijn onder meer gericht op het verkorten van hersteltijd bij incidenten. Dit om schade zo veel mogelijk te beperken.
Om de ambities uit het plan van aanpak door te voeren, zijn tussen 2 en 5 fte nodig, waaronder een ‘vliegende brigade’. Een exacte financiële impact is niet te bepalen, maar een eerste inschatting is dat voor het uitvoeren van de activiteiten en de benodigde centrale coördinatie en monitoring ervan een half miljoen euro per jaar aan projectbudget vergen. Waar nodig zullen decentraal en centraal aanvullende middelen beschikbaar worden gesteld.
