De gemeente Haarlem heeft de eigen informatiebeveiliging nog niet volledig op orde. Met name als het gaat om gebruikersrechten en gebruikersrollen moeten er nog stappen worden gezet. Ook ontbreken vastgelegde kaders, processen en procedures voor het omgaan met it en is er geen vastgesteld protocol voor cyberincidenten. Dat blijkt uit onderzoek dat accountantskantoor Deloitte uitvoerde (pdf).

Volgens Deloitte heeft de gemeente dit jaar verschillende acties uitgevoerd om de betrouwbaarheid en continuïteit van systemen te versterken, zoals het opnemen van prioriteiten van toegangsrechten, toegang van beheerders en het versterken van beheersprocessen. "Wij merken op dat ten tijde van de interimcontrole niet alle bevindingen, met name op gebruikersrechten en gebruikersrollen, zijn opgepakt. De bestaande systemen waar onze it-bevindingen op toezien bieden onvoldoende functionaliteit om deze op te lossen", aldus Deloitte.

Het accountantskantoor stelt vast dat de gemeente Haarlem nog geen it-strategie en visie heeft vastgelegd omtrent de inzet, risico's en beheersing van it. "Wel wordt momenteel een it-visie uitgewerkt. Uit onze interviews blijkt dat het college het belang rondom it-risico's en beheersing beperkt uit. Op basis van de bestaande it-governance structuur stellen wij vast dat het college niet periodiek geïnformeerd wordt over de stand van zaken rondom it-gebruik, de (overige) risico's en beheersing daarvan", zo staat in de managementsamenvatting van Deloitte.

De gemeente laat wel jaarlijks penetratietesten uitvoeren, waaruit kwetsbaarheden naar voren zijn gekomen. "Wij adviseren toe te zien op de opvolging van de bevindingen", zo luidt het advies van het accountantskantoor. Dat raadt de gemeente verder aan om een ‘open meldcultuur’ te stimuleren en periodiek te communiceren over de kernpunten van het informatiebeveiligingsplan en privacybeleid.