Informatiebeveiliging niet op orde bij ministeries

De meeste ministeries geven onvoldoende aandacht aan informatiebeveiliging, constateert de Algemene Rekenkamer in een onderzoek voor 'Verantwoordingsdag'.

Verantwoordelijkheid
De meeste ministeries en hun belangrijkste baten-lastendiensten voldoen niet aan de geldende eisen op het gebied van informatiebeveiliging. Ze scoren slecht omdat vaak niet duidelijk is wie er verantwoordelijk is voor informatiesystemen en -ketens. Ook blijft een periodieke evaluatie van het informatiebeveiligingsbeleid regelmatig achterwege. Het risico dat ze het gewenste beveiligingsniveau niet halen is daardoor aanzienlijk.

Helder
Een aantal ministeries heeft zijn verantwoordelijkheden op dit gebied wel helder. Dat zijn Buitenlandse Zaken (BuZa), Defensie, Financiën (Belastingdienst), Sociale Zaken en Werkgelegenheid (SZW), Veiligheid en Justitie (VenJ) en bij de baten-lastendiensten IVENT (Defensie), DICTU9 (EL&I), Rijkswaterstaat (IenM), Agentschap SZW en het Centraal Justitieel Incasso Bureau (VenJ).

Cirkel
De 'plan-do-check-act'-cirkel waaraan informatiebeveiliging moet worden onderworpen is geen gemeengoed. Alleen BuZa, Defensie en IVENT (Defensie) doorlopen die cirkel helemaal. Over het algemeen is er te weinig inzicht in veiligheidsrisico's en worden er te weining risico-afwegingen gemaakt.

Vertrouwensfuncties
Een afzonderlijk punt waar de Rekenkamer zich zorgen over maakt is de controle van mensen met vertrouwensfuncties. Slechts een deel van de onderzochte ministeries en baten-lastendiensten beschikt over een sluitende administratie van die functies en bij veel ministeries en diensten werken mensen in een vertrouwensfunctie zonder dat zij zijn gescreend. De Rekenkamer noemt in het bijzonder twee ónvolkomenheden': de Belastingdienst heeft een sterk verouderd overzicht van vertrouwensfuncties en de Militaire Inlichtingen- en Veiligheidsdienst (MIVD) heeft grote achterstanden in het uitvoeren van de veiligheidsonderzoeken (herhaalonderzoeken) voor het Ministerie van Defensie.