Welkom bij de BIO Bazen. Speciale afleveringen van de qeep talking podcast die helemaal gewijd zijn aan de baseline informatiebeveiliging overheid.
Kees:En dat kan Renco helemaal niet alleen. Er zijn namelijk 2 BIO Bazen die organisaties verder willen helpen. Door normen en standaarden langs de praktijk te leggen. Mijn naam is Kees Hintzbergen. Ik werk al ruim 13 jaar aan security baselines voor overheidsorganisaties.
Kees:Dat maakt mij een BIO baas, vind ik.
Renco:Ja, ik ben dus Renco Schoemaker, ongeveer even lang actief als zelfstandig adviseur informatiebeveiliging en privacy, vooral bij de overheid. Ik schreef er misschien wel niet aan mee, maar ik heb wel heel wat uren gestoken in de implementatie. Dat maakt ook mij een bio base.
Kees:Een mooie mix tussen inhoudelijke kennis en doorleefde werkervaring. En er wordt ook gelachen.
Renco:Veel plezier met deze nieuwe aflevering van de BIO Bazen.
Kees:Iemand moet het uitleggen toch?
Renco:Ja. Ja Kees, goedemorgen. Goedemorgen.
Kees:Zijn we weer.
Renco:Ja, ja, de voorkeur schrok je nogal van de frequentie van 2 wekelijks. En ben je de sik weer een beetje te boven?
Kees:Nou ja, weet je, ik had van de week had ik bij 1 van mijn klanten zeg maar die hadden een 1 keek week of een keek op de week. Dacht ik van ja misschien is het ook gewoon heel erg leuk om gewoon even de week te evalueren om te zeg maar wat je zo tegenkomt, wat je wat er zo voorbij komt in zo'n week. En ja dat moeten we iedere week doen. Maar dat zou natuurlijk ook gewoon een 2 week keek worden of zo. Maar ja, en en dan zit ik me tegelijkertijd af te vragen, zit iemand daar wel op te wachten?
Renco:Natuurlijk hartstikke leuk, gezellig. En jij was degene die in de afgelopen week alleen al 2 onderwerpen nog weer naar mij stuurde om over te over op te nemen. Dus wat dat betreft komen we volgens mij aan gespreksonderwerpen, hebben we geen tekort.
Kees:Nee ik verwonder me. Hè er is natuurlijk de afgelopen week is er een hele bijzondere persoon overleden. En die verwonderde zich altijd, ik verwonder mij ook heel vaak. En moet ik, met die persoon ook? Ja, heb je dat even gemist?
Renco:Ik denk het. Nou en we
Kees:hebben we hebben in Nederland een dame die echt heel erg goed is met Nederlandse taal. Zij verwonderde zich. Ja.
Renco:Ja, sorry die link had ik niet Dat heb ik wel
Kees:Nee, zij is van de taal. En als je in de bio schrijft, ben je ook met taal bezig. Je bent voortdurend met taal bezig. En je wilt dingen bereiken en dingen bedoelen en dan en dan is het heel erg moeilijk soms om dan de juiste woorden te kiezen of te vinden.
Renco:Ja. Ik ben nu geabonneerd op de BIO 2 GitHub. Dus op de RSS feed heb ik mij geabonneerd en dan zie je dus alle... Als je het over taal hebt, zie ik dus al die wijzigingen voorbij komen. En die zijn natuurlijk, die zijn heel veel taalkundig van aard, hè.
Renco:Dus net even dingen anders verwoorden, net duidelijker. Of iets genuanceerder, of juist niet. Dus er zitten niet hele wezenlijke tot nu toe dan voor mij, niet hele wezenlijke wijzigingen in van nou er komen maatregelen bij op af. Maar het is echt de expliciete formulering die wordt steeds aangescherpt.
Kees:Exact. Dus is en nou ja, dus dit wat wat dat betreft is dit een bijzondere week. Want Paulien was ook heel erg met taal bezig. Was Paulien? Nou ja.
Kees:Ja. En dat is met bio schrijven net zo. Je bent dus gewoon echt met taal bezig. Je je zoekt gewoon, Het is soms heel moeilijk om de juiste dingen te zeggen of ook op de juiste dingen te lezen. In binnen de context.
Kees:Ja.
Renco:Ja en ook over ervoor te zorgen dat hoe je het bedoelt dat kans dat iemand het anders het ook zo interpreteert ook zo groot mogelijk wordt, hè. Dus je kunt het heel bedoelen op een bepaalde manier. Maar ik lees dit vanuit mijn context vanuit... En ik interpreteer het op een bepaalde manier. En het is wel aardig als iedereen die maatregelen zo eenduidig mogelijk interpreteert.
Renco:Maar ja, dat is toch niet... Dat lijkt me nog niet eenvoudig als zeg maar als schrijver van BIO. Ja.
Kees:Dat klopt. Dat is ook heel moeilijk. Vorige
Renco:keer toen we waren we klaar met opnemen. En toen zei je, Renco, je moet wat minder gel in je haar doen. Want het wordt een beetje dun. Ja. Ja, ik dacht dit moet even on-air herhaald worden.
Renco:Ik denk dat laat ik maar degene zijn. Dus ik heb toch... Ik ben in intussen ook naar de kapper geweest. Maar ik dacht, is dit zo iets beter? Of of kijk ja, je kijkt er nog wel aardig op, hè.
Kees:Nee, de kapper heeft er gewoon te ver uitgedund. Weer opnieuw. Werd dicht gewoon aan de kapper.
Renco:Ja, of aan de uitdunnende bos haar die gewoon reëel is. Ja. Ja, nou ja. Ik doe dus wel mijn best om nog een beetje toonbaar te zijn. En jij hebt net dat om het dan even over jou te hebben.
Renco:Jij zei net voor het opnemen dat je allerlei voornemens had van je baard nog trimmen voor de opname, maar dat dat eigenlijk allemaal er niet van kwam.
Kees:Nee, want ik begon alweer de bij 1 van mijn klanten hebben we iedere dag vanaf 9 uur een 1 soort van sprint dingetje. En dat duurt dan een kwartier, want dat was vandaag een half uur. En ja, toen dat onze afspraak was er alweer. Dus toen dacht ik van nou en nu nog even koffie en dan nog even maar dat ja.
Renco:Maar zoals je zelf mooi zei Kees, nu zien we jou gewoon zo uit het leven. Niet niet gepolijst, maar gewoon Kees zo uit het leven. Dat ik houd ervan. Ja, zeker. Oké.
Renco:Hé waar gaan we het over hebben Kees?
Kees:Nou ik heb me deze week verwonderd. En waar ik mij over verwonderde was een discussie op LinkedIn. En deze discussie die is echt echt al veel vaker gevoerd. Of ja, niet misschien niet als discussie maar de aanvaard is natuurlijk. We bedoelden ooit met de Bio 1 en dat is met de Bio 2 niet anders.
Kees:En sowieso met baselines. Als we allemaal dezelfde baseline implementeren, dan kunnen we dus eigenlijk impliciet kunnen we zouden we elkaar moeten kunnen vertrouwen. Als jij weet dat ik hetzelfde doe als jij, dan hebben we in ieder geval een 1 vergelijkbaar beveiligingsniveau. In ieder geval doen we een aantal dingen op dezelfde manier.
Renco:Dat is toch ook een belangrijk... Maar dat is ook een heel belangrijk uitgangspunt van die hele basission. Zeker. Dat in die ketensamenwerking we dat niveau op dezelfde, op hetzelfde of de lat op hetzelfde niveau leggen. Zodat we ook ja onbezorgd om het maar zo te zeggen met elkaar kunnen uitwisselen en kunnen samenwerken.
Kees:Ja nee maar het op zich is een baseline aanpak ook een perfecte aanpak. Want als je echt een groot bedrijf bent of een multinational wereldwijd met heel veel vestigingen. Dan dan wil je gewoon een bepaald beleid uitrollen binnen je toko en ja dat doe je dan dus onder andere met baseline . En niet alleen op het gebied van informatiebeveiliging, maar gewoon standaarden. Hoe je dingen doet, hoe je dingen verwerkt, hoe je dingen maakt, hoe je nou ja, dus het is gewoon dat is gewoon handig, want dan hoeft namelijk iemand anders daar niet meer over na te denken.
Kees:En Ja. Gewoon elkaar. Precies en als je vanuit de ISO kijkt dan is het normaal gesproken ook zo dat je doet als je nog niks hebt en je wilt de ISO certificering. Aan de ene kant moet je, er staat in ISO overigens altijd alleen maar met 1 en er staat in de wet ook dus in de CBW, u moet een risicoanalyse uitvoeren. Maar er staat nergens over wat, of hoe vaak, of hoeveel.
Renco:Ja. En En dan gaat het fractie.
Kees:Ja precies.
Renco:Strategisch, operationeel. Ja dan heb je ook
Kees:nog de CBW die gaat over dienstverlening. Dus het gaat over jouw de externe presentatie van de dingen die je intern doet zeg maar. En vanuit IB en privacy kijken we altijd naar processen. En dan hebben we ook nog applicaties of applicatie of IT-systemen hè laten we het even wat ruimer pakken. En die kunnen 1 of meer processen ondersteunen.
Kees:Soms doet ene
Renco:Even wat
Kees:zeg je?
Renco:Even, dan moet je volgens mij... De BIO spreekt dan over informatiesystemen en niet over IT-systemen.
Kees:Nee, dus je hebt gelijk. Ik werk ben nog van oude stempel.
Renco:Dus dat zijn best wel wat verschillende grootheden op verschillende abstractie niveaus die allemaal... Waar in zekere zin analyses, al is het maar een BIV-classificatie. Je moet natuurlijk weten wat de betrouwbaarheidseisen zijn van een proces. Zodat je het systeem overeenkomstig kunt beveiligen. En dat kan je dan gewoon huppatee lekker via die baseline doen.
Renco:Hoef je niet al te veel denkwerk over te verzetten.
Kees:Nou ja, in ieder geval als je een toets ontwikkelt om te beoordelen of iets binnen voldoet aan de baseline of binnen de baseline zou kunnen vallen. Dan is de baseline in principe voldoende. Dat is ook de gedachte achter de bio. Daarvoor heb je een baseline toets nodig. Nou die die die is er ook al, alleen nog niet gepubliceerd.
Kees:En maar zo zou je inderdaad meerdere baselines kunnen hebben, maar ook meerdere checks of iets wel of niet binnen die baseline valt. Want dat je hebt natuurlijk kunt natuurlijk altijd iets hebben dat er gewoon niet in valt en dan moet je wat extra's doen. Maar de Ja. Maar het is wel de ondergrens. Het is altijd minimaal de baseline.
Renco:Maar wat ik wel eens tegenkom Kees, is dat er dan een... 1 quickscan wordt uitgevoerd, hè. Of een biv-classificatie. Die dingen gaan door onder verschillende namen door het leven. En dat wordt dan gezien als de 1e stap, hè.
Renco:We doen een quicks can en dan de 2e stap is een risicoanalyse. En dan denk ik altijd dat is heel raar. Want die quickscan die zou als uitkomsten moeten geven of jij überhaupt die risicoanalyse moet doen. Het antwoord zal denk ik heel vaak nee zijn. De baseline is gewoon voldoende.
Renco:En toch zit dat soms in het proces gewoon achter elkaar geplakt van hup, quickscan klaar. Hè door naar de volgende ronde, de risicoanalyse. En dan denk ik nou zonde van de tijd in heel veel gevallen.
Kees:Nou dat is ook de reden waarom de IBD en je weet dat ik heb heel lang rondgelopen bij de IBD. En niet alleen rondgelopen . Ik heb heel veel dingen daar gedaan en met heel veel plezier. Nog Sommige mensen. En ik heb nog steeds een zwak voor de IBD.
Kees:Vind het nog steeds een geweldig mooie toko. Maar goed het dat was eens.
Renco:En jouw kopie loopt daar ook nog rond hè? Dus mensen zouden ook nog kunnen denken dat jij daar nog steeds werkt.
Kees:Ja ja ja dat is dat is wel zo. Dus nou dat is niet mijn kopie hoor. Want hij is de eerst geboren hè. Ik ben zo gezegd, ik was niet verwacht toen mijn toen onze moeder ons kreeg. Toen wist ze niet dat ze een tweeling was.
Kees:In 19 61 waren daar was de techniek nog niet zo. Dus ze lagen te wachten op de nageboorte en toen kwam ik. Dus dat, maar goed dat terzijde. Ja, dus hij zit nog veel. En en overigens hij is 10 minuten ouder.
Kees:Hij is ook de de senior, hè. Hij is als senior aangenomen bij de IBD ooit en ik als junior.
Renco:Nou dit zijn toch wel eventjes leuke insight information is dit.
Kees:Ja, ja,
Renco:ja. Ja.
Kees:Toen in 2012 mocht hij daar op gesprek. Hij mocht de, er was wat funding van BZK en die gaven ze en men toen kreeg King toen nog de opdracht. Nou die mag je houden, maar schrijf even een baseline voor 1 januari 2013. Hadden ze heel veel kandidaten afgewezen. Zo waren ze hadden echt een goede intake.
Kees:Er was iemand die was dat dat maakt die even niet uit wie het was. Maar goed in ieder geval goede intake. Toen kwam Jules uit de bus rollen. Toen zeiden ze nou dan kun je maandag beginnen en met 5 dagen in de week. Toen zeiden Jules nee, ik krijg nog veel meer klanten.
Kees:Ik heb maar 2 dagen per week. Dus toen zei die ja, nou ja, we kunnen een constructie maken met de junior of een medior. Maar ik heb echt maar 2 dagen in de week. En nou hadden ze weer allemaal kandidaten en allemaal junior's. Jullie hadden allemaal afgewezen en toen zei Jule van ik heb toch wel een leuk oneerbaar voorstel, maar ik ga nog een tweeling door.
Kees:Ik ben echt ook begonnen als junior bij IBD.
Renco:Maar konden jullie ook junior of moest je junior zijn omdat het constructie nou eenmaal zo aangeboden was?
Kees:Nee, maar jullie is ook gewoon veel slimmer dan ik. Dus. Ja ja. Gaan hem nog
Renco:een keer, we gaan hem nog een keer de inbellen in de hierzo. Want dan kan hij ze zelf ook verdedigen.
Kees:Ja, nee, maar het het was gewoon een constructie. En dat het maakt niet uit wat wat naam ja, wat voor naam je het beestje geeft. Dat is maakt niet uit. Als je maar gewoon het het leuk werk doet. En en ook iets doet wat ertoe doet.
Kees:Want anders moet je denk ik wat anders gaan doen.
Renco:Ja, maar dan kan ik me voorstellen dat dat gesprek op LinkedIn waar je net naar refereerde. Je hebt net wat verteld over het idee van die bio. En dat als je allemaal diezelfde baseline implementeert dat je dan een soort wederzijds vertrouwen ook creëert. Dat het beveiligingsniveau op het juiste niveau ligt. En dat je dus informatie kan uitwisselen met elkaar in ketens bijvoorbeeld.
Renco:En op die, maar die LinkedIn post die je mij stuurde. Ik zal die in de shownotes dat linkje gewoon plaatsen. Want ik bedoel daar kan iedereen gewoon zien. Ja. Er was iemand die hadden eigenlijk de vraag van hoe kom je nou als, en als een gemeente, kom je nou als gemeente voldoende in control op je kritische processen, als je voor die kritische processen leunt of steunt op dienstverlening of ondersteuning of van een andere gemeente.
Renco:Dus niet een marktpartij, maar het was een andere overheidsorganisatie. Dus de ene gemeente zit bijvoorbeeld in een GR en neemt voor bepaalde taken een dienst af bij die GR. En leunt dus op die GR. En hoever moet je dan gaan? Ja, hoever moet je dan gaan bij het zeg maar van het hem van het lijf vragen van die andere overheidsorganisatie?
Kees:Ja, nou in de bio 1 stond dat hoofdstuk 4 punt 4 in de bio 1. Ik ken het nog uit mijn hoofd. Daar was gewoon ja, sorry. Dat kan niet helpen. En daar was gewoon de mogelijkheid om een in control statement te vragen of een managementverklaring te vragen.
Renco:De ICV?
Kees:Is ja, in controlverklaring, ICV ja.
Renco:Ja ja.
Kees:Ja ja ja met de Engelse term in control statement en in Nederlands in controlverklaring. En dat kun je ook doen binnen je als je zeg maar een groot ministerie bent, kun je ook jouw DG'er vragen om een in control verklaring voor dat clubje waar die DG van de lat staat. Er zijn ook ministeries die dat gewoon ieder jaar gebruikte om gewoon zeg maar centraal inzicht te krijgen in hoe hebben die DG'er dat nou allemaal intern een beetje geregeld. Want die zijn toch allemaal vrij zelfstandige clubjes zeg maar binnen zo'n ministerie. En maar dat zou je natuurlijk ook gewoon binnen samenwerkingsverbanden kunnen doen.
Kees:Je hebt een samenwerking en daar zou je ook met in controle verklaring kunnen werken. Waarom zou je daarvoor een externe auditor moeten inhuren en een SOC type 2 of een ISAE 3000 A of D of ja. Wat is dan
Renco:het verschil te Kees tussen een in control verklaring? Moet ik dat meer zien als een zelf evaluatie. Waarbij je over jezelf verklaart dat je in control bent. En bij de 3e partij, hè. Dus een auditor die gaat natuurlijk onafhankelijk controleren of jij in control bent.
Renco:Is dat de nuance?
Kees:Een in control verklaring is eigenlijk een freeformat ding. Er is er is niet een maar een de de bekendste in control verklaring is de college verklaring uit ENSIA. Jij hebt natuurlijk ooit wel eens een ENSIA traject gelopen. En omdat daar ook een ouder bij betrokken is die volgens de regels werkt van de Norea en zijn beroepsgroep moet die in control verklaring voldoen aan een bepaalde standaard. Nou dan krijg je dus gewoon een heel veel papier zeg maar en een aantal bijlagen.
Kees:En de inhoud daarvan is ook niet altijd voor normale stervelingen goed te begrijpen. Of bestuurders, al helemaal niet waarschijnlijk. Dus het was de dus de we hadden ook ooit in het begin toen we met ENSIA begonnen in 2014 begon om na te denken over ENSIA. Waren we ook bezig met een 1 control verklaring gedachten. En toen was het nog gewoon een heel eenvoudig 1 A viertje.
Kees:Je schrijft op wat zijn mijn 10 belangrijkste risico's geweest in het afgelopen jaar. Wat heb ik daaraan gedaan? Welke maatregelen heb ik nog op de rol staan voor hè voor onze planning voor het komende jaar? En zeg maar dus dat je gewoon wat transparantie toont over de dingen die je ja, hoe jij bezig bent met risicomanagement.
Renco:En maar dat staat wel op gespannen voet met wat de wat waar het in die LinkedIn post over gaat. Want daar wordt eigenlijk de suggestie gedaan van moet die gemeente niet in ISA 3000 assurance rapportage opleveren om de afnemende gemeente van voldoende zekerheid te voorzien. Dat informatiebeveiliging voldoende ingericht is aantoonbaar, opzet bestaan, werking nou noem het allemaal maar op. Dat staat wel. Er zit nog wel een gat tussen die control verklaring zoals jij die net beschrijft.
Renco:En waar het in die LinkedIn posten over gaan. En dus ik wil maar zeggen... Die controlverklaring is natuurlijk nooit echt ingemeten land althans niet echt van de grond gekomen. Al anders dan wat vanuit ENSIA geproduceerd wordt. Is het dan niet daarmee juist ook terecht dat zo iemand deze vraag opwerpt van heb ik dan eigenlijk wel voldoende zekerheid van mijn samenwerkingspartners?
Renco:Keten, nou geeft beestje een naam. Ik snap de vraag wel, alleen het instrument is zo zwaar.
Kees:Ja, nou maar als je ook kijkt onder de reacties onder die post dan zie je dat alle RE's die gereageerd hebben allemaal voor die verklaring zijn. En dat nou denk ik dat begrijp ik. Hoe zou dat komen? Ik ga die vraag voor de rest niet invullen, maar dat mag iedereen voor zich doen. En maar weet je voor mijn gevoel hè, maar misschien zie ik het verkeerd.
Kees:Ik hoor dat ook graag van jou. Stel nou ik ben een gemeente. Ik ben misschien heb ik een bepaald formaat of ik heb op een bepaalde manier kan ik een bepaalde taak waar ik voor aan de lat sta niet goed uitvoeren. Ik denk weet je wat ik doe? Ik ga naar een centrumgemeente of ik ga naar wat grotere gemeente bij mij om de hoek.
Kees:En ik doe daar wat uitbesteden misschien wel mijn mijn mijn uitwijklocatie of sociaal domein iets of. En dan dan maar dan is toch de basis dat ik het vertrouwen heb dat die gemeente dat gaan doen. Ik heb toch, ik moet je zeg maar hoe verder je hoe minder invloed je kunt uitoefenen. Hoe verder die ergens vandaan staat, hoe zwaarder het middel om een bepaald gevoel te krijgen. Dat is mijn gedachten.
Kees:En dus Ja,
Renco:dus als je Ja, ik probeer het even concreet te maken, Kees. Dus als je een hele transactionele samenwerking hebt met een met een grote IT-leverancier. Dan zeg jij daar zou ik meer van willen zien dan bijvoorbeeld de buurgemeente waar ik in het kader van de belastingheffing mee samenwerk. Ja. Ja, nou oké.
Renco:Helder. Ten
Kees:1e we zijn van hetzelfde. Ten 2e we doen het we voeren al zeg maar die ander voert al die wet uit. Ja. Dus eigenlijk het heeft te maken met de mate van invloed en en de mate van van belang. En bedrijven en en echt bedrijf heeft natuurlijk moet winst maken.
Kees:Jouw buurgemeente geen kans te maken die wilt ook die dingen goed doen. Die die die heeft niet het belang om die dingen niet goed te doen. Dus dus ja, waarom zou ik daar dan een onafhankelijke assurance over willen hebben? Dat is gewoon echt zonde van het publieke geld wat daar dan dus aan besteed wordt.
Renco:Ja, is ook wel wat ik de achilles hiels vind, hè. Dit zijn allemaal, dat is allemaal publiek geld inderdaad. En dat gaan we bedoel over die ideeën is vast ook al genoeg gezegd en geschreven. Maar daar daar heb je natuurlijk ook een heel ja, een heel circus opgetuigd met allerlei mooie rapporten en gestapelde assurance verklaringen en weet ik wat niet meer. De vraag is of je dat dan nog veel breder wilt trekken.
Renco:Je zei net... Want ik heb ook wel eens ENSIA gedaan, zeker. Is bij 1 van de gemeente waar ik meerdere jaren ENSIA heb gedaan. Lieven wij tegenaan dat... Er was een grote gemeente en wij deden een aantal dingen op het gebied van waar Suwinet toegang voor nodig was.
Renco:Dus
Renco:wij voerden een taak uit voor een andere gemeente. Het meest voor de hand liggend is die RMC taak, hè. Wat is dat ook alweer? Regionale meldpunten. Nou, heb het niet eens.
Renco:Er zijn in ieder geval taken die je voor mekaar uitvoert. Ja. En er zit ook toegang bij. Nou en Suwinet daar had je natuurlijk de verplichting net als bij digid om daar verantwoording over af te leggen aan het 3e ministerie. Met een assurance rapport.
Renco:Dus kwam op een gegeven moment de vraag van een van buurgemeente. Nee, jullie doen voor ons die taak. Daar zit ook Suwinet toegang bij. Wij moeten ons verantwoorden over al ons Suwinet gebruik. Mogen wij van jullie een ISAE 3000 rapport ontvangen.
Renco:Dan hebben wij dat deel van jullie plus onze eigen deel doen we zelf. En dan kunnen wij aan onze auditor laten zien. En aan ons college ook laten zien dat al het Suynet gebruik dat dat goed in orde is. En toen dacht ik ja, ja, ja. Die snap ik wel, maar dat is puur vanuit die verticale verantwoordingsplicht die daarop ligt.
Renco:Dat je dat zeg maar de keten naar beneden toe doorlegt. Dat doe je bij leveranciers ook. Dus vind jij dat dan ook eigenlijk onnodig Kees?
Kees:Ja, nou dit is een, dit is een moeilijk voorbeeld, want ENSIA werkt met met 2 zoeklichten zeg maar. ENSIA heeft 2 stukjes waar over moet worden afgegeven. De ene is de DigiD en de andere is Suwinet. En nou is Suwinet niet in de breedte, het gaat over maar over 13 punten die in historie ontstaan zijn. Daar kan ik je ook nog wel wat over ooit over vertellen als je dat wilt weten.
Kees:Waar die vandaan komen.
Renco:Maar die zet die punten die komen uit de BIO gehaald en daar hebben ze van gezegd daar willen we assurance op hebben. Ja,
Kees:ja en dus die, dus die, dus die is die assurance is er al. Daar is al naar gekeken door een auditor. En dat dat is dus niet extra werk. Hoogstens een extra papiertje, maar er is al gekeken door een auditor. Dus ja, ja.
Renco:Dat is ja, je zegt het precies zoals het ging. Wij hadden die auditor natuurlijk sowieso al in huis Om omdat in het gebruik te toetsen en dan in de offerte uitvragen. En heb ik op een gegeven moment gewoon een post opgenomen. Dat die van die ja... Hoe noem je dat?
Renco:Van die waarnemingen zeg maar die die doet. Dat hij daar dan een separate rapportage vooropstelt. Die ik dan aan de omliggende gemeenten kon verstrekken. Dus ik ben met je eens. Ik betaalde daar eigenlijk ook niet echt veel meer voor.
Renco:Terwijl ik op die manier wel het de buurgemeente veel makkelijker maakte om aan hun verantwoordingsplicht weer te voldoen. Ja,
Kees:dat klopt. Precies dus de dus dat dat begrijp ik ook helemaal. Als we met zijn allen zeg maar, als we met zijn allen alle dingen die we door anderen laten uitvoeren, laten auditen door een externe auditor, vind ik dat we de gedachte van de BIO geen eer doen, geen eer aandoen. Dus dat dat is gewoon echt niet de weg die we moeten gaan. En dit geeft me ook het gevoel als je vraagt om een externe audit.
Kees:Het geeft me gewoon het gevoel dat je me dus niet vertrouwt. Ik zou ook denk ik en ik had van de week de gedachte. Stel nou ik ben een gemeente, ik doe iets voor een andere gemeente en die gemeente vraagt mij nou om een ISAE verklaring. Weet je wat ik doe? Ik geloof dat ik het gewoon teruggeef.
Kees:Laten ze het zelf maar gaan doen.
Renco:Ja, ja dat kan ook nog natuurlijk. Als dit wat als dat wordt dan kan je het ook weer zelf doen.
Kees:Ja, ik doe het aan mezelf. Als je me niet vertrouwt, weet je. Ja. Het het zo'n samenwerking begint met 2 wethouders. De ene is portefeuille van de gemeente 1 en de andere is portefeuille houder van de gemeente 2.
Kees:En die van de gemeente 2 zegt ja, we hebben het allemaal goed geregeld. We hebben zo op toko en het werkt zus en zo. En dan komt die andere wethouder die heeft het ja die heeft een probleem en komt vanuit de business komt dat omhoog borrelen en dan nou er worden afspraken gemaakt. En ja natuurlijk zul je iets moeten afspreken over en hoe ga jij dan om met de beveiliging? Doe je ook de BIO?
Kees:Oké en hoe was jouw wensjaar dan vorig jaar? Weet je dat soort gesprekken kan ik me goed voorstellen. Het althans ik hoop dat dat gesprek zo zou gaan hè. Ik heb ook wel wat meegemaakt in de afgelopen 10 jaar 15 jaar dat er dan een wethouder zegt, de CISO zegt ik zie nog wat risico's en de wethouder zegt we gaan het gewoon doen weet je. Nou ja oké je bent CISO toch mijn adviseur dus nou ga het gewoon zo doen.
Kees:Dus maar de bottom line is toch dat we dat we als gemeente willen we toch allemaal in ieder geval moeten we het nu ook van een her volgens een wet. Maar willen we toch gewoon zorgvuldig ontstaan, omgaan met de gegevens die we onder beheer hebben.
Renco:Ja, ik zie jou het echt benaderen als... Die gemeentes werken samen. En dat is wat anders dan dat de 1 als een soort opdrachtgever de andere al in een opdrachtnemer rol aanstuurt. En op het moment dat je die assurance dynamiek daarin voegt, dan wordt die samenwerking ook wezenlijk anders. En nou kostbaarder ook, daar hebben het al even over gehad.
Renco:Maar je zet, verandert ook de dynamiek van hoe je met elkaar samenwerkt. En dat wil niet zeggen dat je dan altijd maar naïef moeten iemand op zijn blauwe ogen moet geloven. Want laten we wel wezen Kees zijn natuurlijk ook incidenten geweest in den lande, waardoor je ernstig kan gaan twijfelen aan de staat van informatiebeveiliging. En dat kan ook... Ja, dat kan ook wel wat ongemak bij die wethouder of bij de CISO, of bij allebei opwekken.
Renco:Waardoor je dan de reflex kan dan zijn, hé we moeten net als bij een leverancier die duimschroeven verder aandraaien om meer zekerheid te verkrijgen. Ja, dat snap ik wel. Anderzijds kun je natuurlijk ook jezelf de vraag stellen, moeten we die samenwerking dan niet herzien? Want als die als die gemeente kennelijk weet ik veel grote incidenten heeft. Of de boel niet op orde lijkt te hebben.
Renco:Dan kan je zeggen, nou ik draai de duimschroeven aan. Toon mij aan dat je alles op orde hebt. Want dan kunnen we verder. Je kan ook denken nou, misschien moet ik deze samenwerking herzien. Want ik met een partner die kennelijk de boel niet op orde heeft, hè.
Renco:Dat is een andere benadering van het probleem.
Kees:Nou dat heeft ook met transparantie te maken. En met... Ik geef je een ander voorbeeld. We hadden ooit zo'n nou ik denk dat het was een 10 jaar geleden is. Was er ergens een GR opgericht, een ICT samenwerking tussen 3 of 4 gemeenten.
Kees:En de ICT samenwerking die we daar daar komt dan een directeur boven te staan. En die gaat hè de al die ICT dingen inregelen. En op een gegeven moment kwam er een vraag van die gemeente aan de ICT samenwerking van vertel eens, hoe doe je nou eigenlijk de dingen die je doet? Vertel eens, laat het eens zien. En toen zei die directeur nou dat ga ik niet doen.
Kees:Ik ben hier de baas, dat bepaal ik zelf wel. Dus nou ja, en maar dan, dan wordt een ander spel. Dan dan dan wil jij dus schijnbaar verder weg staan van de de club waar je uit voortgekomen bent. En dan wil je je dus eigenlijk anders opstellen. En dan zeg ik oké.
Kees:Ja. Maar dan ben je aan de beurt. Dan vraag ik van jou ISAE weet ik veel hè, doe er maar 1. Dus dus dus hoe hoe hoe hoe zakelijk wil je worden? En als je dan Ja.
Kees:Dus dan dan dus de gemeente niet het gevoel geeft dat jij in controle bent. En er zijn wat incidentjes tussendoor. Dan denk je van dit is misschien niet de weg die we moeten gaan. Dan moeten we de duidelijk. Maar dan blijkt gewoon dat de convenant van oprichting gewoon een paar dingen mist.
Kees:Onder andere over informatiebeveiliging.
Renco:Ja, ja, ja precies. Je moet eigenlijk bij de oprichting van zo'n samenwerking in welke vorm je dan ook giet, dan moet je natuurlijk met elkaar wat afspraken maken. Dat is heel normaal en ook op het gebied van informatiebeveiliging maak je afspraken met elkaar. En als dan ja, ik vind het wel een sterk voorbeeld, Want die ICT-directeur die die door door zijn reactie zet hij zichzelf inderdaad er verder vanaf. Positioneert hij zichzelf eigenlijk meer als een marktpartij, hè.
Renco:Jij creëert afstand tussen de tussen eigenlijk ook de gemeente waar die eigenaar zijn van die GR in dit voorbeeld dan, hè. Die GR is natuurlijk gewoon van die gemeente. Dus dat maakt het eigenlijk gekker, want je... Er is een sturingslijn die loopt vanuit de eigenaar naar de GR. Dus als je...
Renco:Als er een 1 partij in die samenwerking ontevreden is over wat die GR levert. Dan kan je via je eigen bestuur naar het bestuur van die GR toe en kan je invloed uitoefenen op het reilen en zeilen. Ik snap dat dat niet van 1 op het ander dag geregeld is. Maar daar is wel een lijn die je het natuurlijk naar een marktpartij op die manier niet hebt.
Kees:Nee, je zoekt hem niet.
Renco:Dus dat... Zou de geëigende route dan op zijn minst eerst moeten zijn voordat je meer in de... Ja, zakelijke variant komt.
Kees:Ja, er zit natuurlijk in het dagelijks bestuur van zo'n GR zit een wethouder van alle deelnemende gemeentes zit er een wethouder in. Maar daar kunnen ze nog wel wat verbeteren hoor. Want over het algemeen krijgt zo'n wethouder 5 minuten per jaar om zich te verantwoorden over het gevoerde beleid van de GR. Dat vind ik wat magisch. Dat mag wel iets meer zijn.
Renco:Ja, ja, dat is wel erg mager ja. En Kees, als nou, we naderen wel het half uur, dan proberen we een beetje binnen te blijven. Ik heb nog 1 vraag. Zie jij, dat was je net eigenlijk beargumenteerd hebt. Ik vind het wel sterk.
Renco:Maar vind je het ook van toepassing op verschillende overheidslagen? Dus die gemeentes zijn eigenlijk allemaal hetzelfde. En die kunnen allemaal clubjes oprichten, GR'en en weet ik wat wat niet meer voor samenwerkingen. Maar je zegt bijvoorbeeld nou, je kunt hetzelfde argument zou je kunnen gebruiken. De bio is voor alle overheidslagen.
Renco:Ik werk samen met een provincie of met een waterschap. Vind je dan dat ik daar, dat ik ik in dit voorbeeld dan. Als gemeente dat ik daar eigenlijk hetzelfde vertrouwen moet hebben. Omdat we aan hetzelfde normen kader gehouden zijn. Of zeg je nou dat is een toch wel een echt een ander soort overheidslaag.
Renco:Daar zou het wel logischer zijn om wat meer te sturen op assurance. Of zie je daar geen verschil?
Kees:Ik zie daar geen verschil. Nee het is wel zo dat als ik bijvoorbeeld de aanbieder ben van een dienst en ik noem, nee ik ga er geen namen noemen. Maar ik ben de aanbieder van een dienst en en en en dat moeten allerlei interne overheidsklanten, ik noem maar even de 1 overheid, is 1 1 grote club, interne overheidsklanten op aansluiten. Dan kan ik me voorstellen dat je bepaalde standaard wilt en dat je aansluitvoorwaarden bedenkt. En dus zeg maar dus dat kan ik me goed voorstellen dat je dat doet.
Kees:Want je wilt namelijk die interne dienst ook beschermen. En en je gaat en ook al ga je ervan uit dat de de alle overheden hè, dat is wel leuks nu met de ik ben echt blij met de Cbw wat dat betreft. En ook met de BIO2 dat die nu echt over de hele overheid is uitgestort via de staatscourant. Daar ben ik echt heel blij mee, want dat dat geeft iets meer vertrouwen. Maar dan nog als ik een dienst heb en er moeten verschillende overheidspartijen laag op aansluiten.
Kees:Dan zou ik me kunnen dan kan ik me goed voorstellen dat je dat je aansluitvoorwaarden bedenkt in iets met certificaten moet je toch afspraken over maken. Zeg maar dus Ja.
Renco:Soort toets van hé, als jij van onze dienst gebruik wilt maken, verwachten wij ook wat van jou, hè. Ik bedoel wij leveren wat, maar we hebben ook verwachtingen van jou die kunnen technisch van aard zijn. Maar die kunnen ook organisatorisch van aard zijn.
Kees:Zeker.
Renco:En je zegt onze samenwerking die gaat goed lukken als ik mijn deel doe en als jij jouw deel doet.
Kees:Kijk als als ik in de strafrechtketen zit of ik zit ergens met jeugd of weet je dat soort zaken. En ik heb het allemaal perfect perfect voor mekaar. En iemand anders laat zijn desktop openstaan bij een keukentafelgesprek, ja dat is natuurlijk niet handig. Dat is gewoon niet, dat is gewoon niet oké. Of gebruik geen hard disc encryptie en laat de laptop op een op de dak van de auto liggen, weet je.
Kees:Dat soort dingen. Dat is niet handig.
Renco:Ja, ja.
Kees:Dus daar mag je al wat voor wachten.
Renco:Ja, ja. Nou, ik hoop dat de kijkers en luisteraars, ook kijkers hoop ik, Hier wat aan hebben gehad, hè. Dus hoe ga je om met die onderlinge... Ja, in hoeverre moet je onderlinge assurance vragen tussen overheidsorganisaties? Ik zal het linkje naar de betreffende discussie in de show notes plaatsen.
Renco:En dan zie ik jou over 2 weken weer kijken.
Kees:Helemaal goed. Ik vond het een leuk gesprek. En het is gewoon 32, bijna 33 minuten. We moeten gewoon afbreken. En eigenlijk kunnen we nog wel even door kletsen.
Renco:Ja, maar ja, jij hebt natuurlijk af en toe al wat zorgen uitgesproken over wie gaat dit luisteren? Met al te lang maar... Kees, je wel.
Kees:Ik wil nog 1 ding zeggen. Ik ben ook heel benieuwd wat mensen hiervan vinden, zeg maar.
Renco:Dus Dat moeten ze eigenlijk laten weten.
Kees:Ja ik ik weet niet, ik moet nog eens even kijken hoe jij die podcast nou eigenlijk in de markt drukt zeg maar. Maar ik ik ben natuurlijk echt heel erg geïnteresseerd in alle voors en tegens. Want ik houd van discussie wat dat betreft. Dus dit is natuurlijk maar onze mening, maar ja, laat me horen. Nou, mensen kunnen
Renco:dat op meerdere manieren doen, Want ik zet deze podcast ook als post op qeep posted punt n l. En daar kan je mits je een geregistreerd lid bent kan je ook comments achterlaten onder de onder die post. Dus je kunt als je wat wil kan je daar wel van alles van vinden. Ik plaats ook een bericht op LinkedIn met een link naar keep posted. Ook op LinkedIn zou je dus kunnen reageren.
Renco:En als je dat liever niet openbaar doet, kan je een mail sturen naar podcast at de bio bazen punt n l. En dan lezen wij het ook.
Kees:In ieder geval. En hebben we de oproep aan het einde gedaan. Dus iedereen die het geluisterd heeft tot aan het einde die weet dit. Leuk. Hey, ik vond
Renco:het ook weer leuk. Succes met baard trimmen en tot over 2 weken.
Kees:Goed, gaat.
Renco:Zo, hoi.
Kees:Dank voor het luisteren naar de BIO Bazen. Vond je
Renco:dit waardevol? Vertel het aan een collega en abonneer je in je favoriete podcast app op
Kees:Alle afleveringen vind je ook op de biobazen punt n l.
Renco:Tot de volgende aflevering van de BIO Bazen.
Kees:Iemand moet het uitleggen toch?
