Beveiliging en privacy in de SUWIketen
Een onderzoek naar de waarborgen van de informatiebeveiliging van Suwinet-Inkijk
bij gemeenten en zbo's

Beveiliging en privacy in de
SUWI-keten
Een onderzoek naar de waarborgen van de informatiebeveiliging van
Suwinet-Inkijk bij gemeenten en zbo's

Inspectie Werk en Inkomen

Beveiliging en privacy in de SUWI-keten

R09/03, april 2009
ISSN 1383-8733
ISBN 978-90-5079-225-7



Inspectie Werk en Inkomen

Beveiliging en privacy in de SUWI-keten

Voorwoord
De overheid heeft de ambitie om de kwaliteit van de dienstverlening aan burgers fors te verbeteren, onder meer door bij haar dienstverlening te volstaan met het eenmalig uitvragen van
gegevens aan de burger. Elektronische uitwisseling van gegevens tussen de ketenpartners is een
manier om die eenmalige gegevensuitvraag te realiseren.
In de keten van werk en inkomen stellen de ketenpartners Uitvoeringsinstituut
Werknemersverzekeringen, de Sociale Verzekeringsbank en gemeenten - ondersteund door
Stichting Inlichtingenbureau Gemeenten en het Bureau Keteninformatisering Werk en Inkomen
- op dit moment al de persoonsgegevens van miljoenen Nederlanders via Suwinet-Inkijk aan
elkaar beschikbaar. De verwachting is dat dit gegevensgebruik met de intensivering van de
samenwerking in Werkpleinen en de inzet van het digitaal klantdossier fors zal toenemen.
Naast een optimale dienstverlening verwacht de burger ook van de overheid dat zij de privacy
voldoende waarborgt en dat het risico op misbruik en oneigenlijk gebruik van persoonsgegevens minimaal is.
De toename van elektronische gegevensuitwisseling, gecombineerd met de eisen die de burger
stelt aan zorgvuldige omgang met persoonlijke gegevens, vormde voor de inspectie aanleiding
om na te gaan of partijen in de keten van werk en inkomen een veilig gebruik van Suwinet-Inkijk
kunnen waarborgen.

Mr. H. Zeilstra
Plv. inspecteur-generaal a.i.



Inspectie Werk en Inkomen

Beveiliging en privacy in de SUWI-keten



Inspectie Werk en Inkomen

Beveiliging en privacy in de SUWI-keten

Inhoud
1
1.1
1.2	

Inleiding
Focus van het onderzoek
Onderzoeksaanpak

7
7
8

2
2.1
2.2	
2.3
2.4	
2.5

Bevindingen en conclusies
Planmatige aanpak beveiliging
Organisatie van informatiebeveiliging
Logische toegangsbeveiliging
Herkennen beveiligingsincidenten
Ondersteuning beveiliging

9
9
9
10
10
11

3

Oordeel

13

4

Reactie SUWI-partijen

15

Lijst van afkortingen

17

Bijlagen:
		
		
		
		

Reactie Uitvoeringsinstituut Werknemersverzekeringen
Reactie Sociale Verzekeringsbank
Reactie Stichting Inlichtingenbureau Gemeenten
Reactie Bureau Keteninformatisering Werk en Inkomen
Reactie Divosa

19

Publicaties van de Inspectie Werk en Inkomen	21



Inspectie Werk en Inkomen

Beveiliging en privacy in de SUWI-keten



Inspectie Werk en Inkomen

Beveiliging en privacy in de SUWI-keten

1

Inleiding
Medewerkers van de overheidsorganisaties zoals het Uitvoeringsinstituut
Werknemersverzekeringen (UWV) inclusief UWV WERKbedrijf, en de Sociale Verzekeringsbank
(SVB) wisselen onderling en met gemeenten grote hoeveelheden gegevens van burgers uit.
Miljoenen malen per jaar raadplegen zij via de elektronische voorziening Suwinet-Inkijk persoonsgegevens voor onder meer de beoordeling van uitkeringen. Zij raadplegen daartoe elkaars
databestanden, maar ook de bestanden van de Belastingdienst, de Informatiebeheergroep, de
Rijksdienst voor het Wegverkeer etc. Het aantal raadplegingen is de laatste twee jaar bijna vervijfvoudigd. Al met al is elektronische gegevensuitwisseling een onmisbaar onderdeel geworden
voor de kwaliteit van integrale dienstverlening aan burgers.
Met de inrichting van de Werkpleinen en de bijbehorende intensievere samenwerking nemen
naar verwachting het gebruik, het belang en de afhankelijkheid van elektronische gegevensuitwisseling verder toe. Dit wordt versterkt door de wettelijke bepaling dat reeds beschikbare
gegevens (wet eenmalige gegevensuitvraag) niet nogmaals worden uitgevraagd en door het
voornemen van de overheid om het digitaal klantdossier binnen en buiten de SUWI-keten
breder in te zetten.
In het verlengde van deze ontwikkelingen zijn adequate beveiligingsmaatregelen onmisbaar. De
burger mag verwachten dat eenmaal aangeleverde gegevens ook elders worden gebruikt, maar
dezelfde burger hecht ook aan privacy. De burger mag verwachten dat de overheid er alles aan
doet om misbruik of oneigenlijk gebruik van zijn gegevens te voorkomen.
Bij eerdere IWI-onderzoeken is melding gemaakt van incidenteel misbruik of oneigenlijk gebruik
van gegevens. Enkele voorbeelden hiervan zijn het tegen betaling informatie leveren aan een
handelsinformatiebureau, het verstrekken van informatie over de vermogens- en inkomenspositie van een cliënt aan een drugsdealer en het (na een verkeersongeval) raadplegen van NAWgegevens op basis van het kentekenregister. Ook is IWI tijdens haar onderzoek gestuit op een
vaker voorkomende vorm van oneigenlijk gebruik, namelijk de raadpleging van gegevens van
bekende Nederlanders (onderzoek Bureau Keteninformatisering Werk en Inkomen (BKWI)).
BKWI meldt in zijn jaarverslag 2008: “Het is […] aannemelijk dat het oneigenlijk/onrechtmatig
raadplegen van persoonsgegevens via Suwinet vaker plaatsvindt, dan alleen in de onderzochte gevallen.”

1
Brief van de staatssecretaris van SZW
aan IWI d.d. 1 oktober 2008, kenmerk
W&B/SFI/08/26552.

1.1

Naar aanleiding van de toenemende gegevensuitwisseling en het belang van een zorgvuldige
omgang met persoonlijke gegevens, heeft IWI onderzoek gedaan naar de waarborgen en de
werking van informatiebeveiliging binnen de keten van werk en inkomen (SUWI-keten), specifiek bij de elektronische voorziening Suwinet-Inkijk. Het onderzoek is uitgevoerd in de periode
september 2008 tot en met februari 2009. Het verzoek van de toenmalige staatssecretaris van
SZW om een nader onderzoek in te stellen naar de beveiligingsplannen van gemeenten, is daarbij meegenomen.1

Focus van het onderzoek
Het onderzoek concentreert zich op het zorgvuldig omgaan met persoonlijke gegevens. Een
tweetal belangrijke elementen daarvan betreft doelbinding en beveiliging. Doelbinding houdt in
dat persoonsgegevens alleen maar mogen worden gebruikt voor het doel waarvoor ze zijn verzameld. Beveiliging betekent dat persoonsgegevens beschermd moeten worden tegen verstrekking aan personen of organisaties die daar geen recht op hebben. Daarnaast is het aspect proportionaliteit van belang. Dit betekent dat alleen informatie wordt gebruikt die noodzakelijk is
voor het doel waarvoor het nodig is.
De bescherming van persoonsgegevens kan enerzijds geregeld worden via technische, organisatorische en procedurele maatregelen. Anderzijds berust de bescherming van gegevens op de
integriteit van medewerkers. Het onderzoek richt zich alleen op de technische, organisatorische



Inspectie Werk en Inkomen

Beveiliging en privacy in de SUWI-keten

en procedurele maatregelen. Hierbij gaat het erom dat medewerkers de beschikbare gegevens
zorgvuldig behandelen en deze alleen delen in het kader van het werk, zodat misbruik of oneigenlijk gebruik wordt voorkomen. De vraag is of de partijen in de SUWI-keten deze zorgvuldige
behandeling van gegevens waarborgen. De vraag hoe partijen de integriteit van medewerkers in
het kader van informatiebeveiliging waarborgen, valt buiten de reikwijdte van dit onderzoek.

1.2

Onderzoeksaanpak
IWI heeft de waarborgen voor de informatiebeveiliging in de SUWI-keten in opzet, bestaan en
werking onderzocht. Het nakomen van de wettelijke verplichtingen van de partijen is beoordeeld en getroffen maatregelen zijn in de praktijk getoetst. Daarnaast is nagegaan in hoeverre
partijen gebruik maken van de middelen die door BKWI ter beschikking worden gesteld om de
informatiebeveiliging gestalte te geven en te monitoren. Als toetsingskader voor dit onderzoek
heeft de inspectie het Besluit SUWI en de Regeling SUWI gebruikt, welke regels omvatten met
betrekking tot de beveiliging van Suwinet.
Zelfstandige bestuursorganen (zbo’s) zoals UWV (waaronder UWV WERKbedrijf en BKWI
vallen), SVB en Inlichtingenbureau zijn verplicht zich jaarlijks aan de minister van Sociale Zaken
en Werkgelegenheid (SZW) te verantwoorden door middel van een EDP-audit inzake informatiebeveiliging. Gemeenten hebben wel dezelfde verplichting tot beveiliging, maar kennen een
andere bestuurlijke verantwoordingsplicht, namelijk naar de gemeenteraad. Om deze reden
heeft de inspectie goed inzicht in de stand van zaken bij de zbo’s, terwijl het beeld bij gemeenten voor een groot deel nog ontbreekt. Daarom heeft IWI haar onderzoek toegespitst op de
SUWI-partij gemeenten.
Op verzoek van de toenmalige staatsecretaris van SZW zijn van alle gemeenten de beveiligingsplannen opgevraagd en onderzocht. Aansluitend is een twaalftal gemeenten geselecteerd voor
een beoordeling in de praktijk. Voor de zbo’s is met name gebruik gemaakt van de jaarlijkse verantwoordingsinformatie en de samenvattende rapportage beveiliging Suwinet van BKWI. Om
het gebruik van Suwinet-Inkijk te toetsen, zijn gegevens uit de logbestanden van BKWI geanalyseerd. In deze logbestanden zijn alle gegevens van een raadpleging van Suwinet-Inkijk vastgelegd.



Inspectie Werk en Inkomen

Beveiliging en privacy in de SUWI-keten

2

Bevindingen en conclusies

2.1

Planmatige aanpak beveiliging

2
IWI-onderzoek Beveiligingsplannen
Suwinet gemeenten, brief aan staatsecretaris SZW d.d. 29 april 2008,
kenmerk 2008/1157.

De wetgever heeft vanaf 2002 gesteld dat het planmatig zorg dragen voor de beveiliging van
gegevens in het domein van werk en inkomen een primaire vereiste is. In artikel 6.4 van de
Regeling SUWI is bepaald dat partijen beschikken over een beveiligingsplan waarin is weergegeven op welke wijze zij hieraan invulling geven. Van de zbo’s is bekend dat zij over een beveiligingsplan Suwinet beschikken omdat dit deel uitmaakt van de verplichte jaarlijkse verantwoordingscyclus. Van de gemeenten was dit deels bekend.2 Op verzoek van de toenmalige
staatsecretaris van SZW heeft IWI de beschikbaarheid van beveiligingsplannen bij gemeenten
op peildatum 1 januari 2009 volledig in kaart gebracht.
Per 1 januari 2009 beschikt 78 procent van alle Nederlandse gemeenten over een beveiligingsplan. Dit omvat zowel individuele gemeenten als gemeenten die samenwerken in een intergemeentelijke sociale dienst (ISD). Het aantal beveiligingsplannen is in 2008 fors gestegen. Bij een
telefonische quick scan in februari 2008 liet 64 procent weten te beschikken over een dergelijk
plan. Opvallend is dat bijna een kwart van de ontvangen plannen is opgesteld of aangepast in
het laatste kwartaal van 2008. Grote gemeenten hebben in verhouding even vaak aangeleverd
als middelgrote of kleine gemeenten.
In concreto heeft IWI op de peildatum van 96 gemeenten géén beveiligingsplan ontvangen. Deze
gemeenten handelen onrechtmatig als zij niet over een dergelijk plan beschikken. De namen van
deze gemeenten zijn onder de aandacht gebracht van de staatssecretaris.

3
Verantwoordingsrichtlijn voor de EDPaudit van de beveiliging van Suwinet,
versie 2.0.

Op basis van de wet worden aan het beveiligingsplan geen eisen gesteld ten aanzien van de
vorm of de kwalitatieve invulling ervan. Wel ligt het voor de hand dat het beveiligingsplan voor
wat betreft de kwaliteit voldoet aan de normen uit de verantwoordingsrichtlijn die de partijen
gezamenlijk hebben opgesteld.3 IWI heeft voor dit onderzoek een representatief aantal beveiligingsplannen van gemeenten beoordeeld aan de hand van dit normenkader. Dit kader wordt
ook door de EDP-auditors gehanteerd bij het beoordelen van de beveiligingsplannen van zbo’s.
BKWI biedt via zijn website een aantal voorbeeldplannen aan.
Er is vrijwel geen enkel beveiligingsplan van gemeenten dat voldoet aan de normen. De gemeenten maken weliswaar veelvuldig gebruik van de voorbeeldplannen van BKWI, maar dit betreft
met name de beknopte versie. BKWI geeft, in lijn met de opvatting van IWI, aan dat deze versie
op zich niet volstaat maar onderdeel moet vormen van een algemeen beveiligingsplan.
Gemeenten en ISD’en die hun plan recent (tweede helft 2008) hebben opgesteld, maken twee
keer zo vaak gebruik van het beknopte voorbeeldplan als gemeenten en ISD’en die hun beveiligingsplan al eerder hebben gemaakt. Gemeenten hebben het Suwinet-informatiebeveiligingsbeleid en het beveiligingsplan in de regel niet actief uitgedragen in de gemeentelijke organisatie en
niet jaarlijks geëvalueerd en - indien nodig - geactualiseerd.
Aan de hand van het genoemde normenkader is door de externe auditors vastgesteld dat de
kwaliteit van de beveiligingsplannen bij alle zbo’s voldoet aan de normen. IWI onderschrijft dit
oordeel van de auditors maar plaatst wel een kanttekening bij het beveiligingsplan van UWV
WERKbedrijf (voorheen CWI): dit plan is 2007 en 2008 niet geactualiseerd.

2.2

Organisatie van informatiebeveiliging
Als het beveiligingbeleid is vastgesteld en de invulling hiervan planmatig is weergegeven, volgt de
organisatorische inrichting. Een adequaat ingerichte beheersstructuur in de organisatie is een
waarborg voor de beveiliging van Suwinet. Dat vereist onder meer het beleggen van taken, verantwoordelijkheden en bevoegdheden en het inzetten van gekwalificeerde functionarissen. IWI



Inspectie Werk en Inkomen

Beveiliging en privacy in de SUWI-keten

heeft bij twaalf gemeenten een audit uitgevoerd om dit in kaart te brengen. Voor de beoordeling
van de zbo’s is gebruik gemaakt van de jaarverslagen van de zbo’s en rapportages van EDP-auditors.
De organisatorische beheersstructuur vertoont bij het merendeel van de onderzochte gemeenten lacunes. Vrijwel alle gemeenten hebben taken, verantwoordelijkheden en bevoegdheden ten
dele beschreven en vervolgens onvoldoende belegd en gescheiden. De security officers, voor
zover aanwezig, bleken veelal onvoldoende materiekennis te hebben. De meeste gemeenten
controleren wel op het verwijderen/vernietigen van privacygevoelige gegevens, maar de onderzochte gemeenten voldoen doorgaans niet aan de eis dat dergelijk materiaal dagelijks dient te
worden opgeborgen.
Alle zbo’s beschikken over een ingerichte organisatie voor het beheersen van de beveiliging van
Suwinet. Bij het Inlichtingenbureau is vastgesteld dat de procedures en maatregelen betreffende
de organisatie van het incidentenbeheer ten dele zijn geïmplementeerd (zie ook paragraaf 2.4
herkennen beveiligingsincidenten).

2.3

Logische toegangsbeveiliging
Het instrument van de logische toegangsbeveiliging heeft tot doel om Suwinet en de desbetreffende gegevens te beschermen tegen ongeautoriseerd gebruik; voor het gebruik geldt het principe van ‘need to know’.
Binnen de SUWI-keten is hiertoe onder meer een procedure ontwikkeld voor het aanvragen,
uitgeven en weer intrekken van autorisaties. Deze autorisatie­procedure begint met identificatie
(vaststellen van de identiteit) en autorisatie (toekennen van rechten). Autorisatie wordt verleend op basis van aan een persoon toegekend autorisatieprofiel en de daaraan gekoppelde toegangsrechten tot de voor de functie noodzakelijk informatie. IWI heeft voor dit deel van het
onderzoek gebruik gemaakt van de logbestanden van BKWI en veldwerk verricht bij twaalf
gemeenten. Voor de zbo’s is gebruik gemaakt jaarverantwoordingen, de EDP-audits en de
samenvattende rapportage van BKWI.
Meer dan helft van de gemeenten kent geen spreiding in de verdeling van de autorisaties.
Bevoegdheden voor toegang tot Suwinet worden breed toegekend en er is nauwelijks onderscheid in de bevoegdheden van de verschillende functies. Een periodieke beoordeling van de
autorisaties door een security officer vindt vrijwel niet plaats.
Gemeenten zijn weinig actief in het opschonen van gebruikersaccounts. De accounts van uit
dienst getreden medewerkers worden niet tijdig verwijderd.
Via Suwinet-Inkijk krijgen medewerkers meer informatie aangeboden dan bijvoorbeeld via de
gemeentelijke basisadministratie. Of dat samenhangt met een brede toekenning van de autorisaties of een ruimere definitie van noodzakelijk informatie, heeft IWI niet nader onderzocht.
UWV, SVB en BKWI hebben voor dit aspect van de beveiliging voldoende procedures en maatregelen getroffen en geïmplementeerd. UWV WERKbedrijf heeft procedures en maatregelen
gedeeltelijk geïmplementeerd. IWI constateert bij het Inlichtingenbureau dat de kwaliteit van de
ICT-beheersprocessen, waaronder logische toegangsbeveiliging, ten opzichte van 2007 is afgenomen.

2.4

Herkennen beveiligingsincidenten
De Verantwoordingsrichtlijn voor informatiebeveiliging gaat er vanuit dat een SUWI-partij maatregelen treft om inbreuk op het gegevensgebruik te voorkomen. Daarnaast mag worden verwacht dat deze ketenpartner alert is op beveiligingincidenten, deze verhelpt en meldt aan
andere partijen; dit om de gezamenlijke dienstverlening te waarborgen en misbruik of oneigenlijk gebruik in de verschillende ketenschakels te voorkomen.

10

Inspectie Werk en Inkomen

Beveiliging en privacy in de SUWI-keten

De gemeenten beschikken wel over een 'technische' incidentenprocedure, maar IWI is van
mening dat hiermee niet alle beveiligingsincidenten in kaart worden gebracht. Er vindt bij
gemeenten in de regel geen monitoring plaats van het gebruik van Suwinet-Inkijk en ongeautoriseerde toegangspogingen worden vrijwel niet gedetecteerd. Een analyse van eventuele beveiligingsincidenten ontbreekt bij bijna alle onderzochte gemeenten.
UWV en SVB hebben voor dit aspect van de beveiliging voldoende procedures en maatregelen
getroffen en geïmplementeerd. UWV WERKbedrijf en BKWI hebben procedures en maatregelen gedeeltelijk geïmplementeerd. Bij het Inlichtingenbureau is vastgesteld dat de organisatie van
het incidentenbeheer ten dele is geïmplementeerd. De incidenten worden niet geanalyseerd en
afgewikkeld in relatie tot de ernst van de storing. Hierdoor is niet gewaarborgd dat beveiligingsincidenten met prioriteit worden opgelost en maatregelen worden getroffen om herhaling van
het beveiligingsincident te voorkomen.

2.5

Ondersteuning beveiliging
Om de veelheid van verschillende gebruikers te ondersteunen en bij te dragen aan een uniform
beveiligingsniveau van Suwinet-Inkijk, heeft BKWI als eigenaar/facilitator van Suwinet een aantal
gestandaardiseerde producten ontwikkeld. Zo stelt BKWI, naast de gezamenlijk ontwikkelde
verantwoordingsrichtlijn, een aantal producten beschikbaar om de informatiebeveiliging gestalte
te geven en het gebruik van Suwinet-Inkijk te monitoren. BKWI kan het gebruik van deze producten niet afdwingen. IWI heeft onderzocht of partijen bekend zijn met de producten en deze
actief inzetten. In de marge van dit onderzoek heeft IWI de kwaliteit van de producten meegenomen.
De voorbeeldplannen van BKWI worden veelvuldig door gemeenten gebruikt, zo blijkt uit een
inventarisatie van de ontvangen plannen. Van de ontvangen gemeentelijke beveiligingsplannen is
67 procent geënt op een BKWI-voorbeeld. Dit geldt niet voor de zbo’s, die hanteren een eigen
model dat alle elementen van de verantwoordingsrichtlijn raakt.
De rapporten over het gebruik van Suwinet-Inkijk vinden deels hun weg naar de gemeenten.
Minder dan de helft van de gemeenten (circa 40 procent) ontvangt elke maand een periodiek
rapport over het gebruik van Suwinet-Inkijk. Tijdens het veldonderzoek onder gemeenten bleek
de bekendheid met het product bij betrokken functionarissen laag te zijn. Als het product al
bekend was, werd het product een beperkte gebruikswaarde toegekend omdat het volgens
betrokkenen niet voorziet in het signaleren van misbruik. De specifieke rapporten over het
gebruik van Suwinet-Inkijk van een medewerker worden door circa 20 procent van de gemeenten opgevraagd. Alle zbo’s ontvangen van BKWI periodieke rapporten. Een aantal zbo’s heeft in
2008 specifieke rapporten opgevraagd en aantoonbaar disciplinaire maatregelen getroffen.
BKWI concludeert zelf dat de ondersteuning aan partijen bij de monitor van het gebruik van
Suwinet in 2008 onvoldoende is geweest. Het rapportageproces stagneerde enkele malen, de
gebruikswaarde van de rapporten verdient verbetering en het actief aanbieden van deze producten was beperkt.

11

Inspectie Werk en Inkomen

Beveiliging en privacy in de SUWI-keten

12

Inspectie Werk en Inkomen

Beveiliging en privacy in de SUWI-keten

3

Oordeel
De inspectie is van oordeel dat de informatiebeveiliging in de SUWI-keten niet op orde is. De
gemeenten vormen hierbij de zwakste schakel, omdat waarborgen voor informatiebeveiliging
van persoonsgegevens via Suwinet-Inkijk met name bij deze partij ontbreken. De informatiebeveiliging van zbo’s is over het algemeen goed geborgd; wel is sprake van enkele onvolkomenheden.
De wetgever heeft vanaf 2002 gesteld dat het planmatig zorg dragen voor de beveiliging van
gegevens in het domein van werk en inkomen een primaire vereiste is. Per 1 januari 2009
beschikt 78 procent van alle Nederlandse gemeenten over een beveiligingsplan. Het aantal
beveiligingsplannen bij gemeenten is weliswaar in 2008 gegroeid, maar de kwaliteit van dergelijke plannen is vaak ondermaats. Alle zbo’s voldoen aan de verplichting tot het hebben van een
beveiligingsplan; UWV WERKbedrijf werkt met een niet geactualiseerd beveiligingsplan.
De organisatorische invulling van de informatiebeveiliging vertoont bij veel gemeenten lacunes.
Taken en bevoegdheden zijn ten dele beschreven, maar onvoldoende belegd. De security officers, voor zover aanwezig, beschikken veelal over onvoldoende materiekennis. De zbo’s hebben
organisatorische procedures en maatregelen merendeels op orde.
Het instrumentarium van de logische toegangsbeveiliging wordt veelal onvoldoende benut door
gemeenten. De autorisaties en de daaraan gekoppelde toegang tot informatie worden breed
toegekend en niet actueel gehouden. IWI constateert dat medewerkers vaak veel meer informatie kunnen verkrijgen dan voor hun functie nodig is. Daarnaast kan het Inlichtingenbureau
informatie die vanuit afzonderlijke bronsystemen voor medewerkers niet toegankelijk is, via
Suwinet-Inkijk wel worden geraadpleegd. IWI vindt dit met het oog op de privacy-aspecten
doelbinding en proportionaliteit ongewenst. Het merendeel van de zbo’s benut het instrumentarium op voldoende wijze.
De herkenning van beveiligingsincidenten laat bij gemeenten te wensen over. Het gebruik van
Suwinet-Inkijk wordt in de regel bij gemeenten niet gemonitord en ongeautoriseerde toegangspogingen worden niet gedetecteerd. Het is aannemelijk dat hierdoor misbruik of oneigenlijk
gebruik niet wordt opgemerkt. Van het Inlichtingenbureau is bekend dat deze de incidenten niet
analyseert en afwikkelt in relatie tot de ernst van de storing.
BKWI biedt reeds verschillende producten aan waarmee de informatiebeveiliging kan worden
verbeterd. Gebruik hiervan zou tot een kwaliteitsimpuls bij de SUWI-partijen kunnen leiden.
Veel gemeenten zijn echter niet bekend met de BKWI-producten inzake monitoring van
Suwinet. Een aantal gemeenten is kritisch over de meerwaarde van deze producten ten behoeve
van controle op misbruik en oneigenlijk gebruik. Als ondersteuner van de informatiebeveiliging
van Suwinet-Inkijk kan BKWI zich nog verbeteren. IWI is van mening dat gemeenten veel meer
de mogelijkheden kunnen benutten en op die manier bijdragen kunnen leveren aan het vertrouwen in een goede informatiebeveiliging.

13

Inspectie Werk en Inkomen

Beveiliging en privacy in de SUWI-keten

14

Inspectie Werk en Inkomen

Beveiliging en privacy in de SUWI-keten

4

Reactie SUWI-partijen
Reactie betrokken uitvoeringsinstellingen
De Inspectie Werk en Inkomen heeft de conceptrapportage voor een bestuurlijke reactie voorgelegd aan UWV, SVB, BKWI, Inlichtingenbureau en Divosa. In dit hoofdstuk komt de kern van
deze reacties aan de orde. De volledige reacties van de betrokken instellingen zijn opgenomen
als bijlage.
UWV en SVB zijn verheugd dat de inspectie van mening is dat hun beleid ten aanzien van beveiliging en privacy op orde is. UWV zal haar inspanningen voortzetten om minimaal het huidige
beveiligingsniveau te handhaven. SVB heeft met teleurstelling kennis genomen dat de informatiebeveiliging in de SUWI-keten als geheel niet op orde is. SVB is van mening dat maatregelen die
het beveiligingsniveau op korte termijn zullen verhogen prioriteit behoeven.
Het Inlichtingenbureau geeft aan dat voor wat betreft de aandachtspunten uit het rapport die
het Inlichtingenbureau raken reeds maatregelen zijn getroffen. Voorts benadrukt het
Inlichtingenbureau de verantwoordelijkheid van de gemeenteraad. Het Inlichtingenbureau kondigt aan dat zij naar aanleiding van deze rapportage met het BKWI in overleg zal treden om nog
gerichter voorlichting aan gemeenten te geven. Het Inlichtingenbureau heeft het voornemen om
in zijn nieuwsbrief aandacht te besteden aan de bevindingen van IWI en de maatregelen die
gemeenten kunnen nemen. BKWI geeft aan dat de door IWI geuite verbetersuggesties gedeeltelijk reeds in gang zijn gezet. BWKI kondigt aan dat er speciale aandacht zal worden besteed
aan het laten aansluiten van de aan medewerkers toegekende autorisaties bij de door deze
medewerkers uitgeoefende functies.
Divosa deelt de zorgen die IWI in haar rapport uit maar geeft aan dat het onderzoek van IWI
niet ingaat op de oorzaken van de aangetroffen lacunes bij gemeenten en ook niet op de oplossingsrichtingen. IWI heeft bijvoorbeeld niet onderzocht of het normenkader rechtdoet aan de
diversiteit tussen de gemeenten. Ook zou Divosa meer inzicht willen in de representativiteit
van het onderzoek. Tot slot zou Divosa graag inzicht hebben in de redenen die gemeenten aanvoeren voor de door IWI geconstateerde omissies en hun eventuele eigen oplossingen.
Nawoord IWI
IWI geeft met dit rapport inzicht in het niveau van informatiebeveiliging van SUWI-net bij de
SUWI partijen. IWI constateert dat UWV, SVB, Inlichtingenbureau en BKWI de ernst van de
problematiek onderkennen. Deze partijen vragen om maatregelen die het beveiligingsniveau op
korte termijn zullen verhogen. Ook is het goed te zien dat Inlichtingenbureau en BKWI al een
aantal verbetermaatregelen in gang hebben gezet.
De inspectie ziet in de reactie van Divosa een gedeelde zorg voor de zorgvuldige omgang van
gemeenten met de gegevens van mensen die een beroep doen op een uitkering en hulp bij het
vinden van werk. IWI ziet bij Divosa de intentie de beveiliging te blijven agenderen, bijvoorbeeld
via de implementatie van fase 2 van Digitaal Klantdossier (2009-2010).
Divosa stelt de geldigheid van het normenkader ter discussie dat volgens BKWI onveranderd
van kracht is gebleven. De inspectie stelt vast dat de wetgever voorgeschreven heeft dat ook de
gemeenten de informatiebeveiliging op het zelfde niveau moeten inrichten als de andere SUWIpartijen. Zij hoeven zich daar in tegenstelling tot deze andere partijen niet jaarlijks over te verantwoorden aan de minister.
Divosa merkt op dat de inspectie de representativiteit van de steekproef niet onderbouwt.
De inspectie heeft haar oordeel gebaseerd op een representatieve steekproef van 116 beveiligingsplannen van gemeenten. In aanvulling daarop heeft de inspectie diepgaand onderzoek
gedaan bij 12 gemeenten waarbij bij de selectie van deze gemeenten is gekeken naar alle relevante variaties, zoals de grootte van de gemeente.

15

Inspectie Werk en Inkomen

Beveiliging en privacy in de SUWI-keten

16

Inspectie Werk en Inkomen

Beveiliging en privacy in de SUWI-keten

Lijst van afkortingen
BKWI			Bureau Keteninformatisering Werk en Inkomen
CWI			Centrale organisatie werk en inkomen / Centrum voor Werk en Inkomen
ISD			intergemeentelijke sociale dienst
IWI			Inspectie Werk en Inkomen
NAW			naam, adres, woonplaats
SUWI			Structuur uitvoeringsorganisatie werk en inkomen
SVB			Sociale Verzekeringsbank
SZW			Sociale Zaken en Werkgelegenheid
UWV			Uitvoeringsinstituut Werknemersverzekeringen
VNG			Vereniging van Nederlandse Gemeenten
zbo			zelfstandig bestuursorgaan

17

Inspectie Werk en Inkomen

Beveiliging en privacy in de SUWI-keten

18

Inspectie Werk en Inkomen

Beveiliging en privacy in de SUWI-keten

Bijlagen

Reactie Uitvoeringsinstituut Werknemersverzekering
Reactie Sociale Verzekeringsbank
Reactie Stichting Inlichtenbureau Gemeenten
Reactie Bureau Keteninformatisering Werk en Inkomen
Reactie Divosa

19

Inspectie Werk en Inkomen

Beveiliging en privacy in de SUWI-keten

20

Inspectie Werk en Inkomen

Beveiliging en privacy in de SUWI-keten

Publicaties van de Inspectie Werk en
Inkomen
2009
R09/03		Beveiliging en privacy in de SUWI-keten
		Een onderzoek naar de waarborgen van de informatiebeveiliging van Suwinet-Inkijk
		bij gemeenten en zbo's
R09/02		UWV en Walvis
		Achtste rapportage
Jaarverslag 2008
R09/01		Buiten de bijstand
		Onderzoek naar mensen die afzien van een WWB-uitkering of deze niet krijgen
		toegekend

2008
R08/19		Verder op weg naar integrale dienstverlening
R08/17		Zicht op ‘Iedereen doet mee’
		Stand van zaken uitvoering participatiebeleid zomer 2008
R08/15		Kansen en belemmeringen
R08/12-13		Perspectief op duurzame uitstroom uit de WWB
R08/11		Met invloed meer werk
		Vervolgonderzoek naar het effect van klantinvloed op de re-integratie van her		beoordeelde WAO-gerechtigden
Jaarplan 2009
R08/10		Handhaving: Preventie boven repressie
R08/09		De Sociale Verzekeringsbank op weg naar 2010
		Tweede rapport: het verandertraject SVB Tien in 2007
R08/08		De lerende keten
		Leren door samen te werken in het stelsel voor werk en inkomen
R08/07		Het eerste jaar
		Ondersteuning van burgers in het stelsel voor werk en inkomen
R08/06		Stap voor stap door de keten
		Dienstverlening aan doorlopers WW/WWB
Jaarverslag 2007
R08/05		De weg naar (maat)werk
		Onderzoek in de regio Oost naar de voorwaarden waaronder de activering van
		werklozen in de WW tot stand komt
R08/04		UWV en Walvis
		Zevende rapportage
R08/03		Oog voor veiligheid
		Vervolgonderzoek kwaliteit uitvoering kraankeuringen
R08/02		Invoering Wia
		Rapport over implementatie Wet werk en inkomen naar arbeidsvermogen
R08/01		Handhaven door certificeren
		Een onderzoek naar het functioneren van certificerende instellingen op het ter-rein
		van asbestverwijdering

21

Inspectie Werk en Inkomen

Beveiliging en privacy in de SUWI-keten

U kunt deze publicaties opvragen bij:
Inspectie Werk en Inkomen
Afdeling Strategie en communicatie
communicatie@iwiweb.nl
www.iwiweb.nl
Telefoon (070) 304 44 44
Fax (070) 304 44 45
Postbus 11563
2502 AN Den Haag

22

Inspectie Werk en Inkomen

Beveiliging en privacy in de SUWI-keten