Rekenkamer hekelt departementen

Minister Zalm meldt in reactie dat ‘een kosten-batenafweging de balans kan doen doorslaan naar het relatief meer aandacht geven aan andere belangrijke zaken’. Uit het antwoord van de minister blijkt een zekere ‘irritatie’, meent Gerrit de Jong. De Jong is één van de drie collegeleden van de Algemene Rekenkamer. ‘Dat duidt er misschien op dat het voorschrift nauwelijks uitvoerbaar is. Normaliter bemoeien wij ons niet met beleid en regels. Wij controleren de jaarverslagen en de bedrijfsvoering. Maar de problemen rond de VIR zijn zo uitzonderlijk dat we de minister van Binnenlandse Zaken, die verantwoordelijk is voor de coördinatie, adviseren om het voorschrift tegen het licht te houden." Dat zeven van de dertien departementen hun beveiliging na tien jaar nog steeds niet op orde hebben, toont dat de VIR niet serieus genomen wordt, meent De Jong. ‘Zeer ten onrechte. Het belang van informatiebeveiliging kun je niet overschatten in de informatiemaatschappij. Als de beveiliging niet voldoet vanwege het voorschrift dan is er sprake van risico’s en dan moeten de betrokken departementen met de verantwoordelijke minister om de tafel gaan zitten om vast te stellen hoe het wel moet." Het Voorschrift Informatiebeveiliging Rijksdienst werd in 1994 vastgesteld. In 1997 moesten alle departementen beschikken over een beveiligingsbeleid, beveiligingsplannen en een plan tot implementatie. Naast de eerder genoemde Belastingdienst heeft één departement zelfs nog geen beleid. Op drie ministeries is de implementatie gestagneerd. Twee ministeries hebben nog geen plannen opgesteld. Het gaat om een pakket maatregelen dat de beschikbaarheid en de integriteit van informatie garandeert. Voor een deel gaat het om pure ICT-beveiligingstoepassingen. Jaarlijks kost de VIR de departementen enkele miljoenen euro’s. Minister Zalm ziet meer in ‘het vergroten van de professionele verantwoordelijkheid van de medewerkers van de Belastingdienst dan het met technische maatregelen beperken van de risico’s’. Hij wil wel laten onderzoeken voor welke systemen logging en loganalyse ‘toegevoegde waarde hebben’. Maar dan wordt wel een ‘afweging gemaakt tussen de risico’s en de kosten’. Bij het ministerie van Binnenlandse Zaken was niemand beschikbaar voor commentaar.