DPIA Oplegger ESET Endpoint Security Services

Deze oplegger bouwt voort op de landelijke DPIA van SLM Rijk (uitgevoerd door Privacy Company) over ESET-beveiligingssoftware, en maakt die bruikbaar voor gemeenten en gemeenschappelijke regelingen. De landelijke DPIA noemt zelf alle zestien geïdentificeerde risico’s ‘laag’, maar die conclusie geldt alleen onder voorwaarden. De oplegger werkt uit welke keuzes en vervolgacties daarmee bij de gemeente zelf komen te liggen.

Doel van de gegevensverwerking

Het beveiligen van de gemeentelijke IT-infrastructuur (endpoints, servers en/of e-mailomgeving) tegen malware, phishing en andere digitale dreigingen, conform de BIO 2.0, met ESET als verwerker.

Belangrijkste risico’s en getroffen waarborgen

De oplegger voegt zeven lokale risico’s toe naast de zestien uit de landelijke DPIA, zonder die opnieuw te beoordelen. Er is geen ‘hoog’ risico; de hoogste scores (6, ‘middel’) betreffen de nog niet vastgestelde deployment-variant, met bij de standaard publieke cloud internationale doorgifte naar de VS en circa dertig derde landen, en afname van ESET buiten de raamovereenkomst van SLM Rijk, waardoor de onderhandelde afspraken niet gelden. Overige risico’s betreffen onder meer onduidelijke rolverdeling bij inkoop via een gemeenschappelijke regeling, blind vertrouwen op leveranciersinstellingen, onvoldoende rolscheiding bij ICT-beheerders en toezeggingen van ESET die mogelijk nog niet zijn geleverd. Het document bevat ook een kant-en-klare registerbijlage.