20241218 Rekenkamer Almelo - Informatiebeveiligingscultuur

Ook de reactie op een melding van een incident kan positief bijdragen aan de meldbereidheid. Een positieve reactie waarbij duidelijk wordt uitgelegd wat met de melding gedaan gaat worden werkt uitnodigend om een volgende keer weer te melden. In bijlage 4.2 is een reactie opgenomen vanuit de Servicedesk aan een (externe) medewerker op de door de onderzoekers verstuurde mail-phishing. De reactie geeft instructies, maar biedt ook nog ruimte voor verbetering. Zo zou de mail nog kunnen bedanken voor de melding en aan kunnen geven waarom het goed is dat de melding gedaan is. Relatief kleine aanpassingen die een positief verschil in beleving kunnen maken.

3.2.7

Wisselwerking met processen

De gemeente Almelo beschikt over een ISMS-tool, een programma dat onder andere een PDCA-cyclus kan faciliteren, echter is het programma nog niet ingericht om dit te doen. Momenteel is men bezig met deze inrichting, met de ambitie om begin 2025 het management hierbij te betrekken. Het management zal als proceseigenaar de input moeten geven voor deze PDCA-cyclus. Met deze input wordt het mogelijk om de praktijk als feedback te gebruiken om zowel het beleid als de processen aan te passen. Het gebruik van een ISMS-tool faciliteert de uitvoering van een PDCA-cyclus, echter hoeft geen voorwaarde te zijn om hier inhoudelijk al een start mee te maken. Het betrekken van het management, juist in de fase vooraf, kan van meerwaarde zijn van de adaptie van dit proces.

De afhandeling van security-incidenten is recent op papier gezet. De bedoeling is om uiteindelijk de incidentenregistratie als input te gebruiken om de algehele kwaliteit te verbeteren (onderdeel te maken van een PDCA-cyclus). Vooralsnog worden deze niet gebruikt als onderbouwing voor aanpassingen of verbeteringen.

Kijkende naar het proces van inkoop en innovatie, wordt de informatiebeveiligingsorganisatie vaak nog te laat en soms pas achteraf betrokken. Hierdoor is het lastig om de gewenste ‘security by design’ te voeren. Vanuit de afdeling zijn acties ondernomen om de zichtbaarheid te vergroten, zo is bijvoorbeeld het contact met adviseurs is geïntensiveerd. In het afgelopen jaar is de situatie hierdoor verbeterd en wordt de afdeling naar eigen zeggen al vaker aangehaakt. Het geeft aan dat informatiebeveiliging nog niet ‘top of mind’ is bij medewerkers en daarom beter geborgd mag worden binnen (nieuwe) processen.

Informatiebeveiliging gaat voor een groot deel over risicomanagement. Op het vlak van integraal risicomanagement mag de gemeente Almelo nog stappen zetten. Wanneer onvoldoende zicht is op risico’s

Hoffmann | Dossiernummer 22404067 | OPENBAAR

Pagina 23 van 37

binnen de verschillende processen is het tevens lastig om hier prioritering aan te brengen en besluitvorming op toe te passen. De CISO heeft een belangrijke rol in het communiceren van risico’s op bestuurlijk niveau, niet alleen incidentgedreven maar ook op de langere termijn. Verder is dit echter een thema wat de gehele organisatie zal moeten gaan omarmen. Volgens het beleid is het management als proceseigenaar verantwoordelijk voor de informatiebeveiligingsrisico’s binnen de eigen processen, waar de informatiebeveiligingsorganisatie behoort te ondersteunen en faciliteren. In praktijk mag deze verantwoordelijkheid duidelijker belegd en opgepakt worden.

3.2.8

Gedrag in de praktijk

De toetsing van het gedrag van medewerkers is momenteel geen periodiek terugkerende gebeurtenis binnen de gemeente Almelo. Vanuit de ICT-afdeling geeft men aan graag vaker te willen testen met bijvoorbeeld mail-phishings, de tooling is er tevens voor aanwezig, men krijgt hier echter geen goedkeuring voor.

Om een beeld te krijgen van het bewustzijn en het gedrag in de praktijk, en daarmee antwoord te kunnen geven op de deelvragen rondom werking, zijn in het kader van dit onderzoek een tweetal testen uitgevoerd:

1. Mail-phishingtest, waarbij een e-mail naar alle medewerkers van de gemeente Almelo is verstuurd die uitnodigde op een link te klikken en de gebruiker te verleiden om persoonlijke inloggegevens af te geven; 2. Fysieke inlooptest, waarbij twee medewerkers van Hoffmann hebben geprobeerd om zonder toestemming toegang te krijgen tot de gemeentelijke werkplekken.

3.2.8.1 Mail-phishingtest Bij de mail-phishingtest is in 40% van het totaal aantal verstuurde e-mails geklikt op de link in de e-mail. Vervolgens zijn bij 31% van het totaal aantal verstuurde e-mails inloggegevens achtergelaten. Dit percentage is relatief hoog vergeleken met andere gemeenten waar een soortgelijk scenario is toegepast. Gemiddeld zien de onderzoekers dat ongeveer 15% van de gebruikers hun gebruikersnaam en wachtwoord achterlaat.

Binnen de gemeentelijke organisatie zijn 22 meldingen geregistreerd. Vergeleken met het totaal aantal verzonden mail-phishings is dit relatief laag (1,8%). Hieruit kunnen twee mogelijke, elkaar niet uitsluitende, conclusies getrokken worden; medewerkers zijn niet in staat geweest om de mail-phishing te herkennen als zodanig (bevestigd door het grote aantal dat reacties in kliks en inloggegevens) én c.q. óf het meldproces is onvoldoende duidelijk en bekend (zoals tevens blijkt uit de interviews, besproken in paragraaf 3.2.6).

Hoffmann | Dossiernummer 22404067 | OPENBAAR

Pagina 24 van 37

Een beschrijving van de opzet en het verloop van de test en de resultaten is opgenomen in bijlage 3.2. Vanwege de gevoeligheid van bepaalde details is ervoor gekozen om deze in bijlage 4.7 (vertrouwelijk) op te nemen.

3.2.8.2 Fysieke inlooptest Gedurende de test is het de Mystery Guests (MG’s) gelukt toegang te verkrijgen tot het stadhuis en de kantoorruimtes. Hierbij konden ze onopgemerkt binnen het pand verblijven. Binnen in het pand en bij de hoofdingang viel op dat de beveiliging alert was op hun aanwezigheid. Uiteindelijk kregen de MG’s wel toegang tot het stadhuis door (onbedoelde) hulp van andere medewerkers. Hoewel ze door de gangen konden lopen, hadden ze geen toegang tot de lift of trap zonder een pas. Dit toont aan dat interne toegangscontroles effectief zijn, maar dat de beveiliging aan de buitenste ringen nog verbeterd kan worden en het gedrag van medewerkers hier tot een beveiligingsrisico leidt. Op een aantal verdiepingen zagen de MG’s onbeheerde werkplekken met (gevoelige) documenten, zoals een formulier voor bijzondere bijstand. Het was opvallend dat de MG’s niet werden aangesproken door medewerkers terwijl zij herhaaldelijk, zonder zichtbare toegangspas, over dezelfde verdiepingen hebben gelopen en zich op een aantal plekken hebben opgehouden. Het was voor de MG’s niet mogelijk om de beveiligde zones (zoals SER ruimte of de bestuursvleugel) te betreden zonder toegangspas.

In bijlage 4.3 zijn in het kort de opzet en doelstellingen van de inlooptest opgenomen. In bijlage 4.7 (vertrouwelijk) is een uitgebreide beschrijving van het verloop van de fysieke inlooptest opgenomen.

3.2.8.3 Aanbevelingen over gedrag in de praktijk De hierboven beschreven resultaten onderschrijven het belang van een consequente en voortdurende aandacht voor bewustwording, kennisdeling en de rol van de medewerker binnen (informatie)beveiliging. Het is belangrijk om medewerkers mee te nemen in de verschillende technieken, vormen en consequenties van phishing en social engineering te beginnen door de aankomende bewustwordingscampagne, maar ook door praktijktoetsen en het delen van actuele voorbeelden. Daarnaast is het belangrijk dat zij meegenomen worden in wat van hen verwacht wordt aangaande informatieveilig gedrag en hoe te handelen in een geval van phishing c.q. social engineering. Op dit moment vormt het hulpvaardige, onbewust onbekwame gedrag van de medewerker een beveiligingsrisico. Naast aanbevelingen op de factor ‘mens’ zijn ook bevindingen gedaan aangaande fysieke beveiliging, hieronder worden een aantal relevante maatregelen beschreven; •

Striktere toegangscontrole alle in- en uitgangen van het stadhuis: Zorg ervoor dat toegang tot alle ingangen strikt gecontroleerd wordt en dat medewerkers alert zijn op personen die proberen mee te lopen. Mogelijk zouden sommige ingangen vervangen kunnen worden door een tourniquet, omdat constante monitoring niet altijd haalbaar is.

•

Compartimentering: Indien men door de eerste beveiligingsschil is gekomen, is het relatief eenvoudig om zich door het pand voort te bewegen. Hoffmann adviseert om ook binnen het pand

Hoffmann | Dossiernummer 22404067 | OPENBAAR

Pagina 25 van 37

een effectievere vorm van compartimentering te realiseren. Bijvoorbeeld door op elke verdieping in het trappenhuis een paslezer te plaatsen of in ieder geval op de verdiepingen waar kritieke ruimten aanwezig zijn (zoals de postkamer, SER, bestuursvleugel). •

Regelmatig beoordelen van beveiligingsprocedures: Periodieke herzieningen en oefeningen zoals deze fysieke inlooptest helpen om de effectiviteit van de huidige procedures te beoordelen en te verbeteren.

•

Beheer van gevoelige documenten: Zorg ervoor dat gevoelige documenten altijd veilig worden opgeborgen, zelfs op onbeheerde werkplekken. Het onder de aandacht (blijven) brengen van de clean desk policy kan hierbij helpen, evenals het beschikbaar stellen van kasten of kluisjes voorzien van een slot.

•

Prompt aanspreken van onbekenden: Medewerkers moeten worden aangemoedigd om onbekende personen direct aan te spreken en hun aanwezigheid te verifiëren. Gezien de grootte van de organisatie en de doorloop van personeel zou het aanmoedigen van het zichtbaar dragen van de personeelspas een bijdrage kunnen leveren in het identificeren van (ongewenste) personen.

Hoffmann | Dossiernummer 22404067 | OPENBAAR

Pagina 26 van 37

Disclaimer De volgende medewerkers van Hoffmann hebben het onderzoek uitgevoerd en deze rapportage opgemaakt:

Esther Kraan, Psycholoog - Consultant Cybersecurity & Security Riskmanagement

Laurens Kolfschoten - Security Consultant

Ondergetekende is vanuit zijn rol als leidinggevende eindverantwoordelijk voor dit onderzoek.

Johan van Slooten

Directeur Cybersecurity & Security Risk management

Dit rapport is geschreven voor de opdrachtgever, zodat hij of zij staat wordt gesteld om maatregelen te nemen teneinde de cyberweerbaarheid van zijn/haar organisatie te verhogen. Wij kunnen geen aansprakelijkheid aanvaarden voor acties of maatregelen die door opdrachtgever of diens vertegenwoordigers op basis van het rapport worden ondernomen. Tenslotte verwijzen wij naar de van toepassing zijnde dienstverleningsvoorwaarden.

Almere, 26 november 2024

Hoffmann | Dossiernummer 22404067 | OPENBAAR

Pagina 27 van 37

4. Bijlagen 4.1

Maturity modelinformatiebeveiliging

Hoffmann | Dossiernummer 22404067 | OPENBAAR

Pagina 28 van 37

4.2

Verloop mail-phishing test

Gedurende de onderzoeksperiode hebben onderzoekers van Hoffmann in overleg met gemeente Almelo een mail-phishing verstuurd naar alle medewerkers. De e-mail werd verstuurd van een e-mailadres met een ander domein dan @almelo.nl. Op donderdag 4 juli 2024 rond 11:00 uur werd de mail naar 1208 unieke e-mailadressen verstuurd. In de e-mail werd een drinkfles aangeboden, zogenaamd vanuit de gemeente. De e-mail was ondertekend op een manier die gebruikelijk is in de gemeentelijke organisatie. Men kon de drinkfles bestellen door te klikken op een link en op de website de inloggegevens in te vullen.

Figuur 2: inhoud mail-phishing (zie vertrouwelijke bijlage 4.7) Figuur 3: website mail-phishing (zie vertrouwelijke bijlage 4.7)

Doordat de link naar de website een uniek ID bevat, kon worden geregistreerd hoeveel unieke gebruikers de website bezochten en/of hun gebruikersnaam (e-mailadres van de gemeente) en wachtwoord invulden. De wachtwoorden van gebruikers zijn niet geregistreerd of opgeslagen tijdens de mailphishing.

Er zijn in totaal 487 unieke bezoekers geregistreerd (40%) waarvan 373 gebruikers (31% van totaal verstuurde mail-phishings, 77% van de websitebezoekers) hun gebruikersnaam en wachtwoord hebben ingevuld. De test is gestopt op dinsdag 9 juli rond 12:40 uur door de website te vervangen door een boodschap dat het een test betrof en dat deze inmiddels is afgerond. Vanuit de gemeentelijke informatiebeveiligingsorganisatie is gecommuniceerd dat het om een ‘spambericht’ gaat. De medewerkers werden geïnformeerd over de mail, tips om dergelijke berichten te herkennen en er werd aangegeven hoe zij het beste konden handelen.

Een aantal van de medewerkers hebben gereageerd op de mail-phishing door deze te beantwoorden, een voorbeeld van de reacties: •

“Hoe zit voor mijn overige collega’s die geen mail hebben gekregen over een doper? Kan ik dit voor bestellen of ?”

•

“Wat een ontzettend leuk initiatief! Dank je wel!”

•

“Nog duurzamer is om geen Dopper’s te laten fabriceren

”

Vanuit een andere reactie klonk meer reserve: •

“Beste collega, leuke actie! maar ik vind heel raar en heb er moeite mee om mijn wachtwoord op een externe website (bestel.bedrijfsvouchers.nl) in te voeren. Dit voelt niet goed en lijkt mij in strijd met de introductiecursus dataveiligheid.”

Hoffmann | Dossiernummer 22404067 | OPENBAAR

Pagina 29 van 37

Onderzoekers adviseren niet op phishingmails te reageren, ook niet om wantrouwen te uiten. Het geeft kwaadwillende de bevestiging dat het e-mailadres geldig en actief is én het contact biedt een directe opening om de ontvanger toch te overtuigen en aan te zetten tot actie.

Een (externe) medewerker heeft melding gedaan van de mail-phishing en de volgende reactie ontvangen van de servicedesk:

Figuur 4: reactie servicedesk op melding mail-phishing

Hoffmann | Dossiernummer 22404067 | OPENBAAR

Pagina 30 van 37

4.3

Opzet fysieke inlooptest

Aan medewerkers van Hoffmann is ten behoeve van de opdracht toestemming verleend om dinsdag 2 juli 2024 tussen 06:00 en 23:00 uur, als onderzoekers / Mystery Guests (hierna te noemen MG’s) het pand aan de Haven Zuidzijde 30, 7607 EW te betreden en om foto’s te maken.

De doelstellingen van de fysieke inlooptest luiden: •

Testen of het mogelijk is om als mystery guest de panden fysiek te betreden;

•

Testen of het mogelijk is om vertrouwelijke informatie (digitale en fysieke informatie) te bereiken;

•

Testen van de awareness van de medewerkers en beveiliging en of/hoe zij de beveiligingsmaatregelen toepassen.

Een gedetailleerd verslag van de inlooptest is op vertrouwelijke basis verstrekt aan de gemeente (bijlage 4.7).

Hoffmann | Dossiernummer 22404067 | OPENBAAR

Pagina 31 van 37

4.4

Verklarende woordenlijst

Onder leiding van Cyberveilig Nederland (https://www.cyberveilignederland.nl/) hebben ruim 60 organisaties, overheidspartijen en private partijen meegewerkt aan de samenstelling van het cybersecurity woordenboek. Er is een verklarende woordenlijst opgesteld met bijna 600 cybersecuritytermen om bijvoorbeeld rapporten, adviezen of offertes beter te begrijpen.

Voor het complete woordenboek verwijzen wij graag naar: www.cyberveilignederland.nl/woordenboek

Hieronder een opsomming Evan cybersecuritytermen die voorkomen in deze rapportage.

BEGRIP

BETEKENIS

BIO

Baseline Informatiebeveiliging Overheid, het basis normenkader voor informatiebeveiliging binnen de overheid.

CISO

De medewerker die aangewezen verantwoordelijk is voor informatiebeveiliging. Rol op strategisch niveau. Bestuur blijft altijd eindverantwoordelijke.

FG

Functionaris Gegevensbescherming. Verantwoordelijk voor toezicht op toepassing en naleving van de AVG.

Gebruikersnaam

Naam waarmee een gebruiker in een computersysteem kan inloggen.

Informatiebeveiligings-

Het team wat zich binnen een bedrijf bezig houdt met

organsiatie

het beschermen van de vertrouwelijkheid, integriteit en beschikbaarheid van informatie.

ISMS

Information Security Management Tool. Verzameling van alle onderling samenhangende elementen op het vlak van informatiebeveiliging. Helpt beleid, procedures en doelstellingen te formuleren, implementeren, communiceren en evalueren om de algehele informatiebeveiliging te verbeteren/garanderen.

ISO

Information Security Officer. Verantwoordelijk voor informatiebeveiligingsbeleid evenals de implementatie en toezicht op uitvoering. Tevens verantwoordelijk voor strategie op het gebied van informatiebeveiliging.

Inloggegevens

Gebruikersnaam en wachtwoord waarmee in een computersysteem kan inloggen.

Hoffmann | Dossiernummer 22404067 | OPENBAAR

Pagina 32 van 37

BEGRIP

BETEKENIS

Incident

Gebeurtenis of actie waarbij de beveiliging van hardware, software, informatie, een proces of organisatie mogelijk is gevaar is gebracht of geheel of gedeeltelijk is doorbroken.

Logging

Het automatisch bijhouden van veranderingen en gebeurtenissen binnen een systeem.

Malware

Kwaadaardige software die aanvallers op een digitaal systeem zetten om er op afstand bij te kunnen, het te vernielen of informatie te stelen. Malware is een samentrekking van het Engelse malicious software.

Mitigerende maatregel

Een activiteit met als doel om de oorzaak of het gevolg van een ongewenste gebeurtenis weg te nemen, of te verkleinen.

Mystery guest bezoek

Beveiligingstest waarbij een daartoe aangewezen persoon op bezoek gaat bij een organisatie. Daar probeert hij in ruimtes te komen waar hij niet mag komen. En hij probeert bij informatie te komen waar hij niet bij mag komen. Zo test de persoon deze organisatie. Men kan deze test combineren met een penetratietest. In dat geval gaat de mystery guest een beveiligde ruimte in. Daar probeert hij in te breken op het lokale computernetwerk.

PDCA

Plan-Do-Check-Act (cyclus). Stappen ter verbetering van bijvoorbeeld een proces of beleid.

Phishing/Mail-phishing

Aanval waarbij de aanvaller iemand verleidt om belangrijke informatie te geven, zoals bijvoorbeeld inloggegevens of creditcardgegevens. Phishing gebeurt vaak via e-mails. Maar aanvallers proberen het ook via de telefoon, een sms of een app-bericht

PO

Privacy Officer. Verantwoordelijk voor het ontwikkelen en bewaken van het privacybeleid en ondersteuning bieden bij uitvoering van het beleid.

Ransomware

Ransomware is malware die de databestanden van gebruikers versleutelt, met als doel om deze later te ontsleutelen in ruil voor losgeld.

Security by design

Een product, dienst of systeem ontwerpen en vanaf het begin ook de beveiliging mee ontwikkelen en testen.

Hoffmann | Dossiernummer 22404067 | OPENBAAR

Pagina 33 van 37

BEGRIP

BETEKENIS

SER

Satellite Equipment Room, een satelliet van het technische hart van een bedrijf. Ruimte waarin serverapparatuur, netwerkapparatuur en IT-infrastructuur aanwezig zijn.

Toon aan de top

De houding en gedrag van het hogere management en de invloed hiervan op de cultuur en normen binnen de gehele organisatie.

Wachtwoord

Reeks van letters, cijfers en of andere karakters waarmee een gebruiker in een computersysteem kan komen. Het is de bedoeling dat een gebruiker dit wachtwoord niet aan anderen geeft en een sterk wachtwoord kiest zodat dit moeilijk te kraken is door aanvallers

Hoffmann | Dossiernummer 22404067 | OPENBAAR

Pagina 34 van 37

4.5

Overzicht geïnterviewden

Functie

Datum interview

CISO

2 juli 2024 + 4 juli 2024

TISO

2 juli 2024

Functionaris gegevensbescherming

2 juli 2024

ISO

2 juli 2024

Interviews medewerkers (5)

4 juli 2024 + 16 juli 2024

Wethouder / portefeuillehouder

16 juli 2024

Sessie raadsleden

16 juli 2024

Hoffmann | Dossiernummer 22404067 | OPENBAAR

Pagina 35 van 37

4.6

Overzicht bestudeerde documenten

Onderstaande tabel bevat de documenten die zijn ontvangen vanuit de gemeente Almelo en bestudeerd ten behoeve van het onderzoek naar de organisatie van informatiebeveiliging.

Document

Versie

Datum

Strategisch Gemeentelijk Informatieveiligheidsbeleid gemeente Almelo

1.2

05-08-2021

Procedure datalekken Gemeente Almelo

2.0

07-05-2024

Jaarverslag 2023 van de Functionaris Gegevensbescherming

-

-

Update privacy & informatiebeveiliging

-

Dec. 2023

Procedure gevonden bedrijfsmiddelen-documenten

-

-

Projecten Informatiebeveiliging – Jaarplan 2024

-

-

Quick reference chart melden datalek

-

-

Rapportage informatiebeveiliging Gemeente Almelo Q3 en Q4 2023

-

12-12-2023

Tactisch informatiebeveiligingsbeleid 2023-2026 Gemeente Almelo

1.0

-

Verbeterplan informatiebeveiliging-v1.2

1.2 definitief

-

2021-2026

Hoffmann | Dossiernummer 22404067 | OPENBAAR

Pagina 36 van 37

VERTROUWEN IS GOED, HOFFMANN IS BETER

Hoffmann | Dossiernummer 22404067 | OPENBAAR

www.hoffmann.nl

Pagina 37 van 37

Raadsvergadering: Registratienummer:

De Raad van de Gemeente Almelo: Gezien het voorstel van de rekenkamer Almelo;

Besluit:

1

Gedaan in de openbare vergadering van de griffier,

de burgemeester,

drs. J.W. Scherpenzeel

R.T.A. Korteland

Pagina 1 van 5 Raad - 2408465

Raadsvergadering: Registratienummer:

Naam: E Alp Datum: Team/teamonderdeel: RGF Raadsgriffie/*

Voorstel aan de raad Onderwerp Portefeuillehouder

Rekenkameronderzoek Informatiebeveiligingscultuur Rekenkamer Almelo

Samenvatting raadsvoorstel De rekenkamer helpt de gemeenteraad bij het controleren van het college van burgemeester en wethouders door het doen van onderzoek. De RKA onderzocht in 2024 de informatiebeveiligingscultuur van de gemeente Almelo. Bureau Hoffmann voerde het onderzoek uit, vanuit een menselijk-, proces- en systeemperspectief. Op basis van het onderzoeksrapport formuleerde de RKA conclusies en aanbevelingen voor het college van B&W om het bewustzijnsniveau naar een hoger niveau te tillen. De RKA stelt de gemeenteraad voor om de conclusies over te nemen en de aanbevelingen vast te stellen zodat het college deze tot uitvoering kan brengen.

Voorgesteld raadsbesluit 1. De conclusies van de rekenkamer over het onderzoeksrapport Informatiebeveiligingscultuur over te nemen. 2. De praktische aanbevelingen uit het rapport (nummers 1, 2, 3, 4, 5, 8, 9, 10 en 11) vast te stellen en het college op te dragen deze ten uitvoering te brengen. 3. Het college op te dragen een plan van aanpak te formuleren voor de uitvoering van de praktische aanbevelingen en hierover de raad infomeren per separate raadsbrief. 4. De kaderstellende aanbevelingen (nummers 6 en 7) uit het rapport vast te stellen en het college op te dragen deze ten uitvoering te brengen door: - bijeenkomsten te organiseren voor raad en college om kennis te verwerven, te werken aan de eigen bewustwording en de raad mee te nemen in de keuzes waar Almelo voor staat (bijvoorbeeld keuzes die i.h.k.v. de praktische aanbevelingen moeten worden gemaakt), en vervolgens - het gesprek tussen raad en college te voeren over de benodigde kaderstelling door de raad, zoals bijvoorbeeld over ambities en risico’s en de mogelijk daaruit voortvloeiende benodigde bijstelling van budgetten en de gewenste visie die het college naar de organisatie uit zal dragen. 5.

Het college te verzoeken om een geactualiseerd beeld, over maximaal 3 jaar, van het bewustzijnsniveau van de informatiebeveiliging op basis van een door/namens het college uitgevoerd onderzoek gelijkwaardig aan dit rekenkameronderzoek (bijvoorbeeld door een 2.13a onderzoek).

Inleiding Aanleiding onderzoek en onderzoeksaanpak Bureau Hoffmann heeft namens de RKA de informatiebeveiligingscultuur in de gemeente Almelo onderzocht. Informatiebeveiliging beschermt de informatie binnen de gemeente tegen een breed scala aan bedreigingen d.m.v. organisatorische, technische en beleidsmatige maatregelen. Die vallen of staan bij het gebruik en opvolging van de gebruiker. Bureau Hoffmann richtte zich daarom in dit onderzoek op de informatiebeveiligingscultuur, vanuit een menselijk, proces én systeemperspectief. Daarbij stond de volgende doelstelling centraal: “Middels een nulmeting het huidige kennis- en

bewustzijnsniveau van de medewerkers (inclusief college en raad) van de gemeente Almelo en de wisselwerking van menselijk gedrag met de systemen in kaart brengen en hierbij verbeteractiviteiten Pagina 2 van 5 Raad - 2408465

te benoemen die aansluiten bij de huidige bedrijfscultuur van de gemeente, om het kennis- en bewustzijnsniveau optimaal naar een hoger volwassenheidsniveau te tillen.” De hoofdvraag luidde: “Hoe is de staat van de informatiebeveiligingscultuur en de wisselwerking met

de systemen en processen?”

In het onderzoek is het Maturity Model Informatiebeveiliging gebruikt als normenkader om de cultuur te duiden. Dit model geeft verschillende niveaus aan (van 1: initieel tot 5: optimaliseren), uitgaande van fasen van ontwikkeling. Voor het onderzoek zijn de belangrijkste documenten geanalyseerd, er vonden 2 praktijktoetsen plaats en er vonden interviews plaats met raadsleden, de portefeuillehouder, functionarissen en medewerkers van de gemeente Almelo. Samenvatting beantwoording hoofdvraag Op basis van het onderzoek wordt het huidige niveau van de informatiebeveiligingscultuur van de gemeente Almelo ingeschat tussen niveau 1 en 2 van het Maturity Model (zie bijlage X). Er zijn nog geen beleid of processen aangaande de informatiebeveiligingscultuur en bewustzijn. Het gebrek aan concrete acties gericht hierop heeft zijn weerslag op de wisselwerking met de systemen en processen. Deze conclusie geeft het belang en urgentie aan van structurele aandacht voor de informatiebeveiligingscultuur. Samenvatting beantwoording deelvragen

Opzet

De gemeente beschikt momenteel niet over een concreet plan waarin beschreven staat hoe men structureel aandacht besteedt aan de informatiebeveiligingscultuur en het verhogen van het bewustzijn onder zijn medewerkers. Dit heeft zijn weerslag op de praktijk. Met de komst van de huidige CISO wordt opnieuw ingezet op cultuur en bewustwording met een bewustwordingscampagne in het najaar van 2024. Het strategische informatiebeveiligingsbeleid benoemt een aantal uitgangspunten over cultuur en bewustwording maar nog meer uitgangspunten kunnen geformuleerd worden vanuit een ‘eigen’ visie en huidige stand van zaken in de gemeente. Omdat de huidige uitvoering zich voornamelijk richt op de actuele gang van zaken is de vraag of de gemeente het hoofd weet te bieden aan (externe) ontwikkelingen moeilijk te beantwoorden. Het gebrek aan beleid en de huidige inrichting van de praktijk maken dat informatiebeveiliging voornamelijk ad-hoc en incidentgedreven wordt opgepakt. Momenteel worden de uitgangspunten in het beleid nog niet aangepast naar aanleiding van de praktijk, maar hier wordt wel aan gewerkt.

Bestaan Momenteel is weinig tot niets beleidsmatig vastgelegd op het vlak van bewustwording en informatiebeveiligingscultuur. Het thema krijgt al langere tijd weinig tot geen aandacht in de praktijk. Vooralsnog wordt geen onderscheid gemaakt in doelgroepen, wel is de ambitie uitgesproken om in de toekomst de (nog komende) e-learning functie/rolspecifiek in te richten en aparte kennissessies te organiseren. Er is op dit moment nog geen sprake van een kwaliteitscyclus waarbij periodiek wordt geëvalueerd en op basis daarvan wordt doorontwikkeld. De verwachting is dat het overnemen van de aanbevelingen, maar ook aankomende nieuwe wetgeving, vragen om een extra investering en dat daarmee het huidige budget in de komende jaren niet meer toereikend zal zijn.

Werking Informatiebeveiliging is nauwelijks onderdeel van de bedrijfscultuur binnen de gemeente Almelo. Zowel in beleid als in praktische zin is er weinig aandacht voor de rol van de mens en zijn gedrag, kennis, gewoonten en ideeën rond dit thema. Het wordt veelal gezien als een operationele verantwoordelijkheid van de CISO en de ICT-afdeling, waar het eigenlijk meer als een verantwoordelijkheid van iedereen beschouwd zou moeten worden. Er is wel sprake van een redelijke aanspreekcultuur. Over het geheel genomen lijken alle partijen het thema informatiebeveiliging te zien als een belangrijk onderwerp. Gaat het over de informatiebeveiligingscultuur, dan komt dit voornamelijk Pagina 3 van 5 Raad - 2408465

terug in de gesprekken met de informatiebeveiligingsorganisatie zelf en bij medewerkers. Hoe verder de afstand van de organisatie, hoe meer het thema als een ‘operationele ICT-kwestie’ wordt gezien. De aandacht van het college gaat voornamelijk uit naar vaststelling van beleid. Het college vindt dat zaken operationeel goed worden aangestuurd door de gemeentesecretaris. Daar ligt nog een kans om informatiebeveiliging meer vanuit een visie en een cultuurperspectief te benaderen en te benadrukken. Binnen de raad wordt informatiebeveiliging gezien als een ICT-verantwoordelijkheid en men heeft geen zicht op het cultuur-aspect hieromtrent. De toetsen die plaatsvonden om de wisselwerking tussen kennis, gedrag- en bewustzijnsniveau te duiden laten de nut en noodzaak zien voor meer bewustwording rondom informatiebeveiliging.

Rol van de raad De raad is weinig betrokken op het thema informatiebeveiliging, cultuur en bewustwording en wordt incidenteel geïnformeerd. De kaderstellende en controlerende rol worden op dit thema niet tot nauwelijks in praktijk gebracht. De raad ziet daarnaast informatiebeveiliging als een belangrijke ‘hygiënefactor’ waarvan de verantwoordelijkheid ligt bij de ICT-afdeling. De raad beschikt over onvoldoende kennis en informatie om kritisch mee te denken over de inrichting van informatiebeveiliging. Idealiter ziet de raad dat de ICT-afdeling technisch alles goed beveiligd en dat zij in uitvoering van de rol als raadslid soepel kunnen werken met de ICT-middelen. Een deel van de raad heeft aangegeven meegenomen te willen worden in een bewustwordingscampagne maar geeft ook aan voornamelijk geïnteresseerd te zijn in (grotere) incidenten. Tot slot ziet de raad informatiebeveiliging hoofdzakelijk als een uitdaging op overhead c.q. financieel gebied. Advies De aanbevelingen hieronder vloeien uit het volgende voort. Om te komen tot een hoger bewustzijnsniveau is een structurele inzet nodig van de gehele organisatie, raad en college tot aan de medewerkers van de gemeente, elk met eigen rol. De eerste stap naar het gewenste gedrag is in lijn met de acties die de gemeente in het najaar van 2024 uitzet, het creëren van basiskennis en begrip.

Er zou geanalyseerd moeten worden of de nieuwe kennis resulteert in het gewenste gedrag in de praktijk. Daarnaast is leiderschap een belangrijke factor. Om het thema gewicht en prioriteit te geven is het van belang dat er betrokkenheid is vanuit het gehele bestuur van de gemeente. Dit vertaalt zich door naar de leden van het lijnmanagement. Hoe het leiderschap zich opstelt is van invloed op hoe (nieuwe) medewerkers zich de cultuur eigen maken (socialisatie). Verder is het van belang dat zowel de informatiebeveiligingsorganisatie als het thema informatiebeveiliging zichtbaar is. Aanbevelingen De rekenkamer heeft de aanbevelingen onderverdeeld in ‘praktische’ aanbevelingen en ‘kaderstellende’ aanbevelingen. De praktische aanbevelingen liggen vooral bij het college waarmee zij dan ook direct en op eigen wijze mee aan de slag kan. De kaderstellende aanbevelingen (nummer 6 en 7) vragen om een goed ingericht proces waar zowel raad als college bij betrokken zijn. De rekenkamer doet een voorstel aan de raad op het inrichten van dit proces in het dictum van dit raadsvoorstel. Tot slot doet de rekenkamer nog een aanvullende, eigen, aanbeveling.

Praktische aanbevelingen (1,2,3,4,5, 8, 9, 10, 11) Nr. 1

Paragraaf rapport 3.2.1

2

3.2.1

3

3.2.1

4

3.2.1, 3.2.5, 3.2.7 3.2.3

5

Pagina 4 van 5 Raad - 2408465

aanbeveling Maak het een meer gemeente ‘eigen’ document wat een duidelijke ‘toon aan de top’ aangaande informatiebeveiliging communiceert. Positioneer hierin informatiebeveiliging, cultuur en bewustwording als een fundamentele pijler, met nadruk op de lange termijn en een organisatiebrede visie. Stel een concreet plan op waarin de aandacht voor het informatiebeveiligingsbewustzijn uitgewerkt is en borg deze in processen. Maak deze processen onderdeel van een PDCA-cyclus. Faciliteer medewerkers door het gewenste informatieveilige gedrag concreet te beschrijven en te communiceren. Denk aan bijvoorbeeld operationele richtlijnen of gedragsregels. Finaliseer de inrichting van de ISMS-tool en zet deze in voor doeleinden als integraal risicomanagement en PDCA-cycli. De praktische uitvoering en het oppakken van verantwoordelijkheden door het lijnmanagement dient

8

3.2.5

9

3.2.6

10

3.2.7

11

3.2.8

voldoende gefaciliteerd te worden. Het is raadzaam om een uitbreiding van deze ondersteuning, in de vorm van ISO’s, te overwegen. In het najaar van 2024 start de gemeente met een nieuwe campagne om het informatiebeveiligingsbewustzijn en kennis rond dat thema te verhogen. Het is van belang dat dit wordt geborgd in processen en dat de campagne wordt gecombineerd met toetsing en analyse op het gedrag in de praktijk. Communiceer duidelijk wat het proces is rondom het melden van incidenten. Informeer de medewerkers over wat verstaan wordt onder een incident. Verlaag de gevoelsmatige drempel om te melden door een veilige omgeving te creëren, bijvoorbeeld door het delen van voorbeelden en positieve communicatie in reactie op meldingen. Zet integraal risicomanagement op en beleg verantwoordelijkheden bij de daarvoor aangewezen (proces)eigenaren. De inrichting van de ISMS-tool kan de organisatie hierin faciliteren. Besteed consequente en voortdurende aandacht aan bewustwording, kennisdeling en de rol van de medewerkers binnen (informatie)beveiliging. Faciliteer de medewerker door het gewenste informatieveilige gedrag te beschrijven (in bijvoorbeeld gedragsregels). Periodieke toetsing en analyse van het gedrag in de praktijk draagt bij aan de inzet van effectieve interventies.

Kaderstellende aanbevelingen (6,7) Nr.

aanbeveling

6

Paragraaf rapport 3.2.4

7

3.2.4

De raad is weinig betrokken bij het thema informatiebeveiliging. De kaderstellende en controlerende rol wordt in de praktijk niet uitgevoerd.

Informatiebeveiliging wordt door het college gezien als een voornamelijk operationeel thema.

Op termijn vergelijkbaar onderzoek De rekenkamer adviseert de Raad om het college van B&W te verzoeken een vergelijkbaar onderzoek uit te voeren over een nader te bepalen periode (van in elk geval enkele jaren) om te bepalen of het informatiebeveiligingsbewustzijn is toegenomen, gedrag is veranderd en daarmee de informatiebeveiligingscultuur is verbeterd.

Beoogd effect De aanbevelingen aan de raad over te nemen en het college te verzoeken uitvoering te geven aan de aanbevelingen. Zodoende de informatiebeveiligingscultuur te versterken en daarmee de informatieveiligheid.

Argumenten voor Met het overnemen van de genoemde aanbevelingen uit het onderzoeksrapport kunnen het college van B&W en de ambtelijke organisatie alle inspanningen met betrekking tot de informatieveiligheid, en specifiek de informatiebeveiligingscultuur, nader te versterken in de reeds ingeslagen weg.

Kosten, opbrengsten en dekking Het onderzoek is gefinancierd uit het onderzoeksbudget van de rekenkamer Almelo.

Vervolg Het college van B&W dient over de opvolging van de aanbevelingen jaarlijks te rapporteren aan de gemeenteraad, conform invoering van de Wet versterking decentrale rekenkamers sinds 1 januari 2024. Het college van B&W heeft aangegeven dit te (gaan) doen via de Jaarverantwoording.

Bijlagen • • •

Onderzoeksrapport Hoffmann – Informatiebeveiligingscultuur (INT -2494365) Bijlage 4.7 (vertrouwelijk) (INT- 2494367) Bestuurlijke reactie college van B&W (volgt)

De rekenkamer Almelo, _______________ de secretaris, E. Alp

Pagina 5 van 5 Raad - 2408465

de voorzitter, J.J. Mastwijk

Rekenkamer

PERSBERICHT Almelo, 18 december 2024

“Gemeente Almelo heeft nog flinke stappen te zetten in de informatiebeveiligingscultuur” De rekenkamer van de gemeente Almelo heeft de informatiebeveiligingscultuur van de gemeentelijke organisatie onderzocht. Dit gaat over hoe mensen binnen de gemeente Almelo denken, werken en besluiten nemen met als doel informatie te beschermen. Het onafhankelijke onderzoek laat zien dat Almelo op de goede weg is om te groeien naar een hoger niveau van informatiebeveiligingsbewustzijn. De gemeente Almelo zal hiervoor de nodige investeringen moeten doen. Naar verwachting bespreekt en besluit de raad over het rekenkameronderzoek in februari 2025. Onderzoek naar de menselijke kant van informatiebeveiliging Het onderzoek is uitgevoerd door Hoffmann, in opdracht van de rekenkamer van de gemeente Almelo. Dit onderzoek legt de nadruk op de menselijke kant van informatiebeveiliging. Technische beveiligingsmaatregelen zijn belangrijk. Maar hoe medewerkers omgaan met de techniek, bepaalt mede of het ook veilig is. Het doel van het onderzoek was om de kennis en het bewustzijn van informatiebeveiliging bij de medewerkers van de gemeente Almelo te meten. Op basis van die meting zijn aanbevelingen gedaan om deze kennis en bewustzijn te verbeteren.

Almelo heeft nog weinig informatiebeveiligingscultuurbeleid Het onderzoek laat zien dat de informatiebeveiligingscultuur bij de gemeente Almelo lange tijd te weinig aandacht heeft gekregen. De gemeente heeft weinig tot geen beleid of processen om de informatiebeveiligingscultuur te verbeteren. Tegelijkertijd geeft het onderzoek de indruk dat de gehele gemeentelijke organisatie én het gemeentebestuur het thema informatiebeveiliging zien als een belangrijk onderwerp. Mail-phishingtest wijst uit dat medewerkers niet weten wat van hen verwacht wordt Toetsen in de praktijk en interviews laten zien dat medewerkers vaak niet precies weten wat van hen verwacht wordt om informatie veilig te houden. Dit blijkt ook uit een praktijktest die in het kader van dit onderzoek is uitgevoerd. In een mailphishingtest is bij 40% van de verstuurde e-mailberichten geklikt op de link. Vervolgens zijn voor 31% van de verstuurde e-mails inloggegevens ingevoerd door medewerkers van de gemeente Almelo. Dit is een relatief hoge uitkomst. Slechts voor 1,8% van de verstuurde e-mailberichten is een melding gedaan. Dit voorbeeld laat zien dat de gemeente Almelo nog flinke stappen te zetten heeft in de informatiebeveiligingscultuur.

Structurele inzet is nodig voor een hoger bewustzijn van informatiebeveiliging Om te komen tot een hoger bewustzijnsniveau van informatiebeveiliging is een structurele inzet nodig van de gehele organisatie van de gemeente Almelo. De eerste stap is het bijbrengen van basiskennis en begrip. Hier begint de gemeente mee in het Persbericht – Rekenkamer gemeente Almelo – Rekenkamer@almelo.nl - 1

Rekenkamer

najaar van 2024. Vervolgens moet geanalyseerd worden of de nieuwe kennis leidt tot het gewenste gedrag in de praktijk. Leiderschap is nodig Leiderschap is een belangrijke factor. Informatiebeveiliging moet gewicht en prioriteit krijgen om de gewenste informatiebeveiligingscultuur te verkrijgen. Hiervoor is betrokkenheid nodig van het hele gemeentebestuur. Dit vertaalt zich door naar de leden van het lijnmanagement. Hoe het leiderschap zich opstelt is van invloed op hoe (nieuwe) medewerkers zich de cultuur eigen maken (socialisatie). Verder is het van belang dat zowel de informatiebeveiligingsorganisatie, als het thema informatiebeveiliging, zichtbaar zijn. _________________________________________________________________________________

Noot voor de redactie (niet voor publicatie) De heer Vic van Dijk (lid rekenkamer Almelo en penvoerder van dit onderzoek), 06-52 36 22 29, vic.vandijk@almelo.nl

Persbericht – Rekenkamer gemeente Almelo – Rekenkamer@almelo.nl - 2