9 Begrotingswijziging informatiebeveiliging - Raadsbesluit (getekend).pdf

~~

l~1 ~ Cri Raadsvergadering: 8maart 2022 Registratienummer: R 2107031

Raadsbesluit Onderwerp: Begrotingswijziging informatiebeveiliging

Samenvatting raadsvoorstel Kleine en grote organisaties worden opgeschrikt door hacks. De gemeente Hof van Twente is een bekend voorbeeld, maar denk ook aan industrieconcern Maersk. Het internetverkeer naar het netwerk van de gemeente Almelo Iaat ook zien dat er massief geprobeerd wordt binnen te komen. Veiligheid van onze digitale infrastructuur staat voor ons altijd voorop. Het laatste internationale cyberincident Log4shell heeft ons hiervan nog eens extra bewust gemaakt. We hebben recent verschillende maatregelen genomen om een hackte voorkomen en we werken ook nu aan aanvullende maatregelen. Om er zeker van te zijn dat we een aanvaardbaar niveau van informatiebeveiliging bereiken is aan Fox-IT gevraagd welke maatregelen we nog meer zouden kunnen nemen. De nieuw voorgestelde maatregelen van Fox-IT steunen we volledig. Maar personele capaciteit en budget om deze nu uit te voeren is er niet. Om deze maatregelen uitte kunnen voeren is een security programma opgesteld. Het security programma en de bijbehorende begroting zijn vertrouwelijk ter inzage gelegd en toegelicht in het politiek beraad van 1 februari.

De Raad van de Gemeente Almelo: Gezien het voorstel van burgemeester en wethouders; Besluit: 1 2 3

4

5

Akkoord te gaan met de uitvoering van het security programma waarin de door de externe auditor, Fox-IT, voorgestelde maatregelen zijn opgenomen. Een krediet van € 170.000 beschikbaar te stellen voor het security programma voor aanschaf en implementatie van software. Het investeringskrediet te activeren en in 4 jaar af te schrijven en de hiermee gepaard gaande structurele kapitaallasten van in het eerste jaar € 44.200 en aflopend per jaar ten laste te brengen van het saldo van het financieel meerjarenperspectief 2023-2025. Structureel € 513.627 beschikbaar te stellen voor realisatie van het security programma, bestaande uit benodigde extra personele inzet van 4,1 fte (€ 345.627), aanvullende softwarematige beveiliging en versterking van beveiligingsprocessen (€ 168.000). De structurele lasten onder dictumpunt 4 ten laste te brengen van het begrotingssaldo 2022 en het financieel meerjarenperspectief 2023 - 2025.

Pagina 1 van 5 Raad- 2107031

Gedaan in de openbare vergadering van 8 maart 2022, de griffier,

de burgemeester,

i ~`f ~C:>~~^ ~rs. K.D. Handstede

Pagina 2 van 5 Raad- 2107031

A.J. Gerritsen

Raadsvergadering: 8maart 2022 Registratienummer: R 2107031 Naam: R.G. van Reenen Datum: 26 januari 2022 Team/teamonderdeel: BV Informatisering en Automatisering

Voorstel aan de raad Onderwerp Portefeuillehouder

Begrotingswijziging informatiebeveiliging A.J. Gerritsen

Samenvatting raadsvoorstel

Kleine en grote organisaties worden opgeschrikt door hacks. De gemeente Hof van Twente is een bekend voorbeeld, maar denk ook aan industrieconcern Maersk. Het internetverkeer naar het netwerk van de gemeente Almelo Iaat ook zien dat er massief geprobeerd wordt binnen te komen. Veiligheid van onze digitale infrastructuur staat voor ons altijd voorop. Het laatste internationale cyberincident Log4shell heeft ons hiervan nog eens extra bewust gemaakt. We hebben recent verschillende maatregelen genomen om een hackte voorkomen en we werken ook nu aan aanvullende maatregelen. Om er zeker van te zijn dat we een aanvaardbaar niveau van informatiebeveiliging bereiken is aan Fox-IT gevraagd welke maatregelen we nog meer zouden kunnen nemen. De nieuw voorgestelde maatregelen van Fox-IT steunen we volledig. Maar personele capaciteit en budget om deze nu uit te voeren is er niet. Om deze maatregelen uit te kunnen voeren is een security programma opgesteld. Het security programma en de bijbehorende begroting zijn vertrouwelijk ter inzage gelegd en toegelicht in het politiek beraad van 1 februari.

Voorgesteld raadsbesluit 1 2 3

4

5

Akkoord te gaan met de uitvoering van het security programma waarin de door de externe auditor, Fox-IT, voorgestelde maatregelen zijn opgenomen. Een krediet van € 170.000 beschikbaar te stellen voor het security programma voor aanschaf en implementatie van software. Het investeringskrediet te activeren en in 4 jaar af te schrijven en de hiermee gepaard gaande structurele kapitaallasten van in het eerste jaar € 44.200 en aflopend per jaar ten laste te brengen van het saldo van het financieel meerjarenperspectief 2023-2025. Structureel € 513.627 beschikbaar te stellen voor realisatie van het security programma, bestaande uit benodigde extra personele inzet van 4,1 fte (€ 345.627), aanvullende softwarematige beveiliging en versterking van beveiligingsprocessen (€ 168.000). De structurele lasten onder dictumpunt 4 ten laste te brengen van het begrotingssaldo 2022 en het financieel meerjarenperspectief 2023 - 2025.

Inleiding In de openbaarheid kunnen we uit veiligheidsoverwegingen geen informatie geven over de beveiligingsmaatregelen in Almelo. De alerte ICT-gebruiker van de gemeente Almelo zal overigens op telefoon en laptop al hebben gemerkt dat de beveiliging is toegenomen. Vaak betekent dit helaas ook beperkingen voor gebruikers. We laten door meerdere partijen de veiligheid van ons netwerk controleren. Zo rapporteert de accountant over de informatieveiligheid op de financiële werkprocessen. Door middel van een zogenaamde `pentest' wordt er periodiek gecontroleerd of onbedoelde toegang (een hack) vanaf het internet of vanaf een willekeurige werkplek op het stadhuis mogelijk is. Pagina 3 van 5 Raad- 2107031

Door Ensia, de Eenduidige Normatiek Sing/e /reformation Audit, laten we zowel aan u als het rijk weten in hoeverre we aan de maatregelen van de BIO, de Base/ine /nformatiebevei/iging Overheid, voldoen. Om er zeker van te zijn dat we een aanvaardbaar niveau van informatiebeveiliging bereiken is aan Fox-IT gevraagd welke maatregelen we nog meer zouden kunnen nemen. Fox-IT heeft een aantal bevindingen gerapporteerd die op volgorde van urgentie zijn uitgewerkt. Alleen de meest urgente zijn opgenomen in het security programma, en in dit raadsvoorstel. De kern van de adviezen van Fox-IT is dat we enkele ICT-werkprocessen naar een hoger niveau moeten brengen. Het is belangrijk om te weten dat alleen technische maatregelen onvoldoende zijn. Om de veiligheid te borgen is doorlopende menselijk aandacht nodig. Dat geldt voor zowel het beheer van onze ICT-infrastructuur als voor het pro-actief handelen op basis van potentiële dreigingen. Tegelijk blijft de impact niet bij ons team I&Aalleen: zo ligt erop veel plekken in onze organisatie een relatie met onze leveranciers en is bewustwording en bewustzijn van medewerkers de hoeksteen van onze informatieveiligheid. De dreiging neemt alleen maar toe. Andere Twentse gemeenten investeren naar aanleiding van de hack bij de Hof van Twente eveneens in informatiebeveiliging.

In een besloten sessie zijn de door Fox-IT voorgestelde maatregelen en het op basis daarvan aangepaste security programma toegelicht.

Beoogd effect

Zorgen voor de versterking van de betrouwbare overheid. Inwoners en bedrijven moeten ervan uit kunnen gaan dat de gegevens die zij aan de gemeente verstrekken daar veilig zijn en dat overheidsdienstverlening maximaal beschikbaar is.

Argumenten voor 7.7

We doen wat de inwoner van ons als betrouwbare overheid mag verwachten: er voor zorgdragen dat persoonlijke gegevens veilig zijn en dat ook blijven ten~vijl we de digita/e dienstverlening ontwikke%n

7.2

De continuïteit van de gemeentelijke dienstvee/erring en het voeren van bestuur waarborgen.

7.3

Het verlies van data, in het áijzonder persoonsgegevens, voorkomen,

7.4

Voldoen aan de Base/ine /reformatiebeveiliging Overheid.

7.5

Het betalen van een afkoopsom aan hackers voorkomen.

Kanttekeningen

Tegenover de hogere kosten staat geen direct zichtbaar resultaat in de stad 7.7 Het effect van de hoge financiële lasten is niet zichtbaar. Alleen fouten vallen op. Een gegarandeerd veilige lCT is niet haalbaar 7.2. Elke digitale verbinding brengt onbedoelde hackrisico's met zich mee. Het streven is erop gericht die risico's zoveel mogelijk te beperken tegen aanvaardbare kosten. 7.3. Veiligheid is mede afhankelijk van inzet leveranciers Hoewel wij ons uiterste best doen voor goed leveranciersmanagement, kunnen wij grote spelers niet dwingen zich naar onze veiligheidsnormen te richten

Pagina 4 van 5 Raad - 2107031

7.4 Afhankelijkheid arbeidsmarkt en grenzen aan persoase% inzet De doelen kunnen alleen worden gerealiseerd indien voldoende personeel beschikbaar is. De ICTarbeidsmarkt is echter krap.

Kosten, opbrengsten en dekking De kosten bedragen € 513.627 structureel per jaar en éénmalig € 170.000. Ze bestaan uit personeel, licenties voor applicaties en (beperkt) hardware. Eris inde Nota Activabeleid 2017 geen afschrijvingstermijn voor software bepaald. Er wordt voorgesteld om de investering in 4 jaar af te schrijven omdat dat ook de periode is waarin software technisch wordt afgeschreven. Onderdeel van het security programma is het opzetten van een security awareness programma voor medewerkers (structureel € 50.000). De kosten van dit awareness programma worden gedekt uit het opleidingsbudget. Het gemeentelijke team I&A beheert nu een digitale infrastructuur met 1125 gebruikers met circa 430 applicaties (zowel in de cloud als op eigen servers). Uit de benchmark Vensters voor bedrijfsvoering blijkt dat de groei in ICT uitgaven per medewerker in Almelo niet heeft plaatsgevonden. De ICT-kosten per medewerker zijn bij de gemeente lager dan bij gemeenten van vergelijkbare grootte. Investeren in extra capaciteit is voorwaarde voor het blijven borgen van de informatieveiligheid en de digitale dienstverlening. Er is in de begroting geen dekking opgenomen voorde met dit voorstel gepaard gaande kosten. Door het aannemen van dit voorstel is er dus sprake van uitzetting van de lasten in de begroting en het financieel meerjarenperspectief.

Dit zal voor 2022 worden verwerkt bij de voorjaarsrapportage 2022 en voorde periode 2023 en verder worden meegenomen bij de totstandkoming van de begroting 2023.

Vervolg De maatregelen zullen gefaseerd worden ingevoerd over een periode van 4 jaar. We rapporteren aan de gemeenteraad via Ensia en IT-audit, zoals genoemd in de inleiding.

Bijlagen -De bijlagen Presentatie security audit Fox IT, Security programma Fox IT en overzicht maatregelen liggen met inachtneming van de in artikel 25. lid, 2 bedoelde geheimhouding voor de raadsleden van de gemeente Almelo ter inzage bij de raadsgriffie.

Burgemeester en Wethouders van Almelo, de secretaris, F.W. van Ardenne

Pagina 5 van 5 Raad- 2107031

de burgemeester, A.J. Gerritsen