Rekenkameronderzoek Informatiebeveiligingscultuur - bijlage 1 - Rapport rekenkameronderzoek Gemeente Almelo

3.2.8

Gedrag in de praktijk

De toetsing van het gedrag van medewerkers is momenteel geen periodiek terugkerende gebeurtenis binnen de gemeente Almelo. Vanuit de ICT-afdeling geeft men aan graag vaker te willen testen met bijvoorbeeld mail-phishings, de tooling is er tevens voor aanwezig, men krijgt hier echter geen goedkeuring voor.

Om een beeld te krijgen van het bewustzijn en het gedrag in de praktijk, en daarmee antwoord te kunnen geven op de deelvragen rondom werking, zijn in het kader van dit onderzoek een tweetal testen uitgevoerd:

1. Mail-phishingtest, waarbij een e-mail naar alle medewerkers van de gemeente Almelo is verstuurd die uitnodigde op een link te klikken en de gebruiker te verleiden om persoonlijke inloggegevens af te geven; 2. Fysieke inlooptest, waarbij twee medewerkers van Hoffmann hebben geprobeerd om zonder toestemming toegang te krijgen tot de gemeentelijke werkplekken.

3.2.8.1 Mail-phishingtest Bij de mail-phishingtest is in 40% van het totaal aantal verstuurde e-mails geklikt op de link in de e-mail. Vervolgens zijn bij 31% van het totaal aantal verstuurde e-mails inloggegevens achtergelaten. Dit percentage is relatief hoog vergeleken met andere gemeenten waar een soortgelijk scenario is toegepast. Gemiddeld zien de onderzoekers dat ongeveer 15% van de gebruikers hun gebruikersnaam en wachtwoord achterlaat.

Binnen de gemeentelijke organisatie zijn 22 meldingen geregistreerd. Vergeleken met het totaal aantal verzonden mail-phishings is dit relatief laag (1,8%). Hieruit kunnen twee mogelijke, elkaar niet uitsluitende, conclusies getrokken worden; medewerkers zijn niet in staat geweest om de mail-phishing te herkennen als zodanig (bevestigd door het grote aantal dat reacties in kliks en inloggegevens) én c.q. óf het meldproces is onvoldoende duidelijk en bekend (zoals tevens blijkt uit de interviews, besproken in paragraaf 3.2.6).

Hoffmann | Dossiernummer 22404067 | OPENBAAR

Pagina 24 van 37

Een beschrijving van de opzet en het verloop van de test en de resultaten is opgenomen in bijlage 3.2. Vanwege de gevoeligheid van bepaalde details is ervoor gekozen om deze in bijlage 4.7 (vertrouwelijk) op te nemen.

3.2.8.2 Fysieke inlooptest Gedurende de test is het de Mystery Guests (MG’s) gelukt toegang te verkrijgen tot het stadhuis en de kantoorruimtes. Hierbij konden ze onopgemerkt binnen het pand verblijven. Binnen in het pand en bij de hoofdingang viel op dat de beveiliging alert was op hun aanwezigheid. Uiteindelijk kregen de MG’s wel toegang tot het stadhuis door (onbedoelde) hulp van andere medewerkers. Hoewel ze door de gangen konden lopen, hadden ze geen toegang tot de lift of trap zonder een pas. Dit toont aan dat interne toegangscontroles effectief zijn, maar dat de beveiliging aan de buitenste ringen nog verbeterd kan worden en het gedrag van medewerkers hier tot een beveiligingsrisico leidt. Op een aantal verdiepingen zagen de MG’s onbeheerde werkplekken met (gevoelige) documenten, zoals een formulier voor bijzondere bijstand. Het was opvallend dat de MG’s niet werden aangesproken door medewerkers terwijl zij herhaaldelijk, zonder zichtbare toegangspas, over dezelfde verdiepingen hebben gelopen en zich op een aantal plekken hebben opgehouden. Het was voor de MG’s niet mogelijk om de beveiligde zones (zoals SER ruimte of de bestuursvleugel) te betreden zonder toegangspas.

In bijlage 4.3 zijn in het kort de opzet en doelstellingen van de inlooptest opgenomen. In bijlage 4.7 (vertrouwelijk) is een uitgebreide beschrijving van het verloop van de fysieke inlooptest opgenomen.

3.2.8.3 Aanbevelingen over gedrag in de praktijk De hierboven beschreven resultaten onderschrijven het belang van een consequente en voortdurende aandacht voor bewustwording, kennisdeling en de rol van de medewerker binnen (informatie)beveiliging. Het is belangrijk om medewerkers mee te nemen in de verschillende technieken, vormen en consequenties van phishing en social engineering te beginnen door de aankomende bewustwordingscampagne, maar ook door praktijktoetsen en het delen van actuele voorbeelden. Daarnaast is het belangrijk dat zij meegenomen worden in wat van hen verwacht wordt aangaande informatieveilig gedrag en hoe te handelen in een geval van phishing c.q. social engineering. Op dit moment vormt het hulpvaardige, onbewust onbekwame gedrag van de medewerker een beveiligingsrisico. Naast aanbevelingen op de factor ‘mens’ zijn ook bevindingen gedaan aangaande fysieke beveiliging, hieronder worden een aantal relevante maatregelen beschreven; •

Striktere toegangscontrole alle in- en uitgangen van het stadhuis: Zorg ervoor dat toegang tot alle ingangen strikt gecontroleerd wordt en dat medewerkers alert zijn op personen die proberen mee te lopen. Mogelijk zouden sommige ingangen vervangen kunnen worden door een tourniquet, omdat constante monitoring niet altijd haalbaar is.

•

Compartimentering: Indien men door de eerste beveiligingsschil is gekomen, is het relatief eenvoudig om zich door het pand voort te bewegen. Hoffmann adviseert om ook binnen het pand

Hoffmann | Dossiernummer 22404067 | OPENBAAR

Pagina 25 van 37

een effectievere vorm van compartimentering te realiseren. Bijvoorbeeld door op elke verdieping in het trappenhuis een paslezer te plaatsen of in ieder geval op de verdiepingen waar kritieke ruimten aanwezig zijn (zoals de postkamer, SER, bestuursvleugel). •

Regelmatig beoordelen van beveiligingsprocedures: Periodieke herzieningen en oefeningen zoals deze fysieke inlooptest helpen om de effectiviteit van de huidige procedures te beoordelen en te verbeteren.

•

Beheer van gevoelige documenten: Zorg ervoor dat gevoelige documenten altijd veilig worden opgeborgen, zelfs op onbeheerde werkplekken. Het onder de aandacht (blijven) brengen van de clean desk policy kan hierbij helpen, evenals het beschikbaar stellen van kasten of kluisjes voorzien van een slot.

•

Prompt aanspreken van onbekenden: Medewerkers moeten worden aangemoedigd om onbekende personen direct aan te spreken en hun aanwezigheid te verifiëren. Gezien de grootte van de organisatie en de doorloop van personeel zou het aanmoedigen van het zichtbaar dragen van de personeelspas een bijdrage kunnen leveren in het identificeren van (ongewenste) personen.

Hoffmann | Dossiernummer 22404067 | OPENBAAR

Pagina 26 van 37

Disclaimer De volgende medewerkers van Hoffmann hebben het onderzoek uitgevoerd en deze rapportage opgemaakt:

Esther Kraan, Psycholoog - Consultant Cybersecurity & Security Riskmanagement

Laurens Kolfschoten - Security Consultant

Ondergetekende is vanuit zijn rol als leidinggevende eindverantwoordelijk voor dit onderzoek.

Johan van Slooten

Directeur Cybersecurity & Security Risk management

Dit rapport is geschreven voor de opdrachtgever, zodat hij of zij staat wordt gesteld om maatregelen te nemen teneinde de cyberweerbaarheid van zijn/haar organisatie te verhogen. Wij kunnen geen aansprakelijkheid aanvaarden voor acties of maatregelen die door opdrachtgever of diens vertegenwoordigers op basis van het rapport worden ondernomen. Tenslotte verwijzen wij naar de van toepassing zijnde dienstverleningsvoorwaarden.

Almere, 26 november 2024

Hoffmann | Dossiernummer 22404067 | OPENBAAR

Pagina 27 van 37

4. Bijlagen 4.1

Maturity modelinformatiebeveiliging

Hoffmann | Dossiernummer 22404067 | OPENBAAR

Pagina 28 van 37

4.2

Verloop mail-phishing test

Gedurende de onderzoeksperiode hebben onderzoekers van Hoffmann in overleg met gemeente Almelo een mail-phishing verstuurd naar alle medewerkers. De e-mail werd verstuurd van een e-mailadres met een ander domein dan @almelo.nl. Op donderdag 4 juli 2024 rond 11:00 uur werd de mail naar 1208 unieke e-mailadressen verstuurd. In de e-mail werd een drinkfles aangeboden, zogenaamd vanuit de gemeente. De e-mail was ondertekend op een manier die gebruikelijk is in de gemeentelijke organisatie. Men kon de drinkfles bestellen door te klikken op een link en op de website de inloggegevens in te vullen.

Figuur 2: inhoud mail-phishing (zie vertrouwelijke bijlage 4.7) Figuur 3: website mail-phishing (zie vertrouwelijke bijlage 4.7)

Doordat de link naar de website een uniek ID bevat, kon worden geregistreerd hoeveel unieke gebruikers de website bezochten en/of hun gebruikersnaam (e-mailadres van de gemeente) en wachtwoord invulden. De wachtwoorden van gebruikers zijn niet geregistreerd of opgeslagen tijdens de mailphishing.

Er zijn in totaal 487 unieke bezoekers geregistreerd (40%) waarvan 373 gebruikers (31% van totaal verstuurde mail-phishings, 77% van de websitebezoekers) hun gebruikersnaam en wachtwoord hebben ingevuld. De test is gestopt op dinsdag 9 juli rond 12:40 uur door de website te vervangen door een boodschap dat het een test betrof en dat deze inmiddels is afgerond. Vanuit de gemeentelijke informatiebeveiligingsorganisatie is gecommuniceerd dat het om een ‘spambericht’ gaat. De medewerkers werden geïnformeerd over de mail, tips om dergelijke berichten te herkennen en er werd aangegeven hoe zij het beste konden handelen.

Een aantal van de medewerkers hebben gereageerd op de mail-phishing door deze te beantwoorden, een voorbeeld van de reacties: •

“Hoe zit voor mijn overige collega’s die geen mail hebben gekregen over een doper? Kan ik dit voor bestellen of ?”

•

“Wat een ontzettend leuk initiatief! Dank je wel!”

•

“Nog duurzamer is om geen Dopper’s te laten fabriceren

”

Vanuit een andere reactie klonk meer reserve: •

“Beste collega, leuke actie! maar ik vind heel raar en heb er moeite mee om mijn wachtwoord op een externe website (bestel.bedrijfsvouchers.nl) in te voeren. Dit voelt niet goed en lijkt mij in strijd met de introductiecursus dataveiligheid.”

Hoffmann | Dossiernummer 22404067 | OPENBAAR

Pagina 29 van 37

Onderzoekers adviseren niet op phishingmails te reageren, ook niet om wantrouwen te uiten. Het geeft kwaadwillende de bevestiging dat het e-mailadres geldig en actief is én het contact biedt een directe opening om de ontvanger toch te overtuigen en aan te zetten tot actie.

Een (externe) medewerker heeft melding gedaan van de mail-phishing en de volgende reactie ontvangen van de servicedesk:

Figuur 4: reactie servicedesk op melding mail-phishing

Hoffmann | Dossiernummer 22404067 | OPENBAAR

Pagina 30 van 37

4.3

Opzet fysieke inlooptest

Aan medewerkers van Hoffmann is ten behoeve van de opdracht toestemming verleend om dinsdag 2 juli 2024 tussen 06:00 en 23:00 uur, als onderzoekers / Mystery Guests (hierna te noemen MG’s) het pand aan de Haven Zuidzijde 30, 7607 EW te betreden en om foto’s te maken.

De doelstellingen van de fysieke inlooptest luiden: •

Testen of het mogelijk is om als mystery guest de panden fysiek te betreden;

•

Testen of het mogelijk is om vertrouwelijke informatie (digitale en fysieke informatie) te bereiken;

•

Testen van de awareness van de medewerkers en beveiliging en of/hoe zij de beveiligingsmaatregelen toepassen.

Een gedetailleerd verslag van de inlooptest is op vertrouwelijke basis verstrekt aan de gemeente (bijlage 4.7).

Hoffmann | Dossiernummer 22404067 | OPENBAAR

Pagina 31 van 37

4.4

Verklarende woordenlijst

Onder leiding van Cyberveilig Nederland (https://www.cyberveilignederland.nl/) hebben ruim 60 organisaties, overheidspartijen en private partijen meegewerkt aan de samenstelling van het cybersecurity woordenboek. Er is een verklarende woordenlijst opgesteld met bijna 600 cybersecuritytermen om bijvoorbeeld rapporten, adviezen of offertes beter te begrijpen.

Voor het complete woordenboek verwijzen wij graag naar: www.cyberveilignederland.nl/woordenboek

Hieronder een opsomming Evan cybersecuritytermen die voorkomen in deze rapportage.

BEGRIP

BETEKENIS

BIO

Baseline Informatiebeveiliging Overheid, het basis normenkader voor informatiebeveiliging binnen de overheid.

CISO

De medewerker die aangewezen verantwoordelijk is voor informatiebeveiliging. Rol op strategisch niveau. Bestuur blijft altijd eindverantwoordelijke.

FG

Functionaris Gegevensbescherming. Verantwoordelijk voor toezicht op toepassing en naleving van de AVG.

Gebruikersnaam

Naam waarmee een gebruiker in een computersysteem kan inloggen.

Informatiebeveiligings-

Het team wat zich binnen een bedrijf bezig houdt met

organsiatie

het beschermen van de vertrouwelijkheid, integriteit en beschikbaarheid van informatie.

ISMS

Information Security Management Tool. Verzameling van alle onderling samenhangende elementen op het vlak van informatiebeveiliging. Helpt beleid, procedures en doelstellingen te formuleren, implementeren, communiceren en evalueren om de algehele informatiebeveiliging te verbeteren/garanderen.

ISO

Information Security Officer. Verantwoordelijk voor informatiebeveiligingsbeleid evenals de implementatie en toezicht op uitvoering. Tevens verantwoordelijk voor strategie op het gebied van informatiebeveiliging.

Inloggegevens

Gebruikersnaam en wachtwoord waarmee in een computersysteem kan inloggen.

Hoffmann | Dossiernummer 22404067 | OPENBAAR

Pagina 32 van 37

BEGRIP

BETEKENIS

Incident

Gebeurtenis of actie waarbij de beveiliging van hardware, software, informatie, een proces of organisatie mogelijk is gevaar is gebracht of geheel of gedeeltelijk is doorbroken.

Logging

Het automatisch bijhouden van veranderingen en gebeurtenissen binnen een systeem.

Malware

Kwaadaardige software die aanvallers op een digitaal systeem zetten om er op afstand bij te kunnen, het te vernielen of informatie te stelen. Malware is een samentrekking van het Engelse malicious software.

Mitigerende maatregel

Een activiteit met als doel om de oorzaak of het gevolg van een ongewenste gebeurtenis weg te nemen, of te verkleinen.

Mystery guest bezoek

Beveiligingstest waarbij een daartoe aangewezen persoon op bezoek gaat bij een organisatie. Daar probeert hij in ruimtes te komen waar hij niet mag komen. En hij probeert bij informatie te komen waar hij niet bij mag komen. Zo test de persoon deze organisatie. Men kan deze test combineren met een penetratietest. In dat geval gaat de mystery guest een beveiligde ruimte in. Daar probeert hij in te breken op het lokale computernetwerk.

PDCA

Plan-Do-Check-Act (cyclus). Stappen ter verbetering van bijvoorbeeld een proces of beleid.

Phishing/Mail-phishing

Aanval waarbij de aanvaller iemand verleidt om belangrijke informatie te geven, zoals bijvoorbeeld inloggegevens of creditcardgegevens. Phishing gebeurt vaak via e-mails. Maar aanvallers proberen het ook via de telefoon, een sms of een app-bericht

PO

Privacy Officer. Verantwoordelijk voor het ontwikkelen en bewaken van het privacybeleid en ondersteuning bieden bij uitvoering van het beleid.

Ransomware

Ransomware is malware die de databestanden van gebruikers versleutelt, met als doel om deze later te ontsleutelen in ruil voor losgeld.

Security by design

Een product, dienst of systeem ontwerpen en vanaf het begin ook de beveiliging mee ontwikkelen en testen.

Hoffmann | Dossiernummer 22404067 | OPENBAAR

Pagina 33 van 37

BEGRIP

BETEKENIS

SER

Satellite Equipment Room, een satelliet van het technische hart van een bedrijf. Ruimte waarin serverapparatuur, netwerkapparatuur en IT-infrastructuur aanwezig zijn.

Toon aan de top

De houding en gedrag van het hogere management en de invloed hiervan op de cultuur en normen binnen de gehele organisatie.

Wachtwoord

Reeks van letters, cijfers en of andere karakters waarmee een gebruiker in een computersysteem kan komen. Het is de bedoeling dat een gebruiker dit wachtwoord niet aan anderen geeft en een sterk wachtwoord kiest zodat dit moeilijk te kraken is door aanvallers

Hoffmann | Dossiernummer 22404067 | OPENBAAR

Pagina 34 van 37

4.5

Overzicht geïnterviewden

Functie

Datum interview

CISO

2 juli 2024 + 4 juli 2024

TISO

2 juli 2024

Functionaris gegevensbescherming

2 juli 2024

ISO

2 juli 2024

Interviews medewerkers (5)

4 juli 2024 + 16 juli 2024

Wethouder / portefeuillehouder

16 juli 2024

Sessie raadsleden

16 juli 2024

Hoffmann | Dossiernummer 22404067 | OPENBAAR

Pagina 35 van 37

4.6

Overzicht bestudeerde documenten

Onderstaande tabel bevat de documenten die zijn ontvangen vanuit de gemeente Almelo en bestudeerd ten behoeve van het onderzoek naar de organisatie van informatiebeveiliging.

Document

Versie

Datum

Strategisch Gemeentelijk Informatieveiligheidsbeleid gemeente Almelo

1.2

05-08-2021

Procedure datalekken Gemeente Almelo

2.0

07-05-2024

Jaarverslag 2023 van de Functionaris Gegevensbescherming

-

-

Update privacy & informatiebeveiliging

-

Dec. 2023

Procedure gevonden bedrijfsmiddelen-documenten

-

-

Projecten Informatiebeveiliging – Jaarplan 2024

-

-

Quick reference chart melden datalek

-

-

Rapportage informatiebeveiliging Gemeente Almelo Q3 en Q4 2023

-

12-12-2023

Tactisch informatiebeveiligingsbeleid 2023-2026 Gemeente Almelo

1.0

-

Verbeterplan informatiebeveiliging-v1.2

1.2 definitief

-

2021-2026

Hoffmann | Dossiernummer 22404067 | OPENBAAR

Pagina 36 van 37

VERTROUWEN IS GOED, HOFFMANN IS BETER

Hoffmann | Dossiernummer 22404067 | OPENBAAR

www.hoffmann.nl

Pagina 37 van 37