02 Beantwoording schriftelijke vragen Yilmaz beveiligingsmisstanden bij Waternet.pdf

Gemeente Amsterdam Gemeenteraad Gemeenteblad

R

Schriftelijke vragen

Jaar

2020

Afdeling

1

Nummer

0

Datum indiening

28 september 2020

Datum akkoord

3 december 2020

Onderwerp

Beantwoording schriftelijke vragen van het lid Yilmaz inzake beveiligingsmisstanden bij Waternet Aan de gemeenteraad

Toelichting door vragensteller: Amsterdam is mede-eigenaar van Stichting Waternet, zo niet de initiator van de oprichting van deze stichting. De twee citaten uit een artikel van Follow the Money beschrijven het probleem haarfijn waarover onze fractie vragen heeft: “De dienst [Waternet – red.] begon in 2010 aan een grote operatie om processen en systemen vergaand te digitaliseren. In de praktijk blijkt dat veel zaken niet goed zijn geregeld, dat er soms datalekken zijn, dat er met verouderde computers wordt gewerkt, dat de toegang tot het netwerk slecht is beveiligd en dat de systeemarchitectuur niet op orde is. Zorgelijk is dat managers geregeld voor elkaar krijgen dat beveiligingsmaatregelen worden teruggedraaid of uitgesteld, omwille van het ‘gebruiksgemak’ van de medewerkers.” En waarom deze dienst van vitaal belang is: “Waternet is onderdeel van deze vitale infrastructuur. De dienst zorgt voor de levering en zuivering van drinkwater, beheert en monitort de riolering en het waterpeil, en bedient sluizen, bruggen en gemalen op afstand. Waternet bedient bij elkaar een kleine anderhalf miljoen mensen en is verantwoordelijk voor het waterbeheer in Amsterdam en omstreken.

Daarnaast beschikt Waternet over een waaier aan gegevens over zijn klanten.” Gezien het vorenstaande heeft het lid Yilmaz, namens de fractie van DENK, op grond van artikel 45 van het Reglement van orde voor de raad van Amsterdam, de volgende schriftelijke vragen aan het college van burgemeester en wethouders gesteld: 1. Is het college op de hoogte van het artikel van Follow The Money over Waternet1? Antwoord: Ja, het college is op de hoogte van dit artikel. 1

https://www.ftm.nl/artikelen/beveiliging-waternet-lekt

1

Jaar Afdeling Nummer Datum

2020 Gemeente Amsterdam 1 Gemeenteblad 0 Schriftelijke vragen, maandag 28 september 2020 <datum onbekend>

R

2. Is het college op de hoogte van de misstanden die in dat artikel worden beschreven? Zo ja, hoe lang al? Antwoord: Op 23 september heb ik u via de dagmail geïnformeerd dat het stichtingsbestuur direct na het verschijnen van het eerste artikel in FTM bijeen is gekomen om met de directie te bespreken wat er precies speelt. Daar is tevens besloten om extern onderzoek te starten. 3. Klopt het dat er systemen en/of computers bij Waternet draaien die zo oud zijn dat die niet eens meer onderhouden kunnen worden tegen het advies van de NCTV in? Zo ja, waarom is dat? Antwoord: Het klopt dat er sprake is van gebruik van verouderde applicaties en besturingssystemen, maar er zijn maatregelen genomen om de veiligheid van die verouderde systemen te waarborgen. De nog operationele Windows 7 systemen zijn voorzien van een Extended Security Updates (ESU) licentie, waardoor nog steeds beveiligingsupdates door de leverancier worden uitgebracht en worden geïmplementeerd. Het beveiligingsrisico is beperkt doordat systemen, waar nodig, in een separate beveiligde omgeving zijn geplaatst. De betreffende toepassingen zijn kritiek voor de bedrijfscontinuïteit, daarom moet vervanging (van hardware en software) zorgvuldig plaatsvinden. De uitfasering van de laatste Windows 7 systemen zal volgens Waternet op 12 december 2020 zijn afgerond. 4.

Maakt waternet gebruik van end-of-life software? Zo ja, waarom, en wat is het risico? Antwoord: Er draait een gelimiteerd aantal systemen op Windows 7. Deze zijn allen voorzien van een Extendend Security Updates (ESU) licentie van Microsoft. Ondanks dat dit systeem als "end-of-life" wordt beschouwd, worden er nog wel securitypatches uitgebracht onder die licentie. Nog niet alle verouderde systemen zijn vervangen of geüpdatet. Sommige systemen zijn kritiek voor de bedrijfscontinuïteit en daaraan verbonden hardware dient te worden vervangen alvorens de software is te vervangen. In de meeste gevallen staat de apparatuur in een beveiligde omgeving en/of is deze niet aangesloten op het internet. Waternet kent de risico’s en heeft passende maatregelen genomen. De uitfasering van de laatste Windows 7 systemen is versneld opgepakt en zal volgens Waternet op 12 december 2020 zijn afgerond.

5. Is de software waarop de cruciale onderdelen draaien c.q. waar ze mee moeten werken modern, up-to-date en zeer goed beveiligd? Waarom wel/niet en welk risico brengt dat met zich mee? Waaruit blijkt dat het risico zo gering of zo groot is? Antwoord: Zie ook het antwoord op vraag 3. Niet alle systemen kunnen altijd tijdig worden voorzien van updates. Dit kan zijn door onderlinge afhankelijkheden van de systemen of een afhankelijkheid van de leveranciers. Maar het is ook zo dat het IT-beheerproces van Waternet moet worden verbeterd. Soms is er sprake van achterstallig onderhoud. Op dit moment wordt gekeken welke (organisatorische) ingreep noodzakelijk is om dit zo snel mogelijk en structureel op te lossen.

2

Jaar Afdeling Nummer Datum

2020 Gemeente Amsterdam 1 Gemeenteblad 0 Schriftelijke vragen, maandag 28 september 2020 <datum onbekend>

R

6. Hoeveel keer is er een beveiligingsmaatregelen teruggedraaid? Op basis waarvan worden deze beveiligingsmaatregelen teruggedraaid en door wie? Kan hiervan een overzicht worden gegeven? Antwoord: Het is eenmaal gebeurd dat een security maatregel is teruggedraaid. Een beveiligingsmaatregel met betrekking tot mobiele telefonie die net toegepast werd op het moment dat mensen massaal thuis gingen werken als gevolg van het coronavirus is tijdelijk teruggedraaid. Dit is gedaan omdat anders te veel mensen niet meer konden werken. Op dit moment wordt deze maatregel wel weer gevolgd. 7. Wat is momenteel de kans dat Waternet succesvol gehackt kan worden? Wat zeggen de security officers van Waternet hierover? En wat zijn de gevolgen wanneer Waternet wordt gehackt? Antwoord: Het Accenture-onderzoek concludeert dat waar het technisch mogelijk is om onrechtmatig toegang te verkrijgen tot assets, zeer specifieke kennis- en capaciteit benodigd is. Aanvullend onderzoek is nodig om dit in meer detail te kunnen valideren. 8. Hoe is het volgens het NCTV gesteld met de beveiliging van Waternet? Waarom? Antwoord: De NCTV doet geen onderzoek naar of uitspraken over individuele organisaties. 9.

Hoe veilig zijn – volgens de AVG – de persoonlijke gegevens van de klanten van Waternet? Hoe is tot deze conclusie gekomen? Antwoord: Waternet heeft beleid en richtlijnen voor de te implementeren maatregelen om persoonsgegevens adequaat te beschermen. Op dit moment zijn de controlemechanismen daarop nog onvoldoende ingericht. Er wordt gewerkt aan een verbeterplan. 10. Klopt het dat medewerkers grote hoeveelheden aan vertrouwelijke data, waaronder klantgegevens, naar hun persoonlijke computer kunnen downloaden? Zo ja, is dat wel of geen beveiligingslek? Zo nee, waarom niet? Antwoord: Het college kan op dit moment niet uitsluiten dat vertrouwelijke data, waaronder persoonsgegevens, naar persoonlijke computers zijn gedownload. Er worden geen logs bijgehouden van de downloadhistorie, dus er is geen overzicht van downloads. Ook zijn er niet voor alle systemen log-bestanden beschikbaar waaruit dit herleid zou kunnen worden. Het onderzoek van Accenture geeft aan dat het toegangsbeheer beter en meer eenduidig moet worden ingeregeld. Nader onderzoek moet inzicht geven over de status van het toegangsbeheer van klantgegevens en de daarvoor benodigde verbeteringen 11. Klopt het dat het met de autorisatie van medewerkers voor bepaalde (gevoelige) data niet goed zit? Wat is hiervan het risico? Antwoord: Dat klopt voor de kantoorautomatisering.

Het risico hiervan is bijvoorbeeld dat er ongeautoriseerd toegang kan worden verkregen tot vertrouwelijke informatie. In november 2019 is One Identity opgeleverd. Dezee tooling zorgt voor centrale 3

Jaar Afdeling Nummer Datum

2020 Gemeente Amsterdam 1 Gemeenteblad 0 Schriftelijke vragen, maandag 28 september 2020 <datum onbekend>

R

management van identiteiten en toegang tot alle applicaties. Een aantal applicaties zijn aangesloten. Aansluiting is tot nu toe vrijwillig, inmiddels zijn stappen gezet aansluiting verplicht te maken. Het team dat voor aansluiting zorgt wordt vrijgemaakt om alle applicaties aan te sluiten. Zij zullen hiervoor een roadmap maken zodat duidelijk is wanneer dit klaar is. 12. Indien de security officers weldegelijk beveiligingsprotocollen willen doorvoeren, door wie worden deze dan tegengehouden en waarom? Kan hiervan een overzicht worden gegeven? Antwoord: De uitgevoerde onderzoeken waaronder dat van Accenture geven onvoldoende antwoord op deze vraag. Dit zal daarom onderwerp zijn van aanvullend onderzoek.

13. Zijn de cruciale onderdelen (de zogenaamde Militarized Zones) verbonden via een zgn. gesloten circuit? Of zijn ze met het openbare internet verbonden? Zo ja, waarom en wat is het risico? Waaruit blijkt dat het risico zo gering of zo groot is? Antwoord: Wanneer een server ongelimiteerd met het internet verbonden is, bestaat het risico op malware en virussen. Waternet heeft het laatste jaar de IT infrastructuur verbeterd. Onderdeel daarvan was het uitfaseren van servers die ongelimiteerd verbinding kunnen maken met het internet. Accenture constateert dat er nog steeds een aantal servers met ongelimiteerde verbinding waren. Waternet geeft aan dat alle servers inmiddels voorzien zijn van een firewall policy die internettoegang alleen van naar buiten toestaat voor specifieke url’s..

14. Is er een moeizame samenwerking met de security tak en het management? Zo ja, waarom? Zo nee, waarom is deze situatie er dan? Antwoord: Naar aanleiding van de publicaties zijn hierover gesprekken tussen directie en medewerkers geweest. Het is van belang dat kritische geluiden uit het security domein doorklinken tot het juiste niveau. Geconcludeerd moet worden dat dit in het verleden onvoldoende het geval is geweest.

15. Indien bovenstaande vragen worden beantwoord met de strekking dat het met de veiligheid voldoende is gesteld, hoe rijmt het college de uitspraken van security experts die de veiligheid “zo lek als een mandje” kwalificeren en vinden dat er “onacceptabele risico’s worden genomen”? Antwoord: Het onderzoek van Accenture laat zien dat waar het technisch mogelijk is om onrechtmatig toegang te verkrijgen tot assets, een hoog kennis- en capaciteitsniveau benodigd is. Vervolgonderzoek moet dit nader valideren en preciseren.

16. Kan het college schoon drinkwater, verwerking van rioolwater en alle verdere watermanagement garanderen met de huidige stand van zaken bij Waternet? Zo ja, waarop baseert het college dat? Zo nee, wat gaat het college hier dan aan doen? Antwoord: Het onderzoek van Accenture laat zien dat waar het technisch mogelijk is om 4

Jaar Afdeling Nummer Datum

R

2020 Gemeente Amsterdam 1 Gemeenteblad 0 Schriftelijke vragen, maandag 28 september 2020 <datum onbekend>

onrechtmatig toegang te verkrijgen tot assets, een hoog kennis- en capaciteitsniveau benodigd is. Aanvullend onderzoek moet dit nader valideren en preciseren. Burgemeester en wethouders van Amsterdam

Femke Halsema, burgemeester

Peter Teesink, secretaris

5