03 Beantwoording_aanvullende_schriftelijke_vragen_Yilmaz_beveiligingsmisstanden_bij_Waternet.pdf

Gemeente Amsterdam Gemeenteraad

R

Schriftelijke vragen

Jaar

2020

Afdeling

1

Nummer

0

Datum indiening

26 november 2020

Datum akkoord

3 december 2020

Onderwerp

Beantwoording aanvullende schriftelijke vragen van het lid Yilmaz inzake de veiligheid bij Waternet Aan de gemeenteraad

Toelichting vragensteller: De fractie van DENK heeft eerder vragen gesteld naar aanleiding van een artikel van Follow the Money over slechte de beveiliging bij Waternet en het ingrijpen door de directie om ingevoerde veiligheidsmaatregelen weer ongedaan te maken 1. Deze werden afgedaan met de mededeling dat er een uitgebreid onderzoek gestart zou worden en dat onze vragen daarin zouden worden meegenomen. Echter kwam Follow the Money daarna met een tweede artikel dat wijst op een nog ernstiger probleem: er zou een zogenaamde ‘pentest’, ofwel penetratie test, opzettelijk zijn verborgen. Uit die test kwam naar voren dat volgens de maatstaven van de Nationaal Coördinator Terrorismebestrijding en Veiligheid (NCTV) per direct de software-systemen uit de lucht zouden moeten worden gehaald. De fractie van DENK heeft de wethouder daarover mondeling bevraagd, maar ook daar kwam geen duidelijk antwoord naar voren dat er iets mee is gedaan. Derhalve is de fractie van DENK niet overtuigd dat er stappen worden ondernomen om de veiligheid van Waternet te waarborgen. Gezien het vorenstaande heeft het Yilmaz, namens de fractie van DENK, op grond van artikel 45 van het Reglement van orde voor de raad van Amsterdam, de volgende aanvullende schriftelijke vragen – op zijn schriftelijke vragen van 28 september 2020 – aan het college van burgemeester en wethouders gesteld: 1.

Is er momenteel een directe bedreiging voor ons drinkwater en andere watersystemen die worden beheerd door Waternet? Zo ja, welke? Antwoord: Uit het uitgevoerde onderzoek blijkt momenteel geen directe bedreiging voor het drinkwater en de watersystemen die Waternet beheert. Het Accenture-onderzoek concludeert dat waar het technisch mogelijk is om onrechtmatig toegang te verkrijgen tot assets, zeer specifieke kennis- en capaciteit benodigd is. Op korte termijn wordt aanvullend onderzoek uitgevoerd, gericht op veiligheidsaspecten van de specifieke processystemen door een onafhankelijke en deskundige partij. Daarmee wordt de zekerheid verkregen die nodig is. Daarnaast is het van belang om te benoemen dat de minister van IenW tijdens het wetgevingsoverleg water in de Tweede Kamer op 1 december jl. in antwoord 1

https://www.ftm.nl/artikelen/beveiliging-waternet-lekt

1

Jaar Afdeling Nummer Datum

2020 Gemeente Amsterdam 1 Gemeenteblad 0 Schriftelijke vragen, dinsdag 17 november 2020 <datum onbekend>

R

op mondelinge vragen heeft gezegd dat de ILT op dit moment geen reden heeft om aan te nemen dat de leveringszekerheid van drinkwater als gevolg van cyber risico's in het geding is. De ILT is de toezichthouder op de drinkwatersector. Naar aanleiding van de berichten van FTM is de ILT een onderzoek gestart naar de situatie bij Waternet. De resultaten worden in maart verwacht. 2. Hoeveel cyberaanvallen vinden er maandelijks en jaarlijks plaats tegen waternet? Hoeveel daarvan zijn succesvol het systeem binnen gekomen? Antwoord: Echte aanvallen komen zeer beperkt voor. Er is geen signaal dat systemen van Waternet zijn gehackt. 3. Wat zijn de gevolgen als een cyberaanval succesvol is en bestaat er een plan of procedure wanneer dit het geval is? Zo nee, waarom niet? Antwoord: De gevolgen van een cyberaanval zijn afhankelijk van de aard van de aanval en het doel van de aanvaller. Wanneer Waternet wordt getroffen door een cyberaanval, treedt de crisisorganisatie in werking. Er is een calamiteitenplan voor de procesautomatisering en IT-organisatie. 4. Wat raakt er ontregeld als waternet via een cyberaanval platgelegd wordt? De fractie van DENK ontvangt daar graag een lijst van. Antwoord: Waternet is actief in heel verschillende domeinen van drinkwater-levering, rioleringen, rioolwaterzuivering, tot bediening van bruggen en gemalen.

Bij een cyberaanval kunnen heel verschillende dingen aan de orde zijn waardoor deze vraag niet eenduidig valt te beantwoorden. 5. Wanneer wist het college van de zogenaamde 'pentest' en de rapportage van Hoffmann Bedrijfsrecherche waarin staat dat de cyberbeveiliging van Waternet zo lek is als een mandje? Wanneer is hier actie op ondernomen en kan het college aangeven welke actie er is ondernomen en hoe die terug te zien is dat er daadwerkelijk opvolging aan is gegeven? Antwoord: Het college is door Waternet op de hoogte gesteld van de pentest en de daarmee samenhangende door de onderzoeksjournalist gestelde vragen voorafgaand aan de publicatie van dit artikel door Follow the Money op vrijdag 30 oktober 2020. Rapportages van penstests zijn bedrijfsvertrouwelijke, interne documenten. Waternet heeft intern de afweging gemaakt dat deze pentest niet een dusdanig risicoprofiel had dat het op bestuursniveau aan de orde moest worden gesteld. 6. Deelt het college de conclusie van Follow the Money en hun geraadpleegde specialisten dat Waternet momenteel een zeer makkelijk doelwit is voor terroristische aanslagen of hackers met kwade bedoelingen? Zo ja, welke maatregelen zijn genomen sinds bovenstaande is vastgesteld om deze dreiging tegen te gaan; zo nee, waarom niet? Antwoord: De cyber security bij Waternet is op punten onvoldoende geborgd.

Ten aanzien van aanbevelingen voor verbetering maakt de organisatie onvoldoende voortgang. Het stichtingsbestuur grijpt daarom in in de organisatie. Voor nadere toelichting daarop verwijs ik u naar de raadsbrief hierover.

2

Jaar Afdeling Nummer Datum

2020 Gemeente Amsterdam 1 Gemeenteblad 0 Schriftelijke vragen, dinsdag 17 november 2020 <datum onbekend>

R

Toelichting vragensteller: Follow the Money stelt dat op basis van de uitgevoerde pentest de huidige staat van de beveiliging bij Waternet niet voldoet aan de normen van de NCTV en dat vanwege het veiligheidsrisico het systeem zelfs buitenwerking zou moeten worden gesteld tot dit is opgelost. 7. Is het college deze mening ook toegedaan? Voldoet Waternet op dit moment aan de eisen die de NCTV stelt aan zogeheten 'vitale bedrijven'? Zo nee, waarom niet? En welke risico's zijn eraan verbonden voor Amsterdam als mede-eigenaar van Waternet als Waternet niet aan die eisen voldoet? Antwoord: De WBNI stelt eisen aan de zorgplicht. Uit het onderzoek blijkt dat de informatiebeveiliging bij Waternet nog niet op voldoende niveau is, waardoor niet volledig aan deze zorgplicht wordt voldaan. Dit heeft niet direct consequenties, wel is duidelijk dat verbetering noodzakelijk is. Waternet voldoet wel aan de meldplicht bij grote incidenten

8. Hoe is het geregeld bij de naburige Waterschappen? Indien hun ITinfrastructuur wel veilig is, kan deze dan worden ingevoerd bij Waternet? Zo nee, waarom niet; zo ja, op welke termijn zou dat kunnen? De IT-infrastructuur van een andere overheidsorganisatie kan niet zomaar door Waternet ingevoerd worden. Toelichting vragensteller: Op de mondelinge vragen van onze fractie stelde wethouder Dijksma dat er reeds stappen zijn ondernomen om de veiligheid te waarborgen. 9. Zonder de veiligheid te compromitteren, kan de wethouder aangeven welke stappen zijn ondernomen om de veiligheid te borgen? Antwoord: Allereerst zijn verschillende onderzoeken uitgevoerd op basis waarvan preciezer kan worden bepaald wat er aan de hand is. Dit gaat hand in hand met het oppakken van korte termijn acties en vervolgonderzoek. - Op bestuurlijk niveau is onderzoek gedaan op governance en inrichting door een externe adviseur. - Op organisatorisch niveau is onderzoek gedaan naar de implementatie van het informatiebeveiligingsbeleid door Accenture. - Op technisch niveau is onderzoek gedaan naar de effectiviteit van de genomen maatregelen door Accenture en Hoffmann. Daarnaast zijn ook technische maatregelen geïmplementeerd. Zo is Waternet bijvoorbeeld bezig met de inrichting van een technologie die verdacht verkeer op het netwerk kan detecteren..

De planning is dat aan het einde van dit jaar een zogenaamd ‘Hackers alert’ geïmplementeerd is. 10. Zijn de huidige maatregelen reeds (voorlopig) goedgekeurd door de NCTV? Antwoord: De NCTV doet geen uitspraken over individuele organisaties; dat is niet de rol van de NCTV.

3

Jaar Afdeling Nummer Datum

R

2020 Gemeente Amsterdam 1 Gemeenteblad 0 Schriftelijke vragen, dinsdag 17 november 2020 <datum onbekend>

11. Bij hoeveel van de stappen die zijn ondernomen zoals bedoeld in vraag 12 is er sprake van een zogenaamde herinvoering; daarmee bedoelen wij maatregelen die eerder door hogerhand zijn teruggedraaid en nu zijn heringevoerd? Kan de wethouder specificeren om welke maatregelen het gaat? Antwoord: Het is eenmaal gebeurd dat een security maatregel is teruggedraaid. Een beveiligingsmaatregel met betrekking tot mobiele telefonie die net toegepast werd op het moment dat mensen massaal thuis gingen werken vanwege het coronavirus is tijdelijk teruggedraaid. Dit is gedaan omdat anders teveel mensen niet meer konden werken. Op dit moment wordt deze beleidsmaatregel wel weer gevolgd. 12. Welke nieuwe maatregelen zijn genomen waar de wethouder in haar antwoord naar refereerde? Antwoord: Zie de raadsbrief en het antwoord op vraag 9. 13. Is het college het met de fractie van DENK eens dat er parallellen te ontwaren zijn met het AEB? Zoals onder meer de verhouding met de werkvloer en het management; de werkvloer waarschuwt voor de veiligheid maar vindt geen gehoor bij hun superieuren; wanneer er veiligheidsmaatregelen worden doorgevoerd dan worden deze vanuit hogerhand weer teruggedraaid op een later moment. Zo ja, wat gaat het college hieraan doen; zo nee, waarin vindt zij dat het verschilt met het AEB? Antwoord: Waternet is geen deelneming zoals het AEB, maar een stichting.

Geconcludeerd kan worden dat signalen bij Waternet niet altijd op de juiste plek terecht zijn gekomen of onvoldoende zijn gehoord. Er zijn inmiddels stappen gezet om hierin verbetering aan te brengen. Burgemeester en wethouders van Amsterdam

Femke Halsema, burgemeester

Peter Teesink, secretaris

4