04 Rapport onafhankelijk adviseur cybersecurity.pdf

Memo Stichtingsbestuur | Auteur: Wiard Gorter | 24-11-2020 | Versie 2.5 |

Contents

Summary-of-the-summary........................................................................................................................ 2 Inleiding..................................................................................................................................................... 2 Analyse op basis van bevindingen en rapporten ...................................................................................... 3 Status Cybersecurity en informatiebeveiliging binnen Waternet ........................................................ 4 Uitslag nieuwe Pentest Hoffmann ........................................................................................................ 5 CISO en governance .............................................................................................................................. 6 ILT-onderzoek........................................................................................................................................ 6 Aandachtspunten .................................................................................................................................. 6 Digitale transformatie ...........................................................................................................................

7 Eerdere rapportages ............................................................................................................................. 8 Aanvullend onderzoek. ......................................................................................................................... 9 Advies m.b.t. organisatiestructuur en acties korte termijn ...................................................................... 9 Organisatiestructuur ................................................................................................................................... 10 Directie .................................................................................................................................................... 10 Huis op orde ............................................................................................................................................ 11 Naar de volgende stap van professionalisering ...................................................................................... 12 Bestuurlijke kaders.................................................................................................................................. 13 Bijlage: De opdrachtformulering voor aanvullend onafhankelijk onderzoek .............................................

14 Bijlage Onderzoek en interviews ............................................................................................................ 15

1

Memo Stichtingsbestuur | Auteur: Wiard Gorter | 24-11-2020 | Versie 2.5 |

Summary-of-the-summary

•

•

• • • •

De Follow the Money-artikelen hebben brede aandacht gevestigd op vermeende hoge digitale kwetsbaarheid van Waternet. Vervelend maar inhoudelijk hebben de artikelen op onderdelen een grond van waarheid. Het Accenture rapport is kritisch. Accenture heeft het compliance framework ‘Baseline Informatiebeveiliging Overheid’1 (BIO) als basis gebruikt. Waternet scoort gemiddeld 1,54 op een schaal 1-5. Aangezien Waternet tot de Vitale Infrastructuur behoort deze gemiddelde score minimaal 3, met een 3 of hogere op de meest kritische veiligheidsaspecten. Accenture onderzoek heeft beperkte scope en is onvoldoende onafhankelijk. Meest recente pentest door Hoffmann laat verbetering zien ten opzichte van de door FTM gemelde zaken, maar lang niet alle problemen zijn opgelost. Op het gebied van cybersecurity en informatiebeveiliging moet Waternet flinke verbeterstappen maken. Deze zijn zowel belangrijk als urgent. Herstructurering van de IT-organisatie op directie-, tactisch-, en operationeel niveau is op korte termijn noodzakelijk.

Inleiding Op het online platform voor Journalistiek Follow the Money2 (hierna FTM) zijn een tweetal zeer kritische artikelen3 gepubliceerd over Waternet. De journalisten hebben daarbij voor hun artikel gedetailleerde, vertrouwelijke informatie ontvangen van medewerkers (of ZZP-ers) uit de Waternet organisatie. In de artikelen wordt het beeld neergezet dat Waternet zijn cybersecurity, IT-infrastructuur en de governance daaromheen in het geheel niet op orde heeft. Dit zou leiden tot grote risico’s van cyberaanvallen en dus een bedreiging van de continuïteit van de dienstverlening aan burgers, en veiligheid van vitale infrastructuur zoals onder meer de besturing van belangrijke assets. Bovenstaande misstanden worden geïllustreerd met een gelekt rapport van Hoffmann, waarin kritische bevindingen staan over de kantoorautomatisering van Waternet. Ook worden gelekte interne mails en documenten door FTM benoemd in hun artikelen. Hiermee ontstaat het beeld dat de Waternet-directie onvoldoende grip heeft op de cybersecurity. In de artikelen wordt gesuggereerd dat cybersecurity geen integraal onderdeel van beleid is en daarmee onvoldoende systematische aandacht van de directie heeft. Interne medewerkers die hierover aan de bel hebben getrokken zouden steevast genegeerd zijn. De directie zou de kritische cybersecurity situatie in de doofpot hebben willen stoppen.

1

Baseline Informatiebeveiliging Overheid

2 https://www.ftm.nl/ 3 https://www.ftm.nl/artikelen/beveiliging-waternet-lekt

https://www.ftm.nl/artikelen/waternet-verzwijgt-vernietigende-veiligheidstest

2

Memo Stichtingsbestuur | Auteur: Wiard Gorter | 24-11-2020 | Versie 2.5 | Naar aanleiding van de artikelen in FTM zijn Kamervragen gesteld en heeft de minister van Infrastructuur en Waterstaat (hierna de minister) besloten4 tot het instellen van een ILT-onderzoek bij Waternet. Verder zijn schriftelijke vragen gesteld door een raadslid (Yilmaz, Denk) van de Gemeenteraad van Amsterdam en heeft Algemeen Bestuurslid de heer Pontier (hierna de heer Pontier) 3 lijsten met gedetailleerde vragen gestuurd. In een response op bovenstaande ontwikkelingen heeft de directie van Waternet besloten Accenture de partij die verschillende consultancy projecten heeft gedaan voor Waternet- te vragen een onderzoek in te stellen naar de kwaliteit van de cybersecurity en de IT-infrastructuur, met betrekking tot zowel de technische inhoudelijke aspecten als de daarmee verbonden governance-aspecten. Daarnaast heeft Waternet een interne stuurgroep opgezet, bestaande uit de directie en leidinggevenden, waarin gezamenlijk wordt gewerkt aan actiepunten n.a.v. de FTM-artikelen. Het Stichtingsbestuur van Waternet (hierna Stichtingsbestuur) heeft - in samenspraak met het dagelijks bestuur van het Waterschap Amstel, Gooi en Vecht (hierna het DB AGV) - besloten om opdracht te verlenen aan een onafhankelijk adviseur (ondergetekende).

De adviseur helpt het Stichtingsbestuur met interpretatie en bestuurlijke duiding van de Hoffman en Accenture onderzoeken, adviseert over aanvullende bestuurlijke kaders en begeleidt de directie van Waternet in het vertalen van de huidige situatie naar noodzakelijke ingrepen in organisatiestructuur, strategie van digitale transformatie en digitale infrastructuur. Ook heeft het Stichtingsbestuur aan de adviseur gevraagd om te helpen met het instellen van een onafhankelijk onderzoek naar de informatiebeveiliging en cybersecurity van Waternet. Een onderzoek dat de organisatie, processen en technologie in hun samenhang analyseert. Hierbij wordt niet alleen naar kantoorautomatisering gekeken, maar ook naar de vitale infrastructuur zoals datacenters, procesautomatisering en digitale infrastructuur van assets. De adviseur die op 2-11-2020 is gestart werkt nauw samen met het Stichtingsbestuur, Bea de Buisonjé (portefeuillehoudster vanuit het DB AVG), Roelof Kruize (Algemeen Directeur Waternet) en leden uit het Waternet directieteam.

Analyse op basis van bevindingen en rapporten Hieronder treft u mijn beeldvorming aan naar aanleiding van de interviews en het bestuderen van de verschillende onderzoeken en documentatie, waaronder de rapporten van Accenture en Hoffmann (zie bijlage: Onderzoek en interviews).

4 https://www.rijksoverheid.nl/binaries/rijksoverheid/documenten/kamerstukken/2020/11/04/versterken-cyberweerbaarheid-

in-de-watersector/versterken-cyberweerbaarheid-in-de-watersector.pdf

3

Memo Stichtingsbestuur | Auteur: Wiard Gorter | 24-11-2020 | Versie 2.5 |

Status Cybersecurity en informatiebeveiliging binnen Waternet De FTM-artikelen zijn tendentieus, maar de zorgen over de cybersecurity hebben zeker een grond van waarheid. Waternet heeft namelijk zijn cybersecurity en informatiebeveiliging op onderdelen onvoldoende op orde voor de functies die zij in de samenleving vervult en de verantwoordelijkheden die daarmee samenhangen. De score van 1,54 op een schaal van 5 uit het onderzoek van Accenture laat zien dat er nog veel moet gebeuren en dat die situatie op dit moment kritisch is. Accenture heeft met name gekeken naar “informatiebeveiliging” en beperkt naar technische weerbaarheid tegen cyberaanvallen. Achtergrond van deze focus is het feit dat Accenture in haar onderzoek met name heeft gekeken naar mate waarin Waternet voldoet aan het normenkader van de BIO5. De BIO is gebaseerd op de actuele, internationale standaard voor informatiebeveiliging (NEN-ISO/IEC 27001 en NEN-ISO/IEC 27002) en heeft risicomanagement als uitgangspunt. Het vergelijken van de BIO-score met andere Waterschappen is lastig omdat Waternet als ‘Water cyclisch bedrijf’ in een ander deel van het speelveld zit waardoor hogere eisen mogen worden gesteld. Op dit moment heb ik nog onvoldoende benchmark-informatie m.b.t.

de BIO voor een gebalanceerd oordeel, maar op grond van de criteria in het perspectief van de strategische positie van Waternet in de Vitale Infrastructuur is mijn eerste conclusie dat Waternet heden ten dage minimaal een score van 3 zou moeten halen, en gestaag naar een hogere van 4 en 5 moeten toewerken. De onderzoeken van zowel Hoffmann als Accenture laten zien dat de IT-beheerorganisatie steken laat vallen en niet in ‘control’ is. De rode draad in de onderzoeken is dat er veel achterstallig onderhoud is, er onvoldoende discipline is in het uitvoeren van beheersmaatregelen en basaal onderhoud niet structureel wordt gedaan. Ook zijn taken, verantwoordelijkheden en bevoegdheden niet duidelijk belegd en worden onvoldoende gemonitord. Dit komt mede door de diffuse wijze waarop verantwoordelijkheden zijn belegd tussen de domeinen en andere IT-afdelingen. Hierdoor worden essentiële beheerzaken niet altijd uitgevoerd en ontstaan risico’s voor de veiligheid. Er lijkt onvoldoende inzicht in, en sturing op, de risico’s en de impact daarvan. Dit maakt dat ook adequate doorvertaling van risicoprofiel naar proportionele beheersmaatregelen, noodscenario’s en ‘sense of urgency’ in management- en/of bestuursrapportages in de huidige situatie niet mogelijk is.

De IT-infrastructuur is op bepaalde onderdelen goed beveiligd, maar bevat op andere onderdelen onvoldoende beveiligd en is daardoor als geheel kwetsbaar. Op dit moment zijn er nog beperkte detectiemogelijkheden en ontbreken ‘audit-trails’ in delen van de infrastructuur en applicaties waardoor het moeilijk is om hackers en/of datalekken tijdig te detecteren. Ten tijde van de gewraakte pentest van Hoffmann en het desbetreffende FTM-artikel was dit detectiemechanisme overigens uitgeschakeld.

5

Baseline Informatiebeveiliging Overheid

4

Memo Stichtingsbestuur | Auteur: Wiard Gorter | 24-11-2020 | Versie 2.5 | De oorzaak van het gebrek aan coherentie in de ontwikkeling en aansturing van digitalisering en cybersecurity vindt zijn basis in een onvoldoende integrale IT-visie en -regie vanuit het directieteam. Dit maakt dat de drie directeuren die ieder verantwoordelijkheid dragen voor een deel van de IT, hun teams anders aansturen. Hierdoor zijn drie verschillende, enigszins verzuilde IT-organisaties binnen Waternet ontstaan die ieder hun eigen IT-beheer voeren. Uit de rapporten en interviews blijkt dat het gebrek aan integratie nog verder gaat dan deze verzuiling. Er bestaat door de gehele organisatie een hoog niveau van autonomie ten aanzien van projectprogrammering en -beleid. Deze dominante logica van aansturing maakt dat integratief management vanuit de directie moeizaam verloopt en dat onderwerpen die organisatiebreed moeten worden doorgevoerd, zoals bijvoorbeeld standaardisatie, vaak strandt in de organisatie. Hier komt bij dat aan een kritische voorwaarde voor digitale veiligheid niet is voldaan. Het kennisniveau op het gebied van cybersecurity en informatiebeveiliging is onvoldoende. Ditzelfde geldt voor de ‘Cybersecurity awareness’ onder het personeel en de directie van Waternet.

Er wordt gewerkt aan een Security Operations Center (hierna SOC) dat hierin een belangrijke functie moet gaan vervullen, maar realisatie hiervan duurt nog 2 jaar. De heersende perceptie binnen de organisatie is anders. Het beeld intern is dat er de afgelopen jaar veel verbeteringen zijn doorgevoerd en dat, gezien het geheel van beveiligingsmaatregelen, het niet eenvoudig is om Waternet’s vitale infrastructuur te hacken. Het feit dat er veel verbeterd is, is correct, de conclusie dat Waternet daarmee onmogelijk te hacken is niet. Als gevolg van het gebrek aan overzicht en diep inhoudelijk inzicht, regie en duidelijk belegde taken, en verantwoordelijkheden en bevoegdheden zitten er tal van weeffouten in het digitale web, en zeker in cybersecurity ben je zo sterk als je zwakste schakel. Over de directe risico’s voor de vitale infrastructuur bestaan zoals gesuggereerd in het FTM-artikel maak ik uit het onderzoek van Accenture op, dat waar het technisch mogelijk is om onrechtmatig toegang te verkrijgen tot assets, een hoog kennis- en capaciteitsniveau benodigd is. Maar vanwege de beperkte scope van het onderzoek van Accenture is aanvullende onderzoek belangrijk om dit verder en in meer detail te valideren.

Uitslag nieuwe Pentest Hoffmann De artikelen van FTM hebben vele verbeteringen in gang gezet. De stuurgroep (stuurgroep digitalisering & data), bestaande uit directie en sleutelpersonen uit de organisatie, die is opgericht na het verschijnen van Gateway rapport 2019, zet veel focus op verbeteringen. Helaas zien we dat nog onvoldoende terug in resultaten van de recente Hoffmann pentest (uitgevoerd op 20-11-2020) die op mijn verzoek is gedaan. Hoffman is gevraagd om exact dezelfde pentest te herhalen zoals zij die hebben uitgevoerd waarvan het rapport in de media is terechtgekomen. Temeer omdat het richting het ILT-onderzoek belangrijk is te laten zien dat de geconstateerde issues zijn geadresseerd.

5

Memo Stichtingsbestuur | Auteur: Wiard Gorter | 24-11-2020 | Versie 2.5 | Het rapport van deze test laat zien dat er weliswaar verbeteringen zijn, maar laat nog steeds een aantal kritische beveiligingsproblemen zien.

CISO en governance De Chief Information Security Officer Waternet (hierna CISO) krijgt alle ruimte binnen het directieteam en de dreigingsanalyses van de CISO worden besproken in directie. Hier wordt, ook volgens de CISO, voldoende actie op ondernomen. De CISO heeft echter nog geen totaaloverzicht over de digitaliseringsstatus en -ontwikkelingen en heeft een forse inspanning moeten leveren om binnen de organisatie cybersecurity met voldoende prioriteit en aandacht op de agenda te krijgen. Versterking van de samenwerking tussen de CISO en de drie IT-afdelingen zal duidelijk bijdragen aan verbetering van integrale procesbeheersing. Digitale veiligheid moet een integraal onderdeel zijn van bedrijfsvoering. Op dit moment zijn pentesten en cybersecurity audits geen systematisch onderdeel van de bedrijfsvoering. Er worden bijvoorbeeld wel pentests gedaan tijdens ontwikkeling, maar zodra een toepassing of dienst operationeel is krijgt dat geen systematisch vervolg. Het geautomatiseerd testen van applicaties staat nog in zijn kinderschoenen. Er wordt binnen Waternet niet gewerkt met “Red Teams”. Red teams zijn de cybersecurity equivalent van mystery-guest. Dit zijn ethische hackers die ingezet worden om een echte aanval te simuleren en te kijken hoe ver men komt.

ILT-onderzoek Het ILT-onderzoek dat inmiddels gestart is zal Waternet beoordelen in het kader van het “compliance framework” ‘Baseline Informatiebeveiliging Overheid’ (BIO). De verwachting is dat de uitslag hiervan in lijn zal zijn met de bevindingen uit het Accenture rapport, zij het dat ILT zich focust op Drinkwater, naast een beeldvorming van de bredere governance.

Aandachtspunten Waternet werkt niet volgens een centraal geregisseerde IT-architectuur en -standaarden waardoor ‘eiland’-automatisering in de hand wordt gewerkt, coherentie onvoldoende is en beheer steeds arbeidsintensiever wordt. De organisatie heeft circa 400 softwaretoepassingen in gebruik waarvan naar schatting 50% gedateerd zijn. Dit in combinatie met de grote diversiteit in software-ontwikkeltalen maakt dat de beheerafdelingen een te grote ‘span of control’ hebben en daarmee ook een te hoog risicoprofiel. Kennismanagement is in een dergelijke gefragmenteerde applicatie-omgeving cruciaal voor continuïteit en het maken van aanpassingen. Echter, het is nog onduidelijk hoe dit is geborgd. Wel worden er inmiddels stappen gezet richting meer standaardisatie.

6

Memo Stichtingsbestuur | Auteur: Wiard Gorter | 24-11-2020 | Versie 2.5 | Op dit moment zijn tussen 300-400 FTE actief in IT-ontwikkeling, hetgeen voor een organisatie als Waternet een hoog aantal is. Het merendeel zijn externe resources, voornamelijk ZZP-ers, waardoor meer maatregelen noodzakelijk zijn om de continuïteit van beleid, het contractmanagement en de standaardisatie te borgen. De organisatie heeft één leverancier voor de Clouddiensten, waardoor een grote leveranciersafhankelijkheid ontstaat in de primaire dienstverlening, en bovendien een beperkte onderhandelingspositie. Er zijn nog geen concrete plannen om naar een multi-vendor strategie te gaan.

Digitale transformatie Terwijl, zoals blijkt, een aantal fundamentele zaken onvoldoende op orde zijn loopt de digitale transformatie op volle snelheid. In de drie Domeinen, die de digitale transformatie trekken, wordt zeer gemotiveerd gewerkt en men is trots op de goed ingevoerde “agile” manier van werken. Digitalisering biedt uiteraard voor Waternet uitstekende mogelijkheden op de gebieden van data gedreven management, digitale dienstverlening, omgevingsanalyse en strategische planning (denk aan o.a. thema’s als klimaatadaptatie, anticiperen op verdroging) alsmede slim beheer van assets. Het is essentieel te begrijpen dat digitalisering geen op zichzelf staand ontwikkeldomein is, maar dat het gaat om het ter beschikking komen van nieuwe instrumenten die de strategische, tactische en operationele processen van Waternet kunnen verbeteren, verbinden en versnellen. Kernpunt ook voor Waternet is om vanuit de operationele, tactische en strategische bedrijfsprocessen te bepalen op welke wijze deze processen kunnen worden verbeterd en hoe de samenhang evenals de efficiency van de processen binnen Waternet steeds verder kan worden verbeterd. Een samenspel van de bedrijfsonderdelen (“voice-of-the-customer”) met de IT-afdelingen (nieuwe functionele mogelijkheden).

De programmering van digitalisering in een directe relatie met de behoeften vanuit de strategische, tactische en operationele processen van Waternet is ook de enige wijze om te borgen dat de digitale oplossingen deze processen maximaal ondersteunen en dat er een gezonde return-on-investment is van elk van deze digitale ontwikkelingen De gezamenlijke invulling van de relatie tussen bedrijfsprocessen en digitalisering lijkt bij Waternet nog onvoldoende systematisch te zijn ingevuld. Waternet zit in haar ontwikkelcurve ten aanzien van digitalisering op een moment, waarop, net als bij vele andere organisaties, IT en digitalisering in hoge mate het domein is van de IT-afdelingen, in dit geval de Domeinen. Dit wordt in de hand gewerkt door twee factoren. In de eerste plaats heeft het proces van systematische definitie van de procesondersteuning door digitale hulpmiddelen nog onvoldoende plaatsgevonden binnen Waternet. Daarnaast wordt een goede koppeling van organisatie en IT op dit moment nog gehinderd door een significant verschil in digitaliseringskennis tussen de Domeinen, de andere organisatieonderdelen en de verschillende besturen. Met een heldere definitie van de rol van IT in elk van de processen, de definitie

7

Memo Stichtingsbestuur | Auteur: Wiard Gorter | 24-11-2020 | Versie 2.5 | van de totale IT-architectuur voor Waternet en de ontwikkeling ervan in de komende jaren, kan ook helder worden gedefinieerd wat de rollen, taken en verantwoordelijkheden van elk van de spelers zijn in de digitalisering van Waternet. Bovenstaand fenomeen maakt ook dat in de operationele, financiële aansturing digitalisering nog niet is geborgd. Doordat bijvoorbeeld de IT-kosten hoofdelijk worden omgeslagen door de afdelingsmanagers is er geen prikkel om beheer-intensieve of onveilige applicaties uit te faseren of te vervangen. De domeinen spenderen tussen de 50% en 70% van het jaarlijkse digitale transformatie-budget aan onderhoud. Er lijkt een discrepantie te bestaan tussen het budgetverbruik van digitalisering van Waternet tijdens de afgelopen 2 jaar (28 mio Euro) en het gerealiseerde niveau van informatiebeveiliging en cybersecurity. Een andere weeffout die aan het licht kwam is dat bij de Domeinen zowel het ontwikkelen van nieuwe toepassingen en diensten als ook het beheer daarvan is neergelegd. Dit maakt dat de prioriteitsstelling en capaciteitsallocatie tussen vernieuwingsprojecten en solide beheer uitsluitend door de Domeinen wordt gemanaged. De IT-afdeling ziet daardoor systemen -waar zij geen zeggenschap over hebbendraaien op hun infrastructuur die niet voldoende onderhouden worden.

Het scheiden van ontwikkeling en beheer is niet alleen van belang voor effectieve procesaansturing, ook in termen van adequate aansturing van de professionals is dit relevant. De mind set, verantwoordelijkheden en werkwijzen, van ontwikkelteams en van beheerteams zijn te verschillend om in één afdeling te verenigen.

Eerdere rapportages De problematiek zoals in mijn analyse beschreven is op onderdelen geen nieuws. In de verschillende Gateway rapporten 2016-2019 en de rapportages over de digitale transformatie 2017-2019 die besproken zijn binnen het Algemeen bestuur, het Dagelijks bestuur en het Stichtingsbestuur komen veel van de benoemde punten terug. Omdat genoemde rapportages focussen op de Domeinen, en dit een van de drie IT-afdelingen is, geven deze rapportages geen integraal IT-beeld. Ook is hierdoor het onderwerp cybersecurity in de rapportages onderbelicht en mist een integrale risicoanalyse ten aanzien van cyberrisico’s, en de daaruit volgende verbetertrajecten en prioriteitstelling. Het is hierdoor lastig voor het Algemeen bestuur, het Dagelijks bestuur en het Stichtingsbestuur om te weten waarop gestuurd moet worden en welke bestuurlijke kaders er gegeven moeten worden. Als beleidsmatige kaders gebruikt Waternet sector-brede standaarden als de IEC62443, compliance framework ‘Baseline Informatiebeveiliging Overheid’ (BIO) en het NIST Cybersecurity Framework. Maar hierop wordt nog niet structureel gerapporteerd aan de directie, en vanuit directie aan het Algemeen bestuur, het Dagelijks bestuur en het Stichtingsbestuur.

Deze cybersecurity frameworks lenen zich goed om op bestuurlijk niveau te duiden wat de volwassenheid van cybersecurity is binnen Waternet, en waar de aandachtpunten liggen. De CISO van Waternet geeft aan te werken aan een dergelijke rapportage.

8

Memo Stichtingsbestuur | Auteur: Wiard Gorter | 24-11-2020 | Versie 2.5 | Zoals de Rekenkamer van het Waterschap Amstel, Gooi en Vecht (hierna de rekenkamer AVG) in haar rapport6 terecht opmerkt zijn financiële kaders alleen onvoldoende om sturing te geven in het dossier van digitalisering en daaraan gekoppelde cybersecurity.

Aanvullend onderzoek. Het Accenture onderzoek richt zich op kantoorautomatisering en kijkt daarbij name naar de organisatie en processen m.b.t. informatiebeveiliging. Er is een beperkte analyse gemaakt van de status van de vitale infrastructuur zoals de datacenters in Utrecht en in Amsterdam, Cloud-omgeving, de IT-omgeving van Proces Automatisering (PA), en infrastructuur van externe locaties en assets. Omdat Accenture in het recente verleden consultancy opdrachten voor de IT-organisatie van Waternet heeft uitgevoerd, kan het onderzoek niet gezien worden als een onafhankelijk onderzoek. Accenture geeft daarom ook aan dat ze het onderzoek geen audit mogen noemen en het onderzoek meer zien als een management consulting opdracht. Het Stichtingsbestuur heeft eerder al besloten om een onafhankelijke derde partij in de arm te nemen om te verhelderen waar Waternet organisatie-breed staat op het gebied van cybersecurity. (Zie bijlage Opdrachtformulering Extern onderzoek)

Advies m.b.t. organisatiestructuur en acties korte termijn Het mag duidelijk zijn dat de geconstateerde problematiek een direct ingrijpen in de organisatie noodzakelijk maakt. Er zal in de organisatiestructuur verandering moeten komen om structurele verbeteringen mogelijk te maken, waarbij bij de inrichting van de structuur wordt gebaseerd op de gewenste strategisch, tactische en operationele processen en hun aansturing, al dan niet over de grenzen van afdelingen en disciplines heen. Dit zal een dynamiek zijn van het op korte termijn benoemen en bemensen van sleutelposities, van waaruit de kritische processen en de organisatorische consequenties daarvan kunnen worden vormgegeven. Dit zal starten als stevige correctieve ingreep en overgaan in een goed beheerst parallelle ontwikkeling van de functies van Waternet en hun digitale ondersteuning. Er zal echter per direct ook een projectmatige interventie nodig zijn om zo snel mogelijk het bloeden te stoppen. Hiertoe moet op korte termijn een interventieteam worden opgetuigd, dat in een hoog tempo een volledige, diepe screening van Waternet moet uitvoeren ten aanzien van zowel cybersecurity als informatiebeveiliging. Dit is geen proces maar een project met helder begin en eind.

De resultaten van dit interventie project, genaamd “Watertight” bestaan minimaal uit een volledig overzicht van alle zwakke plekken met een risicoprofiel, de samenhang met andere plaatsen in het digitale web, de samenhang met de governance en procedures, en een gedetailleerd voorstel voor de oplossing voor het elimineren van deze kwetsbaarheden.

6 https://agv.waterschapsinformatie.nl/document/9309589

9

Memo Stichtingsbestuur | Auteur: Wiard Gorter | 24-11-2020 | Versie 2.5 |

Organisatiestructuur Directie In de directie moet z.s.m. een IT Directeur worden aangesteld die de integrale aansturing doet van de ITorganisatie. Wat nu drie losse IT-organisaties zijn, moet worden samengevoegd tot een geïntegreerde IT-organisatie. De nieuwe IT-organisatie moet een interne dienstverlener zijn met een duidelijke splitsing in een innovatieve ontwikkelorganisatie, die instrumenten ontwikkeld geprogrammeerd aan de hand van de vereisten uit de bedrijfsprocessen en de IT-operationele organisatie die zorgt draagt voor een solide technische infrastructuur en onderhoud. De drie IT-beheerteams moeten binnen de operationele ITorganisatie geïntegreerd worden tot een Servicemanagement Team. Dit Servicemanagement Team sluit Service Level Agreements (SLA’s) af met de interne ‘klanten’ binnen het kader van de nieuwe IT-policy ten aanzien van standaardisatie, cybersecurity en andere corporate Waternet-richtlijnen. De portefeuille IT-kwaliteitsmanagement en -governance kan bij de Financieel Directeur worden belegd. Dit borgt onafhankelijke auditing en past binnen de dominante logica van een financiële afdeling. De CISO’s zullen onderdeel uitmaken van het Audit en Monitoring team.

Belangrijke vraag is waar de verantwoordelijkheden voor de definitie van de bedrijfsprocessen, de programmering van daaruit voortkomende digitaliseringsprojecten (voice-of-the-customer, functionele eisen) en de matching met cybersecurity maatregelen kan worden gemanaged. Binnen een onderneming zou dit een typische taak van een Operationeel Directeur zijn. Het verdient aanbeveling om een Operationeel Directeur met goed inzicht in procesmanagement en voldoende kennis van ICT binnen het directieteam op te nemen. Deze Operationeel Directeur zal nauw samenwerken met de IT Directeur. De IT Directeur stuurt daarbij op de definitie van vereiste kennis en vaardigheden van digitalisering en cybersecurity binnen Waternet, de borging van de invulling daarvan, de zwaluwstaart met de Operationeel Directeur in termen van wensen vanuit de bedrijfsprocessen versus ICT-mogelijkheden en de directe confrontatie met de veiligheidsaspecten, de keuze van technologische oplossingen, onderhoudspolicies en alle andere IT-aspecten om de integrale veiligheid en continuïteit van ITomgeving te garanderen.

Dit betekent dat de programmering van (interne) klantgedreven ICT-projecten wordt gedaan door de Operationeel Directeur in samenspraak met enerzijds de afdelingsmanagers (de klanten) en anderzijds de IT Directeur/CISO’s en hun teams (ICT mogelijkheden en kosten- , standaardisatie- en risicogedreven beperkingen). De programmering van versterking en beveiliging van het ICT-netwerk, i.e. de technologische basisinfrastructuur, wordt gedaan door de IT Directeur en CISO’s en hun experts. De IT Directeur zal dus zorgdragen voor een breed gedragen Enterprise architectuur. Als extra borging van security zal hij er op toezien dat de Enterprise- en security-architecten een veto op technische projectvoorstellen en/of project gateways krijgen dat alleen door de IT Directeur, na overleg met experts, kan worden opgeheven.

10

Memo Stichtingsbestuur | Auteur: Wiard Gorter | 24-11-2020 | Versie 2.5 | Deze programmeringen zijn beide onderdeel van een vast planningscyclus binnen Waternet. Dit betekent dus ook dat afdelingen zelf niet meer autonoom projecten initiëren en uitvoeren. Meer generiek is een krachtige interventie nodig om de problemen van gebrekkige executiekracht, silovorming en gebrek aan synergie in de organisatie aan te pakken. Dit is typisch een integrerende taak voor de Algemeen Directeur, maar kan in overleg ook door de Operationeel Directeur worden uitgevoerd aangezien het uitstekend aansluit bij zijn verantwoordelijkheid voor de bedrijfsprocessen en de aansluiting daarvan bij digitale instrumenten en systemen. De vereiste verbeteringen en ontwikkelingen, en het daaruit voortvloeiende pakket van concrete activiteiten, zijn aanzienlijk en urgent. Het is belangrijk om in de komende periode een extra senior CISO aan te trekken die veel ervaring heeft in aan het aansturen van soortgelijke trajecten. Bovenstaand advies is een suggestie voor nieuwe directie c.q. organisatiestructuur. De bovengenoemde structuur wordt vaak succesvol toegepast binnen het bedrijfsleven. De complexiteit en context van Waternet kan maken dat een andere structuur nog beter aansluit. Kijkende naar de duur van mijn onderzoek en de focus die ik daarin heb, moet ik me beperken tot deze suggestie.

Ik adviseer het Stichtingsbestuur om op een korte termijn een gespecialiseerd organisatieadviesbureau in de arm te nemen om te kijken naar een nieuwe structuur die Waternet helpt uit deze impasse te komen. Parallel hieraan adviseer ik om het aanvullende onderzoek uit te voeren (Zie bijlage: De opdrachtformulering voor aanvullend onafhankelijk onderzoek), de extra CISO aan te stellen en onderstaand traject ‘Huis op orde’ te starten.

Huis op orde Naast het project “Watertight”, een crisismanagementproject dat op heel korte termijn de lekken in het systeem moet detecteren en dichten, moet een korte termijn proces worden ingezet, onder leiding van de IT Directeur en Operationeel Directeur, waarin samen met afdelingsmanagers het aantal gedateerde applicaties drastisch wordt teruggebracht tot maximaal 150. De IT Directeur zal daarnaast een uitfaseerprogramma moeten gaan starten om het grote aantal ontwikkelomgevingen te verminderen tot maximaal 4 en over te stappen op een systematiek van aanbesteden van percelen i.p.v. het inzetten van grote aantallen ZZP-ers. De IT-infrastructuur is een belangrijk onderdeel van ‘Huis op Orde’. Alle aanbevelingen uit het Accenture rapport en eventueel aanvullend onderzoek zullen geagendeerd en opgelost moeten worden. Waarbij het versneld invoeren van het Security Operations Center (SOC) een belangrijk onderdeel is. De IT Directeur moet zorgen dat lifecycle management goed wordt ingeregeld en wordt nageleefd. Ook moeten verantwoordelijkheden duidelijk belegd worden, en moet per applicatie of dienst duidelijk een eigenaar zijn in de business die ook de verantwoordelijkheid heeft voor de digitale hygiëne en moeten zorgen dat voldaan wordt aan de eisen van IT voor de exploitatie van de applicatie of dienst. IT heeft daarbij samen met de CISO een signalerende rol.

IT is eindverantwoordelijk voor het in productie nemen van applicaties of diensten.

11

Memo Stichtingsbestuur | Auteur: Wiard Gorter | 24-11-2020 | Versie 2.5 |

Naar de volgende stap van professionalisering Belangrijke bouwstenen voor deze professionalisering zijn, naast bovengenoemde sturing vanuit de processen: •

•

het borgen van voldoende kennis van digitalisering voor elk van de afdelingen en bestuurlijke niveaus zodat zowel de kansen voor de eigen werkomgeving als vereiste borging van risico’s en vereist rendement van de IT-investeringen goed gemanaged kunnen worden. het vanuit dit verbeterde inzicht neemt de directie in een strakke regie op een verandertraject waarin: o de Voice-of-the-Customer vanuit de verschillende afdelingen en bedrijfsprocessen (strategische, tactisch, operationeel) sturend wordt voor de programmering van de digitaliseringsontwikkelingen; o vanuit de Voice-of-the-Customer wordt bepaald welke functionaliteiten noodzakelijk dan wel sterk gewenst zijn voor de verschillende processen o de optimale vertaling van deze functionaliteiten in technische oplossingen wordt bepaald o een match van deze optimale architectuur en gerelateerde prioriteiten, beheersstructuur en kosten met de huidige stand van zaken wordt gemaakt o een snelle transitie van de huidige situatie naar een volgend niveau van professionele inbedding, transparantie en beheersing van digitalisering wordt gerealiseerd.

Aangezien er op dit moment op vele plaatsen in de organisatie onvoldoende inzicht is in digitalisering, is het sterk aan te bevelen het Voice-of-the-Customer-proces te laten opzetten en begeleiden door een klein team met daarin 2 -3 top-IT en cybersecurity experts en 2-3 experts uit het taakveld van Waternet. Dit team zal binnen twee maanden tijd in dialoog met de belangrijkste stakeholders transparant maken welke digitaliseringsoplossingen wanneer waar moeten zijn gerealiseerd, zowel in termen van huis-oporde als in termen van ontwikkeling in de komende jaren. De inhaalslag van ‘Huis op Orde’ heeft op dit moment in mijn aanbeveling grote prioriteit boven innovatieprojecten.

12

Memo Stichtingsbestuur | Auteur: Wiard Gorter | 24-11-2020 | Versie 2.5 |

Bestuurlijke kaders Daarnaast moeten er bestuurlijke kaders en rapportages gedefinieerd moeten worden zodat er ook op bestuurlijk niveau voldoende grip en inzicht kan worden geboden. Daartoe zullen de volgende zaken ingeregeld moeten worden: •

• • •

•

Waternet zal 3x per jaar een trusted third party in schakelen om een pen test te doen op verschillende plekken in het netwerk als ook 1 a 2x per jaar een redteam inschakelen om de robuustheid van de beveiligingsmaatregelen in ‘real life’ te testen. De uitkomst hiervan moet door een onafhankelijke externe partij vertaald worden naar de staat van cybersecurity van Waternet en gecommuniceerd worden aan DB/AB/SB Waternet zal 2x per jaar zelf een benchmark doen met BIO en NIST-standaard, en hierover rapporteren aan DB/AB/SB. Waternet zal 3x per jaar een risicoanalyse van alle netwerken, applicaties en assets doen, en die delen met het DB/SB en subset van het Algemeen bestuur. Waternet moet jaarlijkse worden ge-audit door een KPMG/EY achtige organisatie op NIST/COBIT/BIO/OWASP compliance (Korte termijn expert inhuren om het juiste audit frameworks te bepalen). De door CISO naar de directie geëscaleerde dreigingsanalyses moeten gecommuniceerd worden aan PHO van DB, en jaarlijkse gerapporteerd worden aan AB en SB met daarbij de status / acties die zijn ondernomen.

13

Memo Stichtingsbestuur | Auteur: Wiard Gorter | 24-11-2020 | Versie 2.5 |

Bijlage: De opdrachtformulering voor aanvullend onafhankelijk onderzoek De scope van de opdracht betreft het geheel van kantoorautomatisering, datacenters, zowel fysiek als in de Cloud, procesautomatisering, ‘connected assets’ en locaties van Waternet die gekoppeld zijn de infrastructuur. Vragen die de audit zal beantwoorden: 1) Heeft de organisatie (bestuur, directie, business, IT-organisatie) voldoende inzicht in de cybersecurity-risico’s en hun potentiële impact van de IT-omgevingen en assets, zijn daarvoor adequate beheers- en mitigerende maatregelen genomen? 2) Zijn de IT-infrastructuur, de beveiligingsmaatregelen, de aansturings- en beheersprocessen van de datacenters, de Cloud-omgeving, het asset management en de belangrijke Waternet-locaties voldoende robuust zowel voor goed functioneren als voor solide cybersecurity? 3) Is er voldoende interne kennis aanwezig bij de kritieke functies in de IT-organisatie, -beheer en support? Is kennismanagement voldoende professioneel vormgeven? 4) Hoe ziet het applicatie-landschap eruit? Hoe veilig zijn die applicaties, welke beheers- en beveiligingsmaatregelen bestaan nu en welke zijn nodig? 5) Hoe zijn de operationele IT-beheersprocessen ingericht en geborgd? 6) Wat is de status van de technische infrastructuur, hoe is het beheer daarvan georganiseerd en ingebed in andere operationele processen? 7) Welke risico’s op datalekken

bestaan in de huidige opzet? Welke detectiemethoden zijn actief binnen de verschillende onderdelen van de organisatie om actief, near-real time datalekken te identificeren? Welke beheersprocessen zijn geïmplementeerd voor het proces van detectie van datalekken? Wat is het niveau van dataclassificatie? 8) Welke detectiemaatregelen zijn geïmplementeerd om hacken te voorkomen. Op welke wijze kan nu worden gedetecteerd of een hacker op netwerk actief is? Zijn er disaster-recovery scenario’s en wat zijn de daarbij behorende procedures, processen en verantwoordelijkheden? 9) Voldoet Waternet aan de privacywetgeving? Zo nee, waar zitten de ‘gaten’, zijn de verschillende lagen van de organisatie hiervan voldoende op de hoogte en zijn deze zaken geagendeerd om opgelost te worden? 10) Hoe zijn de processen m.b.t. rondom gebruikersbeheer, autorisatie en ‘audit-trail’ voor systemen georganiseerd? 11) Wat is de status en borging van de Enterprise architectuur en van de Security architectuur 12) Wat is status en borging ten aanzien van Security-by-design, Archiving-by-design en Privacy-bydesign? (methodieken toegepast binnen de Domeinen).

13) Hoe zijn alle applicaties, netwerken, toepassingen en diensten gedocumenteerd? 14) Heeft de CISO voldoende inzicht in en controle op de beveiligingsmaatregelen die door IT worden genomen, evenals in de SLA’s die hierover met derde partijen worden gesloten? 15) Wat zijn naast NIST, BIO, ISO goede referentiekaders voor Waternet voor actieve benchmarking? 16) Welk type rapportage geeft het bestuur een solide grip op de status van Cybersecurity en de effectiviteit van maatregelen en verbetertrajecten?

14

Memo Stichtingsbestuur | Auteur: Wiard Gorter | 24-11-2020 | Versie 2.5 | Het onderzoek zal moeten starten in het eerste kwartaal van 2021 en zal in het tweede kwartaal moeten zijn afgerond.

Bijlage Onderzoek en interviews •

• •

In mijn interviewronde heb inmiddels alle directieleden gesproken, evenals de domeinregisseur, de afdelingsmanager PA, de managers van infrastructuur en IT. Doelstelling van de gesprekken was een beeld te vormen van organisatorische en technische situatie mb.t. cybersecurity en de digitale transformatie. Naast deze interviews heb ik een gesprek gehad met de onderzoeksleider van Accenture. Documenten geanalyseerd; o Gateway rapporten. 2016, 2017, 2018, 2019. o Advies Rekenkamer AGV, oktober 2020. o Sectorscan digitalisering Waterschappen 2017. o Waternet bestuur rapportages en presentatie m.bt. Digitalisering 2018,2019,2020. o Rapportage Gartner-onderzoek ‘IT Score for CIO’ 20-7-2020. o Risicoanalyses van de afgelopen jaren door domeinen. o Resultaten van de twee pentest van Hoffmann in detail. o Opdrachtformulering van Accenture, als ook de documenten die door de organisatie beschikbaar zijn gesteld aan Accenture voor dit onderzoek. o Verschillende lijsten met daarin alle legacy toepassingen. o Vragen AB-lid Pontier en raadslid Yilmaz (DENK) o AKAM controle verslagen jaarrekeningen Waternet/Stichting (2017/2018/2019) o Rapport Accenture “Digitaal beveiligingsonderzoek d.d. 25-11-2020

15