Beleidsnotitie Meldpunt ethisch hackers_v1.1

Versie 1.1 2022-02-15

Meldpunt voor ethisch hackers en op gecoördineerde wijze omgaan met het openbaar maken van gemelde kwetsbaarheden, beter bekend onder de Engelse naam Coordinated Vulnerability Disclosure

Nationaal Cyber Security Centrum: Voor publieke en private partijen is er een groot belang gebleken van Coordinated Vulnerability Disclosure (CVD). In de dagelijkse praktijk zijn zij in sterke mate afhankelijk van het ongestoord functioneren van informatiesystemen. Meldingen van kwetsbaarheden in hun systemen hebben de afgelopen jaren geholpen om de veiligheid en continuïteit van systemen te verbeteren. Enerzijds door kwetsbaarheden te verhelpen, anderzijds doordat het bijgedragen heeft aan het algemene ICTveiligheidsbewustzijn bij bedrijven Nederland.

Gemeente Amsterdam I-domein

Versie 1.1 2022-02-15

Meldpunt voor ethisch hackers

Documentmanagement 1.1 Eigenaar Eigenaar en verantwoordelijke voor deze beleidsnotitie is de Chief Information Security Officer van de gemeente Amsterdam.

1.2 Versiebeheer Versie 0.1 0.2 0.3 0.4 0.5 0.6 1.0 1.1

Datum Juli 2021 Augustus 2021 September 2021 Oktober 2021 Oktober 2021 November 2021 20 januari 2022 15 februari 2022

Verspreidingsvorm Expertisepool ISO Privacy, Juridisch, Informatiebeheer, CISO beleidsteam CIO SOC ICT, Communicatie Alle eerdere reviewers en bestuursadviseur Kernteam ICT en MID GMT College

Toelichting concept concept concept concept concept Ter kennisname Ter vaststelling Ter vaststelling

1.3 Reviews Review door Expertisepool ISO FG/CPO Adviseur Informatiebeheer

Datum juli 2021 augustus 2021 augustus 2021

Versie 0.1 0.2 0.2

Juridisch adviseur CISO/CIO Team Beleid CIO Office Communicatie-adviseur ICT (SOC Amsterdam) Alle eerdere reviewers en bestuursadviseur

augustus 2021 september 2021 september 2021 september 2021 oktober 2021 oktober 2021

0.2 0.3 0.3 0.4 0.4 0.5

Opmerking Diverse tekstuele opmerkingen Privacyparagraaf toegevoegd Verwijzing naar Selectielijst toegevoegd Tekstuele aanpassing Besluitvormingsproces toegevoegd Doelgroepen toegevoegd Communicatieparagraaf aangepast Verwijzing naar proces toegevoegd Tekstuele aanpassingen

Gemeente Amsterdam I-domein

Versie 1.1 2022-02-15

Meldpunt voor ethisch hackers

1.4 Periodieke actualisering Actualisering van dit document vindt plaats bij relevante wijzigingen in wet- en regelgeving of bij beleidswijzigingen. Jaarlijks controleert de eigenaar van het document of aanpassing nodig is.

1.5 Beleidshiërarchie Dit document is onderdeel van het Stedelijk Kader Informatiebeveiliging gemeente Amsterdam (vastgesteld 15 december 2020 door college B&W). Daarnaast zijn de onderstaande beleidskaders en procedures van toepassing:  Beleidskader classificatie van informatieobjecten voor het onderscheid tussen openbare, vertrouwelijke en geheime informatie  Stedelijk kader verwerken persoonsgegevens door de gemeente Amsterdam (vastgesteld 25 september 2018), ten aanzien van de uitgangspunten rond het melden van datalekken  Incidentmanagementprocedure informatiebeveiligingsincidenten en datalekken (vastgesteld 12 juli 2018), voor de afhandeling van de melding als incident  Selectielijst gemeenten 2020

1.6 Compliance Baseline Informatiebeveiliging Overheid Dit document en eventuele aanverwante documenten waarborgen dat de gemeente Amsterdam voldoet aan BIO-norm 16.1 - Beheer van informatiebeveiligingsincidenten en –verbeteringen. ID

Omschrijving

16.1.3.1

Een Coordinated Vulnerability Disclosure (CVD) procedure is gepubliceerd en ingericht.

16.1.2.7

Informatie afkomstig uit de Coordinated Vulnerability Disclosure (CVD) procedure is onderdeel van de incidentrapportage.

Gemeente Amsterdam I-domein

Versie 1.1 2022-02-15

Meldpunt voor ethisch hackers

Voorwoord De gemeente Amsterdam wil een betrouwbare overheidsorganisatie zijn en stimuleert het melden van (vermoede) kwetsbaarheden en zwakke plekken in de digitale informatievoorziening. De wereldwijde toename van cybercriminaliteit door misbruik van kwetsbaarheden met voorbeelden van datalekken, manipulatie en verlies van data, langdurige uitval van digitale sytemen en voorzieningen tot gevolg, is de aanleiding voor deze beleidsnotitie. Bij hacken wordt vaak gedacht aan het binnendringen van computersystemen met kwade bedoelingen. Deze vorm van hacken staat gelijk aan computervredebreuk en is zonder meer strafbaar. Hacken met een nobele doelstelling bestaat echter ook: ethisch hacken genoemd. De werkwijze van ethisch hackers en van hackers met kwade bedoelingen is echter vrijwel identiek. Om ethisch hackers en andere ontdekkers van (vermoede) kwetsbaarheden met goede bedoelingen er niet van te weerhouden deze te melden, zijn afspraken tussen melder en organisatie gewenst. Daarnaast is afstemming met de melder over eventuele openbaarmaking van de kwetsbaarheid door de melder essentieel om misbruik van data en systemen te voorkomen.

Deze beleidsnotitie is gebaseerd op de nationale leidraad voor dit onderwerp en heeft als doel het instellen van een meldpunt voor ethisch hackers en het vaststellen van een werkwijze over het op een gecoördineerde en verantwoorde wijze in overleg met de melder – mocht deze ruchtbaarheid willen geven aan de ontdekking - openbaar maken van kwetsbaarheden in informatiesystemen, en onder voorwaarden af te zien van gerechtelijke stappen tegen de melder. Vanwege het vaak internationale karakter – melders van kwetsbaarheden in IT-systemen bestaan vaak uit personen of groeperingen die internationaal te werk gaan - is zo’n werkwijze beter bekend onder de Engelse naam Coordinated Vulnerability Disclosure. Het instellen van een meldpunt voor ethisch hackers en het vaststellen van een werkwijze voor het omgaan met meldingen door ethisch hackers draagt bij aan het verhogen van de digitale weerbaarheid van de gemeentelijke digitale informatievoorziening. Mark Crooijmans, CIO Amsterdam

Gemeente Amsterdam I-domein

Versie 1.1 2022-02-15

Meldpunt voor ethisch hackers

Inhoud 1.1 Eigenaar....................................................................................................................................2 1.2 Versiebeheer.............................................................................................................................2 1.3 Reviews.....................................................................................................................................2 1.4 Periodieke actualisering ............................................................................................................3 1.5 Beleidshiërarchie.......................................................................................................................3 1.6 Compliance ...............................................................................................................................3

2 Achtergrond.............................................................................................................6 2.1 Doel van openbaren van kwetsbaarheden.................................................................................6 2.2 Doelgroepen .............................................................................................................................7 3 Context ...................................................................................................................9 3.1 Classificatie...............................................................................................................................9 3.2 Dossiervorming en bewaartermijn ............................................................................................9 3.3 Juridische context....................................................................................................................10 3.4 Eventuele beloning .................................................................................................................10 3.5 Privacy-paragraaf ....................................................................................................................11 4 Handelingsperspectief.............................................................................................12 4.1 Wijze van

afstemmen..............................................................................................................12 4.1.1 Wat vraagt de gemeente van de melder ...............................................................................12 4.1.2 Wat is niet toegestaan..........................................................................................................12 4.1.3 Wat kan de melder verwachten.............................................................................................13 5 Afspraken communicatie .........................................................................................14 5.1 Communicatieparagraaf..........................................................................................................14 5.1.1 Communicatie over het proces .............................................................................................14 5.1.2 Communicatie tijdens het disclosure-proces.........................................................................14 5.1.3 Communicatie na afloop van het disclosure-proces ..............................................................15 5.1.4 Communicatie algemeen......................................................................................................15 Bijlage bronnen.........................................................................................................16

Gemeente Amsterdam I-domein

Versie 1.1 2022-02-15

Meldpunt voor ethisch hackers

2 Achtergrond

De gemeente Amsterdam hecht veel belang aan de beveiliging van de digitale informatievoorziening. Ondanks alle maatregelen die de gemeente treft, blijft het mogelijk dat er een zwakke plek in de IT-systemen is te vinden waar een kwaadwillende misbruik van zou kunnen maken, met wellicht een datalek, manipulatie en/of verlies van data, maatschappelijke ontwrichting, reputatieschade, financiële en juridische schade als gevolg. Wanneer een persoon of organisatie zo’n zwakke plek in een van onze systemen ontdekt, is het van belang dat deze gemeld wordt, zodat de gemeente snel gepaste maatregelen kan treffen. Openbaarmaking van een beveiligingslek voordat het is opgelost, kan leiden tot misbruik en verdere schade. Daarom is het van belang dat de gemeente met de melder afspraken maakt over het eventueel naar buiten brengen van de ontdekte kwetsbaarheid. Naast de toename van cybercriminaliteit is ook het zoeken naar kwetsbaarheden met nobele doelstellingen in ontwikkeling, ook wel ethisch hacken genoemd. Vaak worden kwetsbaarheden in IT-systemen ontdekt door ethisch hackers. In tegenstelling tot cybercriminelen zullen deze ethisch hackers de kwetsbaarheden niet misbruiken voor eigen gewin maar deze melden bij de organisatie die eigenaar of beheerder is van het informatiesysteem.

De manier waarop zo’n ethisch hacker te werk gaat is echter vrijwel gelijk aan die van een kwaadwillende hacker. Ondanks dat zo’n werkwijze in beginsel strafbaar is, wil de gemeente stimuleren dat een ieder melding van een beveiligingslek of kwetsbaarheid aan de gemeente zelf doet, en niet dat eerst de media wordt ingeschakeld. Het tijdstip van openbaarmaking vindt dan plaats in afstemming met de melder. Om ethisch hackers en andere ontdekkers van (vermoede) kwetsbaarheden met goede bedoelingen er niet van te weerhouden deze te melden, zijn afspraken tussen melder en organisatie gewenst. Door het doen van de melding verklaart de melder zich akkoord met onderstaande afspraken over het op gecoördineerde wijze openbaar maken van de kwetsbaarheid, en de gemeente zal de melding conform dit kader afhandelen. Vanwege het vaak internationale karakter – melders van kwetsbaarheden in IT-systemen bestaan vaak uit personen of groeperingen die internationaal te werk gaan - is zo’n werkwijze beter bekend onder de Engelse naam Coordinated Vulnerability Disclosure, afgekort CVD. CVD draagt bij aan het verhogen van de digitale weerbaarheid van de gemeentelijke informatievoorziening.

2.1 Doel van openbaren van kwetsbaarheden Voor personen en organisaties zijn er meerdere manieren om kwetsbaarheden in de ITvoorzieningen van de gemeente bekend te maken. CVD is een internationaal algemeen gebruikte

6

Gemeente Amsterdam I-domein

Versie 1.1 2022-02-15

Meldpunt voor ethisch hackers

werkwijze om op verantwoorde wijze, en in gezamenlijkheid tussen melder en organisatie, ICTkwetsbaarheden te verhelpen en openbaar te maken, op basis van een vastgesteld beleid. Zoals benoemd in het stedelijk kader informatiebeveiliging zijn de doelen van informatiebeveiliging het:  organiseren van informatiebeveiliging;  op adequate wijze beschermen van bedrijfsmiddelen die al dan niet informatie bevatten;  zorgen voor een weerbare informatievoorziening;  minimaliseren en afwegen van risico’s;  voorkomen van onbevoegde toegang tot informatie;  garanderen van correcte en veilige informatievoorzieningen;  beheersen van de toegang tot informatiesystemen;  waarborgen van veilige informatieverwerkingen;  op adequate wijze reageren op incidenten. CVD draagt bij aan de veiligheid van IT-systemen en het beheersen van de kwetsbaarheid in ITsystemen door deze kwetsbaarheden op verantwoorde wijze te kunnen melden aan de gemeente en deze meldingen zorgvuldig door de gemeente te laten afhandelen. Op deze manier kan schade zoveel mogelijk worden voorkomen of beperkt. Hierbij dient de melder aan de gemeente voldoende tijd voor herstel te geven voordat de melder en/of de gemeente zelf overgaat tot openbaarmaking. Centraal bij het werken met CVD staat het verhelpen van de kwetsbaarheid en het verhogen van de veiligheid van informatiesystemen.

Bij CVD staat voorop dat partijen zich over en weer houden aan afspraken over het melden van de kwetsbaarheid en de omgang hiermee.

2.2 Doelgroepen Om CVD te laten werken moet de gemeente de volgende stappen zetten, waarbij meerdere directies zijn betrokken: Benodigd Beschikbaar stellen online meldpunt op www.amsterdam.nl Ontvanger van de melding aan de kant van de gemeente

Persoon die contact onderhoudt met de melder en zo nodig

Rol Hier komt de melding bij voorkeur binnen, waarbij de randvoorwaarden zoals omschreven onder Handelingsperspectief zijn kenbaar gemaakt ; mede opstellen van de webtekst. Melding in ontvangst nemen, informeren CISO; eerste beoordeling doen of de melding legitiem, juist en volledig is of dat er sprake is van computervredebreuk; de kwetsbaarheid (laten) onderzoeken en herstellen; melding met juiste prio in Topdesk zetten, en aansluiten op proces incidenten en datalekken. Afstemmen over moment en wijze van eventuele openbaarmaking, en op de hoogte houden van de melder over de afhandeling, incl. besluit over

Directie(s) Communicatie

ICT, SOC Amsterdam

CIO Office, CISO

7

Gemeente Amsterdam I-domein

Versie 1.1 2022-02-15

Meldpunt voor ethisch hackers

CERT1 en andere belanghebbenden Bijhouden en bewaren van een dossier Beslissing omtrent ondernemen van juridische stappen

eventuele beloning. Eventuele opschaling communicatie naar betrokken directies en bestuur. Opstellen dossier van de melding, coordinatie juiste afhandeling, logging, evaluatie en rapportage Toetsen of voldaan is aan de voorwaarden om geen juridische stappen te ondernemen tegen de melder

ICT, SOC Amsterdam en behandelaars oplosgroepen CIO /College van B&W, i.o.m. betrokken directeur en Juridische Zaken

1 Het Computer Emergency Response Team (CERT) kan zijn de Informatiebeveiligingsdienst voor

gemeenten (IBD) en/of de Zorg-CERT en/of het Nationaal Cyber Security Centrum (NCSC)

8

Gemeente Amsterdam I-domein

Versie 1.1 2022-02-15

Meldpunt voor ethisch hackers

3 Context

3.1 Classificatie Niet alle informatie die de gemeente Amsterdam opslaat en verwerkt is openbaar. Mogelijk is de informatie die door de kwetsbaarheid toegankelijk is geworden als vertrouwelijk of geheim geclassificeerd. Informatie wordt vertrouwelijk geclassificeerd wanneer het belang van openbaarheid niet opweegt tegen de volgende belangen:  De betrekkingen van Nederland met andere staten en met internationale organisaties;  De economische of financiële belangen van de gemeente;  De opsporing en vervolging van strafbare feiten;  Inspectie, controle en toezicht door bestuursorganen;  De eerbiediging van de persoonlijke levenssfeer;  Het belang dat de geadresseerde erbij heeft om als eerste kennis te kunnen nemen van de informatie;  Het voorkomen van onevenredige bevoordeling of benadeling van bij de aangelegenheid betrokken natuurlijke personen of rechtspersonen dan wel van derden;  In het geval van milieu-informatie: De bescherming van het milieu waarop deze informatie betrekking heeft en de beveiliging van personen en bedrijven en het voorkomen van sabotage. Bij een melding waarbij sprake is van inbreuk op de vertrouwelijkheid van informatie vindt escalatie plaats naar de betreffende verantwoordelijken, waarbij de CISO een coördinerende rol heeft.

3.2 Dossiervorming en bewaartermijn Van de melding van de (vermoede) kwetsbaarheid wordt ten minste bewaard:  Datum en tijd van de melding, zo mogelijk contactgegevens van de melder;  Relevante gegevens over de kwetsbaarheid;  Relevante logging;  Evaluatie van de melding. De bewaartermijn is zoals aangegeven in de van toepassing zijnde “Selectielijst gemeenten en intergemeentelijke organen”, en bedraagt ten minste drie jaar. Opslag van het dossier vindt plaats in een voor archivering beheerde omgeving zoals een Document Management Systeem, die beschermd is tegen onbevoegde toegang.

9

Gemeente Amsterdam I-domein

Versie 1.1 2022-02-15

Meldpunt voor ethisch hackers

3.3 Juridische context Hacken is in beginsel strafbaar op grond van artikel 138ab Wetboek van Strafrecht: computervredebreuk, het ‘opzettelijk en wederrechtelijk binnendringen van een geautomatiseerd werk’. In de praktijk wordt aangenomen dat bijvoorbeeld door ethisch hacken de wederrechtelijkheid kan komen te ontbreken. Wil een ethisch hacker een beroep kunnen doen op het ontbreken van de wederrechtelijkheid van zijn inbraak, dan zal moeten zijn voldaan aan drie voorwaarden: 1. Een wezenlijk maatschappelijk belang Men kan alleen een beroep doen op de uitzondering voor ethisch hacken indien met het hacken een wezenlijk maatschappelijk belang wordt gediend 2. De eis van proportionaliteit Deze eis stelt dat een hacker niet verder mag gaan dan noodzakelijk is om het lek aan te tonen. Zo is het bijvoorbeeld niet noodzakelijk om een hele database te kopiëren teneinde aan te tonen dat men toegang tot die database heeft verkregen. 3. De eis van subsidiariteit Deze eis stelt dat een hacker geen zware middelen mag gebruiken als minder vergaande middelen ook tot hetzelfde doel konden leiden. Deze eis is nauw verwant met de eis van proportionaliteit. Dit betekent dat per geval beoordeeld moet worden of een hacker in een bepaalde situatie wel of niet te ver is gegaan om te bepalen of sprake is van een strafbaar feit.

Het is de interne bevoegdheid van de Chief Information Officer (CIO) om hierover te beslissen. Directie Juridische Zaken en de directeur die verantwoordelijk is voor het betreffende informatiesysteem kunnen in dit kader adviseren. Mocht het om een grote kwetsbaarheid gaan met mogelijk grote schade en/of reputatieschade tot gevolg, dan is het aan het college om daarover te beslissen. Om ethisch hackers enige duidelijkheid te geven, heeft het Openbaar Ministerie een leidraad opgesteld. Hierin zijn richtlijnen opgenomen voor het hacken en het bekendmaken van een gevonden kwetsbaarheid. Deze beleidsnotitie is gebaseerd op die leidraad Coordinated Vulnerability Disclosure (gepubliceerd 2 oktober 2018).

3.4 Eventuele beloning Afhankelijk van de ernst van het beveiligingsprobleem en de kwaliteit van de melding, kan die beloning variëren van een eenvoudig ‘dank je wel’ tot een vermelding op de Hall of Fame-pagina op de website van de informatiebeveiligingsdienst voor gemeenten (IBD). In uitzonderlijke gevallen is een andere vorm van beloning mogelijk.

10

Gemeente Amsterdam I-domein

Versie 1.1 2022-02-15

Meldpunt voor ethisch hackers

3.5 Privacy-paragraaf De aspecten die voor gegevensbescherming van belang zijn, te weten wettelijke grondslag, doel, ontvangers, doorgifte, bewaartermijn, profilering - worden opgenomen in een privacyverklaring over het meldpunt voor ethisch hackers. De privacyverklaring wordt op de website Amsterdam.nl gepubliceerd.

11

Gemeente Amsterdam I-domein

Versie 1.1 2022-02-15

Meldpunt voor ethisch hackers

4 Handelingsperspectief

4.1 Wijze van afstemmen 4.1.1 Wat vraagt de gemeente van de melder De gemeente vraagt het volgende van de melder:  Meld de bevindingen via het online meldpunt ;  Geef voldoende informatie om het probleem te reproduceren, zodat wij het zo snel mogelijk kunnen oplossen. Meestal is het IP-adres of de URL van een getroffen systeem en een omschrijving van de kwetsbaarheid voldoende maar bij complexere kwetsbaarheden kan meer informatie nodig zijn. Versleutel de bevindingen zo mogelijk met een versleutelingsmethodiek om te voorkomen dat de informatie in verkeerde handen valt;  De gemeente houdt zich aanbevolen voor tips die kunnen helpen het probleem op te lossen. Beperkt u zich daarbij wel graag tot verifieerbare feiten die betrekking hebben op de door u geconstateerde kwetsbaarheid en vermijd dat uw advies neerkomt op reclame voor specifieke producten ;  Laat uw contactgegevens achter zodat de gemeente met u in contact kunnen treden om samen te werken aan een veilig resultaat. Laat ten minste een e-mailadres of telefoonnummer achter;  Dien de melding s.v.p. zo snel mogelijk in na ontdekking van de kwetsbaarheid.

4.1.2 Wat is niet toegestaan De volgende handelingen van de melder zijn niet toegestaan :  Het plaatsen van malware, niet op de gemeentelijke systemen noch op die van anderen ;  Gebruik van zogeheten bruteforce van toegang tot digitale systemen, behalve voor zover dat strikt noodzakelijk is om aan te tonen dat de beveiliging op dit vlak ernstig tekort schiet, dat wil zeggen als het buitengewoon eenvoudig is om met openbaar verkrijgbare en goed betaalbare hardware en software een wachtwoord te kraken waarmee het systeem ernstig kan worden gecompromitteerd;  Gebruik maken van social engineering, behalve voor zover dat strikt noodzakelijk is om aan te tonen dat medewerkers met toegang tot gevoelige gegevens in het algemeen ernstig tekort schieten in hun plicht om daar zorgvuldig mee om te gaan. Dat wil zeggen als het op overigens volkomen legale wijze (dus niet via chantage of iets dergelijks) in het algemeen te eenvoudig is om hen over te halen tot het verstrekken van dergelijke gegevens aan onbevoegden. U dient daarbij alle zorg te betrachten die redelijkerwijs van u kan worden verwacht om de betreffende medewerkers zelf niet te schaden. Uw

12

Gemeente Amsterdam I-domein

Versie 1.1 2022-02-15

Meldpunt voor ethisch hackers

 

 

bevindingen dienen uitsluitend te zijn gericht op het aantonen van kennelijke gebreken in de procedures en werkwijze binnen de gemeente en niet op het schaden van individuele personen die bij de gemeente werkzaam zijn; Het openbaar maken of aan derden verstrekken van informatie over het beveiligingsprobleem voordat het probleem is opgelost; Het verrichten van handelingen die verdergaan dan wat strikt noodzakelijk is om het beveiligingsprobleem aan te tonen en te melden. In het bijzonder waar het gaat om het verwerken (waaronder het inzien of kopiëren) van vertrouwelijke gegevens waar u door de kwetsbaarheid toegang toe heeft gehad. In plaats van een complete database kopiëren, kunt u normaliter volstaan met bijvoorbeeld een overzicht (directory listing). Het openbaren, wijzigen of verwijderen van gegevens in het systeem is nooit toegestaan; Gebruik maken van technieken waarmee de beschikbaarheid en/of bruikbaarheid van het systeem of de services wordt verminderd ((D)Dos-aanvallen); Op welke wijze dan ook misbruik maken van de kwetsbaarheid.

4.1.3 Wat kan de melder verwachten 

 





  

 

Indien de melder aan de voorwaarden zoals opgenomen onder de paragrafen 3.3, 4.1.1 en 4.1.2 van dit kader voldoet, zal de gemeente geen juridische stappen ondernemen tegen de melder; Als op een later moment blijkt dat de melder niet aan bovenstaande voorwaarden heeft voldaan, kan de gemeente alsnog besluiten juridische stappen te ondernemen; De gemeente behandelt de melding vertrouwelijk en deelt persoonsgegevens van een melder niet zonder diens toestemming met derden, met uitzondering van de situatie dat er juridische stappen worden ondernomen tegen de melder en wanneer de gemeente daar volgens de wet of een rechtelijke uitspraak toe verplicht is; De gemeente kan besluiten de ontvangen melding te delen met de informatiebeveiligingsdienst voor gemeenten (IBD) om mogelijk ook elders (gevolg)schade te voorkomen en te beperken; In onderling overleg kan de gemeente, indien de melder dat wenst, de naam van de melder vermelden als de ontdekker van de gemelde kwetsbaarheid. In alle andere gevallen blijft de melder anoniem; De gemeente stuurt binnen 1 werkdag een (automatische) ontvangstbevestiging; De gemeente reageert binnen 3 werkdagen op een melding met een (eerste) beoordeling van de melding en eventueel een verwachte datum voor een oplossing; De gemeente lost het door de melder gemelde beveiligingsprobleem zo snel mogelijk op.

Daarbij streeft de gemeente ernaar om de melder zo goed mogelijk op de hoogte te houden van de voortgang en nooit langer dan 90 dagen te doen over het oplossen van een probleem. De gemeente is daarbij wel vaak afhankelijk van toeleveranciers; In onderling overleg kan worden bepaald of en op welke wijze over de kwetsbaarheid wordt gepubliceerd, nadat deze is opgelost; De gemeente kan een beloning geven als dank voor het melden van de kwetsbaarheid.

13

Gemeente Amsterdam I-domein

Versie 1.1 2022-02-15

Meldpunt voor ethisch hackers

5 Afspraken communicatie

5.1 Communicatieparagraaf 5.1.1 Communicatie over het proces De gemeente publiceert het CVD-beleid op de website en geeft daarin aan:  de wijze waarop een (vermoede) kwetsbaarheid kan worden gemeld;  duidelijkheid over randvoorwaarden (vanwege het internationale karakter ook in het Engels);  beperkingen in de onderzoeksmethode;  afspraken over communicatie;  afspraken over een (eventuele) beloning;  eventuele aanpassingen in het CVD-beleid, inclusief wijzigingsdatum;  verwijzing naar de toepasselijke privacyverklaring.

5.1.2 Communicatie tijdens het disclosure-proces De CISO onderhoudt de communicatie met de melder en mogelijk verdere communicatie met de CERT, functionaris gegevensbescherming, andere belanghebbenden, management en bestuur. Nadat de melding is gedaan:  Controleert SOC Amsterdam met CISO of de melding legitiem, juist is en volledig is. Zo nee, dan wordt verder onderzocht of de melding kan worden afgesloten, waarvan de melder bericht ontvangt, of dat er sprake is van computervredebreuk; Zo ja, dan wordt de melding in Topdesk gezet en met de juiste prioriteit aan een behandelgroep gekoppeld. Hierbij wordt verder de gebruikelijke procedure gevolgd voor informatiebeveiligingsincidenten en datalekken;  Beoordeelt CISO of er verdere opschaling en bestuurlijke communicatie nodig is;  Maakt de gemeente de verwachtingen duidelijk aan de melder, zoals de reactietermijn voor een eerste inhoudelijke reactie;  Gemeente en melder geven elkaar een indicatie van de (verwachte/gewenste) oplossingstermijn;  Gemeente geeft regelmatig een (proces)update met de juiste prioriteit;  Indien nodig bespreken melder en de gemeente het inlichten van mogelijk andere geraakte organisaties.

14

Gemeente Amsterdam I-domein

Versie 1.1 2022-02-15

Meldpunt voor ethisch hackers

5.1.3 Communicatie na afloop van het disclosure-proces Na afloop van het proces:  Komt de gemeente de afspraken na ten aanzien van (publieke) erkenning en eventuele beloning van de melder;  Communicatieafspraken over publicatie van de gevonden kwetsbaarheid, zoals het ontdekkingsproces en het informeren van andere organisaties.

5.1.4 Communicatie algemeen

De melder doet een melding van een kwetsbaarheid in een van onze informatiesystemen. Bij voorkeur is dat via het webformulier maar de melding kan ook op andere wijze binnenkomen (telefonisch, brief, e-mail, via algemeen loket, social media, andere media). De melding via het webformulier wordt (automatisch) doorgezet aan SOC Amsterdam met een kopie aan de CISO. Na vaststelling van deze beleidsnotitie vindt door de CISO communicatie plaats aan intern betrokkenen over de werkwijze en aansluiting bij de procedure incidenten en datalekken, en wordt met directie Communcatie een webtekst opgesteld.

15

Gemeente Amsterdam I-domein

Versie 1.1 2022-02-15

Meldpunt voor ethisch hackers

Bijlage bronnen

1 Bronnen Leidraad Coordinated Vulnerability Disclosure – Nationaal Cyber Security Centrum (NCSC) https://www.ncsc.nl/documenten/publicaties/2019/mei/01/cvd-leidraad Handreiking Coordinated Vulnerability Disclosure BIO – Informatiebeveiligingsdienst voor Gemeenten (IBD) https://www.informatiebeveiligingsdienst.nl/product/handreiking-coordinated-vulnerabilitydisclosure-bio/ Selectielijst gemeenten en intergemeentelijke organen 2020 – Vereniging Nederlandse Gemeenten (VNG) https://vng.nl/sites/default/files/2020-02/selectielijst_20200214.pdf Hall of Fame (IBD) https://www.informatiebeveiligingsdienst.nl/responsible-disclosure/2021-coordinatedvulnerability-disclosure-hall-of-fame/

Geraadpleegde voorbeelden Coordinated Vulnerability Disclosure Floor Terra https://www.responsibledisclosure.nl/ Bits of Freedom https://www.bitsoffreedom.nl/coordinated-vulnerability-disclosure/ Belastingdienst https://www.belastingdienst.nl/wps/wcm/connect/bldcontentnl/standaard_functies/prive/contact/ fraude_misdaad_en_misstanden_melden/datalek_beveiligingslek_misbruik_computersystemen ING Bank https://www.ing.nl/de-ing/veilig-bankieren/fraude-melden/meldpunt-kwetsbaarheden/index.html KPN https://www.kpn.com/service/internet/veilig-internetten/wat-doen-wij-voor-veilig-internet.htm Gemeente Den Haag Gemeente Rotterdam

https://www.denhaag.nl/nl/algemeen/kwetsbaarheid-melden-cvd.htm https://www.rotterdam.nl/bestuur-organisatie/responsible-disclosure/

16