Bestuurlijke rapportage informatiebeveiliging 1e helft 2025.docx

Gemeente Amsterdam Bestuurlijke rapportage informatiebeveiliging 1e halfjaar 2025

Marco van Beek Chief Information Security Officer Gemeente Amsterdam

1

Inhoudsopgave 1 Inleiding...................................................................................................................3 2 Dreigingen en incidenten ..........................................................................................4 3 Nieuwe regelgeving staat voor deur, implementatie gestart ........................................6 4 Terugblik en vooruitblik ............................................................................................7

2

1 Inleiding

Informatiebeveiliging is als werkveld meer dan ooit in beweging. Ook in de eerste helft van 2025 zien we ontwikkelingen in de buitenwereld en in onze eigen organisatie (nieuwe dreigingen, risico’s, kwetsbaarheden, regelgeving). In het afgelopen half jaar krijgen onderwerpen als weerbare samenleving en digitale autonomie steeds meer aandacht. Informatiebeveiliging is daarin essentieel. Het is daarom belangrijk om hierover bestuurlijk te rapporteren.

Bij informatiebeveiliging is het essentieel om steeds weer te blijven inspelen op actuele risico’s en dreigingen. 100% informatieveiligheid bestaat niet; voldoen aan wet- en regelgeving wil niet zeggen dat zich nooit een beveiligingsincident zal voordoen. Ons doel is om de weerbaarheid van onze informatievoorziening op een voldoende niveau te houden en in control te zijn en te blijven. De Chief Information Security Officer heeft binnen Amsterdam een functie als interne toezichthouder voor informatiebeveiliging en rapporteert op expliciet verzoek van de gemeenteraad twee keer per jaar over de stand van zaken. Hij maakt daarbij gebruik van rapportages die door de organisatie worden opgesteld, aangevuld met eigen waarnemingen. In deze rapportage wordt het beeld geschetst over de eerste helft van 2025. De ontwikkelingen op het dreigingslandschap worden benoemd. Nieuwe regelgeving is in aantocht, die het nodig maakt om nog scherper te kijken naar de aantoonbaarheid van wat de organisatie doet. Er is een terugblik op uitgevoerde acties en verbeteringen in het afgelopen halfjaar en er wordt vooruitgekeken naar de rest van het jaar.

3

2 Dreigingen en incidenten

De dreigingen op het gebied van informatiebeveiliging ontwikkelen zich snel. Om hierop zicht te hebben en te houden sluiten we aan op het beeld van landelijke organisaties, aangevuld met informatie van de strategische partners die Amsterdam ondersteunen bij de digitalisering. En uiteraard monitoren we wat er in onze eigen organisatie gebeurt. De Nationaal Coördinator Terrorismebestrijding en Veiligheid (NCTV) brengt jaarlijks het Cyber Security Beeld Nederland (CSBN) uit. Voor Amsterdam als hoofdstad van Nederland is dit een belangrijke bouwsteen voor ons risicobeeld. Ook de Informatiebeveiligingsdienst van de VNG brengt periodiek een dreigingsbeeld uit. Amsterdam is in 2025 gestart om, mede op basis van bovenstaande documenten, een specifiek dreigingsbeeld op te bouwen, dat per kwartaal wordt opgesteld. Hierin wordt ook (gebaseerd op een aantal criteria) het dreigingsniveau vastgesteld. Belangrijke dreigingen in het afgelopen half jaar zijn geweest: •

• • • • • • •

Verhoogde activiteit van aanvalsgroepen op gemeentelijke en landelijke politieke infrastructuren. Met name gedurende de NAVO-top in juni 2025 werd verhoogde activiteit waargenomen en deden zich incidenten voor bij verschillende gemeenten (niet in Amsterdam). Een toename van malware in de vorm van “informatiestelers”. Deze malware wordt op laptops, door kwaadwillenden, geïnstalleerd om vervolgens informatie van de gebruiker (of informatie waar hij/zij toegang toe heeft) te stelen.. Phishing activiteiten bij medewerkers worden steeds professioneler van aard. Niet alleen is de opmaak van de mails tegenwoordig erg goed, vaak door gebruik van kunstmatige intelligentie, maar ook de afzenders lijken legitiem. De opkomst van zeer specifieke ransomware software die zich voordoet als standaard windows updates en actief probeert om de ingerichte beveiligingsmaatregelen op werkplekken te omzeilen. Een verdere professionalisering en samenwerking onder hacktivisten gericht op overheden of gemeenten in Europa en daarbuiten. Het datalek bij het bevolkingsonderzoek Nederland dat medio 2025 bekend werd toonde aan dat ketenbeveiliging (tussen organisaties en tussen gebruikte platformen) essentieel is. Aanvalen zijn steeds meer gericht op leveranciers van communicatiekanalen met middelen die tot op dat moment niet te detecteren zijn (ookwel zerodays genaamd).

Cybercriminelen passen social engineering technieken toe via e-mail, chatkanalen en direct telefonisch contact, specifiek gericht op bepaald processen binnen organisaties, bijvoorbeeld bij sollicitanten.

De dreigingen worden door Amsterdam periodiek beoordeeld, zodat kan worden nagegaan of extra maatregelen noodzakelijk zijn.

4

Incidenten Het is niet mogelijk om incidenten op het gebied van informatiebeveiliging te voorkomen. De IT-wereld is continu in beweging en vrijwel dagelijks worden lekken in software ontdekt. Er zullen zich altijd op enig moment informatiebeveiligingsincidenten voordoen waarvan we vervolgens kunnen leren en het geleerde kunnen toepassen binnen onze securityprocessen. In 2025 is het proces waarmee informatiebeveiligingsincidenten worden gesignaleerd en afgehandeld herzien. Doel is om een nog beter inzicht te hebben in en te leren van incidenten. Ook het datalekkenproces is herzien. In de bestuurlijke rapportage informatiebeveiliging 2025 (die na afloop van het jaar verschijnt) zal worden ingegaan op de incidenten in 2025. Kwetsbaarheden Amsterdam ontvangt van het NCSC en de Informatiebeveiligingsdienst zeer regelmatig signalen over kwetsbaarheden in hardware en software. Bij een dergelijke melding wordt, afhankelijk van het risico, actie ondernomen. Door het tijdig afhandelen van deze meldingen is voorkomen dat aanwezige kwetsbaarheden, op technische systemen van de Gemeente, door kwaadwillenden konden worden uitgebuit. Meldpunt ethische hackers Het digitale meldpunt voor ethisch hackers heeft de stad geholpen om kwetsbaarheden eerder te identificeren en weg te nemen en draagt daardoor bij aan de veiligheid van onze informatievoorziening.

Bij het meldpunt worden alleen die kwetsbaarheden geaccepteerd die aantoonbaar zijn en binnen het beleid van de op gecoördineerde wijze omgaan met het openbaar maken van gemelde kwetsbaarheden vallen. In de eerste helft van 2025 zijn 49 meldingen ontvangen. Daarvan zijn er 22 als serieuze kwetsbaarheid beoordeeld, behandeld en opgelost. Hacking event De voorbereidingen zijn gestart voor het organiseren van een hacking event in 2026, met als voorlopige werktitel Hack020. Dan zullen ethische hackers danwel studenten worden uitgenodigd om op een specifieke dag en locatie de veiligheid van systemen van de gemeente Amsterdam te testen.

5

3 Nieuwe regelgeving staat voor de deur, implementatie gestart

In de bestuurlijke rapportage over 2024 is aangegeven dat de Cyberbeveiligingswet en de nieuwe versie van de Baseline Informatiebeveiliging Overheid eraan komen. Beide hebben impact op de maatregelen die organisaties moeten treffen op geïdentificeerde risico’s ten aanzien van de beveiliging van netwerk- en informatiesystemen. In de Cyberbeveiligingswet gaat het hierbij niet alleen om de beveiliging van kantoorautomatisering, maar nadrukkelijk ook van de operationele techniek zoals (de bediening van) sluizen, tunnels en bruggen. De wet stelt onder meer verplichtingen op het gebied van risicomanagement, leveranciersmanagement, functioneel beheer en specifieke beveiligingsmaatregelen. Daarnaast verplicht de wet organisaties om melding te maken van alle (bijna) incidenten die (kunnen) leiden tot een significante verstoring van de belangrijkste processen van de organisatie. De Rijksdienst voor Digitale Infrastructuur (RDI) is aangewezen als toezichthouder voor de overheidsorganisaties waarop de wet van toepassing is. De RDI is nog bezig het toezicht vorm te geven en heeft aangegeven zoveel mogelijk aan te willen sluiten op bestaande verantwoordingsmechanismen.

De Cyberbeveiligingswet is door de regering ingediend en zal naar verwachting medio 2026 door het parlement worden vastgesteld. De Baseline Informatiebeveiliging Overheid 2 als onderdeel van de Cyberbeveiligingswet, is in september 2025 al vastgesteld, zodat de impact hiervan al duidelijk is. In de 2e helft van 2025 worden handreikingen ontwikkeld voor overheidsorganisaties. Binnen de Gemeente Amsterdam is al veel geregeld op de verplichte onderdelen van de wet en de BIO. Om te voldoen aan de wet moeten er echter nog wel een aantal stappen genomen worden. Belangrijke onderdelen zijn daarbij de verdere professionalisering van het risicomanagement, het implementeren van het vernieuwde incidentmanagementproces, het op orde krijgen van het functioneel beheer voor IT en OT en het samenbrengen van de IT- en OT-domeinen op deze processen. In september 2024 is binnen Amsterdam een programma gestart dat moet zorgen dat de Gemeente Amsterdam aan de Cyberbeveiligingswet gaat voldoen. Het programmaplan en de governance hiervoor zijn vastgesteld. In hoofdstuk 4 van deze rapportage wordt een aantal onderwerpen uit de Cyberbeveiligingswet nader belicht.

6

4 Terugblik en vooruitblik

De organisatie van de informatiebeveiliging In 2024 is onderzocht hoe we meer samenhang kunnen creëren in de informatiebeveiligingsorganisatie van Amsterdam. De uitkomst van het onderzoek was dat we een Informatiebeveiligingshuis inrichten, waarmee we integraal gaan sturen op informatiebeveiliging. Begin 2025 is een kernteam ingericht, dat hiermee is gestart. Doordat hierin intensiever worden samengewerkt is de gemeente beter in staat risico’s te signaleren en te beheersen. De verdere implementatie hiervan vindt plaats in 2025. Hierover wordt de status opgenomen in de bestuurlijke rapportage over 2025.

Samenwerking met andere overheidsorganisaties Amsterdam heeft als hoofdstad veel relaties met allerlei partijen. In het eerste halfjaar is er met name in G4-verband veel contact geweest op het gebied van informatiebeveiliging om aanpak en risico’s met elkaar te delen. Net na de zomer heeft in Amsterdam de tweede G4-security dag plaatsgevonden, waar meer dan 100 informatiebeveiligingscollega’s elkaar hebben ontmoet en kennis hebben gedeeld. Amsterdam is aangesloten op het Nationaal Detectie Netwerk, waarin informatie over incidenten wordt gedeeld. Landelijk wordt er inmiddels gewerkt aan een Cyberweerbaarheidsnetwerk, waarop veel meer organisaties zullen aansluiten. Daardoor is het eerder en beter mogelijk om kwetsbaarheden en incidenten te signaleren en daarop te acteren. Verder participeert Amsterdam waar nodig bij landelijke ontwikkelingen. Voortgang implementatie Baseline Informatiebeveiliging Overheid Gemeenten moeten voldoen aan de Baseline Informatiebeveiliging Overheid (BIO), waarin de kaders voor alle overheidsorganisaties zijn gesteld. Binnen Amsterdam wordt een programmatische aanpak gehanteerd. Directies hebben analyses uitgevoerd en verbeterplannen vastgesteld. Information security officers adviseren hierbij en helpen de voortgang te bewaken.

Er zijn flinke verschillen in voortgang: er zijn directies die goede voortgang maken, maar er zijn ook directies waarbij te weinig voortgang zichtbaar is. Commitment vanuit directies is essentieel voor de komende periode, zeker in het licht van de hierboven genoemde Cyberbeveligingswet en BIO2, die extra verplichtingen opleggen. Beleid en kaders Het strategisch beleidskader informatiebeveiliging wordt in 2025 herzien. Vaststelling hiervan is gepland voor eind 2025. 7

Dit jaar is in beeld gebracht welke tactische richtlijnen (vertaling van abstracte normen naar concrete richtlijnen voor de Amsterdamse organisatie) nodig zijn. Inmiddels is een team vastgesteld dat deze richtlijnen gaat opstellen. Hierin wordt samengewerkt met andere gemeenten. Risicomanagement Informatiebeveiliging gaat niet alleen over het implementeren van maatregelen die in de BIO (of andere richtlijnen) staan benoemd, het gaat ook (en steeds meer) over het afwegen en beheersen van risico’s. De Cyberbeveiligingswet benoemt risicomanagement als één van de belangrijkste pijlers van het vakgebied. In 2025 is een traject gestart om de risicoprocessen op het gebied van informatiebeveiliging (identificatie, analyse en acceptatie) beter in te richten. Daarbij is de samenwerking tussen lijndirecties (die risico-eigenaar zijn) en het i-domein essentieel. Bij de uitwerking wordt nauw samengewerkt met de directie Middelen en Control, waar de stedelijke coördinatie op risicomanagement is belegd. Applicaties Amsterdam beschikt over een complex applicatielandschap. De beveiliging hiervan is essentieel. In 2025 is hard gewerkt aan het in kaart brengen van de belangrijkste applicaties, zodat de inspanning om applicaties te beveiligen en te beheren beter kunnen worden geprioriteerd. Eind 2025 zullen deze kroonjuwelen (de belangrijkste applicaties) worden vastgesteld.

In de afgelopen jaren is veel aandacht besteed aan het verbeteren van het autorisatiebeheer van een beperkt aantal belangrijke informatiesystemen. De afspraak is dat voor relevante informatiesystemen 2x per jaar de autorisaties worden getoetst. De lijst met kroonjuwelen zal worden gebruikt om dit stap voor stap uit te breiden. In 2025 wordt verder gewerkt aan privileged access (het monitoren van bijzondere rechten) en het oppakken van logging en monitoring. Een aandachtspunt blijft het autorisatiebeheer bij informatiesystemen die (nog) niet in beheer zijn bij het i-domein. In de afgelopen jaren is een nieuwe, veilige, stedelijke ICT-werkomgeving ontworpen. De toegang tot deze werkomgeving is voorzien van multi-factor authenticatie (een wachtwoord in combinatie met een token) en is daardoor aanzienlijk veiliger dan in het verleden. Nog niet alle applicaties maken gebruik van deze digitale “voordeur”, maar er loopt een programma om ervoor te zorgen dat alle applicaties hierop worden aangesloten. Pentests Amsterdam beveiligt zijn informatiesystemen met diverse preventieve en detectieve maatregelen, maar het is daarnaast nodig om de robuustheid van de beveiliging expliciet te testen. Het uitvoeren van pentests (een in onze opdracht uitgevoerde technische test om de beveiliging van een toepassing te doorbreken) is in 2025 voortgezet.

Amsterdam werkt met vaste externe partijen die deze testen in onze opdracht uitvoeren. In de eerste helft van 2025 zijn 15 verschillende toepassingen getest en zijn de hierbij gesignaleerde bevindingen weggewerkt. Webdomeinen Amsterdam beschikt over een groot aantal websites en webdomeinen, waarmee informatie wordt aangeboden op internet. Webdomeinen moeten voldoen aan landelijke open standaarden, o.a. op 8

het gebied van veiligheid en toegankelijkheid. Dat is op dit moment maar ten dele het geval: www.amsterdam.nl voldoet aan de landelijke eisen, maar vele andere webdomeinen van de gemeente Amsterdam voldoen er niet of niet volledig aan. Het beheer van webdomeinen is binnen de gemeente nog steeds onvoldoende ingericht. Initiatieven om dit te verbeteren hebben tot nu toe onvoldoende effect gehad. Security monitoring In 2024 is de security operations center (SOC)-dienstverlening vernieuwd en uitgebreid, waarmee we dag en nacht de veiligheid van onze ICT-infrastructuur monitoren. Hierdoor zijn we nog beter weerbaar en kunnen we sneller reageren op dreigingen. We maken daarbij gebruik van een zeer gespecialiseerde externe partij. Dit jaar zijn onder andere de hosting- en werkplekdienst onder deze monitoring gebracht. Eind 2025 moet ook het Amsterdamse Cloudplatform hierdoor (extra) worden beschermd. Sturing op leveranciers In de afgelopen jaren zijn door Amsterdam steeds meer ICT-taken uitbesteed aan externe partijen. Uitbesteding vraagt om actieve regie en sturing, zodat de gemeente (als eigenaar van de gegevens) kan vaststellen of de beveiliging op orde is en waar nodig kan bijsturen. Ten aanzien van SAAS-leveranciers1 moeten wij kunnen steunen op de kwaliteit van de beheerorganisatie via certificeringen en Assurance rapportages.

In 2024 zijn hierop goede stappen gezet om het zicht te kunnen krijgen en hierop te sturen, met name bij een 20-tal belangrijke applicaties. Voor de overige applicaties (ook hiervoor is de lijst met kroonjuwelen van belang) is een plan van aanpak opgesteld dat in 2025 wordt uitgevoerd. Business Continuity Management

De continuïteit van de informatievoorziening is nauw verweven met het onderwerp Business Continuity Management (BCM). In de eerste helft van 2024 is de aanpak van BCM voor de gemeente Amsterdam uitgewerkt en is stedelijk beleid vastgesteld. De kern hiervan is dat door elke directie een continuïteitsplan wordt opgesteld met maatregelen die zorgen dat de belangrijkste processen na een grote verstoring weer snel opgestart kunnen worden. Aan de hand van een continuïteitsoefening worden deze plannen jaarlijks geactualiseerd. Conform planning zal eind 2025 80 % van de directies haar plan hebben vastgesteld. Hiermee is de bewustwording van bedrijfscontinuïteit bij de directies met de meest kritische processen duidelijk geagendeerd. Weerbaarheid bij cybercrises Om snel en adequaat te kunnen reageren bij grote incidenten en cybercrises is het belangrijk om de organisatie daarop voor te bereiden, crisisdraaiboeken klaar te hebben liggen en vooral om regelmatig te oefenen. Binnen het i-domein van de gemeente is daartoe een crisisteam ingericht en crisishandboek opgesteld. In 2025 zal Amsterdam participeren in de Overheidsbrede Cyberoefening die in november wordt georganiseerd. Bewustwording

Dit zijn leveranciers van software as a service: we nemen een dienst af, de leverancier beheert de software 1

9

Informatiebeveiliging kan niet alleen gebaseerd zijn op technische en procedurele maatregelen: het is belangrijk dat elke medewerker begrijpt hoe hij/zij moet omgaan met informatie. In de afgelopen jaren is er relatief weinig aandacht gegeven aan deze bewustwording. Begin 2025 is een Compliance Awareness Officer gestart, die een meerjarenplanning heeft uitgewerkt om het bewustzijn structureel te borgen. Daarbij worden zowel centrale (concern niveau) als decentrale (per directie) acties benoemd. Netwerk digitale weerbaarheid Amsterdam-Amstelland: externe focus

De risico’s op het gebied van informatiebeveiliging beperken zich niet tot de grenzen van onze organisatie en de eigen processen en informatiesystemen. Organisaties werken steeds meer samen in ketens, maken gebruik van gedeelde informatiesystemen en wisselen informatie uit. In november 2023 is voor de tweede keer een agenda digitale stad vastgesteld. Hierin geeft het college aandacht aan digitale toegankelijkheid, digitale vaardigheden van Amsterdammers en onderwerpen als AI en Algoritmen. Digitale weerbaarheid/veiligheid is één van de thema’s in de agenda digitale stad. Daarmee wordt ook bestuurlijk en richting de buitenwereld bevestigd dat veiligheid een essentiële randvoorwaarde is bij de digitale stad. Binnen het netwerk digitale weerbaarheid Amsterdam-Amstelland zijn de volgende sporen ingericht: 1. Het versterken van de digitale veerkracht: onder jongeren, ondernemers, senioren en laaggeletterden om de weerstand tegen cybercriminaliteit te vergroten door het borgen opschalen van preventieve interventies om dader- en slachtofferschap te voorkomen. Uitgevoerde acties zijn: • • • • 2.

Het versterken van kennis, talent en expertise: door enerzijds een actueel beeld te verkrijgen van het arbeidstekort omtrent cybersecurity en het arbeidstekort op dit vlak terug te dringen en anderzijds het structureel vormgeven van de kennisontwikkeling van betrokken organisaties. Uitgevoerde acties zijn: • • • •

3.

Gastlessen op scholen in de regio over de grenzen van de wet in relatie tot ethisch hacken; 'Capture The Flag' (CTF-)wedstrijden om cybersecurity-talent te inspireren; Organisatie van een hackathon in samenwerking met publiek-private partners; Continue uitbreiding van het netwerk ten behoeve van de preventie-activiteiten.

Gap-analyse onderzoek naar cybersecurity-aanbod in onderwijsinstellingen; Onderzoek naar benodigde cybersecurity-vaardigheden in het bedrijfsleven; Organisatie van een stage- en banenmarkt; Ontwikkeling van een AI-module voor cybersecurity-onderwijs.

Het versterken van de informatiepositie: om betrokken organisaties beter te beschermen tegen de hybride dreigingen door een netwerk te bouwen op het niveau van de Chief Information Security Officer (CISO) waar in besloten kring informatie en ervaringen kunnen worden uitgewisseld. Uitgevoerde acties zijn: •

Uitwerken van afspraken met verbonden partijen (zie ook de paragraaf hierna);

•

Voorbereiden van een netwerkbijeenkomst met organisaties en de stad en de regio;

10

•

Deelname aan het netwerk van PortofAmsterdam;

•

Deelname aan het landelijke Cyberweerbaarheidsnetwerk;

•

Inrichten van een liaisonfunctie bij het NCSC.

Verbonden partijen

Bij een aantal partijen waarmee Amsterdam samenwerkt of verbonden is hebben in de afgelopen jaren incidenten plaatsgevonden op het gebied van informatiebeveiliging. Daarbij bleek steeds weer dat het belangrijk is om, onder andere vanuit het aandeelhoudersbelang, hierop de vinger aan de pols te houden (toezicht op afstand) zonder de verantwoordelijkheid van de betreffende organisatie over te nemen. Amsterdam heeft i-kaders verbonden partijen vastgesteld. Hierin wordt aangegeven welke afspraken wij willen maken met verbonden partijen over o.a. informatiebeveiliging, informatiebeheer en privacy. Op basis hiervan zijn acties in gang gezet om met een drietal belangrijke verbonden partijen (deelnemingen van de gemeente Amsterdam) deze afspraken uit te werken.

11