Bijlage 1 21-12-21RIB cyber security_map (002).pdf

Raadsinformatiebrief

Aan:

Portefeuillehouder(s): Behandeld door

De leden van de gemeenteraad van Amsterdam 20 januari 2022 Water Egbert de Vries Bestuurlijke.zaken.Amsterdam.nl

Onderwerp

Ontwikkelingen digitale veiligheid Waternet.

Datum Portefeuille(s)

Geachte leden van de gemeenteraad,

Op 28 september 2021 heeft u een brief ontvangen over de voortgang van de digitale veiligheid bij Waternet, waarin werd aangegeven hoe door middel van het “Verbeterplan Informatievoorziening, digitale veiligheid en weerbaarheid Waternet” (hierna genoemd: het Verbeterplan) de benodigde verbeteringen worden gerealiseerd. In deze brief informeer ik u over de ontwikkelingen sindsdien en de aanpak en vorderingen ten aanzien van digitale veiligheid en digitalisering. In een separate brief wordt u geïnformeerd over de Centrale Objectbediening (COB) van bruggen en sluizen. 1. Verbeterplan De maatregelen in het Verbeterplan zijn bedoeld om de geconstateerde digitale kwetsbaarheid te verminderen en te voldoen aan de eisen op het gebied van digitale veiligheid. Het Verbeterplan is gericht op realiseren van noodzakelijke verbeteringen op het gebied van techniek, processen, organisatie(structuur) en cultuur. Vijf sporen In het Verbeterplan is de beoogde eindsituatie gedefinieerd met bijbehorende programmadoelen. Aan de hand van deze doelen en de bevindingen uit de verschillende cybersecurity- en informatiebeveiligingsonderzoeken, waaronder Accenture, Gorter en de Inspectie Leefomgeving en Transport, zijn vijf sporen gedefinieerd om deze programmadoelen te bereiken. Deze sporen zijn: 1. Versterken cybersecurity-functie en architectuur-functie; 2.

Verhogen digitale veiligheid en weerbaarheid; 3. Verhogen cybersecurity bewustzijn en kennis; 4. Bedrijfsvoering Informatievoorziening op orde op basis van privacy en security by design; 5. Fundament voor een toekomst vaste directie Informatievoorziening (incl. cultuur). Het Verbeterplan legt het fundament voor de toekomst en faciliteert de organisatie hierbij dusdanig dat na afronding van het Verbeterplan de organisatie in control is op digitalisering en digitale veiligheid. Het Verbeterplan heeft een looptijd tot eind 2022.

Classificatie: Intern

Gemeente Amsterdam, raadsinformatiebrief

Datum 20 januari 2022 Pagina 2 van 4

De status van de belangrijkste maatregelen in het verbeterplan wordt onderstaand toegelicht met verwijzing naar het spoor. - Herzien informatiebeveiligingsorganisatie (Spoor 1) De informatiebeveiligingsorganisatie, inclusief de nieuwe CISO 1Office, is beschreven en zal begin 2022 ter goedkeuring worden aangeboden aan de bestuurlijke opdrachtgevers van Waternet. Er is een start gemaakt met de planmatige inrichting van het informatie security management systeem (ISMS). Een ISMS is een managementsysteem waarin het risicobeheerproces centraal staat, zodat risico’s adequaat worden beheerd. Het CISO Office ziet toe dat informatiebeveiligingsbevindingen van interne en externe onderzoeken en audits door de organisatie worden opgepakt en risico’s worden gemitigeerd. - Inrichting architectuurboard (Spoor 1) De gemeente Amsterdam en het waterschap Amstel Gooi en Vecht hebben kaders vastgesteld ten aanzien van digitalisering en digitale veiligheid; deze kaders zijn richtinggevend voor de architectuur van Waternet. De architectuurboard bewaakt dat ontwikkeltrajecten op gebied van informatievoorziening binnen deze kaders worden uitgevoerd. Bij constatering van afwijkingen worden de bestuurlijke opdrachtgevers van Waternet geïnformeerd, daarnaast wordt inzicht gegeven in de besluiten van de architectuurboard.

Er is een security architect aangetrokken, die de architectuurboard voorziet van adviezen over digitale veiligheid. - Security Operations Center (Spoor 2) Het Security Operations Center (SOC) voert inmiddels de basismonitoring en een kwetsbaarheden scanning uit zodat het afwijkingen kan detecteren, die kunnen duiden op een cybersecurity incident. De digitale weerbaarheid van Waternet is hiermee vergroot, omdat digitale aanvallen mogelijk eerder worden herkend. Deze detectie wordt door het SOC steeds verder uitgebreid. Door technische verbeteringen naar aanleiding van uitgevoerde pentesten door te voeren is de beveiliging van de infrastructuur verbeterd en wordt het risico van kwetsbaarheden verminderd. Er wordt ook door middel van een haalbaarheidsstudie onderzocht of breder in de watersector kan worden samengewerkt op gebied van detectie van cybersecurity incidenten. In de loop van 2022 zijn de uitkomsten van dit onderzoek bekend. - Invoering en borging identiteit- en toegangsbeheer (Spoor 2) Identiteit- en toegangsbeheer is een belangrijk onderdeel in het verhogen van de digitale veiligheid. Identiteit- en toegangsbeheer zorgt voor toekenning, wijziging en intrekken van toegang tot systemen en informatie, zodat medewerkers, robotapplicaties en ketenpartners alleen toegang hebben tot systemen en informatie waar ze recht op hebben.

Met de voorbereidende werkzaamheden uit het stappenplan is een start gemaakt. De uitvoering van het identiteit- en toegangsbeheer is conform de planning in het stappenplan en zal doorlopen tot eind 2022. - Verhogen cybersecurity bewustzijn en kennis (Spoor 3) De mens is een belangrijke schakel in het grotere geheel van informatiebeveiliging. De mate waarin medewerkers en bestuurders zich bewust zijn van de dreigingen die aan het cyberlandschap verbonden zijn en veilig gedrag vertonen, bepaalt de sterkte en zwakte van deze

1

CISO staat voor Chief Information Security Officer. Dit is de functionaris die in opdracht van de directie van Waternet toezicht houdt op de informatiebeveiliging en rapport aan de bestuurlijke opdrachtgevers van Waternet.

Een routebeschrijving vindt u op amsterdam.nl

Gemeente Amsterdam, raadsinformatiebrief

Datum 20 januari 2022 Pagina 3 van 4

schakel. Om een goede veiligheidscultuur binnen Waternet op te bouwen, is een structurele cultuurverandering nodig. Aan de integrale aanpak wordt volgens het Stappenplan ‘Verhogen bewustzijn cybersecurity’, dat door de directie Waternet op 27 oktober 2021 is geaccordeerd, uitvoering gegeven. De lopende bewustzijn acties worden voortgezet en in 2022 zal een grootschalige bewustheidscampagne worden ingepland. Alle afdelingshoofden binnen Waternet zijn geïnformeerd over hoe hun team presteert als het gaat om verplichte e-learnings, phishing en incidenten. Dit als eerste stap in het borgen van de Plan-Do-Check-Act-cyclus tactisch en operationeel sturen bewustzijn cybersecurity. Doelstelling van het stappenplan is het aantoonbaar vergroten van bewustzijn cybersecurity Waternet breed zodat medewerkers, directie en bestuurders alert zijn en hun gedrag aantoonbaar geen of minder snel een gevaar vormt de cybersecurity van Waternet voor eind 2022. 2. Onderzoek IT-landschap In de Raadsinformatiebrief van 28 september 2021 bent u geïnformeerd, dat in navolging van het onderzoek van Accenture een uitgebreid onafhankelijk onderzoek zal plaatsvinden naar “alle ICT systemen en processen van Waternet”. Dit onderzoek heeft in het laatste kwartaal van 2021 plaatsgevonden en het betreft een integrale meting naar de staat van het IT-landschap van Waternet.

Begin februari 2022 wordt de eindrapportage van het onafhankelijk onderzoek door Secura aangeboden en gepresenteerd aan het bestuurlijk afstemmingsoverleg digitaliseren Amsterdam – AGV. Samen met mijn collega-bestuurder van het waterschap AGV zal ik op dat moment afstemmen over de bestuurlijke besluitvorming van de bevindingen en aanbevelingen van de eindrapportage en de presentaties daarover aan de besturen. Het bestuurlijk afstemmingsoverleg digitaliseren Amsterdam – AGV vindt maandelijks plaats. In dit overleg wordt ik ondersteund door de CISO van Amsterdam, die kritisch meekijkt. De samenwerking tussen Amsterdam, AGV en Waternet verloopt goed. 3. Digitale veiligheid in relatie tot verscherpt toezicht ILT Op basis van een onderzoek naar de digitale veiligheid bij de Stichting Waternet (Waternet) door de Inspectie voor leefomgeving en Transport (ILT) is Waternet begin april 2021 onder verscherpt toezicht gekomen van de ILT. In 2021 is maandelijks over de voortgang van het Verbeterplan gerapporteerd aan de ILT. In januari 2022 is er een verdiepende sessie met de ILT, waarbij Waternet alle gerealiseerde maatregelen (zie onder 1. belangrijkste maatregelen van 2021 om risico’s te mitigeren per spoor) presenteert aan de ILT. Mede op basis van deze verdiepende sessie wordt begin 2022 door de ILT een conceptbeeld opgesteld en voorgelegd aan Waternet.

De ILT zal naast dit beeld van de voortgang van ontwikkelingen, ook met een planning komen van het verdere toezicht voor 2022. In een gesprek op 13 januari jl. tussen het Stichtingsbestuur Waternet en de ILT, heeft de ILT alvast aangegeven dat Waternet goed bezig is met het realiseren van de maatregelen uit het Verbeterplan. 4. Verband drinkwatertarief en cybersecurity De digitale dreigingen worden wereldwijd steeds groter. Dreigingen worden veroorzaakt door menselijke fouten, maar er moet ook rekening gehouden worden met verstoring van buitenaf en diefstal of inbreuk van gegevens. Het is van belang dat voor de installaties en de systemen, die gebruikt worden voor bijvoorbeeld de uitvoering van de drinkwaterproductie, de digitale

Een routebeschrijving vindt u op amsterdam.nl

Gemeente Amsterdam, raadsinformatiebrief

Datum 20 januari 2022 Pagina 4 van 4

weerbaarheid voldoet aan de Nederlandse en Europese eisen. Het vergroten van de digitale weerbaarheid is een belangrijk instrument om risico’s te verminderen. Digitale veiligheid en weerbaarheid zullen continu aandacht blijven vragen, vergen meer capaciteit van de organisatie en zorgen voor hogere uitvoeringskosten voor 2022 en de jaren daarna. De verwerking van de digitale veiligheid in het drinkwatertarief, heeft dit jaar geleid tot een tariefsverhoging van circa 2%, onderdeel van de 5,9% tariefsverhoging 2022. 5. Borging binnen de organisatie Het Verbeterplan heeft een looptijd tot eind 2022. Derhalve is het belangrijk dat in 2022 medewerkers en organisatie het invoeren van de nieuwe processen goed doorleven en borgen. Het verbeterplan zal hier expliciet aandacht aan geven en tijd voor vrijmaken, zodat de organisatie vanaf 2023 in control is op digitalisering en digitale veiligheid. Een knelpunt daarbij is de toenemende schaarste van Informatievoorzienings-specialisten op de arbeidsmarkt. De directie van Waternet heeft veranderingen in het wervingsproces doorgevoerd om moeilijk vervulbare sleutelfuncties beter te kunnen invullen. 6. Actualiteit: de Apache / Log4j kwetsbaarheid In december 2021 is een ernstige kwetsbaarheid gevonden in Apache Log4j, waar wereldwijd overheden en bedrijven mee te maken hebben.

Dit stukje software wordt veel gebruikt in webapplicaties en allerlei andere systemen. Waternet heeft meteen na de eerste meldingen van het Nationaal Cyber Security Center (NCSC) een crisisorganisatie ingericht. Het NCSC heeft gewaarschuwd voor potentieel grote schade en organisaties geadviseerd zich daarom voor te bereiden op een mogelijke aanval. Waternet heeft de adviezen van het NCSC op gevolgd en heeft compenserende maatregelen genomen op een mogelijke aanval om risico’s zoveel mogelijk te mitigeren. Dagelijks is een groot aantal medewerkers bezig geweest om deze kwetsbaarheid te beheersen. Deze capaciteit is tijdelijk niet beschikbaar geweest om aan maatregelen van het Verbeterplan te werken. De crisisorganisatie is inmiddels gestopt; er is weer naar de normale situatie gegaan. Er hebben geen incidenten voorgedaan door de opgetreden kwetsbaarbaarheid; het is wel een goed leermoment voor de organisatie geweest. De kwetsbaarheid heeft een aantal nieuwe inzichten opgeleverd, waarmee Waternet de cyberweerbaarheid verder kan vergroten. Ik vertrouw erop u hiermee voldoende te hebben geïnformeerd. Met vriendelijke groet, namens het college van burgemeester en wethouders.

Egbert J. de Vries Wethouder Verkeer en Vervoer, Water en Luchtkwaliteit.

Een routebeschrijving vindt u op amsterdam.nl