Raadsinformatiebrief afdoening toezegging ethisch hacken.pdf

Raadsinformatiebrief Afdoening toezegging

Aan: Datum Portefeuille(s) Portefeuillehouder(s): Behandeld door Onderwerp

De leden van de gemeenteraad van Amsterdam 16 mei 2023 Digitale Stad en ICT Alexander Scholtes Digitale Strategie & Informatie, bestuurszaken.dii@amsterdam.nl Afdoening toezegging over ethisch hacken uit de commissievergadering van 19 januari 2023

Geachte leden van de gemeenteraad, In uw vergadering van 19 januari 2023 heeft wethouder Rijxman op een vraag van raadslid Garmy (Volt) toegezegd u nader te informeren over: Beloningen van meldingen De wethouder heeft toegezegd te onderzoeken of ethisch hackers beloond kunnen worden met bijvoorbeeld een 'Amsterdam-T-shirt' (TA2023-000059) De hoogte van de beloningen, in de vorm van een attentie, is aangepast aan de aard van de kwetsbaarheid. Deze worden goed ontvangen. Daarnaast wordt de melder, indien deze daar prijs op stelt, vermeld op de online Hall of Fame voor kwetsbaarheidsmeldingen bij gemeenten. Dit is een landelijke website. Het meldpunt en proces van melden wordt na een jaar geëvalueerd. Bij de evaluatie zal ook worden meegenomen of het assortiment attenties kan worden uitgebreid met bijvoorbeeld een hoodie. Transparantie over meldingen De wethouder heeft toegezegd de melders van ethisch hacken (indien mogelijk) en de oplossingen op de website te publiceren. (TA2023-000060). De gemeente heeft een meldpunt ingericht voor het melden van kwetsbaarheden in de informatievoorziening. Het meldpunt is specifiek bedoeld voor ethisch hackers, die onder voorwaarden zulke meldingen kunnen doen en die daardoor beschermd zijn tegen gerechtelijke stappen zolang aan die voorwaarden wordt voldaan.

Een van de voorwaarden is bijvoorbeeld dat de ethisch hacker alleen op zoek gaat naar kwetsbaarheden en deze direct meldt bij de gemeente. De ethisch hacker stopt zijn poging als er een kwetsbaarheid is gevonden. Aantallen meldingen Sinds de opening van het meldpunt eind 2022 worden veel meldingen gedaan. Vaak betreffen het echter dubbele meldingen, zijn het bekende kwetsbaarheden die niet meldenswaardig zijn, of is het uiteindelijk geen kwetsbaarheid of in elk geval niet voor de gemeente Amsterdam.

Gemeente Amsterdam, raadsinformatiebrief

Datum 16 mei 2023 Pagina 2 van 2

In het eerste kwartaal 2023 zijn er 63 meldingen gedaan. Daarvan zijn uiteindelijk 20 meldingen in behandeling genomen. De aard van de meldingen varieert. Drie meldingen hadden betrekking op kritieke situaties, waarbij het mogelijk was om op afstand toegang te krijgen tot een systeem. Vanwege de aard van de melding kan hierover niet meer informatie met de gemeenteraad worden gedeeld. Het bestaan van kwetsbaarheden in ICT is niet te voorkomen en hoort bij het gebruik. De gemeentelijke organisatie is waakzaam en monitort diverse bronnen om kwetsbaarheden op te sporen en te verhelpen. De kritieke meldingen zijn met de grootste spoed verholpen. De overige meldingen van kwetsbaarheden hadden een minder acuut dreigingsniveau. De meeste daarvan zijn ook opgelost. Er zijn nog 6 meldingen in behandeling. De oplossingen van de gemelde kwetsbaarheden worden niet openbaar gepubliceerd. Dit is niet gebruikelijk omdat dit bedrijfsgegevens van leveranciers betreft. Ik hoop u hiermee voldoende te hebben geïnformeerd.

Met vriendelijke groet, Namens het college van burgemeester en wethouders van de gemeente Amsterdam,

Alexander Scholtes Wethouder ICT en Digitale Stad

Een routebeschrijving vindt u op amsterdam.nl