Raadsinformatiebrief - afdoening toezegging stand van zaken ethisch hacken.pdf

Raadsinformatiebrief Afdoening toezegging

Aan:

Behandeld door

De leden van de gemeenteraad van Amsterdam 26 januari 2024 ICT en Digitale Stad Alexander Scholtes Bestuurszaken DII, bestuurszaken.dii@amsterdam.hl

Onderwerp

Afdoening toezegging over stand van zaken ethisch hacken (TA2023-000065)

Datum Portefeuille(s) Portefeuillehouder(s):

Geachte leden van de gemeenteraad, In uw vergadering van de raadscommissie FKD van 19 januari 2023 is door de toenmalige wethouder ICT en Digitale Stad een toezegging gedaan: 1.

De wethouder heeft toegezegd dat de nieuwe wethouder ICT en Digitale Stad de raadscommissie schriftelijk zal informeren over de stand van zaken met betrekking tot ethisch hacken (TA2023-000065).

De gemeente Amsterdam heeft sinds 2022 een meldpunt ethisch hacken. Dit meldpunt helpt de gemeente om de IT-systemen zo veilig mogelijk te maken. Via het meldpunt kunnen hackers de gemeente wijzen op kwetsbaarheden in de systemen zonder daar misbruik van te maken. De gemeente hanteert hierbij eenduidige voorwaarden die bepalen of er sprake is van ethisch hacken. In het vervolg worden de updates over ethisch hacken opgenomen in de voortgangsrapportages informatiebeveiliging, die u 2 keer per jaar ontvangt. Aantallen meldingen in 2023 In de raadsinformatiebrief van 16 mei 2023 (VN2023-013147) bent u geïnformeerd over het aantal meldingen in het eerste kwartaal van 2023. Het waren er toen 63 vanaf de start van het meldpunt in november 2022. In het tweede en derde kwartaal van 2023 zijn 70 meldingen gedaan. Bij het meldpunt worden alleen die kwetsbaarheden geaccepteerd die aantoonbaar zijn en binnen het beleid van de op gecoördineerde wijze omgaan met het openbaar maken van gemelde kwetsbaarheden1 vallen.2 In dit beleid is opgenomen wanneer een melding een ethische hack is en hoe er gecommuniceerd gaat worden over deze kwetsbaarheid. De gemeente neemt contact op met de melder en maakt dan afspraken over de termijn voor herstel voordat de melding openbaar wordt gemaakt.

1

Beter bekend onder de Engelse naam Coordinated Vulnerability Disclosure Overzicht van meldingen die niet in behandeling worden genomen: Informatiebeveiliging gemeente Amsterdam - Gemeente Amsterdam 2

Gemeente Amsterdam, raadsinformatiebrief

Datum 26 januari 2024 Pagina 2 van 3

In totaal zijn er, vanaf de start van het meldpunt, 133 meldingen gedaan. Hiervan bleken na analyse 61 meldingen dubbel, niet relevant of geen risico te bevatten. Van de resterende 72 meldingen zijn er inmiddels 65 door de gemeente en/ of leveranciers opgelost. Op dit moment werkt de gemeente nog aan 7 meldingen, met een risicoclassificering van midden of laag voor Amsterdam. Snelheid oplossingen De gemeente werkt bij het oplossen van meldingen samen met een externe partij, die in opdracht van de gemeente een eerste risico-inschatting uitvoert. De gemeente bepaalt vervolgens de potentiële impact op de gemeentelijke organisatie en dienstverlening, waarna maatregelen worden genomen. Kritieke meldingen worden met de grootste spoed verholpen. De gemiddelde afhandeltermijn is iets korter dan een maand en de meeste meldingen zijn binnen 1 tot 2 weken verholpen. Communicatie over hack/ melding Het meldpunt ethisch hacken heeft de stad geholpen om kwetsbaarheden eerder te identificeren en weg te nemen en draagt daardoor bij aan de veiligheid van onze informatievoorziening. Van de 72 meldingen die na analyse overbleven, waren er 8 meldingen in de categorie ‘hoog risico’. Deze meldingen zijn met de hoogste prioriteit opgelost.

De gemeente kent meerdere soorten risicoclassificeringen, waarvan twee direct impact hebben op de gemeentelijke data en de dienstverlening aan de Amsterdammer (de classificering Kritiek en Hoog). De risicoclassificering Kritiek gaat over een kwetsbaarheid waarbij een kwaadwillende in staat wordt gesteld om een actie uit te voeren op het systeem van Amsterdam. Bij de risicoclassificering Hoog wordt het voor een kwaadwillende mogelijk om informatie te verkrijgen over de interne werking van een systeem of applicatie. Dit kan uiteindelijk leiden tot een datalek of inbreuk op het systeem of applicatie. Hiervoor moet de kwaadwillende meer moeite voor doen dan bij het niveau Kritiek. Vanwege de aard van de meldingen kan hierover niet meer informatie met de gemeenteraad worden gedeeld dan bovenstaande aantallen en beschrijving. Als een kwetsbaarheid heeft geleid tot een datalek van persoonsgegevens, dan wordt hiervan melding gedaan bij de Autoriteit Persoonsgegevens. In 2023 is er geen melding binnengekomen van een ethische hack die als datalek gemeld moest worden. De rapportage over datalekken ontvangt u via de Functionaris Gegevensbescherming in het jaarverslag 2023. Het bestaan van kwetsbaarheden in ICT is niet te voorkomen en hoort bij het gebruik. De gemeentelijke organisatie is waakzaam en monitort diverse bronnen om kwetsbaarheden op te sporen en te verhelpen.

De oplossingen van de gemelde kwetsbaarheden worden niet openbaar gepubliceerd, omdat deze bedrijfsgegevens van leveranciers bevatten.

Gemeente Amsterdam, raadsinformatiebrief

Datum 26 januari 2024 Pagina 3 van 3

Uitgereikte beloningen Melders kunnen een beloning krijgen en een vermelding op de digitale Hall of Fame van de informatiebeveiligingsdienst voor gemeenten3. Door gebruik te maken van deze Hall of Fame kunnen gemeenten van elkaar leren. Daarnaast vragen de melders zelf om vermelding in die Hall of Fame. Onder andere de meldingen uit de gemeente Den Haag worden ook hierin opgenomen. Het assortiment van beloningen varieert van een dopper tot een hoodie, afhankelijk van de ernst van het beveiligingsprobleem. De melders zijn afkomstig uit landen over de hele wereld en reageren zeer positief op de Amsterdamse attenties. Een hacker kan meerdere meldingen doen, door de variatie aan attenties kan de gemeente deze meldingen steeds op een andere manier belonen. Opnemen rapportage in bestaande systematiek Het college stuurt u jaarlijks het jaarverslag over informatiebeveiliging toe. Het college laat de meldingen van ethisch hackers voortaan opnemen in die jaarrapportage, die voor de zomer wordt aangeboden. Het proces en werking van het meldpunt wordt opgenomen in de halfjaarsrapportage die ik u eerder in de raadsinformatiebrief van 25 januari 2023 heb toegezegd. De verwachting is deze eerste halfjaarsrapportage in maart 2024 aan u wordt aangeboden. Ik hoop u hiermee voldoende te hebben geïnformeerd.

Met vriendelijke groet, Namens het college van burgemeester en wethouders van de gemeente Amsterdam,

Alexander Scholtes Wethouder ICT en Digitale Stad

3 https://www.informatiebeveiligingsdienst.nl/responsible-disclosure/2023-coordinated-vulnerability-disclosure-hall-of-

fame/