Raadsinformatiebrief Apache kwetsbaarheid.pdf

Raadsinformatiebrief

Aan:

Portefeuillehouder(s): Behandeld door

De leden van de gemeenteraad van Amsterdam 20 december 2021 ICT en Digitale Stad Touria Meliani CIO (bestuurszaken.cio@amsterdam.nl)

Onderwerp

Kwetsbaarheid in Apache / Log4j software

Datum Portefeuille(s)

Geachte leden van de gemeenteraad, Met deze brief informeer ik u over de maatregelen die wij getroffen hebben naar aanleiding van de dringende waarschuwing over de kwetsbaarheid die aanwezig kan zijn in de software Apache Log4j. Het actuele beeld is dat de ICT-infrastructuur en applicaties van de gemeente Amsterdam afdoende zijn beschermd. Waar nodig zijn of worden patches (updates) doorgevoerd. Er zijn geen aanwijzingen dat onbevoegden toegang hebben gekregen tot onze systemen of misbruik daarvan hebben kunnen maken. Halverwege december werd bekend dat er een grote kwetsbaarheid is ontdekt in de software Apache Log4j. Log4j is onderdeel van Apache open source software en wordt wereldwijd door veel softwareleveranciers gebruikt als hulpmiddel om logboeken bij te houden in hun (web-) applicaties. De kwetsbaarheid maakt het voor kwaadwillenden mogelijk om servers binnen te dringen en instellingen aan te passen zodat er toegang is tot gegevens of bijvoorbeeld gijzelsoftware (ransomware) geplaatst kan worden. De potentiële schade die hiermee aangericht kan worden is groot.

Het Nationaal Cyber Security Centrum (NCSC) van het ministerie van Justitie en Veiligheid en de Informatiebeveiligingsdienst (IBD) van de VNG hebben op vrijdag 10 december een dringende waarschuwing gegeven voor deze kwetsbaarheid en geadviseerd om de updates die door de betreffende leveranciers beschikbaar worden gesteld te installeren. Met deze updates wordt het lek gedicht. Gemeente Amsterdam ontvangt rechtstreeks signalen over dit soort kwetsbaarheden vanuit NCSC en IBD. De gemeente heeft direct na ontvangst van het advies acties opgestart om de impact op de organisatie te bepalen en is er een crisisteam ingericht onder leiding van Chief Information Officer.

Gemeente Amsterdam, raadsinformatiebrief

Datum 20 december 2021 Pagina 2 van 2

Vanaf 10 december zijn direct acties ondernomen op de volgende gebieden:  De Amsterdamse ICT-infrastructuur is grondig onderzocht op aanwezigheid van de betreffende kwetsbaarheid. Daarbij is ook het deel van de ICT-infrastructuur die is uitbesteed aan externe partijen meegenomen.  De monitoring door het Security Operations Center (bedoeld om eventueel verdacht verkeer te kunnen constateren) is aangescherpt.  Ten aanzien van systemen die worden verwerkt bij andere externe partijen (de zogenoemde SAAS-toepassingen) is contact gelegd met de betreffende partijen, om vast te stellen of deze kwetsbaarheid aanwezig is en -indien aanwezig- opgelost is.  Waar mogelijk zijn of worden patches (updates) doorgevoerd om de kwetsbaarheid weg te nemen. Deze acties zijn direct in het weekend van 11/12 december uitgevoerd, met grote inzet vanuit de Amsterdamse organisatie en de betrokken externe partijen. Na het weekend heeft het crisisteam de volgende stappen gezet:  Verder uitbreiden van de monitoring op eventueel verdacht verkeer.  Uitvoeren van analyses of er in de periode voor het verhelpen van de kwetsbaarheid al misbruik is gemaakt.  Doorvoeren van patches (reparaties) op alle systemen waar dat nodig is. Deze acties lopen de komende tijd door.

Op basis van al deze informatie is het beeld nu dat onze ICT-infrastructuur en applicaties afdoende zijn beschermd en dat er zijn geen aanwijzingen die duiden op onrechtmatig toegang of misbruik . Gelet op de ernst van de kwetsbaarheid blijven wij hier extra alert op. Hoe gaan we verder:  Het ingestelde crisisteam blijft operationeel totdat dit niet meer nodig is.  De gemeente Amsterdam schakelt op dagelijks basis met de Informatiebeveiligingsdienst ten aanzien van deze kwetsbaarheid, zodat eventuele signalen of risico’s meteen kunnen worden opgepakt. Ook met de G4-gemeenten en gemeenten in de regio is er veel contact.  Met de “verbonden partijen”, organisaties waarmee gemeente Amsterdam veel samenwerkt (bijvoorbeeld Waternet en GVB), wordt over de aanpak en risico’s afgestemd.  We bepalen of gezien de uitzonderlijke situatie verhoogde waakzaamheid gedurende de eindejaarsperiode nodig is en richten dit in. Ik vertrouw erop u hiermee voldoende geïnformeerd te hebben. Mocht daartoe aanleiding ontstaan, dan zal ik u nader informeren.

Touria Meliani Wethouder ICT en Digitale Stad

Een routebeschrijving vindt u op amsterdam.nl