Raadsinformatiebrief_Meldpunt ethisch hackers_DEF.pdf

Raadsinformatiebrief

Aan:

Portefeuillehouder(s): Behandeld door

De leden van de gemeenteraad van Amsterdam 21 november 2022 ICT en Digitale Stad Shula Rijxman Digitale Strategie en Informatie (bestuurszaken.dii@amsterdam.nl)

Onderwerp

Meldpunt ethisch hackers

Datum Portefeuille(s)

Geachte leden van de gemeenteraad, In de vergadering van de raadscommissie FKD van 8 september 2022 heb ik u toegezegd om u nader te informeren over het beleid ten aanzien van ethisch hacken. Met deze brief informeert het college u over een nieuwe stap die het heeft gezet om de informatiebeveiliging van de gemeente verder te verbeteren: het instellen van een online meldpunt voor ethisch hackers1. De gemeente Amsterdam doet er alles aan om de IT-systemen zo veilig mogelijk te maken. Volledige veiligheid valt echter nooit te garanderen. We houden ons netwerk in de gaten en testen onze systemen. Zo kunnen we tijdig kwetsbaarheden detecteren en repareren. Ook komen kwetsbaarheden aan het licht doordat buitenstaanders proberen binnen te dringen. Deze buitenstaanders, hackers genaamd, kunnen kwaadwillend zijn maar kunnen ons ook juist willen helpen. Het komt helaas voor dat kwaadwillende hackers proberen de systemen van de gemeente Amsterdam binnen te dringen. Maar niet elke buitenstaander is kwaadwillend; het komt ook voor dat een hacker de gemeente wil wijzen op een kwetsbaarheid in de systemen zonder daar misbruik van te maken zodat wij dat kunnen repareren. Om deze meldingen te stimuleren, heeft de gemeente een online meldpunt ingesteld, waar alle meldingen gedaan worden en waar duidelijk wordt gemaakt welke regels en procedures wij hanteren.

Zo kan de gemeente kwetsbaarheden sneller oplossen waarmee we onze systemen extra kunnen beschermen. Criteria voor ethisch hacken Hacken met kwade bedoelingen (zoals het veroorzaken van datalekken, manipulatie van data of het veroorzaken van maatschappelijke ontwrichting) staat gelijk aan computervredebreuk en is strafbaar. Hacken met een nobele doelstelling (ethisch hacken) houdt in dat de kwetsbaarheden niet voor eigen gewin worden gebruikt maar worden gemeld bij de eigenaar of beheerder van het informatiesysteem. Die kan de kwetsbaarheden repareren. Het college heeft ook eenduidige criteria vastgesteld om te bepalen of er sprake is van ethisch hacken. Hacken is in beginsel strafbaar op grond van artikel 138ab Wetboek van Strafrecht (computervredebreuk). Voor ethisch hacken moet er een wezenlijk maatschappelijk belang worden gediend. Ook moet voldaan worden aan de eisen van proportionaliteit (niet verder gaan 1 Zie: https://www.amsterdam.nl/privacy/informatiebeveiliging-gemeente-amsterdam/

Gemeente Amsterdam, raadsinformatiebrief

Datum 21 november 2022 Pagina 2 van 2

dan noodzakelijk is om het probleem aan te tonen) en subsidiariteit (geen zware middelen gebruiken als minder vergaande middelen ook tot hetzelfde doel konden leiden). Dit is nader uitgewerkt in de bijgevoegde beleidsnotitie Meldpunt ethisch hackers. Wij volgen hiermee de nationale leidraad die het Openbaar Ministerie hierover opgesteld heeft. Op het meldpunt zijn duidelijke criteria vermeld die de gemeente hanteert voor ethisch hacken. De gemeente treedt na een melding in overleg met de melders (ethisch hackers) en maakt afspraken met hen. Als een melder ruchtbaarheid wil geven aan de ontdekking van de kwetsbaarheid, dan maken we daar heldere afspraken over (dit wordt aangeduid met de term Coordinated Vulnerability Disclosure). De melder moet de gemeente voldoende tijd voor herstel geven voordat de melder en/of de gemeente zelf overgaat tot openbaarmaking. Zolang de hacker zich aan de voorwaarden, afspraken en procedures houdt, zal de gemeente geen juridische stappen ondernemen. Als blijkt dat de melder niet (meer) aan voorwaarden van ethisch hacken voldoet, dan zal de gemeente alsnog juridische stappen ondernemen. Tot slot We richten een meldpunt in om het gemakkelijker te maken de gemeente te informeren over kwetsbaarheden zodat deze snel gerepareerd kunnen worden. We verwachten hier jaarlijks enkele tientallen meldingen te ontvangen.

Hiermee verbeteren we de informatiebeveiliging van de gemeente verder.

Met vriendelijke groet, Namens het college van burgemeester en wethouders van de gemeente Amsterdam,

Shula Rijxman Wethouder ICT en Digitale Stad

Een routebeschrijving vindt u op amsterdam.nl