Rapportage 2020 Informatiebeveiliging.pdf

Rapportage 2020

Informatiebeveiliging Chief Information Security Officer (CISO) I april 2021

Inhoud 1. Terugblik 2020 1.1 Eigen huis op orde 1.1.1 Digitale weerbaarheid 1.1.2 Organisatorische weerbaarheid 1.1.3 Risico's 1.1.4 Verantwoording 1.1.5 Incidenten 1.2 Agenda Digitale Veiligheid

4 4 4 5 5 6 7 8

2. Toenemende risico’s en dreigingen 2.1.1 Dreigingsbeeld

10 10

3. Vooruitblik 2021 en verder 3.1.1 Risicogebaseerde aanpak 3.1.2 Monitoring en response

14 14 14

3.1.3 Standaardisatie en vernieuwing 3.1.4 Toetsen websites - internetdomeinen 3.1.5 Toetsen ICT-infrastructuur en informatiesystemen 3.1.6 Industriële automatisering (ICS/SCADA) 3.1.7 Bevorderen beveiligingsbewustzijn en vergroten digitale kennis en vaardigheden 3.1.8 Continuïteit en veerkracht 3.1.9 Weerbare stad Bronnen:

2 | Rapportage informatiebeveiliging 2020 | april 2021

15 15 15 15 15 15 16 17

1

Terugblik 2020

1

Terugblik 2020 Voor de gemeentelijke organisatie was 2020 een veelbewogen jaar als het gaat om informatiebeveiliging. Waar in januari door een wereldwijd beveiligingsincident met Citrix-software het tijdelijk niet mogelijk was om digitaal vanuit huis te werken, was de gemeentelijke organisatie amper een maand later vanwege de coronacrisis nagenoeg volledig aangewezen op thuiswerk­ faciliteiten. De Amsterdamse digitale werkomgeving werd in zeer korte tijd geschikt gemaakt voor zo’n 20.000 thuiswerkers en de applicatie MS Teams werd geselecteerd als veilige voorziening om beeldbellen mogelijk te maken. Medewerkers kunnen met deze voorzieningen bijna alle taken – behalve enkele specifieke taken en loketfuncties - blijven uitvoeren in dezelfde beveiligde digitale werkomgeving als op kantoor. Thuiswerken kan echter leiden tot minder zorgvuldige omgang met informatie dan op het werk, door bijvoorbeeld onvoldoende beveiligde Wifi of apparatuur, geen opgeruimd bureau of afgesloten kasten, geen stiltewerkplek in huis, of door gedeeld gebruik van computers in een huishouden. Via Intranet en Tamtam is veel aandacht besteed aan bewustwording over veilig thuiswerken. Er zijn geen indicaties dat het thuiswerken heeft geleid tot meer informatiebeveiligingsincidenten.

De snelle mate waarin Amsterdam digitaliseert, heeft naast alle kansen als keerzijde het risico van uitval en/of misbruik van informatie met mogelijk digitale ontwrichting als gevolg. Het doen van onderzoek via de Agenda Digitale Veiligheid, het verstevigen van de samenwerking met andere gemeenten, de VNG en

4 | Amsterdam werkt aan toegankelijkheid | versie van 29-10-20

de Rijksoverheid, en het versterken van de regierol op digitale veiligheid en weerbaarheid is een continu proces, dat mede door de taskforce Digitale Veiligheid wordt geadresseerd.

1.1 Eigen huis op orde De coronacrisis heeft ertoe geleid dat enkele voorgenomen plannen zijn vertraagd of op andere wijze zijn ingevuld. Desondanks zijn grote stappen gezet in het veiliger maken van de IT-voorzieningen. Zo is de aanbesteding van een vernieuwde digitale werkomgeving succesvol afgerond, is gestart met de uitvoering van de gemeentebrede sourcing-strategie en het opzetten van een Cloud Competence ­Centre dat gericht is op het structureel veilig ontwikkelen van applicaties in een wendbare organisatie. In de transformatie van het gemeentelijk I-domein die momenteel plaatsvindt, zijn als uitgangspunten meegenomen dat informatiebeveiliging en privacy by design worden ingericht, dat wil zeggen dat deze aspecten standaard bij het ontwerp van nieuwe informatievoorzieningen worden meegenomen.

1.1.1 Digitale weerbaarheid De gemeentelijke IT-voorzieningen worden regelmatig op onderdelen getoetst op weerbaarheid en of wordt voldaan aan de landelijke beveiligingseisen. Extra kwetsbaar voor cyberdreigingen is de informatievoorziening die via internet toegankelijk is. Niet alle websites/ domeinen van de gemeente Amsterdam voldoen op alle punten aan de huidige beveiligingseisen. Er is een project gestart om deze aspecten op orde te brengen.

In 2020 is een Mobile Device Managementsysteem (MDM) in gebruik genomen, waarmee mobiele apparatuur (smartphones, tablets en laptops) beter kan worden beheerd en beveiligd. De implementatie hiervan is nog in volle gang.

1.1.2 Organisatorische weerbaarheid Beleidskader Het college heeft in 2020 ingestemd met het beleidskader informatiebeveiliging gemeente Amsterdam (AD2020-081146). Dit kader geeft richting aan de wijze waarop we in de gemeente onze informatie beveiligen en bevat de belangrijkste beleidsuitgangspunten. Het beleidskader informatiebeveiliging is gebaseerd op de Baseline Informatiebeveiliging Overheid, waarin de basisnormen voor informatiebeveiliging voor de gehele overheid zijn opgenomen. Organisatie van informatiebeveiliging Met het vernieuwen van het beleidskader is ook de organisatie van de informatiebeveiliging herzien. De verantwoordelijkheden, taken en bevoegdheden zijn op hoofdlijnen beschreven. In de verdere uitwerking worden verantwoordelijkheden voor ketens van informatie­ systemen toegewezen, en worden de gemeenschappelijke betrouwbaarheidseisen en normen toegewezen die op de organisatie van toepassing zijn. Baseline Informatiebeveiliging Overheid Vanaf 2020 is de Baseline Informatiebeveiliging Overheid (BIO) van kracht. De BIO kent een 130-tal beheersmaatregelen om een basisbeveiligingsniveau te kunnen doorvoeren. Een groot deel van de beheersmaatregelen is verplicht. Voor de invoering van de BIO is in 2020 in opdracht van het GMT een aanpak opgesteld in de vorm van een meerjarenplan, dat gebaseerd is op het beheersen van risico’s.

Er is een brede betrokkenheid georganiseerd, omdat informatiebeveiliging alle organisatieonderdelen van de gemeente raakt.

5 | Rapportage informatiebeveiliging 2020 | april 2021

Versterking operationeel risicomanagement Het project Versterken Operationeel Risico Management is gestart om vanuit het perspectief van de risicogebieden privacy, informatie­ beveiliging en informatiebeheer beter te kunnen sturen, beheersen en verantwoorden met operationele risico-informatie. Het risico­ beheer sluit aan op de gemeentelijke planning & control-cyclus. De organisatie heeft hiermee sturingsinformatie om risico’s te beheersen, en wordt beter in staat gesteld om verantwoording af te leggen aan haar toezichthouders en bij te dragen aan strategische doelen zoals het zijn van een betrouwbare overheid. Bewustzijn, kennis en vaardigheden Onderdeel van informatiebeveiliging is het bevorderen van beveiligingsbewustzijn. Weet Wat Je Deelt is een structureel programma voor training & bewustzijn dat is opgezet voor verschillende onderwerpen zoals privacy, informatiebeveiliging, openbaarheid en informatiebeheer. De uitvoering is vanwege de coronasituatie volledig digitaal. Alle onderdelen van het programma Weet Wat Je Deelt dragen bij aan meer bewustzijn over veilig en zorgvuldig omgaan met informatie.

1.1.3 Risico's Ogenschijnlijk kleine kwetsbaarheden kunnen grote gevolgen hebben voor de beschikbaarheid, betrouwbaarheid en vertrouwelijkheid van informatie, dat hebben recente grote incidenten bij andere organisaties aangetoond. Onbevoegde toegang, fouten, onzorgvuldigheden, en onvoldoende waarborgen voor kwaliteit en continuïteit kunnen door de steeds grotere afhankelijkheid van (digitale) informatie onder andere tot gevolg hebben: • langdurige uitval en ontwrichting van alledaagse processen; • verlies, diefstal en/of misbruik van informatie; • besluitvorming op basis van onjuiste gegevens; • imagoschade en financiële schade.

Binnen de gemeente Amsterdam zijn met name de volgende risico’s relevant: • De complexe Amsterdamse informatievoorziening maakt dat het zicht op de beveiliging van apparatuur en informatie nog niet op alle vlakken voldoende is. • Het beheersen van toegang tot informatie en de beveiliging van IoT en mobiele apparatuur is een aandachtspunt; • Het zicht op de informatiebeveiliging bij uitbestede werkzaamheden is onvoldoende. • Het structureel testen van cybercrisissituaties krijgt nog onvoldoende aandacht. Het beperken van de risico’s voor de informatieveiligheid vereist aandacht op meerdere vlakken - zowel technisch en organisatorisch als in bewust en zorgvuldig gedrag. Denk daarbij aan het continu up-to-date houden van IT-systemen, contracten en processen, naleven van wet- en regelgeving, op peil houden van kennis en vaardigheden en zorgvuldig omgaan met informatie. Ook het treffen van maat­ regelen voor continuïteit en het periodiek oefenen en testen draagt bij aan de weerbaarheid van de informatievoorziening tegen interne en externe dreigingen.

Amsterdam neemt actief deel aan het verbeteren en verder ontwikkelen van de ENSIA-methodiek. Het ligt in de verwachting dat ENSIA de komende jaren wordt uitgebreid met meer basisregistraties en stelsels. DigiD Via de landelijke DigiD-voorziening kunnen burgers toegang krijgen tot de digitale dienstverlening van de overheid. De gemeente ­Amsterdam beschikt over zeven verschillende DigiD-portalen ­waarover via een jaarlijkse audit aan de landelijk toezichthouder Logius verantwoording wordt afgelegd. Geconstateerde verbeter­ punten worden binnen de door Logius gestelde termijn opgelost. DigiD-aansluiting

Toepassing

Formulieren Amsterdam

Algemeen portaal voor digitale dienstverlening van de gemeente Amsterdam

Langparkeren

Vergunninghouders kunnen zich via dit portaal registreren voor de subsidieregeling Langparkeren

GGD Sarphati Cohort

Toepassing waarbij burgers via een app met DigiD toestemming verlenen voor het verzamelen van gegevens voor het Sarphati cohort

GGD Ouderportaal Amsterdam

Ouders kunnen via het ouderportaal online afspraken maken en het cliëntendossier van hun kind inzien

GGD Ouderportaal Amstelland

Ouders kunnen via het ouderportaal online afspraken maken en het cliëntendossier van hun kind inzien

Mijn Amsterdam

Dit portaal fungeert als toegangsmakelaar tot diverse digitale dienstverlening

*

Subsidieportaal

Portaal voor het digitaal aanvragen van subsidies

*

1.1.4 Verantwoording Middels deze rapportage worden het college en de gemeenteraad geïnformeerd over de staat van informatiebeveiliging. Ook aan de diverse landelijke toezichthouders wordt verantwoording afgelegd, zoals hieronder aangegeven. ENSIA Via de ENSIA-methodiek (Eenduidige Normatiek Single Information Audit) verantwoorden alle gemeenten zich aan de landelijke toezichthouders over verschillende stelsels waarbij informatieveiligheid een rol speelt. Over het jaar 2020 betrof dit verantwoording over het gebruik van Suwinet. Daarnaast is via de ENSIA-methodiek verantwoording afgelegd over de basisregistraties Adressen Gebouwen (BAG), ­Grootschalige Topografie (BGT), Ondergrond (BRO). 6 | Rapportage informatiebeveiliging 2020 | april 2021

Resultaat

*

*

*Met 1 aandachtspunt dat geen directe impact heeft op de informatieveiligheid

Zelfevaluatie BIO In de ENSIA-tool is een vragenlijst opgenomen waarmee een beeld ontstaat in hoeverre de gemeente voldoet aan de Baseline Informatiebeveiliging Overheid. De resultaten uit deze zelfevaluatie levert onderstaand algemeen beeld op (dit beeld kan in specifieke situaties verschillen). Ruim voldoende tot goed

Voldoende

Onvoldoende

Het onderdeel is volledig op orde, in control Wellicht zijn er minimale verbeterpunten

Het onderdeel is globaal op orde, in control Er zijn enkele of meerdere verbeterpunten

Het onderdeel is niet op orde, niet in control Er zijn veel verbeterpunten, bijsturing is nodig

Onderdeel BIO

Bevindingen

Beleid en organisatie

Actueel beleid en organisatie van informatiebeveiliging, controle op naleving

Personeel en toegang

Juiste toegang voor medewerkers tot gebouwen, systemen en gegevens

Continuïteit en incidenten

Zorgen voor de continuïteit van dienstverlening en opvolging van incidenten

Informatie­ systemen

Veilige omgang met informatiesystemen en afspraken hierover met leveranciers

Data­ bescherming

Veilige omgang met data in onze software

Een in het oog springende gebeurtenis met meer dan gemeentelijke gevolgen is zonder meer het wereldwijde Citrix-incident geweest, waardoor thuiswerken en mobiel werken tijdelijk niet meer mogelijk was. Informatiebeveiligingsincidenten worden ingedeeld in de categorie Laag, Middel of Hoog. Deze laatste staat hieronder nader toegelicht. De meeste incidenten in de categorie Hoog zijn veroorzaakt door verstoringen en uitval van software.

Oorzaak/impact ICT

25 Mens

5

Status

Alle bevindingen en aandachtspunten worden opgepakt, en ­omgezet in verbetermaatregelen, of vormen onderdeel van al lopende verbetertrajecten - zie onder 'Vooruitblik 2021 en verder'.

7 | Rapportage informatiebeveiliging 2020 | april 2021

1.1.5 Incidenten

Totaal = 30

Een incident krijgt de classificatie Hoog als: • Het een concernbreed incident betreft • Het incident impact heeft op de dienstverlening • Het een concernbreed systeem betreft (zoals e-mail en internet) • Er reputatieschade is • Er manipulatie van vertrouwelijke of financiële gegevens of van persoonsgegevens heeft plaatsgevonden als gevolg waarvan de organisatie benadeeld wordt en/of tot onterechte besluiten komt • Vertrouwelijke gegevens openbaar worden (datalekken worden gerapporteerd via de rapportage gegevensbescherming) • De financiële schade meer dan €10.000,- bedraagt

1.2 Agenda Digitale Veiligheid De gemeente Amsterdam is eind 2019 een taskforce gestart om digitale veiligheid voor Amsterdammers en ondernemers naar een hoger plan te brengen. De taskforce Digitale Veiligheid is een meer­ jarig multidisciplinair programma en valt bestuurlijk onder de porte­ feuille van burgemeester Halsema. De ambitie om Amsterdam met dit programma tot één van de digitaal veiligste steden te laten behoren, begint bij de informatiepositie. Enkele cijfers: • Elk jaar worden in Amsterdam tienduizenden mensen slachtoffer van digitale criminaliteit • Alleen al over het eerste kwartaal van 2020 is het aantal cyberaanvallen en onzichtbare criminaliteit met 40% gestegen en leidt tot honderden aangiften. • Het schadebedrag van gedupeerde burgers en ondernemers over de laatste kwartalen bedraagt in totaal ruim 8,5 miljoen euro. • Een onlangs gehouden onderzoek door de dienst Onderzoek Informatie & Statistiek onder burgers wijst uit dat negen op de tien respondenten zich weleens zorgen maakt over zijn of haar online veiligheid. Samen met maatschappelijke instellingen, bedrijfsleven, politie en het openbaar ministerie heeft de taskforce Digitale Veiligheid de taak om te zorgen voor adequate voorlichting, informatie, (technische) preventie en mogelijkheden tot handhaven binnen het digitale domein.

Amsterdam richt zich bij het vergroten van de digitale veiligheid op zes hoofdpunten: 1. 2. 3. 4. 5. 6.

8 | Rapportage informatiebeveiliging 2020 | april 2021

Welzijn van de burger Veiligheid voor bedrijven en instellingen Vitale infrastructuur Crisis- en incidentmanagement Democratie en bestuurlijke stabiliteit Eigen huis van de gemeente op orde

Op elk punt heeft de gemeente onderzocht welke kansen en risico’s er zijn. Welke mogelijke gevolgen hebben die risico’s en hoe kunnen we die voorkomen? In de Agenda Digitale Veiligheid staan acties over wat Amsterdam gaat doen tegen digitale bedreigingen en aan­ bevelingen over wat zou er nog moeten gebeuren Het afgelopen jaar heeft de taskforce gewerkt aan de weerbaarheid van jongeren en ondernemers in de stad. Zo zijn er diverse onder­ zoeken (online panels) uitgevoerd naar kwetsbare doelgroepen waar passende acties geplot zijn. Enkele voorbeelden: • voorlichting en bewustwordingscampagnes op Amsterdamse scholen over het onderwerp online seksueel geweld (o.a. sextortion). • circa 100 Amsterdamse ondernemers hebben zich aangemeld voor een digitaal ambassadeurschap waarin zij getraind zijn door een cybersecurity-expert en politie om de online risico’s te herkennen en bij een cyberdelict ook internetsporen veilig te stellen. • tijdens de nationale Week van de Veiligheid in oktober is er samen met het Platform Veilig Ondernemen Amsterdam-­ Amstelland speciale aandacht geweest voor online kwetsbaarheden en mitigerende maatregelen.

Tijdens die week vond ook de aftrap plaats van een traject met de Hogeschool van Amsterdam en Stichting Cyberwerf waarin cybersecurity ­studenten gekoppeld worden aan ondernemers in de stad om hen te helpen bij het in kaart brengen van de digitale risico’s inclusief passende oplossingen voor een hogere weerbaarheid.

2

Toenemende risico’s en dreigingen

2

Toenemende risico’s en dreigingen 2.1.1 Dreigingsbeeld

Nationaal en internationaal Digitale dreigingen nemen toe, zowel lokaal, nationaal als internationaal. Het landelijk beeld van cyberdreigingen wordt jaarlijks door het NCTV beschreven in het Cyber Security Beeld Nederland. Het samenvattende beeld voor 2020 is dat de digitale risico’s onverminderd groot en niet fundamenteel veranderd zijn ten opzichte van voorgaande jaren. De onderscheiden risico’s zijn: • C  yberaanvallen met als doel sabotage, spionage en ontwrichting van de samenleving Dit soort cyberaanvallen worden veelal uitgevoerd door statelijke actoren op andere landen of specifieke bedrijven. Hoewel Nederlandse gemeenten hierbij (nog) geen direct doelwit zijn, kunnen lokale overheden wel met de gevolgen van dit soort aanvallen worden geconfronteerd. Internationaal beeld laat een verschuiving zien naar supply-chain-­ aanvallen, wat wil zeggen dat actoren goed beveiligde doelwitten via een tussenstation proberen aan te vallen, zoals softwareleveranciers. Voorbeeld: Grootschalige hack bij SolarWinds De software van het Amerikaanse bedrijf SolarWinds, dat computernetwerken monitort, werd in 2020 gehackt en misbruikt voor een supply-chain-aanval. Door de geïnfecteerde software van SolarWinds werd toegang verkregen tot zeer veel vertrouwelijke informatie van honderden bedrijven.

10 | Rapportage informatiebeveiliging 2020 | april 2021

›  Handelingsperspectief: Noodzaak om niet alleen de eigen IT weerbaar te houden maar ook kritisch te kijken naar leveranciers van IT-producten Impact gemeente Amsterdam: Dreigingsinformatie wordt dagelijks geanalyseerd en gecontroleerd, zowel intern als bij strategisch leveranciers. Er zijn geen signalen dat Amsterdam geraakt is door deze cyberaanval. Wel is aanvullende monitoring ingericht om dergelijke aanvallen te identificeren. • C  yberaanvallen met als doel gegevens te ontfutselen voor geldelijk gewin De afgelopen jaren is de cybercriminaliteit via e-mail (phishing), via sms (smishing) en berichtenapps (WhatsApp-fraude) fors toegenomen. Bij deze vorm van cybercriminaliteit proberen kwaadwillenden gevoelige gegevens te ontfutselen van een individu of organisatie, zoals wachtwoorden en pincodes, of zelfs iemands digitale identiteit over te nemen. Deze gegevens worden vervolgens misbruikt om aankopen te doen of geld op te nemen. • Malware en ransomware Een andere vorm van misbruik is malware. Malware is een verzamelnaam voor ongewenste kwaadaardige software, die vaak via een van de bovengenoemde type cyberaanvallen wordt geïnstalleerd. De impact van een malware-infectie varieert. Gevoelige gegevens kunnen worden gestolen, aangepast, versleuteld of wordt gebruik gemaakt van gijzelsoftware (ransomware).

De algemene verwachting is dat elke organisatie vroeg of laat te maken krijgt met malware-infecties. Kwaadwillenden blijven steeds weer nieuwe methoden vinden om bij organisaties digitaal binnen te dringen. Voorbeeld: De Universiteit van Maastricht kreeg onlangs te maken met een cyberaanval met ransomware. Het gijzelvirus legde de systemen van de universiteit wekenlang plat, met organisatorische schade, reputatieschade en financiële schade tot gevolg. ›  Handelingsperspectief: Naast technische en organisatorische maatregelen ter vergroting van de digitale weerbaarheid, ook oefenen om voorbereid te zijn op cybercrisissituaties en regie voeren over risicomanagement om risico’s tot een acceptabel niveau terug te brengen. Impact gemeente Amsterdam: Om adequaat te kunnen (blijven) reageren op digitale dreigingen en cybercrisissituaties is een roadmap opgesteld voor het doorontwikkelen naar een Amsterdam-SOC en worden zowel op het vlak van ­digitale als organisatorische weerbaarheid stappen gezet (zie onder Vooruitblik 2021).

Lokale overheid Het dreigingsbeeld voor gemeenten 2021/2022, dat tweejaarlijks wordt opgesteld door de informatiebeveiligingsdienst voor gemeenten IBD, laat samengevat het volgende beeld zien: • De bedrijfscontinuïteit is in het geding Gemeenten lopen het risico dat dienstverlening (langdurig) niet beschikbaar is door uitval van systemen, met mogelijk ontwrichting van alledaagse processen tot gevolg. • Integriteit van informatie kan niet gewaarborgd worden Door onvoldoende beveiliging van de informatie lopen gemeenten het risico dat gegevens worden aangepast door onbevoegden. • Vertrouwelijke gegevens vallen in verkeerde handen Door toegang tot informatie door onbevoegden kunnen vertrouwelijke gegevens in verkeerde handen vallen. Voorbeeld: In december 2020 werd gemeente Hof van Twente ­gehackt, waarbij veel gegevens werden vernietigd en de gemeente­ lijke dienstverlening langdurig werd verstoord. ›  Handelingsperspectief: Voortdurend aandacht blijven besteden aan beveiligingsbewustzijn van medewerkers en zorgen voor weerbare IT-voorzieningen waardoor de continuïteit van dienst­ verlening niet of nauwelijks in het geding komt Impact gemeente Amsterdam: De ontwikkelingen ten aanzien van het verhogen van de digitale en organisatorische weerbaarheid zijn vermeld in deze rapportage.

11 | Rapportage informatiebeveiliging 2020 | april 2021

Gemeente Amsterdam Risicobeheersing gemeentelijke ICT-infrastructuur Voor de ICT-infrastructuur van de gemeente Amsterdam wordt een risicobeeld opgesteld, zowel voor de interne digitale omgeving als voor de uitbestede IT-diensten. Risicobeheersing wordt verder ontwikkeld met een Risk Control Framework, waarmee wordt gemonitord of de ICT voldoet aan wet- en regelgeving, regelmatig gerapporteerd wordt over de status, en dreigingen worden ingeschat.

Risicobeheersing gemeentelijke informatievoorziening Voor het beheersen van risico’s in de informatievoorziening biedt het doorvoeren van de Baseline Informatiebeveiliging Overheid, inzet van risicomanagementmiddelen, fraude- en integriteitsonderzoeken, en onderzoeken naar de beveiliging van informatie inzicht in de staat van informatiebeveiliging van de afzonderlijke informatiesystemen en -processen.

Stedelijk Digitaal Veiligheidsbeeld Amsterdam Het Digitaal Veiligheidsbeeld Amsterdam 2020 geeft een vereen­ voudigd beeld van de belangrijkste risico’s voor de digitale veiligheid van de stad. Het beeld is op hoofdlijnen geschetst om het toegankelijk te maken voor een breed publiek. De doelstelling daarbij is om bewustwording van de digitale risico’s onder Amsterdammers en Amsterdamse ondernemers te vergroten en tegelijkertijd aan­ knopingspunten te geven om de weerbaarheid (verder) te verhogen. Het beeld maakt duidelijk dat Amsterdammers, ondernemers en organisaties sterk van elkaar afhankelijk zijn voor ieders digitale veiligheid en dat is ook waar de uitdaging voor Amsterdam als geheel ligt: de digitale weerbaarheid op individueel en collectief niveau verhogen om risico’s op schade, verstoringen en ontwrichting zoveel mogelijk te beperken.

12 | Rapportage informatiebeveiliging 2020 | april 2021

3

Vooruitblik 2021 en verder

3

Vooruitblik 2021 en verder 3.1.1 Risicogebaseerde aanpak

3.1.2 Monitoring en response

Permanente aandacht blijft nodig om in te kunnen spelen op de toenemende dreigingen en om op alle vlakken te voldoen aan de ­gestelde eisen. In 2021 en daarna zet de gemeente dan ook in op het verder verhogen van de digitale en organisatorische weerbaarheid door in te spelen op ontwikkelingen, een sterke regierol te pakken en door samen te werken. De ontwikkelingen vinden vooral plaats op het gebied van monitoring en response, doorvoeren van maatregelen, processen en middelen, bevorderen van beveiligingsbewustzijn, continuïteit van de informatievoorziening en beveiliging van administratieve en industriële systemen. Samenwerking tussen gemeenten, met ketenpartners, maar ook met de rijksoverheid is daarbij essentieel. Amsterdam zoekt daarom actief aansluiting met nationale initiatieven om als overheden gezamenlijk vroegtijdig digitale kwetsbaarheden en incidenten te signaleren, informatie uit te wisselen en dreigingen effectief te bestrijden. Het doorvoeren van de BIO zal ook in 2021 een belangrijke pijler zijn om informatieveiligheid structureel naar een hoger niveau te brengen. In de begroting zijn hiervoor middelen vrijgemaakt. Belangrijke stappen hierin zijn het toewijzen van beheersmaatregelen aan specifieke directies en het inrichten van risicomanagement, zowel per directie als op concernniveau.

Amsterdam-SOC

In 2021 worden risicosessies georganiseerd, zodat risico’s expliciet worden vastgesteld en bijdragen aan sturingsinformatie. De verbetermaatregelen worden vastgesteld op basis van de bevindingen uit de zelfevaluatie ENSIA over de basisbeveiligingsnorm BIO en mogelijk specifieke wet- en regelgeving.

14 | Rapportage informatiebeveiliging 2020 | april 2021

Amsterdam beschikt over een Security Operating Centre (SOC) dat 24/7 monitoring uitvoert op het gemeentelijke IT-netwerk en bij verdachte situaties of incidenten kan ingrijpen. Het huidige SOC van Amsterdam richt zich vooral op het interne gemeentelijke IT-netwerk en op het reageren op incidenten. De ambitie is om door te ontwikkelen naar een overkoepelend Amsterdam-SOC waarop alle generieke ICT-diensten en strategische partners zich aansluiten. Zo ontstaat op termijn een eenduidig beeld van de stand van de beveiliging, worden risico’s beheerst en is adequaat reageren op gebeurtenissen mogelijk. Daarnaast volgt Amsterdam de landelijke ontwikkelingen omtrent een SOC voor gemeenten en de verkenning die plaatsvindt naar de wenselijkheid om te komen tot een Gezamenlijk Overheid Security Operations Center (GOV-SOC), ter verhoging van de digitale weerbaarheid en incident-response capaciteit van gemeenten, waterschappen en provincies.

Nationaal Detectie Netwerk Voor Nederlandse gemeenten is de informatiebeveiligingsdienst IBD onder andere het schakelpunt voor het verstrekken van kwetsbaarheidsmeldingen vanuit het Nationaal Cyber Security Centrum (NCSC). Daarnaast sluit Amsterdam met de G4-gemeenten aan op het Nationaal Detectie Netwerk (NDN) om eerder geïnformeerd te worden over kwetsbaarheden. Het NDN richt zich op het onderling delen van dreigingsinformatie om cybersecurity¬risico’s en gevaren sneller waar

te nemen. Aangesloten organisaties nemen actief deel aan het NDN: zij moeten dreigingen kunnen ontvangen, verwerken en delen. Dit betekent dat deelnemers hun monitoring en incidentresponse-proces op orde hebben, reageren op gevonden hits en zelf dreigings­ informatie aanleveren.

3.1.3 Standaardisatie en vernieuwing De gemeente werkt verder aan het moderniseren van het I-domein, waarbij onder andere ingezet wordt op standaardisatie en vernieuwing van de IT-voorzieningen. Ook wordt voor het beter kunnen beheren van mobiele apparatuur het Mobile Device Managementsysteem afgerond.

3.1.4 Toetsen websites - internetdomeinen Websites en webapplicaties moeten minimaal voldoen aan de standaarden die landelijk zijn vastgesteld. Periodiek wordt gemonitord of dit het geval is. Daarbij wordt niet alleen gelet op de verplichte Open Standaarden, maar ook op de eisen ten aanzien van privacy, huisstijl en toegankelijkheid conform de Europese richtlijnen.

3.1.5 Toetsen ICT-infrastructuur en informatiesystemen Door een externe professionele partij zal een Red team-test op de ICT-infrastructuur van Amsterdam worden uitgevoerd. In de eerste fase zal deze gericht zijn op de centrale ICT-infrastructuur maar in de tweede fase ook op ICT-voorzieningen die door specifieke orga­ nisatieonderdelen worden beheerd. Daarnaast zal gebruik worden ­gemaakt van de inzet van ethisch hackers als instrument om structureel de beveiliging van onze informatiesystemen te testen.

15 | Rapportage informatiebeveiliging 2020 | april 2021

3.1.6 Industriële automatisering (ICS/SCADA) De komende jaren zal meer aandacht gevestigd worden op de beveiliging van industriële automatisering (Industrial Control Systems ofwel ICS/SCADA-systemen). Hierbij wordt gestart met het verhogen van de weerbaarheid in de watersector en de verkeerssector, in samenwerking met de rijksoverheid.

3.1.7 Bevorderen beveiligingsbewustzijn en vergroten digitale kennis en vaardigheden Naast het doorvoeren van technische en organisatorische maatregelen is kennis, houding en gedrag van medewerkers een belangrijk aspect bij informatiebeveiliging. Om het beveiligingsbewustzijn verder te bevorderen zijn daarom twee e-learningmodules ontwikkeld, over informatieveiligheid en over privacy. Het is de bedoeling dat elke medewerker binnen drie maanden na indiensttreding zo’n basistraining i-bewustzijn volgt. Daarnaast zal het belang van deelname aan verdere opleiding en training op het gebied van informatiebeveiliging worden benadrukt en gestimuleerd, en wordt ernaar gestreefd dat medewerkers niet alleen bij indiensttreding maar ook bij functiewisseling op hun verantwoordelijkheden ten aanzien van informatiebeveiliging worden gewezen.

3.1.8 Continuïteit en veerkracht Het weerstandsvermogen en de veerkracht van de gemeentelijke (organisatorische en digitale) informatievoorziening en dienstverlening zal worden getoetst op korte en lange termijneffecten. Het oefenen met crisissimulaties is een van de middelen die hiervoor worden ingezet. De G4-gemeenten hebben een handreiking cybergevolgbestrijding ontwikkeld, die onder meer gebruikt wordt voor crisisoefeningen. Hierbij worden op basis van een gefingeerd cybercrisisscenario een of meerdere oefeningen gehouden, als serieuze voorbereiding op een mogelijk grootschalig cyberincident dat mogelijk aanzienlijke cascade-

effecten op andere terreinen met zich mee kan brengen. Een van de oefeningen wordt gehouden in samenwerking met de G4-gemeenten, veiligheidsregio’s, politie en openbaar ministerie. Effecten op lange termijn worden geschetst via relevante en plausibele crisisscenario’s, zoals een grootschalige cyberaanval, met mogelijke impact op Amsterdam, niet alleen op de gemeentelijke financiën, maar ook op de economie, de fysieke en de sociale omgeving.

3.1.9 Weerbare stad Voor 2021 werkt de taskforce Digitale Veiligheid verder aan de weerbaarheid van de stad tegen digitale dreigingen waarin actualiteiten rondom het fenomeen desinformatie in tijden van corona met prioriteit worden opgepakt. De coronapandemie heeft een versnelling van de digitalisering van de samenleving getriggerd en dat is terug te zien in de cijfers van o.a. Politie en Toezicht en Handhaving. Er vindt een verschuiving plaats van traditionele criminaliteit naar online delicten en naar online desinformatie. Dit brengt ook de noodzaak met zich mee om samen met de Politie en het Openbaar Ministerie nader te onderzoeken hoe desinformatie binnen de online leefwereld ontstaat, hoe het zich ontwikkelt en wat de impact is in de samenleving. In het verlengde daarvan werken we nauw samen met de Online Dating Association (waarin datingplatforms en apps vertegen­ woordigd zijn) om een aanpak te ontwikkelen waarmee de online veiligheid bij dating ook verbeterd kan worden. Op langere termijn behoort het ontwikkelen van een benchmark voor minimale veiligheidseisen voor online dating, in samenspraak met de VNG en ministeries, tot de mogelijkheden. Maar ook voor de jongeren in Amsterdam rollen we samen met de Openbare Bibliotheek Amsterdam een online game uit waarin 8 tot 12-jarigen leren om te gaan met online risico’s.

16 | Rapportage informatiebeveiliging 2020 | april 2021

Bronnen: Cybersecuritybeeld Nederland 2020 https://www.ncsc.nl/onderwerpen/cyber-security-beeld-nederland Dreigingsbeeld Informatiebeveiliging Nederlandse gemeenten 2021/2022 https://www.informatiebeveiligingsdienst.nl/product/dreigingsbeeld-informatiebeveiliging-nederlandse-gemeenten-2021-2022/ Digitaal Veiligheidsbeeld Amsterdam https://www.amsterdam.nl/nieuwsarchief/persberichten/2019/persberichten-burgemeester/amsterdam-investeert-verbetering/ Geleerde lessen hack Universiteit van Maastricht https://www.maastrichtuniversity.nl/nl/over-de-um/cyberveiligheid-samen-verantwoordelijk Geleerde lessen hack Hof van Twente https://www.hofvantwente.nl/actueel/nieuws-en-persberichten/nieuwsbericht/archief/2021/03/artikel/hof-van-twente-cyber-hack-stevige-lesvoor-ons-1872 ENSIA https://www.vngrealisatie.nl/ensia Verplichte standaarden https://forumstandaardisatie.nl/open-standaarden/verplicht Agenda Digitale Veiligheid Amsterdam https://www.amsterdam.nl/nieuwsarchief/persberichten/2019/persberichten-burgemeester/amsterdam-investeert-verbetering/

17 | Rapportage informatiebeveiliging 2020 | april 2021

Deze rapportage is mede tot stand gekomen door bijdragen van de directie ICT en de taskforce Digitale Veiligheid.