x.07 Rapportage informatiebeveiliging 2022 v2.pdf

Rapportage 2022

Informatiebeveiliging Chief Information Security Officer (CISO) I mei 2023

Inhoud 1. Inleiding4 2. Ontwikkelingen in het dreigingslandschap

6

3. Informatiebeveiliging gemeente Amsterdam 3.1 Digitale weerbaarheid 3.2 Agenda Digitale Veiligheid 3.3 Verbonden partijen 3.4 Continuïteit en crisisoefeningen 3.5 Verbeteringen in 2022 3.6 Specifieke aandachtspunten 3.7 Organisatie van de informatiebeveiliging

8 8 8 9 10 10 11 13

4. Verdieping 4.1 Incidenten en kwetsbaarheden 4.1.1 Incidenten 4.1.2 Kwetsbaarheden 4.1.3 Meldpunt voor ethisch hackers 4.2 ENSIA 4.3 Beveiliging online dienstverlening 4.4 DigiD 4.5 Industriële automatisering

15 15 15 15 15 16 16 17 17

5. Vooruitblik 5.1 Nieuwe wet- en regelgeving 5.2 Speerpunten voor 2023

19 19 20

Bronnen21

2 | Rapportage informatiebeveiliging 2022

1

3 | Rapportage informatiebeveiliging 2022

Inleiding

1

Inleiding Voor u ligt de bestuurlijke rapportage informatiebeveiliging 2022 van de gemeente Amsterdam. Hierin geven wij aan hoe wij de informatie van de gemeente Amsterdam hebben beveiligd, welke ontwikkelingen zich hierbij hebben voorgedaan en hoe risico’s en dreigingen zich hebben ontwikkeld. Daarbij geven we een doorkijk naar 2023. De rapportage is opgesteld door de Chief Information Security Officer (CISO) in het kader van zijn coördinerende en toezichthoudende functie op de informatiebeveiliging van de gemeente. Het college legt met deze rapportage verantwoording af over het afgelopen jaar en informeert daarmee de gemeenteraad in het kader van zijn toezichthoudende rol. Op verzoek van de gemeenteraad zal met ingang van 2023 de raad twee keer per jaar een rapportage ontvangen.

Oordeel van de CISO In 2022 zijn er goede stappen gezet om de beheersing van de informatie­beveiliging te verbeteren. De uitvoering van het BIOprogramma (zie hoofdstuk 3) heeft ervoor gezorgd dat informatie­ beveiliging bij alle directies op de agenda staat. De vorming van het I-domein per 1 juli 2022 en de betere positio­ nering van de vakgroep informatiebeveiliging daarbinnen maken het mogelijk om beter te sturen. Risico’s met betrekking tot informatiebeveiliging worden onderdeel van het bredere risico­ management bij alle directies.

4 | Rapportage informatiebeveiliging 2022

Door middel van de implementatie van de nieuwe Amsterdamse Digitale Werkomgeving en het cloudplatform zijn er veel betere mogelijkheden om de beveiliging van IT-systemen te borgen. In deze rapportage zijn daartoe duidelijke verbeterpunten benoemd. Tegelijkertijd zijn we er nog niet. Het ICT-landschap van de gemeente Amsterdam is nog steeds te versnipperd. Aansturing van strategische partners en leveranciers moet en kan veel beter. Op het gebied van beveiligingsbewustzijn, autorisatiebeheer, inkoop, beheer en indienst/uit-dienstprocessen hebben we nog de nodige stappen te zetten. De feitelijke veiligheid van onze processen en systemen is nog onvoldoende in beeld. Resumé: ten opzichte van een jaar eerder zijn goede stappen gezet, maar Amsterdam heeft nog het nodige te doen om het juiste niveau te bereiken. Aandacht en focus voor informatiebeveiliging blijft gezien de toenemende dreigingen hard nodig!

2

5 | Rapportage informatiebeveiliging 2022

Ontwikkelingen in het dreigingslandschap

2

Ontwikkelingen in het dreigingslandschap Bij informatiebeveiliging is het nodig om voortdurend te blijven inspelen op actuele risico’s en dreigingen. 100% informatieveiligheid bestaat niet; voldoen aan wet- en regelgeving wil niet zeggen dat zich nooit een beveiligingsincident zal voordoen. Het doel is om de weerbaarheid van onze informatievoorziening op een voldoende niveau te houden en in control te zijn en te blijven. Wij verbeteren de beveiliging op basis van informatie die wereld­wijd en landelijk beschikbaar komt via veiligheidsdiensten en de organisaties die hiervoor zijn ingericht. Amsterdam heeft daarnaast afspraken met een aantal strategische partners die ons voorzien van actuele informatie. In 2022 zijn de dreigingen op het gebied van informatiebeveiliging verder toegenomen. Uit het jaarlijkse Cybersecuritybeeld Nederland 2022 van het Nationaal Cyber Security Center (NCSC) blijkt dat de digitale risico’s groot zijn en dat aanvallen door criminelen en statelijke actoren ‘het nieuwe normaal’ zijn geworden. Meer concreet: in het kader van de oorlog tussen Rusland en Oekraïne heeft het NCSC in het afgelopen jaar regelmatig waarschuwingen afgegeven aan overheidsorganisaties en bedrijven om waakzaam te zijn voor hackers uit landen die offensieve cybercampagnes plegen tegen organisaties in landen die Oekraïne ondersteunen.

Daarnaast is cybercriminaliteit als verdienmodel toegenomen.

6 | Rapportage informatiebeveiliging 2022

In het Dreigingsbeeld informatiebeveiliging Nederlandse gemeenten (VNG, oktober 2022) is aangegeven dat het aantal informatie­ beveiligingsincidenten bij gemeenten sterk is toegenomen. In de afgelopen jaren zijn meerdere gemeenten gehackt, waardoor essentiële informatie is ontvreemd en de dienstverlening bij die organisaties soms langdurig werd verstoord. Het op peil houden van de digitale weerbaarheid is belangrijker dan ooit tevoren. Het continu versterken en bewaken van de digitale weerbaarheid is dus een cruciale taak van de gemeente. In de hoofdstukken hierna beschrijven we hoe Amsterdam deze weerbaarheid heeft ingericht en wat we doen om dit verder te verbeteren.

3

Informatiebeveiliging gemeente Amsterdam

3

Informatiebeveiliging gemeente Amsterdam 3.1 Digitale weerbaarheid Baseline Informatiebeveiliging Overheid De beveiliging van informatie en informatiesystemen is essentieel. Het leidende kader hiervoor is de Baseline Informatiebeveiliging voor de Overheid (BIO). Voor de implementatie hiervan is een meerjarig programma opgezet. Het jaar 2022 is daarvoor een belangrijk jaar geweest: bij alle 43 organisatieonderdelen is de aanpak ingezet om: • De verantwoordelijkheid voor informatiebeveiliging in te richten; • De belangrijke processen goed in beeld te krijgen; • Te beoordelen of de beheersmaatregelen die in de BIO zijn benoemd zijn ingericht; • Verbetermaatregelen te benoemen die nodig zijn om aan de BIO te voldoen; • Een verbeterplan vast te stellen waarmee het voldoen aan de BIO wordt geëffectueerd en bestendigd. Eind 2022 beschikt 80 % van de directies over een verbeterplan. Alle plannen zijn getoetst. Bij de overige organisatieonderdelen wordt het plan uiterlijk in het eerste kwartaal van 2023 opgeleverd. Daarmee is inzicht verkregen in de status van informatieveiligheid en wordt overgegaan naar de volgende fase. Een belangrijke constatering is dat alle directies op belangrijke aspecten van informatiebeveiliging nog onvoldoende in control zijn: • De meeste directies hebben de beheersmaatregelen die aan hen zijn toegekend via de door het GMT vastgestelde BIO RASCI-tabel,

8 | Rapportage informatiebeveiliging 2022

waarin de verantwoordelijkheden op verschillende niveaus zijn beschreven, nog onvoldoende doorgevoerd. • De meeste directies voldoen nog niet op bepaalde onderdelen. • Het zicht op de feitelijke veiligheid van de belangrijkste processen en systemen is nog onvoldoende. De belangrijkste verbeterpunten worden benoemd in paragraaf 3.6. Het jaar 2023 wordt het jaar van de BIO-implementatie. Directies hebben de opdracht om hun verbeteringen door te voeren en zorgen er daarbij voor dat verbeteracties met de hoogste urgentie als eerste worden opgepakt. De samenwerking tussen de lijnorganisaties, het I-domein en information security officers wordt voortgezet. Op concernniveau wordt elk kwartaal de status opgehaald en per cluster in beeld gebracht.

3.2 Agenda Digitale Veiligheid De risico’s op het gebied van informatiebeveiliging beperken zich niet tot de grenzen van onze organisatie en de eigen processen en informatiesystemen. Organisaties werken steeds meer samen in ketens, maken gebruik van gedeelde informatiesystemen en wisselen informatie uit. Sinds 2020 richten we ons in het kader van informatie­ beveiliging dan ook niet alleen op de eigen (gemeentelijke) organi­ satie, maar ook op andere organisaties in de stad en de regio. De digitale veiligheid van de Amsterdammer staat daarin nadrukkelijk op de agenda.

In 2022 is verder gewerkt aan het programma Agenda Digitale Veiligheid, waarmee informatiebeveiliging in de stad en in de regio samen met allerlei organisaties op de kaart is gezet. Binnen de sectoren economie, zorg, jeugd en onderwijs, crisis- en incident­ management en mobiliteit zijn duurzame investeringen gedaan in diverse producten, onderzoek en diensten met publieke en private partners. In samenwerking met de G4 heeft Amsterdam meege­ schreven aan het bestuurlijk convenant tussen de Rijksoverheid en VNG afgesloten over digitale veiligheid 2023-2028. Dit convenant kent als speerpunten: 1. Vertaling van het fysieke veiligheidsstelsel naar digitale veiligheid; 2. Beter beeld van de (digitale) kwetsbaarheden, dreigingen en incidenten; 3. Toewerken naar benodigde en structurele financiering en middelen voor digitale weerbaarheid van gemeenten.

Formalisering ecosysteem digitale veiligheid In 2022 hebben we de opzet van een publiek-privaat ecosysteem rond digitale veiligheid voor de stad en regio opgestart. Hier koppelen we relevante partners en organisaties in deels cruciale en of vitale sectoren aan elkaar op het niveau van de CISO. De samen­ werking vindt plaats op vier gedefinieerde prioriteiten rond digitale veiligheid: Prioriteit 1: het verhogen van het collectieve digitale veiligheidsbewustzijn Doelstelling: Duurzame initiatieven ontplooien die bijdragen aan het collectieve veiligheidsbewustzijn op het internet van alle aanwezige doelgroepen.

9 | Rapportage informatiebeveiliging 2022

Prioriteit 2: het bestendigen van talent- en expertise in het digitale werkveld Doelstelling: Het aantrekken en bestendigen van IT-talent om het tekort in de sector op te vullen. Prioriteit 3: informatie-uitwisseling en gevolgbestrijding Doelstelling: het opzetten van een netwerk, actieve informatieuitwisseling tot stand brengen om dreigingen tijdig te signaleren en te duiden en daarop te anticiperen door gezamenlijk te oefenen. Prioriteit 4: het testen van digitale producten en diensten in een gecontroleerde proeftuin Doelstelling: In een gecontroleerde omgeving experimenteren met innovatieve producten en diensten waarbinnen effectmeting plaatsvindt vooraleer het wordt ingezet in de praktijk. Deze aanpak sluit aan bij de benoemde landelijk strategie op cybersecurity ofwel digitale veiligheid voor gemeenten inclusief verbonden partijen in de keten van samenwerking.

3.3 Verbonden partijen Bij een aantal partijen waarmee Amsterdam samenwerkt of verbonden is (o.a. Waternet, Artis, Pantar), hebben in de afgelopen jaren incidenten plaatsgevonden op het gebied van informatiebeveiliging. Het is belangrijk om, onder andere vanuit het aandeelhoudersbelang, hierop de vinger aan de pols te houden (toezicht op afstand) zonder de verantwoordelijkheid van de organisatie over te nemen. In het afgelopen jaar zijn stappen gezet om met de verbonden partijen -deelnemingen van de gemeente Amsterdam - afspraken te maken over verplichtingen, rapportages en verantwoording over informatiebeveiliging.

3.4 Continuïteit en crisisoefeningen Informatiebeveiliging richt zich op de kwaliteitsaspecten beschikbaarheid, integriteit en vertrouwelijkheid van informatie. Om te kunnen reageren bij grote incidenten en cybercrises is het belangrijk om de organisatie daarop voor te bereiden, crisisdraaiboeken klaar te hebben liggen en vooral om regelmatig te oefenen. In 2022 zijn de voorbereidingen getroffen om dit verder in te richten. In 2023 zal Amsterdam meerdere oefeningen organiseren en participeren in landelijke oefeningen. Beschikbaarheid is nauw verweven met het onderwerp Business Continuity Management (BCM). Amsterdam is eind 2022 gestart om een aanpak te bepalen waarmee de organisatie BCM gaat inrichten en borgen.

3.5 Verbeteringen in 2022 Nieuwe Amsterdamse Digitale Werkomgeving Voor informatiebeveiliging is de invoering van de nieuwe Amster­ damse Digitale Werkomgeving (nieuwe ADW) een belangrijke mijl­ paal. Hiermee is een belangrijke stap gezet om een veilige werk­ omgeving in te richten. Deze omgeving biedt veel state-of-the-art beveiligingsmogelijkheden, die in de loop der tijd verder zullen worden uitgebreid. Beheer en onderhoud van de nieuwe ADW is belegd bij een externe professionele partij. Met name voor wat betreft het veilig uitwisselen van informatie binnen en buiten de organisatie en het kunnen monitoren van de beveiliging wordt daarmee een belangrijke stap gezet.

10 | Rapportage informatiebeveiliging 2022

Cloudstrategie en cloudplatform In 2022 is door het college de cloudstrategie vastgesteld. Hiermee is bepaald hoe Amsterdam op een verantwoorde en veilige wijze de transitie kan uitvoeren van zelf gehoste informatiesystemen naar de cloud. Het Amsterdamse cloudplatform is inmiddels operationeel en wordt gebruikt om op een veilige manier toepassingen te ontwikkelen en te implementeren. De systemen die werden gehost in het eigen Amsterdamse datacenter, zijn inmiddels grotendeels overgebracht naar de hostingpartner van Amsterdam of ondergebracht in de Amsterdamse cloudomgeving. Met de partijen zijn goede afspraken gemaakt over de kwaliteitsaspecten. Security Operating Center Amsterdam beschikt al een aantal jaren over een security operations center (SOC), waar de veiligheid van onze ICT-infrastructuur wordt gemonitord. In 2022 is een aanbesteding in gang gezet om dit SOC (en de processen daar omheen) te vernieuwen en daarmee een nog hoger veiligheidsniveau te bereiken. Het SOC krijgt zowel een bredere scope, zodat meer systemen en onderdelen van de ICT-infrastructuur daarmee worden beschermd, als een hoger niveau van monitoring. Aanbesteding pentesten Amsterdam beschikt over een groot aantal informatiesystemen, die steeds meer via internet benaderbaar zijn.

Het uitvoeren van penetratietesten (waarmee de veiligheid door onafhankelijke professionele partijen wordt getest) is staand beleid. In 2022 is een aanbesteding voorbereid om hiervoor een aantal vaste partijen te contracteren. De gunning vindt in 2023 plaats.

3.6 Specifieke aandachtspunten De belangrijkste geconstateerde verbeterpunten om het risico op onbevoegde toegang tot informatie en/of uitval van informatie­systemen te beperken zijn hieronder vermeld. Daarbij zijn de verbeteracties benoemd die hierop zijn of worden ingezet.

Onderwerp

Toelichting

Verbeteracties

BIO

Uit de BIO analyses en verbeterplannen blijkt dat veel beheersmaatregelen nog niet zijn ingericht / worden geborgd.

Uitvoeren verbeterplannen

Bewustzijn

Bewustwording wordt nog niet voldoende opgepakt. Trainingen zijn beschikbaar maar zijn door veel medewerkers nog niet gevolgd. Hierdoor bestaat de kans dat mede­werkers niet tijdig een incident herkennen of melden met als gevolg dat een incident ernstige schade aan de bedrijfs­ voering kan toebrengen.

Bewustwording prioriteren, trainingen verplichten

Autorisatiebeheer, IDU (in dienst / doorstroom / uitstroom) proces en IAM-voorziening

• Er is een standaardproces voor autorisatiebeheer opgesteld en vast­ gesteld. Review vindt nog niet plaats voor alle applicaties. • Het doorstroom/uit-dienstproces is kwetsbaar, waardoor mogelijk medewerkers teveel en/of te lang rechten houden waar dat niet nodig is. Hieraan wordt in de keten P&O, Facilitair, I-domein gewerkt. • Amsterdam kent nog teveel losse IAM-voorzieningen (IAM staat voor Identity & Access Management, de administratie van gebruikers en hun toegangsrechten op applicaties en systemen).

• Meer focus op autorisatiebeheer en IDU, in samenhang • Ontsluiten van alle Amsterdamse toepas­ singen, zodat een eenduidige en veilige toegangspoort aanwezig is. • Een nieuwe integrale IAM-voorziening wordt in 2023 geïmplementeerd.

Invoering nieuwe systemen

Nog steeds komt het voor dat nieuwe informatiesystemen worden geïmplementeerd zonder betrokkenheid van security officers en de verplichte beveiligingstesten.

Implementatie van informatiesystemen alleen na akkoord vanuit security

Inkoop

Bij inkoop worden niet altijd de juiste eisen voor informatiebeveiliging meegenomen en/of vindt validatie niet altijd plaats.

Actualiseren van de inkoopeisen; toepassen bij alle inkoopactiviteiten

Beheer van applicaties

Bij een aantal applicaties ligt het beheer bij de lijndirecties en nog niet bij het I-domein. Of de beheerafspraken daar afdoende zijn, is nog niet duidelijk. Dit kan gevolgen hebben voor het beveiligingsniveau.

Security betrekken bij het programma om het applicatielandschap op orde te brengen. Dit wordt in 2023 opgestart.

Zicht op de feite­lijke veiligheid van processen en systemen

De feitelijke status van de beveiliging van de belangrijkste processen en informatiesystemen is in een aantal gevallen niet in beeld. Daardoor kunnen eventuele probleempunten onopgemerkt blijven. Het in gebruik nemen van de GRC-applicatie helpt bij inzichtelijk krijgen en beheersen van risico’s (GRC staat voor Governance, Risk, Complance)

Jaarlijks vaststellen of de beveiliging van de belangrijkste processen en informatie­ systemen op orde is.

Veiligheid web­ applicaties

Sommige webapplicaties worden nog niet ontsloten met tweestapsverificatie. Om de Amsterdamse webdomeinen te saneren / op

Saneren en in beheer brengen webdomeinen

orde te brengen / in beheer te nemen wordt een project gestart.

11 | Rapportage informatiebeveiliging 2022

12 | Rapportage informatiebeveiliging 2022

Onderwerp

Toelichting

Verbeteracties

Versnippering ICT-landschap

Generieke voorzieningen worden nog te vrijblijvend ingezet. Eigenaarschap/ ondersteuning/aansluitvoorwaarden zijn niet altijd ingeregeld. Mede daardoor blijven organisaties eigen oplossingen gebruiken die mogelijk onveilig zijn. Belangrijke delen van onze ICT-infrastructuur (GGD, V&OR) worden nog niet beschermd door het Security Operations Center​.

Permanente aandacht voor het toepassen van generieke voorzieningen

Informatiebeveiliging bij strategische partners

In 2022 is de uitbesteding van de ICT-werkzaamheden (die een aantal jaren geleden is gestart) afgerond. Met de vier strategische partners zijn er afspraken over beveiligingseisen en assurance-rapportages, zodat Amsterdam jaarlijks kan vaststellen dat de beveiliging op orde is geweest. De regie hierop is nog niet op het juiste niveau. Met één van de partners zijn nog geen sluitende afspraken gemaakt over het beveiligingsniveau.

Versterken van de regie op strategische partners

Leveranciersbeheer

Als gevolg van onvoldoende toetsing of strategische partners, leveranciers en SAAS-dienstverleners onze eisen aan informatiebeveiliging naleven is er een verhoogde kans op een informatiebeveiligingsincident. Ook bij nieuw in gebruik genomen informatiesystemen ontbreken soms nog de afgesproken assurance-rapportages en is er onvoldoende duidelijkheid wie toezicht houdt. In 2022 zijn alle SaaS-toepassingen in beeld gebracht.

Toetsen of onze systemen voldoen aan de afgesproken eisen en uitvoeren acties om de samenwerking met en het conformeren aan dit beleid door de leveranciers te borgen.

Cloudplatform

In 2022 is de Amsterdamse cloudstrategie vastgesteld en is het cloud­

Migreren toepassingen naar het

platform opgeleverd. Hierop worden op een gestandaardiseerde wijze applicaties ontwikkeld en geïmplementeerd. Een specifiek cloud security framework en privacy security framework zijn ontwikkeld en vastgesteld, waarmee het Amsterdamse cloudplatform wordt beheerst. Nog niet alle daarvoor bedoelde toepassingen zijn gemigreerd naar het cloudplatform.

Amsterdamse cloudplatform

Eigen datacenter

Het verplaatsen van applicaties van het eigen datacenter naar een modern extern datacenter is in 2022 grotendeels afgerond. Er is één uitzondering, te weten de applicaties voor Erfpacht. Voor de vervanging van deze applicaties loopt een traject tot 2024. Er zijn uitwijkmaatregelen getroffen voor de continuïteit bij calamiteiten in dit datacenter.

Het datacenter zal in de loop van 2023 worden gesloten; voor Erfpacht wordt een tijdelijke oplossing ingericht.

Webdomeinen

De webdomeinen van de gemeente Amsterdam zijn nog steeds nog onvoldoende in beheer. Deze domeinen voldoen voor een groot deel nog niet aan de daarvoor geldende verplichte standaarden.

In 2023 daadwerkelijk stappen zetten om dit op orde te brengen.

3.7 Organisatie van de informatiebeveiliging Opgavegericht en Wendbaar Werken In 2022 is gestart met het opgavegericht en wendbaar werken, waarin met multidisciplinaire teams wordt gewerkt om veranderingen door te voeren. Dit biedt kansen maar ook risico's. Het is van belang om ervoor te waken dat kwaliteitsaspecten zoals informatiebeveiliging niet ondersneeuwen onder functionele wensen bij het toekennen van prioriteiten in de belangenafweging die lijndirecties en opgaveteams maken. Medio 2022 is het I-domein binnen de gemeentelijke organisatie gereorganiseerd. Daarbij zijn voor meerdere vakgebieden beleid, coördinatie en uitvoering bij elkaar gebracht en is het inzicht en de sturing op deze gebieden verbeterd op het niveau van directie, cluster en concern. De positie van toezichthouders, zoals de Chief Information Security Officer, die toezicht houdt op de informatiebeveiliging, is momenteel onderwerp van discussie binnen het I-domein.

13 | Rapportage informatiebeveiliging 2022

In 2022 is gestart om beheersmaatregelen op het gebied van informatiebeveiliging in lijn met het stedelijk risicomanagement van de gemeente in te richten. Organisatieonderdelen gaan vanaf 2023 ook over hun informatiebeveiligingsrisico’s rapporteren via het stedelijke risicomanagementsysteem en de P&C-cyclus. Naleving van wet- en regelgeving en beheersing van risico’s worden dan op één centrale plek bijgehouden. Landelijke samenwerking Amsterdam wil als hoofdstad van Nederland een rol spelen bij het verbeteren van de informatieveiligheid van de Nederlandse Overheid. Daarom wordt actief informatie uitgewisseld met de G4-gemeenten, gemeenten in onze veiligheidsregio en daarbuiten, VNG / Informatie­ beveiligingsdienst en met het ministerie van Binnenlandse Zaken en Koninkrijksrelaties en de CISO Rijksoverheid. Daarbij neemt Amsterdam actief deel aan het professionaliseren van het verant­ woordings- en toetsingsinstrumentarium voor de overheid.

4

Verdieping

4

Verdieping 4.1 Incidenten en kwetsbaarheden

4.1.2 Kwetsbaarheden

4.1.1 Incidenten

Leveranciers van hardware en software melden regelmatig kwets­ baarheden, die er mogelijk toe kunnen leiden dat systemen niet voldoende veilig zijn. Het aantal meldingen van kwetsbaarheden neemt de laatste jaren steeds verder toe.

Het is niet mogelijk om incidenten op het gebied van informatie­ beveiliging te voorkomen. De IT-wereld is continu in beweging en vrijwel dagelijks worden lekken in software ontdekt. Er zullen zich altijd op enig moment incidenten voordoen waarvan we vervolgens kunnen leren. Informatiebeveiligingsincidenten worden centraal geregistreerd, geanalyseerd en afgehandeld. Incidenten krijgen de classificatie laag, midden of hoog. Datalekken worden apart geregistreerd en gerapporteerd via de jaarrapportage van de Functionaris Gegevensbescherming. In 2023 zal het proces voor het melden, registreren en rapporteren van incidenten worden geactualiseerd.

Eventuele updates voor de andere IBD-meldingen zijn meegenomen in het reguliere onderhoudsschema.

Aantallen incidenten 2022: Oorzaak/classificatie

Laag

Midden

Hoog

Totaal

Menselijk handelen – bewust*

32

2

–

34

Menselijk handelen – onbewust**

215

1

–

216

ICT***

7

–

4

11

Totaal

254

3

4

261

Verklaring voor deze cijfers: ***Deze aantallen zijn voornamelijk te verklaren door diefstal van telefoons. ***In maart/april was een enorme toename van meldingen over phishing-achtige activiteiten, niet alleen per e-mail, maar ook via telefoon (WhatsApp, sms, etc.). Positief is dat collega’s daar alert op zijn en het melden. ***De vier meldingen in categorie Hoog van ICT betreffen uitval van systemen.

15 | Rapportage informatiebeveiliging 2022

Amsterdam ontvangt van de Informatiebeveiligingsdienst voor gemeenten (IBD) vrijwel dagelijks informatie over mogelijke kwets­ baarheden in software. Deze worden op basis van risico en impact afgehandeld (doorgaans door het updaten van de betreffende software). In 2022 was er sprake van 24 H/H meldingen (H/H= hoge kans, hoge impact), die allemaal binnen de normtijden zijn afgehandeld.

4.1.3 Meldpunt voor ethisch hackers Amsterdam heeft in november 2022 een eigen meldpunt voor ethisch hackers op www.amsterdam.nl ingesteld. De bedoeling daarvan is dat ethische hackers (hackers zonder kwade bedoelingen) een mogelijkheid hebben om gericht meldingen te doen over mogelijke kwetsbaarheden in de beveiliging van Amsterdamse systemen. Wij zien dit als een mooie aanvulling op wat de gemeente zelf al doet om de veiligheid van de informatiesystemen te toetsen en te waarborgen. Hackers die een geldige melding doen ontvangen een kleine attentie

en indien gewenst een vermelding in de digitale ‘Hall of Fame’ van de informatiebeveiligingsdienst voor gemeenten. In 2022 zijn 12 meldingen van kwetsbaarheden via dit meldpunt verholpen. De meldingen komen van ethisch hackers over de hele wereld. Daarmee is het nut van deze voorziening direct bewezen. De gemeenteraad is onlangs ook via een aparte brief geïnformeerd over deze meldingen.

4.3 Beveiliging online dienstverlening

2022 Classificatie

Laag

Midden

Hoog

Kritiek

Aantal

4

6

1

1

De rijksoverheid en het Forum voor Standaardisatie hanteren zogenaamde verplichte Open Standaarden voor internet, die bijdragen aan een effectieve beveiliging. Uit de meest recente meting blijkt dat www.amsterdam.nl voldoet aan 97% van deze standaarden. Dat is aanzienlijk hoger dan de gemiddelde overheidsorganisatie.

4.2 ENSIA Via de ENSIA-methodiek (ENSIA staat voor Eenduidige Normatiek Single Information Audit) wordt over de kwaliteit en veiligheid van verschillende informatiestelsels verantwoording afgelegd aan de gemeenteraad en aan de diverse landelijk toezichthouders. De ENSIA-rapportages zijn in april 2023 in het college vastgesteld en worden vervolgens aangeboden aan de gemeenteraad en aan de landelijk toezichthouders.

De toenemende digitalisering leidt ertoe dat steeds meer informatie van de gemeente Amsterdam via internet wordt aangeboden en dat onze dienstverlening online plaatsvindt. Beveiliging van deze digitale informatievoorziening is cruciaal, omdat het vertrouwen van burgers, bedrijven en onze eigen organisatie hierop is gebaseerd.

Amsterdam beschikt naast www.amsterdam.nl over een groot aantal andere webdomeinen, die in het verleden door de afzonderlijke organisatieonderdelen zijn opgezet en ingericht. Een deel van deze domeinen is niet in beheer en voldoet niet aan de beveiligings­ standaarden. In 2022 is een projectaanpak opgezet dat tot doel heeft om het webdomeinen-landschap te saneren: niet meer in gebruik zijnde domeinen worden uitgezet, alle door Amsterdam ingerichte webdomeinen worden in beheer genomen en gaan voldoen aan de geldende standaarden. De beveiliging van email scoort in bovengenoemde meting 96%. Deze score is significant verbeterd ten opzichte van voorgaande jaren. De bescherming tegen phishing-mails is nog niet op orde; hieraan wordt eveneens gewerkt.

16 | Rapportage informatiebeveiliging 2022

4.4 DigiD

4.5 Industriële automatisering

Via de landelijke voorziening DigiD wordt de toegang door burgers tot de digitale dienstverlening van de gemeente geregeld. De informatiesystemen die gebruik maken van DigiD worden zoveel mogelijk achter het centrale DigiD-portaal ‘Mijn Amsterdam’ geplaatst. Het aantal ‘losse’ aansluitingen op de DigiD-voorziening is hierdoor verminderd.

Amsterdam maakt op meerdere plekken gebruik van industriële automatisering. Het eigenaarschap hiervan ligt grotendeels bij de afzonderlijke directies en niet bij het I-domein. Ondanks eerder uitgevoerde inventarisaties ontbreekt nog de focus op deze systemen. Gezien de karakteristieken en risico’s van de betreffende informatie­ systemen is aandacht voor de beveiliging van de industriële automatisering essentieel.

Aansluiting

Toepassing

Resultaat

GGD Ouderportaal Amsterdam

Ouders kunnen via het ouderportaal online afspraken maken en het cliëntdossier van hun kind inzien.

Voldoet

GGD Ouderportaal Amstelland

Ouders kunnen via het ouderportaal online afspraken maken en het cliëntdossier van hun kind inzien.

Voldoet

Mijn Amsterdam

Dit portaal fungeert als toegangsmakelaar tot diverse digitale dienstverlening van de gemeente Amsterdam

Voldoet niet*

*Meerdere informatiesystemen die op dit portaal zijn aangesloten voldoen op onderdelen nog niet aan de eisen. Het betreft vooral het aantoonbaar vastleggen en procedureel beheersen van beveiligingsmaatregelen met leveranciers. Hierop zijn verbeteracties van toepassing, die binnen de door de landelijk toezichthouder Logius gestelde termijnen moeten zijn opgelost.

17 | Rapportage informatiebeveiliging 2022

5

Vooruitblik

5

Vooruitblik Informatiebeveiliging is nooit ‘af’. Onze organisatie, het informatie­ landschap, de risico’s en dreigingen blijven zich ontwikkelen. Onze uitdaging is en blijft om daar steeds weer op te anticiperen en de juiste stappen te zetten.

5.1 Nieuwe wet- en regelgeving Wet Digitale Overheid - BIO verankerd Vanuit de rijksoverheid is het streven om informatieveiligheid bij de overheid een wettelijke basis te geven. De BIO bevat een grote hoeveelheid beveiligingsdoelen waarvoor passende maatregelen moeten worden gekozen, samen met een verplichte set aan basismaatregelen. Risicomanagement en proportionaliteit zijn bij al deze regelgeving de uitgangspunten. Door het wettelijk verplichten van de BIO in de Wet Digitale Overheid is er geen sprake meer van enige vrijblijvendheid. Vanuit de Rijksoverheid zullen aan medeoverheden vanuit verschillende bronnen informatiebeveiligingseisen worden gesteld. Naar verwachting zal de wettelijke verplichting in 2024 van kracht worden. In Amsterdam loopt het meerjarige BIO-programma. We streven ernaar om de implementatie hiervan vóór 2024 op orde te hebben. Europese richtlijn NIS2 Eind 2022 is in het Europees Parlement overeenstemming bereikt over de tweede Network Information Security-directive (NIS2). De NIS2 moet omgezet worden in nationale wetgeving. Het ministerie van BZK

19 | Rapportage informatiebeveiliging 2022

verkent op dit moment wat de scope precies wordt en hoe de wet wordt ingericht ten aanzien van meldplicht, zorgplicht, toezicht, mogelijke boetes en persoonlijke aansprakelijkheid. Op dit moment ligt de vraag voor of gemeenten onder de nieuwe wet als vitaal, essentieel of belangrijk worden aangemerkt, wat dat betekent en hoe zich dat verhoudt tot ketenpartners en leveranciers. Dit betekent mogelijk een verzwaring van de beveiligingseisen voor, en het toezicht op gemeenten. Amsterdam neemt deel aan de klankbordgroep gemeenten over de impact van deze wetgeving. Nederlandse Cybersecuritystrategie 2022-2028 Onder verantwoordelijkheid van de Nationaal Coördinator Terrorismebestrijding en Veiligheid (NCTV) is in 2022 de Nederlandse Cybersecuritystrategie (NLCS) tot stand gekomen. De NLCS kent vier pijlers: • Verbeteren van de digitale weerbaarheid van overheid, bedrijven en maatschappelijke organisaties • Veilige en innovatieve digitale producten en diensten • Tegengaan van digitale dreigingen van staten en criminelen • Cybersecurity-arbeidsmarkt, onderwijs en digitale weerbaarheid van burgers Eind 2022 is een ‘Bestuurlijk convenant digitale veiligheid gemeenten’ afgesproken tussen Rijksoverheid en de VNG. Doel hiervan is om de NLCS concreet te gaan vertalen richting de gemeenten. In 2023 wordt dit verder uitgewerkt. De G4-gemeenten zitten daarbij aan tafel.

Cyber Resilience Act De EU komt in 2023 met een nieuwe Cyber Resilience Act. Deze regelgeving richt zich vooral op het certificeren van producten en diensten, zodat burgers en organisaties kunnen vertrouwen op de veiligheid ervan. In Nederland is het ministerie van Economische Zaken bezig met de uitwerking hiervan. Voor organisaties wordt het daarmee op termijn eenvoudiger om veilige producten en diensten in te kopen. Dit heeft vooral een impact op de langere termijn.

5.2 Speerpunten voor 2023 De speerpunten op het gebied van informatiebeveiliging voor 2023 zijn: Inhoudelijk • Oppakken van de risico’s die in deze rapportage zijn benoemd. • Voortzetting van de BIO-implementatie; doorvoeren van de verbeterplannen per directie. • Start van het project webdomeinen. • Afronden van projecten die gericht zijn op de nieuwe werkplek, waaronder een nieuwe IAM- voorziening. • Uitwerken en uitvoeren van de aanpak van Business Continuity Management. • Inrichten van crisismanagement I-domein en organiseren van crisisoefeningen.

20 | Rapportage informatiebeveiliging 2022

Organisatie • Afronding van de reorganisatie I-domein, bestendigen van de positie en rol van de CISO. • Uitwerken en verankeren van het werken in opgaven. • Herzien van het proces rond informatiebeveiligingsincidenten. • Verbeteren van grip op externe leveranciers en beheerpartijen. (Inkoop, audits, verantwoordingsrapportages etc.). • Inrichten nieuwe dienstverlening van het SOC. Sturing • Afronden inrichting van de GRC-tool (Governance, Risk, Compliance). • Sturing op informatiebeveiliging via Kritische Prestatie Indicatoren (KPI’s) en Objectives & Key Results (OKR’s), als onderdeel van een bredere set. Extern • Inrichting en verankering ecosysteem digitale veiligheid (convenant met gemeenten en partners). • Acties richting verbonden partijen.

Bronnen Cybersecuritybeeld Nederland, 2022 https://www.nctv.nl/onderwerpen/cybersecuritybeeld-nederland Nederlandse Cybersecuritystrategie (NLCS) https://www.nctv.nl/onderwerpen/nederlandse-cybersecuritystrateg ie-2022-2028 Wet Digitale Overheid https://www.digitaleoverheid.nl/overzicht-van-alle-onderwerpen/ wetgeving/wet-digitale-overheid/wet-digitale-overheid-in-het-kort/ Baseline Informatiebeveiliging Overheid https://www.digitaleoverheid.nl/overzicht-van-alle-onderwerpen/ cybersecurity/kaders-voor-cybersecurity/baselineinformatiebeveiliging-overheid/

21 | Rapportage informatiebeveiliging 2022

NIS2 https://www.rijksoverheid.nl/actueel/nieuws/2022/07/22/nieuweeuropese-richtlijn-moet-veiligheid-verhogen Cyber Resilience Act https://open.overheid.nl/documenten/ronl-3f800b4a35a8c2684d7337 c14231b1e7441abfa8/pdf Dreigingsbeeld informatiebeveiliging Nederlandse gemeenten (IBD) https://www.informatiebeveiligingsdienst.nl/wp-content/ uploads/2022/10/IBD_dreigingsbeeld_2023-2024_DEF-versie.pdf Resolutie Digitale Veiligheid: kerntaak voor gemeenten, 12 februari 2021: https://vng.nl/sites/default/files/2021-01/08_resolutie_digitale_ veiligheid.pdf