3.13-Raadsinformatiebrief digitale kwetsbaarheid systemen door zwakheid in Java software

RAADSINFORMATIEBRIEF -------------------------------------------------------------------------------------------------------------------------------------Aan

De gemeenteraad van de Gemeente Baarle-Nassau

Van

Het college van burgemeester en wethouders

Portefeuillehouder

Burgemeester de Hoon, Wethouder van Tilborg

Onderwerp

digitale kwetsbaarheid systemen door zwakheid in Java software

Datum collegevergadering

24 december 2021

Behandelend medewerker

Pierre Kop

Zaaknummer

368421

RIB-Nummer

-------------------------------------------------------------------------------------------------------------------------------------Geachte Raad, Inleiding Op 10 december berichtte de IBD (Informatiebeveiligingsdienst) gerelateerd aan de VNG en het Nationaal Cyber Security Centrum (NCSC) dat er sprake is van een zwakke plek in software. Deze zwakke plek, Log4j genaamd, wordt wereldwijd in veel applicaties gebruikt. Als het Log4j aanwezig is in een applicatie bestaat de kans dat hackers gemakkelijk toegang kunnen krijgen tot systemen. Inmiddels is volgens de IBD de kans op een hackaanval nog verder toegenomen – vooral rond de feestdagen – zodanig dat stevige maatregelen dringend worden geadviseerd. In deze brief leest u wat er aan de hand is, welke risico’s er zijn en welke maatregelen we hebben genomen en nog gaan nemen. Wat is er aan de hand? Wereldwijd: log4j is onderdeel van zo veel verschillende applicaties, systemen en apparaten dat vrijwel iedere gemeente hiermee te maken heeft. De IBD benadrukt dat dit een wereldwijd probleem is, dat speelt in elke sector en in elke organisatie met een ICT-omgeving van enig formaat. Log4j zit verweven in veel applicaties: het is voor ons lastig om erachter te komen waar log4j een rol in speelt.

Het kan in grote applicaties zitten die wij gebruiken, maar het kan ook in ‘slimme’ apparaten zitten, bijvoorbeeld slimme verkeerslichten of straatlantaarns. Applicaties zijn met een ingewikkelde structuur met elkaar verweven. Soms gebruikt in heel belangrijke systemen: log4j kan onderdeel zijn van systemen voor bijvoorbeeld thuiswerken en applicaties voor primaire processen bijvoorbeeld het systeem voor burgerzaken.

Afhankelijk van leveranciers: voor het oplossen van de zwakke plek zijn wij afhankelijk van leveranciers omdat zij updates voor hun software moeten aanleveren. Ook voor leveranciers is het lastig om de zwakke plek in hun software te vinden. Welk risico lopen wij? Via deze zwakke plek kunnen internetcriminelen onze computernetwerken binnenkomen en misbruiken, kwaadaardige software installeren en/of gegevens stelen. Het concrete risico is onder andere dat systemen volledig platgelegd worden en losgeld geëist wordt. Wat is de meest veilige optie? We hebben geen garanties dat onze systemen niet geraakt zijn of worden. Geen enkele (ICT) organisatie kan 100% veiligheid bieden. De enige optie voor 100% veilig is alles uitzetten. Dat betekent dat geen enkele dienstverlening naar inwoners en bedrijven mogelijk is. Maar ook dat interne bedrijfsvoering bijna niet mogelijk is. Dat levert aan de andere kant weer onveilige situaties op bijvoorbeeld voor de openbare orde. Je kunt dan niet bij gegevens die noodzakelijk zijn. Daarom is niet voor deze optie gekozen. Wat gaan we doen en hebben we al gedaan? We hebben al veel maatregelen genomen die de risico’s zo veel mogelijk verkleinen. De maatregelen die we nog gaan nemen zijn daar ook op gericht. Deze maatregelen zijn gebaseerd op adviezen van de IBD. Ook hebben we hierover nauw overleg met de grote gemeenten zoals Breda en Tilburg.

Wat als het toch misgaat? Wanneer het toch misgaat omdat er bijvoorbeeld iemand misbruik maakt van onze systemen dan hebben we diverse procedures. Die procedures vertellen ons hoe we in een specifieke situatie moeten handelen. Tot slot We hebben geen garanties dat onze systemen niet geraakt zijn of worden, zoals gezegd kan geen enkele organisatie die garantie geven over zijn systemen. Cybercriminaliteit is inmiddels de meest lucratieve criminaliteit. Dat betekent dat we alert blijven en snel en wendbaar moet zijn en blijven in de aanpak. Als de adviezen vanuit de IBD/NSCS of de situatie erom vraagt om op te schalen, dan handelen wij daar direct naar.