220126 Stand van zaken Log4J (351350)

inlichtingen bij

doorkiesnummer

Daan van der Weele

Aan de raadsleden en steunfractieleden van de gemeente Baarn

0651292747

uw kenmerk ons kenmerk

346110 / 351350

datum

26 januari 2022

portefeuillehouder(s) onderwerp

Wethouder Prakke Tussenrapportage Log4J

Geachte leden van de raad en steunfractieleden,

In navolging van de informatie die wij op 17 december jl. aan u hebben verstrekt, ontvangt u hierbij de laatste stand van zaken over de kwetsbaarheid in Log4j. Aanleiding Vrijdag 10 december 2021 werden we door de IBD geïnformeerd over een ernstige kwetsbaarheid in Apache Log4j. Deze software vindt men wereldwijd terug in systemen, ook bij gemeenten; van kernapplicaties als Key2Burgerzaken tot in webformulieren met een invulveld. Gezien de omvang en het gemak waarmee hackers er gebruik van kunnen maken, werd de situatie door de IBD en NCSC aangemerkt als het grootste risico van de afgelopen 10 jaar. Deze informatie is adequaat opgepakt en er is direct begonnen met inzet op het verminderen van de kwetsbaarheid. In control komen en kwetsbaarheid verminderen Door het Information Security Team (IST) is aan het begin van de crisis een definitie opgesteld wat de criteria zijn is om in control te komen; weten wat je in huis hebt én weten wat de status is op het gebied van Log4j. In uw organisaties wordt daarom (samen met de RID) al 6 weken hard gewerkt aan het vergaren van de benodigde informatie. Het gaat hierbij om informatie over servers, ruim 1.000 applicaties en een onbekend aantal websites. Voor informatie over applicaties zijn we bovendien meestal afhankelijk van leveranciers. Vanaf het begin is aangegeven dat volledigheid van de informatielijst een utopie is.

Neemt niet weg dat we inmiddels zo dicht mogelijk tegen een haalbare volledigheid aan zitten als mogelijk. Inmiddels is bovendien van 85% van de ruim 1.000 applicaties bekend of ze kwetsbaar zijn of niet en welke maatregelen nodig zijn. Alle benodigde patches zijn inmiddels gedaan of ingepland. Positieve bijvangst van de inventarisatie is een actuele en complete softwarecatalogus over alle organisaties heen.

1

Door de RID wordt nog steeds op dagelijkse basis een scan uitgevoerd om de risico’s in kaart te brengen van Log4j en andere kwetsbaarheden met hetzelfde risiconiveau. Naast de bevindingen over Log4j, heeft deze scan dus ook resultaten opgeleverd over andere kwetsbaarheden. Door de RID-scan is helder geworden dat in enkele verouderde, niet langer onderhouden applicaties zeer veel kwetsbaarheden op het hoogste niveau zitten. Deze zijn met prioriteit beoordeeld. Alles onder een afgesproken risiconorm valt onder regulier patchbeleid, alles daarboven vraagt door de hogere prioriteit om een andere benadering. Extra inzet door Log4j-crisis Het gegeven dat er tot dusver geen verdachte activiteiten zijn waargenomen, geeft geen garanties op veiligheid. De inzet blijft daarmee volledig gericht op het in control komen en verminderen van de kwetsbaarheden. Ten gevolge van de Log4j crisis is de capaciteit in de 2e lijn bij de RID al weken afgeschaald naar 50%. En ook bij onze organisaties is de reguliere dienstverlening onder druk komen staan. Voor het beheren en onderhouden van de overzichtslijst is daarom extra inzet geregeld. Problemen en kansen De crisis rondom Log4j brengt problemen maar ook kansen met zich mee, zowel op technisch als op functioneel gebied. Dat biedt mogelijkheden voor meer samenwerken en harmoniseren.

Deze ingezette samenwerkingslijn willen we uiteraard naar de toekomst borgen. Daarom wordt binnen RID-verband gekeken naar de mogelijkheden hiertoe en de eventuele financiële consequenties hiervan. Dringend advies aan iedereen: pas op met makkelijke wachtwoorden Ook de komende periode blijft het dringende advies aan iedereen om alle apparaten en apps (zakelijk én privé) zo vaak mogelijk te updaten, geen nieuwe privé-apps op zakelijke apparaten te downloaden en niet op verdachte linkjes in de mail te klikken. Gezien de bevindingen uit de dagelijkse scans raden we daarnaast met klem aan om eens goed naar uw eigen wachtwoorden te kijken. Zijn ze lastig te hacken of nog steeds te makkelijk? In teveel gevallen blijkt dit één van de meest kwetsbare onderdelen. Meer informatie We houden u op de hoogte van de stand van zaken. Mocht de situatie daarom vragen, informeren wij u uiteraard tussendoor.

2

Met vriendelijke groet, burgemeester en wethouders van Baarn,

drs. C.E. Creveld gemeentesecretaris

M.A. Röell burgemeester

3