220525 Evaluatie Log4J (407031)

inlichtingen bij

doorkiesnummer

Daan van der Weele

Aan de raadsleden en steunfractieleden van de gemeente Baarn

0651292747

uw kenmerk ons kenmerk

datum portefeuillehouder(s) onderwerp

400257 / 407031

25 mei 2022 Wethouder Prakke Evaluatie Log4j

Geachte leden van de raad en steunfractieleden,

Vrijdag 10 december 2021 werden we door de IBD geïnformeerd over een ernstige kwetsbaarheid in Apache Log4j. Gezien de omvang en het gemak waarmee hackers er gebruik van kunnen maken, werd de situatie door de IBD en NCSC aangemerkt als het grootste risico van de afgelopen 10 jaar. Deze informatie is adequaat opgepakt en er is direct begonnen met inzet op het verminderen van de risico’s als gevolg van deze kwetsbaarheid. We hebben de raad hierover op26 januari 2022 door middel van een raadsinformatiebrief geïnformeerd. In onze organisaties is daarom (samen met de RID) de afgelopen periode hard gewerkt aan het vergaren van de benodigde informatie. Het gaat hierbij om informatie over servers, ruim 1.000 applicaties en een onbekend aantal websites. Om coördinatie, sturing en grip te krijgen op het geheel en omdat er geen regionaal crisisplan bestond is op ad-hoc basis een crisisorganisatie en een team bij de RID ingericht bestaande uit het kernteam van ICT-regisseurs en, vanwege de hierdoor ontstane risico’s voor de dienstverlening aan de burger, een ambtelijk/bestuurlijk driehoeksoverleg. Op 16 februari waren er geen applicaties meer in onderzoek en tevens geen applicaties meer waarvan de kwetsbaarheid Kritiek was.

Daarop is besloten het beheer, updaten, mitigeren, van applicaties met een kwetsbaarheid die als hoog, middel, of laag is gekwalificeerd, over te dragen aan de staande organisatie, de crisisorganisatie op te heffen, een compliment uit te laten gaan naar alle betrokkenen, en het gehele proces te evalueren. In de evaluatie is onder meer aandacht besteed aan de inzet van de crisisorganisatie zelf, de communicatie zowel in de organisatie, naar de Raden, met en naar de bestuurders, en daarbij onder meer aandacht voor het proces, hulpmiddelen/resources, het gebruikte model, de structuur, de documentatie en rapportage Stationsweg 18 Postbus 1003 3740 BA Baarn t (035) 548 16 11 e gemeente@baarn.nl I Voor ons privacybeleid zie www.baarn.nl Bank Nederlandse Gemeenten NL28BNGH0285000594. Bij beantwoording graag datum en kenmerk brief vermelden

De evaluatie is uitgevoerd door het Kernteam Log4J als vertegenwoordiger van de aangesloten organisaties is uitgevoerd met input van omgeving zoals de applicatiebeheerders, wethouders, en anderen.

Overall vallen onder meer de volgende positieve punten op: • De juiste mensen waren snel en goed bij elkaar, de samenwerking was goed, de interne medewerkers en de FAB’ers waren zeer behulpzaam, actiebereidheid en beschikbaarheid waren goed. • Goede afstemming op bestuursniveau en informatievoorziening richting raadsleden • Het gebruik van de juiste tools (Teams, softwarecatalogus, model) was effectief • Het overzicht aan applicaties van de deelnemende organisaties is nu RID-breed actueel Daarnaast is er veel geleerd en is het aan te bevelen om zowel procesmatig als inhoudelijk eerder in control te zijn. Daarvoor zijn onder meer de volgende aanbevelingen naar voren gekomen: • Zorg voor een regionaal Crisisplan, neem daarin een ambtelijk driehoeksoverleg op, ter voorbereiding op de bestuurlijke vraagstukken in een bestuurlijk overleg, en laat dit vaststellen door het DB van de RID, door de colleges van de gemeentes organisaties, en door het bestuur van de RSD. Hiermee wordt direct vanaf de start gezorgd voor maximale helderheid, structuur, besluitvorming, en afgebakende doelen in de crisis-organisatie.

• Richt het aanschafproces van applicaties goed in, inclusief beslislijn en regionale beoordeling, Gebruik het nu actuele RID-brede overzicht aan applicaties actief, zorg dat dit hiermee up-todate blijft, en gebruik dit ook als handvat voor de uitvoering van het harmonisatie convenant. • Vergroot de aandacht voor het wegwerken van legacy en intensiveer het patch management zodat alle applicaties ‘bij’ zijn • Zorg voor verdere professionalisering, en duurzaam continueren, van technisch en functioneel beheer, vooral voor de niet-kern applicaties Deze punten zijn verwerkt in de RID begroting 2023 welke in mei 2023 in de Raad wordt behandeld en in de AB-RID vergadering van juli 2023 wordt vastgesteld. Met vriendelijke groet, burgemeester en wethouders van Baarn,

drs. C.E. Creveld gemeentesecretaris Stationsweg 18 Postbus 1003 3740 BA Baarn t (035) 548 16 11 e gemeente@baarn.nl I Voor ons privacybeleid zie www.baarn.nl Bank Nederlandse Gemeenten NL28BNGH0285000594. Bij beantwoording graag datum en kenmerk brief vermelden

M.A. Röell burgemeester

Stationsweg 18 Postbus 1003 3740 BA Baarn t (035) 548 16 11 e gemeente@baarn.nl I Voor ons privacybeleid zie www.baarn.nl Bank Nederlandse Gemeenten NL28BNGH0285000594. Bij beantwoording graag datum en kenmerk brief vermelden