Document · PDF

7197330 Bijlage Rapportage IT-audit 2021 BAR DEFINITIEF.pdf

commissie Planning en Control 15 mei 2023, gemeente BarendrechtBij agendapunt: Zienswijze conceptjaarstukken 2022 gemeenschappelijke regeling BAR-organisatie5.805 woorden

Open het PDF bij de gemeente ↗Naar de vergadering →

Tekst van het document

Uit het bestand gehaald, zonder opmaak, tabellen en afbeeldingen

Gemeenschappelijke Regeling BAR-organisatie Rapportage IT-audit 2021 31 januari 2022

Inhoudsopgave 1 – Managementsamenvatting

2 – Overzicht met bevindingen

Contact Voor vragen over dit plan van aanpak kunt u contact opnemen met:

Rein-Aart van Vugt Partner, Audit & Assurance Deloitte Accountants B.V. Phone: +31 (0)6 1100 2352 RvanVugt@deloitte.nl

Danny Graus Director, Risk Advisory Deloitte Risk Advisory B.V. Phone: +31 (0)6 5311 9327 DGraus@deloitte.nl

Aan: de gemeenschappelijke regeling BAR-organisatie

Geachte heer Kool,

T.a.v. de heer Eric Roels Postbus 501 2990 EA BARENDRECHT

In het kader van de jaarrekeningcontrole over het boekjaar 2021 heeft Deloitte IT-audit werkzaamheden uitgevoerd bij de gemeenschappelijke regeling BAR-organisatie.

Van: Rein-Aart van Vugt Deloitte Accountants B.V. Phone: +31 (0)6 1100 2352 RvanVugt@deloitte.nl

In deze rapportage die wij in het kader van de jaarrekeningcontrole uitbrengen, leest u onze observaties ten aanzien van de opzet, het bestaan en de werking van de General IT Controls (GITCs) van de applicatie Key2Financiën inclusief de onderliggende IT-infrastructuur. Wij hebben daarbij uitsluitend die maatregelen getest die relevant zijn in het kader van de jaarrekeningcontrole en wij rapporteren hierbij uitsluitend de daarbij geconstateerde observaties. De werkzaamheden, alsmede deze rapportage met observaties, zijn besproken en afgestemd met de BAR-organisatie.

Verspreiding Deze rapportage is bedoeld voor intern gebruik door de BAR-organisatie. Zonder uitdrukkelijke en voorafgaande schriftelijke toestemming van Deloitte is het niet toegestaan deze rapportage, dan wel delen daaruit, te gebruiken voor andere doeleinden dan overeengekomen, aan derden te verspreiden of openbaar te maken, aan de rapportage te refereren of uit de rapportage te citeren. Graag willen wij hier onze waardering en dank uitspreken voor de medewerking die aan ons is verleend gedurende onze werkzaamheden. Mocht u naar aanleiding van deze rapportage nog vragen en/of opmerkingen hebben, neemt u dan s.v.p. contact op met ondergetekende. Met vriendelijke groet, Deloitte Accountants B.V. Rein-Aart van Vugt Partner

Sectie 1 – Managementsamenvatting

1.1 Introductie en scope IT-audit 2021

Scope

In het kader van het jaarrekeningcontroletraject van 2021 is een audit verricht op de IT-beheersmaatregelen bij de BAR-organisatie. De betrouwbaarheid van de informatievoorziening in de geautomatiseerde omgeving van de BAR-organisatie is mede afhankelijk van een goed werkend stelsel van algemene IT-beheersmaatregelen. De IT-audit 2021 heeft zich gericht op de volgende IT-elementen: Applicatie

Database

Operating system

Netwerk

Key2Financiën

Oracle Database 12

Windows Server 2012 Windows Active Directory

Deloitte heeft IT-auditwerkzaamheden verricht omtrent de opzet, het bestaan en de werking van de General IT Controls (“GITCs”) binnen de IT-omgeving van de BARorganisatie. In onze beoordeling van de GITCs hebben wij beheersmaatregelen binnen de volgende 3 deelgebieden getoetst: •

Toegangsbeheersing: beheersmaatregelen die verzekeren dat enkel geautoriseerde personen toegang hebben tot de IT-systemen, en enkel voor zover dat benodigd is uit hoofde van de functie.

•

Wijzigingsbeheer: beheersmaatregelen die verzekeren dat enkel geautoriseerde wijzigingen worden doorgevoerd en dat deze wijzigingen op een adequate wijze zijn getest voordat ze naar productie worden gebracht.

•

Datacenter en netwerkoperaties: beheersmaatregelen die verzekeren dat geautomatiseerde gegevensverwerking en opslag op betrouwbare wijze plaatsvindt.

Voor de geselecteerde generieke IT-controles hebben wij de opzet, het bestaan en de werking over het eerste en tweede kwartaal van 2021 getest: Type

Description

Opzet

Beschrijving van de wijze waarop de algemene ICT-beheersmaatregelen dienen te werken.

Bestaan

De algemene ICT-beheersmaatregelen die daadwerkelijk in de praktijk zijn geïmplementeerd op een bepaald testmoment.

Werking

De algemene ICT-beheersmaatregelen die daadwerkelijk in de praktijk zijn geïmplementeerd voor een bepaalde periode.

1.1 Introductie en scope IT-audit 2021

Aanpak Onze contactpersonen gedurende de IT-auditwerkzaamheden waren Monique Blijenburg en Johan Verschoor. Bij de IT-auditwerkzaamheden is beoordeeld of de geselecteerde beheersmaatregelen in voldoende mate de risico’s adresseren die een impact hebben op de betrouwbaarheid van de financiële gegevensverwerking. Wij hebben daarbij uitsluitend die beheersmaatregelen bekeken die relevant zijn in het kader van de jaarrekeningcontrole en wij rapporteren hierbij uitsluitend de daarbij geconstateerde bevindingen. In het kader van het onderzoek is gesproken met de volgende personen: • Yvonne de Hay (Applicatiebeheerder Key2Financiën, BAR-organisatie) • Monique Blijenburg (Allround adviseur - Concerncontrol, BAR-organisatie) • Martin van de Heuvel (Technisch IT-consultant, BAR-organisatie) • Gerard Jiskoot (Oracle-beheerder, BAR-organisatie) • Tiemen Verhoeks (Teamleider - Informatiebeheer, BAR-organisatie) • Johan Verschoor (Teamleider operatie en diensten, BAR-organisatie) • Robert de Winter (Teamleider ICT Services, BAR-organisatie) • Martin Haaksema (Senior ICT-adviseur/architect, BAR-organisatie) Het onderzoek is verricht door de volgende medewerkers van Deloitte: • Jonathan Santifort (Manager (IT) Audit, Deloitte) • Mike van Erp (Senior Consultant (IT) Audit, Deloitte) • David van der Kleij (Consultant (IT) Audit, Deloitte) • Wessel Bootsma (Consultant (IT) Audit, Deloitte)

1.2 IT-management samenvatting IT-audit 2021

Totaal 14 observaties die zijn verdeeld in (impact):

22% 57%

Conclusie Bij onze controle hebben wij de opzet, het bestaan en de werking van de General IT Controls getest. Hieruit blijken bevindingen met een diversiteit aan impact, 57% betreft bevindingen met risico classificatie hoog. Deze zouden dan ook een hoge prioriteit moeten krijgen bij het oplossen ervan. In onze optiek zijn de bevindingen die wij hebben vastgesteld wel goed oplosbaar, mits hieraan de juiste prioriteit en middelen worden toegekend. Op basis van de bevindingen concluderen wij dat de kwaliteit van de General IT Controls op dit moment nog onvoldoende is om in het kader van de audit een systeemgerichte aanpak te ondersteunen. De jaarrekeningcontrole zal derhalve gegevensgericht worden uitgevoerd. In onze optiek zijn de belangrijkste acties:

21%

•

Het tijdig intrekken van toegangsrechten of het deactiveren van accounts binnen de applicatie Key2Financiën en op het Windows AD-netwerk. (Bevinding 1)

•

Laag

Midden

uitgevoerd door geautoriseerde personen. (Bevinding 2, 13)

Hoog

Refereer naar pagina 8 voor een toelichting op bovenstaande impact categorieën.

De toegekende hoge rechten op database- en netwerkniveau, zodanig inrichten dat acties met hoge rechten accounts slechts kunnen worden

•

Het formeel vaststellen van een autorisatiematrix voor Key2Financiën. (Bevinding 3)

•

Het formeel vaststellen en documenteren van het proces voor wijzigingsbeheer. Als onderdeel van de uitvoering van het wijzigingsproces dient er een gestructureerde vastlegging van de uitgevoerde testwerkzaamheden en goedkeuringen voor implementatie aanwezig te zijn. (Bevinding 7, 9, 11 & 14)

•

Het formeel vaststellen en documenteren van het proces voor logische toegangsbeveiliging. (Bevinding 9)

•

Het implementeren van een proces voor periodieke review van gebruikersrechten voor Key2Financiën & de Oracle Database. (Bevinding 4 & 10)

•

Het implementeren van de vereiste wachtwoord parameters op applicatie-, database- en netwerkniveau. (Bevinding 5,6 & 12)

•

Het formeel vaststellen en documenteren van het beleid voor cybersecurity. (Bevinding 8)

Op de volgende pagina (pagina 8) hebben wij de IT-observaties geprioriteerd op basis van impact en kans. Vanaf pagina 10 worden de observaties en bijbehorende risico’s in detail beschreven. Om te waarborgen dat acties tijdig worden opgevolgd, adviseren wij u om een actiehouder en een concreet tijdspad te benoemen. © 2022 Deloitte Nederland

1.2 IT-management samenvatting IT-audit 2021

Doel: Om de observaties te prioriteren in het kader van de ondersteuning van de audit hebben wij de observaties geclassificeerd op impact en kans. Onderstaand overzicht toont de observaties welke gedurende de audit zijn geconstateerd.

Betekenis van de symbolen Belangrijke observatie met een hoog risico en potentieel grote impact op de verslaggeving, compliance en/of operationele prestaties. -> Onmiddellijke acties vereist door het management.

Observatie met een laag risico en een mogelijke lagere impact op de verslaggeving, compliance en/of operationele prestaties.

8 3

Kans

Middelgrote observatie met een gemiddeld risico en potentieel gemiddelde impact op de verslaggeving, compliance en/of operationele prestaties. -> Actie door het management vereist.

13 14

9 10

Nr. Observatie 1

Key2Financiën & Windows AD: tijdig intrekken toegangsrechten en registratie wijzigingen van functies

Windows AD: Beheer van hoge rechten

Key2Financiën: Autorisatie matrix & toekenningsproces gebruikersrechten

Key2Financiën: Periodieke gebruikersreview

Key2Financiën: Wachtwoordinstellingen

Windows AD: Wachtwoordinstellingen

Key2Financiën: Wijzigingsbeheer

Algemeen: Cybersecuritybeleid & evaluatie risico’s en dreigingen

Algemeen: beleidsdocument logische toegangsbeveiliging & wijzigingsbeheer

Oracle-database: Review acties generieke accounts

Oracle-database: Wijzigingsbeheer

Oracle-database: Wachtwoordinstellingen

Oracle-database: Toegang generieke hoge rechten accounts

Windows AD: Wijzigingsbeheer

Impact

Sectie 2 – Overzicht met bevindingen

2.1 Overzicht met bevindingen

Key2Financiën & Windows AD: tijdig intrekken toegangsrechten en registratie wijzigingen van functies Highlights

Details

Beschrijving controle Vaststellen of de toegangsrechten van een medewerker tijdig zijn ingetrokken.

Observatie 2021 Uit de steekproef met betrekking tot het tijdig verwijderen van rechten van medewerkers die uitdienst zijn gegaan hebben we geconstateerd dat: • de toegangsrechten van 15 van de 20 accounts binnen Key2Financiën later zijn ingetrokken dan de uitdienstdatum. Voor alle 15 accounts is er vastgesteld dat de gebruikers niet meer hebben ingelogd na de uitdienstdatum. • de toegangsrechten van één account van de acht accounts binnen de Windows AD-omgeving later zijn ingetrokken dan de uitdienstdatum. Daarnaast is vastgesteld dat de gebruiker van dit ene account heeft ingelogd na de uitdienstdatum. • er geen registratie wordt bijgehouden van medewerkers die van functie zijn gewijzigd. Derhalve kan niet worden vastgesteld dat de oude rechten van de medewerkers die van functie zijn gewijzigd, tijdig zijn ingetrokken.

Risicoclassificatie Hoog

Risico Er bestaat een risico van ongeautoriseerde toegang via gebruikers-ID's die actief blijven op de applicatie of het netwerk zodra een gebruiker uit dienst is getreden bij de BAR. Bovendien bestaat het risico dat dergelijke accounts worden gecompromitteerd door huidige of voormalige werknemers.

IT Element Key2Financiën Windows AD

Aanbeveling • We raden het management aan om ervoor te zorgen dat gebruikersaccounts onmiddellijk worden uitgeschakeld/verwijderd wanneer een gebruiker de BAR-organisatie verlaat. Als alternatief kunnen gebruikersaccounts zo worden ingesteld dat ze verlopen op de dag dat de gebruiker vertrekt. • We raden het management aan om een overzicht bij te houden, waarin de voormalige en huidige autorisaties en de functies, van de medewerkers die van functie zijn gewijzigd, worden bijgehouden.

Actiehouder: afdeling OMO

Management Reactie Wij zijn het eens met de aanbeveling. In het IDU-proces wordt het algemene account wel direct afgesloten. Voor key2 is dit nu niet wenselijk omdat anders de laatste facturen niet afgehandeld kunnen worden. Daarom gebeurt het daar met enige vertraging. Voor Key2Financien is wel een goede procesbeschrijving aanwezig waarbij tweemaal per jaar de gehele formatie wordt gecontroleerd op toegang tot Key2Financien zodat accounts niet ten onrechte open blijven staan. In de nieuwe release is een vervangingsstructuur opgenomen waardoor het wellicht mogelijk wordt gebruikers direct af te sluiten zonder dat we de voortgang van de afhandeling van facturen verstoren. Eind 2 de kwartaal 2022 is die release getest en geplaatst.

Oplostermijn: Q2-3

2.1 Overzicht met bevindingen

Windows AD: Beheer van hoge rechten Highlights

Details

Beschrijving controle Vaststellen of generieke & gebruikersaccounts geautoriseerde hoge rechten hebben.

Observatie 2021 De volgende accounts hebben ongeautoriseerd toegang tot de gespecificeerde hoge rechten groepen binnen de Windows AD-omgeving: • admzuin2406 (Administrators, Group Policy Creator Owners & Organization Management) • admkieh1103 (Organization Management) De rollen houden het volgende in: • Deze gebruikers hebben de volledige controle over alle functionaliteiten binnen het systeem (Administrators); • Deze gebruikers kunnen de werkomgevingen van gebruikers- en computeraccounts beheren(Group Policy Creator Owners); • Deze gebruikers kunnen door middel van Role Based Access Control (RBAC) gebruikers toegang geven tot omgevingen binnen het systeem, hierbij kunnen de rechten binnen een omgeving ook worden aangepast (Organization Management). Daarnaast is het volgende (actieve) generieke account niet meer in gebruik: • sau_splunk

Risicoclassificatie Hoog

Risico Het risico bestaat dat gebruikers ongeautoriseerd wijzigingen doorvoeren aan instellingen en/of accounts binnen Windows AD. Dit kan bedrijfskritische informatie blootstellen aan ongeoorloofde openbaarmaking, wijziging of vernietiging.

IT Element Windows AD

Aanbeveling We raden aan om de (hoge) rechten van de gebruikers admzuin2406 & admkieh1103 in te trekken. Daarnaast adviseren wij om het account sau_splunk te deactiveren.

Actiehouder: Team OPD & Team ICS

Management Reactie Wij zijn het deels niet eens met deze aanbeveling. Wat betreft non-actieve accountant zijn wij het eens, die rechten zijn inmiddels uitgezet. In het kader van vervanging blijft het noodzakelijk om hogere rechten toe te kennen. Daarbij is gekeken naar de of die secundaire rol past naast de rol in het primaire proces. Na de uitvoering van onze PAM-test zullen de daaruit voortvloeiende quickwins direct opgepakt worden ter verbetering van het beheer van hoge rechten.

Oplostermijn: Q2

2.1 Overzicht met bevindingen

Key2Financiën: Autorisatie matrix & toekenningsproces gebruikersrechten Highlights

Details

Beschrijving controle Vaststellen of gebruikers geautoriseerd toegang krijgen tot bedrijfsinformatiesystemen.

Observatie 2021 Voor alle steekproeven met betrekking tot het toekennen van rechten voor nieuwe medewerkers is geconstateerd dat: • er geen documentatie beschikbaar is waarmee kan worden aangetoond welke rechten aangevraagd zijn, zodat achteraf vastgesteld kan worden of de correcte rechten zijn toegekend binnen Key2Financiën. • er geen autorisatiematrix beschikbaar is die beschrijft, welke autorisaties in Key2Financiën horen bij de functies binnen de organisatie (bijvoorbeeld dat de medewerker crediteurenadministratie enkel bepaalde autorisaties mag hebben in Key2Financiën). Derhalve kan niet worden vastgesteld of de rechten van gebruikers in lijn zijn met de toegewezen functies.

Risicoclassificatie Hoog

Risico Het risico bestaat dat gebruikers toegang krijgen tot bedrijfsinformatiesystemen die niet passen bij hun functie. Dit kan er voor zorgen dat gebruikers wijzigingen aanbrengen die in strijd zijn met de bedoelingen van het management. Daarnaast kan dit bedrijfskritische informatie blootstellen aan ongeoorloofde openbaarmaking, wijziging of vernietiging.

IT Element Key2Financiën

Aanbeveling We raden het management aan te overwegen een autorisatiematrix te creëren, waarbij organisatorische functies gekoppeld zijn aan de autorisaties binnen Key2Financiën.

Actiehouder: CISO

Management Reactie Wij zijn het eens met deze aanbeveling. In juli 2022 ronden wij het opstellen en ondertekenen door het management van een autorisatiematrix af. Deze matrix moet onderdeel worden van een overall matrix van de gehele organisatie en is onderdeel van logische toegangsbeveiliging dat op de rol staat voor Q2 van 2022.

Oplostermijn: Q2

2.1 Overzicht met bevindingen

Key2Financiën: Periodieke gebruikersreview Highlights

Details

Beschrijving controle Detectief vaststellen of de toegangsrechten van een medewerker tijdig zijn ingetrokken.

Observatie 2021 • Het is niet aantoonbaar dat de lijsten (HR, Key2Financiën) die gebruikt worden in de periodieke review volledig en juist zijn. • Er is vastgesteld dat er binnen de BAR geen formele procedures zijn met betrekking tot de periodieke review van actieve gebruikers en de toegewezen rollen. • De uitkomsten met betrekking tot de periodieke review van actieve gebruikers zijn niet gedocumenteerd tot het detail, waarop de uitvoering gereproduceerd kan worden. • Er is vastgesteld dat er maar een beperkte selectie van tien medewerkers gecontroleerd wordt, waarbij vastgesteld wordt of de autorisaties in lijn zijn met de functie. Daarnaast zijn er geen objectieve evaluatie-criteria beschikbaar, zoals een autorisatiematrix. • Er vindt geen controle plaats op de functiescheiding van medewerkers.

Risicoclassificatie Hoog

Risico Er bestaat een risico van ongeautoriseerde toegang via gebruikers-ID's die actief blijven op het systeem zodra een gebruiker uit dienst is getreden bij de BAR. Bovendien bestaat het risico dat dergelijke accounts worden gecompromitteerd door huidige of voormalige werknemers. Daarnaast bestaat het risico dat medewerkers gegevens ten onrechte of frauduleus kunnen bijwerken zonder dat het goedkeuringsproces (vierogen-principe) doorlopen hoeft te worden.

IT Element Key2Financiën

Aanbeveling • We raden het management aan om ervoor te zorgen dat de volledigheid van de populatie waarop de review wordt uitgevoerd aangetoond kan worden door middel van het maken van screenshot van het extractie-proces en deze te documenteren. • We raden het management aan te overwegen een formeel proces op te zetten en te documenteren, waarin de bestaande procedures omtrent de periodieke review van actieve gebruikers en de toegewezen rollen worden beschreven. • We raden het management aan te overwegen om het proces m.b.t. de review op gebruikersrechten aan te passen, zodat de toegangsrechten van alle medewerkers gecontroleerd worden. Hier kunnen eventueel automatische middelen voor ingezet worden (bijvoorbeeld een automatische functiescheidingscontrole).

Actiehouder: Applicatiebeheer Key2FIN

Management Reactie Aanbeveling 1: Wij voeren tweemaal per jaar een controle uit op de actieve accounts door die te controleren met de accountant in Key2Financien. Directe opschoning van de accountants in Key2Financien is hiermee aan de orde. Om deze koppeling makkelijker te maken wordt gezocht naar een oplossing om het personeelsnummer in Key2Financien op te nemen. Aanbeveling 2: Er is (en was ten tijde van de audit) een getekende procesbeschrijving aanwezig. Aanbeveling 3: Er vindt in het 2de kwartaal een nul-meting plaats en daarna worden alle wijzigingen gedocumenteerd bijgehouden.

Oplostermijn: Q2

2.1 Overzicht met bevindingen

Key2Financiën: Wachtwoordinstellingen Highlights

Details

Beschrijving controle Vaststellen of de wachtwoordinstellingen en het wachtwoordbeleid in lijn zijn met Deloitte good practice.

Observatie 2021 We hebben vastgesteld dat meerdere wachtwoordinstellingen in Key2Financiën in positieve zin afwijken ten opzichte van het wachtwoordbeleid.

Risicoclassificatie Hoog

Risico • Het afdwingen van complexe wachtwoorden (d.w.z. een combinatie van alfanumeriek, numeriek en symbolen) helpt ervoor te zorgen dat gebruikers geen eenvoudige of gemakkelijk te raden wachtwoorden gebruiken die de veiligheid van het netwerk in gevaar kunnen brengen; • Door een vergrendeld account automatisch te herstellen, is de kans groter dat een brute-force-attack op een account slaagt, omdat er meer pogingen kunnen worden gedaan om wachtwoorden te raden; • Een kleine reset-lockout-threshold vermindert de effectiviteit van de lockout-drempel en de lock-outduurcontroles doordat een potentiële indringer vaker het wachtwoord van een gebruiker kan raden.

IT Element Key2Financiën

Aanbeveling We raden het management aan om het wachtwoordbeleid te updaten. Daarnaast raden we aan om de configuratie- en wachtwoordinstellingen binnen Key2Financiën te herzien en om de wachtwoordinstellingen in te stellen volgens het wachtwoordbeleid.

Actiehouder: CISO

Management Reactie Wij zijn het met de risicoclassificatie niet eens. Dit is geen hoog risico voor ons. Het wachtwoordbeleid voor Key2Financien is strenger dan het algemene beleid. Wij ronden in het 2de kwartaal 2022 een wachtwoordbeleid voor Key2Financiën af dat dan wordt vastgesteld. Per direct hebben wij wel het aantal ongeldige aanmeldingspogingen aangepast van 5 naar 3 en het ook verplicht gebruiken van kleine letters. In het 2de kwartaal van 2022 komt er algemeen wachtwoordbeleid waarin eventueel afwijkingen opgenomen kunnen worden, zoals nu bij key2 (alleen strenger).

Oplostermijn: Q2

Daarnaast hebben we de volgende zwakke plekken in de Key2Financiën wachtwoordinstellingen opgemerkt: • de wachtwoorden zijn niet onderworpen aan de verplichte complexiteitseisen, aangezien de wachtwoorden geen kleine letters hoeven te bevatten; • de lock out-threshold (aantal mislukte aanmeldingspogingen voor gebruikersaccounts, voordat de accounts geblokkeerd worden) is ingesteld op vijf ongeldige aanmeldingspogingen, terwijl dit volgens het wachtwoordbeleid drie ongeldige aanmeldingspogingen moet zijn; • de blokkeringsduur is niet ingesteld; • de reset lock-out counter is niet ingesteld.

2.1 Overzicht met bevindingen

Windows AD: Wachtwoordinstellingen Highlights

Details

Beschrijving controle Vaststellen of de wachtwoordinstellingen en het wachtwoordbeleid in lijn zijn met Deloitte good practices.

Observatie 2021 We hebben vastgesteld dat meerdere wachtwoordinstellingen in Windows AD in positieve zin afwijken ten opzichte van het wachtwoordbeleid.

Risicoclassificatie Hoog

Risico • Het afdwingen van complexe wachtwoorden (d.w.z. een combinatie van alfanumeriek, numeriek en symbolen) helpt ervoor te zorgen dat gebruikers geen eenvoudige of gemakkelijk te raden wachtwoorden gebruiken die de veiligheid van het netwerk in gevaar kunnen brengen; • Door een vergrendeld account automatisch te herstellen, is de kans groter dat een brute-force-aanval op een account slaagt, omdat er meer pogingen kunnen worden gedaan om wachtwoorden te raden; • Een kleine reset-lockout-count vermindert de effectiviteit van de lockout-drempel en de lock-outduurcontroles doordat een potentiële indringer vaker het wachtwoord van een gebruiker kan raden.

IT Element Windows AD

Aanbeveling • We raden het management aan om het wachtwoordbeleid te updaten. Hierbij raden we aan om de minimale wachtwoordleeftijd op één dag in te stellen en de reset lockout-count op minimaal 1.440 minuten. • Daarnaast raden we aan om de werkelijke wachtwoordinstellingen binnen de Windows AD-omgeving te herzien en te overwegen om de wachtwoordinstellingen in te stellen volgens het wachtwoordbeleid.

Actiehouder: CISO

Management Reactie Wij zijn het eens met deze bevinding. Het beleid wordt aangepast in het 3de kwartaal 2022 aangepast.

Oplostermijn: Q3

Daarnaast hebben we de volgende zwakke plekken in de Windows AD wachtwoordinstellingen opgemerkt: • het wachtwoord moet volgens het wachtwoordbeleid binnen 60 dagen veranderd worden, terwijl dit ingesteld is op 61 dagen; • de minimale wachtwoordleeftijd wordt niet in het wachtwoordbeleid beschreven. • de reset lockout-count (het aantal minuten dat moet verstrijken voordat de teller voor mislukte aanmeldingspogingen wordt teruggezet naar nul) wordt niet in het wachtwoordbeleid beschreven. Daarnaast is deze ingesteld op 15 minuten, hetgeen niet overeenkomt met "Deloitte good practice" instellingen.

2.1 Overzicht met bevindingen

Key2Financiën: Wijzigingsbeheer Highlights

Details

Beschrijving controle Vaststellen of doorgevoerde wijzigingen binnen de productie omgeving succesvol getest en geautoriseerd zijn.

Observatie 2021 Er is vastgesteld dat er wijzigingen worden doorgevoerd binnen de productieomgeving zonder dat er bewijs beschikbaar is, waaruit blijkt dat er succesvolle tests zijn uitgevoerd. Daarnaast ontbreekt gedocumenteerde goedkeuring van het management.

Risicoclassificatie Hoog

Risico • Zonder formele gebruikersacceptatietests en goedkeuringen bestaat het risico dat wijzigingen op de applicatie niet werken zoals vereist. Zonder adequate stress/volume-tests presteert het geleverde systeem mogelijk niet op een niveau dat acceptabel is voor het management. • Alle programmawijzigingen die in de live-omgeving zijn aangebracht en die niet adequaat zijn getest, kunnen leiden tot fouten of onbetrouwbare verwerking als de wijziging onjuist wordt gemaakt of programmafouten bevat. • Daarnaast bestaat het risico dat geleverde wijzigingen niet voldoen aan de verwachtingen van de gebruiker of de intenties van het management indien er geen formele documentatie van verzoeken wordt vastgelegd. Als wijzigingsverzoeken niet formeel worden geregistreerd en beoordeeld, bestaat het risico dat nieuwe ontwikkelingen conflicteren met lopende wijzigingen of dat aangebrachte wijzigingen niet betrouwbaar zijn of van voldoende kwaliteit zijn. • Tenslotte kan er door het ontbreken van formele documentatie achteraf niet worden vastgesteld dat het proces goed functioneerde.

IT Element Key2Financiën

Aanbeveling We raden het management aan om een formeel proces te formuleren en te implementeren omtrent de gebruikersacceptatietesten.

Actiehouder: Clustermanager

Management Reactie Deze aanbeveling is per direct opgepakt. Het proces van testen en de resultaten worden nu in de melding in Topdesk opgenomen. Vastlegging is hiermee geborgd. Tijdens het proces wordt getest en de uitkomsten van de test worden vastgelegd.

Oplostermijn: Per direct

2.1 Overzicht met bevindingen

Algemeen: Cybersecuritybeleid & evaluatie risico’s en dreigingen Highlights

Details

Beschrijving controle Vaststellen of het Cybersecuritybeleid naar behoren functioneert.

Observatie 2021 Er is vastgesteld dat er geen periodieke validatie plaatsvindt van de cybersecurityrisico's en dreigingen. Daarnaast is er geen cybersecuritybeleid beschikbaar die (onder andere) de volgende onderwerpen bevat: • Controles en maatregelen; • Effectiviteit van bescherming (gegeven maatregelen); • Kritische Prestatie-Indicatoren (KPI’s); • Overleggen die plaatsvinden; • Verantwoordelijkheden; • Geïmplementeerde processen (identificatie, respons, herstel); • Borging van de veiligheid van gegevens bij externe partijen. Daarnaast hebben we vastgesteld dat er jaarlijks een penetratietest wordt uitgevoerd in kader van de DIGI-D audit, echter hiervan is de scope beperkt. Tevens vindt er geen 'red teaming’ plaats (op basis van scenario's tracht een hacker ongeautoriseerde toegang te verkrijgen tot bepaalde informatie).

Risicoclassificatie Hoog

Risico Bij gebrek aan 'formele' inrichting van cybersecurity bestaat het risico dat zwakke punten in de beveiligingsmaatregelen onopgemerkt blijven. Dit kan leiden tot ongeautoriseerde toegang tot systemen.

IT Element Algemeen

Aanbeveling • We raden het management aan om periodiek cybersecurity-risico’s en dreigingen te valideren. • We raden het management aan om ervoor te zorgen dat een formeel cybersecuritybeleid opgesteld wordt. • We raden het management aan om de scope van de penetratietest uit te breiden, zodat dit voor de volledige BAR-organisatie gebeurt.

Actiehouder: CISO

Management Reactie Wij zijn het eens met de aanbevelingen. In 2022 wordt een verbeterplan opgesteld en uitgerold. In het 3 de kwartaal wordt beleid cybersecurity vastgesteld. We bewaken de risico’s en storingen nu al.

Oplostermijn: Q3

2.1 Overzicht met bevindingen

Algemeen: beleidsdocument logische toegangsbeveiliging & wijzigingsbeheer Highlights

Details

Beschrijving controle Beleidsdocument(en) logische toegangsbeveiliging & wijzigingsbeheer beoordelen.

Observatie 2021 • Wij hebben begrepen dat de BAR een beleidsdocument voor het proces omtrent logische toegang beveiliging in 2016 heeft opgesteld. Vanuit de gesprekken hebben wij echter begrepen dat deze procedure momenteel niet gehanteerd wordt in de praktijk. • Wij hebben begrepen dat er binnen de BAR geen formele procedures voor het wijzigingsbeheerproces binnen de Windows AD-omgeving zijn vastgelegd.

Risicoclassificatie Gemiddeld

Risico • Er bestaat een risico dat een gebruiker ongeautoriseerde toegang tot systemen wordt verleend. • Er bestaat een risico van ongeautoriseerde toegang via gebruikers-ID's die actief blijven op het systeem zodra een gebruiker uit dienst is getreden bij de BAR. Bovendien bestaat het risico dat dergelijke accounts worden gecompromitteerd door huidige of voormalige werknemers. • Er bestaat een risico dat geleverde wijzigingen niet voldoen aan de verwachtingen van de gebruiker of de intenties van het management. Daarnaast bestaat het risico dat nieuwe ontwikkelingen conflicteren met lopende wijzigingen of dat aangebrachte wijzigingen niet betrouwbaar zijn of van onvoldoende kwaliteit zijn.

IT Element Algemeen

Aanbeveling We raden het management aan te overwegen een formeel proces op te zetten en te documenteren waarin de bestaande procedures omtrent logische toegangsbeveiliging en wijzigingsbeheer worden vastgelegd.

Actiehouder: CISO

Management Reactie Wij zijn het eens met deze aanbeveling. In het 2de kwartaal 2022 is nieuw logisch toegangsbeleid opgesteld en vastgesteld.

Oplostermijn: Q2

2.1 Overzicht met bevindingen

Oracle-database: Review acties generieke accounts Highlights

Details

Beschrijving controle Vaststellen of de acties van het generieke account 'SYSTEM’ gemonitord worden.

Observatie 2021 Het generieke account 'SYSTEM' wordt beheerd door de databasebeheerders. Elke sessie wordt gemonitord in Oracle (hetgeen in *.aud-files terecht komt). Echter vindt er geen analyse plaats op de uitgevoerde acties met dit account.

Risicoclassificatie Gemiddeld

Risico Door het gezamenlijk gebruiken van een generiek gebruikersaccount, zijn de individuele acties moeilijk te herleiden tot een specifieke gebruiker.

IT Element Oracle-database

Aanbeveling We raden het management aan om de logging van het generieke account 'SYSTEM' te reviewen op kritische acties.

Actiehouder: CISO

Management Reactie Wij zijn het eens met de aanbeveling. Wij gaan reviewen en in het 3de kwartaal 2022 kijken we naar de logging.

Oplostermijn: Q3

2.1 Overzicht met bevindingen

Oracle-database: Wijzigingsbeheer Highlights

Details

Beschrijving controle Vaststellen of doorgevoerde wijzigingen binnen de productie omgeving succesvol getest en geautoriseerd zijn.

Observatie 2021 Begin 2021 zijn er twee patches (31668898 en 31741641) geïnstalleerd in verband met de migratie van fysieke naar virtuele servers (ticket W2012 317 4). In het ticket kunnen we echter geen referentie vinden naar beide patches. Derhalve is het achteraf niet aantoonbaar dat de patches succesvol zijn getest en goedgekeurd voor implementatie.

Risicoclassificatie Gemiddeld

Risico • Zonder formele gebruikersacceptatietests en goedkeuring bestaat het risico dat wijzigingen op de database niet werken zoals vereist. Zonder adequate stress/volume-tests presteert de database mogelijk niet op een niveau dat acceptabel is voor het management. • Alle programmawijzigingen die in de live-omgeving zijn aangebracht en die niet adequaat zijn getest, kunnen leiden tot fouten of onbetrouwbare verwerking als de wijziging onjuist wordt gemaakt of programmafouten bevat. • Daarnaast bestaat het risico dat geleverde wijzigingen niet voldoen aan de verwachtingen van de gebruiker of de intenties van het management zonder formele documentatie van verzoeken. Als wijzigingsverzoeken niet formeel worden geregistreerd en beoordeeld, bestaat het risico dat nieuwe ontwikkelingen conflicteren met lopende wijzigingen of dat aangebrachte wijzigingen niet betrouwbaar zijn of van voldoende kwaliteit zijn. • Tenslotte kan er door het ontbreken van formele documentatie achteraf niet worden vastgesteld dat het doorvoeren van een wijziging succesvol is.

IT Element Oracle-database

Aanbeveling We raden het management aan om een formeel proces te formuleren en te implementeren omtrent de gebruikersacceptatietesten.

Actiehouder: Team OPD Oplostermijn: Q3

Management Reactie Het complete change management is gedocumenteerd en wordt binnen Afd OPD toegepast op alle in Topdesk aangemaakte verzoeken. Deze worden na een melding omgezet in Wijziging en volgens proces verwerkt incl goedkeuringen. Er is hiervoor al een proces. Dit zullen we formeel vastleggen en vast laten stellen in het 3de kwartaal 2022.

2.1 Overzicht met bevindingen

Oracle-database: Wachtwoordinstellingen Highlights

Details

Beschrijving controle Vaststellen of de wachtwoordinstellingen en het wachtwoordbeleid in lijn zijn met Deloitte good practice.

Observatie 2021 • Wachtwoordinstellingen van de wachtwoordprofielen 'C##MONITOR', 'DEFAULT' en 'FIS' (dit zijn profielen waarin bepaalde wachtwoordinstellingen worden afgedwongen) zijn niet in lijn met het wachtwoordbeleid en Deloitte good practices. Zo worden er bijvoorbeeld geen complexiteitseisen afgedwongen. •

Daarnaast is het voor alle accounts die gekoppeld zijn aan het FIS-wachtwoordprofiel (in de tabel 'DBA_USERS’) mogelijk om rechtstreeks in te loggen op de database. In totaal zijn er 530 accounts met het FIS-wachtwoordprofiel. Dit zijn voornamelijk applicatie-accounts. Een mitigerende factor is dat eindgebruikers geen ‘SQL-plus' geïnstalleerd hebben om rechtstreeks in te kunnen loggen op de database.

Risicoclassificatie Laag

Risico • Het risico bestaat dat gebruikers toegangsrechten bezitten tot bedrijfsinformatiesystemen die niet passen bij hun functie. Als zodanig kunnen gebruikers wijzigingen aanbrengen die in strijd zijn met de bedoelingen van het management. Dit kan bedrijfskritische informatie blootstellen aan ongeoorloofde openbaarmaking, wijziging of vernietiging. • Onvoldoende wachtwoordinstellingen verhogen het risico op ongeautoriseerde toegang tot systemen.

IT Element Oracle-database

Aanbeveling Wij raden het management aan om ervoor te zorgen dat applicatie-accounts niet rechtstreeks in kunnen loggen op de database. We raden het management aan om de configuratie van wachtwoordinstellingen op de Oracle-database te herzien en te overwegen de wachtwoordinstellingen te verbeteren volgens de volgende aanbevelingen: • Wachtwoorden moeten minimaal acht tekens bevatten; • Afdwingen van complexe wachtwoorden; • Wachtwoordwijzigingen afdwingen na maximaal 60 dagen; • Er moet een geschiedenis van de vorige tien wachtwoorden worden bijgehouden en gebruikers moeten worden belet hun wachtwoord te wijzigen in één van deze tien wachtwoorden; • De vergrendelingsdrempel moet worden ingesteld op drie ongeldige inlogpogingen; • Vergrendelde accounts mogen alleen worden gereset door een beheerder; • De reset lockout-counter moet worden ingesteld op 1.440 minuten.

Actiehouder: n.v.t. Oplostermijn: n.v.t.

Management Reactie Deze aanbeveling komt iedere jaar terug. Wij wijzen er op dat we hierin afhankelijk zijn van het systeem zoals dat door Centric wordt aangeboden. Wij hebben hierin alleen de mogelijkheid via gebruikersgroepen aandacht te vragen voor aanpassing van dit onderdeel. Zelfstandig kunnen wij hierin geen eigen werkwijze voeren. Centric werkt aan SAAS-oplossingen. Mogelijk dat hier in de toekomst mogelijkheden liggen op dit gebied. 21

2.1 Overzicht met bevindingen

Oracle-database: Toegang generieke hoge rechten accounts Highlights

Details

Beschrijving controle Vaststellen of alleen Geautoriseerde gebruikers toegang hebben tot de hoge rechten accounts.

Observatie 2021 De wachtwoorden van de volgende hoge rechten accounts worden niet opgeslagen in KeePass / Keeper, maar beheerd middels een gedeeld wachtwoord: - 'SYS’ (All-rol) - 'BITFIS’ (create-rol) - 'PFISDDS’ (create-rol) - 'PRODFIS’ (create-rol) - 'DIS4INSTALL' (DROP ANY TABLE-rol) Derhalve kan niet worden aangetoond dat deze accounts alleen worden gebruikt door de geautoriseerde medewerkers. De rollen houden het volgende in: - All-rol (deze gebruiker heeft volledige controle over alle functionaliteiten binnen het systeem) - Create-rol (deze gebruiker kan een rol creëren, waarbij er rechten aan een specifieke gebruikers worden toegewezen) - DROP ANY TABLE-rol (deze gebruiker kan tabellen verwijderen)

Risicoclassificatie Laag

Risico Bij generieke gebruikers-ID's die door meer dan één persoon worden gebruikt, zijn de individuele acties moeilijk te herleiden zijn tot één specifieke gebruiker.

IT Element Oracle-database

Aanbeveling We raden het management aan de wachtwoorden van de hoge rechten toe te voegen aan KeePass / Keeper.

Actiehouder: CISO

Management Reactie De actie om deze accounts toe te voegen aan onze wachtwoorden kluis is gestart. Momenteel loopt er een algehele update van de Oracle omgeving (12->19). Afrondende actie is om de wachtwoorden en accounts compleet op te nemen in een wachtwoordkluis.

Oplostermijn: Q2

2.1 Overzicht met bevindingen

Windows AD: Wijzigingsbeheer Highlights

Details

Beschrijving controle Vaststellen of doorgevoerde wijzigingen binnen de productie omgeving succesvol getest en geautoriseerd zijn.

Observatie 2021 Er zijn geen formele procedures voor wijzigingsbeheer vastgelegd. Daarnaast wordt er geen user-acceptance testing (UAT) uitgevoerd voordat wijzigingen in de live-omgeving van Windows AD worden doorgevoerd. Hierbij worden wijzigingen automatisch doorgevoerd zonder gedocumenteerde goedkeuring van het management. Hierbij ontbreekt het overzicht van de doorgevoerde wijzigingen voor zowel de applicatiebeheerders als voor het management.

Risicoclassificatie Laag

IT Element Windows AD

Aanbeveling • We raden het management aan om formele procedures voor wijzigingsverzoeken op te zetten en te documenteren. Verder raden we het management aan om een formeel proces in te richten voor de implementatie van leveranciersupdates waarin onder andere is bepaald hoe snel een beschikbaar gekomen wijziging in productie wordt genomen. • Daarnaast raden we het management aan om gebruikersacceptatietests op te nemen binnen het proces van wijzigingsbeheer. Gebruikers dienen betrokken te worden bij het opstellen van testplannen en het uitvoeren van testen in overeenstemming met deze testplannen. • Daarnaast adviseren wij om gebruikers formeel goedkeuring te laten geven waardoor vastgesteld kan worden dat de gewijzigde software naar tevredenheid functioneert, voordat deze in de productieomgeving wordt geïmplementeerd. Bewijs van goedkeuringen moet worden bewaard samen met bewijs dat de tests zijn voltooid.

Actiehouder: n.v.t.

Management Reactie Er is gekozen om de gebruikers geen test te laten doen op basis van de updates welke wij automatisch. Het benoemende risico is onderkend en ondervangen wij op twee manieren. De update kan centraal direct worden teruggedraaid indien er problemen zijn. Daarnaast gaat de uitrol geleidelijk aangezien de werkstations dit in batches krijgt en zodoende kan het nagenoeg nooit voorkomen dat hele organisatie hier effect van heeft.

Oplostermijn: n.v.t.

Deloitte refers to one or more of Deloitte Touche Tohmatsu Limited, a UK private company limited by guarantee (“DTTL”), its network of member firms, and their related entities. DTTL and each of its member firms are legally separate and independent entities. DTTL (also referred to as “Deloitte Global”) does not provide services to clients. Please see www.deloitte.nl/about for a more detailed description of DTTL and its member firms. Deloitte provides audit, consulting, financial advisory, risk management, tax and related services to public and private clients spanning multiple industries. Deloitte serves four out of five Fortune Global 500® companies through a globally connected network of member firms in more than 150 countries bringing world-class capabilities, insights, and high-quality service to address clients’ most complex business challenges. To learn more about how Deloitte’s approximately 225,000 professionals make an impact that matters, please connect with us on Facebook, LinkedIn, or Twitter.

De tekst is automatisch uit het bestand gehaald en kan afwijken van het origineel (kolommen, tabellen en koppen lopen door elkaar). Het officiële stuk bij de gemeente is leidend. Bron: https://api.notubiz.nl/document/12796620/1