Rapport informatiebeveiliging def 20221108
Tekst van het document
Vervolgonderzoek Informatiebeveiliging Rekenkamercommissie gemeente Bergen (L)
Vervolgonderzoek Informatiebeveiliging: Please close the door
Rekenkamercommissie Bergen (L)
Inhoudsopgave Inhoudsopgave ........................................................................................................................................ 2 1
Inleiding........................................................................................................................................... 3 1.1
Inleiding ................................................................................................................................. 3
1.2
Doelstelling en vraagstelling .................................................................................................. 3
1.3
Opdracht aan gespecialiseerde onderzoekers ....................................................................... 3
1.4
Toelichting werkwijze rekenkamercommissie ....................................................................... 4
1.5
Leeswijzer .............................................................................................................................. 4
2
Onderzoeksopzet ............................................................................................................................ 5 2.1
Onderzoeksopzet deelvraag 1 ............................................................................................... 5
2.2
Onderzoeksopzet deelvraag 2 ............................................................................................... 6
3
Bevindingen..................................................................................................................................... 6 3.1
Bevindingen deelvraag 1........................................................................................................ 6
3.2
Bevindingen deelvraag 2........................................................................................................ 8
3.2.1 Ongeautoriseerde toegang tot het gemeentehuis, de gemeenteloods en de werkruimtes .................................................................................................................................... 8 3.2.2
Toegang tot informatie...................................................................................................... 8
4 Conclusies .......................................................................................................................................... 10 4.1
Is het mogelijk oneigenlijk toegang tot (belangrijke) systemen en bestanden te krijgen? . 10
4.2 Wat zijn de zwakke plekken in de beveiliging tegen het oneigenlijk benaderen van gevoelige gegevens? ......................................................................................................................... 10 4.3 Bieden de genomen maatregelen voldoende waarborgen tegen het benaderen van gevoelige informatie ......................................................................................................................... 10 5 Aanbevelingen.................................................................................................................................... 11 5.1
Aanbevelingen voor de Raad ................................................................................................... 11
5.2
Aanbevelingen voor het College .............................................................................................. 11
Bijlage 1
Overzicht gebruikte documenten .................................................................................... 13
Bijlage 2
Reactie College van Burgemeester en Wethouders ........................................................ 14
Bijlage 3
Nawoord Rekenkamercommissie .................................................................................... 15
2
8 november 2022
Vervolgonderzoek Informatiebeveiliging: Please close the door
1
Inleiding
1.1
Inleiding
Rekenkamercommissie Bergen (L)
Als rekenkamercommissie ondersteunen we de gemeenteraad bij zijn taakstellende en controlerende taak. Dit doen wij door onderzoek te doen en daarover een rapport uit te brengen aan de raad. In november 2019 is de gemeenteraad van Bergen geïnformeerd over de resultaten van de Quick scan Informatiebeveiliging. In dit rapport is aangegeven dat verdiepend onderzoek gewenst is. Voor de rekenkamercommissie is dit de aanleiding om verder aan de slag te gaan. In het voorliggend rapport presenteren wij de resultaten van ons vervolgonderzoek. Het informatiebeveiligingsbeleid geldt voor alle processen van de gemeente en borgt daarmee de informatievoorziening gedurende de hele levenscyclus van informatiesystemen, ongeacht de toegepaste technologie en ongeacht het karakter van de informatie. Het beperkt zich niet alleen tot de ICT en heeft betrekking op het politieke bestuur, alle medewerkers, burgers, gasten, bezoekers en externe relaties. Het is niet de bedoeling dat informatie op straat komt te liggen. Ook is het niet de bedoeling dat ongeautoriseerden onbevoegd toegang hebben tot de informatiesystemen van gemeenten en zo dingen kunnen aanpassen of de voortgang van lopende projecten beïnvloeden. Inbreuken kunnen leiden tot financiële en/of materiële schade en tot reputatieschade voor de gemeenten. Informatiebeveiliging richt zich op de beheersing van bovenstaande risico’s.
1.2
Doelstelling en vraagstelling
Het doel van dit onderzoek is: 1. Inzicht geven in de huidige staat van de informatiebeveiliging bij de Gemeente Bergen en 2. Indien nodig, formuleren van concrete verbeteracties. De centrale vraag van dit onderzoek luidde dan ook: Bieden de genomen maatregelen voldoende waarborgen tegen het benaderen van gevoelige informatie? De centrale onderzoeksvraag is uitgewerkt in 2 deelvragen: 1. Gericht op de structuur: Is het binnen de huidige technische infrastructuur mogelijk oneigenlijk toegang tot (belangrijke) systemen en bestanden te krijgen? 2. Gericht op de mens: Is het binnen de huidige werkwijze van gemeente Bergen mogelijk oneigenlijk toegang tot (belangrijke) systemen en bestanden te krijgen?
1.3
Opdracht aan gespecialiseerde onderzoekers
De deelvragen richten zich op twee inhoudelijk verschillende onderwerpen. Voor de beantwoording zijn er daarom twee deelonderzoeken uitgevoerd. IT Tactics1 onderzocht in hoeverre het systeem (technische infrastructuur) voor onbevoegden toegankelijk is. Awaretrain2 onderzocht in hoeverre het handelen van de medewerkers (werkwijze) 1 2
http://www.ittactics.nl/ https://www.awaretrain.com
3
8 november 2022
Vervolgonderzoek Informatiebeveiliging: Please close the door
Rekenkamercommissie Bergen (L)
aan onbevoegden ruimte biedt om oneigenlijk toegang tot (belangrijke) systemen en bestanden te krijgen. Beide rapportages zijn bij de CISO van de gemeente Bergen bekend. Vanwege de gevoelige inhoud maken ze echter geen integraal onderdeel van dit rapport uit maar wordt volstaan met het benoemen van de voornaamste bevindingen.
1.4
Toelichting werkwijze rekenkamercommissie
De rekenkamercommissie heeft vooraf afstemming gezocht met de gemeentelijke organisatie en de portefeuillehouder. Daar waar nodig is door de organisatie actief medewerking aan de uitvoering van het onderzoek verleend. Normaal gesproken informeert de rekenkamercommissie de gemeenteraad vooraf over de onderzoeken die uitgevoerd worden. Aangezien het onderzoek gericht is op het toetsen van veiligheid, is het van belang dat niemand vooraf op de hoogte is en/of het gedrag actief op het onderzoek aanpast. Tegen deze achtergrond is ervoor gekozen de gemeenteraad vooraf niet te informeren. Het onderzoek is uitgevoerd in de periode september – november 2021. De ICT-omgeving en het gebruik van ICT-middelen zijn in het onderzoek getest op kwetsbaarheden waarmee hackers of kwaadwillenden onrechtmatig over gevoelige gegevens of gegevens van burgers zouden kunnen beschikken. Er is zowel gekeken naar de technische waarborgen als het informatiebewustzijn van medewerkers voor het veilig bewaren van en omgaan met gegevens. De resultaten van beide deelonderzoeken zijn direct na het beschikbaar komen met de organisatie gedeeld, zodat – indien noodzakelijk geacht – direct maatregelen kunnen worden ingezet.
1.5
Leeswijzer
Hoofdstuk 2 gaat in op de onderzoeksopzet en hoofdstuk 3 vermeldt de bevindingen. De conclusies in hoofdstuk 4 en de aanbevelingen in hoofdstuk 5 zijn na ambtelijk hoor en wederhoor tot stand gekomen.
4
8 november 2022
Vervolgonderzoek Informatiebeveiliging: Please close the door
Rekenkamercommissie Bergen (L)
2 Onderzoeksopzet 2.1
Onderzoeksopzet deelvraag 1
Deelvraag 1: Is het binnen de huidige technische infrastructuur mogelijk oneigenlijk toegang tot (belangrijke) systemen en bestanden te krijgen? gaat over de beveiliging van de technische infrastructuur. Het onderzoek is gebaseerd The Cyber Kill Chain-methodiek3.
Het model beschrijft de zeven fasen die aanvallers kunnen doorlopen om hun doel te bereiken. Inzicht krijgen in hoe hackers te werk gaan, kan uiteindelijk helpen om vijandige hackers de pas af te snijden. De 7 fasen van een cyberaanval 1. Reconnaissance-fase: de aanvallers zoeken zwakke plekken in de organisatie. 2. Weaponization-fase: de aanvallers ontwikkelen malware om deze zwakke plekken te misbruiken. 3. Delivery-fase: de aanvallers bezorgen de malware, bijvoorbeeld via e-mail. 4. Exploitation-fase: een medewerker activeert per ongeluk de malware, door op een link in een onbetrouwbare mail te klikken. 5. Installation-fase: de aanvallers installeren zich in het netwerk. 6. Command and control-fase: de aanvallers komen dankzij de malware van afstand binnen en installeren vervolgens nieuwe malware. 7. Actions on objectives-fase: de aanvallers bereiken hun doel en kunnen ongemerkt informatie wegsluizen. De onderzoeksopzet is op dit model gebaseerd en bestaat daarom uit het technisch testen van de structuur vanuit verschillende afstanden: • Grootste afstand: testen van systeemtoegang via Internet. Een internet-aanval kan in principe vanuit elke locatie ter wereld ter wereld komen. • Midden afstand: testen van systeemtoegang vanaf de openbare weg voor de locaties van gemeente Bergen.
• Kortste afstand: testen van systeemtoegang door in het gebouw van gemeente Bergen fysiek in te pluggen op het netwerk.
3
https://en.wikipedia.org/wiki/Kill_chain
5
8 november 2022
Vervolgonderzoek Informatiebeveiliging: Please close the door
Rekenkamercommissie Bergen (L)
De uitgevoerde Security Scan bestaat uit de onderdelen, met afnemende afstand: •
Remote scan, ook wel remote pentest. Hierbij wordt vanuit Internet geprobeerd toegang te krijgen tot gemeentelijke informatie. • Phishing campagne. Door middel van berichten aan medewerkers proberen contact te krijgen en zodoende gegevens achterhalen of spionage-software te installeren. • Local scan, ook wel lokale pentest. Nabij of binnen in de locaties proberen toegang te krijgen. • Wifi scan. Via de wifi-netwerk(en) toegang proberen te krijgen. De USB pentest is niet uitgevoerd. De onderzoeker heeft de bevindingen van zijn onderzoek in een rapport genoteerd. Dit rapport is direct na totstandkoming met de organisatie gedeeld.
2.2
Onderzoeksopzet deelvraag 2
Deelvraag 2: Is het binnen de huidige werkwijze van gemeente Bergen mogelijk oneigenlijk toegang tot (belangrijke) systemen en bestanden te krijgen? gaat over de mate van informatiebewust werken van bij gemeente Bergen betrokken mensen. De onderzoeksopzet is een mystery guest-onderzoek (onbekende bezoeker). Dit betekent dat een onbekende, met gebruikmaking van een vermomming en een plausibel verhaal, het gemeentehuis aan de Raadhuisstraat 2 en de gemeenteloods aan De Flammert 1028 heeft bezocht. Het doel is dat de onderzoeker tijdens zijn bezoek kwetsbaarheden in kaart brengt. Kwetsbaarheden in dit verband zijn: • Ongeautoriseerde toegang tot het pand en de werkruimtes • Niet-vergrendelde werkstations • Opgeschreven wachtwoorden • Kunnen achterhalen van inloggegevens en andere vertrouwelijke data • Toegang tot informatie en dossiers in kasten en bij printers • Kwetsbaarheden van medewerkers met betrekking tot social engineering (mensen verleiden tot medewerking). De onderzoeker heeft de bevindingen van zijn onderzoek in een rapport genoteerd. De bevindingen die als risicovol zijn ingeschat, zijn gedeeld met de organisatie om hen in de gelegenheid te stellen om hierop zo spoedig mogelijk maatregelen te nemen.
3
Bevindingen
3.1
Bevindingen deelvraag 1
Is het binnen de huidige technische infrastructuur mogelijk oneigenlijk toegang tot (belangrijke) systemen en bestanden te krijgen? De belangrijkste bevinding van dit onderzoek is dat het zonder de hulp van de ICT-afdeling van gemeente Bergen niet mogelijk is gebleken om toegang tot (belangrijke) systemen en bestanden te krijgen. De technische infrastructuur is bijzonder goed beveiligd. Zonder hier afbreuk aan te doen is het belangrijk expliciet te vermelden dat deze bevinding een momentopname betreft.
6
8 november 2022
Vervolgonderzoek Informatiebeveiliging: Please close the door
Rekenkamercommissie Bergen (L)
Onderstaand volgen puntsgewijs de bevindingen van het onderzoek: WEBSITE SCAN • •
De via internet benaderbare systemen zijn, op 1 uitzondering na, beveiligd met two-factor authenticatie. De login-pagina van de website bevat beveiliging tegen brute-force aanvallen (uitproberen van alle mogelijke opties, tot dat er een combinatie wordt gevonden die toegang verleent).
PHISHING CAMPAGNE • De oorspronkelijke phishing-mail werd door het SPAM-filter van de gemeente geblokkeerd. In overleg met de ICT-afdeling is er een whitelist toegevoegd (manier om de phishing-mails toch te kunnen bezorgen). Phishing campagne medewerkers en bestuur o 103 e-mailadres achterhaald o 76 e-mailadressen geldig, 27 ongeldig o 25 personen hebben op de link geklikt (33%) o 3 personen hebben daadwerkelijk aangemeld op de phishing website (4%) Phishing campagne raads- en commissieleden o 43 e-mailadres achterhaald o 41 e-mailadressen geldig, 2 ongeldig o 8 personen hebben op de link geklikt (19,5%) o 1 persoon heeft daadwerkelijk aangemeld op de phishing website (2%) De bevinding, 19,5% klikt op de link, bij de phishing campagne bij raads- en commissieleden is opmerkelijk laag volgens de onderzoeker. Normaal gesproken ligt dit op hetzelfde niveau, 33%, als dat van medewerkers en bestuur. Volgens hem zou een mogelijke oorzaak hiervan gelegen kunnen zijn in het feit dat in twee weken tijd van het onderzoek 17 raads- en commissieleden de e-mail gelezen hebben maar 24 deze niet hebben gelezen. Spear-phising (personen gericht benaderen om nieuwsgierigheid te prikkelen) campagne • SPAM-filter houdt mails tegen. • Na omzeiling SPAM-filter: Geen enkele persoon reageert. Bovendien zijn door enkele medewerkers beveiligingsincidenten gemeld conform de geldende procedures.
LOCAL SCAN Test ‘Toegang behouden’ was niet mogelijk omdat het niet gelukt is het interne netwerk binnen te dringen. • Tijdens de draadloos netwerk scan (wifi) bleek het interne netwerk niet toegankelijk. • Tijdens de interne penetratie test (zondermeer koppelen van een laptop aan het netwerk) bleek het interne netwerk, met uitzondering van The-Man-In-The-Middle-aanval4 (verder: TMITM), niet toegankelijk. 4
Een man-in-the-middle-aanval (MITM-aanval) is een aanval waarbij informatie tussen twee communicerende partijen onderschept wordt zonder dat beide partijen daar weet van hebben. Hierbij bevindt de computer van de aanvaller zich tussen de twee communicerende partijen. De berichten kunnen daarbij mogelijk gelezen en veranderd worden.
7
8 november 2022
Vervolgonderzoek Informatiebeveiliging: Please close the door
3.2
Rekenkamercommissie Bergen (L)
Bevindingen deelvraag 2
Is het binnen de huidige werkwijze van gemeente Bergen mogelijk oneigenlijk toegang tot (belangrijke) systemen en bestanden te krijgen?
De belangrijkste bevinding van dit onderzoek is de constatering dat het gedrag van medewerkers van de gemeente Bergen onveiligheid in de hand werkt. Onderstaand volgen puntsgewijs de bevindingen van het onderzoek. Hierbij wordt er een onderscheid gemaakt tussen het verkrijgen van ongeautoriseerde toegang tot ruimtes en ongeautoriseerde toegang tot informatie.
3.2.1 Ongeautoriseerde toegang tot het gemeentehuis, de gemeenteloods en de werkruimtes • • • •
Onbevoegden kunnen eenvoudig toegang verkrijgen tot het niet-publiekelijke gedeelte van het gemeentehuis. Onbevoegden kunnen (te) eenvoudig de toegangscontrole omzeilen. Onbevoegden kunnen (te) eenvoudig een bezoekersbadge ontvangen. Onbevoegden hebben met de bezoekersbadge toegang tot de B&W werkruimtes en Burgerzaken.
3.2.2 Toegang tot informatie
•
Een ongeautoriseerd persoon heeft toegang gekregen tot een werkstation, waarna de medewerker de ruimte verlaat. De mysterie guest heeft zelfs een mail kunnen opstellen en deze verstuurd naar sales@awaretrain.com. In meegestuurde video is een volledig toegankelijk bureau gefilmd zonder toezicht van medewerkers. Hieruit blijkt volgens onderzoeker dat medewerkers zijn zich niet bewust van de gevaren rondom toegang tot systemen door ongeautoriseerde personen.
8
8 november 2022
Vervolgonderzoek Informatiebeveiliging: Please close the door
• •
Rekenkamercommissie Bergen (L)
Onbevoegden kunnen informatie inwinnen aan de hand van onbeheerde niet-vergrendelde werkstations, omdat medewerkers hun scherm niet structureel vergrendelen. Hieruit blijkt er geen clean desk/clear screen beleid is of dat deze onvoldoende wordt nageleefd. Onbevoegden kunnen informatie inwinnen aan de hand van informatie op onbeheerde nietbemande bureaus, omdat medewerkers hun werkplek bij verlaten niet opruimen. Op de onbemande werplekken heeft de Mysterie guest onder andere een VOG, meerdere druppels, sleutels, laptops en zelfs een servicepas inclusief vermoedelijke pincode gevonden.
• •
Iedereen heeft vrijelijk toegang tot (vertrouwelijke) documenten in kasten en lades. Gedurende het onderzoek zijn meerder keren iPads en laptops aangetroffen op onbemande bureaus. Onbevoegden kunnen (te) eenvoudig datadragers, waaronder laptops en iPads meenemen. Hieruit blijkt dat cleandesk niet wordt nageleefd.
•
Een ongeautoriseerd persoon heeft toegang gekregen tot gevoelige informatie in en rondom de printer. Tijdens het onderzoek is het de mysterie guest niet gelukt om reeds geprinte opdrachten opnieuw te printen.
•
De papiercontainers in de gangen zijn alle goed vergrendeld. Een ongeautoriseerde persoon kan niet vaststellen wat voor een soort documenten daar inzitten. In de diverse oud-papierbakken bij de printers is geen gevoelige informatie aangetroffen.
•
9
8 november 2022
4 Conclusies In dit hoofdstuk worden zowel de beide deelvragen als de hoofdvraag beantwoord.
4.1 Is het mogelijk oneigenlijk toegang tot (belangrijke) systemen en bestanden te krijgen? Uit de bevindingen van de security scan/penetratietest blijkt dat de technische beveiliging van gemeente Bergen goed is; het risico dat kwaadwillenden binnendringen is klein en om daarna houvast te krijgen in het netwerk is zeer moeilijk. Het is zeer moeilijk om door middel van een externe aanval oneigenlijk toegang tot (belangrijke) systemen en bestanden te krijgen. Uit de bevindingen van het mystery-guest onderzoek blijkt echter dat gemeente Bergen (bijzonder) kwetsbaar is voor insluipers en datadiefstal: • Eenmaal in de panden en de kantoorruimtes is het (zeer) eenvoudig om oneigenlijk toegang tot (belangrijke) systemen, bestanden én fysieke dossiers te verkrijgen. • Vanwege niet-vergrendelde, onbemande, werkstations, onbeheerde datadragers, fysieke dossiers op bureaus, etc. is het eenvoudig mogelijk om oneigenlijk toegang tot (belangrijke systemen en bestanden te krijgen. Samenvattend wordt geconcludeerd dat – hoewel de IT-infrastructuur erg goed is beschermd -het redelijk eenvoudig is om toegang te verkrijgen vanwege de menselijke factor.
4.2 Wat zijn de zwakke plekken in de beveiliging tegen het oneigenlijk benaderen van gevoelige gegevens? Uit de bevindingen van de security scan/penetratietest blijkt dat de technische beveiliging van gemeente Bergen goed is. Eenmaal toegang tot het netwerk (met behulp van de afdeling ICT) is het mogelijk om versleutelde wachtwoorden te onderscheppen en met behulp van een wachtwoordkraker te decoderen. TMITM-aanval is daarmee de enige zwakke plek gebleken, echter hiervoor was medewerking van de afdeling ICT noodzakelijk. De onderzoeker heeft geen weerstand heeft ondervonden om fysiek toegang te krijgen tot de onderzochte locaties, werkstations en rondslingerende documenten: • Het is (zeer) eenvoudig om, ondanks het toegangssysteem, toegang te verkrijgen tot de panden en kantoorruimtes te verkrijgen. • Dossiers/documenten worden na gebruik niet direct opgeborgen, kasten en lades zijn niet afgesloten en onbemande werkplekken zijn niet vergrendeld.
4.3 Bieden de genomen maatregelen voldoende waarborgen tegen het benaderen van gevoelige informatie Uit de beantwoording van de voorgaande deelvragen blijkt dat:
Vervolgonderzoek Informatiebeveiliging: Please close the door • •
Rekenkamercommissie Bergen (L)
Het gedrag van medewerkers van gemeente Bergen met betrekking tot informatiebeveiliging (op dit moment) onvoldoende waarborgen biedt tegen het benaderen van gevoelige informatie. De technische ICT-beveiligingsmaatregelen van gemeente Bergen (op dit moment) voldoende waarborgen bieden tegen het benaderen van gevoelige gegevens.
5 Aanbevelingen 5.1 Aanbevelingen voor de Raad Neem maatregelen om de bewustwording van informatieveiligheid bij ieder naar het gewenste niveau te brengen. 1
Maak met het college afspraken over de manier waarop het de kennis en het bewustzijn binnen de organisatie over informatieveiligheid vergroot en daarmee de gewenste gedragsverandering realiseert.
Houd informatiebeveiliging op de agenda Informatieveiligheid is kerntaak van raad en college. De gemeentelijke dienstverlening staat immers op het spel als de veiligheid niet goed geregeld is. Zelfs wanneer alle audits worden gehaald en de vinkjes allemaal op groen staan, is dat niet voldoende. Informatieveiligheid is bovendien een dynamisch werkterrein, waarin ontwikkelingen, kansen en bedreigingen elkaar in een hoog tempo opvolgen. Het is daarom cruciaal dat een gemeente tijd en middelen reserveert voor informatiebeveiliging en dat raad en college het onderwerp op hun agenda houden. 2
Maak met het college afspraken over de voortgang van het bouwen aan en vasthouden van een veilige werkomgeving, waarin medewerkers zich bewust zijn van hun rol en verantwoordelijkheden als het gaat om informatieveiligheid.
3
Maak met het college afspraken over de wijze waarop de Raad periodiek geïnformeerd wordt.
5.2 Aanbevelingen voor het College Dit onderzoek over de informatiebeveiliging van gemeente Bergen heeft een operationeel en deels urgent, karakter. Om hieraan recht te doen zijn de rapportages, direct na oplevering door de onderzoekers, met de organisatie gedeeld. De organisatie is op deze manier in staat gesteld eventueel urgent geachte maatregelen direct uit te voeren en heeft hier gebruik van gemaakt. Versterk de menselijke schakel Bij de onderstaande aanbevelingen voor het college is rekening gehouden met de balans die gevonden moet worden tussen gebruikersgemak en veiligheid. De aanbevelingen zijn: 1 Verbeter de naleving van de toegangsregels in beide onderzochte panden. 2 Houdt in de panden tussendeuren te allen tijde gesloten. 3 Beperk de toegangsrechten van bezoekerspassen en laat bezoekers nooit alleen achter. 4 Maak medewerkers bewust van insluipers, tailgating (achterdeur) en de daaraan verbonden mogelijke risico’s. 5 Introduceer of zie toe op de naleving clean desk (geen onbeheerde informatie op bureaus) en clean screen (vergrendeling scherm tijdens afwezigheid). 11
8 november 2022
Vervolgonderzoek Informatiebeveiliging: Please close the door 6 7 8 9
Rekenkamercommissie Bergen (L)
Laat geen datadragers, waaronder ook laptops en iPads, onbeheerd achter. Ook niet op het eigen bureau of in het eigen kantoor. Sluit lades en kasten af en verwijder alle briefjes met daarop inlogcodes en wachtwoorden. Zie erop toe dat alle medewerkers standaard wachtwoorden aanpassen. In algemene zin: houdt de firewall configuratie actueel en controleer wekelijks het netwerkverkeer (log-bestanden en real-time)
12
8 november 2022
Vervolgonderzoek Informatiebeveiliging: Please close the door
Bijlage 1
Rekenkamercommissie Bergen (L)
Overzicht gebruikte documenten
1. Rekenkamercommissie (2019) Quick-scan Informatieveiligheid 2. Awaretrain (2021) Mystery-guest onderzoek 3. IT-Tactics (2021) Penetratietest onderzoek
13
8 november 2022
Vervolgonderzoek Informatiebeveiliging: Please close the door
Bijlage 2
Rekenkamercommissie Bergen (L)
Reactie College van Burgemeester en Wethouders
14
8 november 2022
Vervolgonderzoek Informatiebeveiliging: Please close the door
Bijlage 3
Rekenkamercommissie Bergen (L)
Nawoord Rekenkamercommissie
Wij bedanken het college van burgemeester en wethouders voor de bestuurlijke reactie. Goed te lezen dat het college zich herkent in het rapport van de rekenkamercommissie, blij is met de gegeven handvatten en onze aanbevelingen overneemt. Natuurlijk zijn wij benieuwd naar de wijze waarop de aanbevelingen zijn gekwalificeerd. Daarover wordt in de bestuurlijke reactie geen uitsluitsel gegeven. De commissie ondersteunt het voornemen van het college om met de gemeenteraad in gesprek te gaan en hierover nadere afspraken te maken. Tenslotte willen wij onze dank uitspreken naar de ambtelijke organisatie. Degenen met wie wij tijdens de uitvoering van dit onderzoek contact hebben gehad, hebben hun volledige medewerking gegeven vanuit het perspectief dat ook zij graag willen weten wat verbeterd kan worden. Niet alleen is deze medewerking nodig om een onderzoek als dit mogelijk te maken, maar een dergelijke houding is volgens ons een ook een goed uitgangspunt om de menselijke schakel binnen de gemeente Bergen verder te versterken.
15
8 november 2022