1b Presentatie De wereld van cybersecurity

Mick Deben BSc. CISSP CRISC CGEIT CCSP mr. Jacco C.L Beks Datum: 20 september 2022 Versie: 1.0 Classificatie: openbaar

Cybersecurity is belangrijker dan ooit

Toen vs. nu

2

Spaghetti

3

Gemeenten in het nieuws

4

Gemeenten in het nieuws “Datalek gemeente Veenendaal door technische handeling softwareleverancier”.

“Gemeente Apeldoorn Lekt inloggegevens duizenden gebruikers Stadspas”.

“Aanvaller gemeente Buren kreeg toegang via vpnwachtwoord van 14 karakters (ransomwareaanval)”.

“Gemeente Noordenveld getroffen door ransomware-aanval”. 5

Informatiebeveiliging of cybersecurity?

Informatiebeveiliging vs. cybersecurity Beschikbaarheid

Mens

Fysieke veiligheid

informatiebeveiliging

Techniek

Proces

Integriteit

Vertrouwelijkheid

7

Informatiebeveiliging vs. cybersecurity Vernietiging Opslag

Apparatuur

Wijziging

Cybersecurity

Technologieën

Openbaring Informatie

8

Essentie van cybersecurity

Cybersecurity framework

IDENTIFICEREN

BESCHERMEN

DETECTEREN

REAGEREN

HERSTELLEN

10

Cybersecurity framework IDENTIFICEREN

BESCHERMEN

DETECTEREN

REAGEREN

HERSTELLEN

Weten wat je in huis hebt

Wat je in huis hebt adequaat beschermen

Het kunnen detecteren van afwijkingen en gebeurtenissen

Als het toch misgaat adequaat kunnen reageren

Kunnen herstellen naar normale operatie

11

12

Waarom en hoe vinden cyberaanvallen plaats?

14

Dreigingen Dreigingen Dreigingen

Dreigingen Dreigingen

Dreigingen

15

Unified Cyber Kill Chain

S c h a d e

16

Aanvalstechnieken Schade

17

Verdedigingstechnieken

18

Cyberoorlog

19

Het verborgen deel van het internet

Darkweb

21

Darkweb

22

Darkweb

23

Uitgelekte data

24

Rol van de raad

Rol van de raad • Laat je periodiek informeren over de belangrijkste aspecten van informatiebeveiliging en cybersecurity • ENSIA heeft een zeer beperkte scope en diepgang en is daarom onvoldoende voor een goed beeld • Zoek ondersteuning: penetratietesten, audits, volwassenheidsonderzoek, accountant, rekenkamer, etc. 26

Privacybescherming

Gevolgen van een hack (1/4) FEITELIJKE GEVOLGEN A. Voor de organisatie: verstoring van dienstverlening, verlies van gegevens, financiële schade, reputatieschade B. Voor de betrokken personen: financiële schade, identiteitsfraude, reputatieschade, discriminatie, schending van beroepsgeheim

28

Gevolgen van een hack (2/4) JURIDISCHE GEVOLGEN A. Meldplicht ‘datalek’ bij Autoriteit Persoonsgegevens

B. Bovendien informatieplicht betrokken personen bij ‘hoog risico’ • Achtergrond: transparantie is nodig om betrokkenen in staat te stellen maatregelen te treffen zich te wapenen tegen mogelijke gevolgen van een datalek 29

Gevolgen van een hack (3/4) JURIDISCHE GEVOLGEN (2): A. Boete AP bij niet/niet tijdig (72 uur) melden

B. Boete AP, indien uit gemeld datalek blijkt dat in ernstige mate niet werd voldaan aan de basisverplichtingen van de AVG (waaronder eis ‘passende beveiliging’) C. Civielrechtelijke schadevergoedingsacties, waaronder een collectieve actie namens een zeer grote groep gedupeerde (WAMCA), zoals bij GGD datalek

30

Gevolgen van een hack (4/4) GEVOLGEN IN POLITIEKE CONTEXT • Raad kan college ter verantwoording roepen (controlerende taak van de raad) • Informatieplicht college / vragenrecht raadsleden (art. 169 Gemeentewet) • Bevraag niet alleen op incidenten, maar ook ‘aan de voorkant’, op de aanwezigheid van (beveiligings)beleid 31

Rol gemeenteraad bij IB en privacy • Stel de algemene kaders/doelen vast van IB en privacy (kaderstellende rol raad), en bewaak vervolgens vooral dat het college daarnaar handelt; eis dat het college de raad goed en begrijpelijk informeert en stel als raadslid vragen als je behoefte hebt aan meer informatie (controlerende rol raad). • Zoek ondersteuning: accountant, rekenkamer, FG, CISO, regio. 32

Securing Businesses since 2011

Mick Deben BSc. CISSP CRISC CGEIT CCSP & mr. Jacco C.L. Beks mick.deben@dmcgroup.nl jacco.beks@dmcgroup.nl Postbus 928 6200 AX Maastricht

www.dmcgroup.nl