E5 - Burgemeester en wethouders gemeente Brummen - Collegememo analyse intern datalek gemeente Brummen

MEMO DATUM

: 24 juni 2021

AAN

: raad

VAN

: college

BETREFT CC

: analyse intern datalek gemeente Brummen :

Aanleiding Donderdag 10 juni kwam een melding binnen van een raadslid dat hij vertrouwelijke informatie van gemeente Brummen kon inzien. In deze notitie geven we aan wat er met de melding is gedaan, welke informatie is ingezien, wat de achterliggende oorzaken zijn, welke maatregelen zijn getroffen om de vertrouwelijke informatie beter af te schermen en welke structurele maatregelen zijn getroffen om herhaling in de toekomst te voorkomen. Tevens gaan we in op de ernst van dit gebruikers- en beveiligingsincident in het kader van de AVG. Bij de analyse en afhandeling van het gebruikers- en beveiligingsincident heeft I&A gebruik gemaakt van de interne logging van Office 365. Alle raadplegingen en inbreuken op de beveiliging zijn hierin geregistreerd. Indien gewenst zijn de relevante delen uit de gebruikte logfiles onder strikte voorwaarden en vertrouwelijkheid in te zien door de burgemeester, gemeentesecretaris en fractievoorzitters.

Motie Naar aanleiding van de melding is door D66 een motie opgesteld waarin het college wordt opgeroepen aan de raad te presenteren: • een analyse van de gebeurtenissen die hebben geleid tot het datalek die onder andere duidelijk maakt hoe het lek kon ontstaan; sinds wanneer het risico van het ontstaan van zo’n lek aanwezig was; hoe gebruikers zijn geïnstrueerd over de systeemopties en de mogelijke consequenties en gevaren van het gebruik daarvan; • wat is gedaan om het datalek te stoppen en welke gevolgen dat heeft voor het functioneren van het systeem; • Een risico-analyse van het systeem op veiligheidsaspecten in het algemeen; • Een plan van aanpak om te komen tot duurzaam veilige en werkbare systeeminstellingen die aansluiten op de behoeften van de organisatie. Als antwoord hierop kan het college het volgende melden: - De analyse is in deze notitie opgenomen onder het kopje Melding beveiligingsincident. - Het risico op deze lekken was aanwezig vanaf de introductie van Teams in maart 2020, echter op dat moment stonden er nog geen bestanden in. - Gebruikers zijn via Binnenplein geïnstrueerd over het gebruik van Teams. Teams is in 2020 vooral ingezet om digitaal te kunnen vergaderen. Vanaf het begin is geadviseerd geen vertrouwelijke informatie op te slaan in Teams. De raad heeft in april 2020 een training ontvangen in het gebruik van Teams.

In maart/april 2021 is een training verzorgd waarin uitgebreidere mogelijkheden van Teams zijn toegelicht. - Het datalek is gestopt door het direct afschermen van de bestanden die toegankelijk waren. Dit heeft geen gevolgen gehad voor het functioneren van het systeem of de werkbaarheid voor medewerkers en raadsleden.

-

De risico-analyse is uitgevoerd door een externe deskundige op 21 juni. De rapportage is beschikbaar gesteld aan de burgemeester en gemeentesecretaris. In de kopjes maatregelen en structurele maatregelen in deze notitie wordt ingegaan op de noodzakelijke veilige en werkbare systeeminstellingen. Beveiliging heeft altijd impact maar er zal hierdoor geen onwerkbare situatie ontstaan.

Melding beveiligingsincident Op donderdagmiddag 10 juni heeft een raadslid ontdekt dat hij bij vertrouwelijke informatie van gemeente Brummen in Office365 kon komen. Hij heeft direct melding gedaan bij de griffier en een betrokken beleidsmedewerker. Deze hebben vervolgens de Privacy Officer, de CISO, de algemeen directeur/gemeentesecretaris en burgemeester geïnformeerd. Er is direct een onderzoek gestart. Op basis hiervan is geconcludeerd dat inderdaad vertrouwelijk informatie onterecht toegankelijk was, echter alleen na inlog met een @brummen account. Het is dus niet zo dat informatie openbaar toegankelijk was voor personen zonder een @brummen account. De afdeling I&A heeft op dezelfde middag de betreffende informatie ontoegankelijk 1 gemaakt. En is vervolgens een onderzoek gestart naar de aard van de informatie en de achterliggende oorzaken waarom deze informatie toegankelijk was. Op deze plaats willen we het raadslid bedanken voor zijn alertheid en het feit dat hij deze inbreuk op de vertrouwelijkheid direct heeft gemeld. Met deze melding is het voor I&A mogelijk geweest de oorzaken op te lossen en de beveiliging te verbeteren.

Welke informatie is ingezien Uit een nadere analyse van het incident is naar voren gekomen dat op twee verschillende plekken informatie in te zien was, voor iedereen met een @brummen account. Deze informatie was in een aantal gevallen vertrouwelijk. Er zijn geen persoonsgegevens van inwoners van Brummen ingezien. A. een SharePoint-site die voor gebruikers zichtbaar was als “gedeelde documenten” B. een Teamsite met de naam Concerncontrol. A Toelichting SharePoint-site Binnen de standaard installatie van Office365 wordt een zogenaamde Root-sharepointsite aangemaakt. Het is gebruikelijk dat deze site toegankelijk is voor de gehele organisatie. Deze site is ook noodzakelijk voor het functioneren van Office365. Op deze site stonden in totaal 29 documenten van 8 verschillende personen. Deze informatie was in te zien door iedereen met een @brummen account. De informatie op deze site was over het algemeen niet erg vertrouwelijk op 2 documenten na. Deze documenten bevatten persoonsgegevens van een wethouder. De volgende persoonsgegevens staan op deze werkgeversverklaring in verband met ontheffing avondklok Covid-19: naam, adres, geboortedatum. Ze zijn te classificeren als: beperkt vertrouwelijk. Uit de logging blijkt dat in totaal 5 personen (raadsleden en ambtenaren) naar deze documenten hebben gekeken d.m.v.

een zogenaamde filepreview: je ziet dan alleen de naam, bewerker en datum maar niet de inhoud van het document. Zij hebben het document dus niet geopend. Gebleken is dat 1 persoon, degene die de datalek-melding heeft gedaan, daadwerkelijk in 1 van deze beperkt vertrouwelijke bestanden heeft gekeken. Hiermee wordt bedoeld ontoegankelijk voor medewerkers en raadsleden die deze informatie niet nodig hebben voor hun dagelijks werk. 1

B Toelichting Teamsite Bij het aanmaken van Teamsites heeft de eigenaar van de teamsite de keuze om de site “Openbaar2” of “Privé” te maken. Deze instelling is later aan te passen. De site Concerncontrol was “Openbaar”. Op deze site stonden in totaal 3 documenten. Deze documenten bevatten geen persoonsgegevens maar wel vertrouwelijke informatie (namen zorgaanbieders en bedragen over 2019), aanbevelingen van de accountant en gegevens over de risicoanalyse. Uit de logfiles is te zien dat er slechts 1 persoon, de melder van het datalek, zichzelf toegang heeft gegeven tot deze site en deze informatie heeft ingezien.

Wat zijnde achterliggende oorzaken Teams is primair (en versneld) ingevoerd om in de Corona pandemie het digitaal vergaderen mogelijk te maken, zowel voor de gemeenteraad als voor de ambtelijke organisatie. Daarnaast is onze mailomgeving gemoderniseerd. Om van Teams en de mail gebruik te kunnen maken is een Office 365 licentie nodig voor alle medewerkers en raadsleden. A SharePoint-site Uit een nadere analyse van de logfiles is naar voren gekomen dat de 29 documenten op de Sharepointsite zijn terecht gekomen via een bug (fout of ongewenste situatie) in Office365. Wat is het geval. Gebruikers kunnen gebruik maken van Outlook Web Access, d.w.z. toegang tot de mail buiten de normale werkomgeving (Citrix) om. Indien een mail een bijlage bevat is het mogelijk om deze bijlage op te slaan. Office 365 biedt standaard de mogelijkheid om dit ook op Onedrive op te slaan (OneDrive is een onderdeel van Office365 en een middel om bestanden op te slaan die vervolgens voor de gebruiker altijd en overal vanaf elk apparaat toegankelijk zijn). Gemeente Brummen heeft echter Onedrive voorlopig uitgezet (om beveiligingsredenen). Office365 blijkt nu het document toch op te slaan, op de enige mogelijke plek namelijk de Root-site van SharePoint online. Aangezien deze site toegankelijk was voor alle @brummen accounts waren ook de opgeslagen bijlagen in principe toegankelijk.

B Openbare Teamsites Binnen Teams zijn er twee soorten sites mogelijk: Openbaar en Privé. De term “Openbaar” is verwarrend. Anders dan de namen van deze types doen vermoeden werken deze types volkomen identiek, uitgezonderd de manier van lid worden. Maar bij beide types geldt dat uitsluitend de leden van het Team de inhoud en eventueel gedeelde bestanden kunnen inzien. Bij een privé Team moet een eigenaar van het Team mensen bewust lid maken, bijvoorbeeld door ze als lid toe te voegen of ze uit te nodigen middels een toegangscode. Bij een openbaar Team kan iedereen lid worden door op de betreffende knop te klikken. Er vindt dan geen verdere toestemmingsprocedure door een eigenaar plaats. Maar zolang je gèèn lid bent geworden van een openbaar team is de inhoud ervan dus niet zichtbaar en ook niet vindbaar via de zoekfunctionaliteit van Microsoft! Er zijn in totaal 383 Teams-sites in gemeente Brummen. De sites met de meeste documenten stonden al op privé. In totaal stonden 128 Teamsites op Openbaar. Deze waren dus in te zien door iemand die zichzelf lid heeft gemaakt van deze site. Het merendeel van deze sites bevatte echter geen documenten en werd uitsluitend gebruik voor online vergaderen. Openbaar betekent niet toegankelijk voor de buitenwereld. Dit begrip wordt in de volgende paragraaf toegelicht. 2

Zoals hierboven aangegeven is, blijkt uit de logfiles3 dat er de afgelopen periode slechts 1 geval is geweest, waarin op de bovenstaande manier toegang is verkregen op een vertrouwelijke site. Dit is gebeurd door dezelfde persoon die ‘beperkt vertrouwelijke’ informatie van de wethouder heeft ingezien.

Welke maatregelen zijn getroffen om de vertrouwelijke informatie beter af te schermen Alle informatie die toegankelijk was, is vanaf donderdag middag 10 juni afgeschermd. Daarmee is het dus ook niet meer mogelijk om via de bug in Outlook per ongeluk bestanden op te slaan op de SharePoint-site. Daarnaast is het voor gebruikers (medewerkers en raadsleden) op dit moment niet meer mogelijk om zelf teamsites aan te maken. Indien er een nieuwe Teamsite moet komen, kan dit via Topdesk worden aangevraagd bij I&A. I&A zal bovendien de bestaande Teamsites in overleg met de gebruikers opschonen. Deze maatregelen en instructies zullen kenbaar gemaakt worden aan medewerkers en raadsleden. De genomen maatregelen geven vrijwel geen beperking op het gebruik van Teams of Outlook voor medewerkers en raadsleden.

Welke structurele maatregelen zijn getroffen om herhaling in de toekomst te voorkomen. Een externe specialist heeft op maandag 21 juni een uitbreide analyse gemaakt van de beveiliging van de Office 365-omgeving van gemeente Brummen. Daaruit is naar voren gekomen dat de beveiliging van de Office365 omgeving “er niet slecht voor staat”. Omwille van veiligheid zal de burgemeester de fractievoorzitters hierover nader vertrouwelijk laten informeren, aansluitend aan het presidium op 18 augustus a.s.

Classificatie van de ernst van dit beveiligingsincident in het kader van de AVG. De AVG bepaalt wanneer een datalek gemeld moet worden aan de Autoriteit Persoonsgegevens. Risico onwaarschijnlijk De meldplicht is volgens de AVG niet van toepassing en hoeft dus niet te worden gemeld bij de AP als het onwaarschijnlijk is dat de datalek risico’s voor de rechten en vrijheden van natuurlijke personen met zich brengt (artikel 33 AVG). Het datalek moet wel intern worden gemeld en geregistreerd. Dit is reeds gebeurd. Wanneer het onwaarschijnlijk is dat de inbreuk risico’s voor natuurlijke personen met zich meebrengt kan afhangen van verschillende omstandigheden, zoals de aard en omvang van de verwerking die door de datalek zijn getroffen. Er zal eerder sprake zijn van risico’s als het gaat: - Om gegevens per persoon en/of om grote hoeveelheden personen op wie de gegevens betrekking hebben;

-

Als het gaat om (bijzondere) persoonsgegevens die kunnen leiden tot discriminatie, uitsluiting, e.a. zoals: o ras o etniciteit o religie o strafrechtelijke delicten o gezondheid

In de afgelopen 90-dagen. De huidige licentie van gemeente Brummen biedt de mogelijkheid om 90dagen terug te kijken in de logfiles. 3

o

financieel-economische gegevens (bijvoorbeeld problematische schulden)

-

Of tot stigmatisering of maatschappelijke uitsluiting, bijvoorbeeld: o verslaving o schoolprestaties o werk of relatieproblemen

-

Als het gaat om gebruiksnamen en wachtwoorden of andere inloggegevens;

-

Als het om gegevens gaat die kunnen worden gebruikt voor identiteit-fraude, zoals biometrische gegevens of identiteitsnummers, kopieën van identiteitsbewijzen.

Verder is het risico onwaarschijnlijk omdat het gaat om een intern systeem. De gegevens zijn dus niet door mensen buiten de gemeente Brummen te zien geweest. Daarbij is van belang dat iedereen, dus ook medewerkers, collegeleden, raadsleden en steunfractieleden een ambtseed hebben afgelegd met de daarbij behorende wettelijke verplichtingen en verantwoordelijkheden.

Conclusie De melding van het datalek heeft een intensief proces gestart om de beveiliging van de Office365omgeving van de gemeente Brummen te verbeteren. De stappen die gezet zijn na het binnenkomen van de melding (het proces van afhandeling van het incident) zijn daarbij correct verlopen, volgens de eisen uit de Baseline Informatiebeveiliging Overheid. De analyse van de logfiles wijst uit dat de hoeveelheid informatie die onterecht is ingezien zeer beperkt is. Het gaat hierbij zowel om de aard van de informatie, als het aantal personen die onterecht toegang hebben gekregen. Bovendien kunnen we constateren dat medewerkers en raadsleden zich goed hebben gehouden aan de AVG en niet onrechtmatig documenten hebben geraadpleegd. Wij zien dit incident wel als een wake-up call, waardoor I&A maatregelen heeft kunnen nemen om de beveiliging van Office365 te verbeteren. Het incident heeft de afdeling I&A bovendien veel informatie verschaft hoe inbreuken op de vertrouwelijkheid te analyseren zijn: vrijwel elke handeling wordt gelogd4 en inbreuken op de vertrouwelijkheid zijn dus te detecteren. Ten slotte heeft het incident ook bijgedragen aan de bewustwording hoe belangrijk het is om informatie goed af te schermen, zowel technisch als door menselijk handelen.

4 Het is wel belangrijk te vermelden dat I&A, juist ook vanwege de eisen in de AVG, niet zomaar logfiles

mag controleren op mogelijke inbreuken. Dit mag alleen na een incident en toestemming van een leidinggevende/bestuur en dus niet vooraf.