Rapport RKC DWD Tussen beeldscherm en bureaustoel - 2023

Rapport ”Tussen beeldscherm en bureaustoel” Informatiebeveiliging en privacy Gemeenten De Wolden en Hoogeveen

Figuur 1 Jan Alexander via Pixabay.

Rekenkamercommissies De Wolden en Hoogeveen November 2023

Auteur: drs. Etienne Lemmens Prae Advies en onderzoek, Utrecht Prae BV, Buys Ballotstraat 35, 3572 ZT Utrecht | T 06-11226755 | E info@prae-advies.nl | W www.prae-advies.nl KvK 321 249 60 | BTW NL8182.21.227 | IBAN: NL93 INGB 0004 9860 86

Inhoudsopgave INHOUDSOPGAVE ........................................................................................................................ 2 SAMENVATTING, CONCLUSIES EN AANBEVELINGEN ...................................................................... 4 SAMENVATTING................................................................................................................................. 4 CONCLUSIES ...................................................................................................................................... 5 TECHNIEK ......................................................................................................................................... 5 ORGANISATIE EN BELEID ...................................................................................................................... 6 MENS EN GEDRAG .............................................................................................................................. 8 HOOFDVRAAG ................................................................................................................................... 9 AANBEVELINGEN ................................................................................................................................ 9 1

INLEIDING ........................................................................................................................... 11 1.1

2

DOELSTELLING, ONDERZOEKSVRAGEN EN AANPAK .............................................................. 12 2.1 2.2 2.3

3

LEESWIJZER .......................................................................................................................... 11

DOELSTELLING EN ONDERZOEKSVRAGEN .................................................................................... 12 KORTE INLEIDING OP INFORMATIEBEVEILIGING EN PRIVACY ........................................................... 13 AANPAK ............................................................................................................................... 15

BEVINDINGEN ..................................................................................................................... 16 3.1 3.2 3.3

TECHNIEK ............................................................................................................................. 16 ORGANISATIE EN BELEID ......................................................................................................... 25 MENS EN GEDRAG ................................................................................................................. 43

BESTUURLIJKE REACTIE ............................................................................................................... 49 NAWOORD................................................................................................................................. 54 BIJLAGE 1. CASESTUDIE WMO-AANVRAAG - CONCEPT ................................................................. 56 AANVRAAG ..................................................................................................................................... 56 AFDELING ZORG .............................................................................................................................. 56 GESPREK EN REGISTRATIE VAN (BIJZONDERE) PERSOONSGEGEVENS .......................................................... 57 AUTORISATIES ................................................................................................................................. 58 MET WELKE 3E PARTIJEN WORDT DE INFORMATIE GEDEELD ..................................................................... 59 DPIA EN VERWERKERSOVEREENKOMST ................................................................................................ 60 AFDELINGSOVERLEGGEN ................................................................................................................... 60 BIJLAGE 2.

VEEL VOORKOMENDE TERMEN EN AFKORTINGEN ...................................................... 62 BIJLAGE 3. LIJST GERAADPLEEGDE STUKKEN EN LIJST RESPONDENTEN ......................................... 65 GERAADPLEEGDE STUKKEN ................................................................................................................ 65 FUNCTIES RESPONDENTEN ................................................................................................................. 67 BIJLAGE 4. ONDERZOEKSVRAGEN EN NORMEN ........................................................................... 68 BIJLAGE 5. VOLWASSENHEIDSNIVEAU NOREA ............................................................................. 70 2

3

Samenvatting, conclusies en aanbevelingen Samenvatting

Informatieveiligheid

Informatieveiligheid binnen de gemeente is van groot belang. Voor inwoners om te garanderen dat de gemeentelijke dienstverlening doorgaat, dat paspoorten verstrekt worden, dat inwoners kunnen vertrouwen op inkomensondersteuning met waarborg van hun persoonsgegevens. Maar ook van groot belang is de bescherming van gegevens over ruimtelijke projecten, financiën en veiligheid in de stad. Gezien recente hacks blijken gemeenten daarop kwetsbaar en de financiële impact bij lokale overheden en instellingen onderstrepen het belang van het op orde hebben van informatieveiligheid. Cybercriminelen, op individueel en statelijk niveau, liggen op de loer. De ontwikkelingen gaan razendsnel, mede door Artificiële Intelligentie (AI).

BIO, AVG, NIS2

Gemeenten hebben op vrijwillige basis in VNG-verband afgesproken de maatregelen uit de Baseline Informatiebeveiliging Overheid (BIO) te implementeren. Daarmee borgen ze op basisniveau de beschikbaarheid, vertrouwelijkheid en integriteit van de gegevens die gemeenten verwerken. Vanuit de EU is vanaf 2018 de Algemene Verordening Gegevensbescherming (AVG) van kracht om de privacy van persoonsgegevens te garanderen. Vanaf oktober 2024 worden met de Network and Information Security directive (NIS2) vanuit de EU de richtlijnen voor cyberbeveiliging en weerbaarheid van essentiële diensten strakker in wetgeving vormgegeven.

Rekenkameronderzoek

De rekenkamercommissies de Wolden en Hoogeveen hebben onderzoek uitgevoerd naar de informatieveiligheid binnen de SWO om de gemeenteraden inzicht te geven in de opgaven, de stand van zaken, de doelmatigheid en doeltreffendheid van de informatieveiligheid van de gemeenten. En om aanbevelingen voor mogelijke verbeteringen te doen naar aanleiding van de bevindingen en conclusies. Doel is om een gedegen beeld te krijgen van de aanwezige kwetsbaarheden, van het beveiligingsniveau van zowel de organisatie, mens als techniek (ICT). In mei en juni 2023 zijn in opdracht van de Rekenkamercommissies door ethische hackers verschillende testen uitgevoerd op de systemen van de SWO, en phishing mails verstuurd naar medewerkers van de SWO en raadsleden van De Wolden en Hoogeveen. Daarnaast zijn de beleidsdocumenten op informatiebeveiliging en privacy bestudeerd en interviews gehouden met sleutelpersonen. Ook is een casestudie gedaan naar de wijze waarop de SWO met een brok informatie omgaat, specifiek met betrekking tot de aanvraag voor een Wmo-voorziening. 4

Hoofdvraag en -conclusie

De hoofdvraag die de rekenkamercommissies willen beantwoorden is “Hoe doelmatig, doeltreffend en rechtmatig zijn de gemeenten de Wolden en Hoogeveen om de informatieveiligheid te waarborgen?” De hoofdconclusie die de rekenkamercommissies trekken is dat de SWO zijn best doet, maar dat dat niet voldoende is. Er is te weinig capaciteit in de organisatie en er worden te weinig middelen ter beschikking gesteld om informatieveiligheid op het vereiste niveau te brengen. Er worden de nodige onderzoeken en analyses op informatieveiligheid door of in opdracht van de SWO uitgevoerd, maar de aanpak van veel van de geconstateerde risico’s laat vaak op zich wachten. Het risicobewustzijn bij medewerkers en het urgentiegevoel bij leidinggevenden, management en bestuur om hierop te sturen behoeft verbetering. De rekenkamercommissies constateren risico’s dat de uitvoering van het beleid op onderdelen niet effectief is en dat gemeenten, en daarmee inwoners en instellingen risico’s lopen. Naar aanleiding van de testen van de ethische hackers, die in opdracht van de rekenkamercommissies zijn uitgevoerd, zijn risico’s aangetroffen. De SWO is van de kwetsbaarheden die aangetroffen zijn op de hoogte gesteld en heeft maatregelen getroffen deze aan te pakken.

Aanbevelingen

De rekenkamercommissies hebben, naar aanleiding van de bevindingen, conclusies en aanbevelingen geformuleerd ter verbetering van de uitvoering van het beleid op informatiebeveiliging en privacy. Dat zijn aanbevelingen in de richting van de colleges van B&W ten aanzien van de uitvoering van het beleid, mede met de SWO op de achtergrond. Ook zijn aanbevelingen gericht aan colleges en gemeenteraden om gezamenlijk ambities op informatieveiligheid vast te stellen en de informatiepositie van de raad op dit onderwerp bespreekbaar te maken en te verbeteren. En tot slot aanbevelingen aan de gemeenteraden om de kaderstellende en controlerende rol die zij hebben beter in te kunnen vullen. De ervaringen met hacks in gemeenteland is dat informatieveiligheid niet meer beperkt is tot een technische uitvoeringszaak, maar een plek op de bestuurlijke agenda’s van colleges en gemeenteraden verdient.

Conclusies Hieronder gaan we in op de conclusies naar aanleiding van de bevindingen uit het rekenkameronderzoek medio 2023 is uitgevoerd bij de gemeenten De Wolden en Hoogeveen. In deze paragraaf geven we de conclusies op basis van de driedeling Techniek, Organisa�e en beleid en Mens en gedrag. Afgesloten wordt met aanbevelingen aan de colleges van B&W en de gemeenteraden van beide gemeenten.

Techniek De onderzoeksvragen over de techniek betreffen de daadwerkelijke veiligheid van de systemen en de aandacht daarvoor. 5

De Samenwerkingsorganisa�e De Wolden Hoogeveen (hierna: SWO) hee� in de afgelopen vijf jaar verschillende kwetsbaarheidsanalyses en een enkele pentest laten uitvoeren op de systemen. Daaruit bleken kri�eke en erns�ge kwetsbaarheden die niet al�jd met de benodigde urgen�e zijn opgepakt. Voor inwoners kan dit erns�ge gevolgen hebben. Zoals BSNnummers of persoonsgegevens van kwetsbare groepen die door een kwaadwillende hacker buit worden gemaakt en mogelijk op straat komen te liggen. Dat is geen denkbeeldig risico, zoals bijvoorbeeld blijkt in geval van Hof van Twente. Daarnaast lopen de gemeenten grote financiële risico’s en is er sprake van grote schade op het vlak van bestuur en reputa�e.

Organisa�e en beleid Hieronder vallen de onderzoeksvragen over de risicoanalyses, het informa�ebeveiligingsbeleid, concrete ac�viteiten in het kader van het informa�ebeveiligingsbeleid, de rollen en verantwoordelijkheden, informa�e aan de raad en data-ethiek. Risicoanalyses

Het informa�ebeveiligingsbeleid moet volgens de Baseline Informa�ebeveiliging Overheid (BIO) gebaseerd zijn op risicomanagement. Overheden moeten op basis van onder andere risicoanalyses controleren waarop ze nog niet voldoen aan de basiseisen van de BIO, welke risico’s ze daardoor lopen, welke maatregelen ze treffen en welke risico’s ze accepteren. De laatste analyses dateren uit 2021. In 2021 is naar aanleiding van de reguliere actualisa�e een Ac�eplan opgesteld. Die laatste is omgevormd tot een Risicobehandelplan, waarop nog een bestuurlijk besluit moet worden genomen. Ondertussen wachten risico’s die in een pentest uit 2018 en de verschillende analyses zijn geconstateerd op verbetermaatregelen. Daarbij wordt verwezen naar ontbrekende middelen en capaciteit.

Informa�ebeveiligingsbeleid

Het strategisch informa�ebeveiligingsbeleid is geformuleerd in 2022, waarbij het privacybeleid uit 2018 als bijlage is toegevoegd. Een nieuw privacybeleid is in ontwikkeling. In het strategische beleid zijn de rollen beschreven en verantwoordelijkheden op informa�ebeveiliging belegd. Het tac�sche beleid bestaat uit protocollen en leidraden op de diverse beleidsterreinen van informa�ebeveiliging en privacy. Een deel daarvan is vastgesteld, maar een deel is ook nog in ontwikkeling. De meeste protocollen en leidraden zijn op 2 datums vastgesteld in 2022 en 2023. Daarmee voldoen de gemeenten weliswaar voor een deel aan de eisen van de BIO, maar de protocollen zijn nog niet volledig doorvertaald naar het niveau van werkprocessen. Daardoor worden aspecten op informa�ebeveiliging en privacy te weinig of te laat in de uitvoering betrokken. Dat blijkt onder meer ook uit de casestudie die in het rapport is opgenomen. De func�onarissen op informa�ebeveiliging en privacy worden niet al�jd of niet �jdig betrokken door lijnmanagement. Deels komt dat ook door gebrek aan capaciteit op de func�es op informa�ebeveiliging en privacy. Dat zorgt voor risico’s op ineffec�viteit en inefficiën�e bij de uitvoering van werkprocessen. 6

Rollen en verantwoordelijkheden

In een bijlage bij het strategische beleid zijn de rollen en verantwoordelijkheden beschreven. Daarin zijn de verantwoordelijkheden beschreven van bestuur, direc�e, (lijn)management, medewerkers en de func�onarissen op informa�ebeveiliging en privacy. En die van de func�onarissen op informa�ebeveiliging en privacy. De Chief Informa�on Security Officer (CISO) is voor 0,5 �e aangesteld en combineert de func�e met de func�e van Chief Informa�on Officer (CIO). De cruciale func�e van CISO is bij I&A geposi�oneerd, wat niet in overeenstemming is met een van de lijn ona�ankelijke posi�onering zoals door de IBD wordt geadviseerd. Dat kan een risico op ineffec�viteit met betrekking tot de strategische func�e van de CISO inhouden. De Func�onaris Gegevensbescherming wordt extern met een overeenkomst van opdracht ingevuld. De (Chief) Privacy Officer (CPO en PO) is intern voor in totaal 1 �e ingevuld. Naast deze func�onarissen is er plek voor een Controller informa�eveiligheid, vier I-adviseurs op deelgebieden en enkele beveiligingsbeheerders (onder andere BRP, BAG-BGT-BRO, ICT, HRM en Archief). Ter ondersteuning van de CPO en PO zijn medewerkers gepolst om privacy-ambassadeur in de teams te worden. Deze neventaken worden vanaf het najaar van 2023 ingevuld.

Als deze invulling van de privacy ambassadeurs zo wordt gerealiseerd is er met betrekking tot de func�es voldoende aandacht voor gegevensbescherming in de teams aanwezig. Geconstateerd wordt dat er voldoende momenten zijn voor overleg tussen de professionals op informa�ebeveiliging en privacy om de tac�sche en opera�onele zaken te bespreken. Er zijn bij de SWO twee �jdelijke Informa�on Security Officers (ISO) voor in totaal 0,4 �e werkzaam. Er is behoe�e aan uitbreiding en structurele invulling van deze func�es. Mede daardoor stagneert de doorvertaling van de protocollen op informa�eveiligheid naar werkprocessen.

Ac�viteiten

Het tekort aan capaciteit, onder andere vanwege de krapte op de arbeidsmarkt, zorgt voor vertraging in de realisa�e van de benodigde ac�viteiten. Dat zijn ontwikkelac�viteiten in verband met de stormach�ge ontwikkelingen in het veld en verbeterac�viteiten naar aanleiding van de uitgevoerde assessments en testen. Zo zijn verbetermaatregelen uit de pentest uit 2018 en latere risico- en kwetsbaarheidsanalyses pas in 2022 gerealiseerd of wachten nog op realisa�e. Dit komt door gebrek aan structurele middelen en gebrek aan capaciteit. Ook wordt vooralsnog een managemen�nforma�esysteem voor informa�eveiligheid (ISMS) gemist om rapportages op te leveren, ac�viteiten te beleggen en te volgen. Het ligt in de bedoeling deze systema�ek op korte termijn uit te proberen en te laten ondersteunen door een ISMS-applica�e.

Informa�e aan de raad

In de BIO is opgenomen dat de raden jaarlijks in het kader van de planningen control-cyclus over informa�eveiligheid worden geïnformeerd. In de jaarstukken van de gemeenten wordt op hoofdlijnen hierover gerapporteerd. De raden krijgen via de jaarlijkse ENSIA rapportages een update over de stand van zaken. De ENSIA rapportage bevaten de 7

verplichte collegeverklaringen over DigiD en Suwinet, of en in hoeverre de gemeente voldoet aan de BIO-maatregelen en resultaten van de assessments op applica�es als de Basisregistra�e Personen (BRP), Basisregistra�e Adressen en Gebouwen (BAG) en Waardering Onroerende Zaken (WOZ). `

In 2022 hebben de func�onarissen op informa�ebeveiliging en privacy een presenta�e voor een van de gemeenteraden verzorgd. Voorts zoomt de accountant in op de beveiligingsaspecten van een beperkt aantal applica�es in, met een nadruk op de financiële rechtma�gheid. En tot slot hee� de raad van Hoogeveen antwoord gekregen op vragen van een frac�e over informa�ebeveiliging en privacy. De conclusie is dat de informa�evoorziening over de stand van zaken met betrekking tot informa�eveiligheid aan de gemeenteraden voldoet aan de basiseisen. Gezien de risico’s die gemeenten hiermee lopen, kan geconcludeerd worden dat de raden zeer summier en alleen op hoofdlijnen worden geïnformeerd.

Data-ethiek

In het Informa�ebeleid 2022-2022 wordt gewag gemaakt van data-ethiek binnen het kader van privacywetgeving. Het thema is niet verder uitgewerkt, bijvoorbeeld niet naar digitale inclusie zodat niemand wordt buitengesloten om mee te doen aan het digitale �jdperk. Ook is het beleid niet uitgewerkt naar controleerbaarheid, zodat op een democra�sch verantwoorde wijze de digitale en fysieke ruimte wordt ingericht. Geconstateerd kan worden dat data-ethiek bij de gemeenten nog in de kinderschoenen staat en verdere bewustwording en uitwerking op dit thema gewenst is.

Mens en gedrag Bewustwording

Een van de belangrijkste aspecten in het kader van informa�eveiligheid is het risicobewustzijn van medewerkers. Gevraagd naar wat er goed gaat op het gebied van informa�ebeveiliging en privacy antwoorden de respondenten dat bewustwording toeneemt, maar dat dat nog lang niet op het gewenste niveau is. Deze conclusie wordt ondersteund door de bevindingen uit de verschillende assessments en kwetsbaarheidsanalyses. Het gemiddelde volwassenheidsniveau van de medewerkers is rela�ef laag en medewerkers zijn nauwelijks op de hoogte van de verantwoordelijkheden, regels en verplich�ngen met betrekking tot informa�eveiligheid. Er is nog geen structurele plek voor informa�ebeveiliging en privacy in het inwerkprogramma en het management draagt het belang van deelname aan opleiding of training niet uit. De phishingmail test in het kader van dit rekenkameronderzoek, onder medewerkers van SWO en raadsleden van de twee gemeenten, wees uit dat op het herkennen van phishing mails en risicobewustzijn ingezet moet blijven worden. Posi�ef signaal is dat medewerkers bereid zijn om ambassadeur op informa�ebeveiliging en privacy te worden, inclusief een wethouder en burgemeester. 8

Op informa�ebeveiliging lopen de gemeenten een groot risico op het onderwerp bewustwording, een thema dat con�nue aandacht vergt. Betrokkenheid bestuur en management

Issues op informa�ebeveiliging en privacy komen op de direc�e- en bestuurlijke tafels aan bod. Veel signalen worden afgegeven in de assessments en rapportages die op deze tafels terecht komen, met de boodschap dat het nodige gedaan en geïnvesteerd moet worden om informa�eveiligheid op het basisniveau te krijgen die de BIO voorschrij�. De urgen�e wordt wel gevoeld, maar de indruk is dat de doorze�ngskracht er niet is om structurele middelen ervoor beschikbaar te stellen. Daardoor ontstaat vertraging bij de uitvoering van benodigde maatregelen op informa�eveiligheid en lopen de gemeenten een groot risico op ineffec�viteit. De ervaring van de afgelopen jaren met de risico’s op incidenten en hacks in gemeenteland is dat informa�eveiligheid ‘chefsache’ is. Geconstateerd wordt dat informa�eveiligheid geen onderdeel uitmaakt van de collegeambi�es van de gemeenten en dat geen van de collegeleden verantwoordelijk is voor deze portefeuille.

Hoofdvraag De SWO doet zijn best, maar dat is niet voldoende: er is te weinig capaciteit en er wordt te weinig geld ingezet voor informa�eveiligheid. Daardoor lopen de gemeenten, en bijgevolg de inwoners, grote risico’s. Zij voldoen nog niet aan de BIO, de algemene basiseisen die gemeenten zichzelf stellen om de informa�ebeveiliging op orde te hebben. De aanbevelingen vloeien dan ook uit deze algemene constatering voort. De aanbevelingen zijn onderverdeeld in aanbevelingen gericht aan de colleges van B&W, aan de gemeenteraden van De Wolden en Hoogeveen en aan colleges en raden samen.

Aanbevelingen Aanbevelingen aan de colleges van B&W 1. Beleg informatieveiligheid als aandachtsgebied bij een van de collegeleden, bij voorkeur de burgemeester, en organiseer bestuurlijke doorzettingskracht op informatiebeveiliging en privacy. 2. Zorg dat procedure en richtlijnen op informatiebeveiliging en privacy in de werkprocessen worden ingebed. Daarmee wordt niet alleen op papier aan de BIO en AVG voldaan, maar ook de daadwerkelijke werking van de maatregelen in de praktijk. 3. Positioneer de cruciale positie CISO onafhankelijk van de lijn. De Informa�ebeveiligingsdienst (IBD) hee� hiervoor richtlijnen opgesteld. 4. Zorg voor voldoende kwalitatieve en kwantitatieve capaciteit op informatiebeveiliging en privacy om de ambities (zie hierna) te realiseren. 9

Mogelijk is samenwerking hierop met omliggende gemeenten en/of provincie nodig om voldoende capaciteit of schaalgrootte te realiseren. 5. Ga verder met implementatie van een Informatiemanagementsysteem voor informatieveiligheid (ISMS). Daarmee worden activiteiten op informatiebeveiliging en privacy meer plan- en volgbaar, rapportages voor ENSIA makkelijker op te stellen en kan de PDCA-cyclus op informatiebeveiliging en privacy ingericht worden. 6. Investeer in activiteiten om het risicobewustzijn van medewerkers te bevorderen en zorg dat het management de noodzaak hiervan inziet en dat uitdraagt. 7. Maak tempo met het vervolledigen van het (tactisch) informatieveiligheidsbeleid, door de nog ontbrekende protocollen en richtlijnen vast te stellen. Aanbevelingen aan colleges en raden 8. Formuleer samen ambities op informatiebeveiliging en privacy. Bijvoorbeeld over welke periode de gemiddelde taakvolwassenheid van de medewerkers op een bepaald niveau moet zijn, wanneer de gemeenten aan de BIO moeten voldoen enz. 9. Spreek samen af op welke wijze de raad geïnformeerd wordt over informatiebeveiliging en privacy. Bijvoorbeeld halfjaarlijks in een aparte raadscommissie of een commissie onder een bestaande commissie. 1 10. Formuleer samen beleid op data-ethiek, hoe gemeenten verantwoord omgaan met data van inwoners.

De Agenda Digitale Grondrechten en Ethiek 2022-2026 van de VNG kan hierbij behulpzaam zijn. 2 Aan de raden 11. Zorg dat er in overeenstemming met de ambities structureel middelen ter beschikking worden gesteld om de activiteiten op informatiebeveiliging en privacy te financieren. Onder andere het Risicobehandelplan 2023-2026 biedt daarvoor de financiële kaders. De IBD geeft hier richtlijnen voor, zoals 10% van het budget voor ICT. 12. Zorg ervoor dat je als raad voldoende geïnformeerd wordt op informatiebeveiliging en privacy. Bijvoorbeeld door externe expertise te raadplegen, zoals de accountant of een beveiligingsexpert.

1 2

Zo heeft bijvoorbeeld de gemeente Hof van Twente een commissie op ICT onder de auditcommissie die regelmatig wordt gebriefd over de voortgang op de beveiligingsmaatregelen. https://vng.nl/sites/default/files/2022-02/agenda_digitale_grondrechten_en_ethiek_2022-2026.pdf

10

1 Inleiding Gemeenten zijn kwetsbaar

Onder andere door de toegenomen taken in het sociaal domein beheren en verwerken gemeenten meer en meer persoonsgegevens en gevoelige data. Dat doen gemeenten in toenemende mate met digitale hulpmiddelen. Gemeenten zijn kwetsbaar, zoals onder andere blijkt uit datalekken en hacks. Wat gebeurt er bijvoorbeeld als gevoelige informatie op straat komt te liggen of op het dark web wordt aangeboden? Of als de gegevens worden gegijzeld en de digitale dienstverlening aan burgers niet meer mogelijk is? Naast ernstige financiële, juridische en technische gevolgen kunnen deze crises de privacy van burgers en het imago van de gemeente aantasten. 3 Dit zijn redenen voor de rekenkamercommissies De Wolden en Hoogeveen geweest om een onderzoek te doen naar opzet, bestaan en werking van het informatiebeveiliging- en privacybeleid in de gemeenten en de ambtelijke samenwerkingsorganisatie SWO.

1.1 Leeswijzer Samenvatting, conclusies en aanbevelingen zijn in het hieraan voorafgaande hoofdstuk opgenomen. In hoofdstuk 2 behandelen we de doelstelling, onderzoeksvragen en de aanpak van het onderzoek. Hoofdstuk 3 bevat de bevindingen, geordend aan de hand van de onderzoeksvragen. Deze bevindingen zijn getoetst bij de in dit onderzoek betrokken respondenten (inclusief de feitencheck door middel van ambtelijke hoor en wederhoor). In bijlage 1 is de casestudie naar een Wmo-aanvraag die bij de gemeente binnenkomt opgenomen. Een korte samenvatting van de casestudie is in §3.2.4 opgenomen. In de bijlage 2 staan veel gebruikte termen en afkortingen die gebruikt worden bij informatieveiligheid en privacy. Daarna volgt in bijlage 3 de lijst met geraadpleegde stukken en de lijst met functies van de respondenten. Vervolgens komen in bijlage 4 de normen aan bod, gekoppeld aan de onderzoeksvragen. In §3.2.5 wordt verwezen naar het volwassenheidsniveau zoals gehanteerd door de beroepsorganisatie van ITauditors in Nederland (de Nederlandse Organisatie van Register EDPAuditors, NOREA.). Daarom is deze in een tabel in bijlage 5 opgenomen

3

Gemeenten hebben in 2013 in verband van de Vereniging van Nederlandse Gemeenten (VNG) afgesproken te voldoen aan de maatregelen van de Baseline Informatiebeveiliging Gemeenten (BIG). De BIG is vanaf 2020 vervangen door de Baseline Informatiebeveiliging Overheid (BIO). De baseline is gebaseerd op de ISO-normering (NEN-ISO 27002) met richtlijnen voor informatiebeveiligingsnormen. In 2021 hebben gemeenten in VNG-verband afgesproken structureel voldoende middelen voor de weerbaarheid tegen digitale bedreigingen vrij te maken. Vanaf 25 mei 2016 schrijft de Algemene Verordening Gegevensbescherming (AVG of GDPR) voor de gehele Europese Unie voor dat passende maatregelen getroffen moeten worden om persoonsgegevens te beveiligen, in het belang van de burger, overheden en bedrijven/instellingen. Vanwege een overgangstermijn van 2 jaar wordt de AVG vanaf 25 mei 2018 gehandhaafd.

11

2 Doelstelling, onderzoeksvragen en aanpak 2.1 Doelstelling en onderzoeksvragen Doelstelling en hoofdvraag

De Rekenkamercommissies De Wolden en Hoogeveen willen de gemeenteraden inzicht geven in de stand van zaken in de gemeenten, en SWO, met betrekking tot beleid en uitvoering van informatiebeveiliging en privacy. Deze doelstelling is vertaald naar de volgende hoofdvraag: “Hoe doelmatig, doeltreffend en rechtmatig zijn de gemeenten de Wolden en Hoogeveen om de informatieveiligheid te waarborgen?”

Onderzoeksvragen

De doelstelling en hoofdvraag worden uitgewerkt aan de hand van de onderzoeksvragen zoals opgenomen in onderstaande tabel 2.1. Zoals bij informatieveiligheid gebruikelijk is zijn de vragen door middel van de trits Techniek > Organisatie en beleid > Mens en gedrag opgedeeld.

Tabel 2.1. Onderzoeksvragen 1. Techniek

1.1. Zijn het netwerk en de bedrijfskritische systemen voldoende technisch beveiligd om ongeautoriseerde toegang te voorkomen? 1.2. Is er extra aandacht voor de technische beveiliging van gevoelige informatie, zoals persoonlijke gegevens?

2. Organisatie en beleid

2.1. Worden er systematische en actuele risicoanalyses gemaakt rond informatiebeveiliging en worden er op basis daarvan passende beheersmaatregelen genomen? 2.2. Biedt het informatiebeveiligingsbeleid voldoende basis voor de bescherming van gegevens? 2.3. Zijn binnen de organisatie de rollen en verantwoordelijkheden voor informatiebeveiliging helder belegd? En is de organisatie qua formatie toegerust om het informatiebeveiligingsbeleid uit te voeren? 2.4. Is het informatiebeveiligingsbeleid vertaald naar concrete activiteiten en zijn hiervoor voldoende middelen beschikbaar gesteld? 2.5. Wordt de raad periodiek geïnformeerd over de status van de informatiebeveiliging? 2.6. Is er sprake van data-ethiek: wordt er gereflecteerd op dat wat er met data gebeurt? Is er sprake van een bewuste, reflectieve omgang met data, waarin de wenselijkheid van het datagebruik en de doelen ervan wordt bevraagd?

3. Mens en Gedrag

3.1. Zijn medewerkers zich bewust van informatiebeveiligingsrisico’s en is voor medewerkers duidelijk wat van hen verwacht wordt ten aanzien van informatiebeveiliging? 3.2. Is het hogere management actief betrokken bij informatiebeveiliging en het uitdragen daarvan binnen de organisatie?

Voor de normen bij deze onderzoeksvragen verwijzen we naar bijlage 4.

12

2.2 Korte inleiding op informatiebeveiliging en privacy Informatiebeveiliging

Informatiebeveiliging gaat over het geheel aan preventieve, detectieve en correctieve maatregelen, procedures en processen die de beschikbaarheid, integriteit en vertrouwelijkheid (BIV) van de informatie binnen een organisatie garanderen. Doel is de continuïteit van de informatie en de informatievoorziening of dienstverlening te waarborgen en eventuele gevolgen van (beveiligings)incidenten te beperken. Het beleid dat gemeenten hierop hebben afgesproken is neergelegd in de Baseline Informatiebeveiliging Overheid (BIO). 4 De BIO bevat maatregelen die gemeenten op basis van een risicoanalyse kunnen nemen om aan het basisniveau voor informatiebeveiliging te voldoen.

Gegevensbescherming

Gegevensbescherming betreft de regels voor de verwerking van persoonsgegevens door bedrijven, instellingen en overheden. Doel is de privacy van burgers op een adequate manier te beschermen. De Europese General Data Protection Regulation (GDPR), in Nederland bekend als de Algemene Verordening Gegevensbescherming (AVG), is sinds mei 2018 van kracht.

Informatieveiligheid

De AVG schrijft onder andere voor dat passende maatregelen getroffen moeten worden om persoonsgegevens te beveiligen, in het belang van de burger en de gemeenten zelf. De twee onderwerpen informatiebeveiliging en gegevensbescherming (privacy) hebben dus onderling een grote overlap. Een deel van de protocollen en procedures op beide terreinen komen met elkaar overeen. Overkoepelend wordt vaak de term informatieveiligheid gebruikt, zie onderstaand afbeelding 2.1.

4

Gemeenten hebben in 2013 in VNG-verband afgesproken te voldoen aan de maatregelen van de Baseline Informatiebeveiliging Gemeenten (BIG). De BIG is vanaf 2020 vervangen door de Baseline Informatiebeveiliging Overheid (BIO). De baseline is gebaseerd op de kwaliteitsnormen NEN-ISO/IEC 27001:2017 en de NEN-ISO/IEC 27002:2017.

13

Afbeelding 2.1. Informatieveiligheid met privacy en informatiebeveiliging.

Bron: Rekenkamer Utrecht, 2021.

In dit onderzoek worden de beide onderwerpen, informatiebeveiliging en privacy, geadresseerd. Mens, techniek, organisatie

Informatieveiligheid wordt vaak nog enkel vanuit een technische invalshoek benaderd. De ervaring leert evenwel dat technische oplossingen te organiseren zijn, hoewel deze natuurlijk ook de praktische (pen)testen moeten doorstaan ("the proof of the pudding is in the eating"). Naast techniek zijn mens en organisatie essentieel bij informatiebeveiliging en privacy. Cruciale factoren die de informatieveiligheid bepalen zijn houding en gedrag van de menselijke actor, kortom bewustwording op risico’s bij medewerkers en lijnmanagement. Ook moeten de organisatorische randvoorwaarden gecreëerd zijn om techniek en mens te ondersteunen. Beleid en protocollen moeten daarvoor opgesteld en vastgesteld zijn (voor een gedeeltelijk overzicht van de protocollen op informatiebeveiliging en privacy zie afbeelding 3.1) en in de praktijk worden toegepast. Om dat optimaal te laten slagen moet beleid op informatiebeveiliging en privacy gedragen en uitgedragen worden door bestuur en management van de gemeente. 14

2.3 Aanpak Methoden

De onderzoeksvragen worden beantwoord door middel van een analyse van documenten in deskresearch, interviewverslagen, casestudie en pentesten (zie volgende alinea’s.) De documenten bevatten beleid en rapportages van de gemeente. De documenten die zijn bestudeerd zijn in bijlage 3 opgenomen, evenals de functies van de bestuurders en functionarissen van SWO die zijn geïnterviewd. De deskresearch vond plaats in de periode mei-juli 2023. De interviews zijn in juni-juli 2023 afgenomen.

Casestudie

Voor de casestudie is de (klant)reis weergegeven van informatie door de gemeentelijke organisatie naar aanleiding van een Wmo-aanvraag. De casestudie gaat in op de vraag welke gegevens worden verwerkt als een inwoner een Wmo-voorziening aanvraagt. Welke gegevens worden opgevraagd, in welke systemen worden de gegevens opgeslagen, wie heeft toegang tot de informatie en met welke externe partijen worden deze gedeeld. Op basis van flowchart, uitvraag bij de teamleider Zorg en mailwisseling is deze gegevensreis in kaart gebracht. De bevindingen uit de casestudie over hoe de gemeente omgaat met (bijzondere) persoonsgegevens zijn meegenomen in de paragrafen 3.1-3.3.

Pentesten

In mei en juni 2023 zijn in het kader van het rekenkameronderzoek verschillende pentesten uitgevoerd op de systemen. Ook zijn phishing mails verstuurd naar medewerkers van SWO en raadsleden van de gemeenten De Wolden en Hoogeveen. 5 Door SWO is aangegeven dat pentesten uitgevoerd zijn op de systemen. De laatste is in 2018 uitgevoerd. In 2022 zou de SWO opnieuw een pentest laten uitvoeren. Omdat het rekenkameronderzoek werd uitgevoerd én om dubbelingen te voorkomen, hebben de rekenkamercommissies in overleg met de Chief Information Security Officer (CISO) besloten een externe netwerk test, een interne netwerk test, Active Directory (AD) audit, phishing test uit te voeren. 6 Voor een nadere uitleg van de testen en de resultaten zie §3.1.1 en §3.3.1. De nota van bevindingen is in september 2023 voor de ambtelijke hoor en wederhoor (feitencheck) aangeboden.

5 6

Een pentest of penetratietest is een toets van een of meer computersystemen op kwetsbaarheden, waarbij deze kwetsbaarheden gebruikt kunnen worden om in deze systemen in te breken. Phishing is een vorm van internet oplichting en fraude, door middel van een vals e-mail bericht 'hengelen' naar inlog- of andere persoonsgegevens.

15

3 Bevindingen In dit hoofdstuk worden de bevindingen per onderzoeksvraag weergegeven.

3.1 Techniek In deze paragraaf presenteren de rekenkamercommissies de bevindingen met betrekking tot onderzoeksvraag 1.1 en 1.2 op techniek: 1.1 Zijn het netwerk en de bedrijfskritische systemen voldoende technisch beveiligd om ongeautoriseerde toegang te voorkomen? 1.2 Is er extra aandacht voor de technische beveiliging van gevoelige informatie, zoals persoonlijke gegevens? Hieronder gaan we in op de technische beveiliging, daarna volgen organisatie en beleid in §3.2. We gaan in §3.1.1.1 in op de technische pentesten die in het kader van het rekenkameronderzoek zijn uitgevoerd, in overleg met SWO.

3.1.1 Technische beveiliging netwerk en bedrijfskritische systemen Beveiliging

Op de technische kant van informatiebeveiliging kan veel georganiseerd en ingesteld worden om kwaadwillenden buiten te houden. Zoals firewalls, spamfilters en virusscanners. Of, als de kwaadwillenden onverhoopt tot het netwerk en de systemen zijn doorgedrongen, dat tijdig te detecteren en te blokkeren. En ervoor te zorgen dat er in het interne netwerk drempels worden opgeworpen, zodat men niet (makkelijk) bij de informatie in de kritieke systemen kan geraken. Ook moet de software voorzien zijn van de nieuwste updates en patches, waardoor kwetsbaarheden in de software zijn verholpen.

Assessments en scans

Om de technische beveiliging te testen laat SWO assessments en testen uitvoeren op de systemen. 7 De laatste pentest in opdracht van SWO dateert uit 2018. In 2022 zou opnieuw een pentest uitgevoerd worden, maar deze is (in overleg met de rekenkamercommissie) uitgesteld en opgenomen in het rekenkameronderzoek. Verder is begin 2021 een assessment op de systemen uitgevoerd, medio 2021 een externe netwerkscan en een forensisch onderzoek begin 2022 naar aanleiding van de Log4Jkwetsbaarheid. 8

7 8

In de Baseline Informatiebeveiliging Overheid (BIO) is opgenomen dat gemeenten jaarlijks pentesten of kwetsbaarheidsanalyses (laten) uitvoeren. (Apache) Log4J is een stuk software dat gebruikt wordt in webapplicaties en systemen die gebruik maken van Java. December 2021 beoordeelde het Nationaal Cyber Security Centrum (NCSC) de impact van de kwetsbaarheid als uiterst hoog.

16

In het assessment van begin 2021 is een hoog risico aangetroffen vanwege ‘outdated software on server’. Uit de interviews blijkt dat niet altijd de meest recente updates van software werd geïnstalleerd. Er wordt nog lang met bepaalde 'outdated' apparatuur en software doorgewerkt door het ontbreken van prioritering in relatie tot onvoldoende menskracht voor tijdige vervanging en soms vanuit kostenoverwegingen. Door de externe partij die het assessment uitvoerde is aanbevolen dat op korte termijn te verhelpen. Daarnaast zijn 2 kwetsbaarheden met medium en 2 met lage risico’s aangetroffen. Deze kwetsbaarheden zijn inmiddels verholpen. Medio 2021 bleek uit een externe netwerkscan 3 kritieke en 38 ernstige risico’s. Begin 2022 zijn bij een forensisch onderzoek naar aanleiding van de Log4J-kwetsbaarheid een aantal risico’s geconstateerd die op korte termijn opgepakt moesten worden. Deze hadden te maken met het (beter) configureren van beheer- en informatiebeveiligingsinstellingen op systemen en apparaten. De kritieke kwetsbaarheden en ernstigste risico's zijn toen aangepakt. De hiervoor genoemde assessments en onderzoeken hebben vaak een beperktere scope dan penetratietesten of pentesten door ethische hackers. Pentest 2018

In 2018 heeft SWO voor het laatst een pentest op het netwerk uitgevoerd. Naar aanleiding van deze pentest is onder andere op beveiligingsgebied geadviseerd monitoring met behulp van een SIEM/SOC 9 te implementeren, Multi Factor Authenticatie (MFA) 10 te implementeren en de netwerksegmentatie te optimaliseren. Hieronder gaan we op de implementatie van deze verbetermaatregelen uit 2018 in.

SIEM/SOC

De netwerken van de gemeenten De Wolden en Hoogeveen en SWO zijn tegen externe inbreuken beschermd door firewalls en virusscanners. Aanvullend hebben zij geparticipeerd in een tender van de VNG voor de aanschaf van een zogenoemde SIEM/SOC-applicatie, net als veel andere gemeenten. 11 Deze tender is uiteindelijk mislukt, vanwege het stopzetten van de samenwerking tussen VNG en KPN. Daardoor moesten gemeenten op zoek naar een andere oplossing. Op basis van de software die nu wordt gebruikt kan het netwerkverkeer van buiten naar binnen op de systemen gemonitord worden en verdacht verkeer gedetecteerd worden. Analyseren, controleren en met name opvolgen van de meldingen kost veel capaciteit van medewerkers. Deze capaciteit is er momenteel onvoldoende.

9 10

11

SIEM/SOC: Security Information & Event Management (SIEM) en Security Operations Center (SOC) is een tool die computerdreigingen en verdacht verkeer op systemen detecteert en monitort. Multi factor authenticatie (MFA of 2FA) is een authenticatie of verificatie methode waarbij twee of meer stappen succesvol doorlopen moeten zijn om ergens toegang tot te krijgen, zoals naast het gebruik van een wachtwoord het gebruik van een token of biometrisch gegeven. SIEM/SOC: Security Information & Event Management (SIEM) en Security Operations Center (SOC) is software die computerdreigingen en verdacht verkeer op systemen detecteert en monitort.

17

MFA

Over Multi Factor Authenticatie (MFA) werd in 2021 in de ENSIA-rapportage 12 geconstateerd dat deze maatregel nog geïmplementeerd moest worden. In het Actieplan Informatieveiligheid uit 2021 is de implementatie van MFA opgenomen (zie voor het Actieplan §3.2.1-3.2.2). Op 11-7-2022 is dit als onderdeel van het wachtwoordbeleid vastgelegd. 13

Segmentatie

Om ervoor te zorgen dat indringers die eenmaal binnen zijn niet meteen tot de meest gevoelige informatie in de kritische systemen toegang kunnen krijgen, worden in het netwerk drempels opgeworpen. Dat heet netwerksegmentatie. Deze verbeteractie, naar aanleiding van de pentest van 2018, is in 2021 opgenomen in het Actieplan Informatieveiligheid en grotendeels uitgevoerd in 2021. Bedoeling is dat de netwerksegmentatie in de eerste helft 2023 is gerealiseerd. In de interviews, gehouden in juni 2023, werd aangegeven dat ongeveer 90% van het netwerk gesegmenteerd was. Er vindt een overgang plaats naar de cloud en SAAS-omgeving, daarbij wordt met betrekking tot segmentatie uitgegaan van het zogenoemde Zero Trust principe. 14 Dat betekent dat verdere voortgang op segmentatie mede afhangt van de snelheid van deze overgang.

Mobile devices

Uit de interviews blijkt SWO op de technische kant achter te lopen op noodzakelijke ontwikkelingen, zie ook §3.2.1 en de ENSIA-rapportages. Ook blijkt uit de interviews dat er hard wordt gewerkt aan de beveiliging van de systemen en het netwerk. Zo is SWO op een aantal prioriteiten bezig, zoals het beheer van de laptops en smartphones (Mobile Device Management, MDM). Respondenten melden dat SWO op de goede weg is, maar dat er nog veel moet gebeuren. En gemeld wordt dat de capaciteit ontbreekt om alle benodigde activiteiten, ook al zijn ze geprioriteerd, meteen op te pakken. Pentesten

Pentesten

12

13 14

De rekenkamercommissies hebben in het kader van het rekenkameronderzoek besloten een externe netwerk pentest, een interne netwerk pentest, een wifi-netwerk pentest, een Active Directory audit en een phishing mail test uit te voeren. Door ethisch hackers is getest op een beperkt aantal doelen, dat wil zeggen dat de reikwijdte of scope van het

ENSIA: Eenduidige Normatiek Single Information Audit, eenmalige informatieverstrekking en eenmalige IT-audit voor de horizontale (richting gemeenteraad als toezichthouder) en verticale verantwoording (richting landelijke toezichthouders). Zie: Wachtwoordbeleid – Informatieveiligheid en privacy 2022 – SWO v 1.0, 11-7-2022. Zero trust is een veiligheidsstrategie met betrekking tot design en implementatie van software, hardware en systemen. Meestal gebruikt in verband met de strategie dat alle verkeer geverifieerd moet worden en zo min mogelijk wordt gewerkt met geprivilegieerde toegang tot gegevens en systemen. De cloud staat voor een netwerk van computers die een soort 'wolk van computers' vormt, waarbij de eindgebruiker niet weet op hoeveel of welke computer(s) de software draait of waar die computers precies staan. SAAS betekent Software-as-a-Service en is een model waarbij softwaretoepassingen via internet worden aangeleverd.

18

onderzoek beperkt is. 15 Daarvoor is in samenspraak tussen SWO en de onderzoekers een testplan opgesteld. De pentesten zijn in mei 2023 uitgevoerd. Getest is op doelen met een zekere risicoclassificatie. Deze risicoclassificatie is in de onderstaande tabel 3.1 weergegeven. Disclaimer

Algemene disclaimer is dat pentesten een momentopname zijn van de stand van zaken van de beveiligingsmaatregelen. De ontwikkelingen aan de kant van de bedreigingen gaan snel. Kwaadwillende hackers hebben de tijd om diep te graven in mogelijkheden om schade aan te richten. Terwijl middelen en tijd voor ethische hackers beperkt zijn en de scope van de pentesten navenant beperkt is. Daardoor bieden de resultaten van de pentesten geen garantie voor de toekomst. Ze kunnen wel zicht geven op de risico’s die de organisatie op dat moment loopt.

Tabel 3.1. Risicoclassificatie pentesten.

Afgesproken is dat kritieke risico's meteen gemeld zouden worden aan de CISO. Dat is op 2 punten gebeurd tijdens de pentesten. Daarop heeft de organisatie meteen geacteerd en de benodigde verbetermaatregelen geïmplementeerd. Daarnaast heeft de CISO na de testen vertrouwelijk de technische rapportages van de pentesten gekregen en deze in bijzijn van de ethisch hacker intern besproken. Daarbij zijn de verbetermaatregelen die de ethisch hacker aanraadt aan de orde gekomen.

15

Een ethisch hacker is een computerspecialist die beveiligingssystemen en netwerken test op een positieve manier. Zijn doel is om door middel van hacken fouten en veiligheidslekken op te sporen in de systemen en netwerken om deze daarna te melden aan de bedrijven of instanties waarmee ze samenwerken.

19

Hieronder gaan we nader in op de technische pentesten zelf en op hoofdlijnen de daarbij gesignaleerde risico's. De test met phishing mails wordt in §3.3.1 behandeld, omdat deze test met name gericht is op de ‘awareness’ en niet zozeer op de techniek. Externe netwerk pentest

Om de staat van de beveiliging van het externe netwerk te testen zijn in het kader van het rekenkameronderzoek de kwetsbaarheden in kaart gebracht. Daarmee wordt de effectiviteit van de genomen beveiligingsmaatregelen geverifieerd, met name om de bedreigingen van buitenaf tegen te gaan. De aanvalsscenario’s van de externe pentest betroffen vier mogelijke risico’s, waarvan 1 van kritisch, 2 hoog en 1 gemiddeld niveau. Deze 4 doelen zijn niet behaald, dat wil zeggen dat het de ethisch hackers niet gelukt is de geplande aanvalsscenario’s succesvol uit te voeren. Wel zijn gedurende de pentest 3 kwetsbaarheden op gemiddeld niveau aangetroffen. Daarnaast zijn 6 bevindingen met een classificatie ‘best practice’ gedaan. Deze bevindingen betreffen niet zozeer kwetsbaarheden, maar behoeven wel verbetering om aan geldende veiligheidsstandaarden te voldoen. Op basis van de resultaten van de uitgevoerde pentest en de en de uitvoerbaarheid van de aangetroffen kwetsbaarheden (van medium en best practice niveau) wordt het risiconiveau van het externe netwerk van de gemeenten De Wolden en Hoogeveen op laag ingeschat. Dat betekent een lager risiconiveau dan bij de externe netwerkscan in 2021 is aangetroffen. 16

Interne en wifi-netwerk pentest

Deze pentest is bedoeld om de kwetsbaarheden van het interne en wifinetwerk in kaart te brengen. Hiermee wordt de effectiviteit van de genomen beveiligingsmaatregelen getest die ervoor moeten zorgen dat de schade die een kwaadwillende in het netwerk kan aanrichten zoveel mogelijk beperkt wordt. Die kwaadwillende kan iemand zijn die van buiten in het netwerk is doorgedrongen of over inloggegevens op het netwerk beschikt. Het eerste onderdeel van deze pentest was de exploitatie van de wifinetwerken: • SSID: Medewerkers • SSID: Hoogeveen-Gasten Tijdens de pentest is het de ethisch hacker niet gelukt het wifi-netwerk te exploiteren.

16

Gelet op de continue risico-ontwikkeling is de constatering dat er een laag niveau is nog geen reden om de aandacht te laten verslappen, zoals bij de disclaimer is aangegeven.

20

Een ander onderdeel van deze pentest betrof het interne netwerk op basis van "white box" test. 17 Hierbij wordt bewust aan de ethisch hacker een netwerkaccount verstrekt door de organisatie, zodat ook het netwerk "van binnenuit" getest kan worden op eventuele kwetsbaarheden. De scope van deze test betrof risico’s waarvan 1 kritisch, 2 hoog en 1 gemiddeld niveau. De ethische hacker slaagde erin alle doelen van de aanvalsscenario’s te behalen. Daarbij zijn de volgende kwetsbaarheden aangetroffen: 2 van kritiek niveau, 2 van hoog niveau, 6 van medium niveau en 4 van ‘best practice’ niveau. Deze bevindingen uit de pentest waren niet aangetroffen bij eerdere assessments of testen. Op basis van de interne en wifi-netwerk pentest wordt het risico dat de gemeenten ten tijde van de test liepen als hoog ingeschat. Dat wil zeggen dat de gemeenten kwetsbaar zijn voor een ransomware aanval zoals bij Hof van Twente heeft plaatsgevonden, met grote financiële en andere nadelige effecten tot gevolg. Zoals eerder aangegeven zijn de twee risico’s van kritiek niveau meteen gedeeld met de CISO en zijn deze door de organisatie meteen aangepakt en gemitigeerd. De overige kwetsbaarheden zijn vertrouwelijk met de CISO gedeeld en met de afdeling I&A besproken. 18 AD audit

De Active Directory (AD) audit is op 22 mei 2023 uitgevoerd. Een AD staat beheerders toe om het beleid met betrekking tot rechten van medewerkers en instellingen in het netwerk van een organisatie te beheren. De AD-audit test met name op risico’s in verband met de uitvoering van het wachtwoordenbeleid, kwetsbaarheden met betrekking tot de inrichting van de Active Directory en op accounts en wachtwoorden die bekend zijn op internet. 19 De AD-audit checkt op kwetsbare en zwakke wachtwoorden. Deze worden gecheckt op de vereiste complexiteitsgraad en vergeleken met een lijst op internet met wachtwoorden die in relatie gebracht kunnen worden met de gemeente. In totaal zijn 1.446 gebruiker accounts gescand, van SWO en de 2 gemeenten. Van de 1.446 gebruikersaccounts zijn er 209 aangetroffen met een wachtwoord van een jaar of ouder, 108 accounts waarvan het wachtwoord nooit verloopt, 194 wachtwoorden die vaker worden gebruikt (niet uniek zijn) en 35 accounts met de optie ‘password not required’. Verder zijn er 60

17

18

19

Een white box test is een teststrategie waarbij de ethische hackers kennis hebben van de technische infrastructuur en systemen en met behulp van die kennis technische zwakheden trachten op te sporen. Dit in tegenstelling tot black- of greybox testen, waarbij de hackers vooraf respectievelijk geen of beperkte kennis hebben van de systemen Uit de ambtelijke hoor en wederhoor blijkt dat de afdeling I&A inmiddels is begonnen met de top-10 van deze

kwetsbaarheden te mitigeren. Acht hiervan zijn gemitigeerd. De andere twee bestaan uit kwetsbare applicaties waarvoor inmiddels een vervangingstraject loopt voor het uitfaseren. Accounts en wachtwoorden die bekend zijn op internet betekent dat deze bij eerdere hacks of phishing mails zijn buitgemaakt en gepubliceerd worden op het dark web.

21

accounts zonder versleuteling (missende AES-sleutels) 20 en 60 accounts die van een verouderde beveiliging (LM hash) 21 gebruik maken. Een zeer groot aantal van deze accounts worden gebruikt voor functionele postbussen, MS Teams-objecten en service accounts ten behoeve van functionele applicaties. Bij de functionele postbussen zijn de accounts inmiddels uitgeschakeld. Veel van de overige accounts zijn "systeemaccounts" waarbij het wachtwoord niet periodiek veranderd kan worden, omdat dat bepaalde services onder een applicatie of een koppeling met andere systemen niet meer werken. Er zijn 6 wachtwoorden in combinatie met gebruikersnamen van de gemeenten gevonden die publiekelijk bekend zijn (bij eerdere hacks of phishing mails buitgemaakt) en mogelijk nog in gebruik zijn. Van de administrator accounts valt op dat de accounts van de beheerders ook lid zijn van een groep met algemene service accounts. Dat is onwenselijk, zeker omdat het zo ingeregeld is dat deze accounts op 2 manieren rechten kunnen verkrijgen. Andersom is een algemeen service account lid van het beheerdersdomein. Een van de ingeschakelde administrator accounts is gedurende een jaar niet gebruikt. 36 administrator accounts hebben een wachtwoord ouder dan een jaar en met 16 accounts zijn al meer dan een jaar geen autorisaties uitgevoerd.

Van de ingeschakelde admin accounts hebben er 7 langer dan 90 dagen niet meer ingelogd, en zijn hoewel ingeschakeld dus feitelijk inactief. In totaal hebben 71 accounts niet alleen geprivilegieerde rechten op het domein, maar ook in andere geprivilegieerde groepen. En het domein beheerder account heeft een wachtwoord ouder dan 180 dagen. Voorts zijn er risico’s aangetroffen bij niet standaard accounts met rechten, een beveiligingsprotocol en de infrastructuur van de AD-beveiliging. Er zijn bij deze AD audit kwetsbaarheden gevonden. Een deel kan verklaard worden door systeemaccounts waarvan de wachtwoorden niet aangepast hoeven te worde, maar een deel lijkt voort te komen uit het niet consequent toepassen van het wachtwoordbeleid. Dat kan onder andere verklaren waarom er accounts zijn met verouderde of niet unieke wachtwoorden, of accounts met missende veiligheidssleutels. In interviews werd ook opgemerkt dat het wachtwoordenbeleid niet consequent uitgevoerd wordt.

3.1.2 Aandacht voor technische beveiliging van gevoelige informatie De verwerking door of namens de gemeente van gevoelige informatie, zoals bijzondere persoonsgegevens, moet in het kader van de AVG met de nodige

20 21

Advanced Encryption Standard (AES) is een (cryptografische) versleutelingstechniek. LM hash is een versleutelingsmethode gebaseerd op een verouderd algoritme.

22

waarborgen en veiligheidseisen geschieden. 22 Zoals we in de vorige paragraaf hebben gezien is er wel aandacht voor de technische beveiliging van het netwerk, de systemen en informatie. Er worden door de organisatie assessments en audits op de systemen uitgevoerd om te weten te komen waar kwetsbaarheden aanwezig zijn. Tegelijkertijd kan geconstateerd worden dat dringende maatregelen die naar aanleiding van deze testen en audits genomen zouden moeten worden, niet altijd worden opgepakt en doorgevoerd. DPIA, IRPA

Onderdeel van de implementatie van de AVG is de uitvoering van data protection impact assessments (dpia’s) op verwerkingsprocessen met persoonsgegevens met een hoog privacyrisico. Dat geldt ook voor nieuwe aanbestedingen waarin sprake is van gegevensverwerking. Die taak ligt bij het lijnmanagement, omdat deze de risico’s in de werkprocessen het best kan beoordelen. Om te controleren of een volledige dpia op een verwerkingsproces nodig is en mogelijk overbodige administratieve last voor lijnmanagement te voorkomen, wordt eerst een zogenoemde pre-dpia uitgevoerd. Als de dpia afgerond is moet de FG deze fiatteren. Op moment van onderzoek waren 2 dpia’s gefiatteerd: - Cameratoezicht in de gemeentelijke gebouwen - Sociale teams Andere dpia’s worden opgesteld, maar waren nog niet voor een fiat voorgelegd aan de FG. De SWO maakt gebruik van de integrale risico- en privacy-analyse tool (IRPA, voorheen PIA-tool) van de IBD. 23 Daarmee kunnen de risico’s bij de verwerking van gegevens op de aspecten informatiebeveiliging en privacy integraal in één instrument worden onderzocht. Uit de interviews blijkt dat dat de impact assessments, daar waar ze nodig zijn, nog niet altijd uitgevoerd worden.

Een dergelijke stap is wel vastgelegd in beleid en procedures, maar in de praktijk onvoldoende geborgd waardoor functionarissen op informatiebeveiliging en privacy niet altijd op tijd worden aangehaakt.

Lijnmanagement

22

23

Uit de interviews en de casestudie (zie bijlage 1) blijkt dat het lijnmanagement zich niet altijd bewust is van het feit dat zij het best bekend zijn met de werkprocessen en zo het best de risico’s op informatiebeveiliging en privacy kunnen inschatten. In het strategisch informatiebeveiligingsbeleid (zie §3.2.2) is vastgelegd dat de lijn proceshouder is op informatiebeveiliging en privacy. De lijn kan het best inschatten welke risico’s met

Bijzondere persoonsgegevens zijn gegevens die zo privacygevoelig zijn dat het grote impact op iemand kan hebben als deze gegevens worden verwerkt. Het zijn gevoelige gegevens, zoals informatie over iemands godsdienst, ras, gezondheid of strafrechtelijke verleden. Daarom krijgen bijzondere persoonsgegevens extra bescherming in de AVG. Informatiebeveiligingsdienst (IBD) is onderdeel van de VNG en ondersteunt gemeenten op het gebied van informatiebeveiliging en privacy.

23

maatregelen aangepakt moeten worden en welke risico’s geaccepteerd kunnen worden. Ondersteund door de functionarissen op informatiebeveiliging en privacy. Niet iedereen in de organisatie blijkt van dit beleid en deze werkwijze doordrongen of op de hoogte. Verwerkersovereenkomsten

In de verwerkersovereenkomsten, die onder de contracten met derde partijen liggen, waarin sprake is van verwerking van persoonsgegevens namens de gemeenten en SWO, zijn eisen op technische veiligheid en privacy opgenomen. Zo wordt bijvoorbeeld in het sociaal domein samengewerkt met veel verschillende partijen in de keten van maatschappelijke dienstverlening en zorg, waarbij sprake is van uitwisseling en verwerking van persoonsgegevens (zie ook de casestudie in bijlage 1). De verwerkersovereenkomsten die door de organisatie gebruikt worden zijn gebaseerd op de standaard van de IBD. De verwerkersovereenkomsten worden door de Privacyofficer gecontroleerd op de privacyaspecten en de veilige verwerking van persoonsgegevens. Maar de opstart van een verwerkersovereenkomst wordt niet geïnitieerd door de privacyofficer, dat is de verantwoordelijkheid van het lijnmanagement. Uit de interviews blijkt dat de privacyofficer niet bij elk contract of verwerkersovereenkomst is aangehaakt. Zie §3.2.4 voor hoe de verwerkersovereenkomsten in de praktijk worden ingeregeld.

WPG

24

De Wet politiegegevens (Wpg), vanaf 2019 geldig, regelt onder andere hoe gemeenten om moeten gaan met gegevens die door en met de politie worden gedeeld. In het kader van de Wpg is elke 4 jaar een interne en externe privacy audit over de stand van zaken verplicht. De audits moeten ter controle aan de Autoriteit Persoonsgegevens worden gestuurd. In het door een externe partij opgestelde Assurance rapport Privacy audit van begin 2023, is geconstateerd dat SWO niet geheel voldoet aan de eisen die de Wpg stelt. Ook wordt geconstateerd dat SWO niet over de capaciteit met afdoende deskundigheid beschikt om de interne audits uit te voeren. Aangeraden wordt ook deze door een externe partij te laten uitvoeren. 24

Uit de ambtelijke hoor en wederhoor blijkt dat SWO dit zelf ook al had geconstateerd en daarom is voor de komende jaren in de begroting een bedrag opgenomen voor het laten uitvoeren van een interne audit door een externe partij.

24

3.2 Organisatie en beleid In deze paragraaf presenteren de rekenkamercommissies de bevindingen met betrekking tot onderzoeksvraag 2.1 tot en met 2.6 op organisatie en beleid: 2.1. Worden er systematische en actuele risicoanalyses gemaakt rond informatiebeveiliging en worden er op basis daarvan passende beheersmaatregelen genomen? 2.2. Biedt het informatiebeveiligingsbeleid voldoende basis voor de bescherming van gegevens? 2.3. Is het informatiebeveiligingsbeleid vertaald naar concrete activiteiten en zijn hiervoor voldoende middelen beschikbaar gesteld? 2.4. Zijn binnen de organisatie de rollen en verantwoordelijkheden voor informatiebeveiliging helder belegd? En is de organisatie qua formatie toegerust om het informatiebeveiligingsbeleid uit te voeren? 2.5. Wordt de raad periodiek geïnformeerd over de status van de informatiebeveiliging? 2.6. Is er sprake van data-ethiek: wordt er gereflecteerd op dat wat er met data gebeurt? Is er sprake van een bewuste, reflectieve omgang met data, waarin de wenselijkheid van het datagebruik en de doelen ervan wordt bevraagd?

3.2.1 Risicoanalyses op informatiebeveiliging en beheersmaatregelen Risicoanalyse

De BIG was tot en met 2019 de baseline met beheersmaatregelen op informatiebeveiliging voor gemeenten. De BIO, vanaf 2020 de geldende baseline voor de gehele overheid, is meer dan de BIG gebaseerd op risicomanagement. Daarvoor worden GAP-analyses gehouden om te bepalen in hoeverre de gemeente voldoet aan de maatregelen in de BIO. 25 Als er maatregelen ontbreken dient een risicoanalyse te worden uitgevoerd om te bepalen welke maatregelen met prioriteit worden opgepakt en welke risico’s vooralsnog geaccepteerd worden.

Beleid

In het tactisch informatiebeveiligingsbeleid, vastgesteld in juli 2022 (zie ook §3.2.2), is een jaarplanning opgenomen om jaarlijks de GAP- en risicoanalyses uit te voeren. 26 Bij nieuwe of gewijzigde processen moeten risicoanalyse of impact assessments worden uitgevoerd. Uit de interviews blijkt dat onvoldoende structuur in de processen aanwezig is om elk jaar de GAP-analyse en (wanneer nodig) de risicoanalyse uit te voeren. Daarvoor