Discussienotitie Informatieveiligheid en Ethisch Hacken - D66

Bespreeknotitie

Informatieveiligheid & Ethisch hacken Gemeenten verwerken en beheren veel (privacygevoelige) informatie in verschillende gemeentelijke systemen. De veiligheid van deze systemen staat continue onder druk. Zo blijkt ook uit het ”Dreigingsbeeld informatiebeveiliging Nederlandse gemeenten 2023-2024”1 waarin de VNG waarschuwt voor een toenemende dreiging en een toenemend aantal kwetsbaarheden in de gemeentelijke systemen. Het risico is dat cyber-criminelen gebruik maken van zwaktes in gemeentelijke systemen om gegevens te stelen, gegevens middels encryptie te gijzelen, of om belangrijke systemen (tijdelijk) offline te krijgen. Een succesvolle cyberaanval op de IT systemen van een organisatie heeft vaak directe financiële gevolgen en kan ernstige gevolgen hebben voor derde partijen, zoals onze inwoners. Cyberaanvallen hebben verschillende motieven, van het stelen van gevoelige of strategische data tot het gijzelen van data en systemen. Cyberaanvallen geen uitzondering meer Voor succesvolle aanvallen op ICT-systemen van gemeenten hoeven we niet eens ver terug in de tijd. In maart 2021 werd de gemeente Hof van Twente geraakt door een cyberaanval. De totale kosten voor de herstelwerkzaamheden kosten ruim 4,2 miljoen euro.2 In juli 2022 vond er datadiefstal plaats in de gemeente Buren waarbij de data en de systemen van de gemeente gegijzeld werden met encryptietechnologie.

Het resultaat is 130 GB aan data, dat zijn 730.000 bestanden, die te koop staan op het darkweb.3 In diezelfde maand werden de gemeenten Kerkrade, Gulpen-Wittem, Vaals, Meerssen en Eijsden-Margraten gehackt. De hack blokkeerde een administratiesysteem. Het gehackte systeem werd gebruikt voor de afhandeling van vragen over aanvragen van bijstandsuitkeringen en energietoeslagen.4 Dichterbij is er ook een recent voorbeeld in onze eigen gemeente, bij woningcorporatie Zayaz. In juni 2022 werd Zayaz getroffen door een cyberaanval, met een datalek tot gevolg. De persoonsgegevens van huurders en voormalig huurders lagen op straat. Met tot gevolg dat huurders vaker valse email- en SMS-berichten ontvangen5. Er zijn meer incidenten te noemen, met verschillende uitkomsten. De hack op gemeentelijke systemen beïnvloeden de dienstverlening aan onze inwoners en veroorzaken grote financiële en immateriële schade voor de gemeente. Bij grote digitale inbraken zijn de gevolgen voor de inwoners ernstig. Dit zijn de situaties waarbij persoonlijke data van onze inwoners wordt buitgemaakt en vervolgens bijvoorbeeld identiteitsfraude wordt gepleegd. De D66 fractie geloof dat het enorm belangrijk is om weerbaar te zijn tegen cybercriminelen, zeker als ‘Toonaangevende data-stad’. Een Datastad zonder digitale veiligheid, is immers de droom van iedere cybercrimineel.

1

https://www.informatiebeveiligingsdienst.nl/wp-content/uploads/2022/10/IBD_dreigingsbeeld_20232024_DEF-versie.pdf, p. 10. 2 https://www.rtvoost.nl/nieuws/2144191/schade-na-hack-hof-van-twente-loopt-op-tot-4-2-miljoen-eurogemeente-wil-bedrag-verhalen 3 https://www.buren.nl/nieuws/datadiefstal-gemeente-buren/7399/ 4 https://zo-nws.nl/administratiesysteem-kerkrade-en-vier-andere-gemeenten-gehacked 5 https://www.zayaz.nl/News/3362/

Ethisch hacken Dat hacken niet enkel een negatieve impact hoeft te hebben, bewees Cas afgelopen jaar nog. Cas hackte in het voorjaar van 2022 informatieborden langs de A2 om vervolgens zijn eigen tekst erop te plaatsen.6 Deze cyberstunt had geen directe financiële gevolgen, Cas is namelijk een ethisch hacker. 7 Ethisch hackers zijn individuen met een geweldige vaardigheid: zij kunnen ontzettend goed inbreken in informatiesystemen. Zij doen dit niet om data te gijzelen of stelen, maar juist om de beheerders van systemen alert te maken op mogelijke zwakheden. Ethisch hacken draait om het inzetten van die bijzondere vaardigheid ten gunste van de samenleving. Wereldwijd zijn ethisch hackers actief, daar waar partijen een ethisch hacken beleid hebben en het melden van zwakheden faciliteren. Als gemeente zijn wij al bekend met de inzet van ethisch hackers. De gemeente zet op verschillende momenten in het jaar ethisch hackers in ter bevordering van de digitale veiligheid. Dit zijn diensten die wij afnemen van specifieke marktpartijen. Echter een structureel beleid kent Den Bosch niet, van een Coordinated Vulnerability Disclosure8 geen sprake. De Gemeente Den Haag kent wel een dergelijk beleid. Den Haag is zo te spreken over Ethisch Hacken, dat zij jaarlijks een evenement organiseert. De gemeente Den Haag beloont de beste hackers met geldprijzen tussen de 500 en 2000 euro.

Daarnaast bestaat de mogelijkheid om het gehele jaar door, 24 uur per dag, een melding te maken van een hack. Een dergelijke open houding naar het ethisch hacken zorgt er voor dat de Gemeente Den Haag het gehele jaar door gerichte en specifieke aandachtspunten in de beveiligingssystemen gerapporteerd krijgt en verbeteringen kan doorvoeren. Een toonaangevende datastad is ook dataveilig Alhoewel het opstellen en vaststellen van ICT-beleid en beleid rondom informatieveiligheid in de basis een bevoegdheid van het College is, gaat het wel om de veiligheid van de (persoons)gegevens van onze inwoners en ondernemers. D66 ziet kansen om de veiligheid van al de data die de gemeente verwerkt en beheert te beveiligen door meer gebruik te maken van alle kennis en talent die we in onze datastad reeds herbergen en de talenten van ver buiten onze stad. Zoals van onze studenten, de lokale IT bedrijven en de ethisch hackers. Het vraagt een andere manier van denken en doen om ethisch hackers actief uit te nodigen om systemen te hacken. Voor D66 liever 10 succesvolle ethische hacks, dan één criminele cyberaanval. Voorkomen is immers beter dan genezen. Dat vraagt wel om een open houding naar ethisch hackers en om een ander beleid vanuit het College hierop. Ook zien wij kansen om bewustwording over digitale veiligheid te vergroten, gebruikmakend van platform van de Dataweek.

Tevens kunnen wij de geleerde lessen vertalen naar adviezen en raad voor onze ondernemers. Zodat de open houding breed gedragen wordt en daarmee de samenleving in brede zin profiteert van meer digitale veiligheid.

6

https://www.ad.nl/utrecht/cas-28-hackt-informatiebord-langs-a2-dit-bord-is-niet-beveiligd-stel-wachtwoordin-groetjes~a2e7e23c/?referrer=https%3A%2F%2Fwww.google.com%2F 7 Een ethisch hacker is een computerspecialist die beveiligingssystemen en netwerken test op een positieve manier. Zijn doel is om door middel van hacken fouten en veiligheidslekken op te sporen in de systemen en netwerken om deze daarna te melden aan de bedrijven of instanties waarmee ze samenwerken. Ze willen helpen in de strijd tegen cybercriminaliteit. 8 Dit is een proces waarbij ethisch hackers samenwerken en informatie delen met de relevante belanghebbenden, zoals leveranciers en eigenaren van ICT-infrastructuur. Zie volledige definitie: Coordinated Vulnerability Disclosure policies in the EU — ENISA (europa.eu)

Dat brengt ons tot de volgende vragen: 1. Bent u bekend met het concept van de “Ethische Hackers”? 2. Bent u het met ons eens dat het van groot belang is dat de gemeente ’s-Hertogenbosch continue bezig is met het verbeteren van de veiligheid van onze systemen en de weerbaarheid tegen hackers? 3. De gemeente huurt meerdere malen per jaar Ethisch Hackers in. Ziet u een grotere rol voor ethisch hackers bij het verbeteren van de veiligheid van de gemeentelijke systemen? 4. Ben u het met ons eens dat de gemeente zorg dient te dragen voor een passend beleid om ethisch hackers de mogelijkheid te bieden hun bevindingen te delen en het werk te verrichten zonder angst voor strafrechtelijke gevolgen? 5. Ziet u een rol voor de Bossche studenten? Zo ja, welke? 6. Brengt het karakter van Datastad met zich mee dat de gemeente bewustwording rondom digitale veiligheid onder inwoners en ondernemers dient te vergroten? Zo ja, hoe? Namens de fractie van D66, Bilal El Amraoui