RIS320818 Veilig op afstand onderzoek digitale veiligheid mobiel werken

Informatiebeveiliging Overheden (BIO) het trainen van medewerkers een verplichting zou moeten zijn. Verder merken we op dat, waar het college spreek over ‘richtlijnen voor mobiel werken’, niet duidelijk wordt of het hierover ook bindende afspraken met medewerkers gaat maken. Als richtlijnen alleen eenzijdig vanuit het college worden gecommuniceerd, ontstaat nog niet de door ons bedoelde medeverantwoordelijkheid voor medewerkers. Een bindende afspraak zou bijvoorbeeld onderdeel kunnen uitmaken van het Haags Personeelsreglement.

Aanbeveling 3: Draag het college op bestaande technische mogelijkheden voor toegangsbeveiliging beter te benutten, om zo de door de rekenkamer geconstateerde risico's beter te beheersen Reactie college Het college geeft aan een integraal plan te ontwikkelen dat alle aspecten van de digitale beveiliging omvat. Specifiek noemt het college dat het de beveiligingsmaatregelen voor de toegang tot gemeentelijke systemen met privé apparaten gaat aanscherpen. En daarnaast te zullen onderzoeken hoe de beveiliging van mobiele apparaten versterkt kan worden.

Nawoord rekenkamer Wij gaan ervan uit dat het college bij het opstellen en implementeren van het genoemde integrale plan alle door ons geconstateerde kwetsbaarheden zal aanpakken.

Aanbeveling 4: Draag het college op binnen twee maanden nadat de raad een besluit heeft genomen over de aanbevelingen, te rapporteren over een plan van aanpak voor de opvolging van dit onderzoek Reactie college Het college reageert niet op deze aanbeveling. Wel nodigt zij de rekenkamer uit voor een toelichting op het plan voor een integrale aanpak van de digitale beveiliging waarin ook onze aanbevelingen worden geadresseerd. Deze toelichting zou na de zomer van 2025 plaatsvinden.

Nawoord rekenkamer De rekenkamer doet aanbevelingen aan de gemeenteraad met als doel het gevoerde beleid voor mobiel werken en de beveiliging daarvan te verbeteren. Bij ons onderzoek doen wij de raad een voorstel voor het vaststellen van onze aanbevelingen. Daarom geven wij in onze vierde aanbeveling ook aan dat het college de raad zou moeten informeren over een plan van aanpak. Ook stellen wij voor dit al na twee maanden te doen. We stellen deze korte termijn voor mede gezien het feit dat de ambtelijke organisatie al tijdens ons onderzoek is geïnformeerd over de door ons geconstateerde kwetsbaarheden in de beveiliging van mobiel werken. Voor de digitale veiligheid is het verder belangrijk dat oplossingen zo snel mogelijk doorgevoerd worden. Tot slot zijn wij, met inachtneming van onze rol als rekenkamer, graag bereid om met het college het gesprek te voeren over de opvolging van onze aanbevelingen. 29

Bijlage 1: Aanpak van het onderzoek Met dit onderzoek oordeelt de Rekenkamer Den Haag over het beleid inzake de beveiliging van de toegang tot gemeentelijke systemen en de uitvoering daarvan. Het gaat daarbij over de beveiliging van de diverse mogelijkheden die de gemeente biedt om gemeentelijke informatiesystemen vanaf mobiele werkplekken te benaderen.

Afbakening Waar we in dit onderzoek het begrip mobiel werken gebruiken, bedoelen we alle werkzaamheden die worden verricht vanuit een externe locatie en waarbij toegang wordt verkregen tot gemeentelijke systemen en/of informatie. Mobiel werken in dit onderzoek, omvat alle werkzaamheden die plaats-onafhankelijk uitgevoerd kunnen worden. Werkzaamheden die alleen op vaste, gemeentelijke locaties uitgevoerd kunnen worden, zijn niet meegenomen in dit onderzoek.

Onderzoeksmethodes Voor dit onderzoek heeft de rekenkamer een documentenstudie gedaan, interviews met de ambtelijke organisatie gehouden en een technisch onderzoek laten doen door een extern bureau. In bijlage 2 lichten we elke methode toe. Daarnaast gebruikt de rekenkamer een normenkader. De normen zijn gebaseerd op wet- en regelgeving. We hebben hierbij vooral gebruik gemaakt van de Baseline Informatiebeveiliging Overheid (BIO). Dit is het basisnormenkader voor informatiebeveiliging binnen alle overheidslagen. Hierbij hebben we informatie uit de handreikingen van de Informatiebeveiligingsdienst (IBD) voor gemeenten die bij onderdelen van de BIO horen ook meegenomen in het normenkader. Daarnaast zijn enkele algemene normen gebaseerd op het normenkader van het National Institute of Standards and Technology (NIST). In het onderzoek doen we geen uitputtende toetsing op de naleving van de BIO, maar nemen wij alleen de normen mee die betrekking hebben tot de beveiliging van mobiele werkplekken. Het volledige normenkader hebben wij opgenomen in bijlage 3.

30

Bijlage 2: Onderzoeksverantwoording In deze bijlage beschrijven we de onderzoeksmethoden en verantwoorden we de keuzes voor de thema’s en deelvragen.

Onderzoeksmethoden Om het onderzoek uit te voeren, hanteerde de rekenkamer de volgende onderzoeksmethoden: 1. Documentenstudie 2. Interviews 3. Technisch onderzoek Hieronder zetten wij uiteen hoe wij de bovengenoemde methoden hebben uitgevoerd.

Documentenstudie Voor dit onderzoek heeft de rekenkamer documenten uitgevraagd en vervolgens geanalyseerd. Het betreft de volgende type documenten: 1. Documenten uit het raadsinformatiesysteem inzake beleid, visies of plannen met betrekking tot de beveiliging van mobiele werkplekken. 2. Documenten met betrekking tot informatieveiligheid en mobiele werkplekken. 3. Documenten over de regels, regelingen en gedragscodes binnen de gemeente op het gebied van mobiel werken. 4. Overzichten van apparaten, gebruikers, eigenaren en applicaties van ICT-beheer. Zie voor een volledig overzicht van gebruikte bronnen bijlage 5.

Interviews Voor dit onderzoek heeft de rekenkamer interviews uitgevoerd met verschillende betrokkenen vanuit de ambtelijke organisatie. Het betreft semigestructureerd interviews. De interviews hadden het doel om meer informatie te verkrijgen over het beleid, de uitvoering en het proces rond de beveiliging van mobiele werkplekken. Van de interviews heeft de rekenkamer verslagen gemaakt. De verslagen zijn vertrouwelijk en door de geïnterviewden gecontroleerd op feitelijke juistheid. De verslagen zijn vervolgens gebruikt als bron voor dit onderzoek.

Technisch onderzoek De rekenkamer heeft aan een extern bureau de opdracht verstrekt om een (technisch)onderzoek te doen naar de beveiliging van mobiele werkplekken. Tijdens dit onderzoek is in de periode van 25 oktober tot 23 november 2023 de mate van beveiliging beoordeeld van: •

Een gemeente laptop 31

•

Een privé laptop

•

Een gemeente telefoon

•

Een gemeente tablet

Daarnaast heeft het externe bureau gekeken naar de beveiliging van de interne netwerkinfrastructuur. Hierbij is onderzocht: •

Het gebruik van Single Sign On (SSO)

•

Het gebruik van Multi-factor Authenticatie (MFA)

•

De toegangsbeveiliging tot applicaties

Ten behoeve van het technisch onderzoek is een gebruikers-account van een reguliere medewerker van de gemeente Den Haag gemaakt. Dit account had geen speciale privileges. Voor het onderzoeken van een selectie van de applicaties binnen de gemeente, is er voor dit account wel aanvullend toegang aangevraagd tot enkele applicaties die niet tot de standaard werkomgeving behoren. Van de resultaten van het technisch onderzoek heeft de rekenkamer een rapport ontvangen. Dit rapport bevat gedetailleerde (technische) beschrijvingen van de geconstateerde kwetsbaarheden en is daarom vertrouwelijk. Om die reden publiceert de rekenkamer het rapport niet. De ambtelijke organisatie is door de rekenkamer geïnformeerd over de uitkomsten van het technische onderzoek. Het rapport van het technische onderzoek classificeert bevindingen op basis van het ‘Common Vulnerability Scoring System’ (CVSS). CVSS is een scoringsmethode die gebruikt wordt om als kwalitatieve maatstaf voor het aangeven van de ernst van een kwetsbaarheid (of te wel een bevinding). CVSS is geen maatstaf voor het aangeven van het risico, maar van de ‘weging’ van een bevinding. De classificering van bevindingen is voor de rekenkamer als uitgangspunt genomen voor de beoordeling van de beveiliging van mobiel werken.

De CVSS-score bestaat uit twee sub-scores: de mate waarop er misbruik van een kwetsbaarheid gemaakt kan worden (exploitability) en de impact van een kwetsbaarheid. Voor dit onderzoek is er voor elke bevinding een score gegeven van 0 tot 10 (zie tabel 1). Meer informatie over de CVSS-score en de bijbehorende sub-scores zijn te vinden op: https://nvd.nist.gov/vuln-metrics/cvss/v3-calculator Tabel 1 Classificatie CVSS-score Classificatie Kritiek Hoog Gemiddeld Laag Informatief

Base score 9.0 – 10.0 7.0 – 8.9 4.0 – 6.9 0.1 – 3.9 0.0 32

Afstemming gemeente De rekenkamer heeft voorafgaand aan en tijdens het technische onderzoek afgestemd met de gemeentelijke organisatie. Daarbij verleende de gemeente medewerking aan het onderzoek, voor zover dat voor de betreffende onderdelen noodzakelijk was. Zo heeft de ambtelijke organisatie een medewerker account aangemaakt en een overzicht van applicaties beschikbaar gesteld aan de rekenkamer. De bevindingen van het technische onderzoek bespraken we na afronding met de betrokkenen vanuit de ambtelijke organisatie.

Verantwoording keuze afwijkingen onderzoeksopzet Dit rapport kent enkele afwijkingen ten opzichte van de eerder gepubliceerde onderzoeksopzet.96 Het betreft de volgende wijzigingen: 1. De termen ‘thuiswerken’ en ‘thuiswerkplekken’ zijn vervangen door de termen ‘mobiel werken’ en ‘mobiele werkplekken’. 2. De structuur van de deelvragen is met inachtneming van het normenkader veranderd. Wij lichten de wijzigingen hieronder nader toe.

‘Mobiele werkplekken’ in plaats van ‘thuiswerkplekken’ Oorspronkelijk werd in de onderzoeksvraag de term ‘thuiswerkplekken’ gebruikt. Omdat het inloggen op en gebruikmaken van de gemeentelijke ICT buiten gemeentelijke werkplekken niet beperkt is tot alleen thuiswerkplekken., hebben we gekozen voor ‘mobiele werkplekken’. Deze term omvat alle werkzaamheden die plaats onafhankelijk uitgevoerd kunnen worden.

De structuur van de beantwoording van de deelvragen is met inachtneming van het normenkader veranderd Ten behoeve van het leesgemak en om de logica van het normenkader aan te houden, heeft de rekenkamer besloten de deelvragen anders in te delen. In de onderzoeksopzet was de hoofdvraag opgesplitst in twee deelvragen. De eerste deelvraag had betrekking op het technisch onderzoek dat is uitgevoerd door het externe bureau. Deze deelvraag is opgesplits in twee afzonderlijke deelvragen: deelvraag drie en vier. Deelvraag twee in de oorspronkelijke onderzoeksopzet was gericht op het achterliggende proces en beleid. Deze deelvraag is in dit rapport opgesplitst in de afzonderlijke deelvragen één en twee.

96

RIS316694, Brief Bijlage, Digitale beveiliging van thuiswerken bij de gemeente Den Haag – onderzoeksopzet, Rekenkamer, 6 oktober 2023

33

Toetsing op de normen Dit onderzoek doet geen uitputtende toetsing van de Baseline Informatiebeveiliging Overheid (BIO). Het normenkader van de BIO betreft informatiebeveiliging in het algemeen en valt daarmee buiten de scope van dit onderzoek. De rekenkamer heeft daarom enkel de normen meegenomen die relevant zijn voor mobiel werken (zie bijlage 3 voor een toelichting op het normenkader). De rekenkamer heeft deze normen vervolgens gegroepeerd in vier thema’s. De thema’s zijn de basis voor definitieve onderzoeksvragen: 1. In hoeverre neemt de gemeente de risico’s van mobiel werken mee in de ontwikkeling van het informatiebeveiligingsbeleid? 2. In hoeverre waarborgt de gemeente medewerkersbewustzijn in het kader van mobiel werken? 3. In hoeverre heeft de gemeente grip op het ICT-landschap wat betreft faciliteiten voor mobiel werken? 4. In hoeverre waarborgt de gemeente de beveiliging van toegang vanuit mobiele werkplekken met technische maatregelen?

Van onderzoeksvragen naar conclusies De onderzoeksvragen zoals die hierboven zijn weergegeven vormden de basis voor het onderzoek. De beantwoording van de onderzoeksvragen bestaat uit diverse bevindingen. Op basis van deze beantwoording en bevindingen, heeft de rekenkamer de conclusies voor dit onderzoek geformuleerd. Daarbij is een weging gemaakt van het belang van de verschillende uitkomsten en is gezocht naar voor het gemeentebestuur relevante samenhang tussen onderwerpen. Dit heeft ertoe geleid dat de bovenstaande volgorde van onderzoeksvragen niet één op één terug te vinden is in de bevindingen die ter onderbouwing van de deelconclusies zijn opgenomen. De beantwoording van deelvragen 1 en 2 vormt de onderbouwing van de eerste deelconclusie, terwijl de beantwoording van deelvragen 3 en 4 de onderbouwing vormt voor de tweede deelconclusie.

34

Bijlage 3: Beschrijving normenkader Normen bij deelvraag 1: in hoeverre neemt de gemeente de risico’s van mobiel werken mee in de ontwikkeling van het informatiebeveiligingsbeleid? Norm: De gemeente neemt risico-gebaseerd maatregelen, voert risicoanalyses uit (ook met betrekking tot mobiel werken en privé apparatuur) en heeft hiermee de risico’s van mobiel werken in beeld en neemt deze mee in het beleid ten aanzien van de beveiliging van mobiel werken.

Toelichting op de norm: Zowel de Baseline Informatiebeveiliging Overheden (BIO) als het kader van de National Institute of Standards and Technology (NIST) eisen dat informatiebeveiliging risico-gebaseerd opgesteld wordt. Dit betekent volgens de BIO dat er risicomanagement toegepast moet worden.97 De BIO definieert risicomanagement als "het inzichtelijk en systematisch inventariseren, beoordelen en – door het treffen van maatregelen – beheersbaar maken van risico’s en kansen, die het bereiken van de doelstellingen van de organisatie bedreigen dan wel bevorderen, op een zodanige wijze dat verantwoording kan worden afgelegd over de gemaakte keuzes".98 De BIO geeft daarnaast aan dat de gemeente beleid en ondersteunende maatregelen moet vaststellen om [geconstateerde] risico’s te beheren.99 In de handreiking ‘risicomanagement’ van de IBD wordt benadrukt dat het belangrijk is dat risicoanalyses regelmatig herhaald worden.100 Daarnaast wordt bij het mobiel werken veelvuldig gebruik gemaakt van mobiele apparaten waar ook (gevoelige) informatie en data wordt verwerkt.101 Het is daarom belangrijk om beleid te hebben waarin bepaald wordt hoe hiermee moet worden omgegaan, om de bijbehorende risico’s te beheren.102 Het kader van de NIST eist in artikel ID.RM dat risicomanagement processen worden vastgesteld, beheerd en goedgekeurd door belanghebbenden binnen de organisatie.103 Dit

97

Baseline informatiebeveiliging overheid, 2020, p. 9. Baseline informatiebeveiliging overheid, 2020, p. 9. 99 Baseline Informatieveiligheid Overheden, 2020, art. 6.2.1, p. 24. 100 Handreiking Risicomanagement door lijnmanagers, Informatie Beveiligingsdienst voor gemeenten, mei 2020, p. 12. 101 Handreiking Mobile Device Management, Informatiebeveiligingsdienst voor gemeenten, december 2018, p. 6. 102 Handreiking Mobile Device Management, Informatiebeveiligingsdienst voor gemeenten, december 2018, p. 6. 103 NIST Cybersecurity Framework US National Institute of Standards and Technology, 2018, artikel ID.RM. 98

35

betekent dat relevante risico’s moeten worden geïdentificeerd, geëvalueerd en beheerd. Specifiek eist de NIST in artikel PM-9 dat er beleid ontwikkeld moeten worden om veiligheidsrisico’s (voor de operatie en assets) te beheren.104

Normen bij deelvraag 2: in hoeverre waarborgt de gemeente medewerkersbewustzijn in het kader van mobiel werken? Norm: De gemeente waarborgt medewerkersbewustzijn als het gaat om digitale veiligheid en mobiel werken, middels de inzet van regelgeving en (bewustzijns)trainingen.

Toelichting op de norm: Voor het opstellen van regels zijn er in de Baseline Informatiebeveiliging Overheid (BIO) verschillende normen te vinden. Allereerst wordt in paragraaf 7.1.2 gesteld dat de verantwoordelijkheden voor informatieveiligheid in de contractuele overeenkomst met medewerkers gemeld zijn.105 Volgens paragraaf 8.1.3 van de BIO behoren regels voor aanvaardbaar gebruik van ICT-middelen die samenhangen met informatie en informatie verwerkende faciliteiten te worden vastgelegd en geïmplementeerd en daarop volgt in de sub-norm 8.1.3.1 dat medewerkers hier aantoonbaar op zijn gewezen.106 Naast deze algemene regels kent de BIO ook normen ten aanzien van mobiel werken.

Volgens paragraaf 6.2.2 van de BIO dient er beleid en ondersteunende beveiligingsmaatregelen te worden geïmplementeerd ter beveiliging van informatie die vanaf mobiele werkpleklocaties wordt benaderd, verwerkt of opgeslagen.107 Hierbij wordt verwezen naar de handreiking telewerkbeleid van de informatiebeveiligingsdienst (IBD).108 Hierin staat dat er voor het werken op afstand en het gebruik van privémiddelen beleid met gedragsregels opgesteld moeten worden en dat er afspraken gemaakt moeten worden voor mobiel werken.109 Onder andere betekent dit dat er bij het uitvoeren van werkzaamheden niet gewerkt mag worden met illegale software en dat er een plicht is voor de beveiliging van gemeentelijke informatie op een privé apparaat. De gemeente kan daarbij regels opstellen over maatregelen die genomen moeten worden om gemeentelijke informatie op een privéapparaat te beschermen.110 Specifiek geeft de handreiking een aantal punten die

104

NIST Cybersecurity Framework US National Institute of Standards and Technology, 2018, artikel PM-

9. 105

Baseline informatiebeveiliging overheid, 2020, artikel 7.1.2. Baseline informatiebeveiliging overheid, 2020, artikel 8.1.3(.1). 107 Baseline informatiebeveiliging overheid, 2020, artikel 6.2.2. 108 Handreiking Telewerkbeleid, Informatiebeveiligingsdienst voor gemeenten, juli 2019. 109 Handreiking Telewerkbeleid, Informatiebeveiligingsdienst voor gemeenten, juli 2019, p. 8, p.13. 110 Handreiking Telewerkbeleid, Informatiebeveiligingsdienst voor gemeenten, juli 2019, p. 7. 106

36

opgenomen kunnen worden in gedragsregels of gebruiksvoorwaarden van het mobiel werken. De werknemer moet bijvoorbeeld zijn privé apparaat voorzien van een up-to-date virusscanner, personal firewall, anti-malware tool, screensaver beveiligd met een wachtwoord en up-to-date besturingssysteem en applicaties. Daarnaast kan de medewerker ook verboden worden om bedrijfsinformatie lokaal op te slaan.111 Over het aanbieden van opleidingen worden in de Baseline Informatiebeveiliging Overheid (BIO) ook normen opgenomen. Volgens paragraaf 7.2.2 uit de BIO behoren alle medewerkers passende bewustzijnsopleiding en -training en regelmatige bijscholing van beleidsregels te krijgen.112 Hierbij wordt in de daarbij horende sub-norm 7.2.2.2 specifiek gesteld dat er bij indiensttreding het i-bewustzijn training van de VNG succesvol moet worden gevolgd.113 In paragraaf 7.2.2.3 wordt ook gesteld dat er (door het management) regelmatig en actief gestimuleerd moet worden om trainingen op het gebied van informatiebeveiliging te volgen.114 Hierbij wordt verwezen naar de handreiking ‘personeelsbeleid gemeente’ van de informatiebeveiligingsdienst (IBD).115 Daarin staat dat alle gemeentelijke medewerkers, ingehuurde partijen en derden toereikende voorlichting en training behoren te krijgen om hun bewustzijn ten aanzien van informatiebeveiliging te vergroten en hun beveiligingsgedrag te verbeteren.116

Normen bij deelvraag 3: in hoeverre heeft de gemeente grip op het ICTlandschap wat betreft faciliteiten voor mobiel werken? Norm: De gemeente heeft zicht op en controle over de ICT dat gebruikt wordt binnen de organisatie, waaronder de mobiele apparatuur die wordt gebruikt voor mobiel werken, de gebruikers van de gemeentelijke ICT en het gebruik van en toegang tot applicaties.

Toelichting op de norm: Zowel de Baseline Informatieveiligheid Overheid (BIO) als het internationaal erkend kader van het National Institute of Standards and Technology (NIST) benadrukken het belang van het identificeren en bijhouden van bedrijfsmiddelen in het waarborgen van cyber security. Het NIST benadrukt dat het belangrijk is om zicht te hebben

111

Handreiking Telewerkbeleid, Informatiebeveiligingsdienst voor gemeenten, juli 2019, p.13. Baseline informatiebeveiliging overheid, 2020, artikel 7.2.2.1. 113 Baseline informatiebeveiliging overheid, 2020, artikel 7.2.2.2.1. 114 Baseline informatiebeveiliging overheid, 2020, artikel 7.2.2.3. 115 Handreiking Personeelsbeleid gemeente, Informatiebeveiligingsdienst voor gemeenten, mei 2020. 116 Handreiking Personeelsbeleid gemeente, Informatiebeveiligingsdienst voor gemeenten, mei 2020, p. 17. 112

37

in de apparaten en software binnen de organisatie, omdat dit vaak de toegangspunten zijn voor kwaadwillende actoren.117 Volgens artikel 8.1.1 van de BIO moeten alle bedrijfsmiddelen geïdentificeerd zijn, en bijgehouden worden in een inventaris.118 In artikel 8.1.2 wordt benadrukt dat bedrijfsmiddelen die in het inventarisatieoverzicht staan een eigenaar hebben.119 In het artikel onder ID.AM-1 van het NIST framework worden soortgelijke eisen gesteld: alle fysieke apparaten en systemen binnen de organisatie moeten worden geïnventariseerd en beheerd.120 Hierbij wordt onder artikel MOS-09 specifiek gesteld dat alle mobiele apparaten die worden gebruikt om bedrijfsgegevens op te slaan en te openen, moeten worden bijgehouden.121 Applicaties Voor het overzicht van de applicaties wordt naast de algemene norm van de BIO 8.1.1 en 8.1.2 zoals hierboven genoemd in de Handreiking ‘Beleid logische toegangsbeveiliging’ van de informatie beveiligingsdienst (IBD) ook gesteld dat er een overzicht beschikbaar moet zijn van de informatiesystemen binnen de gemeente, verwerkt in het configuratiebeheersysteem (CMDB).122 Ook binnen het kader van het NIST wordt ook in artikel ID-AM 2 vereist dat alle softwareplatforms en applicaties binnen de organisatie zorgvuldig worden geïnventariseerd.123 Gebruiker Ook over gebruikersbeheer kent de Baseline Informatiebeveiliging Overheid (BIO) normen.

In artikel 9.2.2.3 wordt gesteld dat er een actueel mandaatregister is, of dat er functieprofielen zijn waaruit blijkt welke personen bevoegdheden hebben voor het verlenen van

117

CSF 1.1 Quick Start Guide, website NIST, 23 januari 2023, https://www.nist.gov/cyberframework/getting-started/quick-startguide#:~:text=Maintain%20hardware%20and%20software%20inventory,as%20simple%20as%20a%20 spreadsheet, geraadpleegd op: 7 februari 2024. 118 Baseline Informatieveiligheid Overheden, 2020, artikel 8.1.1. 119 Baseline Informatieveiligheid Overheden, 2020, artikel 8.1.2. 120 NIST Cybersecurity Framework US National Institute of Standards and Technology, 2018, artikel ID.AM-1. 121 NIST Cybersecurity Framework US National Institute of Standards and Technology, 2018, artikel MOS-9. 122 Handreiking Beleid logische toegangsbeveiliging, Informatiebeveiligingsdienst voor gemeenten, september 2021, p. 13. 123 NIST Cybersecurity Framework US National Institute of Standards and Technology, 2018, artikel IDAM 2.

38

toegangsrechten.124 Volgens artikel 9.2.5 van de BIO moeten de toegangsrechten van gebruikers regelmatig beoordeeld worden.125 De BIO verwijst ook naar de normen van het Centrum Informatiebeveiliging en Privacybescherming (CIP) ‘Grip op Secure Software Development (SSD)’. Hierin staan basisnormen die dienen als richtlijn voor ontwikkeling en onderhoud van veilige software.126 Volgens artikel SSD-7/01.01 van de CIP moet er voor het beheersen van de autorisaties de toegangsrechten tot gegevens en functies in de applicatie op een gestructureerde manier georganiseerd zijn.127 Dit kan door gebruik te maken van beveiligingsgroepen. Bij het gebruik van beveiligingsgroepen moeten deze zodanig zijn opgezet dat de groepen eenvoudig en beheersbaar te koppelen zijn met taken en organisatorische functies.128 Artikel SSD-7.01.03 van de CIP stelt dat er ook een mogelijkheid moet zijn om toegangsrechten bijvoorbeeld veilig te blokkeren of verwijderen.129

Normen bij deelvraag 4: in hoeverre waarborgt de gemeente de beveiliging van toegang vanuit mobiele werkplekken met technische maatregelen? Norm: De gemeente neemt technische maatregelen om de veiligheid van mobiel werken te waarborgen.

Toelichting op de norm: Ook voor de technische eisen kent de Baseline Informatiebeveiliging Overheid (BIO) normen. In artikel 9.1.2 van de BIO wordt gesteld dat gebruikers alleen toegang behoren te krijgen tot het netwerk en de netwerkdiensten waarvoor zij specifiek bevoegd zijn.130 Specifiek betekent dit volgens artikel 9.1.2.1 van de BIO dat alleen geauthentiseerde apparatuur toegang kan krijgen tot een vertrouwde zone.131 Volgens artikel 9.1.2.2 behoren gebruikers met eigen of ongeauthenticeerde apparatuur (Bring Your Own Device) alleen toegang te krijgen tot een onvertrouwde zone.132 Als vanuit

124

Baseline Informatieveiligheid Overheden, 2020, artikel 9.2.2.3. Baseline Informatieveiligheid Overheden, 2020, artikel 9.2.5. 126 Grip op Secure Software Development Beveiligingseisen voor (web)applicaties, Centrum Informatiebeveiliging en Privacybescherming, M. Koers & R. van der Veer, 20 juli 2020. 127 Grip op Secure Software Development, Centrum Informatiebeveiliging en Privacybescherming, 2020, artikel SSD-7/01.01. 128 Grip op Secure Software Development, Centrum Informatiebeveiliging en Privacybescherming, 2020, artikel SSD-7/01.01. 129 Grip op Secure Software Development, Centrum Informatiebeveiliging en Privacybescherming, 2020, artikel SSD-7.01.03. 130 Baseline informatiebeveiliging overheid, 2020, artikel 9.1.2. 131 Baseline informatiebeveiliging overheid, 2020, artikel 9.1.2.1. 132 Baseline informatiebeveiliging overheid, 2020, artikel 9.1.2.2. 125

39

een onvertrouwde zone toegang wordt verleend naar een vertrouwde zone, behoort dit volgens 9.4.2.1 van de BIO alleen op basis van minimaal two-factor authenticatie te gebeuren.133 Ook kent de BIO normen ten aanzien van beheersmaatregelen tegen malware. Volgens artikel 12.2.1 van de BIO behoren beheersmaatregelen voor detectie, preventie en herstel te worden geïmplementeerd ter bescherming tegen malware.134 Daarnaast moet volgens artikel 12.2.1.1 het downloaden van bestanden beheerst en beperkt zijn op basis van risico en need-of-use.135 Volgens BIO 12.2.1.3 dienen de gebruikte anti-malwaresoftware en bijbehorende herstelsoftware actueel te zijn en te worden ondersteund door periodieke updates.136 Volgens artikel 6.2.1.1 van de BIO moet mobiele apparatuur zo worden ingericht dat informatie niet onbewust wordt opgeslagen.137 Als vertrouwelijke informatie wel wordt opgeslagen moeten de gegevens versleuteld zijn.

Daarnaast moet in dat geval ‘wissen op afstand’ mogelijk zijn.138 Daarnaast stelt de BIO in artikel 6.2.1.2 dat er beheersmaatregelen genomen worden bij het inzetten van mobiele apparatuur.139 Onder andere houdt het in dat er gebruikt wordt gemaakt van Mobile Device Management (MDM) of Mobile Application Management (MAM) oplossingen en dat het device deel uit maakt van patchmanagement en hardening.140 Volgens de handreiking ‘Mobile Device Management’ van de IBD, waarnaar gerefereerd wordt in artikel 6.2.1 van de BIO, wordt expliciet beschreven dat de beveiligingsmaatregelen ook betrekking hebben op privé apparatuur die zakelijk gebruikt wordt.141 De BIO verwijst ook naar de normen van het Centrum Informatiebeveiliging en Privacybescherming (CIP) ‘Grip op Secure Software Development (SSD): De Normen voor Mobile Apps’. Hierin staan basisnormen die dienen als richtlijn voor veilige mobiele apps.142

133

Baseline informatiebeveiliging overheid, 2020, artikel 9.4.2.1. Baseline informatiebeveiliging overheid, 2020, artikel 12.2.1. 135 Baseline informatiebeveiliging overheid, 2020, artikel 12.2.1.1. 136 Baseline informatiebeveiliging overheid, 2020, artikel 12.2.1.3. 137 Baseline informatiebeveiliging overheid, 2020, artikel 6.2.1.1. 138 Baseline informatiebeveiliging overheid, 2020, artikel 6.2.1.1. 139 Baseline Informatieveiligheid Overheden, 2020, artikel 6.2.1.2. 140 Baseline Informatieveiligheid Overheden, 2020, artikel 6.2.1.2b; Baseline Informatieveiligheid Overheden, 2020, artikel 6.2.1.2c. 141 Handreiking Mobile Device Management, Informatiebeveiligingsdienst voor gemeenten, 2018, p. 6. 142 Grip on Secure Software Development Security requirements for Mobile Apps, Centrum Informatiebeveiliging en Privacybescherming, M. Koers, 25 februari 2016. 134

40

Volgens artikel SSDm-10 dat een app de gebruiker sessie automatisch beëindigt na een vooraf ingestelde periode van gebruikersinactiviteit.143 In artikel 12.6.2 van de BIO wordt gesteld dat er voor het installeren van software door gebruikers regels behoren te worden vastgesteld en geïmplementeerd.144 In de bijbehorende sub-norm in artikel 12.6.2.1 wordt gesteld dat gebruikers op hun werkomgeving niets zelf kunnen installeren, anders dan wat via de ICT-leverancier wordt aangeboden of wordt toegestaan.145 Verder stelt de BIO in artikel 9.4.1.2 dat gebruikers alleen de informatie met specifiek belang kunnen inzien en verwerken die ze nodig hebben voor de uitoefening van hun taak.146

143

Grip on Secure Software Development Security requirements for Mobile Apps, Centrum Informatiebeveiliging en Privacybescherming, M. Koers, 25 februari 2016. 144 Baseline informatiebeveiliging overheid, 2020, artikel 12.6.2. 145 Baseline informatiebeveiliging overheid, 2020, artikel 12.6.2.1. 146 Baseline informatiebeveiliging overheid, 2020, artikel 9.4.1.2.

41

Bijlage 4: Begrippenlijst Authenticatie

Het verifiëren dat de gebruiker daadwerkelijk is wie hij beweert te zijn, bijvoorbeeld door een wachtwoord en gebruikersnaam.

Autorisatie

Het toekennen van toegang, rechten of privileges (tot een applicatie).

Beheerdersrechten

Speciale toegangsrechten die een gebruiker heeft [op een apparaat] om systeemwijzigingen uit te voeren.

Configuratie Management Database (CMDB)

Een database die alle relevante informatie bevat over de elementen die beheerd en gecontroleerd moeten worden (zoals hardware en software) in de IT-infrastructuur.

CVSS-score

Common Vulnerability Scoring System’ (CVSS) is een scoringsmethode die gebruikt wordt als kwalitatieve maatstaf voor het aangeven van de ernst van een kwetsbaarheid.

Gebruikers

Alle personen, werkzaam binnen de gemeentelijke organisatie die gebruik maken van de ICT-faciliteiten van de gemeente. Dit betreft zowel medewerkers van de ambtelijke organisatie, externen met een gemeente Den Haag account, als raadsleden.

Gebruikerssessies

De periode dat een gebruiker actief is en gebruik maakt van een applicatie of systeem.

Hardening

Het verkleinen van het aanvalsoppervlak door niet gebruikte functies in hardware en software uit te zetten of weg te halen en de rechten van andere functies waar mogelijk te beperken. Zo verkleint men ook het risico van aanvallen.147

I-bewustzijn opleiding

Een kosteloze e-learning programma ontworpen door de VNG om de

147

Cybersecurity Woordenboek 2021, Cyberveilig Nederland, december 2021.

42

informatieveiligheid te verhogen door het bewustzijn van medewerkers te verhogen.148 ICT-landschap

Het geheel aan ICT en de daaraan verbonden processen binnen de organisatie.

ICT-middelen

Alle elektronische informatie- en communicatieapparatuur en voorzieningen, inclusief alle bijbehorende hard- en software en bestanden.149

Malware

Schadelijke programma’s.

Mobiele werkplekken

(Digitale) werkplekken die plaats-onafhankelijk zijn.

Mobile Device Management (MDM)

Het stelsel van maatregelen, procedures en ondersteunende producten die het mogelijk maken om mobiele apparaten veilig te kunnen gebruiken en te kunnen beheersen.150

Multi-factor authenticatie

Een beveiligingsmethode die vereist dat gebruikers twee of meer verificatiefactoren verstrekken om toegang te krijgen tot een applicatie of account.

Patches

Kleine programma's die aanpassingen maken om fouten op te lossen of verbeteringen aan te brengen. Zij helpen met het up-to-date houden van de applicaties.151

Patchmanagement

Het bijhouden van patches.

Risico

Een onzekere gebeurtenis in de toekomst die invloed kunnen hebben op jouw onderneming. 152

148

iBewustzijn Overheid Bewust en veilig omgaan met (digitale) informatie!, website VNG, datum onbekend, https://www.vngconnect.nl/academie/Training/ibewustzijn-overheid-bewust-en-veiligomgaan-met-digitale-informatie/edd25b97-95d3-4ce8-ac63-b26dccd91e4e geraadpleegd op: 28 maart 2024. 149 Intern document Regeling gebruik ICT middelen en gemeentelijke informatie 2014, 7 oktober 2014. 150 Handreiking Mobile Device Management, Informatiebeveiligingsdienst voor gemeenten, december 2018. 151 Handreiking Samenhang Beheerprocessen en Informatiebeveiliging, Informatiebeveiligingsdienst voor gemeenten, juni 2019. 152 Stappenplan risicoanalyse, website digital trustcenter, (datum onbekend), https://www.digitaltrustcenter.nl/stappenplan-risicoanalyse, geraadpleegd op 23 april 2024.

43

Risicoanalyse

Een grondige beoordeling van het risico dat geïdentificeerd is.153

Risicomanagement

Het beheren van risico’s om de [digitale] veiligheid te waarborgen door risico’s te identificeren en gepaste maatgelen te treffen.

Toegangsrechten

Het recht om gebruik te maken van [een programma, applicatie, document].

Virtuele Desktop Infrastructuur (VDI)

Een ICT-infrastructuur waarmee je virtueel, toegang krijgt tot het (besturings)systeem van het bedrijf, in dit geval de gemeente. Hierdoor kan met vrijwel elk apparaat toegang worden verkregen tot het interne (beveiligde) netwerk.154

WOW-plek

Werk en ontmoeten werkplek waarop je een laptop kan aansluiten. De WOW-plek bestaat uit twee beeldschermen, een toetsenbord en een muis. De WOW-plek is een vervanging van de vaste werkplek met desktopcomputer.155

153

Stappenplan risicoanalyse, website digital trustcenter, (datum onbekend), https://www.digitaltrustcenter.nl/stappenplan-risicoanalyse, geraadpleegd op 23 april 2024. 154 Wat is VDI (Virtual Desktop Infrastructure)?, website Microsoft, (datum onbekend), https://azure.microsoft.com/nl-nl/resources/cloud-computing-dictionary/what-is-virtual-desktopinfrastructure-vdi/#infrastructure, geraadpleegd op: 8 mei 2024. 155 Gebruikershandleiding WOW!, interne website gemeente Den Haag, (datum onbekend), https://denhaag.sharepoint.com/sites/hetplein/SitePages/Gebruikershandleiding-WOW.aspx?web=1, geraadpleegd op: 23 april 2024

44

Bijlage 5: Bronverwijzingen Raadsinformatiesysteem Gemeente Den Haag o RIS304162 Collegebesluit, Strategisch Beleidskader Informatieveiligheid 2019-2022, College van Burgemeester en Wethouders, 18 december 2019. o RIS305017, Raadsvoorstel, Masterplan IT, College van Burgemeester en Wethouders, 1 april 2020. o RIS305093, Commissiebrief, Visie op digitalisering en dienstverlening 2020-2023, College van Burgemeester en Wethouders, 14 juli 2020. o RIS313799, Collegebesluit, Uitvoeringsdata 2023 digitalisering en dienstverlening, College van Burgermeester en Wethouders, 29 november 2022. o RIS315739 Verslag, Verslag van de Rekeningencommissie, Rekeningencommissie, 31 Mei 2023. o RIS317224 Commissiebrief Governance Digitale Veiligheid, College van Burgemeester en Wethouders, 7 december 2023. Interne documenten Gemeente Den Haag o Intern document All Android BYOD, als ontvangen op 27 februari 2024. o Intern document All Android devices, als ontvangen op 13 november 2023. o Intern document All Apple BYOD, als ontvangen op 27 februari 2024. o Intern document All Apple devices, als ontvangen op 13 november 2023. o Intern document All Windows devices, als ontvangen op 13 november 2023. o Intern document Applicaties voor rekenkamer, als ontvangen op 22 november 2023. o Intern document rekenkamer, als ontvangen op 15 november 2023.

o Intern document Digitale Strategie & Informatiebeleid Inrichtingsvoorstel (draft), als ontvangen op 13 februari 2024. o Intern document Handreiking Hybride werken, voor medewerkers en leidinggevenden, versie April 2023. o Intern document New perspectives for Gemeente Den Haag, 4 maart 2024. o Intern document Rekenkamer overzicht applicatie, als ontvangen op 15 november 2023. o Intern document Regeling gebruik ICT middelen en gemeentelijke informatie 2014, 7 oktober 2014. o Intern document Werkplek visie Haagse Digitale Werkomgeving, 23 februari 2023. Website o 2.600 vaste computers worden vervangen door werkplekken voor laptops, interne website Gemeente Den Haag, 18 januari 2024, https://denhaag.sharepoint.com/sites/DenHaagNieuws/SitePages/2.600-vastecomputers-worden-vervangen-door-werkplekken-voor-laptops.aspx, geraadpleegd op: 20 februari 2024. o Alles over thuiswerken, interne website Gemeente Den Haag, 24 augustus 2021, https://denhaag.sharepoint.com/sites/werknet/portalen/ictdiv/Paginas/Alles-overthuiswerken.aspx, geraadpleegd op: 15 februari 2024. o Baseline Informatiebeveiliging Overheid (BIO) & NEN-ISO/IEC 27001 en 27002, website Communicatie Rijk, (datum onbekend), https://www.communicatierijk.nl/vakkennis/rijkswebsites/verplichterichtlijnen/baseline-informatiebeveiliging45

o

o

o

o

o o

o

o

o

o

o

rijksdienst#:~:text=CommunicatieRijk%20Start%20zoeken,Baseline%20Informatiebeveiliging%20Overheid%20(BIO)%20%26%20NEN%2DISO% 2FIEC,samengewerkt%20en%20gegevens%20worden%20uitgewisseld, geraadpleegd op: 8 april 2024. Bedrijfsmiddelen-inventaris, website Nederlandse Overheid Referentie Architectuur, 22 november 2021, https://www.noraonline.nl/wiki/ISOR:Bedrijfsmiddelen_inventaris, geraadpleegd op: 6 mei 2024. Blader door de BIO en zoek de bijbehorende practices, website BIO overheid, (datum onbekend), https://www.bio-overheid.nl/bio-practices/, geraadpleegd op: 24 juni 2024. Bring Your Own Device (BYOD), website Digital Trust Center, (datum onbekend), https://www.digitaltrustcenter.nl/informatie-advies/bring-your-own-device-byod, geraadpleegd op: 21 mei 2024. CSF 1.1 Quick Start Guide, website NIST, 23 januari 2023, https://www.nist.gov/cyberframework/getting-started/quick-startguide#:~:text=Maintain%20hardware%20and%20software%20inventory,as%20simpl e%20as%20a%20spreadsheet, geraadpleegd op: 7 februari 2024. Cybersecurity Woordenboek 2021, Cyberveilig Nederland, december 2021, https://cyberveilignederland.nl/woordenboek, geraadpleegd op: 2 mei 2024. Eigenaarschap Huisvesting IV, website Nederlandse Overheid Referentie Architectuur, 22 november 2021, https://www.noraonline.nl/wiki/ISOR:Eigenaarschap, geraadpleegd op: 19 september 20024.

iBewustzijn Overheid Bewust en veilig omgaan met (digitale) informatie!, website VNG, (datum onbekend), https://www.vngconnect.nl/academie/Training/ibewustzijn-overheid-bewust-enveilig-omgaan-met-digitale-informatie/edd25b97-95d3-4ce8-ac63-b26dccd91e4e, geraadpleegd op 28 maart 2024. Microsoft Intune beheert op beveiligde wijze identiteiten, apps en apparaten, website Microsoft, 16 februari 2024, https://learn.microsoft.com/nlnl/mem/intune/fundamentals/what-is-intune, geraadpleegd op: 7 maart 2024. Wat is VDI (Virtual Desktop Infrastructure)?, website Microsoft, (datum onbekend), https://azure.microsoft.com/nl-nl/resources/cloud-computing-dictionary/what-isvirtual-desktop-infrastructure-vdi/#infrastructure, geraadpleegd op: 8 mei 2024. Werk jij op je privélaptop? Wees dan extra alert, website RTL nieuws, 18 april 2023, https://www.rtlnieuws.nl/economie/van-onzepartner/artikel/5378093/cyberupdate-persoonlijke-systemen-hacken, geraadpleegd op 8 april 2024. What is: Multifactor Authentication, website Microsoft, (datum onbekend), https://support.microsoft.com/en-us/topic/what-is-multifactor-authenticatione5e39437-121c-be60-d123-eda06bddf661, geraadpleegd op: 28 maart 2024.

Wet- en Regelgeving o 2: Inventory and Control of Software Assets, website NIST, (datum onbekend), https://csf.tools/reference/critical-security-controls/version-8/csc-2/, geraadpleegd op: 27 februari 2024. 46

o

Baseline Informatieveiligheid Overheden, 2020. Geraadpleegd op: https://www.bioverheid.nl

o

Grip op Secure Software Development Beveiligingseisen voor (web)applicaties, Centrum Informatiebeveiliging en Privacybescherming, M. Koers & R. van der Veer, 20 juli 2020. Geraadpleegd op: https://www.cipoverheid.nl/media/clkmwp3x/20200720-ssd-normen-v30.pdf

o

Grip on Secure Software Development Security requirements for Mobile Apps, Centrum Informatiebeveiliging en Privacybescherming, M. Koers, 25 februari 2016. Geraadpleegd op: https://www.cip-overheid.nl/productcategorieen-enworkshops/producten?product=grip-op-ssd-de-normen-voor-mobiele-apps

o

Handreiking 2-Factor authenticatie (2FA) voor gemeenten, Informatiebeveiligingsdienst voor gemeenten, 2020. Geraadpleegd op: https://www.informatiebeveiligingsdienst.nl/product/handreiking-2-factorauthenticatie-2fa-voor-gemeenten/

o

Handreiking Beleid logische toegangsbeveiliging, Informatiebeveiligingsdienst voor gemeenten, 2021. Geraadpleegd op: https://www.informatiebeveiligingsdienst.nl/product/beleid-logischetoegangsbeveiliging-v1-0/

o

Handreiking configuratiemanagement, Informatiebeveiligingsdienst voor gemeenten, 2020. Geraadpleegd op: https://www.informatiebeveiligingsdienst.nl/product/handreikingconfiguratiemanagement/

o

Handreiking Mobile Device Management, Informatiebeveiligingsdienst voor gemeenten, 2018. Geraadpleegd op: https://www.informatiebeveiligingsdienst.nl/product/mobile-device-management/

o

Handreiking Personeelsbeleid gemeente, Informatiebeveiligingsdienst voor gemeenten, 2020. Geraadpleegd op: https://www.informatiebeveiligingsdienst.nl/product/personeelsbeleid/

o

Handreiking Risicomanagement voor lijnmanagers, Informatie Beveiligingsdienst voor gemeenten, 2020. Geraadpleegd op: https://www.informatiebeveiligingsdienst.nl/product/handreikingrisicomanagement-door-lijnmanagers/

o

Handreiking Samenhang Beheerprocessen en Informatiebeveiliging, Informatiebeveiligingsdienst voor gemeenten, 2019. Geraadpleegd op: https://www.informatiebeveiligingsdienst.nl/product/samenhang-beheerprocessenen-informatiebeveiliging/

o

Handreiking Telewerkbeleid, Informatiebeveiligingsdienst voor gemeenten, 2019. Geraadpleegd op: https://www.informatiebeveiligingsdienst.nl/product/telewerkbeleid/ 47

o

NIST Cybersecurity Framework US National Institute of Standards and Technology, 2018. Geraadpleegd op: https://www.nist.gov/cyberframework

Overige documenten o Rapport Pentest Den Haag, Hoffmann, 23 november 2023. Overige informatie o o o

E-mail ambtelijke organisatie, Dienst bedrijfsvoering (DBV), 12 februari 2024. E-mail ambtelijke organisatie, Dienst bedrijfsvoering (DBV), 22 februari 2024. E-mail ambtelijke organisatie, Dienst bedrijfsvoering (DBV), 17 januari 2024.

Interviews o Interview gemeente Den Haag, 17 januari 2024. o Interview gemeente Den Haag, 15 februari 2024. o Interview gemeente Den Haag, 27 februari 2024.

48