2. Rapport Informatiebeveiliging Gemeente Den Helder.pdf

De FG is zich hiervan bewust en beperkt zich zo veel mogelijk tot advisering, waarbij het lijnmanagement beslist. Aanstelling van een privacy officer (PO) maakt de functiescheiding gemakkelijker te handteren en beperkt de ad-hoc druk bij de FG.

13 Zie BIO: Informatiebeveiligingsaspecten van bedrijfscontinuïteitsbeheer 17.1

Hoffmann | 22301075 | OPENBAAR

Pagina 27 van 38

Omdat de informatiebeveiligingsorganisatie niet altijd (op tijd) betrokken wordt bij een nieuwe verwerking komt het voor dat verwerkingen worden gestart zonder uitvoer van een Data Protection Impact Assessment (hierna: DPIA). Bij de uitvoeringing van een DPIA wordt meestal om ondersteuning van de FG gevraagd. Gemeente Den Helder beschikt over een uitgebreid verwerkingsregister, echter is dit een statisch in plaats van dynamisch verwerkingsregister. Het verwerkingsregister wordt bijgehouden middels een periodieke uitvraag bij de teams. De laatste (en tevens ook eerste) uitvraag is vier jaar geleden gedaan. Het verwerkingsregister is daarmee niet up to date, waardoor de gemeente niet volledig voldoet aan de verantwoordingsverplichting zoals gesteld door in de AVG.14 Onderzoekers raden aan dit register bij te werken en een continu doorlopend proces in te richten zodat het een dynamisch register wordt. Daarnaast is het van belang dat de status van dit document wordt meegenomen in de rapportages richting het college zodat hierop gestuurd kan worden. 5.1.8

Logisch toegangsbeleid

Om te voorkomen dat onbevoegden toegang krijgen tot informatie, is het wenselijk om de toegang tot die informatie te baseren op verantwoordelijkheden en/of functie.15 Het toekennen van autorisaties gaat bij de gemeente Den Helder op aanvraag van de manager, op basis van een functieprofiel. Ten tijde van het onderzoek is de gemeente Den Helder in de opstartfase van een autorisatiemanagementproject. De eerste stap is om voor de vijf belangrijkste kernapplicaties autorisatiematrixen te maken en zo inzicht te creëren in de toegangsrechten.16 Met dit inzicht wordt er een periodieke controle opgezet naar autorisaties (indienst, uitdienst en doorstroom).17 De ambitie is tevens om een automatische koppeling tussen functiehuis en rollen vast te leggen in Topdesk, zodat autorisaties niet meer handmatig toegekend hoeven te worden. Het standaardiseren hiervan draagt bij aan de informatieveiligheid binnen de organisatie. De BIO stelt dat informatie door middel van een risicoafweging geclassificeerd dient te worden, zodat duidelijk is wat een passend beschermingsniveau is. Met inzicht in het type data, de locatie van de informatie en het belang hiervan voor de organisatie kunnen de juiste beveiligingsmaatregelen genomen worden.18 Binnen de gemeente Den Helder zijn er nog geen bestaande processen op het vlak van dataclassificatie.

In het contact met andere gemeentes wordt hier kennis gedeeld en worden best practices uitgewisseld. Het is uiteindelijk aan de teammanagers, als eigenaar van de informatie, om hier verantwoordelijkheid in te nemen.

14

Zie: https://www.autoriteitpersoonsgegevens.nl/themas/basis-avg/avg-algemeen/verantwoordingsplicht#eenverwerkingsregister-bijhouden 15 Zie BIO: Toegangsbeveiliging van systeem en toepassing 9.4.1.2 16 Het betreft hier de volgende applicaties: Suwinet, Suite4SocialeRegie/Suite4SocialeDomein, BRP, Xxllnce – zaaksysteem, Cognos. 17 Uit ambtelijk wederhoor komt naar voren dat er een half-jaarlijkse autorisatiecontrole door teammanagers is opgezet. 18 Zie BIO: Informatieclassificatie 8.2

Hoffmann | 22301075 | OPENBAAR

Pagina 28 van 38

5.1.9

Bewustwording medewerkers

De BIO geeft aan dat de organisatie een verantwoordelijkheid heeft voor het bewustzijn, opleiding en training van medewerkers ten aanzien van informatiebeveiliging.19 De gemeente Den Helder maakt gebruik van een online leeromgeving (Recourse) om kennis te delen op het vlak van informatiebeveiliging en privacy. Via dit platform krijgen de medewerkers een wekelijkse vraag toegestuurd en kan men e-learnings maken op het vlak van informatiebeveiliging en privacy. Deelname aan de e-learnings is niet verplicht, in de praktijk is ongeveer 50% van de medewerkers actief. Bewustwording behoort binnen de gemeente Den Helder tot de verantwoordelijkheid van de CISO, hij rapporteert het aantal deelnemers en past de inhoud aan waar nodig of relevant. Naast de e-learning zijn er ook initiatieven als presentaties, nieuwsbrieven en themaweken zoals ‘Week van de privacy’ om het bewustzijn op het vlak van privacy en informatiebeveiliging te verhogen. De hierboven genoemde initiatieven en e-learnings worden ingezet om het bewustzijn van de medewerkers te verhogen. Het einddoel is echter informatieveilig gedrag terug te zien in de praktijk. Helaas geeft het hebben van de juiste kennis nog niet de garantie op het gewenste gedrag. Om het leereffect te versterken is het aan te raden om kennis te combineren met oefening in de praktijk.

De ambitie van de gemeente is daarom om periodiek phishing e-mails te versturen en jaarlijks een mystery guest bezoek te laten uitvoeren. Daarnaast kan de gemeente onderzoeken op welke manier zij de medewerkers zo goed mogelijk kunnen faciliteren om het gewenste informatieveilige gedrag in de praktijk te laten zien. 5.1.10 Organisatiecultuur In het ideale geval is informatiebeveiliging onderdeel van de cultuur. Iedereen is eigenaar en risicomanagement is onderdeel van de bedrijfsvoering. Kijkende naar de praktijk binnen de gemeente Den Helder zien we dat deze organisatorische inbedding van informatiebeveiliging nog niet op orde is. De gemeente heeft ervoor gekozen om verantwoordelijkheden laag in de organisatie te beleggen, echter is te merken dat men in de praktijk meer behoefte heeft aan ondersteuning om deze verantwoordelijkheid op te kunnen pakken. Duidelijke richtlijnen, protocollen en processen kunnen hierbij helpen. Eveneens zou men kunnen overwegen om iemand in de rol van ISO en PO aan te stellen ter ondersteuning van het in praktijk brengen van beleid. Wellicht van een nog groter invloed is de attitude van het bestuur ten opzichte van informatiebeveiliging.

Wanneer men informatiebeveiliging onderdeel van de cultuur wil maken, is het van belang dat het bestuur de noodzaak van informatiebeveiliging uitdraagt en het juiste voorbeeld geeft in visie en besluitvorming.20 Tijdens het onderzoek is geen duidelijke visie of ‘stip op de horizon’ op het vlak van informatiebeveiliging naar voren gekomen. Het gebrek aan visie draagt bij aan een voornamelijk reactieve bedrijfsvoering. Zaken worden veelal ‘bottom up’ vanuit de IB-organisatie georganiseerd, thema’s worden van onderaf aangedragen. Hierop volgen weinig vragen of initiatieven van bovenaf. De 19 Zie BIO: Veilig personeel 7.2.2 20 Opmerking uit ambtelijk wederhoor: “In de gemeenteraad van 7 maart 2022 zijn extra middelen voor ICT beschikbaar gesteld.

Het aspect veiligheid is in het raadsvoorstel en uitvoeringsplan nadrukkelijk benoemd.”

Hoffmann | 22301075 | OPENBAAR

Pagina 29 van 38

bestuurlijke betrokkenheid kan gemeten worden aan de hand van de vragen of verzoeken vanuit raad, college en directie, maar ook door te kijken naar organisatie en budget. De positionering van de IBorganisatie binnen het I&T team alsmede de afhankelijkheid van budget van I&T, bevestigt het beeld dat informatiebeveiliging voornamelijk wordt gezien als een I&T kwestie in plaats van een gemeente brede verantwoordelijkheid.

5.2

Toelichting op bevindingen & aanbevelingen onderdeel Mens

De toelichting op de uitgevoerde test met phishing mail en het bezoek van de mystery guest bevat detailinformatie over hoe deze tests zijn uitgevoerd. Deze informatie kan door mogelijk kwaadwillende lezers gebruikt worden tegen de gemeente Den Helder. Om dit te voorkomen is bijlage 5.2. op verzoek van de Rekenkamer in een apart document opgenomen en als geheim geclassificeerd.

5.3

Verklarende woordenlijst

Onder leiding van Cyberveilig Nederland (https://www.cyberveilignederland.nl/) hebben ruim 60 organisaties, overheidspartijen en private partijen meegewerkt aan de samenstelling van het cybersecurity woordenboek. Er is een verklarende woordenlijst opgesteld met bijna 600 cybersecuritytermen om bijvoorbeeld rapporten, adviezen of offertes beter te begrijpen. Voor het complete woordenboek verwijzen wij graag naar: www.cyberveilignederland.nl/woordenboek

Begrip

Betekenis

Account

Element van een digitaal systeem dat een gebruiker representeert. Bij een account hoort informatie over de gebruiker, zoals persoonlijke gegevens, inloggegevens en informatie waar de gebruiker bij mag. Er bestaan verschillende soorten accounts, zoals een gebruikersaccount of een administratoraccount voor beheerders. In het spraakgebruik wordt deze term vaak gebruikt om lidmaatschap bij een dienst aan te duiden - "ik heb een account bij ...

Authenticatie

Wat men doet om vast te stellen of een ander wel is wie hij zegt te zijn. De ander kan een persoon zijn, maar ook bijvoorbeeld software of een apparaat.

Autorisatie

De bevoegdheden die een gebruiker van een computersysteem heeft om toegang te krijgen tot gegevens of handelingen te mogen uitvoeren. Bijvoorbeeld het opstarten van programma's of het inzien, wijzigen of wissen van informatie.

Hoffmann | 22301075 | OPENBAAR

Pagina 30 van 38

Begrip

Betekenis

AVG

Algemene Verordening Gegevensbescherming. In Europa wordt dit geregeld in de GDPR. De AVG is de Nederlandse uitwerking van de Europese GDPR. De GDPR zorgt ervoor dat er in de hele EU dezelfde basis/ minimum regels voor de bescherming van persoonsgegevens zijn. De AVG is in Nederland de opvolger van de Wet Bescherming persoonsgegevens.

Business continuity plan

Gedocumenteerde informatie die een organisatie richting geeft om

(BCP)

te reageren op een verstoring en de levering van producten en diensten conform haar doelstellingen voor bedrijfscontinuïteit te hervatten en herstellen.

CISO

Chief Information Security Officer. Verantwoordelijk voor informatiebeveiligingsbeleid evenals de implementatie en toezicht op uitvoering. Tevens verantwoordelijk voor strategie op het gebied van informatiebeveiliging.

Crisismanagement

Gecoördineerde activiteiten om een organisatie te leiden, te sturen en te controleren met betrekking tot crisis .Een crisis is een abnormale of buitengewone gebeurtenis of situatie die een organisatie of gemeenschap bedreigt en een strategische, adaptieve en tijdige reactie vereist om de levensvatbaarheid en integriteit te behouden.

Domeinnaam

Een unieke naam op internet. Meestal geldt een domeinnaam voor websites, maar men kan ook een domeinnaam aanvragen voor een persoonlijk mailadres.

DPIA

Data Protection Impact Assessment. Een organisatie onderzoekt vooraf wat de risico's van gegevensverwerking zijn voor de privacy van personen. Dit is vaak verplicht volgens de Algemene verordening Gegevensbescherming.

FG

Functionaris Gegevensbescherming. Verantwoordelijk voor toezicht op toepassing en naleving van de AVG.

Firewall

Hardware of software om computers en netwerken te beschermen tegen aanvallen. Een firewall bekijkt alles wat over het netwerk gaat en blokkeert bepaald verkeer op het netwerk.

Gebruikersnaam

Naam waarmee een gebruiker in een computersysteem kan inloggen.

Intrusion detection system

Een systeem dat alle data controleert die door een

(IDS)

computernetwerk gaan of die een digitaal systeem verstuurt en ontvangt. Het systeem geeft een waarschuwing als er iets niet in orde lijkt.

Hoffmann | 22301075 | OPENBAAR

Pagina 31 van 38

Begrip

Betekenis

Informatiebeveiliging (IB)

Alles wat men doet om ervoor te zorgen dat men bij informatie kan komen wanneer men dat wil, dat de informatie klopt en dat de informatie niet bij anderen terecht komt. Het gaat daarbij vaak om een computersysteem, maar dat hoeft niet. Het gaat om maatregelen, procedures en processen die beveiligingsproblemen voorkomen, opsporen, onderdrukken en oplossen. Ontstaat er wel een probleem met de informatie? Dan zorgt informatiebeveiliging ervoor dat de gevolgen zoveel mogelijk beperkt worden.

Informatiebeveiligingsbeleid

Algemene regels waarmee een organisatie beveiligingsrisico's zo klein mogelijk wil maken. Van tevoren spreekt men af hoe groot de beveiligingsrisico's mogen zijn.

IP reeksen

Een IP adres is het “telefoonnummer” van een computer, waardoor systemen met elkaar kunnen communiceren binnen netwerken en het internet. Een IP reeks is een reeks van opvolgende IP adressen.

Information Security

Managementsysteem voor de beveiliging van informatie. Met dit

Management System

systeem bewaakt men het proces van informatiebeveiliging.

(ISMS) ISO

Information Security Officer. Verantwoordelijk voor informatiebeveiligingsbeleid evenals de implementatie en toezicht op uitvoering. Tevens verantwoordelijk voor strategie op het gebied van informatiebeveiliging.

Multifactor Authenticatie

Multifactor Authenticatie (MFA) is een methode om de authenticiteit

(MFA) / 2-factor

van een gebruiker te verifiëren op meer dan één enkele manier.

authenticatie Mystery guest bezoek

Beveiligingstest waarbij een daartoe aangewezen persoon op bezoek gaat bij een organisatie. Daar probeert hij in ruimtes te komen waar hij niet mag komen. En hij probeert bij informatie te komen waar hij niet bij mag komen. Zo test de persoon deze organisatie. Men kan deze test combineren met een penetratietest. Bij deze test gaat de mystery guest een beveiligde ruimte in. Daar probeert hij in te breken op het lokale computernetwerk.

PDCA

Plan-Do-Check-Act (cyclus). Stappen ter verbetering van bijvoorbeeld een proces of beleid.

Hoffmann | 22301075 | OPENBAAR

Pagina 32 van 38

Begrip

Betekenis

Penetratietest

Handmatige controle waarbij men zo diep mogelijk wil binnendringen in een systeem om zwakke plekken te vinden en de gevolgen hiervan te kennen. Men gebruikt de zwakke plekken om nog wat dieper in het systeem te komen. Doel van de test is niet om zoveel mogelijk zwakke plekken te vinden. Dat gebeurt wel bij een vulnerability scan.

Phishing/Mail-phishing

Aanval waarbij de aanvaller iemand verleidt om belangrijke informatie te geven, zoals bijvoorbeeld inloggegevens of creditcardgegevens. Phishing gebeurt vaak via e-mails. Maar aanvallers proberen het ook via de telefoon, een sms of een app-bericht.

Privacybeleid

Met een privacybeleid brengt een organisatie in kaart welke maatregelen zij heeft genomen om de persoonsgegevens van bijvoorbeeld klanten, patiënten, cliënten te beschermen. Daarnaast is het een manier om als organisatie aan zowel de doelgroep als aan de Autoriteit Persoonsgegevens te laten zien dat ze voldoet aan de AVG.

Privacy Officer / PO

Privacy Officer. Verantwoordelijk voor het ontwikkelen en bewaken van het privacybeleid en ondersteuning bieden bij uitvoering van het beleid.

Ransomware

Ransomware is een samenvoeging van de woorden ransom (losgeld) en software. De aanvallers gijzelen data van het slachtoffer en gebruiken drukmiddelen om het slachtoffer over te halen te betalen. Die gijzeling bestaat vaak uit het versleutelen van de gegevens van het slachtoffer.

Risicoanalyse

Methode om inzicht te krijgen in de risico's die je loopt. De onderzoeker kijkt daarbij onder andere naar het volgende: - hoe groot is de kans dat iets gebeurt? - hoe groot zijn de gevolgen als dat gebeurt?

Schaduw IT (shadow IT)

Shadow IT is hardware of software binnen een onderneming die niet ondersteund wordt en opgezet is door de IT afdeling, maar wel een rol speelt in de bedrijfsvoering.

Security Information and

Systeem waarin men informatie uit computersystemen verzamelt

Event Management (SIEM)

en analyseert. Het doel is om verdacht gedrag te ontdekken. Of zien dat iemand dingen in het systeem heeft veranderd, terwijl hij dat niet mocht.

Security Operations Center

Afdeling of team dat informatiesystemen controleert of bewaakt. Dit

(SOC)

doen zij voor de eigen organisatie of voor klanten.

Hoffmann | 22301075 | OPENBAAR

Pagina 33 van 38

Begrip

Betekenis

Social engineering

Als een aanvaller iemand misleidt door bijvoorbeeld in te spelen op nieuwsgierigheid of behulpzaamheid. Op deze manier probeert de aanvaller bijvoorbeeld aan informatie te komen om in een digitaal systeem in te breken.

Vitale infrastructuur

Die diensten, producten of onderdelen van de infrastructuur van een land die door de Nederlandse overheid als essentieel zijn bestempeld. Worden deze onderdelen uitgeschakeld, of vallen ze uit? Dan is de kans op economische en/of maatschappelijke ontwrichting groot.

Wachtwoord

Reeks van letters, cijfers en of andere karakters waarmee een gebruiker in een computersysteem kan komen. Het is de bedoeling dat een gebruiker dit wachtwoord niet aan anderen geeft en een sterk wachtwoord kiest zodat dit moeilijk te kraken is door aanvallers.

5.4

Overzicht geïnterviewden

Functie

Datum interview

CISO

26 juni 2023 + 14 december 2023

Functionaris gegevensbescherming / Awareness coördinator

27 juni 2023

Technisch IT adviseur

27 juni 2023

Adviseur Inkoop

4 juli 2023

Wethouder

20 juli 2023

5.5

Overzicht bestudeerde documenten

Onderstaande tabel bevat de documenten die zijn ontvangen vanuit de gemeente Den Helder en bestudeerd ten behoeve van het onderzoek naar de organisatie van informatiebeveiliging.

Document

Versie

Datum

Incidentmanagement en response beleid

1.1

08-06-2022

Autorisatiebeheerbeleid

1.0

15-02-2023

Proces wijzigingsbeheer

1.1

21-09-2023

309520 Informatiebeveiligingsbeleid gemeente Den Helder – Getekend

2.0

14-06-2021

AVG inproces verwerkingsregister excelrapportage 2023

-

-

Hoffmann | 22301075 | OPENBAAR

Pagina 34 van 38

Document

Versie

Datum

Gedragsregels informatiebeveiliging

-

-

Incidentregister 2022

-

-

Informatie bezoek Mystery Guest gemeente Den Helder 2022

-

11-10-2022

PDCA-plan van aanpak informatiebeveiligingsbewustzijn 2021

1.0

17-12-2020

Presentatie informatiebeveiliging Q2-2022

-

-

Privacybeleid gemeente Den Helder

2.0

Juli 2020

Privacyprotocol afvalvinzameling

1.0

23-10-2020

Privacyreglement e-mail- en internetgebruik

-

-

Richtlijnen Social Media gemeente Den Helder

-

-

Strategisch informatiebeveiligingsbeleid 2020-2023

3.0

03-12-2019

Incidentenregister 2023

-

-

Wachtwoordbeleid gemeente Den Helder

1.0

29-09-2020

Proces melden beveiligingsincidenten en datalekken

-

-

2022.FG.Jaarrapportage.College.GemDH

-

-

5.6

Contactinformatie

Naam

Functie

E-mail

Telefoon

Oscar Vermaas

Security Consultant

o.vermaas@hoffmann.nl

06-53410213

Laurens Kolfschoten

Security Consultant

l.kolfschoten@hoffmann.nl

06-11769892

Esther Kraan

Consultant

e.kraan@hoffmann.nl

06-21330432

Riskmanagement Mo Ballari

Sales Consultant

m.ballari@hoffmann.nl

06-47384377

Robert Molenaar

Teamleider ICT-security

r.molenaar@hoffmann.nl

06-25716990

Johan van Slooten

Director Riskmanagement

j.vanslooten@hoffmann.nl

06-11003083

Harmannus Kruizinga

Voorzitter RK

-

-

Martine Klaassen Bos

Secretaris Rekenkamer

m.klaassenbos@denhelder.nl

06-22410585

Hoffmann | 22301075 | OPENBAAR

Pagina 35 van 38

5.7

Versies

Versie

Datum

Status

1.1

25-01-2024

Conceptversie RKC

1.2

01-03-2024

Conceptversie inclusief ambtelijk wederhoor en opmerkingen RKC

Definitief

05-03-2024

Definitief V2

08-04-2024

Hoffmann | 22301075 | OPENBAAR

Bestuurlijk rapport Informatiebeveiliging Gemeente Den Helder Definitief Bestuurlijk rapport Informatiebeveiliging Gemeente Den Helder Definitief inclusief aanpassingen t.b.v bestuurlijk wederhoor

Pagina 36 van 38

5.8

Maturity model

VERTROUWEN IS GOED, HOFFMANN IS BETER

www.hoffmann.nl