RKC Onderzoek Informatiebeveiliging – kwetsbaarheden

Raadsvoorstel

Onderwerp RKC Onderzoek Informatiebeveiliging – kwetsbaarheden Nummer Portefeuillehouder Programma/beleidsveld Afdeling Auteur Telefoonnummer Email Kernboodschap

Behandelvoorstel voor commissie Relevante eerdere besluiten Ontwerp-besluit raad d.d. ……….

2025/527157 E. de Raadt 6.2 Gemeentelijk bestuur GRIFFIE Looze, L.C. de 06 43397220 ldelooze@haarlem.nl De Rekenkamer stelt de raad voor om de RKC-aanbevelingen over weerbaarheid tegen cybercrime uit het rapport ‘Verantwoordelijk voor Veiligheid – Onderzoek naar Informatiebeveiliging’ als opgevolgd te beschouwen. De commissie Bestuur geeft advies aan de raad over de wijze van agendering van het raadsstuk in de raadsvergadering. RKC Rapport ‘Verantwoordelijk voor Veiligheid – Onderzoek naar Informatiebeveiliging’ (2018/93741), Raad 28-03-2019 Informatienota Opvolging RKC aanbevelingen Informatiebeveiliging (2019/465158) De raad der gemeente Haarlem, Gelet op artikel 182 Gemeentewet; Gelezen de verantwoording van de portefeuillehouder over de afdoening van de aanbevelingen van de Rekenkamercommissie van 6 mei 2025; Gelezen het voorstel van de Rekenkamer; Besluit: De aanbeveling van de Rekenkamercommissie: - Weerbaarheid tegen cybercrime als opgevolgd te beschouwen.

de griffier,

de voorzitter,

Kenmerk: 2025/469465

1/3

1. Aanleiding De Rekenkamer doet in haar rapporten aanbevelingen aan de gemeenteraad. De gemeenteraad neemt het besluit deze al dan niet op te volgen en in het geval van opvolging het college vragen om er uitvoering aan te geven. Het college legt aan de raad een voorstel voor voor opvolging van de aanbevelingen. De Rekenkamer adviseert de raad over de wijze van opvolging. Het is aan de raad, gelezen het advies van de Rekenkamer, te besluiten aanbevelingen als opgevolgd en afgedaan te beschouwen. 2. Beoogd resultaat Afdoen aanbevelingen Rekenkamercommissie uit 2018 over informatiebeveiliging. 3. Onderbouwing voorstel Aanbeveling De rekenkamer heeft naar aanleiding van het onderzoek naar informatiebeveiliging de volgende aanbeveling gedaan, in de raadvergadering van 28 maart 2019 is deze door de raad aangenomen. De raad geeft het college opdracht de informatiesystemen weerbaarder te maken tegen cybercrime door: a. De resterende kwetsbaarheden uit de penetratietesten overeenkomstig de aanbevelingen van Hoffmann te verhelpen. b. Vóór de zomer van 2019 een hertest te laten uitvoeren op de gevonden kwetsbaarheden en de gemeenteraad hierover te informeren en deze periodiek en met verschillende invalshoeken te herhalen.

Opvolging van aanbeveling Afhandeling van onderdeel a: Een externe partij (Vest Informatiebeveiliging) is gevraagd om technisch vast te stellen dat de bevindingen inderdaad zijn verholpen. Het verslag van dit onderzoek is als bijlage toegevoegd. Het rapport van Hoffmann noemt zeven punten bij de Externe penetratietest. Het verslag van Vest heeft onder het kopje Externe koppelvlakken ieder van deze punten beoordeeld en gereed bevonden. Het rapport van Hoffmann noemt acht punten bij de Interne penetratietest. Het verslag van Vest heeft onder het kopje lnterne koppelvlakken ieder van deze punten beoordeeld en gereed bevonden. Het rapport van Hoffmann noemt één punt bij de fysieke penetratietest. Hiervan is de impact op de

Kenmerk: 2025/469465

2/3

geadviseerde manier gemitigeerd door de drie geadviseerde maatregelen te treffen (netwerk authenticatie, netwerk segmentatie, full disk encryptie). Deze drie maatregelen zijn als onderdeel van de lnterne koppelvlakken (vorige alinea) door Vest geverifieerd. Afhandeling van onderdeel b: De eerste hertest heeft vóór de zomer van 2019 plaatsgevonden. Dit is in informatienota 2019/465158 gemeld. Sindsdien worden regelmatig technische tests uitgevoerd. Het laatste rapport is van 22 november 2024. Hierin komt geen enkele kwetsbaarheid naar boven met gewicht ‘Hoog’. Advies Rekenkamer De Rekenkamer concludeert uit het externe rapport van Vest informatiebeveiliging dat de bevindingen allen zijn verholpen. Ook ziet de Rekenkamer dat de raad regelmatig wordt geïnformeerd door de informatienota ‘informatiebeveiliging’. Daarom kan deze aanbeveling volgens de Rekenkamer als opgevolgd en afgedaan worden beschouwd. 4. Risico’s en kanttekeningen Niet van toepassing. 5. Consequenties en uitvoering De aanbevelingen worden afgedaan. 6. Bijlagen 1. Verantwoording college op RK-aanbeveling 2. Rapportage verificatietest

Kenmerk: 2025/469465

3/3