Nr. 11 college van B&W Beantwoording art. 48 RA Beveiliging afvalpassen

Memo

Aan: Van:

Gemeenteraad Burgemeester en wethouders

Betreft:

Beantwoording vraag artikel 48 Reglement van Orde

Datum:

13 december 2023

De fractie van Realistisch Ambacht heeft vragen gesteld over de beveiliging van de afvalpas. We hebben onze antwoorden onder de vragen geplaats. •

Bent u met ons eens dat de status van de HVC Afvalpas in onze gemeente per 1 januari a.s. deels verandert van een toegangspas in een betaalpas? Zo nee, wilt u aan de hand van wet- of regelgeving onderbouwen waarom het geen betaalpas is? Antwoord: Nee, daar zijn we het niet mee eens. De afvalpas is geen kaart met een betalingsverplichting, maar een toegangsmiddel. Door de afvalpas krijgen inwoners in Hendrik-Ido-Ambacht toegang tot verzamelcontainers voor restafval en GFTE-cocons. Een afvalpas is geen opslagmiddel, maar een toegangsmiddel, net zoals een huissleutel. De paslezer op de container houdt bij wijze van spreken bij, hoe vaak de deur is opengedaan met deze sleutel. In achterliggende systemen (niet op de kaart) wordt aan de afvalpas een huisnummer gekoppeld. Op basis van het aantal keren dat er per huisnummer restafval is aangeboden, wordt een additioneel tarief berekend (recycle-tarief)

•

Wat is de huidige beveiligingsstandaard die is toegepast in de afvalpassen die bij onze inwoners in gebruik zijn? Gaarne toelichten met de naam van de standaard en de versie(s) die in Hendrik-IdoAmbacht van toepassing is/zijn. Antwoord: De afvalpassen en systemen werken volgens Stosag (Stuurgroep Open Standaarden Afval en Grondstoffen). Hierin worden geen eisen gesteld aan de beveiliging van de afvalpassen.

•

Is deze beveiligingsstandaard naar uw idee afdoende voor een kaart die een betalingsverplichting tot stand brengt? Waarom (of waarom niet)? Antwoord: De afvalpas is geen kaart met een betalingsverplichting, maar een toegangsmiddel. Zie beantwoording eerste vraag.

•

Welke instantie / welk gezag houdt toezicht op, of certificeert, de gebruikte passen, de genomen maatregelen en de mate van veiligheid rondom de afvalpassen van HVC? Is een geldige certificering van kracht? Zo ja, kunt u die overleggen? Antwoord: HVC is ISO27001 gecertificeerd op het gebied van informatiebeveiliging en het inrichten van beveiligingsmaatregelen.

Memo •

Bent u ermee bekend dat het mogelijk is (geweest) om de HVC Afvalpas voor eigen gebruik te ‘klonen’ (naar een zelf aangeschafte blanco reservekaart of druppeltag) en dat HVC in een vrij recent verleden zelfs reden zag om openbaar te waarschuwen dat dit niet is toegestaan (lees: https://www.security.nl/posting/700680/Afvalverwerker+HVC+gaat+klonen+van+afvalpassen+aanp akken#:~:text=Het%20is%20alleen%20niet%20toegestaan,komen%20en%20sneller%20storingen%20v eroorzak en.) Zo nee, dus indien u hier niet mee bekend bent, vindt u dat HVC u op deze mogelijke complicatie had moeten wijzen in de aanloop naar het recycletarief? Zo ja, dus als u er wel mee bekend bent, wat heeft het college zelf gedaan om dit risico te adresseren en te beheersen? Antwoord: We zijn ermee bekend. Zoals eerder beantwoord is het een toegangsmiddel waarmee zorgvuldig moet worden omgegaan. Bij verlies kan een nieuwe pas worden aangevraagd, dit staat op onze site en op die van HVC.

•

Bent u ermee bekend dat het genoemde klonen niet alleen mogelijk is /was om met de eigen pas een reservepas te maken, maar dat het na een geringe investering en een minimale inspanning ook mogelijk is om het unieke UID-nummer van een bestaande HVC Afvalpas uit te lezen, dit te wijzigen en het gewijzigde nummer naar een blanco kaart of druppeltag te kopiëren? (lees: https://valentijn.sessink.nl/?p=829). Antwoord: Het unieke UID-nummer bestaat uit een niet-opeenvolgende reeks cijfers en letters. Alleen UIDnummers die in ons systeem staan (een white list), krijgen toegang tot de containers. De kans dat met een willekeurige combinatie de juiste combinatie kan worden gemaakt, is vrijwel onmogelijk.

•

Evident is uiteraard ook voor ons dat de hierboven beschreven handeling niet is toegestaan. Desalniettemin: bent u met ons eens dat identiteitsfraude via de afvalpas (in casu: restafval storten op kosten van een onwetende andere inwoner, of bijvoorbeeld op het conto van een vrijgesteld huishouden) hiermee laagdrempelig mogelijk is? Als u dit niet met ons eens bent, wilt u dan concreet beschrijven waarom u van mening bent dat deze vorm van identiteitsfraude niet laagdrempelig mogelijk is? Antwoord: Dit is alleen mogelijk wanneer een inwoner zijn/haar eigen pas zelf afgeeft om te laten kopiëren. Als een inwoner goed op haar/zijn pas let en in eigen beheer houdt, is dit risico dus zeer beperkt. Ook omdat de coderingen niet opeenvolgend zijn qua reeks.

•

In 2021 maakte HVC zelf bekend de toegangscontrole van de containers te zullen aanpassen om het hierboven omschreven misbruik tegen te gaan (zie wederom de eerste link hierboven). Heeft deze update bij de restafvalcontainers in onze gemeente plaatsgevonden en zo ja, hoe en wat zijn hiervan de resultaten? Antwoord: De oplossing is in 2021 bij diverse HVC-gemeenten toegepast op containers waar dit mogelijk was. Dit betreft een ander toegangssysteem dan bij Hendrik-Ido-Ambacht.

•

Kunt u aan de Ambachtse huishoudens garanderen en aantonen dat de beveiliging van de HVC Afvalpas per 1 januari a.s. up-to-date en volgens de geldende wet- en regelgeving en standaarden is? Antwoord: Zoals aangegeven is het risico zeer beperkt voor onze inwoners. Inwoners zijn zelf verantwoordelijk voor het gebruik en beheer van hun afvalpas. Net zoals mensen dat zijn voor hun bankpas, ov-kaart of laadpas bijvoorbeeld. Het risico is zeer beperkt als mensen deze gewoon gebruiken en netjes thuis bewaren.

Memo -

Het is niet toegestaan dat passen gekopieerd worden. Als inwoners hun pas kwijt raken, kunnen ze die direct via de klantenservice laten blokkeren en een nieuwe pas aanvragen. Als inwoners zich hebben geregistreerd in de app, kunnen ze zelf bijhouden hoeveel ze gestort hebben en dus of er zaken gebeuren die niet kloppen. Deze kunnen ze bij HVC melden.

HVC is ISO27001 gecertificeerd op het gebied van informatiebeveiliging en het inrichten van beveiligingsmaatregelen. •

Als u dit niet kunt garanderen, wat betekent dit dan voor een ordentelijke, betrouwbare en veilige toepassing van het recycletarief en voor de invoering van het systeem per 1 januari a.s.? Antwoord: Zie vorige vraag.

•

Bent u bereid om, ongeacht de antwoorden op onze vragen, een proactieve, openbare mededeling aan onze inwoners te doen met betrekking tot de veiligheid van de afvalpas? Antwoord: Ja. HVC heeft een bericht op de website geplaatst en ook wij zullen op onze gemeentewebsite hier aandacht aan geven.