RK HW - Informatiebeveiliging en privacy - Eindrapport DEF juni 2022

3. Bewust omgaan met informatiebeveiliging

4. Bewust omgaan met privacy

5. Toetsen van informatiebeveiliging

41

6. Toetsen van partners en leveranciers op informatiebeveiliging

7. Lerende houding t.o.v. informatiebeveiliging

8. Opvolging onderzoek Rekenkamercommissie Hoeksche Waard 2016

- De gemeente heeft in beeld met welke partners (bijzondere) persoonsgegevens worden gedeeld met behulp van het verwerkingsregister. - De gemeente maakt met partners en leveranciers afspraken over het veilig uitwisselen en verwerken van persoonsgegevens en de daarvoor te nemen maatregelen, bij voorkeur op basis van 'privacy by design'. - Partners en leveranciers rapporteren jaarlijks over het verwerken van persoonsgegevens. - De gemeente heeft procedures om te leren van beveiligingsmeldingen met als doel beheersmaatregelen te verbeteren. - Het ISMS, indien aanwezig, is gekoppeld aan de PDCA-cyclus. - De gemeente heeft gevolg gegeven aan de aanbevelingen van het Rekenkamercommissie-rapport Hoeksche Waard uit 2016.

42

Bijlage 4. Resultaten Pentesten - Inlooptest o Meerdere dagen ongeautoriseerd fysieke toegang gekregen op verschillende servicepunten o Niet aangesproken en (zeer) vertrouwelijke informatie (persoons- en medische gegevens) in kunnen zien o Meegelift op een toegangspas en toegang verkregen tot beveiligde deel (Oud-Beijerland) o Deur defect (Maasdam) o Ingelogd op fat client o Onbeheerde laptop wethouderkamer (Maasdam) o Post (niet vertrouwelijk) ingezien kamer burgemeester o Kasten dicht, clean desk, niemand aanwezig (gebouw Streona, Strijen) o Verouderd besturingssysteem (Windows 7, niet meer ondersteund met beveiligingsupdates)

- Externe pentest o Systemen goed beveiligd, lastig om van buitenaf in de systemen te komen o 20 accounts met zwak wachtwoord (OWA gevoelig voor password spraying, daarna in Office365 met gebruikersnaam, wachtwoord en MFA), wel 284 geldige gebruikersnamen achterhaald o Domein strijen.nl geen SPF-records > spoofing o Minder risico:  Systeem lekt IP-adres, lokale domein  Websites zonder security headers  Standaard, test en reproductiesystemen op internet aangetroffen  PHP-pagina die systeem en configuratie instellingen publiceert  Kaart viewer laat parkeerplaatsen in Nijmegen zien o mail.oud-beijerland.nl verwijst naar mailserver niet van gemeente Hoeksche Waard

- Interne pentest o Ongeautoriseerd toegang tot het systeem gekregen, geen volledige controle kunnen krijgen over het systeem o Met behulp van de door de externe pentest verkregen 20 gebruikersaccounts ingelogd op fat client > command prompt en Powershell gestart > aanval op AD > zwakke wachtwoorden gevonden o Intern inloggen op Citrix zonder MFA  inlog op mailbox wethouders > mails vanuit wethoudersaccount kunnen versturen  in mailboxen wachtwoorden, BSN-nummers en legitimatiebewijs wethouder(s) aangetroffen  ingelogd op Key2Financien o Op Fat-client  geen BIOS-wachtwoord > opstartprocedure kunnen wijzigen  geen disk encryptie > bestanden raadpleegbaar  beperkte administrator rechten > applicaties installeren o Een van de 20 gebruikersaccounts van medewerker niet meer in dienst, maar account was wel actief 43

o Laptop in vergaderzaal met een zeer eenvoudig wachtwoord bevatte documenten en browsergeschiedenis - Wifi netwerk o Niet in kunnen inloggen zonder MFA o Vanaf parkeerplaats ingelogd op netwerk 'HW' Oordeel: beveiligingsniveau onvoldoende, op onderdelen afdoende maar verscherping van informatiebeveiligingsniveau gewenst en op punten nodig. Kritiek: niet melden bij receptie, geen tourniquets, defecte deur

- Mail-phishing o Ruim 700 verstuurde phishing e-mails naar medewerkers en raads- en burgerleden o 22% van de medewerkers en 2% van de raads- en burgerleden hebben link geopend o Resp. 6% en 3% hebben gebruikersnaam en wachtwoord ingevoerd

Aanbevelingen: - Het uitvoeren van een sluitende verificatie door beveiliging/receptie bij onbekende gezichten of afwijkend gedrag; - Het laten repareren van defecte deuren met paslezer; - Plaats een muur of een deur bij de reproruimte in Oud-Beijerland; - Het opstellen/ uitvoeren van een beleid met betrekking tot het opslaan van vertrouwelijke informatie; - Voer controles uit voor het verhogen van de clean desk policy; - Het risicobewustzijn van medewerkers te verhogen: o Verhogen van het veilige gedrag van medewerkers met betrekking tot het meeliften van ongeautoriseerde personen; o Verhogen van het veilige gedrag van medewerkers met betrekking tot het achterlaten van laptops.

44

Bijlage 5. Volwassenheidsniveau NOREA

Bron: Handreiking bij Volwassenheidsmodel Informatiebeveiliging, januari 2019, NBA.

45