Eindrapport rekenkamercommissie Informatiebeveiligingsbeleid Hof van Twente 'De perfecte storm'.pdf
Tekst van het document
Informatiebeveiliging Gemeente Hof van Twente Rekenkamerrapport
Rekenkamercommissie Hof van Twente 30 mei 2022
De perfecte storm
Auteurs: drs. Etienne Lemmens, mr. drs. Sandra van Breugel Prae Advies en onderzoek, Utrecht
Prae BV, Buys Ballotstraat 35, 3572 ZT Utrecht | T 06-11226755 | E info@prae-advies.nl | W www.prae-advies.nl KvK 321 249 60 | BTW NL8182.21.227 | IBAN: NL93 INGB 0004 9860 86
20220530 HvT
Inhoudsopgave Samenvatting, conclusies en aanbevelingen........................................................................................... 3 1
Inleiding ......................................................................................................................................... 11
2
Doelstelling en onderzoeksvragen ................................................................................................ 13
3
De hack – een korte reprise ........................................................................................................... 16
4
Informatiebeveiligingsbeleid ......................................................................................................... 18
5
Uitvoering van het beleid .............................................................................................................. 21
6
Functies op informatiebeveiliging ................................................................................................. 24
7
Monitoring en toetsing van de uitvoering ..................................................................................... 26
8
Externe leveranciers ...................................................................................................................... 31
9
Positionering raad en informatiebeveiliging ................................................................................. 33
10 Opvolging lessen geleerd uit de hack ............................................................................................ 43 11 Informatiebeveiliging huidige beleid ............................................................................................. 47
Bijlage 1. In informatiebeveiliging en privacy veel voorkomende termen en afkortingen ................ 49 Bijlage 2. Lijst geraadpleegde stukken en lijst respondenten............................................................. 51 Bijlage 3. Onderzoeksvragen en normen ............................................................................................ 53 Bijlage 4. Volwassenheidsniveau NOREA ............................................................................................ 55
2
20220530 HvT
Samenvatting, conclusies en aanbevelingen Samenvatting Op 1 december 2020 werd de gemeentelijke organisatie van Hof van Twente gewaar dat ze slachtoffer was geworden van een cyberaanval. Naar aanleiding van een verzoek van de gemeenteraad van 1 juni 2021 heeft de Rekenkamercommissie Hof van Twente besloten een onderzoek te laten uitvoeren naar de uitvoering en monitoring van het informatiebeveiligingsbeleid van de gemeente in de periode 2019-2020 en daarna. Het doel van het onderzoek is ambtelijk en bestuurlijk te leren van het voorval van december 2020. In de periode december 2021 tot en met maart 2022 is het onderzoek uitgevoerd op basis van deskresearch en interviews. De bevindingen uit het onderzoek zijn hierna in de hoofdstukken 3 tot en met 11 opgenomen. In deze samenvatting, conclusies en aanbevelingen geven we achtereenvolgens een resumé van de bevindingen, de daarop gebaseerde conclusies en de daaruit voortvloeiende aanbevelingen richting raad en college. Algemeen
De samenleving maakt een digitale transitie door en gemeenten zijn dienstverleners geworden die grotendeels digitaal georganiseerd zijn. Die transitie biedt geweldige kansen voor gemeenten en de inwoners, bedrijven en instellingen. Tegelijkertijd kent deze transitie ook risico's. Zowel risico's die de veiligheid van de informatiehuishouding van de gemeente zelf raken, als ook risico's voor inwoners, bedrijven en instellingen die van de dienstverlening van de gemeente afhankelijk zijn. Dat betekent dat er eisen gesteld mogen worden aan de weerbaarheid en het herstelvermogen van de gemeentelijke informatiehuishouding. Anders loopt de gemeente enorme risico's op imago, financieel en politiek-bestuurlijk vlak.
1 december 2020
Vanuit het ambtelijk apparaat werden er in de periode vóór december 2020 rapportages verzorgd naar management en bestuur. Deze gaven geen aanleiding te veronderstellen dat er grote risico’s waren. Na een aantal fouten in de naleving van protocollen en nog niet geïmplementeerd beleid, wat het best omschreven kan worden als een 'perfect storm' 1, wordt op 1 december 2020 duidelijk wat een of meerdere hackers in de systemen hebben aangericht. In een ransomware aanval zijn systemen gehackt, gegevens ontvreemd en servers, gegevens en back-ups vernietigd. Na afweging wordt niet ingegaan op de losgeldeis van de hackers. Hof van Twente gaat over naar crisismodus en kan relatief snel met behulp van de Informatiebeveiligingsdienst voor gemeenten (IBD), andere
1
Een 'perfect storm' doet zich voor als een zeldzame combinatie van uiteenlopende omstandigheden tot een extreme gebeurtenis leidt.
3
20220530 HvT gemeenten, de veiligheidsregio en commerciële partijen de hoogst noodzakelijke dienstverlening weer opstarten. De crisisfase wordt afgesloten met een aantal evaluaties waarin het lessen trekken uit de gebeurtenissen centraal staat. Dan begint de projectfase waarin gebouwd wordt aan een robuuste ICT-omgeving. In de loop van 2022 moet deze fase overgaan in een staande gemeentelijke organisatie die in staat is de digitale dienstverlening op niveau uit te voeren. Ondanks het gegeven dat de naweeën van de gebeurtenissen nog voelbaar zijn, onder andere door verlies van gegevens. Beleid
De gemeente Hof van Twente beschikte in 2020 over een informatiebeveiligingsbeleid dat grotendeels voldeed aan de normen waar gemeenten aan behoren te voldoen. Op basis van een GAP- en risicoanalyse zijn prioriteiten gesteld en jaarplannen met activiteiten op informatiebeveiliging opgesteld. In het collegeprogramma 2018-2022 en de Digitale Agenda 2019 is de digitale dienstverlening van de gemeente, met als onderdeel informatiebeveiliging, een prominent element.
Middelen
De I&A-functie, en daaronder informatieveiligheid werd niet ruim bedeeld in de gemeentelijke begroting. De gemeente was zuinig in vergelijking met een benchmark en daar waren bestuurders en ambtenaren van op de hoogte. Dat besef heeft in 2017 geleid tot structureel en in 2019 incidenteel extra middelen, evenwel zonder op het niveau van de benchmark te komen. Geconstateerd kan worden dat de gemeente geen grote ambities had. Mede naar aanleiding van de discussie in 2017 is in 2018 het ICT-beheer uitbesteed aan een externe partij. Vanaf 2020 is in het Programma Informatieveiligheid en privacy aandacht geschonken aan het speerpunt informatiebeveiliging uit de Digitale Agenda 2019, met activiteiten op de pijlers bewustwording, verantwoording en ontwikkeling.
Functies
De functies op informatiebeveiliging en privacy waren bezet. Met 8 uur voor de Chief Information Security Officer (CISO) in de stafafdeling, met ondersteuning op technisch gebied door de medewerkers van de afdeling I&A. Tegen het advies van de IBD in had de CISO geen eigen budget.
Volwassenheid
De verantwoordelijkheden voor informatiebeveiliging waren belegd bij de proceseigenaren. Deze moesten op operationeel niveau ondersteund worden door de CISO. De taakvolwassenheid van de proceseigenaren is in het kader van dit onderzoek niet gemeten, maar kan op basis van de bevindingen op maximaal 2 op de 5 puntenschaal van NOREA ingeschat worden (zie bijlage 4). Daardoor ontbreekt de administratieve basis om zicht te krijgen op de uitvoering van het beleid.
Uitvoering
Informatiebeveiliging leek bij de gemeente onder controle, daar deze compliant was op de BIO-richtlijnen. De gemeente voldeed aan 90% van de eisen. Uit het onderzoek blijkt dat informatiebeveiliging bestuurlijk niet
4
20220530 HvT prioriteit nr. 1 was, mede omdat men dacht dat alles op orde was. Er was wel draagvlak voor het onderwerp bij het college. Bewustzijn op en aandacht voor risico's bij medewerkers nam gestaag toe. Net als in veel andere (gemeentelijke) organisaties behoefde en behoeft dat constante stimulering. De ENSIA-rapportage (ENSIA: Eenduidige Normatiek Single Information Audit) ziet met name toe op opzet en bestaan van (onderdelen van) het informatiebeveiligingsbeleid. De werking wordt in mindere mate gemonitord en daarin zaten de punten die cruciaal bleken met betrekking tot de ransomware aanval. Zoals het back-up & restore beleid en logging die voor 2020 op de rol stonden om geïmplementeerd te worden. De 2factor authenticatie was weliswaar geïmplementeerd, maar bleek uiteindelijk niet volledig te zijn nageleefd. Monitoring
De instrumenten voor toetsing en monitoring van de uitvoering waren deels aanwezig. De ENSIA-rapportage is bedoeld voor de verticale verantwoording richting de landelijke toezichthouders. En voor de horizontale verantwoording richting de gemeenteraad. Zoals hiervoor gemeld is deze minder geschikt om de werking van het beleid te monitoren. Deze werd niet uitgevoerd met behulp van een information security management systeem (ISMS). De accountant waarschuwde meerdere keren voor de risico's op informatiebeveiliging en een mogelijke computeraanval. Een applicatie voor de monitoring van computerdreigingen werd vanwege te hoge kosten niet aangeschaft. Wel werden pentesten uitgevoerd op de systemen, maar ook pas medio 2020 en na advies van de accountant. Uit de rapportage is niet het risico van de ransomware aanval geconstateerd zoals die zich uiteindelijk voltrok.
Externe leverancier
Op operationeel niveau stokte soms de communicatie tussen de gemeente en de externe systeembeheerder. Op tactisch en strategisch gebied ontbrak de aansturing in de relatie met de externe leverancier. Deze relatie was voornamelijk gebaseerd op vertrouwen en er werd sterk geleund op de werkprocessen en kennis van deze partij. De leverancier werd als trusted third party tegemoet getreden, zodat er te weinig controle was op hetgeen de externe partij contractueel verplicht was te leveren. Dat werd opgemerkt en de gemeente was van plan in 2020 meer regie op de relatie te nemen. Dat is er onder andere door de aandacht die de coronapandemie vergde niet van gekomen.
Positionering gemeenteraad
De gemeenteraad is in de periode voorafgaand aan 2020 via de jaarstukken in de P&C-cyclus, ENSIA en twee raadsinformatiebrieven geïnformeerd. In 2017 en 2019 is ICT, de financiering en informatieveiligheid aan bod gekomen in de raad. Met betrekking tot de financiering zijn in 2017 structureel en in 2019 incidenteel middelen ter beschikking gesteld. Er is
5
20220530 HvT geen intensieve bemoeienis van de raad met informatieveiligheid te constateren. De accountant, met de raad als opdrachtgever, heeft in de managementletters meerdere malen aandacht gevraagd voor ICT in relatie tot de rechtmatigheid van de financiële huishouding van de gemeente. Maar ook ten aanzien van informatieveiligheid, in ieder geval vanaf 2017. Daarbij heeft de accountant onder andere het wachtwoordenbeleid geproblematiseerd en gewaarschuwd voor de risico's van een hack. In 2018 geeft de accountant een 8-tal aandachtspunten, waaronder het informatiebeveiligingsbeleid, toegangs- en autorisatiebeleid en pentesten. In 2019 constateert de accountant dat op een aantal punten vooruitgang is geboekt, en dat nog aandacht nodig is op beheersingsmaatregelen IT en wachtwoordenbeleid. Na 1 december 2020
Na de ransomware aanval is er veel contact tussen college en de raad. In het begin wordt vanuit het college informatie gedeeld met behulp van vertrouwelijke overleggen. Deze fase eindigt als de evaluaties in een publiek debat eind maart 2021 worden behandeld. Van beide kanten is erkend dat de raad beter in positie gebracht moet worden op informatieveiligheid, vanwege de grote impact van incidenten. In juni 2021 komt het college met een bestuurlijke verantwoording en een dekkingsvoorstel voor de kosten die met de hack en de opbouw van de systemen samenhangen. Eind 2021 is binnen de auditcommissie een werkgroep op ICT ingericht met raadsleden, wethouder, burgemeester en ambtenaren. De bedoeling is dat in dit gremium diep op de materie kan worden ingegaan.
Van crisisfase > opbouwfase > staande organisatie
Van crisisfase, begin 2020, is in maart 2021 overgegaan naar de opbouw fase. Daarna is het de bedoeling om over te gaan in 2022 naar de staande organisatie. De lessen die de gemeente heeft getrokken uit de gebeurtenissen en de evaluaties culmineren in een programma met 18 actiepunten. Zo is eind 2021 een nieuwe I&A-visie vastgesteld, dat voorziet in een regiebureau direct onder de algemeen directeur/ gemeentesecretaris. Er moet ook nog veel ontwikkeld worden, zoals nog ontbrekende beleidsonderdelen op informatiebeveiliging en betere sturingsinformatie. Het huidige informatiebeveiligingsbeleid is nog van 2020-2022, ondanks de ingrijpende gebeurtenis van eind 2020 die noopt tot bijstelling. Intentie is het beleid in de eerste helft van 2022 aan de nieuwe werkelijkheid aan te passen. Audits en pentesten moeten nog gehouden worden.
6
20220530 HvT
Conclusies De bevindingen uit het onderzoek, waarvan hiervoor een korte samenvatting is weergegeven, leiden tot de volgende conclusies. Vooraf wil de rekenkamercommissie grote complimenten maken aan alle betrokkenen die na de hack op 1 december 2020 op enigerlei wijze hebben meegewerkt aan de werkzaamheden na de hack om de dienstverlening aan inwoners en bedrijven weer mogelijk te maken. Van nul af aan is het ICTsysteem sinds eind 2020 stap voor stap opgebouwd. Ten tweede is het goed om op te merken dat een hack niet altijd te voorkomen is. Er is veel ontwikkeling op beveiligingsmaatregelen, maar de kwaadwillenden ontwikkelen steeds geraffineerdere methoden om te proberen binnen te komen. Doelstelling van beleid op informatiebeveiliging moet zijn de risico's in beeld te krijgen, de drempels om binnen te dringen zo hoog mogelijk te maken en indien kwaadwillenden toch binnen zijn gedrongen de schade zo beperkt mogelijk te houden. Hieronder presenteren we de conclusies op de volgende onderdelen: 'beleid, uitvoering en monitoring', kennis ICT, positie CISO, uitbesteding infrastructuur, beschikbaar ICT-budget, prioritering ICT en positie gemeenteraad. Beleid, uitvoering
1.
De gemeente Hof van Twente had een beleid op Informatisering en Automatisering vastgesteld. Het beleid was volgens de normen die daarvoor gelden adequaat. De risico's waren wat betreft opzet en bestaan van het beleid in beeld, maar de werking van het beleid en de monitoring ervan kwamen onvoldoende in beeld. De monitoring op de uitvoering van het informatiebeveiligingsbeleid was niet toereikend om de hack periode voorafgaand aan de hack tijdig te detecteren of te voorkomen.
2.
In de verantwoordingsrapportages leek de gemeente 'in control' op informatieveiligheid, namelijk te weten wat de risico's zijn en daar maatregelen op te treffen. Onderdelen van het informatiebeveiligingsbeleid waren in 2020 nog in ontwikkeling. Bepaalde onderdelen waren op papier gerealiseerd, zoals het 2FA-beleid en bleken in de praktijk niet consequent te worden uitgevoerd. Er bleek een groot verschil tussen de bestuurlijke werkelijkheid en de dagelijkse praktijk.
3.
Diepgaande kennis over ICT was niet voldoende aanwezig op sleutelposities in de ambtelijke en bestuurlijke organisatie om de naleving van beleid en protocollen af te dwingen of te controleren. Er kwamen vanaf begin 2019 en in de periode voorafgaand aan de hack via de accountant en een enkele pentest (zomer 2020) signalen op onvolkomenheden op informatieveiligheid binnen bij de organisatie. Deze signalen zijn niet voldoende doorgedrongen bij management, college en de raad. De kennis over informatiebeveiliging was beperkt om de risico's op informatieveiligheid adequaat te duiden en erop door te vragen.
en monitoring
Kennis ICT
7
20220530 HvT Positie CISO
4.
De IBD van de VNG pleitte in 2020 gezien het dreigingsbeeld op informatieveiligheid voor versterking van de positie van de CISO. De CISO-functie was gepositioneerd in de stafafdeling van de gemeente en was voor 0,2 fte ingevuld. Dat is relatief weinig voor een gemeente als Hof van Twente. De CISO had geen eigen budget, in weerwil van de adviezen van de IBD. Dit gegeven heeft niet geleid tot verminderde activiteit op informatiebeveiliging, maar wierp een onnodige drempel op voor activiteiten die de CISO nodig achtte en leidde niet tot een stevige positie van de CISO.
Uitbesteding
5.
De digitale infrastructuur is in 2018 aan een externe partij uitbesteed. Er waren servicelevel agreements afgesproken met de externe partij waar het ICT-systeembeheer aan was uitbesteed. Op operationeel niveau bleken geringe haperingen in de communicatie en de dienstverlening. Op strategisch en tactisch niveau ontbrak daarop de regie en sturing. De gemeente handelde in de relatie met de leverancier te veel vanuit vertrouwen in plaats van regie, sturing en controle. Een zakelijke samenwerking ontbrak tussen gemeente en de externe leverancier.
Beschikbaar ICT-budget 6.
De financiering van ICT en navenant informatiebeveiliging van de gemeente Hof van Twente was beneden de benchmark met vergelijkbare gemeenten. Dat tekent de aandacht voor ICT en draagvlak voor investeringen hierop bij college en raad.
Prioritering ICT
7.
Vanwege de grote bestuurlijke, publicitaire en financiële risico's is duidelijk dat ICT en informatieveiligheid op de politieke agenda thuishoren. Fouten op dit terrein kunnen enorme consequenties hebben voor de dienstverlening van de overheid aan inwoners, bedrijven en instellingen, naast de reputatie- en financiële schade voor de overheid en een dalend vertrouwen in de overheid. Dit heeft de gemeente Hof van Twente aan den lijve ondervonden. De indruk bestaat dat de gemeente veel werk heeft verzet na de hack, maar dat de aandacht enigszins verslapt. Dit wordt afgeleid uit het feit dat er sinds de zomer van 2021 geringe aandacht is vanuit de raad voor informatiebeveiliging, de ICT-auditcommissie gestart is in december 2021 en het feit dat slechts twee partijen in hun verkiezingsprogramma van maart 2022 aandacht geven aan informatiebeveiliging.
Positie gemeenteraad
8.
In de samenwerking tussen college en raad is het college leidend en initiërend. De raad neemt weinig regie en laat zich leiden.
Infrastructuur
8
20220530 HvT
Aanbevelingen Uit de conclusies vloeien de onderstaande aanbevelingen voort. Daarna volgen een 3-tal aansporingen die door de raad of college kunnen worden opgepakt of worden voortgezet. 1. Monitor op de werking van het informatiebeveiligingsbeleid. o Richt de sturingsinformatie in op uitvoering en vastlegging van activiteiten op informatiebeveiliging, maak daarbij gebruik van een ISMS. o Voer elk jaar pentesten uit op de techniek en de systemen, de accounts en AD audits op wachtwoordenbeleid en phishing mails enz. Laat dit uitvoeren door steeds andere externen die de externe dienstverleners en elkaar controleren. o Maak gebruik van de vrije ruimte die ENSIA biedt om de horizontale verantwoording richting de gemeenteraad in te richten. College en raad moeten daarover met elkaar in gesprek welke informatie de raad nodig heeft om zijn kaderstellende en controlerende rol te kunnen nemen. 2. Organiseer de controle op regievoering van externen en doe dit op drie niveaus (strategisch, tactisch en operationeel), o Regiebureau in de staf onder directeur is daarbij goed begin. o Plaats de CISO rechtstreeks onder de gemeentesecretaris. 3. Voer een dialoog over de portefeuilleverdeling in het college. Informatieveiligheid is 'chefsache' voor de burgemeester, ICT bij een wethouder die hier echt affiniteit mee heeft. 4.
Zorg dat kennis op ICT en informatiebeveiliging in de gemeente geborgd is door: o In de ambtelijke organisatie de juiste competenties en kennis op ICT en informatieveiligheid te borgen; o Het bestuur (college en raad) te 'scholen' zodat ze op het terrein van ICT en informatieveiligheid de goede vragen kan stellen en kunnen doorvragen. 5. Zorg voor adequate financiering van ICT en informatiebeveiliging, met een eigen toereikend budget voor de CISO. 6. Organiseer tegenmacht binnen de organisatie, tussen organisatie en bestuur en tussen bestuur en raad: o Positioneer je als raad in je controlerende en ook kaderstellende rol en neem regie. De ICT-werkgroep is daar een goed middel voor. Aanbevolen wordt dat de raad meer dan alleen maar meedenkt. Draag via een eigen geoormerkt budget in de begroting zorg dat je als raad of commissie een advies of second opinion op raadsvoorstellen kan inwinnen, zonder advisering vanuit de ambtelijke organisatie. Laat eventueel vanuit de ICT-werkgroep pentesten door een externe uitvoeren.
9
20220530 HvT o Geef de accountant de opdracht ICT, informatiebeveiliging en privacy consistent te monitoren en te rapporteren, ook direct aan de raad. Laat rapporteren over de voortgang op de opvolging van de adviezen en geef hierin de griffie een rol om dat te administreren, te bewaken en terug te koppelen aan de raad.
Aansporingen 1. Neem als raad het initiatief om het gesprek aan te gaan over cultuur met het bestuur. Ga daarna als raad met ambtelijke organisatie het gesprek over de gewenste cultuur voeren, neem als raad het college mee en houdt als raad zelf de regie op dit proces. Neem daarbij als raad ook jezelf onder de loep. In hoeverre ben je als raad zelf in staat om dit onderwerp op de bestuurlijke agenda te houden? 2. Verzoek als raad het college om gezamenlijk een keer per jaar met een andere gemeente (of meerdere) uit de regio in gesprek te gaan en laat je informeren over hoe zij de informatiebeveiliging hebben georganiseerd. Laat de andere gemeente ook bij jou kijken, om ideeën en good practices uit te wisselen. 3. Verzoek als raad het college de mogelijkheden te onderzoeken om samen te werken op functies (FG en CISO) met buurgemeenten. En onderzoek de mogelijkheden om op systeembeheer samen te werken, bijvoorbeeld met een gemeente die gastheer wil zijn of via een shared servicecentrum. Regel daarbij de governance adequaat in.
10
20220530 HvT
1 Inleiding Dienstverlening kwetsbaar
De gemeente verleent diensten aan inwoners, bedrijven en instellingen. Ook beheert de gemeente veel (bijzondere) persoonsgegevens van inwoners en vanaf de decentralisaties in het sociale domein van kwetsbare groepen mensen. In toenemende mate is de gemeentelijke dienstverlening afhankelijk van elektronische systemen, hiermee is de gemeente Hof van Twente op rampspoedige wijze geconfronteerd. De gemeente Hof van Twente is zich op 1 december 2020 op brute wijze van de kwetsbaarheid bewust geworden.
1 december 2020
Op die dag werd een ransomware aanval 2 op de gemeentelijke systemen van de gemeente Hof van Twente ontdekt. Dit en de gevolgen ervan hebben een enorme impact gehad op de organisatie. Door de hack werden data vernietigd of onbereikbaar, back-ups konden niet teruggezet worden en de gemeentelijke dienstverlening stokte. De onderzoeken die voor de gemeente voor 1 december 2020 zijn uitgevoerd, zoals audits, pentesten 3 en rapportages, gaven het gemeentebestuur geen zorgwekkende signalen. De noodzaak om te acteren op informatiebeveiliging werd om die reden niet opgemerkt.
Enorme impact
De gebeurtenis in Hof van Twente had een enorme impact op de organisatie, bestuur, gemeenteraad en ook op inwoners. Na de eerste interventies om alles te herstellen, kwam de vraag: Hoe heeft dit kunnen gebeuren en hoe kunnen we dit voorkomen? Zoals te doen gebruikelijk in Nederland zijn er door het College van Hof van Twente verschillende evaluaties verricht om zicht te krijgen op de feiten en omstandigheden van deze hack. In maart 2021 zijn in opdracht van het College van B&W rapporten verschenen over de technische en organisatorische factoren van de hack.4 Dat heeft geleid tot een zelfevaluatie door het College om verantwoording af te leggen en lessen te trekken.5
Motie 1 juni 2021
2
3
4
5
In een motie van 1 juni 2021 heeft de gemeenteraad van Hof van Twente de rekenkamercommissie verzocht "(E)en onderzoek in te stellen naar de uitvoering van het informatieveiligheidsbeleid zowel intern als de samenwerking met leveranciers in relatie met de cyberaanval". Naar
Ransomware, of gijzelsoftware, is schadelijke software die computers en bestanden gijzelt. Criminelen blokkeren of versleutelen computers, bestanden of hele netwerken, en geven die pas weer vrij als losgeld wordt betaald. Een pentest of penetratietest is een toets van een of meer computersystemen op kwetsbaarheden, waarbij deze kwetsbaarheden ook werkelijk gebruikt worden om in deze systemen in te breken. Deze testen worden uitgevoerd door zogenoemde ethische hackers. Te goed van vertrouwen? Duidingsrapportage ransomware-aanval Hof van Twente, in opdracht van het College, door De Winter Information Solutions, 8 maart 2021; Rapportage zonder veiligheidsgevoelige informatie. Incident Response & Digitaal forensisch onderzoek, in opdracht van het College, door NFIR (Nederlands Forensisch Incident Response), 8 maart 2021. Rapport van Bevindingen. ICT-situatie, Hof van Twente, 9 maart 2021.
11
20220530 HvT aanleiding van deze motie heeft de rekenkamercommissie van Hof van Twente besloten onderzoek hiernaar te doen. Het resultaat daarvan ligt voor u.
12
20220530 HvT
2 Doelstelling en onderzoeksvragen 2.1 Doelstelling Doelstelling
Doel van het rekenkameronderzoek is bestuurlijk en ambtelijk te leren van de wijze waarop het informatiebeveiligingsbeleid tot stand is gekomen en de wijze waarop het in de praktijk is uitgevoerd en bestuurlijk is gemonitord. Het geeft inzicht in de staat van de informatiebeveiliging van de gemeente Hof van Twente. De rekenkamercommissie Hof van Twente wil de gemeenteraad inzicht geven in de stand van zaken op het gebied van informatiebeveiliging en privacy in de gemeente. Ten aanzien van informatiebeveiliging spelen drie aspecten een cruciale en op elkaar ingrijpende rol: mens – techniek – organisatie. In het rekenkamer onderzoek wordt ingegaan op deze drie aspecten. Op de technische infrastructuur zijn door de gemeente zelf onderzoeken en testen uitgevoerd. De rekenkamercommissie heeft Prae Advies en Onderzoek gevraagd met name de organisatorische en menselijke aspecten van informatiebeveiliging en privacy te onderzoeken. Daar waar dat zinvol is wordt in dit rapport ingegaan op de resultaten uit de technische testen die de gemeente zelf heeft uitgevoerd.
2.2 Centrale onderzoeksvraag Naar aanleiding van de motie van de raad en de onderzoeksopzet van de rekenkamercommissie is de hoofdvraag geformuleerd. De rekenkamercommissie Hof van Twente wil met dit onderzoek de volgende centrale vraag beantwoorden: “Hoe is het informatieveiligheidsbeleid in de gemeente Hof van Twente in de periode 2019-2020 tot stand gekomen, op welke wijze is deze uitgevoerd en gemonitord en wat is er na een jaar geleerd van het incident dat op 1 december 2020 manifest werd?”
13
20220530 HvT
2.3 Onderzoeksvragen De centrale onderzoeksvraag wordt uitgewerkt aan de hand van de onderzoeksvragen zoals opgenomen in onderstaande tabel 1.
Tabel 1. Onderzoeksvragen 1. Beschikte de gemeente Hof van Twente in de periode 2019-2020 over een adequaat informatiebeveiligingsbeleid? Welk beleid voert de gemeente Hof van Twente op het gebied van informatiebeveiliging? In hoeverre stuurt het college van B&W op de afspraken die benoemd zijn in de VNG Resolutie ‘Informatiebeveiliging, randvoorwaarde voor de professionele gemeente’ en in het bijzonder op de implementatie van de Baseline Informatiebeveiliging Nederlandse Overheid (BIO)? 6 Wat zijn de wijzigingen in het beleid sinds 1 december 2020? 2. Is het informatiebeveiligingsbeleid in die periode adequaat uitgevoerd? Welke risico’s bij informatiebeveiliging en privacy heeft de gemeente benoemd? In hoeverre worden risico’s beheerst dan wel geaccepteerd? Op welke wijze zijn de (eind)verantwoordelijken aangewezen en de autorisaties geregeld? Welke maatregelen worden genomen om risico’s te laten afnemen? 3. Zijn de functies die van belang zijn op het gebied van informatiebeveiliging in die periode goed ingevuld en gepositioneerd? Welke ontwikkelingen zijn er na 1 december 2020 waar te nemen? 4. Is de uitvoering van het beleid in die periode adequaat getoetst en gemonitord? Hoe vindt toetsing en monitoring nu plaats 5.
Welke afspraken op informatiebeveiliging zijn gemaakt met externe leverancier(s) en hoe zijn deze gemonitord? Heeft de gemeente in beeld met welke partners informatie en persoonsgegevens worden gedeeld? Op welke manier toetst de gemeente haar partners en leveranciers op privacy- en informatiebeveiligingsaspecten? Met partners en leveranciers zijn afspraken gemaakt op basis van 'privacy by design'. 6. Is de raad adequaat gepositioneerd geweest om zijn kaderstellende en controlerende rol te kunnen uitvoeren? Op welke manier rapporteert en bespreekt de organisatie het functioneren van informatiebeveiliging op management- en bestuursniveau (college en raad)? 7. Wat is er gedaan met de aanbevelingen uit de twee onderzoeken die in maart 2021 in opdracht van het college zijn verschenen? 8. Hoe heeft het informatiebeveiligingsbeleid vorm gekregen na 1 december 2020? 9. Welke lessen zijn te trekken uit de hack die 1 december 2020 manifest werd en de gebeurtenissen daarna?
Voor de normen bij deze onderzoeksvragen verwijzen we naar bijlage 3.
6
Gemeenten hebben in 2013 in VNG-verband afgesproken te voldoen aan de maatregelen van de Baseline Informatiebeveiliging Gemeenten (BIG). De BIG is vanaf 2020 vervangen door de Baseline Informatiebeveiliging Overheid (BIO.) Vanaf 25 mei 2016 schrijft de Algemene Verordening Gegevensbescherming (AVG of GDPR) voor dat passende maatregelen getroffen moeten worden om persoonsgegevens te beveiligen, in het belang van de burger en de gemeenten zelf.
14
20220530 HvT
2.4 Aanpak De onderzoeksvragen worden beantwoord door middel van een analyse van documenten in deskresearch, interviews met bestuur en vertegenwoordigers vanuit de ambtelijke organisatie en tot slot zijn er verschillende gesprekken gevoerd met raadsleden. De documenten bevatten beleid en rapportages van de gemeente Hof van Twente op het gebied van informatiebeveiliging. De documenten die zijn bestudeerd zijn in bijlage 1 opgenomen, evenals de functies van de functionarissen van de gemeente Hof van Twente die zijn geïnterviewd. Aan alle fracties van de gemeenteraad van Hof van Twente is gevraagd of zij een gesprek met de onderzoekers wensten. Alle fracties hebben dit bevestigend beantwoord en de onderzoekers hebben met ten minste een raadslid van elke fractie gesproken. De deskresearch en interviews vonden plaats in de periode december 2021 en januari/ februari/maart 2022. De nota van bevindingen is op 11 april 2022 aan de gemeentesecretaris aangeboden voor de feitencheck in het kader van de ambtelijke hoor en wederhoor. Naar aanleiding van de feitencheck door de ambtelijke organisatie is de nota van bevindingen deels aangepast. Het rapport, met conclusies en aanbevelingen, is op … mei 2022, voor een bestuurlijke reactie aangeboden aan het college van B&W. Op … 2022 is het rapport via de griffie aangeboden aan de gemeenteraad.
2.5 Leeswijzer Hieronder volgt in hoofdstuk 3 een korte reprise van de hack van 1 december 2020. Daarna volgen in de hoofdstukken 4 tot en met 11 de bevindingen in de volgorde van de onderzoeksvragen 1 tot en met 8 (zie tabel 1). Onderzoeksvraag 9 bevat de conclusies en aanbevelingen die in 'Samenvatting, conclusies en aanbevelingen' vóór hoofdstuk 1 zijn opgenomen. In de bijlagen volgen respectievelijk een lijst met in ICT veel gebruikte afkortingen en termen, de lijst met geraadpleegde stukken en geïnterviewde functionarissen, onderzoeksvragen en normen en tot slot de volwassenheidsindex van NOREA.
15
20220530 HvT
3 De hack – een korte reprise Er is al veel geëvalueerd en onderzocht met betrekking tot de hack met ransomware die 1 december 2020 bij de gemeente Hof van Twente manifest werd. In het kort beschrijven we hieronder de gebeurtenissen die daartoe leiden en de crisis- en projectorganisatie na 1 december 2020. Voor 1 december
Door aanpassing van de firewall stond sinds oktober 2019 de poort van een server naar het internet toe open. Daarop draaide een kwetsbare applicatie waardoor het mogelijk was om op afstand in te loggen. Een medewerker heeft op 15 oktober 2020 het wachtwoord van een beheerder-account (admin-account) omgezet naar een eenvoudig wachtwoord. De extra beveiliging met een 2 factor authenticatie (2FA) was voor dit account uitgezet. Het wachtwoord werd via de open poort naar internet met een brute force aanval gehackt. Dat wil zeggen dat talloze malen werd geprobeerd in te loggen met een variatie aan wachtwoorden. Die aanval werd niet gedetecteerd via logs of via een applicatie dat verdacht verkeer opspoort. Daarbij is het zwakke wachtwoord buit gemaakt. Het beheerdersaccount had verregaande rechten. De segmentering, dat zijn interne drempels in de systemen zodat iemand die eenmaal binnen is niet overal bij kan, kon het verder doordringen in de systemen niet voorkomen. De hacker kon gedurende 3 weken zijn gang gaan en de ransomware aanval voorbereiden. Ook dat verkeer is niet gedetecteerd of als verdacht naar voren gekomen. Daarbij is de informatie op servers deels vernietigd en deels versleuteld. Van de back-ups was geen kopie bewaard op een externe locatie, los van de systemen. De back-ups zijn deels vernietigd en deels versleuteld.
Ook de back-ups bij de leverancier die de hosting van een deel van de systemen uitvoerde. Een deel van de systemen was gelukkigerwijs naar de cloud overgebracht en behouden gebleven, zoals het zaaksysteem en intranet.
1-12-2020 en daarna
Op 1 december 2020 gingen de systemen uit de lucht. De volle omvang van het probleem was nog niet direct duidelijk. Eerst werd contact opgenomen met de IBD, maar het duurde even voordat ook daar de impact volledig doordrong. Op 2 december 2020 is aangifte gedaan bij de politie en is bij de Autoriteit Persoonsgegevens (AP) gemeld dat er sprake was van een datalek. Het meldingsformulier voor een datalek bleek niet geschikt om een incident van deze omvang goed te registreren.
Immense impact
De impact bij bestuur en medewerkers is groot. Iedereen die we hebben gesproken heeft het over een afschuwelijke en desastreuze ervaring. Jaren aan verzamelde gegevens zijn kwijt of gecorrumpeerd. Een respondent geeft het als volgt weer: "Er is een bom ontploft in het gemeentehuis, maar
16
20220530 HvT niemand ziet het." Getracht wordt snel de systemen en data opnieuw op te zetten. Op 4 december 2020 zijn uitkeringen aan kwetsbare groepen inwoners uitbetaald, dit had een hoge prioriteit. In de eerste week is er naast de hectiek van de hack en de wederopbouw van de systemen ook heel veel media-aandacht. Op 1 december 2020 is een crisisteam gestart, waarna het proces werd ingericht vergelijkbaar met Grip 3 van de Veiligheidsregio. In het crisisteam zaten onder andere gemeentesecretaris, communicatie, concerncontroller en afdelingsmanager ICT en vanuit het bestuur de burgemeester en een wethouder. De concerncontroller was vervanger van de CISO, die vanaf begin oktober 2020 met zwangerschapsverlof was. Na verloop van tijd werd er een onderscheid gemaakt tussen een bestuurlijk en ambtelijk deel van het crisisteam. Op advies van de leverancier werd begin december 2020 een nieuwe server geïnstalleerd en getracht met een eerste scan data te herstellen. In overleg met een forensisch onderzoeksbureau (NFIR) werd daarna gekozen voor een andere leverancier die de nieuwe systeemomgeving heeft opgebouwd. Ondersteuning
Ondersteuning, direct na de hack, kreeg de gemeente van andere gemeenten, zoals Lochem, Enschede en Rotterdam. En ondersteuning van de IBD en de Veiligheidsregio en van private partijen zoals het forensisch onderzoeksbureau NFIR. Op 10 december 2020 stonden de firewall en de eerste systemen en was de mail weer beschikbaar. Op 4 december 2020 was een eerste begin gemaakt met de opbouw van de ICT-systemen en konden uitkeringen worden betaald. Respondenten herinneren zich dat iedereen erg betrokken was en de schouders eronder zetten. De hackers zijn door de gemeente niet betaald geworden, hiervoor heeft de gemeente een zorgvuldig proces gelopen waarbij zaken zijn afgewogen vanuit meerdere perspectieven. Omdat de gemeente niet onderhandelt met criminele hackers. En omdat de betrouwbaarheid van de eventueel teruggekochte data niet te garanderen is.
Beeld begin 2022
Het beeld begin 2022 is dat ca. 90% van de systemen weer is hersteld. Medewerkers hebben een jaar lang hard gewerkt om de zaken weer op orde te krijgen en hebben op eieren gelopen. Er heerst bij alle respondenten trots op de organisatie. Met name op het feit dat niet met de vingers naar elkaar wordt gewezen, dat kwetsbare groepen als eerste zijn geholpen, en dat hier heel veel van geleerd kan worden. Ook voor bestuurlijk Nederland buiten Hof van Twente.
17
20220530 HvT
4 Informatiebeveiligingsbeleid Onderzoeksvraag 1
In dit hoofdstuk geven we antwoord op de eerste onderzoeksvraag: In hoeverre beschikte de gemeente Hof van Twente in de periode 2018-2020 over een adequaat informatiebeveiligingsbeleid?
Strategisch informatie-
In het informatiebeveiligingsbeleid zijn de uitgangspunten en randvoorwaarden voor informatiebeveiliging neergelegd. In 2017 is dat in het Beleidsplan informatieveiligheid & privacy, met een looptijd van drie jaar. In 2020 is dat vernieuwd in het Strategisch informatiebeveiligingsbeleid 20202022. Verantwoordelijkheden, taken en bevoegdheden zijn beschreven, evenals de algemene eisen met betrekking tot de beveiligingsnormen en de beschikbaarheid, integriteit en vertrouwelijkheid van de informatie bij de gemeente.
beveiligingsbeleid
Verantwoordelijkheden
In het informatiebeveiligingsbeleid is vastgelegd dat de gemeenteraad een toezichthoudende taak is toegekend. De Gemeentewet kent die taak in algemene zin toe aan de raad. Het college is integraal (politiek) verantwoordelijk voor de borging van informatieveiligheid binnen de gemeente. Zij stelt de kaders hierop. De ambtelijke verantwoordelijkheid is gemandateerd aan de gemeentesecretaris. Uiteindelijk is de primaire verantwoordelijkheid in de lijn belegd, wat betekent dat afdelingsmanagers een centrale rol hebben op informatieveiligheid.
2017
In 2017, in aanloop tot het opstellen van het informatieveiligheid- en privacybeleid, is een bestuurlijke discussie met de raad gevoerd over de budgetten voor de I&A-functie. Op basis van een vergelijking met een benchmark werd geconstateerd dat de gemeente zeer zuinig was met investeringen in ICT en informatiebeveiliging. De raad heeft toen structureel middelen ter beschikking gesteld, zij het niet ter gehele dekking van het verschil in de benchmark. Vanaf 2017 is verder gewerkt aan activiteiten op ICT, waarbij informatiebeveiliging werd meegenomen. In 2018 is besloten om een deel van de ICT uit te besteden. Dat wil zeggen dat beheer van de ICT-systemen bij een derde partij werd belegd. Vanwege de schaalgrootte van de gemeente en gebrek aan de benodigde kennis om deze taak zelfstandig uit te voeren. Er is discussie geweest om met andere gemeenten op ICT samen te werken in een Shared Service Centre Netwerk Twente (SSCNT). Dat is er niet van gekomen en uiteindelijk viel de keuze op uitbesteden van het systeembeheer aan een externe professionele partij.
Collegeprogramma 18-22
In het collegeprogramma 2018-2022 Samen Doen! is informatieveiligheid als onderwerp opgenomen. In hoofdstuk 2 getiteld 'Welke trends zien we en waar gaan we op inspelen?' staat het volgende opgenomen: "Ten eerste hebben steeds meer mensen toegang tot het internet… In de dienstverlening van de overheid zal de overheid hier proactief op moeten
18
20220530 HvT inspelen, waarbij nadrukkelijk aandacht dient te zijn voor informatieveiligheid." De ambitie is om daar (nog) meer op in te zetten in een steeds verder digitaliserende samenleving. Digitale Agenda 2019
In 2019 is de Digitale Agenda vastgesteld, waarin de ambities van de gemeente zijn opgenomen. De agenda ging over het gehele veld van ICT. Met onder andere datagedreven werken als aandachtspunt, wat een relatief nieuw en deels onontgonnen terrein voor gemeenten is. Ook werd informatieveiligheid als speerpunt benoemd. Dat speerpunt is daarna uitgewerkt in drie pijlers van het Programma Informatieveiligheid en privacy (zie hierna). Naar aanleiding van de Digitale Agenda is een stuurgroep gevormd.
Incidentele middelen 2019
De gemeente bleek ook in 2019 minder te investeren in ICT in vergelijking met andere gemeenten in de benchmark. Dat leidde niet tot een structurele verhoging van het budget. De gemeenteraad besloot voor drie jaar incidenteel €1.3 miljoen beschikbaar te stellen om de geformuleerde ambities op ICT en informatiebeveiliging te behalen. De activiteiten ten behoeve van informatiebeveiliging in de drie pijlers (bewustwording, verantwoording en ontwikkeling) zijn opgenomen in een Programma Informatieveiligheid & Privacy 2020 (zie hieronder).
Protocollen/procedures
In 2017 is door het college het Handboek Informatieveiligheid 2017 vastgesteld. Daarin zijn de uitgangspunten voor informatiebeveiliging van de gemeente opgenomen en vormt een naslagwerk voor management en medewerkers. Hierin is de Baseline Informatiebeveiliging Gemeenten (BIG)7 vertaald naar de gemeente Hof van Twente. Als onderwerpen bevat het handboek de voorschriften van de BIG op onder andere de organisatie van informatiebeveiliging, fysieke beveiliging, de toegangsbeveiliging, beveiligingsincidenten, continuïteitsbeheer en naleving. De uitgangspunten betreffen onder meer de wachtwoorden, compartimentering of segmentering van de systemen back-up beleid enz. De naleving van de maatregelen op informatiebeveiliging is, belegd bij MT en de procesverantwoordelijken (managers) conform de BIG. Deze voorschriften en uitgangspunten moeten dan nog uitgewerkt worden in procedures en protocollen. Deze zijn grotendeels meegenomen in de drie pijlers van het Programma Informatieveiligheid en Privacy van 2020: bewustwording, inzicht in de gevolgen van eigen gedrag; verantwoording, met behulp van de ENSIA-rapportage; ontwikkeling, voldoen aan de richtlijnen van BIO en AVG. In een schema van dat programma is opgenomen wat op de drie pijlers in de periode 2017-2019 is gerealiseerd en waar nog inspanningen op gepleegd moeten worden.
Op de pijler Ontwikkeling, wat het voldoen aan de richtlijnen van BIO-normen en AVG inhoudt, waren onder andere de volgende resultaten genoemd: invoeren
7
Vanaf 2019 Baseline Informatiebeveiliging Overheid (BIO).
19
20220530 HvT 2FA (tweefactor authenticatie), wachtwoordbeleid, informatiebeveiligingsbeleid, zonering (of segmentering) en pentesten. De punten waar de gemeente nog mee bezig was of waar deze nog mee moest starten, betroffen back-up & restore, toegangsbeveiliging, beheerplan en logging. Bestuurlijke aandacht
Uit de interviews blijkt dat het bestuur aandacht had voor het onderwerp en draagvlak voor investeringen, maar informatieveiligheid was niet een heel groot of structureel terugkerend onderwerp aan de bestuurstafel en in de gemeenteraad. Op de gebruikelijke jaarlijkse rapportagemomenten na, zoals ENSIA. In bilaterale gesprekken tussen bestuur en ambtelijke organisatie is er destijds aandacht geweest voor de risico’s op het gebied van informatiebeveiliging, met de kennis van nu blijkt dat dit niet op de juiste wijze heeft plaatsgevonden. Het college en de directie kregen geen signalen dat er mogelijk iets mis was met processen op informatieveiligheid. Informatiebeveiliging wordt omschreven als een technisch onderwerp waar de collegeleden zelf niet veel inhoudelijke kennis van hadden. Er moest in het kader van bedrijfsvoering noodzakelijkerwijs aandacht aan besteed worden. Er werden echter weinig verdiepende vragen over gesteld, behalve naar aanleiding van incidenten elders.
Budget CISO
Opvallend in het strategisch informatiebeveiligingsbeleid 2017 en 2020 is de passage dat de CISO geen eigen budget tot beschikking heeft. In 2020 is daarbij opgemerkt dat dat contrair is aan het advies van de IBD. Gesteld wordt dat als na verloop van tijd blijkt dat dit niet werkt, dit in overleg met de afdeling bedrijfsvoering wordt aangepast. Respondenten geven aan dat dit een pragmatische keuze was en geen principiële keuze. Daarmee werden de uitgaven van de CISO voor activiteiten voor de afdelingen afhankelijk van de betreffende leidinggevenden. Er bestaat een risico dat afdeling overstijgende uitgaven op informatiebeveiliging niet zouden worden uitgevoerd. Voor uitgaven voor algemene maatregelen of activiteiten, zoals pentesten, kon de CISO een onderbouwd beroep doen op het budget van Bedrijfsvoering. Respondenten geven aan dat er, gelet op de grootte van de organisatie, pragmatisch voor gekozen is geen aparte budgetten te hanteren voor centrale organisatievraagstukken waar de concernstaf verantwoordelijk voor is.
20
20220530 HvT
5 Uitvoering van het beleid Onderzoeksvraag 2
De tweede vraag ziet toe op de uitvoering van het informatiebeveiligingsbeleid in de periode voor 1 december 2020. Is het beleid adequaat uitgevoerd?
Op papier
Uit de interviews wordt duidelijk dat op 30 november 2020 de betrokken ambtenaren en bestuurders het idee hadden met informatieveiligheid op de goede weg te zitten. Vanaf 2017 waren extra middelen uitgetrokken voor ICT en informatiebeveiliging, eerst structureel daarna incidenteel. Er waren keuzen gemaakt om netwerk- en systeembeheer uit te besteden. Er was een programma, met onder andere filmpjes over phishing, gestart op basis van de pijlers bewustwording, verantwoording en ontwikkeling (zie hiervoor). De functies op informatiebeveiliging en privacy waren ingevuld en gepositioneerd (zie ook hoofdstuk 6). Er werden geen mogelijke problemen gesignaleerd met betrekking tot de uitvoering van het informatiebeveiligingsbeleid. Ook uit een pentest, medio 2020 is uitgevoerd, kwamen geen hoog kritieke risico's naar voren (zie hoofdstuk 7).
Compliance
Vanaf 2020 was het uitgangspunt voor de gemeente Hof van Twente de Baseline Informatiebeveiliging Overheid (BIO), voorheen Baseline Informatiebeveiliging Gemeenten (BIG). De focus lag op de verbeterpunten die naar aanleiding van de risicoanalyses en de ENSIA werden geconstateerd. De veronderstelling was dat als de gemeente 'compliant' was op de BIO-maatregelen, de gemeente 'in control' was. De gemeente voldeed volgens een van de respondenten voor meer dan 90% aan de formele eisen. Handvat voor de uitvoering van de activiteiten op informatiebeveiliging, en privacy, was in 2020 het Programma informatieveiligheid en privacy.
Pijler Bewustwording
Op de pijler Bewustwording overheerste het gevoel dat de gemeente goed bezig was, ambtenaren ontvingen verschillende trainingen en de gemeente organiseerde activiteiten, zoals de week van informatieveiligheid om de bewustwording bij ambtenaren te vergroten. De CISO kwam 1 à 2 keer per jaar bij afdelingsoverleggen langs om informatieveiligheid onder de aandacht te brengen. Door corona gebeurde dat weliswaar minder, maar de aandacht voor informatiebeveiliging nam volgens de respondenten langzaam maar zeker toe. Bij een aantal activiteiten op bewustwording werd het college door ambtenaren betrokken, zodat duidelijk werd dat het onderwerp bestuurlijk belangrijk werd gevonden.
Pijler Verantwoording
In de pijler Verantwoording waren met name de activiteiten opgenomen met betrekking tot de ENSIA-rapportage richting de landelijke toezichthouders en de gemeenteraad. ENSIA behelst de rapportage over de audits en zelfevaluaties van de verschillende applicaties die de gemeente gebruikt. Zoals de audits voor Suwinet en DigiD en de zelfevaluaties van de
21
20220530 HvT Basisregistratie Adressen en Gebouwen (BAG), Basisregistratie Grootschalige Topografie (BGT) en Basisregistratie Ondergrond (BRO). In het kader van ENSIA zijn deze audits in 2020 voor het jaar 2019 uitgevoerd. Pijler Ontwikkeling
In de pijler Ontwikkeling zaten de activiteiten bedoeld om te voldoen aan de BIO- en AVG-normen. Op informatiebeveiliging ging het om het opstellen van de verschillende protocollen en procedures en uitvoeren van penetratietesten. Afgerond en geïmplementeerd waren wachtwoordenbeleid, beleid telewerken, incidentmanagement en zonering. Voor 2020 stonden op het programma onder andere 'back-up & restorebeleid', toegangsbeveiliging, bedrijfscontinuïteit en wijzigingsbeheer. Hieronder gaan we nader in op een aantal protocollen die van belang zijn, terugkijkend met de ervaring van de hack die op 1 december 2020 manifest werd.
Incidentmanagement
Incidentmanagement is erop gericht medewerkers incidenten en datalekken te laten rapporteren en ervan te leren. De procedure hiervoor is in 2019 opgesteld. In de teams is de teamcoördinator de procesverantwoordelijke. Ieder incident dient in Topdesk geregistreerd te worden. Voor de eerste lijn zijn handreikingen beschikbaar om veelvoorkomende incidenten op te lossen. Als het incident daarmee niet opgelost kan worden is er in de tweede lijn een behandelgroep aanwezig met collega's of is er een zogenoemde oplosgroep per applicatie met een functioneel applicatiebeheerder en technisch applicatiebeheerder. Maandelijks dienen de eerste en tweede lijn gezamenlijk de omvang en aard van de meldingen te analyseren en eventueel verbetermaatregelen voor te stellen. Als blijkt dat escalatie nodig is vanwege een aanpassing van het systeem, wordt een melding gedaan naar de leverancier of een andere derde partij. De leverancier van het systeembeheer gebruikte ook een soort Topdesk, en daar kon mee geschakeld worden als het een incident met betrekking tot systeembeheer betrof. De servicedesk deed vanuit Topdesk een melding richting de leverancier, met een prioriteit erbij. Uit de interviews blijkt dat de ervaring was dat de communicatie over en weer hierop niet optimaal verliep.
Back-up & restore
Het Back-up & restorebeleid stond voor 2020 op de planning. Naar aanleiding van de ervaring van 1 december 2020 (zie hoofdstuk 3) kan geconstateerd worden dat dit beleid, achteraf gezien, nog niet goed functioneerde.
2FA
Het beleid op 2-factor authenticatie was afgerond en geïmplementeerd. In 2019 is met de incidentele middelen die beschikbaar kwamen de mobiele telefonie voor de medewerkers uitgerold. Daarmee kon ingeregeld worden dat met een dubbele authenticatie beveiligd ingelogd kon worden op de systemen. In principe zou dat voor elk account ingesteld moeten zijn
22
20220530 HvT geweest. Geconstateerd kan worden dat dit niet het geval is geweest, in ieder geval niet voor het beheerdersaccount dat gehackt werd. Volwassenheid
NOREA, de beroepsorganisatie van IT-auditors, hanteert een schaal van 1-5 om de volwassenheid van organisatie op informatiebeveiliging te meten (zie bijlage 5). Bij een volwassenheidsniveau 3 is de gemeente wat betreft beleid op en uitvoering en verantwoording van de activiteiten op informatiebeveiliging in control. Bij 1 zijn de beheersingsmaatregelen aanwezig, maar worden niet consistent toegepast. Bij 2 zijn de beheersingsmaatregelen aanwezig, worden consistent maar informeel toegepast. Uit de documenten en de interviews blijkt dat in het geval van Hof van Twente in 2020 de administratieve basis gedeeltelijk aanwezig en grotendeels informeel werd toegepast waardoor het zicht op de adequate uitvoering van het beleid ontbrak.
23
20220530 HvT
6 Functies op informatiebeveiliging Onderzoeksvraag 3
In dit hoofdstuk beantwoorden we onderzoeksvraag 3: Op welke wijze heeft de gemeente Hof van Twente de functies voor Informatiebeveiliging en privacy in de organisatie ingevuld. Hoe zijn deze functionarissen gepositioneerd?
CISO
De CISO-functie was voor 8 uur per week ingevuld, door degene die daarnaast bestuursadviseur en stafmedewerker bedrijfsvoering was. De CISO-functie werd op strategisch niveau binnen de concernstaf ingevuld, waardoor de onafhankelijkheid was geborgd. De CISO was vooral beleidsmatig en organisatorisch gericht en heeft voor 2020 specifieke opleiding gevolgd. De CISO had geen ICT-achtergrond of diepgaande kennis over ICT of informatiebeveiliging. Die kennis zou door de medewerkers van het team I&A ingebracht worden. Daarnaast werd expertise op ICT en informatiebeveiliging extern gehaald, zoals systeembeheer of pentesten die door derden werden uitgevoerd. De taak van de CISO zat volgens de respondenten vooral op bewustwording en op het op de kaart zetten van informatieveiligheid in de gemeentelijke organisatie. Daarvoor werd kennis van informatiebeveiliging op hoofdlijnen voldoende geacht. De CISO moest de verbinding zoeken met de afdelingen, de beginselen van de BIG en later de BIO uitleggen en verspreiden. Er is door de CISO een week van de informatieveiligheid georganiseerd, phishing mails uitgezet, langsgegaan bij de teamoverleggen, enzovoorts. Daarnaast stelde de CISO de beleidsplannen en jaarplannen over informatiebeveiliging op, die het management en college vaststelden. En coördineerde ze de ENSIA-rapportages.
Capaciteit
Op de kaart zetten van informatiebeveiliging in de organisatie vergt veel ontwikkel- en opbouwwerk. Protocollen, procedures en processen moeten opgezet en ingericht worden. Dat vergt ook inzet en capaciteit op tactisch en operationeel niveau, zeker met het oog op de ondersteuning van de organisatie met een volwassenheidsniveau tot 2 (zie bijlage 4). Volgens geïnterviewden zou, als de ontwikkel- en opbouwfase voorbij zou zijn, de capaciteit van 8 uur voor de CISO op strategisch niveau voldoende moeten zijn. De huidige stand van zaken is dat de gemeente een CISO werft samen met een buurgemeente voor 1 FTE, voor beide gemeenten 0,5 FTE (18 uur per week).
Budget CISO
Zoals hierboven al is gemeld beschikte de CISO in de periode voor 1 december 2020 niet over een eigen budget, ook al was dat een aanbeveling van de IBD. Als reden wordt aangegeven dat de gemeente Hof van Twente een middelgrote gemeente, is waarbij niet iedereen over een eigen budget beschikt. De CISO heeft daar wel voor gepleit, maar zich er uiteindelijk bij neergelegd en aanvragen gedaan ten laste van het budget van bedrijfs-
24
20220530 HvT voering. Volgens de toenmalige CISO werden alle aanvragen, die goed waren onderbouwd, gehonoreerd en zijn noodzakelijke investeringen wel gerealiseerd.8 Overleggen
De CISO had structureel iedere week overleg met de gemeentesecretaris. Daarnaast was de CISO vaak aanwezig bij het driewekelijkse portefeuillehouders overleg. Alleen niet altijd als CISO, maar als stafmedewerker. Informatiebeveiliging was op dat overleg geen vast agendapunt. Door een van de respondenten is aangegeven dat 3-4maandelijks de CISO en FG aanschoven voor de onderwerpen informatiebeveiliging en privacy. De mogelijkheid was er wel om tussendoor zaken op informatiebeveiliging aan te kaarten. Daarvoor kon de CISO de directe lijn met de secretaris en de burgemeester gebruiken, indien nodig. De CISO had geen regulier overleg met de medewerkers van de afdeling I&A. Wel was die afdeling voor de CISO onder handbereik en was er bijna dagelijks contact. Verder ging de CISO 1 à 2 keer per jaar langs bij de teamoverleggen, om zaken op informatiebeveiliging door te nemen en bewustwording te bevorderen. Ieder team had een eigen aanspreekpunt, de vertegenwoordiger in het kader van ENSIA. Met hen had de CISO regelmatig overleg.
Team I&A
De inhoudelijke kennis op ICT en informatiebeveiliging moest van de vakmensen van I&A komen en die was volgens respondenten bij enkele medewerkers aanwezig. De afdelingsmanager en de teamcoördinator hadden zelf niet de inhoudelijke kennis en hadden ook geen specifieke rol op informatieveiligheid. De teamcoördinator had voornamelijk een leidinggevende en coachende rol op informatiemanagement, DIV, facilitaire dienstverlening en gebouwen. Het team I&A, met in totaal 12 fte, viel daar ook onder. De afdelingsmanager had onder andere twee keer per jaar contact met de externe partij waar het systeembeheer was ondergebracht (zie ook hoofdstuk 8). Daarbij kwam informatieveiligheid wel aan bod, maar dat overleg betrof met name ICT in het algemeen.
Contract- en leveranciers-
Omdat het beheer van de systemen werd uitbesteed, en geleund werd op de kennis en werkprocessen bij een externe partij, was er ook behoefte aan kennis specifiek op contract- en leveranciersmanagement. Door respondenten wordt geconstateerd dat die niet aanwezig was in de gemeentelijke organisatie, om goed de regie te voeren op de externe partij.
management
8
De huidige CISO gaat hier aandacht voor vragen en ervoor pleiten dat hij een eigen budget krijgt.
25
20220530 HvT
7 Monitoring en toetsing van de uitvoering Onderzoeksvraag 4
De vierde vraag die in dit hoofdstuk wordt beantwoord luidt: Is de uitvoering van het beleid in die periode (vóór 1 december 2020) adequaat getoetst en gemonitord? Er zijn verschillende manieren waarop de werking van het beleid en de systemen gemonitord en getoetst worden. In het normenkader zijn enkele opgenomen (zie bijlage 3). De werking en effectiviteit daarvan lopen we in dit hoofdstuk na.
ENSIA
Voor de verticale (externe) verantwoording richting landelijke toezichthouders en de horizontale (interne) verantwoording richting de gemeenteraad is ENSIA opgezet. Daarbij worden de belangrijke applicaties, zoals Suwinet en DigiD, aan een landelijke audit onderworpen. De eisen zijn relatief streng en op herhaalde keren niet voldoen volgt afsluiting van de applicatie. Dan kunnen onderdelen van de gemeentelijke dienstverlening niet meer goed uitgevoerd worden. De gemeente heeft in dat geval een substantieel probleem.
Assuranceverklaring
Het college tekent in het kader van ENSIA voor een verklaring dat bij de gemeente de beoogde en ingerichte beheersingsmaatregelen voldoen aan de geselecteerde normen op Suwinet en DigiD. Een externe auditor stelt daarvoor een Assurance verklaring op. Deze werd afgegeven in 2020 in het kader van de ENSIA-rapportage over 2019. Met dien verstande dat op een onderdeel van Suwinet niet voldaan werd aan de normen. Voorwaarde voor de Assurance verklaring is dan dat het college aangeeft verbetermaatregelen in een plan te hebben opgenomen die belegd en gemonitord worden. Voor de toets op andere applicaties wordt volstaan met een zelfevaluatie. ENSIA ziet ook toe op de vordering die de gemeente boekt op de maatregelen in de BIO en de AVG. Het gaat dan voornamelijk om de risicobeheersing, of de gemeente de risico's in beeld heeft, en of de maatregelen zoals voorgeschreven in de BIO zijn geïmplementeerd. ENSIA ziet met name toe op de opzet en bestaan van maatregelen, protocollen en procedures, niet op de werking van het beleid. De verantwoording in het kader van ENSIA vindt jaarlijks plaats en is opgenomen in de P&C-cyclus. In het informatiebeveiligingsbeleid is het lijnmanagement primair verantwoordelijk. Dit om te voorkomen dat een onderwerp als informatieveiligheid alleen de CISO aangaat.
Deze is op strategisch niveau adviseur en onafhankelijk controleur van het beleid en de uitvoering. De CISO is coördinator van de ENSIA-rapportage en wordt daarvoor met informatie gevoed door de contactpersonen in de teams.
26
20220530 HvT Geen ISMS
Voor onder andere het vullen van ENSIA kan een applicatie gebruikt worden, zoals een Information Security Management System (ISMS). Een ISMS is een geautomatiseerd systeem waarin activiteiten en resultaten op informatiebeveiliging worden bijgehouden. Onderdeel van een ISMS is de Plan-Do-Check-Act cyclus (PDCA), waarmee een beleidsleercyclus gevormd wordt. Daar is door de gemeente geen gebruik van gemaakt. De CISO besprak met de concerncontroller, als leidinggevende, de volledigheid van de ENSIA-rapportage, het totaalbeeld en de conclusies. Mede om de communicatie met college en de raad vorm te geven.
Rapportages
Naast de jaarlijkse ENSIA-rapportage, en onderliggende stukken, kreeg het college in 2019-2020 geen andere rapportages op informatieveiligheid op de bestuurstafel. Bestuurlijk en op papier waren er geen reden om diepgravende vragen te stellen over de stand van zaken op informatiebeveiliging. Ook de gemeentesecretaris kreeg hierop geen signalen en had de indruk dat de processen op informatieveiligheid goed functioneerden.