Eindrapport rekenkamercommissie Informatiebeveiligingsbeleid Hof van Twente 'De perfecte storm'.pdf

Afstemming met leverancier

De monitoring op de systemen en het systeembeheer werd door de externe leverancier uitgevoerd, in afstemming met de afdeling I&A. Op operationeel vlak was er contact tussen de medewerkers van de afdeling en de uitvoerende externen. Op strategisch vlak was halfjaarlijks overleg tussen de afdelingsmanager en de leverancier. De CISO had geen structurele rol en werd alleen bij uitzondering en bij incidenten betrokken. De teamcoördinator had geen rol hierop en had, zoals eerder gemeld een meer coachende rol. Op operationeel terrein ontstond soms ruis in de communicatie tussen gemeente en leverancier. Dat ging vaak over niet tijdig of alert acteren op de onderlinge communicatie en signalen. Daar is op strategisch niveau door de afdelingsmanager over gesproken met de leverancier.

Pentest 2020

In de BIO en het gemeentelijk beleid zijn pentesten op de technische infrastructuur voorzien als middel om de systemen te testen. In de Management Letter 2018 en 2019 constateert de accountant dat er in die jaren geen pentest zijn gedaan. In de zomer van 2020 zijn pentesten door een externe partij uitgevoerd, met ethische hackers. Die partij werd geselecteerd uit een aanbesteding via de VNG. Met de pentest is getest op toegang tot het domein vanaf internet, toegang tot de achterliggende systemen en aanvullende testen voor toegang tot onderdelen op het domein en andere systemen om gegevens in te kunnen zien, te wijzigen of te vernietigen. In totaal zijn uit de pentest 11 bevindingen voortgekomen, waarvan 1 een middelhoog risico vormde, 5 een laag risico en 5 geen risico. Het middelhoge risico werd gevormd door ontbrekende autorisatie op een SMTP-server voor e-mails. Daarbij werd melding gemaakt van een SMTP-server die open stond naar het internet waardoor het voor iedere kwaadwillende mogelijk was om daar misbruik

27

20220530 HvT van te maken. De FTP-server die al vanaf 2019 open stond is niet expliciet genoemd als risico, noch zijn eventueel andere kritieke risico's gesignaleerd. Respondenten geven aan dat het ontbreken van specifieke technische kennis een rol heeft gespeeld bij het interpreteren van het pentestrapport, waardoor mogelijke risico's niet goed zijn ingeschat. Er lijkt niet indringend en diepgravend doorgevraagd op eventuele risico's. Mogelijke risico's zijn ook niet doordringend geduid door de testers, in ieder geval is het risico dat leidde tot de hack niet gesignaleerd. Het rapport is door de CISO en de afdeling I&A aangenomen en de aanbevolen activiteiten naar aanleiding van de pentest zijn uitgezet. Er hoefde niet opgeschaald te worden naar secretaris of college, er waren geen kritieke risico's te melden. Toegangsrechten

In het beleid is afgesproken dat periodiek een uitdraai wordt gemaakt van de toegangsrechten van medewerkers op de applicaties. En dat deze lijst op juistheid en volledigheid wordt gecontroleerd. Uitgangspunt dat zowel de lengte als complexiteit van het wachtwoord volgens het wachtwoordenbeleid in combinatie met de voorwaarde van 2FA adequaat zou moeten zijn als iedereen zich hieraan houdt. Op de complexiteit van wachtwoorden en de implementatie van 2FA wordt niet gecheckt. Tijdens de pentest is ook niet gecheckt of de wachtwoorden en de implementatie van 2FA voldoen aan het vastgestelde beleid en de afspraken. Het simpel te raden wachtwoord waardoor de hacker in november 2020 toegang kreeg tot de systemen voldeed wat betreft lengte aan de eisen, maar niet wat betreft complexiteit. Daar vond geen monitoring op plaats.9

Logging en monitoring

Verdacht verkeer in de systemen kan via logging opgemerkt en opgespoord worden. Dat is volgens de respondenten deels geïmplementeerd bij de gemeente, in ieder geval bij de applicaties waarop in het kader van ENSIA strikt toezicht wordt uitgevoerd, zoals Suwinet en DigiD. Het verdachte verkeer van november 2020 is door de externe systeembeheerder niet opgemerkt, althans niet blijkt dat dit gemeld is aan de ambtelijke organisatie. Door de gemeente is overwogen om via een aanbesteding van de VNG een applicatie voor de monitoring van de computerdreigingen aan te kopen. Dat is een zogenoemde SIEM/SOC (Security Information & Event Management/Security Operations Center). Dat is uiteindelijk niet aangeschaft. Volgens een van de respondenten vanwege de kosten.

9

De onderzoekers hebben het wachtwoordenbeleid gekregen, maar het is niet gedateerd en het is niet duidelijk of het beleid naar aanleiding van de hack is gewijzigd. 2FA (of multifactor authenticatie, MFA) was voor de gebruikers en de admin-accounts verplicht, ook in de periode voor 1-12-2020. Het wachtwoord dat gehackt is voldeed in ieder geval niet aan de eisen van lengte en complexiteit zoals voorgeschreven in het verkregen wachtwoordenbeleid.

28

20220530 HvT Na 1 januari 2021 wordt op technisch gebied voor de gemeente door NFIR het netwerkverkeer doorlopend gemonitord op basis van een zogenoemd Managed Detection Response (MDR). Compliance

Informatieveiligheid leek bij de gemeente 'in control'. Respondenten geven aan dat de overheersende indruk was dat de gemeente compliant was met de richtlijnen op informatieveiligheid. Op papier leek de gemeente op goede koers te liggen. Bestaan en opzet van beleid waren op orde en de vinkjes konden in ENSIA gezet worden. Op basis van de audits leek ook de werking van het beleid in de praktijk op orde. Respondenten gaven aan dat het medio 2020 ondenkbaar was dat bij de gemeente het systeem kon worden platgelegd, zoals op 1 december 2020 is gebeurd.

Accountant

Accountants schenken de laatste jaren bij de rechtmatigheidscontrole van de gemeenterekeningen ook aandacht aan informatieveiligheid. Sommige gaan zelfs zover om bijvoorbeeld het wachtwoordenbeleid te testen door middel van een audit op de Active Directory. De accountant van de gemeente Hof van Twente heeft bij de interimcontrole over 2019 een beperkte IT-audit uitgevoerd. In de managementletter constateert de accountant dat er verbeteringen nodig zijn op informatieveiligheid en pleit de accountant voor functiescheiding op de verschillende soorten functies. Uit de interviews blijkt dat de gemeente vanwege de schaalgrootte de aanbeveling niet heeft opgevolgd. De interimcontrole over 2020 is door de hack van 1 december 2020 niet meer uitgevoerd.

Cultuur en leidinggeven

De invulling van monitoring en controle hangt ook samen met de cultuur binnen de ambtelijke organisatie. In de gemeente Hof van Twente wordt gewerkt vanuit de kernwaarden leiderschap, eigenaarschap en vertrouwen. Er heerst een zachte manier van leidinggeven, meer coachend en faciliterend van aard, zo geven respondenten aan. Er zijn korte lijnen, niet hiërarchisch en de open cultuur zorgt ervoor dat men elkaar snel vindt. Er heerst vertrouwen in elkaar en naar externen. Respondenten geven aan dat het voor een professionele organisatie randvoorwaardelijk is te controleren en elkaar zakelijk aan te spreken op zaken die niet goed gaan. Daar hoort ook een zakelijke houding en feedback richting externe leveranciers bij.

Monitoring na

Voor 2021 heeft Hof van Twente de ENSIA-toets met betrekking tot DigiD en Suwinet uit laten voeren door een extern bureau. Dit heeft plaatsgevonden in december 2021 en januari 2022. De resultaten waren begin maart 2022 nog niet bekend. Voor de hack voldeed de gemeente voor 92% aan de BIO-maatregelen, dat is daarna niet meer gemeten.

1 december 2020

Jaarverslag 2020 light

Vanwege de hack heeft de gemeente over 2020 een jaarverslag 'light' gepubliceerd. Daarin staat onder andere vermeld dat er 52 meldingen zijn gedaan van 34 verschillende veiligheidsincidenten. De meest bekende is uiteraard de hack van 1 december 2020. In 26 gevallen ging het in 2020 om meldingen van een phishingmail, en daar is snel en adequaat op geacteerd.

29

20220530 HvT Eind 2022

Na oplevering van het programma ‘De Nieuwe Werkelijkheid’ en voltooiing van het ‘Verbeterplan’ bestaande uit 18 actiepunten zal naar verwachting eind 2022 het programma zijn voltooid en zal de veiligheid op orde zijn. Daarna zal het nieuwe systeem worden onderzocht. Reguliere pentesten, phishing mail zullen vanaf dat moment regulier door de gemeente worden uitgevoerd.

30

20220530 HvT

8 Externe leveranciers Onderzoeksvraag 5

In dit hoofdstuk beantwoorden we vraag 5: welke afspraken op informatiebeveiliging zijn gemaakt met externe leverancier(s) en hoe zijn deze gemonitord?

Uitbesteden

In de periode voor 2017 constateerde de gemeente dat een middelgrote gemeente zoals Hof van Twente zou kunnen onderzoeken in hoeverre meer samenwerking met andere gemeenten op ICT een mogelijkheid zou kunnen zijn. Dit is onderzocht en heeft niet tot een gezamenlijke shared serviceorganisatie geleid. Daarom is besloten om ICT-onderdelen van bedrijfsvoering aan een externe commerciële partij uit te besteden. Het uitbesteden heeft plaatsgevonden en er is een contract gesloten met GIBITvoorwaarden van de VNG. Dit biedt waarborgen voor de gemeente. In dit hoofdstuk ligt de focus op de externe leverancier die ICT voor de afdeling I&A van de gemeente Hof van Twente leverde.

Relatie

De gemeente had twee keer per jaar een strategisch niet-bestuurlijk overleg met de externe partij. De gemeente beschikte ten dele over inhoudelijke ICT-kennis (tactisch beleidsniveau en op uitvoerend niveau) en de indruk uit de interviews is dat de relatie vanuit de gemeente getypeerd kan worden als een relatie van partners op basis van vertrouwen en in mindere mate van opdrachtgever en opdrachtnemer. Uit de interviews komt naar voren dat de relatie met de externe partij op operationeel niveau moeizaam was. Operationeel niveau hield in dat de vakspecialisten van de gemeente en de uitvoerenden van de externe leverancier contact hadden en dat de communicatie als moeizaam werd ervaren. Vanaf begin 2020 werd dit ook duidelijk bij de leidinggevende en die is aangeschoven bij de reguliere overleggen, als generalist en niet vanuit de inhoud. Uit de interviews komt een beeld naar voren dat de overige betrokkenen uit de ambtelijke organisatie en bestuur dachten dat het wel goed zat met de externe leverancier. De CISO en controller kregen geen signalen en hadden niet de indruk dat het niet goed ging met de externe leverancier. Achteraf vragen sommige respondenten zich af waarom er niet opgeschaald is over de communicatie naar strategisch en bestuurlijk niveau. Ook is de vraag gesteld wie de regie had in de relatie opdrachtgeveropdrachtnemer.

Respondenten geven aan dat het de gemeente ontbrak aan een adequaat contract- en leveranciersmanagement. De relatie en afspraken met de externe partij waren voor een groot deel op goed vertrouwen gebaseerd. Een andere gedachte die naar voren is gekomen is de afhankelijkheid van de gemeente bij het uitbesteden van cruciale dienstverlening. Uit de

31

20220530 HvT interviews komt naar voren dat de suggestie zou kunnen zijn dat de gemeente zich (te) afhankelijk maakt van één partij, dat maakt kwetsbaar. Monitoring

Er was vertrouwen dat de externe een partner was en goed functioneerde als 'trusted third party'. De gedachte bij de gemeente was dat in principe de externe leverancier de systemen zou monitoren en bij verdacht verkeer een signaal zou geven aan de gemeente of zelf zou optreden. Zoals bij een 'brute force attack' of langdurige handelingen in de achtergrond door een admin-account. De externe partij heeft volgens de betrokkenen geen impliciet en/of expliciet signaal hierover afgegeven aan de gemeente.

Te goed van vertrouwen

Op papier leek alles goed geregeld en in de uitvoering van opdrachtgever en opdrachtnemer, maar dit bleek achteraf onvoldoende te werken. Er was te weinig controle op hetgeen de externe partij contractueel moest doen, blijkt uit de interviews. De vraag is gesteld, ook in de evaluatie: waren we te goed van vertrouwen? Dit is ook de titel van de evaluatie van Brenno de Winter.

Follow up in 2020

Op operationeel niveau was er medio 2020 een proces gestart om dat met de leverancier op te pakken. De externe leverancier bood aan om via de Product Diensten Catalogus (PDC) op operationeel niveau scherpere afspraken te maken. Door corona is dat proces vertraagd.

32

20220530 HvT

9 Positionering raad en informatiebeveiliging Onderzoeksvraag 6

Dit hoofdstuk gaat in op de rol en positionering van de raad. Is de raad adequaat gepositioneerd geweest om zijn kaderstellende en controlerende rol te kunnen uitvoeren?

Inleiding hoofdstuk

In dit hoofdstuk staat de gemeenteraad centraal. Het bestaat enerzijds uit een feitenconstructie over op welke wijze de raad is geïnformeerd en betrokken is geweest bij informatiebeveiliging. In §9.1 de periode tot de hack van 1 december 2020, §9.2 geeft de ontwikkelingen vanaf de hack tot 1 maart 2022 weer. Voor dit onderzoek zijn alle fracties geïnterviewd. Met hen is besproken hoe zij de hack en het proces daarna hebben beleefd en welke reflectie zij hebben op de hack en de informatiebeveiliging van de gemeente. Dit onderdeel van dit hoofdstuk zijn geen feiten. Van iedere fractie is ten minste één raadslid geïnterviewd. Om die reden is er een alinea besteed aan de beleving door de raad. §9.3 gaat over de kaderstellende en controlerende rol van de raad in relatie tot informatieveiligheid van de gemeente.

9.1

Periode vóór 1 december 2020

Rib 20-9-2016

In de periode 2016-2020 heeft het college twee raadsbrieven naar de raad gestuurd waarin informatiebeveiliging aan de orde komt (20-9-2016 en 173-2020). De eerste is een wat algemenere brief met informatie over integrale veiligheid. Op 20 september 2016 is naar aanleiding daarvan een raadsbijeenkomst georganiseerd met het onderwerp: ‘Veiligheid doen we’. Op deze avond is de raad geïnformeerd over het Integraal veiligheidsbeleid 2017-2021, politie en veiligheid, en evenementenveiligheid. Ook is die avond een presentatie aan de raad gegeven over informatieveiligheid en privacy.

Vragen 2017

In het Vragenhalfuur op 14 februari 2017 heeft de raad vragen gesteld over de manier waarop Hof van Twente zich voorbereidt op het Shared Services Netwerk Twente (SSNT) en of vanuit de raad een interne werkgroep ter ondersteuning nodig was. Vanuit het college is daarop aangegeven dat het SSNT nog in ontwikkeling was. ICT was daarbij betrokken en het uitgangspunt was dat gemeenten elkaar daarbij versterken en ondersteunen. Voorwaarde was dat de gemeenten het eerst zelf op orde dienden te hebben. Uiteindelijk is het SSNT er niet gekomen.

AVG

In de raadsvergadering van 8 mei 2018 heeft de burgemeester de raad geïnformeerd over de stand van zaken ten aanzien van de invoering van de AVG. Hierop volgend is op 18 mei 2018 de raad in een informele bijeenkomst bijgepraat over informatieveiligheid en privacy, waarbij de CISO een presentatie heeft gegeven. In deze bijeenkomst is ook toegelicht

33

20220530 HvT hoe de verantwoordingsrapportage ENSIA werkt en in welke fase de gemeente Hof van Twente op dat moment was. Jaarrekeningen 2017-2019 10

In 2017, 2018 en 2019 heeft dezelfde accountant van hetzelfde accountantskantoor de jaarrekening van de gemeente Hof van Twente gecontroleerd. Al deze jaren is een goedkeurende verklaring afgegeven. In hoofdstuk 7 is al aangegeven dat de accountant sinds 2017 aandacht vroeg voor informatiebeveiliging. Zo heeft de accountant aandacht gevraagd en een aanbeveling gedaan om functiescheiding beter te organiseren. Uit gesprekken met raadsleden komt naar voren dat ze hier regelmatig, ook in de auditcommissie, aandacht voor hebben gevraagd. Het college en de organisatie gaven aan dat de gemeente te klein was om overal functiescheiding door te voeren.

Management Letter 2017

In de management letter 2017, uit de door de accountant uitgevoerde ITaudit, komt naar voren komt dat op het gebied van automatisering nog verbeteringen mogelijk zijn. Geadviseerd wordt om hieraan prioriteit te geven. Verder blijkt uit de testwerkzaamheden van de accountant dat zij hebben vastgesteld dat het wachtwoordenbeleid voldoet aan de eisen. Er wordt geconstateerd dat van de 750 actieve netwerkaccounts er ongeveer 370 uitgezonderd zijn van de wachtwoord periodiciteit. Hieronder vallen accounts met administrator rechten, het standaard en administrator account en serviceaccounts van de leveranciers. Voor deze accounts die zijn uitgesloten van het wachtwoordenbeleid is een verhoogd risico op onrechtmatige toegang door onbevoegde functionarissen aanwezig, het risico bestaat dat via die accounts toegang verkregen kan worden tot documenten op het netwerk en applicaties. De accountant adviseert in 2017 om alle wachtwoorden, ook die van leveranciers, aan de eis van periodiciteit te laten voldoen. De accountant waarschuwt ook voor de risico's van een hack.

Accountant ML 2018

Eind 2018 heeft de accountant de interimcontrole verricht ter voorbereiding van de controle op de jaarrekening 2018. Op 25 januari 2019 heeft de accountant de Management Letter (ML) 2018 aan de raad aangeboden. In de ML gaat de accountant in op automatisering (hoofdstuk 4). De accountant heeft op basis van interviews een inschatting gemaakt van de kwaliteit van het IT-systeem van de gemeente Hof van Twente. In dat hoofdstuk van de ML is een onderverdeling gemaakt in: voldoende (groen),

10

Voor dit onderzoek heeft de rekenkamercommissie (rkc) informatie opgevraagd die noodzakelijk was voor dit rkconderzoek over informatiebeveiliging. Op grond van art 81 oa Gemeentewet kan de rkc documenten van de betreffende gemeente onderzoeken voor zover opgenomen in de verordening. Niet alle onderzochte documenten kan de rkc openbaar maken. Voor dit onderzoek heeft de rkc onder andere de Management Letter 2018 die door de accountant opgemaakt opgevraagd. Dit document is op 25 januari 2019 aan het college aangeboden. In dit document staat niet vermeld dat dit een vertrouwelijk document is of dat er enige restrictie is opgelegd over de vorm van openbaarmaking dan wel dat de accountant op enigerlei wijze toestemming dient te verlenen voor enige vorm van openbaarmaking uit de Management Letter. Met deze grondslag heeft de rkc voor dit onderzoek en de bijbehorende rapportage passages opgenomen uit de Management Letter.

34

20220530 HvT benodigd verbetering op (kort) termijn (oranje) en urgente verbetering vereist (rood). De accountant merkt op dat incidenten met cybercrime steeds vaker plaatsvinden en dat bestuurders zich hierop moeten voorbereiden. Om bij te dragen aan de bewustwording is het onderdeel IT door de accountant besproken met de organisatie. In de ML geeft de accountant op 8 aandachtpunten een bevinding over de IT-adviespunten. IT-beleid, proces, procedures

De structurele monitoring en (IT)beheersing is volgens de accountant goed. Op dat moment is het informatiebeveiligingsbeleid dat in 2017 was vastgesteld en anderhalf jaar oud is als rood beoordeeld. Het gebruikersbeheer Operating systeem (procedure waar bij uitdiensttreding van medewerkers het IT-systeem direct geblokkeerd) is rood beoordeeld. De procedure rondom wijzigingen van applicaties wordt niet vastgelegd, is oranje beoordeeld en vraagt verbetering. Tot slot geeft de accountant aan dat het onderdeel Probleem & Incidentmanagement niet wordt vastgelegd, hiermee kunnen verstoringen worden geïdentificeerd, en is oranje.

Infrastructuur, beveiliging

In 2018 zijn geen Attack en pentesten uitgevoerd, de accountant adviseert om dit periodiek te doen, dat betekent een rode vlag. De uitwijklocatie is ondergebracht bij een externe leverancier. Afspraken zijn opgenomen in een service level agreememt (SLA), dat is als groen gekwalificeerd. Voor de BAG en de Basisregistratie Personen (BRP) heeft in 2018 een recovery test plaatsgevonden, de accountant adviseert dit als een oranje activiteit en adviseert om dit ook voor de andere applicaties uit te voeren. Tot slot oordeelt de accountant groen over Remote Acces: toegang tot het netwerk vindt plaats via twee-factor authenticatie (2FA). Daarnaast vindt lock-out plaats als er een aantal foutieve wachtwoorden worden geprobeerd. Hierdoor is volgens de accountant geen verhoogd risico aanwezig op het raden van wachtwoorden door middel van bijvoorbeeld een bruto-force aanval.

en back up

Cybersecurity

In de management letter 2018 zijn aandachtspunten op cybersecurity opgenomen. Het volgende schema over de cyber health van de gemeente Hof van Twente is opgenomen. Op een schaal van 1 (slecht) tot 5 (goed) scoort de gemeente Hof van Twente gemiddeld tussen de 2 en 3.

35

20220530 HvT Afbeelding 1. Score op aandachtspunten cybersecurity, Management Letter 2018 Gemeente Hof van Twente, 25-1-2019.

De score op ‘detect’ is laag, beneden 1. Dit houdt in dat er maatregelen dienen te worden genomen om de gemeente te beschermen tegen een aanval. Binnen Hof van Twente zijn volgens de accountant, begin 2019, niet afdoende maatregelen getroffen om mogelijke incidenten tijdig te detecteren. Toegangsbeveiliging

Tot slot besteedt de ML aandacht aan aandachtpunten voor een logische toegangsbeveiliging. Het wachtwoordenbeleid is als groen aangegeven. Het autorisatiebeheer is nagenoeg geheel rood (van de 9 items is er één groen en acht items zijn rood).

Januari 2019 auditcommissie

Het college kondigde aan met de bevindingen en de aanbevelingen van de accountant aan de slag te gaan. De auditcommissie had er vertrouwen in dat dit werd opgepakt en heeft niet meer gevraagd naar de realisatie van de maatregelen.

Accountantsverslag 2018

In het accountantsverslag behorend bij de jaarrekening 2018, gedateerd op 29 mei 2019, staat bij de bevindingen interne beheersing een passage opgenomen over automatisering. De accountant meldt dat IT een steeds belangrijker onderdeel van de bedrijfsvoering wordt en daarmee ook van de jaarrekening-controle. De accountant meldt dat uit hun IT-audit naar voren komt dat op het gebied van automatisering verbeteringen mogelijk zijn. De accountant adviseert het college hier prioriteit aan te geven.

Raadsvergadering

Op 18 juni 2019 bespreekt de raad de jaarrekening 2018. Over ICT is een passage genoemd: ‘De gemeente heeft goed aandacht voor ICT, belangrijk voor de toekomst’. Een ander raadslid refereert aan de management letter, namelijk dat er geen Attack- en Pentest is uitgevoerd en er geen autorisatiebeheer wordt uitgevoerd. Een raadslid benadrukt de aandacht voor ICT. 36

20220530 HvT Vragen 2019

Op 28 mei 2019 zijn tijdens het Vragenhalfuur vragen gesteld over gegevensuitwisseling in relatie tot datasamenwerking binnen het kader van de AVG op het niveau van WMO en Jeugdzorg. Hierop heeft het college de raad geïnformeerd.

Management Letter 2019

Het valt op dat de Management Letter 2019 een andere systematiek kent dat in 2018 en in 2017. Op die wijze is het lastig na te gaan in hoeverre de aandachtspunten van de accountant zijn opgevolgd. Wel is het autorisatiebeheer van grotendeels rood naar oranje gegaan, wat een adviespunt inhoudt waarop aanscherping mogelijk is. Verder meldt de accountant dat het IT-beleidsplan verouderd is. Jaarlijks wordt er wel een informatie- en beveiligingsplan opgesteld. Ten aanzien van de beheersingsmaatregelen op IT zijn er verbeteringen mogelijk en wordt een periodieke controle op het wachtwoordenbeleid geadviseerd. In 2019 heeft de gemeente geen Attack en Pentest gehouden, terwijl dat wel op de agenda stond. In de Management Letter 2019 staat: "alleen door een aanbesteding heeft u de test niet kunnen laten uitvoeren, aangezien de door u gekozen partij niet voorkomt in de leverancierskeuze volgens de VNG" 11. In 2018 besteedt de accountant aandacht aan 'cyber health' en geeft de gemeente Hof van Twente een cijfer op een vijftal indicatoren (zie hoofdstuk 7). Dat komt niet voor in de Management Letter 2019.

Rib 17-3-2020

Op 17 maart 2020 ontvangt de raad de raadsinformatiebrief (rib) ‘Zelfevaluatie informatiebeveiliging 2019’ van de portefeuillehouder. Daarin is de stand van zaken over informatiebeveiliging in het jaar 2019 opgenomen.

Twee raadsbijeenkomsten

Van de twee raadsbijeenkomsten over (informatie)veiligheid en de AVG in 2016 en 2018 is alleen de agenda beschikbaar, een weergave via schrift of via beeld en geluid is niet beschikbaar. Dit hangt samen met de verdwenen informatie door de hack.

9.2

1 december 2020 en de periode daarna

Hack 1 december 2020

Op de ochtend van 1 december 2020 wordt de hackpoging duidelijk.

Sommige raadsleden kunnen niet meer bij hun mail komen, anderen merken op dat moment nog niets. De burgemeester informeert de raadsleden persoonlijk. Vanaf dat moment praat de burgemeester iedere twee weken de raad en fractievoorzitters bij. In het begin veelal via besloten bijeenkomsten, omdat veel nog onduidelijk is en er een forensisch onderzoek naar de hack gaat lopen c.q. loopt. Op dat moment is informatie voornamelijk vertrouwelijk en niet openbaar. 24 maart 2021

Op 24 maart 2021 spreekt de raad in een spoeddebat voor het eerst in het openbaar over de cyberaanval van 1 december 2020. Het spoeddebat is

11 Management Letter 2019, pagina 22. In het schema Beveiliging onder het aandachtspunt’ monitoring’.

37

20220530 HvT door raadsleden aangevraagd. Dit naar aanleiding van het Rapport van Bevindingen van 9 maart 2021, de evaluaties en andere documenten die onder geheimhouding aan de raad zijn verstrekt. Resultaat van de bespreking is het voornemen dat er een extra onderzoek komt, de vorm moet nog nader worden bepaald. Vanaf maart 2021

De evaluaties over de hack en de gevolgen dateren van begin maart 2020. In maart 2021 en de maanden daaropvolgend zijn de rapporten aan de raad toegelicht en met hen besproken. Toen is onderkend dat de raad op informatiebeveiliging beter in positie dient te worden gebracht. Hieronder volgt een overzicht.

Motie financiën

Op 13 april 2021 komen de gevolgen van de hack in de openbare reguliere agenda van de raad aan bod. Er wordt een motie over de financiële gevolgen van de hack ingediend. Gevraagd wordt om voor eind april 2021 inzicht te krijgen in de financiële gevolgen van de hack en een eventuele begrotingswijziging. De indieners baseren zich op het budgetrecht van de raad (artikel 189 Gemeentewet). De raad dient eerst te beslissen over het budget en het college kan daarna tot uitvoering overgaan. Op 14 april 2021 bespreekt de raad de motie. De wethouder zegt toe dat er in april 2021 een financieel overzicht komt, hetgeen al is toegezegd in het seniorenconvent in februari 2021. De drie indienende fracties trekken de motie in. Op 11 mei 2021 zal de raad hierover verder spreken.

11 mei 2021

In de raadsvergadering van 11 mei 2021 spreekt de raad meningsvormend over het ICT Verbeterplan, de verantwoording over de hack en de financiële gevolgen van de hack. Door raadsleden wordt het college in overweging gegeven voor een wisseling van portefeuilles, tussen burgemeester en wethouders. Het college geeft aan dit te bezien na de gemeenteraadsverkiezingen van 2022.

Bespreking 1 juni 2021

Op 1 juni 2021 spreekt de raad, besluitvormend, over de ICT-situatie (financiën, verbeterplan en verantwoording). In deze bijeenkomst wordt de begroting cyberaanval met dekkingsvoorstel door de raad vastgesteld 12, wordt kennisgenomen van de ‘Bestuurlijke verantwoording behorend bij het Rapport van bevindingen’ en heeft de raad het ICT Verbeterplan

12

In de raadsvergadering van 1 juni 2021 bespreekt de raad de gevolgen van de cyberaanval en neemt hieromtrent besluiten. De vergaderstukken zijn bijgevoegd en te raadplegen op de site van de gemeente bij de agenda. Het raadsvoorstel noemt 3 bijlagen. Bijlage 1 is de begroting cyber aanval behorende bij raadsvoorstel 20 april 2021. In de openbare agenda van de raad van 20 april staat niets geagendeerd over de ICT of een begroting over de cyberaanval, er is geen enkel document bij de agenda van 20 april gevoegd. Wel is te lezen dat de motie over de financiële gevolgen hack is ingetrokken. In de besluitenlijst van 20 april 2021 staat opgenomen: ‘wethouder zegt toe dat we hier 11 mei over gaan debatteren’. Op 11 mei 2021 staat onder agendapunt 8 (meningsvormend) de ICT-situatie (financiën, verbeterplan en verantwoording), maar de stukken ontbreken op de website. Aan de hand van de mondelinge verhandeling en in de verschillende vergaderingen blijkt niet dat voornoemde stukken vertrouwelijk zijn. Wel staat op de agenda van 1 juni 2021 een begroting cyberaanval behorende bij raadsvoorstel 20 april 2021. Het Verbeterplan wordt vastgesteld door de raad op 1 juni 2021. Het Verbeterplan ontbreekt bij de te raadplegen stukken op de site bij de gemeenteraad (bijlage 2 bij raadsvoorstel 1 juni 2021).

38

20220530 HvT vastgesteld. Deze besluiten zijn genomen naar aanleiding van de evaluaties over de cyberaanval. Motie rkc-onderzoek

In een motie van 1 juni 2021 heeft de gemeenteraad Hof van Twente de motie aangenomen om de rekenkamercommissie te verzoeken "(E)en onderzoek in te stellen naar de uitvoering van het informatieveiligheidsbeleid zowel intern als de samenwerking met leveranciers in relatie met de cyberaanval". De motie wordt unaniem aangenomen. Ook dienen drie fracties in de raadsvergadering van 1 juni 2021 een motie van afkeuring in als reactie op de hack en het proces daarna. De motie wordt verworpen met 19 stemmen tegen en 5 stemmen voor (1 raadslid was afwezig bij de stemming).

Openbare vergaderingen

In de periode maart 2021 tot en met juni 2021 heeft de raad vier keer in het openbaar vergaderd over de hack en de gevolgen ervan. In juni 2021 behandelt de raad het jaarverslag 2020 'light'. In het jaarverslag zijn de onderwerpen tekstueel toegelicht, zonder financiële gegevens.

Log4J, december 2021,

De ervaring van respondenten is dat de raad alerter op dit dossier is geworden, maar na de zomer van 2021 wordt het stil. Totdat in december 2021 het volgende ICT-incident voor wereldwijde reuring zorgt, namelijk de Log4J-kwetsbaarheid. Hof van Twente besluit om de site offline te halen en de digitale dienstverlening on hold te zetten. Hierover is via WhatsApp contact tussen college en raadsleden. Over Log4J zijn geen vragen vanuit de raad gekomen, terwijl de gemeente besloot de gemeentelijke dienstverlening enige dagen offline te halen. Met uitzondering van het contact via WhatsApp was er geen communicatie tussen bestuur en raad.

ICT-auditcommissie

Eind 2021 is er een raadswerkgroep ICT ingesteld, de ICT-auditcommissie. Daarin komt informatieveiligheid aan de orde. Dit overleg bestaat uit 15 personen met onder andere vertegenwoordigers van de raadsfracties, CISO, TISO, burgemeester, controller, gemeentesecretaris, griffier en plaatsvervangend griffier en ook de secretaris rkc. Volgens een aantal respondenten kwam het initiatief tot de ICT-auditcommissie vanuit de driehoek burgemeester-secretaris-griffier. Anderen menen dat dit initiatief vanuit de raad kwam, naar aanleiding van een motie uit de raad na een raadsdebat. De ICT-auditcommissie is gestart op 8 december 2021 met een 2e overleg eind januari 2022. Zoals gemeld is de raad meer betrokken op het onderwerp informatiebeveiliging dan voor 1 december 2020. Dat is begrijpelijk na de heftige gebeurtenis. De raad is zich veel meer bewust geworden van de risico's op informatieveiligheid. De verwachting bij respondenten is dat dit onderwerp op de agenda blijft. Aangegeven wordt dat de raad ook nauwer betrokken wenst te worden. Drie fracties zijn echter afwezig bij de ICT-auditcommissie van december 2021. Dat zijn de fracties die in juni 2021 een motie van afkeuring hebben ingediend. Als reden komt uit de interviews onder andere naar voren dat drie maanden voor de verkiezing van een nieuwe raad geen

39

20220530 HvT goed moment is om een dergelijk overleg te starten. De kans is groot dat er na maart 2022 nieuwe raadsleden zitting hebben in de raad en dit onderwerp in portefeuille krijgen. Jaarrekening 2020 en 2021

9.3

In het najaar van 2022 komt naar verwachting de jaarrekening met accountantscontrole over de kalenderjaren 2020 en 2021. Bij het schrijven van dit rapport is onduidelijk in hoeverre de accountant een kwalificatie zal geven over de financiële verslaglegging over de kalenderjaren 2021 en 2022 of over de stand van informatiebeveiliging.

Kaderstellende en controlerende rol met een reflectie door raadsleden

Kaderstellende rol raad

In het ICT-beleid is afgesproken dat de raad vooral een controlerende rol heeft. Tot de hack in 2020 heeft de raad geen expliciete kaderstellende rol gepakt, omdat het bedrijfsvoering betrof dat voornamelijk wordt gezien als een aangelegenheid van het college. Wel heeft de raad het budgetrecht, en in die zin heeft de raad twee keer extra middelen ter beschikking gesteld (1x structureel en 1x incidenteel.) In de periode tot 1 december 2020 heeft de raad vragen gesteld, maar deze zijn niet vanuit de specifieke kaderstellende rol aan de orde geweest. Het college had het initiatief en was leidend op informatiebeveiliging en privacy.

Controlerende rol raad

In de periode 2016 -2020 is de raad geïnformeerd over informatiebeveiliging en privacy via de reguliere verantwoordingcyclus en zijn er geen specifieke vragen gesteld anders dan hierboven is beschreven. De raad ontvangt jaarlijks ENSIA-verantwoording in een raadsbrief. Die heeft de raad meestal voor kennisgeving aangenomen. In de interviews komt naar voren dat de indruk bestaat dat de techniek van ICT ver van de raad afstaat. De verschillende fracties hebben wel woordvoerders die affiniteit met en kennis over het onderwerp hebben. Er ontstaat soms een discussie, maar niet diepgaand over de risico's op informatiebeveiliging.

Extra budget ICT

Uit de interviews komt het beeld dat de gemeente Hof van Twente, zeker voor de hack, een zuinige gemeente was. Over het algemeen deed het college voorstellen aan de raad en die werden, wat betreft bedrijfsvoering, door de raad meestal goedgekeurd. Zo ook op het gebied van ICT. Zoals eerder geconstateerd heeft de raad in 2017 en 2019 nog extra budget beschikbaar gesteld om investeringen te doen in ICT, waaronder informatiebeveiliging. In 2017 waren dat structurele middelen voor de periode 2018 en daarna, in 2019 incidentele middelen vanaf 2020. Beide keren is de raad gemeld dat de investeringen voor een gemeente als Hof van Twente onder de benchmark van vergelijkbare gemeenten zat. Uit de interviews blijkt dat de raad er niet op gewezen is dat mogelijke onder financiering gevolgen zou kunnen hebben voor de informatieveiligheid van de gemeente. Het is een niet te beantwoorden 'als-dan'-vraag of de aanval met de ransomware zou zijn voorkomen als de raad akkoord was gegaan met meer en structurelere

40

20220530 HvT middelen. Er ligt in ieder geval geen directe relatie tussen een niet uitgevoerde investering en de geslaagde hack van 1 december 2020. Impact na de hack

Net als het college en de ambtelijke organisatie was de raad ontredderd, zo bestaat het beeld bij de respondenten. College en ambtenaren moesten snel overgaan naar de doe-modus. De raad wilde meer betrokken worden en de raad moest daarop ook worden gevoed. Volgens de geïnterviewden uit de organisatie heeft de raad na 1 december 2020 de goede vragen gesteld. Het seniorenconvent was actief en werd geregeld door burgemeester/college bijgepraat over de ontwikkelingen rond de hack. Ook werd de raad bijgepraat via besloten raadsbijeenkomsten/vergaderingen.

Bestuur/organisatie

Na de hack heeft het college en de organisatie de raad ervaren als het bestuurlijk gremium dat volwassen heeft gereageerd op het incident. Kritisch richting het college en de ambtenaren, zonder wijzende vinger. De eerste weken na 1 december 2020 is de raad met grote regelmaat geïnformeerd en de ervaring is dat de raad constructief was richting bestuur en de ambtelijke organisatie.

Politieke dimensie

Vanaf maart 2021, toen de eerste onderzoeken gereedkwamen, moest verantwoording worden afgelegd. Toen kwam er een politieke dimensie bij. De raad leek te schrikken van wat er mis was gegaan. De kwesties die speelden waren: waar ligt schuld, bij de gemeente of bij de leverancier? Gaat de gemeente losgeld betalen en het risico lopen om afhankelijk te worden van criminelen? Het college was van meet af aan van plan geen losgeld te betalen om niet afhankelijk te worden van een kwaadwillende. Mede omdat de integriteit van eventueel teruggekochte data niet gegarandeerd zou zijn. Het college besloot het hele systeem opnieuw op te zetten en dat kost veel geld.

Perspectief raad

Raadsleden zijn wisselend hoe zij de communicatie in de periode na de hack hebben ervaren. Het ene raadslid vindt dat gezien de crisis er goed is gecommuniceerd door betrokkenen. Anderen vinden dat de communicatie van college en organisatie tekort is geschoten. Veel mocht niet verteld worden, omdat er juridische claims liepen (en lopen). Een deel van de raad is van mening dat de communicatie erg defensief was. Aangegeven wordt dat de schuld door het college werd gezocht bij ambtenaren, terwijl bestuur en directie zelf buiten schot bleven, zo leek het. In nagenoeg alle gesprekken die in het kader van dit onderzoek zijn gehouden met raadsleden komt de passage van de burgemeester terug: "het had iedereen kunnen overkomen". Enkele fracties namen dat de burgemeester kwalijk. Na navraag geven zij aan, dat de uitspraak de indruk wekte dat er geen verantwoordelijkheid door college en organisatie werd genomen. In meerdere gesprekken is naar voren gekomen dat het (te) lang heeft geduurd voordat de burgmeester excuses heeft aangeboden voor de gang van zaken en bestuurlijke verantwoordelijkheid nam. Dit gebeurde na druk vanuit een (deel van) de raad.

41

20220530 HvT Financiën na de hack

Bijzondere aandacht is gevraagd door sommige raadsleden in de interviews voor de financiële component na de hack. De raad is pas in maart/april 2021 door het college in de openbaarheid betrokken bij de financiële consequenties van de hack. Meerdere raadsleden brachten in de interviews naar voren dat onmiddellijk na de hack het college op eigen gezag verplichtingen is aangegaan om onderzoek te doen naar de hack en de dienstverlening aan inwoners en bedrijven weer op te bouwen. Het college heeft hierbij geput uit het budget dat beschikbaar was voor informatiebeveiliging. De raad is hierover niet geïnformeerd, ook de auditcommissie is hierbij niet betrokken geweest. De raad had het, achteraf gezien, op prijs gesteld dat zij hierover tijdig in de openbaarheid waren geïnformeerd door het college, niet pas in maart/april 2021.

Reflectie raad

In de interviews komt naar voren dat raadsleden reflecteren op hun eigen rol voor en na de ransomware aanval. Ze vragen zich af of ze niet, achteraf gezien, meer en kritischere vragen hadden moeten stellen over informatieveiligheid. Zij hadden de indruk dat op dit gebied alles op orde was. Verder kwam naar voren dat de raad informatiebeveiliging een lastig en vooral technisch onderwerp vindt. Lastig om te controleren, omdat raadsleden over het algemeen niet over de benodigde kennis beschikken zich een oordeel te vormen over de technische inhoud.

Rol griffie

Uit de interviews met raadsleden blijkt dat de griffie geen actieve rol heeft gespeeld in het dossier van informatiebeveiliging. De burgemeester, ook portefeuillehouder, onderhield de contacten met de raad en fractievoorzitters. De griffie werkt voornamelijk ‘op verzoek van raadsleden’. In de communicatie na de hack heeft de griffie richting de raad geen rol van betekenis vervuld. In dit onderzoek zijn de raadsbijeenkomsten beluisterd en de documenten voor zover opgenomen in de raadagenda bestudeerd. Het valt op dat er documenten ontbreken zoals bijlage bij het raadsvoorstel op 1 juni 2021, het door de raad vastgestelde Verbeterplan. Ook de door de raad in het najaar van 2021 vastgestelde visie op I&A is niet te vinden bij de agenda op de site van de raad. De raadsvergadering (waarin kennelijk informatie is gegeven over de kwetsbaarheid over Log4J) van 14 december 2021 is digitaal beschikbaar, maar stopt na 12 minuten en begint opnieuw.

42

20220530 HvT

10 Opvolging lessen geleerd uit de hack Onderzoeksvraag 7

In dit hoofdstuk geven we antwoord op vraag 7: Welke lessen komen voort uit de twee onderzoeken die maart 2021 verschenen in opdracht van het college? Wat is met deze lessen gebeurd?

Evaluaties

In maart 2021 zijn 3 onderzoeken/evaluaties/rapportages verschenen die de hack van 1 december 2021 analyseren en conclusies en aanbevelingen formuleren. De onderzoeken zijn: - NFIR Onderzoek Incident response & Digitaal forensisch onderzoek van 8 maart 2021. Een technische analyse wat vooraf is gegaan aan de hack, inclusief een tijdlijn, de activiteiten van de gemeente na ontdekking van het incident op 1 december 2020 en een analyse hoe het zo ver heeft kunnen komen met conclusies en aanbevelingen. - Duidingsrapportage door Brenno de Winter, ‘Te goed van vertrouwen’ van 8 maart 2021. Een duiding van het NFIR-rapport en een analyse van het proces dat de gemeente na de hack heeft doorgemaakt. - Rapport van bevindingen Hof van Twente ICT-situatie 9 maart 2021, door het College van de gemeente Hof van Twente. Deze bijdrage gaat vooral in hoe de gemeente in control leek te zijn tot 1 december 2021, hoe informatiebeveiliging en ICT waren georganiseerd, de communicatie naar alle betrokkenen over het incident: gemeenteraad, leveranciers en inwoners en bedrijven, een reflectie op het gebeuren en tot slot hoe de dienstverlening na het incident vorm heeft gekregen.

Aanbevelingen

Met de aanbevelingen is de organisatie aan de slag gegaan. Uit de verschillende rapporten heeft de organisatie 35 aanbevelingen geformuleerd en deze samengevat in 18 actiepunten.

Verbeterplan

Deze 18 actiepunten vormen het Verbeterplan van het programma de Nieuwe Werkelijkheid. Op 1 juni 2021 heeft de gemeenteraad dit Verbeterplan vastgesteld. De actiepunten uit het Verbeterplan zijn naar verwachting medio 2022 uitgevoerd, sommigen daarvan worden structureel in de organisatie ingebed. De gemeenteraad wordt via de ICTauditcommissie geïnformeerd over de vorderingen. Dat is voor het laatst in februari 2022 gebeurd.

De 18 actiepunten

De 18 actiepunten heeft de gemeente als volgt geformuleerd, waarbij DNW voor De Nieuwe Werkelijkheid staat. Per actiepunt is een verantwoordelijke benoemd, meestal een MT-lid. De gemeentesecretaris is overall verantwoordelijk, dit laatste was soms de vraag bij respondenten, zij vroegen zich af wie een integraal zicht heeft op de 18 actiepunten, waarop soms ook een overlap te constateren valt.

43

20220530 HvT Tabel 2. 18 actiepunten, wie verantwoordelijk is en de planning. Versie februari 2022. Actiepunt

Titel actiepunt

Verantwoordelijk

Planning gereed

1

Back up 3-2-1

Programma DNW

Gereed in december 2021

2

Wachtwoordenbeleid

Project DNW

Niet bepaald

3

IT-securitybeleid

Project DNW

4

Netwerksegmentatie

Project DNW

5

Actieve monitoring

Project DNW

6

Organisatie I&A

Gemeentesecretaris

Gereed in december 2021 Gereed december 2021 Externe partij: NFIR monitort, komt in dashboard, dashboard is in ontwikkeling Plan vastgesteld door de raad in september 2021, reorganisatie I&A planning in 2022 13

13

Na 1e kwartaal 2022 gereed 1e helft 2022 incidentenplan gereed Oefenen na de oplevering DNW, medio 2022 In uitvoering, zie ook actiepunt 5 NFIR monitort als externe partij Na oplevering DNW, eind 2022

7

Stuurinformatie

CISO/ hoofd concernstaf

8

Incidentenplan en oefenen

CISO/ hoofd concernstaf

9

Security audits en pentests

CISO/ hoofd concernstaf

10

Informatieveiligheidsbeleid

CISO/ hoofd concernstaf

1e helft 2022

11

Contract & Leveranciersmanagement

Manager Leefomgeving

1e helft 2022 project met studenten van Saxion Hogeschool

12

Rollen, verantwoordelijkheden en taken I&A

Manager Bedrijfsvoering

2e helft 2022

13

Bewustwording, kennis en professionaliteit

Manager Sociaal Domein

14

Training en kunde

CISO

15

Bevragen beveiliging en organiseren tegenspraak

Gemeentesecretaris

Plan: gereed eind 2021 Uitvoering is gestart in eerste kwartaal van 2022 Projectplan digitale transformatie, gereed eind 2021 Na reorganisatie I&A medio 2022 Stuurgroep ICT; onafhankelijke deskundige toegevoegd aan de stuurgroep (is gebeurd)

Deze gegevens komen uit de interviews. We hebben de besluitvorming en het plan niet op de site van de gemeente aangetroffen.

44

20220530 HvT

16

Bestuurlijke expertise ontwikkelen

Burgemeester, gemeentesecretaris en griffier

17

Project DNW en visievorming

Niet bepaald

18

Externe communicatie en lessons learned

Niet bepaald

Opvolging aanbevelingen

14

De 1e raads-auditcie is gestart op 8 december 2021 2e bijeenkomst ICT raads-auditcie is geweest in februari 2022, dit Verbeterplan besproken Medio 2022 afgerond, na reorganisatie I&A In 2021 24 bijdragen geleverd, afgerond

De gemeente is voortvarend aan de slag gegaan met de actiepunten en maakt regelmatig rapportages om de voortgang van deze punten te bewaken. Hierna volgt het overzicht van de stand zaken in januari 2022 14. Zoals gemeld zijn volgens planning de 18 actiepunten medio 2022 uitgevoerd en eindigt het Programma Verbeterplan. Een aantal actiepunten zal daarna structureel worden opgepakt en geborgd in de organisatie. De lijn moet dan de operationele uitvoering van informatiebeveiliging overnemen.

De gemeente Hof van Twente heeft 18 (actie) punten geformuleerd na de hack. Regelmatig maakt de gemeente een overzicht hoe de 18 punten worden opgepakt en geïmplementeerd. De laatste versie van de verbeterrapportage stand van zaken dateert van januari 2022 en neemt dit onderzoek als uitgangspunt om te bepalen in hoeverre de gemeente de aanbevelingen heeft uitgevoerd en wat de stand van zaken is.

45

20220530 HvT Tabel 3. 18 actiepunten, een overzicht van wat is uitgevoerd (groen) en wat nog in uitvoering is (oranje). Versie februari 2022. 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18

Back-up 3-2-1 Wachtwoordbeleid IT-securitybeleid Netwerksegmentatie Actieve monitoring Organisatie I&A Stuurinformatie Incidentenplan & oefenen Security audits/ pentests Informatieveiligheidsbeleid Contract- en leveranciersmanagement Rollen, verantwoordelijkheden en taken I&A Bewustwording, kennis en professionaliteit Kennis en kunde Bevragen op beveiliging/ tegenspraak Bestuurlijk expertise ontwikkelen Project De Nieuwe Werkelijkheid/ incl. visie Externe Communicatie & Lessons Learned

De meest essentiële activiteiten die direct verband houden met het incident van 1 december 2020 zijn gerealiseerd, zoals het back-up- en wachtwoordbeleid, de netwerksegmentatie en de actieve monitoring. De externe communicatie en lessons learned zijn ook gerealiseerd. De andere actiepunten hebben een wat langere adem nodig, zoals de bewustwording, kennis en kunde.

46

20220530 HvT

11 Informatiebeveiliging huidige beleid Onderzoeksvraag 8

In dit hoofdstuk geven we antwoord op vraag 8: Hoe heeft het informatiebeleid vorm gekregen na 1 december 2020?

Opnieuw ontwikkeld

Sinds de hack op 1 december 2020 is vanaf de basis het ICT-systeem opnieuw opgebouwd. De essentiële dienstverlening van de gemeente is binnen een week operationeel geworden. In de periode daarna is langzamerhand de dienstverlening gekomen tot op een niveau dat inwoners en bedrijven op de gebruikelijke wijze een beroep konden doen op de gemeente.

Informatiebeveiligingsbeleid

Zoals uit tabel 3 (zie hoofdstuk 10) blijkt is er nog geen nieuw informatiebeveiligingsbeleid geformuleerd. Het vigerende is het Informatiebeveiligingsbeleid 2020-2022. De intentie is in de 1e helft van 2022 nieuw beleid te formuleren. Een van de punten die heroverwogen worden is voor de CISO een eigen budget voor activiteiten op informatiebeveiliging te bestemmen.

IT-securitybeleid

De gemeente had geen expliciet IT-securitybeleid. Op advies van het NFIR ontwikkelt de gemeente nu het securitybeleid en heeft het voornemen om dit expliciet vast te leggen. Dat is nog niet gerealiseerd, zie ook tabel 3.

I&A-visie

Een nieuwe I&A-visie is in 2021 vastgesteld. Deze gaat uit van een regiebureau I&A die direct onder de gemeentesecretaris is gepositioneerd. Daar gaat het cluster I&A van bedrijfsvoering naar toe. Plan is om daarnaast een aantal informatiemanagers aan te stellen om de regiefunctie van de gemeente op dit terrein te versterken. Ten tijde van het onderzoek werd een regiemanager als kwartiermaker voor het proces geworven. Deze zou het plan verder moeten gaan uitwerken.

Beleid in progress

Ten aanzien van de volgende onderdelen is er beleid in ontwikkeling, waarbij vermeld zij dat veelal de uitgangspunten door de gemeente eerder waren geformuleerd: audits en pentesten, oefeningen (fysiek en digitaal), sturingsinformatie, monitoring en contract- en leveranciersbeleid.

Nu en in de toekomst

De contouren van de nieuwe situatie op informatieveiligheid van de gemeente Hof van Twente beginnen zichtbaar te worden, er is de afgelopen anderhalf jaar hard gewerkt. Contouren waarin de lessen zijn opgenomen die de gemeente in 2020 en daarna heeft getrokken. Er zijn evenwel nog fundamentele vraagstukken die het gemeentebestuur zal moeten adresseren zoals bijvoorbeeld de inrichting van de organisatie, monitoring op een structurele wijze van de ICT-processen en met name de werking van processen evalueren. Zo is er bijvoorbeeld tot op heden nog geen pentest uitgevoerd.

47

20220530 HvT De gemeente Hof van Twente heeft een turbulente periode achter de rug en is daarvan grotendeels hersteld, maar nog niet helemaal. De ontwikkeling vanaf 1 december 2020 is dat van incident naar crisisorganisatie en uiteindelijk projectorganisatie. Management en medewerkers hebben hard gewerkt om de dienstverlening weer op gang te brengen. Informatiebeveiliging, en alle maatregelen daarop, behoorde bij het crisismanagement en de projectorganisatie. Dat zal ook weer in reguliere lijnorganisatie moeten gaan landen, waarbij de lijn weer eindverantwoordelijk wordt voor informatieveiligheid, zoals bedoeld in het informatiebeveiligingsbeleid. In de crisis- en projectfase is noodzakelijkerwijs gebruik gemaakt van ingehuurde kennis en expertise. De kosten voor de wederopbouw van de systemen zijn bekend, namelijk €3,9 miljoen. Dat is nog niet alles. Externen ondersteunen Hof van Twente 24/7 onder andere met cloudservices en monitoringapplicaties. Deze brengen hoge kosten met zich mee en de vraag is hoe lang de gemeente dat bestedingsniveau op ICT en informatiebeveiliging kan volhouden. Het in eigen huis organiseren van kennis en capaciteit op ICT en informatieveiligheid, met bedreigingen die 24/7 doorgaan, is eveneens kostbaar. Op de huidige overspannen arbeidsmarkt is expertise daarop moeizaam en duur te verwerven. Dat vraagt innovatieve oplossingen.

48

20220530 HvT

Bijlage 1. In informatiebeveiliging en privacy veel voorkomende termen en afkortingen 2FA 2-staps-verificatie Active Directory (AD) AP Applicatie Attack en Pentest AVG (GDPR)

BAG BIG

BIO BRP Brute force attack

CISO Cloud

DPIA (ook PIA)

ENSIA

FG Firewall GAP GAP-analyse GDPR GBA IBD ICT ISMS

Twee factor authenticatie, zo wordt op 2 verschillende manieren gecheckt of degene die inlogt degene is die hij/zij aangeeft te zijn zie 2FA De Active Directory is een database waarin onder andere accounts en inloggegevens zijn opgenomen Autoriteit Persoonsgegevens Softwareprogramma, zoals de BAG, BRP, SUWInet enz. Zie pentest Algemene Verordening Gegevensbescherming, Europese regelgeving die de privacyregels in de Europese lidstaten harmoniseert (GDPR = General Data Protection Regulation) Basisregistratie Adressen en Gebouwen, applicatie met onder andere gegevens over adressen en gebouwen in de gemeente Baseline Informatiebeveiliging Gemeenten, maatregelen voor de informatiebeveiliging bij gemeenten, in 2013 als standaard afgesproken in VNG-verband Baseline Informatiebeveiliging Overheid, verwachting is dat hier de BIR en BIG in zullen opgaan vanaf 2020 Basisregistratie Personen, applicatie met persoonsgegevens van de inwoners Een brute-force attack is een digitale aanval waarbij de aanvaller systematisch wachtwoorden en encryptiesleutels uitprobeert totdat er één blijkt te werken Chief Information Security Officer De cloud staat voor een netwerk van computers die een soort 'wolk van computers' vormt, waarbij de eindgebruiker niet weet op hoeveel of welke computer(s) de software draait of waar die computers precies staan Data protection impact assessment, analyse op risico's

in verband met privacy en gegevensbescherming bij verwerkingsprocessen. Onder de AVG verplicht bij gegevensverwerking met waarschijnlijk een hoog privacy risico. Eenduidige Normatiek Single Information Audit, eenmalige informatieverstrekking en eenmalige IT-audit voor de horizontale (richting gemeenteraad als toezichthouder) en verticale verantwoording (richting landelijke toezichthouders) Functionaris gegevensbescherming, verplicht voor overheden. Een firewall is een systeem dat de middelen van een netwerk of computer kan beschermen tegen misbruik van buitenaf. Is de Engelse term voor ‘kloof’. Dat betekent hier het verschil tussen de bestaande situatie en de gewenste situatie Controle of en in welke mate de maatregelen uit de BIO geïmplementeerd zijn General Data Protection Regulation (zie AVG) Gemeentelijke Basisadministratie Informatiebeveiligingsdienst voor gemeenten Informatie- en communicatietechnologie Information securitymanagement system 49

20220530 HvT Log4J

MDR ML P&C-cyclus PDCA Pentest

Phishing mail PIA (ook DPIA)

Privacy by default Privacy by design SIEM/SOC

Verwerkingsregister VNG Realisatie VPN

In Apache Log4j, software die veel gebruikt wordt in webapplicaties en allerlei andere systemen, is december 2021 een kwetsbaarheid aangetroffen waardoor een aanval op IT-systemen mogelijk is Managed Detection Response, daarmee kunnen digitale aanvallen ontdekt worden en tijdig worden gereageerd. Management Letter, interimcontrole door de accountant. Jaarlijks op te maken ter voorbereiding op de controle van de jaarrekening Planning & Control cyclus Plan-Do-Check-Act beleidsleercyclus Een pentest of penetratietest is een toets van een of meer computersystemen op kwetsbaarheden, waarbij deze kwetsbaarheden ook werkelijk gebruikt worden om in deze systemen in te breken. Deze testen worden uitgevoerd door zogenoemde ethische hackers. Vorm van internet oplichting en fraude, door middel van een vals e-mail bericht 'hengelen' naar inlog- of andere persoonsgegevens Privacy impact assessment, analyse op risico's in verband met privacy en gegevensbescherming bij verwerkingsprocessen. Onder de AVG verplicht bij gegevensverwerking met waarschijnlijk een hoog privacy risico. Onderdeel van privacy by design, waarbij de standaardinstellingen zo privacy-vriendelijk mogelijk zijn ingesteld Betekent dat bij het ontwerp van producten en diensten nagedacht wordt over privacy Security Information & Event Management/Security Operations Center.

Applicaties die computerdreigingen, zoals hackpogingen of malware, monitort en in kaart brengt. Register waarin de gemeente bijhoudt welke persoonsgegevens de gemeente en de verwerkers die deze inschakelt verwerkt Kwaliteitsinstituut van de VNG (voorheen KING) Virtueel privé netwerk (versleutelde beveiligde verbinding)

50

20220530 HvT

Bijlage 2. Lijst geraadpleegde stukken en lijst respondenten De geraadpleegde stukken en de geïnterviewde personen zijn hieronder weergegeven. Een aantal stukken is vernietigd door de hackpoging, vandaar dat we niet alles hebben kunnen traceren.

Geraadpleegde stukken -

15

2019_stafmedewerker bedrijfsvoering (CISO) Agenda informerende bijeenkomst raad 20 september 2016 Agenda informerende bijeenkomst raad 30 mei 2018 Algemene Instructies beveiliging Hof van Twente 25-04-2018 Assurance rapport ENSIA 2019 Gemeente Hof van Twente v1.0 Bakertilly, Accountantsverslag 2017 15 Bakertilly, Management Letter 2017 Bakertilly, Accountantsverslag 2018 Bakertilly, Management Letter 2018 Bakertilly, Accountantsverslag 2019 Bakertilly, Controleverklaring 2019 Bakertilly, Management Letter 2019 BBV Collegevoorstel BBV-raadsbrief zelfevaluatie informatieveiligheid 2019 Bedrijfscontinuïteitsplan gemeente Hof van Twente v4 Beleid incidentmanagement 1.1, 11 september 2019 Beleidsplan Informatieveiligheid Privacy 2017 (oud) Besluiten m.b.t. informatieveiligheid Hof van Twente Bijlage Inhuur- en detacheringsovereenkomst Binnenlands Bestuur, Weinig ICT in partijprogramma’s gehackte gemeenten, 16 februari 2022 Collegeprogramma 2018-2022 ‘Samen doen!’ Collegeverklaring-ENSIA-2019-inzake informatiebeveiliging DigiD en Suwinet HvT AtA Collegevoorstel, zelfevaluatie informatieveiligheid 2019 van 10 maart 2020 Contactoverzicht informatiebeveiligingsaangelegenheden Handboek Informatiebeveiliging 2017 Integriteitbeleid versie 2011 Jaarverslag 2020 light ‘Kiezen voor de toekomst’, behandeld in de raad van juni 2021. Overdracht van Crisisorganisatie naar Projectorganisatie

Voor dit onderzoek heeft de rekenkamercommissie (rkc) informatie opgevraagd die noodzakelijk was voor dit rkconderzoek over informatiebeveiliging. Op grond van art 81 oa Gemeentewet kan de rkc documenten van de betreffende gemeente onderzoeken voor zover opgenomen in de verordening. Niet alle onderzochte documenten kan de rkc openbaar maken. Voor dit onderzoek heeft de rkc onder andere de Management Letter 2018 die door de accountant opgemaakt opgevraagd. Dit document is op 25 januari 2019 aan het college aangeboden. In dit document staat niet vermeld dat dit een vertrouwelijk document is of dat er enige restrictie is opgelegd over de vorm van openbaarmaking dan wel dat de accountant op enigerlei wijze toestemming dient te verlenen voor enige vorm van openbaarmaking uit de Management Letter. Met deze grondslag heeft de rkc voor dit onderzoek en de bijbehorende rapportage passages opgenomen uit de Management Letter.

51

20220530 HvT -

Procedure afvoer ICT-middelen Procedure mobiele gegevensdragers Programma Informatieveiligheid en Privacy 2020 Raadsbrief 17 maart 2020 door portefeuillehouder (Burgemeester). Over ENSIA aan te passen en als uitgangspunt te nemen BIO Rapportage pentest juni 2020 Routekaart Actiepunten uit verbeterplan Strategisch informatieveiligheidsbeleid 2020-2022 Taakbeschrijving Stafmedewerker bedrijfsvoering (Ciso), datum niet vermeld in document Toegangsbeveiliging 2020 Verbeterplan Suwinet en Digid, 30 maart 2021 Verbeterplan Hack stand van zaken, versie januari 2022 Verbeterrapportage hack stand van zaken, versie februari 2022 Verslag ICT-auditcommissie 8 december 2021 Visie regievoering I&A, 2022-2026 Wachtwoordenbeleid, passwords

-

Evaluaties -

‘Te goed van vertrouwen’, Brenno de Winter, 8 maart 2021 Rapportage zonder veiligheidsgevoelige informatie, Incident response & Digitaal forensisch onderzoek, NFIR, 8 maart 2021 Rapport van Bevindingen, ICT-situatie, gemeente Hof van Twente, 9 maart 2021 Lessen uit de hack bij Hof van Twente, IBD

-

Andere bronnen -

Interview Klein Tank aan RPO Journaal VNG, 1 april 2021 (online te bekijken VNG.nl) Interview Rob Mellegers, TISO, Binnenlands Bestuur Weergave verschillende raadsvergaderingen periode 2019 – 2022 met bijbehorende documenten

Functies van geïnterviewde respondenten -

Afdelingsmanager Burgemeester CISO (in dienst tot augustus 2021) CISO (in dienst vanaf 15 januari 2022) Controller Gemeentesecretaris Griffier 6 gesprekken met verschillende raadsleden (in totaal zijn 8 raadsleden van alle 7 fracties geïnterviewd) Teamcoördinator

52

20220530 HvT

Bijlage 3. Onderzoeksvragen en normen De onderstaande normen zijn voornamelijk ontleend aan de BIO en de AVG. Mogelijk kunnen de gemeentelijke beleidsplannen aanvullende normen opleveren, waaraan de uitvoering van de informatiebeveiliging getoetst wordt. Onderzoeksvragen

(Concept)Normen

1. Beschikte de gemeente Hof van Twente in de periode 2018-2020 over een adequaat informatiebeveiligingsbeleid?

- Het college stelt het integrale beleid ten aanzien van informatiebeveiliging en privacy vast. - Er vindt sturing plaats op basis van de BIO. - Het informatiebeveiligingsbeleid is opgesteld aan de hand van een GAP-analyse. Jaarlijks wordt op basis van een risicoanalyse het informatiebeveiligingsplan ingevuld. De gemeente neemt maatregelen om risico’s te verlagen. - Op onderdelen van informatiebeveiliging is beleid geformuleerd en zijn richtlijnen opgesteld, zoals gebruik van wachtwoorden, 2 factor authenticatie, mobiele datadragers, autorisaties en monitoring, wijzigingsbeleid enz. - Gegevens zijn goed beschermd tegen ongewenste invloeden van buitenaf. - De maatregelen uit het jaarlijkse informatiebeveiligingsplan worden uitgevoerd. - Het bestuur en medewerkers dragen het beleid ten aanzien van informatiebeveiliging actief uit. - De gemeente heeft procedures om te leren van beveiligingsmeldingen met als doel beheersmaatregelen te verbeteren. - Medewerkers weten wat ze wel en niet mogen/moeten doen met gegevens en herkennen incidenten en rapporteren deze ook daadwerkelijk. - De CISO is gepositioneerd en geëquipeerd om diens taak adequaat uit te voeren. - De teamhoofden Bedrijfsvoering en I&A zijn goed gepositioneerd en geëquipeerd om hun taak adequaat uit te voeren. - Het Information Security Management System (ISMS), indien aanwezig, is gekoppeld aan de PDCA-cyclus.