nr. 77 beantwoording 12-12-21 art. 47 vragen LHH + D66 over beveiliging ICT

Vragen Art. 47 RvO Naam vragensteller(s):

M. Hop (LHH) en B. de Ridder (D66)

Onderwerp:

Beveiliging ICT-omgeving gemeente Landsmeer

Beantwoording:

Schriftelijk / mondeling (doorhalen van niet van toepassing is)

Datum indiening bij griffie:

za 12 december 2020

Nummer aanvraag:

77

Datum verzonden naar college: (beantwoording binnen 30 dagen)

ma 14 december 2020

Vragen

Beveiliging ICT-omgeving Gemeente Landsmeer: In 2020 geldt voor de gehele overheid één uniform normenkader voor informatiebeveiliging, de Baseline Informatiebeveiliging Overheid (BIO). Voorheen hanteerde gemeenten de Baseline Informatiebeveiliging voor Nederlandse Gemeenten (BIG) als normenkader. De BIO is het nieuwe normenkader voor alle overheden. Als bijlage toegevoegd een krantenknipsel uit het Financieel Dagblad over de cyberaanval op de gemeente Hof van Twente. Wij uiten onze bezorgdheid en vandaar uit stellen wij u een aantal vragen. LHH: 1. 2. 3.

4. 5.

Is in de Gemeente Landsmeer als normenkader de BIO ingevoerd? Voldoen wij aan de Algemene verordening Gegevensbescherming (AVG)? Een mogelijkheid voor een cyberaanval kan zijn het niet tijdig wisselen van wachtwoorden en het updaten van systemen. Worden alle systemen in onze gemeente tijdig ge-update naar de laatste versie en wordt hier op toegezien? Worden regelmatig wachtwoord wisselingen verplicht gesteld en wordt hierop toegezien? Heeft de Gemeente Landsmeer een protocol of rampenplan opgesteld met betrekking tot een cyberaanval? In verband met de komende invoering van de Omgevingswet zullen ook de informatiebeveiliging en privacy aangepast moeten worden. Hiervoor geldt nu onder andere het kader BIO. Er zal waarschijnlijk ook veel werkdruk ontstaan door aanpassingen die de Gemeente zelf moet invoeren en de wet-, en regelgeving hieromheen. Is hier al rekening mee gehouden? 6. Bent u op de hoogte van het feit dat de IBD (Informatiebeveiligingsdienst) gemeenten via de VNG ook ondersteuning aanbiedt op het gebied van beveiliging en digitale weerbaarheid? Waarschijnlijk zit een vulnerabillity assesment van het IBD in het dienstverleningspakket. Graag vernemen wij of dit zo is en of u hier dan gebruik van wilt maken.

D66: 1. 2. 3. 4.

Deelt het college onze zorgen? Wat vindt het college in het algemeen van deze en vergelijkbare kwesties? Acht het college het aannemelijk dat zoiets ook Landsmeer kan overkomen? Zo ja: wat gaat u daaraan doen ter voorkoming? Zo nee: waarom niet? Heeft het college een standpunt c.q. beleid wat betreft het al dan niet betalen van “losgeld”? Is er een communicatieplan als een dergelijke situatie zich voordoet? Op welke wijze wordt de raad geïnformeerd?

Antwoord Datum beantwoording: 12-01-2021

Beantwoording vragen LHH 1.

Is in de Gemeente Landsmeer als normenkader de BIO ingevoerd?

Op 3 december 2019 is het Informatiebeveiligingsbeleid 2019-2021 door het college vastgesteld. Hierbij is aangenomen dat de Baseline Informatiebeveiliging Overheid (BIO) de Baseline Informatiebeveiliging Gemeenten (BIG) als normenkader vervangt. De Baseline informatiebeveiliging Overheid (BIO) is een landelijke norm voor overheidsinstellingen, en wordt als normenkader ook gebruikt door de gemeente Landsmeer. De BIO geeft ruimte om op basis van een risicoafweging te gaan werken en dat is volgens de Informatiebeveiligingsdienst (IBD) ook de insteek waarmee kleine gemeenten moeten beginnen. Het gaat om prioriteiten stellen in wat nu gedaan moet worden en wat tot later kan wachten. Het geheel invoeren van de BIO kost veel tijd en de uitvoering bij Landsmeer is nog niet volledig gerealiseerd. Naast technische aanpassingen moeten nog eveneens organisatorische aanpassingen worden uitgevoerd. Jaarlijks vindt er een wettelijk verplichte audit plaats waarin vragen worden gesteld over stand van zaken omtrent informatieveiligheid, de toegankelijkheid van systemen en de opstelling van protocollen en beleid. Deze zgn. ENSIA audit is gebaseerd op de BIO en moet landelijk worden uitgevoerd door alle gemeenten. Het verslag van deze audit wordt jaarlijks aan de raad voorgelegd. In het verslag van de ENSIA audit wordt duidelijk hoe de gemeente Landsmeer ervoor staat. Zie bijlagen:   

“Jaarrapportage Gegevensbescherming gemeente Landsmeer 2019” (b&w d.d. 8 sept. 2020). “Jaarverslag Informatiebeveiliging 2019 pag. 20, paragraaf Nulmeting Informatieveiligheid” (b&w d.d. 8 sept. 2020). “Raadsinformatiebrief Verantwoording informatiebeveiliging en privacy 2019” (2020-58, d.d. 8 sept. 2020).

2. Voldoen wij aan de Algemene verordening Gegevensbescherming (AVG)?

De gemeente Landsmeer volgt sinds de invoering van de AVG in mei 2018 de richtlijnen en pakt de uitvoering ervan voortvarend op. In juli 2019 is het “Privacy Beleidskader 2019” vastgesteld. Om te gaan voldoen is vervolgens het implementatieplan ‘Privacy in Control’ opgesteld en de Functionaris Gegevensbescherming (FG) controleert twee keer per jaar de stand van zaken door samen met de Privacy Officer (PO) een nulmeting en een zelfevaluatie uit te voeren. De FG rapporteert deze vervolgens jaarlijks aan de raad middels het “Jaarverslag Privacy”. Er zijn ook voor dit jaar opnieuw vorderingen gemaakt. De resultaten m.b.t. de AVG zijn verwerkt in bijlage 1 van de “Jaarrapportage gegevensbescherming 2019” en in het ”Jaarverslag Informatiebeveiliging 2019”. Er is bv. een Functionaris Gegevensbescherming (FG) en een Chief Information Security Officer/Privacy Officer (CISO/PO) aangesteld, er is een register van verwerkingsactiviteiten (art. 30 AVG) ingericht en worden verwerkersovereenkomsten verzameld en geregistreerd. Alle verzoeken om inzage hiervan worden (tijdig) afgehandeld. Er wordt een register voor datalekken bijgehouden en er wordt, met prioriteitstelling, beleid en protocollen opgesteld. Zie bijlagen:   

“Jaarrapportage Gegevensbescherming gemeente Landsmeer 2019” (b&w d.d. 8 sept. 2020). “Jaarverslag Informatiebeveiliging 2019” (b&w d.d. 8 sept. 2020). “Raadsinformatiebrief Verantwoording informatiebeveiliging en privacy 2019” (2020-58, d.d. 8 sept. 2020).

3. Een mogelijkheid voor een cyberaanval kan zijn het niet tijdig wisselen van wachtwoorden en het updaten van systemen. Worden alle systemen in onze gemeente tijdig ge-update naar de laatste versie en wordt hier op toegezien? Worden regelmatig wachtwoord wisselingen verplicht gesteld en wordt hierop toegezien?

Ja, alle systemen worden tijdig door cloudienstleverancier KPN Werkplek naar de laatst beschikbare versie geüpdatet en de wachtwoord ‘policy’ wordt geautomatiseerd toegepast. Daarnaast zorgt KPN Werkplek dat er altijd tijdig patches/updates worden doorgevoerd. De procedures hiervoor zijn opgenomen in de Service Level Agreement (SLA) en het maandelijkse Microsoft Patch (ronde) document. Om de kans op een mogelijke cyberaanval verder te verkleinen, zijn en worden er diverse andere technische maatregelen genomen. Denk bijvoorbeeld aan inzet van antivirussoftware, gebruik firewalls, encryptie (versleutelen van gegevens), netwerksegmentatie, tweefactorautorisatie 2FA (dit is een extra beveiligingslaag bij het inloggen), het maken van back-ups (zodat bij een ramp de gegevens/data teruggehaald kunnen worden). 4. Heeft de Gemeente Landsmeer een protocol of rampenplan opgesteld met betrekking tot een cyberaanval?

Nee, de gemeente Landsmeer beschikt niet direct over een protocol of rampenplan m.b.t. een cyberaanval. Er is wel een protocol ‘Beveiligingsincidenten en datalekken’ opgesteld waarin de stappen die genomen moeten worden bij een beveiligingsincident (cyberaanval) beschreven worden. Ook al is dit protocol nog niet vastgesteld, er is wel al volgens dit protocol gewerkt. Een voorbeeld hiervan is het Citrix beveiligingsincident (januari 2020). Veel overheidsorganisaties hebben toen ‘de stekker eruit moeten trekken’ waardoor hun dienstverlening en imago ernstige schade opliep. Bij gemeente Landsmeer waren alle benodigde beveiligingsmaatregelen op tijd getroffen. Dit heeft geresulteerd in het feit dat de gemeente Landsmeer niet ‘de stekker eruit heeft moeten trekken’. In deze crisissituatie is er gewerkt volgens het protocol. E.e.a. hierover is na te lezen in de verslaglegging die door de CISO/PO is opgesteld. Zie ook bijlage “Jaarverslag Informatiebeveiliging 2019, pag. 17” (b&w d.d. 8 sept. 2020). 5. In verband met de komende invoering van de Omgevingswet zullen ook de informatiebeveiliging en privacy aangepast moeten worden. Hiervoor geldt nu onder andere het kader BIO. Er zal waarschijnlijk ook veel werkdruk ontstaan door aanpassingen die de Gemeente zelf moet invoeren en de wet-, en regelgeving hieromheen. Is hier al rekening mee gehouden?

Ja, het klopt dat de voorbereiding op de komende invoering van de Omgevingswet veel werkdruk met zich meebrengt en veel inzet van verschillende teams vergt. Hier is rekening mee gehouden. En dan met name als het gaat om nodige aanpassingen die m.b.t. invoering van relevante wet- en regelgeving en technisch moeten worden gedaan. 6. Bent u op de hoogte van het feit dat de IBD (Informatiebeveiligingsdienst) gemeenten via de VNG ook ondersteuning aanbiedt op het gebied van beveiliging en digitale weerbaarheid? Waarschijnlijk zit een ‘vulnerabillity assesment’ van het IBD in het dienstverleningspakket. Graag vernemen wij of dit zo is en of u hier dan gebruik van wilt maken.

De Informatiebeveiligingsdienst (IBD) heeft voor gemeenten (t.b.v. ‘verhoging digitale weerbaarheid’) een ondersteuningspakket en andere producten ontwikkeld. Hier maakt de gemeente Landsmeer ook veelvuldig gebruik van. Ons gemeentelijk beleid en protocollen zijn ook deels geïnspireerd op allerlei documentatie van de IBD. Verder kan Landsmeer, ingeval van bv. beveiligingsincidenten, de IBD om ondersteuning vragen. Het vermijden van cyberaanvallen heeft

altijd een hoge prioriteit. De toepassing van configuratiemanagement (CM) helpt Landsmeer bij het vinden van mogelijke kwetsbaarheden. En er is meer besef dat menselijk handelen vaak consequenties heeft voor de beveiliging van informatie. In 2020 is ook verder gewerkt aan bewustwording ten aanzien van informatiebeveiliging. Er zijn workshops gehouden, zgn. ‘awareness’ trainingen zijn georganiseerd en is een kwaliteitssysteem (ISMS) voor informatiebeveiliging geïmplementeerd.

Beantwoording vragen D66 1. Deelt het college onze zorgen? Wat vindt het college in het algemeen van deze en vergelijkbare kwesties?

Het college deelt de zorgen van de raad over de cyberaanval op de gemeente ‘Hof van Twente'. Echter blijft informatiebeveiliging risicomanagement. Geen enkele organisatie kan garanderen dat zij nooit slachtoffer zullen worden van een cyberaanval. Dit geldt ook voor de gemeente Landsmeer. 2. Acht het college het aannemelijk dat zoiets ook Landsmeer kan overkomen? Zo ja: wat gaat u daaraan doen ter voorkoming? Zo nee: waarom niet?

Geen enkele organisatie kan garanderen dat zoiets hen niet zal overkomen. Om de kans op een cyberaanval te verkleinen doet gemeente Landsmeer er alles aan om alle beveiligingsrisico’s goed in kaart te hebben. De samenwerking met Cloud leverancier KPN werkplek (zoals eerder benoemd) brengt in deze veel voordeel met zich mee. Uit onderzoek blijkt dat cyberaanvallen vooral plaatsvinden door ‘social engineering’. Bij ‘social Engineering’ wordt misbruik gemaakt van de (onwetendheid van een) medewerker. Denk hierbij bijvoorbeeld aan het klikken op ‘phishing’ mails, vertrouwelijke informatie delen via bijvoorbeeld de telefoon, het binnenlaten van een onbekend persoon, het gebruiken van zwakke wachtwoorden etc. De gemeente Landsmeer besteedt dan ook veel aandacht aan bewustwording (awareness) binnen de organisatie. In december 2019 is bv. een (test)phishing mail binnen de organisatie uitgezet en er heeft een ‘mystery guest’ onderzoek plaatsgevonden. De resultaten zijn in (verplichte) organisatie brede bijeenkomsten met alle medewerkers besproken. Ook zijn er posters opgehangen met de ’10 gouden regels informatiebeveiliging en privacy’ en is er een gedragscode “informatiebeveiliging en privacy” vastgesteld die ook via intranet is gedeeld.

Vanaf januari 2021 wordt er een digitaal platform uitgerold waarbij elke medewerker op regelmatige basis (ongeveer één keer per drie weken) modules aangeboden krijgt waarbij de bewustwording voor informatieveiligheid en privacy verder verbeterd wordt. Het doorlopen van deze modules door elke medewerker in elk team heeft een verplicht karakter. 3. Heeft het college een standpunt c.q. beleid wat betreft het al dan niet betalen van “losgeld”?

Het standpunt is: ‘niet betalen’. Als je betaalt wordt het steeds aantrekkelijker om cyberaanvallen te doen en voor hackers om ergens binnen te dringen en geld te eisen. Maar het is niet zo simpel om dat standpunt in te nemen. Het is goed voor te stellen dat er toch betaald wordt, omdat het anders voor de burgers en voor de bedrijfscontinuïteit een probleem gaat opleveren als dat niet gebeurt. Er moet daarom een voorbereiding zijn op het ergste scenario.

4. Is er een communicatieplan als een dergelijke situatie zich voordoet? Op welke wijze wordt de raad geïnformeerd?

Er wordt gewerkt aan een bedrijfscontinuiteitsplan (Business Continuity Plan) waar een communicatieplan voor bv. cyberaanvallen ook aan bod zal komen. Mocht er zich een incident voordoen moet er rekening worden gehouden met de mogelijke uitval van specifieke communicatiemiddelen, het mogelijk niet beschikken over data/gegevens en een snelle inzet van interne en externe middelen. De raad zal in deze gevallen, wanneer communicatie voor het onderzoek geen veiligheidsrisico’s met zich meebrengt, mondeling en schriftelijk worden geïnformeerd.