01 Rekenkamerrapportage Informatieveiligheid gemeente Medemblik - definitief.pdf
Tekst van het document
Medemblik, 30 augustus 2022
Geachte leden van de gemeenteraad, De rekenkamercommissie van de gemeenten Medemblik en Opmeer heeft onderzoek uit laten voeren naar het informatieveiligheidsbeleid in beide gemeenten. Het onderwerp informatieveiligheidsbeleid stond hoog op de groslijst van het onderzoeksplan 2022.
De onderzoeksvraag luidde: Is de informatieveiligheid bij de gemeente Medemblik respectievelijk Opmeer voldoende gewaarborgd? De rekenkamercommissie richt zich daarbij op drie verschillende aspecten van het beleid en beleidsuitvoering: 1. Organisatie en proces 2. Mens 3. Techniek Het feitelijk onderzoek is uitgevoerd door de firma Hoffmann Bedrijfsrecherche B.V. Dit bedrijf is geselecteerd na een onderhandse aanbesteding waarbij drie gespecialiseerde bureaus door de rekenkamercommissie zijn uitgenodigd offerte uit te brengen. Van alle drie bureaus heeft de rekenkamercommissie offerte ontvangen. Twee bureaus hebben hun offerte in een vergadering van de rekenkamercommissie mogen toelichten, waarop de rekenkamercommissie op basis van inhoudelijke criteria de opdracht aan Hoffmann heeft gegund. Op basis van deze bevindingen heeft de rekenkamercommissie conclusies getrokken en doet zij aanbevelingen. Die treft u hieronder. Daarna treft u de bestuurlijke reactie van het college, gevolgd door de reactie daarop van de rekenkamercommissie
Conclusies voor de gemeente Medemblik Op basis van het onderzoeksrapport van Hoffmann trekt de rekenkamercommissie de volgende conclusies: 1. Het informatieveiligheidsbeleid in de gemeente Medemblik is niet op orde. Het beleid is op een te hoog abstractieniveau geschreven en daardoor moeilijk te operationaliseren en net zo moeilijk te monitoren. 2. Het bewustzijn van medewerkers – ambtelijk en bestuurlijk – is onder de maat. Zowel bij het mysterie guest bezoek als bij de penetratietest gaven medewerkers toegang tot fysieke ruimtes respectievelijk ICT-systemen. 3. Met het vertrek van de CISO in Medemblik is een extra risico ontstaan in de zin dat zijn vertrek het schrijven van een nieuw beleidsplan verder bemoeilijkt. Adequaat beleid en uitvoering daarvan laten daarmee te lang op zich wachten. 4. Het onderzoeksbureau heeft voor De Som geen afschrift van ISO-certificering in de gemeente Medemblik aangetroffen, beveiliging was niet op orde, Hoffmann heeft kunnen inbreken in de systemen. Waar Shared Service Center De Som zorgen uit handen zou moeten nemen, noemen meerdere medewerkers De Som juist als een risico. 5. De samenwerking met andere gemeenten binnen De Som - met verschillende prioritering tussen verschillende gemeenten - leidt tot trage besluitvorming, gebrek aan regie en kan daardoor leiden tot extra risico’s. 6.
In de uitvoering zijn op alle drie de onderzochte onderdelen mens, organisatie en techniek onvolkomenheden gevonden. Dit levert risico’s op alle drie onderdelen. Aanbevelingen aan de gemeenteraad van Medemblik 1. Verzoek het College het informatieveiligheidsbeleid te herijken en daarbij te voldoen aan de verplichte BIO en stel dit beleid op basis daarvan als Raad vast. Herhaal dit elke raadsperiode en heb in dit beleid oog voor mens, organisatie en techniek. 2. Verzoek het College het risicobewustzijn bij de medewerkers te verbeteren. Denk daarbij bijvoorbeeld aan thuiswerken, koop niet in zonder de CISO of de functionaris gegevensverwerking te raadplegen en verbeter de uitvoering van het toegangsbeleid voor het gemeentehuis. 3. Verzoek het College jaarlijks een risicoanalyse op het onderwerp informatieveiligheid te maken en de raad over de risico’s en de acties die het College daarop onderneemt te informeren. Aanbevelingen aan gemeenteraad en College van Medemblik 4. Neem de geldelijke waardering van het risico op informatieveiligheid realistisch op in de risicoparagraaf van de gemeentelijke begroting en in de jaarrekening. Denk bij het inschatten van dit risico bijvoorbeeld aan de kosten van a. forensisch onderzoek b. onderzoek welke data is nu precies gestolen is c.
vervanging van alle buitgemaakte gegevens van documenten (bijvoorbeeld paspoorten of rijbewijzen van burgers) d. het inrichten van een call center e. het opnieuw opstarten of zelfs opnieuw inrichten van systemen 5. Eis van De Som dat zij alle relevante certificaten, normeringen en Service Level Agreement heeft en houdt. Neem hierin de bestuurlijke en financiële
verantwoordelijkheid die de eigen gemeente ook heeft. Overweeg, als De Som niet aan deze eis kan of wil voldoen, een andere partner te zoeken voor de taken die bij De Som zijn belegd.
Bestuurlijke reactie De rekenkamercommissie heeft het college van de gemeente Medemblik om een reactie gevraagd op het rapport van bevindingen, de conclusies en de aanbevelingen. Deze reactie hebben wij op de volgende bladzijden integraal ingevoegd.
Behandelend ambtenaar
Manja van der Weit
Onderwerp
Bestuurlijke reactie rapport informatieveiligheid
Uw kenmerk Uw brief van
21 juni 2022
Zaaknummer
Z-22-413927
Documentnummer
DOC-22-553797
Bijlage(n)
0
Telefoonnummer
0229 856000
Verzonden
Per mail 5 juli ’22
Geachte leden van de Rekenkamercommissie, In opdracht van de rekenkamercommissie van Medemblik en Opmeer (hierna RKC) is er in het eerste kwartaal van 2022 een onderzoek gedaan naar de informatiebeveiliging van gemeente Medemblik. In het kader van bestuurlijke hoor en wederhoor geven wij als college graag een reactie op de onderzoeksresultaten. Allereerst onze dank voor het onderzoeksrapport en het vele werk dat u hiervoor heeft verzet. Het onderzoek naar de organisatie van de informatiebeveiliging had tot doel om na te gaan of gemeente Medemblik de belangrijkste risico’s in beeld heeft, hoe het beleid is opgesteld en of dit in de praktijk wordt toegepast. Het college heeft het rapport met belangstelling gelezen. Het college kiest ervoor om niet op elk onderdeel uit het rapport te reageren. Op dit moment volstaat het college met een reactie op hoofdlijnen. Ondanks dat uit het onderzoek blijkt dat de informatieveiligheid op verschillende punten zorgelijk te noemen is, zijn wij blij met dit uitgebreide en zorgvuldig opgestelde rapport. Het biedt ons goede inzichten en legt de vinger op een zere plek. Hierdoor biedt het ons de kans om deze zorgelijk gebleken punten op te lossen voordat er problemen ontstaan. Wij herkennen en erkennen de door u geschetste zorgpunten.
Veel van de geconstateerde problemen zijn te herleiden naar het zich niet houden aan gemaakte afspraken en onoplettendheid. Gebrek aan awareness ligt hier dan ook vooral aan ten grondslag. Dit is niet met louter geld op te lossen. Awareness begint met het (h)erkennen van de urgentie en het onderkennen van de eigen tekortkomingen. Hierop maar ook op de andere geconstateerde gebreken, zal geïnvesteerd moeten worden. De aanbevelingen van de Rekenkamercommissie zijn duidelijk, concreet en uitvoerbaar. Ze bieden ons duidelijke handvatten om de geschetste problematiek daadkrachtig aan te pakken.
Postbus 45, 1687 ZG Wognum / telefoon (0229) 85 60 00 / fax (0229) 85 69 99/ info@medemblik.nl / www.medemblik.nl
Rekenkamercommissie Medemblik Per email aan de secretaris van de Rekenkamercommissie
Het college omarmt het advies en heeft inmiddels maatregelen ingang gezet om de informatieveiligheid te verbeteren inclusief beschikbaar stellen van middelen die hiervoor nodig zijn. Wij nemen de aanbevelingen die de Rekenkamercommissie heeft gedaan dan ook graag ter harte en hebben geen op- of aanmerkingen op het voorgelegde conceptrapport. We zien de definitieve rapport graag tegemoet en zullen vervolgens de Raad informeren over de voortgang van de genomen maatregelen en het plan van aanpak voor de nog te nemen maatregelen. Vragen? Heeft u vragen? Belt u ons dan op werkdagen (maandag t/m donderdag) tussen 08.30 en 17.00 uur of op vrijdag tussen 08.30 en 14.00 uur. Het telefoonnummer is 0229 856000. Wij zijn u graag van dienst. Houd zaaknummer en documentnummer bij de hand, dan kunnen wij u sneller helpen. Met vriendelijke groet, Burgemeester en wethouders van Medemblik, De secretaris,
De burgemeester,
A. Griekspoor
F.R. Streng
2
Reactie rekenkamercommissie op bestuurlijke reactie college De rekenkamercommissie neemt er met instemming kennis van dat het college de bevindingen, conclusie en aanbevelingen omarmt en wenst de gemeente succes bij de implementatie.
Bestuurlijk rapport Informatiebeveiliging Gemeente Medemblik 22112073 Onderzoek in opdracht van
Rekenkamercommissie gemeenten Medemblik en Opmeer
OPENBAAR
Hoffm ann
T
088 - 298 66 00
IBAN
NL87ABNA0861616820
Luidsprekerstraat 10
E
info@hoffmann.nl
KvK
33170622
1322 AX Almere
W
www.hoffmann.nl
BTW
NL006275199B01
INHOUDSOPGAVE Management samenvatting
3
1.
8
Inleiding 1.1
Doelstellingen en scope
8
1.2
Cont actinformatie
9
1.3
Versies
9
Conclusie s
10
2. 2.1
3.
Conclusies
10
2.1.1
Organisatie en proces
10
2.1.2
Mens (social engineering)
11
2.1.3
Techniek
12
Organisatie
13
3.1
Bevindingen en aanbevelingen
13
3.2
Overzicht van de bevindingen
16
4.
3.2.1
Beleid
16
3.2.2
Informatiebeveiligingsorganisatie
17
3.2.3
Verantwoording
17
3.2.4
Risicoanalyse
18
3.2.5
Inkoop- en leveranciersmanagement
18
3.2.6
Incidentmanagement
18
3.2.7
ICT organisatie
19
3.2.8
Privacy
19
3.2.9
Logisch toegangsbeleid
20
3.2.10
Bewustwording medewerkers
20
Mens 4.1 4.2
5. 5.1
21
Mail-phishing aanval
21
Mystery guest bezoek
24
(Techniek) penetratietesten
29
Rapportage penetratietesten
29
Di sclaimer
30
6.
31
Bijlagen 6.1
Verklarende woordenlijst
31
6.2
Overzicht geïnterviewden
37
6.3
Overzicht bestudeerde documenten
38
Hoffm ann | Dossiernummer 22112073 | VERTROUWELIJK
Pagina 2 van 39
Management samenvatting De Rekenkamercommissie gemeenten Medemblik en Opmeer (hierna genoemd: ‘de Rekenkamer’) heeft Hoffmann gevraagd een onderzoek uit te voeren naar de informatiebeveiliging bij de gemeent e Medemblik (hierna genoemd: ‘de gemeente’). Om een gedegen beeld te krijgen van de aanwezige kwetsbaarheden is tijdens het onderzoek het beveiligingsniveau van zowel organisatie, de mens als de techniek onderzocht. Maatregelen op het vlak van techniek en goed beleid valt of staat bij het gebruik en opvolging van de gebruiker (de mens). Andersom; de mens kan welwillend en bekwaam zijn, echter wanneer deze niet gefaciliteerd wordt door techniek of de organisatie brengt dat eveneens kwetsbaarheden met zich mee. Vanwege de afhankelijkheid van deze drie facetten is er gekozen voor een integrale benadering. Op basis van de bevindingen zijn de daarmee samenhangende risico’s en de concreet uitvoerbare verbetermogelijkheden (aanbevelingen) in kaart gebracht. Het onderzoek naar de organisatie van de informatiebeveiliging had tot doel na te gaan of de gemeent e Medemblik de belangrijkste risico’s in beeld heeft, hoe het beleid is opgesteld en of dit in de praktijk wordt toegepast. Tijdens het technische onderzoek is getoetst of de informatiesystemen van de gemeente voldoende beveiligd zijn tegen het risico van hacken.
Onderzoekers van Hoffmann hebben de informatiebeveiligi ng zowel getest vanaf het internet (externe penetratietest), als vanuit het gemeentehuis (interne penetratietest). Het bewustzijn van de medewerkers is op de volgende manieren getest: 1.
Mail-phishing, waarbij er een e-mail is verstuurd die uitnodigde op een link te klikken en de gebruiker te verleiden om persoonlijke inloggegevens af te geven;
2.
Fysieke inlooptest, waarbij heeft een medewerker van Hoffmann heeft geprobeerd om zonder toestemming toegang te krijgen tot de gemeentelijke werkplekken.
In dit hoofdstuk worden de resultaten samengevat. Voor gedetailleerde bevindingen en aanbeveling en verwijzen wij naar: Hoofdstuk 2. Conclusies en aanbevelingen; Hoofdstuk 3. Organisatie; Hoofdstuk 4. Mens; Hoofdstuk 5. Techniek; Hoofdstuk 6. Bijlagen. In de bijlage (6.1) is een verklarende woordenlijst opgenomen met cybersecuritytermen om bijvoorbeeld rapporten, adviezen of offertes beter te begrijpen.
Hoffm ann | Dossiernummer 22112073 | VERTROUWELIJK
Pagina 3 van 39
Organisatie Onderzoek naar de organisatie en het beleid op het gebied van informatiebeveiliging bestond uit interviews en documentanalyse. Centraal hierbij stond het ‘Gemeentelijk Informatiebeveiligingsbeleid 2020 2023’ (vigerend beleid ten tijde van het onderzoek). Het beleid geeft een hoog over beschrijving van informatiebeveiliging in het algemeen. Het is weinig voorschrijvend of richtinggevend voor de organisati e en medewerkers. Hierdoor sluit het minder goed aan bij de praktijk, iets wat naleving bemoeilijkt. Het informatiebeveiligingsbeleid en de praktijk zijn nog niet in lijn met de BIO-richtlijnen. In combinatie met het ontbreken van risicoanalyses heeft de gemeente de risico’s en de benodigde maatregelen onvoldoende in beeld. Door een capaciteits- en continuïteitsuitdaging binnen het team kunnen de functionarissen zich minder richten op overstijgende/toekomstige risico’s, controles of beleidsmatige thema’s. Zij houden zich bezig met urgente vragen vanuit de praktijk en prioriteiten zoals wettelijke verplichtingen. Informatiebeveiliging lijkt binnen de gemeente daarmee vrij ad-hoc georganiseerd. Op verschillende onderdelen zijn aandachtspunten geconstateerd: zo mogen informatiebeveiligings- en privacyeisen bij inkooptrajecten en leveranciersmanagement sterker vertegenwoordigd worden.
Het komt voor dat er tot een aanschaf of verwerking wordt overgegaan zonder beoordeling vanuit de CISO, FG of PO óf dat een advies vanuit de één van deze functionarissen niet wordt overgenomen bij besluitvorming. De gemeent e beschikt over een incident management en responseplan, echter is deze verouderd en niet geïmplementeerd in de praktijk. Bij gebrek aan een responseteam worden incidenten via SSC DeSom en de CISO ad hoc en via informele lijnen opgepakt. Vanuit een gezamenlijke regeling is SSC DeSom de ICT dienstverlener voor zeven deelnemende gemeenten. Tijdens de interviews benoemen meerdere func tionarissen deze samenwerking als risico, het gebrek aan eigen regie en consensus besluitvorming zijn punten van zorg binnen de organisatie. Wat betreft logisch toegangsbeleid is een deel ondergebrac ht in processen in de praktijk, echter is er geen eenduidigheid of beleid. De gemeente is voornemend om dit jaar een meer-jaren actieplan op te stellen met als doen de bewustwording bij de medewerkers op het vlak van informatiebeveiliging te verhogen. Nu beperkt zich dit tot kennisdeling via intranet.
Mens (social engineering) Met het versturen van een phishing mail is het bewustzijn van de medewerkers ten aanzien van het herkennen van een nep-e-mail getoetst. Bij de 727 verstuurde phishing e-mails hebben 63 gebruikers (9%) de unieke link in de e-mail geopend. In totaal zijn er 47 inlogpogingen van unieke gebruikers met geldige e-mailadressen geregistreerd (6%). Met een enkele geldige gebruikersnaam en wachtwoord kan een kwaadwillende verbinding maken met het draadloze net werk en zo de multifactor authenticatie omzeilen. De bovengenoemde percentages zijn relatief laag in vergelijking met andere gemeenten waar dit scenario is toegepast, maar laat zien dat een deel van medewerkers toch gevoelig is voor dergelijke aanvallen. Wij adviseren om medewerkers via een gedragsprogramma te ‘leren’ hoe zij phishing e-mails kunnen herkennen en ervoor te zorgen dat medewerkers weten hoe te handelen in geval van twijfel.
Hoffm ann | Dossiernummer 22112073 | VERTROUWELIJK
Pagina 4 van 39
Op de servicepunten in Wognum (gemeente Medemblik) was het mogelijk om meerdere dagen als mystery guest (hierna genoemd: ‘MG’) de verschillende gebouwen te betreden. Door de afwezigheid van tourniquets en een openstaande deur konden de MG’s onopgemerkt doorlopen. De MG’s hebben zichzelf toegang kunnen verschaffen tot afgesloten ruimtes en afdelingen.
Techniek (penetratietesten) Vanwege de diepgang en vertrouwelijkheid zijn de technische uitkomsten en aanbevelingen van de pentesten reeds gedeeld met de ambtelijke organisatie. Externe penetratietest De pentest bij de gemeenten Medemblik is blackbox onderzocht. Blackbox wil zeggen dat de onderzoeker niet over achtergrondinformatie beschikt, zoals een gebruikersaccount, relevante informatie, of informatie over de netwerk infrastructuur van beide gemeentes en Shared Service Center (SSC DeSom. ) De onderzoeker is er extern in geslaagd om ongeautoriseerde toegang te verkrijgen tot de systemen van beide gemeentes en SSC DeSom. Via (semi-)openbare bronnen zijn er e-mailadressen verzameld van de gemeente Medemblik, welke vervolgens zijn gebruikt voor password spraying aanvallen op de omgeving ADFS en Exc hange. Met succes heeft de onderzoeker meerdere gebruikersaccounts bemachtigd. De wachtwoorden die voor deze accounts werden gebruikt waren zeer eenvoudig te raden (bijvoorbeeld: ‘Lente2022!’). Doordat het ontbrak aan multifactor authenticatie (MFA) was het mogelijk om toegang te krijgen tot de webapplicatie ‘blik.medemblik.nl’. Op de Wie-is-wie website konden medewerkers van de gemeente Medemblik gevonden worden, waardoor nog meer e-mailadressen verzameld werden.
Ook deze e-mailadressen zijn gebruikt voor password spraying aanvallen en op deze manier werden er nieuwe gebruikersaccounts bemachtigd. Ook konden er op dezelfde website documenten worden geraadpleegd, die op OneDrive stonden opgeslagen. Zo had de onderzoeker toegang tot: Asbest dossiers (Word document); Instructie thuiswerken (Handleiding); Werkinstructie alarm in en uitschakelen (Piket); Informatie inbraak installatie en toegangscontrole systeem (Piket). Ook ontbrak het op een aantal algemene e-mailaccounts aan MFA. Hierdoor was de onderzoeker in staat zijn eigen telefoon te configureren voor Microsoft authenticatie meldingen. Op deze manier kon er ook toegang verkregen worden tot de ‘Global adreslijst’, een lijst waar alle e-mailadressen van de deelnemende partijen in staan. Tevens is er toegang verkregen tot de Citrix omgeving van een aantal balie werkplekken van de gemeente Medemblik, waardoor informatie van de burgers zichtbaar werd zoals: Rijbewijzen; Identiteitsbewijzen; Uittreksels van het basisregistratie personen. Hoffm ann | Dossiernummer 22112073 | VERTROUWELIJK
Pagina 5 van 39
Wat verder opviel is dat het mogelijk was om bepaalde programma’s (cmd.exe en mstsc.exe) t e draaien op de Citrix omgeving. Het is onwenselijk dat iedere medewerker deze programma’s kan draaien, omdat kwaadwillenden hier mogelijk gebruik van kunnen maken om hun rechten hogerop te werken. Het downloaden en starten van eigen executables was niet mogelijk. Het was voor de onderzoeker mogelijk om via een Excel bestand een (authenticatie) aanval uit te voeren. Hierbij zijn negen serviceaccounts 1 bemachtigd maar waren niet te kraken (er is hierbij gebruik gemaakt van Hashcat).
1 Een serviceaccount is een gebruikersaccount dat is gemaakt om een service of toepassing te isoleren.
Hoffm ann | Dossiernummer 22112073 | VERTROUWELIJK
Pagina 7 van 39
1. Inleiding In opdracht van de rekenkamer is een informatiebeveiligingsonderzoek (hierna genoemd: IB-onderzoek ) uitgevoerd bij de gemeente Medemblik (hierna genoemd: ‘de gemeente’) met als focus het beveiligings niveau van zowel organisatie, ‘de mens’ en techniek. Dit IB-onderzoek heeft plaatsgevonden in de periode januari t/m 4 mei 2022.
1.1
Doelstellingen en scope
De onderzoeksvragen zijn als volgt door de rekenkamer geformuleerd: Hoofdvraag: ‘Is de informatieveiligheid bij de gemeente Medemblik voldoende is gewaarborgd?’ Per deelgebied zijn de volgende deelvragen geformuleerd waar in paragraaf 2.1 antwoord op wordt gegeven: 1. Organisatie en proces a. Welk beleid heeft de gemeente vastgesteld op het gebied van informatieveiligheid? b. Welke risico’s en maatregelen heeft de gemeente benoemd? c. Welke informatievelden van het hele gemeentelijke taakveld bestrijkt de risico-inventarisatie wel en welke niet? d. In hoeverre zijn de maatregelen geïmplementeerd en zijn daarvoor adequate middelen in de zin van geld en menskracht beschikbaar gesteld? e. Evaluatie en actualisatie (zijn rollen en rechten geïmplementeerd?) 2. Mens a. Op welke manier zet de gemeente in op bewust omgaan met informatie door medewerkers, uitvoeringsorganisaties en externe adviseurs? b. Hoe gaan medewerkers, uitvoeringsorganis aties en externe adviseurs in de praktijk om met het informatieveiligheidsbeleid? c. Hoe gaan medewerkers, uitvoeringsorganisaties en externe adviseurs in de praktijk om met het informatieveiligheidsbeleid als ze thuiswerken? 3. Techniek a. Is data bij de gemeente voldoende beschermd tegen toegang door onbevoegde medewerkers, uitvoeringsorganisaties en externe adviseurs? b.
Is data bij de gemeente voldoende beschermd tegen toegang door onbevoegde externen? c. Wat zijn, als vraag 3a of 3b met ‘nee’ beantwoord wordt, daarvan de gevolgen voor betrokken derden? d. Wat zijn de technische risico’s en kwetsbaarheden?
Hoffm ann | Dossiernummer 22112073 | VERTROUWELIJK
Pagina 8 van 39
e. Voldoet de techniek aan de eisen die Rijk en beleid daaraan stellen? De scope van het gehele IB-onderzoek betreft: afhankelijk van het ingezette middel alle medewerkers, dan wel een gericht aantal medewerkers van de gemeente Medemblik; de digitale en fysieke infrastructuur van de gemeente Medemblik.
1.2
Contactinformatie
Naam
Functie
Telefoon
Mathijs van der Pol
Security Consultant
m.vanderpol@hoffmann.nl
06-33669954
Esther Kraan
Consultant Riskmanagement
e.kraan@hoffmann.nl
06-21330432
Mo Ballari
Sales Consultant
m.ballari@hoffmann.nl
06-47384377
Maarten IJzermans
Director Riskmanagement
m.ijzermans@hoffmann.nl
06-51409891
Jeroen van Oort
Ambtelijk-Secretaris
jeroen.vanoort@rekenkamercommis-
06-43586022
siemedemblik.nl
1.3
Versies
Versie
Datum
Status
1.0
26-04-2022
Conceptversie
1.3
06-05-2022
Conceptversie bijgewerkt techniek + opmerkingen rekenkamer
2.0
21-0-2022
Definitieve rapport aangepast n.a.v. wederhoor
Hoffm ann | Dossiernummer 22112073 | VERTROUWELIJK
Pagina 9 van 39
binnen de gemeente. Dit is een belangrijk punt van aandacht. Wat betreft SSC DeSom werkt de consensus besluitvorming vertragend en soms belemmerend bij het doorvoeren van maatregelen. Het budget en de belangen van de deelnemende gemeenten loopt uiteen.
e. Evaluatie en actualisatie; zijn rollen en rechten geïmplementeerd? In praktijk is er deels sprake van een logisch toegangsbeleid (in-dienst proces). Ten tijde van het onderzoek was er een interne audit gaande om te kijken hoe de werking van dit proces in praktijk is. De onderzoekers hebben de resultaten hiervan niet ontvangen om deze te kunnen beoordelen. Wat betreft uit-dienst en wijzigingen betreft is er geen eenduidigheid. In de interviews komt naar voren dat er onvoldoende vastlegging plaats vindt tussen de betrokken afdelingen waardoor het onduidelijk is wie welke rechten heeft. Er vindt geen periodieke controle uit op rechten en verantwoordelijkheden. Onderzoekers hebben geen beleidsstukken ontvangen aangaande logisch toegangsbeleid. 2.1.2
Mens (social engineering)
a. Op welk e manier zet de gemeente in op bewust omgaan met informatie door medewerk ers, uitvoeringsorganisaties en externe adviseurs? De gemeente maakt gebruik van intranet (intern) voor wat betreft informatie en kennisdeling rondom informatieveiligheid richting medewerkers. Uitvoeringsorganisaties worden gedurende de looptijd van het contract niet periodiek gecontroleerd op de gemaakte afspraken aangaande informatieveiligheid. De gemeente is voornemend om dit jaar een meerjaren actieplan op te stellen met als doen de bewust wording bij de medewerkers op het vlak van informatiebeveiliging te verhogen.
b. Hoe gaan medewerk ers, uitvoeringsorganisaties en externe adviseurs in de prak tijk om met het informatieveiligheidsbeleid? Het huidige informatiebeveiligingsbeleid sluit onvoldoende aan bij de praktijk van de gemeente. Het beleid is weinig tactisch/operationeel voorschrijvend voor de organisatie en medewerkers. Er worden geen procedures, protocollen, maatregelen of verwachtingen voor de praktijk beschreven of daarnaar verwezen. Het maakt het daarmee lastig voor de organisatie om bij onduidelijkheid terug te vallen op het beleid of in beginsel zich hier aan te houden.
c.
Hoe gaan medewerk ers, uitvoeringsorganisaties en externe adviseurs in de prak tijk
om met het informatieveiligheidsbeleid als ze thuiswerk en? Zoals hierboven omschreven geeft het huidige informatiebeveiligingsbeleid weinig sturing voor omgang in de praktijk. Er is tevens geen specifiek thuiswerkbeleid of protocol aanwezig.
Hoffm ann | Dossiernummer 22112073 | VERTROUWELIJK
Pagina 11 van 39
2.1.3
Techniek
Tijdens het onderzoek zijn meerdere kritieke kwetsbaarheden geconstateerd die onmiddellijk met het Shared Service Center, SSC DeSom, zijn gedeeld. Vanwege de diepgang en vertrouwelijkheid zijn de technische uitkomsten en aanbevelingen van de pentesten gedeeld met de ambtelijke organisatie. De detailbevindingen en specifieke aanbevolen maatregelen van de penetratietesten zijn beschreven in het document: 22112073 – Rekenkamercommissie_Medemblik&Opmeer _techniek .pdf’. Dit document is geheim verklaard, door de zeer gevoelige inhoud en de waarde van dit document voor kwaadwillenden, die het als handleiding kunnen gebruiken.
a. Is data bij de gemeente voldoende beschermd tegen toegang door onbevoegde medewerk ers, uitvoeringsorganisaties en externe adviseurs? Nee, de data bij de gemeente is niet voldoende beschermd. Het is de onderzoeker gelukt om de volledige controle te krijgen over het netwerk van de gemeente Medemblik, Opmeer en SSC DeSom.
b. Is data bij de gemeente voldoende beschermd tegen toegang door onbevoegde externen? Nee, het was mogelijk om met het wachtwoord ‘Welkom01’ extern toegang te krijgen tot het netwerk van de gemeente Medemblik en SSC DeSom. c. Wat zijn, als vraag 3a of 3b met ‘nee’ beantwoord wordt, daarvan de gevolgen voor betrok k en derden? Persoonlijke en gevoelige informatie van de gemeente Medemblik en deelnemende gemeentes (via SSC DeSom) kan gestolen worden door een kwaadwillende. Denk hierbij bijvoorbeeld aan de situatie dat een ransomware groepering de data gijzelt. Dit specifieke scenario heeft zich al eerder voorgedaan bij de gemeente Hof van Twente (2020) en de gemeente Buren en Neder-Betuwe (2022). d. Wat zijn de technische risico’s en k wetsbaarheden? Tijdens het onderzoek zijn meerdere kritieke kwetsbaarheden gecons tateerd die onmiddellijk met het Shared Service Center zijn gedeeld. Vanwege de diepgang en vertrouwelijkheid zijn de technische uitkomsten en aanbevelingen van de pentesten gedeeld met de ambtelijke organisatie.
e. Voldoet de techniek aan de eisen die Rijk en beleid daaraan stellen? Nee, de techniek voldoet niet aan alle eisen die in de Baseline informatiebeveiliging Overheid (BIO) staan 2. Zo voldoen niet alle wachtwoorden aan de wachtwoordlengte van minimaal 8 posities en complexiteit qua samenstelling. Ook zijn er accounts die niet beschikken over multifactor authenticatie. Hierdoor kan een kwaadwillende vanuit een ongeauthenticeerde zone, toegang worden verleend naar de vertrouwde zone.
2
https://www.bio-overheid.nl/media/1572/bio-versie-104zv_def.pdf
Hoffm ann | Dossiernummer 22112073 | VERTROUWELIJK
Pagina 12 van 39
3. Organisatie Voor het onderzoek naar de organisatie van informatiebeveiliging is een analyse uitgevoerd op de door de gemeente Medemblik beschikbaar gestelde documentatie, rapporten en verklaringen en daarnaas t door het uitvoeren van verschillende interviews met medewerkers van de gemeente voor toelichting op het gevraagde materiaal. Het onderzoek is een kwalitatief onderzoek en is een momentopname van de situatie zoals deze nu wordt gezien en ervaren. In bijlage 6.2 is een opgave van de geïnterviewd en opgenomen, evenals een overzicht van de documenten die zijn meegenomen in de beoordeling.
3.1
Bevindingen en aanbevelingen
Paragraaf
Bevinding
Impact
Aanbeveling
3.1.1
Vaststelling, auteur en
Voor de lezer is het onduidelijk w at de Het is raadzaam om de vaststel-
versie van het IB-beleid
status van het document is en of dit
ling van een beleid door het Col-
zijn niet terug te vinden
door de organisatie is vastgesteld.
lege en de directieraad in het do-
in het beleidsdocument
cument zelf op te nemen. Zo is
zelf.
voor de lezer duidelijk w at de status van het document is.
3.1.1
Het IB-beleid sluit niet
Omdat het beleid onvoldoende voor-
(voldoende) aan bij de
schrijft w at het verwacht van de orga- het aansluit bij de actuele praktijk,
Een IB-beleid w erkt het best als
praktijk van de organisa- nisatie, blijft de opvolging en naleving
cultuur en uitgangspunten van de
tie. Er w orden strategi-
organisatie. Aangepast/nieuw be-
van het beleid in de praktijk uit.
sche uitgangspunten en
leid mag meer aansluiten op het
ambities uiteengezet,
normenkader van de BIO en de
echter mist het kaders
praktische opvolging hiervan.
en richtlijnen voor de actuele praktijk.
3.1.1
In het IB-beleid w ordt
Het beleid veroudert w aardoor het mo- Het is raadzaam om het beleid pe-
geen frequentie en pro-
gelijk niet meer aansluit bij huidige ri-
riodiek (jaarlijks) te evalueren en
ces beschreven hoe en
sico’s.
w aar nodig te actualiseren.
Informatiebeveiligings-
Gemeente voldoet niet aan BIO en
De organisatie zal zo snel mogelijk
beleid is nog niet in lijn
loopt mogelijk risico’s door het gebrek stappen moeten zetten naar een
met BIO. Er is een ‘stip
aan beleid en maatregelen conform
w anneer het IB-beleid geactualiseerd w ordt.
3.1.1
implementatie van de BIO en een
op de horizon’ gezet w at BIO.
nieuw , op de BIO gebaseerd, in-
betreft implementatie.
formatiebeveiligingsbeleid.
Hoffm ann | Dossiernummer 22112073 | VERTROUWELIJK
Pagina 13 van 39
3.1.1
Er is geen w erking van
Door het missen van een ISMS, ont-
Een ISMS dient aan te sluiten op
het ISMS geconstateerd staat het risico dat IB op ad-hoc basis het beleid en de strategie van de bij de gemeente Me-
w ordt georganiseerd en dat (nieuw e)
organisatie en dient geïntegreerd
demblik, w aarmee er
dreigingen en risico’s onvoldoende
te w orden in de bestaande proces-
structureel een PDCA
adequaat w orden (h)erkent en be-
sen. Het doel van een ISMS is
aanpak op informatiebe- heerst
(vertrouwelijke) informatie beter te
veiliging (IB) w ordt ge-
beveiligen.
borgd. 3.1.2 / 3.1.8
Op het vlak van informa- Risico: onvoldoende w aarborging ken- Meer uren per gemeente, tiebeveiliging en privacy nis, w einig/geen achtervang en focus verdeeld over meer functionarisis er w einig (personele) op ad-hoc zaken in plaats van beleid,
sen.
capaciteit en continuïteit verbetering of overkoepelende risico’s. aanw ezig. Functionarissen hebben dubbelrollen, w einig beschikbare uren of zijn extern ingehuurd. 3.1.2
Te w einig afbakening
Te veel focus op ad-hoc zaken en w et- Heldere verdeling en afbakening
tussen strategisch, tac- telijke verplichtingen, te w einig aan-
van taken en verantwoordelijkhe-
tisch en praktisch ni-
dacht voor strategische thema’s
den op strategisch, tactisch en
veau. Medew erkers op
en uitw erken van een visie op structu- operationeel niveau en een for-
strategische functies ac- rele verbeteringen en vernieuw ingen, mele vastlegging hiervan. teren op operationeel ni- en mogelijke demotivatie van verantveau en andersom van- w oordelijke medew erkers. w ege het capaciteitsprobleem. 3.1.2
Voor bepaalde functies
Wanneer taken en verantw oordelijkhe- Taken en verantw oordelijkheden
geldt dat taken en ver-
den niet helder zijn afgebakend, kan
antw oordelijkheden niet het voorkomen dat medew erkers el-
(m.b.t. informatiebeveiliging en privacy) duidelijk beleggen en man-
helder zijn afgebakend
kaar overlappen in verantwoordelijkhe- dateren.
of dat er geen officiële
den of dat zaken juist niet w orden op-
benoeming is.
gepakt, omdat niemand verantw oordelijk is.
3.1.4
Onvoldoende inzicht in
Het niet tijdig in kunnen spelen op
Implementatie van risicomanage-
en sturing op risico’s en (toekomstige) dreigingen maakt de or- ment en uitvoeren van dreigings(toekomstige) dreigin-
ganisatie kw etsbaar.
gen. Risicoanalyses
analyses en deze periodiek actualiseren.
w orden niet uitgevoerd.
Hoffm ann | Dossiernummer 22112073 | VERTROUWELIJK
Pagina 14 van 39
3.1.5
Bij de aanschaf van (IT) Er w orden producten en diensten aan- Bij elke aanschaf moet w orden producten en diensten
3.1.5
geschaft of ontwikkeld en in gebruik
voldaan aan de eisen m.b.t. infor-
w orden CISO en de pri- genomen die niet voldoen aan het IB-
matiebeveiliging3.
vacyorganisatie niet, of
beleid en de gestelde beveiligingsei-
De eisen dienen voor het sector-
(te) laat betrokken,
sen.
hoofd/de inkoper helder en vind-
w aardoor eisen m.b.t.
baar te zijn. Werkprocessen moe-
informatiebeveiliging
ten ervoor zorgen dat de CISO/pri-
niet voldoende w orden
vacyorganisatie worden betrok-
gew aarborgd.
ken.
Tijdens de looptijd van
De aangeschafte (IT) producten en
Periodiek (minimaal jaarlijks) dient
een contract wordt niet
diensten en/of de leverancier die het
er een controle uitgevoerd te w or-
gecontroleerd of het pro- levert voldoen niet aan het IB-beleid
den op de naleving van eisen
duct/de leverancier vol-
en de gestelde beveiligingseisen.
m.b.t. informatiebeveiliging4.
Het incidentmanage-
Tijdens een calamiteit w orden niet de
Stel up to date en complete infor-
ment en responseplan
juiste medew erkers geïnformeerd
matiebeveiligingscontinuïteit plan-
doet aan de door de gemeente gestelde (in het contract opgenomen) eisen m.b.t. informatiebeveiliging. 3.1.6
van de gemeente is ver- en/of is er niet voldoende mandaat om nen op te w elke aansluiten bij huiouderd en vindt geen
beslissingen te nemen.
dige de praktijk. Stel een respon-
w erking in de praktijk. Er
seteam samen. Plan een perio-
is geen responseteam
dieke oefening (inclusief evaluatie)
aangew ezen, calamitei-
om te w aarborgen dat het plan in
ten w orden ad hoc en
praktijk functioneert.
via informele lijnen opgepakt.
3.1.7
Afhankelijkheid en con-
Het nemen van maatregelen of het
sensus besluitvorming
doorvoeren van verbeteringen of inno- kaart te brengen w elke risico’s er
Voer een risicoanalyse uit om in
binnen SSC DeSom
vatie vindt niet altijd doorgang of laat
beheerst w orden door SSC De-
w erkt vertragend en
lang op zich w achten. Hierdoor loopt
Som en w elke niet. Op deze ma-
soms belemmerend.
de Gemeente mogelijk risico’s.
nier kan een risicobeoordeling plaatsvinden en gekozen w orden voor de juiste maatregelen.
3.1.8
De Gemeente voert w ei- Verwerkingen die w orden gestart zon- Maak een inhaalslag met DPIA’s nig tot geen ’DPIA’s uit.
der dat er een DPIA is opgesteld,
en monitoren van reeds gestarte
zijn mogelijk onrechtmatig en voldoen verw erkingen. Tijdig opstellen van niet aan eisen m.b.t. informatiebeveili- DPIA’s in processen formaliseren. ging en privacy.
3 Zie hiervoor BIO “Leveranciersrelaties”. Hoofdstuk 15.1 4 Zie hiervoor BIO “Beheer van dienstverlening van leveranciers”. Hoofdstuk 15.2
Hoffm ann | Dossiernummer 22112073 | VERTROUWELIJK
Pagina 15 van 39
3.1.8
Er is geen duidelijk clas- Het risico hiervan is dat vertrouwelijke Voer een helder beleid op gebied sificatie proces, waarbij documenten die beschikbaar zijn bij het op documenten van
van classificatie van documenten
medew erkers, niet als zodanig w orden in en zorg dat zichtbaar w ordt op
de gemeente niet helder (h)erkent en ze mogelijk onbedoeld en de documenten w elke rubricering onrechtmatig w orden gedeeld.
van toepassing is.
In praktijk is er deels
De toekenning van rechten bij de
Beleid formaliseren, procedures
sprake van een logisch
juiste rollen en verantwoordelijkheden inrichten en rollen
toegangsbeleid (in-
(in-dienst/uit-dienst en w ijzigingen) is
is w elke vertrouwelijkheid het document heeft.
3.1.9
En verantwoordelijkheden uitw er-
dienst proces). Verder is niet beschreven en w ordt niet gecon-
ken en vastleggen.
er geen eenduidigheid
Er dient periodiek controle uitge-
troleerd.
en ontbreekt beleid en
voerd te w orden op de naleving.
controle.
3.2
Overzicht van de bevindingen
3.2.1
Beleid
Het ‘Gemeentelijk Informatiebeveiligingsbeleid 2020-2023’ vormt de basis voor informatiebeveiligi ng van de Gemeente Medemblik. Het geeft een omschrijving van informatiebeveiliging in het algemeen, bespreekt een aantal thema’s en de ambities daarbij. Het geeft een hoog over en vrij beknopt beeld van een grotendeels ‘soll’ situatie aangaande informatiebeveiliging. Door de algemeenheid van het stuk sluit het minder goed aan bij de ‘ist’ situatie van de Gemeente. Het beleid is tevens weinig tactisch/operationeel voorschrijvend voor de organisatie en medewerkers. Er worden geen procedures, protocollen, maatregelen of verwachtingen voor de praktijk beschreven of daarnaar verwezen. Het maakt het daarmee lastig voor de organisatie om bij onduidelijkheid terug te vallen op het beleid of in beginsel zich hier aan te houden. Onderdelen als een clean desk beleid, beleid over gebruik van hardware, thuiswerken en dataclassificatie ontbreken. Er wordt in het beleid verwezen naar de implementatie van de BIO (Baseline Informatieveiligheid Overheid). Er worden verder nog geen stappen of maatregelen omschreven voortkomende uit de BIO. Uit de interviews komt naar voren dat risicogerichte maatregelen op basis van de BIO-richtlijnen tevens in de praktijk (grotendeels) ontbreken. In het huidige beleid wordt verwezen naar een ISMS (Information Security Management System) en PDCA cyclus.
Vanuit de interviews blijkt dat er geen sprake is van werking in de praktijk, dit blijkt tevens vanuit het ontbreken van bijvoorbeeld versiebeheer van het informatiebeveiligings beleid zelf. Het beleid beschrijft tevens geen frequentie waarmee het beleid wordt geëvalueerd. Het is conform BIO vereist om
Hoffm ann | Dossiernummer 22112073 | VERTROUWELIJK
Pagina 16 van 39
het beleid periodiek (voorkeur jaarlijks) te evalueren en waar nodig te actualiseren 5. De Gemeente beschikt over een ISMS-tool (Cyber Manager), echter wordt hier nog niet actief mee gewerkt. Ten tijde van het onderzoek werd het systeem in gebruik genomen om actiepunten ten aanzien van informatiebeveiliging in op te nemen (‘stip aan de horizon t.a.v. implementatie BIO). Vanwege capaciteitsproblemen is het echter nog niet mogelijk om deze taken te beleggen. Een goed werkend ISMS zal de gemeente helpen bij het opzetten en onderhouden van de informatiebeveiliging, het advies is dan ook om deze in de praktijk in gebruik te nemen. 3.2.2
Informatiebeveiligingsorganisatie
De informatiebeveiligingsorganisatie bestaat uit de CISO, twee privacy officers (PO’s) en een functionaris gegevensbescherming (FG). De vacature voor het afdelingshoofd Informatiebeveiligingsbeheer is vacant. De CISO valt binnen het team Informatiemanagement. De FG valt onder Advies en Dienstverlening binnen de gemeente Medemblik. Voorheen was er sprake van privacy medeweker(s) (benoemd in privacy beleid), maar deze positie(s) zijn niet ingevuld op dit moment. De FG treed toezicht houdend op en werkt in de praktijk veel samen met de PO’s. De CISO treed meer solistisch op en heeft minder contact met de FG en PO’s. Idealiter zouden de CISO en de FG meer moeten samenwerken op overkoepelende thema’s en zichtbaarheid van informatiebeveiliging in het algemeen. De verschillende functionarissen zijn verantwoordelijk voor meerdere gemeenten. Zo verdeelt de CIS O de tijd en aandacht over drie gemeenten (Opmeer, Medemblik, Koggenland) en is de FG tevens in dienst bij de gemeente Koggenland en SSC DeSom. De PO’s hebben een dubbelrol en zijn niet officieel in deze functie benoemd. Continuïteit en capaciteit zijn zodoende een uitdaging voor het team. De CIS O houdt zich in de beschikbare tijd (16 uur) bezig met strategische thema’s, de ENSIA verantwoording en ad-hoc vraagstukken. Door het verdere tijdsgebrek is informatiebeveiliging als thema weinig zichtbaar in de organisatie.
Doordat de functies binnen de informatiebeveiligingsorganisatie vaak gegroeid zijn vanuit dubbelrollen mist het soms aan ervaring en focus. Hierbij speelt eveneens mee dat de PO’s en de CISO niet officieel benoemd zijn (CISO is officieel Adviseur Informatiebeveiliging). Het is hierdoor in de praktijk niet altijd duidelijk waar welke verantwoordelijkheden liggen en wie welk mandaat heeft. Wij raden de organisatie aan hier duidelijkheid in te scheppen door verantwoordelijkheden te beleggen en rollen en functies te formaliseren. Verantwoording Jaarlijks legt de Gemeente verantwoording af op het vlak van informatieveiligheid door het uitvoeren
3.2.3
van de ENSIA audit. Binnen de Gemeente Medemblik is de CISO belegd met deze taak. Het college is op de hoogte gebracht van de status en bijbehorende risico’s aangaande de uitkomsten van de verschillende onderdelen van de ENSIA. Naast de ENSIA audit is er geen sprake van andere vaste periodieke rapportages op het vlak van informatieveiligheid.
5 Zie BIO; Informatiebeveiligingsbeleid 5.1.2.
Hoffm ann | Dossiernummer 22112073 | VERTROUWELIJK
Pagina 17 van 39
3.2.4
Risicoanalyse
In het informatiebeveiligings beleid wordt verwezen naar de BIO en de daarin beschreven risicogerichte benadering van informatieveiligheid. Er wordt omschreven wat het belang is risico- en GAP-analyses. In de praktijk vinden er echter geen risico- of GAP-analyses plaats. De processen zijn niet duidelijk in kaart gebracht waardoor er onvoldoende zicht is op mogelijke risico’s en gevolgen voor de organisatie. Omdat er niet aan risicobeoordeling gedaan wordt, heeft de gemeente Medemblik onvoldoende zicht op risico’s, en de reeds genomen en nog nodige beheersmaatregelen. Het advies luidt dan ook om een risicoanalyse op het gebied van informatiebeveiliging uit te voeren en deze jaarlijks te evalueren. 3.2.5
Inkoop- en leveranciersmanagement
Idealiter worden eisen m.b.t. informatiebeveiliging en privacy aan producten, diensten en leveranciers gesteld in de selectiefase vóór de aanschaf. Deze eisen zijn opgesteld op basis van het beleid en geïdentificeerde risico’s van het product en worden adequaat getoetst, zodat men enige zekerheid heeft dat de aan te schaffen diensten en producten en de leverancier die deze levert voldoet aan de eisen die de gemeente stelt. De gemeente Medemblik hanteert de ‘handreiking inkoopvoorwaarden’ van de IBD als eisen voor leveranciers. Specifieke eisen met betrekking tot informatiebeveiliging en privacy worden door CIS O (mits deze beschikbaar is i.v.m. beperkte capaciteit) en PO’s of FG (ad hoc) geformuleerd wanneer zij betrokken worden bij inkooptrajecten en leveranciersselecties. Het inkoopproces wordt in de praktijk echter niet altijd gevolgd, vooral wanneer het gaat om investeringen onder €10.000, -. Het gevolg is dat de informatiebeveiligingsorganisatie niet, of soms te laat in het proces betrokken worden. Het komt ook voor dat functionarissen wel worden betrokken bij het proces, echter dat de gegeven adviezen niet worden meegenomen in de uiteindelijke besluitvorming.
Het risico wat de gemeente hier loopt is dat informatiebeveiligings- en privacy eisen niet (volledig) worden meegenomen bij de aanschaf van diensten en producten, waardoor deze in gebruik worden genomen zonder aan de eisen te voldoen. Er vindt geen tussentijdse controle of beoordeling plaats op lopende contracten of bestaande leveranciers. Het is onduidelijk wie hiervoor verantwoordelijk zou moeten zijn binnen de gemeente. Wij raden de organisatie aan hier duidelijkheid te scheppen door de verantwoordelijkheid te bel eggen en te formaliseren. 3.2.6
Incidentmanagement
De gemeente beschikt over een incident management plan (Incident management en responseplan Gemeente Medemblik). Dit beleidsdocument dateert uit 2016 en is in de tussentijd niet herzien of geëvalueerd. Uit de interviews blijkt dat het plan geen werking heeft in de praktijk. Afhankelijk van het incident wordt dit gemeld bij SSC DeSom en/of de CISO, waarna er ad hoc wordt geacteerd op de situatie. Betrekken van andere functionarissen gebeurt via de informele lijnen, er is geen vast respons team. Bij gebrek aan responsteam vindt tevens de training hiervan (zoals benoemd in het incident management en responseplan) in de praktijk niet plaats.
Hoffm ann | Dossiernummer 22112073 | VERTROUWELIJK
Pagina 18 van 39
en SSC DeSom. De twee PO’s hebben een dubbelrol en zijn niet officieel benoemd in de rol van Privac y Officer. Zij hebben een wisselend aantal uren beschikbaar, één keer acht uur en bij de tweede PO is het aantal beschikbare uren afhankelijk van wat overblijft naast de functie van Secretaris Bezwarencommissie. Daarnaast is er geen opleidingsbudget voor deze twee functionarissen. In het beleid wordt beschreven dat er één tot twee privacy medewerkers (PM’ers) zijn om privacy structureel te borgen. Op dit moment is dit in praktijk niet als zodanig ingeregeld. Al met al zijn capaciteit en continuïteit zijn een uitdaging voor het team. Praktisch heeft dat zijn weerslag, zo zijn de jaarrapport age 2021 en het jaarplan 2022 nog niet beschikbaar. De focus ligt voornamelijk op ad-hoc zaken in plaats van overstijgende thema’s of beleid. Daarnaast worden er, mede door tijdgebrek weinig tot geen DPIA’s uitgevoerd op eigen initiatief van de privacyorganisatie (in 2018 was er nog een functionaris fulltime aangesteld voor het uitvoeren van DPIA’s). Doordat er weinig advies-uitvragen gedaan worden en de privacyorganisatie vaak te laat of zelfs niet betrokken worden bij nieuwe of wijzigingen in verwerkingen komen hier ook weinig DPIA’s uit voort. Het komt voor dat er verwerkingen worden gestart zonder dat er een toetsing plaatsvind vanuit de privacyorganisatie (en CISO).
Duidelijke werkinstructies/protocollen, meer capaciteit binnen het team en budget voor bewustwording zouden de betrokkenheid van de privacyorganisatie in de praktijk kunnen waarborgen. 3.2.9
Logisch toegangsbeleid
In de praktijk wordt er een in-dienstprocedure gevolgd die via verschillende afdelingen loopt. Op netwerkgebied gaat het toekennen van rechten via SSC DeSom. Voor de toegang tot overige applicaties geeft het afdelingshoofd en P&O een opdracht naar de functioneel applicatiebeheerder welke bepaald welke rechten van toepassing zijn. In afstemming met het afdelingshoofd worden de autorisaties door de functioneel applicatiebeheerder gegeven. Ten tijde van het onderzoek was er een interne audit gaande om te kijken hoe de werking van dit proces in praktijk is . De onderzoekers hebben de resultaten hiervan niet ontvangen om deze te kunnen beoordelen. Wat betreft uit-dienst en wijzigingen betreft is er geen eenduidigheid. In de interviews komt naar voren dat er onvoldoende vastlegging plaats vindt tussen SSC DeSom, P&O en de afdelingshoofden waardoor het onduidelijk is wie welke rechten heeft. Er vindt geen periodieke controle uit op rechten en verantwoordelijkheden. Onderzoekers hebben geen beleidsstukken ontvangen aangaande logisch toegangsbeleid. Het advies luidt om beleid op te stellen, procedures in te richten en rollen en verantwoordelijkheden uit te werken en vast te leggen. Een periodieke controle zal helpen de procedures in de praktijk te bestendigen.
3.2.10 Bewustwording medewerkers De Gemeente Medemblik beschikt niet over een tool of platform ten behoeve van de bewustwording van medewerkers aangaande (informatie)veiligheid. In samenwerking met SSC DeSom is er in het verleden een mail-phishing test uitgevoerd om te kijken hoe medewerkers hierop reageerden. Momenteel wordt er voornamelijk gebruik gemaakt van intranet om medewerkers te informeren en kennis te delen. De gemeente is voornemend om dit jaar een meerjaren actieplan op te stellen met als doen de bewust wording bij de medewerkers op het vlak van informatiebeveiliging te verhogen.
Hoffm ann | Dossiernummer 22112073 | VERTROUWELIJK
Pagina 20 van 39
4. Mens In dit hoofdstuk worden de bevindingen in detail beschreven en zijn schermafdrukken opgenomen ter illustratie. Het bewustzijn van de medewerkers is getest door middel van de volgende manieren: 1.
Mail-phishing, waarbij er een e-mail is verstuurd die uitnodigde op een link te klikken en de gebruiker te verleiden om persoonlijke inloggegevens af te geven;
2.
Fysieke inlooptest, waarbij heeft een medewerker van Hoffmann heeft geprobeerd om zonder toestemming toegang te krijgen tot de gemeentelijke werkplekken.
4.1
Mail-phishing aanval
De onderzoekers waren in eerste instantie niet in staat om met de phishing-mail direct door de beveiliging (spamfilter) van de gemeente te komen. De gemeente heeft hierop de beveiliging specifiek en alleen voor deze actie aangepast (via SSC DeSom) zodat de phishing test uitgevoerd kon worden. Onze onderzoekers hebben zelf een lijst met e-mailadressen samengesteld. Het aantal e-mailadress en was 727. Naar deze e-mailadressen is op maandag 2 mei 2022 vanaf 10:34 uur tot ongeveer 11:03 een phishing e-mail verstuurd. De onderzoeker heeft het domein ‘SSC DeSom.com’ geregistreerd. Via dit domein zijn vanaf het e-mailadres ‘servicedesk@sscdesom.com’ de e-mails verstuurd. De e-mail had de volgende inhoud:
Hoffm ann | Dossiernummer 22112073 | VERTROUWELIJK
Pagina 21 van 39
Figuur 1: Phishing e-mail ‘medemblik.SSC DeSom.com’, met als onderwerp ‘Autorisatie netwerkapparatuur vereist’.
Hoffm ann | Dossiernummer 22112073 | VERTROUWELIJK
Pagina 22 van 39
Figuur 2: Phishing website gemeente ‘medemblik.SSC DeSom.com’.
Doordat de link naar de website een uniek ID bevat, kon worden geregistreerd hoeveel unieke gebruikers de website bezochten en/of hun gebruikersnaam en wachtwoord invulden. De wachtwoorden van gebruikers zijn niet geregistreerd tijdens de mail phishing. Er zijn in totaal 63 unieke bezoekers geregistreerd (9%) waarvan 47 gebruikers (6%) hun gebruikers naam en wachtwoord hebben ingevuld. Het wachtwoord is niet opgeslagen, ook zijn de credentials niet getest op geldigheid. De mail-phishing campagne is gestopt op woensdag 4 mei 2022 omstreeks 18:00.
Aanbevelingen Maak medewerkers bewust van mail-phishing-technieken door bewustwording en gedrags veranderingsprogramma’s; Zorg ervoor dat medewerkers weten welke domeinnamen van de gemeente zijn en dat ze geen gebruik moeten maken van andere domeinen.
Hoffm ann | Dossiernummer 22112073 | VERTROUWELIJK
Pagina 23 van 39
4.2
Mystery guest bezoek
Op woensdag 23 maart 2022 omstreeks 13:45 heeft Mystery Guest 3 (hierna genoemd: ‘MG3’) het pand betreden voor een verkenning. Langs de Servicedesk gaat MG3 via het trappenhuis naar de bovens t e etage. Op de deuren is een paslezer aanwezig en de deuren kunnen niet open gemaakt worden. Rond 13:50 loopt MG3 langs de griffie voorbij de postvakken. Om vervolgens zich op te houden in een vergaderzaal en daar gebruik te maken van de thin clients (met de extern bemachtigde credentials) en de netwerkkabel. De detailbevindingen van de penetratietesten zijn vanwege de gevoeligheid beschreven in het document: ‘22112073 – Rek enk amercommissie_Medemblik &Opmeer_techniek .pdf’. Rond 16:05 verlaat MG3 het pand via de lobby.
Figuur 3: Postvakken.
Figuur 4: Ingelogd op thinclient als medewerker. Wachtwoord extern buitgemaakt.
Hoffm ann | Dossiernummer 22112073 | VERTROUWELIJK
Pagina 24 van 39
Figuur 5: Werkplek MG3.
Op vrijdag 25 maart 2022 omstreeks 12:33 heeft MG3 het pand betreden. Hij loopt rechtstreeks door naar de vergaderzaal op de begane grond. Om vervolgens zich op te houden in een vergaderzaal en daar gebruik te maken van de thin clients ( met de extern bemachtigde credentials ) en de netwerkkabel. De detailbevindingen van de penetratietesten zijn vanwege de gevoeligheid beschreven in het document: ‘22112073 – Rek enk amercommissie_Medemblik &Opmeer_techniek .pdf’. Rond 15:45 verlaat MG3 het pand via de lobby. Wat hierbij opvallend is dat de schuifdeur al dicht is, maar dat deze wel van binnenuit bediend kan worden met een lichtschakelaar.
Figuur 6: Servicedesk niet bemand.
Op dinsdag 5 april 2022 omstreeks 10:10 heeft Mystery Guest 1 (hierna genoemd: ‘MG1’) het pand betreden voor een eerste verkenning. De hal is open met een balie en een wachtruimte. De hal geeft toegang tot de lift en de trap is vrij toegankelijk. MG1 loopt een rondje door de hal en wordt niet aangesproken op aanwezigheid. Vervolgens loopt MG1 terug naar buiten en verkent de rest van het pand, er lijkt verder geen achteringang/personeelsingang te zijn waar gebruik van gemaakt kan worden.
Hoffm ann | Dossiernummer 22112073 | VERTROUWELIJK
Pagina 25 van 39
MG1 en Mystery Guest2 (hierna genoemd: ‘MG2’) overleggen kort, waarna MG2 rond 10:20 het pand betreed. MG2 begroet de receptie en loopt door naar de lift. Onderweg naar de tweede verdieping stopt de lift op de eerste verdieping, daar stappen 3 medewerkers de lift binnen. MG2 maakt kort contact en stapt bij de tweede verdieping uit. De deuren richting de afdelingen zijn op slot en beveiligd met een paslezer.
Figuur 7: Paslezer afdeling.
Al vrij snel komt er een medewerker aanlopen welke de deur opent naar de afdeling. MG2 loopt met de medewerker mee naar binnen. Op de afdeling waren niet veel werkplekken bezet, de vergaderruimte is leeg. MG2 loopt over de afdeling en wordt begroet, maar wordt niet aangesproken op aanwezigheid. Voor zover de MG2 heeft kunnen zien, waren de onbemande plekken voorzien van schermbeveiliging of uitgeschakeld (niet toegankelijk).
Hoffm ann | Dossiernummer 22112073 | VERTROUWELIJK
Pagina 26 van 39
Figuur 8: Afdeling tweede verdieping.
MG2 besluit om naar de eerste verdieping te gaan. Op de gang is weinig beweging. MG2 houdt zich al bellend een tijdje op bij de wc voor afgesloten deur naar een afdeling. Na even gewacht te hebben komt er een medewerker aanlopen welke de deur opent waardoor MG2 de mogelijkheid heeft om te volgen mee de afdeling op. Aan de linkerkant is een vergaderruimte, MG2 besluit zich daar te installeren. Na ongeveer 10 minuten loopt MG2 de afdeling op, maar wordt niet aangesproken op aanwezigheid.
Hoffm ann | Dossiernummer 22112073 | VERTROUWELIJK
Pagina 27 van 39
Figuur 9: vergaderruimte en afdeling eerste verdieping.
Rond 10:40 verlaat MG2 het pand via de lobby. Voor zover MG2 heeft kunnen zien waren de onbemande plekken voorzien van schermbeveiliging of uitgeschakeld (niet toegankelijk). MG2 heeft niet direct toegang gehad tot documenten, echter was er niet overal zichtbaar sprake van clean-desk.
Hoffm ann | Dossiernummer 22112073 | VERTROUWELIJK
Pagina 28 van 39
5. (Techniek) penetratietesten De (werking van) de informatiebeveiliging is onderzocht met behulp van de volgende penetratietesten: Externe penetratietest; Interne penetratietest; De penetratietesten hebben plaatsgevonden in de periode van 1 maart 2022 tot 4 mei 2022
5.1
Rapportage penetratietesten
De detailbevindingen en specifieke aanbevolen maatregelen van de penetratietesten zijn beschreven in het document: 22112073 – Rekenkamercommissie_Medemblik&Opmeer_techniek .pdf’ Om te voorkomen dat kwaadwillenden de geconstateerde kwetsbaarheden kunnen misbruiken, is dit document als geheim geclassificeerd. Tijdens het onderzoek zijn meerdere kritieke kwetsbaarheden geconstateerd die onmiddellijk met de opdrachtgever en de CISO zijn gedeeld.
Hoffm ann | Dossiernummer 22112073 | VERTROUWELIJK
Pagina 29 van 39
Disclaimer De volgende medewerkers van Hoffmann hebben het onderzoek uitgevoerd en deze rapportage opgemaakt: Mathijs van der Pol, Security Consultant Esther Kraan, Consultant Riskmanagement Nina Verhoeven, Consultant Riskmanagement
Ondergetekende is vanuit zijn rol als leidinggevende eindverantwoordelijk voor dit onderzoek.
Maarten IJzermans Directeur Cybersecurity & Security Risk management
Ondanks het feit dat onze onderzoekers zeer zorgvuldig onderzoek verrichten, bestaat de mogelijkheid dat zij niet iedere kwetsbaarheid detecteren in de IT-infrastructuur van onze opdrachtgever. Dit komt mede doordat onze medewerkers gebonden zijn aan een budget- en tijdslimiet (een penetratietest is altijd een momentopname). Dit rapport is geschreven voor de opdrachtgever, zodat hij of zij staat wordt gesteld om maatregelen te nemen teneinde de cyberweerbaarheid van zijn/haar organisatie te verhogen. Wij kunnen geen aansprakelijkheid aanvaarden voor acties of maatregelen die door opdrachtgever of diens vertegenwoor digers op basis van het rapport worden ondernomen. Tenslotte verwijzen wij naar de van toepassing zijnde dienstverlenings voorwaarden. Almere, 21 juni 2022
Hoffm ann | Dossiernummer 22112073 | VERTROUWELIJK
Pagina 30 van 39
6. Bijlagen 6.1
Verklarende woordenlijst
Onder leiding van Cyberveilig Nederland (https://www.cyberveilignederland.nl/) hebben ruim 60 organisaties, overheidspartijen en private partijen meegewerkt aan de samenstelling van het cybersecurity woordenboek. Er is een verklarende woordenlijst opgesteld met bijna 600 cybersecuritytermen om bijvoorbeeld rapporten, adviezen of offertes beter te begrijpen. Voor het complete woordenboek verwijzen wij graag naar: www.cyberveilignederland.nl/ woordenboek Hieronder een opsomming van cybersecuritytermen die voorkomen in deze rapportage.
BEGRIP
BETEKENIS
2-stapsverificatie
Tweefactor authenticatie
2FA
Tweefactor authenticatie
Aanvaller
Iemand die met opzet de beveiliging probeert uit te schakelen of te omzeilen om in een digitaal systeem te komen
Account
Element van een digitaal systeem dat een gebruiker representeert. Bij een account hoort informatie over de gebruiker, zoals persoonlijke gegevens, inloggegevens en informatie waar de gebruiker bij mag. Er bestaan verschillende soorten accounts, zoals een gebruikersaccount of een administratoraccount voor beheerders. In het spraakgebruik wordt deze term vaak gebruikt om lidmaatschap bij een dienst aan te duiden - "ik heb een account bij ...
Administrator
Beheerder van een computersysteem of computernetwerk. Deze persoon heeft meer rechten dan een gewone gebruiker. Zo kan hij bijvoorbeeld instellingen aanpassen. En hij bepaalt wat gebruikers in een computernetwerk mogen doen en wat niet.
ADFS
ADFS is een flexibel, gebruiksvriendelijk systeem waarmee organisaties de accounts van hun werknemers kunnen beheren.
Authenticatie
Wat men doet om vast te stellen of een ander wel is wie hij zegt te zijn. De ander kan een persoon zijn, maar ook bijvoorbeeld software of een apparaat
Hoffm ann | Dossiernummer 22112073 | VERTROUWELIJK
Pagina 31 van 39
BEGRIP
BETEKENIS
Autorisatie
De bevoegdheden die een gebruiker van een computersysteem heeft om toegang te krijgen tot gegevens of handelingen te mogen uitvoeren. Bijvoorbeeld het opstarten van programma's of het inzien, wijzigen of wissen van informatie.
Blackbox test
Veiligheidstest die aangeeft dat de tester geen voorkennis van het systeem heeft. Je kunt ook op andere manieren testen: - Heeft de tester een beetje kennis? Dan heet het greybox test. - Bij veel voorkennis, zoals bijvoorbeeld toegang to de broncode, is het een whitebox test of crystalbox test.
BIOS
Het basic input/output system, meestal afgekort tot BIOS, is een bibliotheek met een aantal stuurprogramma's voor de aansturing van de hardware die nodig is om een besturingssysteem op te starten.
Besturingssysteem
Een besturingssysteem is een programma dat na het opstarten van een computer in het geheugen geladen wordt en de hardware aanstuurt. Het fungeert als medium tussen de hardware en de computergebruiker.
CISO
Chief Information Security Officer. Verantwoordelijk voor informatiebeveiligingsbeleid evenals de implementatie en toezicht op uitvoering. Tevens verantwoordelijk voor strategie op het gebied van informatiebeveiliging.
Citrix
Citrix Workspace is een digitale werkplek waar medewerkers vanaf elk apparaat bij kunnen
Credentials
De gegevens waarmee een gebruiker of ander computersysteem bij een computersysteem kan aantonen dat hij is wie hij zegt dat hij is. Bijvoorbeeld een gebruikersnaam in combinatie met een wachtwoord of een via SMS opgestuurde code.
Domeinnaam
Een unieke naam op internet. Meestal geldt een domeinnaam voor websites, maar men kan ook een domeinnaam aanvragen voor een persoonlijk mailadres.
DHCP
Dynamic Host Configuration Protocol is een computerprotocol dat beschrijft hoe een computer dynamisch zijn netwerkinstelling (IP-adres) van een DHCP-server kan verkrijgen.
Hoffm ann | Dossiernummer 22112073 | VERTROUWELIJK
Pagina 32 van 39
BEGRIP
BETEKENIS
Diskencryptie
Schijfencryptie is een technologie waarbij een harde schijf wordt voorzien van encryptie met als doel het ontoegankelijk maken van gegevens die op het schijfstation zijn opgeslagen
Exchange
Exchange is een stuk software wat ontwikkeld is door Microsoft, de intentie van de software is om op alle apparaten contacten, agenda punten en email te hebben.
End-of-life
Het moment dat een leverancier de software of hardware niet meer ondersteunt. Meestal voert hij dan geen updates of andere aanpassingen meer uit
Exploit
Programmacode of reeks acties waarmee iemand een zwakke plek in een digitaal systeem misbruikt. Het doel hiervan kan zijn om toegang te krijgen tot het systeem, om informatie te stelen of te veranderen of om te zorgen dat anderen niet meer bij informatie kunnen. Men kan een exploit gebruiken als onderdeel van malware