01 Rekenkamerrapportage Informatieveiligheid gemeente Medemblik - definitief.pdf

FG

Functionaris Gegevensbescherming. Verantwoordelijk voor toezicht op toepassing en naleving van de AVG.

Gebruikersnaam

Naam waarmee een gebruiker in een computersysteem kan inloggen.

IP-adres

Internet Protocol adres. Adres dat de bron of bestemming van verkeer op Internet aangeeft.

ISMS

Information Security Management Tool. Verzameling van alle onderling samenhangende elementen op het vlak van informatiebeveiliging. Helpt beleid, procedures en doelstellingen te formuleren, implementeren, communiceren en evalueren om de algehele informatiebeveiliging te verbeteren/garanderen.

ISO

Information Security Officer. Verantwoordelijk voor informatiebeveiligingsbeleid evenals de implementatie en toezicht op uitvoering. Tevens verantwoordelijk voor strategie op het gebied van informatiebeveiliging.

Kerberoasting

Bij Kerberoasting worden TGS-tickets uit het geheugen gehaald of afgeluisterd van het netwerk. Zodoende kan de wachtwoordhash van het serviceaccount verkregen worden.

KeePass

KeePass is een wachtwoordmanager waarin je wachtwoorden versleuteld kan bewaren.

Hoffm ann | Dossiernummer 22112073 | VERTROUWELIJK

Pagina 33 van 39

BEGRIP

BETEKENIS

Kwetsbaarhedenscan

Een kwetsbaarheidsscanner is een computerprogramma dat is ontworpen om computers, netwerken of applicaties te beoordelen op bekende zwakheden. Deze scanners worden gebruikt om de zwakke punten van een bepaald systeem te ontdekken.

Kroonjuwelen

Informatie en informatiesystemen die het allerbelangrijkst zijn voor een organisatie. Het heeft grote gevolgen voor de organisatie als men niet meer bij deze informatie kan komen wanneer men dat wil. Of als de informatie niet meer klopt, of als die ongewild bij anderen terechtkomt. Intellectueel eigendom is voorbeeld van een kroonjuweel.

Malware

Kwaadaardige software die aanvallers op een digitaal systeem zetten om er op afstand bij te kunnen, het te vernielen of informatie te stelen. Malware is een samentrekking van het Engelse malicious software.

Man-in-the-middle

Een aanval waarbij een aanvaller zich tussen twee par-

aanval

tijen bevindt. De partijen denken direct met elkaar te communiceren. Echter de aanvaller is in staat informatie af te luisteren en/of te wijzigen en hier misbruik van te maken

Metadata

Gegevens die de eigenschappen van andere gegevens beschrijven. Bijvoorbeeld van wie de gegevens zijn, of wie ze verstuurd heeft, of wanneer ze voor het laatst gewijzigd zijn.

Mitigerende maatregel

Een activiteit met als doel om de oorzaak of het gevolg van een ongewenste gebeurtenis weg te nemen, of te verkleinen.

Monitoring

Continu bewaken van een computer of digitaal netwerk. Bijvoorbeeld of het nog helemaal goed werkt, of er fouten voorkomen, enzovoort.

Mystery guest bezoek

Beveiligingstest waarbij een daartoe aangewezen persoon op bezoek gaat bij een organisatie. Daar probeert hij in ruimtes te komen waar hij niet mag komen. En hij probeert bij informatie te komen waar hij niet bij mag komen. Zo test de persoon deze organisatie. Men kan deze test combineren met een penetratietest. Bij deze test gaat de mystery guest een beveiligde ruimte in. Daar probeert hij in te breken op het lokale computernetwerk.

Hoffm ann | Dossiernummer 22112073 | VERTROUWELIJK

Pagina 34 van 39

BEGRIP

BETEKENIS

Poortscan

Scan van openstaande poorten op een digitaal systeem waarmee inzichtelijk wordt gemaakt welke poorten openstaan. Een poort is een manier om via een netwerk te communiceren met een digitaal systeem. Aanvallers gebruiken de informatie uit de poortscan om te beslissen hoe zij het systeem kunnen binnendringen of beschadigen.

Ransomware

Ransomware is malware die de databestanden van gebruikers versleutelt, m et als doel om deze later te ontsleutelen in ruil voor losgeld.

Shared Service Center

Een Shared Service Center (SSC) is een (semi-)autonome eenheid die verantwoordelijk is voor de afhandeling van een aantal operationele taken van één of meerdere organisaties.

Script

Computerprogramma met instructies die voor mensen leesbaar zijn. Men gebruikt vaak scripts als men webapplicaties wil bouwen en beheren. Aanvallers gebruiken onder andere scripts om onderdelen van een cyberaanval te automatiseren.

Server

Krachtige computer die in een netwerk de gemeenschappelijke voorzieningen regelt zoals authenticatie, autorisatie.

Switch

Een apparaat dat onderdelen van een netwerk met elkaar verbindt.

Shell

Computerprogramma waarmee een gebruiker met een commandoregel opdrachten kan geven aan het besturingssysteem van een computer.

TopDesk

TopDesk is een service management-provider. De kernactiviteit draait om het beheer van meldingen, middelen, wijzigingen, workflows en reserveringen in de infrastructuur van organisaties

Thin client

Het is een naam voor een relatief lichte computer die uitsluitend beeldinformatie, toetsaanslagen en muisacties uitwisselt tus sen de gebruiker en een centrale computeromgeving

Fat client

Een fat client is een computer in een client-serverconfiguratie die onafhankelijk van de server kan functioneren. Veel applicaties worden lokaal op de harde schijf van de client geïnstalleerd.

Hoffm ann | Dossiernummer 22112073 | VERTROUWELIJK

Pagina 36 van 39

BEGRIP

BETEKENIS

Time box

Vaste tijd waarin men bepaalde geplande activiteiten uitvoert. Is de tijd om, dan stopt het. Ook als de activiteiten nog niet klaar zijn.

Update

Aanpassing van een bestaande versie van hard- of software. Deze repareert bekende zwakke plekken, zorgt eventueel voor nieuwe beveiliging en extra functies

Wachtwoord

Reeks van letters, cijfers en of andere karakters waarmee een gebruiker in een computersysteem kan komen. Het is de bedoeling dat een gebruiker dit wachtwoord niet aan anderen geeft en een sterk wachtwoord kiest zodat dit moeilijk te kraken is door aanvallers

Wachtwoordmanager

Software waarin een gebruiker de combinatie van

Wachtwoordkluis

wachtwoord en gebruikersnaam kan opslaan. Dit is een soort digitale kluis. Vaak kan de software ook zelf wachtwoorden aanmaken, websites herkennen en automatisch invullen. Ook geeft de wachtwoord manager vaak aan of een wachtwoord sterk genoeg is, en of je deze al eerder hebt gebruikt.

6.2

Overzicht geïnterviewden

Functie

Datum interview

CISO

14 maart 2022

Functionaris gegevensbescherming

10 maart 2022

Privacy officers (2)

11 maart 2022

Senior beleidsmedewerker informatiemanagement

7 april 2022

Senior financieel beleidsadviseur

14 maart 2022

Interim Directeur Bedrijfsvoering en Kwali-

10 maart 2022

teitsontwikkeling

Hoffm ann | Dossiernummer 22112073 | VERTROUWELIJK

Pagina 37 van 39

6.3

Overzicht bestudeerde documenten

Onderstaande tabel bevat de documenten die zijn ontvangen vanuit de gemeente Medemblik en bestudeerd ten behoeve van het onderzoek naar de organisatie van informatiebeveiliging.

Document

Versie

Datum

Gemeentelijk Informatieveiligheids beleid 2020-2023

-

14-10-2020

2.2 Privacybeleid gemeenteraad getekend

-

09-04-2020

2.2 Raadsbrief privacybeleid

-

15-07-2019

Privacybeleid Raad Medemblik 2020

-

19-03-2019

Gemeente Medemblik Afdelingsplan 2022 Informatiebeveiliging

-

-

Dataclassificatie iBurgerzaken gemeente Medemblik

-

-

Incident management en responsplan Gemeente Medemblik

1.1

01-07-2016

Jaarrapportage Gegevensbescherming Gemeente Medemblik 2020

-

Feb. 2021

Verwerkingsregister export

-

30-11-2021

Hoffm ann | Dossiernummer 22112073 | VERTROUWELIJK

Pagina 38 van 39

VERTROUWEN IS GOED, HOFFMANN IS BETER

www.hoffmann.nl