03 Jaarverslag Informatiebeveiliging 2023 voor Raad

Een belangrijke wijziging ten opzichte van de huidige richtlijn is dat overheidsdiensten binnen de reikwijdte van de richtlijn worden gebracht, en daarmee aan wettelijke verplichtingen voor de beveiliging van hun netwerken informatiesystemen moeten voldoen. Dit geldt in ieder geval voor de Rijksoverheid. De conceptrichtlijn stelt verder dat regionale en lokale overheden na een risicobeoordeling kunnen worden aangewezen. Daarbij nemen we de geldende criteria als uitgangspunt, zoals de hierboven genoemde ‘vitaal’ criteria. Inmiddels is de verwachting dat met de nieuwe Europese richtlijn NIS2 wij ook als gemeenten nadrukkelijker aandacht moeten gaan geven aan de beveiliging van onze vitale infrastructurele systemen. Hiervoor wordt een nieuwe versie van de BIO verwacht. Regionale samenwerking Sinds 2017 zijn medewerkers (Ciso en informatieadviseurs) van Midden-Delfland op regionaal niveau betrokken bij structureel overleg over informatiebeveiliging. Het doel van het overleg is met name om kennis en ervaringen te delen en waar mogelijk ondersteunen bij informatiebeveiligingsincidenten.

26

7. Incidenten en ontdekte kwetsbaarheden Rapportage van incidenten zoals datalekken en de afhandeling daarvan. In 2023 zijn 29 spammails, 23 incidenten en 317 geconstateerde kwetsbaarheden gemeld bij de CISO en adviseurs Informatiebeveiliging. Het gaat hierbij ook om ontdekte kwetsbaarheden die met updates van software en aanpassingen van de hardware zijn opgelost. De gemelde kwetsbaarheden kwamen voornamelijk van de Informatie Beveiligingsdienst (IBD) en betroffen ondermeer meldingen over geconstateerde kwetsbaarheden in gebruikte software en hardware. In 2023 zijn 10 datalekken gemeld bij de privacy officers. In 2020 waren dit er nog 17 in 2021 maar 11 en 10 in 2022. Het lijkt hier om een neerwaartse trend te gaan die aandacht verdient. Van een organisatie met de omvang van de gemeente Midden-Delfland kan verwacht worden dat elk jaar enkele tientallen datalekken plaatsvinden, waar gewerkt wordt worden immers ook fouten gemaakt. De FG heeft nader onderzoek gedaan naar de registratie van gemelde datalekken in het datalekkenregister en hierover een rapportage opgesteld. Uit het onderzoek komen vier onvolkomenheden naar voren in de datalekkenregistratie: 1. Onvolkomenheden in meldplicht en de wettelijke afhandeltermijn 2. Onzorgvuldige afhandeling en registratie 3. Afhandeling niet in overeenstemming met de wettelijke bepalingen 4.

Geen zicht op uitvoering van preventieve maatregelen In geen van de datalekken bleek het nodig om de Autoriteit Persoonsgegevens te informeren. In één van de datalekken bleek het wel nodig om de betrokkenen te informeren. Geconstateerd wordt dat het datalekkenregister adequaat wordt bijgehouden Buiten het melden van datalekken daalt ook het aantal door medewerkers gemelde incidenten al 7 jaar. Een van de redenen hiervoor zou kunnen zijn dat de organisatie en ketenpartners bewuster met gevoelige informatie omgaat. Het is daarom van belang om te blijven investeren in bewustwording over informatiebeveiliging en privacy. De verplaatsing van applicaties naar de cloud gaat de komende jaren toenemen waardoor de kwetsbaarheid van ons eigen ict-netwerk ook afneemt.

Bron: Autoriteit Persoonsgegevens

27

Melding Datalekken in 2023 Sinds 2016 geldt de wet Meldplicht datalekken en per 25 mei 2019 is de nieuwe Europese Algemene Verordening Gegevensbescherming (AVG) van kracht geworden. Als onze organisatie niet voldoet aan deze wetten, is dat een risico op een bestuurlijke boete van de Autoriteit Persoonsgegevens van maximaal 20 miljoen euro. Van de bij ons gemelde incidenten zijn er geen incidenten als datalek gemeld bij de Autoriteit Persoonsgegevens (AP). Binnen 72 uur worden daarvoor in aanmerking komende datalekken bij de Autoriteit Persoonsgegevens (AP) gemeld. Er vindt dan direct verder onderzoek plaats naar de risico’s voor personen waarvan de gegevens zijn gelekt. Dit is ook bepalend of deze personen worden geïnformeerd over dit datalek. De hieronder beschreven incidenten die niet als datalek bij de AP zijn gemeld betreffen incidenten waarbij gegevens niet buiten de organisatie zijn gekomen of waarbij door snel te handelen het risico op schade voor de persoon in kwestie teniet is gedaan. Meldings- Omschrijving datum 16-5-2023 Een herinnering inzake erfpachtcanon nota is verstuurd naar een verkeerd mailadres. Hierdoor kwam een mail retour dat de nota niet voor die persoon bestemd is. In het gebruikte verkeerde mailadres bleek 1 letter te ontbreken.

Melding aan AP Nee

17-5-2023 Een derde partij kreeg de verkeerde bijlages (nota’s van debiteuren) toegestuurd via de email. Hierdoor kreeg hij onbevoegd toegang tot de op de nota’s vermelde persoonsgegevens van betrokkene.

Nee

17-5-2023 Gedurende een bepaalde periode was het mogelijk om alle documenten van een collega te bekijken door andere onbevoegde medewerkers. In deze documenten waren persoonsgegevens te vinden, zoals namen in combinatie met gespreksverslagen. Hierbij waren de autorisatie(s) van medewerker(s) verkeerd ingesteld. 15-6-2023 Documenten waren binnen SharePoint (Teams) per abuis korte tijd inzichtelijk voor alle medewerkers. Dit betreft vertrouwelijk documenten met personeelsgegevens. 22-6-2023 Er werd ontdekt dat in een bepaald systeem waar bepaalde persoonsgegevens waren opgeslagen onbedoeld ook toegankelijk was buiten de organisatie voor diegenen die het exacte systeemadres van het desbetreffende domein kenden. Het gaat enkel om contact informatie en hardware informatie van onze werknemers, bijvoorbeeld het type hardware dat de werknemer zou ontvangen. 3-8-2023 Een toekenningsbrief van een gehandicaptenparkeerkaart is aan de verkeerde persoon verzonden. Hierin stond alleen de naam van de persoon en dat deze een gehandicaptenparkeerkaart krijgt. Verder geen andere persoonlijke gegevens. De onbevoegde ontvanger heeft dit lek bij de gemeente gemeld en vervolgens heeft zij bevestigd de brief te vernietigen. 10-8-2023 Door een systeemtechnische fout is een aangevraagde echtscheidingsakte naar het oude (verkeerde) adres van de aanvrager gestuurd.

De akte wordt altijd opgestuurd naar het in de BRP bekende adres. Deze gegevens herleiden we uit ons Zaaksysteem en zouden in de regel ten alle tijden actueel moeten zijn. Dit was door een systeemfout niet het geval waardoor er een oud adres van de klant zichtbaar was. De beheerder van ons datadistributiesysteem heeft bij de leverancier nagevraagd waarom de oude gegevens worden doorgestuurd naar zaaksysteem en er niet eerst een vraag aan de landelijke voorziening wordt gesteld voor de meest actuele gegevens. Daarbij is ook gevraagd om maatregelen die dit soort systeemfouten voorkomen. Op 23-8-2023 is de geboortedatum, bsn en privéadres ten onrechte gedeeld van 27-9-2023 een persoon per email. 9-11-2023 op 13 oktober 2023 is er een e-mail verstuurd aan een collega . Bij het opstellen van de mail bleken er twee mailadressen te verschijnen. Dit heeft ervoor gezorgd dat het verkeerde mailadres is gebruikt.

Nee

28

Nee Nee

Nee

Nee

Nee Nee

Met leveranciers en ketenpartners zijn verwerkers- of datalevering-overeenkomsten afgesloten om de beveiliging van privacygevoelige gegevens te borgen. De in deze overeenkomsten opgenomen informatiebeveiligingseisen zorgen ervoor dat de risico’s aanzienlijk verkleind zijn. Daarnaast wordt gewerkt aan het implementeren van technische componenten zoals het SIEM/SOC. Hiermee wordt het mogelijk om systematisch in de gaten houden wat er gebeurt in de gemeentelijke systemen, afwijkingen herkennen en hier vervolgens adequaat op reageren. Detectie zorgt voor het vroegtijdig signaleren van afwijkingen en bedreigingen en geeft daarmee ruimte om incidenten te voorkomen voordat ze manifest worden. Detectie zorgt dat kosten als gevolg van incidenten laag blijven en incidenten uiteindelijk zelfs voorkomen kunnen worden, maar ook dat zaken die niet of nooit gezien worden wel aan het licht komen en kunnen worden aangepakt. Detectie en de reactie op meldingen vereist echter tijd van beheerders, die deze tijd vaak niet beschikbaar hebben. Als de gemeente niet weet wat er gebeurt, dan kan ook niet worden gestuurd op risico's. Gebrek aan inzicht in wat er feitelijk gebeurt is onwenselijk omdat dit het bestuur belet om adequaat te kunnen sturen op risico's, ernaar te handelen en ervan te leren. Het implementeren van de BIO en de AVG brengt de basis op orde.

Daarmee kan informatiebeveiliging en privacybescherming als proces worden ingericht waarmee de focus op detectie en actieve preventie gezien wordt als de logische vervolgstap.

29

8. Meerjarenperspectief Inwoners, ondernemingen en instellingen moeten erop kunnen vertrouwen dat we zorgvuldig omgaan met (persoons)gegevens. Het is daarom van groot belang dat gegevens alleen onder strikte voorwaarden gebruikt worden en goed beveiligd zijn tegen onbevoegd gebruik. Ons meerjaarlijks informatiebeveiligingsbeleid kent passende technische en organisatorische maatregelen om informatie te beschermen. Ook waarborgt het beleid dat de gemeente voldoet aan de relevante wet- en regelgeving. De beveiligingsfunctionaris (CISO) zorgt voor de coördinatie en het toezicht op de naleving van beveiligingsmaatregelen en -procedures, voor elk onderdeel van het informatiebeveiligingsbeleid. Jaarlijks toetsen we door middel van zelfevaluatie en externe audits de maatregelen voor de waardedocumenten, BRP, BAG, BGT, BRO, DigiD en Suwinet. We houden rekening met ontwikkelingen en nieuwe opkomende bedreigingen. Dat vraagt om tijdig anticiperen en middelen beschikbaar stellen om maatregelen te nemen. We hebben afgelopen jaren te maken gehad met nieuwe trends en ontwikkelingen, dit zal ook de komende jaren niet anders zijn. Zo heeft de Coronacrisis gezorgd voor de toename van digitaal plaats en tijd onafhankelijk werken. Diverse ontwikkelingen in de nabije toekomst maar ook die de afgelopen periode al zijn ingezet mogen niet onderbelicht blijven.

In feite zijn de hieronder uitgewerkte punten onder te brengen in een aantal dreigingen. Deze moeten gezien worden als reminders waar nu en de komende jaren rekening mee moet worden gehouden. De gemeentelijke informatievoorziening is kwetsbaar. We onderscheiden hieronder7 een aantal categorieën van dreigingen in volgorde van belangrijkheid.

Grootste risico’s voor gemeenten Wat zijn op dit moment de grootste risico’s op het gebied van de informatiebeveiliging en gegevensbescherming? Uitval van dienstverlening en bedrijfsvoering Als informatie niet beschikbaar is, leidt dat tot problemen in de dienstverlening en de bedrijfsvoering. Nagenoeg ieder proces, van uitgifte van paspoorten tot het betalen van uitkeringen, wordt uitgevoerd of ondersteund door digitale informatie- en communicatievoorzieningen. In het ergste geval moeten gemeenten dienstverleningsprocessen stilleggen. Vertrouwelijke informatie in verkeerde handen In principe is overheidsinformatie openbaar. Tenzij deze informatie privacygevoelig is, schade kan toebrengen aan de overheid of commercieel voor- of nadelig kan zijn voor derden. Gemeenten verwerken voor hun wettelijke taken veel vertrouwelijke informatie. Denk aan gegevens over werk en inkomen, zorg, veiligheid of commercieel interessante informatie over gebiedsontwikkeling, aanbestedingen en bedrijfsgevoelige informatie. Onterechte toegang tot deze informatie kan uiterst nadelig uitvallen voor inwoners en ondernemers. Een datalek of een overtreding van de AVG kan leiden tot hoge boetes. Fouten in de dienstverlening Informatiebeveiligingsincidenten kunnen leiden tot fouten in de dienstverlening.

Kwaliteit en integriteit van data worden in het algemeen niet direct gezien als doel van informatiebeveiliging. Toch dient dit risico nadrukkelijk op het netvlies te staan van de directie. Want als informatie niet integer is, kan dat leiden tot vertraagde of foute beslissingen, verkeerde handelingen en verspilling van tijd en menskracht.

7

Bron: IBD, tweejaarlijks dreigingsbeeld informatiebeveiliging Nederlandse gemeenten 2023/2024

30

Actueel dreigingsbeeld 2023-2024 De IBD ziet dat in het bijzonder drie soorten dreigingen opvallen sinds het uitbrengen van het vorige dreigingsbeeld over 2021- 2023. Meer ransomware met destructievere gevolgen De dreiging van ransomware-aanvallen neemt toe. Aan de lopende band proberen criminelen een ingang te vinden. De (potentiële) gevolgen van een aanval worden ook steeds ernstiger: het wordt merkbaar. Het fenomeen ransomware (gijzelsoftware) komt al jaren voor. Criminelen versleutelen gegevens en persen het slachtoffer af om deze gegevens na het betalen van losgeld weer toegankelijk te maken. De IBD ontving de afgelopen jaren steeds meer meldingen van situaties waar gemeentelijke proces- sen langdurig(er) verstoord zijn als gevolg van destructieve gijzelsoftware. Criminelen aarzelen niet om privacygevoelige gegevens van inwoners, bedrijven en medewerkers online te publiceren. Steeds meer en ernstiger kwetsbaarheden in software Alle hard- en software bevat kwetsbaarheden en fouten. Deze zouden kunnen worden misbruikt door kwaadwillenden. Het is daarom zaak om kwetsbaarheden tijdig te verhelpen. In 2021 heeft de IBD 1841 kwetsbaarheden gesignaleerd. De ene kwetsbaarheid is de andere niet en daarom wordt per geval een risicoschatting gemaakt op basis van kans en impact.

Gevallen met een hoge kans op misbruik en ernstige gevolgen komen in de afgelopen jaren relatief steeds vaker voor. Vaak is het verhelpen van een kwetsbaarheid een kwestie van updaten, maar soms is het complexer en moeten systemen ingrijpend gewijzigd worden. Gevaren in ketens uit het zicht Een gemeente neemt deel in gemiddeld 30 samenwerkingsverbanden en maakt gebruik van diensten van derden zoals softwareleveranciers. Omdat men bij uitbesteding vooral stuurt op de kwaliteit van de uiteindelijke dienstverlening en informatiebeveiliging en privacy gezien worden als operationele details, is daar weinig aandacht voor in de samenwerkingsafspraken. Politiek gezien is uitbesteding en/of samenwerking bedoeld om zaken tegen lagere kosten op een hoger kwaliteitsniveau te krijgen. Informatiebeveiliging is in die zin een kostenpost. Als er al concrete afspraken zijn over informatiebeveiliging en privacy dan staat controle op de naleving beperkt op de agenda. Gemeenten vertrouwen erop dat bij een samenwerkingsverband dergelijke zaken ‘gewoon geregeld zijn’. Dit heeft als gevolg dat er weinig zicht is op de feitelijke risico’s als taken zijn uitbesteed. Gemeenten zijn in de afgelopen twee jaar regelmatig geconfronteerd met incidenten die ontstaan zijn bij derden waarbij de gevolgen in de eigen gemeente merkbaar waren.

31

Speerpunten Nederlandse Cybersecuritystrategie 2023 – 2028 (Bron: Nationaal Cyber Security Centrum (NCSC)) De Nederlandse samenleving wordt in hoog tempo steeds meer afhankelijk van digitale systemen. Hierdoor groeien de risico’s en is digitale veiligheid, cyberweerbaarheid, steeds belangrijker. De Nederlandse Cybersecuritystrategie richt zich op het ontwikkelen van een veilig en digitaal ecosysteem, met vijf speerpunten: • • •

•

•

Beter zicht op de dreiging. Het kabinet investeert in mensen en systemen die scherper zicht geven op de herkomst van dreigingen en tegen wie ze gericht zijn. Meer cybersecurityspecialisten. We nemen verschillende acties om meer ICT-specialisten op de arbeidsmarkt te krijgen. Overheid en sectoren nemen verantwoordelijkheid. De verantwoordelijkheid voor veiligheid wordt deels verplaatst van eindgebruikers naar de overheid en specifieke sectoren. De meest volwassen en bepalende organisaties dragen de zwaarste verantwoordelijkheden. Voor de gehele overheid zelf zullen stevige wettelijke eisen voor veiligheid en toezicht op naleving erop worden ingericht. Beter toezicht en de noodzakelijke wet- en regelgeving. Herschikking van verantwoordelijkheden vergt uitbreiding van wettelijke regels en toezicht. Veiligheid moet het fundament worden waarop nieuwe systemen worden ontworpen. Er komen nieuwe regels waar (rijks)overheden, vitale aanbieders, en leveranciers van digitale producten en diensten aan moeten voldoen. Heldere informatie via een nationale cyberautoriteit. Er komt een centrale cyberautoriteit in Nederland: het nationale Cyber Security Incident Response Team.

Deze nieuwe organisatie zal in samenwerking met publieke en private partners, vitale en niet-vitale organisaties, overheden en burgers voorzien van informatie over (dreigende) cyberincidenten om hen in staat te stellen zich te beveiligen.

32

Wake-up call: Sinds januari 2016 zijn al meer dan 550 cyberincidenten bij Nederlandse organisaties vermeld in de media. Of het nu gaat om DDoS-aanvallen, fraude via phishing, verloren USB-sticks of gijzelsoftware. (Bron: DataLekt.nl)

Aantal soorten cyberincidenten in Nederland per jaar (gemeten 13 maart 2024):

Hoewel we er alles aan doen om de risico’s zo klein mogelijk te maken maar incidenten zijn ook voor Midden-Delfland niet uit te sluiten. 33

34