05 bijlage 655678 JV Jaarverslag Informatiebeveiliging 2024

Er is alleen goede wil en voldoende medewerking nodig vanuit de organisatie en daarin is alle vertrouwen. We onderkennen immers het belang van informatiebeveiliging steeds meer als randvoorwaarde voor het succes van onze organisatie. Er zijn verbeterpunten die relatief veel tijd vergen en projectmatig met ondersteuning van expertise moeten worden uitgevoerd. Dit zijn onder andere de SIEM/SOC implementatie, en het realiseren van een bedrijfscontinuïteitsplan met crisisplannen per proces/taakveld.

Jaarverslag Informatiebeveiliging Midden-Delfland 2024

25

8.3.

Nieuwe wet- en regelgeving over informatiebeveiliging

Bovenstaande maatregelen gaan voornamelijk over onze administratieve en dienstverlenende processen. Automatisering en internetkoppelingen zien we echter ook steeds meer in vitale fysieke systemen terugkomen zoals zogenaamde internet-of-things. In onze beweegbare bruggen, verkeerslichten, CCTV systemen en rioolgemalen wordt steeds meer gebruik gemaakt van (industriële) automatisering, ook wel Industrial Control Systems en Supervisory Control And Data Aquisition (ICS/ SCADA) genoemd. Hierop wordt in nieuwe regelgeving op geanticipeerd. De Cyberbeveiligingswet (Cbw) en BIO2.0 zijn onderdeel van de implementatie van de Europese Netwerk- en informatiebeveiligingsrichtlijn (NIS2). De BIO2.0 dient als normenkader voor de zorgplicht van de overheid op het gebied van informatiebeveiliging en helpt een uniforme en gecoördineerde aanpak van cyberbeveiliging te waarborgen. De normen en verplichtingen worden juridisch verankerd in de Cyberbeveiligingswet. De BIO2 wordt opgenomen in een Ministeriële Regeling en een Algemene Maatregel van Bestuur, waarna de Rijksinspectie Digitale Infrastructuur (RDI) toezicht houdt op de naleving. Voor waterschappen zal de Inspectie Leefomgeving en Transport het toezicht invullen. De BIO2.0 weerspiegelt internationale beveiligingsnormen en legt meer nadruk op een risicogestuurde benadering.

Hierdoor zijn sommige basisbeveiligingsniveaus vervallen en zijn bepaalde overheidsmaatregelen verlicht, terwijl andere verzwaard zijn door de NIS2. Hoewel de BIO2 nog niet definitief is, roept het ministerie van BZK organisaties op zich voor te bereiden op de komst ervan. Organisaties moeten nu aan de slag om de basisveiligheid op orde te brengen, waarbij bestuurders een verantwoordelijkheid hebben om CISO’s te ondersteunen in de transitie naar de BIO2. Een goede eerste stap is het uitvoeren van een gap-analyse en het in kaart brengen van de uitvoeringskosten. De conceptversie van de BIO2 is alvast gedeeld om dit te faciliteren. De BIO 2.0 is in concept gereed en volgt het besluitvormingsproces dat in 2025 wordt afgerond. Toezicht en wetgeving worden strenger De toezichthouders op informatiebeveiliging worden actiever bij de handhaving van de NIS2richtlijn en de Cyberbeveiligingswet. De verantwoordelijkheid verschuift hierbij steeds meer naar de gemeenten zelf. Bestuurders worden aansprakelijk gehouden als blijkt dat er onvoldoende toezicht is geweest op informatiebeveiliging. Dit vraagt om een preventieve benadering in plaats van een reactieve. Zo werken we samen met de gemeente Westland aan het implementeren van technische componenten zoals het SIEM/SOC.

Hiermee wordt het mogelijk om systematisch in de gaten houden wat er gebeurt in de gemeentelijke systemen, afwijkingen herkennen en hier vervolgens adequaat op reageren. Detectie zorgt voor het vroegtijdig signaleren van afwijkingen en bedreigingen en geeft daarmee ruimte om incidenten te voorkomen voordat ze manifest worden. Detectie zorgt dat kosten als gevolg van incidenten laag blijven en incidenten uiteindelijk zelfs voorkomen kunnen worden, maar ook dat zaken die niet of nooit gezien worden wel aan het licht komen en kunnen worden aangepakt. Detectie en de reactie op meldingen vereist echter tijd van beheerders, die deze tijd vaak niet beschikbaar hebben. Als de gemeente niet weet wat er gebeurt, dan kan ook niet worden gestuurd op risico's. Gebrek aan inzicht in wat er feitelijk gebeurt is onwenselijk, omdat dit het bestuur belet om adequaat te kunnen sturen op risico's, ernaar te handelen en ervan te leren. Het implementeren van de BIO en Jaarverslag Informatiebeveiliging Midden-Delfland 2024

26

de AVG brengt de basis op orde. Daarmee kan informatiebeveiliging en privacybescherming als proces worden ingericht waarmee de focus op detectie en actieve preventie gezien wordt als de logische vervolgstap. Regionale samenwerking Sinds 2017 zijn medewerkers (CISO en informatieadviseurs) van Midden-Delfland op regionaal niveau betrokken bij structureel overleg over informatiebeveiliging. Het doel van het overleg is met name om kennis en ervaringen te delen en waar mogelijk ondersteunen bij informatiebeveiligingsincidenten.

Jaarverslag Informatiebeveiliging Midden-Delfland 2024

27

9. Incidenten, ontdekte kwetsbaarheden en datalekken 9.1.

Gemelde incidenten en kwetsbaarheden

In 2024 zijn 21 spammails, 12 incidenten en 116 geconstateerde kwetsbaarheden gemeld bij de CISO en adviseurs informatiebeveiliging. Het gaat hierbij ook om ontdekte kwetsbaarheden die met updates van software en zijn opgelost. De kwetsbaarheidsmeldingen kwamen voornamelijk van de Informatie Beveiligingsdienst (IBD). Ze betroffen onder andere geconstateerde kwetsbaarheden in software en hardware met daarbij het advies over hoe deze zijn te verhelpen. De verplaatsing van applicaties naar de Cloud gaat de komende jaren toenemen waardoor de kwetsbaarheid van ons eigen ICT-netwerk ook afneemt. Dit betekent dat we ook alert moeten zijn op de beveiliging van onze in de Cloud bij leveranciers opgeslagen informatie. Meldplicht datalekken Sinds 2016 geldt de wet Meldplicht datalekken en per 25 mei 2019 is de nieuwe Europese Algemene Verordening Gegevensbescherming (AVG) van kracht geworden. Als onze organisatie niet voldoet aan deze wetten, is dat een risico op een bestuurlijke boete van de Autoriteit Persoonsgegevens van maximaal 20 miljoen euro.

9.2.

Gemelde datalekken

In 2024 zijn 10 datalekken gemeld bij de privacy officer. In 2020 waren dit er nog 17 in 2021 maar 11 en 10 in 2022 en 2023. Het lijkt hier om een neerwaartse trend te gaan die aandacht verdient. Van een organisatie met de omvang van de gemeente Midden-Delfland kan verwacht worden dat elk jaar enkele tientallen datalekken plaatsvinden, waar gewerkt wordt worden immers ook fouten gemaakt. Van de bij ons gemelde incidenten is er één door ons als gemeente en één door een externe partij als datalek gemeld bij de Autoriteit Persoonsgegevens (AP). Binnen 72 uur worden daarvoor in aanmerking komende datalekken bij de Autoriteit Persoonsgegevens (AP) gemeld. Er vindt dan direct verder onderzoek plaats naar de risico’s voor personen waarvan de gegevens zijn gelekt. Dit is ook bepalend of deze personen worden geïnformeerd over dit datalek. De hieronder beschreven incidenten die niet als datalek bij de AP zijn gemeld betreffen incidenten waarbij gegevens niet buiten de organisatie zijn gekomen of waarbij door snel te handelen het risico op schade voor de persoon in kwestie teniet is gedaan. Meldingsdatum 26-1-2024

Omschrijving

21-2-2024

Er is een afschrift van de huwelijksakte naar het oude adres van de betrokkene gestuurd. In dit afschrift staan persoonsgegevens vermeldt. Er is een (aangetekende) brief gestuurd naar het oude adres van de betrokkene met daarin het verzoek om het huwelijksafschrift te retourneren naar de gemeente óf, indien het huwelijksafschrift is vernietigd, dit te laten weten.

Nee

9-4-2014

Op het intranet van de gemeente staan verschillende werkgroepen. Deze werkgroepen zijn normaliter alleen toegankelijk voor de leden van een team. In een werkgroep worden bijvoorbeeld werkprocessen gedeeld. In deze casus is per abuis een werkproces gedeeld met daarin de persoonsgegevens van een cliënt. Alhoewel dit überhaupt niet de bedoeling is, stond deze groep ook nog tijdelijk (inmiddels niet meer) op openbaar binnen de gemeentelijke organisatie. De gegevens uit het werkproces zijn op verzoek direct weggehaald. Bovendien is

Nee

Melder heeft aangegeven dat zij de CV van de sollicitant heeft doorgestuurd aan een onbevoegde ontvanger. In deze CV staan verschillende persoonsgegevens vermeld. De melder heeft direct contact gehad met degene wiens persoonsgegevens het betreffen. Hij heeft de melder bedankt voor de transparantie. Verder gaf hij aan dat het geen probleem is. Aan de onbevoegde ontvanger is per e-mail gevraagd om de mail te verwijderen en daarvan een bevestiging te sturen. Deze bevestiging is ook ontvangen.

Jaarverslag Informatiebeveiliging Midden-Delfland 2024

Melding aan AP Nee

28

de groep weer op besloten gezet. 15-4-2024

Doordat een paar documenten met persoonsgegevens tijdelijk zijn achtergelaten bij de printer, konden onbevoegden deze inzien. De documenten zijn weggehaald. Er zijn een aantal brieven voor cliënten met daarbij een link naar een enquête naar verkeerde adressen gestuurd. Organisatorisch zijn maatregelen genomen om dit in de toekomst te voorkomen. Een medewerker heeft een printopdracht gegeven voor bankafschriften zoals ontvangen van een inwoner. Deze zijn onverhoopt en zonder directe kennisname daarvan naar een printer gestuurd staande op de benedenverdieping (waar ook Staatsbosbeheer haar printer heeft staan). Twee uur na de printopdracht heeft een medewerker (van Midden-Delfland) de stukken in de printer zien liggen en deze meegenomen op grond van een vermoeden van een datalek. Het gaat om bankafschriften die niet geanonimiseerd zijn en over een periode van drie maanden inzage geven in financiële gegevens. Een medewerker heeft een brief gestuurd naar een inwoner over het besluit op haar aanvraag. Voorafgaand aan het verzenden van de brief is het BRP niet geüpdatet. Hierdoor is de brief naar het oude adres van inwoonster gestuurd. in de werkinstructie wordt opgenomen dat voorafgaand het sturen van een brief na wordt gegaan of het BRP-adres up to date is.

Nee

1-10-2024

Er zijn documenten openbaar geplaatst via iBabs op de website die niet correct geanonimiseerd waren. De zwart gelakte persoonsgegevens konden door een aantal handelingen weer zichtbar gemaakt worden. De betrokkenen zijn per brief geïnformeerd. Direct na ontdekking van het datalek zijn de stukken offline gehaald. Vervolgens zijn de documenten op de juiste manier geanonimiseerd en weer online gezet.

Ja

31-10-2024

Een softwaredienstverlener in de cloud, een verwerker van onze gegevens, was getroffen door een cyberaanval met ransomware. Hierdoor zijn er vermoedelijk verouderde contactgegevens van ambtenaren buitgemaakt. Meteen nadat de verwerker op de hoogte is gesteld van de ongeoorloofde toegang, is er aan een gespecialiseerd cybersecuritybedrijf de opdracht gegeven om onderzoek te verrichten. Door de verwerker zijn zichtbare en onzichtbare additionele

Ja, door verwerker

17-4-2024 4-6-2024

8-8-2024

Nee Nee

Nee

beveiligingsmaatregelen genomen om dit in de toekomst te voorkomen. 28-11-2024 Een mail met een bankafschrift naar per abuis binnengemeentelijk naar Team Financiën gestuurd. Dit had niet gemoeten, er staan persoonsgegevens in. Per e-mail is verzocht om de e-mail met de bankafschrift te verwijden. Later is bevestigd dat dit ook daadwerkelijk gebeurd is.

Nee

Met leveranciers en ketenpartners zijn verwerkers- of datalevering-overeenkomsten afgesloten om de beveiliging van privacygevoelige gegevens te borgen. De in deze overeenkomsten opgenomen informatiebeveiligingseisen zorgen ervoor dat de risico’s aanzienlijk verkleind zijn. Landelijk beeld melding van datalekken 2024 De Autoriteit Persoonsgegevens (AP) ontving in 2024 bijna 38.000 meldingen van datalekken, een aanzienlijke stijging ten opzichte van het jaar ervoor (bijna 26.000). Veel datalekken ontstaan doordat post of mail niet bij de juiste persoon terechtkomt. Ook onbedoelde of onrechtmatige inzage van persoonsgegevens blijkt een veelvoorkomende bron van datalekken. Dit kan een risico opleveren voor de mensen om wiens gegevens het gaat. Mensen kunnen financieel getroffen worden, bijvoorbeeld door identiteitsfraude en oplichting. Organisaties zijn op grond van de AVG verplicht om in voorgeschreven situaties een datalek te melden bij de AP. Veel van de datalekken zijn administratieve vergissingen die vlot te herstellen lijken. Cyberaanvallen zoals gijzelsoftware, phishing of diefstal van data via malware worden minder vaak gemeld. Maar één succesvolle hack kan leiden tot de diefstal van tienduizenden klantgegevens, langdurige uitval van bedrijfsprocessen, verlies van gevoelige informatie, imagoschade of juridische aansprakelijkheid. Bron: Autoriteit persoonsgegevens

Jaarverslag Informatiebeveiliging Midden-Delfland 2024

29

Jaarverslag Informatiebeveiliging Midden-Delfland 2024

30

10.

Meerjarenperspectief

Inwoners, ondernemingen en instellingen moeten erop kunnen vertrouwen dat we zorgvuldig omgaan met (persoons)gegevens. Het is daarom van groot belang dat gegevens alleen onder strikte voorwaarden gebruikt worden en goed beveiligd zijn tegen onbevoegd gebruik. Ons meerjaarlijks informatiebeveiligingsbeleid kent passende technische en organisatorische maatregelen om informatie te beschermen. Ook waarborgt het beleid dat de gemeente voldoet aan de relevante wet- en regelgeving. De beveiligingsfunctionaris (CISO) zorgt voor de coördinatie en het toezicht op de naleving van beveiligingsmaatregelen en -procedures, voor elk onderdeel van het informatiebeveiligingsbeleid. Jaarlijks toetsen we door middel van zelfevaluatie en externe audits de maatregelen voor de waardedocumenten, BRP, BAG, BGT, BRO, DigiD en Suwinet. We houden rekening met ontwikkelingen en nieuwe opkomende bedreigingen. Dat vraagt om tijdig anticiperen en middelen beschikbaar stellen om maatregelen te nemen. We hebben afgelopen jaren te maken gehad met nieuwe trends en ontwikkelingen, dit zal ook de komende jaren niet anders zijn. Zo heeft de Coronacrisis gezorgd voor de toename en normaliseren van digitaal plaats en tijd onafhankelijk werken. Diverse ontwikkelingen in de nabije toekomst maar ook die de afgelopen periode al zijn ingezet zoals AI mogen niet onderbelicht blijven.

We moeten daarbij steeds wendbaarder zijn en weerbaar blijven. In feite zijn de hieronder uitgewerkte punten onder te brengen in een aantal dreigingen. Deze moeten gezien worden als reminders waar nu en de komende jaren rekening mee moet worden gehouden. De gemeentelijke informatievoorziening is kwetsbaar. We onderscheiden hieronder 3 een aantal categorieën van dreigingen in volgorde van belangrijkheid.

10.1. Grootste risico’s voor gemeenten Wat zijn op dit moment de grootste risico’s op het gebied van de informatiebeveiliging en gegevensbescherming? Uitval van dienstverlening en bedrijfsvoering Als informatie niet beschikbaar is, leidt dat tot problemen in de dienstverlening en de bedrijfsvoering. Nagenoeg ieder proces, van uitgifte van paspoorten tot het betalen van uitkeringen, wordt uitgevoerd of ondersteund door digitale informatie- en communicatievoorzieningen. In het ergste geval moeten gemeenten dienstverleningsprocessen stilleggen. Vertrouwelijke informatie in verkeerde handen In principe is overheidsinformatie openbaar. Tenzij deze informatie privacygevoelig is, schade kan toebrengen aan de overheid of commercieel voor- of nadelig kan zijn voor derden. Gemeenten verwerken voor hun wettelijke taken veel vertrouwelijke informatie. Denk aan gegevens over werk en inkomen, zorg, veiligheid of commercieel interessante informatie over gebiedsontwikkeling, aanbestedingen en bedrijfsgevoelige informatie. Onterechte toegang tot deze informatie kan uiterst nadelig uitvallen voor inwoners en ondernemers. Een datalek of een overtreding van de AVG kan leiden tot hoge boetes. Fouten in de dienstverlening Informatiebeveiligingsincidenten kunnen leiden tot fouten in de dienstverlening.

Kwaliteit en integriteit van data worden in het algemeen niet direct gezien als doel van informatiebeveiliging. Toch dient dit risico nadrukkelijk op het netvlies te staan van de directie. Want als informatie niet integer is, kan dat leiden tot vertraagde of foute beslissingen, verkeerde handelingen en verspilling van tijd en menskracht.

3

Bron: IBD, tweejaarlijks dreigingsbeeld informatiebeveiliging Nederlandse gemeenten 2023/2024

Jaarverslag Informatiebeveiliging Midden-Delfland 2024

31

10.2. Dreigingsbeeld 2025 – 2026 De IBD werkt momenteel aan het Dreigingsbeeld Informatiebeveiliging voor de komende twee jaar. De gemeentelijke CISO, ISO, PO, FG kunnen, onder verwijzing naar dit dreigingsbeeld management, directie en bestuur adviseren over digitale risico’s op zo’n manier dat het de gemeente helpt om snel, efficiënt, effectief en zo foutloos mogelijk haar werk te doen, waarbij maximaal gebruik wordt gemaakt van de mogelijkheden en kansen die moderne technologie ons biedt. Actueel dreigingsbeeld 2023-2024 De IBD ziet dat in het bijzonder drie soorten dreigingen opvallen: Meer ransomware met destructievere gevolgen De dreiging van ransomware-aanvallen neemt toe. Aan de lopende band proberen criminelen een ingang te vinden. De (potentiële) gevolgen van een aanval worden ook steeds ernstiger: het wordt merkbaar. Het fenomeen ransomware (gijzelsoftware) komt al jaren voor. Criminelen versleutelen gegevens en persen het slachtoffer af om deze gegevens na het betalen van losgeld weer toegankelijk te maken. De IBD ontving de afgelopen jaren steeds meer meldingen van situaties waar gemeentelijke proces- sen langdurig(er) verstoord zijn als gevolg van destructieve gijzelsoftware. Criminelen aarzelen niet om privacygevoelige gegevens van inwoners, bedrijven en medewerkers online te publiceren.

Steeds meer en ernstiger kwetsbaarheden in software Alle hard- en software bevat kwetsbaarheden en fouten. Deze zouden kunnen worden misbruikt door kwaadwillenden. Het is daarom zaak om kwetsbaarheden tijdig te verhelpen. In 2021 heeft de IBD 1841 kwetsbaarheden gesignaleerd. De ene kwetsbaarheid is de andere niet en daarom wordt per geval een risicoschatting gemaakt op basis van kans en impact. Gevallen met een hoge kans op misbruik en ernstige gevolgen komen in de afgelopen jaren relatief steeds vaker voor. Vaak is het verhelpen van een kwetsbaarheid een kwestie van updaten, maar soms is het complexer en moeten systemen ingrijpend gewijzigd worden. Gevaren in ketens uit het zicht Een gemeente neemt deel in gemiddeld 30 samenwerkingsverbanden en maakt gebruik van diensten van derden zoals softwareleveranciers. Omdat men bij uitbesteding vooral stuurt op de kwaliteit van de uiteindelijke dienstverlening en informatiebeveiliging en privacy gezien worden als operationele details, is daar weinig aandacht voor in de samenwerkingsafspraken. Politiek gezien is uitbesteding en/of samenwerking bedoeld om zaken tegen lagere kosten op een hoger kwaliteitsniveau te krijgen. Informatiebeveiliging is in die zin een kostenpost. Als er al concrete afspraken zijn over informatiebeveiliging en privacy dan staat controle op de naleving beperkt op de agenda.

Gemeenten vertrouwen erop dat bij een samenwerkingsverband dergelijke zaken ‘gewoon geregeld zijn’. Dit heeft als gevolg dat er weinig zicht is op de feitelijke risico’s als taken zijn uitbesteed. Gemeenten zijn in de afgelopen twee jaar regelmatig geconfronteerd met incidenten die ontstaan zijn bij derden waarbij de gevolgen in de eigen gemeente merkbaar waren.

Jaarverslag Informatiebeveiliging Midden-Delfland 2024

32

Speerpunten Nederlandse Cybersecuritystrategie 2023 – 2028 (Bron: Nationaal Cyber Security Centrum (NCSC))

De Nederlandse samenleving wordt in hoog tempo steeds meer afhankelijk van digitale systemen. Hierdoor groeien de risico’s en is digitale veiligheid, cyberweerbaarheid, steeds belangrijker. De Nederlandse Cybersecuritystrategie richt zich op het ontwikkelen van een veilig en digitaal ecosysteem, met vijf speerpunten:  Beter zicht op de dreiging. Het kabinet investeert in mensen en systemen die scherper zicht geven op de herkomst van dreigingen en tegen wie ze gericht zijn.  Meer cybersecurityspecialisten. We nemen verschillende acties om meer ICTspecialisten op de arbeidsmarkt te krijgen.  Overheid en sectoren nemen verantwoordelijkheid. De verantwoordelijkheid voor veiligheid wordt deels verplaatst van eindgebruikers naar de overheid en specifieke sectoren. De meest volwassen en bepalende organisaties dragen de zwaarste verantwoordelijkheden. Voor de gehele overheid zelf zullen stevige wettelijke eisen voor veiligheid en toezicht op naleving erop worden ingericht.  Beter toezicht en de noodzakelijke wet- en regelgeving. Herschikking van verantwoordelijkheden vergt uitbreiding van wettelijke regels en toezicht. Veiligheid moet het fundament worden waarop nieuwe systemen worden ontworpen. Er komen nieuwe regels waar (rijks)overheden, vitale aanbieders, en leveranciers van digitale producten en diensten aan moeten voldoen.

 Heldere informatie via een nationale cyberautoriteit. Er komt een centrale cyberautoriteit in Nederland: het nationale Cyber Security Incident Response Team. Deze nieuwe organisatie zal in samenwerking met publieke en private partners, vitale en nietvitale organisaties, overheden en burgers voorzien van informatie over (dreigende) cyberincidenten om hen in staat te stellen zich te beveiligen.

Jaarverslag Informatiebeveiliging Midden-Delfland 2024

33

Wake-up call: Top 5 branches met de meeste incidenten De overheid, met name gemeenten, blijft de meest getroffen branche (57 incidenten in 2024 tegenover 44 in 2023). Het onderwijs kende een schrikbarende toename, van 13 naar 43 incidenten. Andere opvallende veranderingen zijn een daling in de industrie (van 23 naar 12 incidenten) en vervoer en opslag (van 21 naar 7 incidenten). Onderstaande grafiek toont een overzicht van het aantal gemelde cyberincidenten per branche in 2023 en 2024. Hierdoor worden trends en verschillen snel duidelijk. (Bron: DataLekt.nl)

Hoewel we er alles aan doen om de risico’s zo klein mogelijk te maken zijn incidenten ook voor Midden-Delfland niet uit te sluiten.

Jaarverslag Informatiebeveiliging Midden-Delfland 2024

34

"An ounce of prevention is worth a pound of cure."

– Benjamin Franklin -

Jaarverslag Informatiebeveiliging Midden-Delfland 2024

35