11 10334JV Jaarverslag IB 2021.pdf

18.2.2

Uitbreiden gebruik ISMS

Het ISMS is ons managementsysteem dat helpt om op een aantoonbare en controleerbare wijze verantwoording af te leggen op het gebied van informatiebeveiliging. De kracht van dit systeem wordt groter naarmate meer gebruikers hun bijdrage leveren aan dit systeem en waarbij de CISO het beheersproces dat hieraan verbonden is, beter kan gaan monitoren. Het ISMS maakt dan echt onderdeel uit van de hele organisatie en daarmee worden we als geheel minder kwetsbaar op de continuïteit van informatiebeveiliging. Voor een groot deel rust dit nu op de schouders van de CISO en informatiebeveiligingsadviseurs. Uiteraard is het verhogen van het gebruik een groeiproces. We gaan medewerkers die direct of indirect betrokken zijn bij het vormgeven van een ISMS en daarvoor input moeten leveren in 2022 benaderen om hun verantwoordingsbijdrage namens de directie zelf in te voeren in het ISMS. Dat vergt op zich nauwelijks inspanning voor de gebruiker vanwege de gebruikersvriendelijkheid van het ISMS. We gaan in 2022 het gebruik van het ISMS in de organisatie gefaseerd verbreden naar de overige informatiebeveiligingsbeheerders.

25

De verwachting is dat de meeste in deze paragraaf vermelde punten binnen het reguliere werk kunnen worden gerealiseerd.. Er is alleen goede wil en voldoende medewerking nodig vanuit de organisatie en daarin is alle vertrouwen omdat we het belang van informatiebeveiliging voor het succes van onze organisatie steeds meer als randvoorwaarde onderkennen. Er zijn verbeterpunten die relatief veel tijd vergen en projectmatig met ondersteuning van expertise moeten worden uitgevoerd. Dit zijn onder andere de SIEM/SOC implementatie, en het realiseren van een Bedrijfscontinuïteitsplan.

26

7. Realisatie doelstellingen IB-beleid

Hieronder geven we aan met welke genomen maatregelen we invulling hebben gegeven aan de in hoofdstuk 1 genoemde strategische doelen. De strategische doelen van het informatiebeveiligingsbeleid:



Het managen van de informatiebeveiliging.



Adequate bescherming van bedrijfsmiddelen.



Het minimaliseren van risico’s van menselijk gedrag.



Het voorkomen van ongeautoriseerde toegang.



Het garanderen van correcte en veilige informatievoorzieningen.



Het beheersen van de toegang tot informatiesystemen.



Het waarborgen van veilige informatiesystemen.



Het adequaat reageren op incidenten.



Het beschermen van kritieke bedrijfsprocessen.



Het beschermen en correct verwerken van persoonsgegevens van burgers en medewerkers.



Het waarborgen van de naleving van dit beleid.

De drie belangrijkste punten, die in grote mate het succes bepalen van de implementatie van de BIO: Maatregel Informatiebeveiligingsbeleid

Doelstelling Het managen van de informatiebeveiliging

Er is op dit moment een compleet gemeente-breed informatiebeveiligingsbeleid. Dit is in 2016 door het college van burgemeester en wethouders vastgesteld. Volgens regelgeving is dit beleid drie jaar geldig en zou daarom in 2019 geactualiseerd moeten worden. Vanwege het overgangsjaar 2019 van BIG naar BIO (Baseline Informatiebeveiliging Overheden) en de impact daarvan heeft ons college ingestemd met het voor een jaar (2019) verlengen van ons huidige beleid gebaseerd op de BIG. In december 2019 is het op de BIO gebaseerde nieuwe informatiebeveiligingsbeleid 2020-2023 vastgesteld. Informatiebeveiligingsorganisatie

Het managen van de informatiebeveiliging

De IB-organisatie is op 1 maart 2017 door het college vastgesteld. Zonder IB-organisatie is het onmogelijk om tot een goede borging van informatiebeveiliging te komen binnen de organisatie. Elk bedrijfsproces bestaat uit verschillende informatiestromen, waarbij ook verschillende (informatie-)systemen gebruikt worden. Voor al deze onderdelen zijn de taken, bevoegdheden en verantwoordelijkheden met betrekking tot informatiebeveiliging vastgelegd en toegewezen aan een functie/rol in de organisatie. De leden van de IB-organisatie worden sinds 2017 opgeleid. In 2021 wordt de IB-organisatie aangepast naar de nieuwe organisatiestructuur en de kaders van de BIO.

27

ISMS

Het managen van de informatiebeveiliging

Er is een ISMS (Information Security Management System) geïmplementeerd binnen de gemeente Midden-Delfland. Deze software gebruiken we als ondersteunende tool om alle bedrijfsprocessen in relatie met informatiebeveiliging in kaart te brengen, te monitoren en te borgen binnen de gemeentelijke organisatie. Ook verantwoorden we in het ISMS de stand van zaken per proces en per norm. Het ISMS wordt op in 2021 nog verder ingericht en uitgerold over de IB-organisatie. Hiermee zijn de randvoorwaarden ingevuld voor een succesvolle verdere implementatie van het IBbeleid. Hieronder volgen de overige punten die als prioriteit zijn aangeduid bij de GAP-, risico- en impactanalyse. Hierbij is een hoge mate van urgentie van implementatie zeer gewenst en in sommige gevallen zelfs noodzakelijk: Maatregel

Doelstelling

Bewustwording

Het minimaliseren van risico’s van menselijk gedrag

Er wordt in de organisatie aandacht gegeven aan bewustwording over informatiebeveiliging. Onderzoek heeft aangetoond dat incidenten op het vlak van informatiebeveiliging voor 80% te wijten zijn aan menselijke fouten. Zo geven we periodiek aandacht aan phishingmail en ransomeware. In 2021 is dat vooral via intranet gedaan en ad-hoc na signalering van actuele dreiging of ontvangen phishingmail. Door de inwerkingtreding van de AVG is in 2021 veel ad-hoc aan bewustwording gedaan op het gebied van privacybescherming. In 2021 is gestart om met behulp van e-learning structureel leerstof aan medewerkers aan te bieden op een leuke interactieve manier. Hierbij is ook gemonitord hoe het met het bewustzijn, de kennis en gedrag rond informatiebeveiliging en privacy is gesteld. Daarmee kunnen we ook gerichter sturen op het aanbod en actualiteit van de leerstof. Deze e-learning wordt in 2022 gecontinueerd en aangepast baan actuele onderwerpen. In- en uitdienst-treden en functieverandering van medewerkers Onze in- en uitdienst-treden procedure voor medewerkers moet worden geactualiseerd naar de huidige normen voor informatiebeveiliging. Toegangsregelingen van onder andere applicaties tijdens verandering van functie worden onvoldoende vastgelegd. Toegangsregelingen van kernapplicaties zijn nog onvoldoende in kaart gebracht.

Dit heeft ook een grote relatie met de nieuwe Europese privacywetgeving (AVG) die per 25 mei 2019 van kracht is. Dit is al vanaf de ENSIA verantwoording over 2017 door onze auditor als belangrijk verbeterpunt aangedragen. Om dit proces te verbeteren is in 2019 bij het team Personeelszaken gestart om maatregelen door te voeren en de huidige procedure te actualiseren. Inmiddels is dit breder opgepakt. Het totale proces is in 2021 geautomatiseerd. In 2022 worden de fouten uit het proces gehaald en verder gestroomlijnd. Besmetting door virussen en malware Op diverse ICT-niveaus zijn technische maatregelen getroffen om dit risico tot een minimum te beperken. Toch blijft dit een groot punt van aandacht en zorg. De zwakste schakel is de mens. Dit geven we voornamelijk in de diverse bewustwording sessies grote aandacht.

28

Het voorkomen van ongeautoriseerde toegang.

· Het voorkomen van ongeautoriseerde toegang. · Het garanderen van correcte en veilige informatievoorzieningen.

Zo nemen hebben we in 2021 extra technische maatregelen genomen om schade te voorkomen of te beperken. In 2022 wordt gestart met de voorbereiding van de implementatie van een SIEM/SOC Mobile Device Management / digitaal vergaderen Eind 2018 zijn we gestart om ons mobile devicemanagement (MDM) beleid te actualiseren naar de normen uit de BIG. Begin 2019 is het beleid geformaliseerd. Daarnaast zijn gebruik van mobiele devices en thuiswerken nauw verbonden met bewustwording en gedrag van medewerkers. In 2020 zijn de vaste computers op de werkplekken vervangen door mobiele apparatuur. Daarmee is het mogelijk om veilig plaats onafhankelijk te werken. Het op afstand vergaderen van met Teams is vanwege Corona ad-hoc versneld mogelijk gemaakt. Teams draait het beste onder Office 365 waarvoor in 2022 de gefaseerde implementatie start. We werken nu nog met Office 2016. Logging en monitoring Er zijn al oplossingen geïmplementeerd en geactualiseerd om goede logging- en monitoring-procedures op ons netwerkverkeer te kunnen borgen. Gemeenten moeten aantoonbaar bewijs kunnen overhandigen aan allerlei instanties om: te bewijzen dat de gemeente er alles aan heeft gedaan wat binnen haar macht ligt om de inwoner zo goed mogelijk te helpen. Met een in te richten SIEM kunnen we log-gegevens van verschillende domeinen combineren. De voorbereiding op de implementatie van een SIEM/SOC start in 2022.

aan te tonen dat het in- en uitgaand gegevensverkeer wordt gemonitord en er snel proactief op dreigingen kan worden gereageerd. In 2022 gaan we organisatie breed protocollen doorvoeren om ook te voldoen aan de BIO-eisen op logging binnen de vak-applicaties Pentesten Om onze technische infrastructuur te kunnen beoordelen op de mate van informatiebeveiliging voeren we in 2022 een pentest uit. Bedrijfscontinuïteit In 2022 stellen we een bedrijfscontinuïteitsplan en een daaraan gerelateerd crisisplan. Dit is een eis uit de BIO maar de ervaringen bij Lochem en Hof van Twente maken duidelijk dat dit essentieel is om de organisatie met haar processen snel weer operationeel te krijgen.

· Het beheersen van de toegang tot informatiesystemen. · Het beschermen van kritieke bedrijfsprocessen. · Het voorkomen van ongeautoriseerde toegang. · Het beheersen van de toegang tot informatiesystemen. · Het waarborgen van veilige informatiesystemen.

· Het managen van de informatiebeveiliging. · Het adequaat reageren op incidenten.

· Het managen van de informatiebeveiliging

· Het managen van de informatiebeveiliging. · Het adequaat reageren op incidenten.

Naast de hierboven genoemde TOP 10 aan maatregelen benoemen we hieronder nog andere genomen en te nemen maatregelen die bijdragen aan de informatiebeveiliging. Maatregel

Doelstelling

Protocol incidentmanagement

Het adequaat reageren op incidenten.

Een incident in onze informatiehuishouding is een gebeurtenis die de bedrijfsvoering negatief kan beïnvloeden. Incidentmanagement is het geheel van organisatorische maatregelen, om een incident adequaat te detecteren, melden en behandelden. Hiermee minimaliseer of voorkom je de kans op uitval van bedrijfsvoering of ontstane schade. 100% beveiligen van informatie is niet mogelijk. Het is niet de vraag of er iets gaat gebeuren maar wanneer. Met dit protocol beschrijven we de handelwijze voor beveiligingsincidenten op onze informatievoorziening 29

en de afhandeling hiervan. Het melden van datalekken maakt hier ook deel van uit. In 2018 is het protocol incidentmanagement aangepast aan de normen voor het melden van datalekken op grond van de in werking getreden AVG. Het moet nog worden aangepast op het gebied van forensisch onderzoek en aansluiten bij het bedrijfscontinuïteitmanagement en op te stellen crisisplan. protocol Verwerkersovereenkomsten met externe partijen of ketenpartners Steeds meer privacygevoelige gegevens worden verwerkt en opgeslagen bij ketenpartners en leveranciers. De gegevens staan dan niet meer bij ons in huis opgeslagen of worden gedeeld. Informatiebeveiliging wordt daarom meegewogen bij het besluit om samenwerking met een externe partij aan te gaan. Voorafgaand aan het afsluiten van een contract voor uitbesteding of externe inhuur wordt bepaald welke toegang (fysiek, netwerk of tot gegevens) de externe partij(en) moet(en) hebben om de in het contract overeen te komen opdracht uit te voeren en welke noodzakelijke beveiligingsmaatregelen hiervoor nodig zijn.

Het beschermen en correct verwerken van persoonsgegevens van inwoners en medewerkers.

Wanneer externe partijen systemen beheren waarin persoonsgegevens verwerkt worden, wordt zoals bepaald in de AVG altijd een verwerkersovereenkomst of dataleveringsovereenkomst afgesloten. Ook bij uitbesteding van werkzaamheden blijft de gemeente verantwoordelijk voor de gegevensverwerking. Bijzondere aandacht gaat uit naar het sociaal domein waar sprake is van een groot aantal ketenpartners, met name zorgverleners. Wij hebben met de meeste partijen inmiddels een verwerkersovereenkomst afgesloten. In 2021 volgen de resterende. Onderdeel daarvan zijn ook afspraken hoe om te gaan met datalekken. Vervangen van hardware Het afgelopen jaar hebben we samen met ICT-Westland een aanbesteding uitgevoerd voor de vervanging van ons inmiddels afgeschreven serverpark, opslag en back-upsysteem. De nieuwe hardware is in 2021 vervangen en voldoet aan de meest actuele eisen van de BIO.

· Het voorkomen van ongeautoriseerde toegang. · Het garanderen van correcte en veilige informatievoorzieningen. · Het beheersen van de toegang tot informatiesystemen. · Het waarborgen van veilige informatiesystemen. · Het beschermen van kritieke bedrijfsprocessen.

Regionale samenwerking Sinds 2017 zijn medewerkers (Ciso en informatieadviseurs) van Midden-Delfland op regionaal niveau betrokken bij structureel overleg over informatiebeveiliging. Het doel van het overleg is met name om kennis en ervaringen te delen en waar mogelijk ondersteunen bij beveiligingscalamiteiten.

30

8. Incidenten en ontdekte kwetsbaarheden Rapportage van incidenten zoals datalekken en de afhandeling daarvan. In 2021 zijn 97 spammails, 20 incidenten en 263 geconstateerde kwetsbaarheden gemeld bij de CISO en adviseurs Informatiebeveiliging. Het gaat hierbij ook om ontdekte kwetsbaarheden die met updates van software en aanpassingen van de hardware zijn opgelost. De gemelde kwetsbaarheden kwamen voornamelijk van de Informatie Beveiligingsdienst (IBD) en betroffen bijvoorbeeld ook de LOG4J-kwetsbaarheden. In 2021 zijn er 11 van de beveiligingsincidenten aangemerkt als datalek. Daarvan hebben we in twee gevallen zelf melding moeten doen bij de Autoriteit Persoonsgegevens (AP), een maal is daar door een partnerpartij melding gemaakt. De betrokkenen slachtoffers zijn geïnformeerd. In 2020 was er nog sprake van 16 beveiligingsincidenten waarbij er toen negen zijn aangemeld als datalek. Sinds 5 jaar is het aantal door medewerkers gemelde incidenten gedaald. Een van de redenen hiervoor zou kunnen zijn dat de organisatie en ketenpartners bewuster met gevoelige informatie omgaat. Het is daarom van belang om te blijven investeren in bewustwording over informatiebeveiliging en privacy. De opgetreden incidenten kunnen op diverse manieren worden ingedeeld. De belangrijkste indeling is die in het kader van de AVG en de Wet meldplicht datalekken.

Een incident in de informatiehuishouding is niet per definitie meldingsplichtig is in het kader van de AVG. Bij een incident wordt onderzocht of er persoonsgegevens in verkeerde handen kunnen zijn gekomen. Als dat het geval is dan wordt het incident gemeld met de maatregel die we hebben genomen om het datalek te dichten. Van de Informatie Beveiligingsdienst (IBD) worden we met grote regelmaat geïnformeerd over ontdekte kwetsbaarheden in gebruikte systemen en software. Deze zijn met de geboden softwareupdates meestal snel opgelost. In 2021 ontvingen we maar liefst 263 meldingen van de IBD over ontdekte kwetsbaarheden, in 2020 waren dat er nog 171. De daarmee gepaard gaande updates of maatregelen zijn allemaal met de grootste urgentie uitgevoerd. Gezien het grote aantal van deze IBD-meldingen hebben we deze niet in het overzicht op pagina 32 opgenomen. Indien u als college van B&W of gemeenteraad behoefte aan heeft kunnen we u deze lijst alsnog toesturen. 2021 was met alle coronamaatregelen wederom een bewogen jaar. Ook voor de gemeentelijke ICT-beveiliging was het einde van 2021 hectisch. Op 10 december ontving de IBD informatie over ernstige kwetsbaarheden in het softwareonderdeel Log4j, een veelgebruikte bouwsteen voor het loggen van gebeurtenissen in hard- en software.

Voor deze kwetsbaarheid was een exploit gepubliceerd, dit is een mogelijkheid voor hackers om misbruik te maken. Hierop zijn we als gemeenten met ondersteuning en aanbevelingen van de IBD de nodige maatregelen gaan nemen en software die de kwetsbaarheid bevat uit te schakelen. De softwareleveranciers kwamen op een bepaald moment met aanpassingen van hun software of tijdelijke noodoplossingen. Lastig hierbij is dat duidelijk moet zijn welke software het kwetsbare onderdeel bevat. Ook is het in- en extern netwerkverkeer met extra aandacht gemonitord. Dit betekende een extra belasting is voor de ICT-medewerkers. Samen met Westland hebben wij onze netwerken laten scannen op kwetsbaarheden. Gelukkig zijn er geen schadelijke virussen, mallware of sporen van kwaadwillenden ontdekt op onze netwerken. Al met al geeft ook deze crisis wederom de kwetsbaarheid van onze digitale bedrijfsvoering aan. 2020 staat ons ook nog de Citrix-kwetsbaarheid vers in het geheugen. We konden toen vanwege die kwetsbaarheid niet thuiswerkend inloggen op onze Citrix omgeving.

31

Incidenten / datalekken in 2021 Datum

Omschrijving

Melding aan AP

11-1-2021 Zonder doelbinding is er intern binnen de organisatie een mutatieformulier met meer persoonsgegevens van een medewerker gebruikt dan nodig is.

Nee

29-3-2021 Opnieuw een zelfde soort incident als bij incident nr.1. Wederom een mutatieformulier met meer persoonsgegevens van een nieuwe medewerker dan nodig.

Nee

14-5-2021 Formulier 'Meldformulier voor professionals' op straat gevonden. Het gaat om een veroorzaakt datalek door een partner organisatie: geen getroffen maatregelen vanuit Midden-Delfland noodzakelijk 2-6-2021

Batch brieven verzonden met per abuis een brief van andere burger op de achterzijde geprint. 27-5-2021 Naar verkeerd adres verzonden indicatie cliënt jeugdhulp. Ontvangende partij werkt voor jeugdinstelling en heeft beroepsgeheim. 4-6-2021 Brief over loonbeslag medewerker ontvangen door een medewerker van een niet betrokken afdeling binnen Midden-Delfland. 24-6-2021 Ziekteverzuim medewerkers bij toeval te zien door onbevoegde medeweker. Gevolgen zijn nihil, het gaat om een intern incident. 1-11-2021 Nota voor een vereniging is per abuis naar de verkeerde afzender verstuurd. Alleen naam en adres van vereniging stonden op de nota. Notabedrag zou eventueel gevoelig kunnen zijn, maar is dus alleen door één andere vereniging ontvangen. 11-11Openstaande deur van de serverruimte tijdens openingstijden 2021 gemeentehuis. Is geconstateerd door een medewerker van MiddenDelfland. 15-12Documenten Ww-gegevens waren incidenteel in te zien in financieel 2021 softwarepakket door onbevoegde medewerkers Midden-Delfland. 13-122021

Teamleider en een medewerker binnen een team hebben een mail ontvangen met een terugkoppeling van een spreekuur van de bedrijfsarts met daarbij per ongeluk de terugkoppeling over de verkeerde medewerker toegevoegd.

32

Ja door verantwoordelijke partij Ja Nee

Nee Nee Nee

Nee

Nee

Ja

Melding van datalekken Sinds 2016 geldt de wet Meldplicht datalekken en per 25 mei 2019 is de nieuwe Europese Algemene Verordening Gegevensbescherming (AVG) van kracht geworden. Als onze organisatie niet voldoet aan deze wetten, is dat een risico op een bestuurlijke boete van de Autoriteit Persoonsgegevens van maximaal 20 miljoen euro. In 2022 ontving de Autoriteit Persoonsgegevens (AP) 24.866 datalekmeldingen. Van de bij ons gemelde incidenten zijn er uiteindelijk zes incidenten als datalek gemeld bij de Autoriteit Persoonsgegevens (AP). Binnen 72 uur worden datalekken bij de Autoriteit Persoonsgegevens (AP) gemeld. Er vindt dan direct verder onderzoek plaats naar de risico’s voor personen waarvan de gegevens zijn gelekt. Dit is ook bepalend of deze personen worden geïnformeerd over dit datalek. Andere incidenten die niet als datalek bij de AP zijn gemeld betreffen incidenten waarbij gegevens niet buiten de organisatie zijn gekomen of waarbij door snel te handelen het risico op schade voor de persoon in kwestie teniet is gedaan. Bij een van de datalekken lag de oorzaak bij een externe partij.

Met leveranciers en ketenpartners zijn verwerkers- of dataleveringsovereenkomsten afgesloten. De in deze overeenkomsten opgenomen eisen op het gebied van informatiebeveiliging zorgen ervoor dat de risico’s aanzienlijk verkleind zijn. Daarnaast wordt gewerkt aan het implementeren van technische componenten. Hiermee wordt het mogelijk om systematisch in de gaten houden wat er gebeurt in de gemeentelijke systemen, afwijkingen herkennen en hier vervolgens adequaat op reageren. Detectie zorgt voor het vroegtijdig signaleren van afwijkingen en bedreigingen en geeft daarmee ruimte om incidenten te voorkomen voordat ze manifest worden. Detectie zorgt dat kosten als gevolg van incidenten laag blijven en incidenten uiteindelijk zelfs voorkomen kunnen worden, maar ook dat zaken die niet of nooit gezien worden wel aan het licht komen en kunnen worden aangepakt. Detectie en de reactie op meldingen vereist echter tijd van beheerders, die deze tijd vaak niet beschikbaar hebben. Als de gemeente niet weet wat er gebeurt, dan kan ook niet worden gestuurd op risico's. Gebrek aan inzicht in wat er feitelijk gebeurt is onwenselijk omdat dit het bestuur belet om adequaat te kunnen sturen op risico's, ernaar te handelen en ervan te leren. Het implementeren van de BIO en de AVG brengt de basis op orde.

Daarmee kan informatiebeveiliging en privacybescherming als proces worden ingericht waarmee de focus op detectie en actieve preventie gezien wordt als de logische vervolgstap.

33

9. Meerjarenperspectief Inwoners, ondernemingen en instellingen moeten erop kunnen vertrouwen dat we zorgvuldig omgaan met (persoons)gegevens. Het is daarom van groot belang dat gegevens alleen onder strikte voorwaarden gebruikt worden en goed beveiligd zijn tegen onbevoegd gebruik. Ons meerjaarlijks informatiebeveiligingsbeleid kent passende technische en organisatorische maatregelen om informatie te beschermen. Ook waarborgt het beleid dat de gemeente voldoet aan de relevante wet- en regelgeving. De beveiligingsfunctionaris (CISO) zorgt voor de coördinatie en het toezicht op de naleving van beveiligingsmaatregelen en -procedures, voor elk onderdeel van het informatiebeveiligingsbeleid. Jaarlijks toetsen we door middel van zelfevaluatie en externe audits de maatregelen voor de waardedocumenten, BRP, BAG, BGT, BRO, WOZ, DigiD en Suwinet. We houden rekening met ontwikkelingen en nieuwe opkomende bedreigingen. Dat vraagt om tijdig anticiperen en middelen beschikbaar stellen om maatregelen te nemen. We hebben afgelopen jaren te maken gehad met nieuwe trends en ontwikkelingen, dit zal ook de komende jaren niet anders zijn. Zo heeft de Coronacrisis nu al een enorme invloed op de toename van digitaal plaats en tijd onafhankelijk werken. Diverse ontwikkelingen in de nabije toekomst maar ook die de afgelopen periode al zijn ingezet mogen niet onderbelicht blijven.

In feite zijn de hieronder uitgewerkte punten onder te brengen in een aantal dreigingen. Deze moeten gezien worden als reminders waar nu en de komende jaren rekening mee moet worden gehouden. De gemeentelijke informatievoorziening is kwetsbaar. We onderscheiden hieronder een aantal categorieën van dreigingen in volgorde van belangrijkheid. (Bron: IBD) Intern en onbedoeld In de eerste plaats zijn er dreigingen door onbedoelde neveneffecten van logisch menselijk handelen. Medewerkers van gemeenten doen hun best om het werk snel, efficiënt en kwalitatief goed te doen. Bureaucratie is ‘uit’ en ondernemerschap is ‘in’. De kortste weg naar het resultaat is er vaak één met valkuilen. Voorbeelden: Van dergelijke dreigingen zijn e-mails met gevoelige gegevens aan de verkeerde geadresseerde, verloren USB-sticks en het per ongeluk wissen van bestanden. Extern, bedoeld maar ongericht Verreweg het grootste deel van de incidenten vanuit een externe actor komt voort uit geautomatiseerde bulkaanvallen. Kwaadwillenden scannen het internet af op bekende zwakheden in hard- en software, proberen veelvoorkomende gebruikersnaamwachtwoordcombinaties of sturen honderdduizenden phishingberichten aan elk adres dat ze tot hun beschikking hebben. Gemeenten zijn dan gewoonweg het slachtoffer omdat ze aangesloten zijn op het internet, doorgaans niet omdat ze de Nederlandse overheid zijn.

De gevolgen van ongerichte aanvallen kunnen groot zijn: de meeste aanvallen met gijzelsoftware zijn in eerste instantie ongericht. Het komt voor dat buitgemaakte inloggegevens van ongerichte aanvallen worden aangeboden aan de hoogste bieder. In zo’n geval kan een ongerichte aanval het opstapje vormen voor een gerichte aanval. Extern, bedoeld en gericht Veel aandacht gaat uit naar gerichte dreigingen van hackers en criminelen. Dit fenomeen levert spannende verhalen op in de media. Dit zijn tevens de gevallen die we maar heel moeilijk kunnen ontdekken en die men ook bij de IBD (dus) relatief weinig tegenkomt. Een dergelijke gerichte aanval start vaak met onderzoek door de hacker naar informatie die kan worden gebruikt bij een hack. Op sociale media zoals LinkedIn is veel op het oog onschuldige

34

zakelijke informatie te ontdekken waar een kwaadwillende zijn voordeel mee kan doen. De wat meer gesloten bronnen leveren nog meer informatie op. Er circuleren lijsten met miljarden gestolen gebruikersnamen en wachtwoorden van eerdere hacks. De IBD krijgt meldingen van doelgerichte inlogpogingen op systemen of gerichte phishing-mail met een keurige aanhef en een plausibele aanleiding met het doel om geld of (inlog) gegevens buit te maken. Digitaal vandalisme zoals het platleggen van websites scharen we ook onder deze dreigingscategorie. Intern en bedoeld De meest riskante dreiging komt van binnen de organisatie. Medewerkers met kwade bedoelingen kunnen uit hoofde van hun functie bij veel gegevens en systemen. Vooral medewerkers met verhoogde toegangsrechten zoals ICT-beheerders en management kunnen grote schade aanrichten. Deze dreiging is nog moeilijker te ontdekken. Interne medewerkers kennen de interne processen en controlemechanismen en kunnen die daarom beter omzeilen dan iemand van buiten. We weten niet wat we niet weten Het feit dat er in de gemeente weinig of geen incidenten lijken te zijn, hoeft niet te betekenen dat er niets gebeurt. Besef dat er in elke organisatie incidenten zijn. Als de directie en het management die niet kennen, dan is dat zorgelijk.

Het boven tafel krijgen van incidenten vereist een open cultuur waarin medewerkers zich vrij voelen om situaties te melden. Daarnaast is er ook een technische component: systematisch in de gaten houden wat er gebeurt in de gemeentelijke systemen, afwijkingen herkennen en hier vervolgens adequaat op reageren.

Risico’s voor de ambtelijke organisatie De meest prominente risico’s manifesteren zich in de ambtelijke organisatie; bij de ambtenaren die iedere dag gebruikmaken van informatie- en communicatiesystemen om hun werk te doen. In 2021 deden zich twee situaties voor die het belang van beschikbaarheid van informatiesystemen onderstrepen, storingen na de overgang op nieuwe hardware en de Log4J crisis waardoor we meerdere systemen uit moesten zetten voor een bepaalde periode.. Risico: bedrijfscontinuïteit in het geding Of het nu door een technische oorzaak komt (fouten in hard- en software) of door een niet technische oorzaak (een faillissement van een dienstverlener, een pandemie, een brand, een vlooienplaag, een overstroming, enzovoort). Het kan voorkomen dat het werk niet kan doorgaan zoals dat normaal gaat. Deze risico’s vinden een oorzaak in de digitale wereld of ze manifesteren zich uiteindelijk in het feit dat een computersysteem niet werkt. Per proces hoort bekend te zijn wat de kernfunctie is en hoe die door middel van een informatiesysteem wordt ondersteund. Gemeenten dienen een plan te hebben voor uitval of onbeschikbaarheid van een informatiesysteem. Risico’s met betrekking tot de bedrijfscontinuïteit nemen toe, omdat online processen steeds meer de standaard worden en de offline alternatieven verdwijnen.

Waarbij vroeger voor een aanvraag een papieren formulier met handtekening nog werd overgenomen in een computersysteem, is nu de online aanvraag de directe start van een aanvraagproces. Wanneer een systeem uitvalt kan niet worden teruggevallen op papieren processen. Integriteit van gegevens is niet gewaarborgd We vertrouwen erop dat de persoon die inlogt in een systeem ook degene is aan wie we toestemming geven om dat te doen en dat deze persoon op dat moment ook een gegronde reden 35

heeft om in te loggen. Om technische (een hack) en niet-technische (een medewerker met kwade bedoelingen) redenen kan het zijn dat iemand werk uitvoert dat niet de bedoeling is. Een kwaadwillende kan in zo’n geval gegevens wijzigen, wissen of toevoegen. Een onterechte factuur indienen of goedkeuren, vergunning verstrekken, een uitkering toewijzen, het bepalen van een hoogte van een vergoeding, het verstrekken van een paspoort: dat begint allemaal met het invoeren van gegevens in informatiesystemen.

Vertrouwelijke gegevens in verkeerde handen Een e-mail aan een verkeerd mailadres, een foutje in de toegangsrechten van een gedeelde map (menselijke fouten) of een onontdekt lek in een systeem (technische fouten) of een ongedicht lek in een systeem (een combinatie van menselijke en technische fouten) kunnen ertoe leiden dat vertrouwelijke informatie onbedoeld onder ogen van ongeautoriseerde personen komt. De gemeente werkt met legio vertrouwelijke gegevens over inwoners, maar ook over de eigen bedrijfsvoering: denk aan aanbestedingen, plannen, memo’s, salarissen.

Risico’s voor het openbaar bestuur en de politiek Imagoschade Fouten van medewerkers worden het bestuur aangerekend. Daarnaast krijgen bestuurders en politieke ambtsdragers veel gevoelige en vertrouwelijke informatie onder ogen. Een zorgvuldige omgang is vereist. Het vertrouwen in de gemeente en de ambtsdragers kan ernstig worden aangetast als (vertrouwelijke) informatie wordt gebruikt om er zichzelf of anderen mee te bevoordelen. Belangrijk is ook om (digitale) stukken goed op te bergen en de interne beveiligingsinstructies op te volgen die gelden voor gebruik van smartphones, tablets en pc’s, et cetera. Het vertrouwen in de overheid hangt onder meer samen met de wijze waarop men omgaat met gegevens. Dat wil zeggen: inwoners van de gemeenten moeten er op kunnen vertrouwen dat de gemeente gegevens op een passende manier beschermt en plannen uitvoert zoals ze zijn afgesproken.

Financiële schade Op meerdere manieren kan een gemeente geconfronteerd worden met financiële schade als gevolg van ontbrekende informatiebeveiliging. De gemeente Lochem werd op een haar na slachtoffer van gijzelsoftware maar had toch enkele tienduizenden euro’s schade als gevolg van het stilleggen van de dienstverlening, het forensisch onderzoek en het herstellen van de ICT-omgeving. Wanneer de gemeente daadwerkelijk zou zijn getroffen door gijzelsoftware hadden de kosten kunnen oplopen tot honderdduizenden of zelfs miljoenen euro’s. Een ambtenaar, bestuurder of raadslid kan bedoeld of onbedoeld informatie verschaffen waar een kwaadwillende zijn voordeel mee kan doen (en de gemeente gedupeerd achterblijft). Informatie rond bestemmingsplannen, aanbestedingen of veranderende regels kan zeer waardevol zijn. Onzorgvuldige omgang met persoonsgegevens en overtredingen van de Algemene verordening gegevensbescherming (AVG) kunnen leiden tot aansprakelijkheidsstellingen van getroffenen of boetes van de privacy-toezichthouder. Een boete wegens onzorgvuldig handelen met de privacy van inwoners zou bovendien leiden tot grote imagoschade.

Schade aan democratische processen Inbreuken op de beschikbaarheid, integriteit en vertrouwelijkheid van informatiesystemen kunnen het democratische proces aantasten. Dit geldt voor zowel verkiezingen als stemprocessen

36

van volksvertegenwoordigers. Raadsleden moeten ervan op aan kunnen dat hun stem op de juiste wijze wordt verwerkt en dat ze hun stem kunnen baseren op de juiste informatie. Bovendien is bij verkiezingen het stemgeheim een groot goed.

Risico’s voor de inwoners en de ondernemers Gegevens in verkeerde handen Gemeenten worden geacht als goed huisvader om te gaan met de gegevens die ze onder hun hoede hebben. Als de informatie van de overheid in verkeerde handen komt zijn de mogelijke gevolgen voor inwoners en ondernemers bijna niet te overzien. Inwoners zijn voor veel gevoelige zaken afhankelijk van de overheid: zorg, werk, inkomen en andere voorzieningen. Tijdens de coronacrisis is een derde van de Nederlandse werkenden afhankelijk van regelingen die geheel of gedeeltelijk worden uitgevoerd door gemeenten. Bijna één op de tien kinderen en jongeren maken gebruik van jeugdzorg. Als over individuele gevallen informatie uitlekt, zijn de betrokkenen daar direct de dupe van.

Dienstverlening van de gemeente niet beschikbaar Als de dienstverlening van de gemeente niet of verminderd beschikbaar is, dan kunnen inwoners en ondernemers daar hinder van ondervinden. In sommige gevallen zal er sprake zijn van licht ongemak wanneer een inwoner diensten of producten een paar dagen later geleverd krijgt. Uitval van meerdere dagen of zelfs langer kan serieuze maatschappelijke, economische en sociale gevolgen hebben.

Ontwrichting van alledaagse processen Veel van de systemen die ervoor zorgen dat alledaagse processen goed verlopen worden aangestuurd door computersystemen. Procesautomatisering gaat onder andere over doorstroming van het verkeer, regulering van de waterstand of de toegangsverlening tot gebouwen of faciliteiten. Ook hier kunnen menselijk handelen (bedoeld of onbedoeld) of de techniek leiden tot verstoringen van de beschikbaarheid (uitval van systemen) en integriteit (groen licht in plaats van rood licht, brug open in plaats van brug dicht of ontregeling van rioleringspompen).

Wake-up call: Gijzelhackers Hof van Twente Aan het eind van 2020 volgde het meest ingrijpende gemeentelijke cyberveiligheidsongeluk. Medio december legden gijzelhackers de systemen van Hof van Twente plat. De gemeentelijke dienstverlening kwam abrupt tot stilstand. De Overijsselse gemeente moest op de blaren zitten en zag al haar systemen onbruikbaar worden, omdat de hackers alle data hadden afgegrendeld of vernietigd. Op de eis van losgeld werd niet ingegaan. Burgemeester Ellen Nauta kon haar inwoners vertellen dat de naweeën van de cyberaanval groot zijn. De dienstverlening moest nog grotendeels handmatig verlopen. Volgens Nauta zijn er vooralsnog geen aanwijzingen dat er persoonsgegevens zijn buitgemaakt. Een jaar na de hack heeft de gemeente 78 procent van de programmatuur en data weer hersteld. Een deel van de data is voor altijd weg. Kosten tot nu toe: 3,9 miljoen euro. Overigens was de gemeente niet tegen cyberinbraak verzekerd. Hoewel we er alles aan doen om het risico zo klein mogelijk te maken is dit scenario ook voor Midden-Delfland niet uit te sluiten.

37