A 24011 Strategisch Informatiebeveiligingsbeleid 2023-2026 en SIEM-SOC

■ HH Gemeente ■ IVüdderi'Delfldnd

AnnavanRaesfeltstraat 37,Postbus1,2636ZC Schipluiden

T (015) 38041 11, F (015) 38099 92 E gemeente@middendelfland.nl , I www.middendelfland.nl

dttcSms:

Aan de gemeenteraad

Ons kenmerk Bijlage(n)

2 2 FEB 2024

481339

Onderwerp

Datum

Raadsbrief Strategisch Informatiebeveiligingsbeleid2023 - 2026 en 16 februari 2024 SIEM/SOC

Geachte raadsleden. Op 12 december 2023 hebben wij het Strategisch Informatiebeveiligingsbeleid2023-2026 vastgesteld. In deze brief informeren wij u overde inhoudvanhet beleid en lichten we toe hoe we uitvoering aan het beleid geven.Daarnaastwerkenwe in 2024 samen met de gemeente Westland aan een aanbestedingvoor een SIEM/SOC oplossing. Een SIEM (SecurityInformation and Event Management)en SOC (SecurityOperations Center) zijn beide essentiële componenten in de moderne beveiligingsinfrastructuur en wettelijkverplichtvolgensde nieuweEuropese regelgeving ophet gebied vaninformatiebeveiliging. Wij informeren u overde impact hiervanen de middelen die deze oplossing vraagt.

Het strategisch Informatiebeveiligingsbeleid U leest in de bijlage het Strategisch Informatiebeveiligingsbeleid2023-2026. Deze vervangthet eerder vastgestelde 'Strategisch GemeentelijkInformatiebeveiligingsbeleidGemeente Midden-Delfland 2020-2023. De kernpunten vanhet informatiebeveiligingsbeleidzijn beschikbaarheid, integriteit (juistheid) en vertrouwelijkheid vanpersoonsgegevens en andere informatie.Het informatiebeveiligingsbeleidgeldt voor alle processen vande gemeente. Het borgt daarmee de informatievoorziening tijdens de hele levenscyclus vaninformatiesystemen, ongeachtde toegepastetechnologieen ongeachthet karakter vande informatie.Het beperktzich nietalleen totde ICT en heeft betrekkingophet politieke bestuur, alle medewerkers, inwoners en ondernemers, gasten, bezoekersen externerelaties. Het document bevatstrategische beleidsuitgangspunten ophet gebied vanonzeinformatiebeveiliging. Hierin staan de uitgangspunten, het sturings-en verantwoordingsmechanismen en de rollenen verantwoordelijkheden beschreven.Daarnaastis rekeninggehoudenmet de wettelijke kaders die aan informatiebeveiligingwordengesteld. Dit beleid brengt nietde huidige situatie in beeld, maar beschrijft de ontwikkelingen en het ambitieniveau vangemeentebrede informatiebeveiliging.Het beleid heeft een looptijdvandrie jaar, waarna wederom een actualisatie plaatsvindt.

NIS2 en deBIO2.0 Momenteelwordt er gewerkt aande nieuwewet- en regelgeving voor informatiebeveiligingin Nederland: De Netwerkand Information Systems Directive (NIS2-richtlijn) en de Baseline InformatiebeveiligingOverheid versie 2 (BIO2.0). De NIS2-richtlijn wordt opdit momentnog naar Nederlandse wetgeving vertaald. Duidelijkis wel dat deze richtlijn impact heeft voor gemeenten. Tussennuen 2026 krijgengemeentente makenmet 13nieuweregelgevende initiatieven ophet gebied vandigitalisering en cybersecurity. Wat de exacte impact is, is nuechter nogniette zeggen.

In oktober 2024 treedt ook de Wet beveiliging netwerk-en informatiesystemen (Wbni) in werking, waarnaastook de BIO2.0 opdat momentwettelijkverankerd zal zijn. Het is nogonzeker in hoeverredeze wet- en regelgeving vantoepassingzal zijn opde gemeente Midden-Delfland.De impactvanNIS2 is voor onsafhankelijk vande mate waarin nual gedocumenteerdvoldaan wordt aan de BIO. Daarom is het cruciaal dat we als gemeente doorblijven gaan met de cyclusvanplannen, uitvoeren, controleren en bijstellen rondomde te nemen maatregelen uithet BIO normenkader. De personele capaciteitopinformatiebeveiligingis al enige jaren stabiel en toereikend voor de wettelijketaken.We verwachtenechter dat we meer capaciteit nodig hebben. De nieuwewetgeving brengt ook een grotere auditlast met zich mee. Daarnaastwordener meer verplichtemaatregelen, zoals een SecurityInformation & EventManagement(SIEM) procesmet de bijbehorendeorganisatie (SOC), ingevoerd.Deze ontwikkelingen vereisennietalleen meer capaciteit, maar ook (aanzienlijke) financiëlemiddelen.

Het SecurityInformation& Event Management(SIEM) & SOC (SecurityOperationsCenter) Wij hebben in de afgelopenjaren grote stappen gezet in onzeinformatiebeveiliging.De volgende logische stap is een sterkerefocusopdetectie en actieve preventie vanincidenten.We hebben opdit vlakal belangrijkeafzonderlijkemaatregelen genomenzoals onzefirewall die onsbeschermt tegen bedreigingen vanbuitenaf.Maar ook onzeoplossing voor emailbescherming gericht opbedreigingen zoals phishingen ransomware.De complexiteit vandreigingen en aanvallen neemttoeen de conventionele beveiligingsmaatregelenzijn steeds vakerniet meer toereikend. Om geavanceerdedreiainaenfl].zowel vanbinnenuit als vanbuitende organisatie,te kunnen adresseren is het essentieel om overde juiste hulpmiddelenen processen te beschikken.Hiermee kunnen we dreigingen en aanvallen in een zeer vroegstadium detecteren. Het inrichtenvaneen SecurityInformation & EventManagement(SIEM) procesmet de bijbehorendeorganisatie(SOC), kan er doorvroegtijdige detectie opmeerdere bronnen voor zorgendat de gevolgenvanaanvallen worden verminderdofin sommige gevallenwordenvoorkomen. Wij informeerdenu hieroverook tijdens de informatiebijeenkomst op18 oktober 2022.

Kortetoelichting opSIEM/SOC Een SIEM-systeem verzamelten analyseertbeveiligingsinformatieuitverschillendebronnen, zoals onzefirewall, e-mailfilter, IDS/IPS-systemen,antivirussoftware en logboeken vanservers en netwerkapparaten. Het identificeert potentiële beveiligingsincidenten en genereert waarschuwingen die kunnen wordenonderzocht dooreen SOC. Een SOC is een team vanbeveiligingsprofessionals die verantwoordelijk zijn voor het monitoren van de beveiligingsinfrastructuur vaneen organisatieen het onderzoeken vanbeveiligingsincidenten. SOC-medewerkers gebruikende gegevens die doorhet SIEM-systeem wordenverzameld om beveiligingsincidenten te identificerenen te onderzoeken.

Gezamenlijkeaanbesteding Als gemeente hebben wij deelgenomenaan de doorde VNG geleide aanbestedingvoor een SIEM/SOC. Het gaat om het perceel vande gemeentebrede aanbestedingGGI-Veilig die in 2019 aan KPN werd gegund. Deze landelijkeaanbestedingzouwat de kosten betreft kwantumvoordeel moeten opleveren voor de gemeenten.In 2021 is een bedrag extra in de begroting opgenomen voor een SIEM/SOC oplossing. We gingen daarbij uitvande oorspronkelijke VNG-aanbesteding(€24.000,-). De VNG heeft het contractmet KPN voor het leverenvanSIEM/SOC-dienstenaan gemeenten opgezegd toenduidelijkwerd dat KPN nietaan de verwachtingenkon voldoen. Er konmaar eenzeer beperktSIEM wordenopgeleverdmet weinig te koppelen bronnen. OokkonKPN de hoeveelheid gemeentennietallemaal tegelijk bedienenen er ontstonden wachtlijsten. Dit betekendedat wij werden geconfronteerd met een forse vertraging en opzoekmoestennaareen alternatief. Ookhet gewenste kostenvoordeel viel daarmee weg.

2 rnhttps://nl.wikipedia.org/wiki/Advanced_Persistent_Threat

Samen met de gemeente Westland werkenwe nuaan een Europese aanbestedingvoor het SIEM/SOC. Deze aanbestedingvoltooien wij in 2024. Hoewel de aanbestedingnog loopt, zien wij wel dat de eerder geraamde kosten niet langer meer toereikend zijn. Wij verwachteneen aanzienlijke jaarlijkse stijging. De hoogteis nogniet bekenden hangt onderandere af vanwelke en hoeveel systeembronnen gebruiktwordenom te analyseren en ofwe 5 of7 dagen x 24 uurperweekactieve monitoring doorhet SOC vragen. De hogere kosten voor het SIEM/SOC nemenwe opin de Kadernotaen begroting van2025 omdat de Europese aanbesteding nog loopt en de oplossing naarverwachtingnieteerder dan Q4 2024 in bedrijf zal zijn. De nieuweEuropese eisen verplichten onsom peroktober 2024 een SIEM/SOC te hebben. In het strevennaaroptimaleinformatiebeveiligingbeseffen we dat 100% garantie een illusie is, maar met het Strategisch Informatiebeveiligingsbeleiden een SIEM/SOC, zetten we belangrijkestappen richting een robuuste beveiligingsinfrastructuur die onsbeschermt tegen cyberdreigingenen datalekken.

Met vriendelijke groet, het college vartburgemeesteren wethouders.

/a.

gemeentesecretaris

F.I. Noordermeer- vanSlageren burgemeester

3 rnhttps://nl.wikipedia.org/wiki/Advanced_Persistent_Threat