Jaarverslag IB 2022 voor Raad.pdf

9

Toegangsbeveiliging

Het gaat dan vooral om het beheer van toegangsrechten in de vak-applicaties zelf. Hier ligt een belangrijke rol voor de applicatiebeheerders. Dit gaat met de ingezette bredere uitrol van het ISMS in 2023 meer aandacht krijgen.

12

Beveiliging bedrijfsvoering

Het is nog onvoldoende duidelijk hoe het bij Westland belegde ICT-beheer organisatorisch wordt vorm gegeven in de nieuwe nog vast te stellen beschreven dienstverleningsovereenkomst. We stemmen de eisen uit de BIO die gerelateerd zijn aan het ICT beheer door Westland af met Westland. Het gaat vooral om de bedieningsprocedures, het monitoren van ons datanetwerkverkeer, hoe zij omgaan met (controle op) logging, het installeren van software en het beheer van technische kwetsbaarheden. Het wordt in de praktijk goed uitgevoerd maar uitgangspunt is om dit helder vastgelegd te hebben. Met name de veranderingen en ontwikkelingen in het kader van de verSAASing van applicaties vragen om andere expertise en dienstverlening. Hierover vindt in het eerste kwartaal van 2023 een onderzoek plaats. e uitkomsten daarvan betrekken we bij de actualisering van de Dienstverleningsovereenkomst met Westland voor het ICT-beheer.

en Communicatiebeveiliging

25

17

Informatiebeveili gings-aspecten van bedrijfscontinuïtei tsbeheer

Hoewel we veel maatregelen hebben ingericht zoals back-up, uitwijk, noodstroomaggregaat etc. is dat allemaal nog niet compleet en in samenhang tot een (crisis) plan gevormd. Het spectrum van bedrijfscontinuïteitsbeheer is veel meer dan dat. Het gaat ook over crisisbeheer, kritische bedrijfsprocessen, liquiditeiten, verzekeringen, huisvesting, veiligheid personeel en bezoekers en archiefbeheer. Ook moet BCM duidelijkheid geven over hoe we onze meest essentiële dienstverlening naar onze burgers kunnen continueren bij uitval van ICT voorzieningen. Dit was al een verbeteractie voor 2022 maar hebben we vanwege coronamaatregelen, gebrek aan capaciteit als gevolg het grote personeelsverloop en andere projecten nog niet kunnen uitvoeren. Naar verwachting wordt het beleid over Bedrijfscontinuïteit Management in het 2e kwartaal van 2023 ter besluitvorming aangeboden.

18.2.2

Uitbreiden gebruik ISMS

Het ISMS is ons managementsysteem dat helpt om op een aantoonbare en controleerbare wijze verantwoording af te leggen op het gebied van informatiebeveiliging. . Het breder uitrollen van het ISMS onder applicatiebeheerders op basis van de PDCA-cyclus en de daaruit voortkomende periodieke rapportages is van belang. De verbeterstap is dat organisatie vertrouwd raakt met het ISMS gericht op continu verbeteren van de informatiebeveiliging. Dit proces is bij een aantal applicatie beheerders in het eerste kwartaal van 2023 succesvol vorm gegeven.

De verwachting is dat de meeste in deze paragraaf vermelde punten binnen het reguliere werk kunnen worden gerealiseerd. Er is alleen goede wil en voldoende medewerking nodig vanuit de organisatie en daarin is alle vertrouwen omdat we het belang van informatiebeveiliging voor het succes van onze organisatie steeds meer als randvoorwaarde onderkennen. Er zijn verbeterpunten die relatief veel tijd vergen en projectmatig met ondersteuning van expertise moeten worden uitgevoerd. Dit zijn onder andere de SIEM/SOC implementatie, en het realiseren van een bedrijfscontinuïteitsplan.

26

7. Realisatie doelstellingen IB-beleid

Hieronder geven we aan met welke genomen maatregelen we invulling hebben gegeven aan de in hoofdstuk 1 genoemde strategische doelen. De strategische doelen van het informatiebeveiligingsbeleid: • • • • • • • • • • •

Het managen van de informatiebeveiliging. Adequate bescherming van bedrijfsmiddelen. Het minimaliseren van risico’s van menselijk gedrag. Het voorkomen van ongeautoriseerde toegang. Het garanderen van correcte en veilige informatievoorzieningen. Het beheersen van de toegang tot informatiesystemen. Het waarborgen van veilige informatiesystemen. Het adequaat reageren op incidenten. Het beschermen van kritieke bedrijfsprocessen. Het beschermen en correct verwerken van persoonsgegevens van burgers en medewerkers. Het waarborgen van de naleving van dit beleid.

De drie belangrijkste punten, die in grote mate het succes bepalen van de implementatie van de BIO: Maatregel Informatiebeveiligingsbeleid

Doelstelling Het managen van de informatiebeveiliging

Er is op dit moment een compleet gemeente-breed informatiebeveiligingsbeleid. Dit is in 2016 door het college van burgemeester en wethouders vastgesteld. Volgens regelgeving is dit beleid drie jaar geldig en zou daarom in 2019 geactualiseerd moeten worden. Vanwege het overgangsjaar 2019 van BIG naar BIO (Baseline Informatiebeveiliging Overheden) en de impact daarvan heeft ons college ingestemd met het voor een jaar (2019) verlengen van ons huidige beleid gebaseerd op de BIG. In december 2019 is het op de BIO gebaseerde nieuwe informatiebeveiligingsbeleid 2020-2023 vastgesteld. Informatiebeveiligingsorganisatie

Het managen van de informatiebeveiliging

De IB-organisatie is op 1 maart 2017 door het college vastgesteld. Zonder IB-organisatie is het onmogelijk om tot een goede borging van informatiebeveiliging te komen binnen de organisatie. Elk bedrijfsproces bestaat uit verschillende informatiestromen, waarbij ook verschillende (informatie-)systemen gebruikt worden. Voor al deze onderdelen zijn de taken, bevoegdheden en verantwoordelijkheden met betrekking tot informatiebeveiliging vastgelegd en toegewezen aan een functie/rol in de organisatie. De leden van de IB-organisatie worden sinds 2017 opgeleid. In 2023 wordt de IB-organisatie in samenhang met het nieuwe Informatiebeveiligingsbeleid aangepast naar de nieuwe organisatiestructuur en de kaders van de BIO.

27

ISMS

Het managen van de informatiebeveiliging

Er is een ISMS (Information Security Management System) geïmplementeerd binnen de gemeente Midden-Delfland. Deze software gebruiken we als ondersteunende tool om alle bedrijfsprocessen in relatie met informatiebeveiliging in kaart te brengen, te monitoren en te borgen binnen de gemeentelijke organisatie. Ook verantwoorden we in het ISMS de stand van zaken per proces en per norm. Het ISMS wordt op in 2023 nog verder ingericht en uitgerold over de IB-organisatie en vak-applicaties. Hiermee zijn de randvoorwaarden ingevuld voor een succesvolle verdere implementatie van het IBbeleid. Hieronder volgen de overige punten die als prioriteit zijn aangeduid bij de GAP-, risico- en impactanalyse. Hierbij is een hoge mate van urgentie van implementatie zeer gewenst en in sommige gevallen zelfs noodzakelijk: Maatregel

Doelstelling

Bewustwording

Het minimaliseren van risico’s van menselijk gedrag

Er wordt in de organisatie aandacht gegeven aan bewustwording over informatiebeveiliging. Onderzoek heeft aangetoond dat incidenten op het vlak van informatiebeveiliging voor 80% te wijten zijn aan menselijke fouten. Zo geven we periodiek aandacht aan phishingmail en ransomware. In 2022 is dat vooral via intranet gedaan en ad-hoc na signalering van actuele dreiging of ontvangen phishingmail. Door de inwerkingtreding van de AVG is in 2022 veel ad-hoc aan bewustwording gedaan op het gebied van privacybescherming. Sinds 2021 bieden we medewerkers met behulp van e-learning structureel leerstof aan medewerkers aan op een leuke interactieve manier. Hierbij wordt ook gemonitord hoe het met het bewustzijn, de kennis en gedrag rond informatiebeveiliging en privacy is gesteld. Daarmee kunnen we ook gerichter sturen op het aanbod en actualiteit van de leerstof. Deze e-learning wordt in 2023 gecontinueerd en aangepast baan actuele onderwerpen. Ook voeren we in 2023 een nieuwe uitgebreide meting uit (Cyberbarometer) over het kennisniveau van de medewerkers op het gebied van informatiebeveiliging en privacy. In- en uitdienst-treden en functieverandering van medewerkers Onze in- en uitdienst-treden procedure voor medewerkers moet worden geactualiseerd naar de huidige normen voor informatiebeveiliging.

Toegangsregelingen van onder andere applicaties tijdens verandering van functie worden onvoldoende vastgelegd. Toegangsregelingen van kernapplicaties zijn nog onvoldoende in kaart gebracht. Dit heeft ook een grote relatie met de nieuwe Europese privacywetgeving (AVG) die sinds 2019 van kracht is. Dit is al vanaf de eerder door onze auditor als belangrijk verbeterpunt aangedragen. Om dit proces te verbeteren is in 2022 gestart om maatregelen door te voeren en de huidige procedure te actualiseren. Inmiddels is dit breder opgepakt. Het totale proces is in 2022 geautomatiseerd. In 2023 worden de fouten uit het proces gehaald en verder gestroomlijnd. Besmetting door virussen en malware Op diverse ICT-niveaus zijn technische maatregelen getroffen om dit risico tot een minimum te beperken. Toch blijft dit een groot punt van

28

Het voorkomen van ongeautoriseerde toegang.

· Het voorkomen van ongeautoriseerde toegang. · Het garanderen van correcte en veilige informatievoorzieningen.

aandacht en zorg. De zwakste schakel is de mens. Dit geven we voornamelijk in de diverse bewustwording sessies grote aandacht. Zo nemen hebben we in 2022 extra technische maatregelen genomen om schade te voorkomen of te beperken. Het gaat hierbij om o.a. beveiligingstoepassingen van Microsoft voor onze in de cloud opgenomen en op te nemen applicaties en informatie. Mobile Device Management / digitaal vergaderen Eind 2018 zijn we gestart om ons mobile devicemanagement (MDM) beleid te actualiseren naar de beveiligingsnormen. Begin 2019 is het beleid geformaliseerd. Daarnaast zijn gebruik van mobiele devices en thuiswerken nauw verbonden met bewustwording en gedrag van medewerkers. In 2020 zijn de vaste computers op de werkplekken vervangen door mobiele apparatuur. Daarmee is het mogelijk om veilig plaats onafhankelijk te werken. In 2022 zijn we ook over gestapt van het werken met prive-smartphones naar beter te beveiligen bedrijfssmartphones. Het op afstand vergaderen van met MS Teams is vanwege Corona ad-hoc versneld mogelijk gemaakt. Teams draait het beste onder Office 365 waarvoor in 2022 de gefaseerde implementatie is gestart en we in 2023 verder vorm geven. Logging en monitoring Er zijn al oplossingen geïmplementeerd en geactualiseerd om goede logging- en monitoring-procedures op ons netwerkverkeer te kunnen borgen.

Gemeenten moeten aantoonbaar bewijs kunnen overhandigen aan allerlei instanties om: te bewijzen dat de gemeente er alles aan heeft gedaan wat binnen haar macht ligt om de inwoner zo goed mogelijk te helpen. Met een in te richten SIEM kunnen we log-gegevens van verschillende domeinen combineren. De voorbereiding op de implementatie van een SIEM/SOC start in 2022 en naar verwachting wordt in 2023 een aanbesteding gedaan voor een SIEM/SOC. aan te tonen dat het in- en uitgaand gegevensverkeer wordt gemonitord en er snel proactief op dreigingen kan worden gereageerd. Pentesten Om onze technische infrastructuur te kunnen beoordelen op de mate van informatiebeveiliging voeren we in 2023 een pentest uit. Bedrijfscontinuïteit In 2023 stellen we een bedrijfscontinuïteitbeleid vast en daaraan gerelateerde crisisplannen. Dit is een eis uit de BIO en de ervaringen bij Lochem en Hof van Twente maken duidelijk dat dit essentieel is om de organisatie met haar processen snel weer operationeel te krijgen. Hierbij geven we voorrang aan de meest kritieke processen rond onze dienstverlening aan onze burgers en bedrijven.

29

· Het beheersen van de toegang tot informatiesystemen. · Het beschermen van kritieke bedrijfsprocessen.

· Het voorkomen van ongeautoriseerde toegang. · Het beheersen van de toegang tot informatiesystemen. · Het waarborgen van veilige informatiesystemen.

· Het managen van de informatiebeveiliging. · Het adequaat reageren op incidenten.

· Het managen van de informatiebeveiliging

· Het managen van de informatiebeveiliging. · Het adequaat reageren op incidenten.

Naast de hierboven genoemde TOP 10 aan maatregelen benoemen we hieronder nog andere genomen en te nemen maatregelen die bijdragen aan de informatiebeveiliging. Maatregel

Doelstelling

Protocol incidentmanagement

Het adequaat reageren op incidenten.

Een incident in onze informatiehuishouding is een gebeurtenis die de bedrijfsvoering negatief kan beïnvloeden. Incidentmanagement is het geheel van organisatorische maatregelen, om een incident adequaat te detecteren, melden en behandelden. Hiermee minimaliseer of voorkom je de kans op uitval van bedrijfsvoering of ontstane schade. 100% beveiligen van informatie is niet mogelijk. Het is niet de vraag of er iets gaat gebeuren maar wanneer. Met dit protocol beschrijven we de handelwijze voor beveiligingsincidenten op onze informatievoorziening en de afhandeling hiervan. Het melden van datalekken maakt hier ook deel van uit. In 2018 is het protocol incidentmanagement aangepast aan de normen voor het melden van datalekken op grond van de in werking getreden AVG. Het moet nu nog worden aangepast op het gebied van forensisch onderzoek en aansluiten bij het beleid op bedrijfscontinuïteitmanagement. Verwerkersovereenkomsten met externe partijen of ketenpartners Steeds meer privacygevoelige gegevens worden verwerkt en opgeslagen bij ketenpartners en leveranciers. De gegevens staan dan niet meer bij ons in huis opgeslagen of worden gedeeld. Informatiebeveiliging wordt daarom meegewogen bij het besluit om samenwerking met een externe partij aan te gaan.

Voorafgaand aan het afsluiten van een contract voor uitbesteding of externe inhuur wordt bepaald welke toegang (fysiek, netwerk of tot gegevens) de externe partij(en) moet(en) hebben om de in het contract overeen te komen opdracht uit te voeren en welke noodzakelijke beveiligingsmaatregelen hiervoor nodig zijn.

Het beschermen en correct verwerken van persoonsgegevens van inwoners en medewerkers.

Wanneer externe partijen systemen beheren waarin persoonsgegevens verwerkt worden, wordt zoals bepaald in de AVG altijd een verwerkersovereenkomst of dataleveringsovereenkomst afgesloten. Ook bij uitbesteding van werkzaamheden blijft de gemeente verantwoordelijk voor de gegevensverwerking. Bijzondere aandacht gaat uit naar het sociaal domein waar sprake is van een groot aantal ketenpartners, met name zorgverleners. Wij hebben met de meeste partijen inmiddels een verwerkersovereenkomst afgesloten. In 2023 blijven we hier aandacht aan geven, ook vanwege de migratie van applicaties naar de cloud. Onderdeel daarvan zijn ook afspraken hoe om te gaan met datalekken.

Cybersecurity op SCADA-automatisering en Europese richtlijn NIS2 Bovenstaande maatregelen gaan voornamelijk over onze administratieve en dienstverlenende processen. Automatisering en internetkoppelingen zien we echter ook steeds meer in vitale fysieke systemen terugkomen zoals zogenaamde internet-of-things. In onze beweegbare bruggen, verkeerslichten, CCTV systemen en rioolgemalen wordt steeds meer gebruik gemaakt van (industriële) automatisering, ook wel Industrial Control Systems en Supervisory Control And Data Aquisition (ICS/ SCADA) genoemd. Met de komst van NIS2 (NIB2 voor Nederland), de nieuwe Europese wetgeving op het gebied van cyberweerbaarheid worden beveiligingseisen aangescherpt, ook voor leveranciers, worden rapportageverplichtingen gestroomlijnd en komt er verscherpt toezicht. De verwachting is dat deze nieuwe richtlijn bovenop de BIO een grote impact gaat hebben op de eisen voor cyberweerbaarheid voor overheden en een groter aantal vitale organisaties. De staatssecretaris van Binnenlandse Zaken en Koninkrijksrelaties zegt hierover in de Kamerbrief van 29/09/2022) "Intussen is in Europa een voorlopig politiek akkoord bereikt over een herziening 30

van Netwerk- en Informatiebeveiligingsrichtlijn (NIB2-richtlijn). Een belangrijke wijziging ten opzichte van de huidige richtlijn is dat overheidsdiensten binnen de reikwijdte van de richtlijn worden gebracht, en daarmee aan wettelijke verplichtingen voor de beveiliging van hun netwerken informatiesystemen moeten voldoen. Dit geldt in ieder geval voor de Rijksoverheid. De conceptrichtlijn stelt verder dat regionale en lokale overheden na een risicobeoordeling kunnen worden aangewezen. Daarbij nemen we de geldende criteria als uitgangspunt, zoals de hierboven genoemde ‘vitaal’ criteria. Inmiddels is de verwachting dat met de nieuwe Europese richtlijn NIS2 wij ook als gemeenten nadrukkelijker aandacht moeten gaan geven aan de beveiliging van onze vitale infrastructurele systemen. Hiervoor wordt een nieuwe versie van de BIO verwacht. Regionale samenwerking Sinds 2017 zijn medewerkers (Ciso en informatieadviseurs) van Midden-Delfland op regionaal niveau betrokken bij structureel overleg over informatiebeveiliging. Het doel van het overleg is met name om kennis en ervaringen te delen en waar mogelijk ondersteunen bij beveiligingscalamiteiten.

31

8. Incidenten en ontdekte kwetsbaarheden Rapportage van incidenten zoals datalekken en de afhandeling daarvan. In 2022 zijn 29 (dit was in 2021 nog 97) spammails, 23 incidenten (20 in 2021) en 317 geconstateerde kwetsbaarheden (263 in 2021) gemeld bij de CISO en adviseurs Informatiebeveiliging. Het gaat hierbij ook om ontdekte kwetsbaarheden die met updates van software en aanpassingen van de hardware zijn opgelost. De gemelde kwetsbaarheden kwamen voornamelijk van de Informatie Beveiligingsdienst (IBD) en betroffen bijvoorbeeld ook de phishing campagne gericht op lokale politici en een kwetsbaarheid in een onderdeel van Centric voor gegevensdistributie. Het lage aantal van gemelde spammails dit jaar kan veroorzaakt zijn doordat medewerkers dit soort email door onze bewustwordingsacties zelf als phishing herkennen en verwijderen en niet meer melden. In 2022 zijn 10 datalekken gemeld bij de privacy officers. In 2020 waren dit er nog 17 en 11 in 2021. Het lijkt hier om een neerwaartse trend te gaan die aandacht verdient. Van een organisatie met de omvang van de gemeente Midden-Delfland kan verwacht worden dat elk jaar enkele tientallen datalekken plaatsvinden, waar gewerkt wordt worden immers ook fouten gemaakt. In één datalek bleek het nodig om de Autoriteit Persoonsgegevens en betrokkenen te informeren.

Geconstateerd wordt dat het datalekkenregister adequaat wordt bijgehouden Al 6 jaar daalt het aantal door medewerkers gemelde incidenten. Een van de redenen hiervoor zou kunnen zijn dat de organisatie en ketenpartners bewuster met gevoelige informatie omgaat. Het is daarom van belang om te blijven investeren in bewustwording over informatiebeveiliging en privacy. De opgetreden incidenten kunnen op diverse manieren worden ingedeeld. De belangrijkste indeling is die in het kader van de AVG en de Wet meldplicht datalekken. Een incident in de informatiehuishouding is niet per definitie melding plichtig is in het kader van de AVG. Bij een incident wordt onderzocht of er persoonsgegevens in verkeerde handen kunnen zijn gekomen. Als dat het geval is dan wordt het incident gemeld met de maatregel die we hebben genomen om het datalek te dichten. Van de Informatie Beveiligingsdienst (IBD) worden we met grote regelmaat geïnformeerd over ontdekte kwetsbaarheden in gebruikte systemen en software. Deze zijn met de geboden softwareupdates meestal snel opgelost. In 2022 ontvingen we maar liefst 317 meldingen van de IBD over ontdekte kwetsbaarheden, in 2020 waren dat er nog 171. De daarmee gepaard gaande updates of maatregelen zijn allemaal met de grootste urgentie uitgevoerd. Gezien het grote aantal van deze IBD-meldingen hebben we deze niet in het overzicht op pagina 32 opgenomen.

Indien u als college van B&W of gemeenteraad behoefte aan heeft kunnen we u deze lijst alsnog toesturen. In 2022 hebben we nog wel een aantal dagen problemen gehad met onze Citrix-omgeving waardoor medewerkers niet altijd op ons netwerk konden inloggen. De oorzaak van dit probleem is met behulp van externe expertise ontdekt in een bepaald onderdeel van onze systeemsoftware. Omdat er al veel software als cloud-versie buiten ons Citrix-netwerk om is op te starten kon hiermee wel gewerkt worden. De verplaatsing van applicaties naar de cloud gaat de komende jaren toenemen waardoor de kwetsbaarheid van ons eigen ict-netwerk ook afneemt.

32

Melding Datalekken in 2022 Sinds 2016 geldt de wet Meldplicht datalekken en per 25 mei 2019 is de nieuwe Europese Algemene Verordening Gegevensbescherming (AVG) van kracht geworden. Als onze organisatie niet voldoet aan deze wetten, is dat een risico op een bestuurlijke boete van de Autoriteit Persoonsgegevens van maximaal 20 miljoen euro. In 2022 ontving de Autoriteit Persoonsgegevens (AP) 24.866 datalekmeldingen. Van de bij ons gemelde incidenten zijn er uiteindelijk zes incidenten als datalek gemeld bij de Autoriteit Persoonsgegevens (AP). Binnen 72 uur worden datalekken bij de Autoriteit Persoonsgegevens (AP) gemeld. Er vindt dan direct verder onderzoek plaats naar de risico’s voor personen waarvan de gegevens zijn gelekt. Dit is ook bepalend of deze personen worden geïnformeerd over dit datalek. Andere incidenten die niet als datalek bij de AP zijn gemeld betreffen incidenten waarbij gegevens niet buiten de organisatie zijn gekomen of waarbij door snel te handelen het risico op schade voor de persoon in kwestie teniet is gedaan. Datum

Omschrijving

13-1-2022

Er is een mail 'Voorschot levensonderhoud' naar de verkeerde afzender gestuurd. De ontvanger van de mail is een betrouwbare ontvanger en heeft op het verzoek van de gemeente de mail ongelezen verwijderd.

Nee

1-3-2022

Persoonslijst naar het verkeerde adres gestuurd wegens verkeerd voorblad. Op dit voorblad staan de NAW gegevens van mensen die ook een persoonslijst ontvangen voor hun pasgeborene. Er is een brief opgesteld waarin is opgenomen wat er is gebeurd, wat de mogelijke gevolgen zijn, wat de gemeente hiertegen doet om dit voorval in de toekomst te voorkomen en dat er een melding is gedaan bij de AP. Ook is er een contactpersoon in de brief opgenomen voor mogelijke vragen van de betrokkenen.

Ja

11-5-2022

14-9-2022

10-10-2022

26-10-2022

10-11-2022

17-11-2022

29-11-2022

Melding aan AP

Een van de medewerkers heeft per ongeluk een e-mail verzonden uit de algemene mailbox naar het e-mailadres van diens moeder in plaats van de eigen werkmailadres. E-mail per ongeluk verzonden aan een externe ketenpartner met als bijlage kopie van de beschikking (voorschot levensonderhoud) + betaalopdracht en kopie bankrekening). Er is direct telefonisch contact opgenomen met de ontvanger en deze is verzocht de e-mail ongelezen te verwijderen. Hiervan is een schriftelijke verklaring overlegd. Een email gestuurd naar een familie in het AZC met mogelijkheden om een studie voort te zetten in Nederland. Deze mail is naar een andere familie verstuurd die ook in het AZC verblijft. Er is direct na het versturen van de verkeerde mail nogmaals gemaild naar de ontvanger dat deze mail niet voor hem is bestemd. Er is ook contact gezocht met een medewerker van het COA, die de ontvanger helpt om de mail te verwijderen Zes bevestigingsbrieven verwerking persoonsgegevens bij verhuizing/wijziging gegevens BRP is in één envelop verzonden aan een van de zes ontvangers. Vanuit ICT beheer zijn we geïnformeerd dat wij 5 phishingmails hebben ontvangen met daarin eigen inhoud van eerder verzonden mailcorrespondentie met een burger. Deze phishingmails zijn afgevangen door onze mailfilters. Er is onderzocht hoe de inhoud van de correspondentie in de phishingmail terecht kon komen.

De betrokken burger is door de geïnformeerd over de phishingmails. Namen van burgers met afspraak met de gemeente was inclusief het onderwerp organisatiebreed zichtbaar in reserveringssysteem voor vergaderruimten. Er is contact opgenomen met de beheerder van het systeem om de omschrijvingen in het systeem aan te passen, ook in het vervolg. Bij het aanvragen van het paspoort kreeg de aanvrager een afhaalformulier mee met daarop de gegevens van een ander persoon. Het lek werd ontdekt op het moment dat ontvanger het paspoort ophaalde. 33

Nee

Nee

Nee

Nee melding gedaan, maar ingetrokken

Nee

Nee

Ontvanger heeft aangegeven het zelf ook niet te hebben opgemerkt. Het betreffende formulier is ingenomen bij KCC. 1-12-2022

Er is een mail over een Tozo uitkering naar de verkeerde afzender gestuurd. De e-mail is weliswaar door de ontvanger ingezien, maar daarna verwijderd. De ontvanger is bovendien een betrouwbare partij.

Nee

Met leveranciers en ketenpartners zijn verwerkers- of datalevering-overeenkomsten afgesloten. De in deze overeenkomsten opgenomen informatiebeveiligingseisen zorgen ervoor dat de risico’s aanzienlijk verkleind zijn. Daarnaast wordt gewerkt aan het implementeren van technische componenten. Hiermee wordt het mogelijk om systematisch in de gaten houden wat er gebeurt in de gemeentelijke systemen, afwijkingen herkennen en hier vervolgens adequaat op reageren. Detectie zorgt voor het vroegtijdig signaleren van afwijkingen en bedreigingen en geeft daarmee ruimte om incidenten te voorkomen voordat ze manifest worden. Detectie zorgt dat kosten als gevolg van incidenten laag blijven en incidenten uiteindelijk zelfs voorkomen kunnen worden, maar ook dat zaken die niet of nooit gezien worden wel aan het licht komen en kunnen worden aangepakt. Detectie en de reactie op meldingen vereist echter tijd van beheerders, die deze tijd vaak niet beschikbaar hebben. Als de gemeente niet weet wat er gebeurt, dan kan ook niet worden gestuurd op risico's. Gebrek aan inzicht in wat er feitelijk gebeurt is onwenselijk omdat dit het bestuur belet om adequaat te kunnen sturen op risico's, ernaar te handelen en ervan te leren. Het implementeren van de BIO en de AVG brengt de basis op orde.

Daarmee kan informatiebeveiliging en privacybescherming als proces worden ingericht waarmee de focus op detectie en actieve preventie gezien wordt als de logische vervolgstap. 34

9. Meerjarenperspectief Inwoners, ondernemingen en instellingen moeten erop kunnen vertrouwen dat we zorgvuldig omgaan met (persoons)gegevens. Het is daarom van groot belang dat gegevens alleen onder strikte voorwaarden gebruikt worden en goed beveiligd zijn tegen onbevoegd gebruik. Ons meerjaarlijks informatiebeveiligingsbeleid kent passende technische en organisatorische maatregelen om informatie te beschermen. Ook waarborgt het beleid dat de gemeente voldoet aan de relevante wet- en regelgeving. De beveiligingsfunctionaris (CISO) zorgt voor de coördinatie en het toezicht op de naleving van beveiligingsmaatregelen en -procedures, voor elk onderdeel van het informatiebeveiligingsbeleid. Jaarlijks toetsen we door middel van zelfevaluatie en externe audits de maatregelen voor de waardedocumenten, BRP, BAG, BGT, BRO, WOZ, DigiD en Suwinet. We houden rekening met ontwikkelingen en nieuwe opkomende bedreigingen. Dat vraagt om tijdig anticiperen en middelen beschikbaar stellen om maatregelen te nemen. We hebben afgelopen jaren te maken gehad met nieuwe trends en ontwikkelingen, dit zal ook de komende jaren niet anders zijn. Zo heeft de Coronacrisis nu al een enorme invloed op de toename van digitaal plaats en tijd onafhankelijk werken. Diverse ontwikkelingen in de nabije toekomst maar ook die de afgelopen periode al zijn ingezet mogen niet onderbelicht blijven.

In feite zijn de hieronder uitgewerkte punten onder te brengen in een aantal dreigingen. Deze moeten gezien worden als reminders waar nu en de komende jaren rekening mee moet worden gehouden. De gemeentelijke informatievoorziening is kwetsbaar. We onderscheiden hieronder een aantal categorieën van dreigingen in volgorde van belangrijkheid. (Bron: IBD)

Grootste risico’s voor gemeenten Wat zijn op dit moment de grootste risico’s op het gebied van de informatiebeveiliging en gegevensbescherming? Uitval van dienstverlening en bedrijfsvoering Als informatie niet beschikbaar is, leidt dat tot problemen in de dienstverlening en de bedrijfsvoering. Nagenoeg ieder proces, van uitgifte van paspoorten tot het betalen van uitkeringen, wordt uitgevoerd of ondersteund door digitale informatie- en communicatievoorzieningen. In het ergste geval moeten gemeenten dienstverleningsprocessen stilleggen. Vertrouwelijke informatie in verkeerde handen In principe is overheidsinformatie openbaar. Tenzij deze informatie privacygevoelig is, schade kan toebrengen aan de overheid of commercieel voor- of nadelig kan zijn voor derden. Gemeenten verwerken voor hun wettelijke taken veel vertrouwelijke informatie. Denk aan gegevens over werk en inkomen, zorg, veiligheid of commercieel interessante informatie over gebiedsontwikkeling, aanbestedingen en bedrijfsgevoelige informatie. Onterechte toegang tot deze informatie kan uiterst nadelig uitvallen voor inwoners en ondernemers. Een datalek of een overtreding van de AVG kan leiden tot hoge boetes. Fouten in de dienstverlening Informatiebeveiligingsincidenten kunnen leiden tot fouten in de dienstverlening.

Kwaliteit en integriteit van data worden in het algemeen niet direct gezien als doel van informatiebeveiliging. Toch dient dit risico nadrukkelijk op het netvlies te staan van de directie. Want als informatie niet integer is, kan dat leiden tot vertraagde of foute beslissingen, verkeerde handelingen en verspilling van tijd en menskracht.

35

Actueel dreigingsbeeld 2023-2024 De IBD ziet dat in het bijzonder drie soorten dreigingen opvallen sinds het uitbrengen van het vorige dreigingsbeeld over 2021- 2022. Meer ransomware met destructievere gevolgen De dreiging van ransomware-aanvallen neemt toe. Aan de lopende band proberen criminelen een ingang te vinden. De (potentiële) gevolgen van een aanval worden ook steeds ernstiger: het wordt merkbaar. Het fenomeen ransomware (gijzelsoftware) komt al jaren voor. Criminelen versleutelen gegevens en persen het slachtoffer af om deze gegevens na het betalen van losgeld weer toegankelijk te maken. De IBD ontving de afgelopen twee jaar steeds meer meldingen van situaties waar gemeentelijke proces- sen langdurig(er) verstoord zijn als gevolg van destructieve gijzelsoftware. Criminelen aarzelen niet om privacygevoelige gegevens van inwoners, bedrijven en medewerkers online te publiceren. -

-

-

De gemeente Buren werd in 2022 getroffen door een ransomwareaanval. Bij de hack zijn gegevens van de gemeente gestolen. Vervolgens is een grote hoeveelheid data gepubliceerd op het darkweb, een afzonderlijk en anoniem deel van het internet. Ook in het buitenland zijn de afgelopen jaren veel lokale overheden getroffen door ransomware zoals Palermo (IT), Atlanta, Baltimore, Knoxville, Albany, New Orleans (VS), Luik (BE), Frankfurt (DE), Weiz (AT). De Ierse gezondheidszorg heeft een forse prijs betaald voor de ransomware-aanval in 2021. De kosten zijn opgelopen tot net iets minder dan 52 miljoen euro. Het leeuwendeel daarvan is voor herstel van de versleutelde en daarmee gegijzelde systemen. Een relatief kleine kostenpost (van nog altijd miljoenen) is voor preventieve maatregelen.

Steeds meer en ernstiger kwetsbaarheden in software Alle hard- en software bevat kwetsbaarheden en fouten. Deze zouden kunnen worden misbruikt door kwaadwillenden. Het is daarom zaak om kwetsbaarheden tijdig te verhelpen. In 2021 heeft de IBD 1841 kwetsbaarheden gesignaleerd. De ene kwetsbaarheid is de andere niet en daarom wordt per geval een risicoschatting gemaakt op basis van kans en impact. Gevallen met een hoge kans op misbruik en ernstige gevolgen komen in de afgelopen jaren relatief steeds vaker voor. Vaak is het verhelpen van een kwetsbaarheid een kwestie van updaten, maar soms is het complexer en moeten systemen ingrijpend gewijzigd worden. Jaar en aantal kwetsbaarheden met hoge kans op misbruik, hoge mogelijke impact:

Gevaren in ketens uit het zicht Een gemeente neemt deel in gemiddeld 30 samenwerkingsverbanden en maakt gebruik van diensten van derden zoals softwareleveranciers. Omdat men bij uitbesteding vooral stuurt op de kwaliteit van de uiteindelijke dienstverlening en informatiebeveiliging en privacy gezien worden als operationele details, is daar weinig aandacht voor in de samenwerkingsafspraken. Politiek gezien is uitbesteding en/of samenwerking bedoeld om zaken tegen lagere kosten op een hoger kwaliteitsniveau te krijgen. Informatiebeveiliging is in die zin een kostenpost. Als er al concrete afspraken zijn over informatiebeveiliging en privacy dan staat controle op de naleving beperkt op de agenda. Gemeenten vertrouwen erop dat bij een samenwerkingsverband dergelijke zaken ‘gewoon geregeld zijn’. Dit heeft als gevolg dat er weinig zicht is op de feitelijke risico’s als taken zijn uitbesteed. Gemeenten zijn in de afgelopen twee jaar regelmatig geconfronteerd met incidenten die ontstaan zijn bij derden waarbij de gevolgen in de eigen gemeente merkbaar waren.

36

Speerpunten Nederlandse Cybersecuritystrategie 2022 – 2028 (Bron: Nationaal Cyber Security Centrum (NCSC)) De Nederlandse samenleving wordt in hoog tempo steeds meer afhankelijk van digitale systemen. Hierdoor groeien de risico’s en is digitale veiligheid, cyberweerbaarheid, steeds belangrijker. De Nederlandse Cybersecuritystrategie richt zich op het ontwikkelen van een veilig en digitaal ecosysteem, met vijf speerpunten: Beter zicht op de dreiging. Het kabinet investeert in mensen en systemen die scherper zicht geven op de herkomst van dreigingen en tegen wie ze gericht zijn. Meer cybersecurityspecialisten. We nemen verschillende acties om meer ICT-specialisten op de arbeidsmarkt te krijgen. Overheid en sectoren nemen verantwoordelijkheid. De verantwoordelijkheid voor veiligheid wordt deels verplaatst van eindgebruikers naar de overheid en specifieke sectoren. De meest volwassen en bepalende organisaties dragen de zwaarste verantwoordelijkheden. Voor de gehele overheid zelf zullen stevige wettelijke eisen voor veiligheid en toezicht op naleving erop worden ingericht. Beter toezicht en de noodzakelijke wet- en regelgeving. Herschikking van verantwoordelijkheden vergt uitbreiding van wettelijke regels en toezicht. Veiligheid moet het fundament worden waarop nieuwe systemen worden ontworpen.

Er komen nieuwe regels waar (rijks)overheden, vitale aanbieders, en leveranciers van digitale producten en diensten aan moeten voldoen. Heldere informatie via een nationale cyberautoriteit. Er komt een centrale cyberautoriteit in Nederland: het nationale Cyber Security Incident Response Team. Deze nieuwe organisatie zal in samenwerking met publieke en private partners, vitale en niet-vitale organisaties, overheden en burgers voorzien van informatie over (dreigende) cyberincidenten om hen in staat te stellen zich te beveiligen.

Wake-up call: Sinds januari 2016 zijn al meer dan 500 cyberincidenten bij Nederlandse organisaties vermeld in de media. Of het nu gaat om DDoS-aanvallen, fraude via phishing, verloren USB-sticks of gijzelsoftware. Van de 518 cyberincidenten (gemeten in 22 september 2022) was 127 keer de overheid het slachtoffer. Dat is meer dan 25% van het totaal aantal incidenten. De gemeenten werden met een aandeel van 45% binnen de overheid het vaakst getroffen door een cyberaanval. Datalekken met een interne oorzaak zijn met 28% de grootste veroorzaker. Op de voet gevolgd door datalekken met een externe oorzaak (22%). Gijzelsoftware, ook wel ransomware genoemd, was in 18 gevallen de boosdoener, wat ongeveer 14% vertegenwoordigt. DDoS-aanvallen, AVG compliance issues en aanvallen via email vertegenwoordigen een aandeel van 37%. De rest van de gevallen kwam voort uit publicaties door verschillende overheidsinstanties. Bron: Datalekt.nl Hoewel we er alles aan doen om de risico’s zo klein mogelijk te maken maar incidenten zijn ook voor Midden-Delfland niet uit te sluiten.

37