Jaarverslag Informatiebeveiliging 2020.pdf

De verwachting is dat de in deze paragraaf vermelde punten binnen het reguliere werk kunnen worden gerealiseerd. Er zijn geen verbeterpunten die relatief veel tijd vergen. Er is alleen goede wil en voldoende medewerking nodig vanuit de organisatie en daarin is alle vertrouwen omdat we het belang van informatiebeveiliging voor het succes van onze organisatie steeds meer als randvoorwaarde onderkennen.

26

7. Realisatie doelstellingen IB-beleid

Hieronder geven we aan met welke genomen maatregelen we invulling hebben gegeven aan de in hoofdstuk 1 genoemde strategische doelen. De strategische doelen van het informatiebeveiligingsbeleid:



Het managen van de informatiebeveiliging.



Adequate bescherming van bedrijfsmiddelen.



Het minimaliseren van risico’s van menselijk gedrag.



Het voorkomen van ongeautoriseerde toegang.



Het garanderen van correcte en veilige informatievoorzieningen.



Het beheersen van de toegang tot informatiesystemen.



Het waarborgen van veilige informatiesystemen.



Het adequaat reageren op incidenten.



Het beschermen van kritieke bedrijfsprocessen.



Het beschermen en correct verwerken van persoonsgegevens van burgers en medewerkers.



Het waarborgen van de naleving van dit beleid.

De drie belangrijkste punten, die in grote mate het succes bepalen van de implementatie van de BIO: Maatregel Informatiebeveiligingsbeleid

Doelstelling Het managen van de informatiebeveiliging

Er is op dit moment een compleet gemeente-breed informatiebeveiligingsbeleid. Dit is in 2016 door het college van burgemeester en wethouders vastgesteld. Volgens regelgeving is dit beleid drie jaar geldig en zou daarom in 2019 geactualiseerd moeten worden. Vanwege het overgangsjaar 2019 van BIG naar BIO (Baseline Informatiebeveiliging Overheden) en de impact daarvan heeft ons college ingestemd met het voor een jaar (2019) verlengen van ons huidige beleid gebaseerd op de BIG. In december 2019 is het op de BIO gebaseerde nieuwe informatiebeveiligingsbeleid 2020-2023 vastgesteld. Informatiebeveiligingsorganisatie

Het managen van de informatiebeveiliging

De IB-organisatie is op 1 maart 2017 door het college vastgesteld. Zonder IB-organisatie is het onmogelijk om tot een goede borging van informatiebeveiliging te komen binnen de organisatie. Elk bedrijfsproces bestaat uit verschillende informatiestromen, waarbij ook verschillende (informatie-)systemen gebruikt worden. Voor al deze onderdelen zijn de taken, bevoegdheden en verantwoordelijkheden met betrekking tot informatiebeveiliging vastgelegd en toegewezen aan een functie/rol in de organisatie. De leden van de IB-organisatie worden sinds 2017 opgeleid. In 2021 wordt de IB-organisatie aangepast naar de nieuwe organisatiestructuur en de kaders van de BIO.

27

ISMS

Het managen van de informatiebeveiliging

Er is een ISMS (Information Security Management System) geïmplementeerd binnen de gemeente Midden-Delfland. Deze software gebruiken we als ondersteunende tool om alle bedrijfsprocessen in relatie met informatiebeveiliging in kaart te brengen, te monitoren en te borgen binnen de gemeentelijke organisatie. Ook verantwoorden we in het ISMS de stand van zaken per proces en per norm. Het ISMS wordt op in 2021 nog verder ingericht en uitgerold over de IB-organisatie. Hiermee zijn de randvoorwaarden ingevuld voor een succesvolle verdere implementatie van het IBbeleid. Hieronder volgen de overige punten die als prioriteit zijn aangeduid bij de GAP-, risico- en impactanalyse. Hierbij is een hoge mate van urgentie van implementatie zeer gewenst en in sommige gevallen zelfs noodzakelijk: Maatregel

Doelstelling

Bewustwording

Het minimaliseren van risico’s van menselijk gedrag

Er wordt in de organisatie aandacht gegeven aan bewustwording over informatiebeveiliging. Onderzoek heeft aangetoond dat incidenten op het vlak van informatiebeveiliging voor 80% te wijten zijn aan menselijke fouten. Zo geven we periodiek aandacht aan phishingmail en ransomeware. In 2020 is dat vooral via intranet gedaan en ad-hoc na signalering van actuele dreiging of ontvangen phishingmail. Door de inwerkingtreding van de AVG is in 2019 veel ad-hoc aan bewustwording gedaan op het gebied van privacybescherming. In 2021 wordt gestart om met behulp van e-learning structureel leerstof aan medewerkers aan te bieden op een leuke interactieve manier. Hierbij wordt ook gemonitord hoe het met het bewustzijn, de kennis en gedrag rond informatiebeveiliging en privacy is gesteld. Daarmee kunnen we ook gerichter sturen op het aanbod en actualiteit van de leerstof. In- en uitdienst-treden en functieverandering van medewerkers Onze in- en uitdienst-treden procedure voor medewerkers moet worden geactualiseerd naar de huidige normen voor informatiebeveiliging. Toegangsregelingen van onder andere applicaties tijdens verandering van functie worden onvoldoende vastgelegd. Toegangsregelingen van kernapplicaties zijn nog onvoldoende in kaart gebracht. Dit heeft ook een grote relatie met de nieuwe Europese privacywetgeving (AVG) die per 25 mei 2019 van kracht is.

Dit is al bij de ENSIA verantwoording over 2017 door onze auditor als belangrijk verbeterpunt aangedragen. Om dit proces te verbeteren is in 2019 bij het team Personeelszaken gestart om maatregelen door te voeren en de huidige procedure te actualiseren. Inmiddels is dit breder opgepakt. We actualiseren het totale proces in 2021. Besmetting door virussen en malware Op diverse ICT-niveaus zijn technische maatregelen getroffen om dit risico tot een minimum te beperken. Toch blijft dit een groot punt van aandacht en zorg. De zwakste schakel is de mens. Dit geven we voornamelijk in de diverse bewustwording sessies grote aandacht.

28

Het voorkomen van ongeautoriseerde toegang.

· Het voorkomen van ongeautoriseerde toegang. · Het garanderen van correcte en veilige informatievoorzieningen. · Het beheersen van de toegang tot informatiesystemen.

Zo nemen we in 2021 extra technische maatregelen om schade te voorkomen of te beperken. Mobile Device Management / digitaal vergaderen Eind 2018 zijn we gestart om ons mobile devicemanagement (MDM) beleid te actualiseren naar de normen uit de BIG. Begin 2019 is het beleid geformaliseerd. Daarnaast zijn gebruik van mobiele devices en thuiswerken nauw verbonden met bewustwording en gedrag van medewerkers. In 2020 zijn de vaste computers op de werkplekken vervangen door mobiele apparatuur. Daarmee is het mogelijk om veilig plaats onafhankelijk te werken. Het op afstand vergaderen van met Teams is vanwege Corona ad-hoc mogelijk gemaakt. Teams draait het beste onder Office 365 waarvoor we een implementatie in 2021 gaan voorbereiden. We werken nu nog met Office 2016. Logging en monitoring Er zijn al oplossingen geïmplementeerd en geactualiseerd om goede logging- en monitoring-procedures op ons netwerkverkeer te kunnen borgen. Gemeenten moeten aantoonbaar bewijs kunnen overhandigen aan allerlei instanties om: te bewijzen dat de gemeente er alles aan heeft gedaan wat binnen haar macht ligt om de inwoner zo goed mogelijk te helpen. Met een op een later moment in te richten SIEM kunnen we log-gegevens van verschillende domeinen combineren. aan te tonen dat het in- en uitgaand gegevensverkeer wordt gemonitord en er snel proactief op dreigingen kan worden gereageerd.

In 2021 gaan we organisatie breed protocollen doorvoeren om ook te voldoen aan de BIO-eisen op logging binnen de vak-applicaties

Bedrijfscontinuïteit In 2021 stellen we een bedrijfscontinuïteitsplan en een daaraan gerelateerd crisisplan. Dit is een eis uit de BIO maar de ervaringen bij Lochem en Hof van Twente maken duidelijk dat dit essentieel is om de organisatie met haar processen snel weer operationeel te krijgen.

· Het beschermen van kritieke bedrijfsprocessen. · Het voorkomen van ongeautoriseerde toegang. · Het beheersen van de toegang tot informatiesystemen. · Het waarborgen van veilige informatiesystemen.

· Het managen van de informatiebeveiliging. · Het adequaat reageren op incidenten.

· Het managen van de informatiebeveiliging. · Het adequaat reageren op incidenten.

Naast de hierboven genoemde TOP 10 aan maatregelen benoemen we hieronder nog andere genomen en te nemen maatregelen die bijdragen aan de informatiebeveiliging. Maatregel

Doelstelling

Protocol incidentmanagement

Het adequaat reageren op incidenten.

Een incident in onze informatiehuishouding is een gebeurtenis die de bedrijfsvoering negatief kan beïnvloeden. Incidentmanagement is het geheel van organisatorische maatregelen, om een incident adequaat te detecteren, melden en behandelden. Hiermee minimaliseer of voorkom je de kans op uitval van bedrijfsvoering of ontstane schade. 100% beveiligen van informatie is niet mogelijk. Het is niet de vraag of er iets gaat gebeuren maar wanneer. Met dit protocol beschrijven we de handelwijze voor beveiligingsincidenten op onze informatievoorziening en de afhandeling hiervan. Het melden van datalekken maakt hier ook deel van uit. In 2018 is het protocol incidentmanagement aangepast aan de normen voor het melden van datalekken op grond van de in werking getreden AVG. Het moet nog worden aangepast op het gebied van forensisch onderzoek en aansluiten bij het bedrijfscontinuïteitmanagement en op te stellen crisisplan. protocol

29

Verwerkersovereenkomsten met externe partijen of ketenpartners Steeds meer privacygevoelige gegevens worden verwerkt en opgeslagen bij ketenpartners en leveranciers. De gegevens staan dan niet meer bij ons in huis opgeslagen of worden gedeeld. Informatiebeveiliging wordt daarom meegewogen bij het besluit om samenwerking met een externe partij aan te gaan. Voorafgaand aan het afsluiten van een contract voor uitbesteding of externe inhuur wordt bepaald welke toegang (fysiek, netwerk of tot gegevens) de externe partij(en) moet(en) hebben om de in het contract overeen te komen opdracht uit te voeren en welke noodzakelijke beveiligingsmaatregelen hiervoor nodig zijn.

Het beschermen en correct verwerken van persoonsgegevens van inwoners en medewerkers.

Wanneer externe partijen systemen beheren waarin persoonsgegevens verwerkt worden, wordt zoals bepaald in de AVG altijd een verwerkersovereenkomst of dataleveringsovereenkomst afgesloten. Ook bij uitbesteding van werkzaamheden blijft de gemeente verantwoordelijk voor de gegevensverwerking. Bijzondere aandacht gaat uit naar het sociaal domein waar sprake is van een groot aantal ketenpartners, met name zorgverleners. Wij hebben met de meeste partijen inmiddels een verwerkersovereenkomst afgesloten. In 2021 volgen de resterende. Onderdeel daarvan zijn ook afspraken hoe om te gaan met datalekken. Vervangen van hardware Het afgelopen jaar hebben we samen met ICT-Westland een aanbesteding uitgevoerd voor de vervanging van ons inmiddels afgeschreven serverpark, opslag en back-upsysteem. De nieuwe hardware wordt in de eerste helft van 2021 vervangen en voldoet aan de meest actuele eisen van de BIO.

· Het voorkomen van ongeautoriseerde toegang. · Het garanderen van correcte en veilige informatievoorzieningen. · Het beheersen van de toegang tot informatiesystemen. · Het waarborgen van veilige informatiesystemen. · Het beschermen van kritieke bedrijfsprocessen.

Regionale samenwerking Sinds 2017 zijn medewerkers (Ciso en informatieadviseurs) van Midden-Delfland op regionaal niveau betrokken bij structureel overleg over informatiebeveiliging. Het doel van het overleg is met name om kennis en ervaringen te delen.

30

8. Incidenten en ontdekte kwetsbaarheden Rapportage van incidenten zoals datalekken en de afhandeling daarvan. In 2020 zijn 31 incidenten en geconstateerde kwetsbaarheden gemeld bij de CISO en adviseurs Informatiebeveiliging. Het gaat hierbij ook om ontdekte kwetsbaarheden die met updates van software en aanpassingen van de hardware zijn opgelost. De afgelopen 4 jaar is met het toenemende bewustzijn het aantal door medewerkers gemelde incidenten nog gestegen. Op de langere termijn verwachten we dat het aantal incidenten daalt omdat de organisatie en ketenpartners bewuster met gevoelige informatie omgaat. De opgetreden incidenten kunnen op diverse manieren worden ingedeeld. De belangrijkste indeling is die in het kader van de AVG en de Wet meldplicht datalekken. Een incident in de informatiehuishouding is niet per definitie meldingplichtig is in het kader van de AVG. Bij een incident wordt onderzocht of er persoonsgegevens in verkeerde handen kunnen zijn gekomen. Als dat het geval is dan wordt het incident gemeld met de maatregel die we hebben genomen om het datalek te dichten. Van de Informatie Beveiligingsdienst (IBD) worden we met grote regelmaat geïnformeerd over ontdekte kwetsbaarheden in gebruikte systemen en software. Deze zijn met de geboden softwareupdates meestal snel opgelost. In 2020 kwamen maar liefst 171 meldingen van de IBD over ontdekte kwetsbaarheden binnen.

De daarmee gepaard gaande updates of maatregelen zijn allemaal met de grootste urgentie uitgevoerd. Gezien het grote aantal van deze IBD-meldingen hebben we deze niet in het overzicht op pagina 32 opgenomen. Indien u als college van B&W of gemeenteraad behoefte aan heeft kunnen we u deze lijst alsnog toesturen. 2020 was vanaf de eerste dag een veelbewogen jaar voor de gemeentelijke ICT-beveiliging. In januari sloeg het Nationaal Cyber Security Centrum (NCSC) groot alarm over lekken in applicatieplatform Citrix. Via dit systeem, waar naast Midden-Delfland ook zo’n 200 andere gemeenten mee werken, loggen medewerkers van buiten in op het bedrijfsnetwerk. In tientallen gemeenten, waaronder ook Amsterdam, Den Haag en Rotterdam, konden ambtenaren niet meer thuiswerken, omdat de toegangspoort tot de interne netwerken op slot moest. Verder was een aantal gemeentelijke diensten niet toegankelijk, zoals het regelen van een crematie, de aanvraag van subsidies en het indienen van milieuklachten. Ook werden gemeenten geraakt die zelf niet met Citrix werken maar hun leveranciers wel. Later bleek dat hackers uit China en Iran binnen waren geweest bij 25 overheidsinstellingen en bedrijven. Gelukkig hebben we in samenwerking met ICT Westland onze systemen tijdig van de juiste updates en beveiligingen kunnen voorzien waardoor echt grote problemen uitbleven.

De veiligheidsproblemen waren gelukkigerwijs opgelost voordat de coronacrisis in maart losbarstte en ambtenaren en bestuurders noopte tot thuiswerken.

31

Incidenten / datalekken in 2020 Datum

Categorie

Omschrijving

Informatiebeveiliging

Kopie uittreksel BRP naar verkeerd e-mailadres verzonden

Ja

Informatiebeveiliging

Onbevoegd toegang tot netwerkschijf met o.a. gevoelige documenten.

Ja

Stukken van personeelszaken intern zichtbaar, specifiek stukken 2 medewerkers re-integratie bij de bedrijfsarts. 28-2-2020 Informatiebeveiliging De melding bij de AP is op 2-3-2020 na vervolgonderzoek aangevuld met extra informatie over meerdere betrokken personen.

Ja

16-3-2020 Informatiebeveiliging Vergunning naar verkeerd e-mailadres verzonden

Nee

22-4-2020 Informatiebeveiliging Beslissing op bezwaar verzonden aan verkeerd adres

Nee

30-1-2020 5-1-2020

Ontvangstbevestiging aanvraag snippergroen naar verkeerd persoon verstuurd Bij toezenden onderliggende stukken is een voorblad advies opleggen boete Werk en Inkomen van een andere 18-6-2020 Informatiebeveiliging cliënt meegezonden. Document was per abuis toegezonden aan een gemachtigde van juiste cliënt. 17-7-2020 Informatiebeveiliging Potentieel datalek klantenservice portaal Centric Tas met 4 aanvragen voor een TOZO-uitkering zijn 3-8-2020 Informatiebeveiliging verloren gegaan. 19-5-2020 Informatiebeveiliging

Melding aan AP

Nee

Nee Nee Ja

Afschrift brief aan inwoner over afwijzing op aanvraag individuele inkomenstoeslag door de gemeente Informatiebeveiliging Zoetermeer zat tussen een aangeleverde verweerschrift in het kader van de bezwaarschriftenprocedure.

Nee

Afschrift uitspraak op bezwaar is door team Belastingen 11-9-2020 Informatiebeveiliging via een begeleidend schrijven naar een verkeerd geadresseerde verstuurd .

Nee

Afschrift vermindering van de gemeentelijke heffingen is naar een verkeerd (voormalig) adres gestuurd.

Nee

Een afschrift van een aanmaning voor betaling van gemeentelijke Belastingen is door de eigenaar van een eenmanszaak de in het KvK opgenomen adres ontvangen. Deze ontvanger blijkt niet de eigenaar van 8-10-2020 Informatiebeveiliging het bedrijf. De werkelijke eigenaar gebruikte altijd zijn bezoekadres als postadres. Hier werd niet op gereageerd waarna het inschrijfadres van de eigenaar van het bedrijf benaderd. Na verzending van de brief heeft de inwoner contact opgenomen met de gemeente.

Nee

7-8-2020

28-9-2020 Informatiebeveiliging

Onterecht toegang tot Sociale Zaken mappen op de Gnetwerkschijf Klantmanager heeft een salarisstrook voor iemand die in Informatiebeveiliging aanmerking komt voor Wmo per ongeluk gemaild naar het e-mailadres van een manege.

17-9-2020 Informatiebeveiliging 12-112020

32

Nee Ja

28-122020

In de weekblog van de burgemeester is een foto geplaatst van een brief gemaakt over een bestuurlijke boete wegens het illegaal afsteken van vuurwerk. De foto was illustratief als waarschuwing om tijdens oud en Informatiebeveiliging nieuw geen vuurwerk af te steken. De persoonsgegevens in de brief waren afgedekt. Er is echter vergeten dit ook bij de aanhef te doen. Deze foto is enkele uren zichtbaar geweest op de gemeentelijke website en na constatering fout verwijderd.

33

Ja

Melding van datalekken Sinds 2016 geldt de wet Meldplicht datalekken en per 25 mei 2019 is de nieuwe Europese Algemene Verordening Gegevensbescherming (AVG) van kracht geworden. Als onze organisatie niet voldoet aan deze wetten, is dat een risico op een bestuurlijke boete van de Autoriteit Persoonsgegevens van maximaal 20 miljoen euro. In 2020 ontving de Autoriteit Persoonsgegevens (AP) 23.976 datalekmeldingen. De meeste datalekmeldingen kwamen in 2020 uit de sector gezondheid en welzijn (30%), gevolgd door financiële dienstverlening en openbaar bestuur (beide 22%). Vergeleken met 2019 is het aantal meldingen vanuit de zorg gedaald met 4%, vanuit de financiële sector gedaald met 34% en vanuit de overheid gestegen met 13%. De stijging bij de overheid komt vooral doordat er meer persoonsgegevens zijn afgegeven of verstuurd aan een verkeerde ontvanger. Van de bij ons gemelde incidenten zijn er uiteindelijk zes incidenten als datalek gemeld bij de Autoriteit Persoonsgegevens (AP). Binnen 72 uur worden datalekken bij de Autoriteit Persoonsgegevens (AP) gemeld. Er vindt dan direct verder onderzoek plaats naar de risico’s voor personen waarvan de gegevens zijn gelekt. Dit is ook bepalend of deze personen worden geïnformeerd over dit datalek.

Andere incidenten die niet als datalek bij de AP zijn gemeld betreffen incidenten waarbij gegevens niet buiten de organisatie zijn gekomen of waarbij door snel te handelen het risico op schade voor de persoon in kwestie teniet is gedaan. Bij een van de datalekken lag de oorzaak bij een externe partij.

Met leveranciers en ketenpartners zijn verwerkers- of dataleveringsovereenkomsten afgesloten. De in deze overeenkomsten opgenomen eisen op het gebied van informatiebeveiliging zorgen ervoor dat de risico’s aanzienlijk verkleind zijn. Daarnaast wordt gewerkt aan het implementeren van technische componenten. Hiermee wordt het mogelijk om systematisch in de gaten houden wat er gebeurt in de gemeentelijke systemen, afwijkingen herkennen en hier vervolgens adequaat op reageren. Detectie zorgt voor het vroegtijdig signaleren van afwijkingen en bedreigingen en geeft daarmee ruimte om incidenten te voorkomen voordat ze manifest worden. Detectie zorgt dat kosten als gevolg van incidenten laag blijven en incidenten uiteindelijk zelfs voorkomen kunnen worden, maar ook dat zaken die niet of nooit gezien worden wel aan het licht komen en kunnen worden aangepakt. Detectie en de reactie op meldingen vereist echter tijd van beheerders, die deze tijd vaak niet beschikbaar hebben. Als de gemeente niet weet wat er gebeurt, dan kan ook niet worden gestuurd op risico's. Gebrek aan inzicht in wat er feitelijk gebeurt is onwenselijk omdat dit het bestuur belet om adequaat te kunnen sturen op risico's, ernaar te handelen en ervan te leren. Het implementeren van de BIO en de AVG brengt de basis op orde.

Daarmee kan informatiebeveiliging en privacybescherming als proces worden ingericht waarmee de focus op detectie en actieve preventie gezien wordt als de logische vervolgstap.

34

9. Meerjarenperspectief Inwoners, ondernemingen en instellingen moeten erop kunnen vertrouwen dat we zorgvuldig omgaan met (persoons)gegevens. Het is daarom van groot belang dat gegevens alleen onder strikte voorwaarden gebruikt worden en goed beveiligd zijn tegen onbevoegd gebruik. Ons meerjareninformatiebeveiligingsbeleid kent passende technische en organisatorische maatregelen om informatie te beschermen. Ook waarborgt het beleid dat de gemeente voldoet aan de relevante wet- en regelgeving. De beveiligingsfunctionaris (Ciso) zorgt voor de coördinatie en het toezicht op de naleving van beveiligingsmaatregelen en -procedures, voor elk onderdeel van het informatiebeveiligingsbeleid. Jaarlijks toetsen we door middel van zelfevaluatie en externe audits de maatregelen voor de waardedocumenten, BRP, BAG, BGT, BRO, DigiD en Suwinet. We houden rekening met ontwikkelingen en nieuwe opkomende bedreigingen. Dat vraagt om tijdig anticiperen en middelen beschikbaar stellen om maatregelen te nemen. We hebben afgelopen jaren te maken gehad met nieuwe trends en ontwikkelingen, dit zal ook de komende jaren niet anders zijn. Zo heeft de Coronacrisis nu al een enorme invloed op de toename van digitaal plaats en tijd onafhankelijk werken. Diverse ontwikkelingen in de nabije toekomst maar ook die afgelopen periode al zijn ingezet mogen niet onderbelicht blijven.

In feite zijn de hieronder uitgewerkte punten onder te brengen in een aantal dreigingen. Deze moeten gezien worden als reminders waar nu en de komende jaren rekening mee moet worden gehouden. De gemeentelijke informatievoorziening is kwetsbaar. We onderscheiden hieronder een aantal categorieën van dreigingen in volgorde van belangrijkheid. (Bron: IBD) Intern en onbedoeld In de eerste plaats zijn er dreigingen door onbedoelde neveneffecten van logisch menselijk handelen. Medewerkers van gemeenten doen hun best om het werk snel, efficiënt en kwalitatief goed te doen. Bureaucratie is ‘uit’ en ondernemerschap is ‘in’. De kortste weg naar het resultaat is er vaak één met valkuilen. Voorbeelden: Van dergelijke dreigingen zijn e-mails met gevoelige gegevens aan de verkeerde geadresseerde, verloren USB-sticks en het per ongeluk wissen van bestanden. Extern, bedoeld maar ongericht Verreweg het grootste deel van de incidenten vanuit een externe actor komt voort uit geautomatiseerde bulkaanvallen. Kwaadwillenden scannen het internet af op bekende zwakheden in hard- en software, proberen veelvoorkomende gebruikersnaamwachtwoordcombinaties of sturen honderdduizenden phishingberichten aan elk adres dat ze tot hun beschikking hebben. Gemeenten zijn dan gewoonweg het slachtoffer omdat ze aangesloten zijn op het internet, doorgaans niet omdat ze de Nederlandse overheid zijn.

De gevolgen van ongerichte aanvallen kunnen groot zijn: de meeste aanvallen met gijzelsoftware zijn in eerste instantie ongericht. Het komt voor dat buitgemaakte inloggegevens van ongerichte aanvallen worden aangeboden aan de hoogste bieder. In zo’n geval kan een ongerichte aanval het opstapje vormen voor een gerichte aanval. Extern, bedoeld en gericht Veel aandacht gaat uit naar gerichte dreigingen van hackers en criminelen. Dit fenomeen levert spannende verhalen op in de media. Dit zijn tevens de gevallen die we maar heel moeilijk kunnen ontdekken en die men ook bij de IBD (dus) relatief weinig tegenkomt. Een dergelijke gerichte aanval start vaak met onderzoek door de hacker naar informatie die kan worden gebruikt bij een hack. Op sociale media zoals LinkedIn is veel op het oog onschuldige

35

zakelijke informatie te ontdekken waar een kwaadwillende zijn voordeel mee kan doen. De wat meer gesloten bronnen leveren nog meer informatie op. Er circuleren lijsten met miljarden gestolen gebruikersnamen en wachtwoorden van eerdere hacks. De IBD krijgt meldingen van doelgerichte inlogpogingen op systemen of gerichte phishingmails met een keurige aanhef en een plausibele aanleiding met het doel om geld of (inlog) gegevens buit te maken. Digitaal vandalisme zoals het platleggen van websites scharen we ook onder deze dreigingscategorie. Intern en bedoeld De meest riskante dreiging komt van binnen de organisatie. Medewerkers met kwade bedoelingen kunnen uit hoofde van hun functie bij veel gegevens en systemen. Vooral medewerkers met verhoogde toegangsrechten zoals ICT-beheerders en management kunnen grote schade aanrichten. Deze dreiging is nog moeilijker te ontdekken. Interne medewerkers kennen de interne processen en controlemechanismen en kunnen die daarom beter omzeilen dan iemand van buiten. We weten niet wat we niet weten Het feit dat er in een gemeente weinig of geen incidenten lijken te zijn, hoeft niet te betekenen dat er niets gebeurt. Besef dat er in elke organisatie incidenten zijn. Als de directie en het management die niet kennen, dan is dat zorgelijk.

Het boven tafel krijgen van incidenten vereist een open cultuur waarin medewerkers zich vrij voelen om situaties te melden. Daarnaast is er ook een technische component: systematisch in de gaten houden wat er gebeurt in de gemeentelijke systemen, afwijkingen herkennen en hier vervolgens adequaat op reageren.

Risico’s voor de ambtelijke organisatie De meest prominente risico’s manifesteren zich in de ambtelijke organisatie; bij de ambtenaren die iedere dag gebruikmaken van informatie- en communicatiesystemen om hun werk te doen. In het eerste halfjaar van 2020 deden zich twee situaties voor die het belang van beschikbaarheid van informatiesystemen onderstrepen. Risico: bedrijfscontinuïteit in het geding Of het nu door een technische oorzaak komt (fouten in hard- en software) of door een niet technische oorzaak (een faillissement van een dienstverlener, een pandemie, een brand, een vlooienplaag, een overstroming, enzovoort). Het kan voorkomen dat het werk niet kan doorgaan zoals dat normaal gaat. Deze risico’s vinden een oorzaak in de digitale wereld of ze manifesteren zich uiteindelijk in het feit dat een computersysteem niet werkt. Kwetsbaarheden in de systemen van Citrix, veel gebruikt voor het faciliteren van werken op afstand, waren zo ernstig dat dit systeem een aantal dagen van de buitenwereld moest worden afgesloten. Het gevolg: ambtenaren konden in veel gevallen niet meer thuiswerken, kantoren waren overbelast, werkprocessen lagen in sommige gevallen stil.

Enkele weken later noopten de maatregelen om verspreiding van COVID-19 te voorkomen ertoe dat Nederlanders zo veel mogelijk thuis gingen werken en vergaderen, een situatie die in elk geval tot na het verschijnen van dit jaarverslag aanhoudt.

36

Per proces hoort bekend te zijn wat de kernfunctie is en hoe die door middel van een informatiesysteem wordt ondersteund. Gemeenten dienen een plan te hebben voor uitval of onbeschikbaarheid van een informatiesysteem. Risico’s met betrekking tot de bedrijfscontinuïteit nemen toe, omdat online processen steeds meer de standaard worden en de offline alternatieven verdwijnen. Waarbij vroeger voor een aanvraag een papieren formulier met handtekening nog werd overgenomen in een computersysteem, is nu de online aanvraag de directe start van een aanvraagproces. Wanneer een systeem uitvalt kan niet worden teruggevallen op papieren processen. Integriteit van gegevens is niet gewaarborgd We vertrouwen erop dat de persoon die inlogt in een systeem ook degene is aan wie we toestemming geven om dat te doen en dat deze persoon op dat moment ook een gegronde reden heeft om in te loggen. Om technische (een hack) en niet-technische (een medewerker met kwade bedoelingen) redenen kan het zijn dat iemand werk uitvoert dat niet de bedoeling is. Een kwaadwillende kan in zo’n geval gegevens wijzigen, wissen of toevoegen. Een onterechte factuur indienen of goedkeuren, vergunning verstrekken, een uitkering toewijzen, het bepalen van een hoogte van een vergoeding, het verstrekken van een paspoort: dat begint allemaal met het invoeren van gegevens in informatiesystemen.

Vertrouwelijke gegevens in verkeerde handen Een e-mail aan een verkeerd mailadres, een foutje in de toegangsrechten van een gedeelde map (menselijke fouten) of een onontdekt lek in een systeem (technische fouten) of een ongedicht lek in een systeem (een combinatie van menselijke en technische fouten) kunnen ertoe leiden dat vertrouwelijke informatie onbedoeld onder ogen van ongeautoriseerde personen komt. De gemeente werkt met legio vertrouwelijke gegevens over inwoners, maar ook over de eigen bedrijfsvoering: denk aan aanbestedingen, plannen, memo’s, salarissen.

Risico’s voor het openbaar bestuur en de politiek Imagoschade Fouten van medewerkers worden het bestuur aangerekend. Daarnaast krijgen bestuurders en politieke ambtsdragers veel gevoelige en vertrouwelijke informatie onder ogen. Een zorgvuldige omgang is vereist. Het vertrouwen in de gemeente en de ambtsdragers kan ernstig worden aangetast als (vertrouwelijke) informatie wordt gebruikt om er zichzelf of anderen mee te bevoordelen. Belangrijk is ook om (digitale) stukken goed op te bergen en de interne beveiligingsinstructies op te volgen die gelden voor gebruik van smartphones, tablets en pc’s, et cetera. Het vertrouwen in de overheid hangt onder meer samen met de wijze waarop men omgaat met gegevens. Dat wil zeggen: inwoners van de gemeenten moeten er op kunnen vertrouwen dat de gemeente gegevens op een passende manier beschermt en plannen uitvoert zoals ze zijn afgesproken.

Financiële schade Op meerdere manieren kan een gemeente geconfronteerd worden met financiële schade als gevolg van ontbrekende informatiebeveiliging. De gemeente Lochem werd op een haar na slachtoffer van gijzelsoftware maar had toch enkele tienduizenden euro’s schade als gevolg van het stilleggen van de dienstverlening, het forensisch onderzoek en het herstellen van de ICT-omgeving. Wanneer de 37

gemeente daadwerkelijk zou zijn getroffen door gijzelsoftware hadden de kosten kunnen oplopen tot honderdduizenden of zelfs miljoenen euro’s. Een ambtenaar, bestuurder of raadslid kan bedoeld of onbedoeld informatie verschaffen waar een kwaadwillende zijn voordeel mee kan doen (en de gemeente gedupeerd achterblijft). Informatie rond bestemmingsplannen, aanbestedingen of veranderende regels kan zeer waardevol zijn. Onzorgvuldige omgang met persoonsgegevens en overtredingen van de Algemene verordening gegevensbescherming (AVG) kunnen leiden tot aansprakelijkheidsstellingen van getroffenen of boetes van de privacytoezichthouder. Een boete wegens onzorgvuldig handelen met de privacy van inwoners zou bovendien leiden tot grote imagoschade.

Schade aan democratische processen Inbreuken op de beschikbaarheid, integriteit en vertrouwelijkheid van informatiesystemen kunnen het democratische proces aantasten. Dit geldt voor zowel verkiezingen als stemprocessen van volksvertegenwoordigers. Raadsleden moeten ervan op aan kunnen dat hun stem op de juiste wijze wordt verwerkt en dat ze hun stem kunnen baseren op de juiste informatie. Bovendien is bij verkiezingen het stemgeheim een groot goed.

Risico’s voor de inwoners en de ondernemers Gegevens in verkeerde handen Gemeenten worden geacht als goed huisvader om te gaan met de gegevens die ze onder hun hoede hebben. Als de informatie van de overheid in verkeerde handen komt zijn de mogelijke gevolgen voor inwoners en ondernemers bijna niet te overzien. Inwoners zijn voor veel gevoelige zaken afhankelijk van de overheid: zorg, werk, inkomen en andere voorzieningen. Tijdens de coronacrisis is een derde van de Nederlandse werkenden afhankelijk van regelingen die geheel of gedeeltelijk worden uitgevoerd door gemeenten. Bijna één op de tien kinderen en jongeren maken gebruik van jeugdzorg. Als over individuele gevallen informatie uitlekt, zijn de betrokkenen daar direct de dupe van.

Dienstverlening van de gemeente niet beschikbaar Als de dienstverlening van de gemeente niet of verminderd beschikbaar is, dan kunnen inwoners en ondernemers daar hinder van ondervinden. In sommige gevallen zal er sprake zijn van licht ongemak wanneer een inwoner diensten of producten een paar dagen later geleverd krijgt. Uitval van meerdere dagen of zelfs langer kan serieuze maatschappelijke, economische en sociale gevolgen hebben.

Ontwrichting van alledaagse processen Veel van de systemen die ervoor zorgen dat alledaagse processen goed verlopen worden aangestuurd door computersystemen. Procesautomatisering gaat onder andere over doorstroming van het verkeer, regulering van de waterstand of de toegangsverlening tot gebouwen of faciliteiten. Ook hier kunnen menselijk handelen (bedoeld of onbedoeld) of de techniek leiden tot verstoringen van de beschikbaarheid (uitval van systemen) en integriteit (groen licht in plaats van rood licht, brug open in plaats van brug dicht of ontregeling van rioleringspompen).

38

Wake-up call: Gijzelhackers Hof van Twente Aan het eind van 2020 volgde het meest ingrijpende gemeentelijke cyberveiligheidsongeluk. Medio december legden gijzelhackers de systemen van Hof van Twente plat. De gemeentelijke dienstverlening kwam abrupt tot stilstand. De Overijsselse gemeente moest op de blaren zitten en zag al haar systemen onbruikbaar worden, omdat de hackers alle data hadden afgegrendeld of vernietigd. Op de eis van losgeld werd niet ingegaan. Burgemeester Ellen Nauta kon haar inwoners vertellen dat de naweeën van de cyberaanval groot zijn. Het zal nog zeker twee jaar duren voor de gemeente haar ICT-infrastructuur weer op orde heeft. De dienstverlening moet nog grotendeels handmatig verlopen. Volgens Nauta zijn er vooralsnog geen aanwijzingen dat er persoonsgegevens zijn buitgemaakt. Over de kosten van de hack kan ze nog niets zeggen. Wat er precies mis ging, moet eind februari duidelijk worden. Dat onderzoek loopt. Overigens was de gemeente niet tegen cyberinbraak verzekerd. Hoewel we er alles aan doen om het risico zo klein mogelijk te maken is dit scenario ook voor Midden-Delfland niet uit te sluiten.

39