A4 Rekenkamercommissie WVOLV d.d. 8 februari 2021 - IBP Rekenkameronderzoek Informatiebeveiliging
Tekst van het document
3
in de effectiviteit van het (beveiligings-) systeem en om verbeterpunten te definiëren. Voor dit onderzoek heeft elke gemeente een aantal webapplicaties (URL’s = adres van een www-pagina op het internet) opgegeven. Op deze webapplicaties is een penetratietest uitgevoerd. Bij een kwetsbaarhedenscan wordt, veelal middels geautomatiseerde tools, de IT-infrastructuur onderzocht. Alle servers en netwerkelementen die binnen de scope van het onderzoek vallen, worden onderzocht op zo’n 142.000 bekende kwetsbaarheden. Met een dergelijke scan wordt duidelijk of de organisatie de systemen up-to-date heeft. De kwetsbaarhedenscan geeft weer of de IT-infrastructuur goed
4
is ingericht en geen verkeerde of verouderde configuratie bevat. In verband met de vertrouwelijkheid van de gevonden kwetsbaarheden zijn niet alle bevindingen en details in dit verslag opgenomen. Een samenvatting van de bevindingen uit de penetratietest en kwetsbaarheden-scan is opgenomen in het vertrouwelijke rapport per gemeente.
5
De technische analyse is terug te vinden in de reeds separaat aan de gemeentelijke CISO verstrekte penetratietest en kwetsbaarheden-scan rapport (vertrouwelijk).
Bevindingen penetratietest
•
De helft van de gemeenten heeft in de onderzoeksperiode penetratietesten laten uitvoeren door
+
andere partijen. Er zijn weinig of geen penetratietesten uitgevoerd bij de verbonden partijen. Bij het uitgangspunt dat minimaal eenmaal per jaar een penetratietest gehouden dient te worden, voeren gemeenten nu te weinig penetratietesten uit.
•
Bij de uitgevoerde penetratietesten is een aantal zorgwekkende kwetsbaarheden gevonden, die een veiligheidsrisico opleveren. Bij alle gemeenten zijn op de onderzochte applicaties verouderde softwareversies aangetroffen. Op alle onderzochte webservers zijn verouderde protocollen voor
© IB&P BV 2020
28
Rekenkameronderzoek informatiebeveiliging
encryptie (versleuteling) ingeschakeld en wordt gebruik gemaakt van verouderde cipher suites. Cipher suites zijn beschrijvingen van rekenprocessen, die helpen bij de beveiliging van een netwerkverbinding.
•
De meeste onderzochte websites maken geen gebruik van HSTS-headers. Een HSTS-header is een beveiligingsmechanisme om websites te beschermen tegen aanvallen. Met de HSTS-header kunnen
1
bepaalde man-in-the-middle aanvallen worden voorkomen. Een man-in-the-middle aanval is een aanval waarbij informatie tussen twee communiceren partijen wordt onderschept, zonder dat beide partijen daar weet van hebben.
•
Niet alle onderzochte webapplicaties maken gebruik van een anti-caching header. Met een anticaching header wordt voorkomen dat privacygevoelige informatie wordt opgeslagen. Daarnaast beschikken niet alle webapplicaties over correct geconfigureerde security headers. Met een goed geconfigureerde header kan de webserver de browser instrueren waar bepaalde content vandaan mag komen, zodat de rest kan worden geblokkeerd.
•
2
Bij de penetratietest zijn Cross-Site scripting aanvalsmogelijkheden gevonden. Cross-site scripting is een fout in de beveiliging van een webapplicatie, waarbij een bepaalde invoer niet juist wordt verwerkt en bij een aanvaller terecht kan komen. Daarnaast is bij een aantal websites de firewall zodanig geconfigureerd dat naast de poorten die noodzakelijk zijn voor de correcte werking van de webapplicatie ook poorten voor de mailserver open staan. Het is noodzakelijk spoedig te
3
onderzoeken of deze poorten inderdaad open moeten staan.
•
Niet alle domeinen zijn voorzien van een Certificate Authority Authorization (CAA)-record. Een CAArecord is een internetbeveiligingsmechanisme waarmee de domeinnaamhouder het eigendom van de website kan bewijzen. Sommige applicaties geven een te uitgebreide foutmelding weer. Een uitgebreide foutmelding kan een aanvaller informatie verschaffen over kwetsbaarheden. Daarnaast zijn Domain Name System Security Extensions (DNSSEC) niet ingeschakeld voor alle domeinen. DNS is het systeem dat op het internet gebruikt wordt om namen van computers naar numerieke adressen
4
(IP-adressen) te vertalen en omgekeerd. DNSSEC voorziet het DNS-record van een digitale handtekening, zodat gecontroleerd kan worden of het record authentiek is.
•
Op de onderzochte applicaties zijn extern ingeladen softwarebibliotheken aangetroffen. Hierdoor kan malware geïmporteerd worden. Het is mogelijk gebleken om in een applicatie een account aan te
5
maken met verhoogde rechten.
•
Niet alle cookies van de webapplicatie beschikken over de juiste attributen. Cookies zijn kleine bestandjes met informatie die de browser van de eindgebruiker gebruikt om zich te identificeren. Het is dan ook belangrijk dat de inhoud van deze cookies correct is én niet in verkeerde handen
+
terechtkomt.
•
Verdere detaillering wordt in dit (openbare) rapport bewust achterwege gelaten. De uitkomsten van de penetratietests en de kwetsbaarhedenscans zijn gedeeld met de respectievelijke gemeenten en komen uitgebreider aan bod in de vertrouwelijke rapportage per gemeente.
© IB&P BV 2020
29
Rekenkameronderzoek informatiebeveiliging
Bevindingen kwetsbaarhedenscan
•
De interne netwerken van de gemeenten zijn niet afdoende gesegmenteerd, waardoor het risico bestaat dat onbevoegden zich toegang tot het netwerk kunnen verschaffen.
•
Het patch-proces is niet effectief ingericht voor de tijdige installatie van alle beveiligings-patches.
•
Het beheer van de servers is niet beperkt tot diegenen die het beheer moeten uitvoeren.
•
Het draadloze netwerk is niet afdoende afgeschermd van het interne (bedrade) netwerk, waardoor
1
gasten op het wifinetwerk (draadloos) zich mogelijk toegang kunnen verschaffen tot de verschillende interne managementsystemen van de gemeente.
•
Het interne netwerk bevat geen beheerzone, wat wel wordt aangeraden om te implementeren zodat de beheeractiviteiten en beheertoegang zijn gescheiden van het reguliere netwerk (waar de medewerkers op werken).
•
2
Het bedrade netwerk van sommige gemeenten beschikt niet over een Network Access Control (NAC)-oplossing. De NAC regelt de toegang tot het netwerk, door te controleren of voldaan wordt aan bepaalde voorwaarden.
Toelichting
3
Sommige gemeenten zijn in afwachting zijn van de invoering van GGI-Veilig. Bij GGI-Veilig is het mogelijk om producten en diensten voor de operationele informatiebeveiliging (waaronder penetratietesten) centraal af te nemen. Eén van de methoden om de beveiliging van grote netwerken te beheren is om ze te verdelen in gescheiden netwerkdomeinen. De domeinen kunnen worden gekozen op basis van betrouwbaarheidsniveaus (bijvoorbeeld openbaar toegankelijk domein, bureaubladdomein, serverdomein), organisatieafdelingen (bijvoorbeeld personeelszaken, financiën) of een combinatie
4
hiervan. Door het indelen van het netwerk in verschillende logische zones naar gelang van de kwetsbaarheid en gevoeligheid van de informatie, wordt de kwetsbaarheid verminderd. Ook het beperken van de onderlinge toegang tussen de zones draagt bij aan het verminderen van de kwetsbaarheid. Om de logische toegang
5
tot het netwerk te beperken kan gebruik gemaakt worden van een NAC-oplossing. Patches zijn doorgaans kleine programma’s die aanpassingen maken om fouten op te lossen, of verbeteringen aan te brengen in bestaande software en/of hardware. Het patchen van kwetsbaarheden is verplicht vanuit de BIO (control 12.6.1). Het patchmanagement behoort te zijn vastgelegd in duidelijke
+
afspraken en procedures. Aanvallen op systemen kunnen plaatsvinden door het misbruiken van functies van informatiesystemen en hardware die ‘aan’ staan. Het proces om ervoor te zorgen dat functies die niet nodig zijn worden uitgeschakeld en/of van het systeem worden verwijderd heet ‘hardening’. Hardening van de actieve IT-infrastructuur, servers en netwerkcomponenten is een belangrijke stap om persoonlijke gegevens en informatie te beschermen en is nodig om de basis op orde te hebben. Het hardeningsbeleid van de
© IB&P BV 2020
30
Rekenkameronderzoek informatiebeveiliging
gemeente geeft richting aan de wijze waarop de gemeente maatregelen wenst te treffen voor hardening. Draadloze netwerken vereisen speciale aandacht in verband met de mogelijkheid om toegang te krijgen tot het interne netwerk. Personen die toegang hebben tot het draadloze netwerk behoren alleen toegang te krijgen tot het internet. Toegang tot het interne netwerk via het draadloze netwerk behoort via een VPN-verbinding te lopen. Op deze manier ontstaat een strikte scheiding tussen beveiligd en onbeveiligd verkeer.
1
3.6 Wat kunnen gemeenten van elkaar leren? Algemeen Wat kunnen de vier gemeenten van elkaar leren en van andere gemeenten in het land? Deze vraag staat hier centraal.
Bevindingen
•
De WVOLV-gemeenten verschillen onderling veel van elkaar. Daarnaast werken de gemeenten
2
allemaal met andere regio’s en verbanden samen. De WVOLV-gemeenten weten weinig van elkaar hoe zij werken en wat er speelt. Dit maakt de informatie-uitwisseling en het leren van elkaar lastig.
•
De ‘best practices’, handreikingen en voorbeelden van de Informatiebeveiligingsdienst voor gemeenten (IBD) kunnen vaker als uitgangspunt gebruikt worden. Zodoende werk je als gemeente al vanuit hetzelfde document of met dezelfde methodiek. Dit vergemakkelijkt het samenwerken en
3
onderling leren.
•
De gemeente Leidschendam-Voorburg heeft de verantwoordelijkheid voor informatiebeveiliging en privacy goed in de lijn belegd. De aanpak en producten van Leidschendam-Voorburg worden regelmatig gebruikt als voorbeeld. Deze gemeente kan hiervoor als voorbeeld voor andere gemeenten dienen. De overige gemeenten zijn juist sterker in het voldoen aan de verantwoordingsplicht vanuit de AVG en hebben een completer overzicht van bijvoorbeeld hun verwerkingen en datalekken.
4
•
De CISO’s en FG’s van de gemeenten hebben periodiek collegiaal overleg met andere gemeenten buiten de WVOLV. Een overleg met de verbonden partijen ontbreekt.
Toelichting 5
Er is geen overlegstructuur tussen de WVOLV-gemeenten. Door de uitwisseling van informatie tussen de gemeenten en met de verbonden partijen te bevorderen, ontstaat wederzijds begrip en wordt de mogelijkheid om van elkaar te leren, gecreëerd. Voorbeeld: de gemeenten hebben de informatiebeveiligingsrisico’s nog niet volledig in beeld, hier kunnen de gemeenten van elkaar leren.
+
Een regionaal overleg voor CISO’s en/of FG’s met periodieke bijeenkomsten, waarbij kennis en ervaring worden uitgewisseld, strekt nadrukkelijk tot aanbeveling. Dit hoeft niet expliciet binnen de WVOLVgemeenten te gebeuren, maar kan ook binnen andere samenwerkingsverbanden plaatsvinden.
© IB&P BV 2020
31
Rekenkameronderzoek informatiebeveiliging
4
1
Conclusies
2
3
4
5
+
© IB&P BV 2020
32
Rekenkameronderzoek informatiebeveiliging
4. Conclusies In dit hoofdstuk staan de te trekken conclusies op basis van het onderzoek centraal. Ze zijn gebaseerd op de opgesomde bevindingen uit het vorige hoofdstuk. In dit (openbare) rapport worden alleen algemeen geldende conclusies getrokken en geen conclusies per gemeente. Samenvattend: alle zaken met
1
betrekking tot informatiebeveiliging staan wel in de steigers, maar behoeven nog veel aandacht in de systematische uitwerking in de praktijk.
4.1 Beleid, verantwoording en operationele implementatie De centrale vraag van de RKC is hoe de gemeenten opvolging hebben gegeven aan de zorg voor risicoanalyses betreffende informatiebeveiliging. Hierbij is een ‘stoplichtmodel’ gebruikt waarbij de kleuren de onderstaande betekenis hebben. De aanbevelingen zijn opgenomen in hoofdstuk 5. Groen betekent op orde.
2
Oranje heeft aandacht nodig. Rood is urgent/zorgwekkend. Uit het onderzoek blijkt dat het informatiebeveiligingsbeleid en de organisatie rondom informatieveiligheid bij de gemeenten in opzet op orde is. De meeste verbonden partijen
3
hebben een informatiebeveiligingsbeleid opgesteld, dat periodiek wordt bijgesteld. De gemeenten stellen niet systematisch informatiebeveiligingsrisicoanalyses op, waarbij ook de informatiebeveiligingsrisico’s met de verbonden partijen worden geïnventariseerd. De gemeenten hebben de risico’s nog niet volledig in kaart gebracht. De meeste verbonden partijen hebben de informatiebeveiligingsrisico’s en beheersmaatregelen wel beschreven. De operationele procedures worden zelf niet periodiek beoordeeld en – waar nodig –
4
geactualiseerd. Een deel van de procedures is nog gebaseerd op de BIG in plaats van de BIO terwijl de BIO vanaf 1 januari 2020 van kracht is, met daaraan voorafgaand een overgangsperiode. In een groot aantal standaard verwerkersovereenkomsten is het aantonen van een passend
5
niveau van informatiebeveiliging door de verwerkende partij niet ingevuld. Dit maakt sturing en controle op de beveiligingsmaatregelen bij deze verwerkers feitelijk onmogelijk. De informatiebeveiligingsrisico’s en beheersingsmaatregelen zijn in de onderzoeksperiode niet opgenomen in de gemeentelijke programmabegroting.
+
In het rekenkamerrapport ‘Beter sturen op digitale dienstverlening‘ is geadviseerd expliciet te sturen op het formuleren van concrete kaders op informatiebeveiliging door verbonden partijen. Aangezien de gemeenten geen sturing of (directe) richtlijnen aan de verbonden partijen geven op het gebied van informatiebeveiliging, is aan dit advies geen invulling gegeven.
© IB&P BV 2020
33
Rekenkameronderzoek informatiebeveiliging
In het rekenkamerrapport ‘Grip op samenwerking?’ is aangegeven dat de sturing en controle op samenwerkingsverbanden onvoldoende is. Dit is niet verbeterd. De verantwoording en controle is nog te veel gericht op financiële resultaten. Gebleken is dat de gemeenteraad maar weinig vragen over het onderwerp informatiebeveiliging en gegevensbescherming stelt. Dit kan een uitvloeisel van de
1
rolopvatting zijn, maar betekent ook dat de raad weinig zicht heeft op de stand van zaken in de uitvoeringspraktijk. Binnen de gemeenten worden niet veel beveiligingsincidenten en datalekken geconstateerd. Ter informatie: in 2019 ontving de AP 4.624 datalekmeldingen vanuit overheidsorganisaties. Een stijging met 27% ten opzichte van 2018. Door middel van opleiding, training en voorlichting wordt gewerkt aan de bewustwording over informatiebeveiliging en gegevensbescherming.
4.2
2
Penetratietesten en kwetsbaarhedenscans
Op basis van de uitgevoerde penetratietesten en kwetsbaarhedenscan is in dit rapport een aantal algemene conclusies te trekken. Meer details zijn te vinden in de deelrapporten per gemeente.
3
De gemeenten voeren te weinig penetratietesten uit. Uit de in dit onderzoek uitgevoerde penetratietesten is gebleken dat de netwerken binnen de gemeenten kwetsbaar zijn door de aanwezigheid van verouderde software, verouderde cipher suites en protocollen voor encryptie en het niet gebruiken van de juiste headers. Deze kwetsbaarheden behoeven op korte termijn aandacht. De serverzones, gebruikerszone en beheerzone dienen verder opgesplitst te worden en het verkeer tussen de interne zones beperkt tot het absoluut noodzakelijke.
4
De procedure voor het patchen dient strikter te worden gehandhaafd om verouderde en kwetsbare software te voorkomen.
4.3
Conclusies per gemeente
5
De genoemde aanbevelingen in dit rapport zijn in meer en mindere mate voor alle gemeenten van toepassing. De met name technische tekortkomingen en conclusies per gemeente zijn vermeld in de deelrapporten per gemeente.
• • • •
Deelrapport Leidschendam-Voorbrug Deelrapport Oegstgeest
+
Deelrapport Voorschoten Deelrapport Wassenaar
De vertrouwelijke rapporten met de resultaten van de penetratietest en de kwetsbaarhedenscan zijn reeds gedeeld met de verantwoordelijke functionaris (CISO) van de respectievelijke gemeenten. In deze rapporten is specifiek aangegeven welke kwetsbaarheden binnen de informatiebeveiliging van de gemeente zijn ontdekt met aanbevelingen om deze zo spoedig mogelijk te verhelpen. Deze rapporten bevatten dus de meeste (technische) detaillering. © IB&P BV 2020
34
Rekenkameronderzoek informatiebeveiliging
Summier overzicht van bevindingen:
Gemeente
Op orde
Aandacht nodig
Zorgwekkend
LeidschendamVoorburg
Privacy en informatiebeveiligingsbeleid
Informatiebeveiliging staat op agenda van de gemeenteraad
Geen structurele uitvoering van pentesten – wel noodzakelijk gebleken
Procedures uitwerken volgens BIO
1
Opstellen verwerkingsregister Registratie van beveiligingsincidenten en datalekken
Oegstgeest
Privacy en informatiebeveiligingsbeleid
Informatiebeveiligingsrisico’s onvoldoende in kaart Uitvoering DPIA’s behoeft aandacht
Geen structurele uitvoering van pentesten – wel noodzakelijk gebleken
2
Datalekken worden onvoldoende herkend Informatiebeveiliging staat niet op agenda van de gemeenteraad
3 Voorschoten
Privacy en informatiebeveiligingsbeleid
Informatiebeveiligings-risico’s onvoldoende in kaart Procedures uitwerken volgens BIO
Geen structurele uitvoering van pentesten – wel noodzakelijk gebleken
Informatiebeveiliging staat niet op agenda van de gemeenteraad Datalekken worden onvoldoende herkend
Wassenaar
Privacy en informatiebeveiligingsbeleid
Informatiebeveiligings-risico’s onvoldoende in kaart Procedures uitwerken volgens BIO
4 Geen structurele uitvoering van pentesten – wel noodzakelijk gebleken
5
Datalekken worden onvoldoende herkend Informatiebeveiliging staat niet op agenda van de gemeenteraad
+
© IB&P BV 2020
35
Rekenkameronderzoek informatiebeveiliging
5
1
Aanbevelingen
2
3
4
5
+
© IB&P BV 2020
36
Rekenkameronderzoek informatiebeveiliging
5. Aanbevelingen
uiteenlopende aard en enkele zijn in het bijzonder
Los de kwetsbaarheden op die uit de penetratietesten zijn gebleken en laat vervolgens periodiek audits en penetratietesten uitvoeren door gespecialiseerde bureaus.
gericht aan de gemeenteraden. Het rapport wordt
Installeer (security) software updates zo snel
afgesloten met een slotbeschouwing en enkele
mogelijk na verschijning. Schakel de verouderde
stellingen voor een debat.
cipher suites uit en schakel moderne veilige cipher
Wat kan er verbeterd worden in het licht van de bevindingen en daaruit getrokken conclusies? Dat staat centraal in dit vijfde en tevens laatste hoofdstuk. De aanbevelingen zijn van
1
suites in. Configureer de security headers op een
5.1
Algemene aanbevelingen
Voer minimaal jaarlijks risicoanalyses uit op het gebied van informatiebeveiliging en pas op basis van de uitkomsten het informatiebeveiligingsbeleid aan.
correcte wijzen en maak gebruik van HSTS-headers en anti-caching headers.
Deel het netwerk in met verschillende
Maak hierbij gebruik van de
logische zones naar gelang de kwetsbaarheid en gevoeligheid van de informatie.
ondersteuningsproducten van de IBD om de
Beperk de onderlinge toegang tussen de zones.
onderlinge samenwerking tussen gemeenten en
Stel een patch- en hardeningsbeleid op (voor zover
verbonden partijen te stimuleren. Dat geldt ook
nog niet aanwezig) en monitor de naleving hiervan.
2
3
voor technische risico’s door nieuwe voortschrijdende technologie en de inventiviteit
Richt het toezicht op de naleving van verwerkersovereenkomsten in.
van hackers.
Als verwerkingsverantwoordelijke is de gemeente
kwetsbaarheden, die dagelijks ontstaan door de
verantwoordelijk voor de gehele verwerking en
Richt het procesmanagement van de informatiebeveiliging in volgens de PlanDo-Check-Act (PDCA)-cyclus.
keten van (sub)verwerkers. Actief toezicht op het
Dit borgt een gezonde verhouding tussen
noodzakelijk. In de regel geschiedt dit door eens
bedrijfsvoering en beveiligingsmaatregelen door
per jaar om een verantwoording te vragen bij de
het centraal stellen van risicomanagement en het
verwerker.
nakomen van de gemaakte afspraken, waaronder
4
de naleving van de beveiligingsmaatregelen, is
aldus reduceren van informatiebeveiligingsrisico’s tot een acceptabel niveau. ‘In control’ zijn betekent immers niet ‘geen risico lopen’.
Neem in de gemeentelijke programmabegroting een paragraaf op over de informatiebeveiligingsrisico’s en beheersingsmaatregelen.
Betrek de relevante verbonden partijen bij het (regionaal) overleg voor CISO’s en/of FG’s ten behoeve van kennis- en ervaring uitwisseling.
5
De bij dit onderzoek betrokken organisaties zijn op
+
het gebied van informatiebeveiliging en privacy met dezelfde zaken bezig en er valt de nodige winst te
Neem in de overleggen met de verbonden partij
behalen door elkaar meer op te zoeken en met
informatiebeveiliging en privacy op als vast
elkaar af te stemmen.
agendapunt. Maak met alle partijen afspraken over de gegevensverstrekking, waaronder de uitwisseling van persoonsgegevens.
© IB&P BV 2020
37
Rekenkameronderzoek informatiebeveiliging
5.2 Aanbevelingen voor de gemeenteraad Alle gemeenten zijn nog bezig met de invoering van de BIO. De ene gemeente is hier verder mee dan de andere. Met de invoering van de BIO moeten de gemeenten (opnieuw) een risicoanalyse uitvoeren. De BIO-zelfevaluatie maakt onderdeel uit van de ENSIA-verantwoordingssystematiek, maar is geen verplicht onderdeel in de rapportage
Volg net als de ambtelijke organisatie als raad tenminste jaarlijks een training in bewustwording over informatiebeveiliging en privacy. Dit kan bijvoorbeeld door hier jaarlijks een raadsinformatiebijeenkomst voor te reserveren
1
en/of door jaarlijks een actuele e-learning module op het onderwerp te doorlopen.
naar de raad. ENSIA streeft naar een zo effectief en
5.3
Slotbeschouwing
efficiënt mogelijk ingericht verantwoordingsstelsel
Aan de interviews en het aanleveren van
voor informatiebeveiliging. Met ENSIA sluit de
documenten hebben alle gemeenten en
verantwoording over informatieveiligheid aan op
verbonden partijen meegewerkt. De gemeenten
de planning en control-cyclus van de gemeente.
hebben niet alle gevraagde documenten
2
aangeleverd, met name enige procedures De rol van de raad in het kader van privacy en
ontbraken.
informatiebeveiliging is niet vastgelegd. Uit het onderzoek blijkt dat er weinig vragen door de raad
Het verkrijgen van de vrijwaringsverklaring voor
gesteld zijn over de thema’s informatiebeveiliging
het kunnen uitvoeren van de technische analyse
en gegevensbescherming. Er zijn verschillende
leverde vertraging op. De gemeenten hebben het
mogelijkheden (voorlichting, e-learning, et cetera)
afgeven van een vrijwaringsverklaring onderzocht
om de betrokkenheid van de raad bij het thema te
en met elkaar afgestemd. Uiteindelijk is de
vergroten.
vrijwaringsverklaring door alle gemeenten
3
verstrekt.
Aanbevelingen Geef aan het college aan welke informatie nodig is
Ondanks dat er nog punten voor verbetering van
om als effectieve toezichthouder op de informatie-
de informatiebeveiliging en privacy zijn, is er in de
beveiliging en privacybescherming te kunnen
afgelopen periode door talloze medewerkers hard
functioneren. Laat via de reguliere P&C-producten
gewerkt om de gemeentelijke informatiebeveiliging
rapporteren over de voortgang. Agendeer jaarlijks
zo goed mogelijk te verbeteren.
een speciale vergadering gewijd aan
IB&P bedankt de geïnterviewden en andere
informatiebeveiliging.
betrokken, die in welke vorm dan ook een bijdrage
4
hebben geleverd aan dit rapport voor hun
Vergroot de betrokkenheid van de raad bij informatiebeveiliging en privacy.
5
openheid, inzet en medewerking.
Dit door (periodiek) in gesprek te gaan met de uitvoerende medewerkers over deze thema’s of door eisen te stellen aan de informatievoorziening
+
op dit vlak.
© IB&P BV 2020
38
Rekenkameronderzoek informatiebeveiliging
1
Bijlagen
2
3
4
5
+
© IB&P BV 2020
39
Handreiking gemeenteraden: Praatplaat Rekenkameronderzoek Informatiebeveiliging De Rekenkamercommissie Wassenaar, Voorschoten, Oegstgeest en Leidschendam-Voorburg (WVOLV) heeft een onderzoek laten uitvoeren naar de informatiebeveiliging binnen de gemeentelijke organisaties en de daaraan verbonden partijen. Deze handreiking is bedoeld om binnen de gemeenteraden de dialoog te starten over informatiebeveiliging aan de hand van diverse denkrichtingen over acht vragen.
1
Wie is verantwoordelijk voor informatiebeveiliging? •
Informatiebeveiliging heeft een sterk technisch karakter en hoort derhalve bij de ICT-
• • •
afdeling.
•
Bedrijfsvoering dekt ook informatiebeveiliging en dus hoort dit onderwerp niet thuis op de bestuurstafel.
•
Hoe verhoudt de digitaliseringopgave zich tot de privacy van burgers en medewerkers?
4
Omdat het college vanuit de privacywet (AVG) eindverantwoordelijk is voor
Een excellente dienstverlening aan burgers en bedrijven is altijd de hoogste prioriteit. De Europese privacywet (AVG) is nóg een wet waaraan voldaan moet worden. Er zijn er zoveel. Privacywaarborgen zijn randvoorwaardelijk bij het digitaliseren van de dienstverlening aan burgers en bedrijven.
persoonsgegevens verwerken, is zij dat ook voor het beveiligen daarvan.
Welke rol heeft de gemeenteraad in het veilig houden van de gemeente?
2 •
5
Hoeveel verantwoordelijkheid dragen de verbonden partijen op het gebied van informatiebeveiliging? •
Informatiebeveiliging is te technisch van aard voor raadsleden en dus vooral iets voor het college om op te sturen.
•
eindverantwoordelijkheid.
•
De gemeenteraad dient toe te zien op de (wettelijke) ondergrens. Dat is al moeilijk genoeg, zo leert de praktijk.
•
•
Een sleutelrol is weggelegd voor de gemeenteraad vanwege de grote
Is informatiebeveiliging nu vooral risico’s beheren of verplichte maatregelen invoeren? •
De invoering van het normenkader ‘Baseline Informatiebeveiliging Overheid’ Wát er moet gebeuren is wel duidelijk; het is vooral een kwestie van (samen)
6
Hoe ver dient de jaarlijkse controle op de naleving van beveiligingsmaatregelen bij verbonden partijen te gaan? •
Beveiligingsmaatregelen zijn grotendeels bekend, maar dienen verband te houden met risico’s die de gemeente loopt.
https://ib-p.nl
© IB&P BV 2020
Het maken van schriftelijke afspraken tussen gemeenten en verbonden partijen is voldoende. Geen controle nodig.
•
organiseren en invoeren.
•
Verbonden partijen zijn zélf verantwoordelijk, maar de gemeenten zien daar wel structureel op toe.
staat gelijk aan informatiebeveiliging.
•
Over de verantwoordelijkheid van de gemeente in relatie tot verbonden partijen zijn schriftelijke afspraken vereist.
informatiebeveiligingsrisico’s die er zijn.
3
Verbonden partijen zijn gehouden aan de privacywet (AVG) en dragen derhalve zelf
Gemeenten zouden de verantwoording vanuit verbonden partijen moeten stimuleren, maar het blijft optioneel.
•
De gemeente is eindverantwoordelijk voor veel taken die verbonden partijen uitvoeren dus de controle dient substantieel te zijn.
Rekenkameronderzoek informatiebeveiliging
Bijlage 2: Onderzoeksvragen 1.
In hoeverre is de sturing van de gemeenten aan verbonden partijen toereikend op het gebied van informatiebeveiliging?
2.
1
In hoeverre zijn de risico’s en beheersingsmaatregelen in kaart gebracht in de paragraaf Weerstandsvermogen van de gemeentelijke programmabegrotingen?
3.
In hoeverre zijn de gemeenteraden en de Informatiebeveiligingsdienst (IBD) geïnformeerd over het aantal datalekken, de resultaten van de penetratietests en de verbetervoorstellen bij gemeenten en verbonden partijen?
4.
Op welke wijze communiceren de gemeenten met hun bevolking over ontstane datalekken?
5.
Wat kunnen de vier gemeenten van elkaar leren en van andere gemeenten in het land?
6.
Welke beheersingsmaatregelen hebben de gemeenten en verbonden partijen genomen om hacken
2
van computernetwerken, binnendringen van gebouwen en andere datalekken te voorkomen, respectievelijk de gevolgen ervan te verzachten? 7.
3
In hoeverre hebben de gemeenten en verbonden partijen de risico’s volledig in kaart gebracht en welke maatregelen zijn er eventueel aanvullend nodig?
8.
Wat was het aantal datalekken en de aard en omvang ervan?
9.
Wat was het aantal uitgevoerde penetratietests en de resultaten ervan?
10. Hoe eenvoudig is het om gevoelige informatie te krijgen via hacken van het gemeentelijk
4
computernetwerk? 11. Tot welke verbetervoorstellen hebben de datalekken en penetratietests geleid?
5
+
© IB&P BV 2020
41
Rekenkameronderzoek informatiebeveiliging
Bijlage 3: lijst met geïnterviewde personen Gemeente Wassenaar Datum
Naam
Organisatie
1.
21/8/2020
Edwin Ykema
Werkorganisatie Duivenvoorde
2.
2/9/2020
FG
Werkorganisatie Duivenvoorde
3.
24/8/2020
Nina Keltjens
Gemeente Wassenaar
4.
24/8/2020
Jaap Kleinhesselink
Gemeente Wassenaar
1
Gemeente Voorschoten
2
Datum
Naam
Organisatie
1.
21/8/2020
Edwin Ykema
Werkorganisatie Duivenvoorde
2.
2/9/2020
FG
Werkorganisatie Duivenvoorde
3.
17/8/2020
Minke Elkerbout
Gemeente Voorschoten
Datum
Naam
Organisatie
1.
17/7/2020
Suzanne de Wilde
Servicepunt 71
2.
19/8/2020
Robert Haasnoot
Servicepunt 71
3.
3/9/2020
Fred Kromhout
Gemeente Oegstgeest
3
Gemeente Oegstgeest
4
5 Gemeente Leidschendam-Voorburg Datum
Naam
Organisatie
1.
21/8/2020
Edwin Ykema
Werkorganisatie Duivenvoorde
2.
2/9/2020
FG
Werkorganisatie Duivenvoorde
3.
24/8/2020
Nina Keltjens
Gemeente Wassenaar
4.
24/8/2020
Jaap Kleinhesselink
Gemeente Wassenaar
© IB&P BV 2020
+
42
Rekenkameronderzoek informatiebeveiliging
Geïnterviewde verbonden partijen Datum
Naam
Organisatie
1.
21/8/2020
Edwin Ykema
Werkorganisatie Duivenvoorde
2.
2/9/2020
FG
Werkorganisatie Duivenvoorde
3.
17/7/2020
Suzanne de Wilde
Servicepunt 71
4.
19/8/2020
Robert Haasnoot
Servicepunt 71
5.
3/8/2020
Rob Vroonland
Belastingsamenwerking Gouwe Rijnland
6.
3/8/2020
Joop Kempers
Belastingsamenwerking Gouwe Rijnland
7.
3/8/2020
Lidy van Kesteren
Belastingsamenwerking Gouwe Rijnland
8.
31/7/2020
Helen Kortekaas
Gemeenschappelijk Regeling Kust, Duin en Bollenstreek
9.
23/7/2020
Lizette Ploos van Amstel
Werkorganisatie Duivenvoorde/Inkoopbureau H10
10.
27/7/2020
Matthijs van der Vorm
Regionale Dienst Openbare Gezondheidszorg
11.
27/7/2020
Nourddine Chaara
Regionale Dienst Openbare Gezondheidszorg
12.
25/8/2020
Stef van Putten
Omgevingsdienst West Holland
13.
25/8/2020
Ilona Nusteen
Omgevingsdienst West Holland
14.
25/8/2020
Frank Heijmerberg
Omgevingsdienst West Holland
15.
25/8/2020
Saskia Boer
Omgevingsdienst West Holland
16.
24/7/2020
Desirée Bolsius
Veiligheidsregio Haaglanden
17.
19/8/2020
Marcel Solleveld
Werkorganisatie Duivenvoorde/ Avalex
18.
2/9/2020
Marcel Caljouw
Avalex
1
2
3
4
5
+
© IB&P BV 2020
43
Rekenkameronderzoek informatiebeveiliging
Verbonden partijen Werkzaam voor
Voorschoten
●
●
Servicepunt 71 Belastingsamenwerking Gouwe Rijnland
●
Gemeenschappelijke Regeling Kust, Duin en Bollenstreek
●
Inkoopbureau H10
●
●
Leidschendam
Wassenaar
Werkorganisatie Duivenvoorde
Oegstgeest
Naam
Onderzoek
1 Interview
Enquête
● ●
●
●
●
●
●
●
●
●
Regionale Dienst Openbare Gezondheidszorg
●
●
●
Omgevingsdienst West Holland
●
●
●
●
2 ●
3
Veiligheidsregio Haaglanden
●
●
●
Gemeenschappelijke Regeling Avalex
●
●
●
GGD en VT Haaglanden
●
●
●
Metropoolregio Rotterdam Den Haag
●
●
●
Omgevingsdienst Haaglanden
●
●
●
Gemeenschappelijke Regeling Holland Rijnland
●
●
●
Veiligheidsregio Holland Midden
●
●
●
4
5 Opmerking: De Werkvoorziening Rijswijk e.o. is niet opgenomen in het overzicht, omdat deze organisatie in liquidatie is en over enkele maanden niet meer zal bestaan.
+
© IB&P BV 2020
44
Rekenkameronderzoek informatiebeveiliging
Bijlage 4: Gebruikte afkortingen AP
Autoriteit Persoonsgegevens
AVG
Algemene Verordening Gegevensbescherming
BCC
Black Carbon Copy
BIG
Baseline Informatiebeveiliging Nederlandse Gemeenten
BIO
Baseline Informatiebeveiliging Overheid
BSN
Burgerservicenummer
CAA
Certification Authority Authorization
CISO
Chief Information Security Officer
DNS
Domain Name System
DNSSEC
Domain Name System Security Extensions
DPIA
Data Protection Impact Assessment
ENSIA
Eenduidige Normatiek Single Information Audit
FG
Functionaris Gegevensbescherming
GGD
Gemeentelijke Gezondheidsdienst
GGI
Gemeentelijke Gemeenschappelijke Infrastructuur
HTTP
Hypertext Transfer Protocol
HSTS
HTTP Strict Transport Security
IBD
Informatiebeveiligingsdienst voor gemeenten
IP
Internet Protocol
NAC
Netwerk Access Control
PDCA
Plan, Do, Check, Act
RKC
Rekenkamercommissie
URL
Uniform Resource Locator
VPN
Virtueel Particulier Netwerk
VR
Veiligheidsregio
WODV
Werkorganisatie Duivenvoorde
WVOLV
Wassenaar, Voorschoten, Oegstgeest, Leidschendam-Voorburg
1
2
3
4
5
+
© IB&P BV 2020
45