D7a Bijlage 2 bij raadsinformatiebrief 2021 - week 38

Digitale Veiligheid Statusupdate Q3-2021– voor en van het college Inleiding De gemeente Oegstgeest heeft een grote verantwoordelijkheid naar de burgers en ondernemers als het gaat om de beveiliging van gegevens en de continuïteit van dienstverlening. Digitalisering brengt nieuwe dreigingen en risico’s met zich mee. Die manifesteren zich in de ambtelijke organisatie, bij het dagelijks gebruik van informatie- en communicatiesystemen door ambtenaren, maar fouten van medewerkers worden het bestuur aangerekend. Daarnaast krijgen bestuurders en politieke ambtsdragers veel gevoelige en vertrouwelijke informatie onder ogen en hebben ook toegang tot de gemeentelijke systemen. De hack op de gemeente Hof van Twente in december 2020 heeft duidelijk gemaakt wat de impact is van een hack op de continuïteit van dienstverlening van een gemeente en brengt vragen met zich mee. Waar staan wij als de Leidse regio, kunnen wij in een dergelijke situatie verzeild raken en zo ja weten we dan hoe te handelen? Wat moeten we nog aanpakken en welke keuzes maken we daarin? Het antwoord is kort, iedere gemeente of organisatie kan dit overkomen. We bevinden ons in een kat-en-muis spel wat betreft digitale- en cyberveiligheid.

Onze detectiesystemen weren dagelijks duizenden aanvallen vanaf het internet af en behoeden onze digitale infrastructuur voor toegang tot malafide websites wanneer een medewerker per ongeluk op een link heeft geklikt. Daarnaast ontvangen wij dagelijks informatie over updates die nodig zijn om kwetsbaarheden in systemen op te lossen. Deze moeten wij in veel gevallen direct oplossen met onze leveranciers, voordat hackers deze kunnen misbruiken. Preventief is het noodzakelijk te weten wat de staat van de techniek is en of, en zo ja waar, de systemen kwetsbaar zijn. Maar nog veel belangrijker is het gedrag van de medewerkers. Het treffen van technische maatregelen is zinloos als medewerkers onzorgvuldig omgaan met wachtwoorden of zich niet bewust zijn wat de consequenties van hun handelen. Het is belangrijk om te weten hoe de schade zo beperkt mogelijk kan blijven en wat het handelingsperspectief is wanneer het onverhoopt toch fout gaat. Het onderwerp krijgt steeds meer aandacht en ook in de Leidse regio is er geïnvesteerd. Binnen SP71 is er in 2019 een regionaal IB&P team (Informatiebeveiliging en Privacy) opgericht, zijn er een CISO1 en een FG benoemd en is het informatiebeveiligings- en privacy beleid geactualiseerd. De invoering van de AVG per 28 mei 2018 en de Baseline Informatiebeveiliging Overheid (BIO) per 1 januari 2020 hebben hieraan een extra impuls gegeven.

Naar aanleiding van het onderzoek door de Rekenkamercommissie Leiden/Leiderdorp in 2018 zijn er technische maatregelen getroffen. Zo worden de “buitengrenzen” van het ICT-domein bewaakt op verdachte verkeersstromen en is er een dienstverlening ingericht die periodiek scant op kwetsbaarheden of open deuren waar hackers actief misbruik van zouden kunnen maken. Omdat er voor de ICT-dienstverlening een grote afhankelijkheid is van leveranciers, is beveiliging een periodiek gespreksonderwerp en zijn afspraken gemaakt over de wijze van verantwoording hierover. Daarnaast is er veel aandacht voor het vergroten van veilig gedrag en bewustzijn bij medewerkers.

1

De CISO is verantwoordelijk voor het informatiebeveiligingsbeleid. Dit betreft zowel het implementeren van beleid als het toezicht houden op de uitvoering ervan. De FG houdt binnen de organisatie toezicht op de toepassing en naleving van de Algemene verordening gegevensbescherming (AVG). Digitale Veiligheid

Pagina 1

Aan de hand van de Agenda Digitale Veiligheid 2020-2024 (bron: https://vng.nl/publicaties/agenda-digitale-veiligheid-2020-2024) is binnen de verschillende gemeenten op bestuurlijk niveau gestart met een periodiek overleg over Digitale Veiligheid. De Agenda biedt bestuurlijke handvatten om langs actielijnen de bovengenoemde vragen in beeld te brengen en te beantwoorden en de gemeenteraad hier adequaat over te informeren. Waar staan we? De Baseline Informatiebeveiliging Overheid (verder: BIO) stelt de organisatie in staat om te meten hoe volwassen de organisatie is op beveiligingsgebied. De Leidse regio zit op een gemiddeld volwassenheidsniveau (3: zie afbeelding) waarbij de werkzaamheden plaatsvinden in herhaalbare en beheerste processen, die zijn gebaseerd op een vastgestelde werkwijze. Daardoor is het mogelijk op afdelings- en organisatieniveau te bewaken dat men zich aan de discipline van de voorgeschreven processen houdt. Het informatiebeveiligingsbeleid is op organisatieniveau vastgesteld en bekrachtigd. Het feit dat er veel technische maatregelen zijn ingericht verhoogt de score, maar de lijnafdelingen hebben nog niet altijd scherp wat de eigen verantwoordelijkheden zijn. Op centraal niveau zijn er veel activiteiten opgestart, maar het verband tussen externe eisen, beveiligingsdoelstellingen, beleid en uitvoering is nog niet altijd expliciet aantoonbaar.

Dat is nodig om te groeien naar een bovengemiddeld volwassenheidsniveau (4).

Een van de belangrijke uitgangspunten van de BIO is bestuurlijk risicomanagement, om daar een goede invulling aan te geven zijn 10 bestuurlijke principes geformuleerd. Deze principes maken integraal onderdeel uit van het Strategisch Regionaal Gemeentelijk informatiebeveiligingsbeleid (vastgesteld jan. 2020) en gelden als uitgangspunt voor de digitale agenda 2020-2024: 1. Bestuurders bevorderen een veilige cultuur; 2. Informatiebeveiliging is van iedereen; 3. Informatiebeveiliging is risicomanagement; 4. Risicomanagement is onderdeel van de besluitvorming; 5. Informatiebeveiliging behoeft ook aandacht in (keten)samenwerking; 6. Informatiebeveiliging is een proces; 7. Informatiebeveiliging kost geld; 8. Onzekerheid dient te worden ingecalculeerd; 9. Verbetering komt voort uit leren en ervaring; 10. Het bestuur controleert en evalueert.

Digitale Veiligheid

Pagina 2

Agenda Digitale Veiligheid 2020-2024 De Agenda Digitale Veiligheid 2020-2021 biedt tien actielijnen die zijn gerubriceerd in 4 thema’s: (1) Bewustzijn, (2) Governance, (3) Risicogericht handelen en (4) Een Overheid/samen organiseren. Ook beschrijft de agenda de ambities om te komen tot een digitaal veilige gemeente. Hieronder staat per thema op hoofdlijnen beschreven hoe de Leidse regio daar op dit moment invulling aan geeft of welke activiteiten daarop worden ontplooid. (1) Bewustzijn Het thema bewustzijn valt uiteen in 3 actielijnen: 1) Bewustzijn vergroten 2) Weerbare organisatie 3) De digitale brandoefening Bewustzijn vergroten De mens blijft de zwakste schakel, de gemeente verwerkt veel persoonlijke en gevoelige gegevens van burgers die erop vertrouwen dat de organisatie deze zorgvuldig behandelt. Bewustwording is noodzakelijk voor iedereen en het voorbeeldgedrag begint op het bestuurlijke niveau. Dat start ook voor het bestuur met kennis van de dreigingen en risico’s die op de organisatie afkomen en wat de eigen rol hierin is. Hiervoor worden sessies gepland met zowel interne als externe sprekers. Een bewustwordingssessie voor de politiek ambtsdragers is hier ook onderdeel van. Het vergroten van veilig- en privacy bewust gedrag van medewerkers is geen ad hoc taak, maar moet continu gestimuleerd, gestuurd en gemeten worden.

Beschreven in het bewustwordingsplan 2021 verzorgt SP71 verschillende trainingen, games en workshops die variëren van algemene onderwerpen of juist specifiek zijn gericht op de werkzaamheden van een afdeling. Naast integriteit maakt een introductie over informatiebeveiliging en privacy, en het belang hiervan voor de werkzaamheden, onderdeel uit van het introductieprogramma voor nieuwe medewerkers. Om gericht onderwerpen onder de aandacht te brengen, kennis te vergroten, veilig gedrag te bewerkstelligen en daarop te meten is er een e-learning beschikbaar die op de werkplek wordt aangeboden.  Er moet aandacht komen voor keten overschrijdende risico’s op het gebied van veilig gedrag. Dit vraagt erom dat ook ketenpartners bewust moeten zijn en aangesproken moeten worden op hun verantwoordelijkheid t.a.v. gegevens van de gemeente. Weerbare organisatie 100% veilig bestaat niet en daarom is het zaak om veerkrachtig te kunnen optreden. Het signaleren en bestrijden van incidenten is van het grootste belang om adequaat te handelen wanneer er sprake is van in- of externe bedreigingen. Naar aanleiding van het Rekenkameronderzoek Leiden/Leiderdorp uit 2018 zijn er verschillende technische beveiligingsmaatregelen getroffen.

Er is een dienst ingericht die de toegangen tot het netwerk en de systemen bewaakt op verdachte verkeersstromen, zowel naar binnen als naar buiten, en monitort op geïnfecteerde bestanden en apparaten. Daarnaast scant Servicepunt71 maandelijks de infrastructuur en systemen om te meten of deze kwetsbaar zijn en of dat deze ongewenst toegang verschaffen tot het netwerk (open deuren). Deze diensten stellen ons in staat de systemen up-to-date te houden en de toegang te beperken. In sommige gevallen zijn kwetsbaarheden niet op te lossen. Bijvoorbeeld wanneer systemen dermate verouderd zijn dat de leverancier hier geen updates meer voor levert. De verouderde Digitale Veiligheid

Pagina 3

systemen die in gebruik zijn in de gemeente zijn allemaal in beeld en gekoppeld aan projecten. Een groot deel van deze systemen verdwijnt wanneer de Leidse regio is gemigreerd naar de nieuwe digitale werkplek of wanneer grote vervangingstrajecten van bedrijfsapplicaties zijn afgerond (bijv. Suite Sociaal Domein). Daarnaast zijn er systemen opgeruimd die na analyse geen functie meer bleken te hebben. De BIO schrijft voor om jaarlijks penetratietesten uit te voeren. Een penetratietest is een handmatige praktijkoefening waarbij een (ingehuurde) partij probeert, door de ogen van een hacker, toegang te krijgen tot systemen van de gemeente. Het uitvoeren van een penetratietest is kostbaar, kent vaak een beperkte scope en moet regelmatig herhaald worden omdat het testen een momentopname is (er worden immers dagelijks nieuwe kwetsbaarheden bekend gemaakt). Er is vanuit het Servicepunt recent geen opdracht verstrekt om een penetratietest uit te voeren. Wel is er onlangs in opdracht van de Rekenkamercommissie WVOLV een penetratietest met een beperkte scope uitgevoerd in het kader van een onderzoek naar de informatiebeveiliging van de gemeente Oegstgeest. De bevindingen zijn bekend, waar mogelijk verholpen of verantwoord.

De leveranciers waar Servicepunt71 gebruik van maakt voor de ICT-dienstverlening voeren jaarlijks pentesten uit en leggen daarover verantwoording af door middel van een accountantsverklaring. Dit geldt ook voor leveranciers van cloudapplicaties en leveranciers die door de gemeenten worden ingehuurd voor de internet- en webservices (hier heeft SP71 geen controle op). Het inrichten van bovengenoemde beveiligingsmaatregelen vraagt een groot budget, ervaringen bij de gemeente Lochem en recent Hof van Twente leren dat de kosten van herstel vele malen hoger zijn.

 De hoogte van het budget voor beveiligingsmaatrelen is afhankelijk van de uitkomst van

een risicoanalyse die bestuurlijk is geaccordeerd. Het gealloceerde budget moet zichtbaar zijn in de gemeentelijke begroting.  Voor het treffen van maatregelen en inrichten van beveiligingsprocessen om de digitale weerbaarheid van de gemeente te verhogen moet de basis op orde zijn. Dit betekent dat de (informatie)systemen, configuraties en risico’s op primaire en vitale processen in beeld en vastgelegd zijn. Dit is in scope van het project Herinrichting Operationele Processen dat SP71 momenteel uitvoert (gereed in Q3 2021). De digitale brandoefening Om veerkrachtig te kunnen optreden in geval van een Cyberincident is het noodzakelijk om te oefenen met digitale noodscenario’s. Deze moeten integraal onderdeel zijn van het continuïteitsplan. Om te oefenen op het scenario van een Cyberincident heeft de VNG de Cybergame ontwikkeld. Door het uitvoeren van deze game met betrokkenheid van medewerkers uit zowel de informatieveiligheid als de fysieke veiligheidsketen moeten deze domeinen beter op elkaar aansluiten. Medio 2020 was deze Cybergame voor de colleges in de Leidse regio gepland, georganiseerd in samenwerking met de Veiligheidsregio Hollands Midden. Door situatie rondom COVID-19 heeft deze oefening niet door kunnen gaan. Het doel is om deze Cybergame in het najaar van 2021 uit te voeren, zodra het mogelijk is om fysiek weer bij elkaar te komen.

Ter voorbereiding op keten overstijgende situaties vinden er met de Veiligheidsregio ook gesprekken plaats op het thema “digitale ontwrichting”. De primaire focus ligt nog op het in

Digitale Veiligheid

Pagina 4

kaart brengen van de eigen organisatie om dit later op elkaar aan te kunnen laten sluiten. Op dit moment is er (nog) geen officieel vastgelegd protocol over opschaling. Reguliere beveiligingsincidenten worden binnen het Servicepunt71 afgewikkeld via het (beveiligings)-incidentproces van ICT. Voor de complexere beveiligingsvraagstukken, of wanneer nader digitaal forensisch onderzoek nodig is, kan SP71 terugvallen op de expertise van de security Leverancier Tesorion. Wanneer de impact of omvang (regionaal) groot is, voorzien specifieke afspraken nu op aansluiting bij het Team Bevolkingszorg (TBZ) voor crisisbesturing.  Oefenen in de praktijk is essentieel om voorbereid te zijn op een cybercrisis. Door de maatregelen rondom Corona is het niet mogelijk om fysiek te oefenen. Zodra het weer mogelijk is fysiek bijeen te komen bewerkstelligt een praktijkoefening dat de betrokken partijen op elkaar kunnen aansluiten en kennis over cyberincidenten opgenomen en geborgd worden in de organisatie voor crisisbeheersing, crisiscommunicatie en het continuïteitsplan.

(2) Governance De gemeente legt op het gebied van informatieveiligheid jaarlijks verticale verantwoording af aan het Ministerie van Binnenlandse Zaken (BZK) voor DigiD en aan de Inspectie Sociale Zaken en Werkgelegenheid in het kader van het opvragen van persoonsgegevens door gemeentelijke sociale diensten via SUWInet. Daarnaast vindt verantwoording plaats op een aantal primaire gemeentelijke processen en basisregistraties. Dit zijn wettelijke verplichtingen, maar de vraag is wat deze concreet betekenen voor de digitale veiligheid van de gemeente. Audits zoals de jaarlijkse ENSIA-verantwoording zien op het voldoen aan de vereisten van aansluiting op DigiD, Suwinet en verschillende basisregistraties die de primaire processen ondersteunen. Dit gebeurt vanuit een kwaliteitsoogpunt2, en is daarmee niet onbelangrijk, maar een dergelijke audit geeft geen inzicht in de daadwerkelijk aanwezige zwakke plekken waar een hacker naar zoekt. In de rapportage naar aanleiding van de hack op gemeente Hof van Twente blijkt bovengenoemd als stuurinformatie voor het college onvoldoende geschikt, omdat ernstige tekortkomingen pas boven water komen wanneer aansluitingen als DigiD geweigerd zouden worden, omdat er dan op papier sprake is van falen van informatiebeveiliging.

 De beoordeling van de verantwoordingsrapportages door college en Raad vraagt een kritische blik, waarbij de rapportage niet ter kennisgeving wordt aangenomen en de raad “uitgedaagd” wordt tot het stellen vragen. Om gerichter verantwoording af te leggen en te rapporteren over de status van informatiebeveiliging is gestart met het inrichten van het Information Security Management System (verder: ISMS). Het hoofddoel van het ISMS is het verbeteren van de effectiviteit van informatiebeveiliging en privacy door een procesmatige aanpak. De eerste vastleggingen zijn opgenomen in het systeem om daarmee de werking te toetsen en waar nodig procesverbeteringen door te voeren. Na opname van de toepassingen waarover de gemeente verantwoording aflegt in de ENSIA en in het proces van de jaarrekening vindt vanaf de 2e helft van 2021 een verdere uitbreiding van de scope plaats. 2

Bron: Binnenlands-bestuur: Check-box security is zo verkeerd als het maar zijn kan: https://www.binnenlandsbestuur.nl/digitaal/nieuws/eigenlijk-ben-ik-overalbinnengekomen.15933347.lynkx?tid=TIDP589893X7A00C48895AB4AC180B79C2B0E3A2E6DYI5&utm_campaig n=BB_NB_Digitaal&utm_medium=email&utm_source=SMG&utm_content=251_01-02-2021 Digitale Veiligheid

Pagina 5

Er is voor een groot aantal processen en toepassingen een afhankelijkheid van leveranciers, echter de eindverantwoordelijkheid voor informatiebeveiliging ligt binnen de gemeente en kan nooit worden belegd bij een leverancier. Het stellen van duidelijke beveiligingseisen, vastlegging van afspraken en controle op naleving is essentieel, daartoe is een aanvang gemaakt met het periodiek bevragen en toetsen van leveranciers op naleving van de BIO en de accountantsverklaring. (3) Risicogericht Handelen Een van de belangrijkste uitgangspunten van de BIO is het toepassen van risicomanagement. Pas als de risico’s voor de gemeente, of in afhankelijkheid met de ketenpartners, inzichtelijk zijn kunnen hier gericht maatregelen op getroffen worden. Naast de bekende primaire processen van de gemeente is het zaak processen in kaart te brengen die lokaal van vitaal belang zijn, denk aan uitbetaling van uitkeringen, WMO-zorg, publiekstaken en de werking van de verkeerslichten. Vanuit de VNG/IBD is het dreigingsbeeld Nederlandse Gemeenten 2021-2022 opgesteld. Hierin staan generieke risico’s beschreven gericht op de ambtelijke organisatie, het openbaar bestuur en de politiek en de burgers en bedrijven.

Waar de organisatie in 2021 nog een verantwoording aflegt op de generieke risico’s zoals benoemd in het dreigingsbeeld, dienen de risico’s toekomstig meer toegespitst op specifieke processen en ketens gericht te zijn om eventuele cascade-effecten in beeld te krijgen. Digitale weerbaarheid vraagt met nadruk om een ketenbenadering, waar naast de veiligheidsregio bijvoorbeeld ook Holland Rijnland, de sociale jeugdteams, de omgevingsdienst en de belastingsamenwerking (BSGR) onderdeel van uitmaken.  Het is zaak inzichtelijk te maken welke ketens er zijn en welke afhankelijkheden hierin onderkend worden.  Het is zaak inzichtelijk te maken wat de geïdentificeerde risico’s betekenen voor de keten, de keten is immers zo sterk als de zwakste schakel. De gemeente moet kritisch zijn richting de zwakste schakels en eisen stellen aan de ketenpartners.  Cybercrime, en de impact hierop voor de keten, is nog onvoldoende uitgewerkt in het risicoprofiel veiligheidsregio, de organisaties zijn met name bezig om hun eigen huishouding op orde te maken/houden.  Het stellen van maatregelen m.b.t. informatieveiligheid is een randvoorwaarde binnen ketensamenwerkingen.  Opnemen van geïdentificeerde risico’s en beheersingsmaatregelen in de paragraaf Weerstandsvermogen van de gemeentelijke programmabegrotingen.

(4) Eén Overheid/Samen Organiseren De VNG/IBD levert verschillende voorzieningen en (kennis)producten voor het vergroten van de digitale weerbaarheid van gemeenten waar de experts van de Leidse regio een bijdrage aan leveren, maar ook gebruik van maken in het dagelijks werk. Zo hebben de regionale FG en CISO meegewerkt aan de totstandkoming van het Dreigingsbeeld NL Gemeenten. De IBD verstuurt vrijwel dagelijks informatie over kwetsbaarheden en beschikbare updates die Servicepunt71 oppakt in de ICT-dienstverlening of belegd bij een verantwoordelijk leverancier. De gemeente neemt geen deel aan GGI-veilig3, omdat vooruitlopend op GGI-veilig al de 3

GGI-Veilig: GGI-Veilig bestaat uit een portfolio van producten en diensten voor informatiebeveiliging dat door de VNG is aanbesteed. Via GGI-Veilig nemen gemeenten onder meer een actieve monitoring en response dienst Digitale Veiligheid

Pagina 6

verplichte BIO-maatregelen (beschreven bij Weerbare organisatie) getroffen zijn door contractuele afspraken met andere marktpartijen. Wanneer deze contracten aflopen en vervanging of verlenging van de maatregelen aan de orde is, vindt opnieuw beoordeling plaats van de voorwaarden en de kwaliteit van het portfolio van GGI-veilig. Wat staat ons nog te doen? Onderstaande punten zijn een opsomming van de benodigde activiteiten, acties en aandachtspunten die bij de verschillende onderwerpen van de Digitale Agenda zijn benoemd:  Er moet aandacht komen voor keten overschrijdende risico’s op het gebied van veilig gedrag. Dit vraagt erom dat ook ketenpartners bewust moeten zijn en aangesproken moeten worden op hun verantwoordelijkheid t.a.v. gegevens van de gemeente.  De hoogte van het budget voor beveiligingsmaatrelen is afhankelijk van de uitkomst van een risicoanalyse die bestuurlijk is geaccordeerd. Het gealloceerde budget moet zichtbaar zijn in de gemeentelijke begroting.  Voor het treffen van maatregelen en inrichten van beveiligingsprocessen om de digitale weerbaarheid van de gemeente te verhogen moet de basis op orde zijn. Dit betekent dat de (informatie)systemen, configuraties en risico’s op primaire en vitale processen in beeld en vastgelegd zijn. Dit is in scope van het project Herinrichting Operationele Processen dat SP71 momenteel uitvoert.

 Oefenen in de praktijk is essentieel om voorbereid te zijn op een cybercrisis. Door de maatregelen rondom Corona is het niet mogelijk om fysiek te oefenen. Zodra het weer mogelijk is fysiek bijeen te komen bewerkstelligt een praktijkoefening dat de betrokken partijen op elkaar kunnen aansluiten en kennis over cyberincidenten opgenomen en geborgd worden in de organisatie voor crisisbeheersing, crisiscommunicatie en het continuïteitsplan.  De beoordeling van de verantwoordingsrapportages door college en Raad vraagt een kritische blik, waarbij de rapportage niet ter kennisgeving wordt aangenomen en de raad “uitgedaagd” wordt tot het stellen van (kritische) vragen.  Het is zaak inzichtelijk te maken welke ketens er zijn en welke afhankelijkheden hierin onderkend worden.  Het is zaak inzichtelijk te maken wat de geïdentificeerde risico’s betekenen voor de keten, de keten is immers zo sterk als de zwakste schakel. De gemeente moet kritisch zijn richting de zwakste schakels en eisen stellen aan de ketenpartners.  Cybercrime, en de impact hierop voor de keten, is nog onvoldoende uitgewerkt in het risicoprofiel veiligheidsregio, de organisaties zijn met name bezig om hun eigen huishouding op orde te maken/houden.  Het stellen van maatregelen m.b.t. informatieveiligheid is een randvoorwaarde binnen ketensamenwerkingen.

 Opnemen van geïdentificeerde risico’s en beheersingsmaatrgelen in de paragraaf Weerstandsvermogen van de gemeentelijke programmabegrotingen. Lessen uit de Hack bij Hof van Twente Naar aanleiding van de onderzoeken en de duidingsrapportage die de gemeente Hof van Twente heeft gepubliceerd op haar website, heeft de IBD een factsheet gepubliceerd (bijgevoegd aan de Agenda Digitale Veiligheid). Deze factsheet bevat de lessen die andere gemeenten hieruit kunnen trekken en schrijft een aantal aanbevelingen voor.

af voor het bewaken van gedrag en acties op het eigen bedrijfsnetwerk. Ook worden beveiligingsproducten voor de gemeentelijke ICT-infrastructuur afgenomen (zoals firewalls, anti-DDoS, antivirus). Tot slot kunnen beveiligingsexpertise diensten worden afgenomen. Digitale Veiligheid

Pagina 7

Een groot deel van de lessen en aanbevelingen zijn verwerkt in dit verhaal van het college omdat het onderwerpen betreft die al onder de aandacht zijn. Voor de volledigheid onderstaand per les en aanbeveling een korte reactie: Les 1: Ontbreken van basismaatregelen leidt tot rampscenario en voor een deel onherstelbare schade De gemeente Hof van Twente werd slachtoffer doordat een aantal technische maatregelen ontbraken. Bij het onderwerp Weerbare organisatie is kort beschreven welke maatregelen de Leidse regio heeft getroffen. Een van de constateringen dat de netwerksegmentatie onvoldoende is bij Hof van Twente, gaat ook op voor de Leidse Regio. Dit is een aandachtspunt en risicoafweging (financieel) voor toekomstige verbeteringen. Les 2: Het is complex om inzicht te krijgen en te houden van beveiliging bij leveranciers en ketenpartners. Zoals beschreven is er frequent overleg met de leveranciers aan wie Servicepunt71 de ICTdienstverlening heeft uitbesteed om toe te zien op afspraken, kennisuitwisseling en verbeteringen. Les 3: Crisismanagement bij informatiebeveiligingsincidenten staat in de kinderschoenen. Dit onderwerp is onderhanden werk waarbij er aandacht is om de inhoudelijke expertise op het gebied van beveiliging aan te laten sluiten op de expertises crisisbeheersing en crisiscommunicatie.

Les 4: De rol van management en bestuur bij incidenten groeit naarmate impact groeit. Naarmate de impact groeit, krijgen managers en bestuurders een rol, zowel in de communicatie als in de overwegingen rond de oplossing van het incident (zie ook les 3). Les 5: Een gemeente redt het niet alleen bij een groot incident Kunnen gemeenten in de Leidse regio elkaar bijstaan in geval van een incident of dient er een beroep te worden gedaan op anderen, en zijn hier al afspraken over gemaakt? Aanbevelingen De overheid is gehouden aan de normen in de Baseline Informatiebeveiliging Overheid. De IBD adviseert op basis van het incident in Hof van Twente de volgende prioriteiten voor gemeenten: 1. Dwing op de kortst mogelijke termijn 2FA/MFA af op beheeraccounts (intern- en extern), e-mail, kantoorautomatisering en cloudapplicaties. 2. Breng de basis op orde. 3. Maak een overzicht van uw cruciale processen en prioriteer deze. 4. Actualiseer het bedrijfscontinuïteitsplan, het back-up- en restorebeleid en het incidentmanagementproces voor een grootschalige en langdurige uitval van cruciale processen. 5. Oefen regelmatig een informatiebeveiligingsincident. 6. Maak gebruik van de 3-2-1 methode bij back-ups: 3 verschillende kopieën, 2 verschillende media en 1 kopie offline /off site. Test ook regelmatig de mogelijkheid van het herstellen van een kopie.

Ad1: De werkplekken, (Cloud)-applicaties en beheeraccounts zijn in de Leidse Regio al zo veel als mogelijk voorzien van 2FA/MFA. Er is overleg met de ICT-leveranciers van Servicepunt71 om dit ook op nieuwe ontwikkelingen toe te passen. Applicaties die via het internet (zgn. Cloudapplicaties) te benaderen zijn maken waar mogelijk gebruik van de toegangsvoorzieningen die zijn gekoppeld aan de werkplek (zgn. Single-Sign-On). Nog niet op Digitale Veiligheid

Pagina 8

alle applicaties die via het internet toegankelijk zijn is een risico-afweging gemaakt en vastgesteld of de juiste maatregelen getroffen zijn. Dit vereist een nadere aanpak met de gebruikers in de gemeentelijke organisaties, omdat Servicepunt71 niet alle gebruikte toepassingen in beeld heeft. Ad2: De basis op orde is ook aandachtspunt zoals beschreven bij de Weerbare organisatie. Ad3: Zie ook Ad2 en de aanpak in risicogericht handelen en ketenafhankelijkheden. Ad4: Hier lopen verschillende acties op, zoals ook beschreven in de overige punten. Ad5: De aanpak hiervoor is beschreven bij de Digitale Brandoefening Ad6: Hof van Twente is zwaar getroffen omdat het mogelijk was de back-up te versleutelen doordat deze niet fysiek gescheiden was van de operationele dienstverlening. Direct na de hack op Hof van Twente hebben wij kritische vragen gesteld aan Open Line over hun vigerende back-up en restore procedures en strategie. De vragen zijn grotendeels beantwoord en vastgelegd in documentatie. Daarmee hebben wij binnen SP71 een redelijke mate van zekerheid dat wij een dergelijke situatie kunnen voorkomen.

Digitale Veiligheid

Pagina 9