Jaarrapportage informatieveiligheid 2020

Jaarrapportage Informatieveiligheid 2020

loggen in de systemen. Na onderzoek bleek dat onbevoegden zichzelf toegang hadden verschaft tot de computersystemen en dat ook de backup voorziening (data) hierbij was betrokken. Volgens Ellen Nauta, de Burgemeester van Hof van Twente had dit iedere organisatie kunnen overkomen. De DOWR-gemeenten nemen structurele maatregelen om dergelijke aanvallen op de vitale infrastructuur te voorkomen.

Voor u ligt de Jaarrapportage Informatieveiligheid 2020. Hierin is inzichtelijk gemaakt, op welke wijze DOWR in 2020 invulling heeft gegeven aan informatieveiligheid als topprioriteit zoals is vastgelegd in de i-visie 2018-2022.

Dreigingsbeeld 2020-2021 Het jaar 2020 is een bijzonder jaar geweest. Door de coronacrisis heeft het thuiswerken een enorme lift gekregen. Hierdoor zijn er ook nieuwe dreigingen bijgekomen, waardoor de kansen op kwaadwillende acties zijn toegenomen. Waar op kantoor de zaken meestal goed op orde zijn, wordt er thuis niet altijd even goed omgegaan met informatieveiligheid. Dit geldt ook binnen de DOWR-gemeenten. In het dreigingsbeeld van de Informatiebeveiligingsdienst zijn de volgende categorieën dreigingen naar voren gekomen. • • • •

Intern en onbedoeld: Dreigingen door onbedoelde neveneffecten van logisch menselijk handelen. Extern, bedoeld maar ongericht: Verreweg het grootste deel van de incidenten vanuit een externe actor komt voort uit geautomatiseerde bulkaanvallen. Extern, bedoeld en gericht: Veel aandacht gaat uit naar gerichte dreigingen van hackers en criminelen. Intern en bedoeld: De meest riskante dreiging komt van binnen de organisatie. Medewerkers met kwade bedoelingen kunnen uit hoofde van hun functie bij veel gegevens en systemen.

In het afgelopen jaar zijn er in Nederland dreigingen geweest die zijn ontaard in een cybercrisis bij de betreffende organisaties. Voorbeelden van impactvolle dreigingen van de afgelopen jaren: De ‘emotet’ malware hack bij de Universiteit van Maastricht Bij de Universiteit Maastricht zegt men, ‘getroffen te zijn door een ramp!’. „Dit wens je niemand toe”, zei de woordvoerder nadat de onderwijsinstelling op 23 december 2019 het doelwit werd van een zware cyberaanval door vermoedelijk Russische criminelen. Hack Hof van Twente Een nachtmerrie voor de gemeente Hof van Twente is werkelijkheid geworden. De gemeente is namelijk op 1 december 2020 slachtoffer geworden van een cyberaanval. De hack werd op dinsdagochtend ontdekt toen medewerkers niet konden in-

De hackers eisten losgeld in ruil voor het vrijgeven van de (data uit de) systemen. Het gaat dan al snel om bedragen die kunnen oplopen tot honderdduizenden euro’s. Dat de cyberaanval slaagde, had mede als oorzaak dat de backup-systemen niet voldoende gescheiden waren van de operationele infrastructuur. Dit soort aanvallen kunnen iedere organisatie treffen waarvan de systematiek zich datzelfde jaar heeft herhaald bij de hack Hof van Twente. Het gaat om het anticiperen, reageren en leren. Ook in 2021 is het belangrijk dat er in gemeenteland rekening wordt gehouden met dergelijke cyberaanvallen. Door dit lerend vermogen, zorgen wij er als gemeenten voor dat onze digitale infrastructuur op orde blijft. SolarWinds Hoge bomen vangen veel wind, wat in ICT-securityvertaling neerkomt op: leveranciers met groot marktaandeel trekken veel hackers aan. Daarbij hoeft een hackslachtoffer niet eens het eigenlijke doelwit te zijn; hij kan slechts een middel zijn. Dit was het geval bij SolarWinds, een softwarebedrijf waar hackers extra code hebben toegevoegd aan hun legitieme software. Met klanten als Microsoft, VMWare en Cisco waren zij een duidelijk doelwit voor de aanvallers. Bij DOWR maken wij geen gebruik van de software van SolarWinds.

Dit blijft echter wel een risico binnen de IT wereld: op welke wijze kun je er vanuit gaan dat de derde partijen waar wij mee samenwerken of producten van afnemen, hun informatieveiligheid op orde hebben. Dit proberen we af te vangen door middel van contractuele afspraken en duidelijke inkoopeisen.

Meldingen AP , IBD en NCSC Meldingen Autoriteit Persoonsgegevens In de maandmonitor privacy is er in 2020 een reeks aan berichten verschenen die zijn uitgelicht door de Autoriteit Persoonsgegevens (hierna ‘AP’ genoemd). Naar aanleiding van het coronavirus gaf de AP o.a. tips voor het veilig thuiswerken. Ook stelt de AP zich beschikbaar voor het beantwoorden van vragen van werkgevers. Er is door de AP ook onderzoek gedaan naar gezichtsherkenning-camera’s en het gebruik hiervan door diverse gemeenten. Naar aanleiding van een eerder incident in 2020 heeft de Raad van State op 20 maart 2020 ook bepaald dat op sms en Whatsapp berichten over een bestuurlijke aangelegenheid de Wob van toepassing is, ongeacht of deze berichten op de zakelijke of privé telefoon van een bestuurder of ambtenaar staan.

Melding kwetsbaarheden Gedurende het jaar zijn er landelijk verschillende kwetsbaarheden gemeld door de IBD. De meest voorkomende kwetsbaarheden die voor kwamen zijn hard- en softwarekwetsbaarheden. Door de coronapandemie zijn er ook nieuwe dreigingen bijgekomen. Dit zijn vooral corona gerelateerde aanvallen, waarbij via phishing ransomware werd verstuurd naar diverse betrokkenen.

Ontwikkelingen DOWR 2020 ZIVVER In 2020 is ZIVVER geïntroduceerd als oplossing voor het veilig verzenden van privacygevoelige en/of vertrouwelijke informatie. Het is op het moment van schrijven bij 25% van de medewerkers geïmplementeerd. Zij zullen hun bevindingen delen voordat we het organisatiebreed gaan inzetten. Vulnerability Management Om technische kwetsbaarheden te detecteren, te registeren en op te lossen, is er een project gestart binnen DOWR om Vulnerability Management te implementeren. Afgelopen jaar is hier een uitgebreid onderzoek naar gedaan, waar nu een product voor is geselecteerd. We nemen vervolgstappen om een applicatie te gaan implementeren om proactief vulnerability management toe te passen. BIO Compliancy Afgelopen jaar hebben we enkele stappen gezet met de BIO compliancy. Naast de implementatie van de BIO zijn we in 2020 blijven werken aan het doel om in 2021 volledig BIO-compliant te zijn.

Bij de laatste meting ultimo 2020 lag de BIO-compliance op circa 97%. Ultimo 2019 bedroeg het percentage BIO-compliancy 96%. SIEM-SOC DOWR Het afgelopen jaar zijn er grote stappen gezet op contractueel niveau. Omdat dit een kritisch proces is voor informatieveiligheid moeten de afspraken en verantwoordelijkheden duidelijk zijn voor alle partijen. Sinds begin 2021 zijn we als gemeenten DOWR aangesloten bij het SOC-SIEM. Onze organisaties worden vanaf dat moment op basis van zogenaamde ‘use-cases’ gemonitord. Dit houdt in het kort in dat wij binnen enkele minuten aanvallen kunnen waarnemen op onze organisatie en hierop maatregelen kunnen nemen wat onze weerbaarheid ten goede komt. Verhoging internetsnelheid en Anti-DDoS Afgelopen jaar hebben we, in lijn met de toename in thuiswerken, de internetsnelheid verhoogd. Een bijkomende functionaliteit is dat we ook Anti-DDoS maatregelen hebben genomen. Afgelopen jaren zagen we in de wereld een enorme toename aan DDoS aanvallen. Dit zijn de aanvallen waarmee ze de internetlijnen overvloeien met nutteloze informatie waardoor de instanties en hun digitale bezoekers moeizaam contact kunnen behouden. Door deze maatregel kunnen wij dit soort aanvallen afslaan en een betrouwbare internetsnelheid waarborgen.

Audits ENSIA ENSIA helpt gemeenten in één keer verantwoording af te leggen (BRP, DigiD, BAG, BGT, BRO en Suwinet) over informatieveiligheid gebaseerd op de normen die gelden voor de Nederlandse overheid, de BIO. Met ENSIA sluit de verantwoording over informatieveiligheid aan op de planning en control-cyclus van de gemeente.

DOWR in cijfers Budget Bestedingen in 2020 zijn achtergebleven ten opzichte van deoorspronkelijke begroting. Dit heeft vooral te maken met projecten waarvan de realisatie doorloopt in 2021. Een voorbeeld hiervan is implementatie van SIEM-SOC (GGI Veilig VNG realisatie, toelichting verderop in het rapport). Datalekken In onderstaand figuur is het aantal datalekken weergegeven die in 2020 per DOWR-gemeente zijn gemeld.

Gedurende 2020 zijn verschillende personen geïnterviewd en verslagen opgesteld. Daarnaast zijn de voor de certificering gewenste documenten en verantwoordingen opgeleverd aan de belanghebbende partijen. Daarmee hebben Deventer, Olst-Wijhe en Raalte de ENSIA-verantwoording van 2020 met succes afgerond. IT-verantwoording jaarrekening In het kader van de jaarrekeningcontrole 2020 van de gemeente Deventer is er een geactualiseerde IT-audit uitgevoerd. Op dit moment worden de uitkomsten van deze audit geëvalueerd door de betreffende belanghebbenden, en zal het rapport binnenkort worden vastgesteld door de auditor (Deloitte). Hardening Het hardening-proces richt zich op het veiliger maken van systemen door technische maatregelen. Er vinden doorlopend audits plaats op de systemen. Alle doorgevoerde maatregelen hebben ertoe geleid dat de hardening op dit moment 100% BIO compliant is. *Het gaat hier om de technische hardening van onze IT-systemen.

Net zoals in het afgelopen jaar ging het bij de meeste incidenten om brieven of e-mails die bij de verkeerde ontvanger waren terechtgekomen. Er wordt op dit moment een nieuwe voorziening voor veilig mailen in de drie gemeentes geïmplementeerd die een deel van deze datalekken moet kunnen voorkomen. Daarnaast blijft de oorzaak van een groot deel van de datalekken menselijk handelen. Het voortdurend trainen van medewerkers in het kader van bewustwording blijft dan ook noodzakelijk. Phishing We zagen met de toename van thuiswerken ook een toename in het aantal phishing e-mails. Met de overgang naar O365 zijn echter ook meer phishing e-mails afgevangen dan voorheen. Desalniettemin kan het nog steeds voorkomen dat er phishing e-mails aankomen in de mailboxen. Hier zien we dat medewerkers dit steeds vaker actief melden. Deze analyseren we en proberen we in het vervolg te blokkeren. Responsible Disclosure Via Responsible Disclosure kunnen hackers kwetsbaarheden op onze websites doorgeven. Als een zwakheid bevestigd is, belonen wij de melder met een kleine attentie. Op iedere melding wordt door ons een risicoanalyse gedaan op basis van de kans en de impact. In 2020 zijn er in totaal 5 Responsible Disclosure meldingen gedaan, waarvan er 1 gemeld is aan de webteams. Deze kwetsbaarheden dienen in een aantal gevallen samen met de webteams opgelost te worden.

Datum In opdracht van Redactie en samenstelling

januari 2021 DOWR gemeenten / CISO DOWR DOWR-I / Information Security Officer

Pentesten In het jaar 2020 is er een interne pentest geweest die wordt gebruikt voor de BIO compliancy. Pentest is een afkorting van ‘penetration testing’. Bij zo een pentest kruipen pentesters in de huid van een hacker. Hier zijn een aantal aandachtspunten naar voren gekomen die inmiddels grotendeels zijn opgelost.

Vooruitblik 2021 Privacy in 2021 In 2020 hebben de drie gemeentes in DOWR-verband de wens uitgesproken om de privacy aanpak waar mogelijk samen te doen. In dat kader hebben de gemeentes samen een Privacy Officer (PO) en een Functionaris Gegevensbescherming (FG) aangesteld. Zij zullen in 2021 in DOWR-verband gaan opereren. Daarnaast zal privacy nog meer in samenhang met informatieveiligheid worden opgepakt, zodat de sturing op de raakvlakken tussen deze domeinen gezamenlijk kan plaatsvinden. Awareness In lijn met de nieuwe situaties vanwege (post-)COVID-19 met een enorme toename van thuiswerkers verandert ook de aanpak met betrekking tot awareness bij medewerkers van de DOWR gemeenten. Aanleiding hiervoor is ook de verschuiving van de manier van werken als gevolg van deze situatie. We zullen onze huidige voorzieningen uitbreiden op basis van de nieuwe ontstane behoefte. In 2020 is onderzocht, welke methoden nu het beste aansluiten bij deze verandering. De bevindingen uit dit onderzoek worden opgenomen in de awareness campagnes van 2021.

Bezetting Informatieveiligheid In 2020 is de CISO rol weer ingevuld. Het is een kritieke functie binnen de organisatie om informatieveiligheid op orde te houden en het bestuur van de DOWR-gemeenten aangesloten te houden op het gebied van informatieveiligheid. In 2021 zullen de nieuwe strategische Informatieveiligiheidsplannen voor aanstaande jaren worden afgerond, gepresenteerd en geïmplementeerd. Crisisgame Om het crisisplan te testen maken we gebruik van een crisisgame. VNG Realisatie heeft hiervoor een tool ontwikkeld die wij hiervoor gaan gebruiken. Het volgende scenario wordt geschetst: Gemeente De Natte Meren is gehackt. U staat voor de taak deze hack samen met de andere deelnemers zo efficiënt mogelijk te bestrijden. Analyseer de risico’s, voorkom dat de data bij onbevoegden terechtkomt, beperk de schade en achterhaal wie de dader is. Enkel door te oefenen kunnen verdere beheerafspraken worden gemaakt, om beter voorbereid te zijn indien er een cybercrisis ontstaat. De game staat gepland in Q1 van 2021. Resolutie informatieveiligheid Begin 2021 stemmen gemeenten over de nieuwe resolutie informatieveiligheid met daarin afspraken over bijvoorbeeld meldingen aan de IBD, intergemeentelijke bijstand bij incidenten (het zogenaamde gemeentelijk responsnetwerk) en het uitzoeken van de rol van het lokaal bestuur bij de coördinatie van digitale crises.

Zoals in het geval bij Hof van Twente hebben wij ook hier onze hulp in de vorm van technische ondersteuning aangeboden. Deze resolutie sluit naar verwachting op hoofdlijnen aan op het reeds vastgestelde beleid. Eventuele extra in te zetten acties en te nemen maatregelen als gevolg van deze resolutie en wat daarvoor benodigd is zal worden opgenomen in het Informatiebeveiligingsplan(IPB) 2021.

Tot slot Bij de DOWR-gemeenten is het steeds duidelijker welke risico’s en dreigingen er zijn en hoe deze effect kunnen hebben op de bedrijfscontinuïteit. De opgave is om in 2021 de DOWR- gemeenten digitaal weerbaarder te maken. Hierdoor wordt er een bredere samenwerking gestart met de Functionaris Gegevensbescherming en de regionaal coördinator integrale veiligheid (OOV). In een digitaal weerbare gemeente staat bewust en bekwaam handelen centraal. We zoeken als DOWR gemeenten onderlinge samenwerking en kritische kennisdeling op met andere gemeenten in de regio IJsselland om de bedrijfscontinuïteit van betrokken gemeenten te waarborgen. In 2020 hebben nogmaals nogmaals gezien dat een crisis niet altijd te voorkomen is, maar dat de impact van een crisis wel kleiner gemaakt kan worden door de juiste voorbereiding en aanpak op alle niveaus. Om deze aanpak te ondersteunen wordt er gestart in Q1 2021 met een Crisisgame op bestuurlijk (directie-) niveau.