Management letter 2024_def

Detailbevindingen interne beheersing – Toegangsbeveiliging en wijzigingsbeheer Unit4 Financials Constatering

Authenticatie

Autorisatie

Wijzigingsbeheer

De bevindingen zijn afkomstig uit het meest recente ISAE 3042 type 2 rapport van de Connectie, over de periode van 1-1-2023 tot en met 31-12-2023. De nieuwe rapportage over het boekjaar 2024 wordt naar verwachting in het voorjaar van 2025 beschikbaar gesteld. Houd er rekening mee dat de bevindingen over het boekjaar 2024 anders kunnen zijn.

De bevindingen zijn afkomstig uit het meest recente ISAE 3042 type 2 rapport van de Connectie, over de periode van 1-1-2023 tot en met 31-12-2023. De nieuwe rapportage over het boekjaar 2024 wordt naar verwachting in het voorjaar van 2025 beschikbaar gesteld. Houd er rekening mee dat de bevindingen over het boekjaar 2024 anders kunnen zijn.

De bevindingen zijn afkomstig uit het meest recente ISAE 3042 type 2 rapport van de Connectie, over de periode van 1-1-2023 tot en met 31-12-2023. De nieuwe rapportage over het boekjaar 2024 wordt naar verwachting in het voorjaar van 2025 beschikbaar gesteld. Houd er rekening mee dat de bevindingen over het boekjaar 2024 anders kunnen zijn.

De ingestelde wachtwoordeisen van de applicatie zijn van voldoende niveau om op de authenticatie van gebruikers te kunnen steunen. Wachtwoorden dienen te voldoen aan het wachtwoordbeleid, met uitzondering van de wachtwoordlengte welke was ingesteld op 8 in plaats van 12. Hierbij voldoet het wachtwoordbeleid wel aan de best practice.

De hoge rechten voor het muteren van gebruikers in Unit4 zijn op het moment van controle belegd bij onafhankelijke functionarissen.

Tevens hebben wij beperkingen geconstateerd ten aanzien van de periodieke controle op actieve gebruikers.

Wij hebben echter geconstateerd dat de periodieke controle op autorisatiebeheer niet maandelijks conform beleid heeft plaatsgevonden en dat hoge rechten accounts niet zijn meegenomen in de controle. Daarnaast is er geen adequate logging aanwezig op wijzigingen van gebruikersrechten waarmee vastgesteld kan worden of hoge rechten voor de gehele periode juist belegd zijn geweest.

Het risico bestaat dat bedoelde functiescheiding binnen de applicatie wordt doorbroken. Gebruikers met hoge rechten kunnen gebruikers aanmaken en rechten en rollen toekennen om zo functiescheiding te omzeilen.

Er is sprake van een procedure omtrent het gestructureerd doorvoeren van nieuwe releases in de applicatie. Deze procedure wordt jaarlijks gereviewd. Elk kwartaal wordt er een controle uitgevoerd of alle doorgevoerde releases conform de change management procedure zijn doorlopen. Bij deze controle zijn echter beperkingen geconstateerd, doordat bij 2 doorgevoerde wijzigingen geen sprake was van een testplan. Verder is er sprake van een gescheiden test- en productie omgeving.

Risico

Het risico bestaat dat personen toegang kunnen krijgen tot de applicatie terwijl deze al uit dienst zijn.

Door het ontbreken van een testplan bestaat de kans dat niet alle risicovolle functionaliteiten met de juiste impact kan worden getest. Daarnaast is het mogelijk dat de impact van eventuele bevindingen vanuit de testwerkzaamheden niet wordt geadresseerd.

Aanbeveling

Wij adviseren u om de ISAE rapportage van de Connectie jaarlijks te beoordelen op bevindingen, en hierover in gesprek te gaan met de Connectie. Tevens raden wij aan om dit proces te documenteren.

Gevolgen voor de jaarrekeningcontrole

De bevindingen zijn afkomstig uit het meest recente ISAE 3042 type 2 rapport van de Connectie, over de periode van 1-1-2023 tot en met 1-1-2023. De nieuwe rapportage over het boekjaar 2024 wordt naar verwachting in het voorjaar van 2025 beschikbaar gesteld. Houd er rekening mee dat de bevindingen over het boekjaar 2024 anders kunnen zijn.

pagina | 40

6.2 Bijlage IT-omgeving Detailbevindingen interne beheersing – Wijzigingsbeheer Civision Samenlevingszaken Wijzigingsbeheer Constatering

Er vindt geen zichtbare vastlegging plaats van de risicoanalyse. De testwerkzaamheden worden niet uitgevoerd aan de hand van een testplan, niet zichtbaar gedocumenteerd en er vindt geen gebruikersacceptatie plaats. Afsluitend vindt er geen formele goedkeuring plaats voor het doorvoeren van de wijzigingen in de productieomgeving.

Risico

De kans bestaat dat niet alle wijzigingen met de juiste impact worden getest, met mogelijke gevolgen voor de betrouwbare gegevensverwerking binnen de applicatie.

Aanbeveling

Wij adviseren u om een risicoanalyse uit te voeren voor het doorvoeren van wijzigingen, en op basis daarvan een testplan op te stellen van de uit te voeren testwerkzaamheden. Vervolgens dient de uitvoering en het go / no go moment naar productie te worden vastgelegd. Ten slotte adviseren wij u om key-users (de gebruikers die de applicatie bij de dagelijkse werkzaamheden veel gebruiken en veel kennis hebben van de applicatie) te laten testen en deze werkstap documenteren.

Gevolgen voor de jaarrekeningcontrole

Op basis van de bevindingen kunnen wij niet steunen op uw proces omtrent het gestructureerd doorvoeren van nieuwe wijzigingen. Voor de jaarrekeningcontrole heeft dit tot gevolg dat wij aanvullende werkzaamheden uitvoeren door de releasenotes te analyseren. Op basis van deze werkzaamheden zijn er geen bevindingen geconstateerd welke impact hebben op de jaarrekeningcontrole.

pagina | 41

6.2 Bijlage IT-omgeving Detailbevindingen interne beheersing – Wijzigingsbeheer Youforce Wijzigingsbeheer Constatering

Wij hebben vernomen dat er geen formele procedure is ingericht omtrent wijzigingsbeheer, omdat de leverancier verantwoordelijk is voor het doorvoeren van de wijzigingen. De leverancier rapporteert jaarlijks over de interne beheersing in de vorm van een ISAE 3402 rapportage. Wij hebben vernomen dat deze rapportage niet door u aantoonbaar wordt geëvalueerd om vast te stellen in hoeverre wijzigingen op beheerste wijze worden doorgevoerd. Daarnaast is het voor u van belang om de maatregelen te identificeren die onder de verantwoordelijkheid van de gebruikersorganisatie vallen (de zogenaamde User Entity Controls).

Risico

Het risico bestaat dat bevindingen uit de ISAE 3402 rapportage van Youforce niet tijdig worden opgemerkt en geadresseerd. Daarnaast ontstaat het risico dat maatregelen die onder uw gebruikersorganisatie vallen niet worden geïdentificeerd, en derhalve risico’s niet op een adequate wijze worden beheerst.

Aanbeveling

Wij adviseren om de ISAE 3402 rapportage van Youforce jaarlijks te beoordelen zodra deze beschikbaar is, en maatregelen die onder de verantwoordelijkheid vallen van de gebruikersorganisatie te adresseren en op adequate wijze te beheersen. Daarnaast raden wij aan om eventuele bevindingen uit de rapportage te bespreken met de leverancier en hiermee de impact te bepalen voor uw organisatie.

Gevolgen voor de jaarrekeningcontrole

Op basis van de bevindingen kunnen wij niet steunen op uw proces omtrent het gestructureerd doorvoeren van nieuwe wijzigingen. Voor de jaarrekeningcontrole heeft dit tot gevolg dat wij aanvullende werkzaamheden uitvoeren door de ISAE 3402 rapportage te analyseren.

pagina | 42

6.2 Bijlage IT-omgeving Detailbevindingen interne beheersing – Continuïteitsmaatregelen en beveiliging Onderstaande onderwerpen volgen uit interviews. Hierop zijn door ons over het algemeen geen testwerkzaamheden uitgevoerd om vast te stellen

dat de IT-omgeving is ingericht zoals ons voorgesteld is. Dit beperkt de zekerheid die u kunt ontlenen aan de door ons beschreven aandachtspunten. Onderwerp

Bevinding

Back-up

De gemeente heeft het operationele IT beheer uitbesteed aan de Connectie. De Connectie heeft procedures ingericht die beschrijven op welke wijze back-ups dienen plaats te vinden en omtrent het monitoren van back-ups.

Recovery

De gemeente heeft het operationele IT beheer uitbesteed aan de Connectie. De Connectie heeft een formele procedure die beschrijft op welke wijze en met welke periodiciteit recovery testen dienen plaats te vinden. Deze procedures zijn adequaat ingericht. Periodiek worden er recovery testen uitgevoerd en vindt hier terugkoppeling en eventueel opvolging op plaats. Dit wordt gedocumenteerd in Topdesk.

Uitwijk

De gemeente heeft het operationele IT beheer uitbesteed aan de Connectie. De Connectie heeft geen uitwijklocatie maar maakt gebruik van een failover configuratie met twee gespiegelde omgevingen. Elke omgeving is op een andere locatie, op die manier is er een locatie aanwezig die als back-up kan dienen. Hiervoor heeft de Connectie adequate procedures ingericht waarbij er periodiek een failover test worden uitgevoerd. Tevens vindt hier terugkoppeling en eventueel opvolging op plaats. Dit wordt gedocumenteerd in Topdesk.

Fysieke beveiliging

De servers staan fysiek op twee locaties in datacenters (met eigen toegangsprocedures). Daarnaast is het gebouw van de Connectie niet toegankelijk zonder toegangspas. De toegang is adequaat beveiligd. Monitoring ten van temperatuur e.d. zijn aanwezig en worden periodiek getest.

Remote acces

Voor remote toegang wordt gebruik gemaakt van two-factor authenticatie. Doordat de bedrijfskritische applicaties alleen bereikbaar zijn in de Citrix-omgeving waar altijd two-factor wordt afgedwongen voor de medewerkers van gemeente Rheden is het adequaat beveiligd.

pagina | 43

6.2 Bijlage IT-omgeving Toelichting Logische toegangsbeveiliging Wij onderscheiden vijf bouwstenen ten aanzien van toegangsbeveiliging. De bouwstenen leveren gestapeld, naast een sterke IT-beheersing, ook de

meeste controlezekerheid op. Beperkingen in de onderliggende steen zorgen voor een verzwakking van de bovenliggende stenen. Onderstaand zijn de bouwstenen schematisch weergegeven.

pagina | 44

6.2 Bijlage IT-omgeving Toelichting Wijzigingsbeheer Bij het doorvoeren van wijzigingen in software-omgevingen ontstaan risico’s voor de bedrijfsvoering van uw organisatie. Wij verwachten daarom dat

wijzigingen een proces doorlopen, waarmee de risico’s die gelopen worden, zijn ingeschat, worden geadresseerd en dat hierop maatregelen genomen worden. Onderstaand hebben wij per fase onze verwachting aangegeven. Onder wijzigingen verstaan wij niet alleen nieuwe versie updates, maar ook aanpassingen in (kritieke) systeemconfiguraties. Proces

Verwachting

Risico-inschatting

Voor iedere softwarewijziging is het relevant om te beoordelen wat de risico’s zijn die de wijziging met zich meebrengt voor de hoofdprocessen. Daarnaast moet beoordeeld worden welke geïdentificeerde technische en organisatorische wijzigingsrisico’s er spelen bij het uitvoeren van de change, in het bijzonder wanneer er sprake is van maatwerk. Hiermee beoordeelt u per wijziging welke nieuwe of gewijzigde functionaliteit een risico vormt voor een goede werking van uw bedrijfsvoering.

Opstellen testplan en aanpak

Vanuit de geïdentificeerde risico’s kan een testplan worden gemaakt, waarin de te testen elementen van de software benoemd zijn evenals de inhoudelijk uit te voeren testwerkzaamheden op deze elementen. Belangrijke elementen hierin zijn go/no-go momenten, het maken van een back-up voor implementatie, een fall-back scenario in het geval een implementatie mislukt en het definiëren van de impact op de organisatie (denk bijvoorbeeld aan het opleiden van medewerkers).

Testen en documenteren

Softwarewijzigingen kunnen gestructureerd worden getest na het correct uitvoeren van de voorgaande twee stappen. Het maken van een gedegen vastlegging van testwerkzaamheden is van belang voor de aantoonbaarheid en controleerbaarheid van de uitgevoerde stappen. Daarnaast kan de vastlegging van testwerkzaamheden een belangrijke bron van informatie zijn als er onverhoopt na het doorvoeren van de wijziging toch verstoringen van uw bedrijfsvoering optreden.

Gebruikersacceptatie

Een wijziging is pas effectief als deze niet alleen is geaccepteerd vanuit een technisch oogpunt, maar ook vanuit de gebruikersorganisatie. Wij verwachten daarom een formele goedkeuring vanuit de gebruikersorganisatie, zowel voor implementatie als na de implementatie. Het kan natuurlijk ook voorkomen dat het nodig is om gebruikers te informeren over bijzonderheden als gevolg van de wijziging, zoals veranderingen in de werkwijze of aandachtspunten bij het gebruik van de applicatie.

pagina | 45

6.3 Bijlage Cybersecurity en NIS2 scan Cybersecurity NIS2 scan 1. Deze scan is bedoeld om u in inzicht te geven in de staat van cyberweerbaarheid van uw organisatie. De lijst is niet uitputtend, maar betreft een focus op de belangrijkste punten. 2. De scan is afgestemd op de vereisten van de EU wetgeving NIS2 en de Nederlandse vertaling in de Cyberbeveiligingswet. 3. Let op: de onderwerpen volgen uit interviews en we hebben geen testwerkzaamheden uitgevoerd om vast te stellen dat de IT-omgeving is ingericht zoals ons voorgesteld is. Dit beperkt de zekerheid die u kunt ontlenen aan de door ons beschreven aandachtspunten. 4. De score wordt weergeven als een ratio waar 0 % de laagste en 100 % de hoogste score is. 5. Rood betreft uw score. Blauw betreft de best practice ten aanzien van de EU wetgeving NIS2 en de Nederlandse vertaling in de Cyberbeveiligingswet vallen.

Wij maken voor cyberweerbaarheid onderscheid in:

Governance

Risicomanagement, communicatie en monitoring van cyber-risico’s.

Identificatie

Identificeren van kritieke gegevens en cybersecurity risico’s.

Bescherming

Beschermen middels inzet van techniek, mens en procedures.

Detectie

Het monitoren van verdacht gedrag en afwijkingen in de gegevensverwerking.

Reactie

Reageren op incidenten en bijsturen op basis van inzichten.

Herstel

Het herstellen naar normale bedrijfsvoering.

pagina | 46

6.3 Bijlage Cybersecurity en NIS2 scan Cybersecurity NIS2 scan Resultaten: Governance

Wij zien dat er aandacht en prioriteit wordt gegeven aan de kwaliteit van de huidige beveiliging. Er zijn verschillende formele beleidsregels opgesteld t.a.v. informatiebeveiliging en het bevoegd gezag heeft de verantwoordelijkheden en taken voor cyber-risico's in de eigen organisatie geformaliseerd. Ter verbetering valt te denken aan het creëren van een centraal overzicht van bedrijfsmiddelen en de interne en externe stakeholders / eigenaren.

Identificatie

Wij zien dat het identificeren van kroonjuwelen, risico’s en maatregelen (ook bij leveranciers) directe actie vereist. Denk hierbij aan het inzichtelijk maken van systemen, data en processen die essentieel zijn voor de continuïteit van uw bedrijfsvoering, en bepaal de impact wanneer deze niet meer operationeel zijn. Ook dient u adequate beveiligingsmaatregelen inzichtelijk te krijgen en uit te werken waarmee u of uw leveranciers de cyber-risico’s afdekken.

Bescherming

De wijze waarop vervolgens de cyberrisico’s door middel van maatregelen worden verlaagd is op orde, maar kan verder worden verbeterd. Denk hierbij vooral aan het opvragen van Service Level Rapportages en back-up rapportages door de Demand Managers zodat hier adequaat op gemonitord kan worden.

Detectie

Op basis van het model zien wij dat aandacht gegeven is aan monitoring en vulnerability scanning, maar dat er verbeterpotentieel ligt om de cyberweerbaarheid van uw organisatie te verhogen. Denk hierbij aan het aanscherpen van de procedures omtrent toegangsbeheer (met een bredere scope dan enkel de ENSIA), het minimaal jaarlijks uitvoeren van pentesten en het periodiek beoordelen van externe Assurance en Service Level Rapportages op beveiligingsmaatregelen van externe leveranciers.

Reactie

Reageren op incidenten en bijsturen op basis van inzichten is op orde. U heeft aangegeven dat het Business Continuity Management plan een punt van aandacht betreft, met name op het gebied van Governance. Deze zal volgend jaar worden herzien.

Herstel

Het herstellen naar normale bedrijfsvoering krijgt de nodige aandacht. Ter verdere verbetering kunt u denken aan het regelmatig oefenen met de back-up voorzieningen van systemen, operationele techniek en data binnen een uitgebreide scope, en of deze adequaat kunnen herstellen.

pagina | 47

Contact M.C.J.M. (Marc) Bekker RA Extern accountant +31 (0)6 15 30 36 59 m.bekker@bakertilly.nl J.B. Vree-Brink MSc RA Manager Audit +31 (0)6 52 76 55 24 m.vree@bakertilly.nl L.F. van Goor MSc RA Junior Manager Audit +31 (0)6 223 850 55 l.vangoor@bakertilly.nl

Kantoorgegevens Baker Tilly (Netherlands) N.V. Burg. Roelenweg 14-18 8021 EV Zwolle Postbus 508 8000 AM Zwolle T +31 (0)38 425 86 00

Baker Tilly (Netherlands) N.V. trading as Baker Tilly is a member of the global network of Baker Tilly International Ltd., the members of which are separate and independent legal entities.