Bijlage Jaarraportage Informatiebeveiliging en Privacy 2020

Jaarrapportage privacy en security Jaar 2020

1 februari 2021 Linde Grootswagers (ISO) Hans de Waal (FG) Raymond Lefel (CISO)

Inhoudsopgave 1 Samenvatting

3

2 Introductie

4

3 Doelstellingen gemeente Schiedam

5

4 Privacy

6

4.1 4.2 4.2.1 4.2.2 4.3 4.4 4.5

6 6 7 7 8 9 10

2020 in cijfers Incidenten Melden van datalekken: Opvallend voor wat betreft datalekken Beeld 2020 Verwachting 2021 Toekomst

5 Security 5.1 5.2 5.3 5.4

2020 in cijfers Incidenten Beeld 2020 Verwachting 2021

6 Conclusie

11 11 11 12 12

14

Rapporteren Informatiebeveiliging en Privacy 2020 2

1

Samenvatting

Het kalenderjaar 2020 beloofde eind 2019 een mooi en bijzonder jaar te worden met allerhande plannen en doelstellingen ten aanzien van privacy en security. Het is ook een bijzonder jaar geworden. Echter een van andere orde dan iemand van tevoren had kunnen en durven voorspellen: Covid-’19 heeft de hele wereld in de greep. Er wordt een grote mate van veerkracht en creativiteit gevraagd van zowel burgers als organisaties. In de lijn van de Covid risico beperkende maatregelen wordt er meer op afstand/thuis gewerkt. Dit brengt nieuwe uitdagingen met zich mee, zowel technisch als organisatorisch. Gelukkig zijn er digitale mogelijkheden en ontwikkelingen. Deze gingen tijdens de lockdown in een stroomversnelling. Gelijk aan alle tijden zijn er ook individuen en partijen met bedenkelijke intenties die gebruik maken van omstandigheden. Zo steeg het aantal phishing acties in de eerste maand van de lockdown naar 667% en kwamen er in de markt meerdere succesvolle ransomware aanvallen voor. Recentelijk nog een bij Hof van Twente. Ook binnen gemeente Schiedam zien we een groei in verdachte e-mails en phishing pogingen. Zoals verwacht is er rond de december feestdagen meer activiteit gesignaleerd. Ook gemeentelijke informatie is ‘goud’ waard. Dit in het achterhoofd hebbende is het van belang dat we alert blijven op verdachte activiteiten.

De verantwoordelijkheden voor de gemeente Schiedam ten aanzien van het verwerken van persoonsgegevens en het Veilig, Vertrouwd en Verantwoord omgaan met informatie ligt in hoofdzaak bij de drie bestuursorganen: de burgemeester (tevens portefeuillehouder), het College van B&W en de gemeenteraad. Het College heeft de eindverantwoordelijkheid voor het merendeel van de verwerkingen van persoonsgegevens. Aansluitend bij de verantwoordelijkheden zijn er verplichtingen. In een dynamische wereld is stilstaan geen optie. Privacy en Security vragen om continue focus en daarop aansluitend zal dit aandacht blijven vragen van alle lagen (bestuur, management en medewerkers) van de gemeentelijke organisatie. We willen geen ervaringen zoals bijvoorbeeld Hof van Twente of de Universiteit van Maastricht. In het rapport zullen aandachts- en actiepunten worden benoemd richting 2021. Het is voor het College van B&W van belang dat zij, conform vigerende wet- en regelgeving, aan kan tonen dat er wordt voldaan aan de regels die t.b.v. privacy en BIO zijn opgesteld. De inrichting en structuur van de kaders helpt de organisatie om inzicht en overzicht te krijgen en/of behouden ten aanzien van de verwerking van persoonsgegevens.

Samenvattend heeft de gemeente in het bijzondere jaar 2020 diverse stappen gezet op de gebieden van security en privacy om toe te werken naar consistente compliant organisatie die voldoet aan de gestelde doelen.

Rapporteren Informatiebeveiliging en Privacy 2020 3

2

Introductie

Er worden binnen de gemeente voor de correcte uitoefening van alle taken heel veel persoonsgegevens verwerkt. Van ‘gewone’ persoonsgegevens tot en met ‘bijzondere’ en/of gevoelige gegevens. De gemeente is zich bewust van het belang van informatie en beveiliging. Er wordt vanuit diverse kaders (BIO, AVG, normenkaders) aangegeven en/of gevraagd om Veilig, Vertrouwd en Verantwoord met de gegevens om te gaan. Voor wat betreft privacy geldt daarbij voorts een transparantievereiste. Het is van belang dat er op voorhand wordt nagedacht en aangegeven dat er persoonsgegevens worden verwerkt. Daar hoort bij dat we vastleggen en daar waar nodig motiveren voor welk doeleinde de informatie wordt verwerkt en met wie de informatie wordt gedeeld. Onder verantwoordelijkheid van College en gemeenteraad vinden er legio verwerkingen van persoonsgegevens plaats. Naast toezicht vanuit de AP (Autoriteit Persoonsgegevens) die overall toezicht houdt op het naleven van de privacy spelregels binnen Nederland is er een intern toezichthouder, de functionaris gegevensbescherming (FG). Het College ziet erop toe dat de FG tijdig en naar behoren wordt betrokken bij alle verwerkingen van persoonsgegevens. Voorts wordt FG ondersteund door het verstrekken van toegang tot persoonsgegevens alsmede de verwerkingen van persoonsgegevens.

Om de taken uit te kunnen voeren worden middelen ter beschikking gesteld om de taken uit te kunnen voeren en de deskundigheid op peil te houden. Binnen de gemeente Schiedam is er geen Privacy Officer (PO) welke actief is met uitvoerende privacy taken. Omdat de uitvoering door moet kunnen gaan wordt dit door de FG gedaan. De trend om mensen bewuster te maken voor wat betreft privacy en security wordt voortgezet. Het is van groot belang om alle medewerkers de mogelijkheden te bieden om vaardigheden, gedrag en kennis eigen te laten maken en aansluitend te toetsen of men (on-)bewust bekwaam met de informatie omgaat. Rekening houdende met de omvang en diversiteit aan informatieverwerking is gekozen voor de navolgende speerpunten: - De uitdagingen omtrent thuiswerken. - Het veranderende dreigingsbeeld en de bijbehorende groei in risico’s. - De noodzaak van blijvende aandacht van management en organisatie met betrekking tot bewustwording en handelen van medewerkers op het gebied van informatiebeveiliging en privacy.

Rapporteren Informatiebeveiliging en Privacy 2020 4

3

Doelstellingen gemeente Schiedam

Voor de gemeente Schiedam is informatie van essentieel belang voor de realisatie van haar doelstellingen. De gemeentelijke organisatie heeft een missie vanuit welke inspiratie is om ervoor te zorgen dat burgers, ondernemers, bezoekers en andere belanghebbenden zich prettig en veilig kunnen voelen op diverse vlakken. De uiteindelijke doelstelling is een stad waarin alle Schiedammers een betere toekomst hebben. Om vertrouwen te krijgen en behouden wordt er continu gewerkt aan informatiebeveiliging. De ambitie is: Samen alert en Veilig, Vertrouwd en Verantwoord omgaan met de ter beschikking staande informatie. Zo ook met de persoonsgegevens van de burgers, werknemers en andere belanghebbenden. De belangrijkste gemeentelijke doelstellingen van het informatiebeveiligingsbeleid:  Zorgvuldig omgaan met informatie,  Realiseren van een betrouwbare en continue dienstverlening,  Voldoen aan vigerende wet- en regelgeving  Beheersen van directe en indirecte risico’s (Governance, Risk en Compliance), Schiedamse uitgangspunten:  Ambitie om te voldoen aan de Baseline Informatiebeveiliging basisnormenkader  Nakomen van de afspraken over de ENSIA-verantwoording.

Overheid

(BIO)

als

Rapporteren Informatiebeveiliging en Privacy 2020 5

4

Privacy

4.1 2020 in cijfers Item

Onderwerp

Aantal

1

Geregistreerde verwerkingen 1

257

2 3

Geregistreerde verwerkersovereenkomsten2 Gemelde datalekken (toelichting in par. 4.2)

86 26

Meldingen bij AP

1

Ontvangen verzoeken betrokkene(n)3 Aantal ontvangen DPIA's4 (Data Protection Impact Assessment)

8 6

4 5

4.2 Incidenten Voordat we naar het incidenten overzicht toegaan is het goed om een onderverdeling te maken in de soorten incidenten. Er zijn twee soorten:  Beveiligingsincidenten (technisch/organisatorisch)  Datalekken (persoonsgegevens) NB: Niet ieder incident is een datalek. Ieder datalek is wel een incident. In 2020 hebben er diverse incidenten plaatsgevonden welke worden bijgehouden in het datalekkenregister. In 2020 zijn er een diverse datalekken geweest. Het aantal incidenten laat nog steeds een stijgende lijn zien. Mogelijke verklaringen zijn als volgt te omschrijven:  medewerkers signaleren vanuit bewustzijn dat datalekken gemeld moeten worden  meer en meer digitaal verwerken heeft een effect op datalekken  er zijn op zich meer datalekken. Het aantal bij FG gemelde en aansluitend geregistreerde datalekken in 2020: Jaartal 2019 2018

26

Aantal 16 11

Op de volgende pagina wordt een overzicht gegeven voor wat betreft de geregistreerde datalekken. In totaliteit zijn er in het jaar 2020 meer datalekken geregistreerd dan in voorgaande jaren. Ten opzichte van 2019 is er een stijging van 63% !

1 Verwerkingsprocessen zijn niet statisch. Periodiek worden teammanagers/ procesverantwoordelijken gevraagd om aan te geven of het register nog actueel is. 2

Een enkeling is incompleet, (nog) niet getekend en/of in behandeling.

3

In 2020 zijn er bij de FG diverse verzoeken binnen gekomen. Niet alle verzoeken hebben betrekking op AVG privacy rechten doch komen voort uit een gekozen route via het digitale portaal/website van de gemeente.

4

Voor verwerking van gegevens met een (in potentie) hoog privacyrisico is DPIA vereist.

Rapporteren Informatiebeveiliging en Privacy 2020 6

De datalekken worden in overleg met melder en verantwoordelijken onderzocht. Afhankelijk van de potentiële impact wordt er een beoordeling gemaakt of er een melding plaats dient te vinden. De gemelde datalekken worden altijd in het datalekkenregister van de gemeente opgenomen. In 2020 heeft er 1 melding plaatsgevonden richting Autoriteit Persoonsgegevens (2019: 3). Juist in een tijd waarin mensen op diverse locaties en op afstand van elkaar werken is de kans op vergissingen, mede door gebruik van diverse apparatuur en bijbehorende applicaties, via digitale processen groot. Als we het incidentenoverzicht 2020 bekijken kunnen we positief zijn over de aantallen en het soort. Ja enerzijds is het aantal meldingen gegroeid. Aan de andere kant kunnen we, gezien de diversiteit van samenwerken, ook zeggen dat er juist vanwege de versnelling van de nieuwe manieren van werken een reële kans aanwezig was dat er een veelvoud aan incidenten plaats kon vinden. Aandachtspunten:  Het is van belang om alle incidenten te melden.  Beveiligd e-mailen (inclusief bijlagen) verkleint de kans op oneigenlijke openbaring  Gebruik van verschillende hard- en software (inclusief opslag op diverse apparaten)

4.2.1 Melden van datalekken: Op de vraag of eenieder alle datalekken onderkent kan niet direct eenduidig antwoord gegeven worden. Overzicht datalekkenregistratie in de jaren 2016 – 2020

De rapportage wijkt af van hetgeen er vanuit TOPdesk wordt gerapporteerd, te weten 12 items. In mei 2020 is de migratie naar TOPdesk nieuw afgerond. De verwachting is dat mensen meer en meer aan deze omgeving gaan wennen en gaan gebruiken.

4.2.2 Opvallend voor wat betreft datalekken In onze digitale samenleving wordt er heel wat email verstuurd. Dit gaat hand in hand met de wijze(n) waarop men communiceert. Het verzenden van informatie en berichten kan vluchtig en snel zonder afhankelijk te zijn van de bereikbaarheid van de contactpersoon. Een vergissing is zo gemaakt. Het is dan ook niet verrassend dat het gemak van de diverse devices met touchscreens en opgeslagen adressenboeken de kans op vergissingen vergroot. Een niet beoogde ontvanger is zo geselecteerd met alle gevolgen van dien. In praktijk komen veel datalekken voort vanuit email verkeer en social media, bijvoorbeeld:  Niet bedoelde geadresseerde,  Verkeerde bijlage(n) inclusief (gevoelige) gegevens Rapporteren Informatiebeveiliging en Privacy 2020 7

 

Bijlage met al dan niet gevoelige en/of bijzondere persoonsgegevens Meerdere mensen in ‘aan’/’cc’ maakt het risico op datalekken ook groter.

4.3 Beeld 2020 Vanuit de mens en organisatie is er een grote drive om de werkzaamheden te doen ook tijdens de pandemie. Zo wordt er op verschillende manieren gewerkt. Om dit te realiseren wordt gebruik gemaakt van technische- en organisatorische mogelijkheden. De pandemie heeft er in combinatie met de ontwikkeling van technische mogelijkheden voor gezorgd dat er in een sneltreinvaart nieuwe manieren van werken worden verwelkomd en omarmd. Deze dynamische wereld, waarin ook steeds meer een beroep gedaan wordt op het thuis-/op afstand werken is het van belang dat de gemeente focus behoudt voor een helder normenkader en bijbehorende structuren ontwikkelt alsook implementeert ten einde te kunnen voldoen aan de doelstellingen van Veilig Vertrouwd en Verantwoord werken. Los van de pandemische uitdagingen is het goed om te zien dat er een groeiend besef is voor wat betreft herkennen en erkennen van incidenten. Incidenten (incl. datalekken) zijn van alle tijden. Het is daarbij wel van belang dat alle incidenten worden gemeld zodat aansluitend de bijbehorende stappen kunnen worden gezet om de risico’s te mitigeren. Medio 2020 is er een uitspraak gekomen vanuit het Europees Hof van Justitie (Privacy Shield). De uitspraak brengt uitdagingen met zich mee. Er is begonnen met voorbereidende onderzoeken omtrent opslag van data t.b.v de gemeentelijke organisatie. Diverse partijen (o.a.

EDPB, AP, VNG) buigen zich over de (potentiële) impact van de uitspraken en de mogelijke oplossingen. Tot op heden zijn er vanuit partijen nog geen passende oplossingen gerealiseerd. De verwachting is dat er op termijn (2021?) meer over bekend wordt. Het is een utopie om 100% risicovrij te zijn. Risico’s kunnen wel beperkt worden. Om de organisatie te helpen met de worden er stappen gezet om mensen van onbewust onbekwaam richting onbewust bekwaam te begeleiden. Binnen gemeente Schiedam wordt er onder andere vanuit CISO, ISO en FG binnen de organisatie, GBACS en bij management en bestuur aandacht gevraagd voor technische en organisatorische aandachtspunten ten aanzien van security en privacy. Er zijn naast de reguliere vraagstukken die bij een dynamische organisatie horen een paar onderwerpen welke, vanuit privacy perspectief, op korte termijn extra aandacht behoeven van College van B&W: 1) Email: De beveiligde email is nog niet uitgerold. Rekening houdende met de hoeveelheid persoonsgegevens welke er via de digitale snelweg wordt verstuurd is het van belang om daar een passende oplossing voor te realiseren. Er wordt gebruik voor het werken gemaakt van verschillende emailaccounts. Enerzijds kan dit leiden tot incidenten en anderzijds is er een risico voor wat betreft het opslaan van data welke voor de gemeente niet reproduceerbaar is.

Realisatie van beveiligde email staat in de projectprofolio van ICT voor 2021. 2) Opslag van data: De data wordt op diverse locaties opgeslagen. Dit brengt risico’s met zich mee. De gemeente kan (mogelijk) niet voldoen aan haar verplichtingen zoals bijvoorbeeld: noodzakelijkheid, gegevensminimalisatie, juistheid en bijbehorende veiligheidsmaatregelen wanneer data op diverse plaatsen, al dan niet in veelvoud, wordt opgeslagen. Bij de implementatie van Office 365 in 2021 is de veilige opslag van data één van de belangrijkste aandachtspunten.

Rapporteren Informatiebeveiliging en Privacy 2020 8

3) Delen van data: In 2020 is naar voren gekomen dat er (van oudsher) data wordt gedeeld met partijen (intern én extern) waarbij geen duidelijke afspraken zijn gemaakt omtrent verwerking van persoonsgegevens en autorisaties terwijl de gemeente (of in MVS-verband gemeenten) verantwoordelijk is voor deze data. Het helpt de gemeente om heldere afspraken te maken over verwerkingen, autorisaties enz.

4.4 Verwachting 2021 De verwachting is dat de ervaringen voor wat betreft het werken op afstand en de bijbehorende uitdagingen van het rapportagejaar ook effecten heeft richting de toekomstige ontwikkelingen van de wijze van het verwerken van persoonsgegevens binnen de organisatie. Indien deze nieuwe wijze van werken omarmt blijft worden kunnen we ons voorstellen dat er evaluaties komen waarbij de kansen, mogelijkheden en risico’s nader beoordeeld worden en zo nodig geupdate en geprioriteerd. Bewustzijn: Aansluitend op hetgeen er in het beeld van 2020 naar voren is gekomen is het verstandig om focus te blijven genereren op bewustwording van alle voor de gemeente werkzame medewerkers. Een van de ondersteunende mogelijkheden betreft een bewustzijnscampagne waarin naast actualisering van kennis inzake BIO en AVG ook aandacht is voor gedrag en vaardigheden. Er is gestart met een inkoopprocedure voor de aanschaf van een bewustzijnstraining met diverse facetten voor de gehele organisatie. Inkoop: In de basis is het van belang om in vroeg stadium met een potentiële leverancier afspraken te maken omtrent verwerking van persoonsgegevens. Er worden vanuit afdeling inkoop stappen gezet in een gestructureerd inkoopproces en bijbehorende contractensystematiek.

Daar waar inkopen buiten afdeling Inkoop om mogen gaan kan een extra stap gezet worden door bijvoorbeeld een beslisboom op te nemen. Verwerkingsafspraken Verwerken van persoonsgegevens omvat veel en op deze verwerkingen is de GDPR van toepassing. Het is van groot belang om na te gaan of  De afspraken vanuit verantwoordelijke helder zijn vastgelegd  De verwerkingen door derden voldoen aan de principes van de AVG  Daar waar nodig een passende verwerkersovereenkomst aanwezig is. Opslag en delen van informatie Het blijft van belang om focus te houden ten aanzien van gegevenshygiëne, zowel digitaal als in hardcopy, intern én extern. Daarnaast verdient de burger het dat er, ten aanzien van verwerking persoonsgegevens, bij het inschakelen van derde partijen heldere afspraken worden gemaakt en dat deze worden nagekomen. Om veiligheid van Schiedamse data te borgen is het advies om extra aandacht te geven aan:  Gebruik van juiste (e-mail) accounts  Opslag van informatie en dataminimalisatie (inclusief delen i.p.v. e-mailen)  Anonimisering van persoonsgegevens  Dataclassificatie  Concrete verwerkersafspraken met exit clausules en autorisatiematrixen.

Rapporteren Informatiebeveiliging en Privacy 2020 9

Tot slot: Rekening houdende met de gegeven vereisten vanuit de Baseline Informatie Overheid (BIO) kan het werken met decentrale security en privacy officers de organisatie een positieve invloed hebben op het mitigeren/beheersen van de risico’s in de lijn.

4.5 Toekomst Ten einde te kunnen (blijven) voldoen aan de doelstelling van Veilig, Vertrouwd en Verantwoord omgaan met informatie is het goed om stappen te blijven zetten. Wanneer dit gerealiseerd wordt kan de organisatie (nog) beter weren richting de risico’s van de huidige tijdsgeest. Een cloud- en mobile device managementbeleid kunnen gemeente helpen bij het realiseren van haar doelstellingen.

Rapporteren Informatiebeveiliging en Privacy 2020 10

5

Security

5.1 2020 in cijfers Item

Onderwerp

Aantal

1

Beveiligingsincidentmeldingen 5

150

2

Phishing tests6

3 4 5

Gemiddeld aantal deelnemers /genodigden Gemiddeld percentage dat heeft geklikt Gemiddeld percentage dat credentials opgeeft Mystery Guest onderzoek Escaperoom (digitaal) BIO Procesanalyse

4 652 16 14

minimum 429 5,4 4

maximum 756 23 20 1 1 5

5.2 Incidenten Zoals hierboven in de tabel weergegeven zijn er een significant aantal beveiligingsincidenten gemeld. En zijn er verschillende observaties te maken met betrekking tot de cijfers van 2020. Het is in ieder geval duidelijk dat er op verschillende terreinen extra aandacht nodig is. De volgende incidenten behoeven extra aandacht in deze rapportage. Ten eerste, zijn er 132 verdacht e-mails gemeld afgelopen jaar. De meeste meldingen waren terecht en betrof het inderdaad een phishing mail. De meldingen leidde verscheidene keren tot escalatie naar de algehele organisatie door een waarschuwing te plaatsen op Sharepoint. Er zijn ook twee incidenten geweest dat er geconstateerd is dat er een significant aantal phishing e-mails waren aangekomen bij collega’s. Het gaat hier om meer dan 100 e-mails die medewerkers direct bereikte, en waar ook een direct risico ontstond op mogelijke negatieve consequenties voor de Gemeente Schiedam. Deze incidenten zijn opgelost en er is actie ondernomen om dit in de toekomst te voorkomen. Het risico van deze toename wordt vergroot door de ontwikkeling die we zien in het aantal medewerkers binnen de Gemeente Schiedam die in een phishing mail trapt. Dit is 16% waar 1 klik al genoeg kan zijn. Het baart ons vooral zorgen omdat we het aantal ‘klikkers’ in de 4 tests die zijn uitgevoerd alleen maar hebben zien groeien.

Positief is wel dat er steeds meer melding van dit soort verdachte e-mails wordt gemaakt, waardoor er adequaat gereageerd kan worden. Ten tweede, is er dit jaar opnieuw een Mystery Guest test uitgevoerd. Ook dit jaar hebben we helaas moeten constateren dat de twee mannen die zich voordeden als controleurs zich vrij hebben kunnen bewegen door het gebouw en verschillende zwakheden hebben opgemerkt. Het blijft een dringend punt van aandacht om hier actief aan te werken, en het neemt dan ook een prominente plek in omtrent het Informatiebeveiligingsplan 2021. Als laatste, is het goed om aan te duiden dat er omtrent de feestdagen actieve aanvallen door hackers zijn uitgevoerd op de Gemeente Schiedam. Het laat zien dat er een significante kans is dat deze op enig moment succesvol gaat zijn. We zijn en blijven interessant voor online criminelen en statelijke actoren.

5

6

Deze cijfers bestaan uit datalek, veiligheidsincident, en verdachte mail. In deze cijfers zitten ook de meldingen die worden gedaan n.a.v. de phishing tests. Periodieke test van de gemeentelijke organisatie met betrekking tot email.

Rapporteren Informatiebeveiliging en Privacy 2020 11

Het is van belang dat de mensen en de middelen vrij worden gemaakt zodat we ons kunnen blijven weren tegen dit soort dreigingen.

5.3 Beeld 2020 Het beeld van 2020 wordt veelal getekend door de corona pandemie en alle effecten op onze dagelijkse werkzaamheden. Zoals eerder aangegeven brengt dit heel wat uitdagingen met zich mee, zeker als het gaat over informatiebeveiliging. We werken anders en als organisatie hebben we minder grip op alle informatie stromen en de werkomgeving van onze medewerkers. Dit brengt verschillende risico’s met zich mee en vraagt aandacht voor de toekomst. Er zijn naast de reguliere vraagstukken die bij een dynamische organisatie horen een paar onderwerpen welke, vanuit security perspectief, op korte termijn extra aandacht behoeven van College van B&W: 1) Phishing De hoeveelheid phishing is hard gestegen het afgelopen jaar. Door de versnelde digitalisering, mede door corona, is het wapenarsenaal van kwaadwillende gegroeid. Ook bij de Gemeente Schiedam zagen we een verhoogd aantal phishing aanvallen, waarvan ook een significant aantal succesvol. Het is een reële dreiging die vaak een begin van een meer geavanceerde aanval betekenen. Het is noodzaak dat dit strak gemonitord wordt en meldingen snel worden opgepakt. Hier is in 2020 hard aan gewerkt door Systeembeheer en de nieuwe Security Officer, en deze lijn wordt voortgezet in 2021. 2) Ransomware Hand in hand met de groei in phishing aanvallen kwam ook de groei in ransomware aanvallen, die steeds vaker succesvol bleken.

De mens blijft de zwakste schakel en wordt vaak gebruikt als ingang om een ransomware aanval te kunnen plaatsen. Het begint meestal bij een succesvolle phishing mail waar de uiteindelijke aanval uit voort komt. We hebben een groei in het aantal phishing mails gezien en ook een groei in het aantal succesvolle ransomware aanvallen, zie bijvoorbeeld Gemeente Hof van Twente. Het afgelopen jaar is er strak gemonitord op deze dreiging, maar verdere ontwikkelingen zowel technisch als organisatorisch zijn nodig om de dreiging effectief tegen te gaan. 3) Thuiswerken Sinds dat we sinds maart volledig thuis werken als Gemeente Schiedam is er ingezet op het bewust maken van de medewerkers welke beveiligingsrisico’s er komen kijken bij thuis werken. Het is een andere omgeving en je werkt vaak op andere apparatuur. Zo zijn er gedragsregels op gesteld, werd er regelmatig op Sharepoint breeduit gecommuniceerd over dreigingen en werden er concrete tips gegeven over hoe je veilig thuis werkt. Dit lijkt in de toekomst nog zeer van belang om deze lijn door te zetten.

5.4 Verwachting 2021 De verwachting is dat veel van de uitdagingen van 2020 doorzetten in 2021. Een trend is gezet omtrent thuiswerken en het verhoogde risico op een succesvolle aanval dient ook zeer serieus genomen te worden. Er zijn 3 hoofdthema’s waar mee gewerkt dient te worden in 2021: Verhoogde dreiging Met de nieuwe manier van werken en de digitalisering groeit de dreiging van een succesvolle hack significant. Het wanneer komt steeds dichterbij, daarom is het van belang dat we voorbereid zijn als Gemeente Schiedam. Daarom wordt er in 2021 ingezet op het ontwikkelen van een Cyber Response Plan. In dit plan worden verschillende scenario’s uitgewerkt en nagedacht over de te nemen stappen bij deze scenario’s. Ook dient met deze scenario’s te worden geoefend door de crisis organisatie.

Rapporteren Informatiebeveiliging en Privacy 2020 12

Thuiswerken het ‘nieuwe normaal’ Er wordt voorzien dat een groot gedeelte van 2021 er nog volop thuisgewerkt zal worden. En ook in de toekomstplannen van de Gemeente Schiedam omtrent de nieuwe werkplek en de ontwikkeling van het gemeentehuis speelt thuiswerken ook een rol. Zoals al eerder aangegeven is het vele thuiswerken voor online criminelen een grote speeltuin geworden. Het is namelijk nogal een uitdaging voor een organisatie om op twee verschillende fronten de beveiliging naadloos op orde te hebben. Daarnaast komt ook het feit dat ambtenaren binnen de gemeente veelal op privé apparatuur werken en de beveiligde omgeving niet in staat is het vele videobellen aan te kunnen, dus er ook veel buiten de beveiligde omgeving wordt omgewerkt. Dit brengt veel risico’s met zich mee, waar data verloren kan en vergroot zeker de aanvalsoppervlakte voor een hacker. Bewustzijn van Medewerkers De mens speelt een cruciale rol als het gaat om informatiebeveiliging. De medewerkers van de Gemeente Schiedam zijn de menselijke firewall tegen hackers en kwaadwillende die het op de gemeentelijke informatie gemunt hebben. Het blijft van belang dat we onze medewerkers blijven voorzien van kennis en kunde omtrent dit onderwerp. Voor 2021 is het doel om meer specifiek in beeld te krijgen welke vragen en wensen er spelen binnen de organisatie op dit gebied.

Door middel van een awareness campagne wordt er een basisniveau gecreëerd over hoe om te gaan met alle dreigingen en risico’s van informatiebeveiliging. Samen gaan we veilig, vertrouwd en verantwoord te werk! Naast de hierboven aangegeven speerpunten zijn er zeker ook nog voldoende andere aspecten die aandacht behoeven, zoals de fysieke beveiliging, het actueel houden van procedures en uitvoeren van deze procedures, en de verantwoordelijkheid die genomen wordt en de focus die zou moeten liggen op dit onderwerp in de verschillende lagen van de organisatie. We dienen stappen te blijven zetten en er zijn genoeg uitdagingen voor de toekomst. Er zal moeten worden gekeken naar prioritering en het vrijmaken van mensen en middelen om in de veranderende wereld van informatiebeveiliging de gegevens van de Schiedamse burgers veilig te houden.

Rapporteren Informatiebeveiliging en Privacy 2020 13

6

Conclusie

De wereld waarin wij thans opereren is drastisch veranderd. Wie had kunnen voorspellen dat er een pandemie zou losbarsten welke zijn weerga niet kent? Het is mooi om te zien dat de organisatie technisch en organisatorisch een grote mate van flexibiliteit heeft en dat er een grote mate van veerkracht is om de burgers te blijven dienen. De weg naar de realisatie van doelstellingen is ingezet. Daar zullen soms uitdagingen bij komen. Vanuit de organisatie is er een drive om uitdagingen te omarmen en toe te werken naar passende oplossingen. In 2021 zal er een vervolg worden gegeven aan de ingezette koers om de doelstelling van het Informatie Beveiligings Plan (IBP 2020-2025) te realiseren.

Rapporteren Informatiebeveiliging en Privacy 2020 14