03 Informatie kwetsbaarheid Apache Log4J SB

Raadsbrief Informatie kwetsbaarheid Apache Log4J Informerend Zaaknummer: 950440 Bijlage:

Geachte raad, Hiermee informeren wij u over de kwetsbaarheid Apache Log4J welke momenteel volop in het nieuws is en ook voor de gemeente Stede Broec van toepassing is. Aanleiding

Donderdag 9 december werd een kwetsbaarheid ontdekt binnen Apache Log4J. Dit is een softwarebouwsteen die wereldwijd gebruikt wordt in een veelvoud van softwarepakketten van verschillende leveranciers en fabrikanten. Omdat er voor software geen ‘ingrediëntenlijst’ bestaat, is vaak niet direct te zien dat van Log4J gebruikt gemaakt wordt. Men ziet de Apache Log4J software niet staan in de softwarelijst op een computer en hierdoor is men zich niet bewust van de aanwezigheid van de softwarebouwsteen op de eigen systemen. Door de kwetsbaarheid kunnen (kwaadwillende) derden van buitenaf toegang krijgen tot systemen en daar allerlei handelingen uitvoeren. Computers en netwerken staan met elkaar in verbinding en kunnen op deze wijze worden ondermijnd. Daarbij kan worden gedacht aan het stelen van data, het plaatsen van ransomware of het overnemen van de regie in een netwerk. Informatieverstrekking

Maatregelen De Informatiebeveiligingsdienst (IBD), in samenspraak met het Nationaal Cyber Security Center (NCSC), heeft overheden op vrijdag 10 december op de hoogte gesteld van deze kwetsbaarheid. Omdat het Log4J wereldwijd veel gebruikt wordt en gezien de ernst van de kwetsbaarheid is direct opgeschaald tot een melding met zeer hoge urgentie/impact. SSC DeSom heeft onmiddellijk geïnventariseerd (met behulp van speciale tools) of deze software ook binnen ons netwerk voorkomt. Dit bleek inderdaad het geval. Daarop zijn direct patches en fixes (oplossingen voor dit probleem) geïnstalleerd. Dit is echter alleen mogelijk binnen systemen, die door onszelf beheerd worden. SSC DeSom en onze gemeente zijn sterk afhankelijk van softwareleveranciers die het beheer in eigen hand hebben. Zaterdag 11 december kwamen meldingen binnen van softwareleveranciers over hun eigen inventarisatie en de maatregelen die zij genomen hadden. Leveranciers van onze kern-applicaties hebben updates, patches en/of fixes uitgebracht. Later bleek dat bepaalde updates en fixes weer andere kwetsbaarheden veroorzaakten, waardoor systemen voorzien moesten worden van nieuwe updates. SSC DeSom heeft meerdere malen, middels digitaal forensisch onderzoek, vastgesteld dat onze systemen niet geraakt zijn naar aanleiding van dit softwarelek.

GBT Woensdagavond 15 december waren aanvullende maatregelen nodig om het risico op inbreuk sterk te verminderen en zijn de bestuurders van alle regiogemeenten geïnformeerd door SSC DeSom en de gemeentelijke CISO’s (Chief Information Security Officers). In overleg is besloten tot het installeren van een GBT (Gemeentelijk Beleidsteam). Dit team bestaat uit bestuurders van de regiogemeenten, directeur en CISO van SSC DeSom, gemeentelijke communicatieadviseurs en CISO’s. Doel van het GBT

is om deze kwetsbaarheid en de genomen maatregelen te bespreken en bij eventueel verhoging van het dreigingsniveau snel aanvullende maatregelen te kunnen nemen. Tevens kan op éénduidige wijze gecommuniceerd worden richting medewerkers, inwoners, bedrijven, ketenpartners en andere betrokkenen. Het GBT komt dagelijks (digitaal) bij elkaar. Bij verhoogde dreiging wordt dit opgeschaald. Huidige impact Door de huidige maatregelen is de dienstverlening richting onze inwoners en bedrijven niet beperkt. Ook onze ketenpartners ondervinden geen hinder van de maatregelen. Echter, het valt niet uit te sluiten dat in de komende dagen nog aanvullende maatregelen moeten worden genomen die wel effect hebben op de dienstverlening. Als dit het geval is, wordt dit uiteraard gecommuniceerd naar inwoners en bedrijven via de standaard communicatiekanalen. Vervolg

Hoewel er al veel maatregelen zijn genomen door SSC DeSom, gemeenten en leveranciers is de kwetsbaarheid veroorzaakt door Log4J nog niet onder controle. Enerzijds omdat kwaadwillenden via deze (of nieuwe) kwetsbaarheid aanvallen blijven ondernemen en anderzijds omdat deze software wereldwijd gebruikt wordt en kleinere ondernemingen - met beperkte ICT capaciteit en die misschien minder bekend zijn met de materie - geen goede beoordeling kunnen maken. Hierdoor bestaat de kans dat het vuur niet geblust kan worden en telkens opnieuw oplaait. Waakzaamheid is zeker de komende weken en waarschijnlijk maanden geboden, waarbij snel gereageerd moet worden op pogingen van kwaadwillende die gebruik maken van de zwakheden binnen Log4J om in te breken op onze systemen. SSC DeSom en de gemeentelijke CISO’s zijn zich terdege bewust van de risico’s en blijven de informatie van IBD en NCSC op de voet volgen.

Bovenkarspel, 21 december 2021 Burgemeester en wethouders van Stede Broec De secretaris, De burgemeester,

A. Huisman

R.A.P. Wortelboer