20210407 Onderzoeksrapport informatieveiligheid.pdf

Onderzoeksrapport

ZO STERK ALS DE ZWAKSTE SCHAKEL EEN ONDERZOEK NAAR DE INFORMATIEVEILIGHEID BIJ DE GEMEENTE UTRECHT

ZO STERK ALS DE ZWAKSTE SCHAKEL

EEN ONDERZOEK NAAR DE INFORMATIEVEILIGHEID BIJ DE GEMEENTE UTRECHT

7 april 2021 Eindrapport

1

REKENKAMER UTRECHT LEDEN ▪ ▪

Paul Venhoeven (voorzitter) Carolien de Boer

▪

Sjoerd Keulen

MEDEWERKERS ONDERZOEK ▪

Johan Snoei

▪ ▪

Pauline de Jong Naomi Meys

CONTACTGEGEVENS 030 - 286 1391 rekenkamer@utrecht.nl utrecht.nl/rekenkamer Postbus 16200, 3500 CE Utrecht

2

INHOUDSOPGAVE DEEL II ONDERZOEKSRAPPORT ..................................................................... 4 1

INLEIDING ............................................................................................... 4

1.1

AANLEIDING ........................................................................................... 4

1.2.

DOEL EN ONDERZOEKSVRAGEN ........................................................ 4

1.3

WERKWIJZE EN AFBAKENING ONDERZOEK ...................................... 5

1.4

LEESWIJZER .......................................................................................... 7

2

ORGANISATIE EN PROCES: HOE DE GEMEENTE UTRECHT ............... INFORMATIEVEILIGHEID INHOUD GEEFT............................................ 8

2.1

BELANGRIJKSTE BEVINDINGEN .......................................................... 8

2.2

TOELICHTING OP DE BEVINDINGEN.................................................... 9

2.2.1 BELEID EN RISICOGESTUURD WERKEN ............................................. 9 2.2.2. MAATREGELEN OM RISICO’S TE VERMINDEREN .............................12 3

MENS: HOE MEDEWERKERS IN DE PRAKTIJK OMGAAN MET INFORMATIEVEILIGHEID ......................................................................20

3.1

BELANGRIJKSTE BEVINDINGEN .........................................................20

3.2

TOELICHTING OP DE BEVINDINGEN...................................................21

3.2.1 INFORMATIEBEWUSTZIJN IN DE PRAKTIJK .......................................21 3.2.2 CULTUUR EN MELDINGEN ...................................................................24 3.2.3 PROGRAMMA INFORMATIEBEWUSTZIJN ...........................................26 4

TECHNIEK: HOE DE GEMEENTE INFORMATIE TECHNISCH ................ BEVEILIGT .............................................................................................30

4.1

BELANGRIJKSTE BEVINDINGEN .........................................................30

4.2

TOELICHTING OP DE BEVINDINGEN...................................................31

4.2.1 RESULTATEN EXTERNE PENETRATIETESTEN..................................31 4.2.2 RESULTATEN INTERNE PENETRATIETESTEN ...................................34 4.2.3 RESULTATEN TESTEN WIFI-NETWERKEN EN LAPTOP ....................37 BIJLAGE 1

AFKORTINGEN.........................................................................39

BIJLAGE 2

ONDERZOEKSVERANTWOORDING .......................................41

3

DEEL II ONDERZOEKSRAPPORT 1

INLEIDING

1.1

AANLEIDING

Informatieveiligheid is een onderwerp dat met de toenemende digitalisering steeds belangrijker wordt. Gemeenten verwerken grote hoeveelheden gegevens in een veelvoud aan systemen en programma’s. Veel van deze gegevens betreffen (bijzondere) persoonsgegevens of andere belangrijke gegevens die goed beschermd moeten zijn. Het gaat dan bijvoorbeeld om persoonsgegevens in de Basisregistratie Personen (BRP) en in het sociaal domein waarbij bijzondere persoonsgegevens worden geadministreerd, maar ook gegevens over bijvoorbeeld financiën, ruimtelijke projecten en de veiligheid in de stad. Zonder goede informatiebeveiliging liggen cybercriminaliteit, fraude, oplichting en ondermijning op de loer. De gemeenteraad heeft het onderwerp informatieveiligheid verschillende keren als onderzoeksthema aangedragen bij de Rekenkamer Utrecht. In de bijeenkomst van de rekenkamer met de gemeenteraad in november 2019 bleek dat er bij de raadsleden vragen leven rondom informatieveiligheid, maar ook over de visie en aanpak van de gemeente Utrecht en de bewustwording van de risico’s binnen het gemeentelijk apparaat. Daarbij was de vraag wat de gemeente Utrecht doet ten opzichte van de Rijksoverheid en andere grote steden. Voor de rekenkamer gaf dit voldoende aanleiding om met dit onderwerp aan de slag te gaan. In voorliggend onderzoeksrapport rapporteren wij onze bevindingen.

1.2.

DOEL EN ONDERZOEKSVRAGEN

Het doel van de rekenkamer met dit onderzoek is om de gemeenteraad inzicht te geven in de manier waarop de gemeente Utrecht invulling geeft aan de informatieveiligheid en te beoordelen of de informatieveiligheid voldoende is gewaarborgd. We kijken daarbij naar drie aspecten: (1) organisatie en proces, (2) mens en (3) techniek. De centrale vraag van het onderzoek is: Is de informatieveiligheid bij de gemeente Utrecht voldoende gewaarborgd?

Deze centrale vraag is uitgewerkt in de volgende onderzoeksvragen: 1. (Organisatie/proces:) Wat doet de gemeente Utrecht op het gebied van informatieveiligheid? a. Welk beleid voert de gemeente op informatieveiligheid? 4

b. Welke risico’s en maatregelen heeft de gemeente benoemd? c. In hoeverre zijn de maatregelen geïmplementeerd? 2. (Mens:) Op welke manier zet de gemeente in op het bewust omgaan met informatie? Hoe gaan de medewerkers van de gemeente in de praktijk om met informatieveiligheid? 3. (Techniek:) Zijn gegevens bij de gemeente voldoende beschermd tegen de toegang door onbevoegden? Zo niet, wat zijn daarvan de gevolgen voor burgers en ondernemers? Wat zijn de risico’s en kwetsbaarheden? Bij de beantwoording van de onderzoeksvragen 1, 2 en 3 hebben wij een normenkader gehanteerd. Per hoofdstuk zijn de normen die aan de orde komen in de inleiding vermeld met daarbij een beoordeling naar de mate waarin eraan wordt voldaan (rood, oranje of groen) en een verwijzing naar de bevinding(en) waarop dit oordeel is gebaseerd.

1.3

WERKWIJZE EN AFBAKENING ONDERZOEK

Werkwijze De rekenkamer heeft de volgende onderzoeksactiviteiten uitgevoerd: ▪

Documentstudie: We hebben de relevante beleidsdocumenten, documenten uit de begrotingscyclus en andere raadsinformatie over informatieveiligheid bestudeerd. Hiermee hebben wij in kaart gebracht welk beleid de gemeente Utrecht voert. Voor het inzicht in de risico’s die zijn geïdentificeerd en de beheersmaatregelen hebben wij onder andere de risicorapportages van de gemeente ingezien. De uitkomsten van beveiligingstesten, zelfassessments en audits van de gemeente zijn met name gebruikt ter voorbereiding op de testen die de rekenkamer door een extern bureau heeft laten uitvoeren. Voor het overzicht van de kerndocumenten waarop de bevindingen van de rekenkamer zijn gebaseerd, verwijzen wij naar bijlage 2.

▪

Interviews: In de maanden oktober tot en met december 2020 zijn interviews gehouden met de medewerkers van de gemeente die nauw betrokken zijn bij informatieveiligheid. Bij deze gesprekken gingen wij in op het gevoerde beleid en de processen, een globaal inzicht in de menskracht en het geld dat hiervoor beschikbaar is, de manier waarop bewustwording onder medewerkers onderdeel van beleid en uitvoering uitmaakt, en de mogelijke maatregelen die zij zien voor verdere optimalisatie van de informatieveiligheid. Voor een overzicht van de personen die wij gesproken hebben, verwijzen wij naar bijlage 2.

▪

Testen: De rekenkamer heeft Hoffmann B.V. (hierna genoemd: het externe bureau) opdracht verleend voor het uitvoeren van testen op het oneigenlijk toegang krijgen tot informatie bij de gemeente. Er zijn twee soorten testen uitgevoerd: 5

▪

▪

Social engineering test: Dit onderdeel bestaat uit een mail-phishing test (verzoek per e-mail om informatie te delen), het verspreiden van USB-sticks die bij gebruik malware zouden kunnen installeren (baiting), en inlooptesten op het Stadskantoor en het Stadhuis om ongeautoriseerd toegang te krijgen tot een kantoorruimte. Daarnaast is een laptop van de gemeente aan een analyse onderworpen om na te gaan of deze voldoende beschermd is tegen aanvallen in onveilige netwerken en tegen diefstal en verlies. ▪ Penetratietesten (pen-testen): Dit onderdeel is zowel intern als extern uitgevoerd. Er is zowel vanaf een gemeentelijke locatie (werkruimte) als via internet geprobeerd oneigenlijk toegang te krijgen tot informatie. Analyse en rapportage: Het onderzoeksmateriaal uit de voorgaande stappen is in samenhang geanalyseerd en opgenomen in voorliggend rapport.

In het onderzoeksplan was ook een enquête onder medewerkers voorzien om na te gaan hoe zij informatieveiligheid in de praktijk ervaren en hoe zij hier zelf invulling aan geven om dit voldoende te kunnen waarborgen. Bij de verkenning van de uitvoeringsmogelijkheden bleek dat een combinatie met verschillende andere enquêtes binnen de gemeentelijke organisatie niet tijdig gerealiseerd kon worden. Dit heeft ons ertoe gebracht af te zien van een enquête en om op dit punt de documentstudie, de interviews met medewerkers, en de uitkomsten van de social engineering test van het externe bureau als basis te nemen voor de beoordeling van dit onderdeel. Afbakening We hebben verschillende keuzes gemaakt om het onderzoek duidelijk af te kunnen bakenen. Deze noemen we hieronder puntsgewijs: ▪

Onderdelen: Het onderzoek richt zich op informatieveiligheid. We hebben gekozen voor de focus op de onderdelen organisatie/proces, mens en techniek, waarbij de nadruk ligt op mens en techniek. Wat de gemeente doet als het onverhoopt toch misgaat – bijvoorbeeld bij een datalek, hackaanval of storing – hebben we niet meegenomen.

▪

Organisatie en proces: Bij het onderdeel organisatie/proces kijken we met name naar wat er wordt gedaan op het gebied van informatieveiligheid. Het gaat erom een beeld te geven op hoofdlijnen. We hebben gebruik gemaakt van de risicoanalyses en audits die al aanwezig waren en van de maatregelen die de gemeente naar aanleiding daarvan heeft genomen. Hierbij zijn ook de activiteiten die de gemeente onderneemt rondom de BIO (Baseline Informatiebeveiliging overheid) en ISO (Internationale Organisatie voor Standaardisatie) in de analyse meegenomen. Deze activiteiten hebben een plaats gekregen in de roadmap implementatie gegevensbescherming.

▪

Mens: Bij het onderdeel mens bekijken we de inzet van de gemeente om de medewerkers bewust te laten omgaan met informatie. We hebben in kaart gebracht welke campagnes er zijn geweest en wanneer, hoe medewerkers worden geïnstrueerd en opgeleid om op een goede manier met informatie om te gaan, en hoe gezorgd wordt 6

voor een veilige werkomgeving. We bekeken op hoofdlijnen de inhoud van de activiteiten, maar hebben deze niet op detailniveau en ook niet onderwijskundig beoordeeld. ▪

1.4

Techniek: Een beschrijving van de uitgevoerde testen is beschreven bij de werkwijze van het onderzoek. Nadere toelichting volgt in hoofdstuk 4.

LEESWIJZER

Om inzicht te krijgen in de belangrijkste bevindingen van het onderzoek volstaat de eerste paragraaf van de verschillende hoofdstukken. Voor een nadere toelichting op deze bevindingen kan kennisgenomen worden van de uitwerking in de tweede paragrafen. In hoofdstuk 2 beschrijven we wat de gemeente Utrecht doet op het gebied van informatieveiligheid (vraag 1). In hoofdstuk 3 gaan we in op de manier waarop de gemeente Utrecht inzet op het bewust omgaan met informatie en hoe de medewerkers van de gemeente daar in de praktijk mee omgaan (vraag 2). In hoofdstuk 4 presenteren we de resultaten van verschillende externe en interne penetratietesten die zijn uitgevoerd om vast te kunnen stellen of gegevens bij de gemeente voldoende beschermd zijn (vraag 3). Het geheel heeft twee bijlagen: de lijst met gebruikte afkortingen (1) en de lijst met geraadpleegde personen en documenten (2). De rapporten met de (technische) informatie over de testen die door het externe bureau zijn uitgevoerd zijn separaat ter beschikking gesteld aan de gemeente Utrecht.

7

2

ORGANISATIE EN PROCES: HOE DE GEMEENTE UTRECHT INFORMATIEVEILIGHEID INHOUD GEEFT

In dit hoofdstuk beschrijven we wat de gemeente Utrecht doet op het gebied van informatieveiligheid. Daarmee beantwoorden we de eerste onderzoeksvraag: Wat doet de gemeente Utrecht op het gebied van informatieveiligheid? (a) Welk beleid voert de gemeente op informatieveiligheid? (b) Welke risico’s en maatregelen heeft de gemeente benoemd? (c) In hoeverre zijn de maatregelen geïmplementeerd? In paragraaf 2.1 geven we de belangrijkste bevindingen weer. Deze bevindingen lichten we toe in paragraaf 2.2. Aan de hand van de bevindingen beoordelen we in tabel 2.1 de bijbehorende norm. Tabel 2.1 Normen en criteria thema ‘organisatie en proces’

Norm

Criteria

Beoordeling

De gemeente werkt risicogestuurd.

De gemeente heeft de risico’s in beeld.

Zie bevinding 1 van § 2.1

De gemeente neemt maatregelen om de risico’s te laten afnemen.

Zie bevinding 2 van § 2.1

2.1 BELANGRIJKSTE BEVINDINGEN 1. De gemeente Utrecht heeft in 2019 het nieuwe Beleid voor gegevensbescherming 20192022 vastgesteld. Het uitgangspunt van dit beleid is risicogestuurd werken. Aan het risicogestuurd werken wordt echter nog onvoldoende invulling gegeven. De gemeente werkt sinds 2019 met een strategisch risico-overzicht. Maar van de benodigde 21 tactische risicoanalyses zijn er slechts 6 gereed. In het kader van de privacy zijn ruim 150 DPIA’s afgerond, maar de overige operationele risicoanalyses voor informatieveiligheid zijn – met uitzondering van 6 operationele risicoanalyses als pilot bij Stadsbedrijven – nog niet uitgevoerd. Omdat risicoanalyses en Data Protection Impact Assessments (DPIA’s) cruciaal zijn om risicogestuurd te werken, is dit nog niet volledig mogelijk. 2. Bij de implementatie van het nieuwe beleid voor de gegevensbescherming heeft de gemeente Utrecht ook een roadmap opgesteld die jaarlijks wordt herijkt en geactualiseerd. Deze bevat onderwerpen waarmee de gemeente aan de slag gaat en de mijlpalen die daarbij behaald moeten worden. De uitvoering van het

8

informatiebeveiligingsbeleid loopt op cruciale onderdelen achter op de oorspronkelijke planning. Met extra geld en mensen moet de achterstand worden ingelopen, maar daarvoor zijn ook daadkracht en urgentie bij het management en de proceseigenaren, en de ruimte die van uitvoerende medewerkers vereist is naast hun reguliere werkzaamheden. De gemeente heeft verschillende algemene maatregelen genomen om de risico’s te laten afnemen. Zo is de governance sinds 2018 verstevigd. Er zijn een stuurgroep, vakgroep, regiegroep en taskforce ingesteld die op verschillende niveaus de voortgang van risico’s en maatregelen moeten bewaken. Met extra middelen is sinds eind 2020 de capaciteit voor Decentrale Informatie en Security Officers (DISO’s) uitgebreid en is voor een initiële periode van zes maanden een projectleider bewustwording aangesteld. Ook zijn sinds 2018 de risico’s op het gebied van informatieveiligheid in kaart gebracht en geprioriteerd. Van de in totaal 60 risico’s die in 2020 in de ICT zijn geïdentificeerd, staan er januari 2021 nog 24 (40%) open.

2.2

TOELICHTING OP DE BEVINDINGEN

2.2.1

BELEID EN RISICOGESTUURD WERKEN

De gemeente Utrecht heeft in 2019 het nieuwe Beleid voor gegevensbescherming 2019-2022 vastgesteld. Het uitgangspunt van dit beleid is risicogestuurd werken. Gemeenten zijn wettelijk verplicht om een actueel beleid voor gegevensbescherming te hebben (zie tekstkader). In 2019 heeft de gemeente Utrecht het Beleid voor gegevensbescherming 2019-2022 vastgesteld. De missie van de gemeente voor gegevensbescherming staat in het beleid als volgt beschreven: “Wij zorgen ervoor dat burgers en ondernemers gegevens aan de gemeente toe durven te vertrouwen omdat de gemeente deze gegevens aantoonbaar goed beschermt. Burgers en ondernemers weten hoe deze bescherming is ingericht, over welke gegevens wij beschikken en wat wij ermee doen.” (p.3)

Baseline Informatiebeveiliging Overheid Sinds 1 januari 2020 is voor alle Nederlandse overheden de Baseline Informatiebeveiliging Overheid (BIO) van kracht. De BIO verving de verschillende baselines informatieveiligheid voor de gemeenten, het Rijk, waterschappen en de provincies voor één gezamenlijk normenkader voor informatieveiligheid. In de BIO staan onder meer beschreven waar het beleid aan moet voldoen en wat georganiseerd moet zijn in de interne organisatie. Deze verplichting komt, naast de BIO, voort uit de Algemene Verordening Gegevensbescherming (AVG) en het landelijk verantwoordingsstelsel over informatiebeveiliging.

9

Een belangrijke wijziging in het nieuwe beleid is dat er meer risicogestuurd gewerkt moet gaan worden om zo de belangrijkste risicogebieden eerst aan te kunnen pakken.1 De gemeente Utrecht heeft voor het risicogestuurd werken gekozen, omdat er veel ontwikkelingen zijn op het gebied van digitalisering en er maar een bepaalde capaciteit voor informatieveiligheid beschikbaar is. Er moeten daarom keuzes gemaakt worden in de processen die eerst opgepakt worden en welke nog even kunnen wachten.2 Op basis van de risico’s worden ook keuzes gemaakt voor de inzet van mensen (capaciteit), bijvoorbeeld als het gaat om de Decentrale Informatie en Security Officers (DISO’s). Er is nu, in tegenstelling tot het verleden, schaarsere DISO-capaciteit beschikbaar op processen die minder risicovol zijn. De gemeente Utrecht hanteert dertien basisprincipes voor het veilig omgaan met gegevens die zijn vastgelegd in het Beleid voor gegevensbescherming 2019-2022. Als het gaat om het treffen van maatregelen is principe 11 van belang: “Maatregelen moeten kwalitatief en kwantitatief in balans zijn met de te beschermen waarden. Er moeten zakelijke argumenten zijn om beveiligingsmaatregelen te treffen, en omgekeerd, als er geen argumenten zijn, mogen er geen maatregelen getroffen worden. Utrecht gebruikt risicoanalyses als methode om onderzoek te doen naar de noodzaak van maatregelen.” (p.

8) Aan het risicogestuurd werken wordt top down invulling gegeven. De gemeente werkt sinds 2019 met een strategisch risico-overzicht. Maar van de benodigde 21 tactische risicoanalyses zijn er slechts 6 gereed. In het kader van de privacy zijn ruim 150 DPIA’s afgerond, maar de overige operationele risicoanalyses voor informatieveiligheid zijn – met uitzondering van 6 operationele risicoanalyses als pilot bij Stadsbedrijven – nog niet uitgevoerd. Omdat risicoanalyses en Data Protection Impact Assessments (DPIA’s) cruciaal zijn om risicogestuurd te werken, is dit nog niet volledig mogelijk. Sinds 2018 heeft de gemeente Utrecht een strategisch risico-overzicht. Op basis hiervan worden de inspanningen op het gebied van gegevensbescherming aangestuurd.

De risicoen beheersingsmatrix bevat op 1 december 2020 zes hoge (bruto) risico’s: ▪ Access & Identity management: het risico dat onbevoegden toegang krijgen tot applicaties met gevoelige informatie, ▪ Derdepartij risico’s: het risico dat de bescherming en beveiliging van gegevens die door derde partijen worden verwerkt niet is geborgd, ▪ Awareness: het risico dat medewerkers zich onvoldoende bewust zijn van het belang van gegevensbescherming waardoor zij onbedoeld datalekken of beveiligingsincidenten creëren, ▪ Veilige gegevensuitwisseling: het risico dat de vertrouwelijkheid van gevoelige gegevens gedurende uitwisseling met andere partijen wordt geschonden,

1 Gemeente Utrecht (5 juli 2019). Raadsbrief Beleid voor gegevensbescherming 2019 – 2022. 2 Rekenkamer Utrecht. Interview gemeente Utrecht.

10

▪

▪

Beveiligingslek zaaksysteem: medewerkers met toegang tot het zaaksysteem kunnen contactmomenten inzien die in voorkomende gevallen vertrouwelijke informatie en bijlagen kunnen bevatten, Security Domstad-IT: overzicht van beveiligingsissues en bijbehorende risico’s in de ICT.

Per onderwerp zijn een risicoeigenaar, een strategie en beheersmaatregel(en) opgenomen, en wordt vervolgens een beoordeling gegeven van het risico dat na de maatregelen blijft bestaan (netto risico/ restrisico). Van de zes hoge risico’s geldt dat in drie gevallen ook het restrisico hoog blijft. De rekenkamer constateert dat ten tijde van het onderzoek een groot deel van de risicoanalyses, privacy risicoassessments en Data Protection Impact Assessments (DPIA’s) nog moet worden uitgevoerd (zie tabel 2.2). Van de 21 organisatieonderdelen hebben slechts 6 organisatieonderdelen de tactische risicoanalyse afgerond. Op het gebied van privacybescherming zijn 112 DPIA’s uitgevoerd, waarbij de gemeente aangeeft dat hiermee gestart is gezien het belang van privacy binnen de gemeente. Op het gebied van operationele risicoanalyses informatiebeveiliging geldt dat er als pilot zes analyses zijn uitgevoerd bij Stadsbedrijven. De overige operationele risicoanalyses zijn nog niet beschikbaar. Tabel 2.2 Stand van zaken tactische risicoanalyses (TRA’S), privacy risicoassessments (PRA’s), data protection impact assessments (DPIA’s) en operationele risicoanalyses (ORA’s)

TRA’s

PRA’s

DPIA’s

ORA’s

Norm

R Nee , O Gepland, G Ja

R < 75% , O < 90%, G >90%

R < 75% , O < 90%, G >90%

R Nee , O Gepland, G Ja

Aantal

15

7

2

-

Aantal

0

3

3

-

Aantal

6

11

6

-

Nader te bepalen

-

-

10

21

Totaal

21

21

21

21

Bron: Gemeente Utrecht (december 2020). Programmadashboard 2021 bewerking rekenkamer

Het management is verantwoordelijk voor het identificeren van de hoogste risico’s, het prioriteren ervan en het treffen van maatregelen om de risico’s terug te brengen. In het beleid voor gegevensbescherming meldt de gemeente Utrecht dat maatregelen risicogebaseerd worden genomen op basis van zakelijke overwegingen (kosten versus baten) of omdat er externe verplichtingen zijn (wet- en regelgeving, contracten). Een aantal risico’s wordt

11

bewust geaccepteerd en daarvoor worden geen maatregelen genomen.3 Operationele risicoanalyses zijn dus noodzakelijk om maatregelen te maken en daarmee cruciaal om risicogestuurd te kunnen werken. Wegens het gebrek aan tactische en operationele risicoanalyses is dit dus nog niet volledig mogelijk.

2.2.2. MAATREGELEN OM RISICO’S TE VERMINDEREN

Bij de implementatie van het nieuwe beleid voor gegevensbescherming heeft de gemeente Utrecht een roadmap opgesteld die jaarlijks wordt herijkt en geactualiseerd. Deze bevat onderwerpen waarmee de gemeente aan de slag gaat en de mijlpalen die daarbij behaald moeten worden. Voor de implementatie van het beleid voor de gegevensbescherming is een roadmap opgesteld. In de roadmap zijn de onderwerpen opgenomen waar de gemeente Utrecht in de jaren 2019-2022 mee aan de slag gaat. Daarbij zijn per kwartaal mijlpalen gedefinieerd. De roadmap wordt vastgesteld in het directeurenoverleg en is daarmee bindend voor de interne organisatie. Tabel 2.3 geeft inzicht in de onderwerpen die in de roadmap zijn opgenomen. Wij hebben deze onderwerpen verdeeld over de terreinen organisatie/proces, mens en techniek. De onderstreepte onderwerpen zijn toegevoegd na de herijking van de roadmap in november 2020. De schuingedrukte onderwerpen zijn bij de herijking uit de roadmap gehaald. Voor sommige onderwerpen geldt dat zij onder meerdere categorieën vallen, deze zijn onderin de tabel opgenomen. Onder de tabel lichten wij kort de huidige stand van zaken toe. Tabel 2.3 Onderwerpen in de roadmap naar categorie

Organisatie en proces

Mens

Techniek

Gegevensbeschermings- Afspraken derde partijen plan

Kennis en vaardigheden – specifiek

Logging

Eigenaarschap

Resilience strategie en governance

Kennis en vaardigheden – generiek

Security Architectuur Generiek

Classificatie

Verwerving en onderhoud

Updaten personeelsbeleid

Security Architectuur Techniek (Capabilities)

Risicoanalyse

Beheer van cryptosleutels en certificaten

Naleving

(netwerk) Communicatie

DPIA’s

Statement of Applicability

Bewustwording

Risicomanagement

Beveiligingsplan

3 Gemeente Utrecht (1 juli 2019). Beleid voor gegevensbescherming Gemeente Utrecht 2019-2022,

“Bescherming van het digitale DNA van de stad”.

12

Security incident management

Directie beoordeling

Security monitoring en rapportage

Gegevens classificatie

Gegevensbeschermings- Documentatiebeheer audits Standaarden voor gegevensbescherming

Bedrijfsvoering - eisen aan de support delivery services

Inzageverzoeken

Security Architectuur Processen

Strategisch beleid voor gegevensbescherming

Naleving (wetgeving)

Inrichten Crisismanagement

Gemeenteverordening (privacy)

IB in ICT beheerprocedures

Cryptografie

Borging interne organisatie Onderwerpen die vallen onder meerdere categorieën Fysieke beveiliging (organisatie en proces, techniek) Business Continuity Management, inclusief Disaster recovery management en BCM standaard (organisatie en proces, mens, techniek) Ondersteunende middelen (organisatie en proces, mens, techniek) Identity & Access Management, Identificatie, authenticatie, authorisatie (organisatie en proces, mens, techniek) Ontwikkelingen DomstadIT (organisatie en proces, mens, techniek) Bron: Rekenkamer Utrecht op basis van Roadmap implementatie gegevensbescherming 2019-2022

De uitvoering van het informatiebeveiligingsbeleid loopt op cruciale onderdelen achter op de oorspronkelijke planning. Met extra geld en mensen moet de achterstand worden ingelopen, maar daarvoor zijn ook daadkracht en urgentie bij de proceseigenaren en de inzet van uitvoerende medewerkers vereist. Organisatie en proces In de roadmap is een veelheid aan onderwerpen opgenomen als het gaat om de organisatie en het proces rondom gegevensbescherming. Ieder organisatieonderdeel vertaalt de onderwerpen uit de roadmap naar doelen en acties voor het eigen onderdeel in het gegevensbeschermingsplan. We constateren dat deze plannen – met uitzondering van de Utrechtse Vastgoed Organisatie – in 2020 voor alle organisatieonderdelen zijn op- en vastgesteld. De achterstand op de uitvoering van de maatregelen die we zagen bij het uitvoeren van de risicoanalyses en DPIA’s zien we ook bij andere onderwerpen terug. De 13

doelstelling voor 2020 was bijvoorbeeld dat het eigenaarschap up-to-date zou zijn, maar dat is niet gehaald.4 Hetzelfde geldt voor het onderwerp classificatie, waar de doelstelling van een up-to-date Business Impact Analyse (BIA) en verwerkingenregister in 2020 nog niet zijn gerealiseerd. Deze stap wordt naar verwachting in het eerste kwartaal van 2021 afgerond.5 Mens Er zijn vier onderwerpen in de roadmap opgenomen om invulling te geven aan de ontwikkeling van kennis en vaardigheden van de medewerkers. Bij het onderwerp kennis en vaardigheden specifiek gaat het om de DISO’s, bij generiek om alle medewerkers van de gemeente Utrecht. In de roadmap uit 2019 was hierbij alleen het organiseren van een DISOopleiding opgenomen, verdere doelstellingen ontbraken. De gemeente geeft hierbij aan dat het om een bewuste keuze ging omdat er beperkt budget beschikbaar was. Dit was voor de stuurgroep aanleiding om in 2020 additioneel budget voor gegevensbescherming beschikbaar te stellen, waaronder € 200.000 voor “Bewustwording en opleiding gegevensbescherming gemeentelijke organisatie”6 Voor het updaten van het personeelsbeleid was de doelstelling om in het 2e kwartaal van 2019 de vereisten gegevensbescherming voor het personeel uit te werken en die in 2020 en 2021 door HRM door te laten voeren. Wij constateren dat ook hier vertraging is opgelopen.

De planning is nu dat de strategische standaard gegevensbescherming binnen HR in 2021 wordt geïmplementeerd. Verder is er een gebruikersprotocol in ontwikkeling en is er in oktober 2020 een (tijdelijke) projectleider awareness aangesteld die een bewustwordingsprogramma voor de medewerkers ontwikkelt. Wij gaan hier in hoofdstuk 3 (Mens) dieper op in. Techniek Volgens geïnterviewden geeft de roadmap houvast en een koers als het gaat om de maatregelen die nodig zijn. Men is het er ook over eens dat dit de juiste maatregelen zijn voor de gemeente Utrecht.7 Tegelijkertijd wordt de opgelopen achterstand in de uitvoering ook breed onderkend. Vooral het gebrek aan capaciteit is daarbij benoemd als belangrijkste oorzaak voor de opgelopen vertraging.8 Daarnaast wijzen verschillende geïnterviewden ook op het gebrek aan urgentie en daadkracht9, en de keuze om eerst aan de slag te gaan met het privacydeel van het beleid voor de gegevensbescherming.10 De monitoring van de resultaten vindt op verschillende niveaus binnen de organisatie plaats. DomstadIT hanteert naast de roadmap ook een jaarplan voor de technische maatregelen die nodig zijn. DomstadIT rapporteert de ICT-risico’s op gegevensbescherming aan de

4 Zie ook Rekenkamer Utrecht. Interviews gemeente Utrecht. 5 Rekenkamer Utrecht. Interview gemeente Utrecht. 6 Gemeente Utrecht (3 februari 2020). Memo intensivering gegevensbescherming 7 Rekenkamer Utrecht. Interviews gemeente Utrecht 8 Rekenkamer Utrecht. Interviews gemeente Utrecht; Gemeente Utrecht (5 maart 2020). Informatiebeheer- en

beveiligingsplan 2020. Werk en Inkomen. 9 Rekenkamer Utrecht. Interview gemeente Utrecht. 10 Rekenkamer Utrecht. Interview gemeente Utrecht.

14

stuurgroep gegevensbescherming en kopieert een aantal stakeholders, waaronder de CISO (Chief Information Security Officer) van de gemeente Utrecht, hierop in. De stuurgroep gegevensbescherming bedient zich van het strategisch risico-overzicht (risicolog). Het programma gegevensbescherming rapporteert maandelijks aan de stuurgroep over de voortgang via het programmadashboard. De organisatieonderdelen zijn via hun DISO’s zelf verantwoordelijk voor het invullen van het dashboard waarin de voortgang van onder andere de verschillende (risico)analyses per organisatieonderdeel wordt bijgehouden. Het programmadashboard wordt regelmatig besproken in de vakgroep gegevensbescherming. De themadirecteur bedrijfsvoering is voorzitter van de stuurgroep gegevensbescherming. In de voortgangsgesprekken die op managementniveau halfjaarlijks worden gevoerd wordt intern verantwoording afgelegd door de IRM-ers aan de themadirecteur. De gemeente Utrecht laat zelf ook periodiek technische penetratietests uitvoeren om de kwaliteit van de beveiliging te testen. Dit betreft bijvoorbeeld de jaarlijkse wettelijk verplichte testen omtrent DigiD. Daarnaast worden bij belangrijke externe ontwikkelingen ad hoc testen uitgevoerd. Dit betreft bijvoorbeeld beveiligingsincidenten bij andere gemeenten. Bij de herijking van de roadmap in december 2020 zijn 18 nieuwe onderwerpen aan de roadmap toegevoegd.

Bij een deel van deze onderwerpen gaat het om een verfijning of specificering van de onderwerpen die eerst op hoofdlijnen waren opgenomen. De roadmap is gebaseerd op alle onderwerpen die de gemeente vanuit de BIO standaarden en de ISO27001 (op termijn) moeten uitvoeren. Naast het inhalen van de achterstand op de andere onderwerpen is daarmee een groot aantal andere maatregelen nog uit te voeren. Bij de nieuwe onderwerpen wordt eerst gestart met het opstellen van een standaard (onder andere identificatie, authenticatie, autorisatie, bij logging en bij cryptografie) die vervolgens moet worden vastgesteld en in de tweede helft van 2021 voorzien van maatregelen. De gemeente heeft verschillende algemene maatregelen genomen om de risico’s te laten afnemen. Zo is de governance sinds 2018 verstevigd. Er zijn een stuurgroep, vakgroep, regiegroep en taskforce ingesteld die op verschillende niveaus de voortgang van risico’s en maatregelen moeten bewaken. De gemeente Utrecht heeft verschillende algemene maatregelen genomen om de risico’s rondom informatieveiligheid te laten afnemen. De eerste maatregel is het verstevigen van de governance. Zo is er in 2018 een programmamanager gegevensbescherming aangesteld.

De gemeente Utrecht heeft de verantwoordelijkheid voor gegevensbescherming op verschillende niveaus in de organisatie belegd, deze zijn uitvoerig beschreven in het Beleid voor gegevensbescherming 2019-2022.11 Het college van B&W is eindverantwoordelijk voor de borging van gegevensbescherming binnen de gemeente Utrecht. De stuurgroep gegevensbescherming – onder voorzitterschap van de themadirecteur – legt verantwoording af over het gevoerde beleid aan het college, en de integraal resultaat managers (IRM’ers) zijn verantwoordelijk voor de invoering van het beleid binnen de organisatieonderdelen. Een

11 Gemeente Utrecht (5 juli 2019). Beleid voor gegevensbescherming 2019 – 2022

15

centrale rol is op operationeel niveau binnen de verschillende organisatieonderdelen toebedeeld aan de systeem- en proceseigenaren. Ook zijn er Decentrale Informatie en Security Officers (DISO’s) aangesteld om medewerkers te adviseren, helpen en te monitoren. Figuur 2.4 geeft een overzicht van de interne organisatie omtrent gegevensbescherming. Hier is de versteviging van de governance onder andere terug te zien in dat ieder organisatieonderdeel ten minste één DISO ter beschikking heeft die wordt aangestuurd door de informatie- en procesmanager. Deze DISO’s vormen samen een vakgroep, waarin de grootste risico’s op een lager niveau gesignaleerd worden en waar daar gezamenlijk oplossingen voor worden bedacht. De DISO-capaciteit is uitgebreid met een pool van vijf DISO’s die niet verbonden zijn met een organisatieonderdeel, maar risicogestuurd worden ingezet. De CIO-office heeft de functionele verantwoordelijkheid over IPM-ers (Informatie- en Procesmanagers) en DISO’s. De stuurgroep brengt prioritering aan in de gevonden risico’s en stuurt op de voortgang van maatregelen om de risico’s te doen afnemen. Deze risico’s worden door de stuurgroep bijgehouden in het strategisch risico-overzicht. Tussen de organisatieonderdelen en stuurgroep in zit de regiegroep.

Deze adviseert de stuurgroep, stemt af tussen de verschillende niveaus en zorgt ervoor dat voorstellen van de stuurgroep voldoende draagvlak hebben bij de organisatieonderdelen. Het hoofd van het CIO-office – de CIO (Chief Information Officer) – bespreekt samen met de voorzitter van de stuurgroep, de CISO en het college de bestuurlijke risico’s, welke uiteindelijk worden vertaald naar de gemeenteraad.

16

Figuur 2.4 Overzicht interne organisatie omtrent gegevensbescherming

17

Met extra middelen is sinds eind 2020 de capaciteit voor Decentrale Informatie en Security Officers (DISO’s) uitgebreid en is er voor zes maanden een projectleider bewustwording aangesteld. De tweede algemene maatregel is het uitbreiden van het budget voor informatieveiligheid. De uitgaven aan het specifieke onderwerp informatieveiligheid of gegevensbescherming zijn niet een-op-een terug te vinden in de begroting en jaarrekening. Het onderwerp valt in de categorie overhead onder Informatie- en procesmanagement (IPM). Daarnaast zijn er uitgaven in de decentrale overhead, zoals voor de decentrale information security officers (DISO’s) per organisatieonderdeel en de projecten die zij uitvoeren. Bij de Eerste bestuursrapportage heeft de gemeenteraad ingestemd met € 3,4 miljoen extra budget voor gegevensbescherming, verdeeld over 3 jaar om het reeds geplande programma te versnellen en € 0,6 miljoen structureel om extra DISO’s aan te trekken (zie tabel 2.5). Tabel 2.5 Toegekende extra middelen voor gegevensbescherming (bedragen in € 1.000)

Gegevensbescherming Gegevensbescherming: DISO’s

2020

2021

2022

2023

2024

1.000

1.500

900

0

0

150

600

600

600

600

Bron: Gemeente Utrecht (19 juni 2020). Eerste Bestuursrapportage.

Ook zijn sinds 2018 de risico’s op het gebied van informatieveiligheid in kaart gebracht en geprioriteerd. Van de in totaal 60 risico’s die in 2020 in de ICT zijn geïdentificeerd, staan er januari 2021 nog 24 (40%) open. Als derde algemene maatregel heeft de gemeente het proces van scanning en patching meer inhoud willen geven. DomstadIT levert de diensten aan de verschillende organisatieonderdelen als het gaat om de technische maatregelen. De verschillende onderwerpen en bijbehorende maatregelen zijn nader uitgewerkt in de rapportage gegevensbescherming. Uit de rapportage van november 2020 blijkt dat op dat moment ruim driekwart (76%) van de geïdentificeerde risico’s nog openstaat. Voor 12% van de risico’s geldt dat zij gemitigeerd (verminderd) zijn, de overige 12% wordt (tijdelijk) geaccepteerd. Wanneer de risicorapportages over een langere periode worden geanalyseerd, dan constateren wij dat er in totaal in 2020 60 risico’s in de ICT in kaart zijn gebracht. Begin 2021 staan er nog 24 (40%) open, waarvan bij 9 risico’s geldt dat het risico door de eigenaar wordt geaccepteerd. Geïnterviewden geven aan dat het een positieve ontwikkeling is dat veel technische risico’s nu in beeld zijn. De gemeente Utrecht heeft zich de afgelopen 1,5 jaar ontwikkeld van “we varen blind naar we varen transparant”.

12 De komende jaren moeten de verschillende risico’s verder worden gemitigeerd, al blijven zich ook steeds nieuwe risico’s voordoen waardoor de risico’s nooit 100% gemitigeerd zullen zijn. Ten aanzien van de techniek wijzen geïnterviewden ook op de inzet en de stappen die gezet zijn op het gebied 12 Rekenkamer Utrecht. Interviews gemeente Utrecht.

18

van crisismanagement (wat te doen als er zaken misgaan?).13 Omdat dit buiten de scope van dit onderzoek valt, laten we dit verder buiten beschouwing. Op de stand van zaken van de techniek gaan we in hoofdstuk 4 dieper in aan de hand van de testen die door het externe bureau zijn uitgevoerd.

13 Rekenkamer Utrecht. Interview gemeente Utrecht.

19

3

MENS: HOE MEDEWERKERS IN DE PRAKTIJK OMGAAN MET INFORMATIEVEILIGHEID

In dit hoofdstuk beschrijven we op welke manier de gemeente inzet op het bewust omgaan met informatie (informatiebewustzijn) en hoe medewerkers in de praktijk omgaan met informatieveiligheid. Daarmee wordt de tweede onderzoeksvraag beantwoord: Op welke manier zet de gemeente in op het bewust omgaan met informatie? Hoe gaan de medewerkers van de gemeente in de praktijk om met informatieveiligheid? In paragraaf 3.1 geven we de belangrijkste bevindingen weer. Deze bevindingen lichten we toe in paragraaf 3.2. Aan de hand van de bevindingen beoordelen we in tabel 3.1 de bijbehorende normen. Tabel 3.1 Normen en criteria thema ‘mens’

Norm

Criteria

Beoordeling

Medewerkers gaan in de praktijk bewust met informatie/gegevens om.

Medewerkers weten wat ze wel en niet mogen/moeten doen met informatie/gegevens en herkennen incidenten, dit is te relateren aan de leerdoelen van de instructies/opleiding.

Zie bevinding 1 en 2 van § 3.1

De gemeente zorgt voor het informatiebewustzijn van medewerkers.

Er is een plan/programma voor medewerkers over informatiebewustzijn, dat medewerkers in staat stelt om op een bewuste manier om te gaan met informatie.

Zie bevinding 3 van § 3.1

3.1 BELANGRIJKSTE BEVINDINGEN 1. Een groot deel van de medewerkers gaat niet altijd bewust om met informatieveiligheid. Dit werd zichtbaar uit de phishing test die de rekenkamer heeft laten uitvoeren, waarbij 950 medewerkers (16%) gebruikersnaam en wachtwoord hebben verstrekt. Dit is vergelijkbaar met de uitkomsten van dergelijke onderzoeken bij andere gemeenten. In januari 2020 was een groot deel van de medewerkers ook al niet alert op een poging van phishing. Van twee van de verspreide USB-sticks werd door medewerkers de inhoud geopend. Een kwaadwillende kan hiermee toegang krijgen tot de betrokken computer. Ook bleek dat de fysieke beveiliging van en sociale controle op het Stadskantoor en Stadhuis de toegang van onbevoegden niet konden voorkomen. Op deze locaties was sommige geheime informatie niet veilig opgeborgen.

20

2. Medewerkers lijken niet altijd te weten wat zij moeten doen bij beveiligingsincidenten. Zo blijkt uit de phishing actie van november 2020 dat 950 medewerkers hun gegevens achterlieten, maar er slechts 477 keer officieel melding van phishing werd gedaan. Ook is het aantal gemelde datalekken tussen 2019 en 2020 afgenomen. De meldingsbereidheid is niet te achterhalen, omdat niet duidelijk is hoe vaak een datalek daadwerkelijk is voorgekomen. Er is volgens geïnterviewden binnen de gemeente Utrecht wel sprake van een open cultuur. De gemeente wijst verschillende plekken aan om meldingen te doen. 3. Tijdens het onderzoek is er geen centraal plan/programma voor medewerkers over informatiebewustzijn. Er worden ad hoc acties uitgevoerd en organisatieonderdelen besteden op hun eigen manier aandacht aan het bewust omgaan met (gevoelige) informatie. Een eerdere bewustwordingscampagne is in 2018 gestopt vanwege gebrek aan budget en het vertrek van de projectleider. De gemeente wil intensiveren op dit gebied en bereidt sinds eind 2020 een nieuw bewustwordingsprogramma voor dat in 2021 uitgevoerd moet worden.

3.2

TOELICHTING OP DE BEVINDINGEN

3.2.1

INFORMATIEBEWUSTZIJN IN DE PRAKTIJK

Een groot deel van de medewerkers gaat niet altijd bewust om met informatieveiligheid. Dit werd zichtbaar uit de phishing test die de rekenkamer heeft laten uitvoeren, waarbij 950 medewerkers (16%) gebruikersnaam en wachtwoord hebben verstrekt. Dit is vergelijkbaar met de uitkomsten van dergelijke onderzoeken bij andere gemeenten. Voor de informatieveiligheid van de gemeente is het van belang dat medewerkers in de praktijk bewust met informatie en gegevens omgaan. Ook is het van belang dat zij alert zijn op pogingen van kwaadwillenden om toegang te krijgen tot vertrouwelijke informatie. Uit verschillende social engineering testen – mail-phishing en mystery guest bezoeken – die de gemeente en de rekenkamer hebben laten uitvoeren, blijkt echter dat een groot deel van de medewerkers niet altijd bewust omgaat met informatie en de risico’s die zich hierbij manifesteren. Wij hebben in november 2020 door het externe bureau een mail-phishing actie laten uitvoeren. Phishing is een vorm van cybercriminaliteit waarmee criminelen persoonlijke gegevens proberen te verkrijgen of malware op de computer proberen te installeren. Het vormt een van de grootste risico’s voor informatieveilig werken. De resultaten van deze actie zijn te vinden in onderstaande tabel 3.1.

21

Tabel 3.1 Resultaten mail-phishing actie november 2020

Aantal e-mails verstuurd

Aantal personen link geopend

Aantal personen gegevens achtergelaten

Aantal minuten tot eerste melding

5.769

1.100 (19%)

950 (16%)

9

In de e-mail werd door de servicedesk verzocht om mobiele apparaten te registreren. De eerste mail werd om 10.36 uur verzonden, de eerste melding bij de servicedesk volgde negen minuten later. Om 16.30 uur, toen de teller van medewerkers die hadden ingelogd op 808 unieke gebruikers stond, lag het aantal meldingen op 438. De phishing link is ook daarna nog een aantal dagen beschikbaar gebleven. Ondanks een waarschuwing in een email aan alle medewerkers door de gemeente omstreeks 18.00 uur op de eerste dag bleken nog altijd nieuwe gebruikersnamen en wachtwoorden doorgegeven te worden. Uiteindelijk zijn na een week 950 unieke gebruikers (16%) op het verzoek ingegaan door hun gebruikersnaam en wachtwoord in te vullen, 121 gebruikers deden dit na de waarschuwing. Dit percentage is vergelijkbaar met uitkomsten van dergelijke onderzoeken bij andere gemeenten. De gemeente Utrecht zou graag zien dat de VNG/IBD een benchmark voor alle Nederlandse gemeenten opzet om als gemeenten van elkaar te kunnen leren op dit gebied. En daarbij geldt dat één gebruikersnaam en wachtwoord veelal voor een kwaadwillende al genoeg is om de digitale infrastructuur van een organisatie binnen te dringen. In januari 2020 was een groot deel van de medewerkers ook al niet alert op een poging van phishing.

Dat een groot deel van medewerkers van de gemeente Utrecht niet alert is op pogingen van phishing, was al bekend. In januari 2020 heeft de gemeente Utrecht namelijk ook een mailphishing simulatie laten uitvoeren.14 Maar liefst 3.418 medewerkers (80%) klikten op de link in deze phishing mail. Het bedrijf dat de actie uitvoerde concludeerde naar aanleiding van de actie dat medewerkers nog niet goed op de hoogte zijn van phishing inlogpagina’s.15 De resultaten van de actie uit januari zijn te vinden in onderstaande tabel 3.2. Tabel 3.2 Resultaten mail-phishing actie januari 2020

Aantal e-mails verstuurd

Aantal personen link geopend

Aantal personen gegevens achtergelaten

Aantal minuten tot eerste melding

4.277

3.418 (80%)

38 (1%)16

9

14 LBVD (17 februari 2020). Rapportage Phishlink-simulatie. Gemeente Utrecht. 15 Uit deze phishing-actie zijn zeven algemene en drie technische aanbevelingen gekomen, waaronder

“Continueer phishing e-mail-simulaties om medewerkers te blijven testen” (aanbeveling 2) en “Deel de resultaten van de phishing-actie met de medewerkers. Vertel hen wat zij zelf kunnen doen tegen een phishing-aanval en deel de beveiligingstips” (aanbeveling 3). 16 Omdat de gemeente het verstrekken van gegevens vroegtijdig heeft geblokkeerd maar wel het aantal personen dat de link opende heeft doorgeteld, ligt dit percentage erg laag.

22

Net als bij de actie in november werd bij deze simulatie een e-mail verzonden naar medewerkers van de gemeente Utrecht met daarin een link, waarna medewerkers werd gevraagd om in te loggen. Een verschil tussen de twee acties was dat in januari de mogelijkheid om gegevens achter te laten snel werd geblokkeerd door een medewerker van de gemeente Utrecht. Daardoor hebben in deze simulatie slechts 38 mensen hun gegevens kunnen achterlaten. Wel vormen zij 53% van het aantal klikkers (71) dat het onderzoeksbureau heeft geregistreerd tot aan de blokkade. In onze test van november 2020 is deze mogelijkheid niet afgesloten waardoor 950 personen hun inloggegevens konden achterlaten. Door deze interventie zijn de twee acties zijn dus niet volledig vergelijkbaar. Doordat men sinds de coronacrisis veel minder vaak fysiek met elkaar werkt, is er waarschijnlijk minder sociale controle onder collega’s. Mogelijk kan dit van invloed zijn geweest op de resultaten van de mail-phishing test van november 2020. Van twee van de vier verspreide USB-sticks werd door medewerkers de inhoud geopend. Een kwaadwillende kan hiermee toegang krijgen tot de betrokken computer. Ook bleek dat de fysieke beveiliging van en sociale controle op het Stadskantoor en Stadhuis de toegang van onbevoegden niet konden voorkomen. Op deze locaties was sommige geheime informatie niet veilig opgeborgen.

Het externe bureau heeft naast de mail-phishing actie ook twee pogingen ondernomen om gebouwen van de gemeente Utrecht – het Stadskantoor en het Stadhuis – te betreden en daar (gevoelige) informatie te verzamelen. Het bureau heeft daar USB-sticks verspreid, om te testen of medewerkers de inhoud van de USB-sticks zouden bekijken. Op de USB-sticks stond een verstopte afbeelding die verbinding kon maken met de webserver van de onderzoekers van het externe bureau. Bij de inlooptesten zijn vier USB-sticks achtergelaten. Van twee USB-sticks zijn daadwerkelijk bestanden geopend. Een kwaadwillende kan zo toegang tot een computer van het slachtoffer krijgen. In beide pogingen zijn de ‘mystery guests’ erin geslaagd om het gebouw te betreden. Op het Stadskantoor hebben de onderzoekers een dag-pas aangevraagd en ontvangen om door de beveiligingspoorten te komen. De onderzoekers zijn niet aangesproken op hun aanwezigheid en hebben (vertrouwelijke) informatie kunnen inzien. Zo hebben ze dossierkasten kunnen openen en informatie kunnen inzien. De onderzoekers hebben daarnaast een laptop van een medewerker mee kunnen nemen waarop een post-it met bijbehorend wachtwoord was bevestigd. Hierdoor kon eenvoudig toegang worden verkregen tot de laptop. Op het Stadhuis zijn de onderzoekers binnengekomen door achter een medewerker aan te lopen die de toegangsdeur opende.

Tijdens deze poging heeft de onderzoeker een hele dag in een kantoorruimte op het Stadhuis gewerkt, waarvan gedeeltelijk samen met een medewerker van de gemeente Utrecht. De onderzoeker heeft onder andere vanachter een computer van een van de medewerkers gewerkt toen diegene zijn/haar computer niet afgeschermd achterliet. 23

3.2.2

CULTUUR EN MELDINGEN

Uit het gedrag van medewerkers blijkt dat zij onvoldoende weten wat te doen bij incidenten. Zo blijkt uit de phishing actie van november 2020 dat 950 medewerkers hun gegevens achterlieten, maar er slechts 477 keer officieel melding van werd gedaan. In het huidige Beleid voor Gegevensbescherming 2019-2022 is de verantwoordelijkheid van medewerkers opgenomen dat zij beveiligingsproblemen of -incidenten signaleren en melden. Uit de mail-phishing actie (november 2020) blijkt echter dat 950 medewerkers hun gebruikersnaam en wachtwoord hebben achtergelaten, maar phishing slechts 477 keer centraal werd gemeld. In totaal zijn er als gevolg van de mail-phishing actie 136 bellers geregistreerd in het Serviceportaal en heeft de Servicedesk 341 e-mails ontvangen. Ook is het aantal gemelde datalekken tussen 2019 en 2020 afgenomen. De meldingsbereidheid is niet te achterhalen, omdat niet duidelijk is hoe vaak een datalek daadwerkelijk is voorgekomen. Uit cijfers van de functionaris gegevensbescherming – op basis van de vastgelegde meldingen in het zaaksysteem - blijkt het aantal meldingen van datalekken in de jaren 2019 en 2020 min of meer gelijk te zijn (zie tabel 3.3). Meldingen hebben bijvoorbeeld betrekking op verkeerd verstuurde e-mails of brieven. Het aantal unieke melders ligt in 2020 vooralsnog lager dan het jaar daarvoor.

De meldingsbereidheid ten opzichte van het totaalaantal incidenten is echter niet te achterhalen. Het is namelijk niet duidelijk hoe vaak bijvoorbeeld een datalek in de afgelopen jaren daadwerkelijk is voorgekomen. Volgens de gemeente is het, conform de definitie van de autoriteit persoonsgegevens (AP), ook niet mogelijk om het werkelijke aantal datalekken te kennen. Tabel 3.3 Datalekmeldingen 2019 en 2020 (tot 27 november)

2019

2020 (tot 27-11)

Totaal 2019 en 2020 (tot 27-11)

Aantal meldingen

140

110

250

Aantal unieke melders

54

32

72

Aantal meldingen top 10 melders

72

69

132

51%

63%

53%

Aandeel meldingen van top 10 melders

Bron: Gemeente Utrecht (27 november 2020). Datalekmeldingen 2019 en 2020.

Het aandeel van de top 10 personen met de meeste meldingen ligt in 2020 voorlopig hoger dan in 2019. In de praktijk worden meldingen relatief vaak gedaan door DISO’s en Informatie- en procesmanagers (IPM-ers). Ook worden datalekmeldingen vastgelegd in een

24

register dat openbaar beschikbaar moet zijn.17 Dit register is echter wegens gebrek aan middelen en capaciteit slechts tot eind 2018 geactualiseerd. De capaciteit is uitgebreid en de gemeente verwacht in Q1/Q2 van 2021 het register te kunnen aanvullen.18 Er is volgens geïnterviewden binnen de gemeente Utrecht wel sprake van een open cultuur. In het Beleid voor gegevensbescherming 2019-2022 onderschrijft de gemeente de tien bestuurlijke principes voor informatiebeveiliging19 van de VNG. Het eerste principe beschrijft dat bestuurders een veilige cultuur bevorderen, waarin men zich vrij voelt om risico’s te melden en maatregelen voor te stellen. Het belang van een open cultuur wordt ook benoemd in het Dreigingsbeeld Informatiebeveiliging 2021-2022 van de Informatiebeveiligingsdienst (IBD).20 Geïnterviewden geven aan dat er binnen de gemeente Utrecht sprake is van een open cultuur om incidenten en datalekken te melden en elkaar aan te spreken op de naleving van het beleid.21 Medewerkers worden gestimuleerd meldingen te doen van datalekken en incidenten, weten de weg en krijgen niet ‘op hun kop’ als zij een melding doen. Binnen de gemeente heerst het beeld dat mensen elkaar aanspreken en open zijn. De gemeente wijst verschillende plekken aan om meldingen te doen.

De rekenkamer is in het beleid en de communicatie van de gemeente Utrecht nagegaan op welke plek medewerkers beveiligingsproblemen en -incidenten dienen te melden. Er komen verschillende plekken naar voren. Er worden zowel de functionaris voor de gegevensbescherming22 en de servicedesk23, als leidinggevenden en DISO’s van een organisatieonderdeel24 genoemd. Volgens geïnterviewden van de gemeente dienen medewerkers via een webformulier melding te doen, maar er geldt bij de gemeente ook een ‘no-wrong-door policy’: waar men ook meldt, het is altijd goed dát men meldt. De rekenkamer heeft niet kunnen constateren of gegevens dan elders zijn doorgegeven. In haar ambtelijke reactie ligt de gemeente toe dat zij medewerkers meerdere kanalen biedt voor het melden van incidenten, met als reden het hen zo makkelijk mogelijk te maken en melden te stimuleren. Een aantal geïnterviewden antwoordt positief op de vraag of beveiligingsproblemen en -incidenten door medewerkers op de juiste plek worden gemeld.25 Een enkele geïnterviewde geeft aan mensen soms te wijzen op het feit dat meldingen ook centraal bij de servicedesk kunnen worden gedaan.26 17 Zie https://www.utrecht.nl/bestuur-en-organisatie/privacy/privacymelding/ 18 Rekenkamer Utrecht. Interview Gemeente Utrecht. 19

VNG (januari 2019). Baseline De 10 bestuurlijke principes voor informatiebeveiliging. Behorende bij de Baseline Informatiebeveiliging Overheid (BIO). 20 Hierin staat dat medewerkers zich veilig moeten voelen om onveilige situaties, incidenten of ongelukken te melden, en van incidenten moeten kunnen leren. 21 Rekenkamer Utrecht. Interviews gemeente Utrecht. 22 Gemeente Utrecht. Privacyverordening gemeente Utrecht. 23 Gemeente Utrecht (2019). Beleid accounts, authenticatiemiddelen en wachtwoorden Gemeente Utrecht. 24 Gemeente Utrecht Intranetpagina ‘Datalekken’. 25 Rekenkamer Utrecht. Interviews gemeente Utrecht. 26 Rekenkamer Utrecht. Interview gemeente Utrecht.

25

3.2.3

PROGRAMMA INFORMATIEBEWUSTZIJN

Tijdens het onderzoek is er geen centraal plan/programma voor medewerkers omtrent informatiebewustzijn. Uit onderzoek van de VNG blijkt dat bijna de helft van alle incidenten afkomstig is uit onbewust handelen van medewerkers.27 Daarom is het van belang dat de gemeente voldoende aandacht besteedt aan informatiebewustzijn onder medewerkers. Daarnaast is de gemeente wettelijk verplicht om medewerkers bepaalde informatie te verschaffen over veilig informatiegebruik.28 Ten tijde van het onderzoek is er binnen de gemeente Utrecht geen centraal plan of programma voor medewerkers omtrent informatiebewustzijn. Ook wordt de introductie op het onderwerp informatieveiligheid voorafgaand aan indiensttreding nog niet organisatie-breed opgepikt. Medewerkers ontvangen bij indiensttreding niet standaard informatie/instructies over veilig omgaan met informatie en gegevens. Dit soort instructies wordt daarnaast ook niet voor alle medewerkers tijdens het dienstverband periodiek herhaald. Wel bestaan er richtlijnen omtrent informatieveiligheid bij uitdiensttreding. Het lijnmanagement is verantwoordelijk voor “het direct wijzigen of blokkeren van toegangsrechten op informatiesystemen wanneer een medewerker van functie wisselt of uit dienst gaat” (p. 14).29 Informatiebewustzijn blijkt geen vast onderdeel te zijn van medewerkersgesprekken.

Ook worden er organisatie-breed geen opleidingen aangeboden omtrent informatieveiligheid en/of -bewustzijn. Medewerkers kunnen de landelijke training ‘i-bewustzijn’ volgen, maar onbekend is hoeveel medewerkers van de gemeente Utrecht dit doen of hebben gedaan. Er worden ad hoc acties uitgevoerd en organisatieonderdelen besteden op hun eigen manier aandacht aan het bewust omgaan met (gevoelige) informatie. Er is een aantal acties omtrent informatiebewustzijn meer ad hoc uitgevoerd. De acties die organisatie-breed zijn uitgevoerd betreffen bijvoorbeeld een mail-phishing test en twee drukbezochte dagen in het kader van privacy en informatieveiligheid. Naast deze acties trof de rekenkamer een Gebruikersprotocol Bewust Informatiegebruik (2018)30 aan en nog enkele beleidsstukken en richtlijnen op specifieke thema’s, zoals het gebruik van mobiele apparaten31 en wachtwoorden en accounts32. Met uitzondering van publicatie op het intranet, worden deze documenten niet structureel en actief gedeeld met 27

Gemeente Utrecht (1 juli 2019). Beleid voor gegevensbescherming Gemeente Utrecht 2019-2022, “Bescherming van het digitale DNA van de stad”. 28 Rekenkamer Utrecht. Interview gemeente Utrecht. 29 Gemeente Utrecht (1 juli 2019). Beleid voor gegevensbescherming Gemeente Utrecht 2019-2022, “Bescherming van het digitale DNA van de stad”. 30 In haar ambtelijke reactie geeft de gemeente aan dat het gebruikersprotocol wordt opgesteld, om een begrijpelijke vertaling voor medewerkers te maken. 31 Gemeente Utrecht (z.j.). Enterprise Mobility Management beleid gemeente Utrecht 32 Gemeente Utrecht (3 september 2019). Beleid accounts, authenticatiemiddelen en wachtwoorden Gemeente Utrecht.

26

medewerkers. Ook zijn er de centrale bewustwording, in de vorm van de totale communicatie over IT, en berichten op intranet.33 Op het intranet zijn daarnaast verschillende pagina’s te vinden omtrent veilig omgaan met informatie. Deze bevatten richtlijnen voor informatieveiligheid en antwoorden op veel gestelde vragen. Ook is er een speciale pagina omtrent ‘thuiswerken in coronatijd’. Deze pagina bevat informatie over o.a. veilig thuiswerken en digitale thuiswerk- en vergadertools. Over het gebruik van vergadertools zijn inmiddels ook regels vastgesteld door de directieraad.34 Er is vanuit de gemeente een algemeen protocol omtrent thuiswerken, maar dat is zeer verouderd. Een nieuw protocol is in concept beschikbaar en wordt door de Regiegroep gegevensbescherming verder uitgewerkt. Vanuit de coördinatie Integriteit is er in 2020 een nieuwe gedragscode ontwikkeld voor medewerkers. Informatiebeveiliging is hiervan een onderdeel. De gedragscode is echter alleen van invloed op medewerkers van de gemeente Utrecht, niet op ingehuurde, externe medewerkers. Dat geldt ook voor de introductiedag voor nieuwe medewerkers.

Daarnaast gebeuren er allerlei dingen op dit thema bij de organisatieonderdelen, zoals incidenten die onderling met medewerkers worden afgehandeld.35 Ook is de uitvoer van introductie op het onderwerp bij indiensttreding toebedeeld aan de afzonderlijke organisatieonderdelen.36 Sommige organisatieonderdelen geven nieuwe medewerkers standaard instructies, maar niet alle organisatieonderdelen doen dit.37 Zo wordt er voor het gebruik van SUWINET training geboden, is er een vakopleiding voor DISO’s en wordt er voor andere applicaties bij Werk en Inkomen extra ondersteuning geboden. Bij bepaalde organisatieonderdelen wordt tijdens het dienstverband de kennis van medewerkers bijgespijkerd en zijn specifieke thuiswerkafspraken gemaakt met medewerkers.38 Ten slotte wordt bij een enkel organisatieonderdeel periodiek aandacht aan informatiebewustzijn besteed in dag- en weekstarts, het werkoverleg en af en toe in individuele gesprekken.39 Aandacht voor informatiebewustzijn wordt door de afzonderlijke organisatieonderdelen dus wisselend ingevuld. Dit heeft ten dele te maken met het feit dat het ene organisatieonderdeel meer of op een andere manier met gevoelige informatie te maken heeft dan het andere. Een eerdere bewustwordingscampagne is in 2018 gestopt vanwege gebrek aan budget en het vertrek van de projectleider.

Het ontbreken van een centraal programma/plan omtrent informatiebewustzijn, heeft onder andere te maken met de beëindiging van een vorige bewustwordingscampagne uit 2015. Dit

33 Rekenkamer Utrecht. Interview gemeente Utrecht. 34 Rekenkamer Utrecht. Interview gemeente Utrecht. 35 Rekenkamer Utrecht. Interview gemeente Utrecht. 36 Rekenkamer Utrecht. Interview gemeente Utrecht. 37 Rekenkamer Utrecht. Interview gemeente Utrecht. 38 Rekenkamer Utrecht. Interview gemeente Utrecht. 39 Rekenkamer Utrecht. Interview gemeente Utrecht.

27

betrof de campagne over Bewust Informatie Gebruiken (BIG)40, welke vanwege een gebrek aan structurele middelen/budget en het vertrek van de vorige projectleider, in 2018 is gestopt. Volgens de rekenkamer beoordeelt de functionaris gegevensbescherming terecht dat de gemeente in 2018/2019 slechts deels voldeed aan de norm dat er voldoende aandacht is voor bewustwording en gedragsverandering. Er is in 2019 vanuit de stuurgroep voorgesteld om de bewustwordingscampagne met beperkte middelen voort te zetten. Dit heeft geleid tot twee opdrachten. De eerste was het organiseren van de dag van de gegevensbescherming. In de tweede opdracht zou een gereedschapskist voor gegevensbescherming voor leidinggevenden worden gemaakt en uitgerold in de organisatie.41 Deze opdracht is in gang gezet, maar niet goed verlopen, waardoor het eindproduct onbruikbaar was. Later is dit niet meer opgepakt.42 De gemeente wil intensiveren op dit gebied en bereidt sinds eind 2020 een nieuw bewustwordingsprogramma voor dat in 2021 uitgevoerd moet worden. Er is voorgesteld om te intensiveren op bewustzijn (awareness) en de gemeenteraad heeft bij de Eerste Bestuursrapportage 2020 middelen beschikbaar gesteld om het onderwerp structureel aandacht te geven en planmatig te benaderen.