20210407 Onderzoeksrapport informatieveiligheid.pdf

Er is voor een initiële periode van zes maanden een projectleider awareness aangesteld die een plan/bewustwordingsprogramma gaat ontwikkelen.43 Dit plan is inmiddels gepresenteerd aan de stuurgroep gegevensbescherming en wordt in 2021 geïmplementeerd.

Bewustwordingsprogramma 2021 In het nieuwe bewustwordingsprogramma is als insteek gekozen voor het verloop van een dienstverband (voorafgaand, tijdens, bij wijziging en bij beëindiging).44 Inhoudelijk staat voor dit programma een aantal zaken op de planning, zoals: een standaard informatiepakket voor nieuwe medewerkers, specifieke informatie voor bepaalde organisatieonderdelen, nul- en effectmetingen, workshops, e-learning, lezingen, werken met testimonials en ambassadeurs. Ook zal thuiswerken een plek krijgen in het nieuwe bewustwordingsprogramma.45 De gemeente ontwikkelt ook een strategische standaard voor gegevensbescherming binnen HR. Deze wordt momenteel afgestemd met de HR-organisatie en in 2021 geïmplementeerd. Het bevat de standaard diensten die de HR-functie aan organisatieonderdelen levert op het gebied van gegevensbescherming. Ook hierin wordt het verloop van een dienstverband gehanteerd als indeling. Volgens deze standaard zullen

40 Gemeente Utrecht (mei 2019). Gegevensbescherming in Utrecht. Jaarverslag van de Functionaris

Gegevensbescherming Gemeente Utrecht, 2018. 41 Gemeente Utrecht (19 december 2019). Raadsbrief Evaluatie jaarverslag functionaris gegevensbescherming. 42 Rekenkamer Utrecht. Interview gemeente Utrecht. 43 Rekenkamer Utrecht. Interviews gemeente Utrecht. 44 Rekenkamer Utrecht. Interview gemeente Utrecht. 45 Rekenkamer Utrecht. Interview gemeente Utrecht.

28

in de toekomst tijdens het dienstverband instructies over omgaan met gegevens periodiek worden herhaald, aangepast aan actuele risico’s en dreigingen. Ook staat erin vermeld dat het veilig en integer omgaan met gegevens door HR zal worden geïntegreerd in de ontwikkel- en beoordelingscyclus.

29

4

TECHNIEK: HOE DE GEMEENTE INFORMATIE TECHNISCH BEVEILIGT

In dit hoofdstuk beschrijven we de resultaten van de verschillende testen die het externe bureau heeft uitgevoerd op de technische beveiliging. Daarmee beantwoorden we de derde onderzoeksvraag: zijn de gegevens bij de gemeente Utrecht voldoende beschermd tegen de toegang door onbevoegden? En zo niet, wat zijn de risico’s en kwetsbaarheden en wat zijn daarvan de gevolgen voor burgers en ondernemers? In paragraaf 4.1 geven we de belangrijkste bevindingen weer. Deze bevindingen lichten we toe in paragraaf 4.2. Aan de hand van de bevindingen beoordelen we in tabel 4.1 de bijbehorende norm. Tabel 4.1 Normen en criteria thema ‘techniek’

Norm

Criteria

Beoordeling

Informatie/gegevens zijn goed beschermd tegen inbraak van buitenaf.

Systemen/applicaties doorstaan pentesten.

Zie bevinding 1, 2 en 3 (onderwerp Wifi-netwerken) van § 4.1

Medewerkers hebben een thuiswerkplek met adequate beveiliging.

Zie bevinding 3 van § 4.1

4.1

BELANGRIJKSTE BEVINDINGEN

1. Het is via het internet met externe penetratietesten niet gelukt om binnen te dringen in de gemeentelijke systemen. Deze tests toonden wel zes risico’s en kwetsbaarheden aan. Het feit dat er software aanwezig is die niet meer ondersteund wordt, is gekwalificeerd als kritiek risico. De mogelijkheid om als medewerker zelf een apparaat of telefoonnummer te registreren voor multifactor-authenticatie (inloggen in meerdere stappen) is een hoog risico. Bij een langdurigere aanval zouden de kwetsbaarheden door indringers misschien uitgebuit kunnen worden. 2. De interne penetratietesten hebben 17 risico’s en kwetsbaarheden aangetoond. Een deel van deze risico’s was al jaren bij de gemeente bekend. Hiermee loopt de gemeente Utrecht al langere tijd onnodig risico. Zo blijkt het mogelijk om digitaal in te breken in de werkstations van medewerkers. Deze kwetsbaarheid is ondanks de beschikbare beveiligingsupdates nog niet opgelost. 3. De Wifi-netwerken van de gemeente Utrecht hebben de penetratietesten doorstaan. De gemeente Utrecht weet niet van alle medewerkers of zij thuiswerken met veilige 30

apparatuur. De gemeente heeft bijna 2.500 laptops verstrekt, die worden vanwege de coronacrisis nu veel gebruikt om thuis te werken. Circa 375 laptops (15%) zijn goed beschermd tegen aanvallen in onveilige netwerken en bij diefstal en verlies. De circa 2.100 eerder verstrekte laptops zijn niet allemaal voorzien van de juiste beveiligingsmaatregelen. Medewerkers die geen laptop van de gemeente hebben geleend, werken waarschijnlijk op eigen apparatuur bij het thuiswerken. De gemeente heeft geen zicht op de beveiliging van deze apparatuur, maar biedt medewerkers een virtuele werkomgeving aan om zoveel mogelijk te voorkomen dat gegevens lokaal worden opgeslagen.

4.2

TOELICHTING OP DE BEVINDINGEN

4.2.1

RESULTATEN EXTERNE PENETRATIETESTEN

Het is via het internet met externe penetratietesten niet gelukt om binnen te dringen in de gemeentelijke systemen. Deze tests toonden wel zes risico’s en kwetsbaarheden aan. Het feit dat er software aanwezig is die niet meer ondersteund wordt, is gekwalificeerd als kritiek risico. De mogelijkheid om als medewerker zelf een apparaat of telefoonnummer te registreren voor multifactor-authenticatie (inloggen in meerdere stappen) is een hoog risico. Om de bescherming van gegevens tegen toegang voor onbevoegden te garanderen, is het van belang dat via internet (extern) geen toegang kan worden verschaft tot de systemen van de gemeente Utrecht. Om te onderzoeken of dit wel of niet mogelijk is, heeft het externe bureau externe penetratietesten uitgevoerd. Bij het uitvoeren van de externe testen is de blackbox-methode toegepast. Dit betekent dat de onderzoekers de testen uitvoeren zonder voorkennis over de systemen en applicaties die in gebruik zijn. Deze methode staat dicht bij de werkwijze van een kwaadwillende hacker. Het externe bureau heeft daarmee eerst de systemen moeten ontdekken waarbij de onderzoekers gestart zijn met een geautomatiseerde scan. De systemen van de gemeente bleken vanaf het internet in de periode van het onderzoek redelijk goed beveiligd. Voor het uitvoeren van de externe penetratietesten waren twee dagen beschikbaar.

Het is in die tijd niet gelukt om toegang te krijgen tot de systemen van de gemeente Utrecht. Er zijn wel zes kwetsbaarheden aan het licht gekomen. Deze kwetsbaarheden zijn omwille van de risico’s op het uitvallen van de systemen niet geëxploiteerd. De risico’s worden aan de hand van de formule waarschijnlijkheid x impact van een niveau voorzien. Figuur 4.2 laat zien dat er vijf niveaus zijn: informatief, laag, gemiddeld, hoog en kritiek.

31

Figuur 4.2 Indeling risiconiveaus

Impact

Laag

Waarschijnlijkheid Laag

Gemiddeld

Hoog

Informatief

Laag

Gemiddeld

Laag

Gemiddeld

Hoog

Gemiddeld

Hoog

Kritiek

Gemiddeld Hoog

Een kritiek risico heeft zowel een hoge waarschijnlijkheid dat deze door een kwaadwillende wordt uitgebuit als een hoge impact (schade) voor de organisatie. De niet meer ondersteunde software die nog aanwezig is, valt in deze categorie. Het feit dat Password Spraying niet mogelijk is, leidt ertoe dat deze in de categorie informatief is ingedeeld. De maatregelen die op dit punt door de gemeente Utrecht zijn getroffen volstaan op dit moment en dienen gehandhaafd en met regelmaat geëvalueerd te worden. Wij werken deze kwetsbaarheid daarom niet verder uit. Op de andere kwetsbaarheden geven wij een nadere toelichting. De kwetsbaarheden die gevonden zijn, staan in tabel 4.3 en worden onder de tabel toegelicht. Tabel 4.3

Bevindingen externe penetratietesten

Kwetsbaarheid

Risico

Niet meer ondersteunde software aanwezig

Kritiek

Registreren van multifactor-authenticatie mogelijk

Hoog

Ontbreken van security headers

Gemiddeld

Niet-ondersteunde versie scripttaal gedetecteerd

Gemiddeld

Verouderde Javascript-bibliotheek aangetroffen

Gemiddeld

Gegevens onnodig benaderbaar voor alle medewerkers

Gemiddeld

Password Spraying niet mogelijk

Informatief

Bron: Rapportage Hoffmann B.V., 2021

Niet meer ondersteunde software aanwezig (kritiek) Softwaresystemen die niet meer worden ondersteund ontvangen geen beveiligingsupdates meer. Hierdoor worden nieuwe en bestaande kwetsbaarheden niet meer verholpen. Deze softwaresystemen moeten vervangen worden door sofwaresystemen die wel door leveranciers worden ondersteund. Het externe bureau heeft bij de externe penetratietest software aangetroffen die mogelijk end-of-life is en daarmee mogelijk kwetsbaarheden bevat. In de rapportage gegevensbescherming van november 2020 zien we dat op dit punt – “patchstatus beheerde hard en software” – al in oktober 2018 een projectvoorstel is 32

ingediend. In 2019 heeft dit proces enige tijd stilgelegen, vanaf 2020 zijn hier scans aan toegevoegd om de kwetsbaarheden in beeld te brengen en is vervolgens uitvoering gegeven aan maatregelen. Eind 2020 is dit naar het oordeel van DomstadIT vrijwel afgerond (status 97%). Registreren multifactor-authenticatie mogelijk (hoog) Door deze kwetsbaarheid was het mogelijk om in te loggen op de digitale werkplekomgeving van Utrecht. Tweefactor-authenticatie is het minimale beveiligingsniveau. Wanneer het registreren van een eigen apparaat of telefoonnummer mogelijk is, kunnen kwaadwillenden als zij een gebruikersnaam en wachtwoord hebben bemachtigd ook eigen apparaten koppelen. Daarmee is het in de huidige situatie mogelijk om veilige en niet veilige omgevingen te vermengen. Ook deze kwetsbaarheid was bekend bij de gemeente. De consequentie is dat de betrouwbaarheid van informatie niet is te garanderen, omdat het eenvoudig mogelijk is om misbruik te maken van de toegang tot de informatie. Ontbreken van security headers (gemiddeld) Security headers helpen bezoekers van een website om hun browser weerbaar te maken tegen kwetsbaarheden. Op de website van de gemeente Utrecht ontbreken enkele headers. Deze websites zijn daarmee vatbaar voor mogelijke aanvallen van buitenaf. Deze kwetsbaarheid vinden wij niet terug in de rapportages van de gemeente Utrecht.

Niet-ondersteunde versie scripttaal gedetecteerd (gemiddeld) Het externe bureau heeft een versie van scripttaal aangetroffen die niet langer wordt ondersteund. Daarmee worden geen beveiligingsupdates meer vrijgegeven door de leverancier. Het gevolg is dat er waarschijnlijk beveiligingsproblemen bestaan. Verouderde Javascript-bibliotheek aangetroffen (gemiddeld) Er is een verouderde bibliotheek op de gemeentelijke website aangetroffen die kwetsbaarheden bevat. Kwaadwillenden kunnen deze in de toekomst mogelijk misbruiken door er malware aan toe te voegen. Gegevens onnodig benaderbaar voor alle medewerkers (gemiddeld) Het bleek tijdens de externe testen mogelijk om gegevens te benaderen die voor alle reguliere medewerkers beschikbaar zijn, maar niet nodig. Deze gegevens zijn bruikbaar voor kwaadwillenden om in de toekomst doelgerichte aanvallen uit te voeren. Bij een langduriger aanval zouden de kwetsbaarheden door indringers misschien uitgebuit kunnen worden. In de beschikbare onderzoekstijd is het weliswaar niet gelukt om van buitenaf in te breken op de websites van de gemeente, maar kwaadwillenden zouden bij een langere periode de gevonden kwetsbaarheden misschien uit kunnen buiten. Als het lukt om de systemen binnen te dringen, kunnen gegevens worden misbruikt. Inwoners en ondernemers lopen daarmee 33

het risico dat (bijzondere) persoonsgegevens in handen komen van derden die daar geen inzage in mogen hebben.

4.2.2

RESULTATEN INTERNE PENETRATIETESTEN

De interne penetratietesten hebben 17 risico’s en kwetsbaarheden aangetoond. Een deel van deze risico’s was al jaren bij de gemeente bekend. Hiermee loopt de gemeente Utrecht al langere tijd onnodig risico. Zo blijkt het mogelijk om digitaal in te breken in de werkstations van medewerkers. Deze kwetsbaarheid is ondanks de beschikbare beveiligingsupdates nog niet opgelost. Om te onderzoeken of er vanuit het netwerk van de gemeente Utrecht (intern) onbevoegd toegang kan worden verschaft tot gegevens, heeft het externe bureau interne penetratietesten uitgevoerd. In tegenstelling tot bij de externe pentesten, is het externe bureau er bij de interne pentesten wel in geslaagd om zonder voorkennis deels ongeautoriseerd toegang te krijgen tot de systemen van de gemeente. Er zijn in totaal 17 kwetsbaarheden geconstateerd. Omdat kwetsbaarheden in sommige gevallen nauw op elkaar aansluiten, zijn deze geclusterd opgenomen in tabel 4.4. Vier clusters vallen in de categorie kritiek en vier vallen in de hoog risico categorie. Daarnaast is er een risico geconstateerd in de categorie gemiddeld. Hierna lichten we de kwetsbaarheden nader toe. Tabel 4.4 Bevindingen interne penetratietesten

Kwetsbaarheid

Risico

Werkstations onveilig

Kritiek

Ontbrekende beveiligingsupdates niet toegepast

Kritiek

Verouderde besturingssystemen aanwezig

Kritiek

Serviceaccounts onvoldoende beschermd

Kritiek

Ontbreken multifactor-authenticatie

Hoog

Zwakke wachtwoorden en beheer onvoldoende veilig

Hoog

Ontbreken netwerk-authenticatie

Hoog

Systemen kwetsbaar voor spoofing

Hoog

Ontbreken harddisk encryptie

Gemiddeld

Bron: Rapportage Hoffmann B.V., 2021

Werkstations onveilig (kritiek) Het externe bureau heeft van de gemeente Utrecht de resultaten van eerder uitgevoerde kwetsbaarhedenscans ontvangen. Daaruit kwam een al langer bekende kwetsbaarheid uit 2017 naar voren. In die periode is deze kwetsbaarheid actief misbruikt om andere grote 34

organisaties mee in de problemen te brengen door de bestanden te versleutelen (ransomware). Het externe bureau heeft van deze kwetsbaarheid gebruik kunnen maken om ongeautoriseerd toegang te krijgen tot enkele werkstations. De gemeente Utrecht was al langer bekend met deze kwetsbaarheid, maar heeft deze – ondanks de beschikbare beveilingsupdates die zijn uitgebracht – niet opgelost. De gemeente geeft als reden dat door een ongelukkige samenloop van omstandigheden deze kwetsbaarheid niet is aangepakt.46. Vervolgens zijn verschillende andere kwetsbaarheden in het systeem geconstateerd die kwaadwillenden uiteindelijk toegang zouden kunnen geven tot de accounts. Het gevolg van het binnendringen van de werkstations is dat het voor kwaadwillenden mogelijk is om live mee te kijken en screenshots te maken van de desktop van medewerkers van de gemeente die zijn ingelogd. Zo kon het externe bureau bijvoorbeeld meelezen met een HR-medewerker in de personeelsdossiers van de gemeente. Daarnaast was het mogelijk om medewerkers te forceren om af te sluiten en opnieuw aan te melden. Daarmee zijn de gebruikersnamen en (versleutelde waarden van) wachtwoorden van deze medewerkers buitgemaakt. Het bleek vervolgens ook mogelijk om in de werkomgeving met scripttaal verder te werken. Zo kan er bij de gemeente Utrecht via Internet Explorer een tekstbestand op worden geslagen op het bureaublad.

Hiermee kunnen beheertaken op de werkstations worden uitgevoerd. Met behulp van de scripttaal is het vervolgens ook mogelijk om zogeheten tickets van serviceaccounts op te vragen. Medewerkers hebben daar bij de gemeente Utrecht geen speciale privileges voor nodig. Er kan vervolgens offline geprobeerd worden om de tickets te kraken. En als dat lukt hebben kwaadwillenden het wachtwoord van de serviceaccounts die niet aan een persoon maar aan een systeem(service) gekoppeld zijn. Ontbrekende beveiligingsupdates niet toegepast (kritiek) Op een aantal systemen bleken geen beveiligingsupdates toegepast die wel beschikbaar zijn. Er zijn verouderde applicaties aangetroffen die bekende kwetsbaarheden bevatten. Voor een aantal van deze kwetsbaarheden is ook een code gepubliceerd waarmee deze kunnen worden uitgebuit. Ontbrekende beveiligingsupdates kunnen in veel gevallen leiden tot ongeautoriseerde toegang tot systemen en gegevens. Verouderde besturingssystemen aanwezig (kritiek) Er zijn besturingssystemen aangetroffen die end-of-life zijn. Dit houdt in dat het systeem niet meer ondersteund wordt door de leverancier en dat er geen beveiligingsupdates meer voor worden uitgebracht. De gemeente Utrecht heeft bij de leverancier de ondersteuning verlengd (extended support) waarmee nog wel beveiligingsupdates beschikbaar worden gesteld.

Maar het externe bureau wijst erop dat kwaadwillenden anticiperen op verouderde besturingssystemen door via kwetsbaarheden in de digitale infrastructuur binnen (proberen) te dringen. 46 Rekenkamer Utrecht. Interview gemeente Utrecht.

35

Serviceaccounts onvoldoende beschermd (kritiek) Het externe bureau is erin geslaagd de inloggegevens voor serviceaccounts te achterhalen, zie ‘Zwakke wachtwoorden en beheer onvoldoende veilig’. Met deze serviceaccounts is toegang gekregen tot enkele systemen en zijn er versleutelde wachtwoorden achterhaald van zogeheten admin accounts. Hiermee is toegang verkregen tot een beperkt gedeelte van het netwerk. Ontbreken multifactor-authenticatie (hoog) Omdat er geen multifactor-authenticatie wordt afgedwongen is het intern zeer eenvoudig om met achterhaalde gebruikersnamen en wachtwoorden in te loggen. Zo kan ingelogd worden op de webmail en de werkomgeving van medewerkers. Met name voor systemen die benaderbaar zijn via het internet is het belangrijk om multifactor-authenticatie toe te passen. De gemeente was al langer op de hoogte van deze kwetsbaarheid bij de webmail, maar kon dit technisch niet oplossen. De infrastructuur was daarvoor niet up-to-date genoeg. In februari 2021 is de tweefactor-authenticatie op de webmail doorgevoerd.47 Zwakke wachtwoorden en beheer onvoldoende veilig (hoog) Het bleek dat veel wachtwoorden bij de gemeente Utrecht zwak waren en gekraakt konden worden door het externe bureau. Van de 137 versleutelde waarden van de wachtwoorden (hashes) is het bij 49 gelukt om deze te kraken (36%).

In het ambtelijk wederhoor merkt de gemeente hierbij op dat er tegen de 10.000 accounts (users, services, applicaties, etc.) zijn. Er is daarnaast een password spraying48 aanval uitgevoerd, waarbij met voor de hand liggende wachtwoorden geprobeerd wordt in te loggen op serviceaccounts. Hiermee is het daadwerkelijk gelukt een wachtwoord te raden, omdat dit wachtwoord ook zwak bleek. In het beheer van de wachtwoorden zijn kwetsbaarheden aangetroffen. Zo zijn er wachtwoorden gevonden in een gedeelde (netwerk)map. Ook in een veelgebruikt softwareprogramma zijn (initiële) wachtwoorden in leesbare tekst aangetroffen. Er is niet gecontroleerd of deze wachtwoorden ergens anders gebruikt konden worden, maar het wordt afgeraden om wachtwoorden op te slaan in leesbare bestanden. Ontbreken netwerk-authenticatie (hoog) Netwerk-authenticatie zorgt ervoor dat een gebruiker pas toegang krijgt tot het gemeentelijke netwerk nadat de gebruiker is ingelogd. Dit ontbreekt op een aantal specifieke beheerwerkplekken. Hierdoor kon via een fysieke toegang tot een netwerkpoort een IP-adres verkregen worden. Het externe bureau heeft op deze manier ongeautoriseerde apparatuur met het netwerk kunnen verbinden. Kwaadwillenden kunnen met de fysieke toegang tot het netwerk verkenningen en aanvallen uitvoeren. 47 Rekenkamer Utrecht. Interview gemeente Utrecht.

48 Een techniek waarbij een aanvaller veelgebruikte wachtwoorden probeert om op een account in te loggen.

36

Systemen kwetsbaar voor spoofing (hoog) Het bleek eenvoudig om door middel van spoofing (een andere identiteit aannemen) de gebruikersnaam en het wachtwoord van een medewerker te verkrijgen. Het systeem van het externe bureau werd gekoppeld aan de medewerker die vervolgens de vraag kreeg om zich te authentiseren. Door dit vervolgens te kraken kon de onderzoeker geldige inloggegevens bemachtigen. Ontbreken van harddiskencryptie (gemiddeld) De harde schijf van het werkstation van de gemeente Utrecht bleek niet versleuteld. Doordat het systeem toegankelijk is als opgestart wordt vanaf een USB-stick, zijn via die weg versleutelde wachtwoorden en gebruikersnamen te achterhalen. Het wachtwoord dat daarvoor nodig is was eerder in de testen al buitgemaakt. Bij het grote werkstation is geen wachtwoord ingesteld. Door de gevonden kwetsbaarheden langer uit te buiten kunnen kwaadwillenden de digitale infrastructuur van de gemeente Utrecht verder binnendringen. En door een langere periode mee te kijken met medewerkers kan veel gevoelige informatie worden buitgemaakt. De gegevens van inwoners en ondernemers zijn daarmee onvoldoende beschermd tegen misbruik door derden. Het misbruiken van (bijzondere) persoonsgegevens kan in de persoonlijke levenssfeer grote gevolgen hebben.

4.2.3

RESULTATEN TESTEN WIFI-NETWERKEN EN LAPTOP

De Wifi-netwerken van de gemeente Utrecht hebben de penetratietesten doorstaan. Het externe bureau heeft een penetratietest uitgevoerd op het WiFi-netwerk van de gemeente Utrecht. Het is de onderzoekers niet gelukt om gebruikersnamen en wachtwoorden op te vangen. Daarnaast is een draadloos netwerk onderzocht waarbij het ook niet is gelukt om het wachtwoord te achterhalen. Daarmee concludeert het externe bureau dat de gemeente Utrecht de beveiliging op dit onderdeel goed op orde heeft. De gemeente Utrecht weet niet van alle medewerkers of zij thuiswerken met veilige apparatuur. De gemeente heeft bijna 2.500 laptops verstrekt, die worden vanwege de coronacrisis nu veel gebruikt om thuis te werken. Circa 375 laptops (15%) zijn goed beschermd tegen aanvallen in onveilige netwerken en bij diefstal en verlies. De circa 2.100 eerder verstrekte laptops zijn niet allemaal voorzien van de juiste beveiligingsmaatregelen. Sinds het begin van de coronacrisis zijn de meeste medewerkers van de gemeente Utrecht thuis gaan werken, onder andere met laptops die door de gemeente zijn verstrekt. In februari 2021 waren in totaal bijna 2.500 laptops door de gemeente uitgegeven. Sinds november 37

2020 worden deze alleen nog beheerd en beveiligd uitgeleverd en nieuwe laptops zijn daarmee beschermd tegen aanvallen in onveilige netwerken en bij diefstal en verlies. Het gaat dan om circa 375 laptops. De rekenkamer heeft een laptop die onlangs aan een van de medewerkers was verstrekt laten onderzoeken door het externe bureau. Daaruit bleek dat het mogelijk is om de laptop vanaf een USB-stick op te starten (laag risico). De harde schijf is voorzien van harddisk encryptie, waarmee de informatie versleuteld is en de inhoud niet bekeken kan worden. De bijna 2.100 eerder verstrekte laptops zijn, in tegenstelling tot de nieuwe laptops, niet allemaal voorzien van de juiste beveiligingsmaatregelen. Op een deel van deze laptops is sprake van achterstallig onderhoud: er ontbreekt harddiskencryptie en USB-poorten zijn nog toegankelijk. Medewerkers die geen laptop van de gemeente hebben geleend, werken waarschijnlijk op eigen apparatuur bij het thuiswerken. De gemeente heeft geen zicht op de beveiliging van deze apparatuur, maar biedt medewerkers een virtuele werkomgeving aan om zoveel mogelijk te voorkomen dat gegevens lokaal worden opgeslagen. Gezien het aantal uitgegeven laptops kan er van uit worden gegaan dat er ook veel medewerkers werken op privé apparatuur. Hiervan is de status van de beveiliging voor de gemeente onbekend.

De gemeente hanteert een bring-your-own-device beleid en heeft daarmee minder controle op hoe medewerkers met privé devices omgaan. Dit risico wil de gemeente mitigeren door medewerkers een virtuele werkomgeving aan te bieden. Dit moet zoveel mogelijk voorkomen dat gegevens lokaal worden opgeslagen. Ook zijn er geen eisen gesteld aan de beveiliging van wifi-netwerken bij mensen thuis. Om in het begin van de coronacrisis de bedrijfscontinuïteit niet te veel te dwarsbomen, heeft de gemeente een aantal veiligheidsrisico’s omtrent vergadertools geaccepteerd. Inmiddels zijn er maatregelen genomen om drie vergadertools (Microsoft Teams, Zoom en GoToMeeting) zo veilig mogelijk aan te bieden.49 Echter, om het netwerk niet te overbelasten, moeten deze vergadertools vooral buiten de werkomgeving worden gebruikt. Hierdoor bestaat het risico dat medewerkers toch buiten de beveiligde werkomgeving blijven werken. Op eigen telefoons en tablets kunnen medewerkers alleen gebruik maken van gemeentelijke informatie als zij de IT beveiligingssoftware van de gemeente accepteren.

49 Rekenkamer Utrecht. Interview gemeente Utrecht.

38

BIJLAGE 1 AFKORTINGEN Afkorting

Betekenis

AVG

Algemene Verordening Gegevensbescherming

BCM

Business Continuity Management

BIA

Business Impact Analyse

BIG

Bewust Informatie Gebruiken

BIO

Baseline Informatiebeveiliging Overheid

BSN

Bedrijfsvoerings- en Strategienetwerk

B&W

Burgemeester en wethouders

CIO

Chief Information Officer

CISO

Chief Information Security Officer

CPO

Chief Privacy Officer

CZ

Culturele Zaken

DISO

Decentrale Informatie en Security Officer

DPIA

Data Protection Impact Assessment

FG

Functionaris Gegevensbescherming

HR

Human Resources

HRM

Human Resource Management

IB

Interne bedrijven

IBD

Informatiebeveiligingsdienst

ICT

Informatie- en communicatietechnologie

IPM

Informatie- en procesmanagement / Informatie- en procesmanager

IRM

Integraal Resultaatverantwoordelijk Manager

IT

Informatietechnologie

MO

Maatschappelijke Ontwikkeling

OOR

Ontwikkelorganisatie Ruimte

ORA

Operationele risicoanalyse

PBZ

Publiekszaken

PRA

Privacy risicoassessment

RO

Raadsorganen

SB

Stadsbedrijven

TRA

Tactische risicoanalyse

39

UVO

Utrechtse Vastgoed Organisatie

VG

Volksgezondheid

VLG

Veiligheid

VNG

Vereniging van Nederlandse Gemeenten

VTH

Vergunningen, Toezicht en Handhaving

W&I

Werk en Inkomen

40

BIJLAGE 2 ONDERZOEKSVERANTWOORDING GERAADPLEEGDE PERSONEN

Gemeente Utrecht, ambtelijke organisatie: ▪ Leden Stuurgroep Gegevensbescherming ▪ Leden Regiegroep Gegevensbescherming ▪ Bedrijfsvoerings- en Strategienetwerk ▪ IRM Werk en Inkomen ▪ IRM Utrechtse Vastgoed Organisatie ▪ Clustermanager Veiligheid ▪ IPM Publiekszaken ▪ IPM Veiligheid ▪ DomstadIT GERAADPLEEGDE DOCUMENTEN

Gemeentelijke documenten (chronologisch): ▪ ▪ ▪ ▪ ▪ ▪ ▪ ▪ ▪ ▪

Gemeente Utrecht (september 2014). Strategisch Informatiebeveiligingsbeleid Gemeente Utrecht 2014 – 2018 “Betrouwbaar en Vertrouwd”. Gemeente Utrecht (september 2014). Tactische Richtlijnen Informatiebeveiliging Gemeente Utrecht “Betrouwbaar en Vertrouwd”. Gemeente Utrecht (14 oktober 2014). Raadsbrief Concern Informatiebeveiligingsbeleid. Kenmerk 14.500285. Gemeente Utrecht (20 september 2018). Privacyverordening gemeente Utrecht. Gemeente Utrecht (mei 2019). Gegevensbescherming in Utrecht. Jaarverslag van de Functionaris voor Gegevensbescherming Gemeente Utrecht, 2018. Gemeente Utrecht (1 juli 2019). Beleid voor gegevensbescherming Gemeente Utrecht 2019 – 2022 “Bescherming van het digitale DNA van de stad”. Gemeente Utrecht (5 juli 2019). Raadsbrief Beleid voor gegevensbescherming 2019 – 2022. Gemeente Utrecht (3 september 2019). Beleid accounts, authenticatiemiddelen en wachtwoorden Gemeente Utrecht. Gemeente Utrecht (19 december 2019). Raadsbrief Evaluatie jaarverslag functionaris gegevensbescherming. Gemeente Utrecht (z.j.). Enterprise Mobility Management beleid Gemeente Utrecht.

Interne documenten Gemeente Utrecht (chronologisch): ▪ Gemeente Utrecht (24 mei 2018). Gebruikersprotocol Bewust informatie gebruik. ▪ Gemeente Utrecht (23 mei 2019). GBMS Gemeente Utrecht – Managementsysteem voor gegevensbescherming, “Bescherming van het digitale DNA van de stad”. ▪ Gemeente Utrecht (30 januari 2020). Plan Informatiebeheer & Gegevensbescherming 2020 Veiligheid. ▪ LBVD (17 februari 2020). Rapportage Phishlink-simulatie. Gemeente Utrecht. 41

▪ ▪ ▪ ▪ ▪ ▪ ▪ ▪ ▪ ▪ ▪ ▪

Gemeente Utrecht (27 juli 2020). Aandacht voor integriteit. Jaarverslag 2019. Gemeente Utrecht (19 juni 2020). Eerste Bestuursrapportage. Gemeente Utrecht (15 september 2020). Strategische standaard gegevensbescherming – HR-functie. Gemeente Utrecht (november 2020). Rapportage Gegevensbescherming november 2020. Gemeente Utrecht (24 november 2020). Presentatie ‘Strategie bewustwording t.a.v. privacy & gegevensbescherming’. Gemeente Utrecht (27 november 2020). Datalekmeldingen 2019 en 2020. Gemeente Utrecht (december 2020). Programma Dasboard 2021. Gemeente Utrecht (1 december 2020). Risico en Beheersing Matrix – Strategische risico’s gegevensbescherming. Gemeente Utrecht (z.j.). Betrouwbaar werken voor Utrecht. Gedragscode voor iedereen die werkt bij de gemeente Utrecht. Gemeente Utrecht (z.j.). Informatiebeheer- en beveiligingsplan 2020 Werk en Inkomen. Gemeente Utrecht (z.j.). Roadmap implementatie gegevensbescherming 2020-2021. Gemeente Utrecht (z.j.). Roadmap Implementatie gegevensbescherming 2019-2021.

Andere bronnen: ▪ Algemene Verordening Gegevensbescherming (AVG) ▪ Baseline Informatiebeveiliging Overheid (BIO) ▪ VNG (januari 2019). Baseline De 10 bestuurlijke principes voor informatiebeveiliging. Behorende bij de Baseline Informatiebeveiliging Overheid (BIO). Websites: ▪ https://www.utrecht.nl/bestuur-en-organisatie/privacy/privacymelding/

42

REKENKAMER UTRECHT wil bijdragen aan het verbeteren van het gemeentelijke bestuur en het versterken van de controlerende rol van de gemeenteraad. Dat doet de Rekenkamer via het doen van onafhankelijk onderzoek naar de doeltreffendheid en doelmatigheid van het gevoerde beleid en bestuur. Voor de inwoners van de gemeente Utrecht wil de Rekenkamer zichtbaar maken hoe publiek geld wordt besteed en wat er terecht komt van de voornemens van de gemeente.