20241212 Rekenkamerrapport_De mens als zwakste schakel

DE MENS ALS ZWAKSTE SCHAKEL EEN OPVOLGINGSONDERZOEK NAAR DE INFORMATIEVEILIGHEID VAN DE GEMEENTE UTRECHT

1

DE MENS ALS ZWAKSTE SCHAKEL EEN OPVOLGINGSONDERZOEK NAAR DE INFORMATIEVEILIGHEID VAN DE GEMEENTE UTRECHT

12 december 2024 Eindrapport

2

REKENKAMER UTRECHT LEDEN ▪

Paul Venhoeven (voorzitter)

▪

Sjoerd Keulen

▪

Nanda ‘t Lam

MEDEWERKERS ONDERZOEK ▪

Johan Snoei

▪

Vince van Houten

CONTACTGEGEVENS rekenkamer@utrecht.nl www.utrecht.nl/bestuur-en-organisatie/rekenkamer Postbus 16200, 3500 CE Utrecht

3

INHOUD Deel I Bestuurlijk rapport ................................................................................................................. 6 Onderzoek: Is de informatieveiligheid voldoende gewaarborgd?..................................................... 6

Conclusie: Informatieveiligheid is verbeterd, maar blijft door menselijk handelen kwetsbaar........... 8 Deelconclusie 1: Aanbevelingen uit rekenkameronderzoek 2021 grotendeels opgevolgd .......... 9 Deelconclusie 2: Technische risico’s uit 2021 beheerst, bij huidige testen geen kritieke risico’s aangetroffen .................................................................................................... 9 Deelconclusie 3: Informatiebewustzijn onder medewerkers nog altijd onvoldoende ................... 9 Deelconclusie 4: Onvoldoende centrale sturing op organisatie en processen .......................... 10

Aanbevelingen .............................................................................................................................. 11 Aanbeveling 1:

Beheers resterende technische risico’s en kwetsbaarheden zo spoedig mogelijk......................................................................................................... 11

Aanbeveling 2:

Voer verdere maatregelen uit om de fysieke beveiliging van gebouwen en het informatiebewustzijn van medewerkers te vergroten ..................................... 11

Aanbeveling 3:

Zet binnen de hele organisatie op de lange termijn in op een cultuurverandering ........................................................................................ 11

Aanbeveling 4:

Zorg voor meer centrale aansturing van het informatieveiligheidsbeleid ........ 12

Bestuurlijke reactie college van B&W ............................................................................................ 12

Nawoord rekenkamer .................................................................................................................... 16

Deel II Nota van bevindingen ........................................................................................................ 18 1

Inleiding: Opvolging en actualiteit........................................................................................... 18

2

Context: Centraal beleid wordt decentraal uitgevoerd ............................................................ 22 2.1 Risicogebaseerd werken uitgangspunt bij uitvoering .......................................................... 22 2.2 Opnieuw extra financiële middelen vrijgemaakt voor gegevensbescherming...................... 27 2.3 Organisatieonderdelen zelf verantwoordelijk voor omgaan met en leren van incidenten .... 29 2.4 Langs managementsysteem voor gegevensbescherming moet verantwoording worden afgelegd ............................................................................................................................... 30 4

3

Organisatie en proces: Wijzigingen vragen om verdere verbetering ....................................... 32 3.1 Op strategisch niveau ontbreekt een centraal sturingsmechanisme ................................... 33 3.2 Op tactisch en operationeel niveau geven organisatieonderdelen hun eigen invulling aan beleid ................................................................................................................................... 36

4

Mens: Maatregelen in opzet goed, in de praktijk nog te vrijblijvend ........................................ 43 4.1 Bewustwordingsplan vastgesteld, uitvoering maatregelen nog te vrijblijvend ..................... 44 4.2 Medewerkers kwetsbaar voor externe aanvallen ................................................................ 48

5

Techniek: Informatie beter beveiligd tegen digitale inbraken .................................................. 53 5.1 Digitale inbraken door technische maatregelen niet meer mogelijk .................................... 54 5.2 Thuiswerkplekken technisch goed beveiligd, gedrag op afstand niet controleerbaar .......... 61 5.3 Wisselende ervaringen met de fysieke beveiliging van gemeentelijke gebouwen ............... 63

6

Opvolging: Grotendeels op orde ............................................................................................ 66 6.1 Meeste maatregelen uitgevoerd, na sterk vertraagde uitvoering ......................................... 67 6.2 Rekenkamerrapport droeg bij aan urgentie van informatieveiligheid ................................... 68 6.3 Gemeenteraad goed door college geïnformeerd over opvolging raadsbesluit .................... 70

BIJLAGE 1 Afkortingen ................................................................................................................. 72 BIJLAGE 2 Onderzoeksverantwoording ........................................................................................ 74

5

DEEL I BESTUURLIJK RAPPORT ONDERZOEK: IS DE INFORMATIEVEILIGHEID VOLDOENDE GEWAARBORGD? Aanleiding Gemeenten verwerken steeds grotere hoeveelheden informatie. De laatste decennia gebeurt dat in allerlei gedigitaliseerde en geautomatiseerde systemen en programma’s. De verwerkte informatie bevat vaak (bijzondere) persoonsgegevens, zogeheten ‘kroonjuwelen’, die goed beschermd moeten zijn. De informatieveiligheid moet daarom op alle aspecten – in organisatie en proces, bij medewerkers en in de techniek – voldoende geborgd zijn. In 2021 voerde Rekenkamer Utrecht onderzoek uit naar de manier waarop de gemeente Utrecht invulling gaf aan die drie aspecten van informatieveiligheid. De uitkomsten daarvan gaven de rekenkamer aanleiding om het onderwerp te blijven volgen. We gaven in ons bestuurlijk rapport ook aan op een later moment een opvolgingsonderzoek uit te zullen voeren. Doel en centrale vraag Het doel van dit onderzoek is om de Utrechtse gemeenteraad inzicht te geven in de mate waarin de besluiten naar aanleiding van het rekenkamerrapport “Zo sterk als de zwakste schakel” zijn opgevolgd. Daarnaast besteden we aandacht aan aanvullende onderwerpen die in het onderzoek uit 2021 onderbelicht zijn gebleven. Het gaat onder meer om de managementinformatie, de afhandeling van incidenten, het gebruik van de gemeentelijke telefoons en de maatregelen om het thuiswerken te beveiligen.

De centrale vraag van het onderzoek is: In hoeverre heeft de gemeente Utrecht uitvoering gegeven aan de aanbevelingen van het rekenkameronderzoek uit 2021 en is de informatieveiligheid nu voldoende gewaarborgd? Werkwijze Het onderzoek is uitgevoerd in de periode februari 2024 tot en met juli 2024. Naast de documentstudie en analyse van beschikbare data hebben wij interviews gehouden met medewerkers van Informatie- en Procesmanagement (IPM) en andere medewerkers binnen de gemeentelijke organisatie die een verantwoordelijkheid dragen voor informatieveiligheid. Wij bedanken de betrokken medewerkers hartelijk voor hun bijdrage aan het onderzoek. We hebben daarnaast NFIR B.V. opdracht verleend voor het uitvoeren van testen om oneigenlijk toegang te krijgen tot digitale en fysieke informatie bij de gemeente. Een uitgebreide toelichting op de onderzoeksmethode is opgenomen in bijlage 1.

6

RAPPORT ‘DE MENS ALS ZWAKSTE SCHAKEL’

De informatieveiligheid is verbeterd, maar blijft door menselijk handelen kwetsbaar In 2021 zag de rekenkamer dat de informatieveiligheid bij de gemeente Utrecht niet op orde was. De rekenkamer heeft daarom nu opnieuw onderzoek gedaan. Daaruit blijkt dat de digitale beveiliging van informatie is verbeterd, maar dat het menselijk handelen nog steeds kwetsbaar is. Deelconclusie 2 Grote digitale kwetsbaarheden uit 2021 opgelost. Deelconclusie 1 Aanbevelingen uit rekenkamer­onderzoek 2021 grotendeels opgevolgd.

Deelconclusie 4 Gemeente stuurt niet genoeg op naleving van beleid door afdelingen.

Deelconclusie 3 Bewustzijn medewerkers niet verbeterd, staan nog steeds informatie af.

</>

Aanbevelingen om de informatieveiligheid te verbeteren de resterende digitale 1 Los kwetsbaarheden snel op. de beveiliging 2 Verbeter van gebouwen verder en vergroot het bewustzijn van medewerkers.

in op een cultuur­ 3 Zet verandering zodat medewer­

kers verantwoordelijk­heid nemen en actief onbekenden aanspreken.

voor betere naleving 4 Zorg van beleid door meer centraal te sturen.

CONCLUSIE: INFORMATIEVEILIGHEID IS VERBETERD, MAAR BLIJFT DOOR MENSELIJK HANDELEN KWETSBAAR Met ons onderzoek uit 2021 concludeerden we dat informatie binnen de gemeente Utrecht niet altijd goed beschermd was. We zagen met name op het gebied van de techniek en het menselijk handelen kritieke kwetsbaarheden. Op basis van de bevindingen van dit opvolgingsonderzoek komen we nu tot de volgende hoofdconclusie met vier deelconclusies. Wij formuleren hierbij ook vier aanbevelingen. Hoofdconclusie Met de technische kant van informatieveiligheid is de gemeente Utrecht de afgelopen jaren goed aan de slag gegaan. Zo zijn maatregelen genomen om de technische risico’s en kwetsbaarheden aan te pakken. De zeer kwetsbare werkstations van de medewerkers zijn vervangen. De afgelopen jaren zijn er ook meer analyses uitgevoerd om risico’s te identificeren. Daarnaast is de technische beveiliging bij het thuiswerken verbeterd door laptops en telefoons te verstrekken die door de gemeente worden beheerd. Organisatieonderdelen zijn zelf verantwoordelijk voor het identificeren en beheersen van de verschillende risico’s rond informatieveiligheid. Hierin zijn achterstanden ontstaan. Risico’s blijven mede daardoor lang bestaan. Zo is er op systemen nog verouderde software aanwezig die niet langer onderhouden wordt. Software wordt daardoor kwetsbaar en kan door hackers worden uitgebuit.

Vanuit de directie is hier te weinig op toegezien en gehandhaafd. Er is wel geïnvesteerd in de fysieke beveiliging van de gemeentelijke gebouwen en in het bewustzijn van de medewerkers, maar deze maatregelen schieten nog tekort. Het medewerkersgedeelte van het Stadskantoor blijkt op dit moment nog eenvoudig door onbevoegden te betreden en nog te weinig medewerkers gaan veilig met informatie om. Het menselijk handelen is de afgelopen jaren niet aantoonbaar verbeterd. De mens blijkt daarmee de zwakste schakel bij de informatieveiligheid, waardoor deze nog niet volledig is gewaarborgd. Aangekondigde maatregelen om het bewustzijn van medewerkers te vergroten zijn niet of te vrijblijvend doorgevoerd. Medewerkers staan tijdens phishing-acties nog steeds gevoelige informatie zoals inloggegevens af. En medewerkers spreken onbevoegden die gemeentelijke gebouwen weten te betreden niet aan, waardoor deze langere tijd binnen kunnen verblijven.

8

DEELCONCLUSIE 1: AANBEVELINGEN UIT REKENKAMERONDERZOEK 2021 GROTENDEELS OPGEVOLGD In 2021 zijn de zeven aanbevelingen van de rekenkamer unaniem overgenomen door de gemeenteraad. De gemeente was tijdens de behandeling van het rapport al gestart met het treffen van technische maatregelen om de geïdentificeerde kwetsbaarheden te beheersen. Die maatregelen zijn de afgelopen jaren verder doorgezet. De uitvoering van deze maatregelen heeft wel lang geduurd. Dit komt door een gebrek aan capaciteit, onvoldoende daadkracht, de organisatiecultuur en de grote financiële investeringen die voor een aantal maatregelen nodig waren. De gemeenteraad is in de afgelopen jaren wel goed over de voortgang geïnformeerd.

DEELCONCLUSIE 2: TECHNISCHE RISICO’S UIT 2021 BEHEERST, BIJ HUIDIGE TESTEN GEEN KRITIEKE RISICO’S AANGETROFFEN Vrijwel alle technische risico’s die in 2021 nog openstonden zijn opgelost. Er zijn daarmee geen kritieke risico’s meer aanwezig. Uit de nieuwe penetratietesten van dit onderzoek bleek wel dat er nog altijd verouderde software aanwezig is. Dit krijgt te weinig aandacht, terwijl het wel tot kwetsbaarheden leidt. De laptops en telefoons die door de gemeente worden beheerd en uitgegeven blijken technisch goed beveiligd. Door de invoering van multi-factor authenticatie is de informatieveiligheid bij het thuis- en op afstand werken van medewerkers sterk verbeterd. Dit geldt niet voor de fysieke beveiliging van het Stadskantoor. Onderzoeksbureau NFIR heeft in opdracht van de rekenkamer getracht zonder bevoegdheid het Stadskantoor en Stadhuis te betreden. Insluipers konden tijdens deze inlooptesten vrijwel altijd het Stadskantoor binnenkomen. De fysieke beveiliging van het Stadhuis is door de grote inspanningen sinds 2021 sterk verbeterd. Indringen was daardoor lastig, maar niet onmogelijk doordat medewerkers nog altijd onoplettend waren.

DEELCONCLUSIE 3: INFORMATIEBEWUSTZIJN ONDER MEDEWERKERS NOG ALTIJD ONVOLDOENDE Nog te weinig medewerkers gaan bewust om met informatie. Er zijn veel maatregelen genomen om dit te verbeteren, maar dit levert nog te weinig resultaten op omdat de uitvoering vrijblijvend is. Zo is deelname aan de e-learning – één van de belangrijkste maatregelen op dit aspect – te laag en zijn er aanzienlijke verschillen tussen organisatieonderdelen. Raads-, commissie- en fractieleden worden zelfs helemaal niet voor de e-learning uitgenodigd. Dat geldt ook voor de leden van de rekenkamer. De e-learning biedt daarnaast inhoudelijk te weinig maatwerk waardoor de aanpak niet altijd aansluit op de behoeften van de verschillende organisatieonderdelen. Daardoor is het gedrag van medewerkers onvoldoende veranderd. 9

Onderzoeksbureau NFIR heeft namens de rekenkamer testen uitgevoerd om het informatieveiligheidsbewustzijn van medewerkers te bepalen. Medewerkers trappen nog steeds in de USB-dropping en staan hun inloggegevens af tijdens de voice phishingtest. Ook de organisatiecultuur is onveranderd. Medewerkers spreken elkaar te weinig aan op ongewenst gedrag en onbekenden worden niet op hun aanwezigheid aangesproken.

DEELCONCLUSIE 4: ONVOLDOENDE CENTRALE STURING OP ORGANISATIE EN PROCESSEN Het thema informatieveiligheid is gedecentraliseerd naar de verschillende organisatieonderdelen. We zien daardoor een strategisch risico ontstaan: op dit moment ontbreekt het op sleutelposities aan overzicht, slagkracht en mandaat om met informatieveiligheid aan de slag te gaan. De voortgang van maatregelen duurt daardoor lang en hangt te veel af van de bereidwilligheid van leidinggevenden en de individuele medewerkers. Naleving wordt niet ‘van bovenaf’ afgedwongen. Dat leidt ertoe dat de gemeente niet altijd in control is, bijvoorbeeld als het gaat om het leveranciers- en contractmanagement. Hierdoor kan verouderde software op de IT-systemen aanwezig blijven die niet meer door de leverancier wordt ondersteund (end-of-life). Dit maakt systemen onnodig kwetsbaar. In 2021 stond de gemeente Utrecht nog aan het begin van het risicogebaseerd werken. Met deze methode zouden geïdentificeerde risico’s moeten worden geclassificeerd (hoe groot is het risico?), afgewogen en vervolgens wel of niet worden beheerst (teruggebracht naar een acceptabel niveau). In de praktijk zien we dat er inmiddels meer risicoanalyses worden uitgevoerd om risico’s te identificeren, maar blijven achterstanden bestaan. Op tactisch niveau worden risico’s geïdentificeerd die op een heel organisatieonderdeel van toepassing zijn.

Wij constateren dat voor een meerderheid van de geïdentificeerde tactische risico’s geen beheersmaatregelen worden genomen. Deze risico’s staan ook vaak al (te) lang open. En het wordt onvoldoende duidelijk of er een risicogebaseerde afweging ten grondslag ligt aan de tactische risico’s die wél zijn beheerst. We kunnen door een gebrek aan informatie ook niet vaststellen hoe het er met het beheersen van de geïdentificeerde operationele risico’s voor staat. Dit zijn risico’s die van toepassing zijn op één proces of applicatie binnen een organisatieonderdeel. Organisatieonderdelen worden bij het verbeteren van de informatieveiligheid ondersteund door gemeentelijke medewerkers van informatie- en procesmanagement. Deze ondersteuning wordt niet risicogebaseerd verdeeld. Dat leidt ertoe dat organisatieonderdelen die met cruciale systemen werken – zoals de basisregistratie personen of privacygevoelige informatie zoals uitkeringsinformatie – niet per definitie meer ondersteuningsinzet krijgen. Organisatieonderdelen leren daarnaast op hun eigen manier van beveiligingsincidenten,

10

maar leren door een gebrek aan kennisuitwisseling en een centraal registratiesysteem niet van elkaar.

AANBEVELINGEN Op basis van de hiervoor toegelichte hoofdconclusie en de vier deelconclusies doen we vier aanbevelingen verdeeld over de drie aspecten techniek (aanbeveling 1), mens (2 en 3) en organisatie (4). Omdat de mens de zwakste schakel is bij informatieveiligheid hebben we voor dit aspect twee aanbevelingen geformuleerd: één voor de korte en één voor de lange termijn.

AANBEVELING 1: BEHEERS RESTERENDE TECHNISCHE RISICO’S EN KWETSBAARHEDEN ZO SPOEDIG MOGELIJK Kijk daarbij met voorrang naar de kwetsbaarheden met de hoogste risico’s, zoals de verouderde software die bij herhaling is aangetroffen.

AANBEVELING 2: VOER VERDERE MAATREGELEN UIT OM DE FYSIEKE BEVEILIGING VAN GEBOUWEN EN HET INFORMATIEBEWUSTZIJN VAN MEDEWERKERS TE VERGROTEN Geef bij het verbeteren van de fysieke beveiliging voorrang aan de gebouwen met een publieksfunctie en waar met gevoelige informatie wordt gewerkt. Het gaat dan met name om het Stadskantoor en het Stadhuis. Handhaaf het minimale niveau voor de e-learning om op de korte termijn het informatiebewustzijn onder medewerkers te vergroten, ook voor de leden van gemeenteraad en personen die hen ondersteunen. En voer de maatregelen uit het programma informatiebewustzijn consequent uit. Herhaal maatregelen die de bewustwording vergroten. Vooral het uitvoeren van phishing- en penetratietesten zijn een must om het bewustzijn blijvend te vergroten en de enige echte test om de robuustheid van de informatiebeveiliging te meten.

AANBEVELING 3: ZET BINNEN DE HELE ORGANISATIE OP DE LANGE TERMIJN IN OP EEN CULTUURVERANDERING Rondom het menselijk handelen op informatieveiligheid moet de organisatie van een cultuur van toezien en afwachten naar een cultuur van actief aanspreken en verantwoordelijkheid nemen. Die verandering moet breder worden ingezet dan alleen met de huidige focus op nieuwe medewerkers via het introductieprogramma.

11

AANBEVELING 4: ZORG VOOR MEER CENTRALE AANSTURING VAN HET INFORMATIEVEILIGHEIDSBELEID Dwing naleving en uitvoering van beleid met centrale sturing af, waarbij ook ruimte is voor maatwerk per organisatieonderdeel. Verbeter het risicogebaseerd werken door ondersteuningscapaciteit op basis van risico’s en gebruik van cruciale systemen aan de organisatieonderdelen toe te wijzen. Richt de registratie- en managementinformatiesystemen uniform in, zodat gemeentebreed inzicht bestaat in de ontwikkelingen en incidenten, en zodat daarmee effectiever geleerd en verbeterd kan worden.

BESTUURLIJKE REACTIE COLLEGE VAN B&W Wij danken u voor het toesturen van uw rapport De mens als zwakste schakel - Een opvolgingsonderzoek naar de Informatieveiligheid van de gemeente Utrecht. U heeft onderzocht in hoeverre wij de aanbevelingen uit het vorige rekenkameronderzoek hebben opgevolgd en of de informatieveiligheid voldoende geborgd is. We spreken onze waardering uit voor uw grondige analyse. Uw rapport geeft ons waardevolle inzichten die we kunnen gebruiken in de doorlopende verbetering van informatieveiligheid. Conclusie In een steeds verder digitaliserende stad als Utrecht is informatieveiligheid niet alleen een technische noodzaak, maar een fundamenteel onderdeel van onze maatschappelijke verantwoordelijkheid. Het is als onderdeel van het geheel van gegevensbescherming essentieel voor het vertrouwen van onze burgers, het beschermen van hun rechten en vrijheden, en het realiseren van onze missie voor een gezond stedelijk leven voor iedereen. Het doet ons daarom deugd dat u oordeelt dat de technische beveiliging en de fysieke beveiliging van het Stadhuis sterk verbeterd zijn. We onderschrijven deze conclusie. We hebben in de afgelopen jaren geïnvesteerd in het oplossen en structureel beheersen van de grootste technische risico’s. Dit is een complexe opgave die inzet van vele professionals vraagt.

Uw onderzoek en conclusies laten zien dat deze inzet zijn vruchten afwerpt. Tegelijk laat uw onderzoek zien dat er nog steeds kwetsbaarheden zijn. Uw onderzoek bevestigt dat informatieveiligheid blijvende aandacht nodig heeft. Het laat zien dat hier met name sprake van is bij het bewustzijn onder medewerkers, de fysieke beveiliging van het Stadskantoor en de centrale aansturing van informatieveiligheid. We herkennen het beeld dat u schetst en de conclusies die u daarover trekt. Hieronder gaan wij in op de aanbevelingen die u doet. De huidige financiële situatie van de gemeente kan hierbij niet onbenoemd blijven. Er is geen extra geld beschikbaar om aanbevelingen uitgebreid aan te pakken. Sterker nog, er moeten nog besparingen worden 12

gerealiseerd en er zal moeten worden geprioriteerd. De opvolging van de aanbevelingen moet dan ook in dat licht worden bezien. We zetten bestaande middelen optimaal in om de aanbevelingen te realiseren, maar doen dit risicogestuurd. Dat wil zeggen dat we de grotere risico’s sneller adresseren dan de lagere risico’s. We doen daarbij doorlopend de afweging van de kosten van maatregelen versus de te verwachten afname van risico’s. Dit kan ook betekenen dat we soms bewust besluiten om risico’s (nog) niet te adresseren maar ze expliciet te accepteren. Aanbevelingen Aanbeveling 1: Beheers resterende technische risico’s en kwetsbaarheden zo spoedig mogelijk. Aanbeveling 1 nemen wij over. We hebben een vast intern proces voor het identificeren, beheren en bewaken van technische kwetsbaarheden. Wij hebben deze kwetsbaarheden in dat proces opgenomen. De opvolging van technische risico’s en kwetsbaarheden wordt geprioriteerd aan de hand van het corresponderende risiconiveau. We hanteren hierbij een richttijd van één tot twee maanden voor kwetsbaarheden in de categorie Hoog, zes maanden voor de categorie Midden en een best effort inzet op de categorie Laag. Ons proces voor het beheersen van technische kwetsbaarheden wordt op dit moment uitgebreid zodat we beter in staat zijn om ook door externe partijen gemelde technische kwetsbaarheden op te volgen.

De bevindingen die in uw rapport ter informatie zijn opgenomen beoordelen we om vast te stellen of er sprake is van een risico voor de gemeente en volgen we op waar nodig. Aanbeveling 2: Voer verdere maatregelen uit om de fysieke beveiliging van gebouwen en het informatie-bewustzijn van medewerkers te vergroten. Aanbeveling 2 nemen wij over, hier is al progressie op geboekt. Ten aanzien van fysieke beveiliging hebben we na uw vorig onderzoek de beveiliging van het stadhuis en het stadskantoor geëvalueerd via een dreiging- en risicoassessment. Op basis hiervan zijn aanvullende maatregelen genomen, vanuit risico perspectief eerst op het stadhuis en later op het stadskantoor. Voor het stadskantoor wordt een deel van de maatregelen op dit moment nog uitgevoerd. Onveranderd ten opzichte van uw vorig onderzoek is dat ons stadskantoor en stadhuis zijn ontworpen met een open karakter om elkaar te ontmoeten en persoonlijk contact te stimuleren. Bij de door de concerndirectie (stadskantoor) en het presidium (stadhuis) besloten maatregelen is een balans gezocht tussen de wens tot openheid en de noodzaak tot veiligheid.

13

De genomen maatregelen van het stadhuis worden in het licht van uw bevindingen geëvalueerd en de geplande maatregelen van het stadskantoor worden reeds uitgevoerd. Na implementatie van de maatregelen op het stadskantoor en eventueel stadhuis wordt risico gebaseerd gekeken naar de andere locaties zoals wijkbureaus en JGZ locaties. Het evalueren van de genomen maatregelen door een periodieke dreiging- en risicoassessment en het toetsen van de effectiviteit van de maatregelen door periodieke inlooptesten maken we structureel onderdeel van onze aanpak. We onderschrijven het belang van informatiebewustzijn. Naast informatieveiligheid besteden we hier aandacht aan in het Programma Informatie op Orde. Dit programma draagt onder andere via een eigen e-learning bij aan het informatiebewustzijn. Onder de Regeling Risicovolle Projecten wordt de raad over de voortgang van dit programma geïnformeerd. We zetten bovendien extra in op informatiebewustzijn met de nieuwe functie Adviseur Bewustwording en Adoptie binnen het domein Informatie- en Procesmanagement (IPM). Daarmee krijgt bewustwording in de volle (IPM-) breedte meer aandacht. Ten aanzien van het bewustzijnsprogramma hebben we ook al een aantal aanvullende stappen gezet. Elearning hebben we verplicht gesteld voor alle medewerkers. Het management krijgt voortgangsrapportages en stuurt actief op het verhogen van de deelname.

Dezelfde elearning wordt inmiddels aangeboden aan de leden van de gemeenteraad en de personen die hen ondersteunen, waaronder de Rekenkamer. Ook hebben we sinds de afronding van uw onderzoek een phishing test met voorlichtingscampagne uitgevoerd. Het bestaande bewustwordingsplan zal worden hernieuwd waarbij nadrukkelijk aandacht besteed zal worden aan het inzetten van instrumenten zoals phishingtests en mystery guests. Deze instrumenten dienen dan zowel voor bewustwording van medewerkers als voor het meten van het effect van de activiteiten rondom informatiebewustzijn. We merken hierbij op dat maatregelen ten aanzien van informatiebewustzijn proportioneel genomen zullen worden. Dat wil zeggen dat we ook hier blijvend onze maatregelen afwegen ten opzichte van andere belangen zoals de kosten en de benodigde tijdsinvestering van medewerkers. Aanbeveling 3: Zet binnen de hele organisatie in op de lange termijn in op een cultuurverandering. Aanbeveling 3 nemen we over. In de afgelopen jaren hebben we geïnvesteerd in het informatiebewustzijn. Houding en gedrag zijn verankerd in de doelen van ons bewustwordingsprogramma informatieveiligheid. Een van de doelstellingen van ons programma is het realiseren van voorbeeldgedrag door het management en het door het management aanspreken van medewerkers op het naleven van interne regels en afspraken.

Zo heeft het management een uitdragende en sturende rol 14

bij de (inmiddels verplichte) e-learning. Dit voorbeeldgedrag vanuit het management zien we als de cruciaal om een cultuur te creëren van aanspreken en verantwoordelijkheid nemen. In de hernieuwing van plan voor informatiebewustzijn maken we dit het centrale speerpunt. Deze rol van het management is in lijn met de Cyberbeveiligingswet die in 2025 wordt verwacht als invulling van de Europese NIS2 richtlijn. Het doel van de Cyberbeveiligingswet is onder andere om binnen essentiële entiteiten zoals de gemeente Utrecht een cyberweerbaarheidscultuur neer te zetten Het management krijgt een expliciete rol in het goedkeuren van en toezien op maatregelen behorend bij cyber-risico’s. Ze moet zich scholen zodat ze aantoonbaar beschikt over de hiervoor benodigde kennis en vaardigheden. De implementatie van deze wet zal vanaf de tweede helft van 2025 bijdragen aan de realisatie van uw aanbeveling. Tegelijk is de cultuur rondom informatieveiligheid niet los te zien van de bredere organisatiecultuur. Die organisatiecultuur is onderdeel van de organisatieontwikkeling die vanuit de concerndirectie is ingezet door de introductie van Duidelijk, Resultaatgericht en Aanspreekbaar (DRA) als basiselementen van onze nieuwe cultuur. In deze organisatieontwikkeling nemen we informatieveiligheid mee.

We gaan de duidelijkheid vergroten zodat iedereen weet wat ons beleid is, we gaan concrete resultaatgerichte afspraken maken daarover en gaan mensen daarop aanspreken. Aanbeveling 4: Zorg voor meer centrale aansturing van het informatieveiligheidsbeleid. Aanbeveling 4 nemen wij over. We onderschrijven het belang van duidelijke aansturing van het informatieveiligheidsbeleid. We hebben voor de aansturing van gegevensbescherming, waar informatieveiligheid onder valt, een managementsysteem. Dit bevat een cyclisch Plan, Do, Act, Check (PDCA-)proces voor centrale aansturing van het beleid met als vertrekpunt (strategisch) risicomanagement. Dit proces is essentieel in het concern breed maken en effectueren van keuzes, waaronder het afdwingen van beleid wanneer nodig. Dit afdwingen van het beleid gaan we verbeteren. De noodzaak voor centrale aansturing is in lijn met de Cyberbeveiligingswet en de eerder benoemde organisatieontwikkeling (DRA). Bij het verbeteren van onze centrale sturing op het informatieveiligheidsbeleid verbeteren we ook de monitoring van de naleving en uitvoering van dit beleid zodat we betere sturingsinformatie hebben. Dit is een randvoorwaarde om mogelijke strategische risico’s tijdig te identificeren en te kunnen beheersen.

Bijvoorbeeld om te signaleren dat geplande beheersing van (tactische) risico’s middels maatregelen achterblijft; dat onderdelen van de organisatie afwijken van beleid; of dat het geheel van risico’s onze risicobereidheid overstijgt. Het zorgt er bovendien voor dat we een hogere mate van zekerheid hebben over de actuele 15

stand van zaken wanneer we verantwoording afleggen over informatiebeveiliging in de ENSIA-cyclus. Als onderdeel van het verbeteren van centrale aansturing gaan we ook de inzet van beschikbare capaciteit omvormen naar een meer risico-gestuurde inzet van capaciteit. Dit zorgt ervoor dat we onze inzet richten op de grootste risico’s en belangrijkste gemeentelijke processen. Tot slot Wij danken u voor uw herhaalde aandacht voor het onderwerp. Wij herkennen uw aanbevelingen en betrekken die in de verdere verbetering van informatieveiligheid. Hoogachtend, Burgemeester en wethouders van Utrecht, 4 december 2024

NAWOORD REKENKAMER Rekenkamer Utrecht dankt het college voor de uitgebreide en gestructureerde reactie op het rapport. Wij zien dat het college onze conclusies herkent en onderschrijft en al onze aanbevelingen overneemt. Wij onderstrepen het belang om blijvend aandacht te besteden aan de informatieveiligheid. Ook in tijden van bezuinigingen. Wij zien de behandeling van het rapport en de verdere uitwerking in het plan van aanpak met belangstelling tegemoet.

16

17

DEEL II NOTA VAN BEVINDINGEN 1

INLEIDING: OPVOLGING EN ACTUALITEIT

1.1

AANLEIDING

Gemeenten verwerken steeds grotere hoeveelheden informatie. De laatste decennia gebeurt dat in allerlei gedigitaliseerde en geautomatiseerde systemen en programma’s. De verwerkte informatie bevat vaak (bijzondere) persoonsgegevens die goed beschermd moeten zijn. De informatieveiligheid moet daarom op alle aspecten – in organisatie en proces, bij de medewerkers en in de techniek – voldoende geborgd zijn. In 2021 voerde Rekenkamer Utrecht onderzoek uit naar de manier waarop de gemeente Utrecht invulling gaf aan de drie aspecten van informatieveiligheid. De uitkomsten gaven ons aanleiding om het onderwerp te blijven volgen. We gaven in ons bestuurlijk rapport daarom aan op een later moment (na ongeveer een jaar) een opvolgingsonderzoek uit te gaan voeren. In september 2022 heeft concernaudit een follow-up audit uitgevoerd naar de stand van zaken van de uitvoering van het raadsbesluit. Mede op basis daarvan besloot de rekenkamer om het aangekondigde opvolgingsonderzoek uit te stellen. Uiteindelijk heeft de rekenkamer in de periode februari tot en met juli 2024 onderzoek gedaan naar de opvolging van aanbevelingen uit 2021 en de actuele stand van zaken van de informatieveiligheid.

1.2

DOEL EN ONDERZOEKSVRAGEN

Het doel van dit onderzoek is om de Utrechtse gemeenteraad inzicht te geven in de mate waarin de besluiten naar aanleiding van het rekenkamerrapport “Zo sterk als de zwakste schakel” zijn opgevolgd. Daarnaast besteden we aandacht aan aanvullende onderwerpen die in het onderzoek uit 2021 onderbelicht waren gebleven. Het gaat onder meer om de managementinformatie, de afhandeling van incidenten, het gebruik van de gemeentelijke telefoons en de maatregelen om het thuiswerken te beveiligen. De centrale vraag van het onderzoek luidt: In hoeverre heeft de gemeente Utrecht uitvoering gegeven aan de aanbevelingen van het rekenkameronderzoek uit 2021 en is de informatieveiligheid nu voldoende gewaarborgd?

18

Deze centrale vraag werken we uit aan de hand van vier onderzoeksvragen: 1) Organisatie en proces: a. In hoeverre zijn de aanbevelingen over het onderdeel organisatie en proces door de gemeente Utrecht opgevolgd? b. Aanvullend: In hoeverre zijn de afhandeling van incidenten en meldingen, de managementinformatie en het incidentenmanagementproces adequaat? 2) Mens: a. In hoeverre zijn de aanbevelingen over het onderdeel mens door de gemeente Utrecht opgevolgd? 3) Techniek: a. In hoeverre zijn de aanbevelingen over het onderdeel techniek door de gemeente Utrecht opgevolgd? b. Aanvullend: in hoeverre is bij het gebruik van gemeentelijke telefoons en bij het thuiswerken de informatieveiligheid technisch beveiligd? 4) Welke (verdere) maatregelen zijn mogelijk om de informatieveiligheid te optimaliseren? Bij de beantwoording van de onderzoeksvragen hebben wij een normenkader gehanteerd. De gehanteerde normen sluiten aan bij de normen uit het rekenkameronderzoek uit 2021 naar dit onderwerp. Aan het begin van de hoofdstukken zijn per onderzoeksvraag de bijbehorende normen en criteria met daarbij een beoordeling naar de mate waarin eraan wordt voldaan (rood, oranje, groen, grijs) opgenomen. Een rood vlak betekent dat er niet aan de norm voldaan wordt. Oranje wijst erop dat er deels aan de norm wordt voldaan en groen wil zeggen dat er (grotendeels) aan de norm voldaan is.

Met grijs wordt aangegeven dat de realisatie ten opzichte van de norm niet door de rekenkamer te beoordelen is.

1.3

WERKWIJZE EN AFBAKENING

Werkwijze Het onderzoek voerden wij uit aan de hand van onderstaande vier stappen. De werkwijze in het onderzoek lichten wij nader toe in bijlage 1. Bij de analyse van de doorwerking hanteren wij het analyseschema zoals wij dat hebben ontworpen voor een breder opvolgingsonderzoek1 van de rekenkamer uit 2020. In dit schema worden verschillende fasen van doorwerking benoemd die gerelateerd zijn aan het proces van onderzoek, de raadsbehandeling en de opvolging van het raadsbesluit. Het gaat dan om het agenderen en bespreken, besluiten, implementeren, effectueren en publiek verantwoorden.

1 Rekenkamer Utrecht (2020). Opvolgingsonderzoek rekenkamerrapporten 2014-2018. Inzicht in de doorwerking

van rekenkameronderzoek en de opvolging van raadsbesluiten.

19

Afbakening Wij hebben verschillende keuzes gemaakt om het onderzoek af te bakenen. Deze beschrijven we hieronder puntsgewijs: ▪ Met dit onderzoek kijken we naar de drie eerdergenoemde onderdelen: organisatie en proces, mens en techniek. Daarbij besteden we per onderdeel specifiek aandacht aan aanvullende onderwerpen die onder andere bij de raadsbehandeling in 2021 zijn benoemd. ▪ De focus van ons onderzoek ligt op de periode vanaf de uitvoering van het eerdere onderzoek (in het najaar van 2020) tot op heden. ▪ We voeren geen aanvullende risicoanalyses en audits uit, maar maken gebruik van de informatie die er op dit onderdeel al is en welke maatregelen de gemeente naar aanleiding van de analyses heeft genomen. ▪ Er zal geen vergelijking plaatsvinden met andere gemeenten. Het onderzoeksterrein is continu in beweging en ook de inrichting van de organisatie en systemen verschilt sterk. Bij het onderzoek in het najaar van 2020 bleek al dat de situatie bij andere gemeenten te afwijkend was om een goede inhoudelijke benchmark te kunnen opstellen. ▪ We zullen de doorwerking van het rekenkamerrapport uit 2021 beoordelen. Deze beoordeling is gericht op de onderdelen implementeren, effectueren en (publiek) verantwoorden.

Bij ‘implementeren’ gaat het om de vraag of de aanbevelingen door het college van Burgemeester en Wethouders (B&W) en de ambtelijke organisatie zijn doorgevoerd in de organisatie, het beleid en/of de uitvoering. Effectueren gaat om het effect op het gevoerde beleid en op het realiseren van de beoogde maatschappelijke effecten van dit beleid. Het publiek verantwoorden heeft betrekking op de verantwoording van het college aan de gemeenteraad over de uitvoering van het raadsbesluit.

20

1.4

LEESWIJZER

Om inzicht te krijgen in de belangrijkste bevindingen van het onderzoek volstaat het kennisnemen van de inleiding op de verschillende hoofdstukken en de ingevulde delen van het normenkader. Voor een nadere toelichting op deze bevindingen verwijzen we naar de uitwerking in de onderliggende paragrafen. In hoofdstuk 2 beschrijven we hoe de gemeente Utrecht in de organisatie en processen aandacht besteedt aan informatieveiligheid. In hoofdstuk 3 beoordelen we in hoeverre de gemeente Utrecht hierbij risicogebaseerd werkt. In hoofdstuk 4 gaan we in op de manier waarop bewustwording een plaats krijgt in beleid en organisatie en hoe de medewerkers van de gemeente hier in de praktijk mee omgaan. In hoofdstuk 5 presenteren we op hoofdlijnen de uitkomsten van testen die wij door een extern bureau (NFIR B.V.) hebben laten uitvoeren op de technische aspecten van de informatiebeveiliging. De onderliggende rapportages worden in verband met de risico's en kwetsbaarheden niet openbaar gemaakt, maar zijn wel gedeeld met de gemeentelijke organisatie. De gemeente heeft inmiddels op de geconstateerde kwetsbaarheden waar nodig actie ondernomen om deze te beheersen. Ten slotte bespreken we in hoofdstuk 6 in welke mate de gemeente Utrecht opvolging heeft gegeven aan de aanbevelingen uit het rekenkameronderzoek uit 2021.

21

2

CONTEXT: CENTRAAL BELEID WORDT DECENTRAAL UITGEVOERD

Het beleid voor informatieveiligheid wordt centraal vastgesteld en moet op decentraal niveau – door de organisatieonderdelen – worden uitgevoerd. Risicogebaseerd werken vormt daarbij het uitgangspunt. Via een managementsysteem moet daarover verantwoording worden afgelegd. Organisatieonderdelen zijn ook zelf verantwoordelijk voor de manier waarop zij omgaan met het leren van beveiligingsincidenten. In dit hoofdstuk beschrijven we hoe informatieveiligheid is georganiseerd binnen de gemeente Utrecht. Dit hoofdstuk bevat daarom geen normenkader, bevindingen of beoordeling. In hoofdstuk 3 beoordelen we de mate waarin de gemeente Utrecht erin slaagt om risicogebaseerd te werken.

2.1

RISICOGEBASEERD WERKEN UITGANGSPUNT BIJ UITVOERING

Om de informatieveiligheid te borgen moeten informatieveiligheidsrisico’s eerst worden geïdentificeerd en geclassificeerd (hoe groot is het risico?) en vervolgens worden teruggebracht naar een acceptabel niveau (beheersing). Tijdens het rekenkameronderzoek uit 2021 constateerden we dat er voor informatieveiligheid beperkte capaciteit beschikbaar was binnen de gemeente Utrecht. Er werd daarom gekozen om aan de hand van het ‘risicogebaseerd werken’ te bepalen welke risico’s wel en niet werden beheerst. Dat betekent dat risico’s werden afgewogen op basis van zakelijke overwegingen (kosten versus baten) of externe verplichtingen (wet- en regelgeving, contracten).2 Sommige risico’s werden daarmee direct aangepakt. Maar het gebeurde ook dat de gemeente op een aantal risico’s geen maatregelen nam en deze risico’s bewust accepteerde. In het rekenkameronderzoek uit 2021 concludeerden we dat de gemeente Utrecht nog onvoldoende invulling gaf aan het risicogebaseerd werken. Om risicogebaseerd te kunnen werken is het namelijk noodzakelijk dat de gemeente de risico’s in beeld heeft. Destijds waren echter nog niet alle benodigde risicoanalyses uitgevoerd om een volledig overzicht van de risico’s te hebben. Het was daardoor niet mogelijk om te onderbouwen welke risico’s wel en niet beheerst moesten worden. Daarnaast bleek de uitvoering van het beleid op cruciale onderdelen achter te lopen.

Met extra geld en mensen moest deze achterstand in de achterliggende jaren worden ingelopen. Het risicogebaseerd werken vormt nog steeds een belangrijk fundament voor de uitvoering van het beleid voor informatieveiligheid.

2 Gemeente Utrecht (2019). Beleid voor gegevensbescherming 2019-2022.

22

Centraal beleid moet decentraal worden uitgevoerd De gemeente Utrecht hanteert een geïntegreerde aanpak van privacy en informatieveiligheid onder de noemer ‘gegevensbescherming’. Gegevensbescherming kent een centrale strategie die decentraal wordt aangestuurd en uitgevoerd. Op strategisch niveau wordt het beleidskader vastgesteld, dat door de gemeente Utrecht in 2023 is herzien. Dit beleidskader vormt de basis voor het treffen van passende organisatorische, procedurele en technische maatregelen om gegevens te beschermen. Daarin wordt gesteld dat “(…) de speerpunten om de governance te verstevigen en risicogebaseerd werken meer centraal te zetten inmiddels in de praktijk zijn gebracht.”3 Aanvullend wordt gesteld dat “(…) alleen risicogebaseerd werken niet voldoende is om tijdig te voldoen aan alle wet- en regelgeving en bijbehorende internationale en nationale normenkaders.”4 Een voorbeeld van zo’n normenkader is de Baseline Informatiebeveiliging Overheid (BIO, zie box 2.1). Om aan de wet- en regelgeving en normenkaders te voldoen heeft de gemeente Utrecht de afgelopen jaren vijf strategische standaarden voor gegevensbescherming5 ontwikkeld. Deze standaarden vormen de nadere uitwerking van het strategisch beleidskader. Box 2.1 Nieuwe wetgeving stelt meer eisen aan gegevensbescherming Gemeenten zijn verplicht om actueel beleid voor gegevensbescherming te hebben.

De Baseline Informatiebeveiliging Overheid (BIO) vormt het basisnormenkader voor informatiebeveiliging binnen alle Nederlandse overheidslagen en is sinds januari 2020 van kracht. De BIO beschrijft uitgangspunten waar beleid aan moet voldoen en wat daar in de interne organisatie voor moet worden georganiseerd. Voldoen aan de BIO is niet verplicht. Al streeft de gemeente Utrecht hier wel naar. Op dit moment wordt gewerkt aan de BIO2.0, die eind 2024 van kracht gaat zijn.6 Ook wordt de ‘Network and Information Security directive’ (NIS2-richtlijn) vertaald naar Nederlandse wetgeving. Dit is door de Europese Unie vastgesteld. Met de NIS2-richtlijn moet de cyberbeveiliging en weerbaarheid van essentiële diensten in EU-lidstaten worden verbeterd.7 Dit leidt tot meer wetgeving van een verplicht karakter, waar ook de gemeente Utrecht aan zal moeten voldoen.

Aan het strategische beleid en de standaarden voor gegevensbescherming moet decentraal op tactisch en operationeel niveau uitvoering worden gegeven. Dat betekent dat elk organisatieonderdeel zelf verantwoordelijk is voor het risicogebaseerd implementeren en uitvoeren van het centrale beleid. De strategische standaarden worden door de organisatieonderdelen niet in één keer doorgevoerd. Dat moet namelijk aan de hand van ‘life cycle management’ gebeuren. Dit betekent dat delen van de strategische standaarden gelijktijdig worden ingevoerd met het doorvoeren van reguliere maatregelen zoals de implementatie van nieuwe applicaties en procesveranderingen. Hierdoor wordt een volledige implementatie van de BIO pas gerealiseerd wanneer het volledige applicatielandschap van 3 Gemeente Utrecht (2023). Gegevensbescherming in Utrecht: verantwoord en transparant. Intern strategisch

beleidskader voor gegevensbescherming van Utrecht, p. 5. 4 Gemeente Utrecht (2023). Gegevensbescherming in Utrecht: verantwoord en transparant. Intern strategisch beleidskader voor gegevensbescherming van Utrecht, p. 9. 5 Deze hebben betrekking op: 1) Business Continuity Management; 2) Cryptografie; 3) Identificatie, Authenticatie en Autorisatie; 4) Logging en Monitoring; en 5) Naleving Gegevensbescherming Management System. 6 Zie: Baseline Informatiebeveiliging Overheid Cybersecurity - Digitale Overheid 7 Zie: NIS2-richtlijn - Digitale Overheid

23

de gemeente Utrecht is vernieuwd. Dat zal naar verwachting vijf tot zeven jaar – tot 2030 – duren.8 Op strategisch, tactisch en operationeel niveau wordt aan informatieveiligheid gewerkt In ons vorige onderzoek concludeerden we dat met het instellen van een stuurgroep, vakgroep, regiegroep en taskforce de interne governance was verstevigd. Omdat we de interne organisatie en governance daaromheen destijds beperkt hebben onderzocht, is daar in dit onderzoek extra aandacht aan besteed. We bespreken de interne organisatiestructuur (zie figuur 2.2) aan de hand van drie niveaus waarop aan informatieveiligheid wordt gewerkt (strategisch, tactisch, operationeel). Strategisch Op strategisch niveau worden besluiten over informatieveiligheid voorgelegd aan het managementteam van de Chief Information Officer9 (MT CIO). Het MT CIO is altijd de eerste schakel in de besluitvormingsketen voor gegevensbeschermingsbeleid. Aan het MT CIO neemt onder andere een vertegenwoordiging van Informatie- en Procesmanagers10 (IPM-ers) deel. Omdat IPM-ers betrokken zijn bij de uitvoering van beleid binnen de organisatieonderdelen is daarmee in opzet centraal zicht op wat er decentraal gebeurt. De regiegroep gegevensbescherming zorgt voorafgaand aan de besluitvorming voor vakinhoudelijke afstemming tussen de strategische, tactische en operationele lagen van gegevensbescherming.

De Chief Privacy Officer11 (CPO) en Chief Information Security Officer12 (CISO) stemmen nieuwe en gewijzigde beleidsvoorstellen met de regiegroep af voordat het ter besluitvorming wordt aangeboden.13 Uiteindelijk stel de Directieraad het strategische beleidskader en de standaarden voor gegevensbescherming met gemeentebrede impact vast. Daarnaast zou de Directieraad ook de naleving van het beleid en de standaarden voor gegevensbescherming door de organisatieonderdelen op tactisch en operationeel niveau moeten monitoren. De Integraal Resultaatverantwoordelijk Managers14 (IRM-ers) zijn verantwoordelijk voor de invoering van het beleid binnen de organisatieonderdelen. De Directieraad spreekt de IRM-ers (indien nodig) op naleving aan en legt over het gevoerde beleid verantwoording af aan het college van B&W (eindverantwoordelijk voor de borging van gegevensbescherming binnen de gemeente Utrecht).

8 Gemeente Utrecht (2023). Gegevensbescherming in Utrecht: verantwoord en transparant. Intern strategisch

beleidskader voor gegevensbescherming van Utrecht. 9 De CIO is beleidsmatig verantwoordelijk voor alle aspecten van informatie- en procesmanagement, waaronder gegevensbescherming. 10 Een IPM-er coördineert de uitvoering van het beleid voor gegevensbescherming binnen een organisatieonderdeel. 11 De CPO bereidt samen met de CISO het beleid voor gegevensbescherming voor. 12 De CISO regisseert informatiebeveiliging op concernniveau. 13 Gemeente Utrecht (2023). Gegevensbescherming in Utrecht: verantwoord en transparant. Intern strategisch beleidskader voor gegevensbescherming van Utrecht. 14 De IRM-er is de directeur van een organisatieonderdeel.

24

Figuur 2.2 Overzicht van de interne organisatie en verantwoordelijkheden bij gegevensbescherming

25

Naast het vaststellen van beleid worden op strategisch niveau ook risico’s in kaart gebracht die impact hebben op de gehele gemeentelijke organisatie. Onder het programma Gegevensbescherming dat tot de zomer van 2023 actief was lag het eigenaarschap van de strategische risico’s bij de stuurgroep gegevensbescherming. De stuurgroep bracht prioritering aan in de gevonden strategische risico’s en stuurde op de voortgang van maatregelen om de risico’s te beheersen. Met de stopzetting van het programma is ook de stuurgroep opgeheven. Een deel van de verantwoordelijkheden van de stuurgroep is overgeheveld aan de Directieraad. Dat geldt bijvoorbeeld voor het monitoren van de strategische risico’s, die in juli 2023 voor het laatst van een update zijn voorzien.15 Tactisch Tactische risico’s vormen een bedreiging voor een specifiek organisatieonderdeel. De managementteams van de individuele organisatieonderdelen zijn verantwoordelijk voor het uitvoeren van tactische risicoanalyses om risico’s te identificeren en de IRM-ers zijn (als risicodrager) eindverantwoordelijk voor de beheersing van de risico’s. Bij het implementeren van beleid en het uitvoeren van risicoanalyses wordt ieder organisatieonderdeel ondersteund door een eigen IPM-er en Decentrale Information Security en Privacy Officer16 (DISO).

Op tactisch niveau zijn er twee centrale onderdelen binnen informatie- en procesmanagement: DomstadIT en Safety & Security (S&S). DomstadIT is verantwoordelijk voor het leveren van ICT-middelen en de beveiliging daarvan. S&S is verantwoordelijk voor de beheersing van fysieke (beveiligings)risico’s. Operationeel Operationele risico’s vormen een bedreiging voor een specifiek proces, systeem of applicatie dat binnen een organisatieonderdeel wordt gebruikt. Op operationeel niveau is daarom een belangrijke rol toebedeeld aan de systeem- en proceseigenaren om daar actuele risicoanalyses op uit te voeren. De IRM-er van het organisatieonderdeel is – naast de tactische risico’s – ook eindverantwoordelijk voor het beheersen van de operationele risico’s. Periodiek nemen alle inhoudelijke actoren (waaronder de DISO’s en Functionaris voor Gegevensbescherming17) op operationeel niveau deel aan de Vakgroep Gegevensbescherming. Deze wordt georganiseerd door de CISO en CPO om opgedane kennis en ervaringen te delen.

15 Gemeente Utrecht (4 juli 2023). Interne memo Herijking en overdracht strategische risico’s

gegevensbescherming. 16 DISO’s bewaken de naleving van het beleid voor gegevensbescherming binnen de organisatieonderdelen en rapporteren hierover periodiek aan de IPM-ers, IRM-ers, CISO en CPO. DISO’s bieden ook ondersteuning aan organisatieonderdelen bij het uitvoeren en implementeren van het beleid. 17 De FG is toezichthouder en adviseert bij aangelegenheden die verband houden met de bescherming van persoonsgegevens en/of politiegegevens, waaronder DPIA’s.

26

2.2

OPNIEUW EXTRA FINANCIËLE MIDDELEN VRIJGEMAAKT VOOR GEGEVENSBESCHERMING

De uitgaven aan gegevensbescherming of het specifieke onderdeel informatieveiligheid daarbinnen zijn niet één-op-één terug te vinden in de begroting en de jaarrekening. Het onderwerp valt in de categorie overhead onder IPM. Specifieke incidentele en structurele uitgaven worden wel zichtbaar gemaakt. Zo stemde de gemeenteraad in 2020 in met € 3,4 miljoen extra budget voor gegevensbescherming verdeeld over drie jaar om de uitvoering van het programma Gegevensbescherming te versnellen (zie tabel 2.3). De raad stemde ook in met € 0,6 miljoen extra structureel budget om de vijf ‘vliegende’ (flexibel inzetbare) DISO’s mee aan te stellen. Omdat het programma Gegevensbescherming in 2023 is gestopt, liep ook deze incidentele financiering af. Tabel 2.3

Incidentele financiële middelen programma Gegevensbescherming over drie jaar verdeeld (x 1.000)

Gegevensbescherming

2020

2021

2022

2023

2024

€ 1.000

€ 1.500

€ 900

€0

€0

Bron: Gemeente Utrecht (2020). Eerste Bestuursrapportage.

In 2021 werd ‘het nieuwe werken 3.0’ geïntroduceerd, gericht op het structureel faciliteren van flexibel en plaats onafhankelijk werken. De voorspelling was dat na de coronapandemie een groot deel van de gemeentelijke medewerkers hybride zou blijven werken. Dat vroeg om aanpassingen aan zowel het Stadskantoor als de IT (zoals het uitgeven van beheerde laptops). De gemeenteraad heeft daarvoor in 2021 structureel geld vrijgemaakt. In 2022 gaf het college aan dat daarmee de eerste knelpunten waren opgepakt, maar dat “(…) voor de realisatie van plaats onafhankelijk werken voor een grotere groep medewerkers aanvullende investeringen nodig zijn.”18 Deze investeringen hadden betrekking op vier aspecten, waaronder mobiele apparaten voor medewerkers zonder werkplek en toekomstbestendige thuiswerkfaciliteiten. De gemeenteraad stemde in met het vrijmaken van extra financiële middelen om ook de aanvullende investeringen te realiseren. De kosten hiervoor zijn niet nader gespecificeerd. De vrijgemaakte jaarlijkse bedragen verschillen over de verschillende jaren van elkaar (zie tabel 2.4).

18 Gemeente Utrecht (2022). Voorjaarsnota en Eerste Bestuursrapportage 2022, p. 37.

27

Tabel 2.4

Vrijgemaakte middelen voor realisatie van ‘het nieuwe werken 3.0’ verschillen per jaar (x 1.000)

Het nieuwe werken 3.0

2021

2022

2023

2024

2025

2026

€ 1.050

€ 1.506

€ 2.463

€ 2.133

€ 1.738

€ 1.761

Bron: Gemeente Utrecht (2021). Voorjaarsnota en Eerste Bestuursrapportage 2021. En: Gemeente Utrecht (2022). Voorjaarsnota en Eerste Bestuursrapportage 2022.

In juni 2022 is het bewustwordingsprogramma gegevensbescherming van start gegaan. Dit structurele programma is erop gericht om de kennis over privacy en informatiebeveiliging van medewerkers te verbeteren en om hun houding en gedrag met betrekking tot privacy en informatiebeveiliging te verbeteren.19 Om de activiteiten daartoe uit te kunnen voeren is vanaf 2023 structureel € 130.000 beschikbaar gesteld (zie de tabel 2.5 en 2.6). Dat bedrag is als volgt opgebouwd: Tabel 2.5

Helft structureel budget bewustwordingsprogramma gegevensbescherming voor inzet fulltime medewerker op bewustwording

Activiteit

Kosten

Beleidsadviseur bewustwording (1 fte)

€ 70.000

Kosten hosting en aanpassingen e-learning

€ 20.000

Incidentele bijeenkomsten

€ 10.000

Interventies (bijvoorbeeld phishing testen, externe sprekers)

€ 15.000

Campagnemateriaal

€ 5.000

Onvoorziene uitgaven

€ 10.000

Totaal

€ 130.000

Bron: Gemeente Utrecht (2022). Plan Bewustwording en communicatie gegevensbescherming.

In de Voorjaarsnota van 2024 geeft het college aan dat vanaf 17 oktober 2024 de Europese NIS2-richtlijn (zie box 2.1 in paragraaf 2.1) van kracht wordt. Dat leidt voor de gemeente Utrecht tot aanscherpingen in de uitvoering van onder andere wet- en regelgeving, zoals de BIO en de Algemene verordening gegevensbescherming (AVG). Ondanks de huidige financiële situatie wil en moet de gemeente daaraan voldoen. Dit zorgt structureel voor extra kosten van € 0,965 miljoen per jaar (zie tabel 2.6).20

19 Gemeente Utrecht (2022). Bewustwording en communicatie gegevensbescherming. 20 Gemeente Utrecht (2024). Voorjaarsnota en Eerste Bestuursrapportage 2024.

28

Tabel 2.6

Toegekende extra financiële middelen voor gegevensbescherming structureel (bedragen x 1.000)

Informatiebeveiliging Bewustwordingsprogramma

2023

2024

2025

2026

2027

2028

€0

€ 440

€ 965

€ 965

€ 965

€ 965

€ 130

€ 130

€ 130

€ 130

€ 130

€ 130

Bronnen: Gemeente Utrecht (2024). Voorjaarsnota en Eerste Bestuursrapportage 2024. En: Gemeente Utrecht (2022). Programmabegroting 2023.

2.3

ORGANISATIEONDERDELEN ZELF VERANTWOORDELIJK VOOR OMGAAN MET EN LEREN VAN INCIDENTEN

Beveiligingsincidenten (zoals datalekken) vormen een belangrijke graadmeter voor hoe het ervoor staat met gegevensbescherming. De gemeente geeft aan dat “(…) een goede analyse van de oorzaak van incidenten kan voorkomen dat hetzelfde incident nog eens plaatsvindt.”21 Gebeurtenissen rondom de gemeentelijke processen en diensten zouden beter gemonitord moeten worden om een beter overzicht te krijgen van de zwakke plekken die tot een beveiligingsincident kunnen leiden22: “Nieuwe informatie correleren met informatie uit onze bestaande digitale processen leidt tot een verbeterd datagedreven overzicht.”23 De wijze waarop verantwoordelijkheden bij incidenten zijn toebedeeld, is helder beschreven in het strategisch beleidskader. Zo moeten individuele medewerkers beveiligingsproblemen of -incidenten signaleren en melden. De DISO stelt eerst vast of er sprake is van een datalek, en vervolgens of de Autoriteit Persoonsgegevens moet worden ingelicht.24 Samen met de verantwoordelijk lijnmanager, opdrachtgever of proceseigenaar handelt de DISO het incident vervolgens tijdig en volgens richtlijnen af. De IRM-er van het organisatieonderdeel waarin het incident heeft plaatsgevonden is eindverantwoordelijk voor de tijdige en juiste afhandeling van alle incidenten binnen het organisatieonderdeel.

Aan organisatieonderdelen wordt na het afhandelen van een incident door de DISO teruggekoppeld wat er in de toekomst anders kan om incidenten te voorkomen.25 Het benutten van deze informatie en de manier waarop van incidenten wordt geleerd is aan de verschillende organisatieonderdelen zelf.26

21 Gemeente Utrecht (2023). Gegevensbescherming in Utrecht: verantwoord en transparant. Intern strategisch

beleidskader voor gegevensbescherming van Utrecht, p. 12. 22 Gemeente Utrecht (2023). Gegevensbescherming in Utrecht: verantwoord en transparant. Intern strategisch beleidskader voor gegevensbescherming van Utrecht. 23 Gemeente Utrecht (2023). Gegevensbescherming in Utrecht: verantwoord en transparant. Intern strategisch beleidskader voor gegevensbescherming van Utrecht, p. 12. 24 Rekenkamer Utrecht (2024). Interview gemeente. 25 Rekenkamer Utrecht (2024). Interview gemeente. 26 Rekenkamer Utrecht (2024). Interview gemeente.

29

DomstadIT houdt – als centraal onderdeel binnen informatie- en procesmanagement – een eigen registratiesysteem bij voor de ICT-incidenten waar zij op acteren. Alle incidenten komen (uiteindelijk) binnen bij het Serviceplein en het Serviceportaal. Sinds een aantal maanden worden twee registratiesystemen van elkaar gescheiden: 1. Systeem voor het ‘standaard’ incidentenproces: het gaat hier met name om verstoringen in de dienstverlening, zoals problemen met inloggen. 2. Systeem voor security gerelateerde incidenten: dat helpt bij het behouden van het overzicht over alle lopende securityincidenten. Het systeem wordt (o.a.) gebruikt om te leren en verbeteren van incidenten. Wanneer een securityincident een hoge impact dreigt te hebben (calamiteit) kan een apart proces worden opgestart (opschaling naar o.a. de CISO en procesmanager) om de impact te mitigeren. Dit proces wordt altijd met een (evaluatie)rapportage afgesloten.

2.4

LANGS MANAGEMENTSYSTEEM VOOR GEGEVENSBESCHERMING MOET VERANTWOORDING WORDEN AFGELEGD

Veel betrokkenen geven aan dat het gegevensbeschermingsmanagementsysteem (GBMS) wordt gebruikt om over het functioneren van de informatiebeveiliging te rapporteren aan het management (zowel van operationeel naar tactisch niveau, als van tactisch naar strategisch niveau).27 Het GBMS is de Utrechtse variant op een Information Security Management Systeem (ISMS) en de laatste versie is na een ontwikkelperiode van meer dan twee jaar in maart 2024 vastgesteld en in gebruik genomen. In het begeleidende beleidsdocument wordt aangegeven dat “(…) we met het GBMS geen informatiesysteem bedoelen, maar een werkwijze om de bescherming van gegevens continu te verbeteren op basis van risicomanagement.”28 Het GBMS is daarmee vooral een aanvulling op de Utrechtse aanpak voor risicomanagement, zoals onder meer beschreven in het strategisch beleidskader. Daarvoor onderscheidt het GBMS Plan-Do-Check-Act-cycli (PDCA) op drie niveaus: 1. Strategisch: door het management van de gemeente, de Directieraad. 2. Tactisch: door het management van een organisatieonderdeel. 3. Operationeel: door het management van een proces, de proceseigenaren. Het is de bedoeling dat de PDCA-cycli op de drie niveaus met elkaar in verbinding staan doordat eigenaren hun eigen PDCA-cyclus afstemmen op die van andere eigenaren (zie figuur 2.7).

Dat moet onder andere gebeuren door aan te sluiten op de bestaande planning& controlcyclus van de gemeente.

27 Rekenkamer Utrecht (2024). Interviews gemeente. 28 Gemeente Utrecht (2024). Gegevensbescherming Managementsysteem, p. 4.

30

Figuur 2.7

De PDCA-cycli op de verschillende niveaus moeten horizontaal en verticaal op elkaar zijn afgestemd

Bron: Rekenkamer Utrecht (2024) o.b.v. Gemeente Utrecht (2024). Gegevensbescherming Managementsysteem.

31

3

ORGANISATIE EN PROCES: WIJZIGINGEN VRAGEN OM VERDERE VERBETERING

Er wordt in vergelijking met 2021 meer risicogebaseerd gewerkt, al zijn daar ook zeker nog verbeterpunten in. Op strategisch niveau ontbreekt namelijk door de beëindiging van de programmatische aansturing van gegevensbescherming een centraal sturingsmechanisme. Naleving van beleid door organisatieonderdelen wordt onvoldoende afgedwongen. Door een gebrek aan sturing geven organisatieonderdelen op tactisch en operationeel niveau een eigen invulling aan de manier waarop zij het beleid uitvoeren. Risicoanalyses zijn daardoor niet altijd actueel en risico’s worden niet of niet tijdig beheerst. En ook van beveiligingsincidenten wordt op dit moment niet gemeentebreed geleerd en verbeterd. Het gegevensbeschermingsmanagementsysteem (GBMS) is nog onvoldoende uitgewerkt voor de uitvoering. De managementteams van de organisatieonderdelen worden door de informatie- en procesmanagers wel goed geïnformeerd. In dit hoofdstuk beoordelen we hoe de gemeente Utrecht informatieveiligheid heeft georganiseerd en hoe zich dat heeft ontwikkeld sinds ons vorige onderzoek. We beantwoorden daarmee onderzoeksvragen 1a en 1b. De uitvoering, afgezet tegen de bijbehorende norm, leidt in figuur 3.1 tot onze beoordeling en bevindingen. Hierin leggen we ook direct de relatie tussen de onderzoeksvragen, de norm en bijbehorende criteria. Figuur 3.1