20241212 Rekenkamerrapport_De mens als zwakste schakel
Tekst van het document
Norm, criteria en beoordeling “Organisatie en proces”
32
Toelichting op het normenkader Aan de hand van het risicogebaseerd werken worden risico’s geprioriteerd. Het is daarom noodzakelijk dat de gemeente Utrecht de risico’s in beeld heeft. En dat vervolgens de juiste maatregelen worden genomen om die risico’s te beheersen. Voor goede monitoring en aansturing is het belangrijk dat het management wordt geïnformeerd over de voortgang daarvan. Verder moet de gemeente incidenten rondom informatieveiligheid (zoals security incidenten en datalekken) benutten om structureel van te leren en verbeteren.
3.1
OP STRATEGISCH NIVEAU ONTBREEKT EEN CENTRAAL STURINGSMECHANISME
De programmatische aansturing van gegevensbescherming is in de zomer van 2023 beëindigd. Wij constateren dat mede daardoor nu een centraal sturingsmechanisme op strategisch niveau ontbreekt. Op strategisch niveau kunnen organisatieonderdelen niet door informatie- en procesmanagement worden gedwongen om met informatieveiligheid aan de slag te gaan. De Directieraad kan dat wel, maar doet dat in de praktijk onvoldoende. En doordat het gegevensbeschermingsmanagementsysteem (GBMS) onvoldoende is uitgewerkt is te beperkt informatie beschikbaar om strategische besluiten te nemen. Organisatieonderdelen beter vertegenwoordigd in regiegroep gegevensbescherming De regiegroep gegevensbescherming speelt een belangrijke rol bij besluitvorming over gegevensbescherming (zie ook paragraaf 2.1). De samenstelling van de regiegroep is sinds het vorige rekenkameronderzoek enigszins gewijzigd. De gemeente Utrecht is namelijk steeds meer in domeinen gaan werken. De organisatieonderdelen zijn toebedeeld aan één van de vier domeinen (fysiek, sociaal, bedrijfsvoering of dienstverlening). Per domein nemen één IPM-er of één DISO deel aan de regiegroep. Zij brengen advies uit namens alle organisatieonderdelen binnen hun domein. Daarmee zijn alle organisatieonderdelen in de regiegroep vertegenwoordigd.
Dat is een positieve ontwikkeling omdat voorheen slechts een aantal organisatieonderdelen vertegenwoordigd waren.29 Door de beëindiging van de programmatische aansturing ontbreekt een centraal sturingsmechanisme In paragraaf 2.1 legden we uit dat het tijdelijke programma Gegevensbescherming, ingericht om de realisatie van gemeentelijke ambities te versnellen, in de zomer van 2023 is beëindigd. Daarmee is ook de stuurgroep gegevensbescherming – voorheen verantwoordelijk voor het monitoren en beheersen van strategische risico’s – in de zomer van 2023 is opgeheven. Een deel van de verantwoordelijkheden van de stuurgroep is overgeheveld aan de Directieraad. Echter zijn niet alle verantwoordelijkheden overgenomen. Daardoor ontbreekt zonder de stuurgroep een centraal sturingsmechanisme op strategisch
29 Rekenkamer Utrecht (2024). Interview gemeente.
33
niveau.30 In diezelfde periode viel ook de CISO (als één van de strategen op dit onderwerp) uit en waren er personele wisselingen in de CIO- en Concerndirecteursfunctie.31 Die ontwikkelingen samen leidden tot urgentieverlies en zorgen ervoor dat het implementeren van strategische maatregelen vaak langer duurt dan voorheen.32 In december 2023 wordt in een intern document aangegeven: “(…) strategische risico’s hebben op papier een eigenaar, maar deze behandelt het risico niet proactief.”33 De risico’s zijn sinds juli 2023 ook niet opnieuw herijkt. Er is dus nog winst te behalen in het strategisch risicomanagement. De gemeente Utrecht heeft in december 2023 aangegeven haar strategisch risicomanagement te herzien.34 Door gebrek aan informatie kunnen niet altijd strategische besluiten worden genomen Informatieveiligheid moet met de opheffing van de stuurgroep breed, en meer decentraal in de organisatie inbedden.35 Organisatieonderdelen zijn zelf verantwoordelijk voor het identificeren, classificeren, beheersen en monitoren van tactische en operationele risico’s. En voor het doorvoeren van centraal beleid. De Directieraad heeft de mogelijkheid om een IRM-er van een organisatieonderdeel – de operationele en tactische risicodrager – indien nodig op naleving aan te spreken. IRM-ers leggen halfjaarlijks verantwoording af aan de themadirecteur bedrijfsvoering (lid van de Directieraad).
Dat gebeurt nogal vrijblijvend: “Dat moeten we niet groter maken dan het is. Er komen in dat gesprek misschien wel twintig onderwerpen voorbij in één uur.”36 Al wordt dat door betrokkenen niet per se als een probleem gezien: “De aandacht en sturing moet primair vanuit het eigen managementteam komen in afstemming met de CIO.”37 IRM-ers worden in de gesprekken met de themadirecteur gewezen op onderdelen die niet goed gaan, bijvoorbeeld als er te weinig risicoanalyses zijn uitgevoerd. Dat gebeurt constructief: er wordt in die gevallen gevraagd of de IRM-ers extra IPM-ondersteuning nodig hebben om de achterstand in te lopen.38 De volledige Directieraad wordt met de bedrijfsvoeringrapportage tweemaal per jaar geïnformeerd over de stand van zaken van gegevensbescherming. In die rapportage komen tien thema’s aan bod, waaronder gegevensbescherming (waar informatieveiligheid een onderdeel van uitmaakt). De informatie die over informatieveiligheid wordt gedeeld is summier, en maakt slechts een klein onderdeel uit van de bespreking. Het is daardoor niet altijd mogelijk om strategische besluiten te nemen op basis van de beschikbare informatie. Er leeft bij de Directieraad daarom de behoefte om meer uitgebreide informatie te ontvangen
30 Rekenkamer Utrecht (2024). Interview gemeente. 31 Rekenkamer Utrecht (2024). Interview gemeente. 32 Rekenkamer Utrecht (2024). Interview gemeente. 33 Gemeente Utrecht (2023). Herinrichting strategisch risicomanagement. 34 Gemeente Utrecht (2023). Herinrichting strategisch risicomanagement. 35 Rekenkamer Utrecht (2024). Interview gemeente. 36 Rekenkamer Utrecht (2024). Interview gemeente. 37 Rekenkamer Utrecht (2024). Interview gemeente. 38 Rekenkamer Utrecht (2024). Interview gemeente.
34
over de stand van zaken van informatieveiligheid.39 Het gaat dan met name om wat de belangrijkste risico’s zijn, hoe de organisatie (breed) daarmee omgaat en welke beheersmaatregelen worden genomen om de risico’s naar een acceptabel niveau te brengen. Of er voldoende wordt geleerd van beveiligingsincidenten zoals datalekken is niet vast te stellen. Volgens betrokkenen leren de CISO en CPO goed van de incidenten die plaatsvinden.40 Maar op het strategische niveau van de Directieraad is er behoefte aan meer voortgangsrapportages over datalekken. Zo is voor de Directieraad nu niet altijd duidelijk wat voor incidenten er hebben plaatsgevonden, hoeveel en wat de impact daarvan is geweest.41 Naleving en uitvoering van centraal beleid wordt onvoldoende afgedwongen De CISO wordt periodiek door de IPM-er van een organisatieonderdeel op de hoogte gehouden van de voortgang op de uitvoering van het centrale beleid binnen dat organisatieonderdeel. Op het moment dat organisatieonderdelen het beleid niet naleven kunnen de CPO en de CISO dat niet afdwingen. De CISO-functie is in de gemeente Utrecht zodanig gepositioneerd dat deze geen mandaat heeft om ‘hard’ te sturen op naleving van beleid voor gegevensbescherming door IRM-ers. Er kan wel worden geëscaleerd naar de CIO, maar ook die kan uitvoering en naleving niet afdwingen bij zijn of haar mededirecteuren.
Binnen informatie- en procesmanagement wordt geprobeerd om hier meer grip op te krijgen, onder andere door het vaststellen van jaarplannen gegevensbescherming en informatiebeheer. De Directieraad heeft wel de mogelijkheid om naleving door IRM-ers af te dwingen, maar doet dat in de praktijk onvoldoende. Kwaliteit jaarplannen toegenomen, moeten ook zorgen voor voldoende capaciteit In de jaarplannen gegevensbescherming en informatiebeheer geven organisatieonderdelen (o.a.) aan hoe de belangrijkste thema’s en risico’s rondom gegevensbescherming worden aangepakt. Sinds 2022 gebeurt dat op een risicogebaseerde manier. De jaarplannen laten de geïdentificeerde risico’s zien en op welk niveau die zich bevinden (strategisch – tactisch – operationeel). Door eerdere jaarplannen van hetzelfde organisatieonderdeel te vergelijken worden de nieuw geïdentificeerde risico’s zichtbaar. In de jaarplannen wordt (langs centrale richtlijnen) ook beschreven wie binnen het organisatieonderdeel verantwoordelijk is voor het uitvoeren van de verschillende risicoanalyses. De CIO is gedurende 2023 gestart met het geven van een formele terugkoppeling op de conceptjaarplannen voor 2024. De organisatieonderdelen moeten de adviezen van de CIO doorvoeren voordat de plannen formeel vastgesteld mogen worden.
De jaarplannen worden daardoor kwalitatief beter en van een hoger volwassenheidsniveau.42 En de plannen bieden meer structuur. Daarmee is een stijgende lijn zichtbaar van de eerste risicogebaseerde 39 Rekenkamer Utrecht (2024). Interview gemeente. 40 Rekenkamer Utrecht (2024). Interview gemeente 41 Rekenkamer Utrecht (2024). Interview gemeente. 42 Rekenkamer Utrecht (2024). Interview gemeente.
35
jaarplannen in 2022, naar volledige plannen in 2023 die soms nog lastig en te laat werden vastgesteld, naar kwalitatief goede plannen in 2024 die ook op kortere termijn zijn vastgesteld door de managementteams van de organisatieonderdelen. IRM-ers moeten intern voldoende capaciteit vrijmaken om het jaarplan uit te kunnen voeren. Vanaf de jaarplannen voor 2024 moet worden gezorgd dat IRM-ers dat ook doen. Maar omdat dit een recente ontwikkeling is, is nog onzeker of dit ook in de praktijk zal werken.43 Zo wordt in een jaarplan 2024 voor de belangrijkste geïdentificeerde risico’s aangegeven welke maatregelen al zijn genomen en nog genomen moeten worden, met bijbehorend capaciteitsbeslag. Die capaciteit moet van tevoren al door de IRM-er worden vrijgemaakt. De organisatieonderdelen zouden daarmee tijdig capaciteit in moeten ramen om met risicobeheersing aan de slag te gaan.
3.2
OP TACTISCH EN OPERATIONEEL NIVEAU GEVEN ORGANISATIEONDERDELEN HUN EIGEN INVULLING AAN BELEID
Het uitvoeren van het strategische beleid voor gegevensbescherming is op decentraal niveau belegd. Op tactisch en operationeel niveau geven organisatieonderdelen op een eigen manier invulling aan de uitvoering. Risicoanalyses zijn daardoor niet altijd actueel en sommige risico’s worden niet of niet tijdig beheerst. En van beveiligingsincidenten wordt niet gemeentebreed geleerd en verbeterd. Ondersteuning niet risicogebaseerd verdeeld Zoals aangegeven in paragraaf 2.1 wordt ieder organisatieonderdeel ondersteund bij het uitvoeren van centraal beleid en het identificeren en beheersen van risico’s door één IPM-er en minstens één DISO. Maar niet ieder organisatieonderdeel heeft evenveel ondersteuning nodig. Dat leidt ertoe dat ondersteuningscapaciteit niet wordt vrijgemaakt op basis van de ondersteuningsbehoefte en/of daar waar de grootste risico’s voor de organisatie liggen. Met vijf ‘vliegende’ (flexibel inzetbare) DISO’s wordt geprobeerd om meer flexibel op de ondersteuningsbehoefte in te spelen. Maar er bestaat een bredere behoefte om hier meer domeingericht op te sturen, zodat de ondersteuningscapaciteit nog beter kan worden afgestemd op de plekken die op basis van een bredere risicoafweging de meeste aandacht verdienen.44 Denk bijvoorbeeld aan de organisatieonderdelen die regelmatig met persoonsgegevens of andere privacygevoelige informatie (zogeheten kroonjuwelen) werken.
Zij krijgen op dit moment niet per definitie meer ondersteuning dan de organisatieonderdelen die weinig of niet met dat type informatie aan de slag zijn.
43 Rekenkamer Utrecht (2024). Interview gemeente. 44 Rekenkamer Utrecht (2024). Interviews gemeente.
36
Eerdere risicoanalyses inmiddels uitgevoerd, achterstanden blijven bestaan De risicoanalyses die tijdens het vorige onderzoek nog openstonden – en waardoor het risicogebaseerd maken van afwegingen niet mogelijk was – zijn inmiddels uitgevoerd.45 Maar de ontwikkelingen staan niet stil. Processen en applicaties zijn continu aan verandering onderhevig, waardoor het monitoren van (nieuwe) risico’s voortdurend nodig blijft.46 De afgelopen jaren is er daarom mede op ingezet om een “(…) risicomanagementproces voor gegevensbescherming op te bouwen.”47 Wij constateren dat de gemeente Utrecht hier de afgelopen jaren grote stappen in heeft gezet. Tien van de twaalf organisatieonderdelen hebben op dit moment processen op orde om tactische en operationele risico’s te identificeren, classificeren en monitoren.48 Ieder managementteam moet vervolgens een jaarlijkse risicosessie organiseren om de risico’s op tactisch niveau voor het eigen organisatieonderdeel vast te stellen. Negen van de twaalf organisatieonderdelen slagen erin om zo’n risicosessie een structureel onderdeel van de managementcyclus te maken.49 De risico’s die op basis van de risicosessie worden geïdentificeerd vormen de basis voor de eerdergenoemde risicogebaseerde jaarplannen gegevensbescherming en informatiebeheer die de organisatieonderdelen sinds 2022 opstellen.
Betrokkenen geven aan dat het uitvoeren van risicoanalyses binnen de meeste organisatieonderdelen meer gestructureerd plaatsvindt en beter is belegd in de Plan-DoCheck-Act-cyclus (PDCA).50 En er is volgens hen een stijgende lijn waarneembaar in het aantal risicoanalyses dat door de organisatieonderdelen wordt uitgevoerd op zowel tactisch als operationeel niveau.51 Binnen de organisatieonderdelen heerst daarmee het gevoel dat de meeste risico’s in beeld zijn.52 Ook wij zien dat de organisatie inmiddels verder is met het uitvoeren van de risicoanalyses dan tijdens het rekenkameronderzoek uit 2021. Maar wij constateren ook dat niet alle organisatieonderdelen de afgelopen vier tertalen53 een actuele tactische risicoanalyse hebben uitgevoerd (zie tabel 3.2). Ook niet alle benodigde operationele risicoanalyses worden structureel uitgevoerd (met name de ORA’s en PRA’s). Deze trend is al langer zichtbaar. Zo wordt begin 2023 gezegd: “De trend toont een vertraging van het totaal aantal uitgevoerde operationele analyses (BIA / ORA / PRA / DPIA) per tertaal. (…) Dit vinden we een zorgelijke ontwikkeling.”54 Een betrokkene geeft aan dat de gemeentelijke organisatie 45 Gemeente Utrecht (10 oktober 2023). Raadsbrief Update Rekenkameronderzoek ‘Zo sterk als de zwakste
schakel’. 46 Rekenkamer Utrecht (2024). Interviews gemeente. 47 Gemeente Utrecht (2023). Gegevensbescherming in Utrecht: verantwoord en transparant. Intern strategisch beleidskader voor gegevensbescherming van Utrecht, p. 9. 48 Gemeente Utrecht (januari 2024). Brede rapportage bedrijfsvoering. 49 Gemeente Utrecht (januari 2024). Brede rapportage bedrijfsvoering. 50 Rekenkamer Utrecht (2024). Interview gemeente. 51 Rekenkamer Utrecht (2024). Interviews gemeente. 52 Rekenkamer Utrecht (2024). Interviews gemeente. 53 Een tertaal beslaat een periode van vier maanden. 54 Gemeente Utrecht (2023). Monitor gegevensbescherming T3 2022.
37
geen goede verklaring heeft voor deze ontwikkeling.55 De trend is wel besproken in het MT CIO. Een belangrijke nuancering bij de trend is dat de gemeente Utrecht geen doel heeft gesteld voor het absolute of relatieve aantal risicoanalyses die minimaal uitgevoerd moeten worden. Wij constateren daarom dat blijvende aandacht nodig is om risicoanalyses uit te voeren. Tabel 3.2
Meer risicoanalyses uitgevoerd, maar nog niet allemaal gereed en actueel 2023 T1
2023 T2
2023 T3
2024 T1
8/19
8/19
9/19
13/18
Operationeel
2023 T1
2023 T2
2023 T3
2024 T1
Totaal aantal noodzakelijke Bedrijfs Impact Analyses (BIA’s) die binnen de
244
281
349
360
212 (87%)
256 (91%)
208 (60%)
227 (63%)
118
114
103
108
40 (34%)
28 (25%)
31 (30%)
24 (22%)
142
146
195
321
131 (92%)
140 (96%)
140 (72%)
93 (29%)
105
124
128
82
75 (71%)
94 (76%)
114 (89%)
82 (100%)
Tactisch Aantal organisatieonderdelen dat het afgelopen jaar een tactische risicoanalyse heeft uitgevoerd
organisatieonderdelen uitgevoerd moeten worden ➢ Aantal BIA´s daadwerkelijk uitgevoerd, gereed en actueel Totaal aantal noodzakelijke Operationele Risico Analyses (ORA’s) die binnen de organisatieonderdelen uitgevoerd moeten worden ➢ Aantal ORA´s daadwerkelijk uitgevoerd, gereed en actueel Totaal aantal noodzakelijke Privacy Risico Analyses (PRA’s) die binnen de organisatieonderdelen uitgevoerd moeten worden ➢ Aantal PRA´s daadwerkelijk uitgevoerd, gereed en actueel Totaal aantal noodzakelijke Data Protectie Impact Analyses (DPIA’s) die binnen de organisatieonderdelen uitgevoerd moeten worden ➢ Aantal DPIA´s daadwerkelijk uitgevoerd, gereed en actueel
Bronnen: Rekenkamer Utrecht (2024) o.b.v. Monitor gegevensbescherming van de gemeente Utrecht 2023 T3 en 2024 T1.
Voor meerderheid tactische risico’s nog geen beheersmaatregelen genomen Risico’s moeten niet alleen worden geïdentificeerd, maar vervolgens ook worden geclassificeerd en beheerst. Wij constateren dat de gemeente Utrecht nu verder is met het nemen van beheersmaatregelen dan tijdens het rekenkameronderzoek uit 2021. Tegelijkertijd zien we ook dat voor een meerderheid van de geïdentificeerde tactische risico’s nog geen maatregelen zijn getroffen. Veel risico’s staan ook al lang open. Wanneer maatregelen wel zijn getroffen dan heeft dat vaak (te) lang geduurd. Individuele managers en/of proceseigenaren moeten met het doorvoeren van beheersmaatregelen aan de slag. Maar het risicogebaseerd werken is bij zowel IRM-ers als
55 Rekenkamer Utrecht (2024). Aanvullende vragen aan de gemeente.
38
bij managers en proceseigenaren “(…) nog geen onderdeel van de genen geworden.”56 En: “Medewerkers en leidinggevenden zijn ontzettend druk. Aandacht voor gegevensbescherming komt daar nog bovenop. Het is best een uitdaging om medewerkers daarop in beweging te krijgen.”57 IRM-ers zouden daarom nog te vaak de verantwoordelijkheid voor informatieveiligheid verschuiven naar de CISO en hun DISO.58 Op basis van tabel 3.3 constateren wij dat voor meerdere tertalen een meerderheid van de geïdentificeerde tactische risico’s niet is opgepakt / beheerst. Een groot deel staat ook al langer dan 12 maanden open. En een groot deel van de risico’s die zijn opgelost blijken niet binnen de afgesproken tijdspanne te zijn opgelost. Dit wordt door een aantal betrokkenen ook herkend. Zij zijn van mening dat meer maatregelen nodig zijn59 en dat het oppakken en mitigeren van risico’s vaak nog te lang duurt.60 Wij kunnen niet constateren of er een risicogebaseerde afweging ten grondslag ligt aan de risico’s die wel zijn opgepakt. Ter illustratie vormt DomstadIT een goed voorbeeld van hoe het risicogebaseerd werken en sneller beheersen van ICT-risico’s kan worden uitgevoerd (zie box 3.4). Tabel 3.3
Meerderheid van tactische risico’s nog niet opgepakt
Tactisch Aantal organisatieonderdelen dat het afgelopen jaar een tactische risicoanalyse heeft uitgevoerd Totaal aantal geïdentificeerde tactische risico’s * ➢
➢
2023 T1
2023 T2
2023 T3
2024 T1
8/19
8/19
9/19
13/18
168
131
Aantal openstaande risico’s ➢ Waarvan over tijd ➢ Waarvan open >12 maanden
109
Aantal opgeloste risico’s
36
➢ ➢
203 96
23 65
Waarvan tijdig opgelost Waarvan niet tijdig opgelost
143 23 65
31 9 27
183 141 35 123 59
4 27
41 98 46
32 27
Bron: Rekenkamer Utrecht (2024) o.b.v. Monitor gegevensbescherming van de gemeente Utrecht. * De tabel bevat een aantal optelfouten. Dit ligt aan de brondata die aan de tabel ten grondslag ligt. Het invullen van de brondata is handwerk, cijfers worden vaak uit een andere administratie onttrokken, cijfers van organisatieonderdelen worden niet in detail gecontroleerd dan wel overlegd en niet alle DISO’s hanteren dezelfde nauwkeurigheid en/of hebben dezelfde mate van begrip van wat moet worden ingevuld. Deze tabel wordt dan ook vooral door het MT CIO gebruikt om de grote lijnen te bespreken.61
56 Rekenkamer Utrecht (2024). Interview gemeente. 57 Rekenkamer Utrecht (2024). Interview gemeente. 58 Rekenkamer Utrecht (2024). Interview gemeente. 59 Rekenkamer Utrecht (2024). Interviews gemeente. 60 Rekenkamer Utrecht (2024). Interviews gemeente. 61 Rekenkamer Utrecht (2024). Aanvullende vragen aan de gemeente.
39
13 33
Box 3.4 Hoe DomstadIT stuurt op het sneller beheersen van risico’s Zoals aangegeven in paragraaf 2.1 is DomstadIT een centraal onderdeel binnen informatie- en procesmanagement en is (o.a.) verantwoordelijk voor het leveren van ICT-middelen en de beveiliging daarvan. DomstadIT spreekt haar risico-eigenaren tegenwoordig vaker aan op het sneller oppakken van geïdentificeerde ICT-risico’s. Ook heeft DomstadIT eind 2023 een handboek voor risicomanagement ontwikkeld om haar risicomanagers te helpen bij het identificeren, beoordelen, beheersen en monitoren van risico’s.62 DomstadIT brengt ook iedere maand een risicomanagementrapportage uit waarin wordt aangegeven hoeveel risico’s er zijn geïdentificeerd, afgehandeld, geaccepteerd of nog open staan. Deze rapportage wordt (o.a.) met de risico-eigenaren besproken.63 Deze ontwikkelingen dragen eraan bij dat risico’s sneller worden opgepakt dan voorheen. 64 In die zin is DomstadIT een goed voorbeeld van hoe aan het risicogebaseerd werken invulling gegeven kan worden. Wat ons betreft verdient deze ontwikkeling bredere navolging binnen de gemeentelijke organisatie.
Genomen maatregelen op operationele risico’s onbekend In tabel 3.2 lieten we zien dat de organisatieonderdelen aan de hand van risicoanalyses operationele risico’s identificeren. Er zijn geen data beschikbaar over voor hoeveel van die risico’s beheersmaatregelen zijn genomen. Het is dus onbekend of maatregelen daadwerkelijk zijn genomen, en zo ja of dit risicogebaseerd heeft plaatsgevonden. Organisatie met name op contract- en leveranciersmanagement niet in control Met name het inzicht in de ‘end of life’ dossiers vraagt om aandacht. Er is sprake van end of life wanneer de fabrikant aangeeft het (software)product niet meer te ondersteunen en onderhouden. Daardoor wordt het product (na verloop van tijd) kwetsbaar. De organisatie heeft niet scherp welke producten end of life zijn of dreigen te worden. Het contract- en leveranciersmanagement is decentraal (op operationeel niveau) bij individuele managers en/of systeemeigenaren belegd. Dat vereist dat deze medewerkers dit ook als hun eigen taak zien, daar verantwoordelijkheid in nemen en op sturen. Dat gebeurt volgens betrokkenen nog te weinig.65 De gemeente Utrecht is daardoor niet in control.
Dat leidt ertoe dat de verantwoordelijke medewerkers niet altijd goede afspraken maken met leveranciers, in de gaten houden dat aan afspraken wordt voldaan, dat software wordt geüpdatet of dat tijdig wordt aanbesteed wanneer contracten aflopen.66 Er is daardoor beperkt zicht op oude – maar nog steeds actief zijnde – software. Dit leidt niet alleen tot kwetsbaarheden, maar ook tot de onmogelijkheid om het life cycle management uit te voeren om aan de Baseline Informatiebeveiliging Overheid67 te voldoen. Er wordt daarom gewerkt aan het samenstellen
62 Gemeente Utrecht (2024). Handboek Risicomanagement Gegevensbescherming. 63 Rekenkamer Utrecht (2024). Interview gemeente. 64 Rekenkamer Utrecht (2024). Interview gemeente. 65 Rekenkamer Utrecht (2024). Interview gemeente. 66 Rekenkamer Utrecht (2024). Interview gemeente. 67 De BIO is het basisnormenkader voor informatiebeveiliging binnen alle Nederlandse overheidslagen. Zie verder
hoofdstuk 2 (en met name box 2.1).
40
van een overzicht met alle end of life contracten en dossiers om te bepalen wat de doorlooptijden zijn en de mogelijke issues die daarbij komen kijken.68 Organisatieonderdelen leren op eigen manier van incidenten Het afhandelen van beveiligingsincidenten verloopt volgens betrokkenen goed, maar duurt soms nog langer dan nodig. Dat komt met name doordat medewerkers elkaar niet altijd zelfstandig weten te vinden.69 Het vervolgens leren en verbeteren van incidenten is aan de organisatieonderdelen zelf. IRM-ers gaan daar dan ook op hun eigen manier mee om. Zo geeft één IRM-er aan ernstige incidenten te bespreken met het managementteam, waarna de managers dat vervolgens vaak op hun eigen manier bespreekbaar maken in hun teams.70 De monitor gegevensbescherming bevat per vier maanden gegevens over het aantal incidenten dat per organisatieonderdeel heeft plaatsgevonden. De monitor bevat geen gegevens over de manier waarop de incidenten zijn opgepakt. Op basis van de beschikbare gegevens wordt geprobeerd trends zichtbaar te maken. In de viermaandelijks gesprekken tussen IPM-er en het managementteam wordt over strategieën gesproken om die trends te beheersen.71 Hier is geen vast proces voor. IPM-ers hebben daarnaast geen zicht op de manieren waarop incidenten bij andere organisatieonderdelen worden opgepakt.72 Daarmee wordt onvoldoende van elkaar geleerd.
We gaven in paragraaf 2.3 aan dat DomstadIT een eigen registratiesysteem voor securityincidenten bijhoudt. Incidenten werden bij DomstadIT altijd al goed opgepakt, maar het aanspreken van elkaar en het goed evalueren van incidenten ontbrak soms.73 De afgelopen jaren is ingezet op verbetering daarvan. Onder andere het registratiesysteem wordt daarvoor gebruikt. Incidenten hebben echter niet altijd uitsluitend betrekking op DomstadIT, maar vaak ook op één of meerdere processen van een organisatieonderdeel. De managementteams van de organisatieonderdelen hebben geen zicht op het registratiesysteem van DomstadIT. Betrokkenen opperen een meer centraal en inzichtelijk registratiesysteem te hanteren, zodat beter kan worden geanalyseerd waar incidenten het vaakst plaatsvinden.74 En zodat gemeentebreed en meer integraal van incidenten kan worden geleerd en verbeterd. Zo heeft de coördinator bewustwording gegevensbescherming op dit moment geen zicht op de oorzaken van incidenten. Bewustwordingscampagnes en -activiteiten kunnen nu dus niet vanuit een centraal punt worden afgestemd op de incidenten die decentraal plaatsvinden.75
68 Rekenkamer Utrecht (2024). Interview gemeente. 69 Rekenkamer Utrecht (2024). Interview gemeente. 70 Rekenkamer Utrecht (2024). Interview gemeente. 71 Rekenkamer Utrecht (2024). Interview gemeente. 72 Rekenkamer Utrecht (2024). Interview gemeente. 73 Rekenkamer Utrecht (2024). Interview gemeente. 74 Rekenkamer Utrecht (2024). Interview gemeente. 75 Rekenkamer Utrecht (2024). Interview gemeente.
41
Gegevensbeschermingsmanagementsysteem (GBMS) nog onvoldoende uitgewerkt voor de uitvoering, management organisatieonderdelen desondanks wel goed geïnformeerd In paragraaf 2.4 legden we uit dat het GBMS wordt gebruikt om verantwoording af te leggen aan het management. Het GBMS onderscheidt daarvoor PDCA-cycli op drie niveaus (strategisch, tactisch, operationeel). Deze cycli moeten met elkaar in verbinding staan doordat eigenaren hun eigen PDCA-cyclus afstemmen op die van andere eigenaren. Onder andere door aan te sluiten op de bestaande planning- & controlcyclus van de gemeente. Maar hoe en hoe vaak precies afgestemd moet worden tussen de niveaus, wordt niet gespecificeerd. Het wordt ook niet duidelijk hoe de eigenaren op hetzelfde niveau met elkaar afstemmen (bijvoorbeeld de verschillende organisatieonderdelen op het tactische niveau, die allen een eigen PDCA-cyclus hanteren). Het GBMS mist daarmee nog de concrete controleslag op en tussen de verschillende niveaus. Ook niet alle medewerkers maken op dit moment gebruik van het GBMS.76 Wij constateren dat het GBMS in opzet goed is, maar nog onvoldoende is uitgewerkt om er in de praktijk (integraal) uitvoering aan te kunnen geven. Het afleggen van verantwoording op tactisch en operationeel niveau gebeurt viermaandelijks.
De IPM-ers rapporteren periodiek aan het managementteam van hun eigen organisatieonderdeel over de voortgang op de uitvoering van het jaarplan. Dat gebeurt aan de hand van een rapportage over recordmanagement, privacy en informatieveiligheid. Deze rapportage wordt ook periodiek met de IPM-er besproken. De CISO of CPO is daar ook bij aanwezig. Er wordt met name gesproken over de voortgang op de acties en (beheers)maatregelen die zijn uitgevoerd op de eerder geïdentificeerde risico’s. Op die manier blijft het management van het organisatieonderdeel goed betrokken bij en geïnformeerd over de uitvoering.77
76 Rekenkamer Utrecht (2024). Interview gemeente. 77 Rekenkamer Utrecht (2024). Interview gemeente.
42
4
MENS: MAATREGELEN IN OPZET GOED, IN DE PRAKTIJK NOG TE VRIJBLIJVEND
In 2022 heeft de gemeente het bewustwordingsplan voor veilig digitaal werken vastgesteld. De maatregelen daarin zijn goed, maar de uitvoering ervan is vrijblijvend. Zo heeft een klein deel van de medewerkers de e-learning afgerond en maken niet alle organisatieonderdelen gebruik van ambassadeurs als verbinding tussen de uitvoerende medewerkers en de professionals op het gebied van informatieveiligheid (DISO’s en IPM-ers). Er zijn de afgelopen jaren door de gemeente geen phishing testen uitgevoerd. Uit onze testen blijkt dat medewerkers inloggegevens afstaan tijdens voice phishing en achtergelaten USB-sticks gebruiken. Niet alle medewerkers die met deze testen te maken hebben gehad, hebben hier melding van gemaakt. En niet alle gemeentelijke medewerkers spreken onbevoegden aan, waardoor zij lang ongestoord kunnen verblijven op medewerkersgedeelten van het Stadskantoor en Stadhuis.78 In dit hoofdstuk beschrijven we de manier waarop bewustwording een plaats krijgt in beleid en organisatie en hoe de medewerkers van de gemeente hier in de praktijk mee omgaan. Daarbij gaan we ook in op hoe dit zich sinds het onderzoek uit 2021 heeft ontwikkeld. We beantwoorden hiermee onderzoeksvraag 2. De uitvoering, afgezet tegen de bijbehorende norm, leidt in figuur 4.1 tot onze beoordeling en bevindingen.
Hierin leggen we ook direct de relatie tussen de onderzoeksvraag, de normen en bijbehorende criteria. Figuur 4.1
Normen, criteria en beoordeling "Mens"
78 De uitkomsten van een recente audit van concernaudit bevestigt onze bevindingen ten aanzien van de
beperkte deelname aan de e-learning, het ontbreken van phishing testen en het gedrag van medewerkers (Concernaudit (8 augustus 2024). Rapport Cyberweerbaarheid).
43
Toelichting op het normenkader Breed wordt onderkend dat het gedrag van mensen het belangrijkste aspect in de informatiebeveiliging is. Uit onderzoek komt naar voren dat hier vaak de grootste risico's en kwetsbaarheden optreden. Daarom is het van groot belang dat de gemeente Utrecht een concreet plan heeft om medewerkers bewust te maken van een goede manier van omgaan met (persoonlijke) informatie. En daarnaast moet ook uit de dagelijkse praktijk blijken dat medewerkers dit bewustzijn en het bijpassende gedrag ook in de uitvoering van de werkzaamheden laten zien.
4.1
BEWUSTWORDINGSPLAN VASTGESTELD, UITVOERING MAATREGELEN NOG TE VRIJBLIJVEND
Vanuit de Baseline Informatiebeveiliging Overheid BIO79 is voorgeschreven dat alle medewerkers van de organisatie en – voor zover relevant – contractanten een passende bewustzijnsopleiding en -training krijgen en regelmatige bijscholing van beleidsregels en procedures van de organisatie, voor zover dat relevant is voor hun functie. Ten tijde van het rekenkameronderzoek in 2021 ontbrak een centraal programma informatiebewustzijn. De organisatieonderdelen besteedden destijds individueel en op hun eigen manier aandacht aan het onderwerp en voerden ad hoc acties uit. De rekenkamer deed daarom de aanbeveling om structureel te gaan investeren in het bewustzijn van medewerkers over informatieveiligheid. En daarbij ook aandacht te gaan besteden aan tijdelijke en externe medewerkers, omdat de introductie op het onderwerp informatiebewustzijn vaak alleen gericht was op vaste en niet ook op tijdelijke of externe medewerkers. In oktober 2020 is het opstellen van het programma “Bewustwording Gegevensbescherming” opgestart.80 Dit programma diende als strategisch document dat vervolgens werd uitgewerkt in het “Actieplan bewustwording gegevensbescherming”. Als vervolg op het actieplan is op 21 juni 2022 het plan “Bewustwording en communicatie gegevensbescherming. Hoe we bewust gedrag kunnen stimuleren door transparant te communiceren” vastgesteld.
In dit plan wordt op basis van kennis uit de gedragswetenschap ermee rekening gehouden dat van alle 79 De BIO is het basisnormenkader voor informatiebeveiliging binnen alle Nederlandse overheidslagen. Zie verder
hoofdstuk 2 (en met name box 2.1). 80 Gemeente Utrecht (9 juli 2021). Raadsbrief Plan van aanpak bij het rekenkameronderzoek.
44
beslissingen die mensen op een dag nemen, zij er 95% tot 99% onbewust nemen. Het programma richt zich er dan ook op om medewerkers onbewust bekwaam te maken.81 In het plan worden de doelen, doelgroepen, communicatiekanalen en -middelen, en de organisatie en financiën beschreven. In de gemeentelijke organisatie is veel waardering voor het plan: betrokkenen vinden het duidelijk geschreven met een heldere opdracht en dat het plan handvatten biedt om er uitvoering aan te kunnen geven.82 Wij zien dat met name de aangekondigde maatregelen in het plan in opzet goed zijn, maar dat de uitvoering daarvan nog te vrijblijvend is. Het plan (dat centraal is opgesteld en vastgesteld) bevat ook verantwoordelijkheden voor de “decentrale organisatie”. Naast de inzet van het CIO Office wordt namelijk inzet gevraagd van de organisatieonderdelen. Leidinggevenden worden geacht hun medewerkers jaarlijks minimaal vier uur tijd beschikbaar te stellen zodat zij de e-learning kunnen volgen en kunnen deelnemen aan één of twee bewustwordingsactiviteiten. Ook een aanvullende introductie voor nieuwe medewerkers, aandacht en scholing voor specifieke kennis die nodig is voor de aard van de werkzaamheden, en de inzet van ambassadeurs zijn activiteiten die aan de organisatieonderdelen worden gelaten.
In de praktijk wordt zichtbaar dat organisatieonderdelen hier dan ook op heel verschillende manieren invulling aan geven. Daardoor verschilt aandacht voor en intensiteit van bewustwordingsactiviteiten per organisatieonderdeel. Deelname aan de e-learning blijft achter bij de doelstelling, ook andere maatregelen laten soms lang op zich wachten, phishing-testen ontbreken zelfs volledig Betrokkenen merken ook op dat er sinds het centrale plan “steviger wordt geacteerd” op bewustwording.83 De belangrijkste maatregelen en acties in de afgelopen jaren maken ook zichtbaar dat er sinds het vorige onderzoek veel in gang is gezet. In tabel 4.2 laten we zien wanneer de maatregelen in de gemeentelijke organisatie zijn geïmplementeerd. De donkergroene velden geven aan dat deze maatregel in dat jaar volledig is ingevoerd, de lichtgroene velden betekenen dat dit ten dele het geval was. Met name de algemene, informerende maatregelen zijn relatief snel en ‘volledig’ genomen. Uit het overzicht komt echter ook naar voren dat verschillende van de voorgenomen maatregelen nog open staan (witte velden). Met name het uitblijven van jaarlijkse interventies zoals phishing-simulaties valt hierbij op, omdat wel onderkend wordt dat dergelijke regelmatige en terugkerende acties nodig zijn om het bewustzijn vast te houden.
Het college geeft daarnaast ook aan de adoptie en het effect van maatregelen op bewustwording nauwlettend te willen monitoren. Op dit moment is er in de gemeentelijke organisatie nog altijd de wens om structureel interventies zoals phishing-simulaties in te zetten.84
81 Gemeente Utrecht (21 juni 2022). Plan Bewustwording en communicatie gegevensbescherming. Hoe we
bewust gedrag kunnen stimuleren door transparante te communiceren. 82 Rekenkamer Utrecht (2024). Interviews gemeente. 83 Rekenkamer Utrecht (2024). Interview gemeente. 84 Gemeente Utrecht (9 juli 2021). Raadsbrief Plan van aanpak bij het rekenkameronderzoek; Rekenkamer Utrecht (2024). Interview gemeente.
45
Tabel 4.2 Maatregelen hebben in de uitvoering een vrijblijvend karakter en een deel staat nog open 2021
2022
2023
2024
Informerend: Berichten op Intranet Informatieboekje veilig werken Website over gegevensbescherming Campagnes (m.n. Stadskantoor)
Bewustwording: Welkomstmail nieuwe medewerkers Gegevensbescherming onderdeel onboardingsprogramma Trainingen voor nieuwe en bestaande leidinggevenden Beschikbaar stellen verdiepende opleidingen en trainingen Vaststellen gebruikersprotocol Inzetten ambassadeurs gegevensbescherming E-learning voor alle medewerkers Jaarlijks organiseren minstens 2 interventies (phishing, pubquiz, etc.) Bron: Rekenkamer Utrecht (2024) o.b.v. Plan Bewustwording en communicatie gegevensbescherming; Interviews gemeente (2024).
Bij andere maatregelen op de bewustwording constateren wij dat de implementatie lang op zich heeft laten wachten. Zo was de verwachting in juli 2021 dat het gebruikersprotocol in het derde kwartaal van dat jaar zou worden vastgesteld, maar was dit uiteindelijk pas in februari 2024. En de specifieke aandacht voor informatieveiligheid bij de onboarding van nieuwe medewerkers is centraal geregeld maar pas vanaf 2023 in de praktijk gebracht.85 Vanaf april 2021 werd volstaan met schriftelijke informatie in een welkomstmail aan alle nieuwe – dus ook de tijdelijke en externe – medewerkers waarin werd verteld welke soorten informatie er zijn en hoe hiermee moet worden omgegaan. Ook werden er voor leidinggevenden en specifieke functies verdiepende trainingen en opleidingen aangeboden, waar decentraal binnen de organisatieonderdelen ook vaak verschillend invulling aan wordt gegeven. Ook het inzetten van ambassadeurs als vooruitgeschoven posten is in 2021 gestart met verschillende pilots. Bij vier organisatieonderdelen – Volksgezondheid, Maatschappelijke Ontwikkeling, een deel van Wijken en een deel van Vergunningen, Toezicht en Handhaving – is deze aanpak formeel gebruik geworden. Bij
85 Gemeente Utrecht (30 maart 2023). Veilig werken onboarding.
46
andere organisatieonderdelen is dit nog “in ontwikkeling”.86 Voor betrokkenen bij deze organisatieonderdelen blijken de ambassadeurs daarmee (vrijwel) niet zichtbaar.87 De e-learning voor alle medewerkers wordt gezien als kern van de aanpak op bewustwording. In juli 2021 is de aanbesteding gedaan om te komen tot een geschikte applicatie. Vervolgens is de e-learning vanaf 2022 gefaseerd geïmplementeerd in de gemeentelijke organisatie. Op dit moment is de e-learning bij 13 van de 18 organisatieonderdelen uitgerold. Bij de overige vijf organisatieonderdelen is dit ‘deels’ gedaan.88 Binnen de e-learning wordt inmiddels een breed palet aan cursussen aangeboden, maar het gebruik wordt niet afgedwongen. Wel zouden er al in de loop van 2022 maatregelen worden genomen als gedurende het jaar zou blijken dat het gebruik van deze tools achterblijft.89 Het oorspronkelijke doel daarbij was dat alle medewerkers minimaal het niveau zilver in de e-learning zouden gaan behalen. De aangekondigde maatregelen om achterstanden in te lopen zijn niet uitgevoerd. In 2023 is wel het algemene afrondingspercentage waarnaar gestreefd wordt bijgesteld naar 80% van alle medewerkers medio 2024. Wij constateren echter dat het gebruik van de e-learning al enkele jaren niet voldoet aan deze doelstellingen (zie tabel 4.3). De gemeenteraad is hierover in oktober 2023 ook geïnformeerd.
Op dat moment had ”ongeveer 10% van de ongeveer 7.000 medewerkers het gewenste niveau (level zilver) behaald.”90 Uit de cijfers van het eerste tertaal van 2024 blijkt dat ruim 79% van de medewerkers niet op het minimale niveau zilver is. Tabel 4.3
Deelname aan de e-learning blijft achter bij de doelstellingen 2023 - 1
Niet gestart
Beginner
Brons
Zilver
Goud
2023 - 2
2024 - 1
Aantal
5.814
5.276
4.653
Percentage
84,5%
71,3%
64,4%
Aantal
267
401
470
Percentage
3,9%
5,4%
6,5%
Aantal
386
614
593
Percentage
5,6%
8,3%
8,2%
Aantal
416
413
484
Percentage
6,0%
5,6%
6,7%
-
692
383
0,0%
9,4%
5,3%
Aantal Percentage
86 Gemeente Utrecht (9 juli 2021). Raadsbrief Plan van aanpak bij het rekenkameronderzoek; Gemeente Utrecht
(10 oktober 2023). Raadsbrief Update Rekenkameronderzoek ‘Zo sterk als de zwakste schakel”. 87 Rekenkamer Utrecht (2024). Interview gemeente. 88 Gemeente Utrecht (april 2024). Monitor gegevensbescherming 1 e tertaal 2024, concernoverzicht. 89 Gemeente Utrecht (9 juli 2021). Raadsbrief Plan van aanpak bij het rekenkameronderzoek. 90 Gemeente Utrecht (10 oktober 2023). Raadsbrief Update Rekenkameronderzoek ‘Zo sterk als de zwakste schakel’.
47
Diamant
Totaal
Aantal
-
-
640
Percentage
-
-
8,9%
6.883
7.396
7.223
100,0%
100,0%
100,0%
Aantal Percentage
Bron: Rekenkamer Utrecht (2024) o.b.v. de dashboards deelname e-learning concern.
Betrokkenen zien dat er verschillende belemmeringen zijn om de e-learning te volgen. Zo vinden zij de huidige opzet te breed, te weinig flexibel, niet passend bij alle functies die er zijn en voor delen van de organisatieonderdelen te moeilijk.91 Er zijn ook grote verschillen zichtbaar in de deelnamecijfers per organisatieonderdeel. De organisatieonderdelen Werk en Inkomen, Publiekszaken en Maatschappelijke Ontwikkeling kennen in vergelijking een hogere deelname, maar nog altijd heeft daar respectievelijk bijna 55%, ruim 31% en ruim 26% van alle medewerkers het gewenste niveau (op basis van de meest recente cijfers). De e-learning is bij raads-, commissie- en fractieleden niet onder de aandacht gebracht. Dit geldt ook voor de leden van de rekenkamer. Uit de verdiepende analyse van concernaudit blijkt dat de deelname van het college en de 20 hoogste ambtenaren (“20Beraad”) ondermaats is. Slecht 1 persoon in het college en 6 van de 20 hoogste ambtenaren hebben minstens niveau zilver behaald.92 Daarnaast wordt door betrokkenen ook opgemerkt dat het eenmalige karakter maakt dat de e-learning de bewustwording niet langdurig vergroot.93 De discussie over te nemen maatregelen om het gebruik van de e-learning te vergroten loopt op dit moment nog.
Inmiddels heeft de centrale ondernemingsraad toestemming gegeven om deelname aan de e-learning verplicht te stellen.94 Daarnaast wordt ook nagedacht over het aanbrengen van meer flexibiliteit en maatwerk.95 De regiegroep heeft medio 2024 de elearning ook geëvalueerd met het oog op een komende nieuwe aanbesteding.96 Voor de langere termijn – vanaf 2025 – wordt nagedacht over een digitale ‘license to operate’: een breder toelatingsbewijs voor startende medewerkers voordat zij van de gemeentelijke ICT gebruik kunnen maken.97
4.2
MEDEWERKERS KWETSBAAR VOOR EXTERNE AANVALLEN
Uit ons rekenkameronderzoek van 2021 bleek dat een aanzienlijk deel van de medewerkers niet altijd bewust omging met informatie. Bij de beveiligingstesten die we destijds uit lieten voeren stond 16% van de medewerkers gebruikersnaam en wachtwoord af. Een deel 91 Rekenkamer Utrecht (2024). Interviews gemeente. 92 Concernaudit (8 augustus 2024). Rapport Cyberweerbaarheid. 93 Rekenkamer Utrecht (2024). Interview gemeente. 94 Rekenkamer Utrecht (2024). Interview gemeente. 95 Rekenkamer Utrecht (2024). Interview gemeente. 96 Rekenkamer Utrecht (2024). Interview gemeente. 97 Rekenkamer Utrecht (2024). Interviews gemeente.
48
daarvan deed dat ook nadat de gemeente na de eerste testdag een waarschuwing had uitgegeven. Ook de beveiliging en sociale controle bleek op het Stadskantoor en Stadhuis niet voldoende om te voorkomen dat onbevoegden gemakkelijk en ongestoord binnen konden komen en blijven. Medewerkers nog altijd onvoldoende bewust van de waarde van informatie Door de e-learning, de algemene berichtgeving en aandacht voor het onderwerp op Intranet en via campagnes op de kantoorlocaties hoopt de gemeente dat de bewustwording voor informatiebeveiliging van haar medewerkers is toegenomen. In de praktijk wordt ook hier gewezen op de verschillen tussen de organisatieonderdelen.98 Betrokkenen vragen zich ook af of aandacht vragen voor het onderwerp ook wel daadwerkelijk bewustwording verhogend is.99 Anderen onderkennen namelijk dat in bredere zin kennis en vaardigheden nog vaak tegenvallen en dat er ook wel naïef gedrag zichtbaar blijft. Bijvoorbeeld als het gaat om gedrag op de werkplekken – zoals het niet locken van het beeldscherm als men de werkplek verlaat – en bij ontmoetingsplekken als de koffieautomaat waar gevoelige informatie weliswaar onderling maar in de openbaarheid wordt gedeeld.100 Ook de uitkomsten van de mystery guest bezoeken die we uit hebben laten voeren onderschrijven het voorgaande. Tijdens deze bezoeken waren diverse computers op het Stadskantoor niet vergrendeld.
En op de bureaus lagen diverse documenten, mappen en notitieblokken. Zelfs bij de netwerkbeheerders zijn er notitieblokken aangetroffen waarvan één post-it met doorgestreepte wachtwoorden. Gesprekken van medewerkers bleken voor de mystery guest op het Stadskantoor af te luisteren in de kantine en op de werkplekken. Zo was het mogelijk om mee te luisteren bij de presentatie ‘onboarding devices’ voor nieuwe medewerkers in de kantine en bij een telefoongesprek over maatregelen tegen de op dat moment gaande zijnde voice phishingtest. In het Stadhuis is een oude laptop van de gemeente Utrecht aangetroffen met daarop een sticker ‘inloggen Welkom123’. Het was niet mogelijk om deze laptop aan te zetten, want de batterij van de laptop was leeg en de bijbehorende adapter was niet aanwezig.101 Onvoldoende bewust van de risico’s van het gebruiken van achtergelaten USB-sticks Net als in 2020 heeft de rekenkamer in 2024 een USB-dropping laten uitvoeren. Een kwaadwillende kan met een USB-stick namelijk oneigenlijk toegang krijgen tot de computer van de gebruiker. Medewerkers van de gemeente blijken nog altijd onvoldoende op de hoogte te zijn van de gevaren van USB-dropping. Bij de mystery guest bezoeken op het Stadskantoor en op het Stadhuis zijn tussen 3 en 5 juni vijf USB-sticks op verschillende plekken achtergelaten (zie figuur 4.4).
98 Rekenkamer Utrecht (2024). Interviews gemeente. 99 Rekenkamer Utrecht (2024). Interview gemeente. 100 Rekenkamer Utrecht (2024). Interviews gemeente. 101 Rekenkamer Utrecht (18 juli 2024) o.b.v. NFIR. Rapportage Social Engineering: Mystery Guest, Voice
Phishing, USB dropping.
49
Op 4 en 6 juni zijn de bestanden op twee USB-sticks onveilig geopend. Dit is een vergelijkbare uitkomst met het rekenkameronderzoek uit 2021 toen twee van de vier achtergelaten USB-sticks werden geopend. Drie USB-sticks zijn door medewerkers ingeleverd bij het Serviceplein. Eén USB-stick is gevonden op de 18e verdieping (waar ook de IPM-afdeling is gehuisvest). Door de USB-stick te analyseren stelde DomstadIT op 12 juni vast dat deze malware bevatte. Diezelfde dag is Safety & Security (S&S) hiervan op de hoogte gesteld. Op basis daarvan heeft S&S haar beveiligers en centralisten verzocht om scherp te zijn op eventueel rondslingerende USB-sticks of andere afwijkende materialen. Specifiek ook bij de surveillance en brand- en sluitrondes die dagelijks worden gelopen. Er zijn verder geen USB-sticks meer aangetroffen, waardoor één USB-stick nog altijd niet is gevonden of ingeleverd. Het gebruiken van USB-sticks is in de extern toegankelijke (virtuele) werkomgeving van de gemeente overigens geblokkeerd, maar dat geldt niet voor het gebruik van USB-sticks op de beheerde laptop omdat volgens betrokken nog verder uitgezocht moet worden wat de impact daarvan zou zijn op de dagelijkse werkzaamheden van medewerkers.102
Figuur 4.4
USB-sticks zijn achtergelaten op verschillende plekken op het Stadskantoor en Stadhuis
Bron: Rekenkamer Utrecht (2024) o.b.v. NFIR (2024).
Medewerkers met voice phishing over te halen om inloggegevens af te staan Medewerkers van de gemeente blijken ook te verleiden te zijn om hun inloggegevens achter te laten tijdens voice phishing. Ook wanneer er anoniem wordt gebeld. In totaal zijn zeven medewerkers van de gemeente Utrecht door het externe bureau via de telefoon benaderd via 19 belpogingen. Van de zeven medewerkers hebben vier medewerkers een website geopend en daar hun inloggegevens ingevoerd op een nep ICT Servicedesk pagina. Medewerkers blijken niet altijd de ware identiteit van de beller te controleren. En het is voor kwaadwillenden eenvoudig om op basis van openbare informatie de persoonsgegevens van een medewerker van de gemeente te benutten. Medewerkers van de gemeente blijken zich
102 Rekenkamer Utrecht (2024). Interview gemeente.
50
niet bewust van de gevaren van voice phishing.103 Het is niet mogelijk om een ontwikkeling of trend af te leiden met eerdere phishingacties, omdat de acties uit 2020 anders van opzet waren (mail phishing) en er in de afgelopen jaren door de gemeente geen phishingtesten zijn uitgevoerd. Betrokkenen ervaren een open cultuur, maar elkaar aanspreken op ongewenst gedrag, het melden van incidenten en aanspreken van onbekend bezoek gebeurt nog onvoldoende Net als ten tijde van ons onderzoek in het najaar van 2020 ervaren betrokkenen een open cultuur bij de gemeente Utrecht. Een open en veilige cultuur is belangrijk om medewerkers zich vrij te laten voelen om incidenten en risico’s te melden en maatregelen voor te stellen. Het omgaan met informatiebeveiligingsincidenten is inmiddels een vast onderdeel van het bewustwordingsprogramma. Medewerkers worden gestimuleerd om incidenten te melden en bij de afhandeling richt men zich erop om van de ervaring te leren en melders er niet op af te rekenen. Betrokkenen benadrukken dat daar blijvende aandacht voor moet zijn, omdat er nog altijd schaamte rond het melden van incidenten bestaat.104 Er zijn twee routes voor de meldingen: formeel via Serviceplein en informeel via de IPM-er en/of de DISO van het organisatieonderdeel.
Omdat beide routes regelmatig worden gebruikt, is het algemene beeld dat medewerkers incidenten in principe wel durven te melden.105 Het aantal gemelde incidenten is echter al langere tijd min of meer stabiel. Uit de meest recente monitoren gegevensbescherming blijkt dat het per tertaal om circa 40 tot 45 meldingen van securityincidenten gaat. En ook het aantal meldingen van datalekken is min of meer stabiel tussen de 40 en 50 per tertaal.106 Jaarlijks komt het aantal meldingen daarmee per categorie op circa 150. Het elkaar aanspreken op ongewenst gedrag komt in de beleving van betrokkenen maar mondjesmaat voor.107 Betrokken merken dat de cultuur bij de gemeentelijke organisatie nog vaak te “lief, naïef en behulpzaam” of “te slap” is.108 Dit wordt ook zichtbaar bij de bezoeken van de mystery guest. Op verschillende momenten is deze door medewerkers van de gemeentelijke organisatie aangesproken, maar medewerkers begeleiden ongewenste bezoekers niet naar buiten het beveiligd gebied.109 Meldingen van de USB-dropping lieten over het algemeen langer op zich wachten. Over de voice phishing werd beter gemeld (maar niet door iedereen). Zo werden op maandag 3 juni de eerste inloggegevens van twee medewerkers bemachtigd. Die dag kwam één melding over de voice phishing binnen bij het Serviceplein.
Op donderdag 6 juni werden de inloggegevens van nog twee medewerkers 103 Rekenkamer Utrecht (18 juli 2024) o.b.v. NFIR. Rapportage Social Engineering: Mystery Guest, Voice
Phishing, USB dropping. 104 Rekenkamer Utrecht (2024). Interview gemeente. 105 Rekenkamer Utrecht (2024). Interviews gemeente. 106 Gemeente Utrecht (april 2024). Monitor gegevensbescherming 1 e tertaal 2024, concernoverzicht. 107 Rekenkamer Utrecht (2024). Interviews gemeente. 108 Rekenkamer Utrecht (2024). Interview gemeente. 109 Rekenkamer Utrecht (18 juli 2024) o.b.v. NFIR. Rapportage Social Engineering: Mystery Guest, Voice Phishing, USB dropping.
51
bemachtigd, waarna nog eens vijf medewerkers melding deden. Er is door DomstadIT snel gehandeld en meteen besloten om dit als een security incident aan te merken. Diezelfde dag werd nog een waarschuwing over een actieve voice phishing aanval verstuurd naar alle gemeentelijke medewerkers. Medewerkers accepteren niet altijd dat zij op hun houding, gedrag of functioneren worden aangesproken. Het is voor leidinggevenden daarom lastig om daarop te sturen.110 Om dingen te kunnen veranderen in houding en gedrag bij incidenten achten betrokkenen dan ook een cultuurverandering nodig. “Mensen mogen kritisch zijn op zichzelf en collega’s, zodat iedereen leert van situaties. (…) Dit stukje reflectiviteit en leren is mogelijk nog niet goed georganiseerd.”111 Hierbij is het besef aanwezig dat cultuurverandering tijd nodig heeft. Daarom wordt ook hier life cycle management ingezet, waarbij de verandering begint bij de nieuwe medewerkers. Hen wordt (tijdens de onboarding) met name onder de aandacht gebracht dat zij zelf een verantwoordelijkheid dragen bij gegevensbescherming. In een periode van ongeveer zeven jaar (bij natuurlijk verloop) zou dan een cultuurverandering breder moeten zijn doorgevoerd.112
110 Rekenkamer Utrecht (2024). Interview gemeente. 111 Rekenkamer Utrecht (2024). Interview gemeente. 112 Rekenkamer Utrecht (2024). Interviews gemeente.
52
5
TECHNIEK: INFORMATIE BETER BEVEILIGD TEGEN DIGITALE INBRAKEN
Gemeentelijke systemen zijn beter beveiligd tegen digitale inbraken dan in 2021. Doordat technische maatregelen zijn doorgevoerd doorstaan systemen en applicaties zowel externe als interne penetratietesten. Deze testen identificeren nog wel een aantal ‘hoge’ risico’s die aangepakt moeten worden. Thuiswerkplekken zijn inmiddels goed beveiligd dankzij het doorvoeren van (technische) maatregelen. Dit geldt ook voor de door de gemeente beheerde laptops en telefoons. Maar het gedrag van medewerkers is op afstand niet controleerbaar. Ook in de thuiswerksituatie is dus een belangrijke rol weggelegd voor bewustwording bij medewerkers over het veilig en verstandig omgaan met informatieveiligheid. De fysieke beveiliging op het Stadskantoor is nog steeds ontoereikend. Op het Stadhuis zijn beveiligingsmaatregelen doorgevoerd, maar ook daar blijft het mogelijk om als onbevoegde toegang te krijgen tot het beveiligd gebied en informatie in te zien. In dit hoofdstuk beschrijven we de uitkomsten van de verschillende testen die het externe bureau heeft uitgevoerd op de technische en fysieke beveiliging. Daarbij wordt ook in kaart gebracht hoe er opvolging is gegeven aan de aanbevelingen op dit aspect uit het vorige onderzoek. Hiermee beantwoorden we de onderzoeksvragen 3a en 3b. De uitvoering, afgezet tegen de bijbehorende norm, leidt in figuur 5.1 tot onze beoordeling en bevindingen.
Hierin leggen we ook direct de relatie tussen de onderzoeksvraag, de norm en bijbehorende criteria. Figuur 5.1
Norm, criteria en beoordeling "Techniek"
53
Toelichting op het normenkader Om de informatie tegen toegang en misbruik voor onbevoegden te beschermen is een goede technische beveiliging van systemen en applicaties nodig. Daarnaast werken veel medewerkers van de gemeente Utrecht deels thuis of op andere locaties. Het is daarom nodig dat de gemeente ook maatregelen treft om dit werken op afstand veilig te laten verlopen. En een adequate fysieke beveiliging moet voorkomen dat externen toegang hebben tot de afgesloten delen van de gemeentelijke gebouwen en daar geheime of vertrouwelijke informatie kunnen inzien of ontvreemden.
5.1
DIGITALE INBRAKEN DOOR TECHNISCHE MAATREGELEN NIET MEER MOGELIJK
Zowel voor ons onderzoek in het najaar van 2020 als tijdens dit opvolgingsonderzoek is de technische beveiliging van de systemen en applicaties van de gemeente Utrecht door een gespecialiseerd bureau onderzocht.113 Hiervoor zijn verschillende zogeheten penetratietesten uitgevoerd. Bij externe penetratietesten gaat het om digitale aanvallen van buitenaf, bij interne penetratietesten om digitale aanvallen vanaf werklocaties van de gemeente. De testen zijn uitgevoerd volgens internationale standaarden voor het ontdekken en classificeren van kwetsbaarheden.114 De kwetsbaarheden die dit keer gevonden zijn, lichten we onder de uitkomsttabellen nader toe. Daarbij geven we ook advies over hoe deze kwetsbaarheden te beheersen. De kwetsbaarheden uit 2021 zijn nader toegelicht in het onderzoeksrapport van destijds, maar zijn nu ook in de tabellen van een oordeel voorzien over de mate van opvolging (in de kolom “Huidige status”).
Deze opvolging is op verschillende momenten gemeten: in 2022 heeft concernaudit een follow-up audit gedaan bij de opzet van de opvolging van onze bevindingen uit 2021115 en de gemeente Utrecht heeft accountantsorganisatie BDO in 2024 opdracht gegeven om een hertest uit te voeren op de interne en externe infrastructuur.116 Op deze hertest heeft de rekenkamer in het kader van dit opvolgingsonderzoek een review laten uitvoeren.117 Systemen en applicaties doorstaan de externe penetratietesten Het is net als in het najaar van 2020 niet gelukt om via het internet binnen te dringen in de gemeentelijke systemen en applicaties. Een groot deel van de kwetsbaarheden van 2021 zijn inmiddels (bijna) opgelost en ook het niveau van de gevonden kwetsbaarheden is nu 113 NFIR (18 juli 2024). Rapportage pentest. Externe en Interne Infrastructuur (Timeboxed) 114 De volgende standaarden zijn van toepassing op deze opdracht:
Penetration Testing Execution Standard (PTES): standaard ten behoeve van infrastructuur penetratietesten. Common Vulnerability Scoring System (CVSS): standaard die wordt gebruikt om de ernst van de kwetsbaarheden te classificeren. 115 Concernaudit (16 september 2022). Rapport Follow-up audit opvolging bevindingen Rekenkamer – Definitief. 116 BDO (25 march 2024). Pentest report. New perspectives for gemeente Utrecht. 117 NFIR (25 juni 2024). Hertest rapportage: RKC en VDI/Laptop.
54
lager (zie tabel 5.2). De externe penetratietest voor het opvolgingsonderzoek heeft wel verschillende risico’s geïdentificeerd, waarvan één met de classificatie hoog: op verschillende systemen is verouderde software aangetroffen. Tabel 5.2
Externe penetratietesten maken een positieve ontwikkeling zichtbaar
Kwetsbaarheid 2021
Risicoclassifi
Huidige status
Kwetsbaarheid 2024
catie
Risicoclassifi catie
Niet meer ondersteunde software aanwezig
Kritiek
Opgelost
Verouderde software aangetroffen
Hoog
Registreren van multifactor-
Hoog
Opgelost
Onveilige (SSL/TLS) configuratie
Gemid-
authenticatie mogelijk
deld
Ontbreken van security
Gemid-
Deels
headers
deld
opgelost
Onveilige (SSL) certificaten
Niet-ondersteunde versie scripttaal gedetecteerd
Gemiddeld
Opgelost
Security Headers
Laag
Verouderde Javascriptbibliotheek aangetroffen
Gemiddeld
Opgelost
Wachtwoordbeleid onvoldoende
Laag
Gegevens onnodig
Gemid-
Opgelost
Enumeratie vacatureteksten leidt
Informa-
benaderbaar voor alle medewerkers
deld
tot inzicht in de infrastructuur
tief
Password Spraying niet
Informa
Metadata inzichtelijk
Informa-
mogelijk
-tief
n.v.t.
Gemiddeld
tief Gelekte wachtwoorden gevonden
Informatief
Achterhaalde telefoonnummers leiden tot succesvolle voice-
Informatief
phishing Beheerpagina – Extern beschikbaar
Informatief
Openbare informatie over de Wi-Fi netwerken
Informatief
Bronnen: Hoffmann B.V., 2021; NFIR, 2024.
Verouderde software aangetroffen (hoog) De hoogste kwetsbaarheid vormt de verouderde software die bij de testen is aangetroffen. Omdat verouderde software mogelijke kwetsbaarheden bevat en/of geen beveiligingsupdates meer ontvangt, kan dit niet langer als veilig worden beschouwd. Dit kan 55
op langere termijn tot problemen leiden, omdat deze (toenemende) kwetsbaarheden door kwaadwillenden uitgebuit kunnen gaan worden. Ook in het onderzoek in het najaar van 2020 vormde ‘niet meer ondersteunde software’ een risico (destijds geclassificeerd als kritiek). Ondanks dat BDO in januari 2024 vaststelde dat deze kwetsbaarheid uit 2021 was opgelost, blijkt er bij de externe penetratietest van NFIR in juni 2024 toch weer verouderde software aanwezig te zijn. In principe geldt dat de constatering van vandaag, morgen al achterhaald kan zijn. Dit benadrukt het belang van goed leveranciers- en contractmanagement en het continu blijven monitoren van de End-of-Life datum van een (nieuw) product. De gemeente geeft in haar ambtelijke reactie aan dat op dit punt reeds technische maatregelen waren genomen om de kans op misbruik te verlagen. Onveilige configuratie (gemiddeld) Verschillende protocollen zijn kwetsbaar voor aanvallen die het versleutelde verkeer tussen de server en computer aftappen en ontsleutelen. Deze protocollen zijn soms al jarenlang end-of-life en worden daarom niet meer ondersteund door de meest gebruikte browsers. Een kwaadwillende kan een aanval uitvoeren en zo het onderlinge dataverkeer ontsleutelen, waardoor alle informatie die wordt verstuurd inzichtelijk wordt. Het advies is daarom om de onveilige instellingen niet meer te ondersteunen.
Onveilige certificaten (gemiddeld) Het externe bureau heeft verschillende certificaten aangetroffen die onveilig zijn. Dit kan meerdere oorzaken hebben: het certificaat is verlopen en dus ongeldig, het certificaat is niet uitgegeven door een erkende certificaatautoriteit, of een certificaat is ‘self-signed’ en wordt daarom ook niet ondersteund door een certificaatautoriteit. De gemeente Utrecht loopt hiermee het risico dat een kwaadwillende het verkeer naar een applicatie onderschept. Het advies is om geldige en veilige certificaten te gebruiken zodat gebruikers de applicatie kunnen bezoeken over een beveiligde verbinding (HTTPS). Security headers (laag) Security headers helpen bezoekers van de gemeentelijke websites om hun browser weerbaar te maken tegen kwetsbaarheden. Bij 7 van de 39 websites die in het opvolgingsonderzoek zijn onderzocht, zijn niet alle aanbevolen security headers ingesteld. Het niet instellen van security headers kan resulteren in de succesvolle uitbuiting van applicatie specifieke kwetsbaarheden en bekend onveilig gedrag van browsers. Daarom wordt geadviseerd om de security headers restricties in te stellen volgens de aanbevolen best practice. Wachtwoordbeleid externe website onvoldoende (laag) Het gebruikte wachtwoordbeleid op één specifieke gemeentelijke website kan geen veilige wachtwoorden garanderen.