20241212 Rekenkamerrapport_De mens als zwakste schakel

Hierdoor kunnen gebruikers van deze website onveilige wachtwoorden aanmaken en gebruiken. De wachtwoordlengte voldoet niet aan het gestelde advies van het Nationaal Cyber Security Centrum (NCSC). Daardoor ontstaat de 56

mogelijkheid dat een account zonder toestemming van de gebruiker wordt overgenomen. De eindgebruiker is daarmee de controle over het account kwijt. Daarom wordt geadviseerd om een nieuw wachtwoordbeleid in te voeren, zoals voorgeschreven door het NCSC. Naast deze vijf belangrijkste risico’s zijn zes risico’s geïdentificeerd in de categorie ‘informatief’: ▪ Enumeratie vacatureteksten: in openbare vacatureteksten staat informatie over de digitale infrastructuur en diensten van de gemeente Utrecht. Kwaadwillenden kunnen deze informatie gebruiken voor gerichte aanvallen op specifieke systemen. Geadviseerd wordt daarom om deze informatie niet meer in vacatureteksten te delen. ▪ Metadata inzichtelijk: metadata zijn gegevens die andere gegevens beschrijven zoals de software waarmee een bestand is gemaakt, de opsteller van een document en bijvoorbeeld e-mailadressen. Deze informatie kan een kwaadwillende gebruiken voor gerichte social engineering en/of password spraying aanvallen. Geadviseerd wordt om de metadata voor publicatie van de bestanden te verwijderen. ▪ Gelekte wachtwoorden: door gebruik te maken van een database uit 2012 zijn in totaal 115 gelekte wachtwoorden gevonden. Een kwaadwillende kan deze met andere datalekken mogelijk gebruiken om een account over te nemen. Maatregelen hiertegen vallen onder het advies van nieuw wachtwoordbeleid.

▪ Achterhaalde telefoonnummers: met behulp van Google Dorks was het mogelijk om telefoonnummers van medewerkers te achterhalen. Deze informatie kan een kwaadwillende gebruiken voor een gerichte social engineering aanval. Maatregelen hiertegen sluiten aan bij het verwijderen van metadata voor publicatie van bestanden. ▪ Beheerpagina – Extern beschikbaar: een beheerportaal van een gemeentelijke website blijkt extern toegankelijk. Met de juiste inloggegevens kan een kwaadwillende hier extern toegang toe krijgen. Geadviseerd wordt alleen IP-adressen toegang te verlenen die daadwerkelijk toegang tot dit portaal nodig hebben. ▪ Openbare informatie Wi-Fi netwerken: het blijkt mogelijk om informatie te achterhalen over de Wi-Fi netwerken waarmee een kwaadwillende een aanval kan plaatsen. Daarmee kan vervolgens geprobeerd worden zwakke punten of kwetsbaarheden in de netwerkbeveiliging te identificeren en uit te buiten door ongeautoriseerde toegang. Geadviseerd wordt om hier certificaten en segmentatie voor te gebruiken. Systemen en applicaties doorstaan nu ook de interne penetratietesten Het is – in tegenstelling tot de uitkomsten van het najaar 2020 – nu niet meer gelukt om via interne penetratietesten in te breken in de gemeentelijke systemen en applicaties. Deze testen toonden destijds zes risico’s aan, waarvan drie met een hoog risico.

De gemeente had de risico’s die voortkwamen uit het onderzoek destijds al in twee categorieën opgedeeld118: 1. Risico’s die als zelfstandig konden worden opgepakt en opgelost, en; 2. Risico’s die verbonden zijn aan de inrichting van de werkplekken.

118 Gemeente Utrecht (9 juli 2021). Raadsbrief Plan van aanpak bij het rekenkameronderzoek.

57

Door de vervanging van alle onveilige werkstations op de werkplekken zijn de kritieke risico’s de afgelopen jaren opgelost. Het blijkt nog wel mogelijk om Powershell te openen ondanks dat dit geblokkeerd is. De kwetsbaarheid van het ontbreken van netwerkauthenticatie blijkt wel volledig te zijn opgelost, maar leidt tot nieuwe (meer beperkte) risico’s. De overige kwetsbaarheden uit 2021 zijn inmiddels wel opgelost (zie tabel 5.3). Tabel 5.3

Interne kwetsbaarheden met de vervanging van de werkstations grotendeels opgelost

Kwetsbaarheid 2021

RisicoHuidige classific status

Kwetsbaarheid 2024

atie

Risicoclassific atie

Werkstations onveilig

Kritiek

Opgelost

Evil-twin aanval mogelijk

Hoog

Ontbrekende

Kritiek

Opgelost

Verouderde software

Hoog

beveiligingsupdates niet

aangetroffen

toegepast Verouderde

Kritiek

Opgelost

Onveilige configuratie

besturingssystemen aanwezig

Gemiddeld

Administratieaccounts onvoldoende beschermd

Kritiek

Opgelost

Netwerktoegang zonder authenticatie

Gemiddeld

Ontbreken multifactorauthenticatie

Hoog

Opgelost

Onveilige Remote Desktop configuratie

Laag

Zwakke wachtwoorden en

Hoog

Deels

LLMNR119 Spoofing mogelijk

Informa-

beheer onvoldoende veilig

opgelost

Ontbreken netwerkauthenticatie

Hoog

Opgelost

Systemen kwetsbaar voor spoofing

Hoog

Opgelost

Ontbreken harddisk encryptie

Gemid-

Opgelost

tief

deld Bronnen: Hoffmann B.V., 2021; NFIR, 2024

Evil-twin aanval mogelijk (hoog) Tijdens het onderzoek is informatie achterhaald over de gebruikte Wi-Fi netwerken. Deze informatie is gebruikt voor het uitvoeren van een Evil-twin aanval.120 Via deze aanval zijn wachtwoorden van medewerkers onderschept. Tijdens deze penetratietest is het echter niet

119 LLMNR: Link-Local Multicast Name Resolution. 120 Een Evil-twin is een kwaadaardig draadloos toegangspunt dat zich voordoet als een legitiem Wi-Fi

toegangspunt, zodat een aanvaller persoonlijke of bedrijfsinformatie kan verzamelen zonder medeweten van de eindgebruiker, zoals de inloggegevens van het netwerk.

58

gelukt om het versleutelde wachtwoord te kraken naar een leesbaar wachtwoord. Geadviseerd wordt om gebruik te maken van certificaten voor het authentiseren op Wi-Fi netwerken. Verouderde software aangetroffen (hoog) Net als bij de externe penetratietesten is ook bij de interne penetratietesten op verschillende systemen verouderde software aangetroffen. Deze software heeft kwetsbaarheden en/of heeft beveiligingsupdates nodig en kan in zijn huidige vorm niet langer als veilig worden beschouwd. Door de kwetsbaarheden uit te buiten zou een kwaadwillende het systeem over kunnen nemen. Geadviseerd wordt om ook deze software te updaten naar de nieuwste versie of een nieuwe versie te installeren. Onveilige configuratie (gemiddeld) Bij de interne testen bleken ook verschillende protocollen kwetsbaar te zijn voor aanvallen die het versleutelde verkeer tussen de server en computer aftappen en ontsleutelen. Ook deze protocollen zijn soms al jarenlang end-of-life en worden daarom niet meer ondersteund door de meeste browsers. Een kwaadwillende kan een aanval uitvoeren en zo het onderlinge dataverkeer ontsleutelen. Dit maakt alle informatie die wordt verstuurd inzichtelijk. Ook hier is het advies om de onveilige instellingen niet meer te ondersteunen.

Netwerktoegang zonder authenticatie (gemiddeld) Bij het tot stand brengen van een verbinding met een netwerkkabel wordt toegang verkregen tot internet zonder enige vorm van authenticatie. Er wordt toegang verleend tot een omgeving die gescheiden is van het interne bedrijfsnetwerk. Hierdoor zouden kwaadwillenden en medewerkers met een eigen laptop aan dit gescheiden deel van het netwerk kunnen worden gekoppeld. Als er sprake is van fysieke toegang tot de gemeentelijke gebouwen – hier gaan we paragraaf 4.2 nader op in – dan kan een kwaadwillende toegang krijgen tot dit gescheiden netwerk en dit als basis gebruiken om interne kwetsbaarheden in het netwerk op te sporen. De gemeente loopt dan ook het risico dat eigen IT-middelen zonder medeweten van de DomstadIT worden ingeschakeld. En toegang tot het gescheiden netwerk kan wel worden gebruikt om Shadow-IT op toe te passen en om interne scans naar kwetsbaarheden in de systemen op uit te voeren. Geadviseerd wordt om onbekende apparaten niet toe te laten op het netwerk. Onveilige Remote Desktop configuratie (laag) De host heeft een onveilige configuratie. De gemeente geeft in haar ambtelijke reactie aan dat het hier om een verouderde test werkplek gaat. Daarmee is het voor een kwaadwillende mogelijk om een aanval uit te voeren en mogelijk de sessie van de gebruiker over te nemen.

Daarnaast kan de versleuteling van de verbinding niet worden gegarandeerd. Geadviseerd wordt om alleen andere vormen van authenticatie toe te passen.

59

LLMNR Spoofing mogelijk (informatief) Het is mogelijk om het Link-Local Multicast Name Resolution (LLMNR) te spoofen. Spoofing is het vervalsen van kenmerken met als doel om tijdelijk een valse identiteit aan te nemen. Om dit te bereiken luistert de aanvaller naar LLMNR-verzoeken en vervalst wachtwoorden om verkeer naar zijn machine te leiden. De verkregen hashes (in dit geval niet van de gemeente) kunnen mogelijk worden gekraakt en daarmee kan een kwaadwillende wachtwoorden van gebruikers verkrijgen. Geadviseerd wordt om te onderzoeken of het LLMNR-protocol noodzakelijk is binnen het netwerk. Het protocol kan mogelijk ook worden uitgeschakeld waardoor deze kwetsbaarheid wordt opgelost. Voor wat betreft de aanpak van de technische risico’s wordt door betrokkenen met name verwezen naar de kennis van de CISO en de ICT’ers bij DomstadIT omdat zij daar zelf geen volledig zicht op hebben.121 De CISO en DomstadIT geven aan dat er de afgelopen jaren veel stappen zijn gezet om de technische beveiliging te verbeteren. Zij constateren dat daarmee inmiddels de buitenste schil op orde is. Nu worden de mogelijkheden verkend om niet alleen de gebruikte apparatuur te beveiligen, maar ook de gebruikte gegevens, bestanden en de data daarin. Als bestanden beveiligd worden, kunnen alleen gemachtigden deze openen.

Dan wordt het ook voor medewerkers die uit dienst zijn niet langer mogelijk om dat daarna nog te doen (wanneer zij bijvoorbeeld werkbestanden naar een privémailadres hebben gestuurd).122 En er is sprake van spanningsvelden. “Vanuit informatiebeheer is het bijvoorbeeld belangrijk om gegevens lang te bewaren zodat ook op lange termijn de organisatie zichzelf kan verantwoorden. Maar sommige maatregelen op veiligheid vragen juist om het tegenovergestelde. Hoe ga je daarmee om? En wie maakt uiteindelijk de keuze als de CPO en CISO het op een onderwerp met elkaar oneens zijn?”123 Deze vragen zijn nog onbeantwoord. DomstadIT neemt jaarlijks penetratietesten af op de werkplekken en maakt daarnaast ook gebruik van externe kennis op het gebied van informatieveiligheid. Zij willen (potentiële) kwetsbaarheden zoveel mogelijk proactief aanpakken om de veiligheid van de gemeentelijke systemen te waarborgen.124 Volgens betrokkenen gaat dat steeds beter.125 DomstadIT verhelpt namelijk in toenemende mate problemen. Maar in de gevallen waarbij organisatieonderdelen betrokken moeten worden bij het oplossen van problemen gaat dat nog een stuk langzamer. Het is niet duidelijk wat er moet gebeuren wanneer kwetsbaarheden daardoor te lang open blijven staan.

Er is binnen de gemeente geen stok achter de deur om het gebruik van kwetsbare software te verbieden, of om applicatie- of proceseigenaren te dwingen de kwetsbaarheden te verhelpen. 126

121 Rekenkamer Utrecht (2024). Interviews gemeente. 122 Rekenkamer Utrecht (2024). Interviews gemeente. 123 Rekenkamer Utrecht (2024). Interview gemeente. 124 Gemeente Utrecht (25 april 2024). Intern memo. Toelichting Retest op de VDI, fat client en laptop. 125 Rekenkamer Utrecht (2024). Interview gemeente. 126 Rekenkamer Utrecht (2024). Interview gemeente.

60

5.2

THUISWERKPLEKKEN TECHNISCH GOED BEVEILIGD, GEDRAG OP AFSTAND NIET CONTROLEERBAAR

Bij het beveiligen van de thuiswerkplekken is sprake van een spanningsveld. Het college verwoordt dit al in het plan van aanpak: “Omdat thuiswerken per definitie betrekking heeft op de privésfeer van de werknemer is de mate waarin we controle uit kunnen en willen oefenen beperkt.”127 Medewerkers hebben daardoor een belangrijke verantwoordelijkheid in het veilig en bewust omgaan met informatieveiligheid in de thuiswerksituatie. Betrokkenen geven aan dat niet met zekerheid kan worden gesteld dat alle medewerkers thuis (of op een andere locatie) op een goed beveiligde WiFi-verbinding werken.128 Het werken buiten de gemeentelijke apparaten om wordt zoveel mogelijk gebruiksonvriendelijk gemaakt.129 Daardoor spelen discussies tussen gebruiksgemak en beheersmaatregelen voor informatieveiligheid vaak op. Er zijn de afgelopen jaren twee maatregelen genomen die het veilig thuis werken hebben bevorderd: 1. Het uitgeven van beheerde laptops en telefoons en het gebruik van een virtual desktop (via Azure). Hiermee wordt zoveel mogelijk voorkomen dat medewerkers op privéapparatuur en in een digitale privéomgeving werken en houdt de gemeente de controle over de (beveiliging van) data.

Medewerkers die toch liever op een privételefoon werken kunnen gebruikmaken van een beveiligde virtuele omgeving op hun eigen telefoon.130 Ook de digitale samenwerkingsomgeving en het gebruik van vergadertools wordt met ‘Werken 3.0’ beter georganiseerd. Informatie blijft op deze manier niet op onbeheerde plekken achter. 2. Aandacht voor veilig thuiswerken in de bewustwordingsactiviteiten. In het nieuwe protocol voor het gebruik van automatiseringsmiddelen wordt in afzonderlijke paragrafen ingegaan op het ‘werken op afstand’ en het gebruiken van automatiseringsmiddelen en het werken in het buitenland.131 DomstadIT draagt zorg voor de technische maatregelen die nodig zijn, maar er wordt bewust geen software geïnstalleerd die controleert of en hoe de medewerkers aan het werk zijn.132 Door de gemeente beheerde laptop en telefoon technisch goed beveiligd Het externe bureau heeft ook een door de gemeente beheerde laptop en telefoon getest. Dit leverde voor de laptop enkele lage en informatieve risico’s op (zie tabel 5.4).

127 Gemeente Utrecht ((9 juli 2021). Raadsbrief Plan van aanpak bij het rekenkameronderzoek. 128 Rekenkamer Utrecht (2024). Interviews gemeente. 129 Rekenkamer Utrecht (2024). Interview gemeente. 130 Gemeente Utrecht (11 januari 2022). Raadsbrief Actiepunten rekenkameronderzoek. 131 Gemeente Utrecht (28 februari 2024). Protocol automatiseringsmiddelen. Met name de pagina’s 8 en 9. 132 Gemeente Utrecht (10 oktober 2023). Raadsbrief Update Rekenkameronderzoek ‘Zo sterk als de zwakste

schakel’.

61

Tabel 5.4

Enkele lage en informatieve risico’s bij de laptop en telefoon

Kwetsbaarheid

Risicoclassificatie

WiFi-wachtwoorden opgeslagen op laptop

Laag

Toegang tot Command Prompt en PowerShell

Informatief

USB-sticks worden niet overal geblokkeerd

Informatief

Proxy configuratie staat op ‘detecteer automatisch’

Informatief

Bron: NFIR, 2024

Wi-Fi wachtwoorden opgeslagen op laptop (laag) Er zijn meerdere draadloze netwerken opgeslagen op de laptop. Met de profielnaam en het wachtwoord is het mogelijk in te loggen op de gevonden Wi-Fi netwerken. Geadviseerd wordt om netwerken die niet meer gebruikt worden uit het geheugen te halen. Toegang tot Command Prompt en PowerShell (informatief) Gebruikers van de gemeentelijke laptops hebben toegang tot Command Prompt (CMD) en PowerShell waarmee een kwaadwillende commando’s kan uitvoeren. Daarmee kan worden geprobeerd om verdere toegang tot het systeem te krijgen. Geadviseerd wordt om deze tools te blokkeren voor de standaardgebruikers. USB-sticks worden niet geblokkeerd (informatief) Het gebruik van USB-sticks wordt toegestaan op de door de gemeente beheerde laptop. Ook andere verwijderde opslag devices worden hier niet geblokkeerd. USB-sticks kunnen op verschillende manieren door kwaadwillenden misbruikt worden. Geadviseerd wordt om de functies ‘lezen’ en ‘schrijven’ uit te schakelen, waardoor wel gebruik kan worden gemaakt van toetsenborden, muizen en docking stations maar niet meer van USB-sticks en andere opslagapparatuur. Proxy configuratie staat op ‘detecteer automatisch’ (informatief) Windows zoekt en gebruikt een netwerk proxy op het moment dat deze gedetecteerd wordt.

Een kwaadwillende kan hiermee een aanval opzetten die bijvoorbeeld kan leiden tot het vergiftigen van websitepagina’s. Ook kunnen phishing en malware pagina’s worden getoond. Geadviseerd wordt om de ‘detecteer automatisch’ instelling uit te schakelen. De aangeleverde telefoon leverde geen veiligheidsrisico’s op, en is dus technisch goed beveiligd.133 We zien ook dat de gemeente Utrecht veel aandacht heeft besteed aan het beveiligen van de laptops en telefoons. Maar ook bij de werktelefoon speelt het veilig en bewust omgaan met informatieveiligheid een rol: “Veel collega’s hebben apps van cyber offensieve landen en commerciële bedrijven op hun telefoon die – ondanks dat veel mensen

133 NFIR (18 juli 2024). Rapportage pentest. Externe en Interne Infrastructuur (Timeboxed).

62

zich daar niet van bewust zijn – potentieel stiekem meeluisteren.”134 Inmiddels zijn medewerkers er over geïnformeerd dat zij een aantal apps moeten verwijderen van hun werktelefoon. Dat levert soms weerstand op onder medewerkers en raads- en commissieleden.135 De goede (technische) beveiliging neemt niet weg dat het werken op afstand risico’s met zich mee blijft brengen, omdat het gedrag van de medewerkers de uiteindelijke effectiviteit van de technische maatregelen bepaalt. Betrokkenen zijn zich hier ook van bewust en willen met name goed gedrag bevorderen en stimuleren. Zo wordt er ook nagedacht en afspraken gemaakt over het gebruik van verschillende apps, waarbij het vooral van belang is dat medewerkers weten welke informatie ze op welke manier mogen delen. Verder vraagt met name de toenemende behoefte om in het buitenland te mogen werken nog om een verdere uitwerking.136

5.3

WISSELENDE ERVARINGEN MET DE FYSIEKE BEVEILIGING VAN GEMEENTELIJKE GEBOUWEN

Fysieke beveiliging op het Stadskantoor vrijwel ongewijzigd en daarmee ontoereikend om de toegang van onbevoegden te voorkomen, situatie Stadhuis verbeterd Het is een mystery guest gelukt om op vijf verschillende dagen het Stadskantoor te betreden, zonder gebruik te hoeven maken van een toegangspas of de vrijwaring die door de gemeente Utrecht was afgegeven. Ook toen er meer beveiliging aanwezig was ten behoeve van het stembureau voor de Europese verkiezingen, was het mogelijk om het medewerkersdeel te betreden. Een andere mystery guest is door een medewerker (geen beveiliger) aangesproken bij het meelopen door de toegangspoorten en is de toegang ontzegd. Ook bij een tweede poging werd hij bij de toegangspoorten aangesproken, ditmaal wel door een beveiliger. Het lukte de tweede mystery guest die dag niet om het Stadskantoor binnen te komen. Bij het Stadhuis is het een mystery guest één keer gelukt om het gebouw te betreden zonder gebruik te hoeven maken van een toegangspas of de vrijwaring. Ook toen hier meer beveiliging aanwezig was ten behoeve van het stembureau voor de Europese verkiezingen. Maar een andere poging op het Stadhuis van beide mystery guests slaagde niet. In het algemeen blijkt wel dat de beveiligers op het Stadskantoor en Stadhuis niet goed toezicht houden op de toegangspoorten.

Betrokkenen geven aan dat er een driejarig programma wordt opgestart om het beveiligingsteam (verder) op te leiden om afwijkend gedrag te herkennen en incidenten te voorkomen. Dat programma zal gefaseerd worden opgebouwd, zodat de beveiligers worden meegenomen in een leercurve. De uiteindelijke trainingsvorm

134 Rekenkamer Utrecht (2024). Interview gemeente. 135 Rekenkamer Utrecht (2024). Interview gemeente. 136 Gemeente Utrecht (2024). Interviews gemeente.

63

zal uit red teaming137 bestaan waarbij aan het einde van dit programma een breed, integraal scenario wordt doorlopen. Zo kan er zo realistisch mogelijk worden gesimuleerd.138 Het bleek ook mogelijk om na sluitingstijd van het publiekstoegankelijke deel van het Stadskantoor in het kantoorgedeelte voor medewerkers diverse opbergkasten open te maken. Deze kasten waren niet afgesloten. In deze kasten bevond zich onder andere een telefoon, een harde schijf en diverse documenten. In theorie was het mogelijk om diverse fysieke hardware items op het Stadskantoor, zoals een laptop of telefoon, te stelen.139 Dit viel echter buiten scope van de opdracht van de rekenkamer. Spanningsveld tussen wens tot openheid en de noodzaak van fysieke beveiliging heeft geleid tot nieuwe keuzes Zowel in de bestuurlijke reactie op de aanbevelingen van het onderzoek van 2021 als in het plan van aanpak wijst het college op het spanningsveld tussen de wens tot openheid en de noodzaak van (informatie)beveiliging.140 Met een dreiging- en risicoassessment (DRA) is voor het Stadskantoor en het Stadhuis de fysieke beveiliging en de uitvoering daarvan geëvalueerd.

Bij het Stadhuis heeft dit geleid tot een aantal concrete maatregelen: de toegangscontrole is aangepast door het gebruik van tourniquets tussen de verschillende zones, is er een bezoekers- en leveranciersbeleid en is er meer aandacht voor veiligheidsbewustwording. Bij het Stadskantoor worden verdere maatregelen gelijktijdig met het ‘Werken 3.0’ ingevoerd en wordt onderzoek gedaan naar zowel het beleid voor toegangspassen als verdere maatregelen uit de DRA die niet samen met ‘Werken 3.0’ kunnen worden gerealiseerd.141 Het gaat om een maatregelenpakket waarmee de Directieraad inmiddels heeft ingestemd. De Directieraad wil ook graag het open karakter van het Stadhuis en het Stadskantoor behouden. Dat heeft geleid tot het concept van ‘open waar het kan, gesloten waar het moet’. Dat betekent dat de beveiligde schil wel wordt versterkt, maar niet dusdanig dat iedere kwaadwillende kan worden tegengehouden. Dat is een geaccepteerd risico waar weliswaar aanvullende maatregelen aan zijn verbonden.

Plekken waar intern met gevoelige informatie wordt gewerkt worden aanvullend beschermd door bronmaatregelen, bijvoorbeeld in de vorm van een extra compartimentering (extra ruimte met aanvullend toegangsbeheer en een paslezer in combinatie met een selectieve groep medewerkers met toegang).142 Daarnaast zijn de ongeveer 35 beveiligers en centralisten die op het Stadskantoor en Stadhuis werkzaam zijn sinds februari 2023 intern in dienst genomen. Zij werden voorheen 137 Bij red teaming wordt met een realistische (cyber)aanval getest in hoeverre de gemeentelijke organisatie de

aanval detecteert en in staat is hier op een goede manier op te reageren. 138 Rekenkamer Utrecht (2024). Interview gemeente. 139 Rekenkamer Utrecht (18 juli 2024) o.b.v. NFIR. Rapportage Social Engineering: Mystery Guest, Voice Phishing, USB dropping. 140 Gemeente Utrecht (9 juli 2021). Raadsbrief Plan van aanpak bij het rekenkameronderzoek. 141 Gemeente Utrecht (10 oktober 2023). Raadsbrief Update Rekenkameronderzoek ‘Zo sterk als de zwakste schakel’. 142 Rekenkamer Utrecht (2024). Interview gemeente.

64

ingehuurd bij een externe partij. Daardoor kan volgens betrokkenen meer op de kwaliteit van de dienstverlening worden gestuurd, waarbij ook informatieveiligheid een integraal onderdeel van het werk vormt.143

143 Rekenkamer Utrecht (2024). Interview gemeente.

65

6

OPVOLGING: GROTENDEELS OP ORDE

De beslispunten uit het raadsvoorstel zijn grotendeels uitgevoerd omdat het merendeel van de maatregelen daaruit zijn doorgevoerd. Veel van die maatregelen zijn echter wel vertraagd uitgevoerd. Het college heeft de gemeenteraad de afgelopen jaren goed geïnformeerd over de uitvoering van de aanbevelingen. Het rekenkamerrapport heeft (indirect) de gewenste effecten gehad. Met name doordat er meer aandacht is voor het onderwerp informatieveiligheid en het urgentiebesef om aan de slag te gaan is toegenomen. In dit hoofdstuk beschrijven we de mate waarin de gemeente opvolging heeft gegeven aan de aanbevelingen van het rekenkameronderzoek uit 2021, hoe zij daarover verantwoording heeft afgelegd aan de gemeenteraad en of de raad op de uitvoering heeft toegezien. Ook beschrijven we of het rapport daadwerkelijk heeft bijgedragen aan beter beleid. De uitvoering, afgezet tegen de bijbehorende norm, leidt in figuur 6.1 tot onze bevindingen. Hierin leggen we ook direct de relatie tussen de onderzoeksvraag, de norm en bijbehorende criteria. Figuur 6.1

Norm, criteria en beoordeling "Opvolging"

Toelichting op het normenkader Om aan de aanbevelingen van het rekenkameronderzoek uit 2021 opvolging te geven moet de gemeente deze hebben doorgevoerd in de organisatie, het beleid en de uitvoering. En het college moet daarover verantwoording afleggen aan de gemeenteraad, zodat de raad erop kan toezien of de aanbeveling juist wordt uitgevoerd en de gewenste effecten heeft. Het is namelijk belangrijk dat het rapport en met name de aanbevelingen van de rekenkamer daadwerkelijk bijdragen aan beter beleid, uitvoering in de praktijk en gewenste maatschappelijke effecten.

66

6.1

MEESTE MAATREGELEN UITGEVOERD, NA STERK VERTRAAGDE UITVOERING

Op 3 juni 2021 stemde de gemeenteraad unaniem voor het raadsvoorstel met daarin de aanbevelingen uit het rekenkameronderzoek. Een aantal weken later ontving de gemeenteraad op 9 juli 2021 een plan van aanpak waarin het college uiteenzette hoe zij het raadsbesluit over de aanbevelingen wilde uitvoeren.144 Over dat plan van aanpak oordeelden wij positief, met name omdat de aanbevelingen waren voorzien van concrete maatregelen per onderdeel. We zagen ook dat “(…) er sinds de uitvoering van ons onderzoek op veel terreinen stappen zijn gezet en voor de korte termijn worden aangekondigd.”145 Sinds de vaststelling van het raadsbesluit zijn er ook volgens betrokkenen veel stappen gezet.146 Wij zien dat een groot deel van de aangekondigde maatregelen zijn doorgevoerd. Maar de uitvoering heeft wel vaak langer op zich laten wachten dan dat in eerste instantie was aangekondigd. Zo concludeerde concernaudit op basis van een follow-up audit dat in september 2022 70% van de bevindingen nog onderhanden werk was.147 Verklaringen daarvoor zijn een gebrek aan capaciteit, onvoldoende daadkracht, de cultuur van de organisatie en de grote financiële investeringen die voor een aantal maatregelen nodig zijn. Een voorbeeld van een vertraagde maatregel is het uitvoeren van een penetratietest om te verifiëren dat alle technische kwetsbaarheden daadwerkelijk waren weggenomen (zie box 6.2).

Andere vertraagde maatregelen zijn inmiddels nog steeds onder handen werk (zie box 6.3). Box 6.2 Twee maatregelen die vertraagd zijn doorgevoerd In oktober 2022 werd aangegeven dat de penetratietest zou worden uitgevoerd na de implementatie van het ‘Werken 3.0’ in Q4 2022.148 Een maand eerder ondersteunde ook concernaudit in haar auditrapport het belang van het uitvoeren van de penetratietest. Het heeft echter nog tot april 2024 geduurd voordat de bevindingen uit eerdere testen waren opgevolgd en de validerende eindpenetratietest daadwerkelijk werd uitgevoerd. Een ander voorbeeld van een maatregel die vertraagd is uitgevoerd, is het vervangen van computers op het Stadskantoor. In het plan van aanpak werd aangegeven dat dit uiterlijk in Q4 2021 zou gebeuren. Een jaar later zou dit uiterlijk in Q4 van 2022 zijn. In een raadsbrief uit oktober 2023 werd aangegeven dat de maatregel inmiddels was uitgevoerd. Wanneer precies werd niet nader gespecificeerd.

144 Gemeente Utrecht (9 juli 2021). Raadsbrief Plan van Aanpak bij het rekenkameronderzoek ‘Zo sterk als de

zwakste schakel’. 145 Rekenkamer Utrecht (2 september 2021). Rekenkamerbrief Plan van aanpak rekenkameronderzoek informatieveiligheid, p.1. 146 Rekenkamer Utrecht (2024). Interview gemeente. 147 Concernaudit (16 september 2022). Rapport Follow-up audit opvolging bevindingen Rekenkamer – Definitief. 148 Gemeente Utrecht (2022). Jaarverslag gegevensbescherming 2021.

67

Box 6.3 Sommige vertraagde maatregelen zijn nog steeds onderhanden werk Over het uitvoeren van phishing testen wordt in het plan van aanpak aangegeven dat “(…) het noodzakelijk is om periodiek te oefenen hoe we moeten omgaan met dit soort situaties.”149 In oktober 2023 blijkt uit een raadsbrief dat er sinds het rekenkameronderzoek echter geen phishing simulaties meer hebben plaatsgevonden. Er is prioriteit gegeven aan de opzet van de e-learning, zodat medewerkers weten waar zij op moeten letten. Phishing simulaties zullen na akkoord in september 2024 in gang worden gezet.150 Ook het doorvoeren van fysieke beveiligingsmaatregelen voor het Stadskantoor zijn nog onder handen werk. Naar verwachting zou in Q1 2022 een analyse zijn uitgevoerd om te bepalen welke extra maatregelen genomen moesten worden.151 De analyse om te bepalen welke maatregelen genomen moesten worden is in maart 2022 opgeleverd. Het daaropvolgende adviesrapport is in september 2022 afgerond.152 In februari 2023 is akkoord gegeven op het doorvoeren van de gestelde maatregelen die uit de analyse naar voren kwamen. De maatregelen zullen – naar verwachting – in december 2024 deels zijn doorgevoerd.153 De resterende maatregelen zullen in het tweede kwartaal van 2025 of in het programma Werken 3.0 (lopend in de periode 2024 – 2026) worden geïmplementeerd.

Andere voorbeelden van onderhanden werk maatregelen zijn het opstellen van een gebruikersprotocol voor het veilig werken met informatie en systemen en het invoeren van gegevensbeschermingsambassadeurs. Deze zijn eerder toegelicht in paragraaf 4.1.

6.2

REKENKAMERRAPPORT DROEG BIJ AAN URGENTIE VAN INFORMATIEVEILIGHEID

Het is belangrijk dat het rekenkamerrapport uit 2021 heeft bijgedragen aan beter beleid en de uitvoering daarvan. Betrokkenen geven veelal aan dat er vanuit meerdere perspectieven aan de gegevensbeschermingsopgave is en wordt gewerkt. Het rekenkamerrapport vormt één van die perspectieven.154 Ontwikkelingen die de afgelopen jaren hebben plaatsgevonden zijn daardoor niet één-op-één toe te schrijven aan het rekenkamerrapport. Het rapport heeft met name indirecte invloed gehad, maar wordt ook als belangrijke verklaring genoemd voor de manier waarop de opgave nu is ingericht.155 Omdat de gemeente Utrecht goede stappen heeft gezet in het risicogebaseerd werken en gegevens nu beter worden beschermd constateren wij dat het rapport (al dan niet indirect) de gewenste effecten heeft gehad op informatieveiligheid bij de gemeente Utrecht. 149 Gemeente Utrecht (9 juli 2021). Raadsbrief Plan van Aanpak bij het rekenkameronderzoek ‘Zo sterk als de

zwakste schakel’, p. 5. 150 Gemeente Utrecht (10 oktober 2023). Raadsbrief Update Rekenkameronderzoek ‘Zo sterk als de zwakste schakel’. 151 Gemeente Utrecht (10 oktober 2023). Raadsbrief Update Rekenkameronderzoek ‘Zo sterk als de zwakste schakel’. 152 Concernaudit (16 september 2022). Rapport Follow-up audit opvolging bevindingen Rekenkamer – Definitief. 153 Gemeente Utrecht (10 oktober 2023). Raadsbrief Update Rekenkameronderzoek ‘Zo sterk als de zwakste schakel’. 154 Rekenkamer Utrecht (2024). Interview gemeente. 155 Rekenkamer Utrecht (2024). Interview gemeente.

68

Betrokkenen benoemen dat het rekenkamerrapport heeft geholpen bij acceptatie van en het creëren van draagvlak voor het onderwerp.156 Met name bij de directeuren. Zij hebben vaak beperkte kennis van het informatiebeveiliging en de techniek daarachter, waardoor zij niet altijd goed de gevolgen en risico’s van het gevoerde beleid kunnen inschatten.157 Mede dankzij het rapport kon bij hen het bewustzijn worden gecreëerd dat verandering noodzakelijk was. Dat werd door hen goed opgepakt.158 Het onderwerp heeft meer urgentie en staat beter op de agenda dan voorheen.159 En intern wordt door de managementteams “(…) dankbaar gebruikgemaakt van het rapport”160 om de adviezen daaruit goed op te volgen. Het rekenkamerrapport werd ook als signaal gezien voor onderdelen die echt beter moesten, zoals bewustwording. Ten tijde van het vorige rekenkameronderzoek stond bewustwording nog in de kinderschoenen.161 “Dat was voorheen geen speerpunt, maar uit het onderzoek kwam naar voren dat daar echt wat aan moest gebeuren. Dat hebben we serieus opgepakt.”162 Er is nu dan ook meer aandacht voor (het vergroten van) het bewustzijn van informatieveiligheid bij medewerkers dan voorheen.163 Al zien we wel dat hier in de praktijk nog beter op ingezet en gestuurd moet worden (zie hoofdstuk 4). Op de technische kant was de invloed van het rapport er ook, maar minder sterk.

Betrokkenen geven aan dat de organisatie zich er vaak al van bewust was dat de technische beveiliging niet helemaal op orde was.164 Geïnterviewden menen dat kwetsbaarheden waarschijnlijk ook zonder het rapport opgepakt zouden zijn, maar vertelden dat het rapport wel hielp om het belang daarvan extra onder de aandacht te brengen.165 In ons vorige onderzoek constateerden wij echter dat veel kwetsbaarheden die al jarenlang bekend waren, maar alsmaar niet werden opgepakt.166 De extra aandacht heeft er volgens betrokkenen toe geleid dat de veiligheid van buitenaf en systemen nu beter is geregeld en dat meer optimalisatie heeft plaatsgevonden. Dat is onder meer terug te zien aan het gebruik van goed beveiligde gemeentelijke laptops, het doorvoeren van fysieke beveiligingsmaatregelen, het hanteren van een beter wachtwoordbeleid en het invoeren van tweestapsverificatie voor het inloggen op de gemeentelijke systemen.167 Het rapport heeft ook de noodzakelijkheid van

156 Rekenkamer Utrecht (2024). Interviews gemeente. 157 Rekenkamer Utrecht (2024). Interview gemeente. 158 Rekenkamer Utrecht (2024). Interview gemeente. 159 Rekenkamer Utrecht (2024). Interview gemeente. 160 Rekenkamer Utrecht (2024). Interview gemeente. 161 Rekenkamer Utrecht (2024). Interview gemeente. 162 Rekenkamer Utrecht (2024). Interview gemeente. 163 Rekenkamer Utrecht (2024). Interviews gemeente. 164 Rekenkamer Utrecht (2024). Interviews gemeente. 165 Rekenkamer Utrecht (2024). Interview gemeente. 166 Rekenkamer Utrecht (2021). Zo sterk als de zwakste schakel. Een onderzoek naar de informatieveiligheid bij

de gemeente Utrecht. 167 Rekenkamer Utrecht (2024). Interviews gemeente.

69

het uitvoeren van voldoende technische (risico)analyses onder de aandacht gebracht. Daar is de afgelopen jaren veel werk van gemaakt.168

6.3

GEMEENTERAAD GOED DOOR COLLEGE GEÏNFORMEERD OVER OPVOLGING RAADSBESLUIT

Wij constateren dat het college de gemeenteraad goed heeft geïnformeerd over de voortgang op het uitvoeren van het raadsbesluit (zie figuur 6.4). Tijdens de behandeling van het rekenkamerrapport deed de wethouder een aantal toezeggingen aan de gemeenteraad. Twee van die toezeggingen kwamen niet in het gemeentelijke plan van aanpak terug. In de rekenkamerbrief van september 2021 waarin wij onze visie op het plan van aanpak gaven wezen wij daarop. Het college heeft daarop in januari 2022 in een raadsbrief aangegeven in welke mate zij aan de gedane toezeggingen invulling zou gaan geven. Figuur 6.4

De gemeenteraad is door het college de afgelopen jaren goed geïnformeerd over de opvolging van de aanbevelingen

Bron: Rekenkamer Utrecht (2024) op basis van de documenten die in de figuur worden genoemd.

168 Rekenkamer Utrecht (2024). Interviews gemeente.

70

Vervolgens heeft het college in juni 2022 in de Jaarstukken 2021 de gemeenteraad per aanbeveling beknopt geïnformeerd over de planning en stand van zaken van de uitvoering. Daarna is in oktober 2022 het Jaarverslag Gegevensbescherming 2021 gepubliceerd, waarin de gemeentelijke organisatie verantwoording aflegde aan de gemeenteraad over de ontwikkelingen in 2021 op het gebied van gegevensbescherming.169 Het jaarverslag bevat per aanbeveling concrete informatie over de reeds uitgevoerde en nog te nemen acties. Dit verslag zou ieder jaar worden gedeeld met de gemeenteraad. Maar sinds het jaarverslag over 2021 is dat niet meer gebeurd. Daarna is de gemeenteraad aan de hand van de Jaarstukken 2022 opnieuw over de stand van zaken per aanbeveling geïnformeerd in juli 2023. In een uitgebreide raadsbrief uit oktober 2023 is vervolgens een update gegeven over de mate waarin het raadsbesluit op dat moment was opgevolgd. De meest recente informatie met betrekking tot de stand van zaken is terug te vinden in de Jaarstukken 2023 uit juli 2024. Sinds de raadsbehandeling van het rekenkamerrapport is door de gemeenteraad niet meer over het onderwerp gedebatteerd. In april 2022 heeft de VVD-fractie nog wel schriftelijke vragen aan het college gesteld over het gebruik van ethische hackers.

Daarin wordt het college onder andere gevraagd naar de voortgang op de acties die zijn en worden ondernomen naar aanleiding van het rekenkamerrapport. Maar er worden ook vragen gesteld die breder betrekking hebben op het onderwerp informatieveiligheid. De vragen zijn in mei 2022 door het college beantwoord.

169 Gemeente Utrecht (2022). Jaarverslag Gegevensbescherming 2021, p. 3.

71

BIJLAGE 1 AFKORTINGEN Afkorting

Betekenis

AVG

Algemene Verordening Gegevensbescherming

BIA

Business Impact Analyse

BIO

Baseline Informatiebeveiliging Overheid

BSN

Bedrijfsvoerings- en Strategienetwerk

B&W

Burgemeester en wethouders

CC

Concerncontrol

CIO

Chief Information Officer

CISO

Chief Information Security Officer

CPO

Chief Privacy Officer

CZ

Culturele Zaken

DISO

Decentrale Informatie en Security Officer

DPIA

Data Protection Impact Assessment

DRA

Dreiging- en Risicoassessment

FG

Functionaris Gegevensbescherming

FIJ

Financiën, Inkoop en Juridische Zaken

GBMS

Gegevensbeschermingsmanagementsysteem

HR

Human Resources

HRM

Human Resource Management

IB

Interne bedrijven

IBD

Informatiebeveiligingsdienst

ICT

Informatie- en communicatietechnologie

IPM

Informatie- en procesmanagement / Informatie- en procesmanager

IRM

Integraal Resultaatverantwoordelijk Manager

ISMS

Information Security Management System

IT

Informatietechnologie

LLMNR

Link-Local Multicast Name Resolution

MCN

Marketing- en Communicatienetwerk

MG

Mystery guest

MO

Maatschappelijke Ontwikkeling

72

M&O

Mens en Organisatie

NCSC

Nationaal Cyber Security Centrum

NIS2

Network and Information Security Directive

ORA

Operationele risicoanalyse

O&A

Onderzoek en Advies

PBZ

Publiekszaken

PDCA

Plan-Do-Check-Act

PMB

Projectmanagementbureau

PRA

Privacy risicoassessment

RO

Raadsorganen

SB

Stadsbedrijven

SPA-BO

Strategie & Public Affairs en Bestuursondersteuning

S&S

Safety & Security

TRA

Tactische risicoanalyse

VGU

Vastgoedorganisatie Utrecht

VG

Volksgezondheid

VLG

Veiligheid

VNG

Vereniging van Nederlandse Gemeenten

VTH

Vergunningen, Toezicht en Handhaving

WenI

Werk en Inkomen

73

BIJLAGE 2 ONDERZOEKSVERANTWOORDING WERKWIJZE De rekenkamer heeft de volgende onderzoeksactiviteiten uitgevoerd: ▪ Documentstudie: We hebben de relevante beleidsdocumenten, documenten uit de begrotingscyclus en andere raadsinformatie over informatieveiligheid bestudeerd. Hiermee hebben we in kaart gebracht welk beleid de gemeente Utrecht voert. Voor het inzicht in de risico’s die zijn geïdentificeerd en de genomen beheersmaatregelen hebben wij onder andere de gegevensbescherming- en risicorapportages van de gemeente ingezien. ▪ Interviews: In de maanden april tot en met juli 2024 zijn interviews gehouden met de medewerkers van de gemeente die nauw betrokken zijn bij informatieveiligheid. In deze gesprekken lag de nadruk op hoe informatieveiligheid zich de afgelopen jaren op drie aspecten heeft ontwikkeld: organisatie, mens en techniek. Wij zijn in de gesprekken ook nader ingegaan op hoe het eerdere rekenkamerrapport heeft bijgedragen aan deze ontwikkelingen en hoe met incidenten (zoals datalekken) wordt ▪

omgegaan. Testen: De rekenkamer heeft NFIR B.V. opdracht verleend voor het uitvoeren van testen op het oneigenlijk toegang krijgen tot informatie bij de gemeente. Er zijn drie soorten testen uitgevoerd: 1. Social engineering test: Dit onderdeel bestaat uit een voice phishing test (het telefonisch benaderen van gemeentelijke medewerkers om inloggegevens te bemachtigen), het verspreiden van USB-sticks die bij gebruik malware zouden kunnen installeren (baiting) en inlooptesten op het Stadskantoor en Stadhuis om ongeautoriseerd toegang te krijgen tot een kantoorruimte. De voice phishing verving in dit onderzoek de mail-phishing uit het vorige rekenkameronderzoek. Daarnaast is een laptop van de gemeente aan een analyse onderworpen om na te gaan of deze voldoende beschermd is tegen aanvallen in onveilige netwerken en tegen diefstal en verlies. 2. Penetratietesten (pen-testen): Dit onderdeel is zowel intern als extern uitgevoerd. Er is zowel vanaf een gemeentelijke locatie als via het internet geprobeerd om oneigenlijk toegang te krijgen tot informatie. De risico’s worden aan de hand van de formule waarschijnlijkheid x impact van een niveau voorzien die de ernst van de kwetsbaarheid zichtbaar maakt. Figuur A laat zien dat er vijf niveaus zijn: informatief, laag, gemiddeld, hoog en kritiek.

74

Figuur A

Indeling risiconiveaus op vijf niveaus

Impact

Waarschijnlijkheid Laag

Gemiddeld

Hoog

Laag

Informatief

Laag

Gemiddeld

Gemiddeld

Laag

Gemiddeld

Hoog

Hoog

Gemiddeld

Hoog

Kritiek

Een kritiek risico heeft een hoge waarschijnlijkheid dat deze door een kwaadwillende wordt uitgebuit en een hoge impact (schade) voor de gemeentelijke organisatie.

▪

3. Review: De gemeente heeft in 2024 accountantsorganisatie BDO de opdracht gegeven om een hertest uit te voeren op de interne en externe infrastructuur. Op deze hertest heeft de rekenkamer in het kader van dit opvolgingsonderzoek een review laten uitvoeren. Analyse en rapportage: Het onderzoeksmateriaal uit de voorgaande stappen is in samenhang geanalyseerd en in verband gebracht met de vooraf vastgestelde normen. De normenbeoordelingen zijn vervolgens vastgelegd in de conceptnota van bevindingen en aan de ambtelijke organisatie voorgelegd voor feitelijk wederhoor. Na de verwerking van de ambtelijke reactie hebben we een bestuurlijk rapport opgesteld met conclusies en aanbevelingen. Het geheel is daarna voorgelegd aan het college van burgemeester en wethouders voor bestuurlijk wederhoor. Na het ontvangen van de bestuurlijke reactie hebben we het definitieve rapport opgemaakt met een nawoord van de rekenkamer.

GERAADPLEEGDE PERSONEN Gemeente Utrecht: ▪ Directeur Bedrijfsvoering ▪ Directeur Informatie en Procesmanagement (IPM) / hoofd CIO office ▪ Plaatsvervangend hoofd CIO office ▪ Integraal Resultaatverantwoordelijk Managers (3) ▪ Informatie en Procesmanagers (IPM’ers; 2) ▪ Chief Information and Security Officer (CISO) ▪ Chief Privacy Officer (CPO) ▪ Decentrale Information and Security Officer (DISO) ▪ Coördinator bewustwording ▪

Hoofd DomstadIT 75

▪ ▪ ▪ ▪

Plaatsvervangend hoofd DomstadIT Teamleider DomstadIT Teamleider Safety & Security Adviseur Safety & Security

GERAADPLEEGDE DOCUMENTEN Gemeentelijke documenten over informatieveiligheid: ▪ ▪ ▪ ▪ ▪ ▪ ▪

Gemeente Utrecht (1 juli 2019). Beleid voor gegevensbescherming gemeente Utrecht 2019-2022 “Bescherming van het digitale DNA van de stad”. Gemeente Utrecht (9 juli 2021). Raadsbrief Plan van Aanpak bij het rekenkameronderzoek ‘Zo sterk als de zwakste schakel’. Gemeente Utrecht (11 januari 2022). Raadsbrief Actiepunten rekenkameronderzoek. Gemeente Utrecht (7 oktober 2022). Raadsbrief Beveiligingsmedewerkers gemeente Utrecht. Gemeente Utrecht (12 oktober 2022). Jaarverslag Gegevensbescherming 2021. Gemeente Utrecht (16 augustus 2023). Gegevensbescherming in Utrecht: verantwoord en transparant. Intern strategisch beleidskader voor gegevensbescherming van Utrecht. Gemeente Utrecht (10 oktober 2023). Raadsbrief Update Rekenkameronderzoek ‘Zo sterk als de zwakste schakel’.

Gemeentelijke planning en controldocumenten: ▪ Gemeente Utrecht (16 juli 2020). Eerste Bestuursrapportage 2020. ▪ Gemeente Utrecht (8 juli 2021). Voorjaarsnota 2021 en Eerste Bestuursrapportage 2021. ▪ Gemeente Utrecht (16 juni 2022). Jaarstukken 2021. ▪ Gemeente Utrecht (7 juli 2022). Voorjaarsnota 2022 en Eerste Bestuursrapportage 2022. ▪ Gemeente Utrecht (10 november 2022). Programmabegroting 2023. ▪ Gemeente Utrecht (2 juli 2023). Jaarstukken 2022. ▪ Gemeente Utrecht (11 juli 2024). Jaarstukken 2023. ▪ Gemeente Utrecht (11 juli 2024). Voorjaarsnota en Eerste Bestuursrapportage 2024. Interne gemeentelijke documenten: ▪ Monitor gegevensbescherming van de gemeente Utrecht, met gegevens over de perioden 2022 tertaal 3 t/m 2024 tertaal 1. ▪ Verslagen van tertaalgesprekken met OOV, PBZ, VTH en BSN. ▪ Maandelijkse rapportage gegevensbescherming van DomstadIT, versies januari 2024 t/m juni 2024. ▪ Jaarplannen Gegevensbescherming en Informatiebeheer 2024 van OOV, PBZ, VTH en BSN.

76

▪

▪ ▪ ▪ ▪ ▪ ▪ ▪ ▪ ▪ ▪ ▪ ▪ ▪ ▪ ▪ ▪ ▪ ▪ ▪ ▪ ▪ ▪

Gemeente Utrecht (21 juni 2022). Bewustwording en communicatie gegevensbescherming. Hoe we bewust gedrag kunnen stimuleren door transparant te communiceren. Concernaudit (16 september 2022). Rapport Follow-up audit opvolging bevindingen Rekenkamer – Definitief. Concernaudit (8 augustus 2024). Rapport Cyberweerbaarheid. Gemeente Utrecht (6 januari 2023). Dashboard deelname e-learning concern. Gemeente Utrecht (30 maart 2023). Veilig werken onboarding. Gemeente Utrecht (6 juni 2023). Strategische standaard voor Business Continuity Management. Gemeente Utrecht (6 juni 2023). Strategische standaard voor Cryptografie. Gemeente Utrecht (6 juni 2023). Strategische standaard voor Identificatie, Authenticatie en Autorisatie. Gemeente Utrecht (6 juni 2023). Strategische standaard voor Logging en Monitoring. Gemeente Utrecht (6 juni 2023). Strategische standaard voor naleving GBMS. Gemeente Utrecht (4 juli 2023). Interne memo Herijking en overdracht strategische risico’s gegevensbescherming. Gemeente Utrecht (4 juli 2023). Rapportage Herijking en overdracht strategische risico’s gegevensbescherming. Gemeente Utrecht (13 september 2023). Architectuurboard gemeente Utrecht. Gemeente Utrecht (4 december 2023). Herinrichting strategisch risicomanagement. Gemeente Utrecht (7 december 2023). Dashboard deelname e-learning concern. Gemeente Utrecht (januari 2024).

Brede rapportage bedrijfsvoering. Gemeente Utrecht (22 januari 2024). Handboek Risicomanagement Gegevensbescherming. Gemeente Utrecht (28 februari 2024). Protocol Automatiseringsmiddelen 2024. Gemeente Utrecht (19 maart 2024). Gegevensbescherming Managemensysteem. BDO (25 maart 2024). Pentest report. New perspectives for gemeente Utrecht. BDO (23 april 2024). Pentest report – Retest VDI, Fat client and Laptop Gemeente Utrecht. Gemeente Utrecht (25 april 2024). Interne memo. Toelichting Retest op de VDI, fat client en laptop. Gemeente Utrecht (30 april 2024). Dashboard deelname e-learning concern.

Schriftelijke vragen, moties en amendementen: ▪ VVD Utrecht (14 april 2022). SV 2022 nr. 78 Inzet ethische hackers bij gemeente Utrecht. Andere bronnen: ▪ Rekenkamer Utrecht (23 juni 2020). Opvolgingsonderzoek rekenkamerrapporten 20142018. Inzicht in de doorwerking van rekenkameronderzoek en de opvolging van raadsbesluiten. 77

▪ ▪ ▪ ▪ ▪

Rekenkamer Utrecht (7 april 2021). Zo sterk als de zwakste schakel. Een onderzoek naar de informatieveiligheid bij de gemeente Utrecht. Rekenkamer Utrecht (2 september 2021). Rekenkamerbrief Plan van aanpak rekenkameronderzoek informatieveiligheid. NFIR (18 juli 2024). Hertest rapportage: RKC en VDI/laptop. NFIR (18 juli 2024). Rapportage pentest. Extern en Interne Infrastructuur (Timeboxed). NFIR (18 juli 2024). Social Engineering: Mystery Guest, Voice Phishing, USB dropping.

Websites: ▪ Digitale Overheid (18 januari 2022). Baseline Informatiebeveiliging Overheid. Geraadpleegd via: https://www.digitaleoverheid.nl/overzicht-van-alleonderwerpen/cybersecurity/bio-en-ensia/baseline-informatiebeveiliging-overheid/ ▪ Digitale Overheid (28 mei 2024). NIS2-richtlijn. Geraadpleegd via: https://www.digitaleoverheid.nl/overzicht-van-alle-onderwerpen/nis2-richtlijn/

78

REKENKAMER UTRECHT wil bijdragen aan het verbeteren van het gemeentelijke bestuur en het versterken van de controlerende rol van de gemeenteraad. Dat doet de Rekenkamer via het doen van onafhankelijk onderzoek naar de doeltreffendheid en doelmatigheid van het gevoerde beleid en bestuur. Voor de inwoners van de gemeente Utrecht wil de Rekenkamer zichtbaar maken hoe publiek geld wordt besteed en wat er terecht komt van de voornemens van de gemeente. 79