Agendabundel
Tekst van het document
verordening geregeld dat een bestuursorgaan er ook voor kan kiezen om inspraak te verlenen naast de toepassing van een samenwerkingsvorm die in het kompas voor zeggenschap is
opgenomen. De voorkeur gaat echter uit naar een samenwerkingsvorm die is opgenomen in de beleidsnota. Als inspraak wordt toegepast, dan moet op grond van artikel 150, tweede lid, van de Gemeentewet afdeling 3.4 van de Algemene wet bestuursrecht worden toegepast. Dit
betekent onder andere dat inwoners en belanghebbenden een zienswijze kunnen indienen.
Artikel 7 Bewonersbod doen
In dit artikel is geregeld hoe inwoners en maatschappelijke partijen een bewonersbod kunnen doen. Zo moeten de inwoners of maatschappelijke partijen bepaalde informatie over het
bewonersbod verstrekken en kan het college ook om aanvullende informatie vragen. Bij het
bewonersbod is verder van belang dat het uitdaagrecht op grond van artikel 150, derde lid, van
de Gemeentewet aan inwoners en maatschappelijke partijen voorbehouden is. Een bewonersbod kan dus niet door Utrechters in bredere zin worden gedaan.
Artikel 8 Reactie bewonersbod
Om het voor inwoners en maatschappelijke partijen makkelijker te maken een bewonersbod te doen, is geregeld dat een bewonersbod altijd bij het college wordt gedaan. Het college stuurt het bewonersbod vervolgens door aan het bevoegde bestuursorgaan.
Dat bestuursorgaan moet op het bewonersbod reageren. Uit de leidende principes voor houding en gedrag en de beleidsnota volgt dat een bestuursorgaan in beginsel moet openstaan voor een bewonersbod en hierop dus in beginsel welwillend moet reageren. Onderdeel van de leidende
principes is immers dat er vertrouwen aan Utrechters wordt gegeven en de beleidsnota stelt het eigenaarschap van Utrechters centraal.
Desalniettemin is ook geregeld dat een bestuursorgaan een bewonersbod kan afwijzen. Dit kan
onder andere als zich één van de uitzonderingsgronden uit artikel 2 voordoet, maar ook als het bewonersbod geen betrekking heeft op een gemeentelijke taak of in strijd is met gemeentelijk beleid. Tot slot kan een bestuursorgaan een bewonersbod afwijzen als het bewonersbod ziet taak of bevoegdheid waarvan de aard zich tegen een bewonersbod verzet. Dit sluit aan op
artikel 156, 165 en 178 van de Gemeentewet. Het gaat dan bijvoorbeeld om de bevoegdheid om
belasting te heffen, bestuursdwang toe te passen of de openbare orde te handhaven. Het bestuursorgaan moet de afwijzing wel onderbouwen.
Verder moet het bestuursorgaan binnen zes weken op het bewonersbod reageren. Deze termijn
begint op het moment dat het bewonersbod door het bevoegde bestuursorgaan ontvangen is. Er is verder een mogelijkheid deze termijn te verlengen. Als een bewonersbod betrekking heeft op
een bevoegdheid van de gemeenteraad is tot slot bepaald dat het college de reactie voorbereidt.
Artikel 9 Uitvoeren bewonersbod
Als het bestuursorgaan het bewonersbod accepteert, moet het met de inwoner of de
maatschappelijke partij afspraken maken over de uitvoering. Die afspraken moeten niet alleen zien op de uitvoering zelf (eerste lid, onder a), maar ook op het contact met en de
ondersteuning door het bestuursorgaan (eerste lid, onder b). Tot slot moeten de afspraken een oplossing bieden als de uitvoering niet volgens de afspraken verloopt (eerste lid, onder c).
Verder moet het bestuursorgaan, net als bij de samenwerkingsvormen, ook na het accepteren of afwijzen van een bewonersbod inzichtelijk maken hoe dit verlopen is. In lijn met wat er bij de
samenwerkingsvormen geregeld is, dient het bestuursorgaan deze verantwoording openbaar te maken.
Aan de gemeenteraad van de gemeente Utrecht
Behandeld door
Johan Snoei
Datum
11 december 2024
Doorkiesnummer
06 – 34 61 22 80
Ons kenmerk
30032582
j.snoei@utrecht.nl
Onderwerp
Bijlagen
4
Rekenkamerrapport ‘De mens als zwakste schakel’, persbericht, publiekssamenvatting en raadsvoorstel
Geachte leden van de gemeenteraad, De Rekenkamer Utrecht heeft voor de tweede keer onderzoek gedaan naar de informatieveiligheid van de gemeente Utrecht. Hierbij bied ik u het rapport ‘De mens als zwakste schakel – Een opvolgingsonderzoek naar de informatieveiligheid van de gemeente Utrecht’ aan met bijbehorend persbericht, publiekssamenvatting en raadsvoorstel. Op deze documenten rust een embargo tot donderdag 12 december 2024 8.00 uur, waarna deze openbaar worden gemaakt op onze website. De technische bijeenkomst, waarin het rapport wordt gepresenteerd, zal later worden gepland. U ontvangt hiervoor te zijner tijd per e-mail een uitnodiging. Over de raadsbehandeling van het rekenkamerrapport wordt u via de griffie nader geïnformeerd. Met vriendelijke groet,
Drs. P.W.D. Venhoeven Voorzitter Rekenkamer Utrecht
Stadhuisbrug 1 Utrecht Postbus 16200, 3500CE Utrecht 030-286 13 91 | utrecht.nl/bestuur-en-organisatie/rekenkamer
PERSBERICHT REKENKAMER UTRECHT: INFORMATIEVEILIGHEID BIJ GEMEENTE UTRECHT VERBETERD, MAAR GEDRAG MEDEWERKERS BLIJFT KWETSBAAR UTRECHT, 12 december 2024 – De gemeente Utrecht heeft sinds 2021 goede stappen gezet met de beveiliging van digitaal opgeslagen informatie. Zo lukt het ethische hackers niet meer om de gemeentelijke systemen binnen te dringen. Maar deze verbetering geldt niet voor de fysieke beveiliging van het Stadskantoor en het Stadhuis. Insluipers kunnen nog steeds ongezien de beveiligde delen van die gebouwen betreden. Bovendien laten medewerkers zich nog altijd makkelijk verleiden om gevoelige informatie zoals inloggegevens af te staan. Dat concludeert de Rekenkamer Utrecht op basis van nieuw onderzoek naar de informatieveiligheid van de gemeente Utrecht. Gemeenten verwerken steeds grotere hoeveelheden informatie. De laatste decennia gebeurt dat in allerlei gedigitaliseerde systemen en programma’s. En de verwerkte informatie bevat vaak bijzondere persoonsgegevens die goed beschermd moeten zijn. De Rekenkamer Utrecht onderzocht daarom in 2021 of de informatieveiligheid binnen de gemeente Utrecht op orde was. De uitkomsten daarvan vormden aanleiding om dit jaar de informatieveiligheid opnieuw te onderzoeken.
Aanbevelingen grotendeels opgevolgd, met name digitale beveiliging verbeterd De rekenkamer ziet dat de gemeente de aanbevelingen van destijds grotendeels heeft opgevolgd. Vrijwel alle technische risico’s die in 2021 op de digitale systemen werden aangetroffen, zijn inmiddels opgelost. Uit de nieuwe penetratietesten van het huidige onderzoek bleek dat er geen kritieke risico’s meer aanwezig zijn. De digitale beveiliging is daarmee verbeterd. Er is nog wel oude software op de systemen aanwezig. Deze software ontvangt geen updates meer en wordt op termijn kwetsbaar. Dit heeft de laatste jaren nog te weinig aandacht gekregen. De rekenkamer beveelt de gemeente daarom aan om deze en andere openstaande kwetsbaarheden zo spoedig mogelijk onder controle te brengen. Fysieke beveiliging nog altijd kwetsbaar In 2021 lukte het ingehuurde insluipers eenvoudig om de beveiligde delen van het Stadskantoor en Stadhuis te betreden. Dat kan voor grote problemen zorgen, omdat een deel van de informatie nog altijd fysiek wordt opgeslagen en gebruikt. Ondanks dat de gemeente de afgelopen jaren heeft geïnvesteerd in beveiligingsmaatregelen, lukte het insluipers in 2024 nog steeds om ongezien de 1
beveiligde delen van beide gebouwen te betreden. En omdat medewerkers onoplettend waren, konden zij daar langere tijd verblijven. Sterker nog: de insluipers zijn geen enkele keer door medewerkers aangesproken op hun aanwezigheid. Medewerkers nog altijd onvoldoende informatiebewust Om het gedrag van medewerkers te verbeteren, heeft de gemeente de afgelopen jaren verschillende maatregelen genomen. Die zijn echter vaak nog te vrijblijvend en worden niet door leidinggevenden afgedwongen. Zo is de deelname aan de e-learning over informatieveiligheid te laag. Het gedrag van medewerkers is dan ook onvoldoende veranderd. Zo gebruiken zij nog altijd achtergelaten USB-sticks zonder te beseffen dat deze mogelijk schadelijke software bevatten. En medewerkers staan onbewust hun inloggegevens af aan kwaadwillenden die zich voordoen als collega’s van de ICT-helpdesk. Ook de organisatiecultuur is onveranderd. Medewerkers spreken elkaar te weinig aan op ongewenst gedrag. De mens is en blijft daarmee de zwakste schakel bij informatieveiligheid. De rekenkamer beveelt daarom aan om het informatiebewustzijn van medewerkers te vergroten en meer te sturen op de naleving van het beleid. En om op de lange termijn in te zetten op een cultuurverandering waarbij medewerkers niet meer toezien en afwachten maar actief onbekenden aanspreken en verantwoordelijkheid nemen.
Noot voor de redactie De rekenkamer ging voor het onderzoek ‘De mens als zwakste schakel’ in gesprek met medewerkers binnen de gemeente. Daarnaast is er een extern onderzoeksbureau ingehuurd om de informatieveiligheid in de praktijk te testen. Dit bureau heeft technische penetratietesten uitgevoerd om te proberen de systemen van de gemeente binnen te dringen. Daarnaast hebben de externe onderzoekers geprobeerd zonder toegangspas de beveiligde gedeelten van het Stadskantoor en Stadhuis te betreden. Door middel van social engineering werden medewerkers telefonisch verleid om gevoelige informatie zoals inloggegevens af te staan. Voor meer informatie kunt u contact opnemen met Johan Snoei, projectleider van het onderzoek, tel. 06 – 34 61 22 80. Het rapport ‘De mens als zwakste schakel’ en meer informatie over de Rekenkamer Utrecht vindt u op https://www.utrecht.nl/bestuur-en-organisatie/rekenkamer/. Mits met bronvermelding (Rekenkamer Utrecht, 2024) kunt u gebruik maken van de figuren uit het rapport (format PDF beschikbaar). Aanvragen kan via rekenkamer@utrecht.nl.
2
Voorstel aan de gemeenteraad
Rekenkamerrapport: De mens als zwakste schakel Beleidsvelden Organisatieonderdeel Opsteller Kenmerk Vergaderdatum Raad Geheim
Personeel en Organisatie Informatie en procesmanagement (IPM) en Mens en Organisatie Johan Snoei 30032582 Volgt Nee
De rekenkamer stelt de raad voor te besluiten om het college van burgemeester en wethouders het volgende te verzoeken: 1. De resterende technische risico’s en kwetsbaarheden zo spoedig mogelijk te beheersen. 2. Verdere maatregelen uit te voeren om de fysieke beveiliging van gebouwen en het informatiebewustzijn van medewerkers te vergroten. 3. Binnen de hele organisatie op de lange termijn in te zetten op een cultuurverandering. 4. Te zorgen voor meer centrale aansturing van het informatieveiligheidsbeleid. 5. De raad binnen zes weken door middel van een plan van aanpak te informeren over de wijze waarop deze aanbevelingen worden uitgevoerd.
De rekenkamer,
de secretaris,
de voorzitter,
dr. G. Molenaar
drs. P.W.D. Venhoeven
Samenvatting De Rekenkamer Utrecht heeft een opvolgingsonderzoek gedaan naar de informatieveiligheid van de gemeente Utrecht. De resultaten hiervan zijn vastgelegd in het rapport De mens als zwakste schakel.
Context Aanleiding Gemeenten verwerken steeds grotere hoeveelheden informatie. De laatste decennia gebeurt dat in allerlei gedigitaliseerde en geautomatiseerde systemen en programma’s. De verwerkte informatie bevat vaak (bijzondere) persoonsgegevens die goed beschermd moeten zijn. De informatieveiligheid moet daarom op alle aspecten – in organisatie en proces, bij de medewerkers en in de techniek – voldoende geborgd zijn. In 2021 voerde Rekenkamer Utrecht onderzoek uit naar de manier waarop de gemeente Utrecht invulling gaf aan de drie aspecten van informatieveiligheid. De uitkomsten gaven ons aanleiding om het onderwerp te blijven volgen. We gaven in ons bestuurlijk rapport daarom aan op een later moment (na ongeveer een jaar) een opvolgingsonderzoek uit te gaan voeren. In september 2022 heeft concernaudit een follow-up audit uitgevoerd naar de stand van zaken van de uitvoering van het raadsbesluit. Mede op basis daarvan besloot de rekenkamer om het aangekondigde opvolgingsonderzoek uit te stellen. Uiteindelijk heeft de rekenkamer in de periode februari tot en met juli 2024 onderzoek gedaan naar de opvolging van aanbevelingen uit 2021 en de actuele stand van zaken van de informatieveiligheid. Juridische context De Rekenkamer Utrecht is een onafhankelijk bestuursorgaan van de gemeente Utrecht, met een grondslag in de gemeentewet (artikel 81 en 182-185).
De rekenkamer heeft taken en bevoegdheden op een bij wet duidelijk afgebakend terrein. De rekenkamer onderzoekt de doelmatigheid, doeltreffendheid en rechtmatigheid van het door het gemeentebestuur gevoerde bestuur (gemeentewet, artikel 182). Een door de rekenkamer ingesteld onderzoek naar de rechtmatigheid van het door het gemeentebestuur gevoerde bestuur bevat daarbij geen controle van de jaarrekening aangezien dat het werkterrein is van de accountant. De gemeenteraad heeft binnen de kaders van de wet voor Rekenkamer Utrecht het juridisch kader nader vastgelegd in de Verordening Rekenkamer Utrecht (Gemeenteblad nr. 473707, 7 november 2023). Beoogd effect Het doel van dit onderzoek is om de Utrechtse gemeenteraad inzicht te geven in de mate waarin de besluiten naar aanleiding van het rekenkamerrapport “Zo sterk als de zwakste schakel” zijn opgevolgd. Daarnaast besteden we aandacht aan aanvullende onderwerpen die in het onderzoek uit 2021 onderbelicht waren gebleven. Het gaat onder meer om de managementinformatie, de afhandeling van incidenten, het gebruik van de gemeentelijke telefoons en de maatregelen om het thuiswerken te beveiligen.
De centrale vraag van het onderzoek was: In hoeverre heeft de gemeente Utrecht uitvoering gegeven aan de aanbevelingen van het rekenkameronderzoek uit 2021 en is de informatieveiligheid nu voldoende gewaarborgd? Eerdere besluitvorming en informatievoorziening aan de raad Op 3 juni 2021 heeft de gemeenteraad ingestemd met het raadsbesluit bij het rekenkameronderzoek Zo sterk als de zwakste schakel. Tijdens de behandeling van het rekenkamerrapport deed de wethouder een aantal toezeggingen aan de gemeenteraad. Twee van die toezeggingen kwamen niet in het gemeentelijke plan van aanpak van 9 juli 2021 terug. In de rekenkamerbrief van september 2021 waarin wij onze visie op het plan van aanpak gaven wezen wij daarop. Het college heeft daarop in januari 2022 in een raadsbrief aangegeven in welke mate zij aan de gedane toezeggingen invulling zou gaan geven. Vervolgens heeft het college in juni 2022 in de Jaarstukken 2021 de gemeenteraad per aanbeveling beknopt geïnformeerd over de planning en stand van zaken van de uitvoering. Daarna is in oktober 2022 het Jaarverslag Gegevensbescherming 2021 gepubliceerd, waarin de gemeentelijke organisatie verantwoording aflegde aan de gemeenteraad over de ontwikkelingen in 2021 op het gebied van
2
gegevensbescherming. Meest recent is de raadsbrief van oktober 2023 waarin het college een update heeft gegeven van de opvolging van het raadsbesluit. Sinds de raadsbehandeling van het rekenkamerrapport is door de gemeenteraad niet meer over het onderwerp gedebatteerd. In april 2022 heeft de VVD-fractie nog wel schriftelijke vragen aan het college gesteld over het gebruik van ethische hackers. Daarin wordt het college onder andere gevraagd naar de voortgang op de acties die zijn en worden ondernomen naar aanleiding van het rekenkamerrapport. Deze vragen zijn in mei 2022 door het college beantwoord.
Beslispunten, Argumenten en Kanttekeningen/Risico’s Beslispunt 1
De resterende technische risico’s en kwetsbaarheden zo spoedig mogelijk te beheersen.
Argumenten 1.1
Vrijwel alle technische risico’s die in 2021 nog openstonden zijn opgelost. Er zijn daarmee geen kritieke risico’s meer aanwezig.
1.2
Uit de nieuwe penetratietesten van dit onderzoek bleek wel dat er nog altijd verouderde software aanwezig is. Dit krijgt te weinig aandacht.
1.3
De verouderde software die aanwezig is, wordt niet langer onderhouden, wordt daardoor kwetsbaar en kan door hackers worden uitgebuit.
1.4
De laptops en telefoons die door de gemeente worden beheerd en uitgegeven blijken technisch goed beveiligd.
1.5
Door de invoering van multi-factor authenticatie is de informatieveiligheid bij het thuis- en op afstand werken van medewerkers sterk verbeterd.
Beslispunt 2
Verdere maatregelen uit te voeren om de fysieke beveiliging van gebouwen en het informatiebewustzijn van medewerkers te vergroten.
Argumenten 2.1
Er is geïnvesteerd in de fysieke beveiliging van de gemeentelijke gebouwen.
2.2
Het lukte de insluipers van het door de rekenkamer ingehuurde bureau bij de inlooptesten vrijwel altijd om het Stadskantoor binnen te komen.
2.3
De fysieke beveiliging van het Stadhuis is door de grote inspanningen sinds 2021 sterk verbeterd. Indringen was daardoor lastig, maar niet onmogelijk doordat medewerkers nog altijd onoplettend waren.
3
2.4
Er zijn veel maatregelen genomen om het informatiebewustzijn van medewerkers te vergroten, maar dit levert nog te weinig resultaten op omdat de uitvoering vrijblijvend is.
2.5
Deelname aan de e-learning is te laag en er zijn aanzienlijke verschillen tussen de organisatieonderdelen.
2.6
Raads-, commissie- en fractieleden worden zelfs helemaal niet uitgenodigd voor de e-learning. Dit geldt ook voor de leden van de rekenkamer.
2.7
De e-learning biedt inhoudelijk te weinig maatwerk waardoor de aanpak niet altijd aansluit op de behoefte van de verschillende organisatieonderdelen.
2.8
Medewerkers trappen nog steeds in USB-dropping en staan hun gegevens af tijdens de voice phishingtest.
Beslispunt 3
Binnen de hele organisatie op de lange termijn in te zetten op een cultuurverandering.
Argumenten 3.1
De organisatiecultuur binnen de gemeente Utrecht is de afgelopen jaren onveranderd.
3.2
Medewerkers spreken elkaar nog altijd onvoldoende aan op ongewenst gedrag.
3.3
Ook onbekenden – mystery quests – worden niet op hun aanwezigheid aangesproken en kunnen daardoor voor langere tijd in de gemeentelijke gebouwen verblijven.
Beslispunt 4
Te zorgen voor meer centrale aansturing van het informatieveiligheidsbeleid.
Argumenten 4.1
Organisatieonderdelen zijn zelf verantwoordelijk voor het identificeren en beheersen van de verschillende risico’s rond informatieveiligheid.
4.2
Op strategisch niveau ontbreekt het op sleutelposities aan overzicht, slagkracht en mandaat om met informatieveiligheid aan de slag te gaan.
4.3
Vanuit de directie is de afgelopen jaren te weinig toegezien en gehandhaafd.
4.4
De voortgang van maatregelen duurt daardoor lang en hangt te veel af van de bereidwilligheid van leidinggevenden en individuele medewerkers.
4
4.5
Op tactisch niveau – bij de verschillende organisatieonderdelen – zijn achterstanden ontstaan in het identificeren en beheersen van de risico’s, waardoor deze langer blijven bestaan.
4.6
Het wordt onvoldoende duidelijk of er een risicogebaseerde afweging ten grondslag ligt aan de tactische risico’s die wél worden beheerst.
4.7
De ondersteuning van de organisatieonderdelen door gemeentelijke medewerkers van informatie- en procesmanagement wordt niet risicogebaseerd verdeeld.
4.8
We kunnen door een gebrek aan informatie niet vaststellen hoe het er met het beheersen van de geïdentificeerde operationele risico’s voor staat.
Beslispunt 5
De raad binnen zes weken door middel van een plan van aanpak te informeren over de wijze waarop deze aanbevelingen worden uitgevoerd.
Argumenten 5.1
Bij de formulering van de aanbevelingen heeft de rekenkamer ruimte gelaten aan het college om de aanbevelingen nader in te vullen.
5.2
In artikel 12 (lid 9) van de Verordening rekenkamer gemeente Utrecht 2023 is opgenomen dat het college binnen zes weken na besluitvorming over de aanbevelingen van de rekenkamer een plan van aanpak opstelt over de implementatie van de raadsbesluiten.
Kanttekeningen 5.1
Indien nuttig kan via een expliciet besluit van de gemeenteraad van de standaardtermijn van zes weken worden afgeweken.
5.2
In artikel 12 (lid 10) is opgenomen dat het college jaarlijks (bij de Jaarstukken) aan de raad rapporteert over de stand van zaken van de uitvoering van de raadsbesluiten die genomen zijn naar aanleiding van rekenkamerrapporten.
Financiën De financiële consequenties van dit voorstel zijn op dit moment onbekend. Deze zijn afhankelijk van de besluitvorming en de precieze opvolging van de beslispunten daarna.
Vervolg Met het voorliggend besluit wordt het college verzocht om de raad binnen zes weken door middel van een plan van aanpak te informeren over de wijze waarop de aanbevelingen worden uitgevoerd.
Participatie Binnen de gemeentelijke organisatie sprak de rekenkamer met medewerkers die binnen de verschillende organisatieonderdelen verantwoordelijk zijn voor en uitvoering geven aan de opgaven rond de informatieveiligheid. Dit betrof niet alleen de organisatieonderdelen Informatie en procesmanagement (IPM en Mens en Organisatie, maar ook leidinggevenden en deskundigen van andere onderdelen. Daarnaast zijn door een extern bureau – naast de digitale penetratietesten – social engineering testen uitgevoerd waarbij medewerkers van de gemeente zijn benaderd om te proberen gegevens buit te maken. 5
Communicatie Rekenkamer Utrecht stuurt het rapport en de bijbehorende documenten in eerste instantie toe aan de gemeenteraad en het college van B&W. Vervolgens worden deze ook openbaar gemaakt op de website van de rekenkamer. Daarbij worden ook de respondenten, perscontacten en andere geïnteresseerden op de hoogte gesteld. In een technische bijeenkomst licht de rekenkamer de onderzoeksresultaten nader toe.
Bijlagen Bijlagen besluitvorming: ▪ Rekenkamerrapport De mens als zwakste schakel. Een opvolgingsonderzoek naar de informatieveiligheid van de gemeente Utrecht. Bijlagen informatief: ▪ Persbericht. ▪ Publiekssamenvatting. ▪ Infographic.
6
PUBLIEKSSAMENVATTING REKENKAMERRAPPORT ‘DE MENS ALS ZWAKSTE SCHAKEL’ Sinds 2021 is de veiligheid van informatie binnen de gemeente Utrecht verbeterd. Zo lukt het niet meer om op digitale systemen in te breken. Aan de andere kant is er weinig veranderd aan het gedrag van medewerkers. Nog steeds geven medewerkers informatie zoals hun inloggegevens te gemakkelijk af. Dit blijkt uit een nieuw onderzoek van de Rekenkamer Utrecht naar de informatieveiligheid van de gemeente Utrecht. De gemeente verwerkt steeds meer informatie. Dat gebeurt vaak op digitale systemen. Veel informatie is gevoelig. Bijvoorbeeld als het om persoonsgegevens van inwoners gaat. Het is dus belangrijk dat de gemeente deze informatie goed beschermt. In 2021 onderzocht de rekenkamer dit ook. De informatie was toen niet goed beschermd. Zo waren de digitale systemen waar informatie op werd opgeslagen kwetsbaar. Mensen met slechte bedoelingen konden daardoor informatie stelen. In het nieuwe onderzoek ziet de rekenkamer dat de gemeente die kwetsbaarheden heeft opgelost. Maar soms wordt informatie ook op papier opgeslagen. Bijvoorbeeld in mappen op het Stadskantoor of het Stadhuis. Het is dus belangrijk dat insluipers niet in het beveiligde gebied van deze gebouwen kunnen komen. De rekenkamer ziet niet dat dit is verbeterd. Nog steeds komen mensen makkelijk langs de beveiliging.
Dit kan ertoe leiden dat informatie en apparaten worden gestolen. Ook het gedrag van medewerkers is niet verbeterd. Niet alle afdelingen hebben evenveel aandacht voor informatieveiligheid. Medewerkers spreken onbekende mensen op hun afdeling niet aan. En ze geven nog steeds informatie zoals inloggegevens aan mensen met slechte bedoelingen. Ook hierdoor kan gevoelige informatie worden gestolen. De rekenkamer raadt de gemeente daarom aan om: 1. De kwetsbaarheden op te lossen die er in de digitale systemen nog zijn. 2. De beveiliging van gemeentelijke gebouwen verder te verbeteren en ervoor te zorgen dat medewerkers beter opletten. 3. Medewerkers op een andere manier te laten werken, zodat zij onbekenden sneller aanspreken. 4. Ervoor te zorgen dat gemeentelijke afdelingen echt aandacht hebben voor informatieveiligheid.
1
DE MENS ALS ZWAKSTE SCHAKEL EEN OPVOLGINGSONDERZOEK NAAR DE INFORMATIEVEILIGHEID VAN DE GEMEENTE UTRECHT
1
DE MENS ALS ZWAKSTE SCHAKEL EEN OPVOLGINGSONDERZOEK NAAR DE INFORMATIEVEILIGHEID VAN DE GEMEENTE UTRECHT
12 december 2024 Eindrapport
2
REKENKAMER UTRECHT LEDEN ▪
Paul Venhoeven (voorzitter)
▪
Sjoerd Keulen
▪
Nanda ‘t Lam
MEDEWERKERS ONDERZOEK ▪
Johan Snoei
▪
Vince van Houten
CONTACTGEGEVENS rekenkamer@utrecht.nl www.utrecht.nl/bestuur-en-organisatie/rekenkamer Postbus 16200, 3500 CE Utrecht
3
INHOUD Deel I Bestuurlijk rapport ................................................................................................................. 6 Onderzoek: Is de informatieveiligheid voldoende gewaarborgd?..................................................... 6
Conclusie: Informatieveiligheid is verbeterd, maar blijft door menselijk handelen kwetsbaar........... 8 Deelconclusie 1: Aanbevelingen uit rekenkameronderzoek 2021 grotendeels opgevolgd .......... 9 Deelconclusie 2: Technische risico’s uit 2021 beheerst, bij huidige testen geen kritieke risico’s aangetroffen .................................................................................................... 9 Deelconclusie 3: Informatiebewustzijn onder medewerkers nog altijd onvoldoende ................... 9 Deelconclusie 4: Onvoldoende centrale sturing op organisatie en processen .......................... 10
Aanbevelingen .............................................................................................................................. 11 Aanbeveling 1:
Beheers resterende technische risico’s en kwetsbaarheden zo spoedig mogelijk......................................................................................................... 11
Aanbeveling 2:
Voer verdere maatregelen uit om de fysieke beveiliging van gebouwen en het informatiebewustzijn van medewerkers te vergroten ..................................... 11
Aanbeveling 3:
Zet binnen de hele organisatie op de lange termijn in op een cultuurverandering ........................................................................................ 11
Aanbeveling 4:
Zorg voor meer centrale aansturing van het informatieveiligheidsbeleid ........ 12
Bestuurlijke reactie college van B&W ............................................................................................ 12
Nawoord rekenkamer .................................................................................................................... 16
Deel II Nota van bevindingen ........................................................................................................ 18 1
Inleiding: Opvolging en actualiteit........................................................................................... 18
2
Context: Centraal beleid wordt decentraal uitgevoerd ............................................................ 22 2.1 Risicogebaseerd werken uitgangspunt bij uitvoering .......................................................... 22 2.2 Opnieuw extra financiële middelen vrijgemaakt voor gegevensbescherming...................... 27 2.3 Organisatieonderdelen zelf verantwoordelijk voor omgaan met en leren van incidenten .... 29 2.4 Langs managementsysteem voor gegevensbescherming moet verantwoording worden afgelegd ............................................................................................................................... 30 4
3
Organisatie en proces: Wijzigingen vragen om verdere verbetering ....................................... 32 3.1 Op strategisch niveau ontbreekt een centraal sturingsmechanisme ................................... 33 3.2 Op tactisch en operationeel niveau geven organisatieonderdelen hun eigen invulling aan beleid ................................................................................................................................... 36
4
Mens: Maatregelen in opzet goed, in de praktijk nog te vrijblijvend ........................................ 43 4.1 Bewustwordingsplan vastgesteld, uitvoering maatregelen nog te vrijblijvend ..................... 44 4.2 Medewerkers kwetsbaar voor externe aanvallen ................................................................ 48
5
Techniek: Informatie beter beveiligd tegen digitale inbraken .................................................. 53 5.1 Digitale inbraken door technische maatregelen niet meer mogelijk .................................... 54 5.2 Thuiswerkplekken technisch goed beveiligd, gedrag op afstand niet controleerbaar .......... 61 5.3 Wisselende ervaringen met de fysieke beveiliging van gemeentelijke gebouwen ............... 63
6
Opvolging: Grotendeels op orde ............................................................................................ 66 6.1 Meeste maatregelen uitgevoerd, na sterk vertraagde uitvoering ......................................... 67 6.2 Rekenkamerrapport droeg bij aan urgentie van informatieveiligheid ................................... 68 6.3 Gemeenteraad goed door college geïnformeerd over opvolging raadsbesluit .................... 70
BIJLAGE 1 Afkortingen ................................................................................................................. 72 BIJLAGE 2 Onderzoeksverantwoording ........................................................................................ 74
5
DEEL I BESTUURLIJK RAPPORT ONDERZOEK: IS DE INFORMATIEVEILIGHEID VOLDOENDE GEWAARBORGD? Aanleiding Gemeenten verwerken steeds grotere hoeveelheden informatie. De laatste decennia gebeurt dat in allerlei gedigitaliseerde en geautomatiseerde systemen en programma’s. De verwerkte informatie bevat vaak (bijzondere) persoonsgegevens, zogeheten ‘kroonjuwelen’, die goed beschermd moeten zijn. De informatieveiligheid moet daarom op alle aspecten – in organisatie en proces, bij medewerkers en in de techniek – voldoende geborgd zijn. In 2021 voerde Rekenkamer Utrecht onderzoek uit naar de manier waarop de gemeente Utrecht invulling gaf aan die drie aspecten van informatieveiligheid. De uitkomsten daarvan gaven de rekenkamer aanleiding om het onderwerp te blijven volgen. We gaven in ons bestuurlijk rapport ook aan op een later moment een opvolgingsonderzoek uit te zullen voeren. Doel en centrale vraag Het doel van dit onderzoek is om de Utrechtse gemeenteraad inzicht te geven in de mate waarin de besluiten naar aanleiding van het rekenkamerrapport “Zo sterk als de zwakste schakel” zijn opgevolgd. Daarnaast besteden we aandacht aan aanvullende onderwerpen die in het onderzoek uit 2021 onderbelicht zijn gebleven. Het gaat onder meer om de managementinformatie, de afhandeling van incidenten, het gebruik van de gemeentelijke telefoons en de maatregelen om het thuiswerken te beveiligen.
De centrale vraag van het onderzoek is: In hoeverre heeft de gemeente Utrecht uitvoering gegeven aan de aanbevelingen van het rekenkameronderzoek uit 2021 en is de informatieveiligheid nu voldoende gewaarborgd? Werkwijze Het onderzoek is uitgevoerd in de periode februari 2024 tot en met juli 2024. Naast de documentstudie en analyse van beschikbare data hebben wij interviews gehouden met medewerkers van Informatie- en Procesmanagement (IPM) en andere medewerkers binnen de gemeentelijke organisatie die een verantwoordelijkheid dragen voor informatieveiligheid. Wij bedanken de betrokken medewerkers hartelijk voor hun bijdrage aan het onderzoek. We hebben daarnaast NFIR B.V. opdracht verleend voor het uitvoeren van testen om oneigenlijk toegang te krijgen tot digitale en fysieke informatie bij de gemeente. Een uitgebreide toelichting op de onderzoeksmethode is opgenomen in bijlage 1.
6
RAPPORT ‘DE MENS ALS ZWAKSTE SCHAKEL’
De informatieveiligheid is verbeterd, maar blijft door menselijk handelen kwetsbaar In 2021 zag de rekenkamer dat de informatieveiligheid bij de gemeente Utrecht niet op orde was. De rekenkamer heeft daarom nu opnieuw onderzoek gedaan. Daaruit blijkt dat de digitale beveiliging van informatie is verbeterd, maar dat het menselijk handelen nog steeds kwetsbaar is. Deelconclusie 2 Grote digitale kwetsbaarheden uit 2021 opgelost. Deelconclusie 1 Aanbevelingen uit rekenkameronderzoek 2021 grotendeels opgevolgd.
Deelconclusie 4 Gemeente stuurt niet genoeg op naleving van beleid door afdelingen.
Deelconclusie 3 Bewustzijn medewerkers niet verbeterd, staan nog steeds informatie af.
</>
Aanbevelingen om de informatieveiligheid te verbeteren de resterende digitale 1 Los kwetsbaarheden snel op. de beveiliging 2 Verbeter van gebouwen verder en vergroot het bewustzijn van medewerkers.
in op een cultuur 3 Zet verandering zodat medewer
kers verantwoordelijkheid nemen en actief onbekenden aanspreken.
voor betere naleving 4 Zorg van beleid door meer centraal te sturen.
CONCLUSIE: INFORMATIEVEILIGHEID IS VERBETERD, MAAR BLIJFT DOOR MENSELIJK HANDELEN KWETSBAAR Met ons onderzoek uit 2021 concludeerden we dat informatie binnen de gemeente Utrecht niet altijd goed beschermd was. We zagen met name op het gebied van de techniek en het menselijk handelen kritieke kwetsbaarheden. Op basis van de bevindingen van dit opvolgingsonderzoek komen we nu tot de volgende hoofdconclusie met vier deelconclusies. Wij formuleren hierbij ook vier aanbevelingen. Hoofdconclusie Met de technische kant van informatieveiligheid is de gemeente Utrecht de afgelopen jaren goed aan de slag gegaan. Zo zijn maatregelen genomen om de technische risico’s en kwetsbaarheden aan te pakken. De zeer kwetsbare werkstations van de medewerkers zijn vervangen. De afgelopen jaren zijn er ook meer analyses uitgevoerd om risico’s te identificeren. Daarnaast is de technische beveiliging bij het thuiswerken verbeterd door laptops en telefoons te verstrekken die door de gemeente worden beheerd. Organisatieonderdelen zijn zelf verantwoordelijk voor het identificeren en beheersen van de verschillende risico’s rond informatieveiligheid. Hierin zijn achterstanden ontstaan. Risico’s blijven mede daardoor lang bestaan. Zo is er op systemen nog verouderde software aanwezig die niet langer onderhouden wordt. Software wordt daardoor kwetsbaar en kan door hackers worden uitgebuit.
Vanuit de directie is hier te weinig op toegezien en gehandhaafd. Er is wel geïnvesteerd in de fysieke beveiliging van de gemeentelijke gebouwen en in het bewustzijn van de medewerkers, maar deze maatregelen schieten nog tekort. Het medewerkersgedeelte van het Stadskantoor blijkt op dit moment nog eenvoudig door onbevoegden te betreden en nog te weinig medewerkers gaan veilig met informatie om. Het menselijk handelen is de afgelopen jaren niet aantoonbaar verbeterd. De mens blijkt daarmee de zwakste schakel bij de informatieveiligheid, waardoor deze nog niet volledig is gewaarborgd. Aangekondigde maatregelen om het bewustzijn van medewerkers te vergroten zijn niet of te vrijblijvend doorgevoerd. Medewerkers staan tijdens phishing-acties nog steeds gevoelige informatie zoals inloggegevens af. En medewerkers spreken onbevoegden die gemeentelijke gebouwen weten te betreden niet aan, waardoor deze langere tijd binnen kunnen verblijven.
8
DEELCONCLUSIE 1: AANBEVELINGEN UIT REKENKAMERONDERZOEK 2021 GROTENDEELS OPGEVOLGD In 2021 zijn de zeven aanbevelingen van de rekenkamer unaniem overgenomen door de gemeenteraad. De gemeente was tijdens de behandeling van het rapport al gestart met het treffen van technische maatregelen om de geïdentificeerde kwetsbaarheden te beheersen. Die maatregelen zijn de afgelopen jaren verder doorgezet. De uitvoering van deze maatregelen heeft wel lang geduurd. Dit komt door een gebrek aan capaciteit, onvoldoende daadkracht, de organisatiecultuur en de grote financiële investeringen die voor een aantal maatregelen nodig waren. De gemeenteraad is in de afgelopen jaren wel goed over de voortgang geïnformeerd.
DEELCONCLUSIE 2: TECHNISCHE RISICO’S UIT 2021 BEHEERST, BIJ HUIDIGE TESTEN GEEN KRITIEKE RISICO’S AANGETROFFEN Vrijwel alle technische risico’s die in 2021 nog openstonden zijn opgelost. Er zijn daarmee geen kritieke risico’s meer aanwezig. Uit de nieuwe penetratietesten van dit onderzoek bleek wel dat er nog altijd verouderde software aanwezig is. Dit krijgt te weinig aandacht, terwijl het wel tot kwetsbaarheden leidt. De laptops en telefoons die door de gemeente worden beheerd en uitgegeven blijken technisch goed beveiligd. Door de invoering van multi-factor authenticatie is de informatieveiligheid bij het thuis- en op afstand werken van medewerkers sterk verbeterd. Dit geldt niet voor de fysieke beveiliging van het Stadskantoor. Onderzoeksbureau NFIR heeft in opdracht van de rekenkamer getracht zonder bevoegdheid het Stadskantoor en Stadhuis te betreden. Insluipers konden tijdens deze inlooptesten vrijwel altijd het Stadskantoor binnenkomen. De fysieke beveiliging van het Stadhuis is door de grote inspanningen sinds 2021 sterk verbeterd. Indringen was daardoor lastig, maar niet onmogelijk doordat medewerkers nog altijd onoplettend waren.
DEELCONCLUSIE 3: INFORMATIEBEWUSTZIJN ONDER MEDEWERKERS NOG ALTIJD ONVOLDOENDE Nog te weinig medewerkers gaan bewust om met informatie. Er zijn veel maatregelen genomen om dit te verbeteren, maar dit levert nog te weinig resultaten op omdat de uitvoering vrijblijvend is. Zo is deelname aan de e-learning – één van de belangrijkste maatregelen op dit aspect – te laag en zijn er aanzienlijke verschillen tussen organisatieonderdelen. Raads-, commissie- en fractieleden worden zelfs helemaal niet voor de e-learning uitgenodigd. Dat geldt ook voor de leden van de rekenkamer. De e-learning biedt daarnaast inhoudelijk te weinig maatwerk waardoor de aanpak niet altijd aansluit op de behoeften van de verschillende organisatieonderdelen. Daardoor is het gedrag van medewerkers onvoldoende veranderd. 9
Onderzoeksbureau NFIR heeft namens de rekenkamer testen uitgevoerd om het informatieveiligheidsbewustzijn van medewerkers te bepalen. Medewerkers trappen nog steeds in de USB-dropping en staan hun inloggegevens af tijdens de voice phishingtest. Ook de organisatiecultuur is onveranderd. Medewerkers spreken elkaar te weinig aan op ongewenst gedrag en onbekenden worden niet op hun aanwezigheid aangesproken.
DEELCONCLUSIE 4: ONVOLDOENDE CENTRALE STURING OP ORGANISATIE EN PROCESSEN Het thema informatieveiligheid is gedecentraliseerd naar de verschillende organisatieonderdelen. We zien daardoor een strategisch risico ontstaan: op dit moment ontbreekt het op sleutelposities aan overzicht, slagkracht en mandaat om met informatieveiligheid aan de slag te gaan. De voortgang van maatregelen duurt daardoor lang en hangt te veel af van de bereidwilligheid van leidinggevenden en de individuele medewerkers. Naleving wordt niet ‘van bovenaf’ afgedwongen. Dat leidt ertoe dat de gemeente niet altijd in control is, bijvoorbeeld als het gaat om het leveranciers- en contractmanagement. Hierdoor kan verouderde software op de IT-systemen aanwezig blijven die niet meer door de leverancier wordt ondersteund (end-of-life). Dit maakt systemen onnodig kwetsbaar. In 2021 stond de gemeente Utrecht nog aan het begin van het risicogebaseerd werken. Met deze methode zouden geïdentificeerde risico’s moeten worden geclassificeerd (hoe groot is het risico?), afgewogen en vervolgens wel of niet worden beheerst (teruggebracht naar een acceptabel niveau). In de praktijk zien we dat er inmiddels meer risicoanalyses worden uitgevoerd om risico’s te identificeren, maar blijven achterstanden bestaan. Op tactisch niveau worden risico’s geïdentificeerd die op een heel organisatieonderdeel van toepassing zijn.
Wij constateren dat voor een meerderheid van de geïdentificeerde tactische risico’s geen beheersmaatregelen worden genomen. Deze risico’s staan ook vaak al (te) lang open. En het wordt onvoldoende duidelijk of er een risicogebaseerde afweging ten grondslag ligt aan de tactische risico’s die wél zijn beheerst. We kunnen door een gebrek aan informatie ook niet vaststellen hoe het er met het beheersen van de geïdentificeerde operationele risico’s voor staat. Dit zijn risico’s die van toepassing zijn op één proces of applicatie binnen een organisatieonderdeel. Organisatieonderdelen worden bij het verbeteren van de informatieveiligheid ondersteund door gemeentelijke medewerkers van informatie- en procesmanagement. Deze ondersteuning wordt niet risicogebaseerd verdeeld. Dat leidt ertoe dat organisatieonderdelen die met cruciale systemen werken – zoals de basisregistratie personen of privacygevoelige informatie zoals uitkeringsinformatie – niet per definitie meer ondersteuningsinzet krijgen. Organisatieonderdelen leren daarnaast op hun eigen manier van beveiligingsincidenten,
10
maar leren door een gebrek aan kennisuitwisseling en een centraal registratiesysteem niet van elkaar.
AANBEVELINGEN Op basis van de hiervoor toegelichte hoofdconclusie en de vier deelconclusies doen we vier aanbevelingen verdeeld over de drie aspecten techniek (aanbeveling 1), mens (2 en 3) en organisatie (4). Omdat de mens de zwakste schakel is bij informatieveiligheid hebben we voor dit aspect twee aanbevelingen geformuleerd: één voor de korte en één voor de lange termijn.
AANBEVELING 1: BEHEERS RESTERENDE TECHNISCHE RISICO’S EN KWETSBAARHEDEN ZO SPOEDIG MOGELIJK Kijk daarbij met voorrang naar de kwetsbaarheden met de hoogste risico’s, zoals de verouderde software die bij herhaling is aangetroffen.
AANBEVELING 2: VOER VERDERE MAATREGELEN UIT OM DE FYSIEKE BEVEILIGING VAN GEBOUWEN EN HET INFORMATIEBEWUSTZIJN VAN MEDEWERKERS TE VERGROTEN Geef bij het verbeteren van de fysieke beveiliging voorrang aan de gebouwen met een publieksfunctie en waar met gevoelige informatie wordt gewerkt. Het gaat dan met name om het Stadskantoor en het Stadhuis. Handhaaf het minimale niveau voor de e-learning om op de korte termijn het informatiebewustzijn onder medewerkers te vergroten, ook voor de leden van gemeenteraad en personen die hen ondersteunen. En voer de maatregelen uit het programma informatiebewustzijn consequent uit. Herhaal maatregelen die de bewustwording vergroten. Vooral het uitvoeren van phishing- en penetratietesten zijn een must om het bewustzijn blijvend te vergroten en de enige echte test om de robuustheid van de informatiebeveiliging te meten.
AANBEVELING 3: ZET BINNEN DE HELE ORGANISATIE OP DE LANGE TERMIJN IN OP EEN CULTUURVERANDERING Rondom het menselijk handelen op informatieveiligheid moet de organisatie van een cultuur van toezien en afwachten naar een cultuur van actief aanspreken en verantwoordelijkheid nemen. Die verandering moet breder worden ingezet dan alleen met de huidige focus op nieuwe medewerkers via het introductieprogramma.
11
AANBEVELING 4: ZORG VOOR MEER CENTRALE AANSTURING VAN HET INFORMATIEVEILIGHEIDSBELEID Dwing naleving en uitvoering van beleid met centrale sturing af, waarbij ook ruimte is voor maatwerk per organisatieonderdeel. Verbeter het risicogebaseerd werken door ondersteuningscapaciteit op basis van risico’s en gebruik van cruciale systemen aan de organisatieonderdelen toe te wijzen. Richt de registratie- en managementinformatiesystemen uniform in, zodat gemeentebreed inzicht bestaat in de ontwikkelingen en incidenten, en zodat daarmee effectiever geleerd en verbeterd kan worden.
BESTUURLIJKE REACTIE COLLEGE VAN B&W Wij danken u voor het toesturen van uw rapport De mens als zwakste schakel - Een opvolgingsonderzoek naar de Informatieveiligheid van de gemeente Utrecht. U heeft onderzocht in hoeverre wij de aanbevelingen uit het vorige rekenkameronderzoek hebben opgevolgd en of de informatieveiligheid voldoende geborgd is. We spreken onze waardering uit voor uw grondige analyse. Uw rapport geeft ons waardevolle inzichten die we kunnen gebruiken in de doorlopende verbetering van informatieveiligheid. Conclusie In een steeds verder digitaliserende stad als Utrecht is informatieveiligheid niet alleen een technische noodzaak, maar een fundamenteel onderdeel van onze maatschappelijke verantwoordelijkheid. Het is als onderdeel van het geheel van gegevensbescherming essentieel voor het vertrouwen van onze burgers, het beschermen van hun rechten en vrijheden, en het realiseren van onze missie voor een gezond stedelijk leven voor iedereen. Het doet ons daarom deugd dat u oordeelt dat de technische beveiliging en de fysieke beveiliging van het Stadhuis sterk verbeterd zijn. We onderschrijven deze conclusie. We hebben in de afgelopen jaren geïnvesteerd in het oplossen en structureel beheersen van de grootste technische risico’s. Dit is een complexe opgave die inzet van vele professionals vraagt.
Uw onderzoek en conclusies laten zien dat deze inzet zijn vruchten afwerpt. Tegelijk laat uw onderzoek zien dat er nog steeds kwetsbaarheden zijn. Uw onderzoek bevestigt dat informatieveiligheid blijvende aandacht nodig heeft. Het laat zien dat hier met name sprake van is bij het bewustzijn onder medewerkers, de fysieke beveiliging van het Stadskantoor en de centrale aansturing van informatieveiligheid. We herkennen het beeld dat u schetst en de conclusies die u daarover trekt. Hieronder gaan wij in op de aanbevelingen die u doet. De huidige financiële situatie van de gemeente kan hierbij niet onbenoemd blijven. Er is geen extra geld beschikbaar om aanbevelingen uitgebreid aan te pakken. Sterker nog, er moeten nog besparingen worden 12
gerealiseerd en er zal moeten worden geprioriteerd. De opvolging van de aanbevelingen moet dan ook in dat licht worden bezien. We zetten bestaande middelen optimaal in om de aanbevelingen te realiseren, maar doen dit risicogestuurd. Dat wil zeggen dat we de grotere risico’s sneller adresseren dan de lagere risico’s. We doen daarbij doorlopend de afweging van de kosten van maatregelen versus de te verwachten afname van risico’s. Dit kan ook betekenen dat we soms bewust besluiten om risico’s (nog) niet te adresseren maar ze expliciet te accepteren. Aanbevelingen Aanbeveling 1: Beheers resterende technische risico’s en kwetsbaarheden zo spoedig mogelijk. Aanbeveling 1 nemen wij over. We hebben een vast intern proces voor het identificeren, beheren en bewaken van technische kwetsbaarheden. Wij hebben deze kwetsbaarheden in dat proces opgenomen. De opvolging van technische risico’s en kwetsbaarheden wordt geprioriteerd aan de hand van het corresponderende risiconiveau. We hanteren hierbij een richttijd van één tot twee maanden voor kwetsbaarheden in de categorie Hoog, zes maanden voor de categorie Midden en een best effort inzet op de categorie Laag. Ons proces voor het beheersen van technische kwetsbaarheden wordt op dit moment uitgebreid zodat we beter in staat zijn om ook door externe partijen gemelde technische kwetsbaarheden op te volgen.
De bevindingen die in uw rapport ter informatie zijn opgenomen beoordelen we om vast te stellen of er sprake is van een risico voor de gemeente en volgen we op waar nodig. Aanbeveling 2: Voer verdere maatregelen uit om de fysieke beveiliging van gebouwen en het informatie-bewustzijn van medewerkers te vergroten. Aanbeveling 2 nemen wij over, hier is al progressie op geboekt. Ten aanzien van fysieke beveiliging hebben we na uw vorig onderzoek de beveiliging van het stadhuis en het stadskantoor geëvalueerd via een dreiging- en risicoassessment. Op basis hiervan zijn aanvullende maatregelen genomen, vanuit risico perspectief eerst op het stadhuis en later op het stadskantoor. Voor het stadskantoor wordt een deel van de maatregelen op dit moment nog uitgevoerd. Onveranderd ten opzichte van uw vorig onderzoek is dat ons stadskantoor en stadhuis zijn ontworpen met een open karakter om elkaar te ontmoeten en persoonlijk contact te stimuleren. Bij de door de concerndirectie (stadskantoor) en het presidium (stadhuis) besloten maatregelen is een balans gezocht tussen de wens tot openheid en de noodzaak tot veiligheid.
13
De genomen maatregelen van het stadhuis worden in het licht van uw bevindingen geëvalueerd en de geplande maatregelen van het stadskantoor worden reeds uitgevoerd. Na implementatie van de maatregelen op het stadskantoor en eventueel stadhuis wordt risico gebaseerd gekeken naar de andere locaties zoals wijkbureaus en JGZ locaties. Het evalueren van de genomen maatregelen door een periodieke dreiging- en risicoassessment en het toetsen van de effectiviteit van de maatregelen door periodieke inlooptesten maken we structureel onderdeel van onze aanpak. We onderschrijven het belang van informatiebewustzijn. Naast informatieveiligheid besteden we hier aandacht aan in het Programma Informatie op Orde. Dit programma draagt onder andere via een eigen e-learning bij aan het informatiebewustzijn. Onder de Regeling Risicovolle Projecten wordt de raad over de voortgang van dit programma geïnformeerd. We zetten bovendien extra in op informatiebewustzijn met de nieuwe functie Adviseur Bewustwording en Adoptie binnen het domein Informatie- en Procesmanagement (IPM). Daarmee krijgt bewustwording in de volle (IPM-) breedte meer aandacht. Ten aanzien van het bewustzijnsprogramma hebben we ook al een aantal aanvullende stappen gezet. Elearning hebben we verplicht gesteld voor alle medewerkers. Het management krijgt voortgangsrapportages en stuurt actief op het verhogen van de deelname.
Dezelfde elearning wordt inmiddels aangeboden aan de leden van de gemeenteraad en de personen die hen ondersteunen, waaronder de Rekenkamer. Ook hebben we sinds de afronding van uw onderzoek een phishing test met voorlichtingscampagne uitgevoerd. Het bestaande bewustwordingsplan zal worden hernieuwd waarbij nadrukkelijk aandacht besteed zal worden aan het inzetten van instrumenten zoals phishingtests en mystery guests. Deze instrumenten dienen dan zowel voor bewustwording van medewerkers als voor het meten van het effect van de activiteiten rondom informatiebewustzijn. We merken hierbij op dat maatregelen ten aanzien van informatiebewustzijn proportioneel genomen zullen worden. Dat wil zeggen dat we ook hier blijvend onze maatregelen afwegen ten opzichte van andere belangen zoals de kosten en de benodigde tijdsinvestering van medewerkers. Aanbeveling 3: Zet binnen de hele organisatie in op de lange termijn in op een cultuurverandering. Aanbeveling 3 nemen we over. In de afgelopen jaren hebben we geïnvesteerd in het informatiebewustzijn. Houding en gedrag zijn verankerd in de doelen van ons bewustwordingsprogramma informatieveiligheid. Een van de doelstellingen van ons programma is het realiseren van voorbeeldgedrag door het management en het door het management aanspreken van medewerkers op het naleven van interne regels en afspraken.
Zo heeft het management een uitdragende en sturende rol 14
bij de (inmiddels verplichte) e-learning. Dit voorbeeldgedrag vanuit het management zien we als de cruciaal om een cultuur te creëren van aanspreken en verantwoordelijkheid nemen. In de hernieuwing van plan voor informatiebewustzijn maken we dit het centrale speerpunt. Deze rol van het management is in lijn met de Cyberbeveiligingswet die in 2025 wordt verwacht als invulling van de Europese NIS2 richtlijn. Het doel van de Cyberbeveiligingswet is onder andere om binnen essentiële entiteiten zoals de gemeente Utrecht een cyberweerbaarheidscultuur neer te zetten Het management krijgt een expliciete rol in het goedkeuren van en toezien op maatregelen behorend bij cyber-risico’s. Ze moet zich scholen zodat ze aantoonbaar beschikt over de hiervoor benodigde kennis en vaardigheden. De implementatie van deze wet zal vanaf de tweede helft van 2025 bijdragen aan de realisatie van uw aanbeveling. Tegelijk is de cultuur rondom informatieveiligheid niet los te zien van de bredere organisatiecultuur. Die organisatiecultuur is onderdeel van de organisatieontwikkeling die vanuit de concerndirectie is ingezet door de introductie van Duidelijk, Resultaatgericht en Aanspreekbaar (DRA) als basiselementen van onze nieuwe cultuur. In deze organisatieontwikkeling nemen we informatieveiligheid mee.
We gaan de duidelijkheid vergroten zodat iedereen weet wat ons beleid is, we gaan concrete resultaatgerichte afspraken maken daarover en gaan mensen daarop aanspreken. Aanbeveling 4: Zorg voor meer centrale aansturing van het informatieveiligheidsbeleid. Aanbeveling 4 nemen wij over. We onderschrijven het belang van duidelijke aansturing van het informatieveiligheidsbeleid. We hebben voor de aansturing van gegevensbescherming, waar informatieveiligheid onder valt, een managementsysteem. Dit bevat een cyclisch Plan, Do, Act, Check (PDCA-)proces voor centrale aansturing van het beleid met als vertrekpunt (strategisch) risicomanagement. Dit proces is essentieel in het concern breed maken en effectueren van keuzes, waaronder het afdwingen van beleid wanneer nodig. Dit afdwingen van het beleid gaan we verbeteren. De noodzaak voor centrale aansturing is in lijn met de Cyberbeveiligingswet en de eerder benoemde organisatieontwikkeling (DRA). Bij het verbeteren van onze centrale sturing op het informatieveiligheidsbeleid verbeteren we ook de monitoring van de naleving en uitvoering van dit beleid zodat we betere sturingsinformatie hebben. Dit is een randvoorwaarde om mogelijke strategische risico’s tijdig te identificeren en te kunnen beheersen.
Bijvoorbeeld om te signaleren dat geplande beheersing van (tactische) risico’s middels maatregelen achterblijft; dat onderdelen van de organisatie afwijken van beleid; of dat het geheel van risico’s onze risicobereidheid overstijgt. Het zorgt er bovendien voor dat we een hogere mate van zekerheid hebben over de actuele 15
stand van zaken wanneer we verantwoording afleggen over informatiebeveiliging in de ENSIA-cyclus. Als onderdeel van het verbeteren van centrale aansturing gaan we ook de inzet van beschikbare capaciteit omvormen naar een meer risico-gestuurde inzet van capaciteit. Dit zorgt ervoor dat we onze inzet richten op de grootste risico’s en belangrijkste gemeentelijke processen. Tot slot Wij danken u voor uw herhaalde aandacht voor het onderwerp. Wij herkennen uw aanbevelingen en betrekken die in de verdere verbetering van informatieveiligheid. Hoogachtend, Burgemeester en wethouders van Utrecht, 4 december 2024
NAWOORD REKENKAMER Rekenkamer Utrecht dankt het college voor de uitgebreide en gestructureerde reactie op het rapport. Wij zien dat het college onze conclusies herkent en onderschrijft en al onze aanbevelingen overneemt. Wij onderstrepen het belang om blijvend aandacht te besteden aan de informatieveiligheid. Ook in tijden van bezuinigingen. Wij zien de behandeling van het rapport en de verdere uitwerking in het plan van aanpak met belangstelling tegemoet.
16
17
DEEL II NOTA VAN BEVINDINGEN 1
INLEIDING: OPVOLGING EN ACTUALITEIT
1.1
AANLEIDING
Gemeenten verwerken steeds grotere hoeveelheden informatie. De laatste decennia gebeurt dat in allerlei gedigitaliseerde en geautomatiseerde systemen en programma’s. De verwerkte informatie bevat vaak (bijzondere) persoonsgegevens die goed beschermd moeten zijn. De informatieveiligheid moet daarom op alle aspecten – in organisatie en proces, bij de medewerkers en in de techniek – voldoende geborgd zijn. In 2021 voerde Rekenkamer Utrecht onderzoek uit naar de manier waarop de gemeente Utrecht invulling gaf aan de drie aspecten van informatieveiligheid. De uitkomsten gaven ons aanleiding om het onderwerp te blijven volgen. We gaven in ons bestuurlijk rapport daarom aan op een later moment (na ongeveer een jaar) een opvolgingsonderzoek uit te gaan voeren. In september 2022 heeft concernaudit een follow-up audit uitgevoerd naar de stand van zaken van de uitvoering van het raadsbesluit. Mede op basis daarvan besloot de rekenkamer om het aangekondigde opvolgingsonderzoek uit te stellen. Uiteindelijk heeft de rekenkamer in de periode februari tot en met juli 2024 onderzoek gedaan naar de opvolging van aanbevelingen uit 2021 en de actuele stand van zaken van de informatieveiligheid.
1.2
DOEL EN ONDERZOEKSVRAGEN
Het doel van dit onderzoek is om de Utrechtse gemeenteraad inzicht te geven in de mate waarin de besluiten naar aanleiding van het rekenkamerrapport “Zo sterk als de zwakste schakel” zijn opgevolgd. Daarnaast besteden we aandacht aan aanvullende onderwerpen die in het onderzoek uit 2021 onderbelicht waren gebleven. Het gaat onder meer om de managementinformatie, de afhandeling van incidenten, het gebruik van de gemeentelijke telefoons en de maatregelen om het thuiswerken te beveiligen. De centrale vraag van het onderzoek luidt: In hoeverre heeft de gemeente Utrecht uitvoering gegeven aan de aanbevelingen van het rekenkameronderzoek uit 2021 en is de informatieveiligheid nu voldoende gewaarborgd?
18
Deze centrale vraag werken we uit aan de hand van vier onderzoeksvragen: 1) Organisatie en proces: a. In hoeverre zijn de aanbevelingen over het onderdeel organisatie en proces door de gemeente Utrecht opgevolgd? b. Aanvullend: In hoeverre zijn de afhandeling van incidenten en meldingen, de managementinformatie en het incidentenmanagementproces adequaat? 2) Mens: a. In hoeverre zijn de aanbevelingen over het onderdeel mens door de gemeente Utrecht opgevolgd? 3) Techniek: a. In hoeverre zijn de aanbevelingen over het onderdeel techniek door de gemeente Utrecht opgevolgd? b. Aanvullend: in hoeverre is bij het gebruik van gemeentelijke telefoons en bij het thuiswerken de informatieveiligheid technisch beveiligd? 4) Welke (verdere) maatregelen zijn mogelijk om de informatieveiligheid te optimaliseren? Bij de beantwoording van de onderzoeksvragen hebben wij een normenkader gehanteerd. De gehanteerde normen sluiten aan bij de normen uit het rekenkameronderzoek uit 2021 naar dit onderwerp. Aan het begin van de hoofdstukken zijn per onderzoeksvraag de bijbehorende normen en criteria met daarbij een beoordeling naar de mate waarin eraan wordt voldaan (rood, oranje, groen, grijs) opgenomen. Een rood vlak betekent dat er niet aan de norm voldaan wordt. Oranje wijst erop dat er deels aan de norm wordt voldaan en groen wil zeggen dat er (grotendeels) aan de norm voldaan is.
Met grijs wordt aangegeven dat de realisatie ten opzichte van de norm niet door de rekenkamer te beoordelen is.
1.3
WERKWIJZE EN AFBAKENING
Werkwijze Het onderzoek voerden wij uit aan de hand van onderstaande vier stappen. De werkwijze in het onderzoek lichten wij nader toe in bijlage 1. Bij de analyse van de doorwerking hanteren wij het analyseschema zoals wij dat hebben ontworpen voor een breder opvolgingsonderzoek1 van de rekenkamer uit 2020. In dit schema worden verschillende fasen van doorwerking benoemd die gerelateerd zijn aan het proces van onderzoek, de raadsbehandeling en de opvolging van het raadsbesluit. Het gaat dan om het agenderen en bespreken, besluiten, implementeren, effectueren en publiek verantwoorden.
1 Rekenkamer Utrecht (2020). Opvolgingsonderzoek rekenkamerrapporten 2014-2018. Inzicht in de doorwerking
van rekenkameronderzoek en de opvolging van raadsbesluiten.
19
Afbakening Wij hebben verschillende keuzes gemaakt om het onderzoek af te bakenen. Deze beschrijven we hieronder puntsgewijs: ▪ Met dit onderzoek kijken we naar de drie eerdergenoemde onderdelen: organisatie en proces, mens en techniek. Daarbij besteden we per onderdeel specifiek aandacht aan aanvullende onderwerpen die onder andere bij de raadsbehandeling in 2021 zijn benoemd. ▪ De focus van ons onderzoek ligt op de periode vanaf de uitvoering van het eerdere onderzoek (in het najaar van 2020) tot op heden. ▪ We voeren geen aanvullende risicoanalyses en audits uit, maar maken gebruik van de informatie die er op dit onderdeel al is en welke maatregelen de gemeente naar aanleiding van de analyses heeft genomen. ▪ Er zal geen vergelijking plaatsvinden met andere gemeenten. Het onderzoeksterrein is continu in beweging en ook de inrichting van de organisatie en systemen verschilt sterk. Bij het onderzoek in het najaar van 2020 bleek al dat de situatie bij andere gemeenten te afwijkend was om een goede inhoudelijke benchmark te kunnen opstellen. ▪ We zullen de doorwerking van het rekenkamerrapport uit 2021 beoordelen. Deze beoordeling is gericht op de onderdelen implementeren, effectueren en (publiek) verantwoorden.
Bij ‘implementeren’ gaat het om de vraag of de aanbevelingen door het college van Burgemeester en Wethouders (B&W) en de ambtelijke organisatie zijn doorgevoerd in de organisatie, het beleid en/of de uitvoering. Effectueren gaat om het effect op het gevoerde beleid en op het realiseren van de beoogde maatschappelijke effecten van dit beleid. Het publiek verantwoorden heeft betrekking op de verantwoording van het college aan de gemeenteraad over de uitvoering van het raadsbesluit.