Agendabundel

2022

2023

2024

Informerend: Berichten op Intranet Informatieboekje veilig werken Website over gegevensbescherming Campagnes (m.n. Stadskantoor)

Bewustwording: Welkomstmail nieuwe medewerkers Gegevensbescherming onderdeel onboardingsprogramma Trainingen voor nieuwe en bestaande leidinggevenden Beschikbaar stellen verdiepende opleidingen en trainingen Vaststellen gebruikersprotocol Inzetten ambassadeurs gegevensbescherming E-learning voor alle medewerkers Jaarlijks organiseren minstens 2 interventies (phishing, pubquiz, etc.) Bron: Rekenkamer Utrecht (2024) o.b.v. Plan Bewustwording en communicatie gegevensbescherming; Interviews gemeente (2024).

Bij andere maatregelen op de bewustwording constateren wij dat de implementatie lang op zich heeft laten wachten. Zo was de verwachting in juli 2021 dat het gebruikersprotocol in het derde kwartaal van dat jaar zou worden vastgesteld, maar was dit uiteindelijk pas in februari 2024. En de specifieke aandacht voor informatieveiligheid bij de onboarding van nieuwe medewerkers is centraal geregeld maar pas vanaf 2023 in de praktijk gebracht.85 Vanaf april 2021 werd volstaan met schriftelijke informatie in een welkomstmail aan alle nieuwe – dus ook de tijdelijke en externe – medewerkers waarin werd verteld welke soorten informatie er zijn en hoe hiermee moet worden omgegaan. Ook werden er voor leidinggevenden en specifieke functies verdiepende trainingen en opleidingen aangeboden, waar decentraal binnen de organisatieonderdelen ook vaak verschillend invulling aan wordt gegeven. Ook het inzetten van ambassadeurs als vooruitgeschoven posten is in 2021 gestart met verschillende pilots. Bij vier organisatieonderdelen – Volksgezondheid, Maatschappelijke Ontwikkeling, een deel van Wijken en een deel van Vergunningen, Toezicht en Handhaving – is deze aanpak formeel gebruik geworden. Bij

85 Gemeente Utrecht (30 maart 2023). Veilig werken onboarding.

46

andere organisatieonderdelen is dit nog “in ontwikkeling”.86 Voor betrokkenen bij deze organisatieonderdelen blijken de ambassadeurs daarmee (vrijwel) niet zichtbaar.87 De e-learning voor alle medewerkers wordt gezien als kern van de aanpak op bewustwording. In juli 2021 is de aanbesteding gedaan om te komen tot een geschikte applicatie. Vervolgens is de e-learning vanaf 2022 gefaseerd geïmplementeerd in de gemeentelijke organisatie. Op dit moment is de e-learning bij 13 van de 18 organisatieonderdelen uitgerold. Bij de overige vijf organisatieonderdelen is dit ‘deels’ gedaan.88 Binnen de e-learning wordt inmiddels een breed palet aan cursussen aangeboden, maar het gebruik wordt niet afgedwongen. Wel zouden er al in de loop van 2022 maatregelen worden genomen als gedurende het jaar zou blijken dat het gebruik van deze tools achterblijft.89 Het oorspronkelijke doel daarbij was dat alle medewerkers minimaal het niveau zilver in de e-learning zouden gaan behalen. De aangekondigde maatregelen om achterstanden in te lopen zijn niet uitgevoerd. In 2023 is wel het algemene afrondingspercentage waarnaar gestreefd wordt bijgesteld naar 80% van alle medewerkers medio 2024. Wij constateren echter dat het gebruik van de e-learning al enkele jaren niet voldoet aan deze doelstellingen (zie tabel 4.3). De gemeenteraad is hierover in oktober 2023 ook geïnformeerd.

Op dat moment had ”ongeveer 10% van de ongeveer 7.000 medewerkers het gewenste niveau (level zilver) behaald.”90 Uit de cijfers van het eerste tertaal van 2024 blijkt dat ruim 79% van de medewerkers niet op het minimale niveau zilver is. Tabel 4.3

Deelname aan de e-learning blijft achter bij de doelstellingen 2023 - 1

Niet gestart

Beginner

Brons

Zilver

Goud

2023 - 2

2024 - 1

Aantal

5.814

5.276

4.653

Percentage

84,5%

71,3%

64,4%

Aantal

267

401

470

Percentage

3,9%

5,4%

6,5%

Aantal

386

614

593

Percentage

5,6%

8,3%

8,2%

Aantal

416

413

484

Percentage

6,0%

5,6%

6,7%

-

692

383

0,0%

9,4%

5,3%

Aantal Percentage

86 Gemeente Utrecht (9 juli 2021). Raadsbrief Plan van aanpak bij het rekenkameronderzoek; Gemeente Utrecht

(10 oktober 2023). Raadsbrief Update Rekenkameronderzoek ‘Zo sterk als de zwakste schakel”. 87 Rekenkamer Utrecht (2024). Interview gemeente. 88 Gemeente Utrecht (april 2024). Monitor gegevensbescherming 1 e tertaal 2024, concernoverzicht. 89 Gemeente Utrecht (9 juli 2021). Raadsbrief Plan van aanpak bij het rekenkameronderzoek. 90 Gemeente Utrecht (10 oktober 2023). Raadsbrief Update Rekenkameronderzoek ‘Zo sterk als de zwakste schakel’.

47

Diamant

Totaal

Aantal

-

-

640

Percentage

-

-

8,9%

6.883

7.396

7.223

100,0%

100,0%

100,0%

Aantal Percentage

Bron: Rekenkamer Utrecht (2024) o.b.v. de dashboards deelname e-learning concern.

Betrokkenen zien dat er verschillende belemmeringen zijn om de e-learning te volgen. Zo vinden zij de huidige opzet te breed, te weinig flexibel, niet passend bij alle functies die er zijn en voor delen van de organisatieonderdelen te moeilijk.91 Er zijn ook grote verschillen zichtbaar in de deelnamecijfers per organisatieonderdeel. De organisatieonderdelen Werk en Inkomen, Publiekszaken en Maatschappelijke Ontwikkeling kennen in vergelijking een hogere deelname, maar nog altijd heeft daar respectievelijk bijna 55%, ruim 31% en ruim 26% van alle medewerkers het gewenste niveau (op basis van de meest recente cijfers). De e-learning is bij raads-, commissie- en fractieleden niet onder de aandacht gebracht. Dit geldt ook voor de leden van de rekenkamer. Uit de verdiepende analyse van concernaudit blijkt dat de deelname van het college en de 20 hoogste ambtenaren (“20Beraad”) ondermaats is. Slecht 1 persoon in het college en 6 van de 20 hoogste ambtenaren hebben minstens niveau zilver behaald.92 Daarnaast wordt door betrokkenen ook opgemerkt dat het eenmalige karakter maakt dat de e-learning de bewustwording niet langdurig vergroot.93 De discussie over te nemen maatregelen om het gebruik van de e-learning te vergroten loopt op dit moment nog.

Inmiddels heeft de centrale ondernemingsraad toestemming gegeven om deelname aan de e-learning verplicht te stellen.94 Daarnaast wordt ook nagedacht over het aanbrengen van meer flexibiliteit en maatwerk.95 De regiegroep heeft medio 2024 de elearning ook geëvalueerd met het oog op een komende nieuwe aanbesteding.96 Voor de langere termijn – vanaf 2025 – wordt nagedacht over een digitale ‘license to operate’: een breder toelatingsbewijs voor startende medewerkers voordat zij van de gemeentelijke ICT gebruik kunnen maken.97

4.2

MEDEWERKERS KWETSBAAR VOOR EXTERNE AANVALLEN

Uit ons rekenkameronderzoek van 2021 bleek dat een aanzienlijk deel van de medewerkers niet altijd bewust omging met informatie. Bij de beveiligingstesten die we destijds uit lieten voeren stond 16% van de medewerkers gebruikersnaam en wachtwoord af. Een deel 91 Rekenkamer Utrecht (2024). Interviews gemeente. 92 Concernaudit (8 augustus 2024). Rapport Cyberweerbaarheid. 93 Rekenkamer Utrecht (2024). Interview gemeente. 94 Rekenkamer Utrecht (2024). Interview gemeente. 95 Rekenkamer Utrecht (2024). Interview gemeente. 96 Rekenkamer Utrecht (2024). Interview gemeente. 97 Rekenkamer Utrecht (2024). Interviews gemeente.

48

daarvan deed dat ook nadat de gemeente na de eerste testdag een waarschuwing had uitgegeven. Ook de beveiliging en sociale controle bleek op het Stadskantoor en Stadhuis niet voldoende om te voorkomen dat onbevoegden gemakkelijk en ongestoord binnen konden komen en blijven. Medewerkers nog altijd onvoldoende bewust van de waarde van informatie Door de e-learning, de algemene berichtgeving en aandacht voor het onderwerp op Intranet en via campagnes op de kantoorlocaties hoopt de gemeente dat de bewustwording voor informatiebeveiliging van haar medewerkers is toegenomen. In de praktijk wordt ook hier gewezen op de verschillen tussen de organisatieonderdelen.98 Betrokkenen vragen zich ook af of aandacht vragen voor het onderwerp ook wel daadwerkelijk bewustwording verhogend is.99 Anderen onderkennen namelijk dat in bredere zin kennis en vaardigheden nog vaak tegenvallen en dat er ook wel naïef gedrag zichtbaar blijft. Bijvoorbeeld als het gaat om gedrag op de werkplekken – zoals het niet locken van het beeldscherm als men de werkplek verlaat – en bij ontmoetingsplekken als de koffieautomaat waar gevoelige informatie weliswaar onderling maar in de openbaarheid wordt gedeeld.100 Ook de uitkomsten van de mystery guest bezoeken die we uit hebben laten voeren onderschrijven het voorgaande. Tijdens deze bezoeken waren diverse computers op het Stadskantoor niet vergrendeld.

En op de bureaus lagen diverse documenten, mappen en notitieblokken. Zelfs bij de netwerkbeheerders zijn er notitieblokken aangetroffen waarvan één post-it met doorgestreepte wachtwoorden. Gesprekken van medewerkers bleken voor de mystery guest op het Stadskantoor af te luisteren in de kantine en op de werkplekken. Zo was het mogelijk om mee te luisteren bij de presentatie ‘onboarding devices’ voor nieuwe medewerkers in de kantine en bij een telefoongesprek over maatregelen tegen de op dat moment gaande zijnde voice phishingtest. In het Stadhuis is een oude laptop van de gemeente Utrecht aangetroffen met daarop een sticker ‘inloggen Welkom123’. Het was niet mogelijk om deze laptop aan te zetten, want de batterij van de laptop was leeg en de bijbehorende adapter was niet aanwezig.101 Onvoldoende bewust van de risico’s van het gebruiken van achtergelaten USB-sticks Net als in 2020 heeft de rekenkamer in 2024 een USB-dropping laten uitvoeren. Een kwaadwillende kan met een USB-stick namelijk oneigenlijk toegang krijgen tot de computer van de gebruiker. Medewerkers van de gemeente blijken nog altijd onvoldoende op de hoogte te zijn van de gevaren van USB-dropping. Bij de mystery guest bezoeken op het Stadskantoor en op het Stadhuis zijn tussen 3 en 5 juni vijf USB-sticks op verschillende plekken achtergelaten (zie figuur 4.4).

98 Rekenkamer Utrecht (2024). Interviews gemeente. 99 Rekenkamer Utrecht (2024). Interview gemeente. 100 Rekenkamer Utrecht (2024). Interviews gemeente. 101 Rekenkamer Utrecht (18 juli 2024) o.b.v. NFIR. Rapportage Social Engineering: Mystery Guest, Voice

Phishing, USB dropping.

49

Op 4 en 6 juni zijn de bestanden op twee USB-sticks onveilig geopend. Dit is een vergelijkbare uitkomst met het rekenkameronderzoek uit 2021 toen twee van de vier achtergelaten USB-sticks werden geopend. Drie USB-sticks zijn door medewerkers ingeleverd bij het Serviceplein. Eén USB-stick is gevonden op de 18e verdieping (waar ook de IPM-afdeling is gehuisvest). Door de USB-stick te analyseren stelde DomstadIT op 12 juni vast dat deze malware bevatte. Diezelfde dag is Safety & Security (S&S) hiervan op de hoogte gesteld. Op basis daarvan heeft S&S haar beveiligers en centralisten verzocht om scherp te zijn op eventueel rondslingerende USB-sticks of andere afwijkende materialen. Specifiek ook bij de surveillance en brand- en sluitrondes die dagelijks worden gelopen. Er zijn verder geen USB-sticks meer aangetroffen, waardoor één USB-stick nog altijd niet is gevonden of ingeleverd. Het gebruiken van USB-sticks is in de extern toegankelijke (virtuele) werkomgeving van de gemeente overigens geblokkeerd, maar dat geldt niet voor het gebruik van USB-sticks op de beheerde laptop omdat volgens betrokken nog verder uitgezocht moet worden wat de impact daarvan zou zijn op de dagelijkse werkzaamheden van medewerkers.102

Figuur 4.4

USB-sticks zijn achtergelaten op verschillende plekken op het Stadskantoor en Stadhuis

Bron: Rekenkamer Utrecht (2024) o.b.v. NFIR (2024).

Medewerkers met voice phishing over te halen om inloggegevens af te staan Medewerkers van de gemeente blijken ook te verleiden te zijn om hun inloggegevens achter te laten tijdens voice phishing. Ook wanneer er anoniem wordt gebeld. In totaal zijn zeven medewerkers van de gemeente Utrecht door het externe bureau via de telefoon benaderd via 19 belpogingen. Van de zeven medewerkers hebben vier medewerkers een website geopend en daar hun inloggegevens ingevoerd op een nep ICT Servicedesk pagina. Medewerkers blijken niet altijd de ware identiteit van de beller te controleren. En het is voor kwaadwillenden eenvoudig om op basis van openbare informatie de persoonsgegevens van een medewerker van de gemeente te benutten. Medewerkers van de gemeente blijken zich

102 Rekenkamer Utrecht (2024). Interview gemeente.

50

niet bewust van de gevaren van voice phishing.103 Het is niet mogelijk om een ontwikkeling of trend af te leiden met eerdere phishingacties, omdat de acties uit 2020 anders van opzet waren (mail phishing) en er in de afgelopen jaren door de gemeente geen phishingtesten zijn uitgevoerd. Betrokkenen ervaren een open cultuur, maar elkaar aanspreken op ongewenst gedrag, het melden van incidenten en aanspreken van onbekend bezoek gebeurt nog onvoldoende Net als ten tijde van ons onderzoek in het najaar van 2020 ervaren betrokkenen een open cultuur bij de gemeente Utrecht. Een open en veilige cultuur is belangrijk om medewerkers zich vrij te laten voelen om incidenten en risico’s te melden en maatregelen voor te stellen. Het omgaan met informatiebeveiligingsincidenten is inmiddels een vast onderdeel van het bewustwordingsprogramma. Medewerkers worden gestimuleerd om incidenten te melden en bij de afhandeling richt men zich erop om van de ervaring te leren en melders er niet op af te rekenen. Betrokkenen benadrukken dat daar blijvende aandacht voor moet zijn, omdat er nog altijd schaamte rond het melden van incidenten bestaat.104 Er zijn twee routes voor de meldingen: formeel via Serviceplein en informeel via de IPM-er en/of de DISO van het organisatieonderdeel.

Omdat beide routes regelmatig worden gebruikt, is het algemene beeld dat medewerkers incidenten in principe wel durven te melden.105 Het aantal gemelde incidenten is echter al langere tijd min of meer stabiel. Uit de meest recente monitoren gegevensbescherming blijkt dat het per tertaal om circa 40 tot 45 meldingen van securityincidenten gaat. En ook het aantal meldingen van datalekken is min of meer stabiel tussen de 40 en 50 per tertaal.106 Jaarlijks komt het aantal meldingen daarmee per categorie op circa 150. Het elkaar aanspreken op ongewenst gedrag komt in de beleving van betrokkenen maar mondjesmaat voor.107 Betrokken merken dat de cultuur bij de gemeentelijke organisatie nog vaak te “lief, naïef en behulpzaam” of “te slap” is.108 Dit wordt ook zichtbaar bij de bezoeken van de mystery guest. Op verschillende momenten is deze door medewerkers van de gemeentelijke organisatie aangesproken, maar medewerkers begeleiden ongewenste bezoekers niet naar buiten het beveiligd gebied.109 Meldingen van de USB-dropping lieten over het algemeen langer op zich wachten. Over de voice phishing werd beter gemeld (maar niet door iedereen). Zo werden op maandag 3 juni de eerste inloggegevens van twee medewerkers bemachtigd. Die dag kwam één melding over de voice phishing binnen bij het Serviceplein.

Op donderdag 6 juni werden de inloggegevens van nog twee medewerkers 103 Rekenkamer Utrecht (18 juli 2024) o.b.v. NFIR. Rapportage Social Engineering: Mystery Guest, Voice

Phishing, USB dropping. 104 Rekenkamer Utrecht (2024). Interview gemeente. 105 Rekenkamer Utrecht (2024). Interviews gemeente. 106 Gemeente Utrecht (april 2024). Monitor gegevensbescherming 1 e tertaal 2024, concernoverzicht. 107 Rekenkamer Utrecht (2024). Interviews gemeente. 108 Rekenkamer Utrecht (2024). Interview gemeente. 109 Rekenkamer Utrecht (18 juli 2024) o.b.v. NFIR. Rapportage Social Engineering: Mystery Guest, Voice Phishing, USB dropping.

51

bemachtigd, waarna nog eens vijf medewerkers melding deden. Er is door DomstadIT snel gehandeld en meteen besloten om dit als een security incident aan te merken. Diezelfde dag werd nog een waarschuwing over een actieve voice phishing aanval verstuurd naar alle gemeentelijke medewerkers. Medewerkers accepteren niet altijd dat zij op hun houding, gedrag of functioneren worden aangesproken. Het is voor leidinggevenden daarom lastig om daarop te sturen.110 Om dingen te kunnen veranderen in houding en gedrag bij incidenten achten betrokkenen dan ook een cultuurverandering nodig. “Mensen mogen kritisch zijn op zichzelf en collega’s, zodat iedereen leert van situaties. (…) Dit stukje reflectiviteit en leren is mogelijk nog niet goed georganiseerd.”111 Hierbij is het besef aanwezig dat cultuurverandering tijd nodig heeft. Daarom wordt ook hier life cycle management ingezet, waarbij de verandering begint bij de nieuwe medewerkers. Hen wordt (tijdens de onboarding) met name onder de aandacht gebracht dat zij zelf een verantwoordelijkheid dragen bij gegevensbescherming. In een periode van ongeveer zeven jaar (bij natuurlijk verloop) zou dan een cultuurverandering breder moeten zijn doorgevoerd.112

110 Rekenkamer Utrecht (2024). Interview gemeente. 111 Rekenkamer Utrecht (2024). Interview gemeente. 112 Rekenkamer Utrecht (2024). Interviews gemeente.

52

5

TECHNIEK: INFORMATIE BETER BEVEILIGD TEGEN DIGITALE INBRAKEN

Gemeentelijke systemen zijn beter beveiligd tegen digitale inbraken dan in 2021. Doordat technische maatregelen zijn doorgevoerd doorstaan systemen en applicaties zowel externe als interne penetratietesten. Deze testen identificeren nog wel een aantal ‘hoge’ risico’s die aangepakt moeten worden. Thuiswerkplekken zijn inmiddels goed beveiligd dankzij het doorvoeren van (technische) maatregelen. Dit geldt ook voor de door de gemeente beheerde laptops en telefoons. Maar het gedrag van medewerkers is op afstand niet controleerbaar. Ook in de thuiswerksituatie is dus een belangrijke rol weggelegd voor bewustwording bij medewerkers over het veilig en verstandig omgaan met informatieveiligheid. De fysieke beveiliging op het Stadskantoor is nog steeds ontoereikend. Op het Stadhuis zijn beveiligingsmaatregelen doorgevoerd, maar ook daar blijft het mogelijk om als onbevoegde toegang te krijgen tot het beveiligd gebied en informatie in te zien. In dit hoofdstuk beschrijven we de uitkomsten van de verschillende testen die het externe bureau heeft uitgevoerd op de technische en fysieke beveiliging. Daarbij wordt ook in kaart gebracht hoe er opvolging is gegeven aan de aanbevelingen op dit aspect uit het vorige onderzoek. Hiermee beantwoorden we de onderzoeksvragen 3a en 3b. De uitvoering, afgezet tegen de bijbehorende norm, leidt in figuur 5.1 tot onze beoordeling en bevindingen.

Hierin leggen we ook direct de relatie tussen de onderzoeksvraag, de norm en bijbehorende criteria. Figuur 5.1

Norm, criteria en beoordeling "Techniek"

53

Toelichting op het normenkader Om de informatie tegen toegang en misbruik voor onbevoegden te beschermen is een goede technische beveiliging van systemen en applicaties nodig. Daarnaast werken veel medewerkers van de gemeente Utrecht deels thuis of op andere locaties. Het is daarom nodig dat de gemeente ook maatregelen treft om dit werken op afstand veilig te laten verlopen. En een adequate fysieke beveiliging moet voorkomen dat externen toegang hebben tot de afgesloten delen van de gemeentelijke gebouwen en daar geheime of vertrouwelijke informatie kunnen inzien of ontvreemden.

5.1

DIGITALE INBRAKEN DOOR TECHNISCHE MAATREGELEN NIET MEER MOGELIJK

Zowel voor ons onderzoek in het najaar van 2020 als tijdens dit opvolgingsonderzoek is de technische beveiliging van de systemen en applicaties van de gemeente Utrecht door een gespecialiseerd bureau onderzocht.113 Hiervoor zijn verschillende zogeheten penetratietesten uitgevoerd. Bij externe penetratietesten gaat het om digitale aanvallen van buitenaf, bij interne penetratietesten om digitale aanvallen vanaf werklocaties van de gemeente. De testen zijn uitgevoerd volgens internationale standaarden voor het ontdekken en classificeren van kwetsbaarheden.114 De kwetsbaarheden die dit keer gevonden zijn, lichten we onder de uitkomsttabellen nader toe. Daarbij geven we ook advies over hoe deze kwetsbaarheden te beheersen. De kwetsbaarheden uit 2021 zijn nader toegelicht in het onderzoeksrapport van destijds, maar zijn nu ook in de tabellen van een oordeel voorzien over de mate van opvolging (in de kolom “Huidige status”).

Deze opvolging is op verschillende momenten gemeten: in 2022 heeft concernaudit een follow-up audit gedaan bij de opzet van de opvolging van onze bevindingen uit 2021115 en de gemeente Utrecht heeft accountantsorganisatie BDO in 2024 opdracht gegeven om een hertest uit te voeren op de interne en externe infrastructuur.116 Op deze hertest heeft de rekenkamer in het kader van dit opvolgingsonderzoek een review laten uitvoeren.117 Systemen en applicaties doorstaan de externe penetratietesten Het is net als in het najaar van 2020 niet gelukt om via het internet binnen te dringen in de gemeentelijke systemen en applicaties. Een groot deel van de kwetsbaarheden van 2021 zijn inmiddels (bijna) opgelost en ook het niveau van de gevonden kwetsbaarheden is nu 113 NFIR (18 juli 2024). Rapportage pentest. Externe en Interne Infrastructuur (Timeboxed) 114 De volgende standaarden zijn van toepassing op deze opdracht:

Penetration Testing Execution Standard (PTES): standaard ten behoeve van infrastructuur penetratietesten. Common Vulnerability Scoring System (CVSS): standaard die wordt gebruikt om de ernst van de kwetsbaarheden te classificeren. 115 Concernaudit (16 september 2022). Rapport Follow-up audit opvolging bevindingen Rekenkamer – Definitief. 116 BDO (25 march 2024). Pentest report. New perspectives for gemeente Utrecht. 117 NFIR (25 juni 2024). Hertest rapportage: RKC en VDI/Laptop.

54

lager (zie tabel 5.2). De externe penetratietest voor het opvolgingsonderzoek heeft wel verschillende risico’s geïdentificeerd, waarvan één met de classificatie hoog: op verschillende systemen is verouderde software aangetroffen. Tabel 5.2

Externe penetratietesten maken een positieve ontwikkeling zichtbaar

Kwetsbaarheid 2021

Risicoclassifi

Huidige status

Kwetsbaarheid 2024

catie

Risicoclassifi catie

Niet meer ondersteunde software aanwezig

Kritiek

Opgelost

Verouderde software aangetroffen

Hoog

Registreren van multifactor-

Hoog

Opgelost

Onveilige (SSL/TLS) configuratie

Gemid-

authenticatie mogelijk

deld

Ontbreken van security

Gemid-

Deels

headers

deld

opgelost

Onveilige (SSL) certificaten

Niet-ondersteunde versie scripttaal gedetecteerd

Gemiddeld

Opgelost

Security Headers

Laag

Verouderde Javascriptbibliotheek aangetroffen

Gemiddeld

Opgelost

Wachtwoordbeleid onvoldoende

Laag

Gegevens onnodig

Gemid-

Opgelost

Enumeratie vacatureteksten leidt

Informa-

benaderbaar voor alle medewerkers

deld

tot inzicht in de infrastructuur

tief

Password Spraying niet

Informa

Metadata inzichtelijk

Informa-

mogelijk

-tief

n.v.t.

Gemiddeld

tief Gelekte wachtwoorden gevonden

Informatief

Achterhaalde telefoonnummers leiden tot succesvolle voice-

Informatief

phishing Beheerpagina – Extern beschikbaar

Informatief

Openbare informatie over de Wi-Fi netwerken

Informatief

Bronnen: Hoffmann B.V., 2021; NFIR, 2024.

Verouderde software aangetroffen (hoog) De hoogste kwetsbaarheid vormt de verouderde software die bij de testen is aangetroffen. Omdat verouderde software mogelijke kwetsbaarheden bevat en/of geen beveiligingsupdates meer ontvangt, kan dit niet langer als veilig worden beschouwd. Dit kan 55

op langere termijn tot problemen leiden, omdat deze (toenemende) kwetsbaarheden door kwaadwillenden uitgebuit kunnen gaan worden. Ook in het onderzoek in het najaar van 2020 vormde ‘niet meer ondersteunde software’ een risico (destijds geclassificeerd als kritiek). Ondanks dat BDO in januari 2024 vaststelde dat deze kwetsbaarheid uit 2021 was opgelost, blijkt er bij de externe penetratietest van NFIR in juni 2024 toch weer verouderde software aanwezig te zijn. In principe geldt dat de constatering van vandaag, morgen al achterhaald kan zijn. Dit benadrukt het belang van goed leveranciers- en contractmanagement en het continu blijven monitoren van de End-of-Life datum van een (nieuw) product. De gemeente geeft in haar ambtelijke reactie aan dat op dit punt reeds technische maatregelen waren genomen om de kans op misbruik te verlagen. Onveilige configuratie (gemiddeld) Verschillende protocollen zijn kwetsbaar voor aanvallen die het versleutelde verkeer tussen de server en computer aftappen en ontsleutelen. Deze protocollen zijn soms al jarenlang end-of-life en worden daarom niet meer ondersteund door de meest gebruikte browsers. Een kwaadwillende kan een aanval uitvoeren en zo het onderlinge dataverkeer ontsleutelen, waardoor alle informatie die wordt verstuurd inzichtelijk wordt. Het advies is daarom om de onveilige instellingen niet meer te ondersteunen.

Onveilige certificaten (gemiddeld) Het externe bureau heeft verschillende certificaten aangetroffen die onveilig zijn. Dit kan meerdere oorzaken hebben: het certificaat is verlopen en dus ongeldig, het certificaat is niet uitgegeven door een erkende certificaatautoriteit, of een certificaat is ‘self-signed’ en wordt daarom ook niet ondersteund door een certificaatautoriteit. De gemeente Utrecht loopt hiermee het risico dat een kwaadwillende het verkeer naar een applicatie onderschept. Het advies is om geldige en veilige certificaten te gebruiken zodat gebruikers de applicatie kunnen bezoeken over een beveiligde verbinding (HTTPS). Security headers (laag) Security headers helpen bezoekers van de gemeentelijke websites om hun browser weerbaar te maken tegen kwetsbaarheden. Bij 7 van de 39 websites die in het opvolgingsonderzoek zijn onderzocht, zijn niet alle aanbevolen security headers ingesteld. Het niet instellen van security headers kan resulteren in de succesvolle uitbuiting van applicatie specifieke kwetsbaarheden en bekend onveilig gedrag van browsers. Daarom wordt geadviseerd om de security headers restricties in te stellen volgens de aanbevolen best practice. Wachtwoordbeleid externe website onvoldoende (laag) Het gebruikte wachtwoordbeleid op één specifieke gemeentelijke website kan geen veilige wachtwoorden garanderen.

Hierdoor kunnen gebruikers van deze website onveilige wachtwoorden aanmaken en gebruiken. De wachtwoordlengte voldoet niet aan het gestelde advies van het Nationaal Cyber Security Centrum (NCSC). Daardoor ontstaat de 56

mogelijkheid dat een account zonder toestemming van de gebruiker wordt overgenomen. De eindgebruiker is daarmee de controle over het account kwijt. Daarom wordt geadviseerd om een nieuw wachtwoordbeleid in te voeren, zoals voorgeschreven door het NCSC. Naast deze vijf belangrijkste risico’s zijn zes risico’s geïdentificeerd in de categorie ‘informatief’: ▪ Enumeratie vacatureteksten: in openbare vacatureteksten staat informatie over de digitale infrastructuur en diensten van de gemeente Utrecht. Kwaadwillenden kunnen deze informatie gebruiken voor gerichte aanvallen op specifieke systemen. Geadviseerd wordt daarom om deze informatie niet meer in vacatureteksten te delen. ▪ Metadata inzichtelijk: metadata zijn gegevens die andere gegevens beschrijven zoals de software waarmee een bestand is gemaakt, de opsteller van een document en bijvoorbeeld e-mailadressen. Deze informatie kan een kwaadwillende gebruiken voor gerichte social engineering en/of password spraying aanvallen. Geadviseerd wordt om de metadata voor publicatie van de bestanden te verwijderen. ▪ Gelekte wachtwoorden: door gebruik te maken van een database uit 2012 zijn in totaal 115 gelekte wachtwoorden gevonden. Een kwaadwillende kan deze met andere datalekken mogelijk gebruiken om een account over te nemen. Maatregelen hiertegen vallen onder het advies van nieuw wachtwoordbeleid.

▪ Achterhaalde telefoonnummers: met behulp van Google Dorks was het mogelijk om telefoonnummers van medewerkers te achterhalen. Deze informatie kan een kwaadwillende gebruiken voor een gerichte social engineering aanval. Maatregelen hiertegen sluiten aan bij het verwijderen van metadata voor publicatie van bestanden. ▪ Beheerpagina – Extern beschikbaar: een beheerportaal van een gemeentelijke website blijkt extern toegankelijk. Met de juiste inloggegevens kan een kwaadwillende hier extern toegang toe krijgen. Geadviseerd wordt alleen IP-adressen toegang te verlenen die daadwerkelijk toegang tot dit portaal nodig hebben. ▪ Openbare informatie Wi-Fi netwerken: het blijkt mogelijk om informatie te achterhalen over de Wi-Fi netwerken waarmee een kwaadwillende een aanval kan plaatsen. Daarmee kan vervolgens geprobeerd worden zwakke punten of kwetsbaarheden in de netwerkbeveiliging te identificeren en uit te buiten door ongeautoriseerde toegang. Geadviseerd wordt om hier certificaten en segmentatie voor te gebruiken. Systemen en applicaties doorstaan nu ook de interne penetratietesten Het is – in tegenstelling tot de uitkomsten van het najaar 2020 – nu niet meer gelukt om via interne penetratietesten in te breken in de gemeentelijke systemen en applicaties. Deze testen toonden destijds zes risico’s aan, waarvan drie met een hoog risico.

De gemeente had de risico’s die voortkwamen uit het onderzoek destijds al in twee categorieën opgedeeld118: 1. Risico’s die als zelfstandig konden worden opgepakt en opgelost, en; 2. Risico’s die verbonden zijn aan de inrichting van de werkplekken.

118 Gemeente Utrecht (9 juli 2021). Raadsbrief Plan van aanpak bij het rekenkameronderzoek.

57

Door de vervanging van alle onveilige werkstations op de werkplekken zijn de kritieke risico’s de afgelopen jaren opgelost. Het blijkt nog wel mogelijk om Powershell te openen ondanks dat dit geblokkeerd is. De kwetsbaarheid van het ontbreken van netwerkauthenticatie blijkt wel volledig te zijn opgelost, maar leidt tot nieuwe (meer beperkte) risico’s. De overige kwetsbaarheden uit 2021 zijn inmiddels wel opgelost (zie tabel 5.3). Tabel 5.3

Interne kwetsbaarheden met de vervanging van de werkstations grotendeels opgelost

Kwetsbaarheid 2021

RisicoHuidige classific status

Kwetsbaarheid 2024

atie

Risicoclassific atie

Werkstations onveilig

Kritiek

Opgelost

Evil-twin aanval mogelijk

Hoog

Ontbrekende

Kritiek

Opgelost

Verouderde software

Hoog

beveiligingsupdates niet

aangetroffen

toegepast Verouderde

Kritiek

Opgelost

Onveilige configuratie

besturingssystemen aanwezig

Gemiddeld

Administratieaccounts onvoldoende beschermd

Kritiek

Opgelost

Netwerktoegang zonder authenticatie

Gemiddeld

Ontbreken multifactorauthenticatie

Hoog

Opgelost

Onveilige Remote Desktop configuratie

Laag

Zwakke wachtwoorden en

Hoog

Deels

LLMNR119 Spoofing mogelijk

Informa-

beheer onvoldoende veilig

opgelost

Ontbreken netwerkauthenticatie

Hoog

Opgelost

Systemen kwetsbaar voor spoofing

Hoog

Opgelost

Ontbreken harddisk encryptie

Gemid-

Opgelost

tief

deld Bronnen: Hoffmann B.V., 2021; NFIR, 2024

Evil-twin aanval mogelijk (hoog) Tijdens het onderzoek is informatie achterhaald over de gebruikte Wi-Fi netwerken. Deze informatie is gebruikt voor het uitvoeren van een Evil-twin aanval.120 Via deze aanval zijn wachtwoorden van medewerkers onderschept. Tijdens deze penetratietest is het echter niet

119 LLMNR: Link-Local Multicast Name Resolution. 120 Een Evil-twin is een kwaadaardig draadloos toegangspunt dat zich voordoet als een legitiem Wi-Fi

toegangspunt, zodat een aanvaller persoonlijke of bedrijfsinformatie kan verzamelen zonder medeweten van de eindgebruiker, zoals de inloggegevens van het netwerk.

58

gelukt om het versleutelde wachtwoord te kraken naar een leesbaar wachtwoord. Geadviseerd wordt om gebruik te maken van certificaten voor het authentiseren op Wi-Fi netwerken. Verouderde software aangetroffen (hoog) Net als bij de externe penetratietesten is ook bij de interne penetratietesten op verschillende systemen verouderde software aangetroffen. Deze software heeft kwetsbaarheden en/of heeft beveiligingsupdates nodig en kan in zijn huidige vorm niet langer als veilig worden beschouwd. Door de kwetsbaarheden uit te buiten zou een kwaadwillende het systeem over kunnen nemen. Geadviseerd wordt om ook deze software te updaten naar de nieuwste versie of een nieuwe versie te installeren. Onveilige configuratie (gemiddeld) Bij de interne testen bleken ook verschillende protocollen kwetsbaar te zijn voor aanvallen die het versleutelde verkeer tussen de server en computer aftappen en ontsleutelen. Ook deze protocollen zijn soms al jarenlang end-of-life en worden daarom niet meer ondersteund door de meeste browsers. Een kwaadwillende kan een aanval uitvoeren en zo het onderlinge dataverkeer ontsleutelen. Dit maakt alle informatie die wordt verstuurd inzichtelijk. Ook hier is het advies om de onveilige instellingen niet meer te ondersteunen.

Netwerktoegang zonder authenticatie (gemiddeld) Bij het tot stand brengen van een verbinding met een netwerkkabel wordt toegang verkregen tot internet zonder enige vorm van authenticatie. Er wordt toegang verleend tot een omgeving die gescheiden is van het interne bedrijfsnetwerk. Hierdoor zouden kwaadwillenden en medewerkers met een eigen laptop aan dit gescheiden deel van het netwerk kunnen worden gekoppeld. Als er sprake is van fysieke toegang tot de gemeentelijke gebouwen – hier gaan we paragraaf 4.2 nader op in – dan kan een kwaadwillende toegang krijgen tot dit gescheiden netwerk en dit als basis gebruiken om interne kwetsbaarheden in het netwerk op te sporen. De gemeente loopt dan ook het risico dat eigen IT-middelen zonder medeweten van de DomstadIT worden ingeschakeld. En toegang tot het gescheiden netwerk kan wel worden gebruikt om Shadow-IT op toe te passen en om interne scans naar kwetsbaarheden in de systemen op uit te voeren. Geadviseerd wordt om onbekende apparaten niet toe te laten op het netwerk. Onveilige Remote Desktop configuratie (laag) De host heeft een onveilige configuratie. De gemeente geeft in haar ambtelijke reactie aan dat het hier om een verouderde test werkplek gaat. Daarmee is het voor een kwaadwillende mogelijk om een aanval uit te voeren en mogelijk de sessie van de gebruiker over te nemen.

Daarnaast kan de versleuteling van de verbinding niet worden gegarandeerd. Geadviseerd wordt om alleen andere vormen van authenticatie toe te passen.

59

LLMNR Spoofing mogelijk (informatief) Het is mogelijk om het Link-Local Multicast Name Resolution (LLMNR) te spoofen. Spoofing is het vervalsen van kenmerken met als doel om tijdelijk een valse identiteit aan te nemen. Om dit te bereiken luistert de aanvaller naar LLMNR-verzoeken en vervalst wachtwoorden om verkeer naar zijn machine te leiden. De verkregen hashes (in dit geval niet van de gemeente) kunnen mogelijk worden gekraakt en daarmee kan een kwaadwillende wachtwoorden van gebruikers verkrijgen. Geadviseerd wordt om te onderzoeken of het LLMNR-protocol noodzakelijk is binnen het netwerk. Het protocol kan mogelijk ook worden uitgeschakeld waardoor deze kwetsbaarheid wordt opgelost. Voor wat betreft de aanpak van de technische risico’s wordt door betrokkenen met name verwezen naar de kennis van de CISO en de ICT’ers bij DomstadIT omdat zij daar zelf geen volledig zicht op hebben.121 De CISO en DomstadIT geven aan dat er de afgelopen jaren veel stappen zijn gezet om de technische beveiliging te verbeteren. Zij constateren dat daarmee inmiddels de buitenste schil op orde is. Nu worden de mogelijkheden verkend om niet alleen de gebruikte apparatuur te beveiligen, maar ook de gebruikte gegevens, bestanden en de data daarin. Als bestanden beveiligd worden, kunnen alleen gemachtigden deze openen.

Dan wordt het ook voor medewerkers die uit dienst zijn niet langer mogelijk om dat daarna nog te doen (wanneer zij bijvoorbeeld werkbestanden naar een privémailadres hebben gestuurd).122 En er is sprake van spanningsvelden. “Vanuit informatiebeheer is het bijvoorbeeld belangrijk om gegevens lang te bewaren zodat ook op lange termijn de organisatie zichzelf kan verantwoorden. Maar sommige maatregelen op veiligheid vragen juist om het tegenovergestelde. Hoe ga je daarmee om? En wie maakt uiteindelijk de keuze als de CPO en CISO het op een onderwerp met elkaar oneens zijn?”123 Deze vragen zijn nog onbeantwoord. DomstadIT neemt jaarlijks penetratietesten af op de werkplekken en maakt daarnaast ook gebruik van externe kennis op het gebied van informatieveiligheid. Zij willen (potentiële) kwetsbaarheden zoveel mogelijk proactief aanpakken om de veiligheid van de gemeentelijke systemen te waarborgen.124 Volgens betrokkenen gaat dat steeds beter.125 DomstadIT verhelpt namelijk in toenemende mate problemen. Maar in de gevallen waarbij organisatieonderdelen betrokken moeten worden bij het oplossen van problemen gaat dat nog een stuk langzamer. Het is niet duidelijk wat er moet gebeuren wanneer kwetsbaarheden daardoor te lang open blijven staan.

Er is binnen de gemeente geen stok achter de deur om het gebruik van kwetsbare software te verbieden, of om applicatie- of proceseigenaren te dwingen de kwetsbaarheden te verhelpen. 126

121 Rekenkamer Utrecht (2024). Interviews gemeente. 122 Rekenkamer Utrecht (2024). Interviews gemeente. 123 Rekenkamer Utrecht (2024). Interview gemeente. 124 Gemeente Utrecht (25 april 2024). Intern memo. Toelichting Retest op de VDI, fat client en laptop. 125 Rekenkamer Utrecht (2024). Interview gemeente. 126 Rekenkamer Utrecht (2024). Interview gemeente.

60