20201222 Beantwoording (11-01) Raadsvragen VVD over ransomeware aanval

456718 FORMULIER (BEANTWOORDING) RAADSVRAGEN Datum vraag Datum beantwoording Soort Vragensteller Onderwerp

: : : : :

22 december 2020 11 januari 2021 Schriftelijk te beantwoorden Walter van Dijk Ransomeware aanval

Onderstaand de beantwoording van de vragen in blauw. Aanvullend op de beantwoording willen we in 2021 graag met de Raad een bijeenkomst organiseren over het belang van data en de dilemma’s daaromheen én hoe gemeente Zeist deze op heeft gepakt. Daarnaast, voor de geïnteresseerden, kunnen we een (virtueel) bezoek organiseren aan het nieuwe datacenter met toelichting en een korte presentatie. Vooruitlopend op de beantwoording is er vanuit Hof van Twente of vanuit de IBD (Informatie beveiligings dienst) nog geen ‘full disclosure’ gegeven over wat er heeft plaatsgevonden, welke oorzaak er aan ten grondslag ligt/lag en welke maatregelen zij vervolgens al hebben genomen - ook niet onder embargo. Eerder heeft de IBD over Maastricht en Lochem een whitepaper gemaakt in het kader van ‘leren van elkaar’. Deze is over het incident van Hof van Twente nog niet opgeleverd. In onze beantwoording is uitgegaan van een eigen interpretatie op basis van de beschikbare informatie. Tegelijk is het wellicht ook veel relevanter hoe Zeist het heeft geregeld; We weten immers in detail hoe wij het zelf hebben georganiseerd en de risico’s hebben gemitigeerd.

Vragen Steeds vaker zijn organisaties slachtoffer van criminelen die een zogenaamde 'ransomware aanval' uitvoeren. Het doel is om data te gijzelen en pas weer vrij te geven na het betalen van losgeld. Enkele weken geleden overkwam dit de gemeente Hof van Twente maar het kan morgen ook in Zeist gebeuren. De impact is in potentie zeer groot want een dergelijke aanval kan de volledige dienstverlening van de gemeente lam leggen. Daarnaast kan er natuurlijk inbreuk ontstaan op privacy als derden onbevoegd toegang krijgen tot data van inwoners. Dat leidt tot de volgende vragen: 1.

Is de gemeente Zeist zich bewust van dit risico en welke activiteiten worden uitgevoerd in het kader van preventie en detectie? We zijn ons terdege bewust van de genoemde risico’s en van de activiteiten die moeten worden uitgevoerd in het kader van preventie en detectie. We geven dit vorm op basis van risicomanagement. Vanuit de drie perspectieven: personeel, proces en product. Wat betreft het personeel zijn de activiteiten die we uitvoeren vanuit preventie met name gericht op gedrag en bewustwording. Dit geven we vorm middels het inwerkprogramma, stukjes op intranet, actieve persoonlijke benadering bij incidenten en de workshop “ik ben best wel (informatie)veilig” als onderdeel van de Zeist Academie. Tegelijk proberen we vanuit teamontwikkeling (IV) continu goed aan te sluiten bij wat er speelt in de organisatie. Voor het onderdeel proces en product (techniek) participeren we actief in het landelijke GGI-veilig project van de VNG (Gemeentelijke Gemeenschappelijke Infrastructuur). Met als doel het verhogen van de weerbaarheid van de digitale dienstverlening en bedrijfsvoering. GGI-veilig zorgt voor actieve beveiliging van het dataverkeer over het GGI-Netwerk en over de eigen bedrijfsnetwerken van gemeenten.

Vanuit GGI-veilig zijn de volgende activiteiten opgepakt:  Vervanging van de firewall (onderdeel VNG aanbesteding GGI-Veilig), met als doel monitoring en weten wat er speelt. Oplevering Q1 2021.  Verhogen van de weerbaarheid van de werkplek door afname van de security bundel (VNG werkplek) in 2019. Dit is geïmplementeerd.  Voor 2021 staat ook het uitvoeren van een penetratietest gepland. Dit is een toets op kwetsbaarheden in onze infrastructuur, waarbij een gecertificeerde partij ons ‘aan zal vallen’.

1

De resultaten kunnen we gebruiken om gevonden kwetsbaarheden te verhelpen en zo de weerbaarheid nog verder te verhogen.  Als onderdeel van het nieuwe datacenter hebben we in 2019 al voorbereidingen getroffen om NAC (Netwerk Acces Control) toe te passen binnen het netwerk van de gemeente Zeist. De implementatie hiervan loopt momenteel en oplevering vindt plaats in Q2 2021.  Voor 2021 staat verder SIEM (Security Information Event Management) / SOC (Security Operations Center) gepland. Doel is zicht houden op beveiliging van bedrijfsinformatie en digitale dreigingen met behulp van een extern monitoring systeem. De eerste stap is het aansluiten van onze infrastructuur op het Netwerk Beheer Centrum. Zij voeren de monitoring van de volledige infrastructuur uit via de GGI-veilig raamovereenkomst.

2.

Ligt er een protocol klaar zodat alle betrokkenen weten wat te doen zodra deze situatie zich voordoet? Er ligt een technisch protocol klaar waarin beschreven staat wie welke rol heeft en wat er moet gebeuren bij een verstoring van de technische (IT) bedrijfsvoering. Gezien de snelle toename van de dreigingen, is dit protocol continue in ontwikkeling. In samenwerking met team Veiligheid is in 2020 gestart met het opzetten van een geformaliseerd BCM (Business Continuity Management). Onderdeel hiervan is het bestuurlijk protocol. Dit thema komt, samen met het thema cybersecurity, op de agenda van het GMT in het eerste kwartaal van dit jaar.

3. Zijn alle technische maatregelen die elders nuttig zijn gebleken in Zeist al geïmplementeerd? Denk aan het borgen van een back-up van bedrijf kritische en/of privacygevoelige data in een ander netwerksegment. Met de vervanging van het datacenter is al tijdens de eerste ontwerpen ‘security by design’ toegepast. En daarmee een essentieel onderdeel van hetgeen wij nu gebruiken en waar wij op terug kunnen vallen. Dit is vanzelfsprekend ook een eis geweest in de Europese aanbesteding en daarmee hebben we ook zeer vergaande eisen gesteld aan de inschrijvende partij (Axians is uiteindelijk die partij geworden). Specifiek over de backup; deze is logisch en adequaat gescheiden van de productieomgeving. Op basis van de summiere informatie die er is, lijkt het dat Hof van Twente geen ontkoppelde backup heeft toegepast. Ontkoppelde backup houdt in dat o.a. niet met dezelfde inloggegevens bij de backup omgeving kunt én dat de verbinding met die omgeving alleen bestaat ten tijde van het backup proces. Onze backup wordt opgeslagen op locatie Nieuwegein; bij verlies van het pand van Zeist zullen de gegevens dus niet verloren gaan. Als Nieuwegein (tijdelijk) uitvalt, draaien onze servers in Zeist gewoon door, de backup is op dat moment niet toegankelijk, maar hebben we in principe ook niet nodig. Als Nieuwegein als locatie definitief uitvalt is de backup weg.

Er is bij de aanbesteding gekozen om de backup niet op een derde locatie te stallen, los van het financiële gevolg van zoiets is het ook niet heel gebruikelijk en heeft het een beperkte impact op de veiligheid. NB: Het is van belang om ‘uitwijk’ (oftewel disaster recovery) en ‘backup’ apart te houden in de dialoog hierover. Het eerste heeft als doel de continuïteit te waarborgen (redundantie van o.a. datacenter op locatie Nieuwegein), het andere gaat over retentie en fall-back in geval van corruptie door bijvoorbeeld ransomware. Naar aanleiding van het incident bij Hof van Twente hebben Zeist en Nieuwegein leverancier Axians gevraagd om een analyse van onze omgeving. Dit heeft medio december via een presentatie plaatsgevonden. Hieruit is gebleken dat er afdoende maatregelen zijn genomen om de continuïteit, integriteit en veiligheid van de backup te kunnen garanderen. Onder andere door netwerksegmentatie en indirect gekoppelde backup systemen. De methode en maatregelen zijn in lijn met de op dit moment geldende ‘best practices’ naar oordeel van de gemeentelijke experts.

2

Afsluitend: In de afwegingen die we maken is het uitgangspunt dat de wereld continue in beweging is en de dreigingen en risico’s groter worden. We zijn ons hier continue van bewust. Door samen met VNG te werken aan een Gemeentelijke Infrastructuur (GGI) scheppen we de voorwaarden om op een goede, veilige en flexibele wijze cloud oplossingen in te zetten. Dit doen we al met mate op dit moment, we bekijken dit steeds per casus. De trend in de praktijk is ook dat veel nieuwe informatie systemen alleen nog leverbaar zijn als cloudoplossing (veelal SaaS) en mede hierdoor is het speelveld al enige jaren aan het veranderen. Dit vereist dat we veel meer aan de voorkant (SLA en contractueel) de juiste zaken moeten regelen, het vormgeven van de rolwisseling van beheerder naar regisseur en het zoeken naar partnership met de partij die onze spullen en data gaat beheren. Vanzelfsprekend zijn wij bereid e.e.a. nader toe te lichten en met elkaar te bespreken in een aparte sessie.

3