PR24.077 bijlage 1 Eindrapport RK onderzoek Informatieveiligheid Zeist

Op 10 speerpunten gaat de FG in op opzet, bestaan en werking van onder andere

28

beleid, regie, toezicht, informatieveiligheid en budget. Ook geeft de FG een drietal actiepunten mee, zoals vaststellen van het bijgeleverde visiedocument ‘Een goed leven in Zeist – ook digitaal’, opstellen van jaarplan 2023-2024 met prioriteiten en verantwoording afleggen via jaarrapportages. Onder de prioriteiten staat onder andere de invoering van het 3-lijnenmodel, zoals ook in het strategisch beleid 2022-2026 op informatieveiligheid en privacy is beschreven. Daarmee aangevend dat het strategisch beleid nog niet volledig is geïmplementeerd. Themabijeenkomsten waarin de raad geïnformeerd wordt

Voorts wordt de raad bij grotere incidenten, zoals grote datalekken, geïnformeerd. De raad wordt met enige regelmaat door de CISO en de strategisch adviseur ICT bijgepraat in themabijeenkomsten of een raadsinformatiebijeenkomst. In 2021 krijgt de raad een presentatie over veilig werken, naar aanleiding van vragen van raadsleden in december 2020 over de hack in Hof van Twente. Uitgelegd is hoe onder andere de back-up systemen werken. In 2023 gaven de CISO en FG een workshop aan het college over het visieen borgingsdocument ‘Het goede leven in Zeist – ook digitaal’. Het beschrijft hoe de gemeente het (digitale) bewustzijn en de (digitale) weerbaarheid kan verhogen en de dilemma’s die daarbij spelen. Dezelfde workshop is voor de raad in een raadsinformatiebrief aangekondigd.

Aandacht vanuit de raad als laag ervaren

Samenvatting

Enkele respondenten geven aan het te jammer te vinden dat een van de sessies die gepland is voor de raad niet goed door de raadsleden werd bezocht. Ondanks het gegeven dat de raad bij de accountant informatieveiligheid als speerpunt heeft aangegeven (zie hoofdstuk 6), wordt de bestuurlijke aandacht vanuit de raad voor het onderwerp niet altijd als hoog ervaren. Als er vragen vanuit de raad komen, zijn ze vaak ingegeven door incidenten elders, zoals de aanval met ransomware bij Hof van Twente. De meeste raadsleden gebruiken niet de mailboxen van de gemeente Zeist, maar de eigen privé-mailboxen. Dat wordt als een aandachtspunt vanuit informatieveiligheid gezien, als de raadsleden onvoldoende de risico’s doorgronden en het mailverkeer niet goed beveiligen. Raadsleden beschikken ook over vertrouwelijke en gevoelige persoonsgegevens. De FG wijst erop dat de raad zelf ook verwerkingsverantwoordelijke is. De krijgt in de reguliere cyclus gerapporteerd over de vorderingen op het informatieveiligheids- en privacybeleid. Dat gebeurt jaarlijks door middel van de ENSIA-rapportages, en sinds kort het jaarverslag van de Functionaris Gegevensbescherming. Daarbij krijgt de raad wel duiding, maar geen dieper inzicht in de risico’s die de gemeente loopt. Incidenteel wordt de raad geïnformeerd via raadsinformatiebrieven en worden themabijeenkomsten georganiseerd.

Er is geen structureel overleg tussen college en raad op het gebied van informatieveiligheid en privacy aangetroffen.

29

5 Bewustwording Onderzoeksvraag 3

Krijgen medewerkers goede uitleg en ondersteuning om veilig te werken?

Risicobewustzijn

Bewustwording van medewerkers over de risico’s van informatieveiligheid is uitermate belangrijk. De meeste respondenten melden op de vraag wat er goed gaat op het gebied van informatieveiligheid en privacy dat de bewustwording hiervan in de gemeentelijke organisatie is toegenomen. Tegelijk melden de respondenten dat het gewenste niveau nog niet bereikt is en het altijd beter kan. Bekend uit onderzoek bij gemeenten in het algemeen is dat bij afdelingen en teams die al langer met (bijzondere) persoonsgegevens werken, zoals burgerzaken, sociaal domein, salarisadministratie en HR, de medewerkers redelijk risicobewust zijn. Maar er zijn ook medewerkers van afdelingen die daar minder bij stil staan. Voor een aantal medewerkers is aandacht voor informatieveiligheid iets dat afleidt en naast het dagelijkse werk erbij komt.

Inwerkprogramma

Veilig (en integer) werken en bewustwording van de risico’s is volgens de gemeentelijke beleidsstukken een continu proces. Dat geldt voor nieuw aangenomen en zittend personeel en externe inhuur. Sinds 2021 is informatieveiligheid onderdeel van het inwerkprogramma (onboarding) voor nieuwe medewerkers. De CISO en de informatieadviseur geven binnen het inwerkprogramma van nieuwe medewerkers (de zogenoemde ‘onboarding’) de workshop “ik ben best wel Informatieveilig”. Daarin leren medewerkers onder andere phishing mails te herkennen en hoe om te gaan met informatieveiligheid. De e-learning module ‘Holmes’ vanuit de Zeist Academie is voor nieuwe medewerkers een verplicht onderdeel van de onboarding. De zittende medewerkers worden voor de e-learning uitgenodigd en deelname wordt aangemoedigd, maar deelname is niet verplicht. Een enkele respondent geeft aan dat het voornemen is om deelname van alle medewerkers te monitoren en daarover te rapporteren aan de directie.

en Zeist Academie

Externen

Externen die bij samenwerkingspartners werkzaam zijn, krijgen niet dezelfde onboarding als de medewerkers van de gemeente. Bijvoorbeeld de consulenten in het sociaal domein die bij andere organisaties in dienst zijn. Dat is een risico, met name in een terrein waar veel persoonsgegevens worden verwerkt. Dat gaat in de loop van 2024 veranderen. De consulenten komen in dienst van de gemeente en krijgen vanaf dan dezelfde onboarding.

Diverse activiteiten

Er zijn onder andere bijeenkomsten georganiseerd voor medewerkers om de bewustwording op risico’s op informatieveiligheid en privacy te vergroten. Zoals de ‘AVG on tour’ over gegevensbescherming langs de

30

teams. Voorts is een training verzorgd, specifiek voor de medewerkers van het sociaal domein, omdat zij veel bijzondere persoonsgegevens in groepen (kwetsbare) inwoners verwerken. Medewerkers die het scherm bij afwezigheid niet op slot hebben, gezet zijn met ludieke acties ‘bestookt’. Beveiligd werken

Uit de interviews bij twee afdelingen die veel persoonsgegevens verwerken blijkt dat de medewerkers zich zeer bewust zijn van de risico’s. Mails met persoonsgegevens gaan over beveiligde verbindingen. Of met behulp van Smartlockr, waarmee men via een vinkje de mail met persoonsgegevens beveiligt. Helemaal uitsluiten dat er persoonsgegevens in mailmappen aanwezig zijn kunnen de respondenten niet, maar de middelen om veilig gegevens te delen en op te slaan zijn wel aanwezig. Ook wordt in het kader van gegevensbescherming gelet op dataminimalisatie, zo min mogelijk persoonsgegevens verwerken die nodig zijn voor de gestelde taak. Respondenten melden dat het werken met deze uitgangspunten van de AVG nog niet bij alle afdelingen vanzelfsprekend is. Met name bij de afdelingen die weinig persoonsgegevens verwerken.

Intranet

Online wordt informatie en tips over informatieveiligheid en privacy gepubliceerd op het onderdeel ‘Weten en regelen’. Informatie over verwerkingsovereenkomsten, zodat medewerkers met vragen hierover antwoorden kunnen vinden en voor een groot deel zelf aan de slag kunnen. Die informatievoorziening verzorgt het team Veilig werken samen met het team Communicatie.

Eigenaarschap nog te veel

Ondanks dat het bewustzijn is toegenomen wordt door respondenten gemeld dat het eigenaarschap op informatieveiligheid en privacy nog te veel bij het team Informatievoorziening wordt gelegd, terwijl volgens het 3lines-of-defence model het eigenaarschap thuishoort bij de proceseigenaren, ofwel de teammanagers, zou moeten liggen. De werking van het beleid en de borging van de processen staat volgens een aantal respondenten nog in de kinderschoenen. Daarin is onder andere het hiervoor geconstateerde gemis merkbaar van een deel van de protocollen en richtlijnen op tactisch en operationeel niveau. Daarop wordt sinds kort ingezet met een kwaliteitsmedewerker die zich bezig houdt met het doorvertalen van het strategische en tactische beleid naar het operationele niveau (zie ook §3.2).

bij afdeling IV

Functionarissen op informatieveiligheid en privacy geven aan dat de medewerkers hen meer en meer weten te vinden en te betrekken aan de voorkant van processen waar informatieveiligheid en privacy een rol spelen. Dat besef is gegroeid, maar nog niet bij alle teams aanwezig. Mogelijk omdat medewerkers het niet weten, het nog niet in protocollen is opgenomen of als er tijdsdruk aanwezig is, kan het zijn dat aspecten op informatieveiligheid en privacy niet aan de voorkant meegenomen worden. Dan bestaat de kans dat delen van het proces overgedaan moeten worden, wat over en weer aanleiding kan geven tot frustraties.

31

‘Tone at the top’ wordt als goed ervaren

Taakvolwassenheid rond 2 op 5-puntschaal

Om bewustwording en eigenaarschap in de organisatie goed te laten landen is het nodig dat van hogerhand het goede voorbeeld wordt gegeven. Het college en directieteam moeten doordrongen zijn van de noodzaak daartoe. Zo krijgt het college geregeld een presentatie over de stand van zaken, onder andere naar aanleiding van de ENSIA-rapportage (zie ook §4.1). Ook is de noodzaak voor bewustwording aan de orde gekomen bij het college in een door de VNG georganiseerde bestuurlijk gesprek (‘peer to peer’-sessie onder leiding van de gemeente Veere). Bij het directieteam komt ook met enige regelmaat informatieveiligheid en privacy als agendapunt langs. Samen hebben college en directie eind 2023 een cyberoefening gehad, voorafgegaan door een scenariosessie. Alle respondenten ervaren een goed voorbeeldgedrag aan de top. Zoals eerder opgemerkt is in beleid vastgelegd dat informatiebeveiliging en privacy niet iets van de gespecialiseerde functionarissen is, maar een verantwoordelijkheid van de medewerkers en het lijnmanagement. De taakvolwassenheid van lijnmanagement en medewerkers op informatieveiligheid, dat wil zeggen de mate waarin zij bekend zijn met de protocollen en procedures en deze in de praktijk brengen, wordt vaak op een 5 puntsschaal weergegeven.

NOREA, de beroepsvereniging voor IT auditors, onderdeel van de Koninklijke Nederlandse Beroepsorganisatie van Accountants (NBA), gebruikt de schaal zoals in bijlage 5 is opgenomen. Uit de interviews blijkt dat de gemiddelde volwassenheid van de organisatie in Zeist op informatiebeveiliging rond 2 scoort. Dat wil zeggen dat er wel procedures zijn, maar onvolledig. En dat deze inconsistent en ad hoc worden uitgevoerd. Er zijn geen landelijke benchmarks op volwassenheidsniveau van medewerkers bij gemeenten. Uit diverse onderzoeken naar bewustwording bij gemeenten komt naar voren dat het gemiddelde niveau tussen niveau 2 en 3 ligt. Algemeen gesteld wordt dat een organisatie vanaf niveau 3 ‘in control’ is. Vanaf dat niveau zijn beheersingsmaatregelen gedocumenteerd en worden ze gestructureerd, geformaliseerd en aanwijsbaar uitgevoerd. Uit de interviews blijkt dat er vooruitgang wordt geboekt, maar dat veel proceseigenaren nog ondersteund moeten worden door de functionarissen op informatieveiligheid en privacy. Alertheid wanneer in processen aspecten hierop aan de orde zijn en de notie om de professionals tijdig te betrekken is niet altijd en overal aanwezig. Zeker niet als bijvoorbeeld gegevensverwerking maar een klein onderdeel van het proces vormt.

Dan is het risicomanagement vaak beperkt tot de financiële risico’s en zitten de proceseigenaren niet te wachten op input die misschien vertragende invloed zal hebben op de planning. Uit de interviews blijkt dat het vaak niet om weerstand gaat, maar dat men er niet tijdig bij stil heeft gestaan. Dat verschilt overigens per afdeling: zoals eerder geconstateerd zijn er

32

afdelingen die al langer gewend zijn veilig te werken en hoger zullen scoren op taakvolwassenheid hierop. Voorkomen van fouten is uiteraard het best. De houding van de directie is dat fouten niet altijd te voorkomen zijn en uitgedragen wordt dat medewerkers fouten open moeten kunnen melden. Uit de interviews blijkt dat een lerende houding aangemoedigd wordt. Aangegeven wordt dat medewerkers bij geconstateerde tekortkomingen worden benaderd door de servicedesk om uit te leggen wat er fout ging, wat het belang is van ieders individuele actie op systemen en hoe men dit kan voorkomen in de toekomst.

Lerende houding

5.1

Phishing simulatie

Phishing mail test 2022

Cybercriminelen gebruiken met phishing verschillende methodes om gevoelige informatie te verkrijgen. Dit is een reële dreiging voor bedrijven en overheidsorganisaties. Met behulp van phishing-simulaties kunnen medewerkers bewust(er) gemaakt worden van gevaren van de digitale wereld. Hoe hoger het bewustzijn en de weerbaarheid van de medewerkers, hoe kleiner de kans op financiële- en imago schade. De gemeente laat phishing mail testen uitvoeren In 2022 is een phishing mail simulatie uitgevoerd. Daarbij heeft 77% van de medewerkers geklikt op een link uit een verdachte mail en uiteindelijk zijn van 23 medewerkers inloggegevens ‘gephisht’.

Phishing mail test 2023

In het kader van het rekenkameronderzoek kreeg selectie van 200 medewerkers op 24 oktober een phishing mail, zogenaamd van de Afdeling HR van de gemeente Zeist.23 Het dringende verzoek was om op een link naar het salarisportaal te klikken om eventuele fouten in de salarisadministratie te corrigeren. Er is een aantal kenmerken in de phishing -simulatie aangebracht waardoor deze herkenbaar is als phishing mail: -

De afzender was niet afkomstig van gemeente Zeist De aanhef was onpersoonlijk (‘Beste collega’) De link verwees niet naar een URL van de gemeente Zeist In de mail werd tijdsdruk geënsceneerd De mail was niet persoonlijk ondertekend, maar algemeen door Afdeling HR, Gemeente Zeist De phishing simulatie is een week lang actief geweest. De ICT regisseurs zijn van tevoren ingeseind dat de phishing simulatie plaats zou vinden, zodat zij niet technisch zouden ingrijpen na een melding. Nadat de medewerker van de helpdesk na ongeveer 10 minuten de ICT regisseurs ging informeren

23

Om ervoor te zorgen dat de nep phishing mail niet door de virusscanner of firewall tegengehouden zou worden, is het domein waar vanaf de phishing mail is gestuurd ‘gewhitelist’. Dat wil zeggen dat de gemeente ingesteld heeft dat mails van dat domein vertrouwd kunnen worden.

33

over een mogelijke phishing aanval, hebben zij hem geïnformeerd over de test en verzocht niet in te grijpen en hier geen ruchtbaarheid aan te geven. De eerste dag heeft een alerte medewerker via een mailbericht collega’s op de hoogte gesteld, en hebben meerdere medewerkers de phishing mail bij de melddesk gemeld. Op de eerste dag heeft 29% van de medewerkers in de testpopulatie op de link geklikt. Dat percentage liep in de week doorlooptijd op tot 39%. De medewerkers die op de link hebben geklikt kwamen op een landingspagina waarop uitleg werd gegeven over de phishing simulatie en waaraan ze in het vervolg phishing mails kunnen herkennen. Samenvatting

Door respondenten wordt als positief ervaren dat de bewustwording bij de medewerkers de laatste jaren groter is geworden. Tegelijk wordt erkend dat het gewenste niveau nog niet bereikt is. Vanuit bestuur en directie wordt hier op ingezet. Een lerende houding wordt sterk gepropageerd en de ‘tone at the top’ levert een voorbeeldfunctie. Ondanks de vele activiteiten, zoals aandacht voor informatieveiligheid en privacy in de onboarding, e-learning, berichten op intranet, wordt het eigenaarschap bij de 1e lijn van medewerkers en lijnmanagement te weinig beleefd. De gemiddelde taakvolwassenheid op informatieveiligheid wordt in de interviews rond de 2 op een 5 puntsschaal geschat. Bij de phishingmail test in het kader van het rekenkameronderzoek blijkt het klikpercentage onder de steekproef van medewerkers van de gemeente hoger is dan gemiddeld bij vergelijkbare phishing mails.24 Dat is mede een signaal dat het vereiste bewustwording bij de medewerkers nog niet is bereikt.

24

De phishing mail test is bij meerdere vergelijkbare organisaties uitgevoerd, en dan is het gemiddelde klikpercentage circa 35%.

34

6 Communicatie over datalekken Onderzoeksvraag 4

Hoe communiceert de gemeente met betrokkenen en inwoners over datalekken?

Proces

De gemeente heeft in het strategisch beleidsplan Privacy een proces vastgesteld voor het melden van en omgaan met datalekken. De gemeente onderscheidt drie categorieën datalekken, namelijk een inbreuk op de beschikbaarheid 25, inbreuk op de vertrouwelijkheid 26 en inbreuk op de integriteit 27 van persoonsgegevens (BVI). Er is door de gemeente een meldpunt datalekken ingesteld.

Meldpunt datalekken

Bij het meldpunt datalekken kunnen medewerkers terecht voor het melden van een (potentieel) datalek. Het meldpunt wordt beheerd door de CISO en de Privacy Officer. Verder zijn bij een (potentieel) datalek de Service Desk, het kernteam Datalekken en Beveiligingsincidenten en de portefeuillehouder betrokken. In het kernteam Datalekken zijn de CISO, Privacy Officer, Privacy Jurist, Security Officer en de FG vertegenwoordigd. De gemeentesecretaris en de bestuurder worden door de CISO geïnformeerd over het (potentiële) datalek. Een datalek moet in principe ook gemeld worden bij de Autoriteit Persoonsgegevens (AP). Ook moeten de betrokkenen wier gegevens het betreft geïnformeerd worden. Evenwel is niet elke inbreuk op de beschikbaarheid, vertrouwelijkheid of integriteit van persoonsgegevens die door de gemeente worden verwerkt is een datalek. Dat hangt af van de mate waarin het datalek een risico oplevert voor de rechten en vrijheden van de betrokkenen. Als er een hoog risico is wordt de melding bij de AP gedaan en worden de betrokkenen geïnformeerd.

Terugkoppeling

Uit de bestuurlijke rapportage Informatieveiligheid blijkt dat de melder en de betrokkenen waarderen en het prettig vinden dat zij persoonlijk geïnformeerd worden over het lek en de afwikkeling. Ook wordt indien nodig de Raad geïnformeerd, volgens de procedure. De bekendheid van het meldpunt datalekken en de meldingsbereidheid bij medewerkers om een datalek te melden is groot, volgens respondenten. De meldingen worden onderzocht, geanalyseerd en geregistreerd. De meeste meldingen zijn te classificeren als fouten zoals door de AP ook de meeste

25

26

27

Inbreuk op de beschikbaarheid betekent dat de organisatie waar het datalek is (geweest) niet meer bij de persoonsgegevens kan komen. Of de gegevens zijn vernietigd. Dit is gebeurd door iemand die daartoe niet bevoegd is. Of dit is per ongeluk gebeurd (bron: AP). Inbreuk op de vertrouwelijkheid betreft persoonsgegevens die openbaar zijn gemaakt of er is toegang geweest tot persoonsgegevens. Dit is gebeurd door iemand die daartoe niet bevoegd is. Of dit is per ongeluk gebeurd (bron: AP). Inbreuk op de integriteit betreft persoonsgegevens die zijn gewijzigd door iemand die daartoe niet bevoegd is. Of dit is per ongeluk gebeurd (bron: AP).

35

worden gecategoriseerd, namelijk het gebruiken van een verkeerd emailadres, een verkeerde bijlage in een envelop, het niet gebruiken van de BCC of het verkeerd anonimiseren van stukken. De analyse van het proces is er op gericht ervan te leren zodat er niet opnieuw een datalek kan ontstaan. Rapportage

Er is geen overzicht van datalekken aangetroffen en er wordt niet over gerapporteerd in de jaarstukken. Bij navraag zijn er in 2022 en 2023 respectievelijk 12 en 18 potentiële datalekken gemeld bij de Melddesk Datalekken. Daarvan hoefde er geen gemeld hoeven te worden bij de Autoriteit Persoonsgegevens, omdat het uiteindelijk geen datalek betrof of tijdig gemitigeerd kon worden. Daarnaast is één datalek via de gemeenschappelijke regeling die het betrof daadwerkelijk als datalek bij de AP gemeld.

Samenvatting

De gemeente heeft een proces datalekken vastgesteld, waarin de activiteiten en communicatie bij een datalek zijn beschreven. Er is een meldpunt, waarbij onder andere de CISO en Privacyofficer zijn aangesloten. Er zijn weinig ‘echte’ datalekken te melden, maar de communicatie met betrokkenen wordt als positief ervaren.

36

7 Controle op naleving en voorkomen Onderzoeksvraag 5

Hoe controleert de gemeente op naleving van veilig werken en het voorkomen van beveiligingsincidenten?

Veel van de manieren waarop de gemeente controleert op de naleving van veilig werken en het voorkomen van incidenten zijn hiervoor de revue gepasseerd. Zoals de verschillende overleggen waarin aspecten van informatieveiligheid en privacy worden geagendeerd, bewustwordingsactiviteiten en de phishing simulatie, de (zelf)audits en rapportages naar aanleiding van de audits. Hieronder gaan we in op de aanvullende maatregelen die de gemeente inzet op controle en preventie. Accountant

De accountant stelt, in opdracht van de auditcommissie van de raad, onder eigen verantwoordelijkheid een controleplan op. De raad kan speerpunten meegeven. Vorig jaar heeft de raad, naast het strategisch huisvestingsplan, informatieveiligheid als speerpunt aangegeven. Los daarvan heeft de accountant in eerdere jaren ook al gekeken naar algemene IT-controls, maar dan vooral gericht op de financiële rechtmatigheid. Vanuit de afdeling Control wordt met behulp van de Verbijzonderde Interne Controles (VIC) input aan de accountantscontrole gegeven. Zo gaf de accountant eind 2021 de volgende aanbevelingen: - verdere formalisering en implementatie van rollen, verantwoordelijkheden en General IT Control processen; - opzetten en bijhouden van een actueel overzicht van de systeemarchitectuur waaronder voor de situatie rond Unit4 Financials en haar bronsystemen; - opzetten, beschrijven en invoeren van IT werkprocessen; - opstellen en invoeren van beleid en maatregelen ter voorkoming gebruik non personal accounts (NPA) voor beheer database van Unit4 Financials.

Informatiemanagement aanwezig, niet optimaal gebruikt

28

Zoals hiervoor geconstateerd is het strategische beleid aanwezig, en deels op tactisch en operationeel gebied. Uit de interviews en de verschillende controles en audits blijkt dat het aantoonbaar vastleggen van activiteiten en beheersmaatregelen op informatieveiligheid en privacy nog aandacht verdient.28 De gemeente beschikt al 5-6 jaar over een Information Security

Dat bleek niet alleen ten aanzien van informatieveiligheid en privacy, maar in 2021 ook bij de audit op de implementatie van het financiële systeem AFAS bleken tekortkomingen: Op 1) beheer en de inrichting van AFAS voor de aansturing van de financiële transactieverwerking 2) de interne controles op het personeelsdata en salaris verwerkende proces, 3) de door de projectorganisatie ingevoerde processen voor beheer en doorontwikkeling van het systeem en 4) de projectacceptatie en dechargeverlening. Risico’s die werden geconstateerd waren incorrecte financiële boekingen. Ook werd geconstateerd dat er onterechte autorisaties waren en te veel personen met een account met te veel rechten. Volgens de afdeling HR worden de autorisaties nu 2x per jaar gecontroleerd.

37

Management System (ISMS) waarmee de PDCA-cyclus29 op informatieveiligheid vormgegeven kan worden. Met een dergelijk systeem kan de organisatie de vinger aan de pols houden of de afgesproken activiteiten en de beheersmaatregelen op informatieveiligheid worden opgevolgd. De activiteiten in het kader van informatieveiligheid kunnen daarmee worden geformaliseerd en geborgd. In de interviews wordt aangegeven dat het systeem beter gevuld en gebruikt moet gaan worden. Dat ligt enerzijds aan de capaciteit om het systeem te vullen, anderzijds aan de gebrekkige taakvolwassenheid van de lijn die met het systeem in de praktijk aan de slag moet. Het ISMS blijft daarmee vooral alleen een tool van de afdeling IV. In principe is de aandacht voor de PDCA-cyclus en de intentie om te leren aanwezig, evenals het instrument. Maar het niet optimaal gebruik staat verdere professionalisering in de weg. Streven naar ‘In control statement'

Interne controle

Uit de interviews blijkt dat de PDCA-cyclus vanaf begin 2024 vorm zal worden gegeven, vanuit de afdeling IV samen met de afdeling Control. Deze samenwerking met Control is mede ingegeven door het streven van de ambtelijke en bestuurlijke top om op termijn een ‘in control statement’ af te kunnen geven. Tot nu toe concentreerde Control met de interne controles op de financiële rechtmatigheid. Bij een ‘in control statement’ moet dat verbreed worden naar kwaliteitsaspecten van de gehele organisatie, waarbij informatieveiligheid ook betrokken is. Naar aanleiding daarvan heeft de afdeling Control in 2022 op IT een relatief beperkt onderzoek uitgevoerd, namelijk op de governance, informatiebeveiliging en de beheersmaatregelen in de IT-processen. Daaruit werd de conclusie getrokken dat de beheersmaatregelen voldoen, behalve op onder andere systeemarchitectuur, beheersing van de uitbestedingen en informatiebeveiliging. Bij dat laatste werd geconstateerd dat informatiebeveiliging nog geen integraal onderdeel uitmaakt van de overall risicomanagementcyclus30. Het geschetste risico is dat de CISO niet over alle relevante informatie beschikt voor de uitvoering van het informatieveiligheidsbeleid. De CISO krijgt sinds 2023 de op informatieveiligheid betrekking hebbende rapportages van de afdeling Control.

Bij de monitoring van de verbetermaatregelen naar aanleiding van de bevindingen van de accountant en de interne controle zijn in 2023 verbeteringen geconstateerd ten aanzien van de aansluiting van informatiebeveiliging op de risicomanagementcyclus, het proces rond wijzigingsbeheer, het proces rond toekennen, wijzigen en intrekken van rechten en de minimalisering van de generieke accounts. Ten aanzien van de andere bevindingen van de accountant en interne controle zijn verbeteracties nodig, zoals de systeemarchitectuur, de implementatie van systemen en opdrachtverlening aan leveranciers van IT-systemen. Maar ook op de

29 30

PDCA-cyclus is de beleidsleercyclus: Plan-Do-Check-Act. Dat is onder andere nodig om naar een ‘in control statement’ te groeien.

38

punten waarop verbetering is geconstateerd, is nog verdere vooruitgang te boeken, zoals blijkt uit de interviews en de pentesten (zie §8.2). Dpia’s

Dataprotection impact assessments (dpia’s) moeten in het kader van de AVG uitgevoerd worden op processen waar veel (bijzondere) persoonsgegevens worden verwerkt. Uit de interviews en een inventarisatie blijkt dat de gemeente Zeist vanaf de introductie van de AVG in 2018 dpia’s uitvoert. In totaal zijn 10 belangrijke verwerkingsprocessen die aan de criteria voldoen zijn geaudit en elk nieuw proces of nieuwe applicatie wordt in dat kader opgepakt. Er rekening mee houdend dat een gemeente gemiddeld tientallen verwerkingsprocessen heeft die mogelijk in aanmerking komen voor een dpia, blijft er nog een caseload liggen. Een volledige dpia kost namelijk de nodige tijd om uit te voeren en moet door de Privacyofficer gecontroleerd worden. De Privacyofficer voerde voorheen de dpia’s uit. Uit de interviews blijkt dat de proceseigenaren in de lijn nog wel ondersteuning nodig hebben, maar meer en meer hun verantwoordelijkheid hiervoor nemen. Zij kunnen met een quickscan of predpia bepalen of een volledige dpia uitgevoerd moet worden, afhankelijk van het risiconiveau. In totaal zijn 22 quick scans en 10 audits uitgevoerd. Zo is in het sociaal domein voor het gebruik van Zorgnet in de regio een quick scan uitgevoerd, maar nog geen volledig assessment. Dat gaat in regionaal verband uitgevoerd worden.

Voor het regionaal aanbestede jeugdvolgsysteem is bijvoorbeeld wel al een volledige dpia uitgevoerd.

Gemeenschappelijke regelingen

31

De verantwoordelijkheid voor de uitvoering van processen op informatieveiligheid en privacy bij gemeenschappelijke regelingen ligt uiteindelijk bij de deelnemende gemeenten. Daarop moeten de bestuursleden in de regelingen en accountmanagers alert zijn, bijgestaan door onder andere de CISO en Privacyofficer of FG. Zo worden bijvoorbeeld delen van Suwinet uitgevoerd door de Regionale Sociale Dienst Kromme Rijn Heuvelrug (RSD-KRH), daarbij ondersteund door Centric als IT-bedrijf. Daaraan liggen verwerkingsovereenkomsten en zogenoemde Third Party Memoranda (TPM)31 ten grondslag. De gemeenten krijgen auditrapporten over de uitvoering van de processen op informatieveiligheid en privacy bij de gemeenschappelijke regelingen. Deze werden achteraf gecontroleerd door de CISO. Dat proces is verbeterd doordat de CISO vooraf voor advies wordt betrokken. Zo kon de CISO naar aanleiding van het auditrapport van de RSD-KRH constateren dat een aantal jaren achter elkaar niets werd gedaan met steeds dezelfde bevinding en aanbeveling op informatieveiligheid.

Third Party Memorandum (TPM). Verklaring dat de derde partij, die gegevens voor de gemeente verwerkt, voldoet aan de geldende richtlijnen over informatiebeveiliging.

39

Samenvatting

De gemeente heeft enkele middelen op naleving en voorkomen van incidenten op informatieveiligheid en privacy tot zijn beschikking. In dit hoofdstuk zijn de accountantscontroles, de Verbijzonderde Interne Controles en de assessments op de verwerking van persoonsgegevens (dpia’s) aan de orde gekomen. Deze leiden tot verbetermaatregelen die gevolgd kunnen worden. Een van de manieren om die activiteiten te volgen is het managementinformatiesysteem op informatieveiligheid (ISMS). Dat is aanwezig, maar wordt niet optimaal benut. Het aantoonbaar vastleggen en borgen van activiteiten behoeft verbetering.

40

8 Toegang tot gevoelige informatie In dit hoofdstuk behandelen we drie onderzoeksvragen die met elkaar samenhangen, namelijk de vragen 6 tot en met 8. Onderzoeksvraag 6 Onderzoeksvraag 7 Onderzoeksvraag 8

8.1

Pentesten gemeente Zeist

Open source intelligence onderzoek (Osint)

8.2

Welke penetratietesten voerde de gemeente uit? Zijn verbeterplannen opgesteld naar aanleiding van de pentesten en zijn deze opgevolgd? Is het mogelijk om oneigenlijke toegang te krijgen tot gevoelige informatie die de gemeente in beheer heeft? In hoeverre wordt in de organisatie van de gemeente Zeist vastgelegd wie wanneer toegang vraagt tot bestanden met gevoelige informatie (het loggen)?

De gemeente Zeist geeft periodiek opdracht tot het testen van de systemen en de bewustwording van de medewerkers (voor deze laatste testen, de phishingmail testen zie §5.1.) Het jaarlijks uitvoeren van testen, op systemen en op bewustwording van medewerkers, is een van de maatregelen in de BIO. In 2021 heeft de gemeente een zogenoemd Open source intelligence onderzoek (Osint) laten uitvoeren op de systemen. Totaalscore was een 3,0 op een 5-puntschaal.32 Naar aanleiding van de geconstateerde risico’s zijn onder andere de volgende verbetermaatregelen in een verbeterplan opgenomen en opgepakt: vervanging van verouderde software en een apart ingerichte ontwikkel- en testomgeving van applicaties.33

Pentesten rekenkamer

Pentesten

In november 2023 zijn in het kader van het rekenkameronderzoek enkele pentesten uitgevoerd op de systemen. Met pentesten wordt de effectiviteit van de door de gemeente genomen beveiligingsmaatregelen getest. Ook zijn phishing mails verstuurd naar medewerkers van de gemeente. Deze zijn bedoeld om het risicobewustzijn bij medewerkers te testen.34 De rekenkamer besloot een interne netwerk- en wifi-test, een Active Directory (AD) audit, een inlooptest en een phishing mail test uit te

32

33

34

De in de test geconstateerde risico’s waren als volgt gecategoriseerd: 1 kritiek, 1 hoog, 6 gemiddeld, 11 laag en 2 informatief. Hoewel naar aanleiding van de resultaten van de pentest verbetermaatregelen zijn genomen gaan we in deze rapportage niet nader in op de specifieke risico’s. Om kwaadwillenden niet in de verleiding te brengen. De applicaties die gemeenten aanschaffen en/of ontwikkelen zijn uiteraard getest, maar niet getest in de specifieke systeemconfiguratie van elke gemeente. De eis is dan ook om de applicaties in een aparte omgeving te testen of te ontwikkelen, zodat incompatibiliteiten met andere systemen voorkomen kunnen worden. Een pentest of penetratietest is een toets van een of meer computersystemen op kwetsbaarheden, waarbij deze kwetsbaarheden gebruikt kunnen worden om in deze systemen in te breken.

41

voeren.35 Om mogelijke dubbelingen te voorkomen is vooraf overleg geweest met de CISO, informatieadviseur en directielid welke testen de rekenkamer zou uit gaan voeren. Hieronder gaan we in op de resultaten van de testen. In opdracht van de rekenkamer is door ethisch hackers getest op een beperkt aantal doelen, dat wil zeggen dat de reikwijdte of scope van het onderzoek beperkt is.36 Daarvoor is in samenspraak tussen de rekenkamer, de gemeente en de onderzoekers een testplan opgesteld. De pentesten zijn in oktober en november 2023 uitgevoerd. Getest is op doelen met een zekere risicoclassificatie. Deze risicoclassificatie is in de onderstaande tabel weergegeven.

Tabel 7.1. Risicoclassificatie pentesten. Risicoclassificatie Toelichting Kritisch (9-10) Hoog (7,9-8,9) Gemiddeld (4,0-6,9) Laag (0,1-3,9) Best Practice

Disclaimer

35

36

Extreem hoge kans dat de beveiligingsmaatregelen niet voldoende zijn of omzeild kunnen worden en dat hierdoor de kwetsbaarheid misbruikt kan worden met als gevolg catastrofale financiële verliezen. Hoge kans dat de beveiligingsmaatregelen niet voldoende zijn of omzeild kunnen worden en dat hierdoor de kwetsbaarheid misbruikt kan worden met als gevolg enorme financiële verliezen. Aannemelijke kans dat beveiligingsmaatregelen niet voldoende zijn of omzeild kunnen worden en dat hierdoor de kwetsbaarheid misbruikt kan worden met als gevolg financiële verliezen. Mogelijke kans dat beveiligingsmaatregelen niet voldoende zijn of omzeild kunnen worden en dat hierdoor de kwetsbaarheid misbruikt kan worden met als gevolg gelimiteerde financiële verliezen. Deze bevinding bevat geen direct aanvalsscenario met negatieve gevolgen. Echter duidt een bevinding met deze classificatie wel aan dat er een beveiligingsmaatregel niet voldoet aan security best practices. Het ontbreken van deze beveiligingsmaatregel kan het uitvoeren van andere aanvallen vergemakkelijken.

Algemene disclaimer is dat pentesten een momentopname zijn van de stand van zaken van de beveiligingsmaatregelen. De ontwikkelingen aan de kant van de bedreigingen gaan razendsnel, onder andere door kunstmatige intelligentie (AI). Kwaadwillende hackers hebben de tijd om diep te graven in mogelijkheden om schade aan te richten. Terwijl middelen en tijd voor ethische hackers beperkt zijn en de scope van de pentesten navenant beperkt is. Daardoor bieden de resultaten van de pentesten geen garantie voor de toekomst. Ze kunnen wel zicht geven op de risico’s die de organisatie op dat moment loopt.

Phishing is een vorm van internet oplichting en fraude, door middel van een vals e-mail bericht 'hengelen' naar inlog- of andere persoonsgegevens. Een ethisch hacker is een computerspecialist die beveiligingssystemen en netwerken test op een positieve manier. Zijn doel is om door middel van hacken fouten en veiligheidslekken op te sporen in de systemen en netwerken om deze daarna te melden aan de bedrijven of instanties waarmee ze samenwerken.

42

Afspraak: kritiek risico’s meteen melden

Afgesproken is dat kritieke risico's meteen gemeld zouden worden aan de CISO. Dat is op één punt gebeurd tijdens de pentesten. Daarop heeft de organisatie meteen geacteerd en de benodigde verbetermaatregelen geïmplementeerd. Daarnaast heeft de CISO na de testen vertrouwelijk de technische rapportages van de pentesten intern besproken. Daarbij zijn de technische verbetermaatregelen die de ethisch hacker aanraadt aan de orde gekomen. Hieronder gaan we nader in op de technische pentesten zelf en op hoofdlijnen op daarbij gesignaleerde risico's. De test met phishing mails is al in §4.1 behandeld, omdat deze test met name gericht is op de ‘awareness’ en niet zozeer op de techniek.

8.2.1 Interne en wifi-netwerk pentest

Wifi-netwerk: geen risico

Interne netwerk pentest: kritische risico’s

37

38

Interne en wifi-netwerk pentest Deze pentest is uitgevoerd in week 43 van 2023 en bedoeld om de kwetsbaarheden van het wifi- en interne netwerk in kaart te brengen. Hiermee wordt de effectiviteit van de genomen beveiligingsmaatregelen getest die ervoor moeten zorgen dat de schade die een kwaadwillende in het netwerk kan aanrichten zoveel mogelijk beperkt wordt. Die kwaadwillende kan iemand zijn die van buiten in het netwerk is doorgedrongen of over inloggegevens op het netwerk beschikt. Voor de volledigheid zij vermeld dat in het kader van het rekenkameronderzoek niet getracht is van buitenaf het netwerk binnen te komen.37 Tijdens de pentest is het de ethisch hacker niet gelukt het wifi-netwerk te exploiteren. Uit die test is geen risico naar voren gekomen. Wel kan een verbetering, een zogenoemde ‘best practice’, de veiligheid van het wifinetwerk verder verbeteren. Een ander onderdeel van deze pentest betrof het interne netwerk op basis van "grey-box" test.38 Hierbij wordt aan de ethisch hacker een netwerkaccount verstrekt door de organisatie, zodat ook het netwerk "van binnenuit" getest kan worden op eventuele kwetsbaarheden. De scope van deze test betrof 4 doelen, 2 van kritisch en 2 van hoog niveau. De ethische hacker slaagde erin de doelen te behalen. Daarbij zijn 13 risico’s geconstateerd, waarvan 3 kritisch, 2 hoog en 8 van gemiddeld niveau.

Daarnaast zijn vier verbeteringen van de veiligheid geconstateerd op basis van ‘best practice’. In deze rapportage wordt niet dieper ingegaan op de inhoud van de risico’s en de ‘best practices’, om kwaadwillenden niet op een spoor te zetten.

Meestal zijn de netwerken van buitenaf met een ‘zerotolerance’ beleid goed beveiligd, met firewalls en virusscanners. Daarnaast is in 2021 het netwerk getest op basis van een Open source intelligence onderzoek (Osint). Een grey-box test is een teststrategie waarbij de ethische hackers beperkte kennis hebben van de technische infrastructuur en systemen en met behulp van die kennis technische zwakheden trachten op te sporen. Bij een blackbox test hebben de hackers vooraf geen kennis van de systemen. Bij een white-box test hebben de hackers veel kennis van de systemen.

43

Zoals eerder aangegeven zijn de risico’s van kritiek niveau meteen gedeeld met de CISO en zijn deze door de organisatie meteen aangepakt en gemitigeerd. De andere kwetsbaarheden zijn vertrouwelijk met de CISO gedeeld en met de afdeling IV in overleg met de ethisch hackers besproken. Naar aanleiding van dat overleg zijn enkele verbetermaatregelen meteen genomen en andere in een verbeterplan opgenomen.39

Activiteiten hacker wel opgemerkt

Ten aanzien van de pentesten zij opgemerkt dat de ethisch hacker in het kader van de grey-box aanpak een netwerkaccount had en met een eigen laptop toegelaten werd tot de systemen.40 De opdracht aan de ethisch hacker was op zoek te gaan naar kwetsbaarheden in de systemen. De ethisch hacker is niet extra voorzichtig te werk gegaan om bijvoorbeeld niet opgemerkt te worden of sporen achter te laten. Gedurende de tijd dat de hacker actief was zijn diens handelingen door de detectiesystemen en de ICT-medewerkers opgemerkt. Met die meldingen is niets gedaan, zoals afgesproken om de ethisch hacker zijn opdracht te laten vervullen. De opdracht van de ethisch hacker was namelijk niet om de detectiesystemen te testen. Dat zou een andere en meer voorzichtige aanpak vergen om de inbraakpoging van een malafide hacker te simuleren. Kortom, de kwetsbaarheden die de ethisch hacker, in het kader van de pentesten in opdracht van de rekenkamer, heeft gevonden zijn reëel en kunnen door een malafide hacker geëxploiteerd worden als deze niet opgemerkt wordt. Op basis van de interne pentest wordt het risico dat de gemeente ten tijde van de test liepen als hoog ingeschat. Dat wil zeggen dat de gemeente kwetsbaar is voor een aanval met grote financiële en andere nadelige effecten tot gevolg.

8.2.2 AD audit

AD audit De Active Directory (AD) audit is op 22 mei 2023 uitgevoerd. Een AD staat beheerders toe om het beleid met betrekking tot rechten van medewerkers en instellingen in het netwerk van een organisatie te beheren. De AD-audit test met name op risico’s in verband met de uitvoering van het wachtwoordenbeleid, kwetsbaarheden met betrekking tot de inrichting van de Active Directory en op accounts en wachtwoorden die bekend zijn op internet.41 De AD-audit checkt onder andere op kwetsbare en zwakke wachtwoorden. Deze worden gecheckt op de vereiste complexiteitsgraad en vergeleken

39

40

41

Uit de ambtelijke hoor en wederhoor blijkt dat de afdeling I&A inmiddels is begonnen met de top-10 van deze kwetsbaarheden te mitigeren. Acht hiervan zijn gemitigeerd. De andere twee bestaan uit kwetsbare applicaties waarvoor inmiddels een vervangingstraject loopt voor het uitfaseren. De ethisch hacker heeft in het kader van het rekenkameronderzoek niet de beveiligingslaag van de van de standaard laptop werkplek getest, noch de firewall. Accounts en wachtwoorden die bekend zijn op internet betekent dat deze bij eerdere hacks of phishing mails zijn buitgemaakt en gepubliceerd worden op het dark web.

44

met een lijst op internet met wachtwoorden die in relatie gebracht kunnen worden met de gemeente. In totaal zijn 2.018 gebruiker accounts gescand. Van de 2.018 gebruikersaccounts zijn er 2 aangetroffen met een zwak wachtwoord dat niet voldoet aan de veiligheidseisen. 322 accounts hebben een wachtwoord van een jaar of ouder. In totaal zijn 154 niet unieke wachtwoorden aangetroffen, dat wil zeggen wachtwoorden die vaker worden gebruikt. Daaronder zijn ook service accounts, die hogere rechten hebben dan reguliere gebruikersaccounts. Van 142 accounts verloopt het wachtwoord nooit en van 9 accounts is de optie ‘password not required’ ingeschakeld. Verder zijn er 8 accounts zonder versleuteling (missende AESsleutels).42 Daarnaast zijn in de groep ‘Administrators’-accounts losse accounts en groepen aangetroffen waarvan de rechten ‘door elkaar lopen’. Daardoor kunnen accounts op verschillende manieren dezelfde rechten verkrijgen, dat is ongewenst. Van 28 accounts met admin-rechten zijn 16 met een wachtwoord dat ouder is dan een jaar. 6 admin accounts zijn langer dan een jaar niet gebruikt, maar kunnen nog wel actief gebruikt worden. Tot slot zijn 9 serviceaccounts lid van een beheerdersgroep en dat is ook ongewenst. Voorts is in het kader van de AD audit een aantal testen uitgevoerd op de inrichting en configuratie van de Active Directory.

Daarbij zijn risico’s gevonden waarvan 9 van een hoog niveau zijn, 6 gemiddeld. Niet consequent toepassen wachtwoordbeleid

8.2.3

Er zijn bij deze AD audit kritische kwetsbaarheden gevonden. Een aantal van deze kwetsbaarheden lijkt voort te komen uit het niet consequent toepassen van het wachtwoord beleid.

Inlooptest/Mystery guest

Inlooptest/Mystery guest

In landelijke richtlijnen is opgenomen dat er toegangsbeveiliging aanwezig is op de werk-, server- en technische ruimten van overheidsgebouwen. Dit geldt ook voor de ruimtes in gemeenten waar reisdocumenten zich bevinden en waar persoonsgegevens worden verwerkt. Op 12 oktober 2023 is in het kader van het rekenkameronderzoek een inlooptest met behulp van mystery guests uitgevoerd in het gemeentehuis van Zeist. Getracht is ongeautoriseerd toegang te krijgen toegang te krijgen tot verdiepingen en ruimtes die gesloten zijn voor onbevoegden en om ongestoord werkzaamheden op een (eigen/onbewaakt) computersysteem uit te voeren.

Kritisch risico-doel niet

Het doel dat vooraf beoordeeld is als een risico met hoge impact is niet behaald, namelijk toegang te krijgen tot de serverruimte. Eén van de doelen met een gemiddeld risico is ook niet behaald, namelijk toegang krijgen tot

behaald

42

Advanced Encryption Standard (AES) is een (cryptografische) versleutelingstechniek.

45

de raadzaal. Wel behaald zijn twee doelen met hoog risico-, twee met een gemiddeld risico- en een met een laag risiconiveau. Daarmee hebben de mystery guests onder andere ongeoorloofd toegang gekregen tot verdiepingen die gesloten zijn voor onbevoegden en technische ruimtes. Vrijwaringsverklaring laten zien

In één ruimte zijn de mystery guests kritisch aangesproken door een medewerker van de IT-afdeling. Zij waren daardoor genoodzaakt de vrijwaringsverklaring te laten zien.43 Het is de mystery guests gelukt om met personeel mee te lopen naar de niet-publieke ruimte zonder aangesproken te worden. Vanuit deze ruimte kon er vrij rondgelopen worden zonder aangesproken te worden. Wel maakte de open uitstraling van het pand en de omgeving het lastig voor de mystery guests zich ergens echt op hun gemak te voelen. Verder zijn de mystery guests niet aangesproken op hun aanwezigheid en het niet zichtbaar hebben van een bezoekerspas. Enkel bij het actief vragen naar toegang tot de kamer van de burgemeester is kort het ontbreken van de bezoekerspas ter sprake gekomen. Dit heeft verder geen gevolgen gehad waarna de mystery guests toegang hebben gekregen tot de burgemeesterskamer. De mystery guests hadden diverse keren toegang tot deuren, waarbij een toegangscontrole aanwezig was, maar deze niet nodig bleek om door te kunnen lopen. Ook zijn tijdens het bezoek werkplekken gecontroleerd op onbeheerde badges, documenten of ontgrendelde computers. Er is één werkplek gevonden met documenten en één onbeheerde werkplek die niet vergrendeld was. Toegang tot technische ruimtes is vrijwel nergens verkregen, behalve bij de technische ruimte voor de lucht/warmte voorziening.

Hier stond ook een ingeschakelde vaste computer. Dit zou bij uitstek een plek zijn waar ongezien voor langere tijd hardware, ten behoeve van spionage, gebruikt zou kunnen worden. De organisatie is naar aanleiding van de rapportage van de testen daarop geattendeerd. De mystery guests waren in staat zonder aangesproken of gestopt te worden het gemeentehuis te verlaten. Naar aanleiding van de test zijn verbeterpunten geconstateerd op de fysieke beveiliging en het risicobewustzijn van de medewerkers. Op basis van de resultaten van de inlooptest met mystery guests wordt het risico op gemiddeld ingeschat.

Samenvatting pentesten

43

De gemeente voert zelf testen op de systemen uit, de laatste was in 2021. Daarbij zijn risico’s aangetroffen, waaronder één kritiek risico, die in verbeterplannen zijn geadresseerd. Uit de pentesten, uitgevoerd in november 2023 door een ethisch hacker in opdracht van de rekenkamer, zijn ook risico’s gebleken. De ethisch hacker vond geen risico’s in het wifinetwerk. Op basis van de interne pentest wordt het risico dat de gemeente

Een beperkt aantal medewerkers is op de hoogte van het bezoek van de mystery guests, om de test zo realistisch mogelijk te laten zijn. Om escalatie te voorkomen hebben de mystery guests een vrijwaringsverklaring die uitleg geeft over de test en contactgegevens van de medewerkers die op de hoogte zijn van de test.

46

ten tijde van de test liepen als hoog ingeschat. In de Active Directory audit zijn kwetsbaarheden gebleken die te maken hebben met het niet consequent toepassen van het wachtwoordbeleid. En voorts blijkt uit het bezoek van de mystery guests het risico op gemiddeld. De resultaten van de testen zijn gedeeld met de CISO. De ethisch hacker heeft uitleg gegeven over diens bevindingen en mede op basis daarvan heeft de gemeente verbetermaatregelen getroffen.

8.3

Toegang tot gevoelige informatie De vraag of het mogelijk is om oneigenlijke toegang te krijgen tot gevoelige informatie die de gemeente Zeist in beheer heeft is deels met de bovengenoemde pentesten beantwoord. Met de testen is aangetoond dat de gemeente hierop risico’s loopt. Uit de interviews, die afgenomen zijn na afronding van de pentesten, blijkt dat de medewerkers van afdeling IV zich ervan bewust zijn dat ze het nodige te doen hebben om de systemen veilig te houden. De met de tests aangetoonde risico’s zijn intern met de ethisch hacker besproken en de te nemen maatregelen zijn geprioriteerd in een verbeterplan opgenomen.

0-tolerance

Op het gebied van informatiebeveiliging is het zaak om intern en extern op de systemen een ‘zerotolerance’-beleid te hanteren. In principe is alle verkeer van buiten verdacht, behalve als die kan aantonen te vertrouwen te zijn. De poort is meestal goed beveiligd met een firewall en virusscanners. En als een medewerker inlogt op het systeem kan deze dat alleen met gebruik van gebruikersnaam en bijbehorend wachtwoord, versterkt met een extra authenticatie (2FA of MFA).44 De ingelogde medewerker heeft ook alleen toegang tot de systemen zover als de autorisaties die zijn toegekend toelaten. Intern is er een zerotolerance beleid, zodat er drempels voor het interne verkeer tussen de verschillende segmenten van het systeem zijn opgeworpen. Een hacker die binnen is gekomen kan niet zonder de benodigde autorisaties die drempels nemen. Daarom is minimalisatie van uitgebreide autorisaties belangrijk. Intern wordt ook een systeem van Microsoft gebruikt dat afwijkend verkeer van een ingelogde laptop of computer kan detecteren. Die aansluiting wordt dan door de afdeling Informatievoorziening (IV) uit het netwerk gehaald. Soms is dat onterecht, en dan kan de medewerker even niet werken.

Monitoring

44

In de ICT-samenwerking met Nieuwegein is in eerste instantie een firewall buiten de scope van de contracten gehouden. Uiteindelijk is deze toch gezamenlijk extern aanbesteed als onderdeel van de ICT-infrastructuur. De

Multi factor authenticatie (MFA) is een authenticatie of verificatie methode waarbij twee of meer stappen succesvol doorlopen moeten zijn om ergens toegang toe te krijgen, zoals naast het gebruik van een wachtwoord het gebruik van een token of biometrisch gegeven.

47

instellingen van de firewall worden door de gemeente bepaald, de externe partij monitort. Het is niet alleen noodzaak oneigenlijke gebruik proberen tegen te gaan, het is ook nodig verdacht verkeer zo vroeg mogelijk te detecteren en maatregelen te nemen. Daarvoor zijn hulpmiddelen zoals een SIEM/SOC 45 beschikbaar. In VNG-verband is getracht een aanbesteding voor een dergelijke oplossing te organiseren. Dat is helaas mislukt en daar hebben veel gemeenten veel last van. De VNG is bezig een nieuwe aanbestedingsprocedure voor een SIEM/SOC op te starten. Ondertussen hebben de gemeenten Zeist en Nieuwegein een hardwarematige tussenoplossing geïmplementeerd. Een vraagstuk is evenwel hoe de gemeente de monitoring en de response 24/7 adequaat kan borgen. Een van de meer robuuste ingrepen bij een hackaanval is de hoofdstekker eruit te trekken. Daar is het hoofd van de afdeling IV toe gerechtigd, los van de hiërarchische lijn. Samenvatting

8.4

De pentesten geven al een beeld van de mogelijkheid tot oneigenlijke toegang tot informatie. Van buitenaf is de toegang goed beveiligd met firewalls en virusscanners en intern zijn ook drempel opgeworpen. Toegang kan verkregen worden met twee factor authenticatie (2FA). Om verdacht verkeer te monitoren en daarop in te kunnen grijpen is een hardewarematige oplossing gekozen, in afwachting van een geslaagde aanbesteding in VNG-verband van een applicatie (SIEM/SOC).

Logging Het geautomatiseerd registreren van gegevens bedoeld om bij te houden welke gebeurtenissen of handelingen op een systeem hebben plaatsgevonden heet logging. In de AVG is dit niet expliciet als verplichting opgenomen, maar het is een noodzakelijke maatregel om bewijslast te hebben bij oneigenlijke toegang tot gegevens. In Zeist zijn de belangrijkste applicaties, de ‘kroonjuwelen’, gedefinieerd en wordt het verkeer op die applicaties in logbestanden bijgehouden. Dat geldt voor de Suwinet en DigiD, waarop landelijke toezichthouders in het kader van ENSIA zwaar op controleren. Ook op de systemen met een financiële impact wordt logging bijgehouden. Dus niet op alle systemen staat logging standaard aangevinkt, maar gelet op de aanwezige capaciteit is een afweging gemaakt welke belangrijke systemen en applicaties wel worden gelogd.

Controle op logging

45

Controle van de loggingbestanden vindt beperkt plaats, omdat de benodigde capaciteit daarvoor ontbreekt. De functioneel beheerder de loggingbestanden 1 tot 2 keer per jaar of wanneer zich een afwijking voordoet. Hierboven is al gerefereerd aan een systeem dat het netwerk- en

Security Information & Event Management (SIEM) en Security Operations Center (SOC) is software die computerdreigingen en verdacht verkeer op systemen detecteert en monitort.

48

werkplekverkeer monitort op verdacht verkeer. Uit de logging komen grote bestanden die het verkeer op de systemen inzichtelijk maken. Volgens respondenten kan het controleren van de loggingbestanden, daarop acteren en vastleggen beter. Dat is een kwestie van capaciteit om de systemen wat betreft logging bij te houden. Samenvatting

Er is een afweging gemaakt op welke applicaties het verkeer gelogd wordt en op welke niet. Die afweging heeft te maken met de beschikbare capaciteit om de loggingbestanden te checken en applicaties waarin veel bijzondere persoonsgegevens worden verwerkt. Het controleren, reageren en vastleggen behoeft verbetering.

49

9 Autorisatiebeleid Onderzoeksvraag 9

Hoe is het autorisatiebeleid vorm gegeven?

Toekennen van rechten

Het autorisatiebeleid met betrekking tot toegang tot applicaties en gegevens is geregeld in het in- en uitdienstproces, waarvan HRM proceseigenaar is. Voor het toekennen van rechten bij de belangrijkste applicaties is volgens respondenten een autorisatiematrix aanwezig. Dat is bijvoorbeeld bij het financiële systeem AFAS en de Gemeentelijke Basisadministratie (GBA). De toedeling van de rechten gebeurt door de functioneel beheerder, na toekenning door het afdelings- of teamhoofd. Daarna moet de applicatiebeheerder van de afdeling Informatievoorziening (IV) de rechten daadwerkelijk aanzetten, na een melding in Topdesk.

Instroom

Bij instroom van een nieuwe medewerker wordt het proces meestal correct doorlopen, daar de nieuwe medewerker met de rechten in een nieuwe functie aan de slag moet. Soms gaat dat niet goed, volgens een van de respondenten. In een enkel geval wordt een medewerker of externe aangenomen zonder dat de afdeling IV daarvan op de hoogte is.

Door- en uitstroom

Bij doorstroom van een medewerker naar een andere functie of bij uitstroom uit de gemeentelijke organisatie moeten de toegekende autorisaties verwijderd worden. Bij doorstroom moet het nieuwe teamhoofd nieuwe autorisaties goedkeuren. En er moet een signaal naar Topdesk en afdeling IV voor het daadwerkelijk toekennen van de rechten en naar personeelszaken bijvoorbeeld om te checken of voor de nieuwe functie een (nieuwe/andere) VOG nodig is. Het kan voorkomen dat de aanwezige autorisaties na-ijlen op de daadwerkelijke situatie. In die gevallen betekent het dat er rechten zijn toegekend die medewerkers gezien hun functie/rol niet meer zouden mogen hebben.

Controle

Er hoort een periodieke controle te zijn op toegekende autorisaties. Dat gebeurt bij Suwinet en DigiD, de twee applicaties die in het kader van ENSIA door landelijke toezichthouders strikt worden gecontroleerd. Volgens respondenten gebeurt dat bij andere belangrijke applicaties vier keer per jaar, bij andere applicaties 2 of 1 keer per jaar. Bij de applicaties waar een autorisatiematrix aanwezig is moeten de daadwerkelijke autorisaties vergeleken worden met de rollen/functies van de medewerkers. Zoals begin 2023 omschreven in een interne audit op het Zaaksysteem subsidieproces zijn de aandachtspunten bij de controle: - alle medewerkers met autorisaties zijn actief in dienst van de gemeente of hebben rechten op basis van een met de leverancier vastgelegde afspraak; - de werkelijke aanwezige rechten horen bij de functie zoals vastgelegd in de autorisatiematrix.

50

- de genoemde functiescheidingen zijn niet doorbroken. - afwijkingen worden gedocumenteerd en opgevolgd door een verzoek tot wijziging van autorisaties (bijvoorbeeld door het aanmaken van een Topdesk ticket). Toch laten controles zien dat het proces van toekennen en afmelden van autorisaties niet vlekkeloos verloopt. Accountantscontrole

Zo blijkt onder andere uit de controles door de accountant (zie daarvoor ook hoofdstuk 7). Bij de interimcontrole 2022 constateerde deze dat de autorisaties niet altijd in overeenstemming zijn met het mandaat. De accountant constateert verbeterpunten op het gebied van gebruikersbeheer, onder andere het formaliseren van de procedures over toekennen, wijzigen en intrekken van gebruikersrechten. “… functioneel beheer en technisch beheer [zijn] in dit proces afhankelijk … van de teams voor het doorgeven van wijzigingen en uitdienstmeldingen en dat dit niet altijd tijdig gebeurt.” Ook constateerde de accountant een verbeterpunt met betrekking tot het aantal ‘generieke’ accounts met uitgebreide rechten. Dat is in overeenstemming met de bevindingen uit de AD audit die in opdracht van de rekenkamer is uitgevoerd (zie §8.1.2). De accountant stelde dan ook dat de uitvoering van de controles op de juistheid van de autorisaties een aandachtspunt is.

Samenvatting

Medewerkers moeten geautoriseerd worden om toegang tot informatie en applicaties te krijgen. Er is een proces vastgelegd waarbij de autorisaties worden toegekend en periodiek dienen te worden gecontroleerd. Op een beperkt aantal applicaties is een autorisatiematrix aanwezig, waarmee de toekenning op basis van rol en functie geschiedt. De verdere uitrol van een dergelijke matrix staat voor 2024 op de rit. Uit de controles, onder andere van de accountant en in het kader van het rekenkameronderzoek, blijkt dat de juistheid van autorisaties een aandachtspunt is.

51

Bijlage 1. Gebruikte termen en afkortingen 2FA Applicatie AVG (GDPR)

Zie MFA Softwareprogramma, zoals SUWInet Algemene Verordening Gegevensbescherming, Europese regelgeving die de privacyregels in de Europese lidstaten harmoniseert BIG Baseline Informatiebeveiliging Gemeenten, maatregelen voor de informatiebeveiliging bij gemeenten, in 2013 als standaard afgesproken in VNG-verband. Deze is in 2019 vervangen door de Baseline Informatiebeveiliging Overheid (BIO) BIO Baseline Informatiebeveiliging Overheid BIV Beschikbaarheid – Integriteit – Vertrouwelijkheid. Termen waarop de beveiligingsrisico's van de informatie/applicaties zijn geënt Blackbox pentest Zie Pentest CERT Computer Emergency Response Team, multidisciplinair samengesteld team dat kan acteren op incidenten en crises CIO Chief Information Officer CISO Chief Information Security Officer Cloud De cloud staat voor een netwerk van computers die een soort 'wolk van computers' vormt, waarbij de eindgebruiker niet weet op hoeveel of welke computer(s) de software draait of waar die computers precies staan Dataclassificatie Betekent inzicht krijgen in de beschikbaarheid, de integriteit en de vertrouwelijkheid van de door of namens de organisatie beheerde en verwerkte informatie (BIV) DigiD Digitale Identiteit DPIA Data protection impact assessment, analyse op risico's in verband met privacy en gegevensbescherming bij verwerkingsprocessen.

Onder de AVG verplicht bij gegevensverwerking met waarschijnlijk een hoog privacy risico. ENSIA Eenduidige Normatiek Single Information Audit, eenmalige informatieverstrekking en eenmalige IT-audit voor de horizontale (richting gemeenteraad als toezichthouder) en verticale verantwoording (richting landelijke toezichthouders) FG Functionaris gegevensbescherming, verplicht voor overheden. GAP Is de Engelse term voor ‘kloof’. Dat betekent hier het verschil tussen de bestaande situatie en de gewenste situatie GAP-analyse Controle of en in welke mate de maatregelen uit de BIO geïmplementeerd zijn GDPR General Data Protection Regulation (zie ook AVG) GR Gemeenschappelijke regeling GRC Tool om de Governance, Risk and Compliance (GRC) op informatiebeveiliging en privacy te monitoren Greybox pentest Zie Pentest IAM Zie Identity and Access management IBD Informatiebeveiligingsdienst voor gemeenten ICT Informatie- en communicatietechnologie Identity and Access management (IAM) IAM regelt dat de juiste medewerkers het juiste toegangsniveau hebben tot de netwerken en de daarin opgeslagen of verwerkte gegevens. Gebruikersrollen en toegangsrechten worden via een IAM-systeem gedefinieerd en beheerd. ISMS Information Security Management System Logging In bestanden vastleggen welk dataverkeer over een netwerk gaat. Zo wordt onder andere vastgelegd wie toegang had tot welke persoonsgegevens.

MFA Multi factor authenticatie is een authenticatie of verificatie methode waarbij twee of meer stappen succesvol doorlopen moeten zijn om ergens toegang tot te krijgen, zoals naast het gebruik van een wachtwoord het gebruik van een token of biometrisch gegeven NBA De koninklijke Nederlandse Beroepsorganisatie van Accountants NOREA De Nederlandse Organisatie van Register EDP-Auditors