Raadsvoorstel - Robuuste informatievoorziening

Raadsvoorstel Onderwerp

Raadsvoorstel Robuuste informatievoorziening

Zaakid

0637712030

Auteur

Van Dijk, Daniel 079 – 346.85.53 d.van.dijk@zoetermeer.nl

Gemeentesecretaris

Huykman, B.J.D.

Directeur

A. Quentin

Portefeuillehouder

Wethouder Iedema

Medeverantwoordelijke(n)

Wethouder Paalvast

Uiterste behandeldatum (+ reden)

12 juli 2021 Recente ontwikkelingen op het gebied van informatiebeveiligingsincidenten en de analyse hiervan vragen om een aanvullende maatregel om onze informatievoorziening robuuster te maken. Hiervoor is een verbouwing noodzakelijk. In verband met de planning en doorlooptijd van deze extra maatregel vraagt dit om snelle besluitvorming. Bij incidenten zijn de gevolgen voor de gemeentelijke dienstverlening en de financiën groot. Programma 7 Inrichting van de stad

Programma(s) Eerdere besluitvorming Samenvatting

Informatiebeveiliging heeft onze continue aandacht. Recente ontwikkelingen op het gebied van informatiebeveiligingsincidenten (Universiteit van Maastricht en gemeente Hof van Twente) en de analyse hiervan vraagt om een aanscherping in ons beleid. We achten het noodzakelijk om op korte termijn de informatievoorziening robuuster te maken. In de geheime bijlage staan de overwegingen hiervoor en het resultaat van de investering. Gezien de druk op de bouwmarkt is het belangrijk om de doorlooptijd niet verder te laten oplopen. Er is tijd gestoken in een zorgvuldig programma van eisen voor de verbouwing, in relatie tot de kosten, en we willen de aannemer(s) voor het zomerreces duidelijkheid geven over de opdracht zodat zij deze in kunnen plannen. Wij verwachten dat de verbouwde ruimte daarmee in het 4e kwartaal in gebruik kan worden genomen. De raad wordt gevraagd om een investeringskrediet van € 143.000 excl. BTW

Bijlagen

1. Begrotingswijziging 2. GEHEIM Achtergrondinformatie

Raadsbesluit 0637712030 Raadsvoorstel Robuuste informatievoorziening

De raad van de gemeente Zoetermeer; Gelezen het voorstel van burgemeester en wethouders van 15 juni 2021 besluit 1. De informatievoorziening robuuster te maken middels de in ‘bijlage 2 Achtergrondinformatie (GEHEIM)’ genoemde maatregelen; 2. Een investeringsbudget in 2021 beschikbaar te stellen voor de benodigde verbouwing van € 143.000; 3. Voor de rente en afschrijving van onderdeel 2 van dit besluit met ingang van 2022 een structureel budget beschikbaar te stellen van afgerond € 7.325 gebaseerd op een annuïtaire afschrijving met een rente van 2% en een afschrijftermijn van 25 jaar; 4. Het afschrijvingsdeel van onderdeel 3 van dit besluit (te beginnen in 2022 met in totaal € 4.465 en ieder jaar oplopend) te verantwoorden op programma Overhead; 5. Het rentedeel van onderdeel 3 (te beginnen in 2022 met in totaal € 2.860 en ieder jaar aflopend) te verantwoorden op het Overzicht Algemene Dekkingsmiddelen (OAD); 6. Voor de structurele onderhoudskosten vanaf 2022 een budget van € 8.047 beschikbaar te stellen; 7. De structurele kosten van onderdeel 3 en 6 van in totaal € 15.372 te dekken uit het begrotingssaldo; 8. De uit dit besluit voortvloeiende begrotingswijzigingen vast te stellen. Over onderdeel 8 van dit besluit geen referendum mogelijk te maken, omdat het een begrotingswijziging betreft. Dit besluit treedt in werking twee weken na de bekendmaking daarvan.

Tenzij over de overige onderdelen van dit besluit een inleidend verzoek tot het houden van een referendum wordt gedaan.

Aldus vastgesteld in de openbare vergadering van de raad op 12 juli 2021 de griffier,

de voorzitter,

drs. R. Blokland MCM

drs. M.J. Bezuijen

2

Toelichting Probleemstelling en kader Inleiding Recente ontwikkelingen op het gebied van informatiebeveiligingsincidenten en de analyse hiervan vragen om een aanvullende maatregel om onze informatievoorziening robuuster te maken. Ontwikkelingen We zien een toenemend aantal ransomware hackincidenten in de wereld, ook in Nederland en ook in de publieke sector. Dit heeft geleid tot meer (landelijke) aandacht voor informatiebeveiliging. Vooral de ernstige incidenten bij de Universiteit van Maastricht en gemeente Hof van Twente hebben geleid tot lessen die ook binnen Zoetermeer de aandacht (nog) verder hebben aangescherpt. Met de beantwoording van de schriftelijke vragen naar aanleiding van Hof van Twente is de raad tot op zekere hoogte geïnformeerd over de borging van dit onderwerp binnen Zoetermeer. Uit veiligheidsoverwegingen kon niet alle informatie worden gedeeld, maar helder is dat we blijvend dienen te investeren in het verbeteren van de maatregelen op het gebied van informatiebeveiliging en herstelmogelijkheden. Zoals in de beantwoording aangegeven zijn de lessen die geleerd zijn bij Hof van Twente en eerder ook Universiteit van Maastricht, binnen Zoetermeer geëvalueerd. In beide gevallen was de back-up tijdens de aanval onbruikbaar gemaakt, waardoor er niet kon worden teruggegrepen op het allerlaatste redmiddel (de back-up).

Wij willen die specifieke externe ontwikkeling noemen, omdat deze meespeelt in onze overweging voor de aanvullende maatregel. Een techniek die nog niet zo lang wordt gebruikt door cybercriminelen is het fenomeen ‘human-operated ransomware aanvallen’. In plaats van een geautomatiseerd ransomware proces waarbij de aanvaller afhankelijk is van de compatibiliteit van de aanval op de omgeving, draait een aanvaller daadwerkelijk aan de knoppen om een effectievere aanval op te kunnen zetten. De aanval is hiermee toegespitst op de omgeving van het slachtoffer wat de kans op een geslaagde aanval groter maakt. Eén van de acties van de aanvaller is het uitschakelen van de back-up voorziening, omdat de aanvaller weet dat hiermee de acties van de aanvaller ongedaan kunnen worden gemaakt. Situatie Zoetermeer Voor de diensten en werkzaamheden van de gemeente Zoetermeer zijn de informatiesystemen cruciaal. Het kan voorkomen dat door een (menselijke of software) fout data corrupt raakt of zelfs verloren gaat. Dat is een belangrijke reden waarom dagelijks een back-up wordt gemaakt van de data en een betrouwbare back-up van de informatiesystemen en hun onderliggende platformen. Het risico van een opzettelijke verstoring van de systemen door kwaadwillenden is erbij gekomen en dit risico is groter geworden zoals dagelijks in de krant is te lezen.

De back-up wordt gezien als de laatste verdedigingslinie In de geheime bijlage vindt u de overwegingen om een aanscherping te doen in ons beleid en het resultaat van de gevraagde investering. Wet- en regelgeving De Baseline Informatiebeveiliging Overheid geeft overheden, waaronder gemeenten, richting en eisen mee op het brede terrein van informatiebeveiliging, waaraan we als gemeente moeten voldoen. Wij voldoen na de investering niet nagenoeg, maar volledig aan de betreffende voorschriften (zie geheime bijlage) in de Baseline Informatiebeveiliging Overheid https://www.informatiebeveiligingsdienst.nl/project/baseline-informatiebeveiliging-overheid/.

3

Urgentie samengevat De urgentie is puntsgewijs als volgt samen te vatten: Externe ontwikkelingen maken de kans op een ransomware aanval groter dan voorheen. De lessen uit de incidenten bij Universiteit van Maastricht en Hof van Twente leren dat een extra robuuste informatievoorziening veel ellende rondom het continueren van de dienstverlening kan voorkomen. De kosten van het weer opbouwen van de dienstverlening zijn hoog en de opbouwtijd lang. Bij Hof van Twente is men nog niet terug in de situatie van vóór de aanval van 1 december 2020. Gezien de druk op de bouwmarkt is het belangrijk om de doorlooptijd niet verder te laten oplopen. Er is tijd gestoken in een zorgvuldig programma van eisen voor de investering, in relatie tot de kosten, en we willen de aannemer(s) voor het zomerreces duidelijkheid geven over de opdracht zodat zij deze in kunnen plannen. Wij verwachten dat de investering daarmee in het 4e kwartaal in gebruik kan worden genomen. Wij realiseren ons dat de normale route is om investeringsvoorstellen in te brengen bij de perspectiefnota of de begroting. Bij het opstellen van de perspectiefnota waren de kosten van de aanvullende maatregel nog niet duidelijk. Wachten op de begroting zou een half jaar vertraging opleveren. De kans van voordoen van een groot fysiek of digitaal incident is aanwezig maar ook niet meteen heel groot.

De impact van een calamiteit waarbij onze data verloren gaat, is echter wel buitengewoon groot. Beoogd effect Aanvullende maatregel realiseren die nodig is om de informatievoorziening (nog) robuuster te maken en waarmee de impact op de gemeentelijke dienstverlening en de financiën bij het voordoen van een calamiteit beperkt blijft. Voorstel/keuzemogelijkheden/risico’s Voorgesteld wordt 1. De informatievoorziening robuuster te maken middels de in ‘bijlage 2 Achtergrondinformatie (GEHEIM)’ genoemde maatregelen; 2. Een investeringsbudget in 2021 beschikbaar te stellen voor de benodigde verbouwing van € 143.000; 3. Voor de rente en afschrijving van onderdeel 2 van dit besluit met ingang van 2022 een structureel budget beschikbaar te stellen van afgerond € 7.325 gebaseerd op een annuïtaire afschrijving met een rente van 2% en een afschrijftermijn van 25 jaar; 4. Het afschrijvingsdeel van onderdeel 3 van dit besluit (te beginnen in 2022 met in totaal € 4.465 en ieder jaar oplopend) te verantwoorden op programma Overhead; 5. Het rentedeel van onderdeel 3 (te beginnen in 2022 met in totaal € 2.860 en ieder jaar aflopend) te verantwoorden op het Overzicht Algemene Dekkingsmiddelen (OAD); 6. Voor de structurele onderhoudskosten vanaf 2022 een budget van € 8.047 beschikbaar te stellen; 7.

De structurele kosten van onderdeel 3 en 6 van in totaal € 15.372 te dekken uit het begrotingssaldo; 8. De uit dit besluit voortvloeiende begrotingswijzigingen vast te stellen. Argumenten 1.1 Robuustere informatievoorziening Informatiebeveiligingsmaatregelen zijn cruciaal om onze gemeentelijke dienstverlening zoveel mogelijk te kunnen waarborgen. Deze investering maakt de informatievoorziening robuuster. 1.2 Andere opties zijn duurder

4

Een externe optie is duurder en de kosten en de impact op de dienstverlening naar onze inwoners, bij voordoen van een calamiteit, zijn vele malen hoger. 2.1 Investeren en activeren moet volgens de regelgeving (Besluit Begroting en Verantwoording (BBV)) In de notitie ‘materiele vaste activa’ (onderdeel van het BBV) staat: “Bij een bestaand actief is sprake van een investering, indien de uitgaven: · leiden tot een significante kwaliteitsverbetering; en/of · leiden tot een levensduurverlenging; en/of · aanpassingen betreffen om te voldoen aan wet- en regelgeving (bijv. investeringen in een gebouw om te voldoen aan veiligheidsvoorschriften die invloed hebben op de waarde en de levensduur).” De verbouwing valt onder het eerste en derde punt en moet daarom gezien worden als een investering. 3/4/5.1 Dit is een technische uitwerking van besluit 2 6.1 De investeringen vragen ook jaarlijks onderhoud 7.1 Dit is een vereiste om besluit 3 en 6 te kunnen financieren 8.1 Dit is een vereiste om besluit 3 tot en met 7 te kunnen verwerken in de begroting Kanttekeningen Geen kanttekeningen. Financiën De kosten van de verbouwing bedragen € 143.000 exclusief BTW.

In de notitie ‘materiele vaste activa’ staat: Bij een bestaand actief is sprake van een investering indien de uitgaven: · leiden tot een significante kwaliteitsverbetering; en/of · leiden tot een levensduurverlenging; en/of · aanpassingen betreffen om te voldoen aan wet- en regelgeving (bijv. investeringen in een gebouw om te voldoen aan veiligheidsvoorschriften die invloed hebben op de waarde en de levensduur). De verbouwing valt onder het eerste en derde punt en moet daarom gezien worden als investering. Het gevraagde investeringskrediet bedraagt € 143.000 exclusief BTW. De uitsplitsing is als volgt: Bouwkundig Installaties Werkzaamheden tijdelijke voorzieningen Verhuizing Onvoorzien Projectleiding/ advies/ toezicht

€ 22.000 € 66.000 € 19.000 € 5.000 € 11.000 € 20.000

Totaal

€ 143.000 excl. BTW

5

Gebaseerd op een afschrijvingstermijn van 25 jaar en een rente van 2% bedragen de jaarlijkse kapitaallasten € 7.325. Daarnaast zijn er structurele onderhoudskosten van € 8.047. In totaal bedragen de structurele kosten € 15.327. Participatie en Communicatie Niet van toepassing. Duurzaamheid Daar waar mogelijk wordt gebruik gemaakt van hergebruik van apparatuur en materiaal. Toegankelijkheid en bruikbaarheid voor gehandicapten Niet van toepassing. Rapportage en evaluatie Niet van toepassing. Planning Bij toekenning van budget kan er met de aannemer een contract worden gesloten. Rekening houdende met bestellen van materiaal tot aan de realisatie, wordt een termijn afgegeven van 3 tot 6 maanden. Hierdoor kan, indien voor de zomer 2021 het budget beschikbaar wordt gesteld, in het 4e kwartaal de verbouwing worden afgerond en worden opgeleverd.

6