Rapport RK Zwolle 'Zwolle dataveilig'

Wet politiegegevens (WPG)

Gemeente Zwolle is werkgever van buitengewone opsporingsambtenaren (boa’s) die in het kader van hun opsporingstaak persoonsgegevens verwerken. Sinds 2019 moeten gemeenten in het kader van de Wet politiegegevens (WPG) periodiek audits laten uitvoeren op deze verwerking en daarover rapporteren aan de Autoriteit Persoonsgegevens (AP). Op basis daarvan constateerde de FG over 2023 significante vooruitgang.

Tactisch niveau Informatiebeveiliging

Op gebied van informatiebeveiliging is de laatste jaren, mede in overleg met SSC ONS, een inhaalslag gepleegd om de beleidsstukken, protocollen en richtlijnen op tactisch niveau op orde te brengen. Dat zijn onder andere beheersmaatregelen in het kader van wachtwoordenbeleid, authenticatie,

10

incidentafhandeling enzovoort. In totaal kent de BIO2 203 van dergelijke maatregelen, geclusterd in thema’s. In 2021 bleek de BIO-compliance, met 19%, onder de maat. De accountant adviseerde in 2023 een inhaalslag op BIO-maatregelen, en voorzag de noodzaak van een meerjarenplan daartoe. Om BIO-compliant te worden is de afgelopen jaren samen met SSC ONS en de partners onder andere het project Verhoging Digitale Weerbaarheid (VDW) opgezet. Het programma VDW bestond uit 35 hoofdzakelijk technische beheersmaatregelen en activiteiten, zoals Monitoring and Response applicaties (SIEM/SOC), Identity and Access Management (IAM, zie hierna), kwetsbaarheidsmetingen en management, uitwijk- en hersteltesten, veilig mailen en veilig grote bestanden uitwisselen, oefenen met cybercrime scenario’s enzovoort. Medio 2024 is bij SSC ONS en de partners een scan uitgevoerd om inzichtelijk te krijgen in hoeverre zij op tactisch niveau voldoen aan de BIO2. Geen enkele partner, ook SSC ONS niet, bleek volledig te voldoen. Uit de NIS2 scan blijkt dat Zwolle nog stappen heeft te zetten op: governance (beleidsafspraken), beleid, beveiliging toeleveringsketen, cyberhygiëne en opleiding, cryptografie en encryptie en rapportageverplichtingen. Volledig dekkend conform de eisen van de BIO2 is het geheel aan protocollen en richtlijnen in 2025 nog niet.

De verwachting, volgens enkele geïnterviewden, is dat het nog 1-2 jaar duurt voordat de gemeente Zwolle voor 90% BIOcompliant is. Operationeel niveau

Op operationeel niveau gaat het om werkprocessen waarin informatiebeveiligingsaspecten zijn verwerkt. De risico’s op informatieveiligheid zijn in kaart gebracht in het kader van het jaarplan van de Internal audit, CISO en FG. Deze functionarissen vormen de zogenoemde derde lijn die onafhankelijk toezicht houdt en adviseert over de naleving van de gestelde doelen. Zo zijn in het jaarplan 2024 significante risico's gesignaleerd op een viertal processen. Daarnaast zijn er 17 processen met een verhoogd risico. Vanuit de tweede lijn worden op basis van deze risicoanalyses de activiteiten opgepakt om de proceseigenaren lijn te ondersteunen bij het compliant maken van de operationele processen. Daar is volgens respondenten nog veel werk in te verzetten, samen met de proceseigenaren in de lijn. De rapportage van de FG ziet toe op opzet, bestaan én werking van het privacybeleid. Medio 2024 constateert de FG over 2023 dat de AVGprocessen nog onvoldoende worden nageleefd als het gaat over beheersing van risico’s van gegevensverwerking in de keten waar de gemeente mee samenwerkt. Op gebied van beleid, processen, organisatorische inbedding, rechten van betrokkenen, onderdelen van gegevensbescherming en verantwoording is volgens de rapportage van de FG nog vooruitgang te boeken. Dat betekent dat de werking van het privacybeleid nog niet optimaal is en de gemeente risico’s loopt.

Werking van het beleid

De gemeente bevindt zich momenteel in een transitiefase wat betreft informatiebeveiliging en privacy. Hoewel er een basis aan beleid en systemen aanwezig is, kan geconstateerd worden dat er nog aanzienlijke verbeteringen nodig zijn om te voldoen aan wettelijke verplichtingen en best practices. De ervaring bij andere gemeenten is dat het niet alleen afhangt van opzet en bestaan van beleid, maar ook de werking ervan.

11

Hieronder gaan we in op enkele beleidsonderdelen op tactisch en operationeel niveau die aandacht behoeven. Dat zijn achtereenvolgens het Identity and Access Management (IAM) dat de toegang van medewerkers tot systemen en gegevens regelt, het leveranciersmanagement dat de risico’s op informatieveiligheid in de ketens waarmee de gemeente samenwerkt regelt en het informatiemanagement systeem op informatiebeveiliging (ISMS). Identity and Access Management (IAM)

Een kritiek proces is het instroom, doorstroom- en uitstroomproces (IDU) voor medewerkers. Het gaat daarbij om het toekennen en ontnemen van rechten van medewerkers wanneer zij de organisatie binnenkomen, doorstromen naar een andere functie of de organisatie verlaten. Dat kan geregeld worden in een zogenoemd Identity Access Management (IAM), waarmee SSC ONS bezig ie te implementeren. De gemeente haakt daarop aan met het IDU-proces en heeft een stuurgroep IDU opgezet. De rapportage lag begin 2025 bij de afdeling HR. Relatief voordeel is dat er een nieuw financieel systeem geïmplementeerd wordt, zodat de systemen sowieso opnieuw ingericht moesten worden. Via IAM worden toegangsrechten (autorisaties) tot systemen en informatie binnen die systemen niet meer aan personen toegekend, maar aan specifieke rollen die medewerkers in een bepaalde functie vervullen. Bij instroom van medewerkers gaat het toekennen van autorisaties meestal goed, want de (nieuwe) medewerker moet aan de slag kunnen en heeft systemen, programma’s en gegevens nodig. Bij doorstroom blijven autorisaties soms nog een tijd doorlopen, terwijl de medewerker de rechten niet meer zou mogen hebben. Daarover zijn afspraken om de autorisaties periodiek door de leidinggevende te laten controleren.

De frequentie waarop dat gebeurt verschilt per afdeling, van 2 tot 4 keer per jaar, zo blijkt uit de interviews en de casebeschrijvingen. Het IAM is nog niet volledig geïmplementeerd. Uit de interviews blijkt dat de verwachting is dat dat nog 2 jaar kan duren.

Leveranciersmanagement

De gemeente wil werken met betrouwbare partners. Nieuwe contracten die afgesloten worden voldoen aan de standaarden op het gebied van informatieveiligheid en privacy. Zo is er een kwaliteitsboard ingericht die wijzigingen en nieuwe aankopen toetst en adviseert. Sommige langlopende contracten, die niet recent zijn herzien, kunnen risicovol zijn. Controle op de afspraken rond gegevensverwerking en informatiebeveiliging zijn cruciaal bij leveranciers en samenwerkingspartners. Dat kan geregeld worden via verwerkingsovereenkomsten of zogenoemde Third Party Memoranda (TPM). SSC ONS bedient op een aantal bedrijfsvoeringdomeinen (inkoop- en contractmanagement, IT en HR) als gemeenschappelijke regeling de provincie Overijssel en de gemeenten Zwolle, Kampen, Dalfsen, Westerveld, Zwartewaterland en Ommen. Op twee punten van deze ketensamenwerking raakt leveranciersmanagement de relatie van de gemeente met het SSC. Een betreft de inkoop van de gemeente van diensten van het SSC en de andere is de inkoop van software en diensten door het SSC. Op dit laatste is het volgens respondenten lastig voor de gemeente om een goed overzicht te krijgen. Vooral vanwege de versnippering van taken, deels in eigen huis en deels uitbesteed aan SSC ONS.

12

Wat betreft de inkoop van IT-diensten bij SSC ligt het functioneel applicatiebeheer bij de partners en wordt het technisch beheer bij SSC ONS ingekocht. De dienstverlening is beschreven in een product- en dienstcatalogus en Service Level Agreement (SLA). Specifiek op HR is een ISAE3402 verklaring aanwezig. Onder de dienstverleningsovereenkomst (DVO) met afspraken met het SSC ONS ligt geen TPM of gelijkwaardig document. Terwijl SSC ONS, naast samenwerkingspartner een van de meest cruciale leveranciers is. De accountant merkte eind 2023 op: "Er vindt momenteel nog geen verantwoording plaats over de kwaliteit en effectiviteit van de IT-beheersmaatregelen die door SSC ONS uitgevoerd worden. Hierdoor is niet vast te stellen waar de gemeente momenteel risico's loopt op cybercriminaliteit."8 Information Security Management System (ISMS)

Onder andere door de FG, CISO en accountant wordt geconstateerd dat het concreet vastleggen en verantwoording van activiteiten op informatiebeveiliging en privacy nog kan verbeteren. Tegelijk wordt geconstateerd dat er in de praktijk meer gebeurt dan waarover verantwoording wordt afgelegd. Er is tooling aanwezig om de lijn, die integraal verantwoordelijk is voor deze processen, daarin te ondersteunen. Dat is het zogenoemde Information Security Management System (ISMS). Dat wordt momenteel voornamelijk standalone gebruikt voor ENSIA (Eenduidige Normatiek Single Information Audit). Er wordt nog weinig input gegeven via het ISMS om te kunnen verantwoorden. Een cruciale tekortkoming daardoor is het ontbreken van een volledige Plan-Do-CheckAct beleidscyclus (PDCA-cyclus). Het streven is om dit risicogestuurd te maken en te integreren in een breder kwaliteitsmanagementsysteem. Dit duidt op een nog onvoldoende gestructureerde aanpak van informatiebeveiliging en gegevensbescherming.

NIS2

Ter voorbereiding op NIS2 en de nationale cybersecuritywetgeving waarin NIS2 geïmplementeerd wordt heeft de CISO in 2024 een uitvoeringsplan geschreven. Daarin worden verbindingen gelegd van integraal risicomanagement naar het kwaliteitsmanagementsysteem en de implementatie van de BIO2 en de NIS2-richtlijn. Daaronder ligt risicomanagement en de bedoeling is dat meer integraal op te pakken, breder dan alleen informatieveiligheid. Daarnaast zijn er nog processen die ingericht moeten worden, zoals de nieuwe zorgplicht 9 en de meldplicht.

8

9

De accountant adviseert dan ook in de managementletter van 2023 aan: “Wij adviseren het college om een evaluatie uit te voeren op de kwaliteit van dienstverlening en kwaliteit van interne beheersing van de diensten die door de serviceorganisatie worden uitgevoerd. Vervolgens adviseren wij uw college een plan van aanpak op te stellen om de huidige uitbestede taken en de interne beheersing op een voldoende niveau te brengen.” De 10 zorgplichtmaatregelen: 1. Een risicoanalyse en beveiliging van informatiesystemen; 2. Beveiligingsaspecten op het gebied van personeel, toegangsbeleid en beheer van assets; 3. Maatregelen op het gebied van bedrijfscontinuïteit, zoals back-upbeheer en noodvoorzieningenplannen; 4. Incidentenbehandeling; 5. Basis cyberhygiëne en trainingen op het gebied van cyberbeveiliging; 6. Beveiliging bij het verwerven, ontwikkelen en onderhouden van netwerk- en informatiesystemen, inclusief de respons op en bekendmaking van kwetsbaarheden; 7. Beveiliging van de toeleveranciersketen; 8. Beleid en procedures over het gebruik van cryptografie en encryptie; 9. Het gebruik van multifactorauthenticatie, beveiligde spraak-, video- en tekstcommunicatie en beveiligde noodcommunicatiesystemen; 10. Beleid en procedures om de effectiviteit van beheersmaatregelen van cyberbeveiligingsrisico’s te beoordelen.

13

3.3 Functies De organisatie gaat in het strategisch beleid uit van de zogenoemde ‘3 lines of defence’. Schematisch ziet zo’n model er als volgt uit: Schema 4.1 Three lines of defence.

In de (eerste) lijn zijn de medewerkers en management als de proceseigenaren verantwoordelijk voor de uitvoering van het informatiebeveiligings- en privacybeleid. In de tweede lijn is de ondersteuning van de eerste lijn voor deze processen. Voor privacy en informatiebeveiliging zijn dat de ‘privacy en information security officers’. In de derde lijn is de onafhankelijke advies en controle gepositioneerd, gevormd door de Chief Information Security Officer (CISO) en de Functionaris Gegevensbescherming (FG). FG en CISO

De FG is fulltime aangesteld onder HR-verantwoordelijkheid van Juridische Zaken. Hij is verantwoordelijk voor het toezicht op de naleving van de regelingen en beleid ten aanzien van de bescherming van persoonsgegevens. Aangewezen voor de medewerkers, college, burgemeester en afzonderlijk voor de gemeenteraad. De CISO is voor 50% van de tijd CISO en de andere 50% heeft hij strategische digitale veiligheid in de portefeuille. Hij valt onder de afdeling Informatievoorziening (IV) met een algemene functieomschrijving, breder dan de CISO-functie sec. In principe moeten beide functies, gelet op de strategische rol die zij hebben, een directe lijn met de directie en bestuurlijk verantwoordelijke hebben. De reden dat de CISO in de lijn aanwezig is, is omdat een functie HR-technisch onder een afdeling moeten vallen. De CISO zou vanuit zijn functie een directe lijn met de directie en bestuur moeten hebben. CISO en FG geven aan die link sporadisch en niet structureel in te vullen.

ISO’s

Voor de doorvertaling van strategisch beleid naar tactisch en operationeel beleid zijn Information Security Officers aangesteld. Begin 2025 zijn drie ISO’s op een gecombineerd taakveld van informatiebeveiliging en privacy actief. Vandaar dat ze Privacy and Information Security Officers worden genoemd. De bedoeling is nog in 2025 een vierde zogenoemde PISO te werven. Het zijn gecombineerde functies, maar elk heeft een preferente taak op informatiebeveiliging of privacy. Zij vallen onder de afdeling IV, waar sinds de reorganisatie een aparte sectie voor informatiebeheer en kwaliteit in opgezet. De achterstand in BIOcompliance, zie hiervoor, lijkt vooral het resultaat van een tekort aan bemensing om activiteiten op te pakken en de lijn te ondersteunen. Met binnenkort 4 ISO’s gecombineerd op informatiebeveiliging en privacy laat de gemeente zien de ambitie te hebben de achterstand snel in te willen lopen.

Internal Audit (IA)

Team Internal Audit is onder andere toetst de interne beheersing van risicovolle processen. De interne audit trekt samen met de CISO en FG als controleur en adviseur uit de derde lijn op. Zij faciliteren bij de taken die voortkomen uit de IT audit van de accountant. Dat kan op aspecten van 14

informatiebeveiliging en privacy met betrekking tot leveranciersmanagement of sociaal domein zijn, als ook voor de interne beheersing van het financiële proces. Respondenten signaleren dat het risicomanagement nog hoofdzakelijk financieel van aard is en dat er nog winst op een brede en integrale aanpak te behalen is, met een verwijzing naar informatiebeveiliging en privacy. Gezamenlijk jaarplan

Medio 2022 is gestart met het versterken van de samenwerking tussen de derdelijnsfuncties, namelijk Internal audit (IA), CISO en FG. In 2023 heeft dit geleid tot het eerste gezamenlijk jaarplan 3e lijn.

Crisisorganisatie

Er is ook sprake van een crisisorganisatie. Vanuit de driehoek wordt indien nodig de veiligheidsproblematiek opgeschaald. Door respondenten wordt aangegeven dat dit proces op veiligheid in het algemeen goed is geborgd. Zij geven tegelijk aan dat de onderwerpen informatieveiligheid en cybersecurity in die crisisstructuur nog beter meegenomen zouden kunnen worden. In de planning staat nog een opdracht om vanuit Zwolle een strategisch crisisplan op te stellen, met bedrijfscontinuïteit als onderwerp. Vanuit SSC ONS is zo’n crisisplan in 2024 opgesteld.

3.4 Overleggen en rapportages Informatiebeveiliging en privacy komen in een aantal interne en externe overleggen ter sprake. Intern overleg

Er is een werkgroep Informatiebeveiliging die tot doel heeft de gemeentebrede afstemming van activiteiten en beleid ten aanzien van informatiebeveiliging. Minimaal vier keer per jaar komt deze onder voorzitterschap van de CISO bijeen. Deelname door contactpersonen op informatiebeveiliging vanuit de afdelingen/teams Burgerzaken, Informatievoorziening, HR, IA, Inkoop, Privacy, Services, Suwinet en Website. De functionarissen in de derde lijn (FG, CISO en IA) hebben elke 6-8 weken overleg, deels operationeel deels over planning en rapportages. CISO en FG komen ad hoc, maar met enige regelmaat, langs bij de portefeuillehouder of het gehele college om verslagen te bespreken of naar aanleiding van incidenten. CISO en PISO’s hebben een gezamenlijke dagstart. Er is intern overleg van de afdeling Informatievoorziening (IV) en er is een vast vierwekelijks overleg tussen FG, CISO en PISO’s (privacy en informatiebeveiliging). Doel van dat laatste overleg is bespreken van de voortgang en afstemming op privacy en informatiebeveiliging en voorbereiden beleids- en rapportagestukken. Het hoofd van de afdeling Informatievoorziening (IV) heeft met de portefeuillehouder een strategisch overleg (SO). Daarin komen alle disciplines van Informatievoorziening langs, zoals informatiebeveiliging.

Het zogenoemde Kwaliteitsboard is aanwezig dat wordt gevormd door vertegenwoordigers van de verschillende aspecten van informatievoorziening: security, privacy, informatiemanagement, recordmanagement, service delivery, datakwaliteit, ethiek en architectuur. Het Kwaliteitsboard stemt de verschillende aspecten van informatievoorziening, strategische en tactische activiteiten op elkaar af en

15

toetst de verschillende plannen van de organisatie en haar (keten)partners/verbonden partijen op beleid, principes en wetgeving. Informatiebeveiliging en privacy komen regelmatig ter sprake in managementbijeenkomsten, met de teamleiders, afdelingshoofden en directeuren. IA, FG en CISO bespreken de procesbevindingen uit de audits met de proceseigenaren in de lijn. Extern overleg

Bij SSC ONS komt informatiebeveiliging langs bij het bestuurlijk overleg, waar de portefeuillehouder bij aanwezig is. Er is bij ONS ook een partneroverleg security met de CISO’s van de deelnemende partners. Daarnaast is er een tactisch overleg informatiebeveiliging en privacy, onder andere over afstemming van het tactisch beleid, zoals logbeleid of dataklassificatiebeleid. Specifiek op bedrijfsvoering is er bij SSC ONS een Bedrijfsvoeringsberaad (BVB) waarin ook informatieveiligheid als onderwerp wordt geagendeerd. In het BVB is onder andere de NIS2 scan van 2024 geagendeerd om een inzicht te krijgen in de weerbaarheidsstatus van de partners in het SSC (zie §4.2). Extern neemt de CISO deel aan verschillende overleggen met CISO, in de Kring IJsselland en de VNG. En hij neemt deel aan het Expertteam Cyber Overijssel, cyberexperts van Centrum voor Criminaliteitspreventie en Veiligheid (CCV) en Politie over cybercrime. De FG heeft geen structureel overleg met SSC ONS, maar doet wel soms samen met SSC ONS een onderzoek op specifieke onderwerpen, zoals gegevensverwerking door applicaties. En de FG heeft een ad hoc overleg met Deventer en andere gemeenten en de provincie. Daarnaast heeft de FG periodiek sessies met de Informatie Beveiligingsdienst (IBD) en Vereniging Nederlandse Gemeenten (VNG).

Zoals sessies in het kader van intervisie of over specifieke thema’s, bijvoorbeeld de ontwikkeling van AVG-producten of kaders op privacy voor datawarehouse.

Crisisoverleg SSC

De CISO van Zwolle was de voorzitter van het partneroverleg security van SSC in het kader van het continuïteitsplan ICT. Vanuit die functie vervult hij de rol van verbindingspersoon in de richting van de strategische teams. Hij praat ze bij over de actuele stand van zaken met betrekking tot de oorzaak van een storing of de uitval van systemen en de mogelijke impact van de uitval op de gemeentelijke dienstverlening. Lastig, maar niet onoverkomelijk, is het dat de partners van SSC onder drie verschillende veiligheidsregio’s vallen, nl. IJsselland, Drenthe en Twente. In 2023 heeft SSC ONS een crisisplan op ICT vastgesteld.

Rapportages

De FG en de CISO rapporteren halfjaarlijks aan de directie over de bevindingen op het gebied van informatiebeveiliging en privacy. Eenmaal per jaar rapporteren zij naar directie, college en de raad over de bevindingen. Daarnaast krijgt de raad de door het college vastgestelde ENSIA-rapportage. Deze gaat voornamelijk over de interne en externe audits die verplicht zijn in het kader van ENSIA. Zoals de interne audits op verschillende registraties, de Basisregistratie Personen (BRP), Reisdocumenten, Basisregistratie Adressen en Gebouwen (BAG), Basisregistratie Grootschalige Topografie (BGT) en Basisregistratie Ondergrond (BRO). En de externe audits op SUWInet en DigiD. Deze ENSIArapportage wordt, samen met de managementreactie in de directie en college geagendeerd, vergezeld van een oordeel over de mate van ‘in

16

control’ zijn. ENSIA is bedoeld voor de verticale verantwoording richting landelijke toezichthouders en voor de horizontale verantwoording richting de gemeenteraad. ENSIA 2023 10

In 2024 is in het kader van ENSIA met de verantwoordingsinformatie over 2023 gemeld dat op enkele onderdelen van de BAG en BRO de score niet 100% is op datakwaliteit of proces/organisatie. Daarvoor zijn verbetermaatregelen voorgesteld en genomen, overigens niet met grote wijzigingen. Door de auditor is wel opgemerkt dat het vastleggen van de verbeteractiviteiten een aandachtspunt is. En dat betrokkenen, de proceseigenaren in de lijnorganisatie, continu hierop gewezen moeten worden.

Accountant

Tot slot rapporteert de accountant over een uitgevoerde IT audit, ondersteund door het team IA van de gemeente. In de managementletters worden bevindingen gedaan met betrekking tot cybersecurity in het kader van de interne beheersings-omgeving.11 Veelal ligt de focus van de accountant op de financiële beheersingsmaatregelen, maar meer en meer nemen zij ook een breder perspectief op informatiebeveiliging en privacy mee in de bevindingen en adviezen. Zo constateert de accountant eind 2023 dat rechtenbeheer, gebruikersbeheer en toegangsvereisten verbetering behoeven. Wat dezelfde aandachtspunten uit 2022 waren. De aanbeveling luidde om meer op actie in te zetten en minder op beleid. Dit is een bevinding en advies die in lijn is met bevindingen en adviezen uit andere audits. De intentie is in de toekomst de gehele IT audit intern uit te voeren. Vanaf maart 2025 is een IT auditor in dienst van de gemeente Zwolle getreden. IA is bezig met de ontwikkeling van een geïntegreerde auditaanpak met aandacht voor IT, informatiebeveiliging en privacy bij de procesaudits die zij gaan uitvoeren.

3.5 Middelen 10%-norm, IBD

De respondenten vinden over het algemeen dat bestuur en directie van de gemeente doordrongen is van de noodzaak voldoende te investeren in informatieveiligheid. De Informatie Beveiligingsdienst (IBD) van de VNG hanteert de maatstaf van investering in informatieveiligheid van ca. 10% van de kosten van de organisatie voor ICT. Bij de 10% horen de kosten van personeel en middelen voor onder andere pentesten en (bewustzijns-) campagnes. Het is lastig om te bepalen of er voldoende middelen en capaciteit zijn op gegevensbescherming bij de gemeente Zwolle. Enerzijds omdat de middelen verspreid over verschillende posten in de begroting aanwezig zijn. N Anderzijds is het lastig om de risico-bereidheid (‘risk-appetite’) goed in te schatten en wat daarvoor wat betreft capaciteit nodig is om daarop te handelen. Dat wil zeggen, de risico’s zijn niet compleet inzichtelijk, onder andere vanwege ontbreken van een sluitende beheersingssystematiek zoals

10 11

Op moment van deze rapportage was de ENSIA-rapportage over 2024 nog niet gereed. Uit de ambtelijke reactie blijkt dat de accountant vanaf dit jaar geen afzonderlijke managementletter uitbrengt, maar een boardletter. Het verschil is dat een managementletter vooral operationeel gericht is, terwijl de boardletter meer strategisch van aard is.

17

een ISMS, geen compleet verwerkingsregister en geen volledig dekkend beeld uit de dpia’s. Op de risico’s die gekend worden en besloten wordt deze weg te nemen kan capaciteit berekend worden. De risico’s die niet gekend worden, worden impliciet geaccepteerd. Daarop kan ook geen capaciteit worden berekend. Bij navraag bij SSC ONS geven de respondenten aan dat deze waarschijnlijk wel aan de norm voldoet. Heel hard is het bewijs dat de rekenkamer kreeg evenwel niet.

18

Casus Wmo Korte casusbeschrijving: Informatiebeveiliging en privacy bij WMO-aanvragen 12 In de gemeente worden WMO-aanvragen (Wet Maatschappelijke Ondersteuning) behandeld door vijf Sociale Wijkteams (SWT) die fungeren als schakel tussen inwoners en de gemeentelijke organisatie. Inwoners kunnen contact opnemen via inloopspreekuren, Klantcontactcentrum (KCC), website of worden doorverwezen door andere partijen zoals huisartsen. Bij het eerste contact worden persoonsgegevens geregistreerd in het systeem, waaronder contactgegevens, BSN, geboortedatum, gezinssituatie en een probleemomschrijving. Inwoners worden geïnformeerd over deze gegevensverwerking en het feit dat er een dossier wordt aangemaakt. Voor de opslag en bescherming van gegevens gebruikt het SWT een SaaS-oplossing van Topicus met verschillende componenten voor dossiervorming, casemanagement en financiële afhandeling. De toegang tot deze gegevens is gereguleerd via een autorisatiestructuur: medewerkers hebben alleen toegang tot dossiers binnen hun eigen wijkteam, moeten voor toegang tot een specifiek dossier een reden opgeven, en de dossierhouder krijgt een melding wanneer iemand anders het dossier raadpleegt. Alle acties in het systeem worden gelogd, waarbij wordt vastgelegd wie welk dossier heeft bekeken, welke wijzigingen zijn aangebracht en wanneer de raadpleging heeft plaatsgevonden.

Het management controleert steekproefsgewijs welke

dossiers door medewerkers zijn geraadpleegd, die daarvoor geen reden hebben hoeven aangeven. Gegevens worden intern besproken waarbij medewerkers dossiers toegewezen krijgen, intervisies met collega's en overleg met gedragswetenschappers hebben. Voor gevoelige casussen, zoals aanvragen van bekende inwoners, collega's of familieleden van medewerkers, geldt een speciaal protocol. Deze casussen kunnen worden doorverwezen naar een ander wijkteam of zelfs naar een andere gemeente om privacy en objectiviteit te waarborgen. Bij het delen van gegevens met externe partijen worden de volgende principes gevolgd: doelbinding (alleen als noodzakelijk), minimale gegevensdeling (niet meer dan nodig), toestemming van de inwoner, en functionele omschrijvingen in plaats van medische diagnoses. Gegevens worden gedeeld met zorgaanbieders via beveiligd landelijk berichtenverkeer (uitgezonderd materiële WMO-voorzieningen), huisartsen, scholen (bij jeugdhulp), familieleden die als belangenbehartiger optreden en het CAK voor de eigen bijdrage. Voor de communicatie gebruikt het SWT beveiligde e-mail via Zivver voor externe communicatie met professionals. Voor de zorgaanbieders is er het beveiligd berichtenverkeer via het Gemeentelijk Gegevensknooppunt (GGK), de WMO berichtendienst en e-mail. Reguliere post voor formele communicatie met inwoners en Microsoft Teams voor interne communicatie.

In de praktijk wordt ook WhatsApp gebruikt voor laagdrempelig contact met inwoners, wat privacyrisico‘s met zich meebrengt. Het SWT heeft verschillende maatregelen getroffen om privacy te waarborgen, waaronder een Data Protection Impact Assessment (dpia) in 2020, een register van gegevensverwerkingen, verwerkersovereenkomsten met leveranciers, een datalekprocedure en e-learning over informatieveiligheid. Ondanks deze maatregelen worden verschillende verbeterpunten erkend: reductie van datalekken, verbetering van beveiligde gegevensuitwisseling met inwoners, aansluiting van materiële WMO-voorzieningen op het berichtenverkeer, betere sturing op deelname van medewerkers aan e-learning, duidelijkere richtlijnen voor het gebruik van WhatsApp en betere bewustwording rond het registreren van medische gegevens. Na de initiële opbouwfase van de wijkteams (vanaf 2015) is er nu meer ruimte voor doorontwikkeling van ondersteunende processen, waaronder informatieveiligheid. De gemeente werkt aan het updaten van de dpia’s en het verfijnen van het primaire proces, met specifieke aandacht voor informatieveiligheid en privacy.

12

Voor de gehele casusbeschrijving zie bijlage 2.

19

4 Mens In dit hoofdstuk gaan we in op de bevindingen met betrekking tot de onderzoeksvragen 5 en 6, de factor mens. De normen die hiervoor gelden zijn als volgt beoordeeld, zie tabel 5.1. Tabel 5.1. Onderzoeksvragen 5 en 6, normen en beoordeling.13 Onderzoeksvragen

Normen

Oordeel

5: Op welke wijze wordt aandacht besteed aan de bevordering van bewustwording en eigenaarschap met betrekking tot risico’s op het gebied van informatiebeveiliging bij bestuurders en medewerkers van de gemeente en bij raadsleden? 6: Zijn de rollen die medewerkers hebben t.a.v. informatiebeveiliging duidelijk voor de medewerkers? Hoe is de ‘tone at the top’ en hoe werkt dit door in de organisatie? Krijgen de risico’s met betrekking tot informatiebeveiliging voldoende aandacht in alle organisatielagen?

Informatieveiligheid en gegevensbescherming is een onderdeel van de ‘onboarding’ van medewerkers

Voldoet

Medewerkers en bestuurders krijgen regelmatig scholing op de risico’s op informatieveiligheid

Voldoet deels

Raadsleden worden door de gemeente voorgelicht op de risico’s op informatieveiligheid en gegevensbescherming en door de gemeente daarin gefaciliteerd

Voldoet deels

Op bestuurlijk en directieniveau van de gemeente wordt informatiebeveiliging en gegevensbescherming regelmatig geadresseerd en bestuurders en directieleden dragen het belang van deze onderwerpen uit, onder andere door voorbeeldgedrag

Voldoet

De medewerkers van de gemeente zijn op de hoogte van hun rol op informatieveiligheid en gegevensbescherming en gedragen zich daarnaar

Voldoet deels

Zoals in §3.2 reeds is geconstateerd wordt de mens vaak gezien als de zwakste schakel in informatieveiligheid. De systemen kunnen nog zo goed en veilig zijn ingericht, de mens is de bepalende factor bij het handelen conform het informatiebeveiligings- en privacybeleid. Alle respondenten beantwoorden de vraag ‘Wat gaat er goed op het gebied van informatiebeveiliging en privacy’ dat de afgelopen jaren het bewustzijn van de risico’s bij het werken met (persoons)gegevens en informatie is toegenomen. Tegelijk wordt erbij gemeld dat het ook altijd nog beter kan. Daarom is de factor ‘mens’ op verschillende manieren in het onderzoek meegenomen, namelijk via een phishing mail, een mystery guest test, interview en casestudies. SSC

13

Hiervoor is gemeld dat SSC ONS een crisisplan heeft opgesteld, op papier. In het strategisch crisisplan is vastgelegd wat ieders rol is en waarop iedereen

De onderzoeksvragen en de normen waarop beoordeeld wordt zijn in de tabel opgenomen, zie voor alle normen onderzoeksvragen en normen bijlage 2. De beoordeling varieert van: voldoet = voldoet volledig aan de gestelde norm; voldoet deels = voldoet niet geheel aan de norm; voldoet niet = voldoet geheel niet aan de norm; onbekend = niet na te gaan.

20

elkaar kan aanspreken. Daarin is ook een kalender opgenomen voor 2 jaar opleiding, training, en oefenen voor de medewerkers van SSC. Er is ook een linking pin naar de partners, maar hoe de partners dat hebben georganiseerd is aan hen, daar gaat SSC niet over. Crux bij alle plannen op bewustzijn en toekomstig handelen is regelmatig blijven oefenen. Medio 2023 is een oefening geweest samen met de partners van SSC met betrekking tot het crisisplan. Dat was een tabletop sessie 14 met een nog niet geheel afgerond plan. SSC ONS zelf heeft eind 2024 zonder partners geoefend met het crisisplan met zogenaamde walkthroughs, het doorlopen van een aantal casussen. Aandachtspunt is nog steeds wel dat het alleen nog maar op papier staat, zeker in relatie tot de partners. Gemeente

Kortom, de gemeente is zelf aan zet. In 2022 is een 4-jarig bewustwordingscampagne op informatieveiligheid gestart, zoals afgesproken in het informatieveiligheidsbeleid. De ambitie was om het informatiebeveiligingsbewustzijn te verhogen, zodat door medewerkers van Gemeente Zwolle veilig wordt omgegaan met de persoons(gegevens) die ze wordt toevertrouwd en waarmee zij werken. In 2024 zijn een cultuurscan, leerplatform, communicatie en een managementsessie onderdeel van het bewustwordingsprogramma. Volgens respondenten moet de campagne leiden tot het functioneel krijgen van eigenaarschap, verantwoordelijkheid en bewustwording in de lijn. Dat is een behoorlijke transformatie. Dat betekent een gedrags- en cultuurverandering die in beeld werd gebracht met onderstaand schema.

Schema 5.1. Bewustwordingscampagne

Doelen

Om bovenstaande doelen te bereiken moeten werknemers van de gemeente Zwolle uiteindelijk: • Weten waar informatiebeveiligingsincidenten en datalekken gemeld

moeten worden; • Herkennen van informatiebeveiligingsincidenten en datalekken en deze ook

melden; • Medewerkers aanspreken op gedrag (bijvoorbeeld “vreemden” aanspreken, medewerkers aanspreken op het niet vergrendelen van de werkplek); • Weten wanneer je een DPIA moet uitvoeren en wanneer je persoonsgegevens veilig moet mailen en dit ook doen.

14

Bij een tabletop-oefening, letterlijk oefening op een tafelblad, wordt een crisissituatie nagebootst door een plattegrond en pionnen te gebruiken.

21

Doelgroepen

Daarbij werden de volgende doelgroepen onderscheiden: medewerkers die werken met de informatiesystemen; directie en afdelingshoofden; functioneel beheerders; ambassadeurs. Zoals eerder opgemerkt is de laatste doelgroep, de ambassadeurs, nooit gerealiseerd. Dat zijn de contactpersonen bij de afdelingen en teams geworden. Goed om op te merken dat raadsleden niet als doelgroep werden aangemerkt.

Media

Voor het bewustwordingsprogramma werd en wordt een combinatie van media ingezet: Intranet; de introductiemodule (de ‘onboarding’); opleidingsprogramma met verschillende modules e-learning; een trainingsprogramma; een regelmatig te publiceren nieuwsflits; posters; op afdelings- en teamoverleg bespreken van incidenten; de inzet van een mystery guest, een phishingmail campagne en een pubquiz.

E-learning

De e-learning is niet verplicht, vanuit de directie is de verwachting dat het als vanzelfsprekend wordt beschouwd dat de doelgroepen de modules volgen. Er wordt wel bijgehouden wie aan de e-learning deelneemt, maar er wordt niet actief op gestuurd. Er worden bijvoorbeeld geen deelnamepercentages per afdeling of team gepubliceerd, of ter sprake gebracht bij de team- of afdelingsoverleggen. Naast informatie over richtlijnen en bewustzijn van risico’s promoten moet volgens een aantal respondenten het eigenaarschap in de lijn aangewakkerd worden en de bewustwording vergroot worden welke informatiebeveiligingstaken bij de lijn thuishoren. Wanneer moet een risicoanalyse of een dpia of business impact assessment (bia) gehouden worden. Doel is de lijn bewust bekwaam te maken, onder andere weten wanneer informatiebeveiligings- en privacyaspecten bij beleid en werkprocessen betrokken moet worden. De dpia is bijvoorbeeld een middel om er bij medewerkers voor te zorgen dat het besef van het betrekken van deze aspecten zich ontwikkelt naar voldoende beheersen van de risico’s. Dat betekent een volwassenheidsniveau dat proactief bezig is met de bescherming en verwerking van informatie.

Volwassenheid

In de bewustwordingscampagne wordt minimaal niveau 3 tot doel gesteld, zie bijlage 4 voor de verschillende niveaus van NOREA. Op basis van de interviews en de casestudies (zie hoofdstuk 8) is het volwassenheidsniveau gemeentebreed tussen 2 en 3. Het niveau kan per afdeling verschillen. Sommige afdelingen werken al jaren met richtlijnen en procedures op de verwerking van (bijzondere) persoonsgegevens en hebben de werkwijzen geïnternaliseerd. Voor medewerkers van andere afdelingen is het relatief nieuw en komen de richtlijnen en werkwijzen op informatiebeveiliging en privacy als extra erbij.

Digivaardig, leiderschap

In SSC ONS-verband is afgesproken te werken aan digitale vaardigheden en digitaal leiderschap. Dat is breder dan informatiebeveiliging en gaat onder andere over digitalisering, datagedreven werken en Artificiële Intelligentie (AI). Dat raakt zijdelings ook informatiebeveiliging.

4.1 Testen In het kader van het rekenkameronderzoek zijn eind 2024 en begin 2025 testen uitgevoerd door ethische hackers. De testen die in dit hoofdstuk worden behandeld zijn de phishing mail en inlooptest met een mystery guest op het stadhuis en het stadskantoor.

22

Tussen 10 en 17 december 2024 is een phishing mail campagne uitgezet onder een steekproef van medewerkers (interne en externe) en leden van het college en de gemeenteraad. Doel van de campagne is om het bewustzijn van medewerkers en bestuurders te testen met betrekking tot de methodes die cybercriminelen gebruiken om internetgebruikers te misleiden en gegevens te ontfutselen. De resultaten zijn in tabel 5.2 weergegeven.

Phishing mail

Tabel 5.2. Resultaten phishingmail campagne Aantal eAantal Klik-% Aantal Inlog-% Inloggers tov mails klikkers inloggers klikkers-% 545 124 22,8% 61 11,2 49,2% In totaal zijn 545 phishing mails met een ‘gemiddelde moeilijkheidsgraad’ verstuurd, met de vraag om het wachtwoord te wijzigen in verband met een beveiligingslek. 124 geadresseerden (23%) hebben op de link in de mail geklikt. Van degenen die op de link hebben geklikt heeft bijna de helft (49%) een wachtwoord achtergelaten. Als een hacker met malafide intenties de mail had verstuurd, was het via de gegevens van 61 medewerkers mogelijk geweest zich toegang te verschaffen tot de systemen. Degenen die een wachtwoord hebben achtergelaten kregen op een landingspagina uitleg over de test. Ook kregen ze uitleg over hoe een phishing mail te herkennen. De wachtwoorden zijn overigens niet opgeslagen door de ethische hackers. Uit de benchmark van dit soort campagnes, met een gemiddelde moeilijkheidsgraad, ligt de score van degenen die op de phishing mail klikken op circa 21%. De overall score van de medewerkers en bestuurders ligt daar iets boven. Enkele afdelingen scoren 33-35%, en één afdeling met 0%. Een derde van de wethouders en raadsleden hebben op de mail geklikt, maar van de raadsleden heeft niemand het wachtwoordgegevens achtergelaten. Meldingen bij de helpdesk

Het aantal meldingen bij de helpdesk is een graadmeter voor de alertheid van medewerkers. In de ochtend dat de phishingmail is uitgezet is de helpdesk 29 keer benaderd met een melding, 5% van de uitgezette 545 phishingmails. De medewerkers is toen uitgelegd dat dat onderdeel van een bonafide test was. Onbekend is of medewerkers of bestuurders elkaar onderling hebben gewaarschuwd voor de phishing.

Inlooptest

Op 25-2-2025 is een mystery guest assessment uitgevoerd op de locaties van het stadhuis en stadskantoor van de gemeente. Dat is gedaan op basis van een greybox aanpak. 15 Tijdens de test is geprobeerd om onopvallend de panden binnen te komen en vanuit de publieke ruimte te testen of er toegang kon worden verkregen naar diverse niet-publieke ruimtes. Daarmee wordt de effectiviteit van de genomen beveiligingsmaatregelen geverifieerd.

Inlooptest stadskantoor

Op het stadskantoor is het gelukt om met personeel mee te lopen naar de niet-publieke ruimte zonder aangesproken te worden. Vanuit deze ruimte kon er vrij rondgelopen worden, ook weer zonder aangesproken te worden.

15

Een whitebox test is een teststrategie waarbij de ethische hackers kennis hebben van de technische infrastructuur en systemen en met behulp van die kennis technische zwakheden trachten op te sporen. Dit in tegenstelling tot black- of greybox testen, waarbij de hackers vooraf respectievelijk geen of beperkte kennis hebben van de systemen of omstandigheden.

23

Na deze toegang was ook vrijwel het gehele pand bereikbaar vanuit de trappenhuizen zonder gebruik van een toegangspas. Wel maakte de open uitstraling van het pand, zoals veel glas en open kantoortuinen, het lastig voor de mystery guests zich ergens echt op hun gemak te voelen of zich ongezien te bewegen. Verder zijn de mystery guests niet aangesproken op hun aanwezigheid. Er werd vriendelijk deuren opengehouden en vriendelijk gegroet wanneer we personen tegen kwamen. Het is niet gelukt om kritische of technische ruimtes te betreden. Er zijn regelmatig deuren gecontroleerd waarachter technische ruimtes verwacht werden, maar deze waren allemaal gesloten. Verder zijn tijdens het bezoek werkplekken gecontroleerd op onbeheerde badges, documenten of ontgrendelde computers. Er zijn hierbij twee werkplekken gevonden die niet waren vergrendeld. Archiefkasten waren veelal gesloten en stonden ook op centrale plekken waar sociaal toezicht was. Het clean desk beleid was ook goed toegepast. Inlooptest stadhuis

Tijdens de test in het stadhuis is het gelukt om met personeel mee te lopen naar de niet-publieke ruimte zonder aangesproken te worden. Vanuit deze ruimte was het lastig om zich naar andere plaatsen in het pand te begeven. Er waren veel toegangsdeuren beveiligd met een paslezer, waardoor veel tailgaiting (meelopen met medewerkers naar niet-publieke ruimtes) is toegepast om naar volgende beveiligde zones te komen. Dit is echter niemand opgevallen, waardoor de mystery guests niet zijn aangesproken op opvallend gedrag of wat ze kwamen doen. Verder zijn tijdens het bezoek werkplekken gecontroleerd op onbeheerde badges, documenten of ontgrendelde computers. Er is op deze locatie geen werkplek gevonden met een niet-vergrendelde werkplek. Opvallend was dat de mystery guests enkele keren toegang hadden tot deuren, waarbij een paslezer aanwezig was, maar deze niet gebruikt hoefde te worden. Toegang tot technische ruimtes is beperkt verkregen bij de technische ruimte voor de lucht/warmte voorziening op de 4e verdieping. Ook toegang tot kamers van wethouders, de raadzaal en andere zalen is zonder problemen verkregen en hier hebben de mysterie guests ook ruim de tijd gehad om zich onopvallend door deze ruimtes te bewegen.

Resultaat inlooptest

16

Van tevoren zijn acht (aanvals)doelen gedefinieerd. Daarvan hadden drie een hoge risicoclassificatie (impact), drie een gemiddelde en één een lage. Van de hoog impact doelen zijn twee niet behaald en een hoog impactdoel is beperkt behaald. De drie doelen met een gemiddeld impact en één met een lage impact op de veiligheidsrisico’s zijn behaald. Op basis van de resultaten van het mystery guest assessment is het risico dat de gemeente Zwolle op de fysieke toegankelijkheid loopt ingeschat op ‘gemiddeld’.16

Bij de ambtelijke hoor en wederhoor zijn de rapporten van de pentesten overhandigd aan de gemeentesecretaris. Daarmee heeft de organisatie kennis kunnen nemen van de risico’s en verbeterplannen kunnen opstellen om de risico’s te mitigeren.

24

Casus Omgevingsvergunning Korte casusbeschrijving: Informatiebeveiliging en privacy bij omgevingsvergunningen 17 In gemeente Zwolle worden aanvragen voor omgevingsvergunningen afgehandeld door het team Vergunningen, Toezicht en Handhaving (VTH). Inwoners en bedrijven dienen hun aanvraag vrijwel altijd digitaal in via het landelijk Omgevingsloket, waarbij zij moeten inloggen met DigiD (particulieren) of eHerkenning (bedrijven). Deze identificatiemethode vormt de eerste verificatie van de identiteit van de aanvrager. Na indiening wordt de aanvraag doorgestuurd naar het lokale VTH-systeem IJVI (IJssellandse VTH Informatievoorziening), dat door elf verschillende organisaties wordt gebruikt, waaronder de gemeente Zwolle en de Omgevingsdienst IJsselland. In IJVI worden diverse persoonsgegevens geregistreerd: BSN-nummer, naam, geslacht, e-mailadres, geboortedatum, geboorteplaats, adresgegevens, naam van partner (indien van toepassing) en eventuele overlijdensgegevens. Deze gegevens worden geverifieerd en actueel gehouden via een directe koppeling met de Basisregistratie Personen (BRP). Om privacy te waarborgen, heeft de gemeente recent een functionaliteit voor dataminimalisatie geïmplementeerd, zodat alleen noodzakelijke persoonsgegevens beschikbaar komen voor het proces. IJVI werkt met autorisaties om de toegang tot gegevens te regelen.

Er zijn verschillende gebruikersgroepen met eigen autorisatieniveaus, zoals medewerkers die zaken mogen registreren, afhandelen, alleen lezen of verwijderen. Medewerkers loggen in via single sign-on, nadat ze eerst met twee-factor-authenticatie hebben ingelogd op hun laptop. Opvallend is dat binnen de gemeente alle geautoriseerde medewerkers toegang hebben tot alle dossiers, ook als ze niet direct betrokken zijn. Deze brede toegang is gekozen om samenwerking te bevorderen. De handelingen zijn wel traceerbaar, want ze worden gelogd in het systeem. De proceseigenaar (leidinggevende) wijst autorisaties toe aan medewerkers, en vier keer per jaar worden deze gecontroleerd op actualiteit. Voor de gegevensuitwisseling is IJVI gekoppeld aan andere interne systemen: het medewerkersportaal (eSuite) als archiefsysteem, applicatie voor de financiële afhandeling, Smart Documents voor briefsjablonen en applicatie voor communicatie met de gemeenteraad. Extern deelt de gemeente gegevens met de Omgevingsdienst IJsselland (milieuaspecten), Veiligheidsregio (brandveiligheid), Welstandscommissie (esthetische beoordeling), andere overheden (provincie, waterschap, gemeenten) en semioverheidsorganisaties zoals Vitens. Deze uitwisseling verloopt via de Samenwerkingsfunctionaliteit (SWF) van het Omgevingsloket. Voor alle externe systemen en leveranciers zijn verwerkersovereenkomsten afgesloten.

Er zijn verschillende privacymaatregelen genomen: bij publicatie van aanvragen op overheid.nl worden persoonsgegevens niet gedeeld, belanghebbenden krijgen alleen geanonimiseerde stukken te zien, vertrouwelijke informatie wordt gedeeld via de beveiligde e-maildienst Zivver, en bijzondere persoonsgegevens (zoals medische gegevens die soms ongevraagd binnenkomen) worden niet opgenomen in het dossier. Er zijn ook aandachtspunten: er is nog geen Data Protection Impact Assessment (dpia) uitgevoerd op het IJVIsysteem, de CISO en FG zijn niet regelmatig bij afdelingsoverleggen aanwezig, de brede toegang tot persoonsgegevens voor alle geautoriseerde medewerkers vormt een potentieel risico, en het grote aantal externe partijen met toegang tot persoonsgegevens vraagt om zorgvuldige monitoring. Er zijn trainingen over informatiebeveiliging en de AVG, is er een protocol voor het melden van datalekken, en tonen de recente aandacht voor dataminimalisatie, de BRP-koppeling en de periodieke autorisatiecontrole aan dat privacy een aandachtspunt is bij de afhandeling van omgevingsvergunningen in de gemeente Zwolle.

17

Voor de gehele casusbeschrijving zie bijlage 2.

25

5 Techniek Onderzoeksvragen 7-9

In dit hoofdstuk gaan we in op de bevindingen met betrekking tot de onderzoeksvragen 7-9. Deze onderzoeksvragen betreffen de techniek. Deze ‘harde’ kant van informatiebeveiliging en privacy is het geheel van technische maatregelen die gemeente en SSC ONS treffen om ongeautoriseerde toegang tot systemen en gegevens te voorkomen of snel te detecteren, en de vertrouwelijkheid, integriteit en beschikbaarheid van de informatie te waarborgen. De normen die hiervoor gelden zijn als volgt beoordeeld, zie tabel 6.1.

Tabel 6.1. Onderzoeksvragen 7 - 9, normen en beoordeling.18 Onderzoeksvragen

Normen

Oordeel

7: Zijn gegevens bij de gemeente voldoende beschermd tegen de toegang door onbevoegden?

De inrichting van de systemen is ingericht op een beleid van Voldoet 0-tolerance intern en extern De systemen zijn ingericht dat zoveel mogelijk voorkomen Voldoet wordt dat kwaadwillenden toegang krijgen tot de systemen, dat zo snel mogelijk verdacht verkeer wordt gedetecteerd en passende maatregelen worden getroffen om de schade zoveel mogelijk te beperken 8: In hoeverre wordt De gemeente Zwolle voert de audits en de (self)assessments Voldoet getoetst of de organisatie in het kader van ENSIA uit ‘in control’ is op het gebied van De gemeente toetst regelmatig fysiek en digitaal de systemen Voldoet deels informatiebeveiliging via en gedrag en risicobewustzijn van medewerkers peer reviews, audits, self Naar aanleiding van de testen worden verbetermaagregelen Voldoet deels assessments (zelf tests) geformuleerd en uitgevoerd of pentesten, inlooptesten, phishing De digitale en fysieke infrastructuur van de gemeente Voldoet deels mails of netwerktesten? doorstaan de testen in het kader van het rekenkameronderzoek 9: In hoeverre is de De gemeente heeft een integraal beleid op Voldoet deels continuïteit van de bedrijfscontinuïteit en back-up en herstel geformuleerd en gemeentelijke geïmplementeerd dienstverlening gewaarborgd in geval van Op de uitvoering daarvan wordt regelmatig geoefend Voldoet deels grootschalige uitval of Medewerkers zijn op de hoogte hoe zij incidenten en

verstoring van ICT en hoe datalekken moeten melden en de opvolging van de is dat geregeld? verbetermaatregelen daarop is vastgelegd Testen

18

19

Een van de maatregelen in de BIO2 is dat jaarlijks kwetsbaarheidsanalyses of pentesten op de systemen worden uitgevoerd. 19 SSC ONS laat jaarlijks externe en interne netwerkpentesten uitvoeren door een externe partij. De bevindingen uit deze testen worden opgenomen in een verbeterplan. In het kader van doelmatigheid heeft de Rekenkamer Zwolle besloten deze testen

De onderzoeksvragen en de normen waarop beoordeeld wordt zijn in de tabel opgenomen, zie voor alle normen onderzoeksvragen en normen bijlage 2. De beoordeling varieert van: voldoet = voldoet volledig aan de gestelde norm; voldoet deels = voldoet niet geheel aan de norm; voldoet niet = voldoet geheel niet aan de norm; onbekend = niet na te gaan. Maatregel 18.2.3.1 – 2: Informatiesystemen worden jaarlijks gecontroleerd op technische naleving van beveiligingsnormen en risico’s ten aanzien van de feitelijke veiligheid. Dit kan bijvoorbeeld door (geautomatiseerde) kwetsbaarheidsanalyses of pentesten.

26

niet over te doen. De Rekenkamer Zwolle heeft aanvullende testen uit laten voeren, namelijk een AD-audit en een wifi-netwerkpentest (zie §6.1).

5.1 Systemen De eisen die in het informatieveiligheidsbeleid zijn gesteld zijn dat de informatiesystemen tijdens kantoortijd minimaal 95% beschikbaar zijn. Daarbuiten moeten in het kader van rampenbestrijding of handhaving de systemen beschikbaar zijn. En in geval van uitval van processen en systemen als gevolg van een calamiteit, moet de dienstverlening binnen 48 uur hersteld zijn. Uit de NIS2-scan van medio 2024 blijkt dat de gemeente Zwolle en SSC ONS op beveiliging van ‘netwerk & informatiesystemen’ en ‘bedrijfscontinuïteit’ nog niet geheel voldoen aan de BIO2-eisen. Kwetsbaarheden

SSC ONS en de gemeente zijn aangesloten bij de Informatiebeveiligingsdienst (IBD) voor kwetsbaarheidsmeldingen. Incidenten en kwetsbaarheden in software of systemen die relevant zijn voor de gemeentelijke infrastructuur worden door de IBD gemeld. Algemene openbare meldingen komen binnen bij de Algemene Contactpersonen Informatiebeveiliging (ACIB) van gemeente en ONS. Vertrouwelijke meldingen komen binnen bij de Vertrouwde Contactpersoon Informatiebeveiliging (VCIB). Deze functionarissen zijn dan aan zet om de eventueel benodigde acties binnen de eigen organisatie te bespreken of in gang te zetten. Bijvoorbeeld door software te updaten of, als risico en impact kritiek zijn, systemen offline te halen.

Detectie

De dreiging van aanvallen door malafide hackers, tegenwoordig vaak gesteund door statelijke actoren, neemt toe. Het is daarom zaak om de systemen zo goed mogelijk te beschermen tegen aanvallen van buitenaf, 0tolerance. En als men binnen is, zo snel mogelijk verdacht verkeer te detecteren en isoleren. Daarvoor zijn applicaties die het dataverkeer monitoren, zoals een SIEM/SOC.20 In de managementletter 2023 werd de gemeente door de accountant aangeraden een dergelijk systeem te installeren. In het kader van het project Verhoogde Digitale Weerbaarheid van SSC ONS was dat een van de actiepunten. Een met SIEM/SOC vergelijkbare applicatie is geïnstalleerd. Er is in de applicatie M365 van Microsoft ‘endpoint protection’ ingericht. Als er iets verdachts gebeurt op een endpoint (desktopcomputer, laptop of tablet) dan komt een melding in het security dashboard. Afhankelijk van de ernst van de melding kan actie ondernomen worden en bijvoorbeeld de computer of laptop geïsoleerd worden. Er is een locatie waar een kopie van de systemen aanwezig is en een backup systematiek. Zodat bij een calamiteit de informatie in de systemen tijdig hersteld kan worden.

Crisisplan

20

Mocht door stroomuitval of een andere calamiteit de dienstverlening in het geding zijn, dan ligt er een crisisplan van SSC ONS en een continuïteitsplan ICT van de gemeente klaar. Daarin zijn de scenario’s beschreven en de verantwoordelijkheden belegd. De dienstverlening kan verplaatst worden naar een uitwijklocatie, zodat de kritieke delen van de dienstverlening binnen 48 uur weer operationeel zijn.

Security Information & Event Management (SIEM) en Security Operations Center (SOC) is software die computerdreigingen en verdacht verkeer op systemen detecteert en monitort.

27

Zoals eerder gemeld is de crux van deze plannen het testen in de praktijk, zoals BIO2 stelt dat de plannen jaarlijks worden getest op “werking, volledigheid en actualiteit”. Er zijn tot nu toe wel oefeningen op papier gedaan, zogenoemde ’tabletop'-sessies of discussie-oefeningen. Goed om vertrouwd te raken met de crisisplannen, maar dat is nog geen test van de werking in de praktijk. Een ander aspect van de continuïteits- en crisisplannen is dat deze zich voornamelijk op de continuïteit van de ICT-dienstverlening richten. De bedoeling van BIO2 is dat informatiebeveiliging integraal onderdeel wordt van de risicomanagementmethodiek van de organisatie.

5.1 Pentesten Op de systemen zijn in het kader van het rekenkameronderzoek de volgende testen uitgevoerd: een AD-audit en een wifi-netwerk test. AD-audit

De Active Directory (AD) staat beheerders toe om het beleid (rechten en instellingen) in het netwerk van een organisatie te beheren. De AD bevat een database waarin onder andere accounts en inloggegevens zijn opgenomen. Een AD audit test onder andere het wachtwoordenbeleid en inactieve accounts. De AD audit is in samenwerking met het SSC ONS uitgevoerd, omdat deze de AD van alle partners in de samenwerking beheert. Deze audit beperkt zich tot de 2.533 gebruiker accounts van de gemeente Zwolle, dat zijn gebruikers- en beheerdersaccounts. Niet allemaal worden ze door medewerkers en beheerders gebruikt, maar ze zijn wel met toegangsrechten in de Active Directory opgenomen. Dat kunnen accounts zijn die voor specifieke diensten worden gebruikt. Er zijn 10 accounts met een zwak wachtwoord aangetroffen. 402 accounts met een wachtwoord van een jaar of ouder of waarvan het wachtwoord nooit verloopt. Daarvan hebben in totaal 26 domain admin rechten, deze hebben meer rechten dan de reguliere accounts. 303 accounts gebruiken niet unieke wachtwoorden, dat wil zeggen een wachtwoord dat vaker wordt gebruikt. En er zijn 48 accounts met een zogenoemd LM hash wachtwoord, op basis van een verouderde verificatiemethode. Er zijn tijdens de AD audit 7 bevindingen gedaan met risicoclassificatie ‘hoog’ en 8 met een gemiddelde risicoclassificatie.

Daarmee wordt de volledige risicoscore op de AD audit op ‘hoog’ ingeschat.

Wifi-netwerktest

Op 15 januari 2025 is wifi netwerk pentest uitgevoerd op de locatie van het stadskantoor van Zwolle. Deze test is uitgevoerd met een zogenoemde black-box aanpak. Om de beveiliging van de wifi te toetsen, hebben de ethische hackers eventuele kwetsbaarheden in kaart gebracht en daar waar mogelijk geëxploiteerd. Met deze pentest wordt de effectiviteit van de genomen beveiligingsmaatregelen geverifieerd. Het algemene risiconiveau dat de uitgevoerde wifi pentest en de uitvoerbaarheid van mogelijke kwetsbaarheden opleverde is als ‘laag’ ingeschat. Er zijn tijdens de test 2 vermeldenswaardige bevindingen gedaan. Het gastennetwerk ZwollePubliek was ten tijde van de test toegankelijk, terwijl het netwerk vanaf 1-12025 niet meer actief zou zijn. Daarnaast maakt het netwerk ‘govroam’ gebruik van een protocol dat gevoelig is voor reeds bekende kwetsbaar-

28

heden. 21 Govroam is een landelijk opererend netwerk en valt buiten de invloedssfeer van de gemeente of SSC ONS.

21

Het protocol dat govroam gebruikt is kwetsbaar voor zogenoemde ‘man-in-the-middle’- of bruteforce-aanvallen. Bij een man-in-the-middle-aanval kan een hacker de communicatie tussen twee partijen onderscheppen en meeluisteren (‘eaves-dropping’). Een bruteforce aanval is een hackingtechniek waarbij herhaaldelijk verschillende combinaties van wachtwoorden of coderingssleutels worden geprobeerd tot de juiste is gevonden.

29

6 Betrokkenheid van de raad Onderzoeksvraag 10

In dit hoofdstuk gaan we in op de bevindingen met betrekking tot onderzoeksvraag 10, de betrokkenheid van de raad bij de onderwerpen informatiebeveiliging en privacy. De normen die hiervoor gelden zijn als volgt beoordeeld, zie tabel 7.1.

Tabel 7.1. Onderzoeksvragen 10, normen en beoordeling.22 Onderzoeksvraag

Normen

Oordeel

10. Hoe is de raad betrokken bij het beleid ten aanzien van informatieveiligheid? Op welke manier wordt de gemeenteraad geïnformeerd over de uitkomsten van uitgevoerde audits op het gebied van informatiebeveiliging? Is de raad daarmee adequaat gepositioneerd om zijn kaderstellende en controlerende rol te kunnen vervullen?

De informatievoorziening aan de raad en de overlegmomenten tussen raad en college over informatieveiligheid zijn voldoende om de gemeenteraad te positioneren om de kaderstellende en controlerende rol te laten vervullen De raad is dusdanig betrokken op het onderwerp informatieveiligheid dat vragen over het beleid en de uitvoering worden gesteld

Voldoet deels

Kaderstellen en controleren

Uitgangspunt op de gemeentelijke governance is dat de raad kaders stelt voor het college en daarna het college controleert op de uitvoering. De raad heeft daarnaast de taak om de gemeentelijke begroting vast te stellen en de jaarstukken te accorderen. In het informatiebeveiligingsbeleid heeft de gemeente Zwolle vastgelegd dat de gemeenteraad geïnformeerd moet worden. De rollen kaderstellen en controleren worden in het beleid niet benoemd.

Beleid

Het beleid wordt grotendeels vastgesteld door directie en college. Informatiebeveiliging is grotendeels belegd bij informatievoorziening en bedrijfsvoering. Dat laatste onderdeel van de overhead valt traditiegetrouw bestuurlijk onder het college. De raad wordt geïnformeerd over de besluitvorming op informatiebeveiliging en privacy.

Begroting

Uiteindelijk moet de gemeenteraad de begroting vaststellen. Informatiebeveiliging en privacy zijn als posten verwerkt en worden in die zin onder de kaderstellende rol van de raad begrepen. Volgens respondenten weet de raad dat het, ondanks beperkte middelen, belangrijk is te blijven investeren in informatieveiligheid. De raad heeft volgens hen het standpunt dat er een goede balans tussen dienstverleningsniveau, gebruiksvriendelijkheid en veiligheid moet worden gezocht. Voor specifieke projecten, zoals Verhoging Digitale Weerbaarheid ter verhoging van de

22

Voldoet niet

De onderzoeksvragen en de normen waarop beoordeeld wordt zijn in de tabel opgenomen, zie voor alle normen onderzoeksvragen en normen bijlage 2. De beoordeling varieert van: voldoet = voldoet volledig aan de gestelde norm; voldoet deels = voldoet niet geheel aan de norm; voldoet niet = voldoet geheel niet aan de norm; onbekend = niet na te gaan.

30

robuustheid van het netwerk en de veiligheid van digitale informatie, heeft de raad in 2022 en 2023 ingestemd met extra middelen ten behoeve van SSC ONS. Tevens zijn voorzieningen getroffen om in 2025 de bezetting op informatiebeveiliging en privacy te vergroten met een aantal gecombineerde functies, PISO’s. Controle

De raad van Zwolle wordt in het kader van de horizontale verantwoording jaarlijks geïnformeerd met behulp van de ENSIA-rapportage. Daarmee geeft het college aan de raad aan in welke mate de gemeente op informatiebeveiliging in control is op een aantal voor de gemeente belangrijke verwerkingsprocessen. Op basis van ENSIA doet het college verslag van de zelfaudits op de verschillende basisregistraties: Basisregistratie Personen (BRP), Reisdocumenten, Basisregistratie Adressen en Gebouwen (BAG), Basisregistratie Grootschalige Topografie (BGT) en Basisregistratie Ondergrond (BRO). En geeft een assuranceverklaring over de externe audits op de applicaties Suwinet en DigiD. Daarnaast brengen internal audit, CISO en FG jaarlijks verslag uit aan de raad over de activiteiten op hun terrein. SSC ONS rapporteert ook jaarlijks aan de raden van de partners over de activiteiten, en dus ook over informatiebeveiliging. Daarbij kan de raad een zienswijze geven over verslag van de activiteiten en de begroting.