Aantal cyberincidenten bij Nederlandse gemeenten is in een jaar tijd verdubbeld

De Informatiebeveiligingsdienst van de Vereniging Nederlandse gemeenten heeft vorig jaar 300 verzoeken om hulp gekregen bij cyberincidenten. Dat is een verdubbeling ten opzichte van 2021. Volgens het IBD is ook ransomware in opmars en moet er actie worden ondernomen.

De Informatiebeveiligingsdienst deelt haar bevindingen in het tweejaarlijkse rapport Dreigingsbeeld informatiebeveiliging voor Nederlandse gemeenten en aan de NOS. Daarin stelt de dienst dat het in 2021 1841 kwetsbaarheden heeft gesignaleerd in ICT-software van Nederlandse gemeenten. Vorig jaar hadden 90 kwetsbaarheden een hoge kans op misbruik terwijl dat er volgens de informatiebeveiligingsdienst in 2020 nog 45 waren. In 2019 waren het er 24.

"Gevallen met een hoge kans op misbruik, en met ernstige gevolgen, kwamen in de afgelopen jaren relatief steeds vaker voor", stelt het rapport. "Vaak is het verhelpen van een kwetsbaarheid een kwestie van updaten, maar soms is het complexer en moeten systemen ingrijpend gewijzigd worden", klinkt het. De Informatiebeveiligingsdienst meldt dat ransomware-aanvallen steeds vaker voorkomen en haalt ook een ransomwareaanval in de Nederlandse gemeente Buren van eerder dit jaar aan als voorbeeld. Daarbij is minstens 130GB aan gegevens gestolen die later te koop werden aangeboden op het darkweb. In het systeem van de overheidsinstantie stonden 1.331 kopieën van paspoorten en identiteitsbewijzen opgeslagen.

Volgens het onderzoek zijn de gemeenten zich niet altijd bewust van welke type data zij te beschermen hebben en zou er ook weinig aandacht zijn voor deze bescherming. Informatiebeveiliging wordt volgens de dienst vaak aangezien voor een onnodige kostenpost. De dienst trekt bovendien aan de alarmbel. "Veel gemeenten zetten stappen om de informatiebeveiliging op een hoger niveau te krijgen. Maar de dreiging neemt zo snel toe dat er meer nodig is om het groeiende gat te dichten", klinkt het. "Als gemeenten hun weerbaarheid niet verhogen zal dit leiden tot meer incidenten."

Reacties (37)

[Lisadr]

Het is lastig voor kleine gemeenten om te investeren in cybersecurity door het gebrek aan kennis en financiële prioriteit.

Zo sprak ik laatst met een CISO (Chief Information Security Officer) bij een gemeente met 40.000 inwoners. Hij had 2 jaar werkervaring, waarvan 6 maanden als CISO bij de gemeente. Een CISO met 2 jaar is in het bedrijfsleven absurd! Echter, hij was de enige securitymedewerker. Als CISO rapporteerde hij aan de IT-team lead en was hij onderdeel van een team met 3 IT medewerkers. Inclusief de IT-team lead en hijzelf.

In het bedrijfsleven zou hij een Junior Security Officer zijn. Bij de gemeente een CISO. Waarom? Omdat een gemeente een CISO moet hebben.

Alleen en met beperkt budget moet hij zorgen dat de gemeente voldoet aan informatiebeveiliging eisen en AVG-wetgeving. Een vrijwel onmogelijke taak. Daarom was hij aan het solliciteren.

[Orangelights23]

Een CISO die direct rapporteert aan IT slaat al compleet de plank mis. Cybersecurity is zoveel meer dan IT-zaken. Denk aan risico management, governance, control frameworks, audits, wet- en regelgeving, en ga zo maar door.

[Bergen]

En met een aantal van die taken kun je bij grote organisaties al een aantal FTEs vullen. Governance/securitybeleidbepaling bijvoorbeeld, bij grote bedrijven met complexe netwerken is het heel normaal dat daar een aantal mensen fulltime mee bezig zijn.

[Orangelights23]

Klopt, ik stuur een team aan van 6 mensen, die elk hun eigen team hebben om de hele GRC track bij te houden qua cybersec. Totaal is er 80 man mee bezig voor een organisatie van 11000 mensen.

[Renoir]

Dit is precies hoe het gaat. Het probleem is dan ook dat een gemeente van 40K inwoners aan dezelfde eisen moet voldoen (mas o menos) als een gemeente van 400K inwoners, maar met maar een heel klein deel van het budget.

En de echt goede CISO's, willen niet in de kleine gemeente Buren werken want die kunnen een veel betere baan krijgen bij een grote gemeente.

Het resultaat is dat je als gemeente al blij bent met die ene ziel die wat securityervaring heeft zodat je team van 2 IT'ers wordt uitgebreid naar 3.

[batjes]

Er zijn ook gemeenten met dat aantal inwoners dat met omliggende gemeenten de handen in een slaan om gezamenlijk de IT te regelen. Het is ergens best apart dat veel gemeenten het allemaal maar zelf willen/proberen te doen.

Zo heb ik ook een tijdje voor een IT organisatie gewerkt dat voor een hele verzameling gemeenten de IT regelt. Zo heb je als kleine gemeente dan toch toegang tot een volwaardige IT afdeling en hoef je niet half willekeurig maar mensen aan te wijzen voor IT functies.

[Blokker_1999]

Maar hoeveel KMOs zijn er waar je niet eens een CISO hebt? Als de gemeente een bedrijf was, is de kans groot dat er niet eens een security persoon zat.

Hoewel het zeker niet positief is om iemand met zo weinig ervaring op die positie te zetten, welke alternatieven heb je?

[OruBLMsFrl]

Als zo een KMO maar al een miljoen euro winst per jaar maakt, zou ik me eens ernstig afvragen of je er niet 10% van aan een capabele security officer moet spenderen, om de overige 90% veilig te stellen. Eens dat die ransomware bendes je gevonden hebben en je al te ver achterloopt, ben je te laat. Je hoort soms verhalen over eenzelfde bedrijf of instelling, die al voor een vierde keer getroffen zijn. Ondernemen is vooruitzien, gemeentelijk besturen is je verantwoordelijkheid nemen. Laat de rest van het budget en de externe advieskosten maar eens zien

[kodak]

In het bedrijfsleven zou hij een Junior Security Officer zijn. Bij de gemeente een CISO. Waarom? Omdat een gemeente een CISO moet hebben.

De eis is dat een gemeente voldoende technische en organisatorische maatregelen neemt om informatie te beveiligen. Iemand in dienst nemen, of daarvoor betaald willen worden, zonder duidelijk voldoende kennis klinkt eerder alsof men die eisen met zo'n CISO negeert.
Daarbij zijn argumenten als budget niet snel redelijk. De gemeenten bepalen zelf het budget en zijn niet zomaar armlastig door hier maar een bedrag voor te reserveren waarmee een beginner het hoogst haalbare is. Die eisen zijn er natuurlijk niet zomaar, maar kennelijk denkt men er dus mee weg te komen om eigenlijk nog steeds andere zaken belangrijker te vinden.

[shinjinbukai]

En hier komt het erge van allemaal. Meeste IT-software worden bij onze gemeenten via vriendjespolitiek ontwikkelt... (En ze falen.) On-premise software dat veel te oud is en de verantwoordelijke zijn incompetent.

Laten we niet het miljarden- project vergeten dat enkele jaren geleden gefaald heeft.

[EstimatiesEnzo]

Mooi gezegd, dat is een junior junior maar in het bedrijfsleven nemen we ook gewoon junioren aan met 1 jaar ervaring of nul ervaring zelfs wegens een enorm gebrek aan security personeel. Iedereen moet opeens security lui hebben.

Probeer maar competente security medewerker te vinden.. ben al 13 sollicitanten verder voor mijn team. Het probleem is dat je tegenwoordig ook technische kennis nodig hebt, wat heeft bijv. Azure/GCP/AWS te bieden aan security tools, server management met Ansible/Terraform.

Nu kan je zeggen ok.. we huren iemand in voor compliance en auditing en de technische lui zullen een apart team worden, kan geen security architect vinden, er zijn amper opleiding in Europa voor security. Dan nog het feit dat cloud (naar mijn mening) in zijn kinderschoenen staat helpt niet echt bepaald.

Ik weet niet hoe het zit in NL sinds ik er niet meer woon, maar in Denemarken, Polen en Duitsland krijg je gewoon geen les in ISO127001/SOC2/ISO125001/PCI DSS etc etc.. Het zou enorm helpen als dit aangeboden werd op opleidingen zodat je in ieder geval de basis van IT security en mindset ontwikkelt.

[karma4]

Het is lastig een risico impact afweging goed te doen.
Een one size fits all is zeker niet iets wat van toepassing is met de grote verschillen.

[Reactie gewijzigd door karma4 op 25 juli 2024 17:03]

[Orangelights23]

Ik lees allemaal verschillende dingen.

1. Titel van dit artikel gaat over een verdubbeling van cyberincidenten bij gemeenten. Dat is niet waar: De IBD heeft twee keer zoveel melden ontvangen om gemeenten te ondersteunen. Dat is heel wat anders.
2. 1841 kwetsbaarheden in software is leuk, maar vooral nietszeggend. Een gemiddelde pentest op de infra van een willekeurige gemeente levert al makkelijk 10-20 kwetsbaarheden op. Daarnaast wordt niet toegelicht wat een kwetsbaarheid is: gaat het om nieuw geïdentificeerde? Gaat het om aangeschafte software wat reeds kwetsbaarheden bevat?

Ik hoor de IBD niets zeggen over de BIO, baseline informatiebeveiliging overheid, welke verplicht is voor veel gemeentes. Nederlands is één van de weinige landen waar een op ISO27001 gebaseerd framework verplicht is voor gemeenten. Waarom meldt het IBD niets over de effectiviteit hiervan? Hun rapport, net als afgelopen rapporten, kijkt vooral naar operationele en ad-hoc elementen.

Bron: Ik ben de mentor van een aantal CISO's waarvan er 5 bij grote gemeentes werken. Ook heb ik oud collega's die pentesten uitgevoerd hebben bij gemeenten.

[PageFault]

Punt 1 was ook meteen wat ik dacht bij het lezen van de 1e alinea....

De kwetsbaarheden zeggen niks over de aard, prioriteit etc en of ze alleen vanaf het interne netwerk een risico zijn. Pentesten die ik heb meegemaakt, vind ik doorgaans ook nietszeggend: je moet vaak als organisatie aangeven wat je getest wilt hebben, dat komt dan zo'n koekenbakker in een dagje doen met wat basic tooltjes, nog een dagje rapportje kliederen en 8000 euro lichter. De zaken waar je dus niet aan dacht, worden vaak niet doorgelicht. Ik heb maar 1 keer mee gemaakt dat ze wel met 2 man de hele boel onderste boven keerden en met interessante conclusies kwamen. Alle andere pentesten vond ik waardeloos, nutteloos en zonde van het geld. NMap etc kun je zelf ook wel effe draaien. De meeste van die andere tools ook.

[Orangelights23]

Jammer dat je zulke ervaringen hebt met pentesten. Was jij in dit geval de opdrachtgever? Ik denk gelijk aan het afstemmen van een correcte scope en de vraag of ze daadwerkelijk handmatig willen testen. Een goede pentester begint namelijk met tools, maar gaat daarna manueel verder. Maar het klopt wel dat er heel veel bedrijven zijn (pssst, Fox-IT...) die gewoon wat scans afvuren en daar de hoofdprijs voor vragen.

De pentesten die ik heb uitgevoerd (ver verleden) en die mijn collega's nu uitvoeren bij onder andere gemeenten, leggen zeker wel kwetsbaarheden en misconfiguraties bloot. Je mag altijd een berichtje sturen om te kijken hoe wij dit doen om te kunnen vergelijken.

[PageFault]

Nee het bedrijf die de aanbesteding uitschreef, was zelf de opdrachtgever.

Ik snap de scope en dat het "pentest" bedrijf wil weten wat ze moeten testen en hoe ver ze mogen gaan, anders kunnen ze ook geen uren/prijs indicatie geven. Ik vond de uitkomsten en wat men had uitgevoerd altijd gewoon bedroevend, omdat elke middelbare scholier dat eenvoudig kan. Er komt geen hack-werk aan te pas. De ene uitzondering waren mensen die echt wisten wat security is en ook echt pakketjes opvingen om die bijv. nogmaals te versturen na het wijzigen van wachtwoorden etc.

[DigitalExorcist]

Dat je een pentest laat doen en vooraf een scope afspreekt is niet meer dan normaal. Je spreekt af wat iemand mag checken, hoe ver ze mogen gaan, en wat er geraakt mag worden of juist niet.

De IT-afdeling/leverancier moet bepalen hoe dit gaat. Die hebben je netwerk gebouwd en in beheer en als er geen goede documentatie is dan spreek je af dat je een zo volledig mogelijke scan wil van alles wat je van buitenaf of, als voorbeeld, normale werknemer kunt benaderen.

[karma4]

Dank u, ik ben het eens met de mee genuanceerde insteek.

Het aantal meldingen zegt weinig over de werkelijke toestand. Met veel pen testen in op zich goed veilige omgeving zullen er veel meldingen gemaakt worden.
Een mogelijk verkeerde adressering een geisoleerde machine het zullen vele niet relevante meldingen opleveren.
Een onveilige slechte omgeving waar niet naar omgekeken wordt, die levert daarentegen niets voor de teller van het aantal meldingen.

Om belangrijk gevonden te worden wordt daarvoor te vaak iets selectiefs ingezet.

[Bentoonen]

Tja, Dat snap ik wel.
Als je bij iedere ransomware aanval overstag gaat en vraagprijs betaald.
geef je de terrorist(hacker) de middelen om het de volgende keer nog beter uit te voeren.
Ik hoop dat men tot bezinnen komt en de volgende keer het moreel juiste besluit neemt.
Dus het gene wat de hacker het zo moeilijk mogelijk maakt. Niet betalen en met het cyberteam politie er achter aan gaan.

[LongTimeAgo]

Tsja. Steeds meer thuiswerken, dus moesten er steeds meer thuiswerk PCs/laptops geregeld worden of wordt men geacht in te loggen in een RDS vanaf hun eigen privé PC (met alle veiligheids risico's die daar weer bij komen), of een werknemer gebruikt de werklaptop óók voor privé doeleinden en haalt daar mee allemaal troep binnen... Veel voorbeelden te bedenken.

Er werken een HOOP technofoben (of gewoon technologisch niet echt onderlegden) bij, voornamelijk, overheids instellingen zoals gemeenten. Veelal vanwege de hoge leeftijden. Niet te zuinig ook. Normaliter tikken ze wat in op een PC en doen vervolgens wat papierwerk (tussen het raamkijken door uiteraard mag die grap nog?), als dan opeens je al je fysieke werkzaamheden omgegooid worden naar een vrijwel volledig digitale wereld door thuiswerken... Tsja.

[satya]

Klinkt leuk, maar het grootste gevaar zit in veel praktijkgevallen bij de o zo goed opgeleide IT dienstverlener zelf die vind dat hij weet waar hij mee bezig is en het zich hier en daar makkelijker mag maken.

[LongTimeAgo]

Nouja vaak is het bij gemeenten ook "you pay peanuts, you get monkeys". Ik heb persoonlijk meegemaakt hoe er totaal géén budget wordt vrijgemaakt voor fatsoenlijke IT (weliswaar was dit dan bij een semi-overheids instelling) en vervolgens huren ze een bedrijfje in, omdat het neefje van de burgemeester er werkt, die alles voor hen op moet lossen qua digitalisering waar je eigenlijk gewoon een grote partij voor een jaar (of meer) naar moet laten kijken en oplossen. Uiteindelijk kost dat kleine IT bedrijfje evenveel in 5 jaar tijd als dat een grote partij het in 1 of 2 jaar had kunnen doen.

En nu dan ook, corona breekt uit, gemeenten zijn totaal niet voorbereid op lockdowns en thuiswerken en veel (vooral oudere) ambtenaren zaten (betaald!) thuis niets te doen omdat de gemeenten in geen korte tijd thuiswerk regelingen en/of voorzieningen kon aankopen, installeren en distribueren. Bij de gemeentes waarbij dit wel lukte is waarschijnlijk het bovenstaande gebeurt. Alles moest zo snel dat er bezuinigt is op veiligheid, trainingen, tips of een combinatie er van.

[Verwijderd]

Nouja vaak is het bij gemeenten ook "you pay peanuts, you get monkeys".
En dat niet alleen bij kleine gemeenten. Ik heb bij een grote overheidsinstantie meegemaakt dat men de aanbesteding verloor. Een concurrent was goedkoper maar bood simpelweg 3 FTe minder. En het was echt niet zo dat de huidige mensen uit hun neus zaten te eten. Er werd gewoon zwaar gesneden in onderhoud en werkdruk werd opgevoerd. Succes verzekerd... We hadden zelfs maar een paar dagen voor overdracht.
Ik heb nooit verder gehoord hoe het is verlopen daarna. Het kan natuurlijk ook allemaal een truuk zijn geweest door later aan te geven dat de aanbesteding niet klopte en dat de leverancier er nu mensen bij moet doen (gebeurt ook regelmatig). Uiteraard tegen een behoorlijke prijs... Of er wordt tegen ieder punt gezegt, dat valt niet onder beheer maar .....

Man, ik kan een boek schrijven over de incompetentie van onze overheid...

[M. Schaap]

Het heeft niets met (te) hoge leeftijden te maken. Wel met het verschijnsel dat degenen die over de besteding van het geld beslissen voornamelijk universitair geschoolde alfa's zijn.

[LongTimeAgo]

Hoezo heeft het niets met hoge leeftijden te makken? Mijn ervaring zegt juist van wel. Uiteraard zijn er genoeg uitzonderingen.

Bij mijn vorige werkgever waren het voornamelijk de 50+'ers die constant op Weshare, onedrive en andere phishing links klikte en er mee troep binnenhaalde waarmee de PC geïnfecteerd raakte en vervolgens via hun email ook weer naar anderen stuurde. Óók met hun privé email. Allemaal oude garde met ongelofelijk veel technische kennis. Maar zeer weinig kennis over IT en internet.

Ergens kan je het ze ook niet kwalijk nemen, maar 'we' forceerden hen wel om steeds meer te digitaliseren en minder papier te gebruiken maar alles invullen in excelletjes of in een database, etc. Maar het is nog steeds een best veel voorkomend verschijnsel.

[Sebast1aan]

Dat is goed nieuws. Ik werk in cyber security.

[Anonymoussaurus]

Minder leuk als je én in de cybersecurity werkt én je woont in de gemeente die aangevallen is.

[Sebast1aan]

Het was een joke, maar ok...

[Anonymoussaurus]

Mijn comment niet, but ok.

[osmosis]

Ik weet niet hoe dit gaat bij de gemeente maar wel iets merkwaardigs wat ik opgemerkt heb bij een andere overheidsdiensten (Justitie/politie) Dat schijnbaar hun interne ICT afdeling(en) niet mogen werken aan privé laptops van de medewerkers? Deze laptops verschijnen dus bij lokale dienstverleners voor service.
Ik heb laptops van defensie en van politie op mijn bureau gehad samen met inlog gegevens voor bijv Citrix.
Zelfs een paar keer Kamerleden hun apparaten op mijn bureau gehad.
Dat was vooral ten tijde van corona.

Als ik kwade bedoelingen had, kon ik simpel weg een disk image maken. Meeste van die laptops hadden niet eens encryptie erop. Met uitzondering van een defensie medewerker. Die had het wel aardig op orde. Encryptie en 2FA

Als er soort gelijke toestanden afspelen bij gemeentes dan vind ik het niet wonderbaarlijk dat cyberincidenten zich verdubbelen.

[kodak]

Je kan ook stellen dat personen die bedrijfsgegevens op hun privelaptop verwerken het misschien niet zo nauw nemen met de regels hoe ze met die gegevens om mogen gaan en ook door het eigen beheer te negeren. Dat kan dus betekenen dat een dienstverlener gegevens verwerkt die ze niet hoort te verwerken, wat voor een bedrijf al snel een datalek is. Dus als er twijfel is dan zou het op zijn minst aan de klant duidelijk gemaakt moeten worden en bij een gemeente mogelijk zelfs maar beter aan de Informatiebeveiligingsdienst van de Vereniging Nederlandse gemeenten.

[KeesAlderlieste]

Vaak is het verhelpen van een update een kwestie van updaten

Wut??

[DigitalExorcist]

Het verhelpen van een niet-uitgevoerde update is updaten 😜

[Benedykt]

Mijn ervaring bij lokale overheid is vooral haantjesgedrag, eilandjes en volstrekte onkunde. Overal een plasje over moeten doen, iedereen moet overal wat van vinden maar intussen hebben 9/10 betreffende ambtenaren 0,0 inhoudelijke kennis. Van hele simpele dingen als het niet willen upgraden van out-of-support Microsoft software omdat "het werkt toch nog gewoon?" tot het niet durven veranderen van een stokoude firewall omdat stiekem niemand weet hoe dat ding precies geconfigureerd is.

[batjes]

Mijn ervaring bij de IT binnen de overheid is dat de IT zelf wel redelijk vergelijkbaar werkt met het bedrijfsleven. Maar dat de bureaucratie en hierachie richting de overheidsorganen een ontzettende muur is om doorheen te bereken als IT. Je kan als IT wel bepaalde security toepassingen eisen, maar dan wordt er doodleuk door de een hoge pief die (indirect) ook verantwoordelijk is voor het budget maar wat anders besloten, die wil natuurlijk wel Whatsapp blijven gebruiken om documenten te versturen, mail forwarden naar een privé adres etc. (Echt bizar hoe onverantwoord veel hoge ambtenaren om gaan met werkgegevens)

Vriendjespolitiek is echt heel sterk binnen de overheid en dat drenkt wel heel sterk ook door in de IT. Waardoor niet altijd de meest competente figuren op de juiste plek terecht komen, maar dit is in het bedrijfsleven ook te vaak een probleem.

[Gruppie]

Het grootste probleem in deze tijd is dat heel veel dingen beschikbaar moet zijn via het internet of dit nu gaat om contact of om inzage.

Doordat er massaal informatie aan het internet gehangen wordt krijg je ook heel snel dat leveranciers pakketten verkopen die vol met fouten zitten of achterlopen in de ontwikkelingen.

Een mooi voorbeeld is microsoft zelf met exchange of citrix met de citrix workspace.

In sommige situaties zit je vast aan bepaalde leveranciers die de huidige tijd niet kunnen bijbenen. Hierin lopen ze jaren achter in ontwikkeling en krijg je veelal ook verouderde software.

Een mooi voorbeeld hierin is de politie maar ook de belastingdienst. Hoeveel miljoenen zijn er wel niet in vernieuwingstrajecten gestoken waarbij de software alweer oud is als het in gebruik genomen wordt.

[Reactie gewijzigd door Gruppie op 25 juli 2024 17:03]

[keeskooskaas010]

As we speak ligt de bibliotheek Rotterdam bijvoorbeeld al 3 dagen plat...