Op 15 februari heeft de IBD het eerste Dreigingsbeeld Informatiebeveiliging Nederlandse Gemeenten gepubliceerd. Dit dreigingsbeeld heeft als doel gemeenten weerbaarder te maken op het gebied van informatiebeveiliging door inzicht te geven in de belangrijkste risico’s. Uit dat dreigingsbeeld komt de factor mens als grootste risico naar voren. Onbewuste en onbedoelde acties blijken een groter risico dan bewuste en gerichte aanvallen.

Gemeentelijke primeur

De IBD baseert dit beeld op interviews met CISO’s van gemeenten en een analyse van meldingen en incidenten. De IBD komt tot een top 5 van belangrijkste (be)dreigingen voor de gemeentelijke informatievoorziening, Het rapport dat dit jaar voor het eerst verschijnt, kan gezien worden als de gemeentelijke aanvulling op het Nationaal Cybersecuritybeeld (CSBN) van het Nationaal Cyber Security Centrum (NCSC).

Top vijf

De vijf belangrijkste bedreigingen voor de lokale informatievoorziening die worden gesignaleerd zijn:

• Mensen maken fouten;
• Gemeenten zijn, net als alle organisaties, kwetsbaar;
• Dreigingen liggen ook (vlak) buiten de eigen organisatie;
• De waan van de dag bepaalt de agenda;
• We weten niet wat we niet weten.

Onbewust menselijk handelen hoofdoorzaak

Uit de meldingen die de IBD ontvangt blijkt feitelijk dat de meeste incidenten onbedoeld ontstaan als gevolg van onbewust menselijk handelen en veel minder vaak het gevolg zijn van opzettelijke acties. Een verkeerd verzonden e-mail, een verloren usb-stick of een gestolen smartphone zorgt al snel voor een informatiebeveiligingsincident of een datalek, Gemeenten werken veel samen in complexe ketens met instellingen op het gebied van zorg, jeugd, werk en inkomen en veiligheid: risico’s voor gemeenten liggen daardoor ook in die ketens: een incident bij een toeleverancier of een ketenpartner kan verstrekkende gevolgen hebben. Het blijkt in de praktijk voor de gemeente complex om te sturen op informatieveiligheid, het gevolg is dat de waan van de dag de agenda bepaalt: een incident of een datalek leidt tot korte en hevige aandacht voor het onderwerp die daarna weer snel verslapt. Verder constateert de IBD dat er nog een grote slag te maken is bij het in de gaten houden en controleren van informatiestromen. Door monitoring en detectie worden incidenten sneller inzichtelijk en kunnen ze uiteindelijk beter worden voorkomen.

Trends en ontwikkelingen 2018: gijzelsoftware en schaduw ICT

In het rapport geeft de IBD naast een prioriteitsstelling voor bestuurders ook een overzicht van de ontwikkelingen die in de komende periode extra aandacht behoeven waar het gaat om informatiebeveiliging. Het gaat dan onder meer om de doorontwikkeling van gijzelsoftware, de steeds toenemende verbondenheid van objecten en sensoren via het internet of things en het gebruik van schaduw ICT buiten de ‘officiële’ door de organisatie beheerde systemen (zoals usb-sticks, prive-e-mail, diensten als Dropbox en Wetransfer).

Het is de bedoeling het Dreigingsbeeld Informatiebeveiliging gemeenten jaarlijks te publiceren.