{"id":15116,"date":"2021-10-28T14:11:37","date_gmt":"2021-10-28T12:11:37","guid":{"rendered":"https:\/\/www.solvinity.com\/?post_type=blog&p=15116"},"modified":"2025-07-09T17:04:20","modified_gmt":"2025-07-09T15:04:20","slug":"verslag-online-ronde-tafel-informatiebeveiliging-voor-gemeenten-deel-i","status":"publish","type":"blog","link":"https:\/\/www.solvinity.com\/nl\/blog\/verslag-online-ronde-tafel-informatiebeveiliging-voor-gemeenten-deel-i\/","title":{"rendered":"Ronde Tafel: Gemeentelijke Informatiebeveiliging"},"content":{"rendered":"

\"De<\/a><\/p>\n\t\t

\n\t\t\t\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t

<\/i> Home<\/span><\/a><\/span><\/span><\/p>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t

\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t
<\/div>\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t
\n\t\t\t
<\/div>\n\t\t<\/div>\n\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t
<\/div>\n <\/div>\n\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t28 oktober 2021\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t
Blogs<\/a><\/div>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t

Verslag online Ronde Tafel \u2018Informatiebeveiliging\u2019 voor gemeenten \u2013 Deel I<\/h1>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Solvinity en Quarant brachten woensdagochtend 13 oktober de I&A-verantwoordelijken van gemeenten en experts online bijeen voor de Ronde Tafel \u2018Informatiebeveiliging: breng je organisatie en techniek in balans\u2019. De bijeenkomst werd beoordeeld met een gemiddeld cijfer 8,8.<\/em><\/p>

In dit eerste deel doen we verslag van de resultaten van het vooronderzoek dat is afgenomen onder de deelnemers, en vind je aanbevelingen vanuit de praktijkcasus van Hof van Twente. In het volgende deel kun je meer lezen over de belangrijkste inzichten die op zijn gedaan tijdens de break-outsessies en de aanbevelingen vanuit Solvinity en Quarant over wat gemeenten kunnen doen om hun informatiebeveiliging te verbeteren.<\/em><\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t

\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t

Informatiebeveiliging: breng je organisatie en techniek in balans \u2013 Deel I<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Op 1 december 2020 \u2018viel de bom\u2019 bij Hof van Twente. Waar alle organisaties bang voor zijn, gebeurde bij deze gemeente. Hackers drongen de IT-omgeving binnen en bleken alle on-premises systemen te hebben gewist en de enige online back-up versleuteld. Hoe was dit mogelijk en hoe reageerde de gemeente? De casus van Hof van Twente was een treffende aanleiding om met gemeenten het thema informatiebeveiliging te bespreken. Hoe staan zij ervoor, waar lopen zij tegenaan, hoe organiseren zij informatieveiligheid nu de cyberdreiging groter dan ooit is?<\/strong><\/p>

Net als een half jaar geleden, tijdens de succesvolle Ronde Tafel over het\u00a0gemeentelijk I&A-beleid in het post-coronatijdperk<\/a>, was het een geanimeerde bijeenkomst over een actueel en urgent onderwerp. Er is vrijwel dagelijks nieuws over gehackte bedrijven en systemen, en ransomwareaanvallen. Het technische aspect is interessant: hoe houd je de poort gesloten? Maar, zou Jaap de Jonge van gemeente Hof van Twente bij zijn presentatie zeggen: \u201cTechniek is makkelijk.\u201d De factoren mens en organisatie zijn veel weerbarstiger. Een goede balans tussen deze drie componenten is essentieel voor het informatiebeveiligingsbeleid.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t

\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t
\n\t\t\t\t\t\t\t
\"40% doet een beroep op externe specialisten. De reden om hulp in te roepen is vooral de zorg om de bedrijfscontinu\u00efteit.\"\u200b<\/div>\n\t\t\t\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t\t\t
\n\t\t\t\t\t\t\t\"\"\t\t\t\t\t\t<\/div>\n\t\t\t\t\t\n\t\t\t\t\t\t\t\t\t<\/div>\n\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t

Volwassenheid informatiebeveiliging<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Om de thema\u2019s van de Ronde Tafel zo goed mogelijk aan te laten sluiten op de behoeften van de deelnemers is vooraf een digitaal vooronderzoek afgenomen. Hierin gaf de helft aan op volwassenheidsniveau 3 (op een schaal van 5) te zitten van de Baseline informatiebeveiliging Overheid (BIO), het door de BIO geadviseerde minimum. De andere helft zit op 1 en 2. Uitdagingen zitten volgens de deelnemers in het regie houden over uitbestede diensten, het beschermen tegen en monitoren van malware en online bedreigingen, en het garanderen van de bedrijfscontinu\u00efteit (back-ups, redundante systemen). Hoe ga je de toenemende cyberdreiging tegen? Ruim een kwart wil dat doen door het interne beveiligingsteam uit te breiden. 40% doet een beroep op externe specialisten. De reden om hulp in te roepen is vooral de zorg om de bedrijfscontinu\u00efteit. Gevraagd naar in hoeverre medewerkers betrokken worden bij de informatiebescherming, geven de meesten aan dat dat beperkt blijft tot cursussen en e-learnings. Bij 70% maakt informatieveiligheid geen deel uit van de functioneringscyclus.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\"\"\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\"\"\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Na het presenteren van de belangrijkste onderzoeksresultaten nam beleidsmedewerker informatievoorziening Jaap de Jonge van gemeente Hof van Twente het virtuele podium. Jaap besprak de casus van Hof van Twente<\/a> en gaf een bijzondere inkijk uit eerste hand in de hack en het herstel bij de gemeente. Niet alleen in wat er technisch fout ging, maar ook wat het in bredere context teweeg bracht. \u201cMaak niet de fouten die wij gemaakt hebben\u201d, was vooral zijn boodschap.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t

\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t
\n\t\t\t\t\t\t\t
\"Vertrouwen is goed, controle is beter.\"<\/div>\n\t\t\t\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t\t\t
\n\t\t\t\t\t\t\t\"\"\t\t\t\t\t\t<\/div>\n\t\t\t\t\t\n\t\t\t\t\t\t\t\t\t<\/div>\n\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t

Principieel besluit: niet betalen<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

De oorzaak van de hack was kortweg een combinatie van een FTP-server die van buitenaf bereikbaar was en een admin-account met een te simpel wachtwoord. Verder bleek er geen DMZ (demilitarized zone – een \u2018niemandsland\u2019 als barri\u00e8re) te zijn en was de IT-omgeving nauwelijks gesegmenteerd, waardoor de hackers – eenmaal binnen – vrijwel overal bij konden. Alle on-premises systemen (applicatie-, database- en fileservers) plus virtuele desktops waren gewist en de online back-up (de enige) was versleuteld. Na onderzoek bleek overigens dat de hackers anderhalve maand eerder al binnen waren gekomen.<\/p>

Na de eerste \u2018volledige ontreddering\u2019 werd het systeem weer opnieuw opgebouwd. De gemeente nam een principieel besluit om de hackers niet te betalen. Een vraag van een deelnemer was of dit geen mooie aanleiding was om meteen het applicatielandschap volledig te vernieuwen. Jaap gaf aan dat de chaos en ontreddering te groot waren om de organisatie ook nog te belasten met de invoering van nieuwe applicaties.<\/p>

Een aantal aanbevelingen van Jaap de Jonge:<\/p>