‘Stilzwijgen ict-problemen gebeurt te veel’

‘Iedere bestuurder heeft op dit moment een dijk van een probleem’, zegt ict-deskundige Brenno de Winter. ‘Je denkt het juiste te doen, maar krijgt geen reflectie op wat echt belangrijk blijkt.’ De Winter schreef een duidend rapport over de hack van Hof van Twente, de gemeente die de pech heeft het boegbeeld te zijn van de digitale kwetsbaarheid van gemeenten. Hof van Twente koos voor openheid, maar De Winter ziet dat stilzwijgen nog te veel gebeurt.

Jericho-gedachte

‘Wat veel overheden niet begrijpen is dat hun tegenstanders serieuze actoren zijn zoals staten.’ De beveiliging moet dus op orde zijn, maar het valt De Winter op dat veel organisaties waar hij komt de basiszaken niet op orde hebben. Daar begint een goede verdediging mee: netwerksegmentering, meerfactor-authorisatie. ‘Organisaties werken nog vanuit de Jericho-gedachte: buiten is onveilig, binnen is veilig. Als iemand de eerste horde heeft genomen dan zijn ze binnen.’

Hoos aan ransomware

De Winter waarschuwt daarom voor de Exchange-bug: relatief makkelijk kon er een onbeveiligde verbinding worden aangelegd met de servers van het Microsoft-mailsysteem. Er kwam een update, maar wie die destijds niet snel genoeg heeft geïnstalleerd, kan ervan uitgaan dat er aanvallers zijn binnengedrongen. ‘Ik denk dat dit nog een hele grote hoos aan ransomware en platgelegde netwerken gaat opleveren.’

Best goed

Een belangrijke conclusie is dat de stuurinformatie die het bestuur krijgt over de ict, niet voldoet. ‘Als ik die stukken los zou krijgen en niet beter zou weten dan zou ik ook vinden dat het er best goed uitziet. Met kennis van de omgeving weet je dat het niet matcht, maar een bestuurder heeft dat niet door.’

Defensie

‘Je ziet aan de informatie of een systeem wel of niet functioneert, maar dat is voor de detectie van een aanval echt onvoldoende. Daar is aanvullende monitoring voor nodig. GGI-Veilig biedt dit, maar daar zijn maar weinig gemeenten op aangesloten.’ De realisatie van wie de tegenstanders kunnen zijn, is nog niet doorgedrongen. ‘Je moet niet beveiligen als Hof van Twente, maar als Defensie.’

Goedpraten

De gemeenteraad was kritisch op het rapport van het college dat het forensisch rapport van NFIR en het duidende rapport van De Winter vergezelde. Het collegerapport meldt dat er verantwoording en lering nodig is, maar trekt snel de conclusie dat het iedereen kan overkomen. ‘Het leest alsof het is bedoeld om goed te praten’, sprak D66-fractievoorzitter Alice Olde Reuver of Briel. ‘Je zag dat de raad zich niet kon voorstellen dat het bij andere organisaties ook zo is gesteld’, merkt De Winter op.

Ernstige risico’s

‘Als je wat er misging bij Hof van Twente op een rijtje zet dan is het ook veel, maar ik hoef alleen maar te wijzen op de NWO.’ In februari kreeg een hackersgroep toegang het netwerk van NWO en lekte interne documenten op het dark web. Wekenlang ondervond de organisatie problemen. ‘Zo is het breed, bij overheden en bedrijven. Zouden Den Haag en Amsterdam het zo goed op orde hebben, zo groot als zij zijn gegroeid?’ Eerder deze maand concludeerde de Utrechtse rekenkamer nog dat er ernstige risico’s zijn bij de informatieveiligheid van de gemeente.

Stilzwijgen

De Winter vindt het een goed idee dat het college van Hof van Twente het rapport gaat uitbreiden met de geleerde lessen. ‘Je moet altijd kijken naar wat er niet goed is gegaan. Ze hebben hun cultuur in no-time omgebouwd en dit stukje hoort daar nog even bij. Daar moet tegenover staan dat het ok is om fouten te maken.’ En niet proberen stil te houden wat er is misgegaan. ‘Stilzwijgen gebeurt heel veel. Het gebeurt geregeld dat ik bij een partij kom die niet naar buiten wil treden. Dat is gewoon niet goed.’

Lees hier het volledige artikel in Binnenlands Bestuur nr. 7.