Veiligheidsrisico’s door oude software en achteloos gedrag

De gemeente Utrecht werkt met verouderde software die geen beveiligingsupdates meer ontvangt. Dat vormt een groot risico voor de informatieveiligheid. Ook spreken medewerkers elkaar nog steeds te weinig aan op risicovol gedrag. Dat staat in een recent verschenen rapport van de Rekenkamer Utrecht.

Geen updates

Ondanks verbeteringen op het gebied van digitale beveiliging, blijven er zowel technische als organisatorische zwakheden die de veiligheid ondermijnen. Een belangrijk probleem is dat de gemeente onvoldoende zicht heeft op welke softwareprogramma’s verouderd zijn of binnenkort niet meer worden ondersteund. Diverse systemen ontvangen geen updates meer, waardoor ze kwetsbaar worden voor hackers. 

Volgens de onderzoekers heeft het contract- en leveranciersbeheer, dat decentraal is belegd bij individuele managers en systeemeigenaren, de afgelopen jaren onvoldoende aandacht gekregen. De Rekenkamer roept Utrecht op om verouderde software snel in kaart te brengen en de risico’s te beheersen. De situatie is niet nieuw. In 2021 werden bij de gemeente meerdere kritieke technische risico’s vastgesteld.

Inmiddels verholpen

Uit het recente rekenkamerrapport blijkt dat vrijwel al deze technische problemen inmiddels zijn verholpen. Toch is deze vooruitgang onvoldoende zolang verouderde software blijft bestaan, benadrukken de onderzoekers. Ze zien een risico in het gebrek aan zicht op producten die end-of-life zijn of dreigen te worden. Naast de technische problemen blijft het gedrag van medewerkers een grote uitdaging. 

Uit interviews en tests blijkt dat ambtenaren vaak onzorgvuldig omgaan met veiligheidsvoorschriften. Ze volgen bijvoorbeeld onvoldoende verplichte e-learningmodules over informatieveiligheid. Ook zijn zij zich vaak niet bewust van de gevaren van gevonden USB-sticks of phishingpogingen, waarbij kwaadwillenden zich voordoen als ict-medewerkers. 

Menselijk gedrag 

Volgens de Rekenkamer is het gedrag van medewerkers onvoldoende veranderd sinds 2021. Leidinggevenden zorgen bovendien niet altijd voor strikte naleveing van het beleid. Dat versterkt een cultuur waarin informatieveiligheid onvoldoende serieus wordt genomen. Voor het onderzoek werd een extern bureau ingeschakeld om de informatieveiligheid in de praktijk te testen. 

Dat gebeurde met zogeheten penetratietesten, waarbij ethische hackers probeerden toegang te krijgen tot gemeentelijke systemen. Hoewel deze digitale aanvallen werden afgeslagen, kwamen er via social engineering wel kwetsbaarheden aan het licht. Zo wisten onderzoekers medewerkers te overtuigen om inloggegevens te delen. 

Ook slaagden zij erin zonder toegangspas ongezien door te dringen tot beveiligde delen van het Stadskantoor en het Stadhuis. Dat benadrukt volgens de Rekenkamer dat fysieke beveiliging en menselijk gedrag net zo belangrijk zijn als technische maatregelen. 

Cultuurverandering 

De Rekenkamer concludeert dat de organisatiecultuur op het gebied van informatieveiligheid nauwelijks is verbeterd sinds het vorige onderzoek. Medewerkers spreken elkaar nog steeds te weinig aan op risicovol gedrag. Hierdoor blijft de mens de zwakste schakel in de beveiliging van de gemeente. 

De Rekenkamer adviseert Utrecht om stevig in te zetten op een cultuurverandering. Dat betekent niet alleen het vergroten van het informatiebewustzijn, maar ook strikter toezien op naleving van regels. Medewerkers moeten leren proactief onbekenden aan te spreken en verantwoordelijkheid te nemen voor de veiligheid van hun werkomgeving.