De Informatie Beveiliging Dienst (IBD) heeft het eerste Dreigingsbeeld Informatiebeveiliging Nederlandse Gemeenten gepubliceerd. Dit heeft als doel gemeenten weerbaarder te maken op het gebied van informatiebeveiliging door inzicht te geven in de belangrijkste risico’s.

Uit het dreigingsbeeld komt de factor mens als grootste risico naar voren. Onbewuste en onbedoelde acties blijken een groter risico dan bewuste en gerichte aanvallen. De IBD baseert dit beeld op interviews met informatiebeveiligers van gemeenten en een analyse van meldingen en incidenten. De IBD komt tot een top 5 van belangrijkste (be)dreigingen voor de gemeentelijke informatievoorziening, Het rapport dat dit jaar voor het eerst verschijnt, kan gezien worden als de gemeentelijke aanvulling op het Nationaal Cybersecuritybeeld (CSBN) van het Nationaal Cyber Security Centrum (NCSC).

Top vijf
De vijf belangrijkste bedreigingen voor de lokale informatievoorziening die worden gesignaleerd zijn mensen die fouten maken, de kwetsbaarheid van gemeenten, dreigingen die (vlak) buiten de eigen organisatie liggen, de agenda die door de waan van de dag wordt bepaald en het niet weten wat we niet weten.
Uit de meldingen die de IBD ontvangt blijkt feitelijk dat de meeste incidenten onbedoeld ontstaan als gevolg van onbewust menselijk handelen en veel minder vaak het gevolg zijn van opzettelijke acties. Een verkeerd verzonden e-mail, een verloren usb-stick of een gestolen smartphone zorgt al snel voor een informatiebeveiligingsincident of een datalek.

Complexe ketens
Gemeenten werken veel samen in complexe ketens met instellingen op het gebied van zorg, jeugd, werk en inkomen en veiligheid. Risico’s voor gemeenten liggen daardoor ook in die ketens: een incident bij een toeleverancier of een ketenpartner kan verstrekkende gevolgen hebben. Het blijkt in de praktijk voor de gemeente complex om te sturen op informatieveiligheid, het gevolg is dat de waan van de dag de agenda bepaalt: een incident of een datalek leidt tot korte en hevige aandacht voor het onderwerp die daarna weer snel verslapt. Verder constateert de IBD dat er nog een grote slag te maken is bij het in de gaten houden en controleren van informatiestromen. Door monitoring en detectie worden incidenten sneller inzichtelijk en kunnen ze uiteindelijk beter worden voorkomen.

Gijzelsoftware en schaduw ICT
In het rapport geeft de IBD naast een prioriteitsstelling voor bestuurders ook een overzicht van de ontwikkelingen die in de komende periode extra aandacht behoeven waar het gaat om informatiebeveiliging. Het gaat dan onder meer om de doorontwikkeling van gijzelsoftware, de steeds toenemende verbondenheid van objecten en sensoren via het internet of things en het gebruik van schaduw ICT buiten de ‘officiële’ door de organisatie beheerde systemen (zoals usb-sticks, prive-e-mail, diensten als Dropbox en Wetransfer).

Het is de bedoeling het Dreigingsbeeld Informatiebeveiliging gemeenten jaarlijks te publiceren.