Onderzoek: gemeenten te weinig weerbaar tegen cyberaanvallen

Gemeenten nemen ondanks geruchtmakende incidenten weinig maatregelen tegen cyberaanvallen. Bijna de helft oefent niet met aanvallen van buitenaf en ook bij de rekenkamers staat informatiebeveiliging niet hoog op de agenda. Dat blijkt uit onderzoek van Binnenlands Bestuur en AG Connect waar 27 gemeenten aan meededen. Bij een aanzienlijk deel van de gemeenten ontbreekt een draaiboek voor een digitale crisis.

‘Teleurstellend’

Dat veel gemeenten nog altijd niet oefenen met aanvallen van buitenaf, noemt Brenno de Winter ‘erg teleurstellend’. De ict-deskundige gaf duiding toen de gemeente Hof van Twente was getroffen door een hack. Uit de antwoorden van het onderzoek blijkt volgens hem ‘dat oefenen met cybersecurityaanvallen lang niet vanzelfsprekend is voor gemeenten. Sommige geven aan dit wel van plan te zijn, andere laten het volledig afweten.’

Zes van de 27 gemeenten oefenen niet met simulaties van digitale aanvallen en elf doen het gedeeltelijk of zijn dergelijke oefeningen nu pas aan het voorbereiden. De Winter: ‘Dit past bij het beeld dat in plaats van een echte test voorkeur wordt gegeven aan vrijblijvende bijeenkomsten waar iemand een toespraakje houdt.’

 Van binnenuit

Ongeveer een op de drie gemeenten verrichte in de afgelopen vijf jaar rekenkameronderzoek naar informatiebeveiliging. Bij interne penetratietesten (dat wil zeggen: vanuit het gemeentelijke gebouw) vonden de onderzoekers vrijwel altijd kritieke kwetsbaarheden. Begin april bleek nog dat de gemeente Utrecht met name van binnenuit kwetsbaar is.

 Kennis ontbreekt

Binnenkomen is meestal geen probleem. ‘In de praktijk lukt het vrijwel altijd om tijdens een fysieke inlooptest binnen te komen’, laat een externe onderzoeker weten in een van de rekenkameronderzoeken. Dat er weinig rekenkameronderzoek naar informatiebeveiliging wordt verricht, komt volgens De Winter mogelijk doordat rekenkamers dergelijk onderzoek moeilijk vinden omdat de relevante kennis ontbreekt.

ENSIA

Het gebrek aan technische kennis is een veel voorkomend probleem, ook bij besturen en gemeenteraden. Die moeten dus goed op de hoogte worden gehouden. Het is daarom niet ideaal dat ruim een derde van de gemeenten aangeeft dat informatiebeveiliging niet periodiek wordt geagendeerd of dat er vooral wordt vertrouwd op de ENSIA-beveiligingsaudits. De Winter schreef daar in zijn duidend rapport voor Hof van Twente over dat dit vanwege het hoge technische gehalte onvoldoende geschikt is als stuurinformatie.

 Draaiboeken

Een draaiboek voor een digitale crisis is bij gemeenten vaak niet aanwezig, zo blijkt verder uit de resultaten. Bij bijna een op vijf gemeenten ligt dit niet klaar. ‘Opvallend: zo’n draaiboek hadden ook Lochem en Hof van Twente niet toen bij hen een crisis uitbrak. In algemene zin ontbreekt het vooral bij kleinere gemeenten’, aldus De Winter. ‘En als je niet oefent met aanvallen van buitenaf, gaat dat draaiboek er ook niet komen. Je wilt een oefening draaien waarin alles in het honderd loopt, zodat er na afloop een gevoel ontstaat van: daar moeten we iets mee.