Veel gemeenten zijn niet voorbereid op aanvallen van cybercriminelen. Laat staan dat er draaiboeken klaarliggen waarin staat wat gedaan moet worden bij een hack. In sommige gevallen hebben gemeenten niet eens tweestapsverificatie ingesteld voor hun medewerkers, blijkt uit een rondgang van vakbladen AG Connect en Binnenlands Bestuur.
Naar aanleiding van incidenten in Hof van Twente en Lochem stelde journalist Sjoerd Hartholt samen met privacy-deskundige Brenno de Winter vragen over de voorbereiding van gemeenten op eventuele hacks. 'Hebben gemeenten draaiboeken klaarliggen? Wordt er in gemeenteraad over gesproken en is er Rekenkameronderzoek gedaan? Veel gemeenten zijn er teleurstellend weinig mee bezig en van de 50 benaderde gemeenten antwoordden er slechts 27.'
Waarom?
Wat de gemeenten bezielt om de beveiliging zo te verwaarlozen vindt Hartholt lastig te zeggen. 'Veel gemeenten vinden dat ze er hard aan trekken en dat het allemaal niet zo slecht gaat. Maar ondertussen hebben ze simpele dingen niet op orde of schuiven ze eenvoudig onderzoek voor zich uit. Gemeenten zijn bang dat aanvallen van buitenaf van ethisch hackers veel reuring en vaak een kritisch rapport opleveren; Rekenkameronderzoeken zijn vaak vernietigend.'
Na het recente incident in Hof van Twente mag je hopen dat er een gevoel van urgentie is, zegt Hartholt. Toch houden veel gemeenten zich nog angstvallig stil. 'Concrete antwoorden blijven vaak uit. Bij andere vragen was het antwoord: 'we kunnen dat niet zeggen, want het is mogelijk gevoelige informatie', terwijl dat helemaal niet zo was. Het viel ook op dat gemeenten vaak niet goed kunnen uitleggen wat ze precies doen - ook een teken aan de wand.'
Andere gemeenten zouden een voorbeeld kunnen nemen aan Den Haag, dat een jaarlijks hack-evenement organiseert met meer dan honderd hackers. 'Die krijgen compleet vrij spel en ze leggen elk jaar enorme gaten en risico's bloot. Dat is misschien niet fijn, maar daar heb je wel het meeste aan.' De kostenafweging is aan de gemeenten, maar in het geval van Hof van Twente is de investering een schijntje ten opzichte van de voorkomen schade.
Reactie
Volgens de Vereniging Nederlandse Gemeenten spelen de problemen niet alleen bij gemeenten, maar maatschappijbreed. Daarom moet je gemeenten er niet meteen op afrekenen als je makkelijk binnenkomt als hacker. Die reactie komt voor Hartholt niet onverwacht. 'Maar volgens mij moet je juist als overheid vooroplopen. Het is goed dat de VNG via een speciaal loket speciale zaken aanbiedt om het beter te doen, maar gemeenten moeten daar zelf ook stappen in zetten.'
Remco Groet is van de informatiebeveiligingsdienst voor gemeenten, onderdeel van de Vereniging van Nederlandse Gemeenten (VNG). Hij is niet enthousiast over de conclusies. 'We herkennen de voorbeelden uit het onderzoek wel, maar het is wel erg selectief. Er worden allerlei negatieve zaken belicht, maar informatiebeveiliging is veel meer dan dat.'
Groet protesteert met name tegen het beeld dat wordt geschetst van gemeenten. 'Het lijkt nu net alsof wij informatiebeveiliging als enige niet op orde hebben, terwijl dat net zo goed geldt voor de rest van de publieke en de private sector.'
Wel erkent hij dat de overheid een voorbeeldfunctie heeft en dat er nog veel werk te verzetten is.
Bron: bnr.nl
Meer info over Cybercrime
Tips of verdachte activiteiten gezien? Meld het hier.
Cybercrime gerelateerde berichten
Hack op netwerk van Belgisch ministerie na twee jaar ontdekt
De zaak kwam aan het licht door de Hafnium-affaire, waarbij (Chinese) hackers computers binnendrongen via veiligheidslekken in Microsoft Exchange. “Omdat ze zo professioneel te werk gaan, wordt al snel gekeken naar grote mogendheden en wordt ook naar China verwezen. Maar dat kan op dit moment niet bevestigd worden", aldus VTM-journalist Julie Colpaert.
België pakt Cybercrime aan met 'cyberstrategie 2.0'
De opkomst van een steeds digitalere samenleving en het toenemend gebruik van nieuwe technologieën gaan wereldwijd gepaard met meer cyberaanvallen, maar ook, zoals de recente gebeurtenissen nogmaals hebben aangetoond, met steeds uitgebreidere en ernstigere aanvallen.
Aanhouding in onderzoek naar Remote Access Trojans (RAT’s)
De politie heeft in een onderzoek naar cybercrime een 28-jarige man in Lelystad aangehouden. De man wordt verdacht van het gebruiken van Remote Access Trojans (RAT’s), kwaadaardige software waarmee cybercriminelen computers van slachtoffers kunnen binnendringen en overnemen. Ook heeft de politie twee woningen en een bedrijfspand doorzocht, waarbij administratie, gegevensdragers en twee auto’s in beslag zijn genomen.
Moet er eerst een ramp gebeuren bij de Rijksoverheid?
Bij elf van de achttien onderzochte overheidsorganisaties is de informatiebeveiliging niet op orde. Over de gehele linie is de stand van informatiebeveiliging niet anders dan in 2019. Toch is er het afgelopen jaar vooruitgang geboekt en hebben organisatie waar de informatiebeveiliging niet op orde was daar werk van gemaakt. Dat heeft er echter niet toe geleid dat tekortkomingen en onvolkomenheden zijn opgelost.
Cybercrime complexe onderzoeken met 95 procent gegroeid
Afgelopen jaar zat cybercriminaliteit in de lift. Dat heeft ervoor gezorgd dat de politie meer verdachten van WhatsApp-fraude, identiteitsfraude en andere vormen van cybercrime heeft gearresteerd. Tegelijkertijd werden er minder verdachten veroordeeld voor online gerelateerde misdrijven.
Malware Moriya heeft controle over de Windows-kernel
Cybersecurity onderzoekers hebben TunnelSnake blootgelegd, een lopende advanced persistent threat (APT) campagne, die actief is sinds 2019. De APT richtte zich op regionale en diplomatieke organisaties in Azië en Afrika. De aanvallers hebben een voorheen onbekende rootkit ingezet, die de naam Moriya heeft gekregen. Dit stuk malware, met bijna volledige macht over het besturingssysteem, stelde bedreigingsactoren in staat om netwerkverkeer te onderscheppen en kwaadaardige instructies te verbergen die werden gegeven aan de geïnfecteerde organisaties. Dit leidde ertoe dat de aanvallers maandenlang stiekem de controle hadden over de netwerken van de beoogde instanties.