Organisaties die belang hechten aan hun informatie moeten ervoor zorgen dat de informatiebeveiliging goed is geregeld. Als de informatiebeveiligingsprocessen niet voldoende zijn ingericht en er geen duidelijke afspraken en verantwoordelijkheden worden vastgelegd, is de kans aanwezig dat een incident (te) laat wordt gesignaleerd. Via een volwassenheidsmeting wordt inzicht verkregen op welk niveau de informatiebeveiliging is georganiseerd.
DOCUMENT
Het doel is dat de betrokken partijen leren van dit onderzoek. Tevens is een doel om testen en oefenen te stimuleren om zo de informatiebeveiliging te verbeteren. Door goede praktische voorbeelden op dit thema met elkaar te delen kan dit thema verder worden gestimuleerd. Testen en oefenen vormen essentiële onderdelen van professionele informatiebeveiliging. Door te testen ontstaat een concreet beeld van de kwaliteit van de informatiebeveiliging en de verbeterpunten hierin. Door te oefenen kunnen de verbeterpunten worden aangepakt. Vanuit deze gedachte is er behoefte aan een onderzoek dat resulteert in een praktisch en gedragen advies dat antwoord geeft op de volgende onderzoeksvragen: 1. Wat is de huidige situatie van testen en oefenen in het kader van informatiebeveiliging bij de sectoren provincies,gemeenten en waterschappen? 2. Wat is op dit gebied de gewenste situatie en behoefte bij deze overheden? 3. Wat is nodig om de gewenste inzet van testen en oefenen ten behoeve van de verbetering van informatiebeveiliging door deze overheden te bereiken
DOCUMENT
Recente incidenten met ransomware tonen aan dot veel organisaties hun informatiebeveiliging nog niet op orde hebben. Informatiebeveiliging op orde brengen vraagt naast technische middelen ook om beleid en informatiebeveiligingsbewustzijn bij medewerkers. Deze combinatie betekent dot het een illusie is te denken dot organisaties van de ene op de andere dog hun informatiebeveiliging op orde kunnen hebben. Er is behoefte aan een model waarlangs organisaties stappen kunnen zetten om hun informatiebeveiliging op orde te brengen. Linkedin: https://www.linkedin.com/in/herman-de-bruine-b0aa9b4/ https://www.linkedin.com/in/fabio-lucero-garau-04836080/ https://www.linkedin.com/in/marcelspruit/
DOCUMENT
Informatiebeveiliging is actueel. Hoe vaak lezen we in de krant niet dat er weer een bedrijf of instelling getroffen is? En dan valt het nog mee als de schade zich beperkt tot één organisatie, want voor hetzelfde geld wordt een hele regio 'platgelegd', zoals heel Rome door een grootschalige stroomstoring op 28 september jl. Dat kan hier ook gebeuren. En de berichten in de media zijn nog maar het topje van de ijsberg; dat zijn de echte calamiteiten, waarbij doden en gewonden zijn gevallen. Kleinere incidenten komen veel vaker voor. Vaker dan u denkt. Elk moment kan uw computer crashen, een hacker uw website binnendringen, het netwerk verstopt raken, of een nieuw computervirus uw bestanden aantasten. We hebben de neiging om de kans van al die bedreigingen te bagatelliseren. Hoe vaak hoor je niet uitspraken zoals bijvoorbeeld "er is bij ons toch niets te halen", of "de kans op brand is zó klein"? We hebben er zelfs een spreekwoord voor, eentje over een kalf en een put. Blijkbaar is het heel gewoon om niets te doen tot het te laat is; tot we zelf getroffen zijn. En als er dan wel maatregelen getroffen worden, dan is het vooral om huis en haard te beschermen. Maar hoe zit het dan met de informatiesystemen en de peperdure informatie daarin? De informatie waar het voortbestaan van de organisatie van afhangt? Daaraan moet nog heel wat verbeterd worden.
DOCUMENT
Er is wereldwijd een toenemend tekort aan goed opgeleide en eNaren informatiebeveiligers. Om daarop te anticiperen zijn voor informatiebeveiliging meer volwaardige opleidingsmogelijkheden nodig. Bovendien is meer harmonisatie van bestaande en nieuwe nformatiebeveiligingsopleidingen gewenst om beter door te kunnen stromen naar veNolgopleidingen en deelopleidingen aan andere opleidingsinstellingen te kunnen volgen. In dit artikel delen we de eNaringen met het opzetten van een geaccrediteerde masterstudie in de informatiebeveiliging, gebaseerd op een estandaardiseerd PvlB-beroepsprofiel en het onderliggende Europese e-Competence Framework. LinkedIn: https://www.linkedin.com/in/marcelspruit/
DOCUMENT
Testen en oefenen zijn essentiële onderdelen van professionele informatiebeveiliging. Door te testen en te oefenen ontstaat zicht op kwetsbaarheden in techniek en organisatie. Daarmee draagt het bij aan de feitelijke digitale veiligheid. Het Directoraat-generaal Digitalisering en Overheidsorganisatie van BZK wil meer inzicht in de wijze waarop gemeenten, provincies en waterschappen testen en oefenen ten behoeve van de informatieveiligheid en welke knelpunten daarbij worden ervaren. Daarom heeft BZK aan ICTU opgedragen om dit samen met de Haagse Hogeschool te onderzoeken. Dit adviesrapport is hiervan het resultaat. BZK wenst het rapport te gebruiken om het testen en oefenen bij medeoverheden te stimuleren.
MULTIFILE
Mensen maken fouten, ook ten aanzien van de informatieveiligheid. Om deze fouten aan te kunnen pakken is inzicht in menselijk gedrag nodig. Dit vraagt om een praktisch en wetenschappelijk gefundeerd gedragsverklarend model. Die modellen zijn gangbaar in de informatiebeveiligingswereld, maar hebben zo hun beperkingen. Daarom presenteren we hier een alternatief
DOCUMENT
Uit internationaal onderzoek is bekend dat mensen die zich niet volgens de regels gedragen hun ongewenste gedrag goedpraten. Mensen weten vaak wel dat ze zich op een bepaalde manier behoren te gedragen, maar gebruiken excuses, ofwel neutralisatietechnieken, om het gewenste gedrag niet te hoeven vertonen. Met andere woorden: ze redeneren het onprettige gevoel dat het overtreden van regels met zich meebrengt weg. Ze denken bijvoorbeeld: ‘het is niet mijn verantwoordelijkheid’, ‘het kan geen kwaad’, ‘ik heb geen andere keuze’ of ‘vergeleken met wat anderen doen, valt dit wel mee’. In dit artikel bespreken we een recent TNO-onderzoek waarbij we de vraag stellen: is het mogelijk om regelopvolging op het gebied van informatiebeveiliging te vergroten door het uitschakelen van neutralisatietechnieken door een gedragsinterventie? Recente andere onderzoeken laten namelijk zien dat training of communicatie kan leiden tot een vermindering van het gebruik van neutralisatietechnieken door medewerkers en tot een sterkere intentie om veilig gedrag te vertonen
DOCUMENT
De cybersecuritybranche hamert al enige tijd op het feit dat een toenemend aantal organisaties te maken krijgt met verscherpte securityregels. Niet alleen omdat de NIS2- richtlijn en de opvolger van de Wet Beveiliging Netwerk- en Informatiebeveiliging (Wbni). Maar vooral om dat cyberdreigingen steeds complexer en aanvallen professioneler worden. Informatiesystemen blijven kwetsbaar en daar moet je je tegen wapenen. Niet in de laatste plaats omdat de IT-omgeving inmiddels zo nauw geïntegreerd is met de OT infrastructuur, dat continuïteit van processen die ons helpen in het dagelijks leven onder druk komt te staan. Van slagbomen voor parkeerterreinen tot waterpompen en sluizen om ons land droge voeten te garanderen. Voor toekomstige bedrijfsinnovatie is verdere integratie van systemen ook noodzakelijk. En uw securitybeleid helpt hierbij.
DOCUMENT
Aanleiding Gemeenten zijn in hoge mate afhankelijk van digitale systemen. Als deze systemen onbedoeld uitvallen of aangevallen worden, kan dit grote gevolgen hebben voor de dienstverlening aan burgers en/of de interne bedrijfsvoering. Recente gevallen zoals de aanvallen op de gemeente Lochem (2019) en Hof van Twente (2020), en de Citrix-kwetsbaarheid (2019) hebben duidelijk gemaakt dat cyberincidenten grote impact kunnen hebben, niet te voorkomen zijn en zelfs kunnen uitmonden in een cybercrisis. Gemeenten moeten zich voorbereiden op cybercrises waarbij zij zelf het slachtoffer zijn. Daarnaast kunnen gemeenten geconfronteerd worden met de fysieke gevolgen die ontstaan wanneer een organisatie gevestigd in de gemeente getroffen wordt door een cyberaanval. Denk hierbij aan een ziekenhuis dat door een aanval haar ICT niet meer kan gebruiken en daardoor de deuren moet sluiten. In een dergelijk geval zijn gemeenten betrokkenen en zullen zij samen met de veiligheidsregio(‘s) moeten acteren om de problemen in het fysieke domein aan te pakken. In dit verkennende onderzoek gaan we nader in op het fenomeen cybercrisis binnen gemeenten waarbij we onderscheid maken tussen cybercrisis waarbij gemeenten (1) slachtoffer zijn of (2) betrokkene. Onderzoeksdoelen en vragen Cybercrises in het algemeen en binnen de gemeentelijke context in het bijzonder zijn nog maar beperkt beschreven in de (wetenschappelijke) literatuur. Het hoofddoel van het onderzoek is om inzicht te verschaffen in de ervaringen die gemeentelijke medewerkers hebben met cybercrisis als ‘slachtoffer’ en ‘betrokkene’ en hoe zij kijken naar de rollen en uitdagingen die er zijn. Het hoofddoel is opgesplitst in twee hoofdvragen: (1) Welke uitdagingen ervaren gemeenten bij (de voorbereiding op) cybercrisis die de gemeentelijke organisatie raken? En (2) Welke uitdagingen ervaren gemeenten bij (de voorbereiding op) cybercrisis die plaatsvinden bij organisaties gevestigd in de gemeente en (kunnen) leiden tot problemen in het fysieke domein? Methoden van onderzoek Er is een literatuurstudie uitgevoerd die als basis heeft gediend voor semigestructureerde interviews. In de periode van 1 juli tot 1 december 2020 hebben 22 interviews plaatsgevonden met medewerkers van 18 verschillende gemeenten. Het merendeel van respondenten was werkzaam als Chief Information Security Officer (CISO) (N = 15), Adviseur Openbare orde en Veiligheid (AOV) (N = 9) en Adviseur informatiebeveiliging (N = 6). Beantwoording hoofdvragen De grootste uitdagingen voor gemeenten bij (de voorbereiding op) cybercrisis die de gemeentelijke organisatie raken zijn: (1) tijdens de warme fase verwacht men van de CISO soms een leidinggevende rol in plaats van de dagelijkse adviserende rol, (2) informatie gaat veelal sneller via informele kanalen dan via de formele kanalen, (3) CISOs gebruiken de crisiskennis van AOV-ers onvoldoende (4) (voorbereiding op) cybercrisis is nog te veel een IT-feestje, (5) oefenen is belangrijk maar gebeurt nog te weinig, en (6) kleine gemeenten hebben geen draaiboeken of crisisplannen, grote gemeenten wel. Gemeenten hebben nauwelijks ervaring met cybercrises die de gemeentelijke organisatie raken. De grootste uitdagingen voor gemeenten bij (de voorbereiding op) cybercrisis die plaatsvinden bij organisaties gevestigd in de gemeente zijn: (1) er is binnen gemeenten en veiligheidsregio’s weinig cyber-expertise en kennis van de CISO wordt niet benut, (2) gemeenten worstelen met hun rol bij een dergelijke crisissituatie, (3) de rolverdeling tussen de gemeente en veiligheidsregio is onduidelijk bij een dergelijke crisissituatie, en (4) gemeenten vinden dat organisaties allereerst zelf verantwoordelijk zijn voor respons en mitigatie. Geen van de respondenten heeft ervaring opgedaan met een cybercrisis bij een organisatie gevestigd in de gemeente. Conclusie De eerste conclusie is dat gemeenten beperkt voorbereid zijn op cybercrisis en onvoldoende zicht hebben in hoeverre bestaande plannen en niet-geformaliseerde werkwijzen voldoende zijn om de impact van cybercrisis te kunnen beperken, mede omdat er niet wordt geoefend. De tweede conclusie is dat nog een wereld te winnen is bij een actievere samenwerking tussen CISOs en AOV-ers. De derde conclusie is dat deelnemende gemeenten nog geen ervaring hebben met cybercrisis waarbij ze enkel ‘betrokkene’ zijn. De belangrijkste theoretische bijdrage is dat we geen aanwijzingen hebben gevonden dat de generieke literatuur over crisisbeheersing niet van toepassing zou kunnen zijn op cybercrisis. Dit onderzoek is uitgevoerd onder een beperkt aantal gemeenten. Om een rijker en completer beeld te krijgen van cybercrisis bij gemeenten, adviseren we om een vervolgonderzoek uit te zetten bij meer gemeenten, bijvoorbeeld in de vorm van een vragenlijstonderzoek. Ander vervolgonderzoek zou zich kunnen richten op het meten van de mate van voorbereiding van gemeenten op cybercrisis, slimme manieren waarop gemeenten hun voorbereiding kunnen verbeteren en op cyberincident- en cybercrisisevaluaties.
DOCUMENT
