"Elke gemeente moet eigen hacker krijgen"
Elke Nederlandse gemeente zou eigen hackers in dienst moeten nemen, aldus burgemeester Han Polman, tevens bestuurslid van de Vereniging Nederlandse Gemeenten (VNG). De DigiNotar-affaire en Lektober liggen bij veel gemeenten nog vers in het geheugen. Ook de beveiliging van SCADA, de systemen die kritieke infrastructuur zoals dijken en sluizen besturen, zou op veel locaties te wensen overlaten. Toch is het niet zo erg zoals onlangs door EenVandaag werd weergegeven, aldus Polman.
De boodschap dat de SCADA-systemen van menig gemeente zo lek als een mandje is, is volgens Polman erg door de media opgeblazen.
"Van een reëel risico was volgens mijn Veerse collega geen sprake. En er is tijdig en volgens de geldende procedures ingegrepen", zo laat hij VNG Magazine weten.
Wel is het SCADA-voorval een 'wake up call' die gemeenten met de neus op de feiten drukt. ICT-beveiliging zou namelijk niet bij iedereen tussen de oren zitten. "De beveiliging is iets voor de techneuten, wordt vaak gedacht. Pas als het misgaat, wordt het serieus genomen", zegt Polman.
Vertrouwen
DigiNotar en Lektober hebben volgens hem daarbij ook hun positieve kanten. "Het gaat bij gemeenten vaak om cruciale informatie. Als die op straat komt te liggen, of ze valt in handen van mensen die er niets mee te maken hebben, is dat funest voor het vertrouwen van de burger in de overheid. Die burger mag ervan uitgaan dat zijn gegevens bij de gemeente in goede handen zijn. Betrouwbaarheid is een voorwaarde voor de legitimatie van de overheid."
Ethische hackers
Polman durft de stelling aan dat alle gemeenten weleens ongewild en onbewust hebben meegewerkt aan onrechtmatigheden of criminele activiteiten. "We moeten dus op het terrein van informatievoorziening en -beveiliging de samenwerking binnen de gemeente en met de andere overheden structureel beter op orde krijgen."
Om dat te bereiken ziet de burgemeester van Bergen op Zoom ook een rol voor ethische hackers weggelegd. "Gemeenten zouden best ethische hackers in dienst kunnen nemen", zegt Polman.
"Iemand die de organisatie continu probeert te betrappen op lekken en veiligheidsrisico’s van informatiesystemen. Een gemeente die haar eigen organisatie hackt klinkt raar, maar bij allerlei besluiten kijken we naar risico’s en monitoren en toetsen we. Bij het plaatsen van nieuwe speeltoestellen kijken we toch ook eerst naar de veiligheid?"
Peter
Peter
Sluit me hierbij aan. Nationaal team.
Dat hou je niet tegen, maar een zekere monitoring en alertheid bij de beheerders doet hier wonderen.
Agge mar leut et mee Flash
Wat wel slim zou zijn, is als er bij elke gemeente iemand met kennis van zaken zich bezig houdt met informatiebeveiliging en het nemen van preventieve maatregelen en bijstellen van beleid. Dat is geen hacker over het algemeen, maar iemand die vooral verstand heeft van processen, methodieken, architectuur en beleid.
Als er bij een penetratie test niets gevonden wordt is nog steeds niet zeker dat je geen probleem hebt. De "bad guy" heeft namelijk eindeloos meer tijd. Als je aan de andere kant, wel iets vind dan heb je een groot probleem.
Security moet vanaf het begin in de hele lifecycle worden meegenomen. Beginnen met awarenes, security requirements etc. Daarnaast zouden er harde consequenties moeten zijn voor het niet voldoen aan de security eissen. Dat is nu niet het geval.
GovCERT bestaat niet meer..... Maar inderdaad, misschien een mooie taak voor het NCSC (of voor externe pentesters die door hun worden aangestuurd).
GovCERT bestaat niet meer..... Maar inderdaad, misschien een mooie taak voor het NCSC (of voor externe pentesters die door hun worden aangestuurd).
Wat wel slim zou zijn, is als er bij elke gemeente iemand met kennis van zaken zich bezig houdt met informatiebeveiliging en het nemen van preventieve maatregelen en bijstellen van beleid. Dat is geen hacker over het algemeen, maar iemand die vooral verstand heeft van processen, methodieken, architectuur en beleid.
Volgens mij heet zo iemand een Information Security Officer. Aangezien gemeenten veel informatie van burgers en bedrijven beheren lijkt die functie mij wel handig. Ik ben niet zo thuis in de lokale overheid, maar ik hoop dat gemeenten deze functie al kennen.
Er zijn grofweg twee soorten ISO's. De ene loopt al jaren rond bij de gemeente en ziet er op toe dat de kluis stevig is en dat er goede sloten op de buitendeuren zitten. Hij let er ook op dat de juiste personen gescreend worden. Hij heeft vaak echter geen verstand van digitale informatie en wat daar bij komt kijken.
Het beste wat hij kan zeggen, is dat de servers met de informatie in de kluis moeten staan. Voor de veiligheid van de kluis is het niet toegestaan een gat te boren voor een kabel voor netwerk. De oplossing! Maar dat blijkt vaak niet practisch te zijn en dus trekt hij zijn handen verder af van de beveiliging van digitale informatie. Dat is bij veel gemeenten ook de reden dat alles geprint moet worden. Dan is het weer fysiek en kan hij wat zeggen over de beveiliging.
De tweede ISO is degene die digitaal geschoold is. Die zie je nog niet zo vaak.
Peter
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
