Verschillende Brabantse gemeenten hebben de beveiliging van persoonsgegevens niet op orde, zo blijkt uit een onderzoek van de Rekenkamercommissie Midden-Brabant (RMB). Die liet een ethisch hacker de beveiliging van de gemeenten Dongen, Goirle, Hilvarenbeek en Loon op Zand onderzoeken. Via penetratietests werd gezocht naar kwetsbaarheden en de mogelijkheid om toegang tot vertrouwelijke informatie te krijgen.

Zo lukte het de onderzoekers om bij de gemeente Dongen op afstand onder andere toegang te krijgen (privacy)gevoelige informatie, e-mails, wachtwoorden, gedeelde bestanden en chatberichten. Het ging onder andere om gegevens over medische keuringen in het kader van de Wet maatschappelijke ondersteuning (Wmo). Via dit dashboard zijn gedetailleerde medische gegevens van burgers beschikbaar.

Bij de gemeenten Goirle, Hilvarenbeek en Loon op Zand werd er ook toegang tot persoonsgegevens verkregen. Deze gegevens hebben betrekking op het sociaal domein, belastingen, burgerzaken en vergunningen. Ook kregen de onderzoekers toegang tot desktops, vertrouwelijke en privacygevoelige informatie, e-mail, (beheer) wachtwoorden van services en fileshares. Ook werd toegang verkregen tot persoons- en belastinggegevens van burgers en juridische procedures van de gemeenten.

Netwerksegmentatie

Tevens bleek dat de gemeenten onvoldoende doen aan netwerksegmentatie en firewalling. Vanuit de IT-omgeving van gemeente Dongen was toegang mogelijk tot gegevens van de gemeente Tilburg, omdat beide gemeenten samen één systeem vormen. Hieronder kunnen kwetsbaarheden impact hebben op de gehele infrastructuur. Er wordt wel netwerksegmentatie toegepast, maar geen firewall tussen beide gemeenten. Tilburg verleent diensten aan Dongen en behandelt Dongen als een ‘afdeling’ van Tilburg. Daarbij moet worden opgemerkt dat sinds het begin van de samenwerking het nooit het doel is geweest om een firewall tussen Tilburg en Dongen in te richten.

Vanuit de IT-omgevingen van Goirle, Hilvarenbeek en Loon op Zand was toegang mogelijk tot gegevens van de andere samenwerkingspartners. De oorzaak van het verkrijgen van toegang was dat het medewerkersaccount dat tijdens de test werd gecompromitteerd rechten tot deze applicatie had. De scheiding van de IT-omgevingen bleek onvoldoende.

Fysieke beveiliging

Op het gebied van fysieke beveiliging laten de gemeenten ook steken vallen. In Dongen was de patchruimte op slot, maar hing de sleutel onbeveiligd buiten de daartoe bestemde kast. Tevens bleek het patchpaneel toegankelijk. Daarnaast kon de onderzoeker in Dongen op de kamer van de burgemeester toegang krijgen tot een geopende kast met daarin een bakje gelabeld 'privé'. Tevens had de onderzoeker de bezoekerspas niet zichtbaar gedragen, maar werd hier niet door medewerkers op aangesproken.

Bij de andere drie gemeenten bleek dat interne netwerken en testomgevingen toegankelijk waren. Zo werd er een papiertje met inloggegevens van één test/trainingomgeving aangetroffen, waardoor de onderzoeker toegang tot die omgeving kreeg. De gemeenten hebben naar aanleiding van het onderzoek maatregelen getroffen en aanpassingen aan het beleid doorgevoerd (pdf).