Audit Vlaanderen voerde in 2018 een eerste controle-audit uit op vlak van cyberveiligheid. Deze werd vervolgd in 2020 bij zes lokale besturen. Hierdoor moet het eindverslag enigszins genuanceerd worden, maar de conclusies liggen in dezelfde lijn als bij de audit 2018 en zijn daarom toch waardevol. De belangrijkste conclusie is dat de lokale besturen nog steeds bijkomende inspanningen moeten leveren om de risico’s voor informatiebeveiliging voldoende te beheersen. Concreet blijven de meeste lokale besturen dus kwetsbaar voor hackers.
Omdat de cyberveiligheid van de lokale besturen belangrijk is, biedt Audit Vlaanderen de mogelijkheid om een basisaudit te laten uitvoeren die de belangrijkste potentiële kwetsbaarheden op vlak van cyberveiligheid detecteert. Een dergelijke audit wordt voor 2/3 gefinancierd door de Vlaamse overheid. De kostprijs voor het eigen bestuur valt dus zeer goed mee. Deze regeling geldt nog tot 31 december 2021.
Daarom volgende vragen:
Schepen Willy Beullens antwoordt:
Werd Berlaar al slachtoffer van hacking ?
Ja, er zijn 11 mensen binnen de organisatie waarvan het paswoord en mogelijk ook andere gegevens terecht zijn gekomen in de verkeerde handen. Daarnaast is berlaar.eu gebruikt geweest om gericht te spoofen. Intussen is de registratie op berlaar.eu terug verwijderd.
Indien ja, welke stappen werden ondernomen om de cyberveiligheid te verbeteren ?
Inschakelen van Microsoft Defender en Multi-Factor Authenticatie op Microsoft 365. Alle interne toestellen en deze voor thuiswerk zijn geregistreerd op Microsoft Azure.
Als er aangemeld wordt op een ongekend toestel en/of op een ongekende locatie of netwerk, wordt er meteen gevraagd om via de alternatieve manieren aan te melden; via de microsoft authenticator-app, via sms of via automatische telefoonoproep.
We zijn van een veiligheidsscore van 11% geëvolueerd naar een veiligheidsscore van 40,4% door de implementatie van de extra maatregelen. Er is nog werk aan de winkel, maar qua meldingen gaat het ook de juiste richting uit.
De score kan nog verbeterd worden door verdere analyse op zwakke paswoorden, niet gebruiken van onveilige toegangen. Sommige van die toegangen zijn ons opgelegd door hogere instanties zoals provincie Antwerpen dat ons verplicht om verbinding te maken via een gratis google-account, de Vlaamse Overheid die ons vraagt om bepaalde bestanden op te laden via onveilige Russische freeware, … Deze problemen hebben we op een creatieve manier omzeild.
De score wordt ook beïnvloed door gebruik van onveilige websites van onze leveranciers en hogere instanties die gebruik maken van verouderde technologie; deze problemen zijn gekend, maar daar is voorlopig geen oplossing voor.
Indien nee, is de huidige cyberveiligheid nog afdoende ?
Het vorige systeem detecteerde 2 à 3 abnormale dingen per jaar, wat verdacht weinig is. Bij overschakeling naar het nieuwe systeem hadden we gemiddeld 500 meldingen per dag. Na finetuning van het systeem zitten we momenteel aan een 60-tal meldingen per dag. Gaande van dubieuze mails tot openen van verdachte url’s.
Hoe wordt deze geactualiseerd ?
Door het feit dat we gebruik maken van Cloud-toepassingen via Microsoft 365, worden deze ook via de Cloud geactualiseerd.
Via Intune is het nu mogelijk om toegangen meteen te blokkeren voor gebruikers of toestellen, in geval van misbruik of diefstal. Bijkomend kan Kris Banken nu software distribueren van thuis uit naar alle gebruikers en zijn on-site interventies minder noodzakelijk.
Heeft Berlaar al een basisaudit cyberveiligheid laten uitvoeren ? Indien ja, welke conclusies kwamen hieruit naar voor ? Indien nee, zal onze gemeente gebruik maken van de cofinanciering door de Vlaamse overheid en alsnog zo’n audit laten uitvoeren ?
De gemeente heeft een basisaudit laten uitvoeren in augustus 2020.
Conclusies:
Schematische voorstelling van problemen: zie bijlage.
Idealiter zouden we ook een systeem voor paswoordkluizen moeten vinden voor de gebruikers om op een veiligere manier met paswoorden te kunnen omgaan. Hier is in eerste instantie Keepass voor voorgesteld, maar dit blijkt niet gebruiksvriendelijk genoeg te zijn om organisatiebreed uit te rollen. Hiervoor wordt nog een oplossing gezocht.
di 20/04/2021 - 15:20