Besluit van het college van burgemeester en wethouders van de gemeente Heemskerk houdende Protocol beveiligingsincidenten en datalekken 2017

3.1 Servicedesk

Nu worden alle meldingen van de medewerkers in de organisatie, door bijvoorbeeld een e-mail te zenden, automatisch geregistreerd in de servicedesk van het team Automatisering en dit team of het team Facilitaire Dienst (FD) handelt deze meldingen in de meeste gevallen ook af. Ook gaan de meldingen die via de IBD bij de Vertrouwde Contactpersonen Informatiebeveiliging (VCIB) binnenkomen zo nodig het systeem van de servicedesk in.

Beveiligingsincidenten kunnen op diverse manieren worden gemeld. Hoe de toegang ook plaatsvind, de meldingen dienen te worden geregistreerd in de servicedesk. De voortgang kan worden bewaakt en de samenwerking tussen CISO en Automatisering wordt hiermee optimaal ingekleed. CISO en FG hebben toegang tot de melding van het incident en dienen deze onder de eigen verantwoordelijkheid op te pakken en te behandelen.

Voor de aanmelding tot en met de afhandeling van een incident maakt het team Automatisering gebruik van een daarop afgestemde ITIL procedure (zie bijlage).

3.2 Computer Security Incident Response Team (CSIRT)

De gemeente Heemskerk heeft een Computer Security Incident Response Team (CSIRT) ingesteld om voorbereid te zijn om snel en adequaat te kunnen reageren op een beveiligingsincident die bijvoorbeeld buiten de scope van de servicedesk valt. Het gaat dan om beveiligingsincidenten met een hoog of kritische classificatie die directe mobilisering van het CSIRT vereist. Dit team bestaat uit een vaste kern medewerkers van de organisatie die afhankelijk van het incident gebruik maakt van andere noodzakelijke competenties/disciplines waaronder eventuele externe inhuur.

Het managementteam heeft de vaste kern van het CSIRT benoemd en deze bestaat uit de CISO, de CIO (Chief Information Officer) en de FG (Functionaris Gegevensbescherming). De CISO is team coördinator en verantwoordelijk voor een juiste procesmatige afhandeling van een incident dat via het CSIRT loopt. De CIO is verantwoordelijk voor het technisch bestrijden (ICT) van het incident en voor de technische herstelfase. De FG bepaalt de mate van inbreuk op de beveiliging van persoonsgegevens. Afhankelijk van de aard, omvang en impact van het incident kunnen de volgende teamleden dan wel disciplines worden toegevoegd:

•lijnmanager waarop het incident betrekking heeft en betrokken moet zijn bij de te volgen aanpak;

•gemeentesecretaris of de Algemeen Contactpersoon Informatiebeveiliging (ACIB), indien het incident bestuurlijke impact kan hebben;

•juridische bijstand om de gevolgen van een incident juridisch te toetsen. Denk aan aansprakelijkheid en boetes (Wbp/Avg);

•communicatie adviseur om mogelijke reputatieschade zoveel mogelijk in te dammen en direct te werken aan reputatieherstel;

•financieel specialist om de schadekosten in beeld te brengen en na te gaan in hoeverre de schade verzekeringstechnisch is afgedekt en de financiële claim afwikkelt;

•vertrouwensfunctionaris ingeval sprake is van verwijtbaar gedrag van een medewerker die een incident heeft veroorzaakt;

•externe inhuur indien bijzondere expertise nodig is zoals een ICT-specialist of een digitaal forensisch expert.

Deelname van inhuurkrachten aan het CSIRT vereist dat zij vooraf een integriteits- en geheimhoudingsverklaring hebben ondertekend. Het CSIRT is bevoegd om jaarlijks inhuur externen in te zetten tot een maximum van € 50.000 (exclusief btw) om escalatie van het incident direct te kunnen bestrijden.

Het CSIRT is bevoegd om in te grijpen om de schade als gevolg van een incident zo snel mogelijk in te dammen en de oorzaak te elimineren. Dit kan leiden tot tijdelijke uitval van de dienstverlening en/of tot dataverlies.

Het CSIRT onderhoudt een draaiboek om snel en adequaat te kunnen reageren op beveiligingsincidenten. Het draaiboek bevat van te voren bedachte reacties, checklists en escalatie procedures, sjablonen voor rapportages die periodiek uitgewerkt en geoefend worden.

Deelname aan het CSIRT vereist dat bij mobilisering het lopende werk van de teamleden tijdelijk wordt gestaakt, enigszins te vergelijken met het uitrukken van een brandweerteam. Het CSIRT is 24/7 bereikbaar omdat een incident met een kritische of hoge classificatie zich niet houdt aan werktijden. Voor de vaste kern van het CSIRT is uit dien hoofde voorzien in tijdelijke vervanging.

Er is een bereikbaarheidslijst van alle vaste (en potentiële) teamleden en een overzicht voor ‘piketdienst’ die de CISO onderhoudt.

4.1 Meld intern en prioriteer

De servicedesk is het aangewezen meldpunt en registreert alle incidentmeldingen. Een centraal meldingspunt is van belang om het proces zoveel mogelijk te standaardiseren, om versnippering van geregistreerde meldingen te voorkomen en om het totaaloverzicht te behouden (volledigheid en verantwoording). Meldingen die via de CISO of leidinggevenden binnenkomen worden eveneens geregistreerd in het incidentmeldingssysteem van de servicedesk.

Er zijn afspraken gemaakt met de medewerkers die de servicedesk beheren over de vertrouwelijkheid van de gemelde incidenten en het registratiesysteem is beveiligd tegen ongeautoriseerde toegang.

Alle incidentmeldingen zijn voorzien van een urgentie- en impactcode en gecategoriseerd voor rapportage doeleinden. Hiervoor zijn nadere instructies aanwezig die de CISO onderhoudt in samenwerking met de CIO. Zo is er een overzicht van voorkomende beveiligingsincidenten met vermelding van de urgentie en impact en periodiek wordt geactualiseerd door de CISO.

Servicedesk-medewerkers zijn geïnstrueerd over het direct doorgeven van incidenten aan de CISO en CIO die buiten hun scope vallen. Alle medewerkers van de servicedesk hebben een integriteits- en geheimhoudingsverklaring ondertekend. Vanuit Automatisering vindt toezicht plaats op de servicedesk en dagelijks controle op urgentie en impact van nieuwe meldingen.

4.2 Mobiliseer CSIRT

De vaste kern van het CSIRT wordt gemobiliseerd indien vanuit de servicedesk een incident is afgegeven met een hoge of kritische impact of indien een dergelijke melding rechtstreeks bij een van de vaste leden binnenkomt. De vaste kern van het CSIRT beoordeelt direct de aard en omvang van het incident en stelt vast of het incident ook daadwerkelijk heeft plaatsgevonden, bijvoorbeeld

door contact op te nemen met team Automatisering of de melder van het incident. Daarbij maakt de vaste kern van het CSIRT gebruik van een checklist om snel inzicht te krijgen in:

•de aard en omvang van het incident,

•welke teamleden aanvullend opgenomen moeten worden in het CSIRT en

•welke instanties geïnformeerd moeten worden over het incident (IBD, AP, etc).

Het CSIRT is belast met het beperken van verdere schade als gevolg van het incident, het blokkeren of verwijderen van de oorzaak, stelt de schade vast en zorgt voor het veiligstellen van bewijsmateriaal. Van elk incident dat via het CSIRT loopt vindt dossiervorming plaats. Het CSIRT maakt hierbij zoveel mogelijk gebruik van kennis en ervaring en voorbereidingen die zijn vastgelegd in een daarvoor opgesteld draaiboek.

Het CSIRT bepaalt welke acties noodzakelijk zijn en neemt bij twijfel contact op voor advies met de helpdesk van het IBD. Voor elk te behandelen incident via het CSIRT geldt dat teamleden niet mogen praten met anderen buiten het team totdat daarvoor toestemming is gegeven door de CISO. Dit om zoveel mogelijk ruis in de communicatie te voorkomen.

De CISO onderhoudt het contact met de gemeentesecretaris over de stand van zaken betreffende het incident. De gemeentesecretaris of de Algemeen Contactpersoon Informatiebeveiliging (ACIB) informeert indien nodig het bestuur.

4.3 Beperk schade en elimineer oorzaak

Er wordt zo snel mogelijk gestart met het indammen van de schade door het incident te blokkeren, te verwijderen en de impact voor verdere blootstelling te verminderen. Dit kunnen zowel activiteiten zijn vanuit de techniek als vanuit de organisatie. Vanuit de techniek is de CIO belast met het indammen van de schade en blokkeren of verwijderen van de oorzaak eventueel ondersteunt met externe expertise. Daarbij maakt het team waar nodig gebruik van vooraf opgestelde escalatieprocedures. Deze repressieve handelingen kunnen leiden tot tijdelijke uitval van onderdelen van het ICT-netwerk en/of verlies van data om verdere schade te voorkomen.

Het CSIRT bepaalt in samenspraak met de verantwoordelijke lijnmanager en de communicatie adviseur de (interne en externe) communicatiestrategie. Intern kan dit gericht zijn op het melden van het incident met bijbehorende instructies om bepaalde handelingen tijdelijk niet uit te voeren met eventueel een voorlopig spreekverbod om escalatie zoveel mogelijk te voorkomen. Extern is de communicatie gericht om zoveel mogelijk reputatieschade te voorkomen en direct te werken aan reputatieherstel. Externe communicatie geschiedt altijd in overleg met de gemeentesecretaris.

Indien sprake is van (mogelijke) inbreuk op de beveiliging van persoonsgegevens behoort een ernstige datalek onverwijld te worden gemeld bij het AP en eventueel aan betrokkenen. Dit traject loopt altijd via de FG. Zie hiervoor verder hoofdstuk 5. De CISO ziet er op toe dat dit traject conform de daarvoor geldende procedure wordt afgehandeld.

Het CSIRT adviseert de gemeentesecretaris aan de hand van de aard van het incident en in overleg met de juridische afdeling of aangifte bij de politie gedaan moet worden.

4.4 Herstel oude situatie

Na het indammen van de schade en het verwijderen van het incident is zo spoedig mogelijk herstel naar de oude situatie nodig. Bij bedrijfsprocessen die (deels) gestopt zijn als gevolg van een incident vindt op een gecontroleerde wijze een herstart plaats. Eventueel verlies van data wordt gereconstrueerd bijvoorbeeld aan de hand van een recovery procedure en/of brondocumenten. Het herstarten van een bedrijfsproces geschiedt in nauw overleg met de verantwoordelijke lijnmanager.

In overleg met de verantwoordelijke lijnmanager vindt communicatie naar de organisatie plaats over het herstel en eventuele gevolgen ervan.

Het bureau Planning, Control en Financiën (PCF) brengt de directe en indirecte kosten als gevolg van de schade zoveel mogelijk in beeld, rekening houdend met mogelijk ingediende schadeclaims van derden. Voorts wordt nagegaan in hoeverre deze kosten verhaald kunnen worden via de verzekering of derden dan wel voor eigen rekening zijn. Bureau PCF is eventueel in overleg met het team Juridische Zaken belast met de verdere financiële afwikkeling van het incident.

Ingeval een medewerker van de gemeente betrokken is bij de oorzaak van een beveiligingsincident door nalatig of kwaadwillend gedrag en daarvoor het nodige bewijsmateriaal is veiliggesteld, wordt de vertrouwensfunctionaris ingeschakeld en eventueel aangifte gedaan bij de politie. De gevolgen hiervan voor de betrokken medewerker kunnen leiden tot disciplinaire maatregelen, strafrechtelijk onderzoek en/of tot ontslag. Voor betrokkenheid van een externe medewerker geldt eenzelfde procedure met dien verstande dat er geen vertrouwensfunctionaris betrokken is, maar wel dat het contract ontbonden kan worden. Schade kan worden verhaald op het bedrijf waar de externe in dienst is.

4.5 Informeer doelgroepen/betrokkenen

Van elk beveiligingsincident van enige omvang is een communicatiestrategie bepaald en uitgewerkt door team Communicatie en erop gericht op het zo veel mogelijk indammen van reputatieschade en op reputatieherstel. Intern gaat het dan om de gemeenteraad, bestuur, management en medewerkers en extern om betrokkenen, ketenpartners, media en andere belanghebbenden. Vooraf zijn hiervoor al de nodige standaard teksten in eigen huisstijl beschikbaar om geen tijd te verliezen waar snelheid geboden is.

Ingeval sprake is van een datalek wordt verwezen naar de meldplicht zoals opgenomen in hoofdstuk 5.

Indien nodig informeert de CISO de IBD over het beveiligingsincident met als doel om hieruit lering te trekken en dit geanonimiseerd door te communiceren naar andere gemeenten.

4.6 Evalueer, rapporteer en documenteer

Het CSIRT verzamelt van elk beveiligingsincident waarop dossiervorming van toepassing is alle documentatie die nodig is voor bewijsvoering ingeval sprake is van civiel of strafrechtelijk onderzoek, schadeclaims of toezicht vanuit het AP. Documentatie kan bestaan uit bespreekverslagen, ingevulde checklist, printscreens, emails, controle op loggings, bevindingen van ICT-specialisten of digitaal forensische experts, processen verbaal en de (uitwerking van de) communicatiestrategie.

Het CSIRT voert een evaluatie uit en legt dit vast in een rapportage inclusief advies, ter verbetering. Het rapport wordt voorgelegd aan de gemeentesecretaris en besproken. Waar nodig past de CISO het security incident response draaiboek aan.

Na afsluiting van het incident archiveert de CISO het incidentendossier. Vernietiging van het dossier vindt plaats nadat de daarvoor geldende wettelijke bewaartermijnen zijn verlopen. Het dossier is vertrouwelijk tenzij de CISO anders bepaalt.

5.1 Analyseer impact datalek

Signalering van een datalek komt zoals elk ander incident centraal binnen bij de servicedesk en wordt via prioritering direct doorgesluisd naar de vaste leden van het CSIRT. Vanwege het gegeven dat een gemeente binnen 3 werkdagen behoort te melden aan het AP dient een privacy impactanalyse op het incident direct te worden opgepakt.

5.2 Meld datalek aan AP

De melding aan het AP verloopt via het digitale formulier van het AP. De FG is belast met de melding aan het AP. De melding kan eventueel naderhand worden aangevuld of ingetrokken. De ontvangstbevestiging via email wordt opgenomen in het dossier van het betreffende datalek.

5.3 Meld datalek aan betrokkenen

Voor het melden van een datalek aan betrokkenen geldt eveneens dat dit ‘onverwijld’ moet gebeuren. Er gelden hiervoor geen specifieke termijnen maar onnodige vertraging moet worden vermeden. De wijze waarop betrokkenen worden geïnformeerd, bepaalt de gemeente zelf. Een goed doordachte communicatiestrategie is dan ook van belang om reputatieschade zo beperkt mogelijk te houden. Het team Communicatie is hierbij nadrukkelijk betrokken evenals de gemeentesecretaris. De informatie die verstrekt moet worden, gaat minimaal in op de volgende vragen:

•Wat is er aan de hand en wat zijn de mogelijke gevolgen voor betrokkenen?

•Waar kan betrokkenen terecht met vragen?

•Wat kan betrokkenen zelf doen?

Indien adresgegevens van betrokkenen bekend zijn, kan melding plaatsvinden via een brief of via email met eventueel verwijzing naar een website met aanvullende informatie of meest gestelde vragen van betrokkenen (FAQ). De email of brief kan daardoor beknopt blijven. Vanuit de nazorg zorgt de gemeente ervoor dat betrokkenen de mogelijkheid hebben om vragen te kunnen stellen hetzij via een daarvoor ingericht emailadres of telefoonnummer.

Artikel 5.4 Meld datalek aan overige partijen

Het gevaar is aanwezig dat de communicatie over een datalek wordt overgenomen door andere partijen/platforms zoals lokale, landelijke of sociale media, eigen medewerkers of ketenpartners waardoor als gevolg van ruis in de communicatie een datalek alsnog onnodig kan escaleren. Belangrijk is dat de gemeente de regie behoudt over de communicatie van een ernstig datalek dat gemeld is bij het AP en aan betrokkenen. Bij de uitwerking van de communicatiestrategie vindt afstemming plaats welke doelgroepen / overige partijen worden geïnformeerd over het datalek en op welke wijze. Timing is hierbij ook van belang en zeker indien de melding al heeft plaatsgevonden aan betrokkenen.

Van belang is dat het management, bestuur en de gemeenteraad van de gemeente tijdig geïnformeerd zijn vanwege hun positie in de organisatie en contacten in de samenleving. Uiteraard behoren de medewerkers van de gemeente eveneens op de hoogte te worden gesteld om ruis in de communicatie te voorkomen en wellicht hen te voorzien van instructies hoe te reageren op vragen vanuit de samenleving en terughoudend te zijn met reacties op sociale media.

Via een persbericht stelt de gemeente de media op de hoogte, eventueel aanvullend met een persconferentie voor het stellen van vragen. Uiteraard behoort dit geheel afgestemd te zijn op de grootte van het datalek.

Een datalek kan een flinke knauw geven in het gestelde vertrouwen bij ketenpartners en aan de publieke sector als geheel. Ketenpartners kunnen zelfs last hebben indien sprake is van uitwisseling van informatie waarop het datalek betrekking heeft. Ketenpartners behoren dan ook geïnformeerd te worden over mogelijke nadelige gevolgen voor hun organisatie.