Rekenkamer kraakt Eindhovense informatiebeveiliging

De interne beveiliging van digitale gegevens en netwerken bij gemeente Eindhoven is zo lek als een mandje, zo oordeelt de Rekenkamercommissie.

Updates die achterlopen, geen zicht op software dat op eigen houtje door personeel is geïnstalleerd en onduidelijke taakverdeling. Van buitenaf is de gemeentelijke organisatie goed beschermd tegen inbraken in het digitale netwerk. Van binnen is er echter behoorlijk veel aan te merken op de staat van de beveiliging.

Zo biedt het wachtwoordenbeleid van de gemeente, dat in de zomer van 2021 werd vastgesteld, een goede basis voor veilig wachtwoordbeleid. Alleen worden de eisen uit het beleid niet door het systeem afgedwongen, zo schrijft de Rekenkamercommissie.

Ook zou software die wordt aangekocht, niet door de daartoe bevoegde personen worden beoordeeld. Niet van te voren, maar ook niet achteraf. Sommige softwareleveranciers zouden wel jaarlijks een veiligheidscertificaat vernieuwen, maar dat wordt niet gecontroleerd binnen de gemeente, en het ligt ook niet vast wie dat zou moeten doen.

Geen plan van aanpak
Volgens het rekenkamerrapport is de kans bovendien aanzienlijk dat op afdelingen software wordt gebruikt die niet aan de veiligheidseisen voldoen. En in het geval van calamiteiten, bijvoorbeeld bij een beveiligingslek, is er geen structureel plan van aanpak, dit maakt kwetsbaar, aldus de Rekenkamer.

Daarnaast is er sprake van software dat ver achterloopt met het doorvoeren van updates. Ook dat zorgt voor kwetsbaarheden in het systeem, de gemeente zou bezig zijn met een inhaalslag.

Weinig oog voor bescherming persoonsgegevens
De gemeente zou ook te weinig oog hebben voor de bescherming van persoonsgegevens. Een zorgelijke aantekening in het rapport, omdat in de gemeente onder meer een scanauto rond rijdt voor parkeerhandhaving, boa’s lopen met bodycams, er is een druktemeter en op veel plekken is er cameratoezicht. De bescherming van al die gegevens, is echter onvoldoende, zo concludeert het rapport.

Budget
De wisselwerking tussen het bestuur en de organisatie over de digitale beveiliging zou ook niet goed genoeg zijn. De communicatie tussen de twee organen is ‘incident gedragen’, daarmee ontbreekt het aan structureel overleg. Functionarissen die hard werken om de digitale beveiliging binnen de gemeentelijke organisatie te verbeteren, ervaren echter te weinig steun uit de organisatie. Daarbij is er te weinig budget beschikbaar om de bestaande problemen goed aan te passen.

20 procent
De Rekenkamer deed het onderzoek door relevante documenten te analyseren en interviews te doen met betrokken ambtenaren. Daarnaast werd ook een zogenaamde ‘penetratietest’ uitgevoerd. Daarbij werd een neppe phishingmail verstuurd binnen de organisatie. Op die mail, die de huisstijl van de gemeente droeg, werd door 20 procent van de medewerkers gereageerd.