De beveiliging bij de gemeente is nog niet op orde, stelt de Rekenkamer Utrecht. Op digitaal gebied zijn weliswaar flinke stappen gezet, maar de fysieke beveiliging is nog steeds kwetsbaar. Zo bereikten ingehuurde insluipers in 2021 eenvoudig beveiligde delen van het stadskantoor en het stadhuis en dit jaar lukte dat weer. “De insluipers zijn geen enkele keer door medewerkers aangesproken op hun aanwezigheid”, schrijft de Rekenkamer. 

Gemeenten, waaronder de gemeente Utrecht, verwerken grote hoeveelheden informatie en dat aantal groeit nog steeds. De laatste decennia wordt dat voor een groot deel in gedigitaliseerde systemen gedaan. Deze informatie, die onder meer bestaat uit persoonsgegevens van de inwoners, is kwetsbaar en moet daarom beschermd worden zodat het niet in handen kan vallen van anderen.

Digitaal

In 2021 onderzocht de Rekenkamer Utrecht hoe het gesteld was met de veiligheid bij de gemeente. “De Rekenkamer ziet dat de gemeente de aanbevelingen van destijds grotendeels heeft opgevolgd. Vrijwel alle technische risico’s die in 2021 op de digitale systemen werden aangetroffen, zijn inmiddels opgelost.”

Uit nieuwe testen blijkt wel dat systemen nog draaien op oude software, waar geen updates meer voor uitkomen. Hierdoor worden deze systemen op termijn kwetsbaar. “De Rekenkamer beveelt de gemeente daarom aan om deze en andere openstaande kwetsbaarheden zo spoedig mogelijk onder controle te brengen.”

Insluipers

Daarnaast is, net als in 2021, gekeken naar de fysieke beveiliging. Ingehuurde insluipers werden ingezet om de beveiligde delen van het stadhuis en stadskantoor te betreden, en dit lukte hen zonder moeite. “Dat kan voor grote problemen zorgen, omdat een deel van de informatie nog altijd fysiek wordt opgeslagen en gebruikt.”

Een vergelijkbaar experiment werd dit jaar uitgevoerd en, ondanks dat de gemeente de afgelopen jaren volgens de Rekenkamer heeft geïnvesteerd in beveiligingsmaatregelen, lukte het de insluipers nog steeds om ongezien binnen te komen. “Dat kan voor grote problemen zorgen, en omdat medewerkers onoplettend waren, konden zij daar langere tijd verblijven. Sterker nog: de insluipers zijn geen enkele keer door medewerkers aangesproken op hun aanwezigheid.”

USB-stick

De Rekenkamer schrijft dat de gemeente weliswaar verschillende maatregelen heeft genomen om werknemers alerter te maken, maar ook dat deze te vrijblijvend zijn. “Zo is de deelname aan de e-learning over informatieveiligheid te laag.” Medewerkers gebruiken bijvoorbeeld nog altijd achtergelaten USB-sticks zonder te beseffen dat er schadelijke software op kan staan. “En medewerkers staan onbewust hun inloggegevens af aan kwaadwillenden die zich voordoen als collega’s van de ICT-helpdesk.”

De mens is en blijft de zwakste schakel volgens de Rekenkamer. “De Rekenkamer beveelt daarom aan om het informatiebewustzijn van medewerkers te vergroten en meer te sturen op de naleving van het beleid. En om op de lange termijn in te zetten op een cultuurverandering waarbij medewerkers niet meer toezien en afwachten maar actief onbekenden aanspreken en verantwoordelijkheid nemen.”