Aanpak Preventie van digitale veiligheidsrisico’s steden

Het verhogen van digitale veiligheid: een inhoudelijk perspectief

Om te werken aan het verhogen van de digitale veiligheid op stadsniveau is het belangrijk om het verloop van een incident te begrijpen en gerichte maatregelen te nemen die zich richten op ‘mens’, ‘organisatie’ en ‘techniek’ binnen de 5 stappen van ‘identificatie van risico’s’, ‘preventie’, ‘detectie’, ‘respons’ en ‘herstel’. Deze 5 stappen zijn afkomstig uit het NIST Cyber Security Framework, dat internationaal toonaangevend is voor organisaties die hun eigen digitale veiligheid willen verhogen. Ook de gemeente maakt hiervan gebruik voor de eigen organisatie. Het NIST Cyber Security Framework is technisch van aard en oorspronkelijk toegespitst op individuele organisaties. Voor deze agenda is voor deze 5 stappen een conceptuele vertaling gemaakt naar het systeemniveau van de stad. Dit biedt een handvat voor publieke en private partijen om te werken aan de digitale veiligheid van de stad. Het geeft een overzicht van allerlei interventies die partijen kunnen inzetten. In de praktijk is de inzet van interventies door de gemeente uiteindelijk afhankelijk van de rol die de gemeente kan en wil nemen en de behoefte die er is bij organisaties in de stad. 

Preventie (maatregelen om risico’s te verlagen)

• Prioriteer kritieke processen op basis van dreiging en risico’s.
• Zorg voor de juiste contacten met organisaties uit deze processen.
• Werk aan bewustzijn en gedragsverandering bij organisaties en groepen die een hoog risicoprofiel hebben en/of kwetsbaar zijn.
• Agendeer bij organisaties het belang van preventieve maatregelen. Waaronder het gebruik, de ontwikkeling en de inkoop van veilige hard- en software; het waarborgen van redundante connectiviteit; het toepassen van identiteit- en authenticatie management (waaronder Multi-Factor Authenticatie); het zo snel mogelijk doorvoeren van (automatische) updates; het doorlopend uitvoeren van penetratietesten en oplossen van kwetsbaarheden (inclusief Coordinated Vulnerability Disclosure programma); het zorgen voor actuele backups; het beschermen van gevoelige data (onder andere door encryptie); het behalen van relevante certificeringen; en het trainen van gebruikers en medewerkers.
• Stimuleer samenwerking en kennis- en informatiedeling tussen organisaties uit geprioriteerde processen. Bijvoorbeeld op bovengenoemde onderwerpen en het delen van strategische kennis, ervaringen en informatie over risicoanalyses, vertrouwelijke gegevensuitwisseling, inkoopeisen etc.
• Onderzoek stimuleringsmogelijkheden en sturingsinstrumenten in het geval van een collectief actieprobleem of marktfalen.
• Ondersteun de attributie, opsporing en vervolging in het digitale domein door de inlichtingendiensten, de Politie en het OM.

Gewenste ontwikkeling op de lange termijn – Preventie

• Organisaties in de stad nemen zelf de juiste preventieve maatregelen en zijn aangesloten bij de voor hun relevante nationale initiatieven.
• Er is voldoende vertrouwen tussen organisaties dat er een sterk netwerk is ontstaan waarbij organisaties in de stad elkaar helpen door kennis, ervaringen en strategische informatie over preventieve maatregelen te delen (zoals bijvoorbeeld risicoanalyses en inkoopeisen).
• Organisaties zetten in op certificering, (doorlopend) testen en redundante connectiviteit.
• Er is voor digitale veiligheid bij publieke en private organisaties voldoende gekwalificeerd talent aanwezig.
• Er is op meerdere niveaus, van bestuurders tot aan inwoners van de stad, bewustzijn over de risico’s van digitale veiligheid en dat leidt tot positieve gedragsverandering.
• De toegenomen effectiviteit van opsporings- en inlichtingendiensten zorgt bij aanvallers voor afschrikking.