Trainingstool
Welkom bij deze trainingstool. Door middel van deze trainingstool willen wij jullie meer bekend maken met de gevaren en risico’s die het internet met zich mee kunnen brengen. In deze tool zullen komen drie gevaren aan bod die vaak binnen de gemeentes voorkomen. Deze tool is met name bedoelt om meer awareness te creëren bij de medewerkers van de gemeente Breda.
Deze drie gevaren die aan bod komen zijn: het op orde zijn van de basislijn van informatiebeveiliging, automatisering en digitalisering en malware en phishing. Per gevaar wordt meer informatie gegeven over het gevaar zelf en welke handelingsperspectieven genomen kunnen worden. Aan het einde van de informatie staat er een toets klaar.
Per onderwerp is er een kleine test. De eerste twee tests bestaan uit 7 vragen en bestaan uit 5 meerkeuzevragen en 2 openvragen. De laatste test bestaat uit 9 vragen en bestaat ui 6 meerkeuzevragen en 3 openvragen.
Video 1: Beveiliging van privacy gevoelige data. (Loko Cartoons, 2017)
De basislijn van informatiebeveiliging
Het is belangrijk dat de gemeente hard- en software regelmatig bijwerkt en overzicht van ICT-huishouding bijhoudt, om bijvoorbeeld systeemuitval of datalekken te voorkomen. Denk hierbij ook aan de nieuwe ICT-ontwikkelingen, waardoor de complexiteit bij de gemeente toeneemt. Vooral datalek is een voorkomend incident binnen de gemeente. (Zie bronnen: datalek gemeente Amersfoort en gemeente Almelo). Bij een datalek komen (gevoelige) gegevens van burgers op straat te liggen, waardoor de gegevens van burgers in verkeerde handen terecht kunnen komen. Als gevolg van een datalek komt er een tweede risico aan de orde: (identiteits)fraude. Bij identiteitsfraude worden persoonlijke gegevens verwerft van iemand anders, waardoor diegene zich kan voordoen als deze persoon. Bovendien kan de kwaadwillende hierdoor toegang verkrijgen tot computersystemen of zelfs betaalrekeningen.
Video 2: Informatiebeveiliging. (CentricNL, 2015)
Handelingsperspectieven
Wanneer er sprake is van een datalek, zijn er een aantal stappen die gemaakt kunnen worden. Deze bestaat uit 6 stappen:
1. Stel vast of er daadwerkelijk sprake is van een datalek.
Er is sprake van een datalek wanneer persoonsgegevens:
- al dan niet met opzet gestolen zijn of kwijtgeraakt.
- onrechtmatig zijn bewerkt
- zijn ingezien of bewerkt door niet-bevoegd personeel
- de data langer dan de afgesproken periode is bewaard
- de data langer is bewaard dan nuttig voor het beoogde doel
Dit geldt alleen voor data over persoonsgegevens.
2. Neem maatregelen om een ‘actief’ lek te stoppen
Met actief wordt er bedoeld dat de datalek nog gaande is door bijvoorbeeld een hacker of een medewerker die ongeoorloofd toegang heeft. De aanval moet zo snel mogelijk gedetecteerd worden en naar gehandeld worden. Schakel desnoods professionele hulp in wanneer het eigen team er niet toe in staat is om de datalek te stoppen.
3. Verzamel zoveel mogelijk informatie
Probeer zoveel mogelijk informatie te vinden over de datalek. Niet alleen over de aard van de lek, maar ook over de hoeveelheid gelekte gegevens. Kijk in de logbestanden om te zien wie er toegang had bij bepaalde data en wat er mee gedaan werd. Deze informatie kan helpen bij een eventueel noodzakelijk forensisch onderzoek.
4. Meld de datalek indien noodzakelijk bij de Autoriteit Persoonsgegevens.
Bij een datalek met ernstige gevolgen, moet er direct een melding gemaakt worden bij de Autoriteit Persoonsgegevens (AP). Wanneer een datalek niet wordt gemeld, is er een kans op een forse boete. Een melding kan altijd nog ingetrokken worden wanneer de schade of gevolgen minder ernstig blijken te zijn.
5. Meld de datalek indien noodzakelijk bij betrokkenen
Betrokkenen (de mensen van wie de persoonsgegevens zijn gelekt) moeten in sommige gevallen worden ingelicht over een datalek. In de gevallen waarbij de betrokkenen ingelicht moeten worden gaat het over schade rond de ‘persoonlijke levenssfeer’. Deze schade gaat bijvoorbeeld over het imago, de privacy, of financiële schade.
6. Neem maatregelen om een datalek in de toekomst te voorkomen.
Na een datalek is het van groot belang om ervoor te zorgen dat er geen dergelijk incident in de toekomst plaatsvindt. Daarom moeten er maatregelen genomen worden op de zwakte waardoor de datalek in de eerste instantie is ontstaan.
Door deze stappen te volgen kan een datalek bestreden worden. Het heeft naast een repressieve en nazorg werking ook een preventieve werking, door te verbeteren op de fouten. Door aan de fouten te werken kan eenzelfde soort lek worden vermeden in de toekomst.
Bij de verdenking van identiteitsfraude moeten er direct een aantal maatregelen genomen worden. Er moet aangifte gedaan worden bij de politie en dit kan ook als getuige. Zonder aangifte kan de politie geen opsporingsonderzoek instellen naar identiteitsfraude. Naast aangifte moet er bewijs worden verzameld van de vermoedelijke identiteitsfraude. Bij identiteitsfraude kan er altijd nog een melding worden gemaakt bij Centraal Meldpunt Identiteitsfraude en -fouten.
Toets: De basislijn van informatiebeveiliging
Toets: De basislijn van informatiebeveiliging
Start
Automatisering en Digitalisering
De wereld is steeds meer aan het digitaliseren en automatiseren. Ook de gemeente volgt deze trend. Hierdoor staan ze blootgesteld aan verschillende risico’s die er tijdens het proces van digitalisering en automatisering bijkomen. Denk hierbij aan de online opslag van belangrijke documenten en privacygegevens van inwoners. Bovendien is er tegenwoordig ook een digitaal burgerloket aanwezig. Hier kunnen burgers terecht voor alle vragen van informatie of dienst van de gemeente. Het beschermen van deze digitale omgeving is van belang aangezien kwaadwillende via deze weg ook aan belangrijke informatie kunnen komen. Incidenten waar de gemeente al eerder mee te maken hebben zijn: ongeauthenticeerde toegang. Ongeauthenticeerde toegang houdt in dat een medewerker niet geauthentiseerd is als de persoon van wie het account daadwerkelijk is. Het kan zijn dat de medewerkers goede collega’s zijn met elkaar en ze weten dat ze geen kwade acties hebben en voor iets kleins het account gebruiken. Maar wordt dit proces niet in de gaten gehouden, dan is het risico er ook dat er een onbevoegde in het account zit en toegang heeft tot privacygevoelige informatie. De rol van de medewerkers is in dit proces erg groot. Ook malware heeft hier een grote rol in.
Handelingsperspectieven
Om ervoor te zorgen dat iemand zijn of haar account beter beschermt tegen ongeauthenticeerde toegang, wordt een tweestaps-verificatie aangeraden. Dit is extra beveiligingslaag aan je account en kan verschillende vormen aannemen. Het is al een bekende manier van beveiligen en wordt vaak toegepast bij banken waarbij een randomreader nodig is bij het bankieren.
Een veelgebruikte manier is een sms-code die iemand krijgt op een smartphone die in het bezit is van deze persoon. Door deze manier met de sms-code toe te passen op de accounts binnen de organisatie. Het is hierdoor moeilijker voor hackers om aan de accounts te komen aangezien zij niet de smartphone bij de hand hebben waar de codes naar worden verstuurd.
Toets: Automatisering en Digitalisering
Toets: Automatisering en Digitalisering
Start
Malware en Phishing
Malware is een kwaadaardige software. Door middel van malware kunnen kwaadwillende toegang verkrijgen tot een computersysteem. Het doel van malware is om toegang te krijgen tot privacygevoelige informatie en om computersystemen te verstoren. Aangezien de gemeente een online opslag heeft van belangrijke documenten en privacygegevens van inwoners, zijn ze gevoelig voor dit type cybercriminaliteit. Er zijn allerlei verschillende vormen van malware. Een voorbeeld hiervan is ransomware, spyware en een virus. Ransomware heeft als doel om geld te krijgen door het slachtoffer te chanteren. De gemeente is kwetsbaar voor ransomware, aangezien de gemeente gevoelige informatie op de computersystemen heeft en eerder geneigd zijn om losgeld te betalen om de blootstelling van de gegevens te voorkomen. Niet alleen medewerkers kunnen het dupe zijn van ransomware, ook burgers kunnen (na datalek) slachtoffer worden van ransomware. Spyware is een software die wordt gebruikt om computergebruik te bespioneren om zo gevoelige informatie te verzamelen. Zoals het misschien al duidelijk is, kunnen deze vormen van cybercriminaliteit gereduceerd worden door het vooral op orde te hebben van basisprocessen, zoals de ICT-huishouding en een goede beveiliging hiervan.
Ook Phishing is een veelvoorkomend incident binnen de gemeente. Denk bijvoorbeeld aan het burgerloket waar er tijdens een chat met een ambtenaar en een burgeremailadressen worden gedeeld. Wanneer de kwaadwillende dit ziet, kan er gebruik worden gemaakt van Phishing. Bij Phishing worden emailadressen gebruikt om nepmails te versturen van bijvoorbeeld ING. ING stuurt de burgers bijvoorbeeld een mail met de informatie dat ze moet klikken op de link onderaan de mail en hun gegevens moeten invullen, omdat er een belangrijk bericht staat op hun account. Burgers zien dit als een onschuldige mail en loggen in. Ondertussen worden de gegevens doorgestuurd naar de kwaadwillende en heeft de kwaadwillende de informatie om in te loggen en de geldzaken van het slachtoffer te beheren. Dit kan allemaal voorkomen worden door goed beheer en beveiliging van computersystemen en het internetverkeer (de site) van de gemeente.
Video 3: Zo MAKKELIJK kan je PINCODE GESTOLEN WORDEN. (Maalderink, 2019)
Handelingsperspectieven
Om malware en ransomware tegen te gaan, zijn er een aantal opties die gebruikt kunnen worden:
- Bezit een goede virusscanner.
- Houdt alle software in het systeem up-to-date.
- Klik niet zomaar op bijlagen en links in e-mails of websites.
- Gebruik geen 3de partijen.
- Vermijdt onbekende .exe bestanden aangezien ransomware vaak uitvoerbare bestanden zijn.
- Maak om de tijd een back-up
- Installeer geen onbekende gevonden usb-stick of andere gegevensdrager
Er kunnen op verschillende manieren back-ups gemaakt worden. Back-ups opgeslagen worden in een usb-stick, externe harde schijf, netwerkschijf of Cloud. Een usb stick en harde schijf zijn externe opslagpunten. Wanneer er een back-up op deze worden gemaakt, mag deze alleen gekoppeld zijn op het moment dat de back-up wordt gemaakt. Let er wel op dat niet iedere back-up geschikt is om de versleuteling van ransomware te herstellen is, aangezien deze ook de externe opslagpunten kan besmetten.
Wanneer er toch sprake is van een malware of ransomware aanval, is het aangeraden om de volgende stappen te volgen:
- Verwijder de malware met behulp van een virusscanner.
- Plaats een back-up van de bestanden terug.
- Schakel professionele hulp in bij de bestrijding.
Phishing is te voorkomen door goed te kijken. Criminelen worden steeds creatiever doen dit nu via de digitale wereld. Let daarom altijd op bepaalde punten die weggeven dat het gaat om phishing. Kijk altijd naar degene die het heeft afgezonden en check dit dan na op het internet. Vaak doen criminelen zich voort als een overheidsinstantie of een bedrijf en gebruiken een
naam, nummer of e-mail dat op het echte lijkt. Vaak is het makkelijk op het internet te vinden wat nu het werkelijke geen is van die instantie. Betaal daarom ook nooit betaalverzoeken zonder deze na te checken of te vragen.
Wanneer er toch sprake is van phishing, kan er altijd een melding gemaakt worden bij de politie.
Toets: Malware en Phishing
Toets: Malware en Phishing
Start
Afsluiting
De volgende dag zal u, uw resultaten ontvangen via de mail. Bedankt voor uw tijd. Vanaf nu is uw basiskennis over de risico’s en gevaren die het internet met zich meebrengt weer een stukje groter!
