Gemeenten beter beschermd tegen datalekken en hacks

Nieuwe software Pepperflow toont beveiligingsmaatregelen in één oogopslag

KATWIJK – Gemeenten, maar ook zorginstellingen en bedrijven kunnen zich voortaan beter beschermen tegen datalekken en cyberaanvallen. Nieuwe software van Pepperflow zorgt ervoor dat ze in één oogopslag kunnen zien welke maatregelen ze op het gebied van informatieveiligheid moeten nemen en of die ook daadwerkelijk uitgevoerd worden.

Informatieveiligheid wordt steeds belangrijker. Zeker met het oog op de invoering van de nieuwe privacywetgeving in Europa, de Algemene Verordening Gegevensbescherming (AVG), die op 25 mei 2018 ingaat. Wie dan zijn privacy- en databescherming niet op orde heeft, riskeert boetes die op kunnen lopen tot 20 miljoen euro. Alleen al in het eerste kwartaal van 2017 werden er ruim 2300 datalekken gemeld aan de Autoriteit Persoonsgegevens (AP). De meeste uit de gezondheidssector (27 procent) en een op de vijf uit het openbaar bestuur (20 procent). Na de recente aanval met gijzelsoftware WannaCry moesten Engelse ziekenhuizen sluiten. Daarna stelde de Nationaal Coördinator Terrorismebestrijding en Veiligheid (NCTV) dat er ook in Nederland meer geïnvesteerd moet worden in cybersecurity.

Het probleem zit vaak niet in het beleid, maar in de uitvoering, stelt oud-wethouder Jan Post, een van de oprichters van Pepperflow. Gemeenten hebben al in 2013 afgesproken de zogeheten Baseline Informatieveiligheid Gemeenten (BIG) in te voeren. ,,Daar staan honderden maatregelen in waarmee je informatieveiligheid moet verbeteren. De vraag is: hoe zorg je dat die uitgevoerd worden? Hoe bewaak je dat? Je kunt van alles afspreken maar onder aan de streep moet duidelijk zijn of het ook gedaan is,” legt hij uit.

De nieuwe softwaretool van Pepperflow maakt met één druk op de knop op een dashboard zichtbaar wat er is gedaan, wie wat nog moet doen en wat de grootste risico’s zijn. Daardoor kunnen bestuurders en managers verantwoording afleggen. Aan de gemeenteraad of aan de AP als er iets mis gaat. Als iemand bijvoorbeeld een USB-stick met vertrouwelijke informatie kwijtraakt, is het verbod om dat soort informatie mee naar huis te nemen blijkbaar nog niet goed ingevoerd. Als wachtwoorden door hackers gekraakt worden, moet de organisatie misschien nog overstappen op zogeheten twee-factor-authenticatie, waarbij behalve het wachtwoord nog een tweede code ingevoerd moet worden. Bij de aanval van WannaCry bleek software niet geüpdatet en dus zal het update-beleid herzien moeten worden.

,,Je kunt met dit systeem dus ook achteraf zien waar het fout is gegaan. Als er problemen ontstaan kun je hiermee aantonen dat je er alles aan hebt gedaan,” aldus Post. ,,Om vervolgens nieuwe maatregelen te nemen of bestaande te herzien.”

De nieuwe tool vergemakkelijkt het werk van de Chief Information Security Officier (CISO) binnen organisaties. Een betrekkelijk nieuwe functie die de komende jaren steeds belangrijker zal worden. Zij kunnen ermee plannen, doen, controleren en actie ondernemen volgens de zogeheten PDCA-cyclus. Het bijzondere van Pepperflow is dat het een Information Security Management System (ISMS) is voor informatiebeveiliging in de gehele bedrijfsvoering. Het kan meegenomen worden in de Planning & Control cyclus van de organisatie. Die voldoet daarmee aan ENSIA (Eenduidige Normatiek Single Information Audit), het overheidsproject dat de rapportages over informatieveiligheid wil verbeteren.