Gemeenten krijgen securityhulp op locatie in pilotproject IBD

De pilot voor snelle triage op locatie is deze maand gestart en loopt in 2022. Eventueel kan de looptijd langer zijn, antwoordt een woorvoerder op vragen van AG Connect. Dat is namelijk afhankelijk van of de zelfopgelegde 'limiet' wordt bereikt van drie grote incidenten. Het proefproject wil namelijk lering trekken uit plaatselijke hulp bij grote security-incidenten en beperkt dat tot drie stuks.

Vooral alert op ransomware

In theorie doen dus alle Nederlandse gemeenten mee aan deze pilot voor snelle securityhulp ter plaatse. "Vooraf aanmelden is niet nodig. Bij een groot incident bieden we deze dienst aan. Een gemeente kan zelf beslissen of zij er prijs op stelt", legt de woordvoerder van de IBD uit. Vooraf bepaalt het CERT (Computer Emergency Response Team) van de dienst of er sprake is van een grootschalig incident.

Het IBD-CERT doet deze triage van een security-inbreuk dan telefonisch. "Hierbij zijn we vooral alert op signalen van ransomware en het aantal geraakte systemen en/of servers." Het criterium of een incident ernstig genoeg is om in aanmerking te komen voor de hulp op locatie is de potentiële schade. Wanneer die meer dan een kwart miljoen euro is, zorgt de IBD er dan voor dat een team van security-experts binnen enkele uren ter plaatse is. De IBD heeft hiervoor specialistische capaciteit ingekocht bij IT-beveiligingsbedrijf Northwave Security.

Meerwaarde voor gemeenten

Voor de triage ter plaatse bij gemeenten is per incident 16 uur aan personeelskracht beschikbaar, wat dan gefinancierd is door de IBD. "De pilot is deze maand (februari) gestart. De pilot is beperkt tot drie incidenten waarmee de IBD wil beproeven of een dergelijke aanpak meerwaarde heeft voor gemeenten." Mochten er dit jaar níet drie security-incidenten bij gemeenten zijn waarvan de geschatte schade boven de 250.000 euro uitkomt, dan loopt de pilot door naar volgend jaar.

Het is dus tijdens de pilotperiode wachten op meldingen van grote incidenten. Het 'in te vliegen' triageteam bestaat uit een crisismanager en een expert op het gebied van herstel. Dit team rapporteert dan aan verantwoordelijke functionarissen bij de getroffen gemeente, dus bijvoorbeeld de CISO (chief information security officer), het hoofd IT of de contactpersoon van het crisismanagementteam. Tijdens de periode van inzet (van 16 uur per incident) heeft het triageteam ook nauw contact met het IBD-CERT.

Plan van aanpak

De IBD meldt dat er aan het einde van de triage een plan van aanpak ligt om het security-incident op te lossen. Dat plan wordt ook afgestemd met de IBD, gemeente en andere stakeholders die betrokken zijn bij de crisis. Tot slot vindt er na afloop een evaluatie plaats tussen de gemeente, IBD en Northwave. Als een gemeente extra ondersteuning nodig heeft, is zij geheel vrij om die zelf in te schakelen. Daarbij hoeven noch de IBD, noch Northwave betrokken te zijn. Overigens zijn gemeenten niet verplicht om de aangeboden hulp van experts op locatie te accepteren. 

De IBD bevestigt dat er nu nog geen plan of vervolgtraject is voor ná deze pilot. Hoe en wat er na deze proef wordt gedaan is namelijk "mede afhankelijk van de uitkomsten/learnings van deze pilot".