‘Criminelen infiltreren gemeentehuis tientallen keren per jaar’, kopte RTL Nieuws einde vorig jaar. In een serie artikelen over integriteitsschendingen bij gemeenten bracht de onderzoeksredactie verschillende misstanden aan het licht: van het lekken van vertrouwelijke informatie tot fraude, diefstal en omkoping. Gemeenten blijken een kwetsbare prooi voor criminelen. En zij lijken zich nog onvoldoende bewust van de risico’s, zo berichtte RTL Nieuws. In de praktijk zien wij dat veel gemeenten zich wel degelijk bewust zijn van de risico’s. En daar ook actie op ondernemen.
Externe prikkels
Toch hebben gemeenten ook af en toe een externe prikkel nodig om er iets aan te doen. Dat is op zichzelf niet vreemd. Gebeurtenissen die het nieuws halen of incidenten bij concurrenten vormen ook vaak voor andere organisaties aanleiding om de eigen (informatie)beveiliging weer eens onder de loep te nemen. Gemeenten zijn daarin niet anders. Zo laten veel gemeenten naar aanleiding van de berichtgeving van RTL Nieuws op dit moment onderzoeken hoe het met de (informatie)beveiliging is gesteld.
Hoffmann heeft de afgelopen jaren voor verschillende gemeenten dit soort onderzoeken verzorgd. Aan wat voor soort onderzoeken kunt u dan denken?
Risicoanalyses
Bij een risicoanalyse brengen we gedetailleerd in kaart welke risico’s een gemeente loopt. Bijvoorbeeld op het gebied van fysieke beveiliging van gebouwen, maar ook op het gebied van informatiebeveiliging en fraude (zowel factuurfraude als fraude met contante geldstromen). Aan de hand van een risicoanalyse kan een gemeente gericht maatregelen nemen om die risico’s te beheersen.
Onderzoeken naar informatiebeveiliging
Er zijn verschillende methoden om de informatiebeveiliging van een gemeente te onderzoeken, zoals social engineering technieken, pentesten of een Red Teaming oefening.
Inlooptesten
Een gemeente heeft, net als veel andere overheidsorganisaties, een publieke functie. Dit betekent onder meer dat het publieke gedeelte van gebouwen goed toegankelijk moet zijn. Ook vraagt dit een zekere mate van klantvriendelijkheid en behulpzaamheid van ambtenaren. Tegelijkertijd zijn veel vitale processen bij de gemeente belegd. Aan de andere kant werken ambtenaren veelvuldig met privacygevoelige gegevens. Dit vraagt voor de niet-publieke gedeeltes van een gebouw om een ander beveiligingsregime, maar ook om een ander veiligheidsbewustzijn van medewerkers. Met een inlooptest krijgt een gemeente inzichtelijk hoe makkelijk (of moeilijk) het is om als buitenstaander bij die vitale processen en/of privacygevoelige gegevens te komen.
Analyse screeningsbeleid
Uit het onderzoek van RTL Nieuws bleek dat in een aantal gevallen de screening van gemeenten niet op orde was, waardoor ‘foute ambtenaren’ bij meerdere gemeenten konden toeslaan. Een goede screening begint bij een analyse van het screeningsbeleid: op welke functies moeten gemeenten screenen? Wat betekent dit voor de te screenen personen? En, net zo belangrijk, welke preventieve maatregelen kan een gemeente op functieniveau nemen om te voorkomen dat medewerkers überhaupt in de verleiding komen?
Rol voor lokale rekenkamers
Zoals we eerder in dit artikel al aangaven is de kans groot dat het onderwerp (informatie)beveiliging op dit moment bij alle gemeenten hoog op de agenda staat. Maar uit onze praktijk weten we dat dit ook vóór de berichtgeving van RTL Nieuws bij veel gemeenten al het geval was.
Het is echter belangrijk om het onderwerp ook hoog op de agenda te houden. Criminelen blijven namelijk continu op zoek naar gaten in de beveiliging. Daarom is het cruciaal om periodiek te controleren of de genomen maatregelen in de praktijk werken en waar aanvullende maatregelen nodig zijn. Bij Hoffmann zien we dat het helpt als lokale rekenkamers hierin een rol vervullen, bijvoorbeeld door regelmatig kritische vragen te stellen.
Meer weten?
Wilt u hier meer informatie over? Of wilt u weten wat Hoffmann voor u kan betekenen? Neem dan gerust contact met ons op voor een vrijblijvend gesprek.
Onze consultants vertellen u er graag meer over.