Voorbeeld: gemeente Duinstad (verzonnen)

Onderdeel van Risicoanalyse langs aanvalspaden · Markdown-bron

Bijlage bij Risicoanalyse langs aanvalspaden. Gemeente Duinstad bestaat niet; de cijfers zijn gekozen omdat ze herkenbaar zijn. Eén dag werk: ochtend stap 1 en 2 met de directie en de CISO, middag stap 3 met de beheerders, stap 4 aan het eind van de dag.

Stap 1. Kroonjuwelen#

De directie kwam tot twaalf en schrapte er twee ("als dat een dag plat ligt, merkt niemand het").

#	Kroonjuweel	Eigenaar	Systemen eronder
1	Uitkeringen en toeslagen betalen	directeur Sociaal Domein	uitkeringsapplicatie, financieel systeem, identiteitsvoorziening
2	Basisregistratie personen	hoofd Burgerzaken	BRP-applicatie, koppeling landelijke voorziening
3	Vergunningen en handhaving	directeur Ruimte	zaaksysteem, GIS, DSO-koppeling
4	Salarisbetaling	hoofd HR	HR-systeem (SaaS), financieel systeem
5	Meldkamer openbare orde en crisisorganisatie	gemeentesecretaris	Teams, telefonie, crisisportaal
6	Belastingen en WOZ	hoofd Belastingen	belastingapplicatie (SaaS), koppeling BAG
7	Website en digitale balie	hoofd Communicatie	CMS (gehost), DigiD-koppeling
8	Werkplek en mail voor 900 medewerkers	manager IV	Microsoft 365, Entra, endpoints
9	Jeugdzorg-dossiers	directeur Sociaal Domein	jeugdapplicatie (SaaS), zaaksysteem
10	Back-up en herstel van alles hierboven	manager IV	back-upplatform, offsite-kopie

Stap 3. Matrix#

Ingevuld op basis van exports (Entra, endpointplatform, firewall, SIEM-regels, leverancierslijst) en twee uur met de beheerders. Groen alleen waar een export of testverslag ligt.

Kroonjuweel	1. Account	2. Werkplek	3. Internetgericht	4. Leverancier	5. Beheerrechten
1 Uitkeringen	D🟡 R🔴 P🟡	D🟢 R🟡 P🟡	D🟡 R🟡 P🟢	D🔴 R🔴 P🔴	D🔴 R🟡 P🟡
2 BRP	D🟡 R🔴 P🟡	D🟢 R🟡 P🟡	D🟢 R🟡 P🟢	D🟡 R🔴 P🟡	D🔴 R🟡 P🟡
3 Vergunningen	D🟡 R🔴 P🟡	D🟢 R🟡 P🟡	D🟡 R🟡 P🟡	D🔴 R🔴 P🔴	D🔴 R🟡 P🟡
4 Salaris	D🟡 R🔴 P🟡	D🟢 R🟡 P🟡	n.v.t. (SaaS)	D🔴 R🔴 P🟡	D🟡 R🟡 P🟡
5 Crisisorganisatie	D🟡 R🟡 P🟡	D🟢 R🟡 P🟡	D🟡 R🟢 P🟡	D🟡 R🟡 P🟡	D🔴 R🟡 P🟡
6 Belastingen	D🟡 R🔴 P🟡	D🟢 R🟡 P🟡	n.v.t. (SaaS)	D🔴 R🔴 P🟡	D🟡 R🟡 P🟡
7 Website en balie	D🟡 R🟡 P🟡	n.v.t.	D🟢 R🟢 P🟢	D🟡 R🟡 P🟢	D🟡 R🟡 P🟡
8 Werkplek en mail	D🟡 R🔴 P🔴	D🟢 R🟡 P🔴	D🟡 R🟡 P🟡	D🟡 R🟡 P🟡	D🔴 R🟡 P🔴
9 Jeugdzorg	D🟡 R🔴 P🟡	D🟢 R🟡 P🟡	n.v.t. (SaaS)	D🔴 R🔴 P🔴	D🟡 R🟡 P🟡
10 Back-up	D🔴 R🔴 P🔴	D🟢 R🟡 P🟡	D🟢 R🟡 P🟢	D🟡 R🟡 P🟡	D🔴 R🔴 P🔴

Wat opviel bij het invullen:

Kolom 2 is grotendeels groen op D omdat de endpointdetectie de ClickFix-keten ziet en dat in april is getest. Maar P is geel: 140 van de 900 werkplekken hebben nog lokale beheerrechten.
Kolom 4 is de rode kolom. Zeven leveranciers hebben permanente VPN- of beheertoegang; niemand kon zeggen of die toegang phishing-resistent is ingelogd, en er zijn geen inlogmeldingen op die accounts. De contracten eisen "passende maatregelen" zonder bewijs.
Kolom 5, rij 10: de back-up. De back-upserver staat in het domein en is met een domeinbeheeraccount te benaderen. Een hersteltest is drie jaar geleden gedaan, op één applicatie.
R is bijna overal geel of rood. Er zijn playbooks, maar ze zijn niet geoefend. Dat ene groene vakje (crisisorganisatie, pad 3) komt van een tabletop in het voorjaar.
Kolom 1 P is overal geel: MFA staat aan, maar via pushnotificatie. Vier beheeraccounts hebben FIDO2, de overige 31 niet.

Stap 4. Risicolijst#

Zeventien rode cellen. Tien in deze ronde, gesorteerd op impact en op wat nu gebeurt.

#	Risico	Maatregel	Eigenaar	Termijn of acceptatie
1	Via een leveranciersaccount (pad 4) zijn de uitkerings-, vergunning- en jeugdapplicaties bereikbaar; we zien het niet, we houden het niet tegen, we weten niet wat we dan doen	leverancierstoegang inventariseren, FIDO2 afdwingen op die toegang, inlogmeldingen aan; Annex in de eerstvolgende contractverlenging	manager IV (toegang), inkoop (contract)	inventarisatie 4 weken, FIDO2 op toegang 3 maanden
2	Back-up (kroonjuweel 10) is vanuit het domein te vernietigen (pad 5) en niet aantoonbaar herstelbaar	back-up buiten het domein, immutable kopie, volledige hersteltest	manager IV	immutable 6 weken, hersteltest 3 maanden
3	Beheeraccounts loggen in met push-MFA (pad 1, P geel op alles), en een overgenomen beheeraccount zien we niet (pad 5, D rood)	FIDO2 verplicht op alle 35 beheeraccounts; detectie op wijziging in beheerdersgroepen	manager IV	6 weken
4	Bij een gecompromitteerd account weet niemand wie de sessies intrekt en wie de keten waarschuwt (pad 1, R rood op 7 rijen)	playbook accountcompromittering schrijven en één keer oefenen	CISO (schrijven), servicedesk (oefenen)	8 weken
5	140 werkplekken met lokale beheerrechten (pad 2 en 5, P rood op rij 8)	lokale beheerrechten weg, LAPS op alle apparaten	manager IV	3 maanden
6	Salaris- en belastingapplicaties (SaaS) zonder bewijs van de leverancier over pad 1 t/m 3 aan hun kant (pad 4)	assurance en pentestrapport opvragen; ontbreekt het, dan Annex-eisen in het gesprek	inkoop, contracteigenaren	2 maanden
7	Kritieke patch op de VPN buiten het change-venster is niet geregeld (pad 3, R geel op alles)	mandaat op één A4: wie beslist, binnen hoeveel uur	CIO	4 weken
8	Geen overzicht van wat er aan het internet hangt (pad 3, D geel)	extern aanvalsoppervlak in kaart, kwartaalscan	manager IV	6 weken
9	Jeugdzorg-dossiers via gecompromitteerd account bereikbaar zonder dat het opvalt (pad 1, D geel op rij 9)	conditional access op de jeugdapplicatie: alleen beheerde apparaten	manager IV, directeur Sociaal Domein	2 maanden
10	Playbooks bestaan maar zijn nooit geoefend (R geel op bijna alles)	twee tabletops per jaar, eerste in het najaar	CISO	eerste tabletop 3 maanden

Zeven rode cellen blijven open, allemaal in kolom 4 en 5 op kroonjuwelen 3, 6 en 9. De directeur Bedrijfsvoering heeft die als risico-eigenaar expliciet geaccepteerd tot de volgende ronde, met de aantekening dat regel 1 en 2 hierboven de meeste ervan meenemen.

Wat de directie eruit haalde#

Niet "we scoren 40% op detectie", maar: als een van onze zeven leveranciers gehackt wordt, kunnen ze bij de uitkeringen, en dat merken we niet. Die ene zin deed meer dan de matrix. De matrix is voor de CISO en de beheerders; de risicolijst is voor de lijn.