24/7 cybersecurity in een hybride wereld: hoe voldoe je als gemeente aan deze vereiste?

Als sector lead voor de overheid bij Wortell zie ik dat de sterk veranderende wereld waarin we leven impact heeft op overheidsorganisaties. Terwijl de pandemie na-ijlt, zijn we onze manier van werken collectief aan het veranderen. De meeste dienstverlenende organisaties, zoals gemeenten, kiezen voor hybride werken: medewerkers mogen hun taken deels op kantoor en deels thuis uitvoeren.

Enerzijds gebeurt dit omdat we de voordelen van deze werkwijze hebben ontdekt. Anderzijds eist de medewerker van nu — een millennial in hart en nieren — simpelweg een meer flexibele aanpak. Altijd en overal werken is geen uitzondering meer. Het is de norm.

Dat heeft consequenties voor de beveiligingsmaatregelen die gemeenten treffen — zéker nu er vanuit wet- en regelgeving ook het nodige verandert. Waarmee moet je momenteel rekening houden?

Slot op de digitale deur: verplicht

Als gemeente heb je te maken met de Baseline Informatiebeveiliging Overheid (BIO). Sinds vorig jaar is dit basisnormkader aangescherpt: het slot op je digitale deur moet 24/7 dichtgedraaid zijn.

Een tijd lang leek dit geregeld te zijn via GGI-Veilig, een aanbesteding vanuit de Vereniging van Nederlandse Gemeenten (VNG). Daarom lag de gemiddelde gemeente hier niet wakker van. Maar toen GGI-Veilig verviel, werd het een zorg.

Tegelijkertijd hangt een nieuwe Europese richtlijn je boven het hoofd: NIS 2.0. In 2023 treedt deze in werking. Het gevolg: strengere voorschriften voor de manier waarop je met cybersecurity moet omgaan.

De vraag is: wat nu?

Verstrikt raken in een web van complicaties? Liever niet!

Eén ding is duidelijk: identiteiten, devices en allerlei cloudtoepassingen zijn belangrijker dan ooit. En deze zijn kwetsbaar. In de praktijk betekent dit dat je je omgeving 24/7 proactief dient te bewaken. Het punt is dat de gemiddelde gemeente daarvoor niet de benodigde capaciteit heeft. En als je hiermee zelf aan de slag wilt, kom je al gauw in een web van complicaties terecht. SOC, SIEM, monitoring, operations, incidenten, respons, opvolging: de termen vliegen je om de oren. En wanneer je gaat uitzoeken wat elke term inhoudt, zie je dat er ontzettend veel komt kijken bij het implementeren van de juiste cybersecuritymaatregelen.

In plaats van hier zelf je tanden in te zetten, kun je liever de handen ineenslaan met een gespecialiseerde partij. Zo voldoe je aan wet- en regelgeving. Bovendien zorg je dat medewerkers veilig en soepel kunnen doorwerken in het huidige tijdperk.

Op verkenningstocht: welke vragen kun je stellen?

Denk je erover om een samenwerking aan te gaan met een expert op cybersecuritygebied? Dan is het belangrijk dat je het kaf van het koren weet te scheiden. Ga dus vooral in gesprek met de partijen die jou aanspreken — en stel daarbij de volgende vragen om te toetsen of een samenwerking jou echt verder helpt:

• Welke taken pakken jullie op en wat zijn onze verantwoordelijkheden? (Let op: je kan activiteiten delegeren, maar vanuit de BIO blijf jij eindverantwoordelijk!)
• Welke specialismes hebben jullie precies in huis?
• Doen jullie alleen aan monitoring en detectie of volgen jullie incidenten ook op? (Tip: verdiep je in het verschil tussen een SOC en MDR.)
• Biedt onze samenwerking ons voldoende ruimte om te focussen op onze kerntaken?
• Welke keuzes moeten we allemaal maken qua beleid, proces en technologie?