ACEN is opnieuw te lezen in De Tijd, een van de toonaangevende zakenkranten van België.
In een artikel over de cyberveiligheid van Vlaamse lokale besturen geeft Wouter Decruy, Managing Director bij ACEN, duiding bij een opvallend rapport van Audit Vlaanderen: zes op de tien geteste gemeenten hebben geen plan om hun dienstverlening voort te zetten na een cyberaanval.
De belangrijkste inzichten uit het artikel
- Geen enkel bestuur zonder zwakke plekken
Auditeurs vonden 1.899 kwetsbaarheden bij 77 Vlaamse gemeenten en 12 intercommunales, waarvan 353 met een hoog risico. - Continuïteitsplannen ontbreken
59 procent van de lokale besturen en 67 procent van de intercommunales kon geen bedrijfscontinuïteitsplan voorleggen. - AI legt oude lekken sneller bloot
Veel organisaties gebruiken oudere software waarvan de lekken met AI sneller en grondiger worden opgespoord. De verdediging loopt daarop achter, en de rapporten met tekortkomingen worden alleen maar groter. - Oefenen is essentieel
Net als bij een brandoefening ontdek je pas door te oefenen of je afspraken echt werken. Een plan moet ook mee evolueren met je toepassingen, leveranciers en processen. - Beveiliging vraagt keuzes
Bescherming vraagt expertise en investeringen. Lokale besturen moeten bewust kiezen waarop ze budgettair inzetten.
Zes op de tien geteste Vlaamse gemeenten hebben geen plan bij cyberaanval
Auditeurs hebben honderden ernstige beveiligingsproblemen gevonden bij tientallen Vlaamse steden en gemeenten. Zes op de tien onderzochte besturen kunnen ook geen plan voorleggen om hun dienstverlening na een cyberincident voort te zetten.
Bij veiligheidscontroles van de IT-systemen van Vlaamse lokale besturen troffen auditeurs liefst 1.899 digitale kwetsbaarheden aan, waarvan 353 met een hoog risico. Dat blijkt uit een nieuw rapport van Audit Vlaanderen, dat lokale ICT-veiligheidsaudits van 2023 tot 2025 bundelt. In die periode namen 77 van de kleine 300 Vlaamse gemeenten en 12 intercommunales deel aan het programma. Geen enkel onderzocht bestuur bleef vrij van zwakke plekken.
“Bij veiligheidscontroles van Vlaamse lokale besturen vonden auditeurs 1.899 digitale kwetsbaarheden, waarvan 353 met een hoog risico.”
Vooral de gebrekkige voorbereiding op een uitval van de IT-systemen valt op. Van de onderzochte lokale besturen had 59 procent geen bedrijfscontinuïteitsplan. Bij de intercommunales was dat 67 procent. Zo’n plan moet vastleggen hoe een organisatie essentiële diensten voortzet en haar systemen herstelt wanneer de computers uitvallen. De auditeurs controleerden alleen of besturen een plan konden voorleggen, de inhoud werd zelfs niet beoordeeld.
Hoe snel een softwarelek dienstverlening kan verstoren, bleek woensdag nog maar eens na waarschuwingen over kwetsbaarheden in de veelgebruikte programmeertaal PHP. Tal van Vlaamse, federale en buitenlandse overheidsdiensten haalden hun websites uit voorzorg offline, net als veel privébedrijven.
Ook onveilige wachtwoorden blijven een zwakke plek. Gemiddeld 30 procent van de geteste paswoorden bij lokale besturen is zwak. Bij beheerdersaccounts, die vaak toegang kunnen geven tot de hele ICT-omgeving van een bestuur, was dat gemiddeld 18 procent.
“30 procent van de geteste wachtwoorden is zwak. Dat geldt ook voor 18 procent van de paswoorden van systeembeheerders.”
In een reactie benadrukt de Vereniging van Vlaamse Steden en Gemeenten (VVSG) dat veel lokale besturen een forse inhaalbeweging maken op het vlak van cyberveiligheid. Strengere Europese beveiligingsvereisten spelen daarbij volgens de VVSG een belangrijke rol.
De vrijwillig deelnemende besturen vormen geen representatieve steekproef van alle Vlaamse steden en gemeenten. Audit Vlaanderen stelt evenwel dat de bevindingen in lijn liggen met eerdere onderzoeken.
Hoeveel van de vastgestelde tekortkomingen inmiddels zijn opgelost, is niet bekend. De deelnemende besturen kregen hun bevindingen en moesten daarmee zelf aan de slag.
Steeds langere lijsten
De opkomst van artificiële intelligentie heeft de cyberveiligheid ook voor lokale besturen fundamenteel veranderd, zeggen experts. ‘Aanvallers kunnen met AI sneller fouten in software opsporen’, zegt Lauren Cuyvers, partner in de Privacy and Cybersecurity Practice van het advocatenkantoor Crowell & Moring. ‘Tegelijk kunnen beveiligers dezelfde technologie inzetten om die gaten te vinden en te dichten.’
“Bescherming vraagt expertise en investeringen. Dat zijn geen kleine of goedkope projecten. Lokale besturen moeten budgettair kiezen waarop ze inzetten.” – Wouter Decruy (Managing director bij Acen)
Veel organisaties zitten vandaag in een tussenfase, zegt Wouter Decruy van het cybersecuritybedrijf Acen. Ze gebruiken oudere software met beveiligingslekken die tot nu toe onopgemerkt bleven, maar met AI sneller en grondiger kunnen worden opgespoord. Op de verdediging daartegen zit echter vertraging.
Pas met de volgende generatie software kunnen ontwikkelaars dezelfde technologie al voor de lancering inzetten om fouten te vinden en te verhelpen. Decruy verwacht daarom dat nieuwe versies op termijn minder kwetsbaarheden zullen bevatten. Intussen moeten organisaties de blootgelegde gaten in hun bestaande software zien te dichten.
Dat brengt veel werk mee. Acen beveiligt onder meer overheidsorganisaties, steden en gemeenten. ‘Klanten voeren beveiligingsupdates uit, maar bij een volgende controle krijgen ze toch opnieuw een lange lijst tekortkomingen’, zegt Decruy. ‘Bovendien worden die rapporten alleen maar groter.’
Digitale brandoefening
De druk om geïdentificeerde softwarelekken te dichten kan ander voorbereidend werk, zoals een continuïteitsplan, naar de achtergrond duwen. Zo’n plan moet duidelijk maken wat er gebeurt wanneer systemen wegvallen. Hoe worden burgers en medewerkers geïnformeerd? En in welke volgorde kunnen toepassingen veilig worden heropgestart? Een cyberaanval op de stad Antwerpen eind 2022 had zelfs maanden later nog grote gevolgen voor de dienstverlening.
Decruy vergelijkt de voorbereiding met brandoefeningen: pas door te oefenen ontdek je of de afspraken echt werken. Het plan moet ook worden aangepast wanneer toepassingen, leveranciers of werkprocessen veranderen. Cuyvers pleit eveneens voor simulaties waarbij medewerkers en leidinggevenden in real time moeten reageren.
Bovendien liggen de risico’s niet uitsluitend in de eigen organisatie. Softwareleveranciers krijgen soms vergaande toegang tot systemen. ‘Organisaties moeten daarom duidelijk afspreken wie waarvoor intern verantwoordelijk is aan de hand van sluitende contracten met die leverancier’, zegt Cuyvers.
Zo’n bescherming vraagt expertise en investeringen. ‘Dat zijn geen kleine of goedkope projecten’, zegt Decruy. ‘Lokale besturen moeten kiezen waarop ze budgettair inzetten.’
Manon Brasseur – De Tijd
