De gemeente Utrecht werkt met verouderde software die geen beveiligingsupdates meer ontvangt. Dat vormt een groot risico voor de informatieveiligheid. Ook spreken medewerkers elkaar nog steeds te weinig aan op risicovol gedrag. Dat staat in een recent verschenen rapport van de Rekenkamer Utrecht.

Geen updates

Ondanks verbeteringen op het gebied van digitale beveiliging, blijven er zowel technische als organisatorische zwakheden die de veiligheid ondermijnen. Een belangrijk probleem is dat de gemeente onvoldoende zicht heeft op welke softwareprogramma s verouderd zijn of binnenkort niet meer worden ondersteund. Diverse systemen ontvangen geen updates meer, waardoor ze kwetsbaar worden voor hackers. 

Volgens de onderzoekers heeft het contract en leveranciersbeheer, dat decentraal is belegd bij individuele managers en systeemeigenaren, de afgelopen jaren onvoldoende aandacht gekregen. De Rekenkamer roept Utrecht op om verouderde software snel in kaart te brengen en de risico s te beheersen. De situatie is niet nieuw. In 2021 werden bij de gemeente meerdere kritieke technische risico s vastgesteld.

Inmiddels verholpen

Uit het recente rekenkamerrapport blijkt dat vrijwel al deze technische problemen inmiddels zijn verholpen. Toch is deze vooruitgang onvoldoende zolang verouderde software blijft bestaan, benadrukken de onderzoekers. Ze zien een risico in het gebrek aan zicht op producten die end of life zijn of dreigen te worden. Naast de technische problemen blijft het gedrag van medewerkers een grote uitdaging. 

Uit interviews en tests blijkt dat ambtenaren vaak onzorgvuldig omgaan met veiligheidsvoorschriften. Ze volgen bijvoorbeeld onvoldoende verplichte e learningmodules over informatieveiligheid. Ook zijn zij zich vaak niet bewust van de gevaren van gevonden USB sticks of phishingpogingen, waarbij kwaadwillenden zich voordoen als ict medewerkers. 

Deze versturen we 3-4x per jaar.