Hacket af Hof van Twente (2020): 5 lektioner for kommuner

Det, der skete

Angriberne kom ind via et svagt password på en administratorkonto, hvor tofaktorgodkendelsen desuden var slået fra. Derudover havde en adgangsport (RDP) på en server i længere tid stået åben mod internettet. Sådan kunne kriminelle kryptere systemerne og, afgørende, også gøre back-upperne ubrugelige. Genopretning fra en ren back-up var derfor ikke en mulighed. Kommunen måtte genopbygge meget forfra; borgerbetjeningen var forstyrret i ugevis. Den samlede skade blev anslået til omkring fire millioner euro, mens angriberne krævede en langt lavere løsesum. Kommunen betalte ikke.

Lektion 1: Back-ups er først back-ups, når de står offline

Den mest smertefulde lektion: hvis dine back-ups hænger på det samme netværk, krypterer ransomware dem med. Sørg for back-ups, der er offline eller uforanderlige (immutable), og som ikke kan nås fra det almindelige netværk. Test desuden regelmæssigt, om du virkelig kan genoprette fra en back-up. En back-up, du aldrig har gendannet, er en antagelse, ikke en sikkerhed.

Lektion 2: Styr på det grundlæggende forhindrer det meste elende

Angrebet var ingen bedrift. Det gik galt på det grundlæggende. Det grundlæggende er opnåeligt for enhver kommune.

• Stærke, unikke passwords og obligatorisk tofaktorgodkendelse, ikke mindst på administratorkonti.
• Ingen administratoradgang (som RDP) direkte åben mod internettet.
• Patch i tide, og sluk unødvendige tjenester.
• Netværkssegmentering, så en infektion ikke kan sprede sig overalt.

Lektion 3: Kommunikér med borgerne om nedbrudte tjenester

For borgerne tæller ikke teknikken, men spørgsmålet: kan jeg ansøge om mit pas, min ydelse, min tilladelse? Vær hurtig og ærlig her: hvilke tjenester er nede, hvilke alternativer findes der, og hvornår er der mere nyt. Tilbyd, hvor det er muligt, en nødskranke eller en telefonisk vej. Og gentag budskabet konsekvent på alle kanaler. Uklarhed øger utilfredsheden mere end selve nedbruddet.

Lektion 4: Inddrag jura og privatliv fra minut ét

Ved et hack er der ofte stjålet personoplysninger. Det gør det ikke kun til en it-krise, men også til et privatlivsspørgsmål. Inddrag derfor databeskyttelsesrådgiveren og juridisk ekspertise med det samme, og vurder, om der er tale om et databrud. Et databrud anmelder du inden for 72 timer til Autoriteit Persoonsgegevens, og ved høj risiko informerer du de berørte borgere. Eksterne forensiske eksperter hjælper med undersøgelsen; fastlæg, hvem der gør hvad hvornår.

Lektion 5: Governance og underretningspligter (NIS2, BIO2, GDPR)

En vigtig konklusion i Hof van Twente var, at signaler om informationssikkerhed ikke i tilstrækkelig grad nåede frem til ledelsen. Placér derfor informationssikkerhed på ledelsesniveau, med en CISO og et eget budget, og sørg for, at risici er synlige. Kommuner arbejder under BIO2 og GDPR og hører under cybersikkerhedsloven (NIS2). En cyberhændelse anmelder du til NCSC og den sektorspecifikke CSIRT; et databrud inden for 72 timer til Autoriteit Persoonsgegevens. Inddrag Informatiebeveiligingsdienst (IBD) for kommuner, og dokumentér alle anmeldelser.

Sådan hjælper CrisisRadar

CrisisRadar samler direktion, CISO, databeskyttelsesrådgiver, pressekontakt og eksterne eksperter i et fælles krisebillede. Du registrerer fakta med kilde, udarbejder på få minutter en besked til borgerne og en anmeldelse til tilsynsmyndigheden og holder med underretningstimere øje med GDPR- og NIS2-fristerne. Eksterne forensiske parter samarbejder via en sikker, midlertidig gæsteadgang. Vil du se, hvordan et cyberangreb med databrud ser ud trin for trin i platformen? Se da den tilhørende praksissituation.

Stappenplan

Veelgestelde vragen

Hvordan kunne kommunen Hof van Twente blive hacket?

Angriberne kom ind via et svagt password på en administratorkonto uden tofaktorgodkendelse, samtidig med at en administratorport (RDP) stod åben mod internettet. Sådan kunne de kryptere systemerne og endda back-upperne.

Hvorfor kunne kommunen ikke bare genoprette fra en back-up?

Fordi back-upperne hang på det samme netværk og derfor blev krypteret med. Det viser, hvorfor back-ups skal være offline eller uforanderlige, og hvorfor du skal teste genopretningen regelmæssigt.

Hvilken underretningspligt gælder ved et cyberangreb på en kommune?

Et databrud anmelder du inden for 72 timer til Autoriteit Persoonsgegevens; ved høj risiko informerer du borgerne. En cyberhændelse anmelder du under cybersikkerhedsloven (NIS2) til NCSC og CSIRT. Kommuner inddrager også Informatiebeveiligingsdienst (IBD).