Recent werden meerdere websites, waaronder die van overheidsinstanties, uit voorzorg offline gehaald vanwege kwetsbaarheden in PHP, een veelgebruikte programmeertaal voor websites. Kort daarvoor sloot Albert Heijn een deel van de IT-omgeving preventief af vanwege een cyberdreiging. Jumbo, Lidl en Aldi merkten dat het daardoor drukker werd. Extra klanten aantrekken klinkt positief, maar het geeft te denken.
Wat gebeurt er als publieke diensten niet digitaal bereikbaar zijn of patiënten geen online afspraak bij hun huisarts kunnen maken? En wie vangt de extra vraag op als klanten of patiënten uitwijken? Een cyberdreiging kan organisaties tegelijk raken doordat zij dezelfde technologie gebruiken, maar ook gevolgen hebben voor organisaties die er niet direct bij betrokken zijn.
De befaamde bokser Mike Tyson zei ooit dat iedereen een plan heeft, tot hij een klap in zijn gezicht krijgt. Omdat een klap in het gezicht in het verschiet ligt, trainen boksers niet alleen op ontwijken en afweren, maar ook op incasseringsvermogen. Bij organisaties draait cybersecurity om het ontwijken en afweren van digitale aanvallen. Als daar een klap binnenkomt, vliegen de plannen vaak de deur uit. Weerbaarheid voegt incasseringsvermogen toe aan organisaties zodat ze op de been blijven.
Weerbaarheid is geen solo-activiteit
Binnen organisaties is er steeds meer aandacht voor weerbaarheid. Zij verhogen die met overlappende veiligheidsmaatregelen, noodplannen, trainingen en beleidsmaatregelen. Maar in tegenstelling tot boksers, staan ze niet alleen in de ring. Onze wereld bestaat uit een web van onderling samenhangende ketens, en iedere keten is zo sterk als de zwakste schakel. Aandacht voor de weerbaarheid bij leveranciers en ketenpartners is minstens zo belangrijk als interne maatregelen treffen.
Hoe groot een keten kan zijn, bleek ook in Frankrijk. Aanvallers ontregelden de koelinstallaties van meer dan 700 Franse supermarkten. De temperatuur in de installaties steeg en er ging een kapitaal aan winkelvoorraad kapot. De aanvallers kwamen binnen via een fout in het online onderhouds- en monitoringsysteem. De leverancier van dat systeem zegt een jaar geleden updates aangeraden te hebben en legt de fout bij de anderen neer. Die hadden moeten updaten.
Wie verantwoordelijk is voor de kosten van het incident, is aan de Franse verzekeraars. Wat het illustreert is het belang van samenwerking binnen de keten als het om weerbaarheid gaat. De getroffen supermarkten hoorden niet bij één groep; minstens zes grote Franse supermarktketens werden getroffen. Deze overkoepelende bedrijven, de leveranciers en installateurs van de koelsystemen, die van het monitoringssysteem en meerdere andere teams hadden ieder een rol kunnen spelen om dit probleem te voorkomen.
Hoge muren, lange ladders
Aanvallen voorkomen en blokkeren is zwaar werk. Het traditionele idee is dat de verdediger een tien meter hoge muur om alles moet bouwen, terwijl de aanvaller aan een ladder van elf meter genoeg heeft. Door automatische scans op zwaktes en kant-en-klare aanvallen was er al steeds minder tijd om die muren op te hogen. Daar komt nu AI bovenop. Malafide AI-agents kunnen scannen op zwaktes en complete aanvallen zelfstandig uitvoeren.
Deze nieuwe dreiging is deels met ‘klassieke’ oplossingen te beantwoorden. Neem verouderde systemen uit gebruik, blijf up-to-date met patches, bewaar ook offline back-ups en oefen op herstel. Dit moet worden aangevuld met maatregelen en toegangsrechten die specifiek op AI zijn afgestemd. Boven alles geldt ook hier dat beveiliging pas bijdraagt aan de weerbaarheid als die binnen de keten is afgestemd.
Compliance is de ondergrens, niet het doel
De overheid is een belangrijke aanjager van betere maatregelen. Op 15 augustus zijn de Cyberbeveiligingswet (Cbw) en de Wet weerbaarheid kritieke entiteiten (Wwke) ingegaan. De Cbw is de Nederlandse implementatie van de NIS2-richtlijn en focust op digitale weerbaarheid. De Wwke richt zich op fysieke weerbaarheid van organisaties.
Aan deze wetgeving voldoen is een goed begin, niet het eindstation. Onkraakbare (computer-)beveiliging bestaat niet, en zelfs als die zou bestaan blijft een ultraveilige organisatie niet buiten schot. Als het distributiecentrum van de concurrent faalt, komt de druk op wie er over is. Zelfs een volledig dichtgetimmerde organisatie gaat ten onder als de concurrenten niet weerbaar genoeg zijn.
Organisaties die naast beveiliging ook incasseringsvermogen opbouwen, herstellen sneller en kunnen na een incident eerder doorgaan. Maar weerbaarheid gaat niet alleen om eigenbelang, het gaat ook om groepsbelang. Een aanval die de concurrent treft, kan jou ook treffen. Beperk de samenwerking rond weerbaarheid daarom niet tot de keten, maar stap daar ook uit. Ga het gesprek over weerbaarheid juist met de concurrent aan. Jullie delen één ecosysteem. Door samen te sparren zorg je dat een onverwachte klap niet tot een knock-out van de sector leidt.
Dit artikel is geschreven door Nabeel Siddiqie This link opens in a new tab.
Partner Cybersecurity Eraneos
nabeel.siddiqie@eraneos.com This link opens in a new tab
+31682012275
