Cybersecurity en technologierisico's in de publieke sector

Waarom dit ertoe doet bij publieke waarde

Wanneer de systemen van een ziekenhuis door een aanvaller worden versleuteld, kunnen artsen geen medicatiegeschiedenis zien, worden ambulances omgeleid en operaties afgezegd. Wanneer de besturingssystemen van een waterbedrijf worden gecompromitteerd, is de publieke waarde die op het spel staat niet een serveruitval maar de veiligheid van drinkwater. Wanneer de database van een uitkeringsagentschap wordt gehackt, zijn de meest blootgestelde mensen vaak de mensen die de gevolgen het minst kunnen opvangen: een vertraagde betaling, een gestolen identiteit, een gezin dat niet kan bewijzen wie het is tegenover de staat die het steun verschuldigd is. Computerbeveiliging, gewoonlijk cybersecurity genoemd, is de praktijk van het beschermen van computersystemen, netwerken en data tegen ongeautoriseerde toegang, verstoring of schade. In publieke instellingen staat die praktijk rechtstreeks op het pad tussen de staat en de burger die zij dient.

Daarom kadert dit onderwerp cyberrisico als een kwestie van publieke waarde en niet alleen als een technische. Legitimiteit en steun hangen af van burgers die geloven dat de instellingen die hun data bewaren en hun essentiële diensten draaien kunnen worden vertrouwd beide veilig te houden (zie Onderwerp 1.2 — De strategische driehoek: legitimiteit, waarde en capaciteit). Eén breed uitgemeten inbreuk kan dat vertrouwen blijvend schaden, op dezelfde manier als een slecht afgehandelde noodsituatie, omdat burgers instellingen beoordelen op hoe zij zich gedragen onder aanval evenzeer als op hoe zij dagelijks presteren (zie Onderwerp 3.12 — Crisis-, nood- en veerkrachtmanagement, dat cyberincidenten behandelt als één categorie binnen de bredere discipline van veerkracht). Cybersecurity is ook onlosmakelijk van databestuur: een instelling kan niet beschermen wat zij niet weet te bezitten, en de interoperabiliteit en openheid die waarde uit data creëren, vergroten ook het aanvalsoppervlak dat een aanvaller kan uitbuiten (zie Onderwerp 5.4 — Data, interoperabiliteit en open data in de publieke sector).

Het middelenprobleem is acuut en specifiek voor de publieke en sociale sector. Grote nationale agentschappen hebben steeds vaker eigen beveiligingsteams en ondernemingsbudgetten; het waterschap van een kleine stad, de regionale ziekenhuisorganisatie en de lokale non-profitorganisatie die een opvanghuis voor huiselijk geweld draait, hebben die doorgaans niet, terwijl zij data bewaren waarvan de gevoeligheid die van elke bank evenaart of overstijgt. Aanvallers weten dit. Onderbemiddelde publieke organen zijn in dit onderwerp geen randgeval; ze liggen dicht bij het hart ervan, omdat de mediane publieke instelling die dit risico vandaag het hoofd moet bieden geen nationaal ministerie is maar een kleine lokale autoriteit, een regionaal nutsbedrijf of een goed doel met een handvol ICT-medewerkers en helemaal geen beveiligingsspecialist.

Ten slotte is dit een levend en verergerend probleem, geen hypothetisch. Ransomwarecampagnes richten zich steeds vaker op lokale overheden, ziekenhuizen, scholen en organisaties in de sociale sector, juist omdat zij gevoelige data, essentiële diensten, lage tolerantie voor uitval en relatief zwakke verdediging combineren – een combinatie die hen waarschijnlijker maakt om te betalen en minder waarschijnlijk om de aanval in de eerste plaats te hebben voorkomen. Cybersecurity behandelen als een specialistische toevoeging in plaats van een bestuursniveau-verplichting voor publieke waarde is, voor deze klasse van organisaties, bijna een uitnodiging.

Kernbegrippen

Kritieke infrastructuur is de set van systemen en bezittingen – energie, water, vervoer, gezondheidszorg, financiën, communicatie – die zo essentieel zijn dat hun onbruikbaarheid of vernietiging een ontwrichtend effect zou hebben op veiligheid, economie of publiek vertrouwen. Bescherming van kritieke infrastructuur is de discipline van het beveiligen van deze systemen tegen zowel fysieke als digitale dreigingen; zij doet er hier toe omdat veel van de meest ingrijpende cyberincidenten in de publieke sector geen aanvallen op abstracte data zijn maar aanvallen op de operationele technologie die fysieke infrastructuur draaiende houdt, te onderscheiden van de informatietechnologie die dossiers bijhoudt en transacties verwerkt.

Een dreigingsactor (threat actor) is elk individu, elke groep of staat die kan proberen een systeem te compromitteren; in de publieke sector lopen deze uiteen van financieel gemotiveerde criminele groepen tot door staten gesteunde actoren die spionage of verstoring nastreven, en dezelfde instelling kan beide tegelijk tegenkomen met heel verschillende doelen. Ransomware is kwaadaardige software die de data of systemen van een organisatie versleutelt en betaling eist voor de vrijgave; zij is de dominante dreiging voor publieke organen geworden juist omdat essentiële diensten langdurige uitval niet kunnen verdragen, wat de druk om te betalen vergroot. Phishing is een vorm van social engineering waarin aanvallers personeel misleiden om inloggegevens te onthullen of malware te installeren, doorgaans via bedrieglijke e-mail, en blijft de meest voorkomende manier waarop een aanvaller voor het eerst voet aan de grond krijgt, omdat zij mensen aanvalt en niet technologie.

Een datalek is de ongeautoriseerde toegang tot, openbaarmaking of verlies van informatie, hetzij door een externe aanval, een insider of eenvoudige menselijke fout zoals een verkeerd geconfigureerde database die open op het internet staat. Een aanval op de toeleveringsketen compromitteert een organisatie indirect, door een minder veilige leverancier, softwareverkoper of managed-serviceprovider aan te vallen die de doelorganisatie vertrouwt; deze zijn bijzonder gevaarlijk voor de publieke sector omdat zoveel publieke organen dezelfde handvol softwareleveranciers delen, zodat het compromitteren van één leverancier zich tegelijk tot honderden instellingen kan cascaderen.

Cyberhygiëne is de set van routinepraktijken – software snel patchen, sterke authenticatie afdwingen, beperken wie waartoe toegang heeft, data back-uppen en het herstel van die back-ups testen – die het overgrote deel van de succesvolle aanvallen voorkomt zonder exotische instrumenten te vereisen. De meeste inbreuken benutten bekende, ongepatchte kwetsbaarheden of zwakke inloggegevens uit in plaats van nieuwe technieken, zodat de kloof tussen de werkelijke cyberhygiëne van een organisatie en haar vermelde beleid doorgaans een betere voorspeller van haar risico is dan de verfijning van de dreigingen die zij in haar risicoregister noemt.

De zero-trustarchitectuur is een beveiligingsontwerpprincipe dat stelt dat geen enkele gebruiker of apparaat standaard mag worden vertrouwd, ook niet binnen het eigen netwerk van een organisatie, en dat elk toegangsverzoek moet worden geverifieerd ongeacht waar het vandaan komt. Zij is invloedrijk geworden in richtlijnen voor de publieke sector omdat zij beter past bij hoe modern overheidswerk werkelijk gebeurt – personeel, aannemers en burgers die vanaf veel apparaten en locaties toegang tot diensten krijgen – dan een ouder model dat alles vertrouwde wat al binnen de perimeter zat.

Beheer van computerbeveiligingsincidenten, gewoonlijk incidentrespons genoemd, is het georganiseerde proces van detecteren, indammen, uitroeien en herstellen van een beveiligingsincident, gevolgd door een evaluatie van wat het mogelijk maakte. Een meldplicht (disclosure obligation) is een wettelijke of regelgevende plicht om getroffen individuen, toezichthouders of het publiek te informeren wanneer persoonsgegevens of kritieke diensten zijn gecompromitteerd, binnen een omschreven termijn en volgens een omschreven norm, op grond van de logica dat burgers en toezichtorganen het recht hebben te weten wanneer hun data of essentiële diensten in gevaar zijn gebracht en dat tijdige openbaarmaking mensen in staat stelt zichzelf te beschermen.

Beste praktijken

1. Behandel cybersecurity als verantwoordelijkheid van het bestuursorgaan, niet als gedelegeerde technische functie. Besturen, gemeenteraden en directieteams moeten regelmatig briefings in gewone taal over cyberrisico ontvangen en het budget daarvoor rechtstreeks goedkeuren, in plaats van het te laten onderhandelen binnen een bredere ICT-begrotingspost waar het het gemakkelijkst te schrappen is.
2. Inventariseer wat u bezit en wat ervan afhangt voordat u besluit hoe u het beschermt. Een organisatie kan geen data of systemen beveiligen die zij niet in kaart heeft gebracht; een actuele inventaris van bezittingen en data, gekruist met het elders behandelde werk aan interoperabiliteit en databestuur (zie Onderwerp 5.4 — Data, interoperabiliteit en open data in de publieke sector), is de voorwaarde voor elke andere praktijk op deze lijst.
3. Pas de basis overal toe voordat u geld uitgeeft aan iets geavanceerds. Patchbeheer, meerfactorauthenticatie, geteste back-ups en toegangsbeheer met minste privileges stoppen het overgrote deel van de aanvallen in de praktijk; een publiek orgaan zonder deze zaken zou geen prioriteit moeten geven aan abonnementen op dreigingsinformatie of maatwerkmonitoring.
4. Neem een erkend kader aan in plaats van een eigen te verzinnen. Kaders zoals het Cybersecurity Framework van het National Institute of Standards and Technology geven een gedeeld vocabulaire en een structuur – identificeren, beschermen, detecteren, reageren, herstellen – die een kleine organisatie in vereenvoudigde vorm kan overnemen en een grote volledig, zonder de basistaxonomie opnieuw te verzinnen.
5. Bundel middelen over kleine organisaties in plaats van dat elk afzonderlijk koopt. Een gedeelde beveiligingsoperatiedienst, een regionale pool voor cyberincidentrespons of een sectorbreed aanbestedingskader kan een groep kleine lokale autoriteiten of non-profitorganisaties bescherming geven die geen van hen individueel kan betalen – het meest directe antwoord op het middelenprobleem waar dit onderwerp om draait.
6. Schrijf het incidentresponsplan vóór het incident, en oefen het. Een plan dat voor het eerst tijdens een live aanval wordt opgesteld, is slecht opgesteld, in paniek, door mensen die nooit hebben getest of het werkelijk werkt; een plan dat minstens jaarlijks wordt geoefend, verandert een chaotisch eerste uur in een geoefende reeks bekende stappen (zie Onderwerp 3.12 — Crisis-, nood- en veerkrachtmanagement voor de bredere discipline waarop dit steunt).
7. Besluit het meld- en betalingsbeleid vooraf, niet tijdens het incident. Of de organisatie zal overwegen losgeld te betalen, wie bevoegd is die beslissing te nemen en hoe en wanneer getroffen mensen worden geïnformeerd, hoort door het bestuur goedgekeurd beleid te zijn en geen geïmproviseerde beslissing onder de druk van een lopende afpersingseis.
8. Segmenteer netwerken zodat één compromittering niet elke compromittering kan worden. Operationele technologie die fysieke infrastructuur beheert gescheiden houden van algemene kantoor-ICT, en systemen met hoge gevoeligheid scheiden van die met lagere, beperkt hoe ver een indringer die via één zwak punt binnenkomt kan reizen.
9. Beheer risico’s bij derden en in de toeleveringsketen even rigoureus als intern risico. Eis beveiligingsgaranties, auditrechten en meldverplichtingen voor incidenten in contracten met softwareleveranciers en managed-serviceproviders, aangezien een groeiend deel van de grote incidenten in de publieke sector begint bij een vertrouwde leverancier en niet bij een directe aanval.
10. Investeer in mensen, niet alleen in instrumenten. Regelmatige, realistische training – inclusief gesimuleerde phishingoefeningen – vermindert meetbaar succesvolle social-engineeringaanvallen, en het behouden van zelfs één of twee bekwame beveiligingsmedewerkers in een kleine organisatie is doorgaans meer waard dan een gelijkwaardige uitgave aan extra softwarelicenties.
11. Meld incidenten eerlijk en gebruik bijna-ongevallen als gratis lessen. Een cultuur die personeel straft voor het melden van een vermoedelijke inbreuk garandeert dat de volgende te laat of helemaal niet wordt gemeld; de organisaties die het snelst verbeteren, zijn die welke elk bijna-ongeval behandelen als bewijs om van te leren en niet als reden om schuld toe te wijzen.
12. Bouw cyberweerbaarheid in aanbestedings- en subsidievoorwaarden in, niet alleen interne beleid. Financiers en opdrachtgevende organen kunnen een basisniveau van beveiligingspraktijk eisen van de organisaties die zij financieren of contracteren, waarmee het bereik van goede praktijk wordt uitgebreid naar kleinere uitvoeringspartners die anders geen externe druk hebben om erin te investeren (zie Onderwerp 3.7 — Overheidsaanbesteding en opdrachtverlening).

Vragen om met uw team te bespreken

Weten wij welke data en systemen wij werkelijk bezitten, en welke ervan iemand pijn zouden doen als ze werden gecompromitteerd? Veel organisaties ontdekken de ware omvang van hun databezit pas tijdens een inbreukonderzoek, het slechtst denkbare moment om het te leren. Loop uw belangrijkste diensten langs en vraag voor elk welke persoonlijke of operationeel gevoelige data het raakt en wat een echt mens zou overkomen als die data werd gestolen, gewijzigd of onbeschikbaar gemaakt. Als het eerlijke antwoord “wij weten het niet zeker” is, is die onzekerheid zelf de bevinding, en het dichten ervan het eerste agendapunt. Deze vraag doet er het meest toe voor organisaties die zijn gegroeid door overname, fusie of opgehoopte legacysystemen, waar het institutionele geheugen van wat bestaat is uitgedund.

Als wij morgen door ransomware werden getroffen, zouden wij dan kunnen herstellen vanuit een back-up zonder te betalen? De waarde van een back-up is niet dat ze bestaat maar dat ze is getest om werkelijk te herstellen, snel genoeg, vanuit een versie recent genoeg om ertoe te doen. Vraag wanneer back-ups voor het laatst zijn getest met een echte hersteloefening, niet slechts een voltooiingslogboek, en hoe lang een volledig herstel zou duren tegenover hoe lang uw organisatie een uitval kan verdragen. Als die getallen niet overeenkomen, hebt u nu een middelenbesluit te nemen, niet tijdens een incident. Dit is ook het moment om te bespreken of back-ups zelf zijn geïsoleerd van het netwerk dat een aanvaller die uw hoofdsystemen bereikt ook zou kunnen bereiken.

Wie heeft de bevoegdheid te besluiten of wij losgeld betalen, en hebben wij er ooit over gesproken voordat het ons werd gevraagd? Dit is een van de beslissingen met de hoogste inzet die een directieteam kan tegenkomen, vaak vereist binnen uren en met onvolledige informatie over wat de aanvaller werkelijk heeft. Het proces, de bevoegde personen en de beginselen vooraf vaststellen – ook als het uiteindelijke oordeel nog afhangt van de bijzonderheden van het incident – voorkomt een geïmproviseerde beslissing onder afpersingsdruk. Bespreek wat de wetgeving van uw rechtsgebied en de voorwaarden van uw financiers zeggen over betaling van losgeld en wie u zou moeten informeren.

Zijn onze kleinste partners en leveranciers een groter risico voor ons dan wij voor onszelf zijn? Een goed beveiligde centrale organisatie kan nog altijd worden gecompromitteerd via een slecht beveiligde leverancier, aannemer of uitvoeringspartner met legitieme toegang tot haar systemen of data. Breng de derde partijen in kaart die uw systemen kunnen bereiken of uw data bewaren en wees eerlijk over hoeveel zekerheid u werkelijk hebt over hun beveiligingspraktijken tegenover hoeveel zekerheid u veronderstelt te hebben. Besluit welke minimumnorm u vanaf nu van hen eist en hoe u die gaat verifiëren in plaats van simpelweg om een schriftelijke garantie te vragen.

Zouden wij weten dat wij waren gehackt, en hoe snel? Enkele van de meest schadelijke incidenten zijn niet degene die snel gebeuren maar degene die maandenlang onopgemerkt blijven, waarin een aanvaller stilletjes heeft verkend, privileges heeft verhoogd en data heeft weggesluisd. Bespreek hoe u ongewone activiteit vandaag werkelijk zou detecteren, wie erop let en of die monitoring ook buiten kantooruren loopt, aangezien veel aanvallen bewust ’s nachts of tijdens een vakantieweekend worden gelanceerd wanneer de respons het traagst is. Als detectie volledig afhangt van een burger of partnerorganisatie die ons vertelt dat er iets mis is, is dat een kritieke lacune.

Begrijpt ons bestuur of bestuursorgaan dit risico goed genoeg om het te besturen, of hebben wij dat oordeel stilletjes uitbesteed aan het ICT-team? Besluiten over cyberrisico bevatten echte afwegingen tussen kosten, continuïteit van dienstverlening en bescherming van burgers die terecht de zaak van het bestuursorgaan zijn, niet een gedelegeerde technische kwestie die gewoon wordt doorgeschoven. Bespreek hoe cyberrisico nu aan uw bestuur of raad wordt gerapporteerd, of het in taal is waar een niet-specialist werkelijk op kan handelen en of het budget ervoor met dezelfde nauwkeurigheid wordt vastgesteld als elk ander groot risico. Als uw bestuursorgaan de drie belangrijkste cyberrisico’s van uw organisatie op dit moment niet in eigen woorden zou kunnen uitleggen, is dat de eerste kloof om te dichten.

In de praktijk: een voorbeeld van publieke waarde

Een middelgrote regionale vervoersautoriteit – fictief, illustratief voor een patroon en geen verslag van een bestaande organisatie – draaide verouderende rooster- en betaalsystemen die al een decennium stuksgewijs waren gepatcht in plaats van gemoderniseerd. Haar ICT-team bestond uit drie mensen, verantwoordelijk voor alles van helpdeskmeldingen tot netwerkbeveiliging, en cybersecurity had nooit een eigen regel in de begroting gehad; het zat in een algemene toewijzing voor “systeemonderhoud” die jarenlang reëel niet was gegroeid.

Een aanvaller kreeg toegang via een phishingmail aan een financieel medewerker, met een nagebootste factuur van een leverancier die de autoriteit werkelijk gebruikte. Eenmaal binnen bracht de aanvaller zes weken door met stilletjes door het netwerk bewegen voordat hij ransomware inzette die het roostersysteem, het tariefbetalingsplatform en de back-ups van de autoriteit versleutelde, die nooit van het hoofdnetwerk waren geïsoleerd. Bussen bleven de eerste dag rijden op het geheugen van chauffeurs van hun routes, maar tarieven konden niet elektronisch worden geïnd, realtime informatieschermen gingen donker en de financiële systemen van de autoriteit waren onbruikbaar voor de salarisbetaling.

Het directieteam stond voor de losgeldbeslissing zonder vooraf overeengekomen beleid: niemand had vooraf besloten wie de bevoegdheid had een betaling goed te keuren, wat de juridische positie was of wat zij reizigers zouden vertellen. Herstel vanuit back-up was geen optie, omdat de back-ups samen met al het andere waren versleuteld. Na negen dagen verstoring, gedeeltelijk herstel van de dienstverlening en een betaling die het bestuur van de autoriteit later beschreef als de minst slechte optie die op dat moment beschikbaar was, droeg de autoriteit een onafhankelijke toetsing op.

De bevindingen van de toetsing waren onopgesmukt en volledig in lijn met het patroon dat dit onderwerp beschrijft: geen meerfactorauthenticatie op de financiële systemen, geen netwerksegmentatie tussen kantoorsystemen en betalingsinfrastructuur, al meer dan twee jaar geen geteste back-uphersteloefening, en vóór het incident helemaal geen inzicht op bestuursniveau in cyberrisico. De reactie van de autoriteit was even onopgesmukt – een gefaseerd plan om de basis op orde te brengen, een gedeelde beveiligingsmonitoringregeling met twee naburige vervoersautoriteiten om de kosten te delen van specialistische dekking die geen van hen alleen kon betalen, en een vast bestuursagendapunt over cyberrisico. Niets daarvan was duur naar de maatstaven van een groot ICT-programma; alles was jarenlang overgeslagen omdat het nooit duidelijk iemands toegewezen taak was geweest erop aan te dringen.

Vier sectorperspectieven

Lokale overheid

Lokale autoriteiten zitten op een ongemakkelijk kruispunt: zij bewaren zeer gevoelige data – dossiers uit de sociale zorg, huisvestings- en uitkeringsinformatie, kiezersregisters – en draaien diensten waarzonder burgers moeilijk kunnen, maar hebben doorgaans de kleinste beveiligingsbudgetten en het minste specialistische personeel van elk overheidsniveau. Een groot nationaal ministerie kan een eigen beveiligingsoperatiecentrum bouwen; een kleine gemeente doorgaans niet, wat gedeelde diensten, regionale bundeling en nationale ondersteuningsprogramma’s tot de praktische route naar toereikende bescherming maakt en niet tot een optionele extra. Lokale gekozen functionarissen zijn bovendien vaak de minst toegerust, van alle overheidslagen, om een technische risicobriefing te bevragen, wat rapportage in gewone taal aan gekozen leden op dit niveau een eigen bestuursuitdaging maakt.

Nationale overheid

Nationale overheden hebben doorgaans de middelen om eigen cybersecurityagentschappen en nationale kaders te bouwen – organen zoals het National Cyber Security Centre (Verenigd Koninkrijk) of de Amerikaanse Cybersecurity and Infrastructure Security Agency bestaan om normen vast te stellen, respons te coördineren en minder bedeelde publieke organen binnen hun rechtsgebied te ondersteunen. De kenmerkende uitdaging op nationaal niveau gaat minder over basishygiëne en meer over door staten gesteunde en zeer bekwame dreigingsactoren, de onderlinge afhankelijkheid van kritieke nationale infrastructuur over sectoren en private exploitanten, en de diplomatieke en juridische dimensies van attributie en respons, die zelden voorkomen op lokaal of organisatieniveau.

Sociale sector en non-profit

Non-profitorganisaties en ngo’s bewaren vaak enkele van de meest gevoelige data van elke sector – gezondheidsdossiers, dossiers van overlevenden van geweld of vervolging, vluchtelingen- en asieldossiers – terwijl zij werken met de dunste beveiligingsbudgetten van elk type organisatie in dit boek, omdat financiers zelden geld oormerken voor beveiliging en subsidievoorwaarden het zelden vereisen. Veel organisaties in de sociale sector zijn ook afhankelijk van vrijwilligers en hoge personeelsverloop, wat consistente beveiligingstraining en toegangsbeheer moeilijker vol te houden maakt dan in een stabiele, professioneel bemande organisatie; een beveiligingsincident kan voor een klein goed doel existentieel zijn op een manier die het zelden is voor een overheidsdepartement, omdat reputatieschade en verlies van donorvertrouwen de organisatie rechtstreeks kunnen beëindigen (zie Onderwerp 3.8 — Management van de sociale sector en non-profitorganisaties).

Multilateraal en internationaal

Multilaterale en internationale organen opereren over rechtsgebieden met verschillende meldwetten, verschillende definities van kritieke infrastructuur en verschillende niveaus van nationale cybercapaciteit, wat coördinatie zelf tot een eigen probleem maakt: de eigen systemen van een internationaal orgaan kunnen goed beschermd zijn terwijl zijn nationale lidagentschappen enorm verschillen, en een orgaan als de Organisatie voor Economische Samenwerking en Ontwikkeling of het Agentschap van de Europese Unie voor cyberbeveiliging speelt evenzeer een normstellende en capaciteitsopbouwende als een operationele rol. Het multilaterale perspectief is ook waar grensoverschrijdende incidentrespons en informatiedelingsregelingen het meest ertoe doen, aangezien een aanval die in de infrastructuur van het ene land begint zich binnen uren naar die van een ander kan cascaderen, sneller dan de meeste internationale coördinatiemechanismen zijn gebouwd om te bewegen.

Veelvoorkomende faalpatronen

Beveiligingstheater zonder operationele inhoud. Een organisatie neemt een indrukwekkend ogend beleidsdocument, een nalevingscertificaat of één duur instrument over en behandelt het vakje als afgevinkt, terwijl basishygiëne – patchen, meerfactorauthenticatie, geteste back-ups – inconsistent blijft. Dit kost echt geld voor de schijn van beveiliging in plaats van beveiliging zelf, en wordt vaak pas als theater ontdekt nadat een incident de kloof tussen beleid en praktijk blootlegt.

Het eigenaarloze risico. Van cybersecurity wordt aangenomen dat het het werk van iemand anders is – van het ICT-team, een leverancier, een toezichthouder – en er bestaat geen enkele verantwoordelijke eigenaar op bestuursniveau. Dit levert een risico op dat overal wordt besproken en nergens besloten, en het is precies het patroon dat organisaties niet in staat laat basisvragen over hun eigen blootstelling te beantwoorden wanneer ze worden gesteld.

Onderinvestering gerechtvaardigd door de afwezigheid van een eerder incident. Omdat een goed gedraaid beveiligingsprogramma geen zichtbare gebeurtenis oplevert wanneer het slaagt, is het gemakkelijk te schrappen in een krappe begrotingsronde ten gunste van iets met zichtbare uitvoer, en wordt de afwezigheid van een inbreuk tot nu toe aangezien voor bewijs van toereikende bescherming in plaats van bewijs dat nog niet is getoetst. Dit weerspiegelt dezelfde begrotingslogica die veerkrachtinvestering in bredere zin ondermijnt (zie Onderwerp 3.12 — Crisis-, nood- en veerkrachtmanagement).

Legacysystemen die voorbij hun ondersteunbare levensduur blijven draaien. Publieke organen draaien vaak software of hardware lang nadat een leverancier is opgehouden er beveiligingspatches voor uit te geven, omdat vervanging duur, ontwrichtend of politiek impopulair is en het systeem “nog werkt”. Een ongepatcht, niet-ondersteund systeem is geen legacyongemak; het is een open deur die een aanvaller niets kost om door te lopen.

Incidentcultuur die eerst schuld zoekt. Wanneer personeel dat een vermoedelijke inbreuk of een fout meldt wordt gestraft in plaats van ondersteund, worden toekomstige incidenten te laat, geminimaliseerd of helemaal niet gemeld, en verliest de organisatie het vroege waarschuwingssignaal dat tijdig melden biedt. Dit faalpatroon versterkt elk ander op deze lijst, omdat geen van de bovenstaande oplossingen werkt als de organisatie haar eigen problemen niet eerlijk kan zien.

Volwassenheidsmodel

Checklist

• Een genoemd individu of commissie op bestuursniveau is eigenaar van cyberrisico en rapporteert er regelmatig over, in gewone taal.
• Een actuele inventaris bestaat van welke data en systemen de organisatie bezit en welke het gevoeligst of het kritiekst voor een dienst zijn.
• Meerfactorauthenticatie wordt afgedwongen op alle systemen die gevoelige data bewaren of kritieke diensten beheren.
• Back-ups worden regelmatig gemaakt, geïsoleerd van het hoofdnetwerk bewaard en het herstel is de afgelopen twaalf maanden getest.
• Software en systemen worden volgens een omschreven schema gepatcht, en elk systeem dat niet meer kan worden gepatcht heeft een gedocumenteerd plan om het te vervangen of te isoleren.
• Een schriftelijk incidentresponsplan bestaat, noemt wie bevoegd is sleutelbesluiten te nemen en is het afgelopen jaar geoefend met een realistische oefening.
• Een door het bestuur goedgekeurd beleid bestaat over betaling van losgeld en over hoe en wanneer getroffen mensen, toezichthouders en het publiek worden geïnformeerd.
• Contracten met softwareleveranciers en managed-serviceproviders bevatten beveiligingsgaranties en meldverplichtingen voor incidenten.
• Personeel krijgt regelmatige, realistische beveiligingstraining, inclusief gesimuleerde phishingoefeningen.
• Het melden van een vermoedelijk incident of bijna-ongeval wordt behandeld als waardevolle informatie, niet als grond voor schuld.
• Gedeelde of gebundelde beveiligingsregelingen zijn verkend met vergelijkbare organisaties van gelijke omvang en budget.
• Cyberrisico komt expliciet voor in de bredere crisis- en veerkrachtplanning van de organisatie, niet als afzonderlijk, losstaand plan.

Belangrijkste bronnen

Dit onderwerp put uit het Cybersecurity Framework van het National Institute of Standards and Technology als toonaangevend gestructureerd kader voor het organiseren van cybersecuritypraktijk; de gepubliceerde missie en richtlijnen van het Agentschap van de Europese Unie voor cyberbeveiliging over het bereiken van een gemeenschappelijk niveau van cyberbeveiliging in de Europese Unie; het werk van de Organisatie voor Economische Samenwerking en Ontwikkeling over digitaal-veiligheidsbeleid, dat digitale veiligheid kadert als een economische en sociale risicobeheerkwestie en niet als louter technische; en de operationele richtlijnen van nationale cybersecurityagentschappen zoals het National Cyber Security Centre van het Verenigd Koninkrijk en de Amerikaanse Cybersecurity and Infrastructure Security Agency, die beide gratis richtlijnen bieden die specifiek zijn gericht op onderbemiddelde publieke organen.

Referenties

1. Computer security — Wikipedia — https://en.wikipedia.org/wiki/Computer_security
2. Critical infrastructure — Wikipedia — https://en.wikipedia.org/wiki/Critical_infrastructure
3. Ransomware — Wikipedia — https://en.wikipedia.org/wiki/Ransomware
4. Phishing — Wikipedia — https://en.wikipedia.org/wiki/Phishing
5. Data breach — Wikipedia — https://en.wikipedia.org/wiki/Data_breach
6. Supply chain attack — Wikipedia — https://en.wikipedia.org/wiki/Supply_chain_attack
7. Zero trust architecture — Wikipedia — https://en.wikipedia.org/wiki/Zero_trust_architecture
8. Computer security incident management — Wikipedia — https://en.wikipedia.org/wiki/Computer_security_incident_management
9. National Cyber Security Center (United Kingdom) — Wikipedia — https://en.wikipedia.org/wiki/National_Cyber_Security_Centre_(United_Kingdom)
10. Cybersecurity and Infrastructure Security Agency — Wikipedia — https://en.wikipedia.org/wiki/Cybersecurity_and_Infrastructure_Security_Agency
11. Cybersecurity Framework — National Institute of Standards and Technology — https://www.nist.gov/cyberframework
12. Who we are — European Union Agency for Cybersecurity (ENISA) — https://www.enisa.europa.eu/about-enisa/who-we-are
13. Digital security — Organisation for Economic Co-operation and Development (OECD) — https://www.oecd.org/en/topics/digital-security.html
14. What we do at the NCSC — National Cyber Security Center (United Kingdom) — https://www.ncsc.gov.uk/section/about-ncsc/what-we-do
15. About CISA — Cybersecurity and Infrastructure Security Agency (United States) — https://www.cisa.gov/about