Hoe kunnen bedrijven en organisaties zich voorbereiden op verstoringen of uitval van informatie- en communicatiesystemen? Deze vraag probeert Agentschap Telecom te beantwoorden in de handreiking ‘Digitale continuïteit en weerbaarheid op de bestuurstafel’. Het document bevat diverse handvatten die instanties daarbij kunnen helpen.
De handreiking is ontwikkeld door Agentschap Telecom in samenwerking met de Haagse Hogeschool en Royal Schiphol Group. Ook het Digital Trust Center (DTC), ECP Platform voor de InformatieSamenleving en het Nationaal Cyber Security Centrum (NCSC) hebben meegewerkt aan de samenstelling van het rapport.
Het belang van digitale weerbaarheid en bedrijfscontinuïteit
Dat digitale informatie- en communicatiesystemen werken, is voor de meeste bedrijven en organisaties een vanzelfsprekendheid. Totdat ze het ineens niet meer doen, bijvoorbeeld doordat de stroom uitvalt, de cloud niet bereikbaar is of hackers bedrijfsdata hebben gestolen. Dan pas merkt het bedrijfsleven vaak hoe afhankelijk ze zijn van ICT.
Uit rondetafelgesprekken met ICT-professionals uit het bedrijfsleven blijkt dat de directie lang niet altijd het belang van digitale continuïteit en cyberweerbaarheid inziet. Uit onderzoek van het Centraal Bureau voor de Statistiek (CBS) blijkt dat bijna de helft van de bedrijven in Nederland (47 procent) te maken heeft gehad met ICT-systemen die uitvallen.
In praktijk levert dat vaak niet alleen financiële schade op omdat de productie stil komt te vallen: het is ook niet goed voor de reputatie van een bedrijf. Soms kan een cyberincident (met kwaadwillende of onbedoelde oorzaak) zelfs ernstige maatschappelijke gevolgen hebben. Denk aan de ransomware-aanval op Colonial Pipeline. Of de lege kaasschappen bij Albert Heijn door een cyberaanval op transportbedrijf Bakker Logistiek.
Draagvlak creëren bij de directie
Met de handreiking wil Agentschap Telecom bedrijven en organisaties bewust maken van hun afhankelijkheid van ICT-systemen. En hen tegelijkertijd voorbereiden als deze systemen uitvallen. Het eerste actiepunt is voor lijnmanagers, ondersteuners en Chief Information Security Officer (CISO) om het gesprek aan te gaan met de directie om draagvlak te creëren over digitale continuïteit en weerbaarheid. Door inzicht te geven in de situatie en potentiële gevaren, de juiste toon en boodschap te kiezen en afspraken te maken over verantwoordelijkheden en het proces, is de kans groot dat cybersecurity en digitale weerbaarheid een hogere prioriteit krijgen bij de directie.
Vervolgens is het zaak om in gesprek te blijven met de directie over de doelen van de organisatie. “Laat de directie meedenken over hoe deze organisatiedoelen mogelijk worden gemaakt door het borgen van digitale continuïteit en weerbaarheid in de organisatie”, aldus Agentschap Telecom. “Geef in het gesprek met de directie aan hoe het behalen van deze organisatiedoelen mogelijk bedreigd wordt door risico’s op het gebied van digitale continuïteit en weerbaarheid. Laat zien wat de impact is en de kosten zijn wanneer als gevolg van deze risico’s de doelen niet behaald worden. Kom altijd met (potentiële) oplossingen hoe deze risico’s voldoende beheerst kunnen worden.”
Toekomstperspectief bieden
Om dat laatste te bereiken is het goed om jaarlijks de weerbaarheid van de organisatie te testen, bijvoorbeeld door pentests en bewustwordingscampagnes. Verder is het noodzaak om de directie jaarlijks bij te praten over het belang van digitale continuïteit en weerbaarheid. “Vertaal actuele voorbeelden van ICT-incidenten uit de landelijke media die goed passen naar de eigen organisatie. Laat bijvoorbeeld zien hoe uitgevoerde maatregelen succes hebben gehad en de organisatie beschermd hebben tegen een soortgelijk incident.”
Tot slot is het goed dat de CISO en andere ICT-medewerkers over de toekomst praten. Potentiële conflicten tussen veiligheid en innovatie dienen bespreekbaar te worden gemaakt bij de directie. “Kom daarbij niet alleen met problemen maar ook met oplossingen. Zorg ook voor een strategie voor digitale continuïteit en weerbaarheid op de lange termijn voor de organisatie.”
Risico-inschatting maken
Om een inschatting te maken van de digitale risico’s van een bedrijf, heeft Agentschap Telecom een aantal tools opgesomd. Eén daarvan is het Vijfstappenplan van het agentschap. Het plan bevat praktische instrumenten om organisaties bewust te maken van de afhankelijkheid van ICT en de noodzaak om onderzoek te doen naar kwetsbaarheden. De Quickscan uitval telecom geeft een indruk hoe goed een organisatie is voorbereid op de uitval van ICT-systemen.
Met de Risicoklasse tool van het DTC kunnen bedrijven en organisaties een inschatting maken hoe groot het risico op een cyberincident is. Tevens geeft het advies over welke maatregelen een bedrijf kan nemen om de digitale veiligheid te verbeteren. Om kennis en ervaringen uit te wisselen met andere cybersecurityprofessionals, is er de DTC Community.
