Welkom terug bij het symposium 'Opstap naar weerbaarheid'...
van het Agentschap Telecom.
De komende drie kwartier praten we natuurlijk over dat herstelvermogen...
maar ook vooral wat je kan doen om dat herstelvermogen te vergroten.
Het is belangrijk om de robuustheid van je digitale infrastructuur...
zo groot mogelijk te maken.
Maar uitval komt vroeg of laat toch echt een keer voor. En wat doe je dan?
In de studio spreek ik straks met drie deskundigen op dit gebied.
En dat gesprek voer ik graag samen met jou thuis of op kantoor.
En dat brengt me meteen bij onze andere gast, of eigenlijk, sidekick, Eelco.
Eelco, welkom terug.
Als het goed is, ga jij ervoor zorgen dat het contact wordt gelegd...
tussen de deelnemers thuis en hier. -Klopt, dat vinden we heel belangrijk.
Dit is geen fysiek symposium waar je in een donkere zaal achterover leunt.
We nodigen je echt uit om mee te doen. En dat doe je vooral via de chatfunctie.
Onder dit videoscherm zie je een venster met allerlei berichten.
Een vraag voor een van de sprekers, een opmerking bij een gesprek...
wat iets toevoegt aan de discussie typ je gewoon in de chat.
Ons team van moderatoren zit klaar...
om die vragen te beantwoorden en door te zetten.
Dat zijn mensen van Agentschap Telecom...
en het Nationaal Cyber Security Centrum.
Ik krijg die vragen in de studio binnen...
en excuses, Annemarie, maar ik breek af en toe in met vragen van kijkers thuis.
Je gaat ons al het ware hacken. -In het gesprek. Dat klopt, ja.
Dus die chatfunctie is heel belangrijk. Ik vertolk jullie stem zo meteen aan tafel.
En daarnaast hebben we ook af en toe een peiling, met jou als deelnemer.
Want we hebben veel kennis aan tafel...
maar ook heel veel kennis aan de andere kant van de camera.
Ja, dat gaan we zo meteen allemaal doen. Pollvragen en ook de chatvragen.
Deel vooral ook jouw ervaringen. Ik zou zeggen: Laten we beginnen.
Welkom. Bij mij aan tafel om te praten over het herstelvermogen...
en de fasen die het ook kent, zijn Jeroen van der Ham, allereerst:
Senior onderzoeker bij het Nationaal Cyber Security Centrum, of NCSC.
Goedemorgen, welkom. -Dag.
En naast jou zit Jessica Overweg...
onderzoeker en adviseur bij het Agentschap Telecom.
Klopt, dank je wel.
En daarnaast zit David Kramer...
adviseur veiligheid bij de gemeente Utrecht.
Heel fijn dat jullie erbij zijn.
Ik begin bij jou, David, je bent adviseur veiligheid bij de gemeente Utrecht.
Wat zijn precies jouw taken?
Mijn taak is met de afdeling regie te voeren op veiligheid in de stad.
Zoals elke stad probeer je een kleine minimaatschappij te organiseren.
Openbare orde is het uitblijven van incidenten in die stad.
Dat is natuurlijk nadrukkelijk de bedoeling.
Zodat alles naar behoren functioneert, zonder incidenten.
Maar hoe breed gaat die veiligheid in de stad?
Ja, heel breed. Van drugsproblematiek...
tot betaald voetbal en dus ook digitale veiligheid.
Wat we met name de laatste tijd zien...
is dat de problematiek en incidenten wat betreft de openbare orde...
steeds meer onderhevig zijn aan een digitale oorzaak.
Vandaar dat we ook echt op digitale veiligheid zijn gaan inzetten.
Dus jij hebt een uitdagende functie. -Zeker wel.
Jeroen, jij bent onderzoeker bij het NCSC. Wat doet het NCSC precies?
Het NCSC is een crisisorganisatie.
Dus als er echt een grote crisis is, dan staan we organisaties bij.
Met name bij de rijksoverheid en de vitale infrastructuur.
Daarnaast zijn we ook een kennis- en expertisecentrum...
dat kennis probeert te ontwikkelen inzake cyber security.
En dat probeert om te zetten in adviezen aan andere organisaties.
Waarom zijn jullie vooral geïnteresseerd in dat herstelvermogen?
Je wil voorkomen dat een crisis gebeurt, en op het moment dat er een crisis gebeurt...
wil je dat organisaties klaar zijn om zich zo snel mogelijk te herstellen...
en weer aan de gang kunnen gaan. En het is belangrijk om daar goed inzicht in te hebben.
We gaan daar zo meteen op verder.
Ook Jessica Overweg van Agentschap Telecom is aan tafel.
'Opstap naar weerbaarheid' heeft ieder jaar een ander thema.
Dit jaar dus herstelvermogen.
Maar waarom is dat voor jullie zo'n belangrijk thema?
Ja, herstelvermogen: Jeroen legde het net al een beetje uit.
Bij Agentschap Telecom, zoals je net al aangaf, Annemarie...
zetten we ons in voor een robuuste digitale infrastructuur.
De realiteit is nu eenmaal dat uitval van ICT niet voor 100 procent te voorkomen is.
Dus het is belangrijk dat organisaties zich voorbereiden...
op uitval of misbruik van ICT.
En een van de middelen die we daarvoor inzetten...
is onder andere dit symposium, 'Opstap naar weerbaarheid'.
En wat doe jij bij Agentschap Telecom?
Als onderzoeker-adviseur ben ik vooral bezig...
naast onze taak als toezichthouder...
waar we vooral ons inzetten op het robuust houden van de digitale infrastructuur.
de kant waar ik mee bezig ben is het adviseren van organisaties...
wat kun je doen om voor te bereiden op uitval van ICT.
En belangrijk ze bewust maken van hun afhankelijkheid van telecom en IT.
Dus het belang van het symposium is daarmee helemaal duidelijk.
Voordat we verder gaan met het gesprek...
ga ik eerst naar Eelco, want hij heeft de eerste pollvraag al klaar staan.
Dat klopt. Ik heb net de polls niet uitgelegd...
want dat kan het makkelijkst door het met elkaar te doen.
De poll verschijnt nu in beeld en polls zijn altijd meerkeuzevragen.
Dus antwoorden A, B, C of D, die met opzet een beetje scherp gesteld zijn.
Waarschijnlijk zul je denken: Die opties passen niet helemaal.
Kies gewoon snel de optie die het beste past bij jouw mening.
De eerst poll is nu in beeld, onder het scherm waar je anders de chat ziet.
En die luidt: Wij hebben als organisatie ons herstelvermogen...
Antwoord A: 'Heel goed op orde'. Daar hopen we natuurlijk op.
Optie B: 'Redelijk op orde, maar er zijn nog wel puntjes...
die we moeten verbeteren, en die kennen we ook'.
Optie C, ook een eerlijk antwoord:
'We hebben dat nog niet op orde, maar weten wat we moeten regelen.'
Of optie D: We hebben dat eigenlijk helemaal nog niet ingericht.
'We zijn er nog niet aan begonnen, of zien er geen noodzaak toe.'
Klik op A, B, C of D, het antwoord dat het beste past bij wat je denkt.
Ik zie de polls al binnenkomen. Heel veel mensen antwoorden.
Wacht niet te lang met antwoorden, want we willen ze aan tafel bespreken.
En nog iets: Als je de poll helemaal niet ziet...
kan dat komen omdat je videoscherm op full screen staat.
Maak het scherm dan even wat kleiner. Dan zie je de poll en kun je klikken op de antwoorden.
Ik zie dat we de antwoorden inmiddels binnen hebben.
Ik lees in het kort de resultaten op.
Tien procent zegt: Ja, we hebben ons herstelvermogen heel goed op orde.
30 procent zegt: Dat hebben we niet op orde.
We moeten er echt flink mee aan de bak.
Gelukkig zegt niemand: We hebben het niet ingericht...
en zien ook geen noodzaak. -Dat is positief.
Het merendeel, 60 procent, zegt:
'Het is redelijk op orde, maar we moeten nog bepaalde stappen zetten.'
Als je dit zo hoort, David, wat vind je hiervan? Verrast dit je?
Je mag natuurlijk nooit aan de kijkers twijfelen.
Maar als je beweert dat het voor 100 procent op orde is...
dan heb je heel veel zelfvertrouwen. -Dat kan niet, zeg je.
Het is iedere keer anders.
En de vraag is of je al serieuze incidenten hebt gehad die dat aantonen.
Of heb je al je risico's al in kaart gebracht, ook die van je leveranciers waarmee je werkt?
Maar met zo'n snel veranderende wereld is die 100 procent wel mogelijk?
Je moet er altijd naar streven, maar je kunt onmogelijk voor 100 procent voorbereid zijn.
Wat vind jij daarvan, Jeroen? -Dat klopt inderdaad wel.
Het klopt wel met het beeld van de interviews die we gedaan hebben...
in het kader van ons onderzoek. De organisaties zijn er wel mee bezig.
Het valt ook een beetje onder de business continuity management.
Maar de digitale infrastructuur wordt de laatste jaren steeds belangrijker.
En het herstelvermogen daarvoor groeit nog niet helemaal mee.
Dus het ideale antwoord B: 'Redelijk op orde, maar we zijn nog bezig'...
dat is de grootste groep. Misschien hoopten we stiekem op die uitslag.
Jeroen, ik wil even terug naar jouw onderzoek.
Want daar worden drie fasen van herstelvermogen in besproken.
En ik wil eigenlijk beginnen met wat die drie fasen zijn.
De drie fasen zijn ten eerste de voorbereiding op herstel.
De voorbereidende maatregelen die je neemt om klaar te zijn voor het geval er iets gebeurt.
Dan heb je 'herstel en uitvoering'.
Het incident is gebeurd en je bent bezig met herstellen.
En de laatste, heel belangrijk, maar vaak vergeten, is leren van herstel.
Dus terugkijken naar wat er precies misgegaan is.
Hoe hebben we het aangepakt en wat kunnen we daarvan leren om het beter te gaan doen?
Want zo maak je je herstelvermogen voor de volgende keer sterker.
David, hoe zien jullie dat in de praktijk?
We proberen ons voor te bereiden door vooral te oefenen...
en met elkaar op voorhand in gesprek te gaan op basis van een risico-inventarisatie.
We hebben in Utrecht ook een cyberweerbaarheidscommunity...
bestaande uit partners waarmee wij de stad maken.
Juist met die community...
proberen we eigenlijk ieder voor zich uit te vragen...
wat je hoofdproducten en diensten zijn.
En wat de onderliggende digitale processen zijn...
zodat je de risico's in beeld krijgt. Als dat allemaal in kaart is gebracht...
kun je die risico's gaan vertalen naar stedelijke functies.
Bijvoorbeeld openbaar vervoer, mobiliteit, zorg, onderwijs.
En dan krijg je ook inzichtelijk welke processen het meeste risico lopen...
die zorgen dat die stedelijke functies worden verstoord.
De risico-inventarisatie is wel key.
En daarnaast oefenen op het moment dat het zich voordoet.
Ja, want die oefening is echt wel heel belangrijk. Hoe oefen je dat?
Door gewoon met een scenariosessie aan de gang te gaan.
Je krijgt een scenario binnen dat zus en zo aangevallen en gehackt was.
Organisaties A, B, C zijn hierdoor op verschillende manieren geraakt.
En vervolgens moet je met die organisaties contact opnemen...
om te komen tot een gezamenlijk beeld van wat er aan de hand is.
Dan is ook communicatie weer heel belangrijk.
Want hoe communiceer je met elkaar over wat er aan de hand is.
Hoe duid je wat er aan de hand is? Wil je wel delen wat er aan de hand is?
Maar de media zullen snel lucht krijgen dat er iets speelt.
En dan moet je gezamenlijk, of ieder afzonderlijk, naar buiten...
met wel een beetje eenduidig verhaal natuurlijk.
Dus al die scenario's oefen je en daar leer je ook weer van.
Ja, dat is wel de bedoeling.
Het is net al gezegd: 100 procent preventie bestaat niet.
Dus we moeten echt preparen...
om te weten wat we moeten doen als het dan toch speelt.
Jeroen, ik ga even naar jou. Hoe koppelen jullie dit onderzoek terug naar de praktijk?
We hebben een aantal interviews gedaan...
waaronder met de gemeente Utrecht, maar ook met andere partijen...
om te kijken hoe ze hun herstelvermogen op orde hebben.
En wat voor onderdelen ze daarin zien.
Welke maatregelen ze genomen hebben en zo.
We hebben literatuuronderzoek gedaan naar de best practices...
en de standaarden die er zijn over cyber security...
die aangeven welke dingen je moet regelen.
En daar hebben we uiteindelijk een self-assesment aan gekoppeld.
Een lange vragenlijst met dingen over wat voor processen je op orde hebt.
wat voor maatregelen je genomen hebt.
Hoe de cultuur binnen je organisatie is. Daar vragen we naar.
Die hebben we nu uitontwikkeld...
en bieden we organisaties aan, zodat ze die kunnen invullen.
En daar komt dan een overzicht uit: In deze gebieden...
want er wordt ingedeeld in gebieden waar je je herstelvermogen kan regelen.
En daar scoor je dan op.
En dat wordt weer gekoppeld aan die best practices...
die je zou kunnen nemen om het te verhogen, als je dat nodig vindt.
We willen ook niet zeggen dat iedereen daar een 10 op moet scoren.
Want dat kost ook erg veel en daar moet je ook een afweging in maken.
Maar in elk geval wel een bewuste afweging.
In elk geval zo hoog mogelijk scoren maar 100 procent, zoals je al zei...
is onmogelijk. Dus ga voor de 10, maar accepteer dat je hem niet hebt.
Ja, dat past ook bij een opmerking van Erik, in de chat.
Een systeem dat je niet hebt, hoef je ook niet te beveiligen.
Misschien moeten we daar vooraf scherpere keuzes in maken.
Ja, inderdaad. Klinkt ook heel efficiënt. -Dat klopt.
Maar aan de andere kant sommige dingen zijn ongemerkt gedigitaliseerd.
Telefoonaansluitingen gaan tegenwoordig over het internet.
Dus als je internetverbinding uitvalt, ben je niet meer bereikbaar.
Terwijl je vroeger nog een aparte telefoonlijn had. Dat heb je niet meer.
Over al die lijnen moet je nadenken. -of Systemen die eerst nice to have waren.
Camerabewaking of alarmen en dergelijke...
worden steeds belangrijker en zijn opeens need to have.
Dat proces gaat soms heel traag, het verandert hoe belangrijk iets is.
Van een proces waarvan het weinig uitmaakt dat het uitvalt...
dat opeens essentieel is, als het uitvalt.
Hoe kun je je daar goed op voorbereiden? Wat is essentieel?
Zoals David al zei, met een goede risico-inventarisatie vooraf.
Dat je je kritieke processen al goed in kaart hebt gebracht...
en weet wat je belangrijkste processen zijn.
In het vorige webinar werd dat ook wel de 'kroonjuwelen' genoemd.
Daarmee wordt natuurlijk vaak gerefereerd aan bepaalde data...
informatie die ergens staat.
Als je die kritieke processen, die 'kroonjuwelen', van tevoren weet...
dan weet je waar je je op moet richten en op moet inzetten.
Hoe lang mag een proces uitvallen, wanneer wordt het voor ons kritiek?
Dat is belangrijk vooraf te weten.
Dat helpt je om voor een crisissituatie je prioriteiten vast te stellen:
Dit is het eerste wat we moeten aanpakken.
Dat zou je niet moeten bepalen tijdens een crisis...
wanneer je ook met heel andere dingen bezig bent.
Net als met een brandoefening. Plattegrondjes met waar je heen moet.
Dat is eigenlijk hetzelfde idee, hè? -Ja, zeker.
Een incident is een incident. Een brandoefening is een klassieker...
waar we intussen heel goed in geworden zijn.
We zijn nog niet zo goed in incidenten met een digitale oorzaak.
Ja, want Yolande vraagt bijvoorbeeld:
Hoe oefent de gemeente Utrecht eigenlijk dit soort digitale incidenten?
Wat ik net ook zei: We gaan met onze cyberweerbaarheidscommunity...
van vertegenwoordigers van onderwijs, telecom, zorg...
en nog meer, gaan we gewoon tijdens een scenariosessie...
waarbij een scenario ons via een telefoontje bereikt...
en gezegd wordt wat er dan bekend is. En in feite zeggen ze dan: succes.
We gaan dan met elkaar in gesprek en iedereen heeft een achtervang daarin:
Van kunnen wij afzonderlijk een beeld krijgen...
van wat er met onze organisatie is?
Hoe wij al of niet slachtoffer zijn geworden.
Kunnen we tot een gezamenlijk beeld en gezamenlijke afstemming komen...
hoe we weer zo snel mogelijk up and running kunnen zijn?
Zo'n oefening kun je op verschillende manieren inzetten.
Met verschillende menskracht die je daarbij betrekt.
Je kunt het met mensen om een tafel oefenen.
Zo van: Als dit gebeurt, schuiven we dat poppetje daarheen en zo.
Dat is redelijk klein te doen. Je kunt het op grotere schaal doen...
met een schaduwteam dat je beschikbaar stelt...
dat doet wat ze normaal ook zouden doen.
Zoals de telefoon pakken en het andere schaduwteam bellen...
van de andere organisatie of afdeling.
Net als bij een brandoefening, ontruimen, naar buiten gaan en dat in de praktijk echt doen.
En het laatste is dat je daadwerkelijk de stroom uitzet...
om te zien of dan inderdaad de noodstroom ingeschakeld wordt.
Oefenen jullie dat ook letterlijk?
Aangevallen worden, of data die opeens weg is?
De stroomuitval hebben we nog niet geoefend. Dat wordt wel heel precair.
Wel een heel goede oefening. -Ja, letterlijk.
Met dat je ook onbereikbaar wordt op bepaalde lijnen.
En dan is er ook de vraag: wat nu?
Uiteindelijk moet je met elkaar ook besluiten gaan nemen...
hoe je dit gaat aanpakken. Dat is ontzettend interessant...
want er ontstaan discussies tussen partners over of een idee goed is.
Maar je moet uiteindelijk tot één besluit komen.
En achteraf ga je evalueren of dat goed was. Dat doe je met experts.
En soms blijkt dat niet zo te zijn.
Dan ben je te voortvarend geweest en heb je alles uitgezet.
Waardoor de schade groter was dan die aanvankelijk was geweest.
Soms heb je naïef te lang doorgedraaid en heb je alles online gehouden.
En heb je daarmee ook schade veroorzaakt.
Dus een expert van buitenaf kijkt ernaar en zegt er wat van?
Dat je dat niet alleen als team doet.
Nee, de oefening wordt geregisseerd door experts.
Ook de scenario's worden gemaakt door ingehuurde experts.
En ze leiden ook de evaluatie.
En zij observeren welke keuzes we maken en welke discussie er plaatsvindt.
Bij het bepalen van de scope van de oefening moet je wel alles meenemen.
John merkt op dat je afhankelijkheid verder gaat dan je denkt.
Digitale toegangspasjes, of mensen en middelen beschikbaar zijn.
Kun je je crisisteam wel bijeen roepen als de telefoonlijnen uitvallen?
Hoe gaan jullie daarmee om?
Vraag je dat aan mij?
Ja, soms wordt het heel primitief.
Het betekent ook dat er vooraf al scenario's in de kluis moeten liggen.
Dat je hardcopy draaiboeken hebt die je regelmatig actualiseert.
Met de juiste namen, telefoonnummers...
dat je inventariseert of je een plan B hebt.
Een ander communicatiekanaal dat we kunnen gebruiken...
op het moment dat plan A niet werkt.
Dus dat is ook voorbereiden. Dat doe je niet in de scenariosessie zelf...
maar door gewoon bijeenkomsten te organiseren met dit netwerk.
Op basis van die risico-inventarisatie die je vooraf maakt.
We vragen elk bedrijf naar z'n belangrijkste producten en diensten.
En die verbinden we aan een stedelijke functie in de stad.
En zo krijgen we inzicht in wat we nodig hebben.
Of als dit uitvalt, betekent dat x, y, z voor het volgende proces...
en de volgende partner in de keten.
Je zou ook simpel in je brandoefening...
kunnen oefenen dat de portofoons niet meer werken.
Dat neem je ook dat stukje in mee. -Precies.
Dat zijn van die kleine handvatten. Neem dat mee bij de volgende oefening.
Dat je dat in elk geval een keer geoefend hebt.
Ik ben ook wel benieuwd...
hoe dat gedaan wordt door de deelnemers aan dit webinar.
Jij hebt daar een pollvraag over, Eelco.
De pollvraag gaat over het oefenen met externe partners.
En de vraag is: Doen jullie dat in jullie organisatie?
'Wij oefenen met diverse externe partijen op uitval van telecom en IT.'
Antwoord A is: Uiteraard doen we dat. Dat is zo vanzelfsprekend.
Optie B: We doen het wel, maar we zouden dat kunnen verbeteren.
Optie C: Dat doen we nog niet, maar het is een heel goed idee.
'Dat nemen we bij de volgende oefening mee.'
Of optie D: Oefenen met externe partners vinden we helemaal niet nodig.
Denk niet te lang na over je keus, maar klik nu op A, B, C of D.
We maken ze natuurlijk zo scherp dat er niet één lekker past.
Dan gaan we nu kijken naar de uitslagen, om het tempo erin te houden.
Momentje, hoor. -Spannend. Het wordt wel spannend.
Zo'n kwart zegt: Uiteraard oefenen wij met externe partners.
Ongeveer hetzelfde aantal zegt: We doen het, maar het kan nog wel meer.
Dus samen is dat de helft, die doet dat al wel.
30 procent zegt: Nee, dat doen we niet.
'Maar het is een goed idee dat bij de volgende oefening te doen.'
En toch nog een kleine 20 procent zegt:
'Oefenen met externe partners vinden we niet nodig.'
Dan is het volgende blok wel nuttig voor mensen die D antwoorden, denk ik.
'Vinden we niet nodig'. Wat vinden jullie daarvan, 20 procent?
Terugkomend ook op de eerste poll, in verband met deze:
Je kunt denken dat je goed voorbereid bent, maar is jouw leverancier dat ook?
We functioneren in digitale netwerken, ketens, dus je bent superafhankelijk.
Dus samen oefenen is volgens mij superbelangrijk.
Sluit jij je daarbij aan? -Ja, compleet.
Ik ben ook benieuwd naar met welke externe partners zij oefenen.
Of die daarvoor open staan, dat is natuurlijk ook heel belangrijk.
Dat kunnen ze ook laten weten, in de chat.
Dus laat vooral weten met welke partijen je samenwerkt.
Ik wil even over dat samenwerken doorgaan, want dat is heel belangrijk.
Dat blijkt wel uit de verhalen die we al gehoord hebben.
Jeroen, wat win je nou met een goede samenwerking in je herstelvermogen?
Het belangrijkste is wel...
dat je dat herstelvermogen niet in je eentje kunt oplossen.
Je hebt daar anderen voor nodig. Soms valt er een dienst bij jou uit...
en heb je anderen nodig om die diensten te kunnen herstellen.
En je hebt sowieso toeleveranciers die je bepaalde diensten verlenen...
die je gewoon nodig hebt om weer up and running te komen.
En ervaringen uitwisselen is ook heel erg belangrijk.
En wat je heel erg merkt in crisissituaties...
is dat het belangrijk is dat je vooraf al een relatie hebt, voordat je hem nodig hebt.
Dus je moet dat contact hebben, weten wie je moet hebben.
Het helpt ook vaak dat je die persoon gezien en gesproken hebt...
dat je een beetje weet wat je aan elkaar hebt.
Dat je een vertrouwensrelatie hebt. Dat maakt het schakelen makkelijker...
tijdens een echte hersteloperatie die je dan moet verrichten.
Want hoe staat het eigenlijk met het collectieve herstelvermogen?
Dat is een goede vraag. Dat weten we niet precies...
en proberen we ook beter uit te vinden.
Vanuit het NCSC organiseren we elke twee jaar een heel grote oefening.
Die heet 'ISIDOOR'. Met veel deelnemende partijen.
Dat gaat vaak wel goed, maar er komen ook altijd weer leermomenten uit.
Maar leermomenten zijn ook goed om weer beter te worden.
David, je hebt net al een beetje verteld hoe jullie samenwerken.
Met welke partijen werken jullie samen? Wie heb je daar echt voor nodig?
We hebben het zo ingericht...
dat we een cyberweerbaarheidsbeeld hebben opgemaakt in 2019...
op basis van stedelijke functies, en die zien we hier ook in beeld.
Er zijn meer stedelijke functies, maar deze acht zijn geprioriteerd.
En we zijn gaan kijken waar de stad nou op drijft.
De stad functioneert als deze losse stedelijke functies ook daadwerkelijk functioneren.
En de stad komt in gevaar bij een disruptie...
op één van deze stedelijke functies an sich.
Of als deze functies elkaar beïnvloeden, want ze zijn met elkaar verbonden.
Afgaande op de stedelijke functies die je hier ziet...
zijn we gaan inventariseren, ook bij onze collega-afdelingen...
met wie we zaken doen om die stedelijke functies te organiseren.
Zo kom je op allerlei partners...
in het onderwijs, mobiliteit, in de zorg.
Zo zijn we die gaan benaderen.
Vrijwel elke organisatie heeft een CISO...
die zich onder andere met business continuity management bezighoudt.
En dit is eigenlijk het business continuity management van de stad...
naar buiten toe. Waar het klassiek naar binnen is, richt dit zich naar buiten.
Dan zijn we gaan kijken met een risico-inventarisatie...
die je op de volgende sheet ziet. Door uit te vragen:
hoe hebben jullie dit georganiseerd? Wat zijn jullie producten en diensten?
Breng eens in kaart welke digitale processen daaronder liggen.
Als jullie dan iets leveren aan een stedelijke functie...
krijgen we vanzelf in kaart welke processen...
van welke partner echt belangrijk zijn...
of prioriteit hebben bij het realiseren van die stedelijke functie.
Dit is dus eigenlijk...
een vrij eenvoudig, maar toch wel compleet overzichtje, dat je hier ziet.
Kijken we naar de volgende sheet...
dan zien we ook weer een relatief eenvoudige berekening.
We begonnen veel ingewikkelder en complexer.
Maar eenvoud is bij deze complexe materie echt het allerbelangrijkst.
Dan ga je dus kijken: Risico is kans maal effect...
keer de tijd tot een omweg wat je nodig hebt, wat al benoemd is.
Zo kom je dus afhankelijk van de stedelijke functie...
en afhankelijk van de actor die daarbij het belangrijkst is...
tot een uiteindelijke waardebepaling, die je op de volgende sheet ziet...
van waar de grootste risico's liggen die we met prioriteit moeten oppakken.
De laatste kolom bevat de score, waarbij je enorme verschillen ziet.
Bij de onderste, zorg, is natuurlijk niet verwonderlijk dat het risico enorm is.
Dat zagen we bij het Radboudumc ook.
Als dat fout gaat. We hanteren ook twee heel eenvoudige grondbeginselen.
Binnen is buiten. Als het bij jouw organisatie fout gaat...
dan gaat ze er buiten, ook bij een collega-organisatie waarmee je werkt...
echt iets van merken. En 'digitaal wordt altijd fysiek', is de tweede.
Het blijft niet bij nulletjes en eentjes.
Als jouw reizigersinformatiesysteem een digitale verstoring kent...
krijg je een oploop van mensen. Dat brengt nieuwe risico's met zich mee.
Dan kom je ook op openbare orde. -Het is nooit een klein probleem.
Het is altijd iets met meerdere gevolgen.
Ik heb daar vragen bij van meerdere deelnemers.
Over hoe lang iets mag uitvallen. Je 'risk appetite'.
Lars heeft daar een vraag over. En Jeroen merkt op:
'Risk appetite is in onze organisatie ook een belangrijk onderwerp...
maar als ik dat bij de directie benoem, gaan ze glazig kijken.'
Dus hoe bepaal je die risk appetite?
Ja, hoe bepaal je die risk appetite?
Dat het belangrijk is dat ze het aan de bestuurstafel bespreken...
komt in ons onderzoek ook terug.
Een van de factoren die we daarin zagen...
is dat je kan beargumenteren hoeveel een uitval gaat kosten.
Dat is vaak te berekenen, maar het blijft theoretisch.
Je ziet dan dat bij incidenten in dezelfde sector...
of heel grote incidenten die heel erg publiek worden...
de bestuurders zich gaan afvragen: Stel dat dit bij ons zou gebeuren.
En dat Radboudumc was één voorbeeld.
De Universiteit van Maastricht, een tijdje terug, was ook een hele grote.
En een andere die we ook gezien hebben, is de 'kaashack'.
Een toeleverancier van AH werd gehackt.
Die pakte kaas in en de volgende dag lag er geen kaas meer in de supermarkt.
Dat zijn best grote...
Dan vindt er opeens wel een gesprek plaats over hoe dat geregeld moet worden.
Dan moet je doorpakken, het aanpakken en scenario's regelen.
Dan zit je ook, zoals David al zei, met handboeken en procedures.
De processen die je moet inregelen.
En ook inregelen dat in de organisatie bepaalde verantwoordelijkheden belegd worden.
Dat mensen beslissingen kunnen nemen.
Want je kunt niet even het bestuur bijeen- roepen om te kijken hoe je gaat reageren.
Als het om risk appetite gaat, verschilt dat sterk per sector.
Bij het Radboudumc is uitval eigenlijk gewoon niet mogelijk, zeg maar.
Neem het elektronisch patiëntendossier, dat ze overal bij nodig hebben.
Dat is waarschijnlijk rond nul...
maar dat hadden we aan Sander moeten vragen.
Je moet per organisatie echt bepalen wat de kosten zijn.
'Hoeveel kost het ons als dit systeem of proces er zo lang uit ligt?'
Het is een belangrijke factor, en wat het voor de bedrijfscontinuïteit betekent.
Die factoren neem je mee bij het bepalen hoe lang het eruit mag liggen.
En wat de gevolgen zijn.
Je hebt vast liever dat het helemaal niet eruit ligt, maar dat is...
Die stap zijn we voorbij. Het gebeurt, maar we moeten kunnen herstellen.
Maar daar regel je dan op in.
Aan de ene kant: Hoeveel moeite doe je om zo snel mogelijk te herstellen?
Of als het echt te waardevol is:
Heb je dan een alternatief dat je dan kunt inschakelen?
Ik ben ook benieuwd naar de directie, waar we het met Sander over hadden.
Het is ook belangrijk dat de directie daarachter staat.
Blijkt al uit het onderzoek hoe de directie meewerkt?
Die moet zich bewust zijn en er zich bewust mee bezig houden...
dat dit een issue is.
Het is ook belangrijk dat ze hun steun uitspreken dat je dit blijft regelen.
Want je moet een risicoafweging maken en kijken wat je kroonjuwelen zijn.
Dat moet je gewoon periodiek herhalen.
Want de situatie om je heen, je organisatie zelf en je processen veranderen...
En die maken dat sommige processen belangrijker worden dan voorheen.
En die afweging moet je maken, tenminste één keer per jaar.
Daar heb je capaciteit voor nodig, en daarvoor de steun van je management.
Over het commitment bij het management...
heeft Eelco ook een pollvraag.
Ik zou van jou willen horen hoe dat bij jouw bestuur of directie werkt.
Spreken zij hun steun uit aan het organiseren van het herstelvermogen?
De pollvraag is al in beeld:
Ons bestuur zorgt voor voldoende tijd, geld en middelen...
om herstelvermogen goed in te richten.
We hebben natuurlijk oneerlijke opties: A: Daar zijn we het helemaal mee eens.
Ons bestuur vindt dat ontzettend belangrijk. Prima geregeld.
Optie B: Nee, daar zijn we het niet helemaal mee eens.
Er is aandacht voor, maar dat vertaalt zich niet in voldoende geld en middelen.
Optie C: Helemaal mee oneens. Ons bestuur heeft wel andere prioriteiten.
Weer drie heel scherpe opties. Ik snap dat geen enkele precies past.
Klik nu snel op de optie die het beste past bij de situatie in jouw organisatie.
Als ik naar de antwoorden kijk, kiest ongeveer de helft optie B.
Namelijk: Er is wel aandacht.
Maar er is niet echt voldoende capaciteit voor beschikbaar gesteld.
44 procent is het er helemaal mee eens.
Ons bestuur vindt het net zo belangrijk als wijzelf.
En toch nog 10 procent zegt:
Nee, ons bestuur heeft heel andere prioriteiten dan wij zelf zouden stellen.
Nuanceer dat antwoord ook even. Op het moment dat je het geeft...
leg dan vooral even uit hoe jij en vooral jullie dat dan zien.
Dat jij anders denkt dan het management...
dan kunnen wij dat hier aan tafel ook behandelen.
David, ik ben benieuwd hoe jij je bestuur achter je hebt gekregen.
Heb je ze achter je weten te krijgen?
Ja, ik denk het wel.
Ik begrijp de kijker, Dan beginnen ze glazig te kijken.
We zijn er al een tijdje mee bezig en hebben er ook mee gedeald.
Het is echt missiewerk geweest...
om politiek, bestuur en ook directie ervan te overtuigen...
dat dit echt de hoogste prioriteit verdient.
Inmiddels worden we ingehaald door schade en schande.
Ik denk dat de meesten wel overtuigd zijn, of overtuigd raken.
Het is het belangrijkste om die vertaling te maken...
omdat het voor veel bestuurders, directeuren, complexe materie is.
Nog steeds: 'Digitaal, nulletjes en eentjes, wat moet ik ermee?'
'Hoezo ben ik verantwoordelijk en welke keuze moet ik maken?'
Ga echt gewoon mensen overtuigen met realistische scenario's...
waarbij blijkt dat het buiten echt fysiek misgaat.
Bij een digitale storing in de verkeersregelinstallaties...
gaan alle stoplichten oranje of uit. -Leg het gevolg uit.
Dan zijn buiten de gevolgen niet te overzien.
Als het watermanagementsysteem digitaal gehackt wordt...
kan betekenen dat elke Utrechter letterlijk natte voeten krijgt.
'En u ook, bestuurder of directeur.'
Dan maak je het overtuigend...
dat het altijd buiten gevolgen heeft en dat ze er iets mee moeten.
Maar als risicomanager, adviseur veiligheid...
ben je eigenlijk altijd een zwartkijker die met slecht nieuws komt.
En je moet dat slechte nieuws acceptabel en inzichtelijk maken...
willen ze met je meegaan.
Maar ze zetten jou op die stoel en zien dus de urgentie dat jij wat moet doen.
Ja, zeker. Ze zien de urgentie, maar voelen ook de verantwoording:
'Wat moet ik in die roze microfoon zeggen? Ik heb hier geen verstand van.'
Bestuurders hebben wel verstand van tal van klassieke thema's...
maar dit is helemaal nieuw.
Dus dan moet je in Jip en Janneketaal adviseren.
Maak het zo eenvoudig en fysiek mogelijk.
Dat ze echt begrijpen wat het gevolg is.
Zijn er nog meer drijfveren die je zou kunnen gebruiken...
om het bestuur achter je te krijgen?
Die incidenten...
en uitleggen wat voor incidenten er zijn en wat voor gevolgen die kunnen hebben...
Dat helpt vaak al. Heel veel organisaties hebben incidenten gehad.
En heel veel organisaties zijn slachtoffer geweest van cybercrime.
Maar wat we ook gehad hebben een aantal jaar terug:
we moesten ineens allemaal omschakelen naar thuiswerken.
Dat is ook een hele omslag die je in je digitale infrastructuur moet maken.
En die was daar niet op berekend.
Ze moesten ineens gaan aanpassen om te zorgen dat iedereen thuis kon doorwerken.
Ja. En op het moment dat die switch staat te gebeuren...
horen we om ons heen alle bedrijven roepen, of vooral het bestuur:
O, dan maken we die switch even.
Maar pas op het moment dat het gebeurt, realiseren ze zich dat het groter is...
dan het in eerste instantie leek.
Ja, precies. Dat is ook een van de dingen die eerder al terugkwamen.
Je kunt allerlei procesboeken, handboeken maken...
maar het past nooit. Je zult altijd moeten improviseren.
Daar moet je je proces ook een beetje flexibel op inrichten.
En zorgen dat je daarop kunt anticiperen...
en genoeg ruimte eromheen hebt om te kunnen improviseren.
Nog een suggestie van Fred, hierbij:
Het is erg belangrijk om commitment te krijgen van je directie...
maar maak je ze onderdeel van je crisisteam en van je oefeningteam?
Door ze daarin te betrekken, zou je eerder voor commitment kunnen zorgen.
Hoe denk jij daarover, Jeroen?
Ja, dat is inderdaad wel een mooie.
Ik meen me te herinneren dat de universiteiten ooit een training hadden gedaan.
Zij hadden er toen ook de Raad van Bestuur van verschillende universiteiten bij betrokken.
Die hadden daar hun agenda voor vrijgemaakt...
en vonden het uiteindelijk zo leuk dat ze de hele dag bleven.
De rest van de agenda ook vrijgemaakt.
Maar het maakte voor hen wel de ogen open, van: Dit is het effect.
En dit kan het betekenen, en de media-aandacht...
Die media-aandacht die je krijgt, kun je ook positief inzetten.
Als je er goed op voorbereid bent, kun je een goed verhaal verkopen en zeggen:
‘We zijn hierop voorbereid en zijn hiermee aan de slag gegaan.’
Zo kun je het ook omswitchen. -Ja.
Jessica, ik ben benieuwd of jij iets aan te vullen hebt...
hoe je dit verder onder de aandacht zou kunnen brengen bij het bestuur?
De bestuurder betrekken, zoals Jeroen zei...
dat, en de suggestie van de deelnemer thuis: betrekken bij je crisisteam.
Dat is echt wel een hele goede.
Een van de belangrijkste dingen...
voor degenen die verantwoordelijk zijn binnen hun organisatie voor digitale weerbaarheid...
dus zoals de CISO, of de lijnmanager die daar verantwoordelijk voor is...
dat die goed aan de bestuurder laten zien wat de impact is...
van een ICT-incident op de bedrijfscontinuïteit.
David heeft het net al mooi in voorbeelden uitgelegd.
Wat als bij het watermanagement de systemen eruit liggen?
Belangrijk is ook dat je aan de bestuurder laat zien:
Wat voor impact heeft dat dan op het behalen van de organisatiedoelen?
En wat zijn de kosten?
Dat je dat plaatje compleet hebt voor hen...
in plaats van met technisch gedetailleerde informatie te komen...
want het zit hem ook deels in hoe je de informatie brengt.
De bestuurder heeft die informatie nodig in die context van alle organisatiedoelen.
Want er zijn nog veel meer prioriteiten.
Dus to the point, Jip en Janneke. Vat het samen.
Zorg dat je met die bundel naar het bestuur gaat, of de directie.
Toon vooral wat de impact is op het behalen van de organisatiedoelen.
Dus bekijk inderdaad het geheel. Plaats het in het geheel voor die bestuurder.
Helder. Na het zien van deze sessie...
kan ik me voorstellen dat bedrijven, kijkers, wel een beter inzicht hebben inmiddels...
in hoe het er nu voor staat met hun herstelvermogen.
Eelco, jij hebt hier volgens mij weer een pollvraag over.
Ja. Die komt misschien bekend voor, want die luidt als volgt:
'Wij hebben ons herstelvermogen...', en dan volgen er weer vier opties.
A: Heel goed op orde.
B: Redelijk op orde, maar we kunnen nog zaken beter doen.
C: Nog helemaal niet op orde. We moeten nog heel veel stappen zetten.
Of D: Herstelvermogen, wat is dat ook alweer?
'Dat hebben we helemaal niet ingericht en zien er ook geen noodzaak toe.'
Dat klopt, dat is de poll die we aan het begin van het webinar ook deden.
Ik ben benieuwd of er deelnemers zijn, of jij misschien thuis denkt:
Ik ben toch wel veranderd van mening.
Bij nader inzien hebben we dat toch minder goed op orde dan ik dacht.
Maar dat zullen we zien bij de antwoorden.
Denk niet te lang na. We willen snel door met de poll. Klik op A, B, C of D.
Weer als tip: Zie je de poll niet in beeld...
dan heb je waarschijnlijk de video op full screen. Maak hem kleiner...
dan kun je antwoorden op de poll.
Als ik kijk naar de uitkomsten dan zegt 10 procent: Dat hebben wij goed op orde.
Dat is ongeveer hetzelfde als in de eerste.
50 procent zegt: Dat hebben we redelijk op orde.
Dat is iets minder dan de vorige keer.
38 procent zegt: Niet op orde, daar moeten we nog veel in regelen.
En eentje, 2 procent: Dat hebben we eigenlijk helemaal niet ingericht.
Dus als ik dat vergelijk met de antwoorden uit het begin...
zien we dat een aantal mensen voorzichtiger is geworden...
met hoe goed ze het geregeld hebben.
Hopen dat we na vandaag zoveel handvatten hebben...
dat uiteindelijk het herstelvermogen nog beter gaat worden.
En dat ze niet op 100 procent zitten, maar wel op een goed percentage...
en er sterk voor staan.
Ik wil tot slot nog even aan jullie alle drie een advies vragen na deze sessie.
Jeroen, ik begin bij jou. Waar moeten deelnemers als eerste mee aan de slag...
om dat herstelvermogen te gaan inrichten als ze het nog niet op orde hebben?
Uit ons onderzoek met TNO komt een self-assesment.
Ik zou mensen willen uitnodigen om die in te gaan vullen.
Het kost wat tijd, maar dan krijg je een beter inzicht in...
hoe je je herstelvermogen hebt ingericht. Dat is vaak toch beter dan je zelf denkt.
Waar kunnen we die vinden? -Dan moet je contact opnemen met ons.
We hebben hem nog niet publiek staan, maar dat is wel de bedoeling binnenkort.
Super. Dat komt helemaal goed. En je kunt deze sessie ook gewoon terugkijken.
Dan kun je alles wat we voorbij hebben zien komen vandaag...
zoals die moeilijke slides van David, kun je nog een keer rustig terugkijken.
Jeroen, sorry, je noemde de self-assessment. Waar kunnen de deelnemers die terugvinden?
Hij staat helaas nog niet online. Hij is nog niet beschikbaar.
Maar op onze website van het NCSC staan onze contactgegevens...
en dan kun je vragen of we die beschikbaar kunnen stellen.
Precies. Dus NCSC, daar moeten ze naartoe en contact opnemen...
en dan gaan jullie regelen dat ze dat kunnen invullen.
David, nog even een advies voor de deelnemers?
Start met de risico-inventarisatie. Zo eenvoudig mogelijk.
Kijk wat de input is van je organisatie.
Wat je als organisatie doet en wat je als output levert.
Kijk dan naar de onderliggende digitale processen.
En van welke leveranciers je echt met prioriteit afhankelijk bent.
Dan krijg je al snel de rode risico's inzichtelijk.
Helder. Jessica?
Voor de organisaties waar het bestuur nog committed moet zijn...
hebben we een handreiking geschreven:
'Digitale weerbaarheid op de bestuurstafel.'
Als het goed is komt de link ook in de chat, de URL waar je hem kunt vinden.
Daar zitten aandachtspunten in die je als CISO of lijnmanager kunt gebruiken...
om het belang van digitale weerbaarheid en ook het herstelvermogen daarmee...
op de bestuurstafel te krijgen.
We hebben hele praktische handvatten gekregen om mee aan de slag te gaan.
Het zit er alweer op voor deze sessie. Mag ik jullie bedanken...
Jeroen, David en Jessica, fijn dat jullie je ervaring wilden delen.
En natuurlijk ook Eelco, hartelijk dank. We zien jou zo weer terug.
We hebben meer inzicht gekregen in wat er nodig is voor een organisatie...
om het herstelvermogen goed in te richten.
Daarbij werd duidelijk dat je als organisatie echt niet op jezelf staat.
Samenwerken is belangrijk, want je bent afhankelijk van andere partijen.
Dus het is essentieel om samen te werken met die partners.
Een opname van dit gesprek komt op de website van Agentschap Telecom.
Dan kun je het symposium terugkijken, of delen daarvan, ook belangrijk om te weten.
En stuur hem vooral ook door naar je collega's.
Delen, want dan kunnen nog meer bedrijven aan de slag met het herstelvermogen.
Als je nog een gesprek wil voeren met de mensen die hier aan tafel zaten...
dan kan dat tijdens de digitale borrel straks.
Dan kun je ze alle vragen stellen die je nog hebt.
In het volgende onderdeel gaan we dieper in...
op de samenwerking met partners in het herstelvermogen.
Hoe blijf je bijvoorbeeld weerbaar als je afhankelijk bent van die andere partijen?
Blijf vooral online. Pak een kopje koffie, thee of fris.
We nemen een korte pauze. En ik zie jullie graag exact om twee uur terug...
voor het vervolg van het symposium 'Opstap naar weerbaarheid'...
van het Agentschap Telecom. Tot zo.