Een heel goedemorgen en welkom bij het symposium...
Opstap naar weerbaarheid van het Agentschap Telecom.
Vandaag gaan we het de hele dag hebben over het herstelvermogen.
Hoe bereid je jouw organisatie nu voor op zo'n digitale nachtmerrie?
Wanneer de IT of telecommunicatie uitvalt?
We hebben een mooi programma met deskundigen...
vanuit het bedrijfsleven en de overheid in elkaar gezet.
We gaan het hier de hele dag over hebben, maar voor we dat gaan doen...
wil ik de dag eerst even aftrappen met Angeline van Dijk, goedemorgen.
Inspecteur-generaal van Agentschap Telecom. Fijn dat je erbij bent.
Ja, dank je wel. Goeiemorgen. -Goeiemorgen.
Ja, en fijn dat je dit symposium ook organiseert, voor de vijfde keer al.
Met vandaag dus als thema het herstelvermogen.
Dus eigenlijk, wat als het al is misgegaan? Dat klinkt niet echt bemoedigend, toch?
Nee, eigenlijk niet. Terwijl we zo'n mooi programma hebben.
Maar weet je, 100 procent risicoloos door het leven gaan...
en zeker in de wereld van de ICT en digitalisering, kan niet. Dat is 'n utopie.
Daarom hebben wij ook gezegd: Het is gewoon realistisch om daar rekening mee te houden.
Is ook helemaal niet erg. Dingen kunnen nou eenmaal misgaan.
Maar als het dan misgaat, zorg dan wel dat je snel herstelt.
Dat je niet onnodig veel schade toebrengt. In geld of in manuren, et cetera.
Ja, dus we kunnen er maar beter gewoon open over praten...
zodat we er met z'n allen alles aan kunnen doen om een goed herstelvermogen te hebben.
Wat verwacht je van vandaag? Wat gaat er allemaal gebeuren?
Nou, wat je al zei. Daar zijn wij ook met name voor, als toezichthouder.
Om de verbinding te maken tussen het bedrijfsleven, overheden, beleidsmakers.
Om met elkaar die kennis te delen en hier ook op tafel te leggen en te brengen...
zodat dat inspiratie geeft en hopelijk ook heel veel energie...
om in het bedrijfsleven te gaan werken aan dat herstelvermogen.
Dus dat is eigenlijk wat ik verwacht. Veel leren, horen met elkaar.
Duiding geven, betekenis en uiteindelijk iedereen ook handelingsperspectief bieden.
Kijk, dat is in ieder geval een heel mooie planning voor vandaag.
Waarom eigenlijk herstelvermogen? Waarom is dat nou zo belangrijk?
Nou, ten eerste vind ik dat herstelvermogen op de bestuurstafel thuishoort.
Je moet echt als bestuurder, CISO, CIO, eindverantwoordelijke...
moet je weten, waar gaat het over in mijn bedrijf?
Inmiddels is twee derde van alle processen in Nederlandse bedrijven gedigitaliseerd.
Dus het merendeel van je werk is gewoon digitalisering.
En dan moet je weten, wat zijn dan de risico's?
Wat zijn de impactgebieden die geraakt kunnen worden?
Wat vind je eventueel wel acceptabel qua risico's?
Wat is dan je ICT behoefte? En maak dan een kostenplaatje en 'n vervolgplan daarop.
En dan ben je in ieder geval voorbereid. -Hoe staat het er überhaupt voor...
met het herstelvermogen of incidenten, als je kijkt naar het totaalplaatje?
Ik las dat het CBS, Centraal Bureau voor de Statistiek...
ieder jaar een monitor maakt, een cybersecurity monitor.
En eigenlijk zie je dat tussen 2016 en 2020...
even zo een aantal jaren terugkijkend...
dat het aantal interne en externe ICT-incidenten...
eigenlijk is afgenomen in totaliteit.
Dat is positief. -Dat is eigenlijk positief.
En ik zie ook wel dat bedrijven steeds meer hun verantwoordelijkheid nemen...
en business en innovatie en veiligheid aan elkaar koppelen.
Dat kan ook niet anders, ik zei net al...
het is zo'n belangrijk onderdeel van het werk geworden.
En met name de bankensector loopt voorop.
Facturatieprocessen, binnen de overheid heel veel digitale processen.
In handelsondernemingen ook steeds meer. Dus je komt er niet meer van weg.
En bedrijven worden er ook steeds beter in, nogmaals...
om te werken aan dat herstelvermogen. Dus dat is een mooie tendens.
Aan de andere kant is er nog heel veel op te lossen.
Het aantal DDoS-aanvallen zie je wel weer toenemen.
En met name de criminele activiteiten daaromtrent.
Dus daar moet je je ook weer tegen wapenen.
Maar als ik zie, de interne ICT-incidenten, eventueel veroorzaakt door personeel...
of uitval door hardware of software...
je ziet wel dat we daar steeds beter grip op krijgen, dus dat vind ik hoopvol.
Dus het klinkt als een hele logische stap inderdaad, dat die incidenten nu afnemen...
en we ons dan focussen op: Als het dan toch gebeurt, hoe gaan we dat dan oplossen?
Nou, exact. -Precies.
Ik ben ook nog wel even benieuwd, want vanaf 2023...
geef jij leiding aan de Rijksinspectie Digitale Infrastructuur.
Vandaar ook die nieuwe titel. Wat gaat er anders zijn dan nu?
Ja, zo leuk dat je dat zegt. Afgelopen maandag was de minister bij ons...
om ook de nieuwe namen kenbaar te maken.
En eigenlijk geeft dat een hele mooie duiding, die nieuwe naam.
Namelijk dat het toezicht, met name een toezicht...
op cybersecurity en telecom security heel erg hard nodig is.
Dat gaan wij ook intensiveren en daar past ook een nieuwe naam bij.
Telecom lijkt alsof je met nog een soort telefoonpaal en een bakeliet telefoon...
cijfers aan het draaien bent. Dat is al een hele tijd...
Dat hebben we gehad. -Ja. We zitten in een hele andere dynamiek.
Wij zeggen weleens, echt een digitale transitie.
En daar hoort ook een nieuwe naam bij en ook een nieuwe organisatievorm.
Daar zal ik jullie niet mee vermoeien, dat is voor ons.
Jullie mogen in ieder geval rekenen op een toezichthouder...
die met beide benen in de maatschappij staat en vooral voor de verbinding is.
Dat is onze missie. Een veilig verbonden Nederland.
Nou, dat doen we het liefst ook met alle stakeholders bij elkaar.
En vandaar ook natuurlijk dit symposium. -Vandaar inderdaad dit jubileum eigenlijk.
De vijfde editie eigenlijk alweer. -Dat had ik me helemaal niet gerealiseerd.
Maar laat ik je gewoon feliciteren met de nieuwe naam.
Want een jubileum, het feit dat het nodig is, is natuurlijk ook wel weer...
Dat betekent dat we moeten werken aan iets wat we niet willen, wat op ons afkomt.
Ja, precies. Maar wees voorbereid op wat er komen gaat en voor de toekomst.
Want de digitalisering snelt voort. Dat kunnen we vaak bijna niet bijbenen.
Angeline, mag ik jou danken? Voor nu.
Want eind van de middag kom je nog terug voor een soort recap van de dag.
Dan gaan we kijken hoe we nou in actie gaan komen.
Dank voor nu en heel veel plezier met kijken.
Dat ga ik zeker doen en ik wens iedereen een hele mooie dag toe en veel kijkplezier.
Dank. Dan gaan we inderdaad naar die eerste sessie toe.
Maar voordat ik zo meteen de eerste gasten aan jullie ga voorstellen...
wil ik eerst mijn sidekick van vandaag voorstellen en dat is Eelco Vriezekolk.
Goedemorgen en leuk dat je meedoet. En ik zeg met opzet meedoet...
want het wordt geen passieve tv-uitzending waarbij je achterover kan leunen...
en alleen maar meekijkt. Hoe gaan we dat dan doen, die interactie?
Nou, onder dit videobeeld zie je een venster met berichten.
Heb je nu een vraag voor een van de sprekers...
of een bijdrage aan de discussie of een opmerking die misschien wat toevoegt?
Type die dan in de chat.
Er zit een team van moderatoren klaar om die vragen te beantwoorden.
Zij zetten die door naar de studio en ik probeer zoveel mogelijk vragen van jou...
door te zetten hier naar het gesprek aan tafel.
En daarvoor ga ik inbreken in het gesprek als dat nodig is.
Zo proberen we zoveel mogelijk van jullie vragen hier aan tafel te beantwoorden.
Nou, dat is één, de chatfunctie. Maak daar gewoon enthousiast gebruik van.
Laat daar gewoon een leuke, lekkere discussie ontstaan.
Een andere manier waarop we jullie uitnodigen om mee te doen is via de polls.
Af en toe doen we een peiling. Dat zijn meerkeuzevragen.
Waarbij het verzoek aan jullie is om snel even te antwoorden.
De makkelijkste manier om uit te leggen hoe dat werkt...
is om gewoon de eerste poll te starten en die komt nu in beeld.
En die vraag luidt als volgt:
Mijn organisatie is weleens slachtoffer geweest van een digitaal incident.
We hebben drie antwoorden. Klik op antwoord A als je denkt:
Ja, mijn organisatie heeft daar weleens mee te maken gehad.
Weet je zeker dat je organisatie daar nooit mee te maken heeft gehad, kies voor B. Nee.
En als je denkt, misschien wel het meest eerlijke antwoord...
ik durf niet helemaal ja of nee te antwoorden, dan klik je antwoord C aan.
Wacht daar niet te lang mee. Dus klik op A of B of C...
zodat we de poll snel kunnen sluiten en we aan tafel de resultaten kunnen bespreken.
Dat is hoe het werkt. We hebben de chat, we hebben de poll.
En ik ben de vertolker van jouw stem hier aan tafel.
Dank voor deze intro.
Volgens mij gaan we zo meteen die poll bespreken. Klopt dat?
Jazeker, dat klopt. -Daar komen we zo op terug.
Eelco, dank in ieder geval en heel veel succes ook met het behandelen...
of het uitzoeken van al die vragen die binnenkomen, stel ze vooral via de chat.
En ja, welkom. Vandaag dus in het teken van het herstelvermogen.
En we beginnen deze eerste sessie aan tafel met twee deskundigen...
die dat aan den lijve hebben ondervonden of er ervaring mee hebben.
Hoe het ervoor stond of staat met hun herstelvermogen.
Allereerst Sander Vols. CISO bij het Radboud Universitair Medisch Centrum.
Goedemorgen. -Goedemorgen.
En naast jou zit Joost Gijzel, hoofd Incident Response bij DataExpert.
Ook welkom. -Goeiemorgen.
Sander, ik begin even bij jou. CISO klinkt heel ingewikkeld.
Wat zijn je verantwoordelijkheden? Wat doe je? Wat betekent het?
Het is een soort spilfunctie op het gebied van veiligheid.
Informatieveiligheid, cybersecurity. Een soort adviseur richting het bestuur.
Met de verantwoordelijkheid dat het reilen en zeilen goed loopt.
Een grote verantwoordelijkheid. -Ja, absoluut.
Het Radboudumc heeft ook te maken gehad met een hack in de zomer van 2021.
Daar gaan we zo meteen uitgebreid op verder.
Ik ga eerst even naar Joost, want wat doe jij eigenlijk in jouw baan?
Eigenlijk Cyber Incident Response houdt in dat je...
uitrukt bij organisaties die getroffen zijn door een cyberhacker.
Bijvoorbeeld de Radboud Universiteit.
Maar vooral dat je organisaties gaat helpen...
op het moment dat ze het eventjes niet meer weten.
Dus het is een technisch onderzoek, maar ook procesmatig...
organisaties bijstaan tijdens een cyberincident.
Dus jij hebt hier ook veel ervaring mee? -Ja.
Nu is jouw functie een relatief nieuwe functie, heb ik begrepen.
Wat zie jij bijvoorbeeld meestal gebeuren bij bedrijven?
Dat is heel divers. Grotere organisaties, vooral overheidsorganisaties...
zijn zich al vaker bewust van het risico...
en hebben bepaalde zaken qua herstelvermogen ingeregeld.
Maar in de zakelijke markt, midden- en kleinbedrijf is dit nog totaal niet bekend.
Je ziet dat het gezien wordt als een IT-probleem.
Men is zich er niet van bewust dat een cyberincident een IT-component heeft...
maar vooral de hele organisatie breed kan treffen.
Dat het gaat om bedrijfscontinuïteit. En dan ontstaat er chaos. Ja, chaos.
Ik breek er meteen eventjes op in, want we hebben een vraag van Dick.
En Dick zegt: Klopt het dat slechts 20 procent van de Nederlandse organisaties...
een strategie heeft voor cyber resilience? Is dat niet wat weinig?
En wat zou de doelstelling moeten zijn voor zeg, 2025?
Goeie vraag, Dick. Zeker weten. Ik kan niet zomaar zeggen of dat 20 procent is.
Laat ik wel stellen dat van de organisaties die wij bij hebben gestaan...
dat dat redelijk overeenkomt.
Je ziet de grote organisaties die bedrijfscontinuïteit als speerpunt hebben.
Kijk naar productieorganisaties, kijk naar ziekenhuizen of zorgorganisaties.
Daar zijn wel vaak disaster recovery plannen.
Dus dat zegt specifiek iets over:
Hoe ga ik ermee om als iets getroffen is en hoe zorg ik dat het weer terugkomt?
Maar daar ontbreekt vaak het hele proces-stappenplan in.
Dus het zou best kunnen dat het 20 procent is.
Wat betreft 2025, ik denk dat dat misschien zelfs wel wat laat is.
Laten we ons erop richten dat elke organisatie...
volgend jaar al iets op de plank heeft waarmee ze aan de slag kunnen.
Dank je wel voor je vraag. -Dank je wel voor het antwoord.
Ik wil meteen eigenlijk even terug naar Eelco.
Want heb jij inmiddels de resultaten van de poll binnen?
Ja klopt, die zijn binnen. Die krijg je ook in beeld nu.
Die staan onder dit videoscherm.
De helft van de organisaties ongeveer zegt dat ze weleens...
slachtoffer zijn geweest van een incident. Dus dat is best een fors aantal.
16 procent zegt: Nee, dat hebben we nog nooit bij de hand gehad.
En de rest is daar misschien wel te eerlijk in.
30 procent zegt: Misschien wel, misschien niet. We weten het niet zeker.
Is dit iets wat jullie verrast? Sander, bijvoorbeeld?
Nee, verrast niet.
Wat je hier veelal ziet, is dat eigenlijk elke organisatie ooit wel getroffen wordt.
100 procent zekerheid, Angeline zei het net al, bestaat niet.
Dus bereid je voor om zo goed mogelijk te herstellen als er iets gebeurt.
En de schade zo min mogelijk te laten worden.
Dus het beeld herken ik wel. En die 16 procent hebben geluk, denk ik dan.
Ja, want ook niet dat we weten, maar misschien wel.
Wat zou je die mensen ook willen meegeven?
Ja, dus echt het voorbereiden op dat stuk. Zorg dat je basis goed is.
Dat je risico's in kaart brengt en ook je resilience uiteindelijk.
En die 20 procent herken ik denk ik wel.
In die zin dat dat echt de next step is, inderdaad.
Eerst de basis op orde, risico's in kaart en dan resilience oefenen.
En nog nooit 'n digitaal incident. Kan dat? -Ja, ik denk dat dat zeker mogelijk is.
Maar laten we dan wel de opstelling of de notie erbij zetten, nog niet.
Ik ga ervan uit dat iedereen getroffen wordt.
Ik stel ook altijd dat het gaat om responscapaciteit, herstelvermogen.
Want dat bepaalt hoe snel je zo'n incident weer te boven gaat komen.
Want een digitaal incident, even voor de duidelijkheid...
waar hebben we het dan over, als we daarnaar kijken?
Dat kun je vrij divers zien, natuurlijk.
Het heeft ermee te maken dat een digitaal component binnen je bedrijfsorganisatie...
we zijn vanuit automatisering steeds meer naar de digitalisering toe gegaan...
waarbij digitalisering eigenlijk je bedrijfsproces breed is ingericht...
en de basis gaat vormen voor je organisatie.
Omdat dat daar componenten in zijn die platgelegd worden...
door toedoen van slechteriken en boeven...
die ervoor zorgen dat je eigenlijk niet meer normaal je werk kan doen.
En dat gebeurt bij elke organisatie.
Ik ben ook wel benieuwd, of wij zijn eigenlijk überhaupt benieuwd...
naar jullie persoonlijke verhalen hierbij.
Dus mocht je bij het antwoord op deze pollvraag een persoonlijk verhaal hebben...
deel dat dan vooral. En dan gaat Eelco zorgen dat het hier aan tafel terechtkomt.
Laten we eens even kennis gaan maken met de ICT-kant van het Radboudumc.
Het ziekenhuis heeft namelijk een bijzondere eigen ICT-infrastructuur.
En in deze video wordt duidelijk waarom het Radboudumc...
eigenlijk ook wel een aantrekkelijk doelwit zou kunnen zijn voor een hack.
Welkom bij het UMC Radboud.
Wij zijn een van de zeven universitaire ziekenhuizen van Nederland.
Onze kerntaken zijn zorg, onderwijs en onderzoek...
en dit is het ziekenhuis wat in september is geopend.
Het nieuwste ziekenhuis van Nederland...
met allemaal nieuwe smart technologie, toegepast voor moderne zorg.
Ik laat je graag zien hoe het Smart Hospital werkt...
en wat we hebben moeten doen om het te realiseren.
We zijn in de patiëntenkamer van het nieuwe Smart Hospital.
We hebben veel IT toegepast om de patiëntveiligheid te verhogen...
en om het comfort van de patiënt te garanderen.
De patiënt kan vanaf het bed alles zelf bedienen.
Hij kan zelf het licht aandoen, de gordijnen opendoen...
de tv bedienen en op het bord bij de deur aangeven hoe hij zich voelt.
Of ie een kopje thee wil of dat hij eventjes wil slapen.
Belangrijker nog zijn de geïntegreerde patiëntveiligheidssystemen.
Onder andere de alarmknop die gecombineerd is met de handhelds van de verpleging.
We hebben valdetectie en valpreventiesystemen...
door middel van camera's toegepast.
Met name voor deze veiligheidssystemen is continuïteit van het grootste belang.
Daarom zijn alle lijnen en verbindingen naar het datacenter...
dubbel of soms viervoudig uitgevoerd.
We staan hier voor één van de drie datacenters die we in het Radboud hebben.
We hebben hier alle servers en netwerkverbindingen.
De rekenclusters worden toegepast voor onderzoek bij radiologie en bij genetica.
Het betreft patiënteninformatie en daarom moet het goed beveiligd zijn.
Je kunt deze ruimte dan ook alleen betreden met een pass reader.
En je moet van tevoren zijn aangemeld.
Naast de drie datacenters hier op de campus hebben we veel data in de cloud staan.
We gebruiken dit met name voor onderzoeksomgevingen...
omdat deze onderzoeksomgevingen van tijdelijke aard zijn.
En op internationaal gebied moet er samengewerkt worden...
en dan kunnen we er van alle kanten goed bij.
Continuïteit, veiligheid en comfort staan bij het Smart Hospital voorop.
Hierbij passen we veel moderne technologie toe.
Zo geven wij een 'significant impact on health care'.
Ja, inderdaad Sander, een bijzondere eigen ICT-infrastructuur, kunnen we wel stellen.
Veiligheid zitten jullie echt wel bovenop.
Maar had je ooit gedacht dat het Radboudumc...
überhaupt een doelwit zou zijn voor cybercriminelen?
In lijn met het vorige antwoord natuurlijk:
Uiteindelijk krijg je er ooit mee te maken. De impact is verschillend natuurlijk.
Het ligt eraan wat er gebeurt. Veel mensen dachten:
Een ziekenhuis, dat val je niet aan, ook als crimineel niet.
Nou ja, dat is niet de werkelijkheid. Voorbeeld, gisteren is er in Australië...
een ransomware-aanval gedaan bij een medische verzekeraar.
9,7 miljoen dossiers op straat en die worden actief gepubliceerd.
Met de achtergrond van mensen, welke ziekte ze hebben. Dat wil je niet.
Dus het is belangrijk om dat veilig te houden en voorbereid te zijn.
Dat is wel de boodschap. En wij hebben het ervaren.
Wees voorbereid. Vandaag gaan we het vooral hebben over hoe je dan herstelt.
Voordat we het daarover gaan hebben, ga ik eerst even naar Eelco.
Want volgens mij heeft Eelco een vraag.
Ja, ik heb geen vraag. Ruud stelt een vraag.
En die gaat over die 16 procent uit de poll...
die zegt nog nooit slachtoffer te zijn geweest van een digitaal incident.
Want Ruud merkt terecht op, je weet niet wat je niet weet.
En een goeie tip daarbij zou zijn: Maak gebruik van het Nationaal Detectie Netwerk.
Ja. Is dat inderdaad zo? Sluit je je daarbij aan?
Ja, het is sowieso goed om je aan te sluiten bij het Nationaal Detectie Netwerk.
Ik denk dat dat voor veel organisaties heel veel gaat toevoegen.
Of je kan stellen: Je weet niet wat je weet.
We weten natuurlijk niet van die 16 procent hoe ze hun omgeving hebben ingericht.
Ik geloof er wel in dat organisaties dag in dag uit bezig zijn...
op cybersecurity gebied om zichzelf veilig te houden.
Dus ik zou alleen maar kunnen zeggen naar die 16 procent:
Chapeau en zorg dat je binnen die 16 procent blijft.
Even voor mensen die nu kijken en denken: Nationaal Detectie Netwerk, wat is het?
Het Nationaal Detectie Netwerk is een omgeving waar je je op kan aansluiten.
Wat signalen in ieder geval doorgeeft op het moment dat je een bepaald risico loopt.
Kijk. Nou, helder. Dan gaan we even terug naar jou, vooral naar het Radboudumc ook.
Vorig jaar hadden jullie 'n groot incident. 25.000 persoonsgegevens lagen op straat.
We beginnen even bij het begin. Waar was jij toen je dit als eerste hoorde?
Ik was thuis. Misschien ook voor de kijker thuis...
ik ben benieuwd of we daar reacties op krijgen...
Incidenten gebeuren vaak op vrijdagmiddag, weekenden en avonden.
En dat is heel kenmerkend, dus in de avond...
en als je iPad, je telefoon en je laptop tegelijkertijd afgaan...
dan is er meestal wel wat aan de hand. En dat was eigenlijk de situatie.
En dan val je middenin de situatie zoals ie op dat moment is.
Dus op vrijdagmiddag. Komt dat inderdaad vaak voorbij?
Net voor het weekend doen met het idee, iedereen is aan de middagborrel?
De opmerking daarnaast is: Het gebeurt vrij vaak al aan het begin van de week...
maar op de vrijdagmiddag komt het naar de oppervlakte drijven.
Je hebt dan toch te vaak...
vrijdag is 'n mooie dag, zeker in Nederland waarop we veel parttime werk hebben.
Dus dan is het toch vaak gemakkelijker voor aanvallers...
om in de dagen ervoor juist die activiteit in te plannen.
Dus we zien qua aanvalsperspectief, we doen veel onderzoek na de aanval...
dat het op maandag of dinsdag eigenlijk al gebeurt...
want dan zit je in het normale dataverkeer, dus valt dat niet zo op.
Op vrijdag valt het wel op en dus komt het dan juist naar de oppervlakte drijven.
Ja, en toen hoorde jij het. Telefoon ging af, er ging van alles af.
Wat was er toen op dat moment bekend? -Ja, dan begint de situatie.
En zoals je net in het filmpje zag, hebben we een vrij complexe infrastructuur.
We hebben een on-campus situatie met eigen datacenters. Die zag je net ook op de film.
En twee, we hebben een online kant, zeg maar een cloud platform...
wat ook veel rekenkracht bevat en ook voor onze onderzoekers bijvoorbeeld...
veel rekenkracht kan realiseren.
Bijvoorbeeld een covid-onderzoek met ruwe data waar je resultaten uit wil hebben...
dan heb je veel computerkracht nodig.
Dat zagen we eerst. Er was een computer neergezet.
Simpel gezegd, op die cloud omgeving, met heel veel videokaarten erin.
Dat is op zich niet zo heel raar, maar dat waren de nieuwste videokaarten.
De kosten lopen ook. Je betaalt in principe per minuut, alsof je je auto parkeert.
Nou, je betaalt per minuut voor die capaciteit.
Het vreemde aan wat wij tegenkwamen, was dat dat door een account gemaakt was...
van iemand van het Radboudumc, maar dat was niet zomaar een account.
Dat was een beheeraccount, een zogenaamd service account met de hoogste rechten.
Ik maak altijd de vergelijking, als je computerspelletjes hebt gespeeld...
had je vaak cheat codes, de God Mode. -O ja, de cheat codes.
Ja, de God Mode, dan ben je onsterfelijk. Dit account was een onsterfelijk account.
De machtigste account die je hebt in een organisatie.
Ik zeg altijd: Je krijgt de keys to the kingdom.
Die hadden ze dus. -Ja, die hadden ze inderdaad.
En wat je dan ziet, je gaat verder kijken natuurlijk. Wat weten we op dat moment?
We gaan in de logging kijken om te zien: Wie heeft dit aangezet?
Nou ja, dat kwam uit Rabat, de hoofdstad van Marokko.
En ik kan eerlijk zeggen, we hebben zo'n 12.000 medewerkers...
maar we hebben heel weinig medewerkers in Rabat, in Marokko.
Dus toen signaleerde je al: Dit gaat mis? -Ja.
Wat gebeurt er dan met je, als je dat ziet en hoort? Wat gaat er in je om?
Dat is heel heftig op dat moment.
En uiteindelijk is het je taak natuurlijk om te bepalen wat er aan de hand is...
en de impact zo klein mogelijk te houden op het moment dat je het weet.
Je weet niet wat diegene heeft gedaan met dit account.
Je weet alleen wat je dan ziet en dat is natuurlijk een angstige situatie.
Van, hoe ver gaat dit? -Welke emoties komen er dan in je op?
Dat is heel spannend voor iedereen die ermee te maken heeft.
En elke minuut dat je meer informatie krijgt, weet je iets meer.
Op een gegeven moment hadden we zelfs een whatsapp profielfoto van deze hacker.
En dat was een keramiekwinkel in Rabat, die hebben we later kunnen terugvinden.
Dus je krijgt steeds stukjes informatie waardoor je toch denkt:
Er is iets gruwelijks aan de hand. -Het klinkt een beetje als een film.
Ja, ik zeg altijd tegen mijn medische collega's...
aan wie ik dit vertel, want het is goed om te weten wat er gebeurt...
en waarom het belangrijk is om veilig te zijn, het is een soort jongensboek.
Zo'n soort jongensboek van vroeger wat je vertelt.
Met politie, cyberpolitie en in Marokko, datacenters. Dus dat klopt, ja.
En zie je in je team naar boven komen...
dat de één gaat rennen en de ander emotioneel wordt en zich machteloos voelt?
Ja, dat zie je zeker, dat zie je terugkomen en daar zitten ook wat risico's in.
Er is heel veel hart voor de zaak. Als je voor een UMC werkt...
is dat ook veelal gedreven vanuit een maatschappelijk perspectief.
Ik ga even inbreken, want ik krijg ontzettend veel vragen binnen...
van de kijkers thuis, de deelnemers.
Ik heb er heel veel klaarstaan nu, maar ik pik er eventjes eentje uit.
Peter vraagt: Heeft zo'n incident altijd te maken met criminaliteit?
Je kan ook te maken hebben met een spontane storing...
met ergens een single point of failure? Hoe zit dat?
Ja, hoe zit dat? -Ja, zeker weten.
Je onderscheidt eigenlijk incidenten en calamiteiten.
Dat doet de vraagsteller heel goed.
Een cyberincident kan ontstaan door 'n kapotte printer...
een hardware failure of een update.
Een calamiteit kun je op die manier natuurlijk ook gewoon oplossen...
door herstelvermogen in te zetten.
We zien wel, als we het hebben over een cyberaanval...
zit er eigenlijk altijd een kwalijke actor achter.
In de meeste gevallen is dat eigenlijk gewoon een criminele organisatie...
met een financieel gewin. -Dus het is ook gewoon eerst uitzoeken:
Is het een kapotte printer of een crimineel?
Dat is ook de situatie waar Sander mee bezig was.
Je ziet iets ontstaan en dan, wat je uitlegt, ga je eerst kijken:
Is dit iets wat in het onderzoek zou kunnen passen? Is dit normaal?
Nee, dit is van een account die dit niet zou moeten willen.
Hé, wacht even, we zien gegevens terug van een organisatie in Rabat.
Ja, dan weet je wel genoeg. -Ja, precies.
We gaan terug naar Eelco, die heeft meer vragen in de chat binnengekregen.
Ja, ik pik er nog eentje uit. Een vraag van Fred. Die merkt terecht op:
Die zag in het filmpje dat het datacenter goed beveiligd was.
Er stond koeling, er was een aparte toegangscontrole voor.
Maar al die systemen hebben ook een IT backend die ook goed beveiligd moet zijn.
En de vraag is: Hoe zat dat bij het Radboudumc?
Weet je zeker dat er via die routes geen aanvallers binnen kunnen komen?
Ja, hele goeie vraag. Dank je wel.
Scherp opgemerkt. Klopt. En dat is natuurlijk altijd de vraag.
Een systeem werkt ook op een systeem en je weet nooit of dat veilig is.
In dit geval hadden we die onzekerheid ook natuurlijk.
We wisten dat er iets in de cloud gebeurde...
maar of dat systeem van het datacenter is aangetast...
dat was dus de grote vraag die op dat moment ging lopen.
En wat je zegt, klopt ook. We hebben heel veel scanners, MRI scanners, röntgen.
Dat is heel anders dan computers die je met Windows start.
Dat zijn operationele technieken, een heel ander type beveiliging...
en dat is zeker ook een aandachtspunt waarvan je wil weten wat daar gebeurt.
Ook voor de toekomst. Of daar ooit een aanval op plaatsvindt...
of ga zo maar door. Dat soort dingen. -Ja, precies.
Dus het schudt je aan alle kanten wakker eigenlijk, de organisatie?
En de bestuurders? Hoe reageerden die eigenlijk op de melding?
Dat is schrikken natuurlijk.
Als bestuurder ben je vaak niet erg gedreven op dit soort incidenten.
Je denkt: Dit gaat goed. Totdat het misgaat.
En dan is de vraag: Wat gaan we doen?
Dan vertrouwen ze op de expertise die ze in huis hebben.
En dan krijg je natuurlijk ook alle breedte en benodigdheden die nodig zijn.
Het is een heel groot ziekenhuis.
Als er iets misgaat, brengt dat patiëntveiligheid in geding.
Zoals je op het filmpje zag. Als die systemen geraakt zouden worden...
en iemand anders heeft er controle over, kunnen er uiteindelijk mensen overlijden.
Dat wil je niet, dus dan krijg je daar vrijwel de volledige steun in.
En daar zijn onze bestuurders ook vrij goed in.
Die zijn daar ook wel in gedreven en hebben kennis van de IT-kant.
En dat is een voordeel in deze kwestie.
Gaf dat jou ook meer vrijheid om sneller uit te zoeken...
wat er aan de hand was omdat je vrij spel kreeg en ze op jullie vertrouwden?
Ja, dus dat. Dus één, ja. En we doen het met een heel team.
Dus het is echt wel een team-effort. En uiteindelijk moet je expertise inhuren.
Expertise zoals Joost met zijn organisatie aanbiedt.
Die moet je invliegen en dat is bij ons gebeurd.
Je kan op dat moment zorgen dat je weer controle krijgt.
Maar dan begint de zoektocht pas echt. En daar heb je wel die steun voor nodig.
Dan komt dat herstelvermogen om de hoek kijken, inderdaad.
Hoe lang duurde het überhaupt voordat de volledige omvang duidelijk was?
Ik zeg weleens gekscherend, het Radboudumc is ongeveer een kleine stad.
Aan infrastructuur, aan computersystemen, aan kabels en dat soort dingen.
En dat is ook mooi teruggaand op jouw vorige vraag.
Een bestuurder denkt: Ik wil in een uur weten wat de stand van zaken is.
En realistisch gezien kan dat niet.
Het is zo groot dat je moet nagaan inderdaad, dat duurt gewoon dagen.
Bij ons duurde het acht dagen voor we de vraag konden beantwoorden:
Wat is hier geraakt en wat heeft dit account gedaan bij ons?
Dan moet je wel heel veel geduld hebben. -Inderdaad.
En ook heel veel slaaptekort uiteindelijk. -Daar moet je mee om kunnen gaan.
Ja, maar dat is wel de situatie waar je uiteindelijk in zit.
Dus elke dag dat je stapjes verder bent en eigenlijk een signaal krijgt...
het zit alleen in die cloud-omgeving, is wel geruststellend natuurlijk.
Want je doet een check en de omvang van het Radboudumc wordt steeds duidelijker.
En dat uiteindelijk resulteerde acht dagen later in het definitieve antwoord.
Er zijn geen patiëntensystemen geraakt, er is geen patiëntendata op straat.
Geen bedrijfssystemen en geen financiële systemen.
Is dat dan een opluchting? -Ja, absoluut.
Aan de andere kant is er natuurlijk veel financiële schade.
Want wat was er nou gebeurd met dit account?
En dat is denk ik wel interessant voor de kijkers. Wat wel gebeurde.
Ik vermoedde eigenlijk, direct toen ik het zag...
dat er Bitcoin, eigenlijk cryptocurrency gemined werd met zoveel rekenkracht.
En in dit geval Ethereum en daar kan je geld mee verdienen.
En dat doe je door heel veel rekenkracht in te zetten.
Laten we die als Radboudumc nou toevallig hebben. En dat was het geval.
Maar dat is natuurlijk een zegen ten opzichte van wat er had kunnen gebeuren...
als iemand toegang en controle had tot onze miljoen patiëntendossiers...
en ons had kunnen afpersen met ransomware zoals je nu in Australië ziet.
Dan heb je een heel ander verhaal. -Emotioneel ook een totaal ander verhaal.
Ja, absoluut. -Ook voor de naam.
Maar ik maak wel eens de vergelijking tussen enerzijds een verzekeraar of bank.
Als je bankpas geskimd wordt en er wordt geld van jouw rekening gehaald...
door cybercriminelen ook bijvoorbeeld...
dan bel je op, krijg je vaak je geld terug. Vergoed, verzekerd is dat.
Je bankpas knip je door en een week later heb je een nieuwe rekening.
Als jij met een achtergrond van chronische ziektes in een patiëntendossier staat...
en dat komt ergens op het internet terecht, dat ga je niet als een bankpas doorknippen.
Dat achtervolgt je. -Dat is echt een olievlek.
Exact, dus dat is ook het belang dat we dat zo goed moeten beveiligen.
Ik pak hem weer even op, hoor.
Ik heb niet zozeer een vraag, maar een opmerking van Jeroen. Die zegt:
Vaak krijg je als CISO een aap op je schouder als je zo'n incident meemaakt.
Er zijn ook genoeg voorbeelden van CISO's die zo'n groot incident niet overleven.
We gaan zo meteen even door naar de poll.
Maar de vraag hierachter is: Hoe ging dat bij het Radboud? Kreeg je voldoende steun?
Ja, ik kreeg heel veel steun in deze, inderdaad.
Een terechte vraag. Dit zie je vaak.
Meestal aan de andere kant van de oceaan, vaak de Amerikaanse partijen.
Die zijn daar vrij hard in.
Ik was eigenlijk nog geen halfjaar in dienst op dat moment.
En dan ben je aan het verkennen hoe de organisatie is ingericht.
En daar zagen we heel veel verbeterpunten in.
En ja, uiteindelijk kwam dit incident.
Wat uiteindelijk een katalysator werd om de verbetering in te gaan, inderdaad.
En om eigenlijk die resilience waar we het net over hadden, ook op te zetten.
Dus ja, klopt, dat is natuurlijk een hele vervelende situatie.
Maar wij zijn uiteindelijk heel blij dat het zo beperkt is geweest in ieder geval.
En we kregen voldoende mandaat om het zo snel mogelijk op te lossen...
met zo min mogelijk impact en schade.
En als ik het zo hoor, heb je dus ook inderdaad door dit incident...
weer heel veel ervaring opgedaan en dat is ook waardevol voor de organisatie.
Als je hoort dat CISO's sneuvelen bij zo'n incident...
zou je bijna zeggen, dat is zonde. -Eens.
Ik zeg wel eens gekscherend, ook tegen onze bestuurders...
maar ook weleens tegen andere organisaties...
wat ik heb meegemaakt, is iets wat maar heel weinig CISO's in hun leven meemaken.
Zeker in die omvang en ook de coördinatie die daarbij hoort.
En dat is juist een ervaring die je wil opdoen, maar liever niet met een incident.
Dat doe je liever met oefenen. -Ja, dat is fijner.
Het is toch prettiger dat je grip hebt en kan zeggen: We stoppen nu.
En we hebben zoveel geleerd. -En toch, oefenen is leuk...
maar de hele hectiek die je hebt meegemaakt in het echt...
BHV oefenen we ook door honderd keer dat pand uit te lopen.
Dan zegt iedereen: Ik sluit af en ik pak mijn jas, maar ik neem even koffie mee.
Dat doen we allemaal en dat is bij het digitale aspect natuurlijk ook.
Je kan dit eigenlijk nooit echt oefenen.
Dus het is van belang dat we dit soort gesprekken hebben.
Dat jij uitlegt hoe jij het ervaren hebt en ook bestuurders.
Want dat is iets wat ik wel dagelijks aan den lijve ondervind.
Dat elke organisatie die het meemaakt...
en jullie zijn van dermate omvang en capaciteit dat je een CISO hebt...
maar heel veel bedrijven hebben dat niet.
Heb je een IT-manager die het aapje inderdaad op de schouder krijgt.
Jij bent de security officer. Ze zijn doorgegroeid vanuit automatisering...
en die moeten het dus met twee, drie man redden en een directie.
En die gebeuren dit ook en dan zijn er hopelijk geen levens bij betrokken...
maar wel 300, 400 gezinnen die daarvan moeten eten.
En we zien gebeuren dat bedrijven hier gewoon failliet aan kunnen gaan.
Als ze contracten moeten breken omdat ze geen productielijn meer kunnen opbrengen.
Dus de pijn die organisaties gaan krijgen van een cyberincident...
wat leidt tot stopzetten van bedrijfscontinuïteit...
die is heel veel groter dan alleen maar: Het is een IT-probleem.
Dat moeten we echt beseffen door dit soort gesprekken te hebben.
Ja, het effect is inderdaad mega eigenlijk.
Er is inmiddels, volgens mij ook Eelco, een pollvraag.
Over eigenlijk de functie van Sander.
We hebben al wat mooie skills voorbij horen komen, maar daar heb jij nog 'n vraag over.
Klopt, wat nou de belangrijkste eigenschap is van een CISO...
of een security officer op het moment dat je een groot digitaal incident ondervindt.
Er zijn vier opties waar je uit kunt kiezen.
Klik op optie A als je zegt: Het belangrijkste voor zo'n CISO...
is dat ie op dat moment de rust bewaart en het hoofd koel houdt.
Optie B: Snel kunnen beslissen, dus snel overgaan van nadenken naar handelen.
Dat is wel de belangrijkste. C: De communicatieve vaardigheden.
Snel informatie krijgen bij patiënten, bij klanten, leveranciers of de directie.
Misschien zelfs de pers te woord kunnen staan.
Of optie D: Continu kunnen schakelen tussen mijn management geïnformeerd houden...
en managementbeslissingen ondersteunen...
en aan de andere kant contact houden met de werkvloer zodat het incident opgelost wordt.
Dus klik op A of B of C.
Als je videoschermpje nu full screen is, heel groot is...
moet je het misschien even klein maken, anders zie je de poll niet.
Dus klik op A, B, C of D. Doe dat even nu. Ik zie antwoorden binnenkomen.
Ik denk dat we de poll inmiddels wel kunnen sluiten. Even kijken.
De kleinste hoeveelheid mensen, een kleine 6 procent zegt:
Snel kunnen beslissen vinden we belangrijk. Dus de rust bewaren is wel oké.
Dat past bij de 30 procent die zegt: Het hoofd koel houden...
vind ik heel belangrijk op zo'n moment.
18 procent vindt communicatieve vaardigheden eigenlijk het belangrijkst.
En bijna de helft zegt:
Het kunnen schakelen tussen management en werkvloer is eigenlijk wel belangrijk.
Ik ben wel benieuwd. Sander, wat vind jij dat je het meest moet hebben als CISO?
Ik zei het al, het is een beetje een spilfunctie.
En je moet alle vier de antwoorden kunnen. -Optie E, dus.
Ja, optie E, zou ik zeggen. Maar die was er niet.
Elke functie heeft dat. Je moet snel denken. Je moet je hoofd zeker koel houden...
want er zijn al genoeg mensen die in paniek raken, dus dat sowieso in zo'n situatie.
Dat herkent Joost wel als ie binnenkomt bij een bedrijf.
Zeker, maar het gekke is wel, eigenlijk gaan we er in deze poll...
en dat is misschien wel zo opgezet, ervan uit dat elk bedrijf een CISO heeft.
Dat is niet zo, en dat de CISO dus de spil zou moeten zijn.
En dat is eigenlijk ook niet zo. De CISO, tijdens een incident...
is verantwoordelijk om de juiste informatie op te halen en ook aan het team zelf...
dat kan intern zijn, maar vaak is dat ook een extern team dat komt assisteren...
de juiste informatie te verstrekken...
maar ook de juiste deuren te kunnen openen zodat je onderzoek kan doen.
Wat we vaak vergeten, is dat het uitvoeren van digitaal forensisch onderzoek...
zo noemen we dat, zoeken naar de speld in de hooiberg...
maar je weet nog niet welke, uiteindelijk de vraag van Sander beantwoordt.
Hoe is dit nou precies gebeurd en hoe ver heeft die aanval gereikt?
Zodat je weet, als je je herstelvermogen gaat inzetten...
wat kunnen we terugbrengen en hoe snel kan het bedrijf operationeel zijn?
Dat zou vooral ook de rol van een CISO zijn tijdens grote incidenten.
Dus samen met hem sparren als regievoerder want dat is mijn grootste rol.
Ik ben eigenlijk die spin in het web vanuit de onderzoekskant.
En de CISO vanuit de bedrijfszakelijke kant van de klantenorganisatie.
Dus samen kijken, hoe zorg je dat iedereen weet: Wat kunnen we wel en wat niet?
En als die CISO er niet is, dan weten we in ieder geval...
Dan moet je toch vaak schakelen met directieleden.
Dan ga je hen adviseren over wat ze kunnen doen en welke vragen ze moeten uitzoeken.
En de moeilijkste vraag die ik altijd moet stellen aan de directie is:
Wat moet als eerste? Wat is het belangrijkste voor jouw bedrijf...
als alles plat ligt om nu weer aan de slag te gaan?
En pas dan kunnen we bepalen welk herstelvermogen je moet gaan inzetten.
Die vraag beantwoord krijgen is heel moeilijk...
als je daar nog niet over nagedacht hebt.
Zonder dat antwoord ga je ook niet op de goede weg verder.
Nou ja, uiteindelijk kom je er wel, maar het is een grote uitdaging.
Daar zit denk ik ook, tijdens een cyberincident...
en jij kan nog wat over dat tijdvak zeggen, de grootste winst.
Want iedereen die ik vraag, op dat moment in een war room, zoals we dat noemen...
wat moet er als eerste? Zes mensen vragen, is zes verschillende antwoorden krijgen.
Als je daar van tevoren over nadenkt, gaat dat het antwoord geven op...
hoe je je herstelvermogen kan inrichten.
Hoeveel tijd scheelde het dat jullie erover nagedacht hadden?
Wij weten in principe heel goed wat onze key assets zijn.
Dat brengen we in kaart. Je kroonjuwelen. Dat is de vraag, kan je die beantwoorden?
Dat moet je veilig houden, ik zei het al.
Dat zijn in principe onze patiëntdata en onze onderzoeksdata.
Daar ga je als eerste naar kijken.
Ja, die wil je veilig houden en dat is het belangrijkste om te beschermen.
En dat er even bijvoorbeeld een paar dagen...
Stel, nu was dat niet het geval...
maar dat je een dag of twee dagen geen onderwijs kan geven...
die kan je inhalen, maar zo'n datalek met patiëntgegevens, dat wil je niet.
Dat is wat ik ook zie als ik de koppeling maak naar bijvoorbeeld het bedrijfsleven.
Een week een bedrijf eruit hebben, dat red je misschien nog.
Ik hoor vaak: Kunnen we door op papier? Ik zeg: Ja, in week twee.
Dan redden we het ook wel. Week drie, vier en vijf? Dan niet.
Hoe lang moeten jullie onderzoek doen? Dat weet ik niet.
Dat kan vier weken duren, afhankelijk van je ketenpartners of welke afspraken...
Maar wat is gemiddeld? -Dat is echt heel moeilijk te zeggen.
In dit geval hadden jullie te maken met een coin miner activiteit.
Dus je capaciteit wordt misbruikt eigenlijk.
Maar er is verder beperkte schade aan je infrastructuur.
Dat kan binnen twee, drie weken allemaal weer up en running zijn.
Wordt je bedrijf getroffen door ransomware en je hebt geen goeie back-ups...
of die zijn ook vernietigd en heb je bijvoorbeeld productiepartijen waar...
een licentie niet meer werkt omdat een fysieke OT-machine om mee te snijden...
niet meer werkt en pas over zes weken heeft de fabrikant iets opgelost.
Wat doe je met de medewerkers van zo'n productielijn?
Ik heb een vraag die daar misschien wel mooi op aansluit.
Een vraag van Jeroen, die haakt aan op de keuzes en de prioriteiten van de directie.
Want heel vaak wordt kostenbesparing op beveiliging...
gezien als iets dat je als winst kan inboeken.
Is dat ook jouw ervaring, Joost? Zie je dat in de praktijk ook terug?
Goede vraag. In de voorbereidende fase zien we dat heel vaak.
En in mijn presentatie staat ook altijd de zin:
Hadden we hier maar meer tijd in gestopt. En tijd betekent automatisch geld.
Maar het begint met een stukje kennis en ik denk dat veel organisaties...
niet goed beseffen wat het betekent als je organisatie digitaal eigenlijk afbrandt.
Een CEO heeft ook wel eens gezegd:
Ik had liever dat het fysiek was afgebrand, dan kon ik het laten zien.
Dan zou iedereen begrijpen wat me is overkomen.
Nu moet ik aan medewerkers, aan partners, aan leveranciers gaan uitleggen...
dat ik eigenlijk niks kan, maar het is de paarse krokodil.
De fabriek staat er nog. We zien het, maar het wordt niet opgelost.
Zoals iemand met zware migraine die uitlegt dat ie dat heeft.
Maar dat lijkt altijd minder erg dan iemand met een gebroken been.
Met een pilletje is het opgelost. Dan herstart je de boel toch even?
Je hebt toch wel een back-up? Ja, een back-up kan je hebben...
maar als de configuratie van je IT eruit ligt en je weet niet waar te beginnen...
Is dat ook het lastige, om bijvoorbeeld...
Jij kon het naar de bestuurders goed overbrengen.
Die pakten het ook goed op. Maar is dat ook een punt waardoor het lastig is...
om bestuurders duidelijk te maken wat de impact is?
Ja, zeker. -Of hoe belangrijk het is.
Veel bestuurders zijn op een bepaald niveau in hun carrière gekomen...
dat ze alles hebben meegemaakt, van standaard DOS systemen tot automatisering.
Naar internet, naar cloud, naar virtuele datacenters.
Maar die techniek is op de achtergrond hetzelfde gebleven.
Dus hoezo? We drukken even herstarten en dan kunnen we weer verder.
Maar alles hangt inmiddels in de keten zo aan elkaar en binnen het bedrijfsleven ook.
Er hoeft maar één bit of byte van een database niet te werken...
en je kan helemaal niks meer.
Dan kan je ERP het doen, maar er zit geen informatie meer in.
En dat heeft enorm veel effect. Dus aan bestuurders uitleggen...
wat kritisch is in je bedrijfscontinuïteit...
dat beantwoord krijgen en dan uitleggen wat de technische implicaties zijn...
dat is een van mijn belangrijkste punten in de eerste paar uur.
Om te zorgen dat dat tussen de oren zit.
En dat vind ik zo belangrijk aan dit seminar.
Dat dat herstelvermogen in deze webinar- sessies zich daar ook vooral op richt.
Wat betekent dit voor jou als directie, als bedrijfsbestuurder?
Als je een cyberincident overkomt. Je moet beseffen dat dat gewoon digitale brand is.
Alles ligt plat. -Je moet een plan hebben, dus?
Je moet een plan hebben. Responscapaciteit. -En ook aansluitend daarop...
hierover nadenken, als het gebeurt, dan is het al mis.
En dan gaat het je sowieso gigantisch veel geld kosten.
En dat geld had je beter kunt investeren in de preventie, in de resilience.
Kan je het daarmee tegenhouden? Nee.
Maar je zit wel op een hoger niveau en het wordt lastiger en de schade minder.
En het werkt. Ik zie het in de praktijk werken.
Organisaties waarmee we aan die voorkant projecten opstarten...
om ze te helpen om te beseffen: Als me dit gaat overkomen, wat ga ik doen?
Daar zie je gewoon, en ik had onlangs nog een organisatie...
die hebben dit voorbereid in het voorjaar. Die liepen tegen een cyberincident aan.
Die hebben qua preventie en techniek heel veel ingericht.
En toch gebeurde het. Klein foutje, kan gebeuren.
En die konden we terugbrengen binnen één, twee weken...
waren die weer helemaal operationeel.
En ze dachten, als ze dit niet hadden gedaan, had het ze 5 tot 6 weken gekost.
Dit is een organisatie met vier fabrieken, 600, 700 man.
Nog een mooie suggestie misschien daarbij van Lars...
die opmerkt dat het coördineren van zo'n groot security incident...
misschien ook kan gebeuren door een incident manager...
of een soort security response manager. Iemand met een aparte functie...
die goed op dat proces zit en op die manier de CISO kan ontlasten.
Ja, dat is zeker zo, dat zien we ook gebeuren.
Je ziet veel organisaties die wat groter zijn...
beginnen hun security officer eigenlijk op te leiden...
of starten zelf een soort eigen CERT, Cyber Emergency Response Team.
Waar de directie in zit, daar zitten security officers in.
Daar hebben we externe partners in zitten, maar ook onze leveranciers.
En die verplichten bijna hun leveranciers om echt capaciteit beschikbaar te stellen.
Want uiteindelijk wil men, ook zo'n leverancier, dat dat bedrijf gaat draaien.
Niemand wil dat het op de fles gaat.
Bij ons was dat ook zo natuurlijk. Onze organisatie is vrij omvangrijk.
We hebben een hele calamiteiten organisatie.
En dat zijn niet alleen calamiteiten waar we het hier nu over hebben...
maar toen de covid-crisis begon...
moest je capaciteit vrijmaken in ziekenhuizen.
Dat is ook een calamiteit, georganiseerd door deze specifieke groep mensen.
En die ondersteunen je, uiteraard ook bij een cyber incident.
En het is heel fijn om die handjes te hebben inderdaad.
Kan makkelijk worden geschakeld eigenlijk. -Exact.
Je trekt aan de bel en je wordt geholpen.
En ik hoor dan weleens van collega's dat die eigenlijk alleen staan dan.
En vaak is dat, waar het net over ging, de manager IT...
die dan dat moet bepalen en dan zeg ik: Het is ook niet alleen een IT-probleem.
Het is niet een IT-probleem. -Het is geen IT-probleem.
Gewoon niet. -Een heel praktisch voorbeeld.
Stel, wij hebben een organisatie zitten, die zijn onlangs ook een keer getroffen...
en die zaten in de transport- en logistieksector.
En die hadden een incident en daarvoor was er een hele grote.
Die weten jullie wel, waar de Albert Heijn geen kaas had.
Toen kwamen we in gesprek en toen was de conclusie:
Als dit gebeurt, hoeveel wagens staan er dan stil?
En hoe snel breidt het zich uit, dat die wagens niet op het terrein kunnen.
De chauffeurs moeten ergens blijven en binnen no-time...
we hebben dat gesimuleerd, loopt het hele omgevingsgebied vast.
Toen was het 'n probleem van de gemeente. Voor de veiligheidsregio.
De op- en afritten staan vast. We kunnen nergens heen. Dan wordt het een olievlek.
En dat zien we nu ook in gesprekken met wat grotere gemeentes...
of bedrijventerreinen die zeggen: Als mij dit gaat overkomen...
of als het een klantorganisatie overkomt...
dit heeft veel meer effect dan we met z'n allen gaan doorhebben.
En dat zien we pas als het gebeurt. -Ja.
Ik wil nog even naar die ransomware. Jij zei al...
jij ondersteunt vooral vaak bedrijven bij ransomware-aanvallen. Terug naar het begin.
Ransomware, wat is het ook alweer? Voor mensen die kijken en denken...
Ransomware is eigenlijk, het bestaat al sinds de jaren tachtig.
Dus het is niks nieuws. Maar wat het in feite doet...
is dat het bestanden gijzelt, het verandert iets aan de techniek in een bestand...
waardoor je moet betalen voor een sleutel om die bestanden weer in te kunnen zien.
Ze worden versleuteld, -Inderdaad, dat klopt.
En dat is heel simpel de techniek daarachter.
Maar hoe ontdekt een bedrijf dat ie slachtoffer is van zo'n aanval?
Vaak kun je stellen dat we dat zien aan de hand van dat je nergens meer in kan...
of dat er een bericht op je beeldscherm komt.
Of dat alle bestanden een bepaalde andere extensie hebben gekregen.
En daar zit vaak ook de naam in van het type ransomware.
Er zijn zo'n 74 criminele organisaties wereldwijd actief met ransomware...
die zich bezighouden met het uitvoeren van dit soort activiteiten.
Alleen het nadeel is dat we vaak de ransomware pas zien als die uitgevoerd is.
Terwijl een aanvaller werkt in verschillende stappen in een keten.
Al die stappen zijn van tevoren uitgevoerd. Het weghalen van data.
Patiëntgegevens of bedrijfsgegevens of HR- gegevens. Daarmee word je dan afgeperst.
Dus het is niet alleen ransomware uitrol, maar vaak wordt er ook gesteld:
We hebben ook data van jou gestolen met deze gegevens.
Als je niet betaalt, enerzijds voor die sleutel...
gaan we ook die gegevens publiceren.
Voorheen gebeurde dat vooral op het deep en dark web en dan werd dat gepubliceerd.
Tegenwoordig zien we al dat we naar een nieuw niveau gaan waar klantgegevens...
heel gericht worden gepubliceerd op leak sites of met de pers worden gedeeld.
Of bedrijfsgegevens naar concurrenten worden gestuurd.
Dus we zien dat die sfeer verhardt en criminelen zijn zich er nu van bewust...
het is niet alleen de ransomware, want dan kun je met die back-up nog wat.
Het gaat veel verder. We gaan echt proberen je af te persen op het meest nare moment.
Maar hoe zit het met herstelvermogen? Dat heeft natuurlijk een enorme impact.
Weer een totaal andere impact dan het voorbeeld van Sander bijvoorbeeld.
Dat herstelvermogen is niet alleen: Hoe snel ben je er weer bovenop?
Maar ook: Waarmee ben je er weer bovenop?
En een van de voorbereidingen in je responscapaciteit, in je herstelvermogen...
heeft te maken met welke gegevens heb ik nou wel en niet in huis?
Wat is relevant voor mij? Wat is relevant voor een aanvaller?
Dus om te snappen hoe je je op de juiste manier verdedigt...
en herstelvermogen inregelt, moet je echt gaan denken als een hacker...
en als een aanvaller die naar jouw bedrijf gaat kijken en zegt:
Oké, stel dat ik je kapot wil maken, hoe doe ik dat dan?
Wat zou ik bij jou weg kunnen halen? -Dat sluit aan op een opmerking van Jaap.
Die zegt: Die kroonjuwelen in je organisatie zijn belangrijk.
En dat is ook bij uitstek iets waar je van tevoren over kan nadenken.
Ja, zeker weten. Dat is bij uitstek iets waar je van tevoren over na moet denken.
Alleen het gaat verder. Kroonjuwelen bakenen we vaak af op het stukje...
Wat vinden we dan als data? Maar vaak zitten daar hele processen achter.
Dus een kroonjuweel wat we veel zien...
aanvallers zoeken vaak naar financiële gegevens, HR-gegevens.
Alles wat je bedrijf schade toe kan brengen op het moment dat je ermee afgeperst wordt.
Bijvoorbeeld Autoriteit Persoonsgegevens vindt daar ook wat van, en logisch.
Je gebruikers vinden daar wat van. Je collega's, je medewerkers...
en ook je klanten vinden er wat van als gegevens gelekt worden.
Maar het heeft te maken met de procesvraag ervoor. Heb ik die data nog nodig?
En ook de waarde van je data.
Voor een ziekenhuis is onderzoeksdata van groot belang.
Onderzoekers werken jaren om een conclusie te vormen.
Als die data je ontnomen wordt en iemand anders loopt ermee weg...
Ja, dat is emotioneel. -Ook emotioneel, maar ook gewoon voor...
de maatschappelijke functie van het UMC is natuurlijk zorgen...
dat we verbeteringen doorvoeren in de gezondheidszorg.
En wij maken dat onderscheid, daar hebben we een hele methodiek voor...
om die kroonjuwelen te bepalen.
Net zoals wij patiëntendata en onderzoeksdata belangrijk vinden...
is bijvoorbeeld voor de maakindustrie, een chipfabrikant die de machines maakt...
een ASML bijvoorbeeld in Nederland, is dat: Hoe zijn die machines opgebouwd?
En wat zit daarin? Dat is natuurlijk miljarden waard als je dat zou verliezen.
En daar moet je je op focussen en daar moet je ook je beveiliging omheen bouwen.
Ja, klopt. ASML is natuurlijk in mijn ogen top notch. Die zien dingen heel goed in.
Maar er is zo'n grote, ik noem dat de kurk van BV Nederland.
De bedrijven die gewoon bij iedereen om de hoek zitten.
De startups. -Nou, bedrijven met 50, 200, 300 man...
die op elk bedrijventerrein in elk gemiddeld dorp zitten.
Die allemaal een stukje leveren, een deelfabrikaat.
Daar zitten bijvoorbeeld de kroonjuwelen. Niet alleen in het productieproces...
maar ook alles wat zij aan relaties hebben en aan ketenpartners.
En ik ben blij dat bijvoorbeeld ASML nu z'n eigen ketenpartners heeft.
Die heeft dat een beetje in gang gezet. Is ketenpartners actief aan het helpen...
om te zorgen dat zij veilig beginnen te worden en zich hierop gaan voorbereiden.
Je ziet dat als een olievlek naar kleinere bedrijventerreinen uitspreiden...
waar organisaties bezig zijn om met elkaar te bepalen:
Als je getroffen wordt, hoeveel impact heeft dat op mij?
En dat doen wij ook. Wij controleren onze leveranciers dus ook heel grondig...
omdat je daar soms gewoon mee verbonden bent.
Die leveren ons iets en als dat misgaat, wat voor impact heeft dat?
Daar gaan we het later vandaag toevallig met ASML over hebben.
Leuk. -Mooi bruggetje, maar dat is vanmiddag pas.
Omwille van de tijd wil ik ook nog even terug naar dat herstel.
Uiteindelijk ging het herstel plaatsvinden.
Wat hebben jullie gedaan om weer naar die normale situatie terug te gaan?
Herstellen. -Precies. Het belangrijkste daarvan is:
je hebt die externe expertise nodig.
Omdat het ook gewoon op je dagdagelijkse bezigheden komt.
Je moet die mensen in huis halen. Daarmee kregen we na acht dagen inzicht.
Met de conclusie dat we alleen schade hadden opgelopen in onze cloud-omgeving.
Daar is geld verdiend op basis van de rekenkracht.
Vervolgens, de reden daarachter, wat je weet is: Hoe is dat ontstaan?
Bij ons was dat uiteindelijk een datalek met ook heel veel medewerkergegevens.
Natuurlijk heel vervelend wat daarin zit. Naam, adres, telefoonnummer, afdeling.
En dat bij elkaar vormt een draaiboek voor cybercriminelen in de toekomst.
Wij wisten uiteindelijk dat dat veroorzaakt was door...
toch altijd wat je ziet bij een incident, veroorzaakt door gewoon menselijk handelen.
Een oud- medewerker die iets op internet heeft geplaatst.
En uiteindelijk is dit het hele keteneffect wat eruit komt en de schade erbij.
Daar ga je naar kijken. Wat is daar openbaar geworden?
En hoeveel geeft dat weer van het Radboudumc?
Dat betekende dat er heel veel bekend was.
En uiteindelijk dat we heel veel herstel moesten doen.
Nieuwe inrichtingen, nieuwe beveiligingsmethodieken, andere processen.
En dat is eigenlijk waar we nog steeds mee bezig zijn.
Ik hoor veel lessen die jullie hieruit hebben getrokken.
Ik wil nog even naar Eelco, want we hadden het net over de directie, die samenwerking.
We hebben daar nog een pollvraag over. Dus Eelco, eerst even naar jou.
Ja, dank je wel. Ik heb heel veel vragen klaarstaan voor aan tafel...
maar te veel om nog te kunnen beantwoorden.
De pollvraag gaat inderdaad in op de steun die je als CISO kreeg.
Er waren 53 mensen die bij de eerste poll aangaven...
last te hebben gehad van een digitaal incident.
En de vraag is eigenlijk: Hoeveel steun kreeg je op dat moment van je directie?
Antwoord A: Ik kreeg heel veel steun. Ik ben daar heel erg blij mee.
Antwoord B: Directie? Die waren daar helemaal niet bij betrokken.
Of antwoord C: Ze waren betrokken, maar dat heeft me veel energie gekost als CISO.
De antwoorden zijn weer wat scherp.
Natuurlijk zijn zowel A, B als C de goede keuzes.
Je moet toch een keuze maken. Dus klik nu met je muis op A of B of C.
Kijk ik even naar wat er weer binnenkomt.
Wacht niet te lang met het geven van je antwoord, want we willen hier wel door.
Nou, even kijken naar de antwoorden.
Het overgrote deel van de mensen zegt dat ze heel veel steun kregen van de directie.
Dat is wel fijn. -Positief.
Bij een kleine minderheid was de directie helemaal niet betrokken.
Dat is natuurlijk ook een opvallende. -Daar is wat te doen.
En toch één op de vijf zegt: De relatie met de directie kostte me wel veel energie.
De eerste is heel herkenbaar. Ik heb vanuit ons...
Iedereen die erbij betrokken was, bestuurders die zelf zeiden:
Als ik iemand moet bellen of ergens langs moet gaan vanwege het datalek...
prima, ik doe mee en dat is toch wel echt een hele fijne gedachte.
Dat dat gewoon door iedereen gedragen wordt.
En ik denk ook de situatie. Directie, lastig. Moeilijke verhoudingen soms.
Ik denk dat dat gewoon ook het goed inzichtelijk maken is.
Wat Joost net aangaf, maak inzichtelijk wat voor effect het heeft als het misgaat.
Ik heb wel andere situaties meegemaakt. -Dat geloof ik, ja.
Echt in directieruimtes gestaan waarbij...
ik ben niet heel groot, maar dat ik echt dacht:
Ik spring ertussen, want dit wordt een handgemeen.
Komt niet goed. -Precies.
Vaak zie je toch, mensen worden onder druk het meest krachtig of het meest naar.
Maar ook misschien omdat de directie toch niet genoeg weet van...
Heel veel bedrijven overkomt dit gewoon en het is een probleem van IT.
En waarom heb je niet dit of dat gedaan?
En jullie zijn een ziekenhuis en een vooraanstaand ziekenhuis.
Dus binnen de infrastructuur en veiligheid in Nederland spelen daar andere krachten.
In het bedrijfsleven is dit echt een ondergeschoven kindje.
En wordt het vaak het probleem gemaakt van IT.
En dit is niet preken voor eigen parochie...
maar haal daar specialisten bij want die doen dit dagdagelijks.
Die halen die angel eruit en trappen iedereen af en toe even in z'n hok terug...
en zeggen: Jongens, zo gaan we dit doen. Je zit in een crisissituatie.
We hebben inderdaad zeker al met deze eerste sessie echt duidelijk gemaakt...
dat het dus belangrijk is dat je als directie inderdaad ziet...
dat het een probleem is van de hele organisatie.
We hebben nog, ik denk een halve minuut dus ik wil eigenlijk nog even vragen...
of jullie heel kort nog even, we leren van onze fouten...
Even heel kort, wat heb je hiervan geleerd? -Wat je hiervan leert...
is toch echt de bereidwilligheid van de mensen in de hele organisatie erachter.
Maar ook buiten je eigen organisatie, alle hulp die dan aangeboden wordt.
Heb jij nog een gouden tip? -Het belangrijkste is...
dat je als organisatie moet beseffen dat een cyberincident of een cyberaanval...
je hele organisatie treft en het is vooral geen IT-probleem.
Heel duidelijk. Dank je wel. We zijn aan het einde gekomen van deze eerste sessie.
Sander Vols, CISO bij het Radboud Universitair Medisch Centrum.
En Joost Gijzel, jij was van DataExpert en geen security specialist...
maar je bent incident, hoe noemen we het ook alweer, responder.
Security specialist was inderdaad dat andere verhaal, precies.
Dank je wel in ieder geval beide voor jullie komst. En Eelco, ook dank voor nu.
Mocht je nou straks in gesprek willen met één van de twee heren hier aan tafel...
dus Sander of Joost, of vragen voor ze hebben, dan kan dat.
Aan het einde van dit symposium is er een digitale borrel.
Dus weet dat je daar kunt aanhaken en daar zijn de heren dan ook gewoon bij.
Deze sessie is op een later moment...
ook terug te vinden op de website van Agentschap Telecom.
Dan kun je alles rustig terugkijken. En deel hem vooral ook met je collega's.
We hebben zojuist een kijkje achter de schermen gekregen.
Wat er nou allemaal op je afkomt bij zo'n digitaal incident.
Is in ieder geval heel veel, mogen we concluderen.
Herstellen gaat gepaard met onzekerheden, tijdsdruk en dilemma's.
Het is daarom goed om als organisatie op voorhand je zaken in te regelen.
Dat is duidelijk uit deze sessie...
zodat je in ieder geval snel en effectief kunt reageren.
Ja, wat kun je dan regelen? Hoe gaat dat allemaal in z'n werk?
Dat hoor je in het volgende onderdeel. Blijf daarom vooral online.
We zijn zo meteen bij jullie terug voor het vervolg van het symposium...
Opstap naar Weerbaarheid van Agentschap Telecom. Om één uur precies.