Handelingsperspectief voor cybersecurity

De eerste versie van het COB-groeiboek Cybersecurity in 2015 moest tunnelbeheerders handvatten geven om met bestuurders in gesprek te gaan over cybersecurity. Versie vijf, die later dit jaar verschijnt, is gericht op de hele keten en heeft meer het karakter van een handboek. “We zijn opgeschoven van een set argumenten naar ondersteuning in de praktijk”, vertelt projectleider Jasper Kimstra.

Cybersecurity is de afgelopen jaren nadrukkelijker op de agenda komen te staan. De activiteiten van de COB-werkgroep hebben daaraan zeker bijgedragen. Kimstra: “Bij de start in 2014 leefde onder bestuurders nog het idee dat zij niet gehackt zouden worden. Inmiddels is wel duidelijk dat het niet de vraag is óf je gehackt wordt, maar wanneer. Een paar jaar geleden waren datalekken en malware nog volop in het nieuws; inmiddels is het blijkbaar gewoon geworden. Dat betekent dat je niet alleen moet werken aan preventie, maar ook aan een plan om je activiteiten direct na een hack te kunnen voortzetten (business continuity plan) en aan een herstelplan voor de langere termijn (disaster recovery).”

Hoe pak ik het aan?

In versie vier van het groeiboek wordt uitgebreid aandacht besteed aan het beperken van schade en tijdverlies bij een cyberincident. Wat moet er in je business continuity plan staan? Er is een apart hoofdstuk dat gaat over het renoveren van tunnels, waarbij de cyberrisico’s en beheersmogelijkheden anders zijn dan bij een nieuwbouwproject. Verder komen veilige patching en servicing uitgebreid aan de orde en is de relatie tussen tunnelveiligheid en cybersecurity verder uitgediept. In versie vijf komt daar nog een laag bovenop. Kimstra: “Daarin leggen we meer nadruk op het handelingsperspectief van betrokken partijen. Het is geen kant-en-klaar plan, maar het groeiboek biedt de handvatten om zelf zo’n plan voor je eigen organisatie te maken. Met andere woorden: we beantwoorden de vraag ‘hoe pak ik het aan van risico-inventarisatie tot en met de laatste slag?'”

Vervolgstappen

“Als versie vijf van het groeiboek is afgerond, komen we aan de grens van de opdracht van de werkgroep. Je zou het boek dan als ‘af’ kunnen beschouwen. Maar er zijn wel vervolgstappen die we willen oppakken. Zo willen we dit jaar actief meer ruchtbaarheid geven aan het groeiboek en het brede thema cybersecurity. We zien aan de kijkcijfers dat het groeiboek bekend is binnen de sector. Maar we willen aanvullend ook beter in beeld krijgen hoe cybersecurity landt bij medewerkers van betrokken partijen en hoe ermee wordt omgegaan. Die informatie willen we gebruiken om invulling te geven aan een serious game die we met steun van de gemeente Amsterdam gaan ontwikkelen. We maken een werkboek met een aantal op de praktijk gebaseerde scenario’s, verwerken die scenario’s in een game en bieden instrumenten aan waarmee men in de game kan oefenen. Deze stap past in de ambitie om kennis niet alleen (digitaal) te delen, maar om ook met elkaar te beleven wat er op je afkomt als er sprake is van een hack.”

Weerbare tunnelsector

De game kan een belangrijke bijdrage leveren aan de weerbaarheid van de tunnelsector. Die is zeker nog niet volledig volwassen waar het om cybersecurity gaat, is de analyse van Kimstra. “Het gaat steeds beter, maar we moeten aan bewustzijn blijven werken. Ik zie dat cybersecurityplannen bij bijvoorbeeld verkeerscentrales inmiddels goed zijn dichtgetimmerd, maar daarbuiten is dat niet overal het geval. Het inrichten van vervolgstappen na een hack staat nog in de kinderschoenen.” Kimstra illustreert dat met een paar simpele vragen: “Weet je hoe je onderling kunt communiceren als je gehackt bent? Je bestaande systemen functioneren niet meer, of de hacker luistert mee. En wat doe je als je tunnel als gevolg van een hack platligt? Het uit- en aanzetten van de server zal niet voldoende zijn. Kortom, je zult een plan moeten hebben om weer in bedrijf te kunnen komen. Ik heb het gevoel dat we op dit gebied landelijk nog wel een aantal stappen moeten maken.”

De game kan een belangrijke bijdrage leveren aan de

weerbaarheid van de tunnelsector.

Oproep

Kimstra wil met de werkgroep ook onderzoeken of er behoefte is aan gerichte ondersteuning vanuit het expertteam. Er is al een quickscan ontwikkeld, waarmee organisaties een eerste indruk krijgen van de status van hun cyberveiligheid, maar het idee is dat daar nog een volgende stap aan toegevoegd zou kunnen worden. “Je kunt je voorstellen dat een aantal experts een dagdeel meepraten over een casus en op basis daarvan aanbevelingen doen voor de verdere aanpak. Dat gaat dieper dan de quickscan, maar we weten niet of er – in aanvulling op de game – behoefte aan is, of tunnelbeheerders het wel aandurven om zich aan experts ‘bloot te geven’. Mensen die dat eventueel interessant vinden of op de hoogte gehouden willen worden, kunnen een berichtje sturen naar cindy.peek@cob.nl. Dat geldt overigens ook voor de mensen die het leuk vinden om mee te denken binnen de werkgroep. We willen medio juni een bijeenkomst organiseren, waarin we de vervolgstappen handen en voeten gaan geven.”