Kor Gerritsma: ‘Herstelvermogen is dé sleutel tot digitale weerbaarheid’

Het ministerie van Binnenlandse Zaken en Koninkrijksrelaties concludeerde vorige maand in een onderzoeksrapport dat de overheid onvoldoende is voorbereid op ICT-uitval. Dat gebrek aan voorbereiding kan grote gevolgen hebben voor de samenleving – zelfs ontwrichtend. Voor Kor Gerritsma kwam die waarschuwing niet als een verrassing.

Vanuit zijn adviesrol bij Strict rondom black-outpreventie, spreekt Kor Gerritsma geregeld met vitale organisaties om ketenrisico’s in kaart te brengen en samen herstelplannen te ontwikkelen. Wat hem betreft is er nog veel werk aan de winkel als het om digitale weerbaarheid gaat in het Nederlandse bedrijfsleven.

De juiste focus

Waar het volgens Kor vooral misgaat in organisaties, is dat er een scheve balans is in focus. “Veel organisaties zetten vol in op crisispreventie en niet op veerkracht en herstelvermogen. Terwijl dat minstens zo belangrijk is. Je kunt je nooit honderd procent beschermen tegen een crisis zoals een black-out.”

“Dat heeft ook te maken met de keten waarin je als bedrijf zit en risico’s die daarbij horen. Kwetsbaarheid zit hem niet alleen meer in je eigen systemen. Steeds vaker ligt dat in de onderlinge verbindingen en afhankelijkheden in de digitale keten. Denk bijvoorbeeld aan een zorginstelling die (patiënten)gegevens via externe ICT-leveranciers krijgt aangeleverd. Wanneer bij een van die partijen een storing ontstaat, ligt de zorgverlening mogelijk deels stil omdat er cruciale gegevens ontbreken.”

“Ook als de interne systemen van de zorginstelling gewoon nog werken. Anders gezegd; er hoeft dus maar ergens in jouw keten een kleine verstoring of fout te ontstaan en het werkt naar iedereen in de keten door met een domino-effect aan gevolgen.”

Een ingrijpend praktijkvoorbeeld deed zich afgelopen zomer voor bij het Openbaar Ministerie. Door een kwetsbaarheid in de Citrix NetScaler-software die ministerie gebruikt, moest het zich uit voorzorg wekenlang afsluiten van het internet. De gevolgen waren groot: digitale systemen lagen plat, wat ingrijpende consequenties had voor de werkzaamheden van het Openbaar Ministerie én voor partijen in zijn keten zoals rechtbanken.

Risico’s voor iedere organisatie

Dit soort ingrijpende black-outs zijn niet alleen weggelegd voor grote instanties zoals het OM, weet Gerritsma. Eén op de vier Nederlandse organisaties kan niet meer speculeren over een black-out. Zij hebben al te maken gehad met een gedeeltelijke (19%) of zelfs complete black-out (5%) in hun organisatie, volgens onderzoek van Strict.

De meerderheid (63%) van de organisaties ondervindt bovendien minstens een keer per maand hinder door storingen of het falen van technologie.

“We zijn in Nederland gewend om te vertrouwen op de digitale systemen om ons heen”, legt Gerritsma uit. “Mede omdat het over het algemeen ook goed geregeld is. Maar zoals de cijfers laten zien, heb je zelfs dan geen garanties meer. Iedere organisatie wordt een keer op de proef gesteld door cybercriminelen, menselijke fouten of iets simpels als een stroomstoring. Dat is onvermijdelijk.”

“Maar als je jouw organisatie niet hebt ingericht op het omgaan met uitval of verstoring, neem je dus onverantwoorde risico’s. Niet alleen digitaal, maar ook bedrijfsmatig.”

Focus op herstelvermogen

Dat is geen makkelijke opgave. “Je snapt eigenlijk pas écht hoe ingrijpend een grote verstoring of een black-out is als je het zelf hebt meegemaakt”, stelt Gerritsma.

Wat natuurlijk niet betekent dat je daarop moet wachten. “Het allerbelangrijkste is dat je nog voor een storing ontstaat, grip krijgt op de processen die ervoor zorgen dat je bij een tegenslag kunt doorwerken. Het gaat erom dat je de tent niet dagenlang hoeft te sluiten omdat je om welke reden dan ook niet bij data, stroom of je fysieke locatie kunt.”

Volgens Gerritsma is het daarom voor alle organisaties belangrijk om te werken aan een IT-herstelplan. De ‘wat als-scenario’s’. “Daarin staat een goede procesbeschrijving: wie mag welke stappen ondernemen in welke situaties? Hoewel IT hierin een onmisbare rol speelt, moet dit plan al jouw bedrijfsfacetten omvatten.”

“Hoe ga je bijvoorbeeld om met wateroverlast, zoals we 2021 in Limburg zagen? Of hoe zorg je ervoor dat medewerkers bij nood ook vanuit andere locaties door kunnen blijven werken? Bepaal wat cruciaal is om te blijven draaien en welke risico’s dat bedreigen. En vergeet hierin niet het herstel zelf mee te nemen. Hoe kom je weer op de been als er iets misgaat? En hoe snel ben je daartoe in staat? Praat je over enkele uren of heb je dagen nodig?”

“Dat moet allemaal op papier staan en duidelijk zijn voor iedereen in de organisatie en in de keten.”

De echte test komt na de storing

Uiteindelijk draait digitale weerbaarheid om meer dan technologie alleen, stelt Gerritsma. Het vraagt om bewustzijn, voorbereiding en samenwerking binnen de eigen organisatie en de keten daaromheen.

“Wie nog vooral inzet op het voorkomen van incidenten, laat kansen liggen om goed terug te komen na een tegenslag. Weerbaarheid betekent niet dat je nooit omvalt, maar dat je weet hoe je snel en met zo min mogelijk schade weer opstaat. Het is uiteindelijk de veerkracht van de hele keten die bepaalt hoe weerbaar we in Nederland zijn.”