Als keten moeten we nauwer samenwerken voor meer digitale weerbaarheid

Tijdens de Dutch IT Security Day 2022 in de Fokker Terminal in Den Haag gingen, onder leiding van Dutch IT Channel-moderator en dagvoorzitter Danny Frietman, diverse vertegenwoordigers uit de Nederlandse securityketen in op de vraag hoe het met de Nederlandse zakelijke cybersecurity is gesteld. Het Nederlandse bedrijfsleven is goed op weg in het bewustwordingsproces, maar de keten moet gezamenlijk helpen een tandje bij te zetten.

Het Nederlandse bedrijfsleven heeft de afgelopen jaren een inhaalslag gemaakt met het bewustwordingsproces over cyberveiligheid en hebben de nodige maatregelen genomen. Staat security echt hoog op de agenda binnen het bedrijfsleven en zijn de maatregelen ook voldoende?  

Ook de hele Nederlandse securityketen, van leveranciers, distributeurs, consultants, branche- en belangenorganisaties tot de overheid, moet zich afvragen of niet nog meer kan worden gedaan. Hoe kan de keten Nederland helpen zich nog weerbaarder maken tegen cyberaanvallen, vroegen de deelnemers aan de paneldiscussie zich af.

Nog steeds geen hoofdonderwerp

De paneldeelnemers constateren in ieder geval dat cybersecurity, ondanks het hoge bewustzijn, bij veel bedrijven nog geen hoofdonderwerp vormt. “Als organisatie hebben wij direct met digitale veiligheid te maken Met rijbewijzen geven we eigenlijk identiteiten uit”, zegt Bob van Graft, CIO en CISO bij het CBR. “Er is dus inderdaad aandacht voor security. Maar de business, het geven van rijexamens, staat vaak toch voorop. Daarom is het lastig digitale veiligheid in de boardroom aan te kaarten. Het is een kwestie van het juiste moment zoeken.”

Ook Patrick Louwe, CEO van dataprotectie- en securityspecialist IT2Grow, ziet dat security prominent op de agenda staat. “Wel constateren wel dat het inbedden van security in de business een constant discussiepunt is.”

Niet alleen bij bedrijven is het lastig security als belangrijkste onderwerp aan te kaarten. Dat geldt ook voor de keten zelf. “Het onder de aandacht brengen van security bij onze partners lukt wel, maar het is wel een langzaam proces”, geeft business unit manager Transformation Willem Magerman van distributeur Tech Data aan.

“De coronaperiode was door het vele thuiswerken natuurlijk een hackersparadijs”, zegt Astrid Oosenburg van het Dutch Institute for Vulnerability Disclosure (DIVD) met een iets positievere toon. “Nu heeft wel iedereen meegekregen dat security een serieus issue was en patchen zit bijvoorbeeld nu wel bij iedereen tussen de oren.”

Nederland nooit 100 procent veilig

Op de vraag of we Nederland, of het Nederlandse bedrijfsleven, ooit wel eens 100 procent veilig krijgen, antwoorden de meeste deelnemers dat dat nog ver weg is. CEO Dave Maasland van ESET Nederland: “Het narratief moet veranderen. Nu is het verhaal dat het niet is óf je wordt gehackt, maar wanneer. Dit moeten we ombouwen naar meer preventie. Je zoveel mogelijk voorbereiden op een mogelijke aanval is extreem belangrijk. 100 procent veiligheid is niet haalbaar, maar 100 procent weerbaarheid, dat je weer kan opkrabbelen, wel.”

Patrick Louwe sluit hierop aan: ”Maak een plan hoe data te beschermen, maar ook hoe deze weer terug te halen. Een beveiligingsplan voor de voor- en achterkant. En voer dit plan uit.”

Keten moet helpen met kennis

De keten moet bedrijven hierbij gaan helpen. Daar zijn alle deelnemers over eens. Willem Magerman vindt dat zijn bedrijf als distributeur vooral de IT-resellers moet helpen met de realisatie van plannen voor 100 procent weerbaarheid. Zodat zij, op hun beurt, weer kleinere mkb-bedrijven helpen. “Hackers kiezen altijd de zwakste schakel en dat zijn helaas vaak kleinere bedrijven. Daar ontbreekt de kennis.”

Willem Magerman krijgt bijval van zijn collega’s. De kennis van bedrijven over cybersecurity laat helaas nog veel te wensen over. “Als keten moeten we hiervoor meer onze verantwoordelijkheid nemen”, vindt Dave Maasland. “Helaas wordt nog te vaak naar de business case gekeken, terwijl het eigenlijk over kennis zou moeten gaan. Daar ben ik eigenlijk nog niet hoopvol over.”

Leidende rol overheid discutabel

Wellicht kan ook de Nederlandse overheid een belangrijke rol gaan spelen voor meer weerbaarheid en kennis. Astrid Oosenburg ziet goede voortekenen. “Hoewel ik in de kabinetsplannen graag een ministerie van Digitalisering zag en ze nog te weinig met cybersecurity te maken hebben, is er toch vooruitgang bij de overheid en ook in de politiek. Cybersecurity staat nu bij alle ministeries op de agenda en er is nu een vaste Kamercommissie voor Digitalisering. De overheid en politiek beseffen dat digitale veiligheid alle verschillenden domeinen, niet alleen defensie en justitie, maar ook onderwijs, gezondheidszorg en economie raakt.”

Bob van Graft, zelf werkzaam bij de overheid, is hiermee flink oneens.” Een speciaal ministerie is niet de oplossing, dat leidt tot meer bureaucratie en papierwerk. Hierdoor komen er geen echte oplossingen. Ook politiek verankeren heeft geen zin. Landelijke politici zijn alleen bezig met de korte termijn, terwijl cybersecurity ook over de langere termijn gaat. Het moet toekomstbestendig zijn.”

Samenwerking binnen keten belangrijkst

De cybersecurityketen moet echt het initiatief nemen Nederland veiliger te maken, zo concluderen de paneldeelnemers. “We moeten zelf in lobby en aandacht investeren en daarbij samenwerken”, zegt Dave Maasland. Patrick Louwe voegt daar ook het vinden van de juiste mensen voor cybersecurity aan toe. “In Nederland, ondanks allerlei initiatieven, is goed personeel nog steeds schaars.”

“Als onafhankelijke distributeur zien wij dat samenwerking met partners veel oplevert. Samenwerking op alle niveaus is daarom het belangrijkste voor het ontwikkelen van het cybersecuritylandschap in Nederland”, zo besluit Willem Magerman.

Door: Floris Hulshoff Pol