Vorige week woensdag lagen tientallen overheidsdiensten plat door een storing in het netwerk van Defensie. Een ontwrichtende storing, net een maand na de wereldwijde storing die werd veroorzaakt door een bug in de interne software van CrowdStrike. ‘Get used to it’, reageerde minister van Defensie David van Weel op deze netwerkstoringen. Maar moeten we er ons daadwerkelijk maar bij neerleggen dat dit soort incidenten gebeuren?
Het resultaat van de recente storing in het netwerk van Defensie was verstrekkend: politie en hulpdiensten konden niet meer communiceren via het C2000-systeem, inloggen met DigiD was onmogelijk, en passagiers op Eindhoven Airport konden niet vertrekken. Get used to it? Ik zou zeggen van niet. De uitspraak van Van Weel ondermijnt de ambitie om de weerbaarheid van kritische IT-voorzieningen te verbeteren, en doet af aan de mogelijkheden die er zijn om de lat hoger te leggen. Denk hierbij aan disaster recovery plannen en -testen, redundante uitvoering van techniek, trainen van mensen en geavanceerde monitoring om incidenten te voorkomen. En als incidenten dan toch ontstaan, ze snel op te lossen door eenvoudige detectie en diagnostiek. Ik weet natuurlijk niet wat Defensie achter de schermen allemaal heeft ingeregeld, maar we mogen ervan uitgaan dat dit normaliter goed op orde is.
Juist dit soort incidenten onderstrepen de noodzaak voor organisaties in het hart van de samenleving om continu kritisch te evalueren of alles op orde is. Want hoewel het voorkomen van alle storingen onmogelijk is, kunnen we wel acties en maatregelen nemen om de ontwrichtende gevolgen voor de samenleving te beperken en deze sneller te herstellen.
Het belang van een business continuity plan
Dat start met een goed doordacht business continuity plan; de sleutel tot succes voor bedrijven die kritieke diensten leveren. Als vitale organisatie moet je alle mogelijke doemscenario’s in kaart brengen en de bijbehorende risico’s afwegen. Niet alleen binnen de eigen organisatie, maar ook bij samenwerkingspartners. Geen enkele organisatie kan immers zonder partners werken, maar dat brengt ook bepaalde risico’s met zich mee. Wanneer er bij een partner of leverancier iets mis gaat, loopt dit door in de gehele keten. Dit zagen we vorige week ook bij het netwerk van Defensie gebeuren. Wees je daarom bewust van welke afhankelijkheden er in de keten kunnen ontstaan en maak dit inzichtelijk in zogenaamde ketenplaten. Hierbij is het belangrijk om ook onder de loep te nemen of het landschap logisch is ingericht. Controleer of de connecties en verbindingen tussen systemen echt nuttig zijn voor de processen, en niet alleen maar extra ballast en daarmee extra risico vormen.
Werk vanuit scenario’s
Wanneer je alle mogelijke scenario’s in kaart hebt gebracht, blijf dan voortdurend bewuste afwegingen maken en werk deze uit. Dit kan bijvoorbeeld door ervan uit te gaan dat je al gehackt bent en te handelen volgens het zero trust-principe: vertrouw niks als vanzelfsprekend en richt je systemen en processen daar volledig op in. Denk hierbij niet alleen aan techniek, maar ook aan bijvoorbeeld people en process. Dit kan het beste geïllustreerd worden aan de hand van een ander voorbeeldscenario, namelijk de reële kans dat een leverancier failliet kan gaan. Als dit desastreuze gevolgen heeft voor jouw organisatie, moet je ervoor zorgen dat je een alternatieve leverancier hebt. Lang verhaal kort: er zullen altijd risico’s blijven, maar die moet je wel zorgvuldig en bewust afwegen én bepalen wat je bij of na incidenten naar de buitenwereld communiceert.
Fail to prepare? Prepare to fail
Uiteindelijk draait het niet alleen om potentiële incidenten en hoe je deze kunt voorkomen, maar ook om hoe snel je na zo’n incident weer terug in bedrijf bent. De truc is om dat te weten vóórdat een incident plaatsvindt. Door regelmatig disaster recovery tests vanuit verschillende perspectieven, bijvoorbeeld uitval of cybersecurity, te doen, kun je inschatten wat de gevolgen van een specifiek incident zullen zijn én kun je daar een gedegen oplossing voor vinden. Denk bijvoorbeeld aan het mogelijk maken van goede inzichten in de business keten waardoor detectie en diagnostiek van incidenten versneld kan worden uitgevoerd. Maar de oplossing zit zeker niet altijd in de techniek, maar ook in de processen en mensen daaromheen. Zie het als een brandoefening voor je IT: zo nu en dan moet je testen of alles naar behoren werkt voor het geval dat er een incident plaatsvindt. De wereldwijde storing van vorige maand heeft ons immers laten zien dat de staat van IT binnen organisaties allesbepalend is voor hoe snel deze organisaties hun bedrijfsprocessen kunnen herstellen. Dus door vooraf een test te doen, kun je je beter voorbereiden op bepaalde incidenten.
Dus wennen aan IT-verstoringen? Dat lijkt me niet nodig. De belangrijkste les uit afgelopen incidenten is juist om te streven naar verbeterde weerbaarheid en het nemen van proactieve maatregelen om de impact te beperken. Dit doe je door je voor te bereiden op het onverwachte middels een goed doordacht business continuity plan, regelmatige disaster recovery tests en het verkrijgen van een helder inzicht in de afhankelijkheden binnen de keten. Gelukkig zijn de meeste vitale organisaties uit onze samenleving hier goed van op de hoogte. Want wat we vooral niet mogen vergeten, is dat het vaker wél goed gaat dan niet. Hoe staat het er bij jouw organisatie voor? Ligt daar al een ’disaster recovery’-plan?
Dit is een ingezonden bijdrage van Conclusion Mission Critical. Via deze link vind je meer informatie over de mogelijkheden van het bedrijf.