„Als niemand weet wie er op het cruciale moment de beslissingen neemt, verlies je tijd. En in een stilgelegde fabriek is tijd geld ”

Een cyberaanval is niet alleen een IT-probleem. Het is een bedrijfscrisis, met alles wat daarbij hoort: beslissingen die snel, onder druk en in een verslechterde situatie moeten worden genomen. En zoals elke crisis legt ook deze zowel organisatorische als technische tekortkomingen bloot.

Wat we in de praktijk steevast zien, is dat de situatie niet zozeer wordt verergerd door de geavanceerdheid van de aanval, maar door het gebrek aan voorbereiding bij degenen die erop moeten reageren. De cijfers spreken voor zich: 58 % van de bedrijven geeft toe niet te weten hoe ze moeten reageren op een cyberaanval en slechts 2 tot 4 % zegt echt voorbereid te zijn. Wat de incidentresponsplannen betreft: 45 % van de organisaties beschikt er niet over, en van degenen die er wel een hebben, werkt 42 % het nooit bij. Met andere woorden: de meeste industriële bedrijven zouden zonder stappenplan in een crisis terechtkomen. Algemeen directeur, financieel directeur, IT-directeur, productiedirecteur: iedereen heeft een specifieke rol te vervullen. Maar die rol moet wel al vastgelegd zijn voordat de crisis uitbreekt.

Wat er werkelijk gebeurt in de eerste uren

Nog voordat we het over crisisrespons hebben, is er een onderwerp dat vaak wordt onderschat: detectie. Aanvallers maken zichzelf niet bekend. Hun doel is om zo lang mogelijk onzichtbaar in het systeem te blijven (gemiddeld 2 tot 3 weken), zodat ze de tijd hebben om zich te verplaatsen, rechten te verwerven, de meest waardevolle activa te identificeren en hun kanalen voor gegevensdiefstal op te zetten. Pas als dit werk is voltooid, zetten ze de zichtbare aanval in gang: ransomware, versleuteling, blokkering.

Het gevolg: wanneer het bedrijf zich realiseert dat het is gecompromitteerd, is het vaak al te laat om de omvang van de inbreuk te beperken. Vandaar het cruciale belang van de juiste detectietools, waarmee een abnormale situatie kan worden geïdentificeerd voordat deze uit de hand loopt.

Vervolgens volgt de eerste, vaak verkeerde reflex: alles uitschakelen. De bedoeling is begrijpelijk – de verspreiding stoppen – maar het gevolg is contraproductief. Door de machines uit te schakelen, worden de tijdelijke geheugens gewist, en daarmee ook alle sporen die nodig zijn om de aanval te analyseren en de infectieroutes te identificeren. De juiste werkwijze is om de verbinding met het netwerk te verbreken om de verspreiding te stoppen, zonder daarbij de stroomtoevoer naar de gecompromitteerde systemen uit te schakelen. Een technisch detail, maar wel een dat alles verandert voor het verdere verloop van het onderzoek.

Tijd: de variabele die iedereen onderschat

In een crisissituatie is tijd de grootste vijand. Elk uur dat verloren gaat met uitzoeken wie er beslist, wie wie belt en hoe er wordt gecommuniceerd, is geld dat wegvloeit en geloofwaardigheid die afbrokkelt.

Een stilgelegde fabriek produceert niet. Levert niet. Factureert niet. De boetes voor vertraging stapelen zich op, klanten worden ongeduldig, partners maken zich zorgen. En als het ERP-systeem is getroffen – dat centrale systeem dat bestellingen, productie, verzendingen en facturering coördineert – loopt de hele operationele keten tegelijkertijd vast. In de verwerkende industrie duurt deze stilstand gemiddeld 12 dagen. Twaalf dagen zonder te produceren, zonder te leveren, zonder te factureren.

Juist op dat moment maakt een goede voorbereiding het verschil. Een organisatie die heeft geanticipeerd, haar crisisprocessen heeft gedocumenteerd en haar teams heeft getraind, neemt haar beslissingen binnen enkele minuten, terwijl een andere organisatie daar uren over doet. En in deze context kunnen een paar gewonnen uren honderdduizenden euro’s besparen.

Wie doet wat: de rol van elke besluitvormer

Een cybercrisis is niet alleen een zaak van de IT-afdeling. Het is een gezamenlijke inspanning, waarbij elke besluitvormer een duidelijk afgebakend werkterrein heeft. Het probleem is dat deze rollen zelden al vóór de crisis zijn vastgelegd. Daardoor lopen we elkaar in de weg en verliezen we kostbare tijd aan geïmproviseerde afwegingen, terwijl iedereen zich juist op het essentiële zou moeten concentreren.

• De CIO / CISO stuurt de technische respons aan: de omvang van de inbreuk vaststellen, de inperkingsprocedures activeren, de IT-teams en externe dienstverleners coördineren. Hij is degene die de operationele leiding over de crisis in handen heeft.
• De productiedirecteur beslist wat doorgaat en wat wordt stopgezet. Welke productielijnen kunnen in beperkte modus worden gehandhaafd? Welke processen zijn absoluut cruciaal? Hij moet over deze vragen hebben nagedacht vóór de dag zelf, niet midden in de crisis.
• De financieel directeur activeert de cyberverzekeringen, beoordeelt de financiële verliezen in realtime en beslist over nooduitgaven. Hij is ook degene die de vraag stelt die niemand wil horen: hoeveel kost het ons als we betalen, hoeveel kost het ons als we niet betalen?
• De algemeen directeur is de crisismanager. Hij neemt beslissingen, treedt op als scheidsrechter en communiceert naar buiten toe: klanten, partners, aandeelhouders, toezichthouders. Zijn rol is niet technisch van aard. Hij is besluitvormer en vertegenwoordiger. En om deze rol goed te kunnen vervullen, moet hij al ruim van tevoren bij de voorbereiding betrokken zijn geweest.
• Ookde communicatie- en HR-teams hebben een rol te spelen: het opstellen van boodschappen die zijn afgestemd op elke doelgroep (medewerkers, klanten, pers), en het beheren van de HR-aspecten die verband houden met het mobiliseren van de teams in crisissituaties. Als de communicatiesjablonen niet klaar zijn, verlies je een half uur aan het onder stress opstellen van wat in dertig minuten rust had kunnen worden voorbereid.

Wat er vóór de crisis op het spel staat

De echte vraag is niet „zullen we worden aangevallen?“, maar „wanneer?“. Cybercriminele groepen zijn tegenwoordig gestructureerd als echte bedrijven, met tools, processen en specialisaties. Er vinden dagelijks tientallen incidenten plaats. Voor een industriële onderneming is de kans om ooit het doelwit te worden geen theoretisch scenario.

Wat organisaties die er goed uitkomen onderscheidt van organisaties die wekenlang stil liggen, is slechts één ding: voorbereiding.

Concreet betekent dit drie dingen.

• Documenteren. Van tevoren vaststellen welke systemen als eerste weer online moeten worden gebracht, vervolgens hoe het ERP-systeem opnieuw wordt opgestart, wie welke dienstverlener belt en wat het noodnummer is van de juiste contactpersoon. Deze informatie lijkt in normale omstandigheden vanzelfsprekend. Onder stress raakt men deze echter uit het oog.
• Rollen vastleggen. Wie neemt de beslissingen in het crisiscentrum? Wie houdt het logboek bij? Wie regelt de logistiek? Zolang deze rollen niet op papier staan en bij iedereen bekend zijn, zal de crisis in verwarring worden aangepakt.
• Testen. Een crisisplan op papier is altijd perfect. In de praktijk wijkt het af. Oefeningen maken het mogelijk om te controleren of de nummers kloppen, of de contracten met dienstverleners de juiste scenario’s dekken en of de teams goed reageren onder druk. Een niet-getest systeem is een onbetrouwbaar systeem. Toch voert slechts 30 % van de organisaties regelmatig tests en oefeningen uit, wat betekent dat 7 op de 10 bedrijven de tekortkomingen van hun plan pas zullen ontdekken op de dag dat ze zich geen fouten meer kunnen veroorloven.

NIS2 en ISO 27001: kaders om de voorbereiding te structureren

De regelgeving dwingt bedrijven steeds meer in deze richting. NIS2, waarvan de eisen bindend zijn voor bedrijven die eraan onderworpen zijn, schrijft expliciet voor dat er processen moeten worden gedefinieerd voor incidentbeheer, bedrijfscontinuïteit en herstel, en dat de doeltreffendheid daarvan regelmatig moet worden getest. Dit is geen optie, maar een verplichting.

De vrijwillige norm ISO 27001 biedt op haar beurt een structurerend kader om deze maturiteit op de lange termijn op te bouwen: vaststellen wat kritiek is, passende maatregelen invoeren, deze handhaven en voortdurend verbeteren.

In beide gevallen is de boodschap dezelfde: voorbereiding op een crisis kan niet zomaar worden geïmproviseerd. Deze moet worden opgebouwd, gedocumenteerd en getest, en hierbij is het management betrokken, niet alleen de IT-teams.

Cyberbeveiliging is een zaak van het management — geen IT-kwestie

Dit is misschien wel de belangrijkste boodschap om te onthouden. Cyberbeveiliging blijft maar al te vaak beperkt tot de serverruimte. Maar een cyberaanval die het ERP-systeem lamlegt, is een crisis die gevolgen heeft voor de productie, de financiën, de klantrelaties en de reputatie. Het is een zakelijk onderwerp dat op directieniveau moet worden behandeld.

Als het management dit onderwerp niet oppakt, blijft het onderbelicht, ondergefinancierd en onvoldoende voorbereid. En op de dag dat de crisis toeslaat – want die komt er zeker – zal niemand er echt klaar voor zijn.

Om op dit gebied begeleiding te krijgen, moet je samenwerken met partners die beide talen spreken: die van cyberbeveiliging en die van het ERP-systeem. Waar een externe cyberdeskundige eerst je ERP-omgeving moet begrijpen voordat hij deze kan controleren, beginnen TVH Consulting en haar dochteronderneming Fidens al vanuit de binnenkant. Een voorsprong die op de dag zelf het verschil kan maken.