De schappen zijn leeg. Maar gelukkig was de IT goed beveiligd.

Bij Albert Heijn laat een cyberincident zien hoe kwetsbaar een volledig gedigitaliseerde organisatie kan zijn. Niet omdat technologie slecht werkt, maar omdat we bedrijven hebben gebouwd die zonder technologie nauwelijks nog weten hoe ze moeten functioneren. We noemen dat vooruitgang. Tot de vrachtwagens niet meer rijden.

Ergens in Nederland staat een supermarktmedewerker naar een leeg groenteschap te kijken. De tomaten zijn er niet, de paprika’s evenmin en de aardbeien die gisteren nog gewoon verkrijgbaar waren, hebben hun bestemming niet bereikt. Niet omdat de oogst is mislukt, de boeren staken of Nederland plotseling een tekort aan vrachtwagenchauffeurs heeft. Er is een probleem met de IT. We leven inmiddels in een land waarin miljoenen mensen voor hun dagelijkse boodschappen afhankelijk zijn van informatiesystemen die ze nooit zullen zien, niet begrijpen en waarvan ze waarschijnlijk niet eens weten dat ze bestaan. Wanneer die systemen uitvallen, wordt iets heel gewoons ineens behoorlijk ingewikkeld. Zoals een krat tomaten van een distributiecentrum naar een supermarkt brengen.

Dat is precies wat het cyberincident bij Albert Heijn deze week zichtbaar maakte. Sinds zondag 11 oktober kampt het supermarktconcern met een cybersecurityincident. Uit voorzorg werden systemen uitgeschakeld, distributiecentra ondervonden grote hinder, online bestellingen kwamen stil te liggen en winkels kregen te maken met leveringsproblemen. Op woensdag 14 oktober meldde Albert Heijn dat alle distributiecentra weer operationeel waren, maar daarmee was nog niet alles hersteld. Over de precieze oorzaak is nog onvoldoende bekend. We weten niet hoe het incident is ontstaan, welke systemen precies geraakt zijn of welke beveiligingsmaatregelen hebben gewerkt. Het zou daarom voorbarig zijn om te concluderen dat Albert Heijn zijn beveiliging niet op orde had.

Maar misschien is dat ook helemaal niet de interessantste vraag. Want wat hier zichtbaar wordt, is een probleem dat veel groter is dan één supermarktketen.

We hebben efficiëntie tot religie verheven

De afgelopen decennia heeft de IT-sector organisaties een prachtige belofte verkocht. Digitaliseer je processen, verbind je systemen, automatiseer je beslissingen en je bedrijf wordt sneller, goedkoper en efficiënter. En eerlijk is eerlijk: die belofte is voor een belangrijk deel waargemaakt. Voorraadbeheer, transportplanning, magazijnautomatisering en bevoorrading zijn tegenwoordig indrukwekkend goed op elkaar afgestemd. Een product wordt verkocht, een voorraadpositie verandert en ergens verderop in de keten ontstaat automatisch een nieuwe opdracht. Minder handwerk, minder voorraad, minder verspilling en meer rendement. De spreadsheet van de financieel directeur zal er ongetwijfeld prachtig van worden.

Alleen hebben we onderweg iets merkwaardigs gedaan. We hebben niet alleen de administratie geautomatiseerd, maar ook het vermogen om zonder die automatisering te functioneren steeds verder uit onze organisaties gesloopt. Het handmatige alternatief verdween omdat het inefficiënt was, lokale kennis verdween omdat alles centraal geregeld kon worden en buffers werden verkleind omdat realtime informatie ons vertelde dat ze overbodig waren. Het gevolg is dat vrijwel ieder kritisch bedrijfsproces inmiddels afhankelijk kan zijn van een ingewikkelde keten aan systemen, koppelingen en digitale beslissingen. Dat levert een bijzonder efficiënte organisatie op, zolang alle onderdelen doen wat ze moeten doen. Zodra één essentieel onderdeel wegvalt, wordt duidelijk hoe kwetsbaar die efficiëntie kan zijn.

Het probleem is niet dat we afhankelijk zijn geworden van IT. Dat was grotendeels onvermijdelijk en heeft ons bovendien veel gebracht. Het probleem is dat we die afhankelijkheid jarenlang bijna uitsluitend als vooruitgang hebben beschouwd, zonder altijd even serieus na te denken over de gevolgen ervan. We hebben organisaties ontworpen voor maximale efficiëntie onder normale omstandigheden en verbazen ons vervolgens wanneer ze bij een verstoring nauwelijks kunnen improviseren. Alsof een organisatie die volledig op technologie vertrouwt vanzelf ook bestand is tegen het tijdelijk ontbreken ervan. Die gedachte is op zijn minst optimistisch.

De IT-afdeling mag de brand blussen. De directie heeft het gebouw ontworpen.

Wanneer een organisatie door een cyberincident stilvalt, gebeurt er meestal iets voorspelbaars. Alle ogen richten zich op IT. Waarom werkte de beveiliging niet? Waarom duurde het herstel zo lang? Hadden we geen betere monitoring moeten hebben? Waarom stond er geen tweede omgeving klaar? Het zijn begrijpelijke vragen, maar ze gaan grotendeels voorbij aan de bestuurlijke keuzes die aan zo’n situatie voorafgaan. Want wie besloot dat een volledig geautomatiseerd proces geen handmatig alternatief meer nodig had? Wie bepaalde hoeveel afhankelijkheid van één centrale omgeving acceptabel was? Wie keurde de investeringen goed waarmee processen steeds verder werden geïntegreerd en wie accepteerde uiteindelijk het risico dat de bedrijfsvoering grotendeels tot stilstand zou komen wanneer essentiële digitale systemen niet meer beschikbaar waren?

Dat zijn geen beslissingen die uitsluitend bij een systeembeheerder of IT-manager thuishoren. Het zijn bedrijfsbeslissingen die rechtstreeks raken aan de inrichting, continuïteit en risicoacceptatie van de organisatie. Toch wordt digitale weerbaarheid in veel organisaties nog altijd behandeld als een verantwoordelijkheid van de IT-afdeling. De directie stelt een budget beschikbaar, de CISO rapporteert over risico’s en het management ontvangt periodiek een dashboard met groene, oranje en rode vakjes. Zolang er voldoende groen op staat, kunnen we door naar het volgende agendapunt. Dat de volledige operatie ondertussen afhankelijk is van een beperkt aantal kritische systemen, verdwijnt ergens tussen de risicoanalyse en het jaarlijkse budgetgesprek.

Pas wanneer die systemen uitvallen, ontdekt de organisatie hoeveel risico er daadwerkelijk in het bedrijfsmodel zit. Dan blijkt ineens dat de technische afhankelijkheden veel verder reiken dan de IT-afdeling en dat beslissingen over beschikbaarheid, beveiliging en herstel directe gevolgen hebben voor klanten, leveranciers, medewerkers en omzet. Dezelfde directie die jarenlang heeft gestuurd op efficiëntie, kostenbesparing en centralisatie vraagt vervolgens waarom het bedrijf niet gewoon kan doordraaien. En dan mag IT uitleggen waarom dat niet mogelijk is, terwijl veel van de bepalende keuzes allang buiten de serverruimte zijn gemaakt.

We hebben een reservekopie van alles. Behalve van het bedrijfsproces.

Er bestaat in de IT-wereld een bijna aandoenlijk vertrouwen in back-ups en disasterrecoveryplannen. We repliceren gegevens naar andere locaties, bewaren kopieën in de cloud en testen of databases kunnen worden teruggezet en virtuele machines weer willen starten. Vervolgens leggen we vast binnen hoeveel tijd systemen hersteld moeten kunnen worden en beschouwen we het continuïteitsvraagstuk als grotendeels afgedekt. Op technisch niveau is daar weinig mis mee. Sterker nog, zonder deze voorzieningen zouden de gevolgen van veel incidenten aanzienlijk groter zijn. Alleen vergeten we soms dat het herstellen van technologie niet automatisch betekent dat een organisatie weer kan functioneren.

Een supermarkt heeft weinig aan een technisch perfect herstelde database wanneer de logistieke operatie nog dagen nodig heeft om achterstanden weg te werken. Een ziekenhuis schiet weinig op met een beschikbaar elektronisch patiëntendossier als essentiële processen ondertussen niet georganiseerd kunnen worden. En een bouwbedrijf kan beschikken over de meest geavanceerde cloudomgeving ter wereld, maar wanneer de uitvoering stilligt omdat niemand meer bij tekeningen, planningen of werkopdrachten kan, heb je vooral een technologisch indrukwekkend probleem. We meten herstel graag in minuten en uren, terwijl de werkelijkheid herstel meet in klanten die niet geholpen worden, werknemers die niet verder kunnen en omzet die verdwijnt.

Daar komt bij dat een cyberincident een fundamenteel andere situatie kan opleveren dan een traditionele technische storing. Wanneer een server defect raakt, wil je die doorgaans zo snel mogelijk herstellen of vervangen. Bij een ernstig beveiligingsincident kan het juist noodzakelijk zijn om systemen bewust uit te schakelen, netwerken te isoleren en toegang tijdelijk te blokkeren. Niet omdat de technologie niet meer werkt, maar omdat je haar voorlopig niet veilig kunt gebruiken. Daarmee ontstaat een ongemakkelijke tegenstelling: om het bedrijf te beschermen, moet je mogelijk eerst een deel van het bedrijf stilleggen.

Die beslissing kan vanuit beveiligingsperspectief volkomen terecht zijn, maar de operationele gevolgen verdwijnen daarmee niet. Als je bedrijfsvoering niet is ingericht op het tijdelijk ontbreken van essentiële systemen, kan een noodzakelijke beveiligingsmaatregel uitgroeien tot een operationele crisis. Meer firewalls lossen dat niet automatisch op, een duurder SOC evenmin en ook de zoveelste cybersecuritytraining voor medewerkers verandert weinig aan een bedrijfsproces dat zonder centrale automatisering eenvoudigweg niet meer kan functioneren. Daarvoor moet je terug naar de inrichting van de organisatie zelf.

Misschien moeten we eens stoppen met doen alsof dit een IT-probleem is

Het incident bij Albert Heijn is op zichzelf geen bewijs van slecht IT-beheer of onvoldoende beveiliging. Ook een goed beveiligde organisatie kan getroffen worden door een cyberincident en zonder inzicht in de feitelijke oorzaak en genomen maatregelen is het bijzonder gemakkelijk om vanaf de zijlijn grote conclusies te trekken. Maar het zichtbare effect is wel degelijk aanleiding voor een fundamentelere discussie. Want hoeveel organisaties hebben hun belangrijkste processen ooit écht getest zonder de gebruikelijke IT-voorzieningen?

Dan bedoel ik geen aangekondigde oefening waarbij iedereen precies weet welke server tijdelijk wordt uitgeschakeld en ook geen hersteltest op zaterdagavond terwijl de rest van de organisatie gewoon blijft functioneren. Ik bedoel een scenario waarin een essentieel deel van de digitale infrastructuur vanaf morgenochtend niet meer gebruikt mag worden. Geen centrale planning, geen toegang tot een belangrijk bedrijfsplatform, geen automatische verwerking van opdrachten en geen zekerheid dat de systemen waarop iedereen vertrouwt op korte termijn weer beschikbaar zijn. Hoe lang blijft de organisatie dan functioneren en wie bepaalt welke werkzaamheden absoluut door moeten gaan wanneer niet alles meer mogelijk is?

Voor veel bestuurders zal het antwoord verrassend ongemakkelijk zijn. Niet noodzakelijk omdat hun IT-afdeling haar werk onvoldoende doet, maar omdat de organisatie nooit serieus heeft onderzocht wat er overblijft wanneer die IT-afdeling tijdelijk niet alles beschikbaar kan houden. De meeste continuïteitsplannen zijn behoorlijk goed in het beschrijven hoe technologie hersteld moet worden. Ze zijn niet altijd even overtuigend wanneer het gaat om de vraag hoe medewerkers hun werk moeten doen totdat dat herstel daadwerkelijk is afgerond. En precies op dat punt wordt zichtbaar of digitale weerbaarheid onderdeel is van de bedrijfsstrategie of vooral een onderwerp op de agenda van de CISO.

We hebben jarenlang geïnvesteerd in het digitaliseren en optimaliseren van de normale bedrijfsvoering. Nu wordt het tijd om minstens zo serieus te kijken naar de uitzonderingssituatie. Dat vraagt om andere gesprekken, niet alleen over cybersecuritybudgetten maar ook over organisatorische afhankelijkheden, noodprocedures, alternatieve werkprocessen en de bereidheid om voor weerbaarheid soms bewust een beetje efficiëntie op te offeren. Dat laatste is waarschijnlijk het lastigste onderdeel, want efficiëntie levert direct zichtbare besparingen op, terwijl weerbaarheid vooral waarde bewijst op het moment dat iets misgaat.

Redundantie kost geld, alternatieve processen kosten geld en het onderhouden van voorzieningen die je hopelijk nooit nodig hebt, kost eveneens geld. Vanuit een traditionele kostenoptimalisatie zijn dat al snel uitgaven waarop bezuinigd kan worden. Zeker wanneer de organisatie al jaren probleemloos functioneert en het management zich afvraagt waarom er nog meer geïnvesteerd moet worden in beschikbaarheid en continuïteit. Zolang niemand de mogelijke rekening van een daadwerkelijke bedrijfsstilstand op tafel legt, lijken die extra investeringen onnodig. Totdat het misgaat en die besparing op papier ineens een behoorlijk dure beslissing blijkt.

Albert Heijn krijgt de distributiecentra weer draaiend, de vrachtwagens gaan rijden en de schappen worden opnieuw gevuld. Maar in de bestuurskamers van andere organisaties zou dit incident aanleiding moeten zijn voor een minder geruststellend gesprek. Niet over de vraag of de back-ups vannacht succesvol zijn uitgevoerd of hoeveel beveiligingsincidenten het SOC vorige maand heeft afgehandeld, maar over de vraag waarom een organisatie met duizenden medewerkers, miljoenen klanten en een indrukwekkende hoeveelheid technologie zo weinig kan beginnen wanneer die technologie tijdelijk niet beschikbaar is.

Misschien hebben we de afgelopen twintig jaar simpelweg de verkeerde vraag gesteld. We vroegen ons voortdurend af hoeveel we konden automatiseren, hoeveel processen we konden integreren en hoeveel efficiëntie we daarmee konden winnen. Veel minder aandacht ging uit naar de vraag hoeveel afhankelijkheid we daarmee creëerden en wat er zou gebeuren wanneer die zorgvuldig opgebouwde digitale machine plotseling tot stilstand kwam. Dat is geen pleidooi om terug te keren naar papieren formulieren en handmatige administratie, maar wel om te erkennen dat maximale digitalisering en maximale weerbaarheid niet automatisch hetzelfde zijn.

Een organisatie die alleen onder ideale digitale omstandigheden goed functioneert, is misschien buitengewoon efficiënt. Maar of ze daarmee ook goed is ingericht op de werkelijkheid, valt nog maar te bezien.