Eerst Albert Heijn plat. Nu het halve internet. Wat zetten we volgende week uit?

Vorige week kwamen de boodschappen niet meer, vandaag verdwijnen overheidswebsites van het internet. Nederland heeft de mond vol van digitale weerbaarheid, maar ondertussen lijkt onze nationale cyberstrategie steeds vaker uit één maatregel te bestaan: trek de stekker eruit.

Nog geen twee weken geleden stond Albert Heijn ineens voor een probleem dat geen enkele supermarktmanager met een extra vrachtwagen kon oplossen. Een cyberincident legde belangrijke systemen stil, distributiecentra raakten ontregeld, websites en apps gingen offline en klanten konden hun boodschappen niet meer laten bezorgen. De schappen werden uiteindelijk weer gevuld, maar het herstel van alle digitale dienstverlening bleek aanzienlijk ingewikkelder dan het opnieuw opstarten van een server.

En terwijl Nederland nog bezig is met het verwerken van die verstoring, dient de volgende digitale crisis zich alweer aan. Ditmaal zijn het twee kritieke kwetsbaarheden in PHP, een programmeertaal waarop een enorm deel van het internet draait. Het Nationaal Cyber Security Centrum haalt uit voorzorg zijn eigen website offline. Ook websites van de Tweede Kamer, DigiD, MijnOverheid en andere organisaties verdwijnen tijdelijk van het internet. Hostingpartijen schakelen websites van klanten uit en beheerders kijken gespannen naar de klok, wachtend op een beveiligingsupdate die voor 16.00 uur is aangekondigd.

Eerst konden we onze boodschappen niet bestellen. Nu kunnen we op verschillende plekken niet meer bij onze digitale overheid terecht.

Je zou bijna denken dat iemand bezig is om de Nederlandse digitale infrastructuur systematisch af te vinken. Maar het ongemakkelijke is juist dat deze incidenten geen aantoonbare relatie met elkaar hebben. Het ene betreft een cyberincident bij een supermarktconcern, het andere kritieke kwetsbaarheden in een wereldwijd gebruikte softwarecomponent. Twee verschillende gebeurtenissen die precies dezelfde fundamentele zwakte blootleggen: onze samenleving is volledig afhankelijk geworden van digitale systemen waarvan de continuïteit allerminst vanzelfsprekend is.

En dan hebben we het nog niet eens over wat er morgen kan gebeuren.

De digitale samenleving blijkt verrassend analoog zodra het spannend wordt

We hebben jarenlang geïnvesteerd in digitalisering. Alles moest online, alles moest geïntegreerd en vooral alles moest efficiënter. De overheid moedigde burgers aan hun zaken digitaal te regelen, bedrijven vervingen fysieke dienstverlening door apps en organisaties bouwden steeds complexere ketens van afhankelijkheden.

De gedachte was helder: digitalisering maakt dienstverlening sneller, goedkoper en betrouwbaarder.

Totdat die dienstverlening niet meer beschikbaar is.

Bij Albert Heijn werd ineens duidelijk hoeveel fysieke processen afhankelijk zijn van digitale systemen. Een supermarkt lijkt misschien een gebouw met vakkenvullers en kassa’s, maar daarachter bevindt zich een ingewikkelde logistieke machine die zonder betrouwbare IT behoorlijk snel tot stilstand kan komen.

Vandaag zien we de andere kant. Websites van overheidsinstellingen en digitale diensten worden uit voorzorg uitgeschakeld omdat er mogelijk een ernstig beveiligingsrisico bestaat. Zelfs het NCSC, de organisatie die anderen moet helpen bij cybersecurity, besluit dat de veiligste website voorlopig een onbereikbare website is.

En voordat iemand dat als incompetentie bestempelt: het tijdelijk uitschakelen van een kwetsbare dienst kan een volkomen verstandige veiligheidsmaatregel zijn. Beschikbaarheid mag nooit automatisch belangrijker zijn dan beveiliging.

Maar dat neemt de pijnlijke vraag niet weg waarom we onze digitale infrastructuur kennelijk zo hebben ingericht dat uitschakelen soms de enige direct uitvoerbare veilige optie is.

We hebben immers jaren gepraat over zero trust, business continuity, disaster recovery, security by design en digitale weerbaarheid. Er zijn waarschijnlijk meer PowerPoints over cyberweerbaarheid gemaakt dan er kwetsbare servers bestaan.

Toch blijkt de praktische oplossing bij ernstige dreigingen soms nog altijd dezelfde als bij een vastgelopen computer uit 1998: uitzetten en wachten tot iemand het probleem heeft opgelost.

We beheren risico’s vooral op papier

De PHP-kwetsbaarheden zijn ernstig. Met een kritieke score van 9,2 en de mogelijkheid om onder bepaalde omstandigheden op afstand code uit te voeren, is er alle reden om snel te handelen. Het gaat bovendien om een technologie die diep verweven is met websites, webwinkels, portalen en bedrijfsapplicaties.

Maar de grootste kwetsbaarheid van veel organisaties zit niet noodzakelijk in PHP. Die zit in het gebrek aan inzicht in de eigen digitale afhankelijkheden.

Want hoeveel organisaties kunnen vandaag binnen een kwartier vertellen waar PHP allemaal draait? Welke versies actief zijn, wie verantwoordelijk is voor het onderhoud, welke applicaties ervan afhankelijk zijn en wat er gebeurt als de onderliggende infrastructuur moet worden uitgeschakeld?

De meeste organisaties beschikken over indrukwekkende securitydashboards. Groene vinkjes, risicoscores, compliancepercentages en fraaie rapportages voor het management. Maar zodra een fundamentele kwetsbaarheid wordt ontdekt, begint op veel plekken hetzelfde ritueel. De infrastructuurbeheerder vraagt het applicatieteam om een overzicht. Het applicatieteam verwijst naar de leverancier. De leverancier moet overleggen met de hostingpartij en de hostingpartij wacht op een beveiligingsupdate.

Ondertussen vraagt het management iedere dertig minuten of er al nieuws is.

Het probleem is niet dat mensen hun werk niet doen. Het probleem is dat we digitale complexiteit hebben gecreëerd die we organisatorisch vaak nauwelijks nog overzien.

We hebben beschikbaarheid contractueel vastgelegd, beveiliging ondergebracht in normen en continuïteit beschreven in beleidsdocumenten. Maar een SLA van 99,9 procent beschikbaarheid houdt bijzonder weinig stand wanneer een kritieke softwarecomponent plotseling niet meer veilig gebruikt kan worden.

Een contract kan aansprakelijkheid verdelen. Het kan geen kwetsbaarheid wegonderhandelen.

De volgende crisis zit waarschijnlijk al ergens in onze infrastructuur

Wat deze gebeurtenissen vooral duidelijk maken, is dat de digitale samenleving niet langer alleen kwetsbaar is voor gerichte aanvallen op afzonderlijke organisaties. We zijn ook afhankelijk van een relatief beperkt aantal technologieën, leveranciers en softwarecomponenten die overal terugkomen.

Bij Log4Shell ontdekten organisaties hoe diep één kwetsbare softwarebibliotheek in hun infrastructuur verborgen kon zitten. MOVEit liet zien hoe kwetsbaarheden in één veelgebruikt product grote aantallen organisaties tegelijk konden raken. Storingen en beveiligingsincidenten bij grote technologiebedrijven hebben eerder laten zien hoe snel de gevolgen van één probleem zich internationaal kunnen verspreiden.

Albert Heijn laat zien hoe een cyberincident bij één concern direct voelbaar wordt in het dagelijks leven. Het PHP-alarm laat zien hoe een kwetsbaarheid in een gedeelde technologische bouwsteen tegelijkertijd duizenden organisaties tot actie kan dwingen.

En dus is de vraag allang niet meer of er nog een volgende grote verstoring komt. De vraag is waar die ontstaat en hoeveel andere systemen eraan vastzitten.

Misschien is het morgen een authenticatieplatform waardoor medewerkers niet meer kunnen inloggen. Misschien is het een kwetsbaarheid in een veelgebruikt beveiligingsproduct. Misschien een cloudleverancier, betalingsverwerker of softwarebibliotheek waar duizenden bedrijven afhankelijk van blijken te zijn.

Dat laatste is overigens de meest ironische mogelijkheid: dat een beveiligingsproduct zelf de reden wordt waarom organisaties hun dienstverlening moeten uitschakelen. Ook dat scenario hebben we inmiddels vaak genoeg voorbij zien komen om het niet langer als een uitzonderlijke verrassing te beschouwen.

Toch blijven we doen alsof ieder nieuw incident een op zichzelf staande calamiteit is.

Er verschijnt een waarschuwing, de crisisorganisatie komt bijeen, leveranciers worden gebeld en na afloop maken we een evaluatierapport. Daarin staat dan dat de inventarisatie moet worden verbeterd, verantwoordelijkheden duidelijker moeten worden en de communicatie sneller moet verlopen.

Vervolgens wordt het rapport vastgesteld en gaan we over tot de orde van de dag.

Tot de volgende crisis.

Misschien moeten we eens stoppen met doen alsof dit uitzonderingen zijn

Digitale weerbaarheid betekent niet dat er nooit iets uitvalt. Dat is een onhaalbare belofte. Kwetsbaarheden zullen worden ontdekt, leveranciers zullen fouten maken en cybercriminelen zullen nieuwe mogelijkheden blijven zoeken.

Maar weerbaarheid betekent wel dat een organisatie haar afhankelijkheden kent, snel kan handelen en bij ernstige problemen niet onmiddellijk haar volledige dienstverlening hoeft stil te leggen.

Dat vraagt om veel meer dan een jaarlijkse penetratietest, een keurige ISO-certificering of een extra beveiligingsproduct. Het vraagt om inzicht in softwarecomponenten, actueel patchmanagement, technische isolatiemogelijkheden, alternatieve dienstverlening en besluitvorming die niet pas tijdens een incident georganiseerd wordt.

Vooral dat laatste verdient aandacht. We hebben bestuurders jarenlang geleerd dat cybersecurity een bestuursverantwoordelijkheid is. Maar hoeveel bestuurders weten daadwerkelijk welke digitale diensten hun organisatie morgen kan blijven leveren als een kritieke leverancier, technologie of infrastructuurcomponent plotseling wegvalt?

Niet welke risico’s er in het register staan. Niet welke maatregelen op papier zijn vastgelegd. Maar wat er morgen daadwerkelijk nog werkt.

Dat is de vraag die er echt toe doet.

Want als de supermarkt haar boodschappen niet meer kan bezorgen, de overheid haar digitale loketten moet sluiten en de nationale cybersecurityorganisatie haar eigen website tijdelijk niet beschikbaar kan houden, dan gaat het gesprek niet meer alleen over cybersecurity.

Dan gaat het over de robuustheid van de samenleving die we met z’n allen hebben gebouwd.

Wat is dan de echte IT-realiteit als standaard?

De echte IT-realiteit is dat Nederland zichzelf graag presenteert als een digitaal volwassen land, maar dat onze afhankelijkheid van technologie sneller is gegroeid dan ons vermogen om verstoringen op te vangen.

We hebben digitale transformatie jarenlang behandeld als een wedstrijd waarin zoveel mogelijk processen online moesten komen. Efficiënter, goedkoper, sneller. De voordelen waren duidelijk zichtbaar en gemakkelijk uit te leggen aan bestuurders en aandeelhouders.

De kwetsbaarheid die daarmee ontstond, was een stuk minder aantrekkelijk voor de presentatie.

Nu krijgen we de rekening steeds nadrukkelijker gepresenteerd.

Eerst Albert Heijn. Daarna een ernstige PHP-waarschuwing die grote delen van de digitale dienstverlening raakt. Morgen ongetwijfeld weer iets anders.

Het cynische is dat we iedere keer opnieuw spreken over een wake-upcall. Alsof we na Log4Shell, MOVEit, omvangrijke cyberincidenten en internationale IT-storingen nog steeds rustig liggen te slapen.

Misschien wordt het tijd om te accepteren dat dit geen uitzonderlijke incidenten meer zijn, maar symptomen van een samenleving die haar digitale afhankelijkheden onvoldoende beheerst.

En misschien moeten bestuurders bij de volgende presentatie over digitale transformatie eindelijk eens één simpele vraag stellen:

Prachtig dat straks alles digitaal kan. Maar wat kunnen we eigenlijk nog als het digitaal even niet kan?

Want als we die vraag niet kunnen beantwoorden, bouwen we geen digitaal weerbare samenleving.

Dan bouwen we een steeds grotere afhankelijkheid, met een steeds mooiere interface.

En wachten we tot de volgende leverancier, kwetsbaarheid of cybercrimineel besluit welk onderdeel van Nederland morgen even niet meer werkt.