Stap 1: Overzicht creëren in de keten.

Dat was het onderliggende risico, wat hij zart bloot legt, is dat je dus inderdaad nog helemaal geen zicht hebt op, wat je allemaal gebruikt en vanwee. Welkom bij de Keaton in Zicht, de podcast over het creëren van Gip op digitale toelefranciërs. Je bent afhankelijker van andere dan je denkt. En één zwaakke digitale schakel kan je hele organisatie stil leggen. Hoe herken je zwaakkeschakels voor dat ze schade veroorzaken? Mijn naam is Lucinda Sterk en dit is de Keaton in Zicht. Welkom bij "Allevering 1". We staan hier vandaag met coon Sambring Schuur, cyber security advisor bij het National Cyber Security Center. Welkom coon. Dankjewel, hallo. Ja, we gaan het vandaag hebben over de elefranciërs Keaton. Waarom is dat een belangrijk onderwerp? Nou, dat is ontzettend belangrijk, want van je elefranciërs ben je afhankelijk. Ja, je hebt tientallen hondede elefranciërs als bedrijf. En de kanten van alles gebeuren op cyber security gebied waar je elefranciër door troffen wordt, maar waardoor je jij als bedrijf ook een probleem kunt hebben. Ja, dus het is belangrijk om ios iicht te lukken te hebben als organisatie met welke elefranciërs heb ik te maken. Wat is het wetselicator waarin die organisaties moeten voldoen? Nou, de cyber security wet komt er natuurlijk aan. In de cyber security wet is een zorgplicht opgenomen en onderdeel van die zorgplicht in de cyber security wet is dat je ook Zicht krijgt een grip hebt op je leverantiers Keaton. En dat is dus een Keaton dat bestaat uit een hele boelpartij. Je bent zelf ook een onderdeel van een Keaton, want jij hebt ook weer klanten voor wie jij leverantier bent. Alles bij elkaar, en ja, ze zeggen altijd dat het een beetje klischeen natuurlijk, maar de Keaton is zo sterker als de zwakstenschaakl. En het is dus onder de zorgplicht van de cyber security wet, wordt het dus belangrijk dat je inspanning leverd om niet die zwakstenschaakl te zijn. Ja, dat gaan we vanuit. En wat verstaat het National Cyber Security Center onder de risico's in die toeleveringsketen? Nou, er zijn drie belangrijke punten in die toeleveringsketen. Het eerste risico dat je hebt is gewoon een uitval van een toeleveringsheer. En welkom voor het beeld is, want nog altijd de Kaseheck die een keertje gebeurt is bij een toeleveringsheer van de Albert Heijn, waardoor er geen Kase in de schappelag. Dat was gewoon een rensemwer aanval, een regelijk hoe zeggen we dat er een normale cyber aanval vandaag de dag helaas is, het normaal moet ik erbij zeggen dan. Maar ja, die Kase leveringsheer lachplat kon geen Kase leveren lacht dus niks in de schappen bij de Albert Heijn. Dus uitval van je toeleveringsheer dat is één ding. Dan heb je een bepaalde dingst die je verwacht wordt niet geleverd. De tweede heb je een risico dat een toeleveringsheer die levert dingsten voor jou en die maakt gebruik van data die van jou is, maar die zij even te wil verwerken. En daarvan is een iets recente voorbeeld, bijvoorbeeld die Klinikoldar Ignostics die als toeleveringsheer hadden ze of zij waren de toeleveringsheer van het bevolkingsonderzoek. En dat laboratory van Klinikoldar Ignostics had te maken met een datalek, ook als gevolg van een cyber aanval. Nu was de diensverlening dus niet per se opgeschort, maar wat er wel was gebeurd is dat dus de persoonstgegevens gelekt waren en dat bevolkingsonderzoek was nog steeds de verwerkingverantwoordelijke van die persoonstgegevens. Dus die zaten uiteindelijk ook met een groot probleem omdat via een hack bij toeleveringsheer die gerevens toegenkelijk waren. En dan heb je nog het derde risico en dat is dat je gebruikmaakt van digitale producten of diensten van een toeleveringsheer en daar kan dan vervolgens een kwetsbaarheid inzitten en die kwetsbaarheid zit dan in jou systeem of op jou netwerk. En dat gaat dan natuurlijk vooral om software-wetsbaarheden heet dus dingen waarvoor je gewoon een patch moet installeren op je eigen systeem. En het mooie dankbare voorbeeld daarvan is Loch Vierier is al weer een paar jaar oud. Loch Vierier was een situatie waarbij dat is een software-bibliotheek in de open source wereld en die werd door ontzettend veel software gebruikt. Want dat is een software-bibliotheek waarmee je heel makkelijk logboeken in je software kunt beheeren. Ja, je lijkt het wel eens met zout of met suiker begrijp. Ja. Ik kan je dat uitleggen. Precies, de suiker mee daarvoor is dat het soms echt verrassend is in hoeveel producten de suiker zit in wat je eten en soms staat het niet bij de ingedient. Maar dan is het vermond als gelukkogige stroop. En zo vonke mooie analogie die opkwam bij die Loch Vierier kreeg ze het overal in. Het zit overal in en het staat niet altijd op de verpakking. Ja. Dus want het is echt een klein software-bibliotheekje. Het werd beheerd door één persoon in de hoofdzaak. Dus er was echt maar één vrijwilliger die open source software hoofdzaakelijk onderhield. Over zwakketoeleveringsketen gesproken. Ja, precies. Ja, precies. En ja, je hebt het dus over één vrijwilliger van wie zoveel software in de wereld dus uiteindelijk afhankelijk was. Want het was een kritische kwetsbaarheid, waardoor er echt overal moest eerst nog gesocht worden van waar zit het nou eigenlijk allemaal in. Heb ik het ook draaien. Want je hebt het niet op je lijstje staan met je toeleveransiers. Waarschijnlijk, maar het zit toch nog echt ergens wel in. Dus dat was wel een wake-up-kool eigenlijk voor heel veel partijen. Dat daar. Ja, zo moest de opzoek gaan hij die verborgenzuikers eigenlijk in de systemen. En ik wam ze er achter waar het allemaal in werd gebruikt. Dus dan was ook een wake-up-kool voor heel veel organisaties. Van hebben we eigenlijk wel overzicht met wie we allemaal zaken doen, welke software er allemaal binnen onze organisatie draait. Dat was het onderliggende risico wat hij zaat bloot ligt. Is dat je dus inderdaad nog helemaal geen zicht hebt op wat je allemaal gebruikt en van wie? Ja. Welke les uit die log voor G-cases is het meest relevant voor organisaties die nu starten met zo'n overzicht van een toeleveransiersketen? Nou, voor het voor dat geval van die log VI-cases en waarbij je dus gaat om dat derde risico wat ik benoemde. Dus dat je de software binnenhaald die kwetsbaar kan zijn. Belangrijke les die we des tijdens hebben geleerd was dat je eigenlijk je software bill of materials op orde moet hebben en een software bill of materials of s-bom afgekoord. Dat is gewoon een inventarisatie van alle software die je gebruikt en wat daar dus ook allemaal in zit. Dus ook de toeleveransiers van de toeleveransiers en de bibliotheken van de bibliotheken die worden gebruikt. Dus dat is er een. Maar tegelijkertijd is het ook een les gewoon in de bredere zin van alle risico's in je toeleveransketen. Daar hebben mensen echt gewoon de les geleerd dat ze gewoon op al die gebieden dat overzicht nog helemaal niet hebben en hoe ontzettend belangrijk is het is om dat overzicht te hebben. Zo dat als er iets gebeurt als er een incident binnen komt dat je in ieder geval weet wat je moet doen. Zal nog steeds bij incidenten een beetje onder de druk moeten gebeuren wat je allemaal moet doen. Maar in ieder geval moet je niet die stap ervoor nog doen van die inventarisatie. Van hebben wij hier mee te maken. Zo ja waar en wanneer wat is er vanavanklijk. Dus dat overzicht hebben dat is echt het belangrijkste wat mensen geleerd hebben uit. Zij eigenlijk wel s-stap 1.0 voor. Ja precies. Ja. Nou heb het ook vaak over kronjewelen als het gaat over cyber security. Kun je uitleggen wat dat precies zijn? Ja kronjewelen dat is natuurlijk een metafoor voor het belangrijkste dat jij als organisatie in hand hebt. We spreken bij het NCSE graag van de te beschermen belangen van je organisatie, maar dat is een iets bredere term. Waarbij het bij de kronjewelen vooral gaat om dat ene he dat het allerbelangrijkste, maar in werkelijkheid heb je veel meer belangen om te beschermen dan alleen maar dat ene allerbelangrijkste. Dus nou ja je hebt natuurlijk gewoon je continuiteit als bedrijf. Je hebt een bepaalde dienst die jij aan jouw klanten levert. Dat is. Er zit een proces aanvast, dat is natuurlijk je kronjewel, je corebusiness. Nou daar zijn middelen voor nodig, mensen voor nodig, procesbeschrijvingen en zo voor het en al die beschrijvingen. En de ICT-middelen die je daarvoor gebruikt die dat doen ondersteunen, die horen bij dat ene kronjewel. Maar daarbij zeggen wij altijd van proberen een brede bekijkt, ik krijg niet alleen op dat ene kronjewel, maar op al je te beschermen belangen. Want bedenk bijvoorbeeld dat je salarisadministratie, je noemt het misschien niet je kronjewel, want je corebusiness is niet salarisadministratie, maar bedenk is wat er gebeurt als je geen salaris kan betalen. Ja, dat is vrij lastig. Ja, op een gegeven moment gaat je personeel toch staken. En dan komt je primae proces toch ook weer ingevaar. Ja, maar mogen pappen je dan wat zo'n kroon je wil is of zo. te beschermen belang. Wat als ik jou hoor, is het de essentie van je organisatie. Dus als we even terug aan de kaas hek, dan is het leveren van kaas aan supermarkten. Maar daar hangt dus heel veel nog omheen. Dus straks heb ik een enorme lijst aan kroonje wählen. En weet ik niet meer wat nu echt het allerbelangrijkst is. Hoe paasier ik dat dan? Ja, je krijgt inderdaad een enorme lijst aan. nou ja, in ieder geval te beschermen belanger. En daar wil je een prioritering aan moeten aangeven. Dus ja, je gaat op een gegeven mensen zeggen van ja, dat is echt het het kroonje wil. Dit zijn ook nog belangrijke armbanden en halskettingen. Dat zijn de kleine bedeltjes die je misschien. Die zijn minder belangrij. Minder belangrijk. Maar ja, je moet echt kijken naar een soort sortering in je te beschermen belanger. En dan kijken naar wat de risico's de dreigingen zijn op die belangen. Wat kan er allemaal missgaan? Op zijn beschuret die gebied. En afhankelijk van hoe zwaar zo'n belang is en hoe ernstig zo'n dreiging is, ja, dat product daarvan, dat is je risico uiteindelijk. En dat is dus ook daar blijken de grootste risico's uit. En dat zal de punten moeten zijn waar je als eerste op wil gaan focusen om als je je wereverheid wil gaan vroegen. Ja, en zit er een limite aan het aantal kroonjewelen? Kan je dat zeggen? Is er een top team die hij kan vaststellen? Kijk, er is geen harde limit natuurlijk. Ik kan niet voor een bedrijf zeggen, jij mag hem maar honderd hebben. Of je mag een, maar tien hebben of je mag hem maar één hebben. Dat is natuurlijk onrealistisch. Hoe groot je bedrijf, hoe meer te beschermen belangen, maar ik zou wel willen adviseren, probeer je wel eventjes op een topsoviel te focusen. En ik zeg niet top 3 tot 5 tot 10 wat dan ook, maar kies een top, ik kies zelf een getal voor die x en focus je daarop. En dan heb je het belang voor je eigen bedrijf. En waarschijnlijk ook het belang voor jouw klanten, want dat is meestal je primare proces is iets dat je voor je klanten doet en die betalen immers. Maar op het moment dat je die te beschermen belangen in kaart hebt, dan kun je ook gaan kijken naar je toeleveranciers. En van welke toeleveranciers jouw bedrijfprocessen dan het meest afhankelijk zijn. En ja, als je echt een excel sheet wil hebben met al je toeleveranciers en de toeleveranciers van de toeleveranciers, zeg maar tot de boerderij die de kaas levert voor de distribuurtuur en de koer die de melk geeft voor de kaas. Dat weet je wel dat die hele keten inzicht dat is een ongelovele complex landschap. En je kan er helemaal in verdrink om dat helemaal te gaan inventariseren, maar dan ben je nog niet begonnen met je werbaarheid op orde brengen. Dus daarom zou ik willen zeggen, begin gewoon even bij het begin, het allerbelangrijkste, hopelijk als je dat weet de identifiseren en en proberen eerst gewoon de scope daar even klein voor te houden, werk aan die werebaarheid, werk dan ook samen aan je toeleveranciers, de belangrijkste, toeleveranciers, voordat de beschermen belang en en dan als je dat op orde hebt, dan kun je door naar de volgende en de volgende en de volgende. Ja, en dan heb je uiteindelijk als nog een groot excel sheet. Uiteindelijk wordt het groot. Hoe groot er je bedrijf, hoe groot er de risico management uiteindelijk, want daar is het een onderdeel van natuurlijk het hele plaatje van risico management. En ja, ik heb we hebben geen truc om het klein te houden uiteindelijk, we zeggen wel als het klein beginnen, maar ja uiteindelijk veel je toch heel veel werk moeten verrichten om het allemaal op worden te krijgen. Ja, en dan even terug naar die dat leveranciers overzicht, hoe voor bent je dan die te beschermen belang aan je leveranciers, want je hebt risico's geïnventarisiert, je zegt nou, dit zijn mijn te beschermen belang, dit proces mag absoluut niet uitvallen op moment dat wij onder vuur liggen van cybercriminelen, maar ik ben ook afvangelijk van mijn leveranciers. Hoe verbind je die twee aan elkaar? Ja, dat is een belangrijke stap in die inventarisatie. Dus je in die inventarisatie kom je ook wat binnen je bedrijf allemaal wordt gebruikt voor dat belang, voor dat proces. En nou ja, als het gaat om alle ICT-middelen die je daarvoor nodig hebt, die ondersteunen alle data die je nodig hebt in het proces. Dus eigenlijk begin je vooral voor wat betreft de cybercriminen die risico's en de toeleveranciers daarin, begin je te kijken bij de data. Want als je een bakker bent, je primere proces is brood bakker, dat klink niet als een cybercriminen proces, klink niet heel erg als of je echt afhankelijk bent van data. Heb je meestal geen computers bij nodig? Nee, precies, maar je moet uiteindelijk toch wel je brood verkopen en die administratie daarvoor, die gegevens en de verkoopinformatie en gewoon je facturatie altijd soort dingen, dat is dus allemaal data waar je primere proces van een verhankelijk is. Dus kijk daar al zeerste naar, kijk naar op welke systemen al die data verwerkt wordt. En dan heb je dus de toeleveranciers van al die systemen en de cybercriminen risico's die daarbij kunnen komen kijken. En dan heb je vaak organisaties die dan denken van ja maar ik heb een mannetje daarvoor of ik heb dat uitbesteed. Hoe reageer je daarop? Ja, zeker de kleine reorganisaties voor hen is het in de data het makkelijk om gewoon even iemand te kennen die daar handigheid in heeft en zo. Ja, op een regereven moment moet je wat professionele daarin worden. Daar moet je wel een stap in maken en dat betekent dat je dus ook wat meer aan leveranciers management moet gaan doen en dat betekent een centraal punt waar je leveranciers in kaart zijn, een bepaalde afdeling en dan heb je dus dat wil je kopplen aan de inventaris van alles wat je hebt en dus ook voor je ICT-middelen het systeembeheer gewoon op orde niet meer een mannetje die gewoon effetjes bellen als er iets uitlicht maar een officieel vastgelegd procedure hoe dat allemaal moet verloopen en op die manier ja door dat centraal te organiseren op één plek te houden ook je administratie gewoon goed in de staf afdeling van je organisatie door dat goed te beleggen dan hou je daar zicht op en grip op. Ja en zijn er dan ook bijvoorbeeld standaard vragen die ze kunnen stellen aan leveranciers want ik kan bevors dat als je niet daagdig speesig bent met cyber security met data beveiliging dat dat lastig is om dat gesprek aan te gaan is zijn er dan goeie vragen die een bakker een kaas leverancier kan stellen aan zijn of haar software leverancier. Ja als je er zelf helemaal geen verstand van hebt in houdelijk dan dan kunnen natuurlijk moeilijk echt op doorvragen maar dan zijn de eerste vragen zijn dan bijvoorbeeld om te kijken naar zetificering hebben zijn ISO 27.000 en zetificering bijvoorbeeld dat is dat is een regelijk klaartrempelige vraag om het zomaar te zeggen waarop een leverancier na als ze niet gecertificeren zijn dan wordt het antwoord ingewikkelder maar als ze dat wel zijn dan heb je in ieder geval een zeker gevoel van een basis nou willen zo dat een ISO 27.000 een zetificering nog echt niet alles zegt maar het willen in ieder geval wel zeggen dat ze een proces voor cyber security hebben en dat als er problemen zijn dat ze dat dan proces maatig ook kunnen aanvliegen en oplossen en nou ja het is een basis in ieder geval en het kan ook zijn dat een zetificering bedrijf zelfs alles helemaal op orde heeft want zo breed kan die standaard wel zijn maar de zetificering wil nog niet zeggen dat iedereen echt alles in het maximale heeft heeft uitgerust maar dat is waar ik dan meezo op begin. Als je een stapje volwassener bent en zelf al een beetje weet dan kun je natuurlijk daarop een beetje gaan doorvragen en misschien over specifieke dingen specifieke diensten die je afneemt je kunt risico's met zich aan bespreken zofam wat doen jullie voor het geval dat en wat zouden gebeuren als dit voordat gebeurt en dan kun je die risico's die jij inventariseren voor jou organisatie kun je ook aan je leveranciër voorleggen wat gebeurt er als jullie door rendsumwer worden getroffen hoe lang kun jullie nog blijven leveren ligt het meteensteel wie heeft toegang tot welke data heb je jullie wel alle data van mij nodig om hele goede vragen inderdaad in de stroom leveranciër daar dan verplicht op te antwoorden nou ja dat is een onderdeel van je onderhandeling eigenlijk met de contractuele afspraken die je met de leveranciën maakt en dan als je nu net een vers contract hebt voor 4 jaar dan willen ze natuurlijk niet tussen tijds ineens die onderhandelingen openbreken denk ik dus dan blijft het bij informeel vragen stellen maar een goede account manager van zo'n leveranciën die wil natuurlijk ook heus wel daarbij helpen want die willen jou gewoon als klant hopelijk te vreden houden en ook na die 4 jaar weer een nieuw contract maar op het moment dat je in een contract vernieuwen zit dan heb je de kans om dingen ook zwarte witte krijgen om afspraken vast te leggen dat we dat je met een leveranciën gaat af spreken van ok je mag maximaal zoveel ure per jaar en maximaal zo veel uur daarvan achter elkaar in de op 1 dag. En dan kun je wat meer prestatie afspraken maken met wat je vanser verwacht. En op het moment dat je zwart op wit hebt staan wat je vanser verwacht, de voelen zij ook iets meer stok achter de deur van 'ok, daar moeten we dit een dat voorop oorde hebben'. En dan gaat dat balletje ook weer rollen. Ja, en dan heb je ook een bepaalde informatieverplichting naar elkaar. En het moment dat een partij is gehekt, dat je dat moet delen met je lefrassierse keten. Ja, dat zijn ook zeker afspraken laten zijn, onder de laten zijn van de afspraken. Dat je in de daad elkaar informeert. En ja, dat is ook zeker op het moment dat er iets gebeurt. Dat kan altijd, maar reageren op incidenten en daar goed over communiceren. Dat is echt cruciaal om de verstandighouding goed te houden tussen al je klanten en leveranciers. Ja, en zodat jij als organisatie ook direct maatregelen kan nemen, moet één van je leveranciers gehekt zijn. Precies, precies. Als je eenmaal weet wat er aan de hand is, en het is misschien, kun je daar door beter in inschatting maken, hoe lang het ongeveer gaat duren en dan kun je rekening mee houden in je eigen procedures. En dan kun je misschien naar jouw klanten ook weer duidelijkheid geven. En je zult er ook over na moeten denken. Hopelijk van tevoren niet op het moment dat het gebeurt, maar kan ik ook voor mezelf een bekeuwebregelen. Heb ik een andere leverancier die dat ook eventjes in een spoedgeval kan leveren. Of heb ik zelf nog iets in een kast liggen of toch nog even zo'n handige hurrie die ik even kan bellen om dat te regelen. Dat is op zich, zou daar niet van afhankelijk willen zijn, maar op het moment dat je iets nodig hebt, dan is zo'n oplossing soms beter dan niks natuurlijk. Maar je wilt dat soort dingen gewoon in je draaiboeken, in je proceduris, in je afspraken, zwart op wit hebben staan, zodat als er iets gebeurt dat je snel duidelijkheid hebt en snel door kunt met je plannen. Ja, dat is een sucruciële, in je bedrijfse verleening, dat je snel door kan ook in het geval van een cyberafval. Wat ze jij nog als veel voorkomende uitdagingen als het gaat, die toeleveringsketen en het beveiliger daarvan? Wat ik zie is dat veel organisaties wel min of meer weten wie de belangrijkste toeleveranciers zijn, maar toch nog niet altijd die afspraken met ze hebben gemaakt in een contract of in een SLA. SLA is een service level agreement, ja. Aan de service level agreement, dus dat is onderdeel daar staan je afspraken in van wat je van iemand verwacht. Het gaat met name nog veel mis in het op papier hebben van die afspraken. Het duidelijk communiceren wat voor jou als klant een risico is. En wat je wil dat de leverancier doet op het moment dat er iets mis gaat. En ja, dat is het in kaart hebben van de leveranciers dat weten veel organisaties sommige hebben, het echt in orte in leveranciersmanagements, andere weten het ook wel instinctief. En dat is op zich nog niet erg als je een kleine organisatie bent, dat je paar van die dingen wel uit je hoofd weet, kan wel aanbevelen om het uiteindelijk vast te gaan leggen, want voor je het weet groeien te veel en er wordt het niet beheersbaar. Maar het maken van die afspraken, dat is echt nog een punt waar het in op heel veel plaatsen nog niet helemaal goed gaat. Nee, en het maak van afspraken het stellen van vragen. Naag gaat of ze een risico certiseren of een nens certisering hebben, dat ze allemaal stappen die ondernemers en organisaties kunnen doen, om te kijken hoe superveilig hun toelevanciersketen is. Ja, precies. Nou, hartstikke mooie coon. Ik denk dat wij goed begint hebben gemaakt met deze eerste podcast. De keten in zicht. Belangrijkste onderdelen waren het tuurlijk, het kaart brengen van je te beschermen belangen, ook wel kronjewelijden genoemd, zorg dat je dat inzichtelijk hebt, zorg dat je vragen stelt en je toelevanciersketen, zorg dat je afspraken, oppapier heb gezet over wat zij doen en wat jij kan doen op opalement dat een organisatie onbevuur ligt of te maken heeft met een cyberaanval. Ah, man, mooie, echt goede. Die jij denk, ik waar we allemaal mee aan, die slagmoeit te gaan. Veel inderdaad, en wil je meer weten, kijk dan op versterken cyberweerbaarheid.nl of op de website van het National Cybersecurity Center en CSC.nl. Bedankt coon voor de delen van jouw expertise. We horen jou terug in de volgende afleveringen. Dit was aflevering één van de keten in zicht. De volgende aflevering gaan we praten met de Siso van de NS Dimitri van Zandvlieg over geopolitik en risico's en ketenweerbaarheid.