Stap 3: Het verhogen van de weerbaarheid van de keten

Ja, en dan stel je soms in ieder geval een moeilijke vraag. Dan moet je dan met elkaar over een ingesprek. Maar uiteindelijk heb je een gezamenlijk doel en een gezamenlijk belang. Dat is altijd de basis van een goed gesprek. Welkom bij de Keaton in Zicht. De podcast over het creëren van GIP op digitale toelefrancieers. Je bent afhankelijker van andere dan je denkt. En één zwaakke digitale schakel kan je hele organisatie stil leggen. Hoe herken je zwaakkeschakels voor dat ze schade veroorzaken? Mijn naam is Lucinda Sterk en dit is de Keaton in Zicht. Welkom bij Aflevering3. Vandaag praten we over maatregelen om de werperheid van de toelefrancieers-ketenten te verhoogigen. En de dood niet alleen. Dat doe ik met Sven Bastianen, het of IT van Eindhoven Airport. En weet erom met coonsan Prinkseur, adviseur Cybersecurity van het National Cybersecurity Center. Welkom bij de. -Dank je wel. -Hai. Sven, ik begin bij jou, Hede of IT van Eindhoven Airport. Ik kan me voorstellen dat jullie een enorme Keaton hebben aan toelefrancieers. Kan je iets vertellen over hoe dat eruit ziet bij jullie? Ja, zeker. Nou, het begint natuurlijk Eindhoven Airport, dus de tweede luchttaven van Nederland. Zeven miljoen passagiers bijna die we per jaar vervoeren. Dat betekent zo'n vijf tot nog duizend man op een peakdag. En je hebt de luchtvaartis bij je uitstekker in sector die zich diepeer door een enorme Keaton aan partijen. En dat zijn ook niet alleen maar toelefrancieers, maar dat zijn ook Keaton partners die niet zo zeer als een levens hierop tegen. Maar waar je wel van afhankelijk bent in jouw processen. En dat is een hele mooie sector om in te werken, maar dat gaat dus ook heel veel over samenwerking. Met elkaar goed weten waar het voldoet. Ja. Nou, als Hede of IT. houd ik me dus vooral bezig met de automatiseringen in al die bedrijfsprocesse. En in de systeemen die wij leveren voor de mensen die uiteindelijk het werk doen zoals grondafhandelare bevahringspecioneel. En allerlei andere partijen die nog ook nodig zijn in dat proces. Ja, en als eindhoven Airport natuurlijk een hele bijzondere luchtvaven. Want je liek combineren zowel civiel als militaire. Ja, klopt. Ja, dat is niet iedereen weet dat, maar wij zijn in dat dan zo genaamd een civiele medige gebruiker van een militaire verliegbasis. Ja, dat geeft wel een bijzondere combinatie. Dat houdt in dat er bepaalde diensverleningen die typisch gezien wel in een luchtvaartorganisatie aantreft. Dat je die niet bij eindhoven Airport aantreft, maar dat dat in een daad iets is wat bij de fansje ligt. En waar wij dan zogen aan de medige gebruiker van zijn. En in de zijds levert dat een hele compacte organisatie bij eindhoven Airport op. Anderzijds leeft het ook wat complexiteit op. Soms moeten we toch met de fansje echt onder tafel om. Nou, we pagerden nieuwe zaken te realiseren en is dat wat lastiger dan wanneer een traditionele luchtvaart of luchtvavenorganisatie bent. Maar ook om het brugje te maken, toch, waar we het vandaag over gaan hebben. In het Tsarbe de Maan geeft het soms ook nog wel wat extra dimensies. En het niet kun je bijvoorbeeld voorstellen dat een buitenlandse actorm misschien helemaal niet het verschil weet. Dus vliegbasis eindhoven en eindhoven Airport. Wat soms ook nog wel is ontvroopt, er is het deert in dat je het target bent van iets waar je eigenlijk helemaal niet target van hoeft te zijn. Ja, dat ben je collecte-ro-dammage van een aafval op de andere kant van de luchtvaart. Ja, precies, zoals je dan kunnen zien. Nou, dat geeft een interessant speelveeld. Ja, dat kan ik bijvoorbeeld stellen. Met hoeveel mensen werken je eigenlijk zo basis? Nou, eindhoven Airport is 85 mensen. Dat is echt heel complex. -Ja, heel klein. Ja, en mijn team, dat zijn er 10. Maar in totaal werkt er ongeveer 1800 man op eindhoven Airport om eigenlijk te gelen, zoveelige deel van de luchtvaart, ook een dag te organiseren en waar te maken. Ja, en ja, ben eigenlijk op dagelijkse basis bezig met die leveranciersketen, met die keten in de risico's. Wat vind jij de meest underschatte basismaatregel eigenlijk? Ja, wat ik wel aangevoud de luchtvaart die peert zich heel erg door zoveel toelevenzies, maar ook andere bedrijven die gewoon hun eigen rol hebben in die luchtvaartprocesse. En niet overal ligt een contract aan het erglonslag. Maar je moet wel heel goed met elkaar weten wie welke verantwoordelijkheid pakt. En dat betekent ook dat je moet gaan praten en oefenen en heel preventief met elkaar aan het slag moet gaan. En dat niet aan het toe van moet over laten. En die contacten liggen er soms niet heel van zelfs breken, dan moet je echt voorwerken. Of dat nou met een luchtvaartkeersliding Nederland is, die wat verder weg zit voor ons. Of dat met airlines is, dat is met alle partijen die hun rol hebben. Ja, vaak moet jij dan de eerste stap zetten, omdat contacten leggen. Ja, zeker als je kijkt naar de ambitie die we hebben op cyber, dan durf ik wel te zeggen dat we in de luchtvaartgemen daar best vooruit streven zijn en dat we de lat hoog leggen. En dat die lat soms nog niet zo hoog ligt bij toelevenanciers of bij andere partijen in de keten. En dan stel je soms in ieder instance even moeilijk vragen. En dan moet je dan met elkaar over in gesprek. Maar uiteindelijk heb je een gezamenlijk doel en een gezamenlijk belang en dat is altijd de basis van een goed gesprek. Ja, en coen, wat vind jij de meest underschatten basismaatregelen? Nou, ik ben het wel eens met wat Sven zegt. Want bij basismaatregelen denken veel mensen meteen aan Odin, doen we sterke authenticaatie, doen we een werendestreeding voor onze mensen, dan moeten we ons petjes op tijd installeren, weet je wel, dan zijn we er wel. Maar er zit echt nog iets voor en achter die eenvoudige maatregelen, die technisch maatregelen. En wat er dus vooraf zit, nou, wat Sven heel goed zegt is dat je te maken hebt met gewoon de hele inventarisatie überhaupt van wat zijn risco's en het gesprek aangaan met al die partijen over wat voor risico's je ziet en wat je van elkaar verwacht en dat je gewoon een goede inventarisatie hebt van wie je allemaal afhankelijk bent op dat moment. En ja, er zijn altijd nog wat situaties denkbaar dat je dat niet altijd helemaal in de smis hebt, dan staat er ergens onder een bureau, staat er ook nog ergens een computer, dat je de draaien wat ooit een project was van een stijzer. En er blijkt ineens een system op de draaien dat waar heel langzaam er aan de hele organisatie van afhankelijk is geworden, omdat het zo handig systeem is, dat noemen we dan de schaduw-it, dat valt ineens helemaal buiten, je beheerde organisatie, buiten je leveranciersmanagement. En dat is dan en die stijzer die je natuurlijk ook al lang vertrokken, dus dat is een risico wat je loopt als je dat overzicht gewoon niet goed hebt. En tegelijkertijd heb je ook aan de achterkant, nadat je al je maatregelen hebt genomen, nadat je met iedereen hebt gesproken en je beleid je risico's alles op orde, ook dan ja, aan de 100 procent veiligheid zit je niet, dus je moet er als nog rekening mee houden met dat het er weer mis kan gaan, en dus moet je ook weten wat je moet doen als het mis gaat. Dus daar moet je draaiboeken voor, je responsplannen moet je wel klaar hebben ligt in de kasten, en je moet er zo kweten, wie kan ik bellen in die situatie en met wie moet ik wat regelen om. Nou ja, daar heb je scenario's voor, die kan je obaazen van je risico's van het voor heeft, je zou uitdenken. En obaazen van die scenario's kun je planen klaar hebben liggen, en dan is ook nog nuttig om die planen ook nog eens een keer te oefenen af en toe, he? Ja. - Dat is wel heel handig in de datse core, ja eigenlijk twee dingen zeggen, is, nou ja, invitarisier, aardriedingen, invitarisier, je leveranciers en je software en hardware, waar je in huis hebt en met wie je zaken doet. Ik bekijk ook of je schaduw IT hebt van die ene stageer, en oefen ook met scenario's. Is dat iets waar jij je in haar kent, Sven? Ja, zeker. En ik denk, Palshuis gaat oefenen, ga je niet meer in de teoretische kaal erb denken, maar ga je echt praktisch nadenken, vind je dat wat gebeurt er nou eigenlijk echt? Zeker in de luchtvaart zeggen we wel, als het system uitvalt, dan gaan we gewoon over op een matig. Ja. Maar welke handjes ga je waarvan naanhalen? En dus, ja, als je echt gaat oefenen en echt gaat door leven met elkaar, dan ga je Palshuis echt realiseerden van, oeh, ik ben misschien toch wel meer afhankelijk van dit digitale systeem dan ik dacht. En nou, dan heb je je risico te pakken, denk ik. En doel je dat vaak bij eindhoven Airport oefenen? Ja, zeker. Continue. En met continu bedoel ik dat is niet iets van nou, we gaan 1 keer per jaar even wat oefenen, want dan hebben we ons vinkje gezet. Nee, met continu bezig met insenadios denken, vanuit het hoofd van een actoor denken, maar ook vooral vanuit het oogment van continuiteit denken. Ja, hoe belangrijk is ook systeem nou in elk proces? En vooral ook die de olisische kijk daarop pakken van, 'Hee, dit systeemje, als dat omvalt, oké, dat krijg ik wel recht, maar wat als dat gebeurt in combinatie met iets anders?' En het is toch uiteindelijk het hele proces wat moet werken. En ja, dan kun je gewoon wel je koffer kunnen afgeven, maar op mannetjaan niet door het securedychecken, om dan houdt het ook op. Dan kom je uiterlijk niet in dat vliegtuig. En dat hele proces moet draaien. Zijken mooie analogie, die luchtvaart kijk. Keten, ook hoe afhankelijk je bent van al die verschillende kleine stukjes, net als in de hele luchtvaartsector, waar je dus al die leveranciers en al die partners hebt, waar je van afhankelijk bent. Wat zijn voorzij de grootste uitdagingen als het gaat om het vroge van de werbaarheid van je organisatie? Is dat het meekrijgen van je personeel, is dat het organiseren van oefeningen? Het meekrijgen van personeel is in onze sector niet zo'n issue, omdat we al heel erg op beveiliging en veiligheid gerecht zijn. Van oud her is de luchtvaart natuurlijk getipiert door. Waar wij wel, naast soms wat extra ene zier moeten stoppen, is wat ik eerder al noemen het niveau van cyberweerbaarheid, wat we naast leven, omdat niveau ook voor elkaar het krijgen bij leveranciers. Dat vergt een bepaalde verwassij, dat vergt ook een bepaalde organisatie, misschien zoals een bepaalde omvang van een organisatie bij leveranciers. Maar primär gewoon dat die gene het belang van werbaarheid net zo in ziet als jij. Dat geeft soms wel wat uitdaging om die leveranciers op het niveau te krijgen waar jij wilt hebben. Hoe ze jij dat zo kon? Ja, wij zijn soms wel een beetje jaluers op de luchtvaartindustrie, hoe goed die in ieder geval fizieke veiligheid daar al in dat personeel zit. Want ik merk dat heel veel andere sectoren dat nog echt wel als een uitdaging zien om inderdaad je personeel mee te krijgen om die veiligheidscultuur te creëren. Dat mensen bereidheid hebben om te melden als riet miss gaat. Veel mensen zijn toch nog een beetje bang, zoals ik op een link heb geklikt in een e-mail. Dan. Nou ja, dan. Vindt het hele organisatie bedoon? Ja, dan vindt de organisatie bedoon, wordt er met een vingertje geswaaid. En dan heb ik het fout gedaan en dan wordt de schade van mijn salaris ingehouden wat er ook weet je wel. En je wil een veiligheidscultuur creëren waarbij je zoiets niet traft, maar gewoon een bloemje geeft van wat vervelend dat je is overkom. En dat is echt nog heel vaak wel een uitdaging om die bereidheid bij je personeel te krijgen dat ze mee willen werken aan die veilige cultuur. Ja, misschien kleine anecdote, maar zullen we eens waar ik er ligt tot zo ben. De afgelopen twee fishing testen die wij in Turn hebben gedaan. Daar zijn er absolute mensen die wel klikken. Maar wij wij wel twee keer en honderd procent koren gehad op de mensen die binnen een kwartier bij ons aan het beroostonden met volgens mij heb ik iets dons gedaan. En dat is precies wat je wil. Het is niet erg dat je een fout maakt, want we blijven allemaal mensen, maar mensen trainen dat. omdat haar kennen van 'Oei volgens mij is het goed om hier heel even overleggen over te plegen, om hier heel even iemand over te klankborden'. Dat is de cultuur die je wil kreeren en ik ben met je eens, ik denk dat wij daar in de luchtvaart een beetje bevorderigd zijn om dat we daar om een bepaalde mindset en cultuur hebben. Ja, dat merk je natuurlijk ook gewoon, dus je zelf gaat vliegen dat je continu wordt overspont met al die 17 security measures van 'mind to your step' tot die hun hangtje luchtmasker. En dit is wat je moet doen daar zijn in de exit. Dus wat dat betreft zijn natuurlijk gewoon echt wel een voorbeeld denk ik voor veel andere sectoren. Hoe verklijden jij die bereidheid van jouw mensen dat ze dit gaan melden? Is dat echt luchtvaartsector of heeft dat ook te maken met de interne cultuur bij jullie? Er is een zeker luchtvaartsector, maar ik denk ook zeker dat het in ons geval al je er geloof dat we een heel compact en klein bedrijf zijn. Zomens wordt wel zelfs gezegd dat we een familieër bedrijf zijn. Ja, dan is het al veel makkelijker om die voorwaard te creëren dat mensen er een dat open en transparent zijn over een acties. Maar ik denk zeker, gewoon met elkaar, zou je security als een open besprekbaar onderwerp zien en niet als een set van regels. Dat dat een heel belangrijk verschillende uitgangspunten zijn en hoe je het onderwerp naar het en ga je het als regels benaderen, dan heb je de typische reactie van mensen die er ovomheen gaan werken of er niet over willen praten. Als je het gewoon als een besprekbaar onderwerp maakt, dan komt het sprek van zelf. Ja, en is dat ook iets wat jij meenemt in de afspraken die je maakt met je toelefrancier ze van meld het afsplieft als er een incident is? Zat dat in jouw SLA? Zat zeker in ons SLA. We maken hele duidelijke afspraken over meldingen. Ook over meldingen die mogelijk bij een leveranciër zegt afspelen. En waarvan er nog twijfelachtig is of die u behoud wel of geen impact hebben op ons. Ook dat wil we weten. Maar ik denk dat het veel belangrijker is dat dat regels in tekst niet in een contract staat, die moet je wel staan. Maar dat het nog veel belangrijker is dat je met elkaar die relatie hebt gebouwd aan de voorkant. Dat je met elkaar het sprek dan ook gaat voeren. Ook een moment dat er misschien iets speelt en dat een leveranciër de vrijheid voelt om zich wel op te stellen. Van he, misschien is er iets aan de hand. Want dan kun je samen gaan contenen of dan kun je samen conclere dat er helemaal niet zo heel veel aan de hand is. En die culturekrieger in je eigen organisatie is nog veel makkelijker dan die culturekrieger met je toelevanciën. Want dan is het toch vaak een commercial belang ook wat er onder ligt. Er is een repetatiepunt wat onderhoek om te kijken. Dus ja, ook daar moet je echt in investeren. Dat begint er mij ook met de alnaken uit steken om het sprek aan te gaan. En ja, je allebei kwetsbeel opstellen in dat gesprek. Heb jij daar nog tips voor vanuit dat ze nasiaberskeurtecentrum? Hoe ga je zo gesprek dan aan? Ik kom ervoorstellen dat een toelevroceer denkt, ja, maar hier heb je mijn standaardse pakketje. Doe het er mee? Ja, ja. Het is een beetje wel afhankelijk van hoe je relatief precies is. Want als je een relatief klein klantje bent bij een grote partij, dan kun je helaas niet zo heel veel maatwerken vragen. Dus ja, je moet helaas wel een beetje je positie kennen daarin. Maar je mag heus wel vragen stellen natuurlijk. En op een zeker oogblik wil je wel. Nou ja, uiteindelijk gewoon als je een harde ijs hebt voor jezelf, dat je echt zeg van nou dit wil ik van mijn leveranciër. En die leveranciër kan dat toch echt niet bieden of die zeggen, nee, we gaan dat niet als maatwerk voor jullie alleen doen want dat doen we voor niemand. Ja, misschien moet je dan toch op zoek naar een andere leveranciër. En uiteindelijk willen zij jouw astrale klant hopelijk niet wijd. En dan kunnen mensen toch kijken wat ze voor je zouden willen doen. Of je kunt kijken hoe je bijvoorbeeld met andere afnemen de partijen kunt samenwerken om. als groep dat gesprek aan te gaan met een leveranciër. Om dan te kijken of je met ze alle een bepaalde wijzig in kunt bewerkstellen. Ja, is dat ook iets wat jullie als luchtvaartsector dan doen gezamenlijk of maak je echt als eind of Airport afzonderlijk met al je leveranciers afspraken? Wesseld, perdonmijn, we zijn natuurlijk onderdeel van Schipelgroep. We zijn ook zeker bepaalde inkopen die we gezamenlijk doen. En dat kan zeker voordelen hebben aan de onderhandelingstaaf om het zo te noemen. Want ja, het is logisch als jij een kleine klant bent dan gaat je impact en je invloed op het product beperkt zijn. Maar ik denk aan de andere kant dat het ook weer toch ook bij jezelf begint met jou hoe belangrijk vind je cyber security. En het eindelijk is alles een afweging. En is alles ook een risico-afweging. In mijn ogen begint een eindig toch alles gewoon met risico's. Maar ben je in een daad bereid om dan een product niet te serupteren of om na afscheid van te nemen, omdat het gewoon niet meer voldoet? Ja, dat kan. En wat natuurlijk helpt is bijvoorbeeld de komst van een NIST2, waarin we ook gewoon via de wetgeven de kant. Toch gewoon gaan forceren dat die toelevenketen zich ook gaat organiseren. En dat die cyberweerbeheids niet eindigt bij dat ene vitale bedrijf. Maar ook bij die hede keten die ervoor een achter zit. Maar wetgeving is één. En dat is niet altijd het middel. Maar het is nu wel weer een extra haakje om het gesprek makkelijker te maken om uiteindelijk die weerbeheids te voog en om mepaalde eisen te mogen stellen. Ja, want dat is die cyberbeveiligingswetta die daar aanziet te komen. Daar alleen van Europese Rigleind en NIST2, waarin je dus eigenlijk die toelevenkenten veiliger maakt door bedrijven die ook leveren aan vitale sectoren. Die moeten dus ook een bepaalde cyberskuurt die eisen voldoen. En hoe gaat dit jullie dan precies helpen? Nou, het helpt zo zo dat je een wetgeving character kunt toevogen aan de eisen die je stelt. Maar wat ook al nu gebeurt met de cyberweerbeveiligingswet, dat de toelevenkenten zelf ook aangewezen wordt als asaceredienst. Dus een ieddienstverlener die in de oude wetgeving waar wij ondervallen, de WB&E, de voordoeken van de CWW, waarin we het niet meer doen. Dat geval wij alleen als luchthaven, organisatie en kern luchthaven partijen als vitaal zijn bestempeld. Het wordt nu ook bijvoorbeeld een IT-dienstverlener die meer dan experts, persoon in Dienstevd als vitaal of als associërredienst aangemerkt. En dat helpt, want dat maakt het makkelijker om leven van stieze en producten te selectoren die voor jou voldoen. En maakt het gesprek ook makkelijker om iemand overtuigen dat die misschien een product om een palme neem moet ontwikkelen om wat extra veiligheidsmaatregelen daarin te treffen. Ja, dus dat is eigenlijk wordt de hele keten dus veiliger, hierdoor. Dat is wel wat ik verwacht. Ja, en wat jij ook verwacht denk ik verduit het cybercentre. Ja zeker, dat ook, ik wil, ja. Ja, ja. Nou, ik kan me voorstellen dat jullie bij eindhoven Airport niet alleen maar IT hebben, maar ook heel veel opraajtionele technologie. Hoe ga je jullie daarmee om? Ja, leuk onderwerp, want ja, de OT-weerold kenmerkt zich door sowieso op racinele afhankelijkheden. Dus het zit heel vaak in iedstige proces. Maar het heeft vaak ook een hele andere ritme, kwaal lifesaal-commanagement. Het heeft ook een heel andere aard van hoe systemen ontworpen opgezet zijn. Ik wil wel security by design en term die veel wordt genoemd tegenwoordig. Dat een type of IT-system is niet ontworpen vanuit security by design. Dat is gewoon heel functieel ontworpen. Het moet snel, het moet betrouwbaar zijn. En dat geeft vrijving inzietzeker in het hoek van Levenastie, die OT-leveren is dat je soms met moeilijke vragen of met moeilijke eisen komt. Als je daarop al de saberweberhijs eisen opprojecteert. En die hangen dan vaak nog aan het internet ook? Nou, dat valt mee, dat valt mee. Maar ja, je kunt je voorstellen ook in de luchtvaart dat zijn weerldweideren systemen die met elkaar moeten platen. Dus er is ergens een ingang en die moet je extra goed in de gaten worden. Ja, daar vertrouwen we dan weer op van het zog dat dat gebeurt. Danast hebben we het ook gehad over het vertrouwen in elkaar in de leveranciers, in de partners in de keten. Het zit er ook nog een. Het welke info, deel je dan eigenlijk wel en welke niets. Zit er dan nog een discussiepunt in waar vind ik nou, dit kan ik echt niet delen. Kijk, er is sowieso. Soms mag je gewoon iets niet delen. We hebben een hele mooie TLP-stoplicht meturdiek daar heb je gewoon aan te houden. Maar die staat ook heel veel toe. En ik denk dat dat mensen soms ook onderschatten. Als het voor jouw van belang is, voor jouw veiligheid en weerbeid van belang is, dat een mepaald persoon bij die leverancier er gewoon van afweid. Of een niervulde van afweid dat je met die persoon even overleg kunt plegen. Dan moet je dat in mij nog gedun. Want dan komt het ook gewoon op jouw weerbeheid meer. En wij delen daarom prooactief best veel. Op alle vlakken, ook als we niet in zeker weten of die leverancieren voor die persoon relevant is, voor die partij. Maar alleen kun je het niet, het luchtvaartproces. Dus wij zijn per definitie delen we wel. Het is eigenlijk bij uitscholing dat we niet delen. Ja. Daar gaan we erover een exit plan. Coen, wat is dat precies? Ja, een exit strategie. Dat is er ook in de daad wel een belangrijke. Die je eigenlijk gewoon vooraf als je met de nieuwe leverancieren in zee gaat, moet je eigenlijk ook al planen maken voor hoe je afscheid gaat nemen van die leverancier. En niet dat je er vanuit gaat dat het gebeurt, maar het kan altijd. Je wil zo'n leverancier graag voor de lange termijn. Maar ja, er kan altijd een omstandighet ontstaan, waardoor je denkt, we verleng het contract het eigenlijk niet meer. Kan altijd uitlopen op bescheiding. Precies? Ja, en daar kun je maar beter op voorbereid zijn. En dat doe je met een goede exit strategie. Dus wat daarin staat is hoe je afscheid neemt van die leverancier. En hoe dan die leverancier dat gene wat bij die dienstverlening hoort. En jou kan overdragen, zodat je dat weer kan meenemen naar je volgende leverancier. Dus die. Nou, als een leverancier heel veel data verwerkt die van jou is. De cloud is natuurlijk een van de meest gebruikte voorbeelden en waarbij een exit strategie ook heel belangrijk is. In de cloud sla je allemaal data op. En als je niks erover geregeld hebt, of je exit strategie in je zegt van "ok, tabé, cloud leverancier, we gaan naar een ander." De moet je voor het einde van het contract zelf eventjes al je data dus nou uit downloaden en het eventijdelijk ergens op slaan. En dan weer naar de nieuwe leverancier overbrengen en dat kost een hoopwerk, hoop gedoe, hoop risico op fouten. Dus je wilt dat er een asprak is met als het contract beendige, dan kan de cloud leverancier het in deze vorm. Mijn data teruggeven of eventueel gewoon na het loos over het dragen aan de volgende leverancier. Dat dat gewoon echt die data portabiliteit zoals we dat dan noemen, dus het overdraagbaar zijn van data. Dat dat goed van tevoren is ingeregeld. Want als je een maand voor je schijding dan zegt van "oh dat dit willen we trouwen eens wel" als voorwaarde nog. Dan zegt de leverancier misschien van "ja dit hadden we van tevoren moeten regelen" niet. Dat kan niet nu in de laatste maat nog eventjes. En welke rol speel je geopolitiek risico's in wat we over het heel veel klaot, soevrijniteit, welke rol speelt dat? Ja, geopolitiek is daarbij ook een risico en daarbij heb je misschien ook te maken met dat leveranciers uit bepaalde landen en dan zitten er echt gewoon ineens om politiekerreden van bovenaf een harde knip op die diensverlening. Dus ook daar moet je op voorbereid zijn. En nou is het niet zo dat voor iedereen het risico voor de deur staat dat na Microsoft er ineens meestopt. En dat al je Windows licenties worden ingetrokken. En je hebt ineens gewerkt zoals we ons meer, dat is best unrealistisch. Sommige mensen maak je nog wel eens een beetje bang met hoe het Amerikaanse regime er misschien voor staat. En dat als wij als Nederland iets doen wat de president niet bevalt dat ze dan met een handtekening kunnen ze die sangstie opleggen. Nou ja, het klinkt eng, maar het is niet perselrelistisch en het is natuurlijk ook. Ja, eigenlijk gewoon een te groot ding om dan zelf op voorbereid te moeten zijn. Hij dan afwast allemaal werkstations met Linux klaar zetten en al je gebruikers erop getreend hebben. Ik weet het niet, laat het zwemd vragen. Zet u er al Linux stationst klaar? Hoe ga je jullie om met die geopolitiek risico's? We denken er zeker over na. Zeker als we een nieuwe spullen kopen dan neem je het mee. Maar het is gewoon een van de risico's en ik denk dat dat er daarmee ook een zometwet wat Koen zegt. Maak het niet kleiner dan dat het is en maak het ook niet groter dan dat het is. En kijk ook specifiek naar jouw afhankelijkheid van die bepaalde diensverlening. Maar kijk ook naar alternatieve en besprekend te eens op verschillende niveau's in de organisatie, want wat vinden we hier uit van? En daar zal je verschillende antwoorden krijgen. Maar heel principiel in deze wedstrijd gaan staan dat gaat je volgens mij niet veel brengen. We zijn niet alles nu versnelt aan het migreren, maar we denken er zeker over naast het nieuwe stelker. Ja, het wil rekeningen er daarmee met bepaalde risico's. En kijk een al zo'n goede Europese alternatieve zijn dan hebben we die per definitie die voorkeur. Maar feit is dat er op bepaalde vlakken nog gewoon niet voldoende Europese alternatieve aanwezig zijn of goed die van goed genoeg kwaliteit zijn. En ik denk dat daar een groot deel van de oppelsing ligt. En daar moeten we hard aan gaan werken dat we gewoon goede Europese diensverlening op gaan tagen. En dat we daar misschien nog wat incentes voor haarregelen. Maar dat moet allemaal op een hoge niveau gerecht worden dan in je eigen organisatie. Ja, bijvoorbeeld in een Isaac. Nou, bijvoorbeeld een Isaac. En dan even koen wat is een Isaac? Ja, Isaac, dat is een informatie sharing en analysis center. En dat is een doorgaans een sectoral georganiseerd samenwerking verbond. Dus waar partijen die mogelijk concurrenten zijn. Maar in dezelfde sector werken die kunnen wij elkaar komen. En informatie met elkaar uitwisselen over problemen waar je tegenaan loopt, incidenten die er spelen, al dat soort dingen. En daar wij als NCC adviseren altijd om met je ook een benien concurrenten. Maar met je concurrenten eigenlijk af te spreken van op veiligheid gaan we niet concurrenteren. Op veiligheid gaan we met elkaar samen werken. Want dat is niet een punt waarop je beter wil zijn dan de ander of zo. Want op het moment dat je in je zeker als je richting je klanten gaat uitdraag van wij zijn. veiliger dan die, dan wil de concurrent wil ook weer zeggen ja maar wij zijn nog veiliger want dit en dat en enzovoort. Maar dan krijg je eigenlijk een soort wettloop die alleen maar schadelijker is voor het vertrouwen omdat de bootstets is dat de andere onveiliger is. En het totaal beeld van de eind gebruiken wordt daardoor dat dat de gehele sector onveiliger is. Dus je wil eerder gewoon met elkaar samenwerken, informatie met elkaar uitwisselen en elkaar gewoon helpen om te versterken op dat gebied. Ja mooi Sven nog iets tegenop aan te vullen. Nou wat we me wel triggered is wat je soms nog wel eens tegenkomt bij IT product of bij IT leveranciers is dat ze veiligheid in de duurde deur licensie stoppen. En dat is iets waarvan ik vind waar we met ze alle tegen moeten vechten. Want ik vind veiligheid is een basismaatregel van iederst product en ik vind ook als hij IT producten verkopen dan moet de veiligheid daarvan geen commerciale discussie zijn. Dus mocht je ook nog tegenkomen dat ze zo alleen maar in de ende prassisentie zit dan moet je daar hard iets wel zeggen. Nou mooie afsluitere zou ik zeggen. We hebben deze aflevering onder andere gesproken over het imit kaart brengen van risico's. Nou hoe eind over Airport dat aanpakken we hebben gesproken over de exitstrategie over hoe je al eigenlijk over je schijt die moet praten bij het aangeaan van een relatie met een leverancier en over hoe veiligheid eigenlijk geen ondergeschroven kind mag zijn en niet alleen mag daar gaan over geld en voor de mensen moeten zijn die wel heel veel budget hebben. Vond je dit nu interessant en we hier meer over weten, kijk dan op versterke cyberweerbeheid.nl of op de website van het National Cybersecurity Center en CSC.nl bedankt coon, bedankt Sven, voor de hele vele expertise. Dit was de laatste aflevering van de keten en zicht de podcast over het Weerbader maken van jouw Levasiersketen. We hopen dat de tips en tricks jou helpen om je levasiersketen Weerbader te maken. Bedankt voor het luisteren.