Foto: Thijs Rooimans
Iedere organisatie moet met cybersecurity aan de slag, maar niet iedereen heeft daar de kennis of de middelen voor. De hightechsector besloot daarom hun krachten te bundelen via het Cyber Weerbaarheidscentrum Brainport (CWB). “Het motto is: je concurreert niet op cyberveiligheid”, zegt Lisette Oosterbosch, community manager bij het CWB. Op 9 september gaat de Community of Practice Ecosystems daar langs, om te zien hoe dit ecosysteem werkt.
Tekst: Eveline Meijer
Het CWB opende in 2019 en richt zich op de hightechindustrie en hun ketenpartners. De organisatie ontstond uit een behoefte: diverse grote bedrijven in de sector communiceerden al langer met elkaar over cybersecurity via de Eindhovendse Cyber Security Groep.
Maar de keten was daar niet bij betrokken, terwijl ook daar risico’s spelen. Er zijn genoeg voorbeelden van cybercriminelen die bij leveranciers inbreken en zo de keten platleggen, of van daaruit doorbreken bij een grotere klant. “Juist de kleine organisaties die minder veilig zijn, vormen prima springplanken naar de grote jongens”, zegt Oosterbosch.
Lisette Oosterbosch, community manager bij het CWB.
De grote organisaties hadden via de Eindhovendse Cyber Security Groep al een vertrouwensband opgebouwd, die ze wilden behouden. Daarom kwam er daarnaast het CWB, met ruimte voor meer organisaties. Daar zijn inmiddels 86 organisaties lid van, met enorme volwassenheidsverschillen, zegt Oosterbosch. “Van beginners tot het hoogst denkbare en haalbare niveau. We hebben leden met complete securityteams van een paar honderd man, maar ook MKB’ers die volledig afhankelijk zijn van een IT-dienstverlener en zelf geen kaas hebben gegeten van IT of OT.”
Een ecosysteem voor security
De gemeenschappelijke doelstelling van het ecosysteem CWB is duidelijk: de cyberweerbaarheid van alle aangesloten organisaties vergroten – iets waar iedere partij zich in kan vinden. “Je gunt geen ondernemer dat hij wordt platgelegd en failliet gaat, omdat een crimineel aan de andere kant van de wereld snel geld wil verdienen”, zegt Oosterbosch. Bovendien zijn veel organisaties nauw met elkaar verbonden in de keten. “Je hebt een sterke onderlinge afhankelijkheid. Op het moment dat hier een ondernemer wordt geraakt, raakt dat ook direct anderen.”
Maar hoe werk je dan samen aan cybersecurity? Dat gaat op verschillende manieren, vertelt Oosterbosch: leden delen kennis en ervaring binnen de groep, en ze leggen ook veel rechtstreekse lijntjes. “Als het over onderwerpen gaat waar iemand meer ervaring mee heeft en waar een ander nog stappen in wil zetten, dan wordt er regelmatig direct contact gelegd. Zo helpen ze elkaar verder.”
Ook wisselen organisaties mankracht en middelen uit, niet alleen bij een incident, benadrukt Oosterbosch. “Het kan zijn dat een partij van groot belang is voor een organisatie, maar zelf nog stappen moet zetten op het gebied van cybersecurity. Dan biedt zo’n afnemer tijdelijk hulp.”
Daarnaast komt er vanuit het CWB zelf ondersteuning voor cybersecurity. Zo heeft het CWB vorig jaar twee cybercrisissimulaties gedraaid: één voor beginnende en één voor intermediate en advanced organisaties. Ook staan er hulpkaarten op de website met basismaatregelen die iedere organisatie moet nemen. “En als je meer verdieping wilt, kun je op ons portaal terecht”, zegt Oosterbosch. “Maar wij zijn al blij met iedere stap die een organisatie zet.”
Wij zijn al blij met iedere stap die een organisatie zet.
Onderling vertrouwen
Ieder ecosysteem staat of valt met een aantal basisbenodigdheden – allereerst onderling vertrouwen. Vertrouwen organisaties elkaar niet, dan wisselen ze niets uit en stort het ecosysteem als een kaartenhuis in elkaar.
Bij cybersecurity was dat lange tijd een uitdaging. “Hier heeft heel lang een taboe op gerust”, weet Oosterbosch. “Je wilde niet dat een ander wist dat jij slachtoffer was geworden. Maar gelukkig zijn we nu op het juiste pad: erkennen dat je heel veel kunt doen en alsnog het haasje kunt zijn. Die erkenning leidt ertoe dat je elkaar gemakkelijker kunt vertrouwen. Je weet dat een ander echt de vuile was niet buiten gaat hangen, maar er juist is om je te helpen.”
Gedragsverandering
Ook gedragsverandering is belangrijk, in veel ecosystemen een uitdaging. Bij cybersecurity zijn bijvoorbeeld flinke investeringen nodig die commercieel niet meteen iets opleveren. “Cybersecurity is geen project met een eindstreep, maar een doorlopend proces”, benadrukt ook Oosterbosch. “Maar als je je zaken op orde hebt, ben je wel een betrouwbare partner. Die realisatie moeten organisaties krijgen, want als je geen betrouwbare partner bent, kun je straks mogelijk geen zaken meer doen.”
Je moet mensen steeds herinneren aan het belang van cybersecurity.
Dit soort realisaties – dat cybersecurity écht nodig is, ondanks de investeringen en frustraties – moeten bij sommige organisaties nog doordringen. “Daar kunnen wij niet in bemiddelen. Het vraagt een cultuuromslag, en die vergt veel tijd”, concludeert Oosterbosch.
Zelfs een incident bij een organisatie zelf is daar niet voldoende voor. “Op het moment dat een organisatie zo’n ervaring heeft, werkt dat misschien nog een jaartje door. Maar daarna zakt het weg uit het geheugen, neemt de alertheid af en gaan mensen weer over tot de orde van de dag. Je moet ze dus steeds herinneren aan wat er gebeurd is en aan het belang van cybersecurity.”
Lastig daarbij is dat cybersecurity voor veel mensen ingewikkelde materie is. “Je hebt er een stuk kennis voor nodig. Het is niet bepaald gezellige gespreksstof voor ’s avonds op de bank.”
Wel geldt voor de deelnemende organisaties dat zij zich vrijwillig hebben aangesloten. “Dan ga je er ook vanuit dat ze hier zelf wat aan willen doen. Ze hebben in ieder geval een bepaald bewustzijn, anders sluiten ze zich niet aan.”
De Community of Practice Ecosystems gaat op 9 september bij het CWB langs, om meer te leren over dit ecosysteem. Achteraf verschijnt een verslag van deze bijeenkomst op deze site.