Vraag van de week: Wanneer een schakel in de keten breekt: De impact van cyberincidenten in de supply chain

EN: Click here and choose your language using Google's translation bar at the top of this page ↑

Op het DTC Forum (digital trust centrum) werd de volgende vraag gesteld: "Stel dat een organisatie binnen de supply chain te maken krijgt met een cyberincident, waardoor de rest van de keten of een specifieke organisatie binnen de keten bedrijfsschade lijdt. Bestaat er jurisprudentie over dit onderwerp, of heeft iemand binnen deze community ervaring hiermee?"

Hoewel ik direct op deze vraag had kunnen antwoorden, wilde ik deze informatie ook niet onthouden aan mijn volgers op de website. Vandaar dat ik besloten heb om er hier een artikel over te schrijven.

Het domino-effect van cyberincidenten binnen supply chains

Stel je voor dat een bedrijf, laten we het Bedrijf A noemen, een belangrijke schakel is in een lange keten van leveranciers en afnemers. Deze keten werkt soepel, zoals een goed geoliede machine, waarbij elk onderdeel afhankelijk is van het andere. Maar op een dag wordt Bedrijf A getroffen door een cyberaanval. Hackers hebben toegang gekregen tot hun systemen en veroorzaken chaos. Dit ene incident zet een domino-effect in werking dat de hele keten raakt. Andere bedrijven die van Bedrijf A afhankelijk zijn voor hun leveringen of diensten, beginnen de gevolgen te voelen. Sommige bedrijven kunnen hun producten niet op tijd leveren, anderen lijden financiële schade omdat hun gevoelige informatie nu ook risico loopt. Dit scenario is geen sciencefiction; het is een realiteit waarmee bedrijven wereldwijd worden geconfronteerd.

De vraag die dan opkomt, is: wie is verantwoordelijk? Kan Bedrijf B, dat schade lijdt omdat Bedrijf A gehackt is, Bedrijf A aansprakelijk stellen? Dit is een complex vraagstuk dat raakt aan verschillende rechtsgebieden, zoals contractrecht en aansprakelijkheidsrecht. In de kern gaat het om de afspraken die bedrijven met elkaar hebben gemaakt en de mate van nalatigheid. Was Bedrijf A nalatig in het beveiligen van hun systemen? Hadden ze redelijke maatregelen genomen om een dergelijk incident te voorkomen?

De situatie wordt nog ingewikkelder als we kijken naar internationale supply chains. Wat als Bedrijf A in Nederland zit, maar Bedrijf B in België? Dan hebben we te maken met verschillende wetgevingen en juridische systemen.

Het is duidelijk dat in het digitale tijdperk, waarin bedrijven meer verbonden zijn dan ooit, de noodzaak om deze verbindingen te beveiligen niet alleen een technische, maar ook een juridische kwestie is. Contracten tussen bedrijven bevatten steeds vaker bepalingen over cybersecurity en de omgang met datalekken. Daarnaast stimuleert wetgeving, zoals de Algemene Verordening Gegevensbescherming (AVG) in de Europese Unie, bedrijven om serieuze stappen te zetten in de bescherming van persoonsgegevens en het melden van datalekken.

Dit landschap van contractuele afspraken, wettelijke verplichtingen en internationale complicaties maakt het essentieel voor bedrijven om niet alleen te investeren in robuuste cybersecurity, maar ook om heldere afspraken te maken met partners in de supply chain. Dit gaat verder dan alleen het technische aspect; het vereist een cultuur waarin open communicatie en samenwerking centraal staan in de strijd tegen cyberdreigingen.

De basis leggen: Preventie, voorbereiding, en partnerschap

In de wereld van cybersecurity binnen supply chains is voorbereiding het halve werk. Een cyberincident bij één bedrijf kan als een schokgolf door de hele keten gaan en overal schade aanrichten. De vraag is niet óf er een incident zal plaatsvinden, maar wanneer. Daarom is het cruciaal voor elk bedrijf om een solide plan te hebben voor hoe om te gaan met deze incidenten, zowel technisch als juridisch.

Een eerste stap in deze voorbereiding is het vaststellen van duidelijke en concrete contractuele afspraken tussen alle partijen in de supply chain. Deze afspraken moeten specifieke bepalingen omvatten over de vereisten voor cyberbeveiliging, procedures voor incidentrespons en de verdeling van verantwoordelijkheden en aansprakelijkheid bij datalekken of andere beveiligingsincidenten. Door deze afspraken zwart op wit te zetten, hebben alle betrokken partijen een helder beeld van wat er van hen verwacht wordt en kunnen ze beter voorbereid zijn op eventuele incidenten.

Naast het juridische aspect is de technische beveiliging van systemen van cruciaal belang. Dit omvat niet alleen het installeren van de nieuwste beveiligingssoftware en het regelmatig updaten van systemen, maar ook het trainen van personeel in het herkennen van mogelijke cyberdreigingen, zoals phishing-aanvallen. Het menselijke element is vaak de zwakste schakel in de beveiligingsketen, dus continue bewustwording en training zijn essentieel.

Het opstellen van een gedegen incidentresponsplan is een andere belangrijke stap. Zo'n plan omvat duidelijke richtlijnen over wat er moet gebeuren in het geval van een cyberincident, wie er verantwoordelijk is voor welke taken, en hoe en wanneer stakeholders geïnformeerd moeten worden. Dit plan moet regelmatig worden bijgewerkt en getest door middel van oefeningen om ervoor te zorgen dat het effectief is in een echte crisis.

Samenwerking en communicatie tussen alle partijen in de supply chain zijn eveneens cruciaal. Cyberdreigingen zijn constant in ontwikkeling, en bedrijven kunnen veel leren van elkaars ervaringen en beste praktijken. Door deze informatie te delen, kunnen bedrijven hun eigen beveiligingsmaatregelen versterken en gezamenlijk een robuustere verdediging opbouwen tegen cyberaanvallen.

De rol van de overheid en regelgevende instanties is ook niet te onderschatten. Wetgeving zoals de AVG in de Europese Unie heeft een belangrijke rol gespeeld in het verhogen van het bewustzijn en het aanscherpen van de vereisten rondom databeveiliging en privacy. Dergelijke regelgeving zorgt ervoor dat bedrijven niet alleen uit eigenbelang, maar ook uit juridische noodzaak, hun cybersecurity serieus nemen.

Tot slot is het belangrijk om te beseffen dat cybersecurity een continu proces is. Technologieën ontwikkelen zich snel, en cybercriminelen vinden steeds nieuwe manieren om beveiligingsmaatregelen te omzeilen. Bedrijven moeten daarom voortdurend investeren in hun cyberbeveiliging, up-to-date blijven met de nieuwste beveiligingstrends en -technologieën, en flexibel blijven in hun benadering van cybersecurity.

Lessen uit de praktijk: Belangrijke inzichten uit echte cyberaanvallen

Om de complexiteit en het belang van effectieve cybersecurity in supply chains te begrijpen, is het nuttig om te kijken naar praktijkvoorbeelden. Door te analyseren hoe bedrijven in het verleden cyberincidenten hebben aangepakt, kunnen we waardevolle lessen trekken voor toekomstige beveiligingsstrategieën.

Een veelvoorkomend scenario is het 'NotPetya' virus in 2017, dat wereldwijd grote bedrijven trof, waaronder meerdere in de logistiek en productie. Dit virus verspreidde zich via boekhoudsoftware die door veel bedrijven in Oekraïne werd gebruikt, maar had al snel wereldwijde gevolgen. Bedrijven zoals Maersk, een gigant in de scheepvaartindustrie, leden enorme verliezen omdat hun systemen werden gecodeerd en onbruikbaar gemaakt. Dit incident benadrukt hoe een cyberdreiging in één deel van de supply chain zich snel kan verspreiden en significante operationele en financiële schade kan veroorzaken in een heel netwerk van bedrijven.

Uit deze crisis kwamen enkele belangrijke lessen naar voren. Ten eerste het belang van 'cyberhygiëne': het regelmatig updaten van software en systemen om kwetsbaarheden te dichten. Ten tweede, de noodzaak van een goed voorbereide incidentrespons. Maersk werd geprezen voor hun transparantie en de snelheid waarmee ze reageerden op het incident, waardoor ze hun operaties relatief snel konden herstellen. Dit onderstreept het belang van een robuust incidentresponsplan dat klaar is om in actie te komen zodra een dreiging wordt gedetecteerd.

Een ander leerrijk voorbeeld is de aanval op het SolarWinds Orion platform in 2020, waarbij hackers een software-update keten compromitteerden. Dit toont de kwetsbaarheid van supply chains aan, niet alleen fysiek, maar ook in de software en diensten die bedrijven gebruiken. Het benadrukt de noodzaak voor bedrijven om de beveiliging van hun leveranciers net zo serieus te nemen als hun eigen beveiliging.

Deze voorbeelden illustreren ook het belang van samenwerking binnen en buiten de industrie. Na grote incidenten zoals NotPetya en SolarWinds, kwamen veel bedrijven en organisaties samen om informatie en best practices te delen om soortgelijke aanvallen in de toekomst te voorkomen. Dit soort samenwerking kan een krachtig wapen zijn tegen cybercriminelen, die vaak profiteren van geïsoleerde en ongecoördineerde verdedigingen.

Tot slot laten deze incidenten zien dat het van cruciaal belang is om niet alleen te focussen op het voorkomen van aanvallen, maar ook op het vermogen om te herstellen van een incident. Veerkrachtig zijn betekent dat een bedrijf de impact van een cyberaanval kan minimaliseren en zijn operaties snel kan hervatten, waardoor de schade beperkt blijft.

Naar een veilige toekomst: Actiepunten voor cyberresilience

Cybersecurity binnen supply chains is een complexe uitdaging die een gecoördineerde aanpak vereist van alle betrokken partijen. De voorbeelden van NotPetya en SolarWinds hebben duidelijk gemaakt hoe diep de gevolgen van een cyberincident kunnen doordringen in het netwerk van verbonden bedrijven. Maar uit deze crises komen ook belangrijke lessen voort die bedrijven kunnen helpen zich beter te wapenen tegen toekomstige dreigingen.

1. Begrijp en beheer je risico's: Het is essentieel om een duidelijk beeld te hebben van waar je kwetsbaarheden liggen, zowel binnen je eigen organisatie als bij je leveranciers en partners. Risicobeoordelingen en -beheer moeten een continu proces zijn.

2. Investeer in cyberhygiëne: Zorg voor regelmatige updates en patches voor je software en systemen, en investeer in goede beveiligingstechnologieën. Eenvoudige stappen zoals het gebruik van sterke wachtwoorden en tweefactorauthenticatie kunnen al een significant verschil maken.

3. Educatie en training van personeel: Werknemers kunnen je sterkste verdediging zijn, maar alleen als ze weten hoe ze cyberdreigingen kunnen herkennen en hoe ze daarop moeten reageren. Regelmatige training en bewustmakingsprogramma's zijn essentieel.

4. Ontwikkel en test je incidentresponsplan: Een duidelijk en goed geoefend plan zorgt ervoor dat je snel en effectief kunt reageren op een incident, de schade kunt beperken en zo snel mogelijk weer operationeel kunt zijn.

5. Werk samen en deel informatie: Cyberdreigingen evolueren voortdurend, en door samen te werken en informatie te delen met anderen in je industrie, kun je van elkaar leren en gezamenlijk sterker staan tegen aanvallers.

6. Bereid je voor op veerkracht: Focus niet alleen op het voorkomen van aanvallen, maar ook op het vermogen om te herstellen als een incident zich voordoet. Veerkrachtigheid is de sleutel tot het minimaliseren van de impact van cyberaanvallen.

In een wereld die steeds digitaler en meer verbonden wordt, is de veiligheid van supply chains niet alleen een kwestie van technologische beveiliging, maar ook van juridische voorbereiding en samenwerking. Door de hier besproken principes toe te passen, kunnen bedrijven een sterke verdediging opbouwen tegen de cyberdreigingen van vandaag en morgen.

Hartelijk dank aan Ruud H. voor het stellen van deze vraag.

Begrippenlijst: Sleutelwoorden uitgelegd

• Cyberincident: Een beveiligingsgebeurtenis die de integriteit, vertrouwelijkheid of beschikbaarheid van informatiesystemen en de gegevens die ze bevatten, bedreigt of schaadt.

• Supply Chain: De opeenvolging van processen betrokken bij de productie en distributie van een product of dienst, van de leveranciers van grondstoffen tot de eindgebruiker.

• Contractrecht: Een rechtsgebied dat zich bezighoudt met afspraken tussen twee of meer partijen, waarbij specifieke beloftes wettelijk afdwingbaar zijn.

• Aansprakelijkheidsrecht: Deel van het recht dat zich bezighoudt met het verhalen van schade of letsel als gevolg van nalatigheid of fouten van een ander.

• Algemene Verordening Gegevensbescherming (AVG): Een Europese regelgeving die als doel heeft om twee fundamentele rechten te beschermen: de privacy van persoonsgegevens en het vrije verkeer van die gegevens binnen de Europese Unie.

• Cyberhygiëne: Praktijken en stappen die individuen en organisaties kunnen nemen om de gezondheid van hun systemen te verbeteren en te beschermen tegen cyberdreigingen.

• Phishing: Een type cyberaanval waarbij aanvallers zich voordoen als een betrouwbare entiteit in een elektronische communicatie om gevoelige gegevens te verkrijgen.

• Incidentresponsplan: Een vooraf vastgesteld plan van acties en procedures die gevolgd moeten worden bij een cyberincident om de schade te beperken en zo snel mogelijk naar een normale bedrijfsvoering terug te keren.

• NotPetya: Een destructief malware-incident in 2017 dat wereldwijd bedrijven trof, oorspronkelijk vermomd als een ransomware-aanval.

• SolarWinds Orion platform: Verwijst naar een grootschalige cyberaanval ontdekt in 2020, waarbij hackers via een software-update keten van SolarWinds toegang kregen tot de netwerken van duizenden bedrijven en overheidsinstanties.

Test je kennis met onze Cybersecurity Quizzen!

Meer vragen van de week