1. Het PHP-lek wordt een van de ernstigste cyberlekken in jaren genoemd. Hoe kijken jullie terug op de gebeurtenissen? Wat viel jullie het meest op?
“Om te beginnen: het gaat niet om een lek, maar om een kwetsbaarheid. Dat betekent dat er een zwakke plek in software zit, maar niet automatisch dat er ook is ingebroken.
Wat vooral opviel, is de snelheid waarmee alles ging. Onderzoekers vonden de kwetsbaarheid met hulp van AI, waarna technische details ongecontroleerd naar buiten kwamen en vrijwel direct pogingen tot misbruik volgden. Er bleek bovendien al misbruik te zijn geweest voordat de kwetsbaarheid openbaar werd. Dat laat zien hoe weinig tijd organisaties soms hebben om te reageren. Je kunt er niet op rekenen dat er altijd een beveiligingsupdate beschikbaar is voordat aanvallers toeslaan. Daarom moet je ook weten welke tijdelijke maatregelen je kunt nemen om je organisatie en klanten te beschermen.
Daarbij reiken de gevolgen verder dan de techniek. Een kwetsbaarheid in een veelgebruikte softwarecomponent kan direct de dienstverlening van veel organisaties raken. Dan gaat het al snel over mensen: kan iemand nog hulp krijgen, een schade melden of toegang krijgen tot belangrijke informatie?
De belangrijkste les is daarom: breng afhankelijkheden vooraf in kaart en spreek af wie bij een incident welke besluiten neemt. Dat helpt om onder tijdsdruk snel en zorgvuldig te handelen.”
2. Veel organisaties, waaronder verzekeraars, haalden uit voorzorg hun website offline. Wat zegt de manier waarop organisaties reageerden over hun voorbereiding?
“Het is positief dat organisaties de waarschuwing serieus namen en maatregelen troffen, ook toen nog niet alles duidelijk was. Een website tijdelijk offline halen kan verstandig zijn. Maar die beslissing alleen zegt nog niet hoe goed een organisatie is voorbereid.
Voor verzekeraars is vooral belangrijk wat er gebeurt met systemen die essentieel zijn voor de dienstverlening. Die kun je niet zomaar uitzetten. Klanten moeten bijvoorbeeld een schade kunnen melden of hulp kunnen krijgen.
Goede voorbereiding betekent dat je weet welke systemen en diensten geraakt kunnen worden, welke alternatieven beschikbaar zijn en wie over maatregelen beslist. Kun je een kwetsbaar onderdeel afzonderlijk uitschakelen? Kunnen klanten via een andere route worden geholpen? En wanneer kan een systeem weer veilig online?
Die keuzes moet je niet alleen voorbereiden, maar ook oefenen met IT, security en de mensen die verantwoordelijk zijn voor de dienstverlening.”
3. Veel organisaties zijn voor hun digitale veiligheid afhankelijk van softwareleveranciers en andere externe partijen. Heeft dit incident laten zien hoe kwetsbaar die afhankelijkheid ons maakt?
“Ja. Vooral doordat veel organisaties afhankelijk zijn van dezelfde software, soms zonder dat precies te weten. Verschillende leveranciers kunnen bijvoorbeeld hetzelfde softwareonderdeel gebruiken. Eén kwetsbaarheid kan daardoor meerdere diensten tegelijk raken.
Samenwerking met leveranciers blijft waardevol, maar je moet weten waarvan je afhankelijk bent en wat er gebeurt als iets misgaat. Welke bescherming biedt een leverancier, hoe laat die zien dat die werkt en wie komt in actie bij een kwetsbaarheid?
Afspraken en controles alleen zijn niet genoeg. Oefen en test gezamenlijk wat er bij een aanval of storing gebeurt, over de hele dienstverlening en inclusief leveranciers. Zo ontdek je waar zwakke plekken zitten en of maatregelen in de praktijk werken.
Voor ons betekent partnerschap dat betrokken partijen samen verantwoordelijkheid nemen voor het resultaat. Ook als het probleem ontstaat bij een leverancier van een leverancier moet de verzekerde erop kunnen vertrouwen dat zijn gegevens beschermd blijven en dat hij geholpen wordt.”
4. Verzekeraars beheren veel gevoelige klantgegevens en hun dienstverlening moet betrouwbaar blijven. Wat zijn de belangrijkste lessen?
“Een verzekeraar doet een belofte aan mensen die op een belangrijk moment hulp nodig hebben. De digitale omgeving moet die belofte ondersteunen, ook als een onderdeel tijdelijk niet beschikbaar is. Dit incident maakt de noodzaak en urgentie van DORA concreet: afspraken en plannen op papier zijn pas het begin. Je moet samen met leveranciers testen of ze in de praktijk werken.
Soms moet security voorrang krijgen op beschikbaarheid. Daarom moet vooraf duidelijk zijn welke dienstverlening altijd moet doorgaan en wat daarvoor minimaal nodig is. Als het klantportaal uitvalt, moeten medewerkers bijvoorbeeld nog een urgente hulpvraag kunnen aannemen en moeten hulpverleners en andere ketenpartners hun werk kunnen voortzetten.
Dat is extra belangrijk omdat veel verzekeraars voor hun dienstverlening afhankelijk zijn van toeleveranciers, van het aannemen van telefoontjes in de nacht tot vervangend vervoer of een slaapplaats. Ook die dienstverlening wordt digitaal ondersteund. Verzekeraars blijven eindverantwoordelijk en moeten daarom weten of en hoe hun leveranciers hun diensten bij uitval kunnen voortzetten.
Bescherming van gegevens en continuïteit moeten dus samen worden ontworpen. Daarbij werkt security als een ui: meerdere beschermingslagen zorgen ervoor dat als één maatregel faalt, een andere de gevolgen kan beperken.”
5. Stel, er wordt morgen op landelijk niveau een grote cyberkwetsbaarheid geconstateerd. Wat hadden verzekeraars vandaag moeten regelen?
“Vandaag moet duidelijk zijn wie morgen handelt, op basis van welke informatie en met welk mandaat. Daarvoor moet je inzicht hebben in je kritieke dienstverlening en in de systemen en leveranciers die deze ondersteunen. Ook moeten er werkbare alternatieven zijn waarmee klanten geholpen kunnen blijven worden als digitale systemen uitvallen.
Maar of dat allemaal werkt, ontdek je pas als je het oefent. Laat bijvoorbeeld een red team een realistische aanval nabootsen. Test of de techniek de aanval kan tegenhouden, het crisisteam tijdig besluiten neemt, leveranciers kunnen handelen en klanten hun urgente schade of hulpvraag kunnen blijven melden.
Daarnaast is samenwerking binnen de sector belangrijk. Bij een landelijk incident wil je realtime kunnen delen wat andere verzekeraars zien, welke maatregelen werken en waar hulp nodig is. Dat is ook belangrijk omdat capaciteit voor onderzoek na een aanval schaars kan worden wanneer veel organisaties tegelijk worden geraakt.