Websites en apps die platliggen, elektronische schapkaartjes waarop nog de actieprijzen van vorige week staan en boodschappen die niet worden bezorgd. Het 'cybersecurity-incident' bij Albert Heijn, Etos en Gall & Gall laat zien hoe afhankelijk retailers zijn van digitale systemen. Volgens Rick van der Kleij, lector Cyberweerbare Organisaties bij Avans Hogeschool, moeten bedrijven zich niet alleen richten op het voorkomen van incidenten, maar vooral ook voorbereid zijn op het moment dat het misgaat. "We moeten van een just-in-time-economie naar een just-in-case-economie."
Hoe kijk je naar de problemen bij Albert Heijn, Etos en Gall & Gall? Wat valt je op?
"Het is lastig om precies te begrijpen wat er is gebeurd, zolang de oorzaak van het incident niet bekend is. Maar wat mij vooral opvalt, is de verwevenheid van fysieke en digitale processen. Consumenten kunnen nu geen boodschappen bestellen doordat er...
Websites en apps die platliggen, elektronische schapkaartjes waarop nog de actieprijzen van vorige week staan en boodschappen die niet worden bezorgd. Het 'cybersecurity-incident' bij Albert Heijn, Etos en Gall & Gall laat zien hoe afhankelijk retailers zijn van digitale systemen. Volgens Rick van der Kleij, lector Cyberweerbare Organisaties bij Avans Hogeschool, moeten bedrijven zich niet alleen richten op het voorkomen van incidenten, maar vooral ook voorbereid zijn op het moment dat het misgaat. "We moeten van een just-in-time-economie naar een just-in-case-economie."
Hoe kijk je naar de problemen bij Albert Heijn, Etos en Gall & Gall? Wat valt je op?
"Het is lastig om precies te begrijpen wat er is gebeurd, zolang de oorzaak van het incident niet bekend is. Maar wat mij vooral opvalt, is de verwevenheid van fysieke en digitale processen. Consumenten kunnen nu geen boodschappen bestellen doordat er digitaal iets misgaat.
Het onderstreept hoe belangrijk digitale weerbaarheid is geworden. Een verstoring in de IT heeft tegenwoordig direct gevolgen voor allerlei processen binnen een retailbedrijf. Dat is hier duidelijk te zien."
Initieel sprak Albert Heijn van een IT-incident, maar noemt het inmiddels een cybersecurity-incident. Betekent dit dat er sprake is van een cyberaanval?
"Het kan beide zijn. Het kan natuurlijk een IT-probleem zijn dat hiertoe leidt, of een aanval van buitenaf. Dat zal nog moeten blijken, maar de impact is hetzelfde.
We hebben eerder bij het Amerikaanse cybersecuritybedrijf CrowdStrike gezien wat de gevolgen van een foutieve software-update kunnen zijn. Daardoor kwamen wereldwijd allerlei systemen plat te liggen, onder meer op luchthavens. Daar was geen sprake van een cyberaanval, maar de impact was enorm.
Ongeacht de oorzaak laat dit incident zien dat we ontzettend afhankelijk zijn geworden van digitalisering. Of het nu gaat om een aanval van buitenaf of een technische storing, de impact is hetzelfde."
Hoe kwetsbaar zijn (grote) retailers voor dit soort incidenten?
"Ik hoorde laatst iemand zeggen dat we van een just-in-time-economie naar een just-in-case-economie moeten. Dat vind ik een mooie gedachte. Retailers zijn sterk ingericht op efficiëntie. Maar als er iets misgaat, kan dat meteen enorme gevolgen hebben.
Als maatschappij zijn we de laatste jaren meer gaan nadenken over weerbaarheid. Dat betekent ook dat we meer moeten nadenken over redundantie: het inbouwen van extra voorzieningen of alternatieven waardoor processen kunnen blijven functioneren als een systeem uitvalt. Dat kost geld, maar had in dit soort situaties misschien kunnen helpen om de gevolgen van de verstoring op te vangen.
In cybersecurity hanteren we al jaren het principe assume breach: ga ervan uit dat een aanvaller al binnen is en zorg dat je daarop voorbereid bent. Ik denk dat bedrijven zich dat nog veel meer eigen moeten maken.
Een paar jaar geleden deed minister van Justitie en Veiligheid David van Weel naar aanleiding van een grote IT-storing de uitspraak: 'Get used to it'. Kortom, wen er maar aan dat dit soort incidenten gebeuren. De vraag is vooral hoe je ervoor zorgt dat je kunt blijven doorwerken als systemen uitvallen en hoe snel je een storing kunt opsporen en verhelpen.
Gelukkig zie je ook bij de overheid een verschuiving naar cyber resilience, oftewel cyberweerbaarheid. Daarbij draait het niet alleen om het voorkomen van incidenten, maar vooral ook om herstelvermogen. Hoe ga je met een incident om en hoe zorg je ervoor dat je zo snel mogelijk weer verder kunt werken?"
Wat kunnen retailers concreet doen om de gevolgen van dergelijke incidenten te beperken?
"Accepteer dat incidenten kunnen optreden. Denk niet dat je veilig bent. Daarna moet je kijken of je als organisatie voldoende weerbaar bent. Kun je incidenten tijdig detecteren? Kun je adequaat reageren en snel herstellen en ben je in staat om van incidenten te leren, zodat de volgende keer beter voorbereid bent?
Wat ik retailers vooral zou adviseren, is om te oefenen. Trek, bij wijze van spreken, eens de stekker eruit en kijk wat er gebeurt. Welke processen vallen stil en wat kun je nog wel doen en hoe snel krijg je alles aan de praat?"
Een beetje vergelijkbaar met een brandoefening?
"Ja, dat is een mooi voorbeeld. Met brand oefenen we ook, waarom niet met digitale verstoringen?"
Bij Albert Heijn vallen diverse digitale diensten tegelijkertijd uit. Wat zegt dat over de afhankelijkheid van centrale IT-systemen?
"Het laat zien hoe sterk fysieke en digitale processen met elkaar verweven zijn. Retailers staan voor een dilemma. Aan de ene kant wil je gebruikmaken van digitalisering en de efficiëntie die dat oplevert, maar aan de andere kant brengt die verbondenheid kwetsbaarheden met zich mee.
Daarin moet je een balans vinden. Dat betekent niet dat je systemen los van elkaar moet koppelen, maar je wel bewust zijn van die afhankelijkheden en voorbereid zijn op het moment dat er iets misgaat.
De verwevenheid gaat verder dan 1 bedrijf. Retailers maken deel uit van een groot ecosysteem van leveranciers en andere partners. Een incident bij 1 partij kan daardoor gevolgen hebben voor andere bedrijven.
Denk maar bijvoorbeeld aan de kaashack van enkele jaren geleden, waardoor de bevoorrading van kaas en zuivel werd verstoord bij supermarkten zoals Albert Heijn en Plus.
Het kan ons allemaal overkomen, ook de grootste supermarkt van Nederland. Kleinere ondernemers denken soms dat zij geen interessant doelwit zijn, maar ook zij kunnen slachtoffer worden van een cyberincident, rechtstreeks of via een ketenpartner."
Welke lessen kan Ahold Delhaize uit dit incident trekken?
"Dat is lastig beoordelen, omdat we niet weten wat er precies aan de hand is. Ik weet niet hoe goed het bedrijf op dit incident was voorbereid. Dat kun je pas achteraf beoordelen, bijvoorbeeld door te kijken hoe snel het bedrijf erin slaagt om te herstellen.
Wat ik vooral hoop, is dat Ahold Delhaize na afloop openheid geeft over wat er is gebeurd. Je ziet gelukkig dat steeds meer bedrijven na een incident als het ware op de zeepkist klimmen om te vertellen wat hen is overkomen. Dat is waardevol, niet alleen voor henzelf, maar ook voor andere bedrijven. Niet alle bedrijven doen dat.
Het lijkt erop dat Ahold Delhaize in ieder geval communiceert over het incident en updates geeft. Dat is mooi, maar het is de vraag of ze de openheid in kunnen gaan. Want als er sprake is van een aanval, dan wil je juist niet die informatie prijsgeven om je onderhandelingspositie te ondermijnen in dat gesprek wat je dan voert.
Uiteindelijk hoop ik vooral dat de hele sector van dit incident kan leren. Want wat Albert Heijn nu overkomt, kan iedere retailer treffen, groot of klein."
