Voorbereiden op digitale ontwrichting
De digitale infrastructuur - is vaak zonder dat we het merken - intens verweven met processen die van groot belang zijn voor de samenleving, de economie en de democratische rechtstaat. Voor verstoringen in de fysieke wereld bestaan professionele crisisorganisaties en uitgebreide wet- en regelgeving. De voorbereiding op een digitale ontwrichting krijgt echter nauwelijks tot geen aandacht.
WannaCry
In 2017 besmette de ransomware WannaCry de computers van onder meer Chinese universiteiten, Spaanse elektriciteits- en gasbedrijven, het Franse autobedrijf Renault en spoorwegvervoerder Deutsche Bahn. Het bekendste slachtoffer was de Britse National Health Service (nhs).8 WannaCry – inmiddels toegeschreven aan Noord-Korea – ontwrichtte in het Verenigd Koninkrijk de dienstverlening van zo’n 600 zorginstellingen. Dit leidde onder meer tot het annuleren van zo’n 19.000 afspraken van patiënten. Een deel van de spoedeisende hulplocaties was niet in staat om aan alle patiënten zorg te verlenen en moest worden verplaatst. Na een week functioneerde de nhs weer normaal. Geschatte kosten: £ 92 miljoen.
NotPetya
In hetzelfde jaar verspreidden Russische militaire hackers de ransomware NotPetya. Zij deden dat via kwetsbaarheden in Oekraïense boekhoudsoftware, die door hen al eerder was gehackt. De besmetting beperkte zich niet tot Oekraïne en trof wereldwijd verschillende bedrijven en organisaties, met naar verluid vele miljarden euro’s schade. In de grensoverschrijdende keten van besmetting werd ook de Rotterdamse vestiging van het containerbedrijf Maersk slachtoffer. Het containertransport via haven, snelweg en spoor kwam deels stil te liggen waardoor opstoppingen ontstonden, met lange files tot gevolg. Ook werd in Oss de vestiging van farmaceutisch bedrijf msd getroffen, waardoor de medicijnproductie tot stilstand kwam en veel documentatie verloren ging.
Grote transformatie
De schaal waarop verstoringen zich voordoen is de afgelopen jaren flink is toegenomen. Volgens het oecd-project ‘Future Global Shocks’ uit 2011 konden destijds weinig cybergerelateerde gebeurtenissen een wereldwijde schok veroorzaken. Nu tien jaar later is dat heel anders. De auteurs signaleerden toen al wel een groeiende kans op financiële schade als gevolg van gecompromitteerde computers en telecommunicatiediensten. Ook voegden ze hieraan toe dat digitale voorzieningen essentieel zijn voor herstel na andersoortige grootschalige rampen.
Atlanta
Maart 2018 werd de Amerikaanse stad Atlanta slachtoffer van een digitale aanval. Maanden later waren veel gemeentelijke basisvoorzieningen nog steeds niet beschikbaar, zat de stad met een schadepost van tientallen miljoenen dollars en waren talloze databestanden, onder andere van de politie, voorgoed verloren
2021
Bijna tien jaar later blijken beide observaties juist te zijn. De huidige crisisbeheersing en rampenbestrijding zijn ondenkbaar zonder de inzet van digitale hulpmiddelen. Ook is de impact van incidenten met digitale infrastructuur omvangrijker: de geografische reikwijdte is groter en steeds vaker raken ze direct of indirect aan fysieke infrastructuren en het dagelijks leven van burgers.
Dit laatste is zorgwekkend omdat kernprocessen van de samenleving worden aangetast. Incidenten brengen voorzieningen in gevaar die het maatschappelijk
leven ondersteunen.
De Diginotar-kwestie
In ons land was de Diginotar-kwestie in 2011 het eerste echte incident dat onze afhankelijkheid toonde van digitale technologie.4 Hackers waren erin geslaagd om vervalste certificaten van certificaatautoriteit Diginotar vrij te geven. De certificaten van Diginotar werden onbetrouwbaar en browserleveranciers als Microsoft dreigden ze ongeldig te verklaren. Belangrijke overheidsfuncties, zoals de inklaring van goederen of de uitkering van toeslagen, zouden hierdoor niet langer uitgevoerd kunnen worden. Het incident liep met een sisser af maar werd wereldnieuws, omdat bleek hoe kwetsbaar en belangrijk private certifi-caatautoriteiten waren voor veilige communicatie op het internet
112
Op 24 juni 2019 vond een urenlange storing plaats van zowel het noodnummer 112 als 0900-8844, het landelijke servicenummer van de politie. Bovendien waren ook ziekenhuizen, gemeenten en bedrijven lange tijd onbereikbaar. Behalve het primaire systeem van kpn – de betrokken telecomprovider – bleken ook drie back-upsystemen niet te functioneren. Het voorval – volgens kpn vermoedelijk veroorzaakt door een softwarefout – toont hoe kwetsbaar voorzieningen in de fysieke wereld zijn als het digitaal misgaat.
Voorbij ICT en cybersecurity
Door de afhankelijkheid van geavanceerde digitale technologie over de volle breedte van onze samenleving en economie, ontstijgen de gevolgen van verstoringen en uitval in toenemende mate het domein van ‘klassieke’ ict en cybersecurity. Dit resulteert in een nieuwe type ontwrichting, kortweg ‘digitale ontwrichting’ genoemd. Door digitalisering is het onderscheid tussen ‘de digitale’ wereld en ‘de fysieke’ wereld sterk vervaagd. Bovendien zijn de grenzen tussen bedrijven en organisaties diffuus geworden. Zij zijn onderling verbonden door talloze systemen en netwerken. Een digitale verstoring behelst dientengevolge veel meer dan alleen de uitval van geïsoleerde digitale systemen. Deze realiteit staat echter onvoldoende scherp op het netvlies van bedrijven, organisaties, de overheid en politiek verantwoordelijken.
Betere voorbereiding burgers, bedrijven én overheid
Het uitgangspunt moet zijn dat de ‘lokale brandweer’ lokale ‘branden’
blust en dat gespecialiseerde ‘brandweerkorpsen’ de meer complexe ‘branden’ voor hun rekening nemen, op lokaal, regionaal of landelijk niveau. Per domein zullen immers vaak verschillende maatregelen genomen moeten worden.
Een betere voorbereiding op digitale ontwrichting door de overheid geen vrijbrief is voor andere partijen om onverantwoorde risico’s te nemen. Ook bedrijven en organisaties hebben de verantwoordelijkheid om zich op digitale ontwrichting voor te bereiden.
In het rapport Voorbereiden op digitale ontwrichting pleit de WRR (wetenschappelijke Raad voor Regeringsbeleid) voor een betere voorbereiding op een digitale ontwrichting door o.a. adequate bevoegdheden om escalatie te voorkomen en inspanningen op het terrein van cyberverzekeringen te verrichten.
-S.jpg)
.gif)
