De bouwketen digitaliseert. Dat brengt risico’s met zich mee. Dozon, groothandel voor bouw en techniek, zet samen met cybersecuritybedrijf Tesorion in op digitale weerbaarheid om cyberrisico’s af te vangen. In gesprek met Edwin Meijer (hoofd ICT bij Dozon) en Erik de Jong (Chief Research Officer bij cybersecuritybedrijf Tesorion).
Wat verstaan jullie onder digitale weerbaarheid?
De Jong: “Het houdt in dat wij met onze dienstverlening klanten in staat stellen om hun eigen business te draaien zoals ze dat willen, zonder dat er veel misgaat. Gehackte mailboxen, systemen die platliggen – je wilt de kans erop verkleinen en als het tóch gebeurt, zorgen dat je de zaken snel oplost. Het doel is dat onze klanten zo min mogelijk last hebben van die beveiliging. Als ondernemer houd je je het liefst niet bezig met security.”
Meijer: “Daar sluit ik me bij aan. Wij hebben deze samenwerking opgezocht omdat je als intern ICT-team nooit zoveel kennis kunt opbouwen als bij Tesorion aanwezig is. Die wereld beweegt zo ongelooflijk snel. We zochten een partij die ons daarin ontzorgt en waarmee we konden samenwerken. We vinden het namelijk prettig om in zekere mate in control te zijn en te snappen wat er gebeurt. Dus het helemaal uit handen geven en er behalve een maandrapportage nooit meer wat van zien, ging ons te ver. In Tesorion hebben we een goede partner gevonden.”
Wat was voor Dozon de aanleiding om hierin stappen te zetten?
Meijer: “Het besef dat we de bedrijfscontinuïteit kunnen verbeteren door onze cyberweerbaarheid te verhogen. Door goed cyberbeleid, met de juiste gereedschappen in de handen van de juiste mensen, kunnen we daaraan bijdragen. We zijn begonnen met kijken naar de systemen, applicaties en processen in onze organisatie om daar heel snel quick wins uit te halen. Je wil eerst het laaghangende fruit aanpakken.
Daarnaast stelden we een bedrijfscontinuïteitsplan op, voor ons de start en de rode draad. We pakken dat plan er nog steeds bij als werkdocument om onze risico’s te snappen. Het mooie van dat plan is dat het breder gaat. Hoe het zit met onze stroomvoorziening, bijvoorbeeld? We hebben weleens beschreven dat we een partij moeten bellen voor een aggregaat, maar we zijn inmiddels jaren verder. Maar dit was bijvangst, de focus lag op cyberweerbaarheid.”
Wat valt in dit geval onder laaghangend fruit?
Meijer: “We hebben bijvoorbeeld onze firewall onder de loep genomen. We zagen daar verouderde verwijzingen van de buitenwereld naar binnen. Dat kon beter en slimmer. Inmiddels hebben we acht van de tien raampjes die openstonden kunnen sluiten. Zo verkleinen we onze risico’s met hele simpele verbeteracties.”
Als we uitzoomen naar het bedrijfscontinuïteitsplan, wat staat daarin beschreven?
Meijer: “Verbeterpunten op basis van het ingeschatte risico. Die hebben we opgesteld op basis van de formule kans maal impact. Ofwel: hoe groot is de kans dat iets gebeurt en hoe groot is de impact áls het gebeurt? Zo konden we cijfers geven van één tot vijf. Die getallen gaven ons een tijdspad en volgorde om zaken aan te pakken. Met stip op nummer één kwam daaruit: als wij daadwerkelijk worden gehackt, of we hebben een probleem dat we zelf niet meer kunnen overzien, wat doen we dan? Kan onze eigen software dat wel aan? Kunnen we op dat moment de juiste partijen vinden? Wie moeten we bellen en heeft die partij dan tijd voor ons? Met dit als grootste vraagstuk is het traject met Tesorion gestart. Dan stap je in een nieuwe wereld. Er is zoveel te krijgen op het gebied van cybersecurity. We spraken met collegabedrijven over hun ervaringen. Eén bedrijf had al te maken gehad met een hack. We hebben ook gesproken met onafhankelijke consultants die al jaren over de vloer komen en die ook weer contact hebben met andere bedrijven. Zo hebben we geprobeerd steeds meer informatie te verzamelen om goed beslagen ten ijs te komen.”
Wat zijn grote cyberrisico’s?
De Jong: “Een van de meest impactvolle risico’s is ransomware. Criminelen die je bedrijf binnendringen en de boel platleggen, informatie stelen en je dan afpersen. Dat komt gelukkig niet heel vaak voor, maar je moet er wel rekening mee houden. Als je niet voorbereid bent, is de kans groot dat je in een situatie komt waarin je moet gaan betalen. En dat heeft een enorme impact op de organisatie en bedrijfsvoering. Dat kan ook echt nog heel lang naweeën – denk aan verzekeringskwesties en de Autoriteit Persoonsgegevens die je achter de broek aan zit.
Een ander risico dat aan de orde van de dag is, maar kleiner qua impact, is Business Email Compromise: criminelen die op je Outlook- of Microsoft365-account inloggen. Dat doen ze om informatie te stelen, mailtjes naar anderen te sturen en hen te infecteren of om facturen te vervalsen. Het is kleine criminaliteit, maar het kan escaleren als je het niet tijdig detecteert. Deze twee staan met stip op nummer één en twee als risico’s. Daarnaast is het natuurlijk zo dat criminelen systemen proberen te infiltreren om informatie te stelen. Dat zijn allemaal zaken waarvoor geldt: als het gebeurt, moet je het tijdig zien. Dan kun je adequaat ingrijpen zodat de situatie niet uit de hand loopt.
Deze vorm van criminaliteit is niet gericht. Denk als bedrijf niet ‘ik ben niet groot, ik ben niet interessant, niemand kent mij’, want het is allemaal opportunistisch gedreven. Net als de zakkenroller op straat, hem maakt het ook niet uit wiens portemonnee hij steelt.”
Hoe heeft Dozon die risico’s getackeld?
Meijer: “We hebben een 7×24 uur beveiligingssoftware op de pc’s en servers. Daarachter zit een Security Operations Center (SOC) dat berichten in de gaten houdt. Als zij iets alarmerends zien, kijken daar echte mensen naar. Het SOC-team mag ook autonoom acteren, zo hebben we afgesproken. Als er diep in de nacht iets gebeurt, dan wil ik niet dat ze mij eerst moeten bellen. Handel dan maar direct. We willen dreigingen hiermee zoveel mogelijk in de kern isoleren en stoppen. Als het echt escaleert, is het aan het Computer Emergency Response Team. Zij komen dan onze kant op rijden om Dozon zo snel mogelijk terug in operatie te krijgen. Hiermee hebben we het nu intern geregeld.”
Zijn er bepaalde cyberrisico’s die extra spelen in de bouwsector?
De Jong: “Niet uniek, maar wel kenmerkend voor de bouw is dat er steeds meer digitale integratie is in de hele keten doordat bedrijven van dezelfde platformen gebruikmaken. Dat betekent dat partijen afhankelijker zijn van elkaar en dat het niveau van informatiebeveiliging van de één, effect kan hebben op de operatie van de ander. De partners in de keten van toeleveranciers en klanten vormen een ecosysteem.”
Het geheel is zo sterk als de zwakste schakel?
De Jong: “Als je er rekening mee houdt, betekent het niet per se dat je er last van krijgt. Maar je moet er wel over nadenken, bijvoorbeeld door de identiteit van mensen die je toelaat in jouw systeem te controleren. Je kunt bijvoorbeeld alleen mensen laten inloggen vanuit Nederland, of alleen overdag. Deze pragmatische maatregelen kunnen risico’s verkleinen.”
Meijer: “Bij nieuwe of bestaande samenwerkingen waarin we digitale stappen zetten, is cybersecurity onderdeel van gesprek. Zo vergroten we het bewustzijn van het belang hiervan.”
De Jong: “Over het algemeen zitten de grotere risico’s hierbij aan de kant van de toeleveranciers en partners en minder aan de kant van je klanten. Met toeleveranciers werkt een bouwmaterialenhandel intiemer samen, zo hebben ze bijvoorbeeld koppelingen om geautomatiseerd informatie uit te wisselen.”
Hoe is het in het algemeen gesteld met cybersecurity in de bouwsector? En is Dozon daarin koploper?
De Jong: “Vergeleken met de financiële sector, telecom en de zorg is mijn algemene beeld dat de bouwsector op dit vlak wat minder volwassen is. De sector heeft hier tot dusver als geheel minder mee te maken gehad. De financiële sector daarentegen is al 25 jaar aan de beurt. De laatste zes tot acht jaar zijn er meer grootschalige aanvallen die ook de continuïteit raken, waardoor andere sectoren ook wakker worden en er urgentie ontstaat.”
Meijer: “Wij krijgen bij Dozon regelmatig van partners of toeleveranciers te horen dat wij vragen stellen die ze nog niet eerder hebben gehad. Daarin lopen we blijkbaar wel voorop. Dat vind ik leuk om te horen. Ik ben er best trots op dat wij dit tweeënhalf jaar geleden in grote lijnen in kaart hebben gebracht en hebben afgetikt.”
Tot slot, hebben jullie concrete aanbevelingen voor andere bouwbedrijven?
Meijer: “Voor ons heeft het bedrijfscontinuïteitsplan goed gewerkt. Dat biedt inzicht in je eigen keuken. Mijn advies is verder om een partij te zoeken waarmee het goed klikt. We hebben niet voor niets een aantal keer met Tesorion aan tafel gezeten. Dat heeft ons geholpen. Nog steeds zitten we tweemaandelijks bij elkaar om rapportages te bekijken. Ons interne ICT-team heeft dan de mogelijkheid om vragen te stellen en we krijgen tips en trucs mee.”
De Jong: “Dat gesprek vooraf is heel belangrijk. Dienstverleningen zijn standaard, maar er zijn heel veel mogelijkheden en opties. Elke organisatie heeft zijn eigen accenten – waar meer risico’s liggen en waar minder – en elke organisatie heeft zijn beperkingen in budget en mensen. Door dat af te pellen in een gesprek, weet je wat je moet doen en wat dat oplevert. Vergelijk het met beveiligingscamera’s: hang je in elke ruimte een camera op, of alleen in de hallen en de gangen? Als leverancier zeggen wij soms ook: ‘Doe maar niet’. Je moet geen kerstboom optuigen waar je niets aan hebt.”
