Een CISO die vooral achter zijn laptop zit? Niet bij Hoogheemraadschap De Stichtse Rijnlanden (HDSR). Keith Farzan trekt ook het gebied in om te zien wat collega’s doen en waar digitale risico’s de dagelijkse praktijk raken. Digitale weerbaarheid draait volgens hem zeker niet alleen om techniek.
“De cultuur binnen een organisatie veranderen is een grotere uitdaging, die uiteindelijk bepalend is voor je weerbaarheid. Om de organisatie echt veiliger te maken en te houden, is bewustzijn van belang. Dat betekent veel aandacht schenken aan gedrag, cultuur en houding. En begrijpen wat medewerkers in hun dagelijkse werk nodig hebben om veilig te kunnen werken.”
Keith Farzan werkt bijna 20 jaar in de IT. Hij begon als technisch consultant, raakte betrokken bij informatiebeveiliging en privacy en adviseerde organisaties over security en normeringen. Inmiddels is hij als Chief Information Security Officer (CISO) verantwoordelijk voor de informatiebeveiliging bij HDSR.
De CISO gaat naar buiten
In die rol voert Farzan niet alleen overleg met IT’ers en beleidsmakers op kantoor, maar gaat hij ook letterlijk het veld in. Een belangrijk deel van de circa 950 medewerkers van HDSR werkt regelmatig buiten kantoorlocaties. Zij zitten niet de hele dag achter een laptop, maar inspecteren watergangen, beheren installaties en hebben contact met inwoners. “Ik ga met collega’s mee het gebied in. Probeer echt te snappen waar ze tegenaan lopen en wat hun werk inhoudt.”
Die bezoeken brengen hem bijvoorbeeld naar rioolwaterzuiveringsinstallaties. Daar wordt direct zichtbaar waarom informatiebeveiliging en procesautomatisering voor een waterschap meer is dan het beschermen van computers en gegevens. “Digitale systemen sturen ook fysieke processen aan die iedere dag moeten blijven functioneren.”
Bij een bezoek aan een grote rioolwaterzuiveringsinstallatie (RWZI) in Utrecht kwam dat besef extra hard binnen. “RWZI Utrecht verwerkt zo’n 65 miljoen liter afvalwater van huishoudens en bedrijven in de stad. Dan voel je echt die maatschappelijke verantwoordelijkheid. En die impact voel je pas als je daar staat. En niet tijdens een online overleg met mensen van de zuivering”.
De praktijk houdt zich niet aan een draaiboek
Waar moet een CISO zich dan vooral op voorbereiden? Farzan draait de gebruikelijke vraag om. “De vraag is niet óf je een cyberincident krijgt, maar hoe goed je voorbereid bent als het zover is.” HDSR probeert daarom de risico’s zo goed mogelijk te kennen voordat een ander ze ontdekt. Daarvoor heeft het waterschap een securityteam en laat het zich regelmatig auditen.
Ook maakt HDSR gebruik van gezamenlijke voorzieningen van de waterschappen, waaronder het Security Operations Center (SOC). “Komt daar een melding met een hoge urgentie binnen, dan beoordelen specialisten eerst wat er aan de hand is. Is het loos alarm of is er daadwerkelijk iets aan de hand? In dat laatste geval volgt een onderzoek en schaalt het team waar nodig op.”
Farzan heeft dat gelukkig niet vaak hoeven meemaken, maar wel vaak genoeg om te weten dat de praktijk zich niet altijd aan een draaiboek houdt.
“Het loopt echt niet altijd zoals we op voorhand hadden bedacht. Soms moet je iets meemaken om het ook te ondervinden.” Daarom volgt na een incident of oefening altijd de vraag wat beter kan. “Never waste a good crisis”, zegt Farzan. Niet als relativering van een incident, maar omdat juist zo’n situatie zichtbaar maakt of afspraken en processen in de praktijk werken.
Security zoveel mogelijk ‘onder water’
Voorbereid zijn betekent volgens Farzan ook dat alle medewerkers zich bewust zijn van hun rol. Dat is bij een waterschap een bijzondere opgave. Een medewerker op kantoor werkt anders dan iemand die buiten inspecties uitvoert of een installatie beheert. “Die collega’s gebruiken ook applicaties en hebben bijvoorbeeld contact met inwoners. Hoe zorg je ervoor dat veilig digitaal gedrag ook in hún werkpraktijk past?”
Farzan wil daarbij voorkomen dat informatiebeveiliging vooral bestaat uit regels die medewerkers als hinderlijk ervaren. Maatregelen moeten waar mogelijk ‘onder water’ blijven, zegt hij. “Medewerkers hoeven niet voortdurend te merken welke technische beveiliging op de achtergrond plaatsvindt.”
Wat wél zichtbaar moet zijn, is het gewenste gedrag. Daarbij kiest HDSR bewust niet alleen voor aandacht voor afdelingen of medewerkers waar bewustzijn nog niet op peil is. Juist collega’s die het goede voorbeeld geven, kunnen anderen meenemen. “Een goed voorbeeld doet goed volgen. Het werkt veel krachtiger als collega’s elkaar onderling scherp houden dan wanneer de security officer als soort politieagent door de organisatie loopt.”
Niet 21 keer hetzelfde wiel uitvinden
Ook tussen waterschappen onderling speelt die manier van leren een belangrijke rol. “Geen enkel waterschap kan de uitdagingen van vandaag alleen oplossen”, zegt Farzan. “Cybercriminelen werken samen, dus het is logisch dat wij dat ook doen.”
Die samenwerking betekent niet dat elk waterschap op elk onderdeel even ver is. Sommige zijn volgens Farzan verder met risicomanagement en governance, andere juist met de beveiliging van operationele technologie. HDSR heeft op zijn beurt veel ervaring met bewustwording, gedrag en cultuur. Precies daarin zit volgens hem de kracht van samenwerking. “We zijn met 21 waterschappen. We hoeven niet 21 keer het wiel opnieuw uit te vinden.”
Dat vraagt wel om openheid. “Waterschappen moeten niet alleen succesvolle oplossingen delen, maar ook durven bespreken waar kwetsbaarheden zitten en waar iets minder goed is gegaan.”
Sturen op digitale weerbaarheid
Digitale weerbaarheid verschuift ondertussen steeds nadrukkelijker naar de bestuurskamer. Dit betekent voor Farzan dat zijn rol als CISO eveneens verandert. Bestuurders hoeven geen securityspecialisten te worden. “Ik zie het als mijn verantwoordelijkheid om bestuurders te helpen de juiste afwegingen te maken en risico’s goed te in kaart te brengen.
Ook buiten het waterschap houdt de verantwoordelijkheid niet op. HDSR is afhankelijk van leveranciers en clouddiensten. Juist in die keten ziet Farzan een van de grootste uitdagingen voor de komende jaren. Daarom kijkt het waterschap scherper naar risico’s bij leveranciers, bijvoorbeeld via aanbestedingseisen, afspraken en gesprekken over beveiliging. Alleen eisen stellen is volgens hem niet voldoende. “De valkuil is dat wij gaan wijzen en zeggen: je moet dit en je moet dat. Volgens mij moeten we elkaar juist helpen en transparant zijn over de risico’s.”
Snel kunnen herstellen
Waar moet dat uiteindelijk toe leiden? Niet tot een waterschap dat elk digitaal risico heeft uitgebannen. Dat is volgens Farzan niet realistisch. Wel wil ik een organisatie die haar risico’s kent, samenwerkt in de sector, goed voorbereid is op cyberincidenten en snel kan herstellen.”
Daarmee komt hij terug bij de rode draad in zijn werk. Technologie is noodzakelijk, maar niet doorslaggevend. “De grootste uitdaging is niet technisch. Techniek kunnen we oplossen. De moeilijkere opgave zit in mensen en organisaties: samenwerken, risico’s bespreekbaar maken, leren van wat er gebeurt en veilig gedrag onderdeel maken van het gewone werk. Achter een bureau, tijdens een dijkinspectie of op een rioolwaterzuivering. Digitale weerbaarheid is uiteindelijk vooral een kwestie van hoe een organisatie elke dag werkt.”
