Sinds 1 november 2020 heeft de Rijksoverheid haar eerste Chief Information Security Officer (CISO). Aart Jochem is het boegbeeld van informatiebeveiligings- en privacy beleid. “Door de onderlinge afhankelijkheden is het belangrijk samen te werken. In de dagelijkse aanpak en als het misgaat. Kloppen de draaiboeken en contactlijsten nog, weten we elkaar te vinden?”
Rijksbrede samenwerking
Elk ministerie heeft zijn eigen CISO en Aart Jochem is de verbindende factor: “Het is mijn taak om de versnippering te verminderen en samenhang aan te brengen, dat gaat steeds beter. In het begin zag nog niet iedereen de urgentie om samen te werken en was de gedachte soms: ‘we kunnen het zelf wel’. Inmiddels weten we beter wat we aan elkaar hebben. De nieuwe I-strategie Rijk, waar we gezamenlijk naar een veilige digitale toekomst werken, benadrukt dat nog eens.”
Lessen uit de financiële wereld
Hiervoor was Jochem werkzaam bij een pensioenuitvoeringsorganisatie. Financiële instellingen staan er om bekend voor te lopen als het gaat om digitale weerbaarheid. Zij hebben een actief beleid als het gaat om cybersecurity. Jochem: “Het is voor een bank eenvoudig te berekenen wat de schade is als een bankrekening wordt geplunderd. De rol van De Nederlandsche Bank (DNB) zie ik als voorbeeld hoe je een hele sector naar een hoger niveau kan tillen. De DNB stimuleert de sector om digitale weerbaarheid te blijven ontwikkelen. Zo help je volwassenheid én feitelijke veiligheid te vergroten. Voor de overheid is het moeilijker de schade door cyberkwetsbaarheid te voorspellen en daarom bestaat de neiging om andere prioriteiten te stellen en meer op incidenten te acteren.”
Zorgen
Maakt u zich zorgen over de digitale kwetsbaarheid van de overheid? “Jazeker, en terecht. Alle adviezen en rapporten over de digitale dreiging zijn ernstig en ook de berichten in de media, van het NCSC en de inlichtingdiensten liegen er niet om. Bescherming van gevoelige gegevens van burgers en organisaties moet topprioriteit zijn, niet éénmalig maar er moet continu in geïnvesteerd worden. We lopen door het vele thuiswerken bovendien extra risico omdat medewerkers vaker vanaf hun eigen apparatuur en werkplek met gevoelige informatie werken. Ik heb thuis een degelijke papierversnipperaar staan dat is niet bij iedereen het geval. De Auditdienst Rijk en de Algemene Rekenkamer delen al geruime tijd onvolkomenheden uit als het gaat om informatiebeveiliging. Dus ik denk dat we gas moeten geven om bij te blijven.”
Voorzorgsmaatregelen
De organisaties van de Rijksoverheid doen veel om zich voor te bereiden op cybervallen: “Dagelijks wordt gewerkt om de basisbeveiliging op orde te houden. Daarnaast wordt regelmatig bekeken of de risicoanalyses nog kloppen en of we uitgaan van de juiste scenario’s. Er worden oefeningen gedaan en we werken met ethisch hackers. Een belangrijke ontwikkeling vind ik de samenwerking tussen de Security Operations Centers (SOCs). Elk departement heeft iemand die overzicht heeft over de risico’s en aanpak van informatiebeveiliging. Inclusief bevoegdheden om in te grijpen. Maar ik merk over de gehele linie nog wel verschil. Iedereen maakt zijn eigen informatiebeveiligingsprogramma.”
De kracht van de mens
De CISO Rijk geeft andere overheidsorganisaties de volgende tip mee: “Zorg dat je weet hoe cybersecurity de risico’s voor je organisatie beïnvloedt en wat de actuele status van je beveiliging is. Ook oefenen is heel belangrijk. Je ontdekt welke beslissingen effectief zijn en je krijgt ervaring met stresssituaties. Medewerkers worden vaak weggezet als potentieel risico, vergeet niet dat ze ook het verschil kunnen maken. Een bekwame beheerder, een oplettende gebruiker, een manager die doorvraagt. Zij kunnen op cruciale momenten een beslissende keuze maken. Zorg dat er meer van deze kundige mensen bij de overheid werken. En als laatste: plan investeringen. Niet éénmalig, maar blijvend.”
Overheidsbrede Cyberoefening
Op 1 november en gedurende de maand oktober organiseert het ministerie van BZK de Overheidsbrede Cyberoefening en Webinars. Deelname aan de oefening en webinars is gratis en bedoeld voor bestuurders en overheidsprofessionals die te maken hebben met (cyber)veiligheid, ICT en crisisbeheersing. Dit jaar kunnen deelnemers vanuit het bedrijfsleven ook aansluiten. De oefening is opgezet aan de hand van een fictief scenario en gericht op business continuity. Deelnemers thuis reageren op een aantal dilemma’s die aan de crisistafel worden besproken en geven sturing aan de afhandeling van de crisis. Het scenario is na afloop van de oefening beschikbaar.
