Websites die ineens niet meer bereikbaar waren en organisaties die uit voorzorg hun online dienstverlening stillegden. Het PHP-lek van woensdag 21 oktober maakte in heel Nederland voelbaar hoe afhankelijk we zijn van digitale systemen. Wat was er aan de hand en wat kunnen ondernemers hiervan leren?

Tijdens de KOP-kennissessie ‘Gehackt op maandagochtend!’ op 15 oktober bespraken Dennis Aalbers van White Knights en Jarno Holleman van Howden wat een cyberincident voor een onderneming kan betekenen. Nog geen week later zorgden twee kwetsbaarheden in veelgebruikte software voor landelijke onrust.

Samen met beide experts kijken we naar wat er gebeurde en welke afspraken ondernemers kunnen maken om bij een volgend incident sneller te handelen.

Wat was het PHP-lek precies?

PHP is een programmeertaal die achter veel websites en webapplicaties zit. Denk aan webshops, klantportalen en boekingssystemen. De software verwerkt op de achtergrond gegevens en opdrachten, bijvoorbeeld wanneer een bezoeker inlogt of een bestelling plaatst.

Op 21 oktober werd bekend dat PHP twee ernstige beveiligingsfouten bevatte. Via die fouten kon een aanvaller van buitenaf, zonder in te loggen, opdrachten uitvoeren op de computer waarop een website draait.  Dat kon leiden tot overname van de server, diefstal van gegevens of verstoring van de dienstverlening. Diezelfde middag kwamen beveiligingsupdates beschikbaar om de fouten te verhelpen.

Waarom gingen zoveel websites offline?

Omdat PHP zo breed wordt gebruikt, moesten veel organisaties tegelijkertijd nagaan of hun systemen kwetsbaar waren. Het Nationaal Cyber Security Centrum (NCSC) adviseerde per systeem een risicoafweging te maken en websites waar nodig tijdelijk uit te schakelen.

Onder meer DigiD, MijnOverheid en Overheid.nl werden uit voorzorg offline gehaald. Ook verschillende ziekenhuizen en andere organisaties beperkten de toegang tot hun websites. Daarmee werd de impact voor bezoekers direct merkbaar, nog voordat duidelijk was of aanvallers de kwetsbaarheden daadwerkelijk hadden misbruikt.

Een onbereikbare website betekende dus niet automatisch dat een organisatie was gehackt. Op 23 oktober meldde het NCSC dat misbruik ingewikkelder bleek dan aanvankelijk werd ingeschat en grootschalig misbruik minder waarschijnlijk leek. De oproep om zo snel mogelijk te updaten bleef staan. Het werk is met die update niet klaar.

Deskundigen wijzen erop dat een update de deur sluit, maar niet laat zien of er al iemand binnen was. En oudere versies van PHP krijgen geen updates meer. Volgens deskundigen werkt dit nog maanden door.

Maak duidelijk wie waarvoor verantwoordelijk is

Dennis Aalbers is oprichter van White Knights. Vanuit dat bedrijf kijkt hij onafhankelijk mee naar de digitale veiligheid van ondernemingen en helpt hij ondernemers inzicht te krijgen in hun systemen, gegevens en de afspraken met hun IT-partijen.

Zijn belangrijkste les uit het PHP-lek: technische kennis is voor een ondernemer niet de eerste vereiste, overzicht wel.

“Wie vooraf weet wat er aan het internet hangt en wie wat doet, hoeft op zo’n dag alleen nog een paar telefoontjes te plegen.”

Dennis Aalbers, White Knights

Dennis noemt vier zaken die iedere ondernemer met de verantwoordelijke leveranciers zou moeten bespreken.

1. Welke systemen zijn via internet bereikbaar en wie beheert ze?
Denk aan de website, webshop, het klantportaal of boekingssysteem. Is de webbouwer verantwoordelijk voor het onderhoud, de hostingpartij of de IT-leverancier? Leg dit per systeem vast. Neem ook oudere toepassingen mee die weinig worden gebruikt, maar nog wel online staan.

2. Hoe snel worden beveiligingsupdates uitgevoerd?
Dennis adviseert vooraf concrete afspraken te maken over de snelheid waarmee ernstige lekken worden verholpen. Daarbij hoort ook een terugkoppeling: wanneer is de update daadwerkelijk uitgevoerd? Laat controleren of gebruikte software nog wordt ondersteund en plan tijdig de vervanging van verouderde versies.

3. Wie mag besluiten een systeem tijdelijk uit te schakelen?
Een website offline halen kan omzet kosten of klanten hinderen. Toch kan het nodig zijn om grotere schade te voorkomen. Volgens Dennis moet vooraf duidelijk zijn wie dat besluit mag nemen. Spreek ook af wie de technische uitvoering regelt en wie klanten en medewerkers informeert.

4. Wat gebeurt er na de update?
Dennis benadrukt dat het werk met het installeren van een update niet automatisch klaar is. De kwetsbaarheid is daarmee verholpen, maar dat zegt nog niet of iemand er eerder gebruik van heeft gemaakt. Zijn advies: vraag de beheerder welke controle nodig is op verdachte activiteiten en wat er gebeurt als er aanwijzingen voor een inbraak zijn.

Kijk naar de gevolgen voor het hele bedrijf

Naast overzicht en duidelijke verantwoordelijkheden is ook inzicht in de gevolgen van digitale uitval belangrijk. Vanuit Howden gaat Jarno Holleman in op wat dit betekent voor de bedrijfsvoering.

Jarno Holleman is Risk Consultant bij Howden. Vanuit risicomanagement kijkt hij naar de gevolgen van incidenten en de voorbereiding die nodig is om schade en stilstand te beperken.

“Het recente PHP-lek onderstreept een harde realiteit: één digitale kwetsbaarheid kan een complete productieketen ontwrichten. Cyberweerbaarheid is daarmee geen IT-prioriteit, maar een strategische verantwoordelijkheid van de directie.”

Jarno Holleman, Howden

Een onbereikbare webshop kan direct bestellingen kosten. Bij een maakbedrijf kan uitval van het plannings- of voorraadsysteem betekenen dat de productie vastloopt, terwijl de machines zelf nog prima werken. Ook een incident bij een leverancier of externe dienstverlener kan gevolgen hebben voor de eigen werkvloer.

In het paper van Howden over cyberrisico’s in de maakindustrie staan daarom vragen die verder gaan dan de beveiliging van computers. Wat kost één dag productiestilstand? Welke digitale systemen zijn essentieel om te kunnen werken? En kan het bedrijf blijven produceren als de systemen voor orders, voorraad en planning 72 uur niet beschikbaar zijn?

Oefen voordat het nodig is

Een praktisch advies uit het paper van Howden is om een cyberincident te oefenen met de directie, IT en de mensen die verantwoordelijk zijn voor de productie. Wie neemt de leiding? Wie wordt als eerste gebeld? En hoe worden medewerkers, klanten en leveranciers bereikt als ook de e-mail niet meer werkt?

Door dat vooraf samen door te nemen, wordt zichtbaar waar afspraken of alternatieven ontbreken. De vier vragen van Dennis bieden daarbij een concreet begin voor het gesprek met de webbouwer, hostingpartij of IT-leverancier.

Meer over de voorbereiding op digitale uitval staat in ons eerdere artikel met Howden: ‘Wie bel jij als morgenochtend de productie stilligt?’. Daar is ook het volledige paper over cyberrisico’s in de maakindustrie te downloaden.

Meer weten over cybersecurity?

Is er een specifieke vraag of behoefte aan meer verdieping? Neem contact op met Stefan Slenders. Deze input helpt ons om toekomstige activiteiten rond cybersecurity af te stemmen op de vragen en behoeften van onze partners.