Hacks gebeuren nu eenmaal

U bent er zo open over’, krijgt burgemeester Sebastiaan van ’t Erve vaak te horen als hij spreekt over de hack van Lochem in juni 2019. Hij heeft al vaker gesproken de technische kant van de hack, over hoe Lochem door het oog van de naald is gekropen, maar voor het Centrum voor Informatiebeveiliging en Privacybescherming spreekt hij over de communicatie daarna. ‘Wat mij overdonderde is dat mijn benadering zo bijzonder werd gevonden.’

‘Het was een beslissing die ik in een seconde maakte.’ Als de gemeente inderdaad was gehackt dan wilde hij zo open, eerlijk en transparant mogelijk zijn. Door het zelf naar buiten te brengen, kon de gemeente ook grip houden. ‘Achteraf kan ik alleen maar constateren dat ons dat heel veel goed heeft gedaan.’

Klik hier om het webinar te bekijken

Falen

Om zo snel en duidelijk mogelijk te communiceren, paste Van ’t Erve de communicatie aan op de doelgroep. ‘De lokale media zijn de mensen die je het beste kent, maar hun behoefte is anders dan die van een specialist van een nationale krant.’ Zorg dus voor de deskundigen en de woordvoerders bij elkaar zitten.
Voor de burgers werden de algemene communicatiekanalen gebruikt. ‘We wilden iedereen een oprecht en uitlegbaar verhaal geven. We hebben gezegd: sorry, als overheid falen we nu even. We hadden het niet zo gewild, maar hacks gebeuren nu eenmaal.

Hopeloos naïef

Dat hacks nu eenmaal gebeuren, is volgens Van ’t Erve belangrijk om te erkennen. ‘De enige veilige computer is eentje die niet gebouwd is. Zero risk is hopeloos naïef. Het enige wat we kunnen doen is ons realiseren dat we in een digitaal ecosysteem zitten en dat dat barst van de risico’s.’ Voorkomen is een onderdeel, maar minstens zo belangrijk is wat er gebeurt als de gemeente al is gehackt. ‘Denk daarover na: wat kunnen we nou nog meer doen als de ruggengraat in elkaar zakt.’

GGD

De heibel bij de GGD demonstreert weer de noodzaak om dit soort vragen te stellen. Uit berichtgeving van RTL Nieuws blijkt dat er grootschalige wordt gehandeld in persoonsgegevens afkomstig uit coronasystemen van de GGD. ‘Hoe gaan we hier in vredesnaam het vertrouwen in herstellen tegenover inwoners? Of de GGD voldoende heeft zal moeten blijken, maar het is strontvervelend dat we hier nu mee zitten en het is voor heel veel mensen een probleem. Dat is een risico dat bestaat. Zo is voor mij de invulling van de dag van de privacy.’

Bestaansrecht

De ruggengraat van de hele organisatie – zo ziet Van ’t Erve de digitale systemen. ‘Tegenwoordig bepaalt de digitale portefeuille je hele functioneren en daarom vind ik het chefsache. Ik ga het niet allemaal zelf doen, ik verwijs wel naar technici, maar die basisprincipes ken ik wel. Als het digitale systeem in de knoei komt dan raakt het je bestaansrecht.’
Iedereen was betrokken toen Lochem gehackt was, maar niemand was verantwoordelijk. ‘Goddank zijn wij een kleine gemeente. Een CISO van een grote gemeente vertelde me dat hij niet eens wist wie hij moest bellen.’ En over het nog grotere plaatje wordt volgens hem te weinig nagedacht. ‘Update alles, zorg dat je goeie wachtwoorden hebt, gebruik tweestapsverificatie. Maar een netwerk is vele malen ingewikkelder en dat hebben we niet goed genoeg ingericht.’

Grote klap

Hij vergelijkt het met de ketenveiligheid in de landbouw, waar van ieder ei te bepalen is waar het vandaan komt. ‘De ketenveiligheid tussen verschillende partners in digitale processen is niet georganiseerd. Het is kinderschoenenwerk. Al die dwarsverbanden, die keteneffecten. Niet die kolommetjes naast elkaar, maar het hele ecosysteem. Wat nou als daar een grote klap tegenaan komt?’
Daarom zijn oproep aan de Haagse politiek, in aanloop naar de verkiezingen: ‘Open je ogen, zie hoe groot het risico is en ga organiseren.’

Dit artikel werd eerder geplaatst op Binnenlandsbestuur.nl