Ecosysteem CWB: hoe de hightechketen samen cyberweerbaar wordt

Tekst: Eveline Meijer

Het CWB opende in 2019 en richt zich op de hightechindustrie en hun ketenpartners. De organisatie ontstond uit een behoefte: diverse grote bedrijven in de sector communiceerden al langer met elkaar over cybersecurity via de Eindhovendse Cyber Security Groep.

Maar de keten was daar niet bij betrokken, terwijl ook daar risico’s spelen. Er zijn genoeg voorbeelden van cybercriminelen die bij leveranciers inbreken en zo de keten platleggen, of van daaruit doorbreken bij een grotere klant. “Juist de kleine organisaties die minder veilig zijn, vormen prima springplanken naar de grote jongens”, zegt Oosterbosch.

De grote organisaties hadden via de Eindhovendse Cyber Security Groep al een vertrouwensband opgebouwd, die ze wilden behouden. Daarom kwam er daarnaast het CWB, met ruimte voor meer organisaties. Daar zijn inmiddels 86 organisaties lid van, met enorme volwassenheidsverschillen, zegt Oosterbosch. “Van beginners tot het hoogst denkbare en haalbare niveau. We hebben leden met complete securityteams van een paar honderd man, maar ook MKB’ers die volledig afhankelijk zijn van een IT-dienstverlener en zelf geen kaas hebben gegeten van IT of OT.”

Een ecosysteem voor security

De gemeenschappelijke doelstelling van het ecosysteem CWB is duidelijk: de cyberweerbaarheid van alle aangesloten organisaties vergroten – iets waar iedere partij zich in kan vinden. “Je gunt geen ondernemer dat hij wordt platgelegd en failliet gaat, omdat een crimineel aan de andere kant van de wereld snel geld wil verdienen”, zegt Oosterbosch. Bovendien zijn veel organisaties nauw met elkaar verbonden in de keten. “Je hebt een sterke onderlinge afhankelijkheid. Op het moment dat hier een ondernemer wordt geraakt, raakt dat ook direct anderen.”

Maar hoe werk je dan samen aan cybersecurity? Dat gaat op verschillende manieren, vertelt Oosterbosch: leden delen kennis en ervaring binnen de groep, en ze leggen ook veel rechtstreekse lijntjes. “Als het over onderwerpen gaat waar iemand meer ervaring mee heeft en waar een ander nog stappen in wil zetten, dan wordt er regelmatig direct contact gelegd. Zo helpen ze elkaar verder.”

Ook wisselen organisaties mankracht en middelen uit, niet alleen bij een incident, benadrukt Oosterbosch. “Het kan zijn dat een partij van groot belang is voor een organisatie, maar zelf nog stappen moet zetten op het gebied van cybersecurity. Dan biedt zo’n afnemer tijdelijk hulp.”

Daarnaast komt er vanuit het CWB zelf ondersteuning voor cybersecurity. Zo heeft het CWB vorig jaar twee cybercrisissimulaties gedraaid: één voor beginnende en één voor intermediate en advanced organisaties. Ook staan er hulpkaarten op de website met basismaatregelen die iedere organisatie moet nemen. “En als je meer verdieping wilt, kun je op ons portaal terecht”, zegt Oosterbosch. “Maar wij zijn al blij met iedere stap die een organisatie zet.”

Het CWB heeft dan ook al incidenten voorkomen, al kan Oosterbosch vanwege vertrouwelijkheid geen voorbeelden geven. “Maar we hebben een app waarmee participanten met elkaar in contact staan. Signaleert iemand iets wat anderen moeten weten, dan zet hij dat op de app, zodat anderen snel geïnformeerd zijn. Die app wordt ook gebruikt om vragen te stellen. Het werkt dus echt.”

Onderling vertrouwen

Ieder ecosysteem staat of valt met een aantal basisbenodigdheden – allereerst onderling vertrouwen. Vertrouwen organisaties elkaar niet, dan wisselen ze niets uit en stort het ecosysteem als een kaartenhuis in elkaar.

Bij cybersecurity was dat lange tijd een uitdaging. “Hier heeft heel lang een taboe op gerust”, weet Oosterbosch. “Je wilde niet dat een ander wist dat jij slachtoffer was geworden. Maar gelukkig zijn we nu op het juiste pad: erkennen dat je heel veel kunt doen en alsnog het haasje kunt zijn. Die erkenning leidt ertoe dat je elkaar gemakkelijker kunt vertrouwen. Je weet dat een ander echt de vuile was niet buiten gaat hangen, maar er juist is om je te helpen.”

Gedragsverandering

Ook gedragsverandering is belangrijk, in veel ecosystemen een uitdaging. Bij cybersecurity zijn bijvoorbeeld flinke investeringen nodig die commercieel niet meteen iets opleveren. “Cybersecurity is geen project met een eindstreep, maar een doorlopend proces”, benadrukt ook Oosterbosch. “Maar als je je zaken op orde hebt, ben je wel een betrouwbare partner. Die realisatie moeten organisaties krijgen, want als je geen betrouwbare partner bent, kun je straks mogelijk geen zaken meer doen.”

Daar komen vaak ook formulieren en ander papierwerk bij kijken, vanwege wet- en regelgeving. “Zeker bij kleinere organisaties kan dat irritatie opwekken: al die vragenlijsten van afnemers zijn frustrerend voor een ondernemer die daar niemand voor heeft en het er ook nog bij moet doen.”

Dit soort realisaties – dat cybersecurity écht nodig is, ondanks de investeringen en frustraties – moeten bij sommige organisaties nog doordringen. “Daar kunnen wij niet in bemiddelen. Het vraagt een cultuuromslag, en die vergt veel tijd”, concludeert Oosterbosch.

Zelfs een incident bij een organisatie zelf is daar niet voldoende voor. “Op het moment dat een organisatie zo’n ervaring heeft, werkt dat misschien nog een jaartje door. Maar daarna zakt het weg uit het geheugen, neemt de alertheid af en gaan mensen weer over tot de orde van de dag. Je moet ze dus steeds herinneren aan wat er gebeurd is en aan het belang van cybersecurity.”

Lastig daarbij is dat cybersecurity voor veel mensen ingewikkelde materie is. “Je hebt er een stuk kennis voor nodig. Het is niet bepaald gezellige gespreksstof voor ’s avonds op de bank.”

Wel geldt voor de deelnemende organisaties dat zij zich vrijwillig hebben aangesloten. “Dan ga je er ook vanuit dat ze hier zelf wat aan willen doen. Ze hebben in ieder geval een bepaald bewustzijn, anders sluiten ze zich niet aan.”