Die organisaties besteden hun it en de bijbehorende beveiliging vaak uit naar it-partners. Als bedrijven dat uitbesteden zonder zelf enige kennis van zaken te hebben, worden er niet zelden onvolledige of verkeerde afspraken gemaakt. Spruit noemt als voorbeeld tuinders met klimaatcomputers die ervan overtuigd waren dat hun leverancier alle beveiliging regelde, terwijl die alleen het eigen systeem beveiligde. ‘Daar zit dus verwarring en onduidelijkheid’, concludeert Spruit. ‘Ze denken dat ze het goed uitbesteed en geregeld hebben, maar dat hebben ze dus niet en ze ontberen de kennis om daar tijdig achter te komen.’

Die menselijke factor speelt ook bij grotere organisaties. Daar bestaat vaak een kloof tussen werkvloer en bestuur. Beveiligers vangen kleine incidenten af voordat ze het management bereiken. Grote en moeilijk te voorkomen incidenten gebeuren zelden. Het gevolg: bestuurders denken dat er niets aan de hand is, totdat het eerste grote incident plaatsvindt. Spruit maakte het mee dat een bestuurder niet wist van een middelgroot incident van een maand eerder met miljoenen euro’s schade. ‘Het zijn allemaal menselijke dingen’, vat Spruit samen. ‘Het gaat over vertrouwen, afspraken maken, beslissingen nemen. De technologie komt er wel. Dat is een kwestie van implementeren.’

De balans tussen preventie en reactie

Al die menselijke factoren maken supply chain security complex. Maar hoe pak je het dan wél aan? Voor lage-frequentie, hoge-impact dreigingen kiezen organisaties veelal voor reactieve maatregelen. Die zijn relatief ‘goedkoper’ dan preventieve bescherming. Back-ups, uitwijkmogelijkheden en incident-response vallen in deze categorie. Maar bij snelgroeiende dreigingen zoals supply chain-aanvallen moet je die keuze verleggen, stelt Spruit. ‘Er kan zoveel rotzooi naar binnen komen dat je preventief al veel moet tegenhouden. Anders heb je om de haverklap problemen.’ Dat betekent filteren bij de poort, stevige afspraken met leveranciers over beveiliging en certificering en het beveiligen van je eigen systemen waar data van buitenaf binnenkomt.

Tegelijkertijd blijven reactieve maatregelen essentieel. Want hoe goed je ook beveiligt, er slipt vroeg of laat iets door dat groot en vervelend is. Spruit trekt een vergelijking met de luchtvaart: ernstige incidenten zijn zeldzaam omdat ze een combinatie van meerdere oorzaken vereisen, maar dat betekent niet dat er nooit meer wat gebeurt. ‘Daarom moet je voorbereid zijn. Je moet van tevoren nagedacht hebben over wat je doet als een cruciale dienst van buiten uitvalt’, legt Spruit uit. ‘Ondanks goede afspraken en vertrouwen, moet je toch nog rekening houden met dat er iets mis kan gaan en zorgen dat je ook in dat geval snel kunt handelen.’

Wat zijn je kroonjuwelen?

De kernboodschap van Spruit op het gebied van supply chain security is simpel maar confronterend: ‘Weet wat je hebt. Wat zijn je kroonjuwelen, wie zijn je leveranciers en welke connecties hebben je systemen?’ Zonder dat inzicht kun je de risico’s niet bepalen. En zonder risicoanalyse weet je niet welke maatregelen prioriteit hebben. In een wereld waarin supply chain-aanvallen steeds vaker voorkomen, is dat geen strategie, maar Russische roulette.