Waarom cybersecurity niet stopt bij een IT-partner

Van verstoring naar echte ontwrichting

Een printer die niet werkt is vervelend, maar is te overzien. Een applicatie die tijdelijk hapert vraagt wat improvisatie, maar legt de organisatie niet direct stil. Dit soort situaties kun je zien als verstoring en die bevestigen de gedachte dat IT vooral ondersteunend is en dat er altijd wel een oplossing of omweg te vinden is om eventuele verstoringen op te lossen.

Maar niet elk IT-incident heeft dezelfde impact. Bij cyberincidenten spreken we van ontwrichting! Cyberincidenten zijn van een geheel andere orde. Denk bijvoorbeeld aan ransomware of langdurige uitval van systemen. Soms wordt de toegang tot cruciale data zelfs volledig afgesneden. In zulke situaties is doorgaan met het werk vaak geen optie. Processen vallen stil, medewerkers kunnen niet werken en essentiële informatie ontbreekt.

Dergelijke ontwrichting door een cyberincident is niet zomaar met wat improvisatie door de IT-leverancier op te lossen! Helaas realiseren veel ondernemers zich onvoldoende dat deze vorm van ontwrichting net zo reëel is als andere bedrijfsrisico’s!

Het overschatten van de rol van de IT-partner

Externe IT-partners worden (vaak onbewust) gezien als een vangnet voor alles wat maar met digitaal te maken heeft. Alsof zij niet alleen verantwoordelijk zijn voor de techniek, maar ook voor het beheersen van de gevolgen wanneer het misgaat. In gesprekken horen we regelmatig dat ondernemers ervan uitgaan dat dit “bij de IT-partner ligt”.

IT-partners spelen zonder twijfel een cruciale rol in het voorkomen en oplossen van technische problemen. Maar zij kunnen een organisatie niet beschermen tegen alle gevolgen van een cyberincident. Zij nemen geen beslissingen over bedrijfscontinuïteit, klantcommunicatie of welke risico’s eventueel nog acceptabel zijn. Zij kunnen niet bepalen welke impact een incident mag hebben op de onderneming. Die verantwoordelijkheid ligt altijd bij de ondernemer en het bestuur. Ook wanneer de (IT-) techniek is uitbesteed.

IT als onmisbare schakel in de bedrijfsvoering

Ondernemers onderschatten hoe diep IT inmiddels verweven is met de organisatie. Digitale systemen ondersteunen het werk niet alleen, zij maken het mogelijk. Planning, administratie, communicatie, productie en levering zijn vrijwel altijd afhankelijk van goed functionerende IT.

De vraag is daarom niet langer of een organisatie kan doorwerken als IT uitvalt? De vraag moet zijn hoe lang een organisatie kan doorwerken en tegen welke prijs? En vooral of daar vooraf bewuste keuzes over zijn gemaakt. Zonder dat inzicht ontstaat een gevaarlijke schijnzekerheid. De overtuiging dat problemen wel snel worden opgelost, terwijl nooit serieus is nagedacht over wat er gebeurt als dat niet zo is.

Verantwoordelijkheid vraagt om bewuste keuzes

Cybersecurity gaat verder dan alleen over bescherming, het gaat ook over het nemen van verantwoordelijkheid. Over het maken van keuzes: welke risico’s vinden we acceptabel. Welke systemen zijn cruciaal voor onze bedrijfsvoering. Waar willen we extra maatregelen treffen en waar accepteren we bewust een risico.

Voor veel MKB-ondernemers klinkt beleid op het gebied van cybersecurity zwaar of overdreven. In de praktijk zien we juist het tegenovergestelde. Duidelijke keuzes en afspraken geven richting. Niet alleen aan interne IT’ers, maar ook aan externe IT-partners. Het maakt helder wat belangrijk is en waar de grenzen liggen.

Leiderschap is onmisbaar

Cyberrisico’s zijn bedrijfsrisico’s. Dat betekent dat cyberrisico’s een thema is dat thuishoort op het hoogste managementniveau en vraagt om leiderschap. Niet omdat bestuurders zich met techniek moeten bezighouden, maar omdat zij verantwoordelijk zijn voor de gevolgen wanneer systemen uitvallen. Bestuurders hoeven niet te weten hoe een firewall werkt. Ze moeten wel begrijpen wat de impact is als systemen langere tijd niet beschikbaar zijn en welke keuzes daar vooraf bij horen.

Bij Securide helpen wij organisaties dat inzicht te krijgen. We maken digitale risico’s concreet en begeleiden ondernemers bij het maken van keuzes die passen bij hun organisatie en hun risicobereidheid. Niet door alles dicht te timmeren, maar door realistische scenario’s bespreekbaar te maken. Echte cyberweerbaarheid begint bij het besef dat niet elk incident snel en pijnloos wordt opgelost. En dat de verantwoordelijkheid voor die realiteit niet bij een IT-partner ligt, maar bij het leiderschap van de organisatie zelf.