Zo verklein je cyberrisico’s in de toeleveringsketen

Vlak voor de zomer gingen de alarm­bellen af bij GitHub, Microsoft en Red Hat. In een aantal beheertools en herbruikbare softwarecomponenten voor JavaScript-code – zogeheten npm-packages – was listig verpakte malafide code aangetroffen. Aanvallers proberen op die manier via opensourcesoftware binnen te dringen bij toeleveranciers om via de achterdeur bij interessante bedrijven te komen. Daarnaast neemt met de komst van nieuwe AI-modellen zoals GPT-6 Astra en Claude Mythos de schaal en de snelheid toe waarmee kwaadwillenden kwetsbaarheden in software kunnen opsporen. Zij richten zich daarbij in toenemende mate op toeleveringsketens omdat één zwakke schakel bij een bedrijf toegang biedt tot vele andere organisaties die mogelijk over waardevolle data beschikken.

Hoe bescherm je de eigen organisatie tegen aanvallen die via vertrouwde partners binnenkomen, is een vraag die veel CIO’s en CISO’s bezighoudt. Je open opstellen naar partners helpt om gezamenlijk snel te kunnen innoveren en flexibel in te spelen op veranderende vragen uit de markt. Dat moet echter geen nieuwe risico’s opleveren voor de bedrijfscontinuïteit. Hoeveel investeer je in geavanceerde methoden om kwaadwillenden buiten het netwerk te houden? “Cybersecurity blijft een lastige businesscase. De kosten die je moet maken zie je direct, maar de schade die daarmee wordt vermeden, is heel moeilijk te berekenen”, stelt Michiel van der Veen, Business Director Cybersecurity bij TNO.
Cybersecurity is in essentie resilience­management, benadrukt Abhistha Abhistha, universitair hoofddocent Finance and Cyber Risk Management aan de Universiteit Twente. Veiligheid zelf is moeilijk waarneembaar; het gebrek eraan wordt pas duidelijk wanneer het misgaat. “We hebben resiliencemanagement nodig omdat we moeten begrijpen waar de grootste risico’s vandaan komen en de mogelijkheden hebben om ze daarna in realtime te kunnen afdekken.”
De eerste stap daarin, legt Abhistha uit, is inventarisatie. “Je moet weten wat je hebt, voordat je kunt bepalen welke assets daadwerkelijk aangevallen kunnen worden.”
Dat gaat niet alleen op voor de eigen organisatie, maar net zo goed voor de kwetsbaarheden bij leveranciers. Daarna is het pas mogelijk om te bepalen welke assets en afhankelijk­heden essentieel zijn voor de bedrijfsprocessen. Daar liggen dan de prioriteiten voor de beveiliging.

­In theorie is het maken van een inventarisatie een logische stap, maar de uitvoering daarvan blijkt vaak bijzonder moeilijk. “Het grootste probleem is vaak dat die inventarisatie pas achteraf gebeurt”, constateert Hidde-Jan Jongsma, cybersecurity researcher bij TNO. “Eigenlijk wil je een Software Bill of Materials (SBOM) hebben voordat je software installeert.”
In een SBOM zijn alle componenten en versies van gebruikte libraries vastgelegd. Doet zich een kwetsbaar­heid voor, dan kun je veel sneller opsporen of die component ook onderdeel is van de gebruikte software. “Je hoeft dan niet de hele infrastructuur te scannen of mails te sturen naar de leveranciers. Je kunt dan de lijst nalopen die je hebt opgesteld.”
Een probleem is wel dat software­leveranciers vaak terughoudend zijn met het opstellen van een SBOM om geen intellectueel eigendom prijs te geven. “Daarom is het heel belangrijk dat het SBOM-verhaal wordt ingebed in de grotere transparantie- en assurance-beweging binnen software-supplychains.”

Van der Veen noemt in dat kader initiatieven zoals het Brabant House of Cyber. Dit is een publiek-private innovatiecoalitie voor de hightechsector met als doel de digitale weerbaarheid van bedrijven in die ketens in Noord-Brabant structureel te vergroten. “Door met de hele toeleveringsketen samen te werken, kun je afspraken maken om die keten beter te beveiligen.” Later dit jaar publiceert TNO ook een hulpmiddel dat organisaties moet helpen bij het verbeteren van de veiligheid van hun toeleveringsketen en hun producten.
Van der Veen vertelt dat ook in andere regio’s gesproken wordt over de oprichting van een House of Cyber. In Zuid-Holland wordt bijvoorbeeld gewerkt aan een cybercoalitie voor de energiesector.

Abhistha spreekt in dat verband over het belang van sectorale CERT-organisaties (Computer Emergency Response Teams). Die verzamelen en delen dreigingsinformatie en kunnen getroffen organisaties ook technisch ondersteunen. Eigenlijk zou elke sector zo’n sectorale CERT moeten hebben om gezamenlijk te kunnen reageren op incidenten. “Een sectorale CERT-organisatie helpt vertrouwen tussen betrokkenen op te bouwen, zodat zij informatie kunnen delen..”

Operationele technologie (OT) in de vorm van machines met embedded software is in veel sectoren een apart probleem. Omdat de levenscyclus van de producten in deze categorie soms wel tien of twintig jaar is, loopt de cyberbeveiliging al gauw achter op de ontwikkeling van nieuwe bedreigingen. In het verleden speelde de noodzaak om een snelle software-update uit te kunnen voeren geen rol bij het ontwerp. Abhistha wijst erop dat bij de ontwikkeling van nieuwe OT-apparatuur rekening moet worden gehouden met een modulaire opzet en security-by-design. “Ik denk dat IT-security en OT-security, die nog vaak bij aparte teams zijn belegd, veel meer in samenhang moeten worden bekeken.”

De grote verschillen die bestaan tussen organisaties betekenen automatisch dat het ontwikkelen van goed cyberrisicomanagement maatwerk is. Bovendien is het werken daaraan nooit klaar en moet het een continu aandachtspunt in de organisatie zijn. Jongsma vindt dat voortdurend duidelijk moet zijn wie verantwoordelijk is voor dit risico­management en welke middelen daarvoor beschikbaar zijn. “Zorg dat processen, afspraken en maatregelen goed zijn ingericht en evalueer regelmatig of ze nog werken zoals bedoeld. Dat is waar een organisatie echt zelf mee aan de slag moet gaan. Het is niet een boekje dat je even kan downloaden.”