Cybersecurity crisiscommunicatie: praktijk, maar waar blijft de theorie?

“Until you have expe­rienced something like this, you don’t realize just what can happen, just how serious it can be…,” zei Maersk CEO Soren Skou in 2017 nadat zijn bedrijf was getroffen door de NotPetya cyber­aanval. “I had no intuitive idea on how to move forward,” vervolgde hij. Dit is, in een notendop de toege­voegde waarde van cyber­se­cu­rity crisis­com­mu­ni­catie. Om orga­ni­sa­ties te helpen orde te scheppen in de chaos die cyber­crises zijn, lanceerden wij dit jaar als Burson, Cohn & Wolfe (BCW) BCW CyberTREE, een stra­te­gisch commu­ni­ca­tie­model dat orga­ni­sa­ties helpt de crisis­com­mu­ni­catie vorm te geven tijdens cyber­crises. 

De noodzaak voor derge­lijke handvaten is er in toene­mende mate. In 2017, het jaar van de NotPetya cyber­aanval, becij­ferde Deloitte dat de econo­mi­sche schade door cybe­rin­ci­denten in alleen Nederland toen al op circa 10 miljard euro per jaar lag. Afgelopen jaar was maar liefst 68

procent van zowel private als publieke instel­lingen het slacht­offer van één of meerdere cyber­aan­vallen – voor­na­me­lijk CEO-fraude, Ransom­ware, Phishing, Malware en DDoS-aanvallen. 

Het besef van het belang van cyber­se­cu­rity is toege­nomen en veel orga­ni­sa­ties hebben inmiddels stappen gezet. Deze zijn echter vooral gericht op het voorkomen van cybe­rin­ci­denten en de praktijk wijst uit dat de preven­tieve maat­re­gelen niet altijd het gewenste effect sorteren. Zelfs de grootste en meest veilig­heids­be­wuste orga­ni­sa­ties zijn niet immuun voor breaches. Waar het dan vervol­gens op neerkomt is het paraat hebben van een up-to-date en beproefd crisis­com­mu­ni­ca­tie­plan. 

Wat wij daar­en­tegen veel zijn tegen­ge­komen bij het bestu­deren van een groot aantal cyber­cases en onze eigen erva­ringen uit de inter­na­ti­o­nale advies­prak­tijk van BCW, is dat veel orga­ni­sa­ties juist hier tekort­schieten. Als er al scenario’s klaar­liggen, dan dekken deze veelal niet cyber­crises en houden plannen niet of weinig rekening met de complexe en unieke commu­ni­ca­tieve uitda­gingen die spelen bij dit soort incidenten.

De standaardisering van cybersecurity

De toename van het aantal cybe­rin­ci­denten is, niet geheel verras­send, gepaard gegaan met toene­mende forma­li­satie van het domein van cyber­se­cu­rity. Waar het lange tijd zo was dat cyber­se­cu­rity louter onderdeel was van algemene wet- en regel­ge­ving (denk daarbij aan de AVG), is cyber­se­cu­rity tegen­woordig zelf ook steeds vaker onderwerp van nieuwe wet- en regel­ge­ving. Voor­beelden zijn de EU Cyber­se­cu­rity Act, de EU Richtlijn Netwerk- en Infor­ma­tie­be­vei­li­ging (in Nederland ingevoerd als de Wbni) en de Tele­com­mu­ni­ca­tiewet. Hoewel de nieuwe regel­ge­ving zich in het bijzonder richt op speci­fieke aanbie­ders of sectoren, is er wel een duide­lijke trend zichtbaar richting de (verplichte) certi­fi­ce­ring van cyber­se­cu­rity standaarden.

Naast toege­nomen aandacht voor adequate wet- en regel­ge­ving, heeft de stan­daar­di­se­ring van cyber­se­cu­rity vooral haar weerslag op de cyber­se­cu­rity verze­ke­rings­markt. Deze markt is op zijn zachtst gezegd big business. Want behalve de evidente cybe­rim­pact waar bedrijven bij crises mee te maken krijgen en de opera­ti­o­nele respons die daarop volgt, is er steeds vaker ook een grote bedrijfs­im­pact. Dit zagen we bijvoor­beeld in 2017 met Uber: het bedrijf werd aange­klaagd omdat het naliet een cybe­rin­ci­dent te melden. In datzelfde jaar vond er bij Equifax een groot datalek plaats waardoor de CEO moest aftreden en trof het bedrijf in januari van dit jaar een schikking die kan oplopen tot wel 425 miljoen dollar. En nadat Yahoo toegaf dat zij was getroffen door een cyber­aanval, verloor het bedrijf 350 miljoen dollar van zijn beurswaarde.

De cyber­se­cu­rity verze­ke­rings­markt helpt om de finan­ciële gevolgen van verschil­lende cybe­rin­ci­denten te mitigeren, waaronder data­lekken, onder­bre­kingen in de bedrijfs­voe­ring en netwerk­schade. Een robuuste markt voor cyber­se­cu­rity-verze­ke­ringen, zo is althans de gedachte, zou het aantal succes­volle cyber­aan­vallen kunnen helpen vermin­deren door orga­ni­sa­ties in staat te stellen preven­tieve maat­re­gelen te imple­men­teren in ruil voor meer dekking en door het stimu­leren van de toepas­sing van best practices door premies te baseren op het bescher­mings­ni­veau van een verze­kerde. Vanwege de hoge kosten en verwar­ring over wat precies wordt gedekt, staan niet alle bedrijven te trappelen het risico van een cybe­rin­ci­dent af te dekken. Desal­niet­temin heeft in de Verenigde Staten het Cyber­se­cu­rity and Infra­struc­ture Agency (CISA) belang­rijke stappen gezet om dit opkomende cyber­ri­si­co­ge­bied te formaliseren.

Maar hoe staat het met de forma­li­se­ring van cyber­se­cu­rity crisis­com­mu­ni­catie? Een cyber­se­cu­rity crisis heeft niet alleen een directe impact op de bedrijfs­voe­ring, maar zet ook het vertrouwen van stake­hol­ders in de orga­ni­satie onder druk. De repu­ta­tie­schade die daaruit voortkomt wil je beperken. Wij hebben vanuit de advies­prak­tijk van BCW gemerkt dat de drei­gingen op het gebied van cyber­se­cu­rity steeds geavan­ceerder worden, en dat de wijze waarop we omgaan met de crisis­com­mu­ni­catie rondom dit onderwerp geen gelijke tred heeft gehouden met de snelheid waarmee de dreiging verandert. 

De complexiteit van cybersecurity crisiscommunicatie

Terug­vallen op bestaande crisis­com­mu­ni­ca­tie­plannen is in het geval van een cybe­rin­ci­dent geen optie. Andere crisisscenario’s, variërend van het uitvallen van het stroom­net­werk tot fraude, houden geen rekening met hoe te commu­ni­ceren over bijvoor­beeld het verlies van persoon­lijke iden­ti­fi­ceer­bare infor­matie of intel­lec­tueel eigendom van bedrijven. 

Commu­ni­catie met publiek en stake­hol­ders wordt bemoei­lijkt omdat je te maken hebt met heel veel mogelijke scenario’s. Onze BCW CyberTREE houdt bijvoor­beeld rekening met 25 factoren die het repu­ta­tie­ri­sico tijdens een cybe­rin­ci­dent beïn­vloeden. Je weet vaak ook niet meteen waar de dreiging (threat actor) vandaan komt. Het maakt voor de aanpak uit of dit een staat is, een crimineel netwerk, een daad van iemand binnen de orga­ni­satie of een zoge­noemde lone wolf. Een staat bijvoor­beeld, opereert tijdens een cyber­aanval vaak clan­des­tien en is vaak ‘slechts’ uit op bedrijfs­data. Criminele netwerken daar­en­tegen, zullen het niet nalaten sociale media te gebruiken als een manier om druk uit te oefenen en zo de aange­vallen orga­ni­satie in het geval van ransom­ware te dwingen het losgeld te betalen.

Een andere compli­ce­rende factor is dat het niet altijd van meet af aan duidelijk is dat er een cybe­rin­ci­dent heeft plaats­ge­vonden. Wanneer je dit verge­lijkt met bijvoor­beeld een olieramp op zee dan is het moment waarop de spreek­woor­de­lijke ‘shit’ het ‘fan’ heeft geraakt, vrij makkelijk aan te duiden. 

Cyberin­breuken worden daar­en­tegen veelal eerst opgemerkt door buiten­staan­ders – partners, afnemers, toezicht­hou­ders of, god verhoede, de media – voordat de orga­ni­satie in kwestie er zelf weet van heeft. Inbreuken treden bovendien vaak langdurig op en soms duurt het maanden eer een cyber­aanval wordt gede­tec­teerd of dat hackers zich melden met hun eisen. Dit bleek nog maar eens met de in de Neder­landse media breed uitge­meten cyber­aanval op de Univer­si­teit Maas­tricht. Uit onderzoek dat Fox-IT na de afwik­ke­ling van de aanval heeft verricht, bleek dat de aanvaller al halver­wege oktober 2019 via phishing e‑mails zichzelf toegang heeft verschaft tot het netwerk van de univer­si­teit. Vervol­gens heeft de hacker gedurende de daar­op­vol­gende twee maanden ook toegang gekregen tot de rest van het netwerk en is uitein­de­lijk op 23 december de ransom­ware uitgerold, waarmee op 267 servers alle bestanden zijn versleu­teld. Pas op dat moment is door de hackers losgeld geëist om de versleu­te­ling van de data­be­standen op te heffen.

Het maakt nogal verschil of een inbreuk wordt ontdekt op dag drie of pas na een paar maanden; niet alleen voor de opera­ti­o­nele respons, maar ook vanuit commu­ni­ca­tie­oog­punt. Lange vertra­gingen bij het detec­teren van cyberin­breuken maken de crisis niet alleen moei­lijker te beheren, maar ook om uit te leggen aan stake­hol­ders. De perceptie van stake­hol­ders over hoe je als orga­ni­satie een cyber­aanval afwikkelt, kan net zo belang­rijk zijn als het tech­ni­sche herstel na een aanval zelf. Dit maakt het voor orga­ni­sa­ties lastig zich goed voor te bereiden en een op maat gemaakte commu­ni­ca­tie­stra­tegie te ontwikkelen.

Waar een succesvolle cybersecurity crisiscommunicatiestrategie aan moet voldoen

Vanwege het grote aantal factoren dat bepalend is voor cyber­se­cu­rity crisis­com­mu­ni­ca­tie­stra­te­gieën, is de vuist­regel dat het nooit afdoende is om simpelweg één cyber­se­cu­rity scenario paraat te hebben. Er dient rekening te worden gehouden met zaken als het type dreiging en de respons – wat is er al gedaan om de aanval een halt toe te roepen en wat is de geper­ci­pi­eerde effec­ti­vi­teit hiervan? Verder is het belang­rijk stil te staan bij de verwach­tingen en de uitvoe­ring van het stra­te­gi­sche commu­ni­ca­tie­plan in de aanloop, tijdens en na de open­baar­ma­king van de cyber­crisis. Drie uitgangs­punten dienen leidend te zijn bij de imple­men­tatie van een succes­volle cyber­se­cu­rity crisiscommunicatiestrategie:

1. Bedrijfs­re­pu­tatie is essen­tieel voor cyberweerbaarheid

Vroeger draaide cyber­se­cu­rity om preventie, maar orga­ni­sa­ties begrijpen steeds beter dat preventie niet genoeg en domweg niet mogelijk is. Een hersteld netwerk heeft geen waarde als je vervol­gens je klanten en het vertrouwen van partners bent kwijt­ge­raakt. Het is belang­rijk te reali­seren dat iedere actie die het interne Computer Security Incident Response Team (CSIRT) onder­neemt, gevolgen heeft voor de bedrijfs­re­pu­tatie, merkaf­fi­ni­teit en het poten­tiële vermogen van een orga­ni­satie weer op te starten na een cyber­crisis. Nauwe samen­wer­king tussen CSIRT en de commu­ni­ca­tie­teams – evenals de juri­di­sche afdeling en het foren­si­sche onderzoek – is derhalve essen­tieel om te zorgen dat orga­ni­sa­ties kunnen herstellen en weer gedijen na een cyber­se­cu­rity-crisis. 

2. Cyber­se­cu­rity crisis­com­mu­ni­catie is een func­tie­over­schrij­dende CSIRT verant­woor­de­lijk­heid 

Een cyber­se­cu­rity-inci­den­tres­pons­plan is onvol­ledig als crisis­com­mu­ni­catie niet in het protocol is opgenomen. Het uitvoeren van realis­ti­sche, cyber­spe­ci­fieke crisis­si­mu­la­ties is cruciaal om te testen of tijdens crises snel en efficiënt de koppeling wordt gelegd tussen commu­ni­ca­tie­spe­ci­a­listen en de interne CSIRT en daarbij rekening te houden met de belang­rijke wet- en regel­ge­ving, bericht­ge­ving in media,  en de speci­fieke uitda­gingen die inherent zijn aan de foren­si­sche aspecten van cybersecurity.

3. Cyber­se­cu­rity crisis­com­mu­ni­ca­tie­stra­tegie moet rekening houden met feiten en speculatie

Tijdens cyber­se­cu­ri­ty­crises komen feiten vaak langzaam boven bijvoor­beeld omdat het foren­sisch onderzoek nog gaande is. Intussen verstoort specu­latie bij klanten, werk­ne­mers, bloggers en zelfs concur­renten, de bedrijfs­voe­ring. Het is de taak van commu­ni­ca­tie­pro­fes­si­o­nals rekening te houden met specu­latie en te anti­ci­peren op het type vragen dat gesteld kan en veelal ook gaat worden. Dit kan leiden tot frictie met de foren­si­sche en tech­ni­sche speci­a­listen die simpelweg de opera­ti­o­nele kant van een cyber­se­cu­ri­ty­crisis zo snel en efficiënt mogelijk willen oplossen. Daarom is een manier nodig om een gestruc­tu­reerd en stra­te­gisch proces op gang te brengen in de gesprekken met allen die betrokken zijn bij de respons op een cyber­se­cu­ri­ty­crisis. Een commu­ni­ca­tie­plan voor cyber­se­cu­ri­ty­crises helpt orga­ni­sa­ties te anti­ci­peren op en zich voor te bereiden op scenario’s die de respons, om het voor­zichtig uit te drukken, kunnen bemoeilijken.

Cybersecurity ingebed in de communicatiepraktijk

Cyber­se­cu­rity is de afgelopen jaren uitge­groeid tot een serieus aandachts­ge­bied voor overheden en bedrijven. Vanwege onze toene­mende afhan­ke­lijk­heid van digitale processen is de groeiende stan­daar­di­se­ring van dit domein – van verze­ke­ringen tot nieuwe wet- en regel­ge­ving – niet meer dan logisch. Dat crisis­com­mu­ni­catie achter­blijft is echter opmer­ke­lijk. Volledige cyber­vei­lig­heid is domweg niet te garan­deren en als orga­ni­sa­ties werkelijk handelen vanuit een niet ‘als’, maar ‘wanneer’ mindset dan hoort de tijdige aandacht voor een gedegen cyber­se­cu­rity commu­ni­ca­tie­prak­tijk daar zonder enige twijfel bij.

Daniël Turk is werkzaam als consul­tant bij Burson, Cohn & Wolfe in Den Haag.