Tekst BKB

Het Cyber Weerbaarheidscentrum Brainport (CWB) uit Eindhoven is onlangs door het NCSC benoemd tot OKTT. Dat betekent dat het CWB Objectief Kenbaar Tot Taak (OKTT) heeft om hun doelgroep te informeren over cyberdreigingen en -incidenten. In de Nederlandse maak & high-tech industrie - die het CWB bedient - is het cruciaal dat het hele ecosysteem snapt wat het belang is van cyberveiligheid. “Je moet ernaar streven om ieder achterdeurtje te vergrendelen”, aldus Paul van Nunen, bestuurder van het CWB.

Het Cyber Weerbaarheidscentrum Brainport als OKTT

Om te begrijpen welke rol het CWB speelt in de strategie van het NCSC, doen we eerst een stapje terug. In de Wet beveiliging netwerk- en informatiesystemen (Wbni) staat dat het NCSC zich richt op twee doelgroepen: de Rijksoverheid en de vitale infrastructuur. Om een digitaal veilig Nederland voor elkaar te boksen, moet het NCSC samenwerken met organisaties die andere doelgroepen dekken, zoals het CWB. Door het benoemen van organisaties als het CWB tot OKTT kan het NCSC dreigingsinformatie over kwetsbaarheden en dreigingen met het CWB delen. Deze samenwerking heet het Landelijk Dekkend Stelsel en is een stap van het NCSC om op landelijk niveau naar een volwassen aanpak van cybersecurity te groeien, zoals omschreven in het eerste NCSC magazine.

“Door een netwerk van verschillende partijen op te zetten werk je toe naar een dekkend stelsel”, zegt José Teuwen die bij het NCSC werkt binnen het team Landelijk Dekkend Stelsel en verantwoordelijk is voor de aanwijzing van nieuwe OKTT’s. Het situationele beeld van het NCSC wordt daardoor breder. “Als NCSC zijn we altijd op zoek naar informatiebronnen. Die informatie hebben we nodig om actuele digitale dreigingen beter te kunnen begrijpen.” Brainport speelt daar een belangrijke rol in. “Zij kunnen als groot cyberweerbaarheidscentrum het NCSC weer dingen leren. Zoals wat er speelt in die sector, maar ook of er behoefte is aan eventuele andere diensten of producten die het NCSC zou kunnen aanbieden.”

Open innovatie

Van Nunen ziet Brainport als een innovatief ecosysteem waar plek is voor open innovatie: “Er is wereldwijd een enorme vraag naar het type oplossingen dat wij in deze regio kunnen bieden. Maar we hebben in Nederland en in Europa niet de budgetten die ze in andere landen wel hebben. Daarom geloven we hier in open innovatie. Vroeger had je Philips, een enorm bedrijf waarbinnen innovatie plaatsvond. Dat is nu anders, innovatie vindt plaats op een grote open campus waar iedereen samenwerkt. Dat ingewikkelde systeem van samenwerken proberen we vanuit Brainport te faciliteren, met bijvoorbeeld opleidingsprogramma’s voor technisch talent en een innovatieprogramma waarbij ondernemers kunnen aansluiten.”

“Dat ecosysteem, dat is de sleutel”, zegt Aernout Reijmer, Chief Information Security Officer bij ASML. “Bij ASML maken we enorm complexe machines, met meer dan 180.000 elementen van allerlei verschillende leveranciers. Er werken hier 45.000 mensen, waarvan de helft intern en de andere helft extern. Zo’n enorme organisatie en een complex product met verschillende leveranciers betekent dat je vanuit security moet kijken naar het hele ecosysteem dat nodig is om zo’n product te maken: intern moet je de security op orde hebben, maar je partners en suppliers moeten dat ook.”

Van Nunen: “Het belang van cybersecurity is daardoor enorm toegenomen, bij al die verschillende partijen. Dat zijn er hier in de regio zo’n zevenduizend. En ik heb geen knop op mijn bureau waardoor al die zevenduizend partijen ineens hun cybersecurity op orde hebben.”

Paul van Nunen: “Ik heb geen knop op mijn bureau waardoor al die zevenduizend partijen in de regio ineens hun cybersecurity op orde hebben.”

Cyberveilig Nederland aangewezen als OKTT

Recent hebben het NCSC en de NCTV Cyberveilig Nederland aangewezen als  OKTT binnen het Landelijk Dekkend Stelsel. Cyberveilig Nederland verenigt een heel groot deel van de Nederlandse cybersecuritymarkt. Deze bedrijven adviseren en ondersteunen publieke en private organisaties in Nederland op het gebied van cybersecurity en spelen daardoor een cruciale rol in de digitale weerbaarheid van Nederland.

Het kleinste bedrijf uit Deurne

Om het hele ecosysteem te overtuigen van het belang van cybersecurity, is samenwerking in de regio cruciaal. Volgens van Nunen ligt daar ook de grote kracht in de regio: “Wij hebben grote bedrijven als een ASML, die het belang inzien en hun middelen beschikbaar stellen om ook kleine bedrijven daarmee te helpen.” Reijmer van ASML sluit daarbij aan: “Bij ASML hebben wij een schaalvoordeel omdat we een groot bedrijf zijn waardoor we een mature security capability kunnen realiseren. En we stoppen niet bij onszelf, maar kijken ook naar kleinere leveranciers, hoe we hen kunnen helpen.”

Daarom proberen ze bij ASML constant het ecosysteem te versterken. Dat gaat vooral op basis van vertrouwen. Reijmer: “Je kunt wel consultants van the big four langs sturen bij de kleinste leverancier uit Deurne. Maar het helpt veel meer als een vertrouwd persoon uit de regio, die ze wellicht ook informeel kennen, met de CEO van zo’n bedrijf gaat praten.” Ook van Nunen beaamt deze nabijheid als een grote kracht: “Juist die culturele nabijheid maakt ook dat je elkaar vertrouwt.”

Van Nunen gelooft echter dat het belang van cybersecurity wel degelijk bij iedereen in het hoofd zit. “Ook het kleinste bedrijf in Deurne heeft ergens in zijn achterhoofd zitten dat ze iets moeten doen met hun beveiliging. Maar het ontbreekt ze vaak aan kennis en tijd om daar echt actief mee aan de slag te gaan. Daar komen wij met Brainport en ASML om de hoek kijken: wij zetten de deuren open om te helpen.”

Aernout Reijmer: “Bij ASML hebben wij een schaalvoordeel waardoor we een mature security capability kunnen realiseren. En we kijken ook naar kleinere leveranciers en hoe we hen kunnen helpen.”

Spionage

Volgens Reijmer is industriële spionage een groot risico voor ASML. Reijmer: “In de semi-conductor industrie gaat het er altijd om wat het nieuwste trucje is. Voor veel partijen in de markt is het razend interessant om naar nieuwe plannen en oplossingen te kijken voor het produceren van weer betere, snellere en zuinigere chips als je die ergens tegenkomt.” De openheid van informatie met partners is een groot voordeel, maar daarmee ook één van de grootste uitdagingen binnen het open innovatie-systeem. Reijmer: “Je doet het met partners en je moet je er dus bewust van zijn dat gevoelige gegevens zoals contracten, bouwplannen en technische specificaties niet altijd in een beveiligde omgeving zijn.”

Het belang van cybersecurity wordt pas echt evident als dreigingen concreet worden. Ook bij ASML werd dat in februari 2015 duidelijk toen zij zelf te maken hadden met een incident. Diefstal van intellectueel eigendom - of dat nu bij ASML gebeurt of bij een cruciale leverancier - is dan ook zeker een groot risico in de gehele sector, bevestigt ook Alexis Barron, die als directeur a.i. werkzaam is bij het CWB: “Heel veel kleine organisaties zijn zich er niet van bewust dat ook zij een target kunnen zijn. Je moet daarom uitleggen waarom ze hun gegevens en kennis moeten beschermen, maar dat moet je wel doen in de taal van MKB’ers.”

Alexis Barron: “Veel kleine organisaties zijn zich er niet van bewust dat ook zij een target kunnen zijn.”

Beveiligen

Het CWB helpt deelnemers uit de regio op verschillende manieren, vertelt Barron. “Participanten krijgen een security-check. Een soort nulmeting waarbij we de status van cybersecurity in het bedrijf meten. Daaruit komen ook altijd al een aantal stappen die genomen kunnen worden om de beveiliging te verbeteren.” Daarnaast krijgen deelnemers aan het cybersecurity programma van Brainport ook toegang tot de CWB app en het ICT platform. Daar wordt veel kennis uitgewisseld zoals whitepapers, best practices, maar ook dreigingsinformatie vanuit het Digital Trust Center en sinds augustus - nu het CWB tot OKTT is benoemd - ook van het NCSC.

De dreigingsinformatie vanuit het NCSC is niet altijd makkelijk te lezen voor MKB’ers. Daar helpt Brainport ze bij, aldus Paul van Nunen: “Die feed vanuit het NCSC is natuurlijk prachtig. Je krijgt een early-warning wanneer er mogelijke dreigingen aan komen, dat is zeer waardevol voor al die vitale bedrijven in ons ecosysteem. Het probleem is wel dat die feed soms nogal moeilijk te interpreteren valt. Dat kunnen de collega’s van Aernout (red. Reijmer) wel, maar bij het bedrijf uit Deurne van tien man kunnen ze dat niet altijd. Daar speelt Brainport dan een rol.”

Naar een veilige samenleving

Het CWB draagt zo, met de hulp van grote bedrijven als ASML, zijn steentje bij aan een digitaal veiliger Nederland. Grote bedrijven moeten die rol blijven pakken, vindt Reijmer: “Iedere twee weken zie ik hier op de tribune van voetbalclub PSV de kreet ‘eendracht maakt macht’ staan te midden van reclameborden van bedrijven die leveren aan onze leveranciers en ook weer borden van onze directe leveranciers. Ik zie in het stadion op de reclameborden een visualisatie van het netwerk in het ecosysteem en ook de afhankelijkheid van elkaar. De kreet is ook heel erg van toepassing op onze regio en sector. Samen staan we sterk, maar grote bedrijven met de schaalvoordelen moeten wel het initiatief nemen en helpen faciliteren.”

Van Nunen sluit daarbij aan: “Ik zou bij deze graag een oproep willen doen aan alle grote bedrijven in Nederland. Wees niet alleen kritisch op toeleveranciers. Maar help ze om het voor elkaar te krijgen. Het wordt veel interessanter voor jezelf als je gaat meedenken, wetende dat ze vaak niet dezelfde middelen als jij hebben. Als we het met z’n allen doen, dan helpen we uiteindelijk alle bedrijven.”