Bedrijven hebben ook een digitaal noodpakket nodig

Vorig jaar adviseerde de overheid alle Nederlanders nog maar eens om een noodpakket aan te leggen. Drie liter water per persoon per dag, houdbaar eten, een zaklamp, een radio. De reactie van een groot deel van de bevolking was wederom schouderophalen, een frons, en door.

Dat patroon is herkenbaar. Niet omdat mensen dom of roekeloos zijn, maar omdat de menselijke geest slecht in staat is om risico's die nog niet zijn opgetreden op waarde te schatten. We weten wel dat het mis kan gaan, we geloven alleen niet dat het óns gaat overkomen. En dat geldt ook voor ons digitale leven, zowel privé als zakelijk.

Pleidooi voor ‘digitaal noodpakket’

Staatssecretaris van Digitale Economie en Soevereiniteit Willemijn Aerdts pleit daarom ook voor een digitale equivalent: het digitale noodpakket. Op zich een logische gedachte, want de digitale infrastructuur waar we als samenleving op draaien is minstens zo kwetsbaar als de fysieke, zo weten we inmiddels door schade en schande. En de gevolgen van uitval zijn dat ook.

Voor consumenten vertaalt zo'n digitaal noodpakket zich naar offline beschikbare documenten (‘papier’), een reservetelefoon, een alternatieve betaalmethode. Begrijpelijk, nuttig. Maar voor bedrijven ligt de lat wel een stukje hoger.

Organisaties hebben een ander soort noodpakket nodig

Een reservetelefoon helpt je als consument om bereikbaar te blijven als je toestel het begeeft. Voor bedrijven is dat een datakopie die volledig losstaat van de productieomgeving. Gedrukte documenten zorgen dat je bij je gegevens kunt als systemen uitvallen. Voor organisaties zijn dat back-ups die niemand kan aanpassen, verwijderen of versleutelen, ook een aanvaller niet. Daarnaast moeten organisaties volledig zicht hebben op alle data en systemen, inclusief de onderlinge afhankelijkheden. Want wat je niet kunt zien, kun je niet herstellen.

Thuis grijp je als het echt misgaat naar de EHBO-doos. Bedrijven moeten op zo'n moment snel en selectief de meest kritieke diensten als eerste kunnen reanimeren, in plaats van alles tegelijk te proberen en niets echt goed te doen.

De tools zijn er, maar de wil ontbreekt

De meeste IT-teams weten dit. Ze weten dat ransomware geen theoretisch risico is. Ze weten dat stroomuitval, een menselijke fout of een supply chain-aanval een bedrijf dagen of zelfs wekenlang stil kan leggen. En toch zijn de meeste organisaties slechter voorbereid dan ze denken, en slechter dan ze zouden moeten zijn.

Niet omdat de tools ontbreken. Maar omdat voorbereiding moeite kost, budget vereist en doorzettingsvermogen van het management vergt. En vooral vanwege de neiging om dit voor zich uit te schuiven, net zoals de neiging om maar geen noodpakket in te slaan.

Voorbereiding is het hele werk

Het verschil tussen een organisatie die een cyberaanval of grote verstoring overleeft en een organisatie die er maanden van bijkomt, zit zelden in de kwaliteit van de aanval. Het zit in de kwaliteit van de voorbereiding. Ligt er een plan? Is dat plan getest? Zijn de back-ups ongeschonden? En misschien wel het belangrijkste: is getest of de recovery-procedure niet alleen in theorie werkt, maar ook echt om drie uur 's nachts, onder druk, terwijl iedereen lekker ligt te slapen.

Het digitale noodpakket voor bedrijven is geen nice-to-have. Het is wat het fysieke noodpakket thuis ook is: de verzekering waarvan je achteraf nooit spijt zult hebben dat je haar had. Maar je moet het wel in huis hebben voordat je het écht nodig hebt.

Pieter Jan van Steen, managing director Benelux bij Commvault