Jeroen Meeter, CEO van Blue Billywig, trekt die gedachte door naar herstel. Een back-up hebben is volgens hem niet voldoende. Je moet weten of je hem daadwerkelijk kunt terugzetten. “Als je het niet af en toe eens terugzet om te kijken hoe dat gaat, dan gaat het mis.”

Dat klinkt simpel, maar volgens Meeter is dit precies het verschil tussen security op papier en aantoonbare resilience. Een maatregel bestaat pas echt als je weet dat hij werkt.

Verborgen single points of failure

Bert Stam, managing director van Leaseweb Nederland, ziet hetzelfde probleem in de infrastructuur. Zijn organisatie heeft processen, runbooks en procedures voor incidenten. Toch leverde een recente brandoefening verrassende inzichten op. “Als je kijkt wat er dan gebeurt, dan zijn er best wat single points of failure,” vertelt Stam.

Bovendien zijn niet alle kwetsbaarheden zichtbaar als je alleen naar je eigen systemen kijkt. Stam spreekt over “verborgen single points of failure” die zich door de hele keten kunnen bevinden.

De kern is volgens hem dat organisaties vaak aannames maken. Ze gaan ervan uit dat een leverancier wel iets geregeld zal hebben, dat een proces werkt zoals gedacht of dat iemand bereikbaar zal zijn als dat nodig is. “Je weet gewoon niet wie wat waar doet en hoe het werkt,” zegt Stam. “Je maakt aannames.” Een concrete securityles uit de discussie: ken niet alleen je systemen, maar ook je afhankelijkheden.

Mensen als single point of failure

Technische redundantie lost bovendien niet alles op. Tijdens het gesprek kwam een voorbeeld voorbij van kennis die bij het vertrek van een medewerker verloren dreigde te gaan. Alles was volgens de organisatie gedocumenteerd, maar in de praktijk bleek dat niet volledig het geval. Daarmee ontstaat een securityvraagstuk dat zelden als zodanig wordt benoemd. Hoeveel van je securitykennis zit eigenlijk in het hoofd van één persoon?