Duivels dilemma

Kerstboom verlicht, de voorbereidingen voor de kerstdagen in volle gang en dan komt  de melding dat jouw instelling is getroffen door een cyberaanval. Dat is wat de bestuurders van de Universiteit Maastricht overkwam in de nacht van 23 op 24 december. De systemen lagen plat en de normale communicatiekanalen waren niet toegankelijk. Voor de betrokkenen waren de kerstdagen ongetwijfeld geen periode van verstilling, maar van overleg, improviseren en afwegen. Zweetdruppels en ontelbare meetings in plaats van knus met de familie aan de kerstdis.

De bestuurders zagen zich voor een duivels dilemma gesteld: criminelen betalen of de systemen onbruikbaar laten, met alle gevolgen van dien. Een dergelijke crisissituatie biedt geen tijd om eens rustig een plan uit te denken. Het vraagt om snel handelen en flexibel nadenken. Alle improvisatie zeilen moeten worden bijgezet om zo snel mogelijk een oplossing te vinden voor het nijpende probleem. Krachten moeten worden gebundeld en passende stappen gezet. Stappen die zich meestal  buiten de gebaande paden bevinden.

Al met al heeft de gezamenlijke krachtsinspanning er voor gezorgd, dat de universiteit aan het begin van het nieuwe jaar weer open kon. Toen het stof grotendeels was neergedaald, hebben de bestuurders gekozen om openheid van zaken te geven, als wake up call voor de manier en snelheid waarmee cybercriminelen te werk gaan. Geen makkelijke stap; je moet immers met de billen bloot en veel stuurlui weten, vanuit hun veilige stoel, hoe het beter en anders had gemoeten en laten doorgaans geen kans voorbij gaan om dat te laten horen.

Wapenen tegen cybercriminaliteit

Die openheid heeft de noodzaak voor het wapenen tegen cyberaanvallen duidelijk op agenda gezet. De Universiteit Maastricht gaat er in ieder geval mee aan de slag. Juist omdat de tijd dringt en de bestaande gang van zaken ontoereikend is gebleken, is het zinvol om ook nu weer de krachten te bundelen. Dit keer echter niet improviserend om een crisis te beteugelen, maar met een doortimmerd plan om een volgende cybercrisis te voorkomen.  Uitgangspunten om aan de slag te gaan met projectmatig werken. Een project staat namelijk voor: ‘een tijdelijke manier van samenwerken, gericht op het realiseren van een uniek resultaat dat bijdraagt aan het behalen van doelen’. 
De betrokkenen bepalen welk niveau van beveiliging (doel) voor hen voldoende is en wat klaar moet zijn om dat niveau te bereiken. Die resultaten worden voorzien van concrete plannen waarin staat beschreven op welke manier het waar kan worden gemaakt.  Zo wordt  stap voor stap gewerkt aan een betere beveiliging.

Als de afgesproken beveiliging is bereikt en de automatisering weer ‘business as usual’, dan is het volgens Frank Groenewegen van Fox-it belangrijk dat er regelmatig een digitale ‘brandoefening’ wordt gedaan om zeker te weten of alles nog op orde is. Bij die brandoefeningen past weer een andere aanpak, namelijk die van routinematig werken. Routine als een geoliede machine. De brandoefening herhaalt zichzelf keer op keer, dus het resultaat is van te voren duidelijk, de mensen zijn bekend met de werkwijze, de stappen en de werkzaamheden.

Welke werkwijze kies jij?

Ook voor jouw werkzaamheden is het handig om van te voren na te denken over de manier waarop je het werk wilt aanpakken. Die manier bepaalt de werkwijze en hoe je het werk wilt sturen. Bij een crisis als deze was het geen keuze, de bestuurders konden niet anders dan in het moment improviserend handelen. Maar ook als je iets moois, iets nieuws wilt creëren waarbij nog veel onduidelijk is, dan is improviserend werken een goede aanpak. Als het dan moet worden omgezet in iets tastbaars, zoals een boek of een event, dan ligt project- of planmatige werken meer voor de hand.  Ook routinewerk hoort er meestal bij, zoals de administratie. Misschien niet altijd even leuk. Het helpt dan als je zoveel mogelijk van die werkzaamheden hebt gestandaardiseerd en vastgelegd. Zodat het makkelijker wordt en daardoor minder tijd kost.

De cyberaanval heeft ook mij wakker geschud. Ik ben mij er weer extra van bewust dat cybercriminelen steeds gewiekster en grootschaliger te werk gaan. Gelukkig is het voorlopig nog geen kerst….