Van supermarkt tot luchthaven: digitaal afhankelijk of gewoon naïef?

Een supermarkt die zijn winkels nauwelijks meer kan bevoorraden, problemen bij de paspoortcontrole op Schiphol en ernstige beveiligingslekken in software waarop wereldwijd talloze websites draaien. Drie gebeurtenissen in korte tijd, met verschillende achtergronden, maar ze leggen wel dezelfde kwetsbaarheid bloot: we zijn flink afhankelijk geworden van systemen die we nauwelijks opmerken, totdat ze niet meer werken. En dan dringt zich een ongemakkelijke vraag op: zijn we daar eigenlijk wel voldoende op voorbereid, of vertrouwen we er vooral op dat het goed blijft gaan?

De afgelopen dagen werd dat pijnlijk duidelijk. Bij Albert Heijn raakte de bevoorrading ontregeld door een cybersecurityincident, waardoor winkels met lege schappen te maken kregen en de online boodschappenbezorging nog altijd stilligt. Op Schiphol ontstonden dinsdag problemen door een technische storing bij de paspoortcontrole en woensdag kwamen bovendien twee ernstige kwetsbaarheden in de veelgebruikte programmeertaal PHP aan het licht.

Er zijn geen aanwijzingen dat deze incidenten met elkaar samenhangen. Toch laten ze zien dat digitale problemen uit verschillende hoeken kunnen komen, met soms verrassend grote gevolgen.

Van cyberaanval tot gewone storing

Bij cybercriminaliteit denken we al snel aan hackers die systemen binnendringen, gegevens stelen of bedrijven met ransomware afpersen. Maar een digitale ontregeling hoeft helemaal geen aanval te zijn. Een defect onderdeel, een mislukte software-update of een technische storing kan net zo goed een complete dienstverlening stilleggen.

Daarnaast kunnen beveiligingslekken jarenlang onopgemerkt blijven. Software die gisteren nog probleemloos werkte, blijkt vandaag ineens kwetsbaar. Dat geldt ook voor de PHP-lekken waarvoor Cloudflare woensdag waarschuwde en die kwaadwillenden onder bepaalde omstandigheden toegang kunnen geven tot systemen.

Soms gaat de stekker er bewust uit

Opmerkelijk genoeg kan ook het beschermen van systemen tot grote verstoringen leiden. Wanneer een organisatie een ernstig beveiligingsrisico ontdekt, kan het verstandiger zijn om bepaalde diensten tijdelijk uit te schakelen. Dat gebeurde bij Albert Heijn, waar systemen uit voorzorg werden stilgelegd om verdere problemen te voorkomen.

En dan is er nog de afhankelijkheid van externe leveranciers. Veel organisaties gebruiken dezelfde software, clouddiensten of digitale infrastructuur. Een probleem bij één leverancier kan daardoor een kettingreactie veroorzaken. Denk bijvoorbeeld aan de wereldwijde computerstoring in juli 2024, toen een foutieve update van beveiligingsbedrijf CrowdStrike onder meer luchtvaartmaatschappijen, ziekenhuizen en andere organisaties trof.

Vooruitdenken of achteraf brandjes blussen?

Boodschappen bestellen, betalen, inchecken, een afspraak maken bij de gemeente: achter vrijwel iedere dagelijkse handeling zit inmiddels een digitaal systeem. We vertrouwen erop dat het werkt, maar hoe vaak staan we stil bij wat er gebeurt als dat ineens niet meer zo is?

Voor organisaties is die vraag nog veel belangrijker. Kunnen medewerkers terugvallen op handmatige procedures? Zijn er alternatieve systemen beschikbaar en hoe lang kan een organisatie zonder digitale ondersteuning? En misschien nog wel belangrijker: worden die noodscenario's daadwerkelijk geoefend, of blijkt pas bij een storing dat het mooie noodplan in de praktijk niet werkt?

Volledig voorkomen dat techniek uitvalt, is vrijwel onmogelijk. Het verschil zit vaak in de voorbereiding. Een organisatie met goede noodprocedures kan soms blijven functioneren, terwijl een andere bij dezelfde storing bijna direct vastloopt.

Dat maakt de vraag naar onze digitale afhankelijkheid ook een vraag naar verantwoordelijkheid. Niet alleen van IT-specialisten, maar net zo goed van bestuurders en opdrachtgevers die beslissen waarin wordt geïnvesteerd, welke risico's aanvaardbaar zijn en hoeveel aandacht er naar noodvoorzieningen gaat.

Want digitaliseren is één ding. Ervoor zorgen dat de boel blijft draaien wanneer de techniek het laat afweten, is minstens zo belangrijk. Als een organisatie daar pas over begint na de volgende grote storing, loopt die overduidelijk achter de feiten aan.