“Samen digitale weerbaarheid op een hoger niveau brengen”
Sinds 1 juni 2024 is Art de Blaauw als directeur CIO Rijk (BZK) de aanjager van het digitaliseringbeleid van de Rijksoverheid. In zijn eerste maanden kreeg hij te maken met 3 grote cyberincidenten. “Voor een volgende stap in cyberweerbaarheid wil ik die eerst goed te evalueren en daar lessen uit trekken.”
De Blaauw vindt de samenwerking aan digitalisering binnen de overheid cruciaal. “Samen zorgen voor een digitale overheid die toegankelijk, open, responsief, duurzaam, veilig en wendbaar is”. Dat is in 1 zin waar hij zich als CIO Rijk samen met de directies Digitale Overheid en Digitale Samenleving hard voor wil maken. Rijksbrede digitale weerbaarheid is dan ook een van zijn hoofdthema’s. Daarin werkt zijn directie samen met de departementen en rijksoverheidsorganisaties. Voor een digitaal weerbare Rijksoverheid wil hij nog nauwer gaan samenwerken met andere organisaties op dit terrein, zoals de Nationaal Coördinator Terrorisme en Veiligheid (NCTV), het Nationaal Cyber Security Centre (NCSC), de directie Digitale Samenleving (BZK) en de ministeries van Justitie & Veiligheid, Economische Zaken en Defensie.
Over Art de Blaauw
Art de Blaauw werkte ruim 25 jaar in het bedrijfsleven, voordat hij de overstap maakte naar de Rijksoverheid als directeur CIO Rijk bij het ministerie van BZK. Hij was onder andere lid van de algemene directie van Ilionx, directeur technologie & innovatie bij Equinix en strateeg bij Microsoft en VMware. Hij studeerde econometrie aan de Erasmus Universiteit. Tijdens zijn studie volgde hij uit interesse al het keuzevak computerbeveiliging aan de TU Delft.
3 incidenten
De Blaauw: “3 incidenten in mijn eerste 100 dagen, dat is aan de hoge kant. We gaan deze goed evalueren en daar lessen uit te trekken.” Wat hem duidelijk werd: “We moeten niet alleen waakzaam zijn voor moedwillige aanvallen, maar ook voor onbedoelde uitval.”
Volgende stappen
De Rijksoverheid werkt al veel samen aan digitale weerbaarheid, vertelt de Blaauw. “Zoals op het gebied van Red Teaming. Daarmee testen we de beveiligingsmaatregelen van een organisatie of keten met een gesimuleerde cyberaanval, met als doel ervan te leren en cyberweerbaarder te worden. Ook hebben we gezamenlijke aanpak om de Security Operations Centers binnen de Rijksoverheid te versterken. Door hier samen in op te trekken, leren we van elkaar en brengen we de digitale weerbaarheid gezamenlijk naar een hoger niveau.”
De Blaauw geeft nog een paar voorbeelden. “Op een meer technisch vlak van informatiebeveiliging werken we aan de Nationale Cryptostrategie voor de bescherming van rijksoverheidsinformatie met het hoogste beveiligingsniveau. Daarnaast bereiden we ons voor op de dreiging van de quantumcomputer. Die is namelijk binnenkort in staat om onze meest gebruikte cryptografie (versleuteling van gegevens, red.) te kraken.” Hij ziet meer mogelijkheden om de cyberweerbaarheid verder te verhogen. “Ik vind dat we meer de risico’s van de toeleveranciers van diensten en apparatuur uit landen met een offensief cyberprogramma moeten benoemen en aanpakken. Daar gaan we in ons beleid aan werken.”
Voorbereiden op dreiging quantumcomputer
De AIVD bracht het
Quantum Migratie Handboek uit. Daarin vind je concrete stappen en adviezen om de dreiging van quantumcomputers voor cryptografie te beperken.
Samenwerking CIO Rijk en CISO Rijk
Binnen de directie CIO Rijk is de CISO Rijk het 1e aanspreekpunt bij cyberincidenten, ondersteund door zijn eigen afdeling Informatiebeveiliging en Privacy. “We hebben gelukkig een heel goede CISO Rijk: Aart Jochem. Hij heeft een schat van aan ervaring, waar ik echt op kan bouwen.” Bij cyberincidenten staan de CISO Rijk en de CIO Rijk samen aan de lat, al is daar ook een volgorde in. “Eerst komt het incident bij de CISO Rijk, ik ben het volgende aanspreekpunt.”
De samenwerking tussen de CISO’s en de CIO’s van de Rijksoverheid ziet er als volgt uit: “De interdepartementale samenwerking is georganiseerd in de CISO-raad waar Aart voorzitter van is, met de CISO’s van de Rijksoverheidsorganisaties. Deze raad is een ‘voorportaal’ van het CIO-beraad, met daarin de CIO’s van de departementen en de grote publieke dienstverleners. Dat beraad zit ik voor. De CISO-raad doet voorstellen voor informatiebeveiliging voor de Rijksoverheid aan het CIO-beraad. Die samenwerking en de brede afweging op onderwerpen is dus goed gestructureerd.”
De Blaauw ziet verschillen in werken tussen de Rijksoverheid en het bedrijfsleven. De bevlogenheid van zijn collega’s valt hem in positieve zin op. Maar hij moet er nog wel aan wennen dat bij de overheid de documentenstroom langs veel overlegstructuren gaat. “Ik leg graag meer focus op het behalen van resultaten, dan op hoe je vraagstukken verwoordt.”
Strategische vraagstukken
De verschillende onderwerpen waar hij verantwoordelijk voor is, hangen onderling samen. Informatiebeveiliging heeft bijvoorbeeld parallellen met thema’s als risicomanagement en IT-sourcing, vertelt hij. “We kunnen bijvoorbeeld te afhankelijk zijn van bepaalde leveranciers of oplossingen. Dat zijn strategische discussies. Stel dat er iets gebeurt in een veelgebruikt systeem en er gaat iets mis bij de leverancier. Dan hebben we als overheid flinke uitdagingen.” Hij geeft een ander voorbeeld van een maatschappelijk en strategisch vraagstuk: “Met de verhoogde geopolitieke politieke dreigingen moeten we er klaar voor zijn als de digitale infrastructuur om wat voor reden dan ook een keer uitvalt.”
Voorbereiden op incidenten
De maand oktober was de cybersecuritymaand. Daarin vond onder andere de overheidsbrede cyberoefening plaats. De Blaauw vindt oefenen van groot belang als voorbereiding op incidenten. “Het helpt het bewustzijn van de organisatie te verhogen en om beter samen te kunnen handelen tijdens een cybercrisis.” Ook oefeningen in een groter (overheids-)verband zoals ISIDOOR, vindt hij daarom waardevol. “We werken steeds meer in ketens; bijna alles is met elkaar verbonden. Door samen te oefenen weet je elkaar beter te vinden als er echt incidenten plaatsvinden. Ook zorgen we er op die manier voor dat de crisisaanpakken op elkaar aansluiten.”
Overheidsbrede cyberoefening
Oefenen, oefenen, oefenen is het devies. Daarom organiseerde het ministerie van BZK op 4 november 2024 alweer de 6e Overheidsbrede Cyberoefening. Je kunt
deze oefening terugkijken en
het materiaal gebruiken om zelf te oefenen.
Bestuurders: oefen ook mee
Het is essentieel dat bestuurders en hoge ambtenaren regelmatig oefenen, benadrukt hij. “Dat versterkt hun leiderschap tijdens een echte crisis. Crisissen gaan gepaard met tijdsdruk, onzekerheid en een hoge mate van urgentie. Vaak is de bestuurder voorzitter van het crisisoverleg en deze moet dan snel besluiten kunnen nemen. Omdat de informatie-uitwisseling tijdens zo’n crisis anders is, moet je wel een paar keer hebben gedaan om dat goed te kunnen doen.”
De Blaauw heeft 3 adviezen voor bestuurders. Het is allereerst raadzaam een cursus crisisbeheersing te volgen. Hij volgde zelf de Interdepartementale Basisopleiding Crisisbeheersing bij de Nationale Academie voor Crisisbeheersing. “Daar leerde ik de volgende les: denk als voorzitter van een crisisoverleg zoveel mogelijk hardop, zodat je de mensen meeneemt in je gedachtevorming voorafgaand aan het nemen van een besluit.” Een 2e advies: “Crisismanagement is ook netwerkmanagement. Zorg dus dat je de bestuurders van andere organisaties in jouw keten of binnen jouw terrein kent, zodat je makkelijker met hen kunt schakelen tijdens een incident of crisis.” Ten 3e: “Assume breach: ga ervanuit dat aanvallers al aanwezig zijn in je systemen. Richt je bij cybersecurity dus niet alleen op de buitenkant om te zorgen dat niemand binnenkomt. Richt je óók op de binnenkant, zodat een onverwachte of ongeautoriseerde activiteit snel ontdekt wordt en de schade beperkt blijft.”
Hij sluit af met een tip aan iedereen die bij een cybercrisisoverleg is betrokken: “Doe aan risicomanagement. Weet wat de kroonjuwelen van jouw organisatie zijn, die wil je altijd beschermen en veiligstellen. Welke risico’s horen daarbij en welke maatregelen kun je daarvoor nemen?”
Dit is een automatisch geplaatst bericht. Vragen of opmerkingen kun je richten aan @DigitaleOverheid@social.overheid.nl
#CIORijk #cyberoefening #cyberweerbaarheid #digitaleWeerbaarheid #nieuwsbrief202024 #redTeaming #weerbaarheid
