Cybersecurity hoort in de boardroom: 5 lessen voor bestuurders

Op 8 september kwamen alumni, deelnemers en andere professionals van het Amsterdam Institute of Finance bijeen in Capital C in Amsterdam voor een avond over een van de belangrijkste uitdagingen voor bestuurders van dit moment: cybersecurity. Tobias Jaeger, Founder & CEO van Falcone International, daagde executives uit anders te kijken naar cyberrisico’s, de manier waarop zij zich voorbereiden op incidenten en hun eigen verantwoordelijkheid in de boardroom.

Cybersecurity is niet langer simpelweg een IT-vraagstuk. Organisaties zijn steeds afhankelijker van digitale infrastructuur, ketens raken verder met elkaar verweven, AI biedt aanvallers nieuwe mogelijkheden en regelgeving stelt steeds hogere eisen. Daarmee is ook de aard van het cyberrisico fundamenteel veranderd.

Dat was de centrale boodschap van Tobias Jaeger, expert op het gebied van risicomanagement en organisatorische weerbaarheid, tijdens zijn keynote Cybersecurity and the boardroom: what executives need to know. In plaats van alle facetten van cybersecurity te willen behandelen, structureerde hij zijn presentatie rond vijf punten die bestuurders helpen een kritischer en beter geïnformeerd gesprek over cyberrisico te voeren.

‘Je wordt niet afgerekend op de vraag óf je bent gehackt. Je wordt afgerekend op hoe lang je uit de lucht was.’
– Tobias Jaeger, Founder & CEO, Falcone International

Van aanvallen voorkomen naar verstoringen beheersen

Een van de eerste vragen die Jaeger ter discussie stelde, klinkt bedrieglijk eenvoudig: ‘Zijn we veilig?’ Daarop bestaat volgens hem geen eerlijk ja-of-nee-antwoord. Organisaties moeten ervan uitgaan dat incidenten kunnen plaatsvinden en zich daarom richten op hun vermogen om een verstoring op te vangen en ervan te herstellen. Of, zoals Jaeger het formuleerde: ‘Je wordt niet afgerekend op de vraag óf je bent gehackt. Je wordt afgerekend op hoe lang je uit de lucht was.’

De financiële gevolgen van langdurige uitval kunnen snel oplopen. Jaeger verwees onder meer naar Jaguar Land Rover en Marks & Spencer om te laten zien welke impact langdurige downtime kan hebben. Zijn punt was niet dat de kosten van een volgend cyberincident exact zijn te voorspellen. Veel belangrijker is dat een organisatie weet welke diensten cruciaal zijn en hoelang die kunnen uitvallen voordat de gevolgen onacceptabel worden.

Voor bestuurders betekent dit dat zij per kritieke dienst moeten bepalen wat de maximaal aanvaardbare uitvalduur is, wie daarvoor verantwoordelijk is en wat er gebeurt zodra zo’n grens wordt overschreden.

Cyberrisico stopt niet bij de grenzen van de eigen organisatie

Een tweede uitdaging is dat cyberweerbaarheid niet ophoudt bij de grenzen van de eigen organisatie. Leveranciers, softwarebedrijven en andere partijen in het digitale ecosysteem kunnen eveneens een toegangspoort voor aanvallers vormen.

Jaeger liet aan de hand van recente incidenten zien waarom traditioneel leveranciersrisicomanagement niet altijd volstaat. Organisaties brengen doorgaans in kaart met welke partijen zij contracten hebben en aan wie zij betalen. Maar toegangsrechten kunnen blijven bestaan nadat een contract is afgelopen. En kwetsbaarheden kunnen zich bevinden bij partijen verderop in de keten waarmee een organisatie zelf helemaal geen directe relatie heeft.

Tegelijkertijd verschuift de verantwoordelijkheid door nieuwe regelgeving steeds verder naar boven in de organisatie. Europese kaders als NIS2 en DORA maken cybersecurity nadrukkelijker tot een verantwoordelijkheid van bestuur en directie.

De consequentie voor executives is duidelijk: cyberrisico kun je niet simpelweg delegeren aan de IT-afdeling of een risicospecialist.

‘Het geld verplaatst zich nog altijd op de oude manier: doordat iemand een betaling goedkeurt’

AI verandert de aanvaller, maar een mens keurt de betaling nog altijd goed
Ook AI kwam onvermijdelijk aan bod. Volgens Jaeger moeten organisaties ervoor waken zich uitsluitend te richten op futuristische scenario’s waarin cyberaanvallen volledig autonoom door AI worden uitgevoerd. AI maakt het nu al mogelijk om onderdelen van aanvallen sneller op te schalen en overtuigender uit te voeren. Maar bij veel succesvolle fraude blijft een vertrouwde zwakke plek bestaan: een mens die een beslissing neemt.

Jaeger verwees onder meer naar de veelbesproken deepfakefraude in Hongkong, waarbij criminelen overtuigende videobeelden gebruikten bij een fraude van circa 25 miljoen dollar. Uiteindelijk was er nog steeds een mens nodig om de betalingen goed te keuren.

Zijn praktische conclusie voor bestuurders is daarom opvallend eenvoudig: ‘Het geld verplaatst zich nog altijd op de oude manier: doordat iemand een betaling goedkeurt.’

Juist daarom zijn autorisatieprocessen een van de beheersmaatregelen die organisaties nu al kunnen aanscherpen.

Van presentatie naar de praktijk van de boardroom

Na zijn keynote ging Jaeger verder in gesprek met Myrthe van der Erve, de CEO van Sijthoff. De discussie verschoof al snel van cybersecurity als abstract risico naar de concrete beslissingen waarvoor bestuurders in de praktijk komen te staan.

Van der Erve stelde een vraag die waarschijnlijk bij veel ondernemers en bestuurders leeft: is een bedrijf van relatief bescheiden omvang eigenlijk wel interessant voor cybercriminelen?

Jaegers antwoord was ondubbelzinnig. Cybercriminaliteit heeft zich ontwikkeld tot een industrie. Kleiner zijn betekent niet dat je onzichtbaar bent. Organisaties met omzet, medewerkers, data en digitale systemen kunnen allemaal een potentieel doelwit vormen.

Na een incident; hoe nu verder?

Het gesprek ging vervolgens over wat er ná een incident gebeurt. Hoe transparant moet je zijn richting klanten? En kan de manier waarop een bedrijf op een cyberaanval reageert het vertrouwen van klanten juist herstellen?

Volgens Jaeger draait het om een combinatie van voorbereiding, uitvoering en communicatie. Een incident maakt onmiddellijk zichtbaar hoe serieus een organisatie zich vooraf heeft voorbereid. Bedrijven die beschikken over flexibele plannen, duidelijk hebben vastgelegd wie waarvoor verantwoordelijk is en effectief communiceren, kunnen het vertrouwen van klanten behouden en mogelijk zelfs versterken.

Van der Erve maakte het vervolgens heel concreet: “Stel dat je om zeven uur ’s ochtends ontdekt dat je organisatie is getroffen. Wat moet je als bestuurder in de eerste zestig minuten doen?”

Voorkom dat kostbare tijd verloren gaat

Jaegers eerste advies was opvallend eenvoudig: bel de specialist met wie je vooraf al afspraken hebt gemaakt. Als een organisatie pas na ontdekking van een incident op zoek moet naar professionele ondersteuning, gaat er direct kostbare tijd verloren.

De eerste uitdaging is doorgaans om vast te stellen wat er daadwerkelijk is gebeurd. Welke systemen en gegevens zijn geraakt? Heeft de aanvaller nog toegang? Is het incident onder controle of ontwikkelt het zich nog?

Juist daarom is voorbereiding essentieel. Organisaties moeten vooraf weten wie ze bellen, een communicatieaanpak klaar hebben liggen en verschillende scenario’s hebben doordacht voordat een echt incident hen dwingt die beslissingen onder grote tijdsdruk te nemen.

Herstel betekent bovendien meer dan de systemen weer aan de praat krijgen. Een organisatie moet achterstanden wegwerken en tegelijkertijd de normale bedrijfsvoering hervatten. De gevolgen kunnen daardoor veel verder reiken dan IT alleen, tot klanten, medewerkers, cultuur en strategische plannen.

‘Je bestuursnotulen zijn je verdediging, en de meeste besturen zijn niet in staat ze goed op te stellen’

Vragen uit de zaal: wat betekent cyberweerbaarheid in de praktijk?

Ook het publiek bracht praktische dilemma’s in. De vragen varieerden van regelgeving en cybersecuritykennis in de boardroom tot investeringsbeslissingen en cyberweerbaarheid. Twee discussies sprongen eruit.

Hoeveel cybersecurity is genoeg?

Een deelnemer gebruikte een toepasselijke Amsterdamse vergelijking. Het beveiligen van een organisatie lijkt op het op slot zetten van een fiets. Je hoeft misschien niet het beste fietsslot van de stad te hebben, zolang jouw fiets maar niet de makkelijkste is om te stelen.

Jaeger onderschreef het principe. Aanvallers die op zoek zijn naar kansen kunnen verder zoeken wanneer uit hun eerste verkenning blijkt dat een organisatie relatief goed beveiligd is. Maar daar zit een belangrijke kanttekening bij: ook een goed beveiligde organisatie wordt kwetsbaar als zij niet voortdurend aan haar cyberweerbaarheid blijft werken.

Daarom moet volgens Jaeger niet de vraag ‘Hoeveel moeten we uitgeven?’ het vertrekpunt zijn. Begin van binnenuit: met de juiste mindset, interne standaarden, beheersmaatregelen en periodieke controles of die standaarden daadwerkelijk worden nageleefd. Pas als die basis duidelijk is, kan beter worden bepaald welke investeringen nodig zijn.

Heeft de boardroom cyberexperts nodig, of bestuurders die de juiste vragen stellen?

Een andere deelnemer wees op het relatief lage aandeel bestuurders met aantoonbare cybersecurityexpertise. Uit de presentatie van Jaeger bleek dat in een steekproef van duizend proxy statements van Russell 3000-bedrijven slechts 14,7 procent melding maakte van een bestuurder met cybersecurityexpertise. Bij financiële expertise was dat 100 procent.

Maar de discussie ging verder dan de vraag of je simpelweg een IT-specialist aan het bestuur moet toevoegen. Cyberkennis is volgens Jaeger relevant voor de gehele leiding van een organisatie. Bestuurders moeten de juiste vragen kunnen stellen, specialisten kritisch kunnen bevragen en weloverwogen besluiten kunnen nemen over zaken als acceptabele uitvalduur, communicatie met klanten en de reactie op incidenten.

Een CISO of risk executive kan adviseren, maar kan de verantwoordelijkheid van het bestuur niet overnemen. De adviseur adviseert; de bestuurder blijft verantwoordelijk voor het risico en de uiteindelijke beslissing.

5 lessen voor de boardroom

Aan het einde van de avond kwamen de vijf boodschappen terug die de rode draad van Jaegers presentatie vormden:

1. Je wordt afgerekend op hoe lang je uit de lucht was, niet op de vraag óf je bent gehackt.
2. Een aanval kan binnenkomen via een partij waarmee je zelf geen contract hebt.
3. Er is niet langer één regelgevend speelveld en aansprakelijkheid is verschoven, niet verdwenen.
4. AI heeft als eerste de aanvaller veranderd. De zwakke plek is het autorisatieproces.
5. Je bestuursnotulen zijn je verdediging, en de meeste besturen zijn niet in staat ze goed op te stellen.

Achter die vijf punten schuilt een bredere governancevraag. Regelgeving verlangt steeds nadrukkelijker van bestuurders dat zij cybersecuritybeleid niet alleen formeel goedkeuren, maar ook kunnen aantonen dat zij begrepen wat ze hebben goedgekeurd.

Jaegers afsluitende advies was persoonlijker en praktisch: blijf in het dagelijks werk alert, blijf je verdiepen in een vakgebied dat zich razendsnel ontwikkelt en vertrouw op je intuïtie wanneer iets niet klopt.

Na afloop werd de discussie tijdens de netwerkborrel in Capital Kitchen voortgezet door alumni, deelnemers en andere gasten.