Wat twee recente cyberincidenten ons kunnen leren
Afgelopen maand kregen we twee dure lessen in digitale veiligheid. Op 11 oktober lag de online omgeving van Albert Heijn grotendeels plat. Tien dagen later zorgden lekken in PHP ervoor dat in één middag wereldwijd duizenden websites uit voorzorg uit de lucht zijn gehaald, van DigiD tot het netwerk van het hoger onderwijs. Ook alle schoolwebsites die Cloudwise beheert, haalden we uit voorzorg offline. Wat leren deze incidenten scholen?
Les 1: je bent zo veilig als je leveranciers
Op 21 oktober waarschuwde het NCSC voor twee kritieke kwetsbaarheden in PHP. Op die programmeertaal draait een groot deel van alle websites. Via de lekken konden aanvallers in theorie elke webserver met PHP binnendringen. Overheid, ziekenhuizen en media haalden hun sites offline.
De meeste van die organisaties hadden zelf niets fout gedaan. Ze werden geraakt via een bouwsteen die bijna overal wordt gebruikt. Zo werkt digitale infrastructuur nu eenmaal: niemand bouwt alles zelf. Ook scholen werken met leveranciers voor hun leerplatform, administratie, website en mail.
De les: je kunt niet alles zelf beveiligen, maar je kunt er wel voor zorgen dat updates en patches op tijd worden geïnstalleerd. Niet alleen binnen je eigen organisatie, maar ook bij je leveranciers. Is je software actueel? En is je patchmanagement op orde? Bij Cloudwise is tijdig patchen de standaard. Het Normenkader IBP onderstreept het belang hiervan in norm SM-06 en helpt scholen om hierover duidelijke afspraken te maken. Zo krijg je meer grip op systemen, contracten en leveranciers. Onze gids Digitaal veilig onderwijs laat zien hoe je dat aanpakt.
Les 2: weet wat je draait
Toen het PHP-lek bekend werd, was een van de eerste vragen voor organisaties: gebruiken onze systemen eigenlijk PHP? Dat bleek niet altijd direct duidelijk. En wie dat wel wist, kon voor een tweede verrassing komen te staan. De reguliere beveiligingsupdates waren alleen beschikbaar voor PHP 8.2 en nieuwer. Wie nog een oudere, niet-ondersteunde versie gebruikte, had dus een extra probleem.
De les: zonder overzicht kun je niet inschatten of je geraakt bent. En software of apparatuur zonder ondersteuning van de fabrikant werkt vaak prima, totdat er een kwetsbaarheid opduikt waarvoor geen reguliere beveiligingsupdate meer beschikbaar komt. Daarom sluit Cloudwise in de basisnormen firewalls, switches en access points uit die end-of-support zijn en ontwikkelen we een CMDB-tool die in één overzicht weergeeft wat er in je netwerk staat en welke versies erop draaien.
Wil je nog gedetailleerder weten wat er op je locaties staat? Dan brengt onze netwerkscan dat voor je in kaart.
Les 3: beslis snel en communiceer helder
Bij Albert Heijn ging het om verdachte activiteit in de eigen systemen. Ahold Delhaize haalde daarop systemen offline, met grote gevolgen voor klanten. CEO Frans Muller noemde dat achteraf "de juiste beslissing". Albert Heijn had naar het schijnt detectiesoftware draaien en een proces ingericht met mensen en protocollen om snel te kunnen handelen.
Bij het PHP-lek lag het anders. Er was geen aanval op onze systemen, maar een kwetsbaarheid in software die wereldwijd wordt gebruikt. Ondanks de impact van het offline halen van alle door ons beheerde Schoolwebsite's, staat veiligheid altijd op nummer 1. We hebben daarom snel de knoop doorgehakt dat we onze klanten niet onnodig willen blootleggen aan risico's en hebben alle website's daarom offline gehaald. Na het doorvoeren van de vrijgegeven patch, zijn de website's later diezelfde dag weer online gebracht.
De les: zo'n besluit neem je in uren, niet in dagen. Dat lukt alleen als vooraf duidelijk is wie beslist en hoe je communiceert met personeel, ouders en leerlingen. Wie mag er om drie uur ‘s nachts systemen offline halen? Leg dat mandaat vooraf vast. Met een cybercrisisoefening oefen je dat moment voordat het nodig is.
Les 4: kun je doorwerken zonder systemen?
De winkels van Albert Heijn bleven open. De kassa's werkten, maar de app, de bonuskaart, online bestellen en de klantenservice vielen weg. Websites en app waren pas op 19 oktober terug, en thuisbezorging lag tot 23 oktober stil. Retailexperts schatten de gemiste omzet op 120 tot 150 miljoen euro.
De les: de schade hangt af van twee dingen: wat je zonder systemen nog kunt, en hoe snel je ze terugkrijgt. Voor een school betekent dat: kun je blijven lesgeven als belangrijke digitale systemen een week niet beschikbaar zijn? En kun je bestanden, mail en lesmateriaal terugzetten? Veel scholen gaan ervan uit dat Microsoft of Google dat regelt. Maar verwijderde gegevens zijn daar na 30 tot 90 dagen definitief weg. Een online back-up op een andere locatie is daarom een van de basisnormen.
Les 5: een patch is niet het einde, en het tempo gaat omhoog
De kwetsbare code in PHP zat er al ruim tien jaar in. Volgens securitybedrijf Wiz hielp AI bij het vinden ervan. Dat werkt twee kanten op: ook aanvallers vinden lekken sneller. En met de patch was het niet voorbij. "Een patch dicht het lek, maar maakt een eerdere inbraak niet ongedaan", waarschuwde securityexpert Wouter van Dongen.
De les: je moet niet alleen lekken dichten, maar ook zicht hebben op wat er in je netwerk gebeurt. Veel schoolbesturen hebben via hun Microsoft 365 A5-licentie al detectiesoftware in huis. Die signaleert verdacht gedrag, maar helpt je pas als er iemand is die de meldingen opvolgt en snel ingrijpt, ook midden in de nacht. Met Cybersecurity-as-a-Service bewaken specialisten systemen en netwerk 24/7. Zo kun je verdacht gedrag snel signaleren en ingrijpen als dat nodig is.
Wat dit betekent voor scholen
Het funderend onderwijs moet in 2030 voldoen aan niveau 3 van het Normenkader IBP. In 2027 horen scholen een nulmeting en een plan van aanpak te hebben. De vijf lessen uit oktober passen precies in dat kader: grip op leveranciers, overzicht van je systemen, afspraken over crisisbesluiten, continuïteit en monitoring.
Sommige maatregelen kunnen niet tot 2030 wachten. Daarom hanteert Cloudwise vier basisnormen als minimum: geen verouderde firewalls, geen verouderde switches en access points, MFA voor medewerkers en een off-site back-up. Die vormen geen eindpunt, maar een basis om verder op te bouwen.
"De incidenten laten zien dat het niet de vraag is óf er iets gebeurt, maar wanneer. Bij het PHP-lek konden we alle schoolwebsites in één keer veilig offline halen, omdat we die omgeving zelf beheren en continu bewaken. Die regie gun ik elke school, voor de hele digitale omgeving."
- Rob ten Thije, Operationeel Directeur Cloudwise
Zet nu de eerste stap
Digitale veiligheid begint niet bij de grootste investering, maar bij weten waar je staat. Ben je bestuurder, dan helpt dat om keuzes te maken en de benodigde investeringen in de begroting op te nemen. Ben je ICT'er, dan weet je welke systemen, leveranciers en apparatuur als eerste aandacht nodig hebben.
- Download de gids Digitaal veilig onderwijs: de routekaart naar het Normenkader IBP, met hoofdstukken over grip op systemen en leveranciers, soevereine cloud, AI en de begroting. Download de gids.
- De Cloudwise Basisnormen: digitale veiligheid borgen we samen. Lees meer.
Digitaal veilig onderwijs
Digitaal vaardige mensen verdienen een digitaal veilige omgeving. En zo'n veilige omgeving werkt pas als mensen er vaardig mee omgaan. Lees hoe wij ook de technische kant voor je op orde brengen op de pagina Digitaal veilig onderwijs.