Uitgeweken

Afbeelding via Pixabay

Aan boord van vlucht KL1540 van Alicante naar Amsterdam werd gevraagd of er een dokter aanwezig was. Even later liet de gezagvoerder weten dat het vliegtuig wegens een medisch noodgeval moest uitwijken naar Parijs.

En dan gaan de dingen opeens anders dan je gewend bent. De toon verandert van vriendelijk-zakelijk naar afgemeten-streng. De daling is voelbaar steiler dan normaal. Het cabinepersoneel krijgt de instructie om de stoelriemen en klaptafeltjes te checken “als daar tijd voor is”. Er is géén tijd meer om afval met een karretje op te halen. Eenmaal aan de grond sta je binnen de kortste keren op een parkeerplek en komen de hulpdiensten.

Nadat alles rondom de patiënt geregeld is, wil je weer zo snel mogelijk terug naar de normale situatie: door naar Amsterdam. Daarvoor moest de captain “de nodige telefoontjes plegen”, bijvoorbeeld om bij te tanken en om te regelen dat hij er op Schiphol op een heel andere tijd toch tussen kon. Hij liet ook weten ervoor gekozen te hebben om geen extra catering te bestellen, want dat zou extra tijd kosten. Hij nam wel nog even de tijd om door het vliegtuig te lopen om eventuele vragen te beantwoorden.

In de IT moet je ook wel eens uitwijken. Dan werkt iets in je ene datacenter niet meer, maar nog wel in het andere; het is dan dubbel uitgevoerd, zoals we dat zo mooi noemen. Uitwijk is er in verschillende smaken. Bij sommige systemen gaat dat helemaal vanzelf en merken de gebruikers er niets van. Het systeem heeft zelf in de gaten dat iets niet klopt en schakelt over ‘naar de andere kant’. In andere gevallen moeten beheerders signaleren dat het niet goed gaat en de boel handmatig overzetten. En tja, helaas is er niet voor alle situaties een mogelijkheid om uit te wijken en moet je als gebruiker wachten tot het probleem is opgelost.

Net als in de luchtvaart wil je ook in de IT na een uitwijk weer zo snel mogelijk terug naar de normale situatie. Je moet vooraf bedenken hoe je dat doet, want vaak zijn er veel afhankelijkheden, waardoor je een bepaalde volgorde moet aanhouden. Je beschrijft de werkwijze in plannen en – heel belangrijk – je oefent regelmatig met die plannen. Enerzijds om het in de vingers te krijgen, anderzijds om fouten uit de plannen te halen. Die fouten kun je maar beter tijdens het oefenen tegenkomen dan in het echt.

Soms is er geen tijd om te oefenen, of eigenlijk: wordt er geen tijd voor gemaakt. Stel je eens voor dat piloten geen tijd krijgen om noodsituaties te oefenen. En dat er dan tijdens de start – een tamelijk cruciaal punt in de vlucht – een motor uitvalt. Je wilt liever niet dat de piloten elkaar dan vragend aankijken. Nee, ze horen routinematig (zeg maar: op de automatische piloot) de juiste handelingen uit te voeren. Die handelingen zijn van tevoren bedacht, beschreven en uitvoerig geoefend. Zodat het goed afloopt als het een keer fout gaat.

Maar het kan nog erger: dat er helemaal geen aandacht wordt besteed aan de continuïteit van een proces. Kijk, je mag gerust het weloverwogen besluit nemen dat dat niet hoeft, maar in de gevallen waar ik op doel, wordt er helemaal niet over het onderwerp nagedacht. Uit onwetendheid, machteloosheid, tijdgebrek, wie zal het zeggen. Misschien denk je nu aan de recente massale uitval bij AWS (de cloudservice van Amazon), maar kijk gerust ook eens rond in je eigen organisatie.

Vlucht KL1540 arriveerde twee uur later bedoeld op Schiphol. Geen al te groot probleem voor passagiers die Amsterdam als eindbestemming hadden. Er waren echter ook mensen aan boord die nog door moesten naar Kristiansand, in het zuiden van Noorwegen. Daar gaan niet heel veel vluchten heen. Ik vrees dat die passagiers moesten uitwijken naar een hotel.

 

En in de grote boze buitenwereld …

• AWS was dus een tijdje down en dat had grote impact.
• Sliepen sommige mensen ten gevolge van de AWS-storing rechtop in een heet bed.
• Mogen er best wat meer ICT-nerds in de Tweede Kamer.
• Roept de Britse regering bedrijven op om Chefsache te maken van cybersecurity.
• Moet je voor je nieuwsvoorziening maar niet teveel op AI leunen.
• Drongen hackers door tot een atoombommenfabriek.
• Krijgen opsporingsdiensten steeds meer interesse voor videodeurbellen.
• Installeert Microsoft stiekem Gaming Copilot op je pc.
• Kun je natuurlijk ook een kaartschudmachine hacken.

 

Watersnood

 

Afbeelding gegenereerd door ChatGPT

Apeldoorn, vrijdag 4 oktober 2024, 18.22 uur:  bij 70 duizend huishoudens ploft een mailbom op de mat: het drinkwater is besmet met de e.coli-bacterie (in de krant liefdevol de ‘poepbacterie’ genoemd), u dient het water drie minuten te koken alvorens het te drinken. Ook voor tandenpoetsen en het wassen van groente moet je afgekookt water gebruiken.

De bevolking spoedt zich acuut en massaal naar de supermarkt om flessenwater in te slaan. De nood is hoog – in één supermarkt gaan mensen zelfs op de vuist voor de laatste paar flessen. We zien beelden die we kennen uit verre landen, met mensen die winkelkarretjes voortduwen die maximaal zijn gevuld.  Aan het einde van de avond is dan ook nergens meer een fles te koop. Er wordt nog net niet geplunderd. Een winkelier vertelt in de krant hoe snel het water over de toonbank ging, en dat hij voor de volgende dag niet de gebruikelijke duizend liter, maar tien keer zoveel heeft besteld. De plaatselijke persfotograaf legt een auto vast waarvan de bagageruimte volledig is gevuld met waterflesjes. Ik heb ze geteld: er ligt rond de 140 liter water in die auto.

En wij? Wij bleven rustig thuis zitten. Want enerzijds vertrouwen wij erop dat als het waterleidingbedrijf zegt dat een paar minuten koken afdoende is, dat ook echt zo is, en anderzijds hebben wij al jaren een noodvoorraad drinkwater, precies voor dit soort gevallen. En we letten op de houdbaarheidsdatum, zodat het water tijdig ververst wordt (wat niet wegneemt dat het toch een beetje muf smaakt). En zo zijn er nog meer spullen die je maar beter in huis hebt voor als er eens iets raars aan de hand is. Een voorraadje voedsel ligt natuurlijk voor de hand; bedenk daarbij dat je misschien geen gas of elektriciteit hebt om het te bereiden en dat je het dus koud moet kunnen eten. Oplaadbare lampen zijn alleen leuk zolang er stroom is – lampen die (ook) op batterijen werken zijn beter, mits je voldoende volle batterijen in huis hebt. Een radio op batterijen is handig om op de hoogte te blijven van de voortgang van de misère.

In de ICT is dit het vakgebied van Business Continuity Management. BCM’ers regelen onder andere dat áls het een keer misgaat, áls onze ICT wordt getroffen door een calamiteit, de gevolgen beperkt blijven en we weer zo snel mogelijk terug zijn bij normaal. Dat doen ze door erop toe te zien dat teams, die verantwoordelijk zijn voor het in de lucht houden van ICT-diensten, optimaal voorbereid zijn op eventualiteiten. Er liggen plannen klaar en die plannen worden getest. En voor grote, ingrijpende gebeurtenissen trainen ze het crisismanagementteam, zodat ook deze mensen weten wat ze te doen staat als de dingen een keer heel anders lopen dan de bedoeling is.

Zoals het voorbeeld van de watersnood in Apeldoorn en de omliggende dorpen aangeeft, is het ook handig om thuis iets aan BCM te doen (al zou ik het dan misschien eerder HCM noemen: Home Continuity Management). Hierboven gaf ik al een aanzet tot een boodschappenlijstje; op de overheidswebsite denkvooruit.nl vind je nog meer informatie. Daar lees je bijvoorbeeld dat het ook handig is om wat contant geld in huis te hebben. Want bij een massale uitval van elektriciteit of netwerkverbindingen kun je ook niet meer pinnen, en de geldautomaat zal ook zijn sorry-scherm tonen. Dan ben je blij als je calamiteitencontanten in huis hebt en wél boodschappen kunt doen.

Maar dan niet gelijk gaan hamsteren hè. Hier bij ons moest de burgemeester eraan te pas komen om de bevolking op te roepen om niet te pakken wat je pakken kunt en rekening met elkaar te houden – gun de ander ook wat, was de boodschap. Ik moest terugdenken aan dat filmpje uit de coronatijd, waarin een schaterende heftruckchauffeur door een immens magazijn reed dat tot de nok toe was gevuld met wc-papier. Dat was toen het product waarvan we opeens vreesden dat het op zou raken. De run op water in Apeldoorn is nog opmerkelijker omdat het een lokaal probleem is. Overigens zijn heel wat mensen al naar omliggende steden uitgeweken om aan water te komen.

Terwijl water koken een prima alternatief is. Toegegeven, het is een beetje lastig. Ik ben zo gewend om mijn theewater uit de kokendwaterkraan te tappen, dat ik vanochtend straal langs de gevulde thermosfles keek en mijn mok onder de kraan vulde en pas toen de thee klaar was besefte dat ik fout zat. Voor het tandenpoetsen hebben we een fles water in de badkamer staan, gewoon omdat dat handiger is. Gekookt water moet nu eenmaal eerst afkoelen voordat je het voor dergelijke toepassingen kunt gebruiken.

Ondertussen is de waterleidingmaatschappij druk bezig om vier waterreservoirs, die elk drie miljoen liter water bevatten, te inspecteren. Daarvoor moeten ze leeg, maar dat kan niet allemaal tegelijk omdat er dan geen water meer uit de kraan komt. Dat is de reden waarom het zo lang duurt – in ieder geval tot en met de 14^e moeten we ons kraanwater wantrouwen. Vandaag (vrijdag) krijgen we weer een update. Hopelijk met goed nieuws. En ik ben ook wel benieuwd naar de oorzaak. Ondertussen heb ik mijn dagelijkse appel zojuist maar met een velletje keukenrol afgeveegd in plaats van hem onder de kraan te wassen. Ach ja, die kleine ongemakken.

 

En in de grote boze buitenwereld …

• is een Amerikaanse waterleidingmaatschappij gehackt.
• heeft de Nederlandse politie een beheerder van een drugsmarkt op het darkweb gearresteerd.
• kun je natuurlijk ook air-gapped computers hacken.
• geldt in Australië een meldplicht voor het betalen van losgeld bij een ransomware-aanval.
• zijn bij de grote politiehack ook privégegevens en foto’s van enkele politiemensen buitgemaakt.
• proberen cybercriminelen de spaarpunten van sporters te stelen.
• zijn de data van 31 miljoen gebruikers van The Internet Archive gestolen.
• hebben de Chinezen de tapkamers van Amerikaanse telecombedrijven gehackt.
• denken de meeste ambtenaren dat ze cybersecurity wel snappen.

 

Vicieuze cirkel

 

Afbeelding via Unsplash

Een lezer was in een vicieuze cirkel terechtgekomen en deelde zijn relaas met mij, met als openingszin: “Mogelijk heb ik een leuke input voor je blog.” Nou, dat klopt inderdaad. Zijn ervaringen zijn vooral leerzaam en kunnen andere lezers ervoor behoeden in dezelfde situatie terecht te komen.

De iPhone van collega Mark de Wals was stuk. Dat is op zichzelf al vervelend genoeg, maar het was voor Mark nog maar pas het begin van een draaikolk waar hij zich slechts met moeite uit wist te redden. Die draaikolk werd gek genoeg mede veroorzaakt door twee uitstekende beveiligingsmaatregelen die Mark had getroffen: hij gebruikte een password manager en hij paste tweefactorauthenticatie toe (2FA, ook wel MFA, met de M van multi). Hoe kunnen deze maatregelen, die ik iedereen van harte aanbeveel, je zo in de nesten werken? En, belangrijker: hoe blijf je uit de nesten? Lees en huiver, maar vooral: leer ervan.

Mark wilde z’n iPhone laten repareren (het ding was overigens niet helemaal dood). Alvorens het toestel af te geven voerde hij een reset uit. Dat zorgt ervoor dat alle gegevens, inclusief alle accounts, gewist worden – het is dan alsof het toestel vers uit de fabriek komt. Wel zo fijn dat je zeker weet dat de reparateur niet in jouw gegevens kan rondneuzen, nietwaar? Nadeel is natuurlijk wel dat je het toestel na de reparatie opnieuw moet inrichten. Veel mensen hebben daar een broertje dood aan; bij menigeen is dat de belangrijkste reden om de aanschaf van een nieuw toestel uit te stellen totdat het oude toestel écht niet meer mee kan. Maar aangezien de reparateur in de vaak toegang tot het apparaat zal moeten hebben, kom je niet om zo’n reset heen.

Toen het toestel terugkwam, ging Mark er eens voor zitten. Een van de eerste dingen waar de iPhone om vroeg was het wachtwoord van zijn Apple ID (“Uw Apple ID is de account waarmee u toegang hebt tot alle Apple voorzieningen en die al uw apparaten feilloos laat samenwerken.”) Dat wachtwoord zat in Marks password manager – en die was nog niet toegankelijk omdat het toestel nog niet ingericht was. Maar geen nood: dankzij de cloud was de wachtwoordkluis ook via de laptop te benaderen.

Mark typte zijn wachtwoord in, waarop de iPhone reageerde met: prima, en nu moet je deze login nog even goedkeuren in je 2FA-app. Ai ai ai, die app zat óók op de iPhone – en dus onbereikbaar! Voilà een schoolvoorbeeld van een vicieuze cirkel: om het toestel te starten heb je die app nodig, maar de app draait op hetzelfde toestel.

Dan maar een reset aanvragen bij Apple. Daar kwamen een e-mail en een sms-bericht aan te pas. Gelukkig kon Mark de code uit het sms’je nog wel ontvangen en uitlezen. Apple laat er om veiligheidsredenen een paar dagen overheen gaan als je bij hen een reset aanvraagt. Dat waren twee bange dagen, maar toen ontving Mark een mailtje en een sms’je met verificatiecodes. Daarmee kon hij weer bij zijn account.

Mark heeft een paar tips voor ons. De eerste heeft ermee te maken dat hij in dit toestel geen echte simkaart gebruikt, maar een e-sim – dat staat voor embedded sim en betekent dat de kaart in het toestel ingebouwd is. Je provider stuurt dus geen simkaart op, maar maakt gebruik van de e-sim. Wat nu als je een sms’je moet ontvangen met een verificatiecode, maar geen toegang hebt tot je telefoon? Een fysieke simkaart kun je dan in een ander toestel stoppen om het bericht daar te lezen, maar dat kan niet met een e-sim. Als die laatste met een pincode is beveiligd, dan zie je de ontvangen code niet op het vergrendelscherm zolang je niet bent ingelogd. Mark had die pincode uitgezet aangezien het toestel zélf beschermd is en je de e-sim toch niet uit het toestel kunt halen.

De volgende tip is de belangrijkste: zorg dat je je belangrijkste wachtwoorden ergens bewaart waar je altijd bij kunt. Marks password manager (LastPass) biedt de mogelijkheid om wachtwoorden te delen met anderen. Via deze optie kan hij altijd de wachtwoorden van zijn e-mail en zijn Apple ID achterhalen. En als een ander gezinslid ook een Apple ID heeft, dan kun je elkaar machtigen om elkaar te helpen bij het resetten van je wachtwoord.

Android werkt ook met mailadressen en telefoonnummers voor het herstellen van accounts. Daarbij geef je een ander e-mailadres op dan het adres dat aan het account gekoppeld is. Maar pas op dat dat niet een adres is dat alleen maar wordt gebruikt om de daar binnenkomende mail door te sturen naar je primaire account – daar kun je in zo’n situatie immers niet bij.

De ervaringen van Mark leren ons dat het belangrijk is om vooraf maatregelen te treffen om uit zo’n situatie te ontsnappen. Check dit weekend even of je je zaakjes orde hebt.

 

En in de grote boze buitenwereld …

• zijn password managers nog volop in ontwikkeling.
• kon de 2FA-functie van Facebook omzeild worden.
• blokkeert deze kassamalware de contactloos betalen-functie, om vervolgens de gegevens van de betaalpas uit te kunnen lezen.
• verminderde het aantal gevallen van betaalverzoekfraude op Marktplaats fors.
• manipuleren veel webwinkels hun klanten.
• hebben de makers van ChatGPT nu een tool om AI-teksten te herkennen.
• is cybercrimineel tegenwoordig een gewone baan.

 

Natte laptop

 

Afbeelding uit eigen collectie

Gisteravond kwam mijn dochter (14) bij me: “Pap, mijn beeldscherm werkt niet.” Ze heeft op haar kamer een los beeldscherm waar ze haar laptop aan kan koppelen. Volgens het aloude adagium check cables first controleerde ik of beide uiteinden van de kabel goed op hun plek zaten. Vervolgens pakte ik een andere HDMI-kabel om te achterhalen of haar kabel misschien de boosdoener was. Geen resultaat.

Ze kwam gisteren vlak voor de wereldondergang thuis (het heeft hier nogal heftig geonweerd), dus ik vroeg of haar spullen nat waren geworden. Nou, dat niet echt, alleen was de dop van haar Dopper in de tas losgeschoten. Maar die drinkfles was gelukkig leeg. Dacht ze.

Ik schroefde de laptop open en zag meteen dat het mis was: op diverse plekken was het vochtig. Eerst maar eens de accu eruit gehaald en de vochtige plekken met tissues drooggedept, en ook de HDMI-poort een droogbeurt gegeven. De luidsprekers moesten ook gedroogd worden, want er kwam ook geen geluid meer uit de laptop, meldde dochterlief schoorvoetend. Ik heb aardig wat schroefjes losgedraaid om overal bij te kunnen. Dat ik dat durf, heb ik grotendeels te danken aan een collega, waarmee ik lang geleden wel eens naar een computerbeurs ging, waar we losse onderdelen kochten en daarmee zelf een pc in elkaar schroefden.

Je hoort wel eens dat je een telefoon, die in de wc of in zee is gevallen, in een zak rijst moet stoppen, omdat de rijst het vocht opneemt. Ik twijfelde even of ik de laptop ook zo’n behandeling zou geven, maar heb daar toch van afgezien omdat ik bang was dat de rijstkorrels op verschillende plekken klem zouden komen te zitten en dat leek me geen goede aanvulling op de hardware. In plaats daarvan pakte ik de föhn en heb op lage stand – voor zowel warmte als blaaskracht – de ingewanden van de laptop bewerkt.

“Gebruik nooit een föhn”, las ik zojuist in twee verschillende artikelen, die ik ging opzoeken omdat ik eigenlijk wilde weten hoe het met die rijst zat (daar rept trouwens niemand over). Ai, die föhn was dus niet zo’n goed idee, want de warmte kan de gevoelige onderdelen beschadigen en de wind kan het vocht in de richting van extra vochtgevoelige onderdelen blazen. Gelukkig dus maar dat de föhn op standje laag stond; ik ben er vrij zeker van dat de laptop zelf meer warmte produceert dan hij door mijn actie te verduren kreeg. En de boel was ook weer niet zo nat dat er veel vocht verplaatst kon worden. Althans, dat denk ik. Want ik heb ook weer niet zoveel componenten losgeschroefd dat ik overal zicht op had.

Bij een calamiteit moet je snel handelen, maar als je op dat moment moet nadenken over wát je dan precies moet doen, dan ga je misschien dingen doen die je niet had moeten doen. Zo’n natte laptop moet zo snel mogelijk helemaal worden uitgeschakeld, alle stekkers moeten eruit en vervolgens ga je hem in- en uitwendig zo goed mogelijk afdrogen. Tot zover heb ik de juiste dingen gedaan. Op dat moment had ik moeten doen wat ik vanochtend pas deed: informatie inwinnen over verder te nemen stappen. En nóg beter was natuurlijk geweest als dat allemaal parate kennis was geweest.

Ik heb mijn dochter erop gewezen dat ze meteen bij me had moeten komen toen ze zag dat de laptop vochtig was – want dat had ze wel degelijk gezien. Ze keek beteuterd toen ik haar vertelde dat haar laptop minstens een dag open zou blijven liggen om te drogen. “Maar dan kan ik niets voor school doen!”, riep ze verontwaardigd uit. Ja, dat klopt. En deze gebeurtenis herinnert ons er ook weer aan dat ze haar bestanden niet op de laptop, maar op de NAS (harde schijf in ons thuisnetwerk) moet opslaan. Dat heb ik wel ooit verteld, maar daarna niet meer gecheckt of ze dat ook daadwerkelijk doet, en of ze überhaupt snapt hoe dat moet.

Moraal van het verhaal: zodra je weet of vermoedt dat er iets mis is, moet je dat melden bij een bevoegde instantie. Mijn dochter had de vochtige laptop meteen bij mij moeten brengen. En als je in je werk iets tegenkomt wat de beveiliging zou kunnen schaden, dan meld je dat aan de servicedesk en/of de security officer. En je manager informeren is natuurlijk ook altijd goed – die wordt geacht je te kunnen vertellen wat je moet doen (zie vorige zin). Ga niet zelf iets proberen, behalve dan natuurlijk de stekker uit een rokend apparaat trekken en zo.

De laptop ligt nu op de vensterbank te zonnebaden. Hopelijk knapt hij daarvan op.

De komende twee weken verschijnt er geen Security (b)log.

 

En in de grote boze buitenwereld …

• sla je je wachtwoorden liever niet op in de browser, maar in een password manager.
• leidt thuiswerken tot meer datalekken en beveiligingsincidenten.
• was Bluetooth nooit bedoeld om auto’s te ontgrendelen, waardoor het nu kan worden gebruikt om auto’s te stelen.
• moet je bij het boeken van je vakantie uitkijken voor (onder andere) digitale oplichting.
• lekte de Apeldoornse Stadspas login-gegevens van burgers.
• staat een man voor de rechter voor het verhandelen van persoonsgegevens van een kwart miljard mensen.
• botsen privacy en opsporing nog wel eens met elkaar.
• kun je natuurlijk ook een songfestival proberen te hacken.
• is er meer Linux-malware waargenomen.
• is een Zwitserse bankrekening ook al geen veilige haven meer voor cybercriminelen.
• geven de NCSC’s van verschillende landen (waaronder Nederland) gezamenlijk tips aan organisaties over veel gemaakte beveiligingsfouten.
• moet de Belastingdienst zich beter in de AVG verdiepen.

 

Veerkracht

 

Afbeelding via Pixabay

Amper bekomen van de Dag van het Wachtwoord, toont de kalender ons een campagne uit een aanpalend vakgebied: vanaf 16 mei is het Business Continuity Awareness Week. En omdat business continuity management (BCM) ongeveer net zo belangrijk is als informatiebeveiliging, verdient ook dit event aandacht in de Security (b)log.

BCM is het vakgebied dat zich – zoals de naam eigenlijk al verraadt – bezighoud met de continuïteit van de bedrijfsvoering, maar dan wat ze noemen ‘onder ongunstige omstandigheden’. Het woord calamiteit speelt daarbij een belangrijke rol. Die willen de BCM’ers namelijk voorkomen, en als er zich toch eens een keer eentje voordoet, dan willen ze ‘m zo goed mogelijk beheersen. Calamiteit wordt daarbij gedefinieerd als een onverwachte gebeurtenis met dusdanig negatieve gevolgen dat de reguliere probleemoplossende activiteiten onvoldoende zijn voor herstel van de normale situatie. Naast de continuïteit van het bedrijfsproces hebben ze ook oog voor de veiligheid van medewerkers en bezoekers en voor de reputatie van de organisatie.

De aankomende speciale week heeft als motto: ‘building resilience in the hybrid world’ (veerkracht opbouwen in de hybride wereld). Nou ben ik altijd een beetje huiverig voor motto’s van conferenties en andere activiteiten, want het klink al gauw pompeus terwijl het er uiteindelijk om gaat om het programma te vullen met zo aansprekend mogelijke bijdragen, die liefst ook nog een beetje leuk worden gepresenteerd. Maar goed, laten we dit motto toch maar eens afpellen.

Die hybride wereld uit het motto, dat is natuurlijk de wereld waarin wij leven sinds corona de wereld veroverde. Voordat de wereld voor ons kantoormensen hybride werd, was zij nagenoeg puur: we werkten standaard op kantoor, mensen met jonge kinderen hadden misschien een vaste thuiswerkdag, een enkele waaghals durfde het aan om zich op twee werkdagen niet op kantoor te vertonen. Je moest dat min of meer verdedigen tegenover je collega’s en je manager vond het misschien ook niet zo fijn. Tijdens de pandemie sloeg dit om in een situatie die nog puurder was dan de oude, maar dan helemaal aan de andere kant van de schaal: van de ene op de andere dag werkten we met z’n allen volledig thuis. In die twee jaar ben ik vijf keer op kantoor geweest, om dingen te doen die ook alleen maar daar gedaan konden worden. En dan had je nog toestemming nodig van je afdelingshoofd.

Toen het licht aan het einde van de covid-tunnel in zicht kwam, gingen we het omgekeerde doen van wat we vroeger deden: we gingen af en toe een keertje naar kantoor. En we bereidden ons voor op die nieuwe, hybride wereld, want een ding was zeker: we zouden nooit meer fulltime naar kantoor gaan. En dat doet iets met de manier waarop we tegen continuïteitsmanagement moeten aankijken. Dat is overigens een stelling, niet per se een feit.

Net buiten mijn woonwijk staat een datacenter. Ik kom daar af en toe langs en telkens staat er hooguit één auto binnen het hek. En zo hoort het in feite ook te zijn: er komt alleen een technicus langs als er iets mis is, of voor routine-onderhoud. Daarentegen hebben de complexen, die onze eigen datacentra huisvesten, tevens een kantoorfunctie. Een paar duizend medewerkers liepen er, pre-corona, dagelijks rond. In onze hybride wereld is dat drastisch veranderd. Op een willekeurige dag in de week werken meer collega’s thuis dan op kantoor. Wat betekent dat in het geval zich een calamiteit voordoet?

Enerzijds is dit een nadeel, omdat je veel minder snel de benodigde mensen bij elkaar hebt om de gebeurtenis het hoofd te bieden, gewoon omdat ze op dat moment niet op kantoor zijn. Maar ja, “bij elkaar” is tegenwoordig iets heel anders dan vroeger. We komen net zo gemakkelijk virtueel bij elkaar, al zal menigeen beamen dat je in bepaalde situaties soepeler kunt samenwerken als je in het echt bij elkaar bent. Ten tijde van een calamiteit mag je die soepelheid misschien als luxe beschouwen.

Anderzijds vormt dat thuiswerken een voordeel, om precies dezelfde reden: veel mensen zijn niet op kantoor. Als het een fysieke calamiteit is, zoals een brand, hoef je je niet druk te maken over collega’s die er niet zijn. Een ontruiming zal sneller kunnen worden afgerond en het aantal potentiële slachtoffers is kleiner. Verder hoef je, als door de calamiteit een deel van de kantoorwerkplekken niet langer beschikbaar is, niet naarstig op zoek naar een alternatieve locatie: de getroffen medewerkers moeten ‘gewoon’ weer een poosje continu thuis werken. Daar hoef je tegenwoordig geen technische hoogstandjes meer voor te verrichten, de benodigde infrastructuur is er al.

Alleen gaat de redenering in beide voorgaande alinea’s natuurlijk alleen op als de calamiteit de voor het thuiswerken benodigde infrastructuur niet heeft aangetast. Dáár moeten we de nodige veerkracht ontwikkelen, voor zover dat niet reeds is gebeurd. De rest van BCM is business as usual waarvoor in de hybride wereld amper iets verandert.

Het is vandaag trouwens vrijdag de 13^e. Een perfecte dag om het over calamiteiten te hebben.

 

En in de grote boze buitenwereld …

• slaan Apple, Google en Microsoft de handen ineen om een veilige, wachtwoordloze logins mogelijk te maken.
• mag je reclame niet vermommen als servicebericht.
• lagen gegevens over jou en jouw huis mogelijk op straat.
• geven bewindslieden een slecht voorbeeld met het gebruik van privémail en chat-apps.
• wil de Europese Commissie massasurveillance inzetten in de strijd tegen kinderporno.
• kunnen IT-diensten en -producten in Duitsland een veiligheidslabel krijgen van de overheid.
• zijn managed service providers vaak het doelwit van cyberdreigingen.
• lekken veel websites jouw e-mailadres en wachtwoord, vaak nog voordat je op verzenden hebt geklikt.
• krijgt Colonial Pipeline mogelijk een vette boete naar aanleiding van een ransomeware-aanval op het bedrijf.

 

Continuïteit

Het is 28 februari 2010. De radio meldt het eerste COVID-09-geval in Nederland. Het virus is hard op weg om een heuse pandemie te veroorzaken en heeft dus nu, nadat het eerst alleen in het verre Thailand en een paar maanden later in het al wat dichter bij huis liggende Spanje woedde, ook ons land bereikt – Drenthe om precies te zijn.

Premier Balkenende en minister Klink van Volksgezondheid, Welzijn en Sport geven regelmatig persconferenties waar gans het volk live naar kan kijken. We zijn getuige van de worsteling van de regering om het virus te beteugelen. Op tv zien we Balkenende stuntelen met het nieuwe geen-handen-schudden, terwijl hij ons oproept om diezelfde handen vaak te wassen en twee meter afstand tot anderen te houden. Je kunt namelijk niet aan iemand zien of hij besmet is met het curunavirus. Wereldwijd slagen laboratoria er maar niet in om een eenvoudige test te ontwikkelen waarmee hierover uitsluitsel kan worden verkregen. Alleen kostbaar, tijdrovend bloedonderzoek kan het virus aantonen. De ontwikkeling van een snelle test (binnen een week uitslag beschikbaar) vergt volgens de Wereldgezondheidsorganisatie nog zeker een jaar.

Het blijft niet lang bij dat ene ziektegeval. Vanuit patient zero verspreidt de ziekte zich als een olievlek over heel Nederland. Deskundigen adviseren om zo weinig mogelijk contact met andere mensen te hebben. De regering breekt zich het hoofd over de vraag welke maatregelen ze kan treffen om dat voor elkaar te krijgen. Twee maatregelen dringen zich op: zoveel mogelijk thuis werken en niet-essentiële winkels sluiten.

Wat als we inderdaad tien jaar eerder door een pandemie zoals de huidige waren getroffen? Dat is de vraag waar ik over mag filosoferen als opmaat voor de Business Continuity Awareness Week (BCAW), waar ook onze organisatie de nodige aandacht aan besteedt. En daarbij is ‘nodige’ niet zomaar een achteloos geschreven woordje – ik heb de indruk dat de bewustwording op het gebied van business continuity management nog niet op het niveau van informatiebeveiliging zit, terwijl we er ook op dát vakgebied nog best wel stevig aan moeten trekken. Kortom, de BCAW is hard nodig.

Hoe zou dat tien jaar geleden zijn gegaan, dat thuiswerken? We hadden nog lang niet allemaal een zakelijke laptop – op onze bureaus op kantoor prijkten desktopcomputers. Je kon eventueel een RSA-token krijgen, waarmee je vanaf je privécomputer toegang kreeg tot je zakelijke mail en het intranet. We belden met toestellen als de Samsung Galaxy S (0,5 GB geheugen; mijn huidige telefoon heeft achtmaal zoveel) en de iPhone 4 (schermdiagonaal 3,5 inch; ik heb nu 6,4 inch op zak). Die iPhone kreeg FaceTime (beeldbellen) en een frontcamera, maar had veel ontvangstproblemen. En het belangrijkste: lang niet iedereen had toen een zakelijke smartphone, laat staan een tablet. Mobiel bellen was toen ook veel duurder dan nu. Communicatie zou hoe dan ook lastig en duur geweest zijn.

Je breedbandaansluiting had een – voor toen – duizelingwekkende snelheid van tien megabit per seconde. Ter vergelijking: mijn huidige, nog redelijk bescheiden aansluiting is vijftig keer zo snel. Maar misschien had je toen nog wel ISDN, op 64 kilobit per seconde. Een snelheid van drie tot acht Mb/s zou voldoende moeten zijn voor videobellen met goede beeldkwaliteit, maar ja: dat hadden we toen nog helemaal niet! Vergaderingen hadden dus telefonisch gemoeten. Jippie.

Online shoppen zou ook een feest zijn geweest voor ons als klanten, en een logistieke nachtmerrie voor winkeliers. Ja, er waren al wat online winkels, maar lang niet voldoende bestelbusjes en chauffeurs om alles in de huidige hoeveelheden aan huis te bezorgen. Zowel werken als leven zou destijds veel zwaarder zijn geweest. Het zou wat gemakkelijk zijn om te zeggen dat we er niet goed op waren voorbereid; de technologie was gewoon nog niet zo ver. Nu hebben we het geluk dat we wél snel internet, een dikke smartphone en videovergaderen hebben. Het zou me echter niet verbazen als een blogger, die over tien jaar op deze pandemie terugkijkt, zich verwonderd afvraagt hoe we met de beschikbare middelen stand hebben gehouden. Omdat ze dan weer nieuwere dingen en hogere snelheden hebben.

Business Continuity Management heet het vakgebied dat tot doel heeft onze organisaties tegen rampspoed te beschermen en ons, mocht er toch eens een kink in de continuïteit komen, zo snel mogelijk terug te brengen naar normaal. Niet een nieuw normaal, maar gewoon het oude, vertrouwde normaal. Het is te hopen dat BCM’ers wereldwijd met deze pandemie meeschrijven, om bij een volgende ramp niet meer te hoeven zeggen: wat hébben we een geluk gehad dat we voorzieningen hebben om mensen massaal thuis te kunnen laten werken. Nee, voor een volgende calamiteit van deze magnitude horen al vooraf een hoop dingen georganiseerd te zijn. Zelfs nu heeft nog niet iedereen een apparaat waarmee je fatsoenlijk kunt videobellen, om maar eens iets te noemen. En achter de continuïteit van al die thuiskantoren gaat ook een heel logistiek proces schuil dat je niet zo maar even uit de grond stampt. Voorbereiden, oefenen, klaarstaan, opruimen: dat is, in een notendop, BCM. Geef het allemaal wat extra aandacht in de week van 17 mei. En daarna gewoon continu.

 

En in de grote boze buitenwereld …

… is ook weer van alles gebeurd, vanwege de korte werkweek had ik deze keer geen tijd om hier de gebruikelijke links naar artikelen op te nemen.