Interview Portbase: ‘De potentie van FERM als hub is enorm – maar dan moeten we wel open staan voor kennisdeling’

PORTBASE – PARTICIPANT VAN FERM | Portbase is de centrale ingang voor alle digitale havenlogistiek in de Nederlandse havens. Dat maakt de organisatie en het platform een enorm belangrijk onderdeel in het Haven Industrieel Complex. Portbase maakt supply chains sterker en slimmer, om de concurrentiepositie te verbeteren en de Nederlandse havens de slimste van Europa te maken. Traditiegetrouw starten we het gesprek met ‘dat incident’ in de zomer van 2017, en de vraag hoe het (sindsdien) met de cyberweerbaarheid in de Rotterdamse Haven gesteld is. “In één woord? Wisselend”, zegt Ronald Stolk, Securitymanager bij FERM-participant Portbase.

“Je ziet een enorme variatie in volwassenheid in de logistieke ketens. Er zijn grote partijen die het op orde hebben, omdat ze het óf vanaf het begin heel belangrijk vonden en het organisch een onderdeel van de organisatie hebben gemaakt, óf omdat ze door schade en schande wijs zijn geworden. In die laatste categorie heeft NotPetya zeker een rol gespeeld.”

Overigens wijst Ronald – net als Godfried Boshuizen in een eerder interview – naar een frappant gegeven van die aanval. “De betreffende organisatie was niet het voornaamste doelwit, maar ‘slechts’ collateral damage. Nu kunnen we moeilijk over ‘slechts’ praten met een schadepost van 300 miljoen euro, maar het is wel opmerkelijk; wat heel ergens anders begon, heeft hier een serieuze impact gehad. En dat is iets waar veel organisaties nog steeds niet echt een goed beeld bij hebben. In die zin is er helaas nog niet heel veel veranderd. IT is voor veel partijen een instrument dat ze toevallig – of noodzakelijk – nodig hebben om hun werk te kunnen doen, maar liever worden ze er niet mee lastig gevallen.”

“NotPetya was in veel opzichten echt een kentering. Het is niet óf, maar wannéér, en dat heeft in ieder geval aan de awareness en het bewustzijn van de risico’s een goede bijdrage geleverd. Ga er maar gewoon vanuit dat het een keer misgaat, en zorg dat je dan kunt herstellen – zorg dat je businesscontinuïteit veiliggesteld is.”

“FERM doet daar een dappere poging in, vanuit een laagdrempelige en doeltreffende insteek. ‘Meld je aan voor het Port Cyber Café, kom binnen voor een borreltje, heel informeel’ – maar vervolgens wel gevolgd door: dit speelt er, dat zijn de variabelen, en zo kun je het voorkomen. Dat is altijd de sterke basis van FERM geweest. In de huidige insteek (FERM als stichting, red.) kunnen we daar nu nog meer toegevoegde waarde aan leveren: het communitygevoel aanspreken, de keten als geheel met elkaar in verbinding brengen, en FERM als centrale hub positioneren precies zoals Godfried dat ook al omschreef.”

“Een grote uitdaging daarin is het kip-ei dilemma. Want de partijen die het onderwerp al belangrijk vinden, en daar veel mee bezig zijn, sluiten zich natuurlijk bij zo’n initiatief aan. Maar juist de organisaties die er het meest bij gebaat zijn, die zijn nog afwezig. De echte challenge is om ook die partijen daadwerkelijk bij elkaar te brengen. Dat is een kwestie van de lange adem; onder de aandacht brengen, de meerwaarde duiden, en samen de volgende stap zetten om de hele keten weerbaarder te maken.”

“De manier waarop de achterban daarin wordt betrokken is echt een goede zet. Want natuurlijk is FERM er al zo’n 5 jaar, maar de huidige invulling staat eigenlijk nog volledig in de kinderschoenen. Maar ook daarin zie ik goede stappen. Het Haven Cybermeldpunt bijvoorbeeld, en de OKTT-status – erg zinvol voor organisaties die zelf niet vanzelfsprekend bij die informatie kunnen. De invulling van de betaalde dienstverlening – ja, het kost geld, maar dat krijg je letterlijk grotendeels weer terug in de vorm van scans en waardevolle securityprogramma’s. Daarnaast is de sleutelrol wat mij betreft die van een echte netwerkorganisatie, waarin je nog gemakkelijker je peers kunt vinden op belangrijke onderwerpen zonder direct in een zwaar(der) orgaan als de Haven-ISAC te duiken. Een platform waarin we een voedingsbodem kunnen vinden om wél met waardevolle kennisdeling aan de slag te gaan, zonder schaamte voor incidenten en de beperkende invloed die dat heeft op de doorontwikkeling van cyberweerbaarheid.”

“Om daar te komen moeten organisaties minder angstig zijn om incidenten te delen, aangifte te doen en kennisdeling te faciliteren. Doorpakken op een voorbeeldfunctie dus, en niet verzwijgen waar het misging. Ik zag laatst een interview met een burgemeester van een gemeente die door een cyberaanval is getroffen, die dat vervolgens volledig open en transparant deelde. Dáár moeten we heen. Want het is OK, het kan gemakkelijk een keer fout gaan – maar déél het, want dan komen we allemaal verder. Samen staan we FERM.”