Blog: Als een schakel uitvalt zie je ineens de hele keten

Auteur: Jelle Slotman

De gebeurtenissen bij de Europese detailhandel grootmachten laten op een pijnlijke, maar interessante manier zien tot hoever informatietechnologie verweven is met de dagdagelijkse bedrijfsvoering.

Meerdere grote Europese supermarktketens kregen deze week te maken met een cybersecurity incident, waarbij op grote schaal bedrijfsprocessen stil kwamen te liggen. Dit resulteerde bij Ahold Delhaize in stilstaande logistieke ketens, online bezorgingen die niet doorgingen en niet werkende kassacontroles in de winkel. Ook zijn bij verschillende grote Franse supermarkten de koelsystemen van Danfoss gehackt, waarbij aanvallers een continue ontdooicyclus van de koelsystemen hebben geactiveerd. Hierdoor werden koelingen standaard ingesteld op een temperatuur van 50°C.

Over de precieze technische oorzaak is op dit moment nog weinig bekend. Echter, brengen deze gebeurtenissen een heel belangrijke vraag naar boven:

Wat laten deze incidenten zien over afhankelijkheid

1.1 Een register van applicaties toont geen afhankelijkheden

Wat ik in de praktijk vaak zie, is dat organisaties veel moeite doen om hun IT-landschap vast te leggen. Er worden CMDB’s bijgehouden, architectuurplaten gemaakt, leveranciersregisters opgebouwd en processen beschreven.

Dat is allemaal nuttig, maar daarmee is nog niet automatisch duidelijk waar de organisatie werkelijk van afhankelijk is. Het risico is dat registraties en overzichten een doel op zichzelf worden. We weten dan welke applicaties er zijn, hoe systemen technisch samenhangen en welke leveranciers betrokken zijn, maar nog onvoldoende wat die afhankelijkheden betekenen voor de bedrijfsvoering.

Een applicatie staat namelijk zelden op zichzelf. Achter één voorziening kan een veel grotere keten schuilgaan. Dezelfde onderliggende diensten kunnen nodig zijn voor orderverwerking, logistiek, prijsinformatie, klantcontact, loyaliteitsprogramma’s of bevoorrading. Daardoor kan één verstoring op meerdere plekken tegelijk doorwerken. Vaak wordt dat pas echt zichtbaar wanneer een voorziening wegvalt. 

Dat maakt een afhankelijkheidsanalyse voor mij fundamenteel anders dan alleen de vraag:

“Welke systemen en/of applicaties ondersteunen dit proces?”

De interessantere vraag is:

“Wat gebeurt er met onze dienstverlening wanneer een bepaalde afhankelijkheid wegvalt?”

Want pas dan wordt zichtbaar welke afhankelijkheden werkelijk kritisch zijn, waar concentratierisico ontstaat en waar continuïteit onder druk komt te staan.

1.2 Kritiek zit niet in het systeem zelf

Veelal worden systemen benoemd tot kroonjuweel of bedrijfskritisch, maar zelden wordt de totale keten in ogenschouw genomen bij het uitvoeren van de Business Impact Analyse (BIA).

Zo is een centraal systeem voor toegangsbeveiliging niet kritisch omdat een centrale voorziening voor toegang biedt, maar omdat een deel van de bedrijfsvoering niet voortgezet kan worden wanneer medewerkers zich niet kunnen identificeren.

Daarmee verandert ook de manier waarop je naar risico kijkt. Vanuit een systeem kijk je al snel naar wat er technisch mis kan gaan en wat daarvan de directe impact is. Wanneer je de totale keten bekijkt, wordt zichtbaar hoe processen, informatieverwerkingen, mensen, systemen en leveranciers van elkaar afhankelijk zijn en hoe een verstoring zich door die keten kan verspreiden.

1.3 Continuïteit betekent bovendien niet dat alles moet blijven werken

Het incident liet nog iets interessants zien. Tijdens de verstoring konden de fysieke winkels grotendeels openblijven en bleven de kassasystemen functioneren, terwijl andere digitale en logistieke processen tijdelijk beperkt of niet beschikbaar waren.

Juist dat verschil laat goed zien dat weerbaarheid niet betekent dat alles onder alle omstandigheden moet blijven functioneren. Het gaat erom dat een organisatie begrijpt welke dienstverlening zij moet kunnen voortzetten, welke tijdelijke degradatie acceptabel is en waar uitval de bedrijfsvoering daadwerkelijk tot stilstand brengt.

Daarmee wordt de continuïteitsvraag veel concreter dan simpelweg afvragen of een systeem kritisch is. Een beter idee is om antwoord te krijgen op het volgende:

• Welke uitval kunnen we opvangen?
• Hoe lang en met hoeveel informatieverlies?
• Welke combinaties van afhankelijkheden mogen we nooit tegelijk verliezen?

Antwoord krijgen op bovenstaande vragen betekent grip op de beschikbaarheid en continuïteit van de bedrijfsvoering.

1.4 De keten begrijpen vóórdat hij breekt

Incidenten hebben de vervelende (of juist bijzondere) eigenschap dat ze afhankelijkheden bijzonder zichtbaar maken. Een verstoring loopt door de organisatie en tekent als vanzelf de keten voor je uit. Maar eigenlijk wil je dit beeld hebben vóórdat een incident dat doet.

Dit doe je niet door eindeloos te documenteren, maar door te begrijpen welke informatie en activiteiten nodig zijn om de dienstverlening mogelijk te maken, welke afhankelijkheden deze herbergen en door uit te vinden waar concentraties en kruisverbanden ontstaan. Pas als die samenhang zichtbaar wordt, kun je beoordelen waar de organisatie daadwerkelijk kwetsbaar is.