Begin februari van dit jaar werd het Italiaanse museum Gallerie degli Uffizi in Florence getroffen door een ernstige cyberaanval. Het was geen korte inbraak: de aanvallers zouden al geruime tijd binnen zijn geweest voordat het lek werd ontdekt. Wat zij in die tijd hebben meegenomen, gaat veel verder dan wat de meeste mensen bij een “datalek” voor ogen hebben.
Wat is er gestolen?
Volgens Italiaanse media kwamen de aanvallers in het bezit van toegangscodes en wachtwoorden, alarminstellingen, interne plattegronden, locaties van bewakingscamera’s en sensoren, en zelfs inzicht in de logica achter de beveiligingsprocessen en interne besluitvorming van het museum. Daarnaast is het volledige gedigitaliseerde archief van het fotografische kabinet buitgemaakt, een collectie die in decennia is opgebouwd en waarvan een deel door de aanval verloren is gegaan.
De daders dreigen deze gegevens op het dark web te verkopen als er niet wordt betaald. Het gaat dus niet alleen om persoonsgegevens of financiële informatie, maar om informatie die direct raakt aan de fysieke beveiliging van een van de bekendste kunstcollecties ter wereld.
Hoe de aanvallers binnenkwamen
De ingang was verouderde software voor het beheer van camerabeelden, die via de website van het museum bereikbaar was. Eenmaal binnen wisten de aanvallers stap voor stap meer toegang te verwerven. Servers, computers en smartphones werden gecompromitteerd, inclusief het apparaat van de directeur zelf.
Dit is een patroon dat we vaker zien bij dit soort aanvallen. De initiële toegang is technisch gezien vaak relatief eenvoudig, via een systeem dat al jaren draait en nooit als kwetsbaar is beschouwd, juist omdat het niet tot de kern-IT wordt gerekend. Camerasystemen, toegangscontrolesystemen, klimaatbeheer: dit zijn operationele systemen die buiten het zicht van de reguliere ICT-beheerder vallen, maar die wel verbonden zijn met het netwerk en in veel gevallen ook met het internet.
Als direct gevolg van de aanval is een deel van Palazzo Pitti gesloten voor onbepaalde tijd. De meest waardevolle stukken zijn overgebracht naar de kluis van Banca d’Italia. Dat zegt wel iets over de ernst waarmee de situatie wordt ingeschat.
Wat betekent dit voor de Nederlandse context
Gallerie degli Uffizi is een groot, internationaal bekend museum. Maar de kwetsbaarheid die hier werd misbruikt, is allerminst uniek voor grote instellingen. Nederlandse musea, van regionaal erfgoed tot stedelijk kunstmuseum, werken met vergelijkbare systemen, vergelijkbare leveranciers en vergelijkbare budgetbeperkingen als het gaat om informatiebeveiliging.
Een aantal vragen is dan ook niet onredelijk om te stellen. Welke systemen in uw gebouw zijn verbonden met het internet, en worden die even zorgvuldig beheerd als uw andere ICT? Wanneer heeft u voor het laatst gecontroleerd of software op dit soort systemen nog up-to-date is? Wie is er verantwoordelijk als het misgaat: de leverancier van het camerasysteem, uw ICT-beheerder, of uw eigen organisatie?
En misschien wel de meest wezenlijke vraag: als de beveiliging van uw gebouw digitaal in handen van een aanvaller valt, wat is dan de impact op uw collectie, uw medewerkers en uw bezoekers?
Cybersecurity als governance-vraagstuk
Wat het incident in Florence illustreert, is dat cybersecurity niet begint en eindigt bij de ICT-afdeling of de externe beheerder. De aanvallers kwamen niet binnen via een slecht beveiligd zakelijk e-mailaccount of een zwak wachtwoord op een administratief systeem. Ze kwamen binnen via een operationeel systeem dat niemand als risico had aangemerkt.
Dat is een governance-vraagstuk. Het gaat over de vraag wie er in uw organisatie zicht heeft op het geheel, niet alleen op de laptops en servers, maar ook op de systemen die uw gebouw laten functioneren. En over de vraag of die verantwoordelijkheid ergens belegd is, of dat zij stilzwijgend bij uw leveranciers ligt.
Musea beheren cultureel erfgoed, publiek vertrouwen en soms onvervangbare objecten. Dat vraagt om een informatiebeveiliging die dat belang weerspiegelt, niet als technisch project, maar als onderdeel van hoe de organisatie wordt bestuurd.
TT3P werkt met verschillende culturele instellingen aan precies dit soort vragen: wie is verantwoordelijk, wat is het risico, en wat is er nodig om aantoonbaar in control te zijn.
