Begin mei kregen studenten en medewerkers van verschillende Nederlandse universiteiten een onverwacht bericht te zien bij het inloggen op Canvas, het digitale leerplatform dat zij dagelijks gebruiken. Het bericht was niet van de universiteit, maar van ShinyHunters, een hackersgroep die het platform had overgenomen. De groep claimt ongeveer 6,65 terabyte aan data te hebben buitgemaakt van bijna negenduizend scholen en medewerkers. De universiteiten zelf waren niet gehackt. Hun leverancier wel. En dat maakt precies het verschil.
Het risico zit niet altijd binnen uw eigen muren
Canvas draait niet op de servers van de universiteiten zelf, maar op Amazon Web Services. Instellingen krijgen een eigen inlogomgeving, terwijl Instructure, de maker van Canvas, de software en de bijbehorende data beheert. Dat klinkt efficiënt, en dat is het ook. Maar het betekent tegelijkertijd dat de beveiliging van de gegevens van uw medewerkers voor een groot deel afhangt van keuzes die een externe partij maakt.
Dit is geen uitzonderlijke constructie. Vrijwel elke organisatie maakt gebruik van softwareleveranciers die data verwerken, opslaan of beheren. Salarisadministratie, boekhouding, klantbeheer, personeelsdossiers: de kans is groot dat een deel van uw gevoelige informatie zich bevindt bij een partij waarover u operationeel weinig zeggenschap heeft.
Wat een incident bij een leverancier voor u betekent
Toen de aanval op Canvas werd opgeëist door ShinyHunters, dreigden de hackers de gestolen persoonsgegevens openbaar te maken als er niet betaald werd. Universiteiten moesten crisisoverleg beleggen, alternatieven zoeken voor communicatie tussen studenten en docenten, en hun gebruikers waarschuwen voor een verhoogd risico op phishingmails.
De instellingen hadden zelf niets fout gedaan in technische zin. Toch droegen zij de operationele en communicatieve last van het incident. Want zodra persoonsgegevens van uw medewerkers, klanten of studenten zijn buitgemaakt, ligt de verantwoordelijkheid voor de melding en de opvolging bij u als verwerkingsverantwoordelijke, niet bij uw leverancier.
Wat bestuurders kunnen regelen
De vraag die dit incident oproept, is niet of u uw ICT-leveranciers vertrouwt. De vraag is of u weet welke risico’s u aan hen heeft uitbesteed, en of u daar afspraken over heeft gemaakt.
Dat begint met inzicht: welke leveranciers verwerken persoonsgegevens of bedrijfskritische informatie? Wat staat er in de verwerkingsovereenkomst over beveiliging, meldplichten en aansprakelijkheid? En heeft u nagedacht over wat u doet als een leverancier tijdelijk uitvalt of gecompromitteerd raakt?
Opvallend aan het Canvas-incident is dat Instructure eerder meldde dat het incident was ingedamd, terwijl hackers enkele dagen later opnieuw zichtbaar konden ingrijpen door de loginpagina aan te passen. Dat illustreert dat de informatievoorziening vanuit een leverancier in een crisissituatie niet altijd volledig of tijdig is.
De bestuurlijke les
Leveranciersbeveiliging is geen IT-vraagstuk. Het is een governance-vraagstuk. Als bestuurder bent u verantwoordelijk voor de continuïteit van uw organisatie en de bescherming van persoonsgegevens, ook als de oorzaak van een incident buiten uw organisatie ligt. Dat vraagt om bewuste keuzes bij de selectie van leveranciers, heldere contractuele afspraken, en een noodscenario voor het geval een cruciale dienst wegvalt. Wie dat niet geregeld heeft, merkt het pas als het te laat is.
Over TT3P
TT3P helpt organisaties zonder eigen security officer grip te krijgen op precies dit soort vraagstukken: welke leveranciers verwerken uw gegevens, wat heeft u contractueel geregeld en wat doet u als het misgaat? Als onafhankelijk cybersecurityadviesbureau kijkt TT3P niet naar de techniek, maar naar de governance erachter. Zo weet u niet alleen dat uw leveranciers veilig werken, maar ook dat u aantoonbaar in control bent als dat wordt gevraagd.
Op de hoogte blijven van alle updates rondom cybersecurity? Volg dan onze LinkedIn-pagina!
