Ketenrisico is reputatierisico
Door: Patrick Jordens
Het recente datalek bij Odido laat zien hoe kwetsbaar organisaties worden wanneer toegang in de keten niet strak wordt geregisseerd. Volgens berichtgeving van onder meer NOS en NU.nl kregen aanvallers toegang tot een klantcontactsysteem en zijn van daaruit grote hoeveelheden klantgegevens gedownload. Nederlandse media beschrijven dat deze toegang waarschijnlijk is verkregen via accounts van medewerkers binnen de klantcontactketen (via een leverancier dus), mogelijk na phishing en misleiding rond extra beveiligingsstappen.
Wat hier opvalt, is dat dit geen klassieke aanval lijkt op één centrale server of een puur technisch lek in eigen infrastructuur. Het incident lijkt zich te hebben afgespeeld via mensen, accounts en processen in de keten. Met andere woorden: via toegang die noodzakelijk is voor dagelijkse dienstverlening, maar die bij onvoldoende controle ook een kwetsbaarheid vormt.
Wat er technisch exact is gebeurd, wordt nog onderzocht. Niet alle details zijn publiek bevestigd. Maar het patroon is herkenbaar: te ruime toegangsrechten, onvoldoende detectie op ongebruikelijke exports en een keten waarin meerdere partijen een rol spelen. En precies daar ligt de parallel met de praktijk van veel goede doelen.
Waarom goede doelen extra kwetsbaar zijn
Goede doelen werken per definitie met een uitgebreid leverancierslandschap. Denk aan telemarketingbureaus, klantenservicepartners, crowdfundingplatforms, CRM-leveranciers, betaalproviders en e-mailmarketingtools. Donateursgegevens circuleren door meerdere systemen en organisaties heen. Vaak met goede bedoelingen en efficiënte processen, maar soms met beperkte zichtbaarheid op wie waar toegang toe heeft.
Voor een goed doel is een datalek niet alleen een technisch incident. Het is een vertrouwensbreuk. Donateurs geven niet alleen geld, zij geven vertrouwen. Wanneer persoonsgegevens of IBAN-gegevens uitlekken, raakt dat direct de reputatie en de fondsenwervende kracht van de organisatie.
Het Odido-incident maakt pijnlijk duidelijk dat ketenbeveiliging zelden faalt door één ontbrekend beleidsdocument. Het faalt door te brede toegangsrechten, onvoldoende monitoring en een gebrek aan continue sturing op leveranciers.
Van statische compliance naar continue ketenregie
Veel organisaties vertrouwen op verwerkersovereenkomsten, ISO-certificaten of auditverklaringen van leveranciers. Dat is belangrijk, maar het zegt vooral iets over het managementsysteem van de leverancier, niet automatisch over de feitelijke weerbaarheid in dagelijkse processen.
Ketenbeveiliging moet daarom verschuiven van een statische exercitie naar een continu proces van beoordelen, monitoren en verbeteren. Dat vraagt om actieve governance vanuit het bestuur of de directie, niet alleen vanuit ICT. Voor goede doelen betekent dit concreet dat zij hun leveranciers niet alleen juridisch moeten vastleggen, maar ook inhoudelijk moeten volgen.
Zes bouwstenen voor volwassen supply chain security
Binnen TT3P hanteren wij een kader van zes bouwstenen voor ketenweerbaarheid. Voor goede doelen is dit geen theoretisch model, maar een praktisch stuurinstrument.
- Inventariseren en classificeren
Breng alle leveranciers in kaart die toegang hebben tot donateursgegevens of betaalstromen. Classificeer hen op basis van data-toegang en potentiële impact. Niet elke leverancier is even kritisch.
- Contract en assurance
Leg meldtermijnen voor datalekken vast, inclusief 72-uursafspraken die aansluiten op de AVG. Borg auditrechten, eisen aan logging en afspraken over subverwerkers. Vraag niet alleen om certificaten, maar ook om bewijs van werking.
- Toegang en identiteit
Controleer of leveranciers werken met het principe van least privilege en sterke authenticatie. Periodieke review van toegangsrechten moet onderdeel zijn van het contract, niet van goodwill.
- Monitoring en telemetrie
Spreek af hoe afwijkend gedrag wordt gedetecteerd. Denk aan massale exports, ongebruikelijke inloglocaties of afwijkend gebruik van service-accounts. Zonder monitoring zie je exfiltratie pas als de data al weg is. - Testen en leren
Organiseer periodiek ketentesten of gezamenlijke scenario-oefeningen. Simuleer bijvoorbeeld een phishing-aanval bij een telemarketingpartner en evalueer de respons.
- Gezamenlijke incidentrespons
Werk met vooraf afgestemde playbooks. Wie belt wie bij een incident? Welke forensische gegevens moeten direct worden veiliggesteld? Hoe verloopt communicatie naar donateurs?
Deze zes bouwstenen verschuiven ketenbeveiliging van papieren compliance naar aantoonbare regie.
Bestuurlijke verantwoordelijkheid en reputatie
Nieuwe wetgeving zoals NIS2 legt nadruk op bestuurlijke betrokkenheid bij cyberrisico’s. Hoewel goede doelen niet onder deze richtlijn vallen, is de onderliggende norm helder: bestuur en directie moeten toezicht houden op digitale risico’s, inclusief die in de keten.
Voor goede doelen geldt bovendien een extra morele dimensie. Transparantie en zorgvuldigheid zijn kernwaarden. Een incident bij een telemarketingbureau of crowdfundingplatform is voor de buitenwereld geen “leveranciersprobleem”. Het is het probleem van het goede doel zelf.
De Odido-hack is daarom geen incident om op afstand te volgen. Het is een moment om de eigen keten kritisch tegen het licht te houden. Niet uit angst, maar uit verantwoordelijkheid.
De vraag die ieder goed doel zich nu zou moeten stellen is eenvoudig:
Hebben wij aantoonbare regie op onze leveranciers, of vertrouwen wij vooral op hun beloftes?
Het antwoord op die vraag bepaalt hoe weerbaar uw organisatie werkelijk is.
