‘Je kunt zeker voorzorgsmaatregelen nemen, maar er zijn aanvallen waartegen het moeilijk is om je te wapenen. Er zijn geavanceerde bendes die heel snel gebruik weten te maken van nieuw bekende kwetsbaarheden. Die bendes gijzelen je processen of data tegen betaling. Bedrijven hebben vaak een updatecyclus waardoor het soms een week of een maand duurt voordat een update is gedaan. Bendes die er dicht opzitten, zijn al binnen voordat de patches zijn uitgevoerd.

Dat pro-Russische hackers recent de pijlen hebben gericht op havens, is omdat ze willen laten zien dat ze weten dat havens belangrijk zijn. Dat er veel maatschappelijke impact is als de systemen daar plat liggen. De haven van Rotterdam wordt door Rusland gezien als de achillespees van Europa, dat wordt zelfs gezegd op de staatstelevisie.

De kwetsbaarheid zit bijvoorbeeld in de systematische afhandeling in de logistieke keten. Als die processen vastlopen, ontstaat er verstopping en krijg je problemen. Ook het vervoer van chemische middelen door de haven is een kwetsbaar punt, ondanks alle toezicht en controle.

Cyberaanvallen zijn nog een relatief nieuwe vorm van dreiging. En die dreiging komt niet alleen van mannen met een capuchon achter een scherm. Denk aan de buurjongen op een zolderkamer die voor de lol ergens inbreekt. Of oud-medewerkers die kwaad in de zin hebben. En dan zijn er dus de georganiseerde bendes en staatkundige actoren die geavanceerde aanvallen doen. Daar hoort Rusland zeker bij.

Ik hamer er altijd op om de basishygiëne op orde te hebben, daarmee voorkom je 80% van alle ellende. Segmenteer je netwerk, draai updates, zorg dat wachtwoorden niet te kort zijn, dat jouw mensen inloggen met multi-factor authentificatie. Dat scheelt veel standaardvormen van aanvallen. Een mooie beeldspraak hierover: zorg ervoor dat als ze binnenkomen, ze in het halletje achter de voordeur blijven en niet doorstoten naar de keuken.

Waar voorheen alleen het proces van het Havenbedrijf Rotterdam door de overheid werd aangemerkt als vitaal, geldt dat nu voor een tiental bedrijven in de haven. Vanuit de wetgeving kan er met die vitale bedrijven meer informatie over bijvoorbeeld dreiging worden gedeeld. Daar zit ook het bestaansrecht van Ferm in: wij delen de dreigingsinformatie met aangesloten bedrijven.

Vanaf oktober 2024 worden bedrijven in de transportsector verplicht risicobeheersmaatregelen te nemen op het gebied van cyberbeveiliging. Dat houdt in dat er beleid moet liggen op het gebied van risicoanalyse en beveiliging van informatiesystemen en dat daar toezicht op kan worden gehouden.’