Van gijzeling naar herstel: hoe overleef je een ransomware-aanval?

Binnen enkele uren kan een complete IT-omgeving platliggen. Dus ook partners en klanten in de keten komen tot stilstand. Dat brengt soms de werkgelegenheid van duizenden medewerkers in gevaar. Soms moet zelfs de overheid bijspringen met miljardensteun, zoals recent bij Jaguar Land Rover.

De uitdaging is dus groter dan alleen je eigen organisatie: hoe houd je de keten overeind? Hoe zorg je dat systemen kunnen uitwijken, opnieuw opstarten en herstellen? En hoe bereid je je voor op het onmogelijke?

In mijn carrière mocht ik bij vele klanten dit soort ‘ramp’ scenario’s testen en oefenen. Alleen al die ‘droge run’ bleek vaak schokkend genoeg. Maar de organisaties die deze dreiging serieus namen en bespreekbaar maakten, hebben in mijn geheugen er uiteindelijk het minst last van gehad.

Voorbereiden op een greenfield reboot

Een aanval kan betekenen dat je datacenter of cloudomgeving compleet verloren gaat. Je moet dan voorbereid zijn op een greenfield reboot: een herstart alsof je je productieomgeving vanaf een lege weide opnieuw moet opbouwen. En zeker als je omgeving al jarenlang draait, is die kennis vaak niet direct meer aanwezig. En – helaas – onvoldoende vastgelegd.

Elke server, elk netwerk, elke database en alle opslag moet opnieuw worden ingericht. Dat vereist niet alleen actuele back-ups en uitwijkcentra, maar ook offline opgeslagen, veilige en bruikbare data van configuraties, procedures en startprotocollen. En de deskundigen die dat kunnen. Dat is één van de grootste problemen bij Jaguar Land Rover momenteel. ‘Wie weet nog hoe het zat . . . ?’

Zo’n oefening – waarbij je uitgaat van totale vernietiging – wordt vaak als overdreven gezien. Maar wie dit eenmaal probeert – en ik heb er vele gedaan – beseft hoe onvoorstelbaar en ingrijpend het is.

Cyberaanvallen zijn digitale oorlogsvoering

Een ransomware-aanval is geen incident, het is digitale oorlogsvoering. Niet alleen je eigen IT, maar ook de hele keten moet het kunnen overleven.

Regelmatige wargames geven ook routine en maken chaos beheersbaar. ‘What if’-scenario’s moeten uitgaan van het zwartste geval: wat als één rampzalige gebeurtenis – een vliegtuigcrash, een brand of sabotage – je complete datacenter wegvaagt? Kun je in een noodsituatie je systemen gecontroleerd uitschakelen zonder corrupte data te krijgen? De ervaring bij Jaguar Land Rover leert dat bij het overhaast – en dus deels ongecontroleerd – uitschakelen tijdens de aanval, juist extra verwarring en schade is ontstaan.

Veel organisaties vinden het moeilijk zich dit ergste scenario voor te stellen. Tijdens oefeningen hoorde ik vaak: “Dat gebeurt niet, dat is voldoende beveiligd.”. Maar de simpele tegenvraag “Heb je al eens getest wat er gebeurt als je gewoon de stroom uitzet?” bleef meestal onbeantwoord. Durf je – als oefening – op de rode noodknop in je datacenter te drukken?

De huidige ransomware-golven tonen aan dat juist de ondenkbare scenario’s werkelijkheid kunnen worden.

Lessen uit 9/11

Tijdens de aanslagen van 9/11 op de Twin Towers, verloren klanten van EMC² niet alleen mensenlevens, maar ook complete datacenters die in de torens aanwezig waren. Zakten letterlijk de grond in.

Sommige organisaties hadden uitwijklocaties buiten New York en waren binnen enkele uren weer online. De meeste kozen echter voor een uitwijk dichtbij in de stad zelf – en liepen vast doordat New York was afgesloten, de energievoorziening instabiel was en locaties ontoegankelijk waren.

Eén klant had zijn uitwijk zelfs in de tweede toren ondergebracht. Het ondenkbare scenario werd werkelijkheid en zijn bedrijf hield op te bestaan.

EMC² stelde direct honderden medewerkers vrij beschikbaar. Samen met klanten kregen we in hoog tempo vele operaties weer draaiend. Binnen een week werkten de meeste bedrijven voldoende om faillissement te voorkomen.

De les: reken niet blind op infrastructuur dichtbij, maar oefen scenario’s waarbij externe hulp en snelle ondersteuning onmisbaar zijn. En weet wie dat zijn of kunnen zijn.

Compartimenteren als basis van beveiliging

Grote cloudleveranciers hebben al veel geïnvesteerd in continuïteit en beveiliging. Toch blijven incidenten toenemen. Cloud-garanties zijn eindig, zeker in ketens met vele afhankelijkheden.

Een voorbeeld: de hack van ticketleverancier Collins legde complete luchthavens stil. Handmatig overschakelen bleek onmogelijk. Het toont opnieuw aan dat een keten zo sterk is als de zwakste schakel – en aanvallers richten zich steeds vaker precies daar.

In mijn carrière in de vliegtuig- en veiligheidswereld heb ik vooral één ding geleerd: compartimenteren is en blijft de kern van elke beveiliging. In de fysieke wereld betekent dit sluizen, afsluitbare zones en gecontroleerde uitwijk. In de digitale wereld gaat het om logisch gescheiden systemen, volledig redundante paden en gecontroleerde afschakel- en fallback-scenario’s. In de digitale en virtuele wereld is het niet anders.

Alleen zo voorkom je dat één incident een hele organisatie of keten verlamt.

Antifragiel ontwerpen

Voorbereiden op ransomware betekent: uitgaan van het ergste, meerdere fallback-processen ontwerpen en je architectuur antifragiel maken.

• Web3 en decentrale infrastructuren zijn van nature beter te compartimenteren.
• Ontkoppelde systemen en verspreide nodes verkleinen risico’s en vergroten herstelvermogen.
• Fallback-oplossingen moeten niet alleen IT operaties dekken, maar ook organisatie, energievoorziening, communicatie en dataopslag.

Antifragiel betekent: ontworpen voor verstoring, maar in staat sterker terug te komen. De belangrijkste strategische keuze is: wat kan veilig in de centrale cloud blijven en wat moet écht antifragiel worden ingericht? Welke data, applicaties, communicatie en medewerkers zijn cruciaal om te overleven? Alleen al dát inzicht geeft een enorme meerwaarde.

Oefenen om te overleven

Digitale veerkracht vraagt om meer dan techniek. Het gaat ook om soevereiniteit, besluitvorming en communicatie. Wie beslist? Wie voert uit? Hoe communiceer je als alles platligt? Dit kun je alleen ontdekken door te oefenen. Niet alleen met brandoefeningen, maar ook met IT-uitvalscenario’s en regelmatige cyber wargames.

Organisaties die dit serieus doen, overleven niet alleen – ze komen zelfs sterker uit de strijd.

Door: Hans Timmerman (foto)