De meeste ondernemingen zijn kwetsbaar voor cyberaanvallen. Ze kunnen een voorbeeld nemen aan het Amerikaanse leger. Dat was ooit een kwetsbare IT-kolos maar ontwikkelt zich nu tot een handige operator van goed verdedigde netwerken. Cruciale factor is de mens.Â
Het Amerikaanse leger kan inbreuken tegenwoordig binnen enkele uren, zo niet minuten, detecteren en tegengaan. Alleen al tussen september 2014 en juni 2015 sloeg het meer dan 30 miljoen aanvallen af aan de rand van zijn netwerken. Van het kleine aantal aanvallen dat er wel doorheen kwam, bracht minder dan 0,1% systemen op enigerlei wijze in gevaar.
Hoe doen ze dat?
High-reliability organization
Wat we kunnen leren van het leger is dat technische upgrades weliswaar essentieel zijn, maar dat het nog crucialer is om menselijke fouten te minimaliseren. Fouten van netwerkbeheerders en netwerkgebruikers (ongemoeid gelaten kwetsbaarheden in systemen, verkeerd geconfigureerde instellingen, schendingen van de standaardprocedures) openen de deur voor de overgrote meerderheid van de aanvallen.
‘We moeten verdergaan dan alleen maar focussen op het technische stuk,’ zegt admiraal Mike Rogers, die leiding geeft aan het U.S. Cyber Command.
‘Het gaat over ethos. Het gaat over cultuur. Het gaat over hoe je je organisatie bemant, traint en uitrust, hoe je die structureert, de operationele concepten die je toepast.’
Bedrijven en instellingen moeten daarom een high-reliability organization (HRO) creëren, die risico’s constant minimaliseert en de gevolgen van menselijke fouten neutraliseert en onder controle houdt.
In het hart van zo’n HRO-cultuur – ontwikkeld binnen de nuclear navy (met nucleair aangedreven vaartuigen) en momenteel uitgerold naar de andere legeronderdelen – staan zes principes.
- Integriteit
Integriteit betekent dat iedereen, zonder uitzondering, het zich op een diep niveau eigen heeft gemaakt om ‘zondigen’ (afwijkingen van het protocol) uit te bannen en fouten onmiddellijk op te biechten. De nucleaire marine stampt dit er vanaf dag één in, en maakt duidelijk dat je niet in de herkansing mag als je op deze punten een misser maakt. Dat maakt het onwaarschijnlijk dat werknemers bochten afsnijden – en vergroot de kans sterk dat ze elke fout meteen melden bij supervisors, zodat fouten snel kunnen worden gecorrigeerd.
- Kennisdiepte
Als mensen alle aspecten van een systeem grondig begrijpen – ook hoe het in elkaar zit en wordt gerund, de kwetsbaarheden ervan en de procedures die nodig zijn voor de uitvoering – zullen ze sneller herkennen wanneer er iets mis is en effectiever omgaan met anomalieën. In de nucleaire marine worden operators rigoureus getraind voordat ze een voortstuwingsinstallatie met ook maar één vinger mogen aanraken. En er wordt nauw toezicht op ze gehouden totdat ze helemaal vakkundig zijn. Daarna ondergaan ze periodieke monitoring en krijgen ze honderden uren aanvullende training plus drils en toetsingen.
- Procedurele naleving
Op nucleaire vaartuigen wordt van werknemers vereist dat ze de juiste operationele procedures kennen – of weten waar ze die kunnen vinden – en dat ze die naar de letter naleven. Ook wordt verwacht dat ze herkennen wanneer een situatie de bestaande schriftelijke procedures te buiten gaat, en dat er dus nieuwe procedures nodig zijn. Er wordt voor maximale naleving gezorgd, onder meer via een uitgebreid inspectiesysteem.
- Krachtige back-up
Als een nucleaire-voortstuwingsinstallatie in werking is, worden de matrozen die hem bedienen – zelfs degenen die zeer ervaren zijn – altijd nauwgezet gemonitord door hoger personeel. Elke handeling die veel risico inhoudt voor het systeem, moet door twee personen worden verricht in plaats van één. En elk lid van de bemanning – zelfs de laagste in rang – is gemachtigd om een proces stil te zetten als er een probleem ontstaat.
- Een bevragende houding
Een bevragende houding is niet makkelijk te cultiveren in organisaties, vooral niet in een formele, hiërarchische structuur waarin onmiddellijke opvolging van bevelen de norm is. Intussen is een bevragende mindset van onschatbare waarde. Als mensen erop getraind zijn om te luisteren naar hun interne alarmbellen, om te zoeken naar de oorzaken en dan corrigerende maatregelen te nemen, is er veel meer kans dat zij problemen vóór zijn. Operators met een bevragende houding checken werk dubbel of driedubbel, blijven alert op anomalieën en zijn nooit tevreden.
- Formaliteit in de communicatie
Om de kans zo klein mogelijk te maken dat instructies tijdens kritieke momenten incorrect worden gegeven of ontvangen, communiceren de operators aan boord van nucleaire vaartuigen op een voorgeschreven manier. Mensen moeten bevelen en instructies helder aangeven en de ontvangers moeten ze woord voor woord herhalen. Formaliteit betekent ook dat er een serieuze sfeer wordt gecreëerd door informele interacties en praten over koetjes en kalfjes te elimineren: dat leidt vaak tot onoplettendheid, verkeerde aannames, het overslaan van stappen en andere fouten.
Hoe creëer je nu een High Reliability Organization? Dat lukt als je 6 maatregelen neemt.
Daarover meer volgende week:Â
https://www.sigmaonline.nl/2016/03/naar-high-reliability-organisatie-zes-maatregelen/
Bron: Harvard Business Review, september 2015
