Wie Jan Hoogstra een beetje volgt, weet dat hij cybersecurity steevast terugbrengt naar de mens. In een van zijn vorige boeken: Pas (er)op! deed hij dat met gedrag. In De onvermijdelijke hack doet hij het met het moment waar niemand op zit te wachten: de crisis zelf. Niet hoe je een hack voorkomt, maar wat je doet als de schermen op zwart gaan en je team beslissingen moet nemen zonder de systemen waar het normaal op leunt.
De menselijke impact van een cybercrisis
De volgorde van de hoofdstukken in De onvermijdelijke hack zegt veel. Na een eerste hoofdstuk over de anatomie van een cybercrisis gaat Hoogstra niet naar de techniek, maar eerst naar de mensen. Hoe reageer je onder druk: fight, flight, freeze of fawn? Hoe ga je om met schuldgevoel? En wie zorgt er eigenlijk voor de collega’s die dag en nacht de brand blussen?
Pas daarna komen organisatie, techniek en communicatie aan bod. Dat is geen stijlkeuze, maar een standpunt, en daar ben ik groot voorstander van. Een cybercrisis is in de kern een crisis van mensen, met techniek als aanleiding.
Dennis Gerlof, directeur-bestuurder van woningbouwvereniging QuaWonen, zegt het in het boek zo: ‘De systemen kregen we uiteindelijk wel weer aan de praat. De mensen waren veel moeilijker te herstellen.’
Onderzoek van Northwave onderstreept dat: één op de zeven mensen die bij het herstel betrokken waren, had tot een jaar later traumasymptomen die psychologische hulp vereisten.
Praktijkverhalen maken cybersecurity herkenbaar
Hoogstra sprak ruim twintig mensen, van wethouder tot incidentresponder en van cyberpsycholoog tot advocaat. De verhalen komen uit Nederland en België en zijn recent; Hoogstra maakt het persoonlijk en dus herkenbaar.
Wie klant is bij Odido, in Epe woont en in het ChipSoft-lek zit, is inmiddels een makkelijk doelwit voor gerichte phishing. Dichter bij huis dan je lief is.
Wat mij vooral bevalt: de interviews blijven nergens losse anekdotes. Elk verhaal wordt vertaald naar iets wat je in je eigen organisatie kunt gebruiken. Die combinatie van vertellen en leren is enorm effectief.
Van crisisplan tot tabletop-oefening: direct toepasbaar
Er zit ontzettend veel in De onvermijdelijke hack: de Unified Kill Chain, het SANS-model, cyberverzekeringen, de vraag of je losgeld betaalt, zeven valkuilen in crisiscommunicatie en vier plannen die samen één aanpak vormen.
Toch heb je nergens het gevoel dat je achterloopt. Dat komt door het heldere taalgebruik (een paragraaf heet gewoon ‘Hoeveel pleuris breekt er eigenlijk uit?’) en door de vaste opbouw: elk hoofdstuk eindigt met een oefening en een leerpunt.
Hoogstra blijft daarbij nuchter. Een crisisplan is ‘geen document voor een digitale map, maar een hulpmiddel voor het moment waarop de druk het hoogst is’, geschreven voor collega’s en niet voor de auditor.
De cijfers die hij aanhaalt, laten zien waarom dat nodig is: organisaties geven hun eigen cyberweerbaarheid een 7,1, maar slechts 28 procent oefent regelmatig.
Het laatste hoofdstuk levert daarom een complete tabletop-oefening, ‘Maandagochtend 08.30 uur’: één uur, twee injects, een evaluatie en maximaal vijf verbeterpunten met een eigenaar. Daar kun je morgen mee aan de slag.
Waarom cyberweerbaarheid begint bij menselijkheid
Wat De onvermijdelijke hack het meest kenmerkt, is de menselijkheid. Hoogstra schrijft niet over systemen die uitvallen, maar over mensen die daar middenin staan.
De ondernemer die ruim tien jaar na zijn hack nog dagelijks de gevolgen merkt. De incidentresponder die de directiekamer niet mocht verlaten tot het incident was opgelost. De transgenderpersonen die na het lek bij het bevolkingsonderzoek brieven kregen met een verkeerde aanhef, waardoor precies de groep die het meest te vrezen had over het hoofd werd gezien.
En de teamleider van een gehackt werkleerbedrijf: ‘In een crisis ga je niet naar anderen wijzen.’
Dat maakt De onvermijdelijke hack tot een boek voor meer dan alleen de securityafdeling. Bestuurders, crisisteams, communicatieadviseurs en privacyprofessionals vinden er allemaal hun eigen hoofdstuk in.
Lees het vóórdat die ochtend aanbreekt dat die onvermijdelijke hack komt.