Cybersecurity is erg belangrijk, ook ProRail moet zich beschermen

Er is iets mis met het computersysteem van de treinverkeersleiding. Is het een storing? Of zijn hackers binnengedrongen? Cybersecurity, ook wel cyberbeveiliging, is erg belangrijk. Criminelen breken steeds vaker digitaal in bij bedrijven. Ze stelen informatie of leggen computersystemen plat en vragen daar geld voor. Ook ProRail moet zich hiertegen beschermen. 

Maar hoe zorg je dat systemen goed zijn beveiligd? Dat medewerkers niet onbewust de digitale deur openzetten? En dat de treinen blijven rijden als er toch iets misgaat? Daar weten incident coördinator Jurgen Ruivenkamp, cyber awareness officer Monique Schols en regisseur cyberveiligheid Roan Föllings alles van.

Wat doe je als de systemen uitvallen?

“Cyberbeveiliging kun je niet zien of aanraken, en toch is het er”, zegt Jurgen. Als incident coördinator bij de Centrale Service Desk (CSD) komt hij in actie bij incidenten: storingen in bijvoorbeeld het netwerk of andere systemen voor computers en communicatie. Heeft een incident gevolgen voor het treinverkeer? Dan wordt Jurgen ingeschakeld. “Ik verzamel alle informatie, zoals wat er precies aan de hand is en hoelang het gaat duren. Dat geef ik door aan het management. Ook stuur ik de technische teams aan om het probleem op te lossen.”

Een voorbeeld: het computersysteem van de treinverkeersleiding in Amsterdam kreeg plotseling een storing. Niemand wist waardoor. Er waren een voetbalwedstrijd en drie concerten aan de gang, en duizenden mensen moesten nog naar huis. “Je wilt dan niet het treinverkeer stilleggen, maar het systeem moet wel betrouwbaar zijn. Dat vraagt om snel beslissingen nemen.” Jurgen en zijn collega’s besloten over te schakelen naar een uitwijklocatie in Utrecht, waar het systeem wel goed werkte. Zo konden de treinen snel weer gaan rijden.

Wat gebeurt er bij een mogelijke hack?

Soms is er een vermoeden van een hack of datalek. Bijvoorbeeld omdat er een kwetsbaarheid is gevonden: een fout in software die hackers kunnen misbruiken. Ook die meldingen komen bij Jurgen terecht. Zo moest hij na een melding van een cyberbeveiligingsexpert uitzoeken of het om geheime informatie ging. “Was een account gehackt? Of was er sprake van spionage?” Hij schakelde het Nationaal Cyber Security Centrum (NCSC) in om mee te onderzoeken. “Je merkt dan dat je als ProRail een belangrijk onderdeel bent van Nederland.” Gelukkig was het vals alarm. “Toch kan de spanning op zo’n moment flink oplopen.”

Ook maakt Jurgen deel uit van het Expertise Team Security (ETS). Hiervoor is hij samen met een collega voor de Centrale Servicedesk het aanspreekpunt voor cyberbeveiliging. “We zijn bij de wekelijkse overleggen en denken mee over hoe we incidenten zo snel en slim mogelijk kunnen oplossen.”

Jurgen werkt in wisselende diensten: overdag op kantoor, ’s nachts wachtdienst. Net als bij de brandweer kan hij midden in de nacht worden gebeld. Bijvoorbeeld om de juiste mensen in te schakelen voor het repareren van een kwetsbaarheid. Of om het account van een medewerker te deblokkeren nadat een mogelijk schadelijk programma is gevonden. “Ik bel dan met die medewerker. Ik merk dat collega’s nu meer begrip hebben voor cyberbeveiliging dan een paar jaar geleden. Toen had ProRail nog geen bewustzijnscampagnes hierover.”

Hoe zorg je voor bewustzijn bij medewerkers?

Voor die campagnes is Monique verantwoordelijk. Zij is de eerste cyber awareness officer van ProRail. “Medewerkers denken vaak: er staat een virusscanner op mijn computer en IT regelt de rest. Maar zo werkt het niet. Je kunt technisch alles op orde hebben, maar als wij als mensen de deur openzetten voor criminelen, blijft onze organisatie kwetsbaar. Het is niet de vraag óf we worden geraakt, maar wanneer.”

Monique geeft presentaties en workshops over onder meer phishing (online oplichting) en sterke wachtwoorden. Ze maakt zelf phishingmails om medewerkers te leren die te herkennen. “Het gaat me niet alleen om de vraag of iemand op zo’n mail klikt, maar vooral om wat je daarna doet. Meld je het?” Want bij datalekken in het nieuws blijkt vaak dat de aanvaller via een medewerker is weten binnen te dringen. “Het gebeurt vaak onbewust, maar kan grote gevolgen hebben. Daarom moeten mensen weten waar ze op moeten letten. Niet alleen op het werk maar ook thuis.” Samen met collega’s werkt Monique ook aan een opleidingsmodel voor ProRail-medewerkers met securitytaken, zodat zij cyberveilig kunnen werken.

Hoe maak je weerbare systemen voor de energievoorziening?

Technisch projectleider Roan zorgt dat de systemen voor de energievoorziening veilig blijven. Hij werkt aan de vernieuwing van onderstations: installaties die de stroom naar de bovenleiding regelen voor het voeden van de treinen. Daarnaast adviseert hij bij projecten over technische keuzes. Sinds een paar maanden is hij ook regisseur cyberveiligheid. ProRail heeft zulke regisseurs voor elk techniekveld. “Ik denk mee over de afspraken voor de energievoorziening, kijk waar de cyberrisico’s zitten en welke maatregelen die het beste verkleinen.” Daarvoor verplaatst hij zich in het hoofd van iemand die het systeem wil aanvallen. “Zo ontdek ik de zwakke plekken.”

De twee rollen sluiten goed op elkaar aan. “We doen het in één keer goed en maken de systemen zo weerbaar mogelijk. Je bedenkt iets en past het ook toe. Die combinatie vind ik leuk. Ik heb invloed op hoe systemen worden aangelegd. Deze kennis deel ik binnen onze afdeling, zodat ook toekomstige projecten op een hoger niveau komen. Mijn werk is veel breder geworden.”

Ook Jurgen vindt de combinatie van zijn rollen het leukste. “In het expertiseteam help ik processen te maken en als incident coördinator voer ik ze uit.” Zijn werk kan ineens volledig veranderen. “Het ene moment heb ik een normale dienst, het volgende moment ben ik aan het coördineren en aansturen. Alles komt en gaat via mij. Dat is spannend, maar ook tof.” Het mooiste moment? “Als alles weer werkt. Dat laatste telefoontje waarin ik kan zeggen: ‘Bedankt, het is opgelost.’”

Cyberbeveiliging is van iedereen

Met de bewustwording van Monique, de weerbare systemen van Roan en het overzicht van Jurgen wordt het spoor een minder aantrekkelijk doelwit voor criminelen. Zo blijft de trein een betrouwbare vorm van vervoer. “Cyberbeveiliging is van iedereen”, zegt Monique. “Het is mooi om te zien dat ik met mijn presentaties mensen echt aan het denken zet. Zo helpen we onze organisatie ook in de toekomst te beschermen. Die combinatie van vooruitkijken én bezig zijn met wat er vandaag gebeurt, maakt mijn werk zo leuk.”