Wat als er een leverancier uitvalt? Zo krijg je grip op digitale afhankelijkheden
Een winkelketen moet na een beveiligingsincident dagenlang de distributiecentra sluiten. Oproepkrachten verliezen hun diensten en toeleveranciers kunnen hun verse producten niet kwijt. Eén incident raakt zo een hele bedrijfsketen. Hoe voorkom je dat jouw organisatie daarin wordt meegesleurd?
Volgens Johan Flikweert, principal cloud consultant bij IT-dienstverlener Sogeti, moeten organisaties beter nadenken over digitale soevereiniteit en weerbaarheid. Niet als abstract ideologisch ideaal, maar als een praktisch vraagstuk: hoeveel controle houd je over je bedrijfsvoering als een leverancier uitvalt?
Breng kritische afhankelijkheden in kaart
Bij digitale soevereiniteit denken veel bestuurders aan Amerikaanse techreuzen en geopolitieke spanningen. Toch is het volgens Flikweert niet realistisch om die afhankelijkheden zomaar af te bouwen. Organisaties hebben hun systemen, processen en internationale samenwerkingen jarenlang op elkaar afgestemd en van elkaar afhankelijk gemaakt. ,,Dat draai je niet zomaar terug.”
Die afhankelijkheden brengen risico’s met zich mee. Een cyberaanval, het faillissement van een leverancier of een verstoring bij een cloudplatform kan de bedrijfsvoering stilleggen, ook als de eigen systemen nog functioneren.
,,Het gaat er daarom niet om alle afhankelijkheden te schrappen”, legt Flikweert uit. De vraag zou volgens hem moeten zijn welke schakels essentieel zijn voor de bedrijfscontinuïteit. Wat betekent uitval voor de omzet en de reputatie? En hoeveel controle heb je daar als organisatie zelf over? ,,Breng in kaart welke afhankelijkheden jou ervan weerhouden om zelf te kunnen beslissen.”
De zwakke plekken in contracten
In de praktijk komt hij allerlei uitdagingen tegen. Ook vaak buiten de IT-afdelingen om. ,,Denk bijvoorbeeld aan een organisatie die software gebruikt op basis van een abonnement. In het contract staat misschien beschreven dat de aanbieder na beëindiging alle bedrijfsgegevens zal verwijderen. Hoe controleer je vervolgens of dat daadwerkelijk gebeurt?” Hij wijst erop dat organisaties zelden in dergelijke contracten laten opnemen dat ze het recht behouden om bijvoorbeeld tot zes maanden na beëindiging van een contract onafhankelijk te laten controleren of de bedrijfsgegevens echt verwijderd zijn.
Ook centrale HR-applicaties binnen organisaties kunnen een zwakke plek vormen. Valt de applicatie uit? Dan ondervinden mogelijk alle bedrijfsonderdelen daarvan de hinder. Zelfs een kleine component van bepaalde software kan daardoor een kwetsbaarheid vormen voor de volledige organisatie.
Flikweert vindt daarom dat organisaties hun leveranciers kritischer zouden moeten bevragen. Hij wijst op twee belangrijke vragen die iedereen zou moeten stellen: ‘Hoe heb je dat geregeld?’ en ‘Kun je dat bewijzen?’ Dat geldt voor zowel de directie, IT, legal als de inkoopafdeling. Simpelweg voldoen aan de wet- en regelgeving is namelijk lang niet altijd hetzelfde als zelf de regie in handen houden.
Begin klein: onderzoek twee kritische ketens
Er is niet meteen een groot IT-project nodig om meer grip te krijgen op digitale afhankelijkheden. Flikweert adviseert om te beginnen bij een of twee processen die cruciaal zijn voor de dienstverlening. ,,Beoordeel welke applicaties, gegevens en leveranciers daarvoor nodig zijn. En welke partijen daar weer achter zitten. En wat er gebeurt als er een schakel wegvalt.”
Sogeti biedt daarvoor een assessment aan, op basis van het Cloud Sovereignty Framework van de Europese Commissie. Tijdens een workshop van een halve dag kunnen organisaties daarmee twee ketens doorlichten. Het helpt om de risico’s en mogelijke maatregelen in kaart te brengen, om vervolgens te bepalen waar extra controle nodig is.
Ligt er bijvoorbeeld een contract met een leverancier dat moet worden verlengd? Dat biedt kansen om betere afspraken te maken over gegevens en controles. Of om te kijken naar eventuele alternatieven.
Volgens Flikweert hoeven organisaties voor digitale soevereiniteit niet te streven naar volledige onafhankelijkheid. Veel belangrijker is het om te weten waar je kwetsbaar bent. ,,Zorg dat je nu alvast bepaalt hoe je blijft functioneren en weet welke acties er nodig zijn, als er toch een keer een verstoring ontstaat.”
Ontvang elke week het beste van BusinessWise in je mailbox. Schrijf je hier nu gratis in:
