Digitale strategie versneld door investeren in cyber security: een interview met Thales

The digital dilemma between radical transparency and the risks it entails is a particularly interesting one. With radical transparency, everyone has free access to all information. Some information, however, is highly personal, and free access would have major consequences for intellectual property and copyrights.” This illustrates perfectly how digital developments can be incredibly valuable but also come with their fair share of risks. “This is the dilemma that drives me: Either we end up in a world of fear, in which all rules have been pre-programmed - a kind of Big Brother on steroids. Or we create a society in which everything is still connected, but in which the inherent vulnerabilities of such a system have been addressed. Ultimately, this requires resilience.”

Roel van Rijsewijk believes that not avoiding digital risks at all costs is healthy for an ambitious organization. Facing threats head on and learning from them will make you stronger. “Proper management of cyber risks can speed up your rate of innovation and improve your results, which means you will get value from your technology at an earlier stage, will improve the effectiveness of your employees, and boost the services you offer your customers.”

Superheld in cyberspace

Van Rijsewijk is auteur van het boek Cyberrisico als kans, dat een optimistisch beeld van cyberrisicomanagement propageert. “Toen ik mijn drie dochters voorafgaand aan een sollicitatiegesprek eens vroeg of papa het internet mooier moest maken of veiliger, zei mijn oudste: ‘Mooier’. Mijn middelste zei: ‘Veiliger. Boeven vangen’. En de jongste zei: ‘Boeven vangen? Mega Mindy’. Dus eigenlijk zag ze mij als een soort cyber-superheld die iedereen beschermt tegen gevaren. Dat heeft mij op het spoor gezet van cybersecurity als kans. Want waarom zou een cybersecurity officer per se iets negatiefs belichamen?“

Bestuurders – met name die van corporates – hebben grote moeite met de toenemende onzekerheid in een snel veranderende wereld. De business is niet meer voorspelbaar. Toch moet je als organisatie een cybersecurity officer niet de opdracht geven om te voorkomen dat het mis gaat, benadrukt Van Rijsewijk. “Dan wordt hij risico-avers en gaat hij iedereen wijzen op de eigen verantwoordelijkheid. De cover my ass-strategie.” Een onderneming moet vooral kansen zien, dingen uitproberen, erachter komen wat niet werkt en daarvan leren. “Niet in paniek schieten. Het kan werken om een vrijplaats te creëren binnen de organisatie waar je meer mag en meer kan. Waar goede ideeën kunnen worden gegenereerd en uitgeprobeerd. Ik zie helaas wel maar weinig voorbeelden van hoe dat vervolgens succesvol terug de organisatie ingaat. Uiteindelijk moet innovatie in het DNA van de organisatie gaan zitten, zodat er een cultuur ontstaat van experimenteren en zelf wendbaar worden. Trial & error.”

“Uiteindelijk moet innovatie in het DNA van de organisatie gaan zitten, zodat er een cultuur ontstaat van experimenteren en zelf wendbaar worden. Trial & error.”

Over leven en dood

Hoe werkt dat bij Thales zelf? Thales is een wereldwijd opererend Frans technologiebedrijf dat zich richt op kritische infrastructuren en systemen in onder meer de luchtvaart, de ruimtevaart, het spoor en defensie. Het maakt, levert en beheert technologie om besluitvorming te ondersteunen. De technologie bestaat uit drie componenten: meten, het verwerken van grote hoeveelheden data en het op basis daarvan beslissingen nemen. De digitale transformatie kan aan Thales niet onopgemerkt zijn voorbijgegaan, zou je zeggen. “Digitale technologieën omarmen we, snappen we”, beaamt Van Rijsewijk. “In die zin is Thales uiteraard hartstikke digitaal. Maar met name de manier van werken is bij Thales qua digitale transformatie een uitdaging. Het heeft te maken met het gegeven dat we in zero tolerance-omgevingen opereren, waar wij technologie leveren die moet zorgen dat dingen veilig zijn. Het gaat vaak letterlijk over leven en dood. Dan is trial & error-denken ingewikkeld, want ons product moet eigenlijk perfect zijn als het wordt opgeleverd.” Daarbij komt dat deze omgevingen ook cruciale ethische vraagstukken opwerpen, bijvoorbeeld bij defensie. “Ethical & explainable Artifical Intelligence speelt een rol in alles wat we doen. Thales heeft als standpunt dat er bij ethical AI in de beslisboom altijd een mens tussen moet zitten. AI moet helpen om de juiste afweging te maken, om alle informatie te verzamelen. Maar de ultieme beslissing ligt altijd bij de mens. Daarom is explainable AI ook zo belangrijk: als het systeem jou een advies geeft en je begrijpt als mens niet hoe het systeem tot dat advies is gekomen, kun je de beslissing niet nemen. Onze missie is: ‘Building a future we can all trust’.”

“AI moet helpen om de juiste afweging te maken, om alle informatie te verzamelen. Maar de ultieme beslissing ligt altijd bij de mens.”

Het digitale dilemma

Toch hebben nog lang niet alle consumenten vertrouwen in die digitale toekomst, weet Van Rijsewijk. “Hoe meer bedrijven van mij weten, hoe beter ze mij kunnen bedienen. Maar wil ik dat wel? Zou jij willen dat de Belastingdienst alles van je weet? Zodat je nooit meer administratie hoeft te doen, nooit meer btw-aangiften hoeft in te vullen, totale transparantie? Mij lijkt dat wel gemakkelijk. Maar ja, wat als de algoritmes op hol slaan? Of er komt een politieke partij aan de macht waar ik het niet mee eens ben? Dat is het digitale dilemma. Ander voorbeeld: een verzekeraar kan met digitale technologie en het verzamelen van data een klant echt helpen. Als jij een autoverzekering hebt is het ook in het belang van de verzekeraar dat jij veilig rijdt. Je kunt als verzekeraar helpen schade te voorkomen, helpen met gezonder leven. Maar het is een vertrouwenskwestie. Gaan ze mijn gegevens niet gebruiken voor de premie van mijn zorgverzekering? Een verzekeraar die dat kan kraken is spekkoper.” Ook hier speelt ethical AI trouwens een grote rol, zegt hij. “Veel beslissingen die een verzekeraar neemt hebben een kritische component: keer je wel of niet uit? Wil je dat helemaal aan machines overlaten? Het kan gaan om complexiteit, of om schrijnende gevallen. Dat inzicht heeft een algoritme niet. Vergelijk het met de situatie bij de Belastingdienst en de toeslagen-affaire. Voor verzekeraars is het een megarisico dat er onmenselijke besluiten worden genomen.

“Hoe meer bedrijven van mij weten, hoe beter ze mij kunnen bedienen. Maar wil ik dat wel?”

Anarchie als potentiële oplossing

Van Rijsewijk denkt dat een deel van de oplossing van het digitale dilemma bij blockchain-technologie kan liggen. “Blockchain zit nu een beetje in de trough of disillusionment. Daar moeten ze even doorheen. Maar ik ben er sowieso van overtuigd dat smart crypto veel van deze dilemma’s kan oplossen, omdat je ermee kunt bewijzen dat je over bepaalde attributen beschikt of ergens recht op hebt zonder je identiteit prijs te geven. Neem bitcoin: niemand is de baas. Je kunt een transactie doen met iemand aan de andere kant van de wereld die je niet kent – en het werkt. Dat noem ik ‘distributed denken’.”

Het netwerkeffect heeft ertoe geleid dat er een aantal dominante platformen zijn (Facebook, Amazon) die monopolist worden, die alle data hebben en de regels bepalen, constateert hij. “Bij een blockchainachtig concept, een zoekmachine, is die van iedereen en niemand is de baas. Dat kan in potentie een revolutie betekenen. Het gaat om het protocol. Het is het verschil tussen voetballen en schaken. Bij voetbal beperken de regels het spel. Je kunt het spel beïnvloeden door regels te breken en je hebt een scheidsrechter nodig om de regels te handhaven. Er is altijd discussie over. Bij schaken maken de regels het spel. Je kunt die regels wel breken, maar dan schaak je niet meer. Er is dus ook geen scheidsrechter nodig, want er is totale consensus. Dat is protocol.” En dat protocol bepalen we samen, gelooft Van Rijsewijk: “Open source heeft de toekomst. Vanuit mijn vak is een code die voor iedereen toegankelijk is counter-intuitive. Maar: iedereen kijkt ernaar, en als er fouten in staan ziet ook iedereen dat. Met een community van programmeurs krijg je uiteindelijk de beste software. Ik noem mezelf wel eens een digitale anarchist. Via digitale technologie kan anarchie namelijk werken.”

“Open source heeft de toekomst. Vanuit mijn vak is een code die voor iedereen toegankelijk is counter-intuitive. Maar: iedereen kijkt ernaar, en als er fouten in staan ziet ook iedereen dat.”

Investeren in versnelling strategie

Ook vitale infrastructuur wordt steeds meer gedigitaliseerd. Van Rijsewijk: “Dat maakt het kwetsbaar voor aanvallen, dat klopt. Maar het maakt het ook veiliger. Want al die verbindingen en digitale technologieën stellen je in staat om je organisatie weerbaar te maken. Dat is de weg vooruit. En dat is mijn belangrijkste strijd. Je kunt redeneren: dat moet je niet doen, de sluizen zijn slecht beveiligd want de wachtwoorden waren veel te makkelijk. Maar digitalisering leidt ook tot meer veiligheid: je kunt de sluis op afstand in de gaten houden, detecteren als het mis gaat, ingrijpen op afstand. Al die informatie die beschikbaar is waardoor iets kwetsbaar wordt, kun je ook gebruiken voor detectie en respons. Het probleem is tegelijkertijd de oplossing.” Zijn advies aan raden van bestuur sluit daar naadloos op aan: besef dat cyberrisico’s een upside hebben. “In elke boardroom, zonder uitzondering, is ‘digitaal’ een fundament onder hun strategie. De notie dat al die digitale technologieën tot cyberrisico’s leiden is er. Ik denk dat bestuurders zich daar zeer wel van bewust zijn. Een belangrijke boodschap aan de boardroom is dat de digitale strategie versneld kan worden door investeringen in cyber security. Dat het een enabler is. Weerbaarheid is het broertje van agility. Het een kan niet zonder het ander. Flexibel zijn, je snel kunnen aanpassen aan veranderende omstandigheden, om kunnen gaan met onzekerheid.”

“Weerbaarheid is het broertje van agility. Het een kan niet zonder het ander."

_________________________________________________________________________________________________

Over de geïnterviewde

Roel van Rijsewijk is directeur Cyber Defense bijThales en auteur van het boek Cyberrisico als kans. Hij heeft meer dan twintig jaar ervaring in het adviseren van technologiegedreven organisaties op het gebied van risicomanagement en informatieveiligheid. Voorafgaand aan Thales adviseerde Van Rijsewijk, als Senior Fellow bij Deloitte’s Center for the Edge EMEA, raad van besturen over risico management op het snijvlak van business en technologie.

Dit interview is afgenomen door Arjan Gras, interviewer.