Het meest veerkrachtige systeem bij Albert Heijn bleek deze week een rol prijsstickers. Volgens vakbond CNV plakten medewerkers handmatig prijzen op producten, omdat de digitale prijskaartjes niet meer klopten. Dat is geen grap over Albert Heijn, het is een les in bedrijfscontinuïteit: als je bij een cyberincident zelf de stekker eruit trekt, ontdek je pas welke processen er allemaal aan die stekker hingen.
Wat er gebeurde bij Albert Heijn, Etos en Gall & Gall
- Sinds zondagmiddag 11 oktober kampen Albert Heijn, Etos en Gall & Gall met een cybersecurity-incident. Moederbedrijf Ahold Delhaize meldde maandagochtend ‘a security issue within its network’ en haalde uit voorzorg systemen offline.
- Daarmee vielen ook weg: websites, apps en klantenservice, thuisbezorging, handscanners in winkels, persoonlijke bonussen en spaaracties (Koopzegels, Air Miles), en de juiste prijzen op de digitale prijskaartjes. Die toonden een tijd de acties van vorige week.
- Meerdere distributiecentra lagen stil. Topvrouw Margaret Versteden-van Duijn tegen de NOS: ‘Natuurlijk zullen er wel schappen leeglopen als het nog langer duurt.’ Dat gebeurde, vooral bij vers.
- Albert Heijn annuleerde alle online bestellingen en belooft compensatie zodra de systemen weer werken. Klanten moeten hun kassabon bewaren.
- Dinsdag volgde een ‘gecontroleerde herstart van bepaalde systemen’. Meerdere distributiecentra leveren weer en de reguliere prijzen staan weer op de kaartjes. Volgens Ahold zijn er ‘op dit moment’ geen aanwijzingen voor gestolen klantgegevens.
Wat er precies aan de hand is, zegt Albert Heijn niet; het onderzoek loopt. Dat is verstandig, en daarom speculeert deze blog er ook niet over. De interessante vraag zit ergens anders.
Bedrijfscontinuïteit begint bij de vraag: wat valt er om als wij zelf uitzetten?
Preventief systemen uitschakelen is vaak de juiste reflex. Je beperkt de schade en koopt tijd voor onderzoek. Maar het is een beslissing met een prijs, en die prijs ken je alleen als je vooraf weet wat er aan welk netwerk hangt.
De meeste bedrijfscontinuïteitsplannen beschrijven het scenario ‘systeem X valt uit’. Ze beschrijven zelden het scenario ‘wij zetten zelf alles uit’. Dan blijkt dat de kassabon, de prijs op het schap, de spaarzegel en het distributiecentrum aan dezelfde stekker zitten. ISO 27001 vraagt daar expliciet om: maatregel 5.29 (informatiebeveiliging tijdens een verstoring) en 5.30 (ICT-gereedheid voor bedrijfscontinuïteit) gaan precies over de vraag of je kunt blijven draaien terwijl je ingrijpt.
De handmatige terugvaloptie is een proces, geen improvisatie
De winkels bleven open. Dat is knap, en het is te danken aan medewerkers die met stickers en ‘kunstgrepen’, zoals CNV het noemt, de boel draaiende hielden. Dat werkt een dag of twee. Daarna wordt improvisatie een risico op zich: verkeerde prijzen, ontbrekende controles, uitgeputte mensen.
Een volwassen continuïteitsplan legt die noodprocedure vooraf vast. Wie mag prijzen handmatig aanpassen? Hoe registreer je wat je zonder systeem verkoopt? Wanneer schaal je af? Het verschil tussen improviseren en uitwijken is dat je het tweede hebt geoefend.
Een cyberincident is ook een communicatie-incident
Albert Heijn sprak eerst van een ‘it-incident’ en later van een ‘cybersecurity-incident’. Ahold Delhaize publiceerde zijn bericht als koersgevoelige informatie onder de Europese marktmisbruikverordening. Ondertussen wilden klanten weten of hun boodschappen kwamen, vroeg de vakbond om duidelijkheid en noemde het ministerie van LVVN de verstoring zorgelijk.
Dat zijn vier publieken met elk eigen tempo en eigen regels. Organisaties die onder de Cyberbeveiligingswet (Cbw) vallen, krijgen daar nog een vroegtijdige waarschuwing aan de toezichthouder binnen 24 uur bij. Levensmiddelendistributie staat als sector in NIS2. Of en hoe dat voor deze specifieke organisatie geldt, laten we aan hun juristen. Voor je eigen organisatie is het een goede vraag om nu te stellen, niet zondagmiddag.
Drie vragen voor maandagochtend
- Als wij morgen uit voorzorg het netwerk afsluiten, welke vijf bedrijfsprocessen stoppen dan direct, en staat dat lijstje ergens op papier?
- Welke handmatige terugvaloptie hebben we per kritiek proces, wie mag die activeren, en wanneer hebben we die voor het laatst geoefend?
- Wie praat er binnen het eerste uur met klanten, medewerkers, toezichthouder en, waar dat speelt, de beurs, en zeggen ze allemaal hetzelfde?
Het beste moment om te ontdekken wat er aan de stekker hangt, is voordat je eraan trekt.
Bronnen
- Albert Heijn: mediastatement inzake it-incident
- Ahold Delhaize: precautionary measures following cybersecurity incident
- NOS: Albert Heijn start systemen op, geen aanwijzingen voor gestolen klantgegevens
- Security.NL: Albert Heijn getroffen door cybersecurity-incident
- Security.NL: Distributiecentra Albert Heijn liggen stil
- Security.NL: Systemen Albert Heijn, Etos en Gall & Gall nog offline
- Security.NL: Albert Heijn herstelt reguliere prijzen op digitale prijskaartjes
