Woensdag 21 oktober was het alle hens aan dek bij digitale bureaus en hostingproviders. Door twee kritieke kwetsbaarheden in PHP moesten in korte tijd ingrijpende beslissingen worden genomen. Websites en applicaties gingen uit voorzorg offline, terwijl teams tot diep in de nacht werkten om systemen veilig te stellen.
Voor Shock Media en Friday waren het uitzonderlijke uren. Shock Media is een van de grotere managed-hostingproviders van Nederland. Friday is een digitaal bureau met ruim 120 specialisten op het gebied van strategie, development, data, AI en marketing en werkt voor grote opdrachtgevers in onder meer de zorg en automotive.
Justin aan de Stegge van Shock Media en Frank Klein Koerkamp, CTO bij Friday, blikken terug op de gebeurtenissen, de lastige afwegingen en hun samenwerking onder hoge druk. Daarnaast bespreken ze de uitdagingen rondom beveiliging, verantwoordelijkheden en de afhankelijkheid van technologie.
Een dag vol ingrijpende beslissingen
Bij Shock Media werd woensdagochtend om acht uur een incidentmelding geopend. Het Incident Response Team kwam bijeen en nam direct beveiligingsmaatregelen. Via Active Response, de beveiligingsoplossing van Shock Media, werden pogingen om de kwetsbaarheden te misbruiken actief gemonitord en tegengehouden. In de loop van de middag nam het aantal pogingen explosief toe. Tegelijkertijd hield Shock Media klanten via de statuspagina en per e-mail op de hoogte.
Bij Friday werd eveneens een incidentteam geactiveerd. Frank coördineerde de aanpak en overlegde met de directie over de maatregelen. In de loop van de ochtend besloot Friday klanten actief te adviseren hun websites en applicaties tijdelijk offline te halen.
"We hebben gekeken welke systemen er bij onze klanten draaiden en welke gegevens daarin werden verwerkt. Bij klanten met gevoelige data hebben we extra nadrukkelijk geadviseerd om maatregelen te nemen. Maar de uiteindelijke beslissing bleef bij de klant. We hebben niets zonder toestemming offline gehaald", vertelt Frank.
Uiteindelijk besloot Shock Media PHP tijdelijk uit te schakelen om het risico op misbruik weg te nemen. Zodra de officiële beveiligingsupdates beschikbaar waren, werden deze uitgerold en konden de omgevingen weer veilig beschikbaar worden gemaakt.
Veiligheid versus continuïteit
Voor digitale bureaus is een beveiligingsincident niet alleen een technisch vraagstuk. Het raakt direct aan de bedrijfsvoering van hun klanten. Een webshop die tijdelijk offline gaat, loopt omzet mis. Bij een bedrijfskritische applicatie kunnen hele processen stilvallen. Tegelijkertijd kan het risico van online blijven veel groter zijn.
Dat maakte de beslissing om systemen uit voorzorg uit te schakelen ingewikkeld. "Als hostingprovider kunnen wij niet altijd overzien wat de gevolgen zijn wanneer een website of applicatie offline gaat", legt Justin uit. "Dat kan een webshop zijn, maar ook een gemeentelijke website of een zorgportaal. Daarom is het belangrijk dat klanten begrijpen welke risico's ze lopen en zelf een afweging kunnen maken."
Voor sommige klanten was volledig offline gaan geen optie. Friday zocht daarom naar oplossingen waarmee belangrijke bedrijfsprocessen konden blijven draaien, terwijl publiek toegankelijke onderdelen werden afgeschermd. Zo konden bij een hotelklant interne medewerkers toegang houden tot de systemen die nodig waren voor de dagelijkse bedrijfsvoering.
Het incident maakte ook duidelijk hoe belangrijk het is om vooraf te weten welke technologie je gebruikt en welke klanten door een kwetsbaarheid geraakt kunnen worden. Friday werkt hiervoor met dependency tracking, waarmee wordt bijgehouden welke softwareversies binnen klantomgevingen draaien. "Je moet niet pas tijdens een incident gaan uitzoeken welke systemen je hebt draaien", zegt Frank. "Wij konden snel bepalen welke klanten geraakt werden en welke maatregelen nodig waren."
Wat als een klant jarenlang updates uitstelt?
Een ander vraagstuk dat tijdens het incident naar voren kwam, is het onderhoud van bestaande systemen. Shock Media werkt met een strak updatebeleid, maar ziet dat klanten noodzakelijke updates soms jarenlang uitstellen. Bijvoorbeeld vanwege de kosten of omdat verouderde systemen moeilijk aangepast kunnen worden.
Volgens Justin wordt dat een probleem wanneer er een kritieke kwetsbaarheid wordt ontdekt en voor de gebruikte softwareversie geen beveiligingsupdate meer beschikbaar komt. "Je kunt niet verwachten dat zo'n situatie op het laatste moment zonder gevolgen wordt opgelost."
Ook Friday herkent dit dilemma. Het bedrijf bespreekt al bij de start van een project welke gegevens worden verwerkt, welke beveiliging nodig is en hoe het platform veilig kan worden ingericht. Via periodieke health checks krijgen klanten vervolgens inzicht in onder andere softwareversies, beveiliging en prestaties.
Toch kiezen klanten er soms bewust voor om bepaalde updates niet uit te voeren. Volgens Frank is het belangrijk om die keuzes en de bijbehorende risico's expliciet vast te leggen. "Als een klant besluit bepaalde maatregelen niet te nemen, maken we duidelijk tot waar onze verantwoordelijkheid loopt. Je wilt voorkomen dat daar pas discussie over ontstaat wanneer er iets misgaat."
Friday werkt momenteel ook aan de ISO 27001-certificering. Dat helpt de organisatie om processen, risico's en verantwoordelijkheden verder te formaliseren. Het incident liet volgens Frank zien hoe waardevol die voorbereiding is, maar leverde ook nieuwe inzichten op. Zo bleek een gebruikelijke onderhoudspagina, die zelf op PHP draait, tijdens een PHP-incident geen geschikte oplossing. De communicatie en incidentprocedures worden daarom eveneens geëvalueerd.
Wie draagt welke verantwoordelijkheid?
Een belangrijk onderdeel van de samenwerking tussen Shock Media en Friday is de duidelijke verdeling van verantwoordelijkheden. Bij Shock Media ligt die in de basis bij de infrastructuur, van het datacenter tot en met de middleware. De verantwoordelijkheid voor de applicatie ligt bij het ontwikkelende bureau. Bij Friday is de verdeling op onderdelen anders, omdat het bedrijf bepaalde beheertaken zelf uitvoert.
"We hebben heel duidelijk vastgelegd wie waarvoor verantwoordelijk is", vertelt Justin. "Dat is tijdens de dagelijkse samenwerking belangrijk, maar tijdens een incident helemaal."
Friday en Shock Media hebben deze verdeling ook technisch inzichtelijk gemaakt. Daardoor was tijdens het PHP-incident direct duidelijk wie welke maatregelen moest nemen. Via een gezamenlijk Slack-kanaal konden de teams snel informatie uitwisselen en beslissingen afstemmen.
Volgens Frank zit juist daarin de waarde van een goede samenwerking. "We zien Shock Media niet als een gewone leverancier, maar echt als een partner. Tijdens zo'n incident merk je wat dat betekent. Je moet op elkaar kunnen vertrouwen en weten dat iedereen zijn verantwoordelijkheid neemt."
Niet ieder digitaal bureau heeft dezelfde technische expertise of capaciteit in huis. De samenwerking tussen Friday en Shock Media laat zien hoe belangrijk het is om specialistische kennis goed te organiseren en vooraf afspraken te maken over beheer, beveiliging en incidenten.
Europese digitale soevereiniteit en de invloed van AI
Naast de beveiliging van digitale systemen speelt ook de vraag hoe afhankelijk organisaties willen zijn van technologiebedrijven buiten Europa. Europese digitale soevereiniteit krijgt daardoor steeds meer aandacht. Organisaties kijken kritischer naar waar hun data wordt opgeslagen, wie daar toegang toe heeft en welke alternatieven beschikbaar zijn.
Volgens Justin speelt dit onder meer sterk bij overheden. Organisaties willen hun afhankelijkheid van niet-Europese technologie verminderen, maar dat is in de praktijk niet altijd eenvoudig. Veel bestaande platforms bieden functionaliteiten waarvoor niet direct een gelijkwaardig Europees alternatief beschikbaar is. Dat vraagt om een afweging tussen controle, functionaliteit, prestaties en kosten.
Shock Media merkt dat klanten vaker bewust kiezen voor hosting in Nederland of Europa. Daarbij spelen naast datalocatie ook beschikbaarheid, prestaties en wettelijke eisen een rol.
Voor digitale bureaus betekent dit dat de keuze voor een technologiepartner verder gaat dan functionaliteit en prijs. Ook de afhankelijkheden die je creëert, worden steeds belangrijker. Kun je eenvoudig overstappen naar een andere aanbieder? Waar worden gegevens verwerkt? En welke controle houdt de klant over zijn eigen systemen?
De opkomst van AI maakt die vragen volgens Frank nog relevanter. AI helpt organisaties sneller te werken en beveiligingsproblemen op te lossen, maar kan ook worden ingezet om kwetsbaarheden op te sporen. Bovendien brengt het gebruik van externe AI-toepassingen nieuwe risico's met zich mee voor de bescherming van klantgegevens.
Bij Friday staat daarom het principe 'Own your intelligence' centraal. "Je moet weten welke informatie je aan AI geeft en waar die terechtkomt. Die intelligentie is van jou of van je klant. Daar moet je zelf de regie over houden." Friday gebruikt onder andere AI-gateways om te reguleren welke gegevens naar externe AI-diensten worden verstuurd. Een deel van de AI-toepassingen draait op infrastructuur bij Shock Media. Daarmee wil Friday controle houden over de gegevens en de mogelijkheid behouden om tussen technologieaanbieders te wisselen.
Ook Shock Media maakt hierin bewuste keuzes. "We willen AI zoveel mogelijk voor ons laten werken, maar moeten kritisch blijven op welke toepassingen we gebruiken en hoe we daarmee omgaan. Zeker als klanten ons hun data toevertrouwen."
Een partnership dat zich bewijst
Tijdens het PHP-incident bleek hoe waardevol de nauwe samenwerking tussen Shock Media en Friday is. Beide organisaties konden snel schakelen, voortdurend afstemmen en bouwen op elkaars expertise. Doordat verantwoordelijkheden vooraf helder waren vastgelegd en de teams direct met elkaar konden communiceren, konden zij onder hoge druk snel en zorgvuldig handelen.
Voor beide organisaties was het een intensieve dag, maar ook een bevestiging van hun voorbereiding en samenwerking. Tegelijkertijd benadrukken Frank en Justin dat beveiliging voortdurend aandacht vraagt. Nieuwe kwetsbaarheden blijven zich aandienen, technologie verandert en de afhankelijkheid van digitale systemen neemt verder toe. Volgens Frank draait het daarom vooral om inzicht en het vermogen om snel te handelen. "Zorg dat je weet wat je hebt draaien, welke gegevens daarin worden verwerkt en wie waarvoor verantwoordelijk is. En neem je klanten daarin mee."
Justin benadrukt daarnaast het belang van vertrouwen. "Klanten vertrouwen ons een belangrijk deel van hun bedrijfscontinuïteit toe. Dat vertrouwen moet je iedere dag waarmaken, juist op momenten waarop de druk hoog is." Frank vat de samenwerking treffend samen: "Je partnership wordt pas echt bewezen in dit soort situaties. Dan moet je er met elkaar staan. En dat is denk ik heel goed gelukt."
Dit artikel kwam tot stand in samenwerking met partner Shock Media.
BTTR groeit door te kiezen, zonder de mens uit het oog te verliezen
