Cyber specific vulnerabilities within the floriculture sector

Kwetsbaarheden Afhankelijkheid van ICT Interne logistieke processen binnen de sierteeltsector zijn veelal geautomatiseerd en spelen een centrale rol bij de bedrijfsvoering, aldus een kweker. Een voorbeeld is het teelsysteem, bestaande uit rolcontainers die zich door kwekerijen bewegen door middel van een robot die teelt van de rijen kan afhalen en opduwen. De afhankelijkheid van dergelijke systemen maakt dat eventuele incidenten grote gevolgen hebben voor het bedrijf. Het uitvallen van logistieke systemen wordt dan ook als grootste bedreiging gezien op het gebied van cyberveiligheid door een kweker betrokken bij dit onderzoek. Onveilig gedrag Een kweker geeft aan dat er binnen de sector gemakzucht en een gebrek aan prioriteit en kennis heerst op het gebied van cyberveiligheid, met name bij kleine bedrijven die cyberveiligheid zelf inrichten. Zo geven werknemers in eerste instantie weerstand wanneer zij bijvoorbeeld het wachtwoord vaker moeten veranderen. “ Ondanks dat de sector een inhaalslag maakt op dit gebied, is cyberveiligheid nog het ondergeschoven kindje, met name bij bedrijven die alles zelf doen. (kweker) ” Ontbreken van contracten en overleg over cyberveiligheid Er vinden over het algemeen weinig (structurele) gesprekken plaats met partnerbedrijven uit de sierteeltsector op het gebied van cyberveiligheid. Ook is cyberveiligheid vaak geen onderdeel in het contract met partners. Hierdoor is er geen zicht op hoe andere partijen, zoals leveranciers van apparatuur, diens cyberveiligheid hebben ingericht. “ Wat gebeurt er daar met wachtwoorden als een werknemer vertrekt? (kweker) ” Slechte ICT beveiliging bij partners Cybersecurityexperts zijn van mening dat risico’s met betrekking tot het opereren in een keten groot zijn bij kleinere bedrijven waarbij ICT niet de corebusiness is, zoals huurders van panden, leveranciers van teelsystemen en transportbedrijven verantwoordelijk voor de vracht van bloemen. Kleine bedrijven richten volgens respondenten soms ook hun cyberveiligheid zelf in (geen ICT-dienstverlener) of vertrouwen juist volledig op hun ICT-dienstverlener. Effectieve samenwerking laat niet toe dat bedrijven alle cyberrisico’s kunnen dekken die samenwerking met zich meebrengt en bovendien heeft cyberveiligheid niet altijd prioriteit, aldus een cybersecurityexpert. Gebrekkige informatiestroom Bedrijven uit de sector krijgen over het algemeen geen informatie vanuit het NCSC, omdat de sierteelt geen vitale sector is. Het NCSC houdt zich streng aan diens mandaat. Niet-vitale bedrijven kunnen bij het DTC terecht, maar die informatie is niet voldoende, aldus een cybersecurityexpert. Wel zijn er veel andere mogelijke bronnen om informatie uit te halen, zoals het eigen netwerk. Gebrek aan adequaat respons en coördinatie bij security incidenten Een security incident is partner-overstijgend en het bedrijf waar het incident plaatsvindt heeft dan een regiefunctie tussen de partners, aldus een ICT-dienstverlener. In het geval van een security incident is dan ook specialistische kennis nodig in het regie domein. Dat ontbreekt soms echter omdat de security officers van het bedrijf niet bereikbaar zijn. Dit kan de coördinatie vanuit het bedrijf met de verschillende ketenpartners belemmeren. Bovendien reageren ICT-dienstverleners zelf ook niet altijd adequaat op security incidenten. Gebrek aan initiatief vanuit ICT-dienstverleners in verbeteren digitale veiligheid Het is de taak van ICT-dienstverleners om initiatief te nemen bij het verbeteren van de digitale veiligheid van klanten. In de praktijk schort het daar nog geregeld aan, aldus een ICT-dienstverlener. De klant moet dan vragen om bepaalde verbeteringen en innovatie. Er moet echter wel ruimte zijn in het contract met klanten om dergelijke veranderingen door te kunnen en mogen voeren, aldus een respondent (zie ook 3.3.3).