Als het op cyberveiligheid aankomt, heeft de Universiteit Maastricht haar lesje wel geleerd. Op 23 december 2019 wisten cybercriminelen de instelling volledig lam te leggen door een aanval met gijzelsoftware. Daarop betaalde de UM bijna 200 duizend euro aan losgeld. En hoewel dat geld inmiddels (plus ruim drie ton ‘winst') terug is op de bankrekening, was de totale schade flink hoger – denk alleen al aan de aangescherpte digitale beveiliging.
Ook meer recent, afgelopen januari, werd de UM, net als andere onderwijsinstellingen in het zuiden van het land, de dupe van cybercriminaliteit. In Maastricht hadden de DDos-aanvallen geen heel grote gevolgen; medewerkers en studenten hadden vooral last van een trage of geen internetverbinding.
Eenheid Opstand Beweging
Voor de landelijke ict-organisatie SURF is het de vijfde keer dat ze voor het het middelbaar en hoger onderwijs een landelijke oefening rond cyberveiligheid op poten zet. Donderdag 27 maart was het de beurt aan de universiteiten. Hoewel aan de UM een handjevol op de hoogte was van het scenario van SURF wist de meerderheid van de zestig betrokkenen niets. "Bijna niets", zegt vicevoorzitter Jan-Tjitte Meindersma die aan het einde van de dag Observant te woord staat. Aan het begin van de week sijpelden al wat fake krantenberichten door (op een speciaal voor de oefening gemaakte pagina) over een studentenprotest, vertelt hij. De zogeheten Eenheid Opstand Beweging, bestaande uit studenten en medewerkers uit heel Nederland, strijden voor “een eerlijker en menselijker onderwijssysteem”, zo staat er in hun manifest. “Wij eisen dat hogescholen en universiteiten zich achter ons scharen en niet langer passief toekijken.”
In eerste instantie was het een digitale actie, waarbij werd opgeroepen tot het ondertekenen van een petitie. Maar op de dag des onheils volgt er een fysiek protest voor de deuren van het bestuursgebouw aan de Mindersbroedersberg dat zelfs eindigt met een bezetting van een ruimte. (Voor alle duidelijkheid, het is nog steeds een oefening.)
Darkweb
Al een paar uur eerder, in de ochtend, krijgt Meindersma een anonieme e-mail met daarin de mededeling dat allerlei privacygevoelige data zijn gelekt naar het darkweb. Daar komt gaandeweg het verhaal bij dat de computers van alle mensen die de petitie van de Eenheid Opstand Beweging hadden getekend, zijn geïnfecteerd met malware. Plus de waarschuwing dat er DDos-aanvallen gaan plaatsvinden. Meindersma: “Op alle fronten gaat het mis en je hebt geen idee of het een met het ander samenhangt.” Het crisisprotocol wordt gevolgd, aan de UM komt een crisismanagementteam samen met daarin onder andere de woordvoerder van de universiteit (belangrijk voor de communicatie, intern en extern), de gegevensbeschermingsfunctionaris, iemand van het CISO (central information security office) en Meindersma zelf. Maar die laatste – alsof het nog niet ingewikkeld genoeg is – heeft er nog een taak bij: hij is landelijk bestuurlijk trekker van cyberveiligheid en moet namens alle onderwijsinstellingen aan de bak. Want niet alleen de UM heeft donderdag 27 maart een cyberprobleem, ook alle andere universiteiten.
Puzzelstukjes
“De wisselende signalen” maken het lastig, zegt Meindersma terugblikkend (een uitgebreide evaluatie volgt nog). “Er waren veel geruchten. Dan weer zouden de gelekte data echt zijn, dan weer fake. Wat je wil als crisismanagementteam zijn feiten, daar kun je op handelen en over communiceren. Met geruchten kun je niets.”
In de middag wordt het Meindersma en zijn collega’s in het land duidelijk dat achter alle cyberaanvallen en demonstraties één en dezelfde partij zit: de zogenaamde Revolution Reckoners. Zij eisen van de universiteiten dat ze met een bericht in de media komen waarin ze beloven meer te investeren in onderwijs en studentenondersteuning. Als dat geld uit onderzoek moet komen, “dan moet dat maar”, schrijven de actievoerders in hun manifest. En doen de bestuurders dat niet, dan komen er privacygevoelige gegevens op straat te liggen. Meindersma: “Dan zie je, mede door de tijdsdruk en dat het ‘slechts’ een oefening is, dat we met z’n allen besluiten ons niet te laten chanteren en de eisen niet inwilligen. In het achterhoofd ben je uiteraard bezig met een damage control-plan en de vraag ‘wat als er wél privacygevoelige data op straat komen te liggen’.
Hoewel het hard werken was, vond Meindersma de oefening “superleerzaam en waardevol. Het voelde soms als een escape room. Er is tijdsdruk en je moet alle puzzelstukjes bij elkaar zoeken.”