Bestuurders van Eurofins en Clinical Diagnostics zouden ‘op Japanse wijze’ publiekelijk door het stof moeten gaan.

Tevens gepubliceerd als column voor AM: het platform voor de professional werkzaam in de financiële dienstverlening.

Recent werd bekend dat criminelen bij Clinical Diagnostics vertrouwelijke gezondheidsdata van vrouwen hebben buitgemaakt die via Bevolkingsonderzoek Nederland een test deden. Het incident kan mogelijk leiden tot grote (gezondheids)schade, indien vrouwen hierdoor terughoudender worden om deel te nemen aan bevolkingsonderzoek naar bijvoorbeeld darmkanker of borstkanker.

We kunnen niet langer lijdzaam toezien hoe bedrijven – in dit geval Eurofins, het moederbedrijf van Clinical Diagnostics Nederland – hun eigen winsten maximaliseren, en wanneer het misgaat, de kosten afwentelen op de samenleving. Eurofins koopt al jaren agressief bedrijven op zonder hun cybersecurity adequaat mee te laten groeien,

Dit gedrag kennen we uit de kredietcrisis, maar krijgt nu een cybervariant. De eindverantwoordelijken zouden, zoals in Japan gebruikelijk is, met een diepe buiging door het stof moeten gaan. Voor de slachtoffers én voor de moreel verwerpelijke betaling van losgeld.

Met elke betaling wordt ransomware namelijk lucratiever, waardoor het risico op nieuwe slachtoffers in de toekomst juist toeneemt. Toch blijft de discussie vaak hangen bij de individuele afweging van het getroffen bedrijf: Organisaties stellen vaak dat ze geen andere keuze hebben dan betalen. Maar dat is een te nauwe blik. We moeten het collectieve belang vooropstellen. Alleen als een bedrijf een optimaal niveau van cybersecurity heeft bewerkstelligd, en hackers desondanks toch binnendringen, zou een betaling moreel verdedigbaar zijn. Maar hier is het tegenovergestelde het geval:

Ten eerste heeft het moederbedrijf Eurofins in het verleden al eerder losgeld betaald. Daarmee droeg het actief bij aan het versterken van het verdienmodel van cybercriminelen. Ten tweede liet het bedrijf na om haar cyberweerbaarheid op orde te brengen: tijdens de hack stond alle data op één plek, wat de impact van de aanval vergrootte. Ten derde meldde Clinical Diagnostics het datalek te laat bij de Autoriteit Persoonsgegevens én bij de slachtoffers.

Er zijn dus fundamentele fouten gemaakt, maar in plaats van verantwoording af te leggen, kiest het bedrijf ervoor om achter gesloten deuren een betaling te doen (met garantie tot de voordeur). Bestuurders van Eurofins en Clinical Diagnostics zouden juist publiekelijk door het stof moeten gaan. Ze zouden daarbij een voorbeeld moeten nemen aan Japan, waar er een uitgesproken cultuur is van publieke verontschuldigingen wanneer bestuurders of bedrijven in opspraak raken. De diepte van de buiging drukt hier onder andere de ernst van de fout uit.

Daarnaast is het tijd voor structurele maatregelen om het collectieve belang te behartigen. Er ligt al een palet aan beleidsopties op tafel:

• Richt een meldpunt ransomware in, zoals in het Verenigd Koninkrijk voorgesteld is, waar bedrijven eerst moeten overleggen voordat ze mogen betalen.

• Ontmoedig verzekeraars om losgeldbetalingen te dekken – criminelen gebruiken polissen immers als hefboom voor hogere eisen.

• Belast losgeldbetalingen– zo zet je een prijs op de collectieve schade

• Overweeg, in navolging van Britse voorstellen, een gedeeltelijk verbod op losgeldbetalingen.

Deze maatregelen zijn hard nodig om de perverse prikkel om te betalen weg te nemen. Cyberaanvallen raken inmiddels niet alleen bedrijven, maar ook burgers – in dit geval vrouwen die vertrouwden op de bescherming van hun medische gegevens. Bedrijven die hun cybersecurityzorgplicht verwaarlozen, mogen niet beloond worden met een ‘easy way out’ via een losgeldbetaling.

Het is tijd dat we de reflex om losgeld te betalen ombuigen naar een cultuur van verantwoording, transparantie en preventie. Alleen zo keren we het tij. Een persoonlijke ‘boetedoening’ van de eindverantwoordelijken helpt daarbij.