Waarom Q-Park na 2017 nooit meer onderhandelt over cybersecurity

Had dit voorkomen kunnen worden?

Van Vooren is er eerlijk over. Naar zijn mening is de meerderheid van dit soort incidenten vermijdbaar. “Het is een kwestie van keuzes. Welke risico’s accepteer je als organisatie? En hoeveel wil je investeren om die risico’s te beperken?”

De Moor kijkt daar met dezelfde nuchterheid op terug. “Achteraf gezien hadden we dingen anders kunnen doen. Q-Park is een sterk gedecentraliseerd bedrijf. Maar dat model werkt niet voor cybersecurity. Dat moet je centraal regelen, non-negotiable. Dat was de grote les.”

Daar kwam nog iets bij. Na de aanval ontdekte Q-Park dat zelfs betaalde dienstverleners hun beloftes niet nakwamen. “We hadden antivirussoftware ingekocht voor onze parkeersystemen. Die bleek niet geïnstalleerd te zijn. We hadden het nooit gecontroleerd.” Dat inzicht leidde tot een fundamentele aanscherping in controlemechanismen rondom leveranciersmanagement.

Van decentralisatie naar centrale regie

De omslag in de praktijk ging veel verder. De Moor: “We hebben beslist dat cybersecurity niet meer ter discussie staat. Vroeger konden landen intern beslissen of ze bepaalde maatregelen namen. Dat is verleden tijd. De Franse afdeling, de Nederlandse, de Finse: iedereen volgt dezelfde aanpak. Dat klinkt simpel, maar het heeft echt wat gevergd om die cultuuromslag te maken.”

Van Vooren benadrukt dat de aanval ook iets positiefs opleverde: draagvlak. “Cybersecurity stond in de tijd voor het incident niet bovenaan de prioriteitenlijst. Na de crisis kregen we de steun van het senior management om door te pakken. We konden leveranciers onder druk zetten, investeringen doordrukken en structurele verbeteringen doorvoeren.”

Als eerste stap liet Q-Park samen met Orange Cyberdefense een Security Maturity Assessment uitvoeren. Dat gaf het bedrijf voor het eerst een helder beeld van waar ze stonden. Niet wat ze dachten dat er was, maar wat er daadwerkelijk was. Vanuit die nulmeting kon Q-Park een gerichte securitystrategie ontwikkelen.

Segmentatie, bewustwording en 48.000 kritieke assets

De CISO als sparringpartner, niet als silo

Een van de hardste lessen gaat over de positie van de CISO in de organisatie. Die moet vooral benaderbaar zijn. De Moor: “Cybersecurity mag geen silo zijn. Als er iets is dat de hele organisatie raakt, dan is het dit onderwerp wel. Ik wil niet wachten op een maandelijks overleg om een vraag te kunnen stellen. Als de CISO drie weken moet wachten op het volgende formele moment, ben je al te laat.”

Van Vooren herkent het belang van die toegankelijkheid. “Een goede sparringpartner bij het senior management maakt het verschil. Niet alleen bij een crisis, maar ook bij strategische beslissingen: welke risico’s nemen we, waar leggen we de prioriteit, wat is de roadmap voor de komende jaren?”

Dat gaat soms ook over onpopulaire beslissingen. Zo besloot Q-Park op advies van de CISO de toegang tot ChatGPT te blokkeren en een eigen beveiligde omgeving in te richten voor AI-toepassingen. De Moor: “Niet iedereen was blij. Maar als jouw CISO zegt dat het nodig is, moet je hem steunen. Anders heeft die functie geen zin.”

Oefenen alsof het echt is

Voorbereiding is tegenwoordig een vast onderdeel van de aanpak. Q-Park houdt regelmatig tabletop-oefeningen, en die hebben een duidelijk doel. Van Vooren: “Ze zijn niet alleen waardevol voor de technische teams. Ze zijn juist bedoeld om het bewustzijn bij het senior management levend te houden. Na zo’n oefening denken mensen ook buiten de vergaderkamer na over de scenario’s en komen ze terug met aanbevelingen.”

De Moor wijst daarbij op een subtiel gevaar: kleine besparingen die grote gaten slaan. “Een fout ontstaat bijna altijd doordat iemand laag in de organisatie, zonder formeel mandaat, heeft besloten ergens op te bezuinigen. Die beslissingen zorgen voor de grootste kwetsbaarheden.”

De aanpak van vandaag verschilt fundamenteel van die van 2017. Q-Park beschikt nu over een SOC-team en werkt met specialisten van Orange Cyberdefense, die de organisatie door en door kennen. Van Vooren: “Vroeger moest je mensen bellen die geen idee hadden hoe onze omgeving eruitzag. Nu weet het team precies hoe onze systemen werken, wat normaal gedrag is en hoe snel we moeten schakelen als er iets misgaat.”