ROC Mondriaan kijkt terug op aanval met ransomware

Hoe is het wanneer je onderwijsinstelling een week voor aanvang van het studiejaar wordt lamgelegd door een aanval met ransomware? Het overkwam het ROC Mondriaan in Den Haag, een instelling waaronder 26 mbo-scholen vallen, in augustus 2021. Marcel Kropmans (CIO) en Hans Schutte (Lid van het college van bestuur) delen hun ervaring.

Hoewel het ROC Mondriaan gemiddeld tot bovengemiddeld scoorde in de jaarlijkse mbo benchmark IBP-E – de benchmark meet de volwassenheid van instellingen op de onderdelen Informatiebeveiliging, Privacy en Examinering – bleek dit geen garantie. Koopmans vermoedt dat de daders – een grote Russische hackersorganisatie – zich specialiseren in onderwijs en zorg vanwege de privacygevoelige data die ze daar buitmaken en omdat er vaak na onderhandelingen wel iets betaald wordt om te zorgen dat die niet worden gelekt. Bovendien schieten ze volgens hem met hagel en kijken ze wat ze raken.

Het ROC Mondriaan besluit na overleg met het Nationaal Cyber Security Centrum (NCSC), het ministerie en SURF om in principe niet te betalen. Er zijn wel twee voorwaarden: het moet mogelijk zijn om het ict-landschap weer op te bouwen en de privacygevoeligheid van de buitgemaakte data moet enigszins meevallen. Dat laatste blijkt het geval: de financiële gegevens en contracten zijn in het onderwijs al openbaar.

Met het eerste gaat het ROC Mondriaan meteen aan de slag. Het systeem wordt van de grond af aan opnieuw opgebouwd met nog hogere beveiligingseisen:

• Multi-factorauthenticatie voor studenten wordt ingevoerd.
• De endpoint security wordt opgeschroefd.
• Er is netwerksegmentatie aangebracht.
• Er is versneld een Chief Information Security Officer (CISO) aangesteld.

Inmiddels is een groot gedeelte van de systemen weer beschikbaar. De daders zijn nooit gepakt. Schutte hoopt dat de beslissing van het ROC Mondriaan om niet te betalen eraan bijdraagt dat voorlopig geen andere Nederlandse onderwijsinstelling slachtoffer wordt . Kropmans heeft nog een advies: “Als het dan toch gebeurt, weet dan wat je meest kritische processen zijn en hoe je zorgt dat je die ontzettend snel weer up and running hebt. Je kunt het nooit helemaal voorkomen, maar zorg dat de schade te overzien is.”

Bron: SURF