Hoe de GGD imagoschade had kunnen voorkomen

In december 2020 erkent Margreet de Graaf de diverse risico’s die de software voor het bron- en contactonderzoek (HPzone Lite) met zich meebrengt.

Zij, hoofdverantwoordelijk voor alle landelijke GGD-informatiesystemen, is zich bewust van het probleem.

Chakib Kara-Zaïtri, ontwikkelaar van HPzone Lite, verduidelijkte in een handleiding dat het systeem geen ondersteuning biedt bij een ingrijpende landelijke publieke gezondheidscrisis.

Drie maanden later gaat het fout. Een handvol medewerkers gebruikt een exportfunctie om persoonsgegevens te verkrijgen en verhandelen.

Het nieuws komt uit, de GGD gooit haar handen omhoog, trekt een geschrokken blik en richt alle vizieren op drie verdachte opportunisten. Eigenlijk te gek voor woorden, want hadden die verdachten geen opportune gehad, dan was er van gegevensverlies geen sprake geweest.

Sorry

Een aantal weken na het incident schrijft Hugo de Jonge een kamerbrief. Hij, opdrachtgever van de GGD, verontschuldigt zich voor de aanvankelijke onttrekking van verantwoordelijkheid. In een verhit kamerdebat erkent hij dat het ministerie en de GGD meer hadden kunnen doen.

Daarbij maakt Hugo de Jonge een aantal beloftes. Diverse maatregelen moeten het probleem gaan oplossen. Allereerst wordt HPzone vervangen. Zoekmogelijkheden in alle gebruikte softwaresystemen dienen beperkt te worden. Externe security-deskundigen worden ingezet om risico’s aan de kaak te stellen.

De minister neemt verantwoordelijkheid. Beter laat dan nooit, maar laat is het zeker. Oplettende journalistiek bleek voorwaardelijk voor verbetering. Waren we massaal uitgegaan van de ongeïnformeerde en leugenachtige overheidscommunicatie ná het incident, dan was de druk tot vernieuwing nooit gezet.

Het probleem

De tijdgeest staat geen fouten toe. Een groeiende groep Nederlanders protesteert argwanend over de aard van COVID-19, effectiviteit van vaccins en betrouwbaarheid van de instellingen die ons wel of niet tegen de pandemie verdedigen. Miscommunicatie kan gebruikt worden als munitie voor (gevaarlijke) gezondheidsovertuigingen.

Bron- en contactonderzoeken moeten de bestreiding van COVID-19 tegengaan. Dergelijke onderzoeken slagen pas wanneer onderzochten eerlijk en transparant communiceren. Ontbreekt het vertrouwen in de onderzoeker, dan ontbreekt de effectiviteit.

Elke deuk in dit vertrouwen is door de aanvankelijke verklaringen van Hugo de Jonge en de GGD in de hand gewerkt.

Slachtoffers van cyberincidenten komen doorgaans pijnlijk achter het feit dat een incident om gestroomlijnde communicatie schreeuwt. Voor de crisistak van de GGD geldt niet anders. Hadden opdrachtgever en uitvoerder direct naar de lessen van eerdere voorvallen gekeken, dan was imagoschade beter voorkomen.

Cybersecurity beperkt zich niet tot het voorkomen en bestrijden van een incident. Cybersecurity loopt over in de reactie op momenten waar het reeds fout is gegaan. De communicatie na een cyberincident is net zo belangrijk als de preventie van een cyberincident. Jammer genoeg blijft het onderwerp in kamerbrieven en verklaringen onbenoemd