Bibliotheken moeten hun betrouwbare imago behouden

De afgelopen tijd zijn meerdere bibliotheken ten prooi gevallen aan een cyberaanval. Bibliotheken kunnen zich hier beter tegen wapenen. Dat weet ook Dick van Tol, netwerkadviseur bij Probiblio. Hij gidst bibliotheekorganisaties door het landschap van de cybersecurity. Een van die bibliotheken is AanZet, waar Margarita Malisauskaite en Henny Melis zich samen met collega’s inzetten om zo veilig mogelijk te werk te gaan. De drie experts geven graag een aantal praktische tips.

Toen Margarita Malisauskaite als manager bedrijfsvoering bij de Bibliotheek AanZet in dienst kwam, schrok ze stiekem wel een beetje van de verouderde software waarmee gewerkt werd. Microsoft 365 was bijvoorbeeld nog niet geïmplementeerd, terwijl dit wel de meest bewezen technologie is om mee te werken. 
Er was dus werk aan de winkel, zeker omdat de bibliotheek op veiligheidsgebied voor steeds meer uitdagingen komt te staan. Meer en meer mensen gebruiken hun eigen laptop of telefoon als werkdevice. Bovendien wordt er steeds meer samengewerkt met partners, ook digitaal.  

Met het aantal systemen groeit ook het aantal mogelijk zwakke plekken. En dat is risicovol, want bibliotheekorganisaties beschikken over grote hoeveelheden persoonsgegevens, legt Henny Melis, ICT-coördinator bij de Bibliotheek AanZet, uit. ‘We willen de gegevens die ons worden toevertrouwd goed beschermen. Daarvoor zijn goed beveiligde systemen en bewustzijn onder collega’s belangrijk. Recente hacks bij de bibliotheken in Rotterdam en Gouda hebben daar, hoe vervelend ook, wel aan bijgedragen.’ 

De bibliotheeksector heeft de wens zo toegankelijk mogelijk te zijn voor iedereen. Daar hoort ook gebruiksvriendelijkheid bij, benadrukt Malisauskaite. Denk bijvoorbeeld aan gemakkelijk inloggen op een publiekswerkplek, waarbij je gegevens bewaard blijven. ‘Dat is een mooie service, maar zorgt ook voor risico’s. Daarin zoeken we in onze organisatie naar een balans.’ 

Ook Dick van Tol zoekt daarnaar. Het incident bij de Bibliotheek Rotterdam prikkelde hem om met cybersecurity aan de slag te gaan. ‘Ik zag dat ook een bibliotheek die informatieveiligheid veel aandacht geeft alsnog gehackt kan worden. Dat betekent dat bibliotheken bij wie dit onderwerp minder leeft nog meer risico lopen.’ Hij besloot zich in te gaan zetten voor meer actie bij bibliotheken. ‘Blijkbaar zijn we een interessant doelwit voor hackers. Dat gevaar moeten we veel serieuzer nemen.’ 

Daarom startte Probiblio eind juli Operatie Zandzakken. De POI stelde een lijst op met de belangrijkste 22 acties om de kans op een cyberaanval drastisch te verminderen. Van Tol: ‘We hebben alle bibliotheken in Noord- en Zuid-Holland opgeroepen vóór 1 januari 2024 de lijst met acties na te lopen en niet uitgevoerde acties alsnog uit te voeren. Als ze daarbij hulp nodig hebben, staat een deskundige klaar. Bibliotheken staan bekend als betrouwbare instellingen, en dat moet vooral zo blijven.’

Ook de Bibliotheek AanZet zit al in de actiestand, aldus Melis. ‘We gebruiken toegangstags, zodat onbevoegden niet in alle ruimtes kunnen. Ook maken we collega’s bewust van phishingmails en moedigen we iedereen aan sterke wachtwoorden te gebruiken. Verder moeten collega’s bij het ontgrendelen van een computer een pas op een lezer leggen. Ook gebruiken we multifactorauthenticatie, en voeren we op onze systemen periodieke controles uit om te kijken of de juiste personen de juiste rechten hebben.’ 

Malisauskaite hoopt dat collega-bibliotheken zich net zo in de materie verdiepen als zij. ‘Er is zoveel informatie beschikbaar. Verdiep je erin en praat erover met collega’s. Op die manier word je je bewust van je pijnpunten als organisatie. Tegenwoordig houden we bijvoorbeeld allemaal in de gaten dat niemand zijn toegangspas laat slingeren. Dat is een gedeelde verantwoordelijkheid.’ 

Die bewustwording ziet Van Tol graag. ‘In de ideale situatie doe je niet alleen ieder jaar een ontruimingsoefening, maar oefen je ook elk jaar met een cyberaanval. We zien hoe snel de bewustwording van de risico’s na een training weer wegzakt. Informatieveiligheid is een langdurig en zorgvuldig proces, dat voortdurend aandacht vraagt.’