ConnectWise heeft zijn back-updienst Cloud Backup, voorheen bekend als SkyKick, stilgelegd nadat aanvallers via gecompromitteerde applicatie-identiteiten toegang kregen tot Microsoft 365-omgevingen van klanten. Back-ups en herstel werken voorlopig niet, en twee andere beheerdiensten zijn uit voorzorg ook uitgeschakeld. Hoeveel organisaties zijn geraakt, is nog niet bekend.
Het incident is een schoolvoorbeeld van ketenrisico. De dienst die je moest beschermen tegen dataverlies, werd zelf de toegangsweg. Voor managers is dat geen technisch detail. Het is een vraag over hoe je IT-leveranciers kiest, bewaakt en zo nodig vervangt.
Wat er precies misging
Een back-updienst voor Microsoft 365 heeft brede rechten nodig. Hij moet mailboxen, Teams en SharePoint kunnen uitlezen en terugzetten. Die rechten lopen via applicatie-identiteiten: digitale sleutels waarmee software namens de klant werkt. Juist die sleutels vielen in verkeerde handen. ConnectWise schakelde ze op 17 oktober uit en trok de bijbehorende certificaten in.
Het bedrijf meldt dat de back-uparchieven versleuteld en afgeschermd zijn en dat er geen aanwijzingen zijn dat ze zijn ingezien. Over de live omgevingen van klanten is minder zekerheid. Klanten en hun IT-dienstverleners kregen het advies hun eigen omgeving te controleren, aanmeld- en auditlogs veilig te stellen en te zoeken naar verdachte doorstuurregels in mailboxen. Dat moet snel gebeuren, want zulke logs worden standaard vaak maar een week tot een maand bewaard.
Waarom ketenrisico een bestuurskwestie is
Sinds 15 augustus 2026 geldt in Nederland de Cyberbeveiligingswet, de Nederlandse uitwerking van de Europese NIS2-richtlijn. Organisaties die eronder vallen, moeten passende maatregelen nemen om de risico’s voor hun netwerk- en informatiesystemen te beheersen. De beveiliging van de toeleveringsketen hoort daar uitdrukkelijk bij. Het bestuur is verantwoordelijk voor die maatregelen en moet zelf genoeg kennis hebben om ze te kunnen beoordelen. In een eerder artikel leggen we uit waarom digitale veiligheid nu een bestuurstaak is.
In de praktijk betekent dit dat ‘dat regelt onze IT-partner’ geen antwoord meer is. Je kunt de uitvoering uitbesteden, de verantwoordelijkheid niet. Een bestuurder die niet weet welke leveranciers toegang hebben tot de kernsystemen, kan ook niet uitleggen waarom dat risico aanvaardbaar is.
Vragen die je aan je MSP en back-upleverancier stelt
Veel mkb-bedrijven nemen back-up en beheer af via een managed service provider (MSP). Die gebruikt op zijn beurt weer software van partijen als ConnectWise. Door die gelaagdheid is het lastig te zien wie waar bij kan. Een paar gerichte vragen maken dat zichtbaar:
- Welke externe applicaties en partijen hebben beheerrechten in onze Microsoft 365-omgeving, en zijn die rechten beperkt tot wat strikt nodig is?
- Staat er een kopie van onze belangrijkste data buiten de omgeving van de primaire back-upleverancier?
- Hoe snel horen wij het als een van uw eigen leveranciers een incident heeft, en wat doet u dan namens ons?
- Hoe lang bewaren we aanmeld- en auditlogs, en is dat lang genoeg om een inbraak achteraf te onderzoeken?
- Wanneer hebben we voor het laatst getest of een volledig herstel werkt?
Het antwoord op de tweede vraag is vaak het meest ontnuchterend. Wie alles bij één partij onderbrengt, heeft bij een incident als dit simpelweg tijdelijk geen werkende back-up. De bekende 3-2-1-regel (drie kopieën, op twee soorten opslag, waarvan één op een andere locatie) is daarom meer dan een IT-vuistregel. Het is een manier om afhankelijkheid van één leverancier te spreiden.
Aansluitende managementmodellen
Het Zwitserse-kaasmodel van de Britse psycholoog James Reason beschrijft hoe incidenten ontstaan wanneer gaten in meerdere verdedigingslagen toevallig op één lijn komen te liggen. Een back-up is zo’n laag. Het ConnectWise-incident laat zien dat lagen niet onafhankelijk zijn als ze via dezelfde leverancier lopen: één gat raakt dan meerdere plakken tegelijk. Het model helpt om per laag te vragen wie hem beheert en wat er gebeurt als die partij uitvalt.
Business Continuity Management (BCM) kijkt verder dan de techniek. Je bepaalt welke processen kritiek zijn, hoe lang ze maximaal stil mogen liggen en wat je doet als een leverancier wegvalt. Een back-updienst die dagenlang niet kan herstellen, hoort in die analyse als serieus scenario terug te komen. In een SWOT-analyse kun je zo’n afhankelijkheid expliciet als bedreiging benoemen.
De Kraljic-matrix, in 1983 geïntroduceerd door Peter Kraljic, deelt inkoop in naar financiële impact en leveringsrisico. Back-up en IT-beheer behandelen veel organisaties als routine-inkoop. Met dit incident in gedachten horen ze eerder bij de knelpunt- of strategische producten, met strengere afspraken, regelmatige evaluatie en een uitwijkmogelijkheid. Wie de machtsverhouding met leveranciers breder wil bekijken, vindt in het vijfkrachtenmodel van Porter een bruikbaar kader.
Aanleiding voor dit artikel is nieuws van Techzine.
