Door Demmy Verbeke
In het najaar van 2023 werd de British Library slachtoffer van een cyberaanval die de volledige bibliotheek lamlegde. Maanden later is de dienstverlening nog steeds niet helemaal hersteld. Velen zien hierin een waarschuwing voor de kwetsbaarheid van bibliotheekcollecties, maar eigenlijk vertelt de aanval ons meer over het belang van de infrastructuur die nodig is om deze collecties te beheren, betoogt Demmy Verbeke.
Op zaterdag 28 oktober 2023 werd de British Library, de nationale bibliotheek van het Verenigd Koningrijk, slachtoffer van een ransomware-cyberattack. De criminele organisatie Rhysida, die eerder al soortgelijke aanvallen uitvoerde op de computersystemen van overheidsinstellingen in Portugal, Chili en Koeweit, slaagde erin een grote hoeveelheid data (waaronder persoonlijke gegevens van bibliotheekpersoneel en lezers) te ontvreemden. Het feit dat Rhysida wellicht Russische banden heeft en dat deze aanval volgde op soortgelijke aanvallen door andere criminele bendes op de Boston Public Library en Toronto Public Library, zou kunnen doen vermoeden dat er een ideologische opzet is, maar de primaire drijfveer blijkt toch financieel. Er wordt geen echt onderscheid gemaakt tussen slachtoffers: soms betreft het een overheidsdienst, een culturele instelling of een universiteit, maar het doelwit kan evengoed een ziekenhuis of een commercieel bedrijf zijn.
Immense schade
Wat de British Library betreft was het in ieder geval de intentie om de gestolen gegevens te gelde te maken, hetzij door losgeld te eisen van de instelling, hetzij door deze data te verkopen via het darkweb. Toen duidelijk werd dat de bibliotheek niet op chantage zou ingaan– in het Verenigd Koningrijk geldt een strikt beleid dat overheidsinstellingen in dergelijke gevallen nooit onderhandelen met de boosdoeners, laat staan losgeld betalen – werden de gestolen data ook daadwerkelijk gelekt.
In de daaropvolgende dagen kwam de immense schade aan de technische infrastructuur van de British Library aan het licht. Ongeveer alles werd onbruikbaar. Dit omdat een cyberaanval doorgaans gepaard gaat met de vernietiging van servers en systemen om sporen uit te wissen, maar ook omdat het gebruik van nog werkende digitale infrastructuur vanzelfsprekend heel streng gereguleerd moet gebeuren om zeker te zijn dat verdere schade en nieuwe aanvallen worden vermeden.
Alle computersystemen werden stilgelegd, mail- en telefoonverkeer werd opgeschort, het zoeken in de catalogus was niet langer mogelijk, digitale collecties bleven onbeschikbaar, fysieke items konden niet voor consultatie worden aangevraagd, nieuwe items konden niet aan de collectie worden toegevoegd, en ga zo maar door. De enige diensten die nauwelijks hinder ondervonden waren de toegang tot de leeszalen en de culturele activiteiten van de bibliotheek. Zowel tentoonstellingen als events konden zoals gepland doorgaan en waren, ironisch genoeg, de afgelopen maanden succesvoller dan verwacht.
Historisch gegroeid
De British Library was tot op zekere hoogte kwetsbaar voor dit type misdaad. Men geeft toe dat de bibliotheek afhankelijk was van een uitzonderlijk diverse en complexe technische infrastructuur die historisch bepaald was gegroeid door het samenbrengen van allerlei collecties, systemen en bedrijfsculturen in één organisatie. Men erkent ook dat de aanvallers gebruik hebben kunnen maken van het feit dat niet alle onderdelen van deze historische infrastructuur beveiligd waren tot de hoogste hedendaagse standaard.
Dat maakte de bibliotheek echter geen makkelijker slachtoffer dan andere instellingen. Medewerkers van veel andere bibliotheken zullen namelijk toegeven dat hun systemen aan hetzelfde euvel lijden. Daarnaast heeft de British Library een gestructureerde aanpak om met grote incidenten om te gaan, waar andere instellingen momenteel alleen maar afgunstig naar kunnen kijken.
Major crisis management plan
Naar aanleiding van de cyberaanval werd bij de Britse nationale bibliotheek het major crisis management plan geactiveerd, waarbij onmiddellijk gold and silver committees worden aangesteld die het strategische en operationele management van de crisis in handen nemen. Het eerste vermoeden van een aanval werd vastgesteld op zaterdagochtend 7:35 uur. Nadat een team van technische experts dit vermoeden had bevestigd, ging het crisismanagementplan om 9:15 uur in. Alle betrokkenen waren tegen 9:21 uur op de hoogte, en het gold crisis response team kwam om 10:00 uur een eerste keer samen (via WhatsApp omdat e-mail en andere systemen niet werkten).
Ook de verdere opvolging was exemplarisch: bibliotheekservices werden stelselmatig weer opgestart – zo is de online catalogus sinds januari 2024 opnieuw beschikbaar. Ook werd het incident aangegrepen om de hele infrastructuur grondig te herzien en te moderniseren, niet alleen met het zicht op betere beveiliging, maar ook ter optimalisatie van alle bibliotheekservices en -processen. Dit neemt niet weg dat nog niet alle aspecten van de dienstverlening zijn hersteld: de levering van fysieke items vanuit externe depots is nog niet mogelijk, de toegang tot elektronische collecties is nog niet hersteld en digitaliseringsprojecten liggen stil. De inschatting is dat de benodigde infrastructuur volgens de herziene aanpak pas binnen achttien maanden volledig operationeel zal zijn.
Verbinding met bibliotheek
De wereldwijde reacties op deze cyberaanval bevestigen hoezeer verschillende groepen gebruikers zich nog steeds verbonden voelen met bibliotheken. Academici, niet-universitaire onderzoekers, studenten, schrijvers en andere bezoekers: allen kaarten ze aan hoeveel last ze ondervonden en nog steeds ondervinden. Wanneer men doorvraagt komt weliswaar aan het licht dat de noden en wensen zeer uiteenlopend zijn – de een mist vooral de toegang tot de fysieke collectie, de ander de digitale collectie, nog een ander vooral de services gericht op de organisatie en ontsluiting van kennis (ongeacht de drager), terwijl het voor een laatste groep vooral gaat om het gebruik van bibliotheekruimtes (en die laatste groep is in het geval van de cyberaanval op de British Library dus het minst getroffen) – maar allen richten ze zich tot de bibliotheek om aan die noden en wensen te voldoen.
Behoefte aan expertise
Dit is een zeer belangrijke vaststelling voor deze instellingen, waarvan het bestaan en de functie de laatste decennia met zekere regelmaat in twijfel worden getrokken. De groeiende overgang van fysieke naar digitale collecties en dienstverlening noopt tot reflectie op de optimale bestemming van bibliotheekruimtes en op efficiënt collectiebeheer. Vaak wordt echter te weinig beseft dat er ook in een digitale context onverminderd behoefte is aan bibliotheekexpertise op het vlak van selectie, ontsluiting, beheer en bewaring. Bovendien ziet men een soortgelijke discussie oplaaien binnen de context van toenemende beschikbaarheid van allerlei informatiebronnen in open access – wie heeft nog behoefte aan bibliotheken als alle informatie, gratis, voor iedereen met een internetverbinding beschikbaar is? De reactie op het niet-beschikbaar zijn van services en collecties geleverd door de British Library leert ons dat we beter twee keer nadenken voordat we die vraag beantwoorden.
Kwetsbare collecties
Velen zien in het verhaal van de cyberaanval op de British Library een herinnering aan hoe kwetsbaar bibliotheekcollecties zijn. En met reden. Dat fysieke bibliotheken precair zijn weten we al van vóór de teloorgang van de Bibliotheek van Alexandrië, de beroemdste bibliotheek uit de Oudheid die – als we de overlevering mogen geloven – meermaals vernield is geweest. In 2020 vulden Richard Ovenden en John Murray nog een heel boek met voorbeelden, getiteld Burning the Books. A History of Knowledge Under Attack, en de huidige situatie van bibliotheken in Soedan, Gaza en Oekraïne zijn een trieste bevestiging dat hierin nog niets is veranderd.
Ligt de oplossing misschien in digitale collecties? Die bieden tenminste de mogelijkheid om meer universele toegang tot informatie te realiseren en kunnen veiliger worden bewaard, onder meer doordat ze de toepassing van het LOCKSS (lots of copies keep stuff safe)-principe vergemakkelijken. Maar digitale preservatie is duur, waardoor het veel minder grondig wordt toegepast dan verondersteld, en de huidige aanpak leidt tot een verregaande afhankelijkheid van (universiteits)bibliotheken ten opzichte van profitbedrijven die het niet zo nauw nemen met privacy en academische waarden.
Technische infrastructuur
En toch leert deze cyberaanval ons een andere les. Net zoals de primaire intentie van soortgelijke cyberaanvallen op pakweg commerciële bedrijven niet is om de producten te stelen, maar eerder om de productielijn zodanig te verstoren dat het bedrijf bereid is losgeld te betalen, zijn de collecties bij een cyberaanval op bibliotheken niet het doelwit. Dit neemt niet weg dat in het bijzonder de digitale collectie bij een dergelijke aanval getroffen zou kunnen worden als die onvoldoende is beveiligd, maar dat was bij dit specifieke incident gelukkig niet het geval. De British Library heeft bevestigd dat noch de fysieke collectie, noch de digitale collectie, noch de bijhorende metadata getroffen zijn. De fysieke collectie bleef onaangeroerd, en zowel het borndigital- als het gedigitaliseerde materiaal en alle data die betrekking hebben op deze drie soorten collecties waren voldoende beveiligd. De zwakke schakel blijkt de technische infrastructuur (in dit geval computer- en communicatiesystemen) die toegang geeft tot deze informatie en waar alle bibliotheekservices en -processen van afhankelijk zijn.
Uitbesteding aan leveranciers
In een opiniestuk gepubliceerd op de blog van de London School of Economics and Political Science, kaart Simon Bowie aan dat dit tekenend is voor de devaluatie van expertise op het vlak van bibliotheeksystemen, die extra markant is binnen een universitaire context. Die devaluatie leidt onder meer tot een uitbesteding van systemen en infrastructuur aan externe leveranciers, wat niet alleen een dure oplossing is die onvoldoende veiligheid en autonomie garandeert, maar ook leidt tot allerlei ethische vraagstukken. En die zowel de reactie op een incident als de oplossing van een probleem bemoeilijkt omdat men moet vaststellen onvoldoende over inhousecapaciteit en -kennis te beschikken.
De harde boodschap is dat deze situatie er niet beter op zal worden tenzij een andere houding wordt aangenomen tegenover investeringen in infrastructuur, zowel op technologisch als op menselijk vlak. De doorslaggevende factor moet in deze context niet de kostprijs zijn, maar de autonomie en veiligheid die geboden worden – wat niet hoeft te betekenen dat iedere universiteit dan maar in een eigen oplossing moet voorzien, op voorwaarde dat er voldoende focus ligt op gedeelde normen en waarden tussen partners (wat verre van evident is als universiteiten in zee gaan met profitbedrijven).
Digitale en openaccesstoekomst
De cyberaanval op de British Library benadrukt dus niet alleen het belang van bibliotheken waarop een grote en diverse groep gebruikers hun beroep blijven doen, zelfs in een digitale en openaccesscontext. De aanval spoort beleidsmakers ook aan tot verstandige investeringskeuzes die minstens evenveel rekening houden met het waarborgen van veiligheid en autonomie als met de kostprijs. Dit in het licht van een digitale en openaccesstoekomst waarin de kwaliteit van een bibliotheek minder door de collecties wordt bepaald en meer door het niveau van de dienstverlening en de robuustheid van de gebruikte bibliotheeksystemen.
> De British Library publiceerde in maart 2024 een achttien pagina’s tellend ‘cyber incident review’ met de naam: Learning lessons from the cyber-attack. Het document kun je hier lezen.
Demmy Verbeke is hoofddocent Open Research aan de letterenfaculteit van KU Leuven en hoofd van KU Leuven Bibliotheken Artes. Hij is lid van het managementteam van de bibliotheek, doceert informatiekunde en doet onderzoek naar (open vormen van) wetenschappelijke communicatie in de geesteswetenschappen.
Deze bijdrage komt uit het digitale magazine IP #9-2024. Klik op de onderstaande button om het hele nummer te lezen.
