Incident response: draaiboek en beslissingen
Incident response is het verschil tussen een incident dat een dag kost en een incident dat weken doorloopt. Het draait om beslissingen nemen terwijl de informatie nog onvolledig is: welk systeem gaat eruit, wie wordt gebeld, wat mag naar buiten en welke termijnen lopen er al.
Vier fasen
Voorbereiding: rollen, contactgegevens, mandaat en een geoefend draaiboek. Dit is de fase waarin je de meeste tijd wint. Detectie en analyse: vaststellen wat er gebeurt, hoe ver het reikt en sinds wanneer. Indammen en herstellen: toegang afsluiten, de ingang dichten en schoon opbouwen. Nazorg: evaluatie, aanpassingen en het afronden van meldingen.
De fasen lopen door elkaar heen. Herstellen terwijl de aanvalsroute nog openstaat leidt tot een tweede ronde, dus de volgorde binnen fase drie ligt vast: eerst de ingang, dan het herstel.
Wat vooraf geregeld moet zijn
Een contactlijst buiten je netwerk
Namen en nummers van directie, IT, verzekeraar en responspartij, beschikbaar zonder inlog. Een lijst in de omgeving die plat ligt, helpt niemand.
Communicatie langs een ander kanaal
Bij een aanvaller in de mailbox leest die mee met het crisisoverleg. Spreek vooraf een alternatief kanaal af, zoals telefoon of een aparte berichtenapp.
Mandaat om af te sluiten
Leg vast wie op elk moment mag besluiten om een systeem of vestiging van het netwerk te halen. Zonder dat besluitrecht gaat er kostbare tijd op aan overleg.
Afspraken met een responspartij
Een raamcontract met vastgelegde reactietijd voorkomt dat je bij een grote uitbraak achteraan in de rij staat. Regel dit voordat je het nodig hebt.
Polisvoorwaarden kennen
Cyberverzekeraars vragen vaak om melding binnen een korte termijn en om toestemming vooraf voor het inschakelen van specialisten. Wie dat overslaat, riskeert de dekking.
Back-ups die je kunt vertrouwen
Een herstelplan werkt alleen met een geteste, losgekoppelde kopie. Zie ransomware voor de inrichting daarvan.
Wie doet wat tijdens een incident
Incidentleider
Bewaakt het overzicht, neemt besluiten en houdt de tijdlijn bij. Deze rol schrijft geen scripts en leest geen logs, anders verdwijnt het overzicht.
Technisch onderzoek
Stelt vast wat er is gebeurd, stelt bewijs veilig en zoekt de ingang. Werkt met kopieën, zodat het origineel bruikbaar blijft voor later onderzoek.
Communicatie
Informeert medewerkers, klanten en leveranciers. Eén afzender voorkomt tegenstrijdige berichten en geruchten op sociale media.
Juridisch en meldingen
Bewaakt de termijnen richting toezichthouders, verzorgt aangifte en beoordeelt contractuele verplichtingen richting klanten.
Welke klokken gaan lopen
Bij een incident lopen meerdere termijnen tegelijk, elk met een eigen ontvanger.
- 24 uur: vroegtijdige waarschuwing bij het CSIRT en de sectorale toezichthouder, voor organisaties onder de Cyberbeveiligingswet.
- 72 uur: melding bij de Autoriteit Persoonsgegevens zodra persoonsgegevens betrokken zijn. Zie datalek melden.
- Onverwijld: informeren van betrokkenen bij een hoog risico, en van klanten wanneer je contract dat voorschrijft.
- Polisvoorwaarden: melding bij de verzekeraar, vaak binnen 24 tot 48 uur.
Meld met de kennis van dat moment en vul later aan. Wachten op een volledig beeld kost de termijn.
De eerste 24 uur in vier stappen
Reikwijdte en doel bepalen
We brengen in kaart welke systemen, data en processen onder de incidentaanpak vallen. We bepalen kritieke bedrijfsprocessen, rollen, contactpunten en communicatielijnen, zodat tijdens een incident duidelijk is wie wat doet en welke doelen gelden.
Analyse van risico’s en inrichting
We onderzoeken waar de grootste kwetsbaarheden zitten en hoe incidenten zich kunnen ontwikkelen. Denk aan toegang, logging, back-ups en detectie. Op basis van kans en gevolg maken we een praktisch incident response plan dat past bij je omgeving en aansluit op de eisen uit de AVG en de Cyberbeveiligingswet (NIS2).
Maatregelen en beheer starten
We richten technische en organisatorische maatregelen in om incidenten sneller te signaleren en beheerst af te handelen. Duidelijke escalatieprocedures, monitoring en periodieke tests zorgen dat de organisatie paraat is en dat schade beperkt blijft.
Controle en bijsturing
Na incidenten en periodiek toetsen we of procedures werken in de praktijk en waar bijsturing nodig is. Draaiboeken worden aangepast op basis van evaluaties, nieuwe dreigingen en wijzigingen in je omgeving. Zo blijft de incidentaanpak actueel en werkbaar.
Een draaiboek dat je hebt getest
Een oefening aan tafel kost een dagdeel en levert meer op dan het draaiboek zelf. Neem een scenario, laat het onaangekondigd starten en loop het stap voor stap door met directie, IT en communicatie samen.
Wat daarbij standaard aan het licht komt: contactgegevens die verouderd zijn, onduidelijkheid over wie mag besluiten tot afsluiten, en de aanname dat een back-up binnen enkele uren terugstaat. Toets die laatste aanname apart met een echte hersteltest.
Fouten die de schade vergroten
Systemen te vroeg opruimen. Wie meteen opnieuw installeert, wist het bewijs dat nodig is om de ingang te vinden. Zonder die kennis blijft de route open.
Alleen wachtwoorden resetten. Gestolen sessietokens blijven daarna geldig. Trek actieve sessies in en controleer op nieuwe doorstuurregels en app-wachtwoorden.
Te lang wachten met melden. De termijn van 24 uur loopt door tijdens het onderzoek. Een eerste melding met beperkte informatie is toegestaan en gebruikelijk.
Overleggen via het gehackte kanaal. Crisisoverleg in dezelfde mailomgeving geeft de aanvaller inzicht in je stappen.
Hulp nodig? Bekijk het overzicht met incident response bedrijven, met per aanbieder of er een 24/7-hotline is.