Deze pagina hoort bij onze gids voor het opstellen van een incident response plan en werkt stap 7 uit: de checklist voor het eerste uur en een playbook voor elk van vijf veelvoorkomende incidenten. De gids over de inhoud van het plan behandelt de rollen, escalatie en ernstniveaus waar deze playbooks op steunen.
Een checklist voor het eerste uur
Het eerste uur bepaalt alles wat volgt. Zie deze lijst als punten om mee te beginnen, niet als vaste volgorde. Inperking kan in de eerste minuten nodig zijn, terwijl het veiligstellen van bewijs en de meldtoets tegelijk lopen, en sommige punten duren ruim langer dan een uur. Sla over wat niet past bij het incident dat voor u ligt; het is de taak van de incidentleider om ervoor te zorgen dat elk item dat van toepassing is, een eigenaar heeft.
- Start het beslissingslogboek: wanneer het incident werd opgemerkt, wie het heeft gemeld en wat ze hebben gezien
- Benoem de incidentleider en bevestig wie diens plaatsvervanger is
- Wijs een eerste ernstniveau toe, wetende dat dit kan veranderen
- Verplaats het responsteam naar het out-of-band kanaal als e-mail, chat of single sign-on mogelijk gecompromitteerd is, en bevestig daar de identiteit van elke persoon
- Perk in zonder bewijs te vernietigen: koppel de getroffen systemen los van het netwerk in plaats van ze uit te schakelen of te wissen
- Bewaar logbestanden die snel worden overschreven, zoals logs van firewalls, VPN's, identiteitsproviders, e-mailaudits en endpointdetectie
- Bescherm de back-ups: bevestig dat ze offline of onveranderlijk zijn en sluit de netwerktoegang tot het back-upsysteem af als dat mogelijk gecompromitteerd is
- Bel de incidentenlijn en juridisch adviseur van uw cyberverzekeraar; veel polissen vereisen dat u de verzekeraar inlicht voordat u externe responders inschakelt
- Als het om persoonsgegevens gaat, noteer dan het moment waarop u ervan op de hoogte raakte en start de meldtoets
- Informeer de verantwoordelijk bestuurder: wat bekend is, wat niet, wat er is gedaan en wanneer de volgende update moet plaatsvinden
Playbooks per type incident
Het plan geeft de structuur; playbooks behandelen scenario's. Het plan zegt welk proces mensen volgen, het playbook wat ze doen bij dit type incident. Schrijf playbooks voor de incidenttypen die voor uw organisatie het meest relevant zijn. Deze vijf dekken de scenario's waar de meeste organisaties mee te maken krijgen.
Ransomware
Detectie-indicatoren (wijzigingen in bestandsextensies, massale bestandstoegangsgebeurtenissen, losgeldberichten, pogingen om back-ups te verwijderen). Onmiddellijke isolatiestappen: koppel de betrokken systemen los van het netwerk zonder ze uit te schakelen wanneer forensische bewaring vereist is. Controleer de integriteit van de back-up en het herstelpunt voordat u doorgaat. Stel vast of gegevens vóór de versleuteling zijn gekopieerd, omdat veel ransomwaregroepen nu ook gegevens stelen, wat zowel de meldingsbeoordeling als het afpersingsrisico verandert. Herstel naar een omgeving waarvan bekend is dat deze schoon is, en niet naar systemen die mogelijk nog steeds tools van aanvallers bevatten. Schakel juridisch advies en een cyberverzekeraar in vóór elke externe communicatie of betalingsbeslissing. Bepaal of er een meldplicht ontstaat (zijn persoonsgegevens ingezien, gekopieerd of versleuteld?). Zorg voor een schoon communicatiekanaal buiten de getroffen omgeving. Het besluit over losgeld hoort een vast proces te volgen met juridisch adviseur, verzekeraar en directie, en geen snelle beslissing onder druk te zijn.
Business email compromise en omgeleide betalingen
Als er een frauduleuze betaalopdracht wordt ontdekt, neem dan onmiddellijk contact op met de verzendende bank. Veel banken hebben procedures om frauduleuze betalingen terug te halen, waarmee binnen enkele uren geld kan worden teruggevorderd als er contact wordt opgenomen voordat de ontvangende rekening is leeggemaakt. Bewaar al het e-mailbewijs, inclusief headers, voordat u accounts opnieuw instelt. Stel vervolgens het wachtwoord opnieuw in, trek actieve sessies in en vernieuw tokens, en controleer de geregistreerde MFA-methoden, omdat aanvallers vaak hun eigen methoden toevoegen; als er een vermoeden bestaat dat er sprake is van een compromittering, verwijder deze dan en laat de gebruiker zich opnieuw registreren. Bepaal of er andere accounts bij betrokken waren, of er doorstuur- of inboxregels zijn ingesteld en of er OAuth-applicaties toegang hebben gekregen. Informeer betrokken partijen zoals leveranciers of klanten als het om hun gegevens of betalingen gaat.
Datalek
Een datalek is breder dan diefstal. Het gaat onder meer om persoonlijke gegevens die naar de verkeerde persoon worden verzonden, een verloren of gestolen laptop, gegevens die zonder toestemming worden gewijzigd of verwijderd, en gegevens die niet beschikbaar zijn, bijvoorbeeld wanneer ransomware de enige kopie versleutelt. Breng de betrokken gegevens in kaart: welke categorieën, hoeveel personen, welke periode. Beoordeel het risico voor die personen. Bepaal of u een toezichthouder voor gegevensbescherming op de hoogte moet stellen, en welke. Volgens de AVG moet de melding de toezichthouder binnen 72 uur na kennisname bereiken; andere landen stellen verschillende klokken in, hieronder samengevat. Bij een hoog risico moet u ook de betrokkenen zelf informeren. Bewaak de bewijsketen. Documenteer het besluitvormingsproces, ook bij lekken die u niet hoeft te melden; toezichthouders verwachten deze documentatie.
Gecompromitteerd account
Voordat u het account weer in gebruik neemt, moet u het wachtwoord opnieuw instellen, alle actieve sessies intrekken en tokens vernieuwen, en de MFA-methoden verwijderen en opnieuw registreren waarbij wordt vermoed dat er sprake is van compromittering. Na alleen een wachtwoordreset kunnen bestaande sessies blijven werken. Controleer alle acties die door het gecompromitteerde account zijn ondernomen tijdens de periode van compromittering: verzonden e-mails, geopende bestanden, gewijzigde machtigingen, gemaakte regels, geautoriseerde applicaties. Controleer op regels voor het doorsturen van e-mail, nieuwe beheerdersaccounts en bevoorrechte roltoewijzingen, OAuth-toestemmingsverleningen aan verbonden applicaties, wijzigingen in federatie-instellingen of vertrouwde domeinen, en wijzigingen in authenticatie of beleid voor voorwaardelijke toegang. Een gecompromitteerd account dat wordt gebruikt om elders blijvende toegang te verlenen, wordt bij herstel het vaakst gemist.
Hack of storing bij een leverancier
Enkele van de meest ontwrichtende incidenten beginnen buiten uw netwerk. Uw managed service provider wordt gehackt, een cloudplatform ligt twee dagen plat, of een foute update van een beveiligingsleverancier legt uw laptops lam, zoals de CrowdStrike-update deed op miljoenen Windows-machines op 19 juli 2024. Toen ransomware in juni 2024 de pathologiedienst van Synnovis trof, hebben de Londense NHS-trusts die erop vertrouwden, duizenden afspraken en operaties uitgesteld. U kunt geen systemen onderzoeken die niet van u zijn, en de logs ziet u misschien nooit. Daarom gaat dit playbook over de beslissingen die wel bij u liggen. Per kritieke leverancier beantwoordt het drie vragen: hoe weten we dat, wat schakelen we uit en hoe blijven we operationeel?
Bevestig het incident via een contactpersoon die u al heeft, niet via een nummer of link in de waarschuwing zelf; aanvallers doen zich voor als leveranciers. Stel daarna vast of de leverancier gehackt is of alleen offline is zonder tekenen van compromittering, want die twee situaties vragen om andere maatregelen.
Als de leverancier is gehackt en toegang heeft tot uw omgeving, beslis dan snel of u die toegang afsluit. Schakel de tools voor externe toegang en VPN-accounts uit, schort integraties en API-verbindingen op en vervang wachtwoorden of sleutels die de leverancier in bezit heeft. De tool voor extern beheer van een MSP bereikt elke machine die hij beheert, dus behandel een gehackte MSP als een mogelijke inbreuk op uw eigen netwerk. Ga na welke gegevens de leverancier van u bewaart of verwerkt en of dit persoonsgegevens zijn.
Ligt de leverancier plat zonder tekenen van compromittering, dan levert het afsluiten van de toegang weinig op en kan het zijn herstel en het uwe vertragen. Behoud de verbinding, houd deze in de gaten en ga over op de oplossing die u vooraf hebt afgesproken (een handmatig proces, een tweede leverancier of een verminderde service). Vertel het personeel in beide gevallen wat er voor hen verandert.
Vraag de leverancier schriftelijk wat er wanneer is gebeurd, welke van uw systemen en gegevens zijn getroffen en op welke indicatoren van compromittering u moet letten. Registreer elk verzoek en elk antwoord. Op grond van de AVG moet een verwerker u zonder onnodige vertraging op de hoogte stellen van een datalek, maar de beslissing om dit aan de toezichthouder te melden ligt bij u als verwerkingsverantwoordelijke, en uw 72 uur lopen vanaf het moment dat u op de hoogte raakt van het datalek. Meestal zet het rapport van de leverancier die klok op gang, maar een nieuwsbericht, een klacht van een klant of uw eigen monitoring kunnen er eerder mee beginnen. Beoordeel dus meteen en leg vast wanneer en hoe u er voor het eerst van hoorde. De Braziliaanse LGPD verdeelt de verplichtingen op dezelfde manier. Als de leverancier traag is met het delen van details, meld dan op tijd met wat u weet en vul later aan. Onze gids over ketenbeveiliging behandelt de contractvoorwaarden en toegangscontroles die het gebruik van dit playbook eenvoudiger maken.
Bent u zelf leverancier, dan geldt omgekeerd hetzelfde. In uw klantencontracten en gegevensverwerkingsovereenkomsten kunnen meldtermijnen korter zijn dan bij welke toezichthouder dan ook. Zet die termijnen, de contactpersonen bij klanten en wie beslist wat de klant te horen krijgt in het plan.
