Je IT-dienstverlener krijgt om 2 uur 's nachts een melding: ransomware op de fileserver. Niemand weet wie er gebeld moet worden, wie de knoop mag doorhakken om systemen offline te halen en wie de klanten informeert. Tegen de tijd dat iemand dat uitzoekt, heeft de aanvaller al alle tijd gehad om bestanden te versleutelen en een berichtje achter te laten om a.u.b. in Bitcoins te betalen. Dit wil je voorkomen en daarom is een incident response plan essentieel.
En dan hoop je ook nog dat je om 2 uur 's nachts een melding krijgt, anders heb je een onaangename verassing in de ochtend.
Incident response is het proces waarmee een organisatie een beveiligingsincident detecteert, het incident inperkt/elimineert en de schade herstelt. Het NCSC omschrijft het als het geheel van acties om "snel, kalm en adequaat te reageren om schade te beperken en herstelwerkzaamheden te minimaliseren." Dit betekent tijdens een incident dus geen paniek, maar een vooraf afgesproken volgorde van stappen.
Een incident response plan (IRP) is het document waarin die stappen vastliggen: wie doet wat, in welke volgorde, en wanneer. Zonder dat document is het tijdens een incident een kwestie van improviseren. En dat is precies het moment wanneer je niet wil improviseren.
Organisaties zonder IRP reageren over het algemeen trager op beveiligingsincidenten en zijn daarmee minder goed voorbereid op deze cruciale momenten.
Elke minuut die het kost om te bepalen wie mag ingrijpen, is een minuut waarin een aanvaller zich verder door je netwerk beweegt. De eerste 60 minuten na ontdekking zijn cruciaal voor de uitkomst van de cyberaanval. In dat uur wordt beslist of een incident een geïsoleerd probleem blijft of het hele bedrijf raakt.
Wie beslist dat een server offline gaat? Wie belt de klant? Wie meldt het incident bij de Autoriteit Persoonsgegevens (AP)? Wie mag welke beslissing maken om iets wel of niet te doen? Onduidelijke verantwoordelijkheden betekent tijdens het incident improviseren. Een goede rolverdeling is dus essentieel. Om dit op te zetten kan gebruik gemaakt worden van een RASCI-matrix, waarin je aangeeft wie welke verantwoordelijkheid heeft in het geval van een beveiligingsincident.
Dit is geen abstract risico. IBM-onderzoek wijst uit dat de gemiddelde kosten van een databreach op bijna 5 miljoen dollar wereldwijd. Het grootste deel van dat bedrag zit niet in het herstellen van systemen, maar in uitvaltijd, juridische afhandeling en reputatieschade. Dit soort kosten kunnen hard oplopen wanneer bedrijven niet voorbereid zijn en chaotisch reageren op cyberaanvallen.
De meeste incident response plannen, of ze nu van Microsoft of een Nederlands MKB-bedrijf komen, zijn terug te voeren op hetzelfde model: NIST SP 800-61, de Computer Security Incident Handling Guide van het Amerikaanse National Institute of Standards and Technology. NIST onderscheidt vier hoofdfasen (voorbereiding, detectie & analyse, inperken/elimineren/herstel en evaluatie). Veel praktijkgerichte varianten, waaronder die van het SANS-framework, splitsen inperken en herstel op in aparte stappen voor meer houvast. Wij hanteren die uitgebreidere indeling zelf ook:
Deze fase is alles wat een organisatie doet voor een incident. Denk hierbij een het beveiligen van systemen en applicaties, security awareness voor medewerkers, het inrichten van centrale monitoring en uiteraard het opstellen van een incident response plan. Het beste wat je kan doen als bedrijf is je voorbereiden op een incident door het ook te oefenen. Hier wordt veelal een table-top exercise voor gebruikt, waarin je met belangrijke stakeholders om tafel zit en een situatie naspeelt waarin een incident zich voordoet.
Signalen onderscheiden van ruis. Dat betekent dat we moeten monitoren en detecteren wat belangrijk is. Wanneer we wat detecteren moet het ook geanalyseerd worden. Niet elke melding hoeft namelijk direct een cyberaanval te zijn. Hoe sneller we afwijkingen detecteren en analyseren, hoe eerder we kunnen ingrijpen.
Het getroffen systeem of de gehackte medewerker isoleren van de bedrijfssystemen, zonder de rest te raken. Dit is vaak de fase waarin de meeste chaos ontstaat als rollen niet vastliggen: iemand moet de bevoegdheid hebben om een server offline te halen, ook als dat productieverlies betekent. In deze fase is snelheid essentieel om de impact zo klein mogelijk te houden.
De dreiging daadwerkelijk verwijderen. Dit kan zijn een laptop opnieuw installeren en accounts en netwerkverbindingen herstellen naar eerdere staat. Back-ups en herstelprocedures in welke vorm dan ook zijn voor deze fase belangrijk. Als er geen back-ups zijn kan het herstellen van systemen een erg langdurig en tijdrovende taak worden na een cyberincident. In deze fase is de acute dreiging vaak geweken en is het ook belangrijk te kijken naar wat de root cause was van het incident.
Deze fase wordt het vaakst overgeslagen en juist deze fase kan je IRP beter maken. Wat ging goed, wat kostte te veel tijd, welke stap in het plan klopte niet met de praktijk? Zonder deze stap herhaal je bij het volgende incident dezelfde vertraging en fouten.
Een plan op papier lost niets op als niemand de eerste signalen ziet. Dat is waar Managed Detection and Response (MDR) het verschil maakt: het dekt precies de fases waar de meeste tijd verloren gaat.
Bij Peakproteqt draait dat tijdens en buiten kantooruren. Je omgeving wordt continu gemonitord en bij een concrete dreiging grijpt ons team binnen 10 minuten in, niet pas de volgende ochtend als iemand toevallig een dashboard opent. Daarnaast kun je zelf ook meekijken via ons MDR-dashboard. Tijdens periodieke CyberCheck-In-gesprekken bespreken we wat er speelde en of je plan nog klopt met de praktijk. De evaluatiefase zit ingebakken in de dienst in plaats van een taak die erbij komt.
