Een gehackt e-mailaccount, een ransomware-aanval of een laptop die in de trein blijft liggen: elk bedrijf kan te maken krijgen met een beveiligingsincident. Het verschil tussen een vervelende dag en een week stilstand zit vaak in de voorbereiding. Een incidentplan legt vooraf vast wie wat doet, zodat u onder druk niet hoeft te bedenken wie u moet bellen of welke stappen eerst komen. Zo’n plan hoeft niet dik te zijn. Voor een mkb-bedrijf is een paar pagina’s vaak genoeg.
In het kort
- Leg vast wie beslist, wie uitvoert en wie communiceert.
- Zet contactgegevens en eerste stappen op papier, niet alleen digitaal.
- Oefen het plan en werk het bij na elk incident.
Stap 1: bepaal wat een incident is
Spreek af wanneer u van een incident spreekt en wanneer het plan in werking treedt. Voorbeelden zijn:
- een geslaagde inlogpoging door een onbekende;
- versleutelde bestanden of een losgeldbericht op het scherm;
- een verloren of gestolen apparaat met bedrijfsgegevens;
- een melding van een klant dat er vreemde mails uit uw naam worden verstuurd;
- persoonsgegevens die per ongeluk naar de verkeerde ontvanger zijn gestuurd.
Maak ook duidelijk dat medewerkers bij twijfel altijd melden. Een melding die achteraf onschuldig blijkt, kost weinig. Een incident dat te laat wordt opgemerkt, kost veel.
Stap 2: wijs rollen toe
Bepaal wie de leiding heeft bij een incident, wie de technische kant oppakt en wie contact houdt met medewerkers, klanten en eventueel de toezichthouder. Bij een kleine organisatie kan één persoon meerdere rollen hebben, zolang maar duidelijk is wie wat doet. Wijs voor elke rol ook een vervanger aan, voor als iemand op vakantie is.
Heeft u uw IT uitbesteed, leg dan vast wat u van uw IT-partner verwacht. Is die partner ’s avonds en in het weekend bereikbaar? Hoe snel kan er iemand aan de slag? Dat zijn vragen die u liever niet voor het eerst stelt tijdens een incident.
Stap 3: leg de eerste stappen vast
Beschrijf de eerste handelingen in eenvoudige taal, zodat ook iemand zonder IT-kennis ze kan uitvoeren. Bijvoorbeeld:
- Koppel een besmet apparaat los van het netwerk, maar zet het niet uit. Zo blijven sporen bewaard.
- Wijzig wachtwoorden van getroffen accounts, vanaf een ander apparaat.
- Bewaar berichten, schermafbeeldingen en meldingen als bewijs.
- Betaal niet zomaar losgeld en ga niet zelf in gesprek met de aanvallers.
- Bel uw IT-partner en de verantwoordelijke binnen uw organisatie.
Houd deze lijst kort. In de eerste minuten gaat het om het beperken van de schade, niet om het oplossen van het probleem.
Stap 4: zorg voor contactgegevens
Zet de telefoonnummers van uw IT-partner, uw verzekeraar, de interne contactpersonen en eventueel een jurist in het plan. Bewaar een geprinte versie op kantoor en bij de verantwoordelijken thuis. Bij een aanval kunnen juist uw digitale systemen, inclusief e-mail en gedeelde mappen, onbereikbaar zijn.
Heeft u een cyberverzekering, kijk dan wat die verwacht. Sommige verzekeraars willen direct op de hoogte worden gebracht en hebben een eigen meldlijn of incidentteam.
Stap 5: herstel, meld en leer
Na het eerste blussen volgt het herstel. Vaak betekent dat systemen opnieuw inrichten en gegevens terugzetten vanuit een back-up. Hier blijkt of uw back-up op orde is: een back-up die nooit is getest, kan tegenvallen.
Controleer ook of u het incident moet melden. Zijn er persoonsgegevens gelekt, dan kan een melding bij de Autoriteit Persoonsgegevens verplicht zijn, en soms moet u ook de betrokkenen informeren. Leg vast wie die afweging maakt en hoe snel dat moet gebeuren. Doe daarnaast aangifte bij de politie als er sprake is van een misdrijf.
Bespreek achteraf wat goed ging en wat beter kan, en pas het plan daarop aan. Elk incident, ook een klein, levert lessen op.
Oefen het plan
Een plan dat in een la ligt, helpt weinig. Loop het minstens één keer per jaar door met de betrokkenen, bijvoorbeeld aan de hand van een scenario: “Maandagochtend zijn alle bestanden op de server versleuteld. Wat doen we?” Zo’n oefening van een uur laat snel zien waar het plan nog gaten heeft.
Veelgestelde vragen
Moet een klein bedrijf echt een incidentplan hebben?
Juist kleine bedrijven hebben er veel aan, omdat er geen IT-afdeling is die het overneemt. Een plan van een paar pagina’s met namen, telefoonnummers en eerste stappen is al een grote verbetering.
Moet ik losgeld betalen bij ransomware?
Betalen is geen garantie dat u uw gegevens terugkrijgt, en het financiert verdere aanvallen. Overleg altijd eerst met uw IT-partner, uw verzekeraar en de politie. Een goede back-up is de beste manier om niet voor deze keuze te staan.
Wanneer moet ik een datalek melden?
Als er persoonsgegevens zijn gelekt en dat een risico vormt voor de betrokkenen, moet dat in de regel binnen 72 uur na ontdekking worden gemeld bij de Autoriteit Persoonsgegevens. Leg ook incidenten vast die u niet hoeft te melden.