Cyberweerbare bedrijven improviseren niet!

De eerste 24 uur na een cyberincident zijn cruciaal. Cyberweerbare organisaties weten dit en zijn hierop voorbereid. Ze gebruiken die eerste uren om een plan uit te voeren dat al eerder is gemaakt en dus klaarligt. Een plan bovendien dat regelmatig is getest en wordt geoefend! Cyberweerbare bedrijven kunnen cyberincidenten goed doorstaan, omdat ze ruim voordat een incident überhaupt plaatsvindt, de volgende zaken hebben geregeld:

1) Er is een beproefd incidentresponsplan

Vooraf is bepaald wie de leiding neemt bij een incident: wie start het incidentresponsplan op. Een beproefd plan dat regelmatig met de direct betrokkenen is geoefend!. Géén dik rapport in een lade, maar een praktisch draaiboek, waarvan ook een hard copy beschikbaar is. Je moet er namelijk vanuit gaan dat alle IT-systemen zijn uitgevallen. In het draaiboek zelf staat duidelijk: wat doen we in de eerste dertig minuten, het eerste uur, de eerste dag? Welke systemen zijn kritisch? Waar zijn de back-ups? Wie is de contactpersoon bij de IT-partner, directie, verzekeraar en eventueel ander belanghebbenden? Cyberweerbare bedrijven bepalen dit niet terplekke, tijdens de stress van het incident. Zij kunnen vertrouwen op een uitvoerig getest en regelmatig geoefend incidentresponsplan!

2) Er zijn betrouwbare, up-to-date back-ups

Bij een cyberweerbaar bedrijf liggen de back-ups op een veilige locatie. Bovendien hanteren ze altijd de 3-2-1-regel: dit betekent dat er altijd drie back-ups zijn, 3 kopieën. Deze drie kopieën zijn op 2 verschillende media opgeslagen. Bijvoorbeeld digitaal en als hard copy, of 2x digitaal maar dan volledig van elkaar gescheiden op verschillende gegevensdragers. Tenslotte wordt 1 één back-up altijd buiten het bedrijf, off-site, bewaard. Dus wanneer alles door bijvoorbeeld brand verwoest wordt, is er elders een back-up beschikbaar. Zeker ook handig bij cyberincidenten: met een back-up die buiten het bedrijf is opgeslagen, kan er actie kan worden genomen los van de feitelijke bedrijfslocatie. Tenslotte worden alle back-ups regelmatig getest of de informatie nog steeds inzetbaar is!

3) Er werken cyber-alerte medewerkers die weten wat te doen

Een cyberweerbare organisatie heeft alerte medewerkers! Techniek kan veel opvangen, maar de reactie van mensen bepaalt hoe snel een incident wordt herkend, gemeld en ingedamd. Een medewerker die goed is opgeleid en voorbereid op cyberincidenten, maakt het verschil bij incidenten. Hij of zij is namelijk je eerste alarm en je snelste reactie! Het (vooraf en continu) cyber-alert maken van je medewerkers, is heel belangrijk. En dit doe je niet door één keer per jaar een training te geven of met e-learning modules, maar met een programma dat bewezen gedragsverandering tot gevolg heeft.

Wat een cyberweerbaar bedrijf in de eerste 24 uur doet

Onderstaande aanpak is een beschrijving van hoe goed voorbereide organisaties handelen: rustig, methodisch en effectief. Het is zeker niet bedoeld als noodscenario voor wie niets heeft geregeld. Daarvoor is het dan te laat…

Direct na ontdekking van een cyberincident. Een cyberweerbaar bedrijf weet dat je niet alle IT-systemen direct moet uitzetten, niet herstarten, niet verwijderen. Dus niet in paniek handelen. Wel is het belangrijk het besmette systeem direct te isoleren van het netwerk. Wat van de cyberaanval zichtbaar is, wordt gedocumenteerd: tijdstip, meldingen, betrokken apparaten. Dat klinkt simpel maar het is belangrijk voor de latere analyse en de claim voor de verzekering. Rustig blijven, methodisch handelen, lukt alleen als medewerkers vooraf weten dat dit de procedure is. Wie dit voor het eerst bedenkt op het moment zelf, doet het door de stress altijd fout.

Binnen het eerste uur. De IT-partner of beveiligingsdienst wordt ingeschakeld; niet om de situatie uit te leggen, maar om samen een vastgesteld protocol uit te voeren. De directie wordt geïnformeerd. Intern wordt rustig maar duidelijk gecommuniceerd: wat medewerkers wel en niet mogen doen met hun apparatuur. Gelukkig is dit vooraf vastgelegd.

Binnen de eerste dag. Parallel aan het technisch herstel lopen de juridische en operationele stappen. Is er een kans dat er persoonsgegevens zijn geraakt en valt jouw bedrijf onder de nieuwe Cyberbeveiligingswet (NIS2), dan geldt de 24-uursmeldplicht bij de Autoriteit Persoonsgegevens, een verplichting onder de AVG die cyberweerbare bedrijven kennen en op tijd nakomen. Zie ook ons eerdere artikel. Valt jouw bedrijf niet onder de Cyberbeveiligingswet maar zijn er wel persoonsgegevens in het geding: dan geldt de meldplicht binnen 72 uur. De verzekeraar wordt ingelicht indien er een cyberpolis is. Bij ransomware of fraude wordt aangifte gedaan. Er wordt bewust bewijsmateriaal bewaard voor later onderzoek.

Hieronder kort de acties en maatregelen die een cyberweerbaar bedrijf neemt in de eerste 24 uur na een cyberincident: • Direct: besmette systeem isoleren; niet uitzetten of herstarten

• Direct: situatie documenteren (tijdstip, schermfoto, betrokken systemen)

• Binnen 30 minuten: IT-partner inschakelen via een vastgesteld protocol

• Binnen 1 uur: de directie informeren; intern rustig communiceren

• Zo snel mogelijk: back-ups controleren; zijn ze intact en niet ook besmet?

• Zo snel mogelijk: verzekeraar informeren (als cyberpolis aanwezig is)

• Binnen 24 (of 72 uur): datalek melden bij de Autoriteit Persoonsgegevens (AVG-verplichting, ook bij onzekerheid)

• Indien van toepassing: aangifte doen bij de politie (ransomware, CEO-fraude, diefstal)

Na het cyberincident: leren en versterken

Vanzelfsprekend gaan getroffen bedrijven z.s.m. aan de slag met het herstellen van de schade, vaak een intensieve en langdurige operatie. En als de schade hersteld is, is het werk nog niet gedaan. Want een cyberweerbare organisatie beschouwt een incident niet alleen als schade, maar ook als informatie. Na het herstel volgt altijd een evaluatie, op de onderstaande punten:

• Hoe is de aanvaller binnengekomen? Via een medewerker, een leverancier, of via een kwetsbare applicatie?

• Welke systemen waren geraakt en welke niet, welke verschillen zien we?

• Waren de gemaakte back-ups (goed) bruikbaar? Hoelang duurde het herstel?

• Is de communicatie, intern en extern, goed en conform plan verlopen?

• Wat werd er toch anders gedaan dan dat in het plan was voorzien?

• Moet ons incidentresponsplan (op onderdelen) alsnog worden herzien?*

Het uitvoeren van een grondige evaluatie raakt de kern van cyberweerbaarheid: niet alleen overleven maar snappen dat je ondanks alle maatregelen nog steeds kwetsbaar bent. Anticiperen, leren en sterker worden.

Het verschil tussen cybersecurity en cyberweerbaarheid

Cybersecurity gaat over beschermen, vaak over technische zaken: firewalls, antivirussoftware, sterke wachtwoorden, patches. Allemaal noodzakelijk, maar in de praktijk niet voldoende. Want zelfs de best beveiligde organisaties worden soms geraakt, zeker omdat cyberaanvallen (mede door AI) steeds geavanceerder worden. Cyberweerbaarheid gaat een stap verder. Naast dat de cybersecurity op orde is, is er nagedacht over wat te doen als het toch misgaat? Een cyberweerbare organisatie heeft dus niet alleen de deuren goed op slot: ze weet ook wat ze doet als er via een cyberaanval toch iemand binnenkomt!

Conclusie: aan cyberweerbaarheid bouw je vóórdat het misgaat

De vraag is niet óf jouw organisatie ooit te maken krijgt met een cyberincident. De vraag is of je er klaar voor bent. Cyberweerbare bedrijven weten dit, ze wachten niet tot het misgaat, ze regelen zaken vóórdat het misgaat. Nog even in het kort:

• Er is een incidentresponsplan dat iedereen kent en dat regelmatig wordt geoefend.

• Er zijn betrouwbare back-ups op een veilige locatie (3-2-1-regel: 3 kopieën, op 2 verschillende media vastgelegd, waarvan 1 off-site, buiten het bedrijf).

• Er werken medewerkers die zijn voorbereid om aanvallen te herkennen en te melden.

Bouw nu al aan je eigen cyberweerbaarheid. Wil je weten hoe jouw bedrijf ervoor staat? Met een CyberCheck van Securide breng je in kaart hoe cyberweerbaar jouw organisatie nu is: er wordt gekeken naar techniek, processen, mensen én leiderschap. Je krijgt concrete aanbevelingen om zaken tijdig te verbeteren. Zodat jij weet wat je doet als het er écht op aankomt. Meer weten? Kijk op securide.nl of neem contact op voor een vrijblijvend gesprek.