Wat zijn de eerste stappen na een cyberaanval?

De eerste stappen na een cyberaanval zijn: isoleer getroffen systemen, stel een responseteam samen, breng betrokkenen op de hoogte en documenteer alles wat je ziet. Hoe sneller je handelt, hoe kleiner de schade. Dit geldt voor organisaties van elke omvang, van kleine zorginstelling tot grote ICT-dienstverlener. De vragen hieronder helpen je stap voor stap door het herstelproces.

Hoe beperk je de schade direct na een cyberaanval?

Direct na een cyberaanval is het belangrijkste doel: verdere verspreiding voorkomen. Isoleer getroffen systemen onmiddellijk van het netwerk, zonder ze uit te zetten. Uitschakelen kan forensisch bewijs vernietigen dat later nodig is om te begrijpen wat er precies is gebeurd. Koppel netwerkkabels los of schakel de wifi uit, maar laat de apparaten aan staan.

Naast isolatie zijn er nog een aantal directe acties die de schade beperken:

• Verander wachtwoorden van kritieke accounts, te beginnen bij beheerdersaccounts en e-mailaccounts.
• Blokkeer verdachte toegang door actieve sessies te beëindigen en onbekende gebruikers uit systemen te verwijderen.
• Schakel tweefactorauthenticatie in op accounts waar dat nog niet het geval is.
• Maak een momentopname van logbestanden, foutmeldingen en andere zichtbare indicatoren van de aanval.
• Stop geen normale bedrijfsprocessen die niet zijn aangetast, zodat de impact op de organisatie beheersbaar blijft.

Paniek is begrijpelijk, maar overhaaste beslissingen maken de situatie vaak erger. Een rustige, gestructureerde aanpak in de eerste minuten bepaalt in grote mate hoe snel je de controle terugkrijgt. Organisaties die vooraf een ISO 27001-managementsysteem hebben ingericht, beschikken doorgaans al over een vastgelegd incident response plan dat in dit soort situaties direct houvast biedt.

Wie moet je als eerste waarschuwen na een cyberincident?

Na een cyberincident waarschuw je als eerste de interne verantwoordelijken: de IT-beheerder of Security Officer, het management en de functionaris gegevensbescherming (FG) als er persoonsgegevens betrokken zijn. Daarna volgen externe partijen, afhankelijk van de aard van het incident. Wacht niet tot je het volledige beeld hebt, want vroeg informeren voorkomt dat anderen onbewust bijdragen aan verdere verspreiding.

Interne meldplicht

Zorg dat het management direct op de hoogte is, ook als de situatie nog onduidelijk is. Zij moeten beslissingen kunnen nemen over communicatie, continuïteit en eventuele juridische stappen. De Security Officer of CISO coördineert de technische respons en houdt het overzicht.

Externe meldplicht

Als bij het incident persoonsgegevens zijn gelekt of mogelijk zijn blootgesteld, ben je wettelijk verplicht dit binnen 72 uur te melden bij de Autoriteit Persoonsgegevens. Dit volgt uit de AVG. Vergeet ook niet:

• Je cyberverzekeraar, als je die hebt.
• Getroffen klanten of partners, als hun gegevens zijn betrokken.
• Het NCSC (Nationaal Cyber Security Centrum) bij ernstige incidenten in vitale sectoren.
• Toezichthouders in gereguleerde sectoren, zoals de IGJ in de zorg.

Een functionaris gegevensbescherming speelt in dit proces een sleutelrol: hij of zij beoordeelt of er een meldplicht geldt en begeleidt de communicatie richting de toezichthouder.

Hoe stel je vast wat er precies is aangevallen?

Om te bepalen wat er precies is aangevallen, voer je een forensisch onderzoek uit op de getroffen systemen. Dit houdt in dat je logbestanden analyseert, kijkt welke accounts actief waren, welke bestanden zijn benaderd of gewijzigd, en via welk toegangspunt de aanvaller is binnengekomen. Dit proces heet ook wel een incidentanalyse of forensische analyse.

De belangrijkste vragen die je in deze fase beantwoordt:

• Welk systeem of welke systemen zijn gecompromitteerd?
• Welke gegevens zijn mogelijk ingezien, gekopieerd of versleuteld?
• Hoe lang heeft de aanvaller toegang gehad?
• Via welk kanaal is de aanval binnengekomen (phishing, kwetsbaar systeem, gestolen wachtwoord)?
• Zijn er nog actieve bedreigingen aanwezig in het netwerk?

Laat dit onderzoek bij voorkeur uitvoeren door iemand met forensische kennis, intern of extern. Doe dit voordat je systemen herstelt of herstart, want herstel overschrijft bewijsmateriaal. Een gestructureerde risicoanalyse, zoals die onderdeel is van een goed ingericht informatiebeveiligingsmanagementsysteem, helpt ook achteraf om te begrijpen welke kwetsbaarheden zijn misbruikt.

Wanneer is het veilig om systemen te herstellen?

Systemen herstel je pas als je zeker weet dat de aanvaller geen toegang meer heeft, alle kwetsbaarheden zijn gedicht en je een schone back-up beschikbaar hebt. Herstel je te vroeg, dan loop je het risico dat malware of een achterdeur nog actief is en de aanval zich herhaalt.

Doorloop de volgende stappen voordat je tot herstel overgaat:

1. Bevestig dat de aanvaller niet meer actief is in het netwerk, op basis van loganalyse en monitoring.
2. Identificeer en verwijder de oorzaak, zoals malware, een kwetsbare plugin of een gelekt wachtwoord.
3. Patch alle bekende kwetsbaarheden voordat systemen weer online gaan.
4. Herstel vanuit een betrouwbare back-up die dateert van voor de aanval en zelf niet is aangetast.
5. Test het systeem in een gecontroleerde omgeving voordat het weer beschikbaar is voor gebruikers.
6. Monitor intensief in de eerste dagen na herstel op verdachte activiteit.

Haast is de vijand van veilig herstel. Een te snelle terugkeer naar normaal vergroot het risico op een tweede incident aanzienlijk. Organisaties met een gedocumenteerd onderhoud en beheer van hun ISMS weten precies welke systemen kritiek zijn en in welke volgorde herstel moet plaatsvinden.

Hoe voorkom je dat dezelfde aanval zich herhaalt?

Na een cyberaanval voorkom je herhaling door de oorzaak structureel weg te nemen, medewerkers te trainen en je beveiligingsmaatregelen te evalueren en aan te scherpen. Een eenmalige technische fix is niet genoeg: informatiebeveiliging vereist een organisatiebrede aanpak die techniek, processen en mensen combineert.

Concrete maatregelen om herhaling te voorkomen:

• Voer een grondige evaluatie uit van het incident: wat ging er mis en waarom?
• Verbeter toegangsbeheer door het principe van minimale rechten consequent toe te passen.
• Train medewerkers op het herkennen van phishing en andere social engineeringtechnieken.
• Stel patchbeleid in zodat software en systemen structureel up-to-date blijven.
• Richt monitoring in zodat verdachte activiteit vroegtijdig wordt gesignaleerd.
• Test je back-ups regelmatig op herstelbaarheid, niet alleen op aanwezigheid.
• Actualiseer het incident response plan op basis van de geleerde lessen.

Ongeveer twee derde van alle beveiligingsmaatregelen heeft niets met IT te maken, maar met organisatie en gedrag. Dat maakt structurele informatiebeveiliging zo belangrijk: het gaat niet alleen om firewalls en encryptie, maar ook om heldere verantwoordelijkheden, werkbare afspraken en bewuste medewerkers. Normen zoals NIS2 verplichten organisaties in kritieke sectoren inmiddels ook aantoonbaar te werken aan risicobeheersing en herstelcapaciteit.

Hoe Kwinzo helpt bij cyberincidentherstel en preventie

Wij bij Kwinzo helpen organisaties niet alleen na een incident, maar juist ook daarvoor. Want de beste voorbereiding op een cyberaanval is een goed ingericht managementsysteem dat ervoor zorgt dat je weet wat je hebt, wat kwetsbaar is en hoe je moet handelen als het misgaat. Onze aanpak omvat:

• Implementatiebegeleiding bij ISO 27001, NEN-7510 en andere normen, zodat informatiebeveiliging verankerd raakt in de dagelijkse praktijk.
• Interne audits die fungeren als generale repetitie en kwetsbaarheden in kaart brengen voordat een externe partij dat doet.
• Trainingen en workshops voor Security Officers en medewerkers, gericht op bewustwording en concreet handelen bij incidenten.
• Een eigen ISMS-tool met sjablonen en hulpmiddelen, waaronder een incident response plan dat aansluit op jouw organisatie.
• Begeleiding bij NIS2 voor organisaties die moeten aantonen dat zij risicobeheersing en herstelcapaciteit op orde hebben.

Informatiebeveiliging moet niet alleen kloppen op papier, maar ook werken op het moment dat het er echt toe doet. Wil je weten hoe jouw organisatie er nu voor staat en wat de eerste stappen zijn? Neem contact op voor een vrijblijvend gesprek.