Incident response team in het mkb: wie doet wat als je gehackt wordt?

Bij een cyberaanval gaat het in de eerste uren vaak mis op iets simpels. Niemand weet wie beslist. De IT-partner zet een server uit en daarmee is het bewijs weg. Een collega zet iets op LinkedIn voordat klanten zijn geïnformeerd. Een incident response team voorkomt dat. Het NCSC raadt elke organisatie aan om zo'n team met vaste rollen in te richten, ook als je klein bent (NCSC ↗ (opent in nieuw venster)).

Wat is een incident response team?

Het is de groep mensen die het overneemt als er een beveiligingsincident is, zoals ransomware, een gehackt mailaccount of een datalek. In een groot bedrijf zijn dat specialisten. In het mkb zijn het gewoon de directeur, iemand die de IT kent, iemand voor de communicatie en je externe IT-partner. Belangrijker dan kennis is dat iedereen vooraf weet wat zijn rol is.

Wie verklaart het incident?

Iemand moet hardop zeggen: dit is een incident, het team gaat aan de slag. Volgens het NCSC is dat meestal iemand uit de directie of het managementteam (NCSC ↗ (opent in nieuw venster)). Spreek ook af wanneer je dat doet. Bijvoorbeeld bij een ransomwarescherm, een verdachte inlog op een beheeraccount of als klantgegevens op straat liggen.

De rollen in het team

• Leider: neemt besluiten en houdt het overzicht.

• IT: haalt getroffen systemen van het netwerk en bewaart bewijs. Zet niets uit en wis niets.

• Communicatie: informeert collega's, klanten, leveranciers en eventueel de pers.

• Juridisch en privacy: kijkt naar de meldplicht en contracten.

• HR: als er een medewerker bij betrokken is.

• Notulist: schrijft alles op met tijd. Dat heb je nodig voor de evaluatie en voor de toezichthouder (NCSC ↗ (opent in nieuw venster)).

Heb je maar een paar mensen? Combineer rollen, maar geef iedere rol een vervanger. Een incident valt altijd in de week dat iemand op vakantie is.

Regel de hulp van buiten vooraf

Het NCSC helpt vooral bij het vaststellen wat er aan de hand is. Voor het opruimen en herstellen raadt het aan om vroeg een gespecialiseerde incidentresponspartij in te schakelen, en vooraf te weten welke dat is (NCSC ↗ (opent in nieuw venster)). Kijk ook in je cyberverzekering. Veel polissen hebben een vaste partij die je 24 uur per dag kunt bellen.

Meldplicht: de klok loopt

Lekken er persoonsgegevens en is er risico voor de mensen van wie ze zijn, dan meld je dat binnen 72 uur bij de Autoriteit Persoonsgegevens (AP ↗ (opent in nieuw venster)). Valt je bedrijf onder de Cyberbeveiligingswet, dan stuur je binnen 24 uur een vroege waarschuwing naar het NCSC (NCSC ↗ (opent in nieuw venster)). Wijs in het team iemand aan die dit bewaakt.

Communicatie: schrijf de teksten nu

Tijdens een crisis heb je geen tijd om een goede mail aan klanten te schrijven. Zet nu al teksten klaar voor medewerkers, klanten, leveranciers en pers, en spreek af wie wanneer wat zegt. In ons communicatieplan staan kant-en-klare teksten die je alleen nog hoeft aan te vullen.

Oefen één keer per jaar

Een plan op papier werkt in de praktijk altijd anders. Het NCSC noemt een jaarlijkse oefening een absolute must (NCSC ↗ (opent in nieuw venster)). Een tabletop-oefening is genoeg: zet het team een uur bij elkaar en speel een scenario door, zoals ‘we hebben ransomware’. Je ziet meteen wie er ontbreekt en welk nummer niet klopt.

Het team, het noodplan en het continuïteitsplan

Het incident response team is één onderdeel. Het noodplan zegt wat je in het eerste uur doet. Het bedrijfscontinuïteitsplan zegt hoe je de dagen daarna blijft werken, ook als kantoor of een leverancier uitvalt (NCSC ↗ (opent in nieuw venster)).