Incident response team opzetten: checklist om te printen

Iemand moet zeggen: dit is een incident, het team gaat aan de slag. Meestal is dat de directeur of iemand uit het managementteam. Spreek ook af in welke situaties dat gebeurt.

Geef elke rol een naam en een vervanger. Weinig mensen? Combineer dan rollen. Alleen de leider en de notulist moeten twee verschillende mensen zijn.

Het NCSC helpt vooral om uit te zoeken wat er aan de hand is. Voor opruimen en herstellen heb je een gespecialiseerde incidentresponspartij nodig. Regel die van tevoren, als alles nog rustig is.

• Ieder teamlid heeft een geprint exemplaar van dit plan en van het noodplan, ook thuis.
• We hebben een reservekanaal dat niet via onze eigen mail of Teams loopt, bijv. een appgroep met privénummers.
• Er is een vaste plek om samen te komen, en een online alternatief als je daar niet terechtkunt.
• We weten hoe we het team buiten kantooruren en in vakanties bereiken.

• De leider verklaart het incident en roept het team bij elkaar.
• De notulist start een logboek: tijd, wat we zien, wat we besluiten en wie wat doet.
• IT haalt getroffen systemen van het netwerk. Niet uitzetten en niets wissen, dan blijft het bewijs bewaard.
• We bellen de incidentresponspartij en de verzekeraar.
• Juridisch en privacy kijkt of we iets moeten melden. Een datalek meld je binnen 72 uur bij de AP. Onder de Cyberbeveiligingswet geef je binnen 24 uur een vroege waarschuwing aan het NCSC.
• Communicatie schrijft een bericht voor collega's, en daarna een voor klanten.
• We praten op vaste momenten bij, bijv. elke 2 uur, tot het incident onder controle is.
• Let op elkaar. Wissel elkaar af, eet en slaap, want een incident kan dagen duren.

• Er is een lijst van onze belangrijkste systemen en data, en wie er beheerder van is.
• Logging van inlogs en systemen staat aan en we bewaren de logs een tijd. Zo kun je achteraf zien wat er gebeurd is.
• Er is een back-up die een aanvaller niet kan bereiken (offline of onveranderbaar), en we hebben getest of terugzetten werkt.
• Beheerdersaccounts hebben MFA en staan los van de accounts voor dagelijks werk.
• Medewerkers weten waar ze een verdachte mail of rare melding kwijt kunnen.
• Er ligt een standaardtekst klaar voor klanten en voor de pers.

• We oefenen minstens één keer per jaar met een tabletop-oefening, bijv. 'we hebben ransomware' of 'een medewerker is ingelogd op een nepsite'.
• Na elk incident of elke oefening bespreken we binnen 2 weken wat goed ging en wat beter kan.
• We werken dit plan bij als er mensen, leveranciers of systemen veranderen.