Cyberincident: checklist

Afbakening: wat bedoel je met een cyberincident en waarom een checklist

Een cyberincident is een gebeurtenis waarbij digitale systemen of gegevens worden misbruikt, verstoord of bedreigd. Het kan gaan om bijvoorbeeld ongeautoriseerde toegang, malware/ransomware, datalekken, verstoring van dienstverlening of misbruik van accounts. Een checklist helpt omdat je in stressomstandigheden vaak dezelfde fouten maakt: te lang doorwerken, te weinig registreren, bewijs wissen, onduidelijkheid over rollen en te vroege communicatie.

Een checklist is geen alternatief voor formele meld- en incidentprocessen binnen je organisatie. Wel biedt het een gestructureerde set controlepunten om het incident beheersbaar te maken, zonder meteen te hoeven gokken over de oorzaak.

Zo werkt de checklist: van signalering tot afronding

Gebruik de checklist als een doorlopend proces met momenten waarop je beslist of je verdergaat, terugschakelt of opschaalt. Richt het op vier fasen: (1) vaststellen en veiligstellen, (2) beperken en onderzoeken, (3) herstellen en valideren, (4) evalueren en documenteren.

1) Vaststellen en veiligstellen

• Verzamel feiten: wat is er gezien, door wie, op welke systemen, en vanaf welk tijdstip.
• Leg een tijdlijn vast: start van symptomen, wijzigingen, waarschuwingen en handelingen die je zelf verrichtte.
• Markeer impact: welke diensten waren (deels) niet beschikbaar, welke accounts zijn mogelijk geraakt en welke gegevens kunnen betrokken zijn.
• Bewaar bewijs: logbestanden, meldingen van beveiligingssystemen, relevante berichten en configuratie-informatie. Vermijd bewerkingen die sporen wissen.
• Bepaal rollen: wie beslist over beperking, wie communiceert, wie verzamelt technische data en wie bewaakt privacy/bewijs.

Klaarcriterium (startfase): je kunt het incident concreet beschrijven met een tijdlijn, een voorlopige impactschatting en vastgelegde bewaardocumenten.

2) Beperken en onderzoeken

• Beperk toegang en beweging: voorkom dat aanvallers verder kunnen escaleren of laterale beweging maken.
• Isoleer waar nodig: werk met een aanpak die het onderzoek niet onbedoeld sabotert, maar wel verdere schade beperkt.
• Onderzoek “wat is er gebeurd?” zonder meteen te maximaliseren: focus op de meest waarschijnlijke aanvalsroutes, de getroffen accounts en de periode waarin het misbruik plaatsvond.
• Controleer integriteit: is er sprake van gewijzigde bestanden, gemanipuleerde accounts, nieuwe persistente mechanismen of misbruik van sessies.
• Raadpleeg interne/contractuele procedures: bijvoorbeeld voor het inschakelen van externe ondersteuning, maar baseer beslissingen op feiten uit je logs.

Rode vlaggen tijdens beperking en onderzoek:

• Onvolledige of ontbrekende tijdlijn waardoor je niet kunt valideren wat je kunt uitsluiten.
• Bewijs wordt overschreven of handelingen worden “teruggedraaid” zonder dat je begrijpt wat daarmee aan data verdwijnt.
• Communicatie die technische details deelt zonder dat je weet of die informatie juist en volledig is.

Klaarcriterium (onderzoeksfase): je hebt voldoende technische aanwijzingen om te onderbouwen wat de scope is (wat valt wel/niet onder het incident) en welke herstelmaatregelen logisch en controleerbaar zijn.

3) Herstellen en valideren

• Herstel gericht op controle: ga niet alleen “terug naar online”, maar valideer dat de oorzaak is weggenomen.
• Herstel beheerst: vervang of revoke waar nodig, maar borg dat je kunt aantonen dat de wijzigingen aansluiten op je onderzoek.
• Valideer met testen: controleer accounttoegang, processen, netwerkverkeer, systeemintegriteit en logcontinuïteit.
• Monitor: blijf gedurende een afgebakende periode signalen volgen om regressie of herinfectie vroeg te zien.

Klaarcriterium (herstel): je kunt met bewijs aantonen dat kritieke functies en beveiligingscontroles weer werken zoals verwacht en dat de incident-scope geen open eindjes meer heeft.

4) Evalueren en documenteren

• Documenteer het “wat, waarom, hoe”: inclusief beslismomenten, aannames, onzekerheden en de uiteindelijke scope.
• Benoem verbeterpunten: welke controlepunten ontbraken (of faalden), welke detectie werkte wel, en waar ontstond ruis.
• Vertaal naar preventie: bijvoorbeeld betere logging, strengere toegangscontrole, snellere triage of duidelijkere verantwoordelijkheden.
• Sluit af met een leerplan: wie pakt wat op, wanneer en met welk bewijs dat het is uitgevoerd.

Bewijs, variatie en uitzonderingen: wat verandert er bij de aard van het incident

De basisvolgorde blijft vaak gelijk, maar de invulling verschilt. Een cyberincident kan bijvoorbeeld vooral “data-impact” zijn (mogelijke exfiltratie) of vooral “systeem-impact” (verstoring/uitval). Ook maakt het verschil of het incident een kortstondige misbruikpoging is of een langere compromittering.

Pas je checklist aan wanneer:

• Je aanwijzingen hebt voor datadiefstal: voeg extra bewijscontrole toe rond welke gegevenscategorieën zijn benaderd, en bewaak privacy bij het delen van data.
• Je ransomware/verstoring vermoedt: prioritiseer herstelbaarheid en integriteitschecks, zodat je niet terugkeert op basis van vermoedens.
• Je nog in de detectiefase zit (mogelijk incident): behandel het als “verdacht” totdat je uitsluit of bevestigt; maak onzekerheden expliciet.
• Je meerdere locaties of systemen raakt: definieer een scope-afbakening per systeemgroep en leg die consistent vast.

Onzekerheid hoort erbij: als je niet met zekerheid kunt zeggen wat er is gebeurd, formuleer dat als “nog te verifiëren” en koppel er concrete verificatiecontrolepunten aan.

Praktijk: controlepunten die je direct kunt afvinken zonder giswerk

Gebruik deze set als minimale checklist voor een incidentclaimvrije start. Beantwoord per punt steeds zo feitelijk mogelijk.

1. Informatie en registratie

• Wat is gezien (bron), op welke systemen en met welk effect?
• Wie heeft wat gedaan en wanneer (tijdlijn)?
• Welke gegevens of accounts lijken betrokken?

2. Beperking

• Toegang blokkeren waar misbruik vermoed wordt, met rationale vastgelegd.
• Systemen geïsoleerd/afgeschermd zonder bewijs te vernietigen.

3. Onderzoek

• Logs en relevante artefacten bewaard in een traceerbare vorm.
• Hypothesen vertaald naar concrete verificatie (wat moet je zien om dit te bevestigen?).

4. Communicatie en bewijsbewaking

• Interne communicatie gebaseerd op feiten, onzekerheden apart benoemd.
• Externe communicatie afgestemd op wat je kunt onderbouwen met bewijs.

5. Herstel en afronding

• Herstelspecificaties gekoppeld aan onderzoeksresultaten.
• Validerende controles uitgevoerd en vastgelegd.
• Evaluatie gepland met acties, eigenaren en bewijs voor voltooiing.