Cyberincident: hoe werkt het?

Wat is een cyberincident en wat bedoelt men met “hoe het werkt”

Een cyberincident is een gebeurtenis waarbij de beschikbaarheid, integriteit of vertrouwelijkheid van informatie en/of het functioneren van digitale systemen wordt verstoord door (kwaadwillig) misbruik, ongewenste toegang of een combinatie daarvan. “Hoe het werkt” verwijst in de praktijk naar het onderliggende mechanisme: hoe een aanvaller (of een ongeplande gebeurtenis) binnenkomt, welke sporen en signalen daarbij horen, hoe de impact zich verspreidt en hoe je incidentinformatie verwerkt.

Het is belangrijk om te beseffen dat cyberincidenten niet één vast patroon volgen. De mate van zichtbaarheid verschilt (sommige aanvallen blijven lang stil), en dezelfde uitkomst kan via verschillende routes ontstaan. Daarom beschrijf je het proces als een set logisch samenhangende stappen in plaats van als een standaardrecept.

Hoe verloopt een cyberincident meestal (van ingang tot afhandeling)

1. Voorbereiding en poging tot toegang: er is een aanleiding of “ingang”. Dat kan variëren van een poging tot inloggen tot misleiding van medewerkers (bijvoorbeeld via phishing) of misbruik van kwetsbaarheden.
2. Compromittering van een systeem of account: wanneer toegang lukt, ontstaat er een verstoring. Vaak zie je dan ongebruikelijke activiteiten: afwijkende logins, abnormaal netwerkverkeer, of onverwachte processen.
3. Beweging en escalatie: de aanvaller probeert privileges uit te breiden en toegang te verplaatsen binnen de omgeving. Dit kan gaan om het bereiken van extra systemen of het vergroten van invloed.
4. Doelactie (impact): afhankelijk van het doel kan de impact bestaan uit gegevensverlies of -diefstal, verstoring van dienstverlening (bijv. encryptie of uitval), of het manipuleren van gegevens.
5. Detectie, triage en respons: teams proberen vast te stellen wat er is gebeurd, welke onderdelen geraakt zijn en wat de risicostatus is. Dit leidt tot maatregelen om schade te beperken.
6. Herstel en terugkoppeling van inzichten: na containment volgt herstel (bijvoorbeeld systemen terugzetten of opnieuw opbouwen) en het opschonen van oorzaken. Daarna volgt vaak evaluatie: wat was er eerder te zien en wat moet de organisatie aanpassen.

Afbakening: security-incident vs. IT-storing en waarom dat uitmaakt

Niet elke verstoring is automatisch een cyberincident. Een IT-storing kan ook leiden tot uitval, langzame systemen of fouten, zonder dat er sprake is van ongeautoriseerd misbruik. Andersom kan een cyberincident ook beginnen als “iets kleins” (een account dat net iets anders doet), terwijl het pas later duidelijk wordt door datalekken of brede verstoring.

Een praktisch onderscheid draait om drie vragen:

• Was er ongeautoriseerd handelen of toegang?
• Is er sprake van beïnvloeding van vertrouwelijkheid, integriteit of beschikbaarheid?
• Zijn er aanwijzingen voor doelgericht misbruik (sporen, patronen, tooling) of past het bij een plausibele technische storing?

De uitkomst van deze afbakening bepaalt welke informatie je prioriteert. Bij security-onderzoek draait het vaker om bewijs en herleidbaarheid; bij puur operationele issues ligt de nadruk op oorzaak en herstel van functionaliteit.

Variaties en uitzonderingen: dezelfde impact, andere oorzaak

Cyberincidenten kennen variaties in oorzaak en verloop. Denk aan:

• Inkomende signalen kunnen misleidend zijn: een melding van ransomware-achtig gedrag kan ook voortkomen uit een storing of verkeerde configuratie, terwijl echte misbruiksporen juist buiten het eerste zicht liggen.
• Impact kan gedeeltelijk of pas later zichtbaar worden: een aanvaller kan data verzamelen zonder meteen systemen te verstoren. Het “bewijs” kan dan bestaan uit logische aanwijzingen in plaats van directe zichtbare schade.
• Scope is zelden meteen duidelijk: het is normaal dat de eerste schatting van getroffen systemen te breed of te smal is. Daarom werk je met iteratieve checks: je verlegt grenzen op basis van nieuwe, controleerbare observaties.
• Sommige scenario’s vereisen extra voorzichtigheid: als er kans is op actieve aanvalleractiviteit, kan elke stap verder bewijs vernietigen of de situatie verergeren. Dat betekent niet dat je niets doet, maar dat je keuzes onderbouwt en minimaliseert wat je aanraakt.

Controlepunten voor een betrouwbaar beeld (zonder meteen te “gokken”)

Om “hoe het werkt” om te zetten naar controleerbare acties, kun je je incidentinformatie structureren rond feiten en onzekerheden:

• Wat is waargenomen? Noteer concrete signalen (tijdstippen, systemen, accounts, handelingen) in plaats van interpretaties.
• Wat is aangenomen? Maak aannames expliciet. Voorbeeld: “dit lijkt op ongeautoriseerde toegang” is een hypothese die je toetst.
• Wat is de scope? Leg vast welke systemen, gebruikers en datastromen vermoedelijk geraakt zijn—en maak ruimte om dit later bij te stellen.
• Wat is de impact? Bepaal of het om beschikbaarheid, integriteit, vertrouwelijkheid of meerdere tegelijk gaat. Elke categorie heeft andere consequenties.
• Welke bewijzen ondersteunen het beeld? Verzamel en bewaar informatie op een manier die later analyse mogelijk maakt.
• Wat verandert er door nieuwe inzichten? Leg vast welke check ervoor zorgt dat je je conclusie bijstelt of verfijnt.

Als je deze aanpak hanteert, kun je cyberincidenten beter plaatsen in het “hoe het werkt”-mechanisme, ook wanneer niet alles direct duidelijk is. Onzekerheid is onderdeel van incidentwerk; het doel is om die onzekerheid stap voor stap te verkleinen met controleerbare waarnemingen.