Cyberincident: wat een bureau moet weten

Wat is een cyberincident voor een bureau?

Een cyberincident is een gebeurtenis waarbij digitale middelen (zoals systemen, accounts, netwerken, software of gegevens) worden aangetast of misbruikt, waardoor dienstverlening, informatie of bedrijfsvoering kan worden beïnvloed. Voor een bureau betekent dit meestal dat er sprake kan zijn van ongeautoriseerde toegang, malware/ransomware, datalekken, verstoring van werkprocessen of manipulatie van bestanden en e-mail.

Het is belangrijk om een cyberincident niet te verwarren met een algemene IT-storing. Een IT-storing kan zonder kwaad opzet zijn; bij een cyberincident staat (mogelijke) digitale dreiging of ongeautoriseerde activiteit centraal. De afbakening helpt om de juiste prioriteiten te bepalen, vooral rondom bewijs en communicatie.

Hoe verloopt de aanpak: van signaleren tot herstel

Een bruikbare werkwijze is om te werken vanuit korte cycli: detecteren, valideren, beperken, onderzoeken en herstellen.

Signaleren en vaststellen van feiten: Verzamel wat je ziet: welke systemen, wanneer, welke meldingen (bijvoorbeeld ongebruikelijke loginpogingen), en welke gevolgen (bijvoorbeeld onbeschikbaarheid van dossiers of e-mailproblemen). Houd het bij waarnemingen en vermijd aannames.
Schade beperken met minimale wijzigingen: Zet eerst in op het stoppen of vertragen van verdere schade. Denk aan het tijdelijk beperken van toegang, het isoleren van getroffen onderdelen en het veiligstellen van werkbare alternatieven voor dienstverlening.
Onderzoek voorbereiden via bewijs: Bewijs bestaat vaak uit logbestanden, netwerk- en systeemgegevens, e-mailsporen en tijdstempels. Probeer te voorkomen dat je door te veel “reparatiehandelingen” het spoor verliest.
Herstel en terugkeer naar normaal: Herstel is niet alleen technisch; het gaat ook om het controleren of systemen weer betrouwbaar functioneren en of toegang en accounts veilig zijn ingesteld.
Nazorg en leren: Koppel bevindingen terug naar beleid: welke detectie werkte, waar zaten gaten, en welke afspraken moeten strakker om herhaling te voorkomen?

Variaties en uitzonderingen die de juiste interpretatie bepalen

Niet elk incident is hetzelfde, en daarom verandert de focus vaak.

Datagerelateerd vs. systeemgerelateerd: Sommige incidenten draaien vooral om gegevens (bijvoorbeeld ongeautoriseerde toegang of exfiltratie), terwijl andere vooral de beschikbaarheid raken (bijvoorbeeld gijzelsoftware of verstoring van servers). De impact en benodigde vervolgstappen verschillen.
Interne gebruiker vs. externe aanvaller: Een incident kan voortkomen uit gestolen inloggegevens, misbruik van een account of een foutieve instelling. Ook dan blijft het nodig om verdachte activiteiten feitelijk vast te stellen.
Beperkte scope vs. brede verspreiding: In het ene scenario is het probleem lokaal; in het andere is er mogelijk laterale beweging door meerdere systemen. Hoe breder de scope, hoe belangrijker is het om isolatie en bewijs veilig te blijven doen.
Wanneer iets “onduidelijk” blijft: Als niet helder is of er sprake is van kwaadwillende activiteit, behandel het dan als mogelijk incident totdat de feiten uitsluitsel geven. Dat helpt om te voorkomen dat je te vroeg stopt met bewijsverzameling.

Controlepunten voor bureauleiders en operationele teams

Gebruik een korte set controlepunten die je tijdens het incident kunt afvinken, zonder dat je meteen hoeft te kiezen voor specifieke technische oplossingen.

Is er een incident-achtige gebeurtenis? Noteer signalen, tijdstippen en directe gevolgen.
Welke systemen en data zijn geraakt of mogelijk geraakt? Maak een voorlopige inventaris.
Wat is de schadebeperking nu? Leg vast welke acties zijn uitgevoerd en waarom.
Is bewijs veilig genoeg? Verzamel logs en relevante documenten met behoud van tijdstempels.
Wat is de impact op dienstverlening? Denk aan bereikbaarheid, toegang tot klantdossiers, voortgang van werkzaamheden en e-mailcommunicatie.
Welke onzekerheden moeten eerst worden opgelost? Bijvoorbeeld: is er sprake van ongeautoriseerde toegang, en zo ja, wanneer en via welk toegangskanaal?

Als je deze punten systematisch doorloopt, kun je cyberincidenten beter plaatsen en zorgen dat besluiten gebaseerd zijn op feiten. Houd daarnaast rekening met de belangrijkste beperking: zonder tijdige en volledige log- en contextinformatie blijft de exacte oorzaak vaak onzeker, en daarom is een “feitelijk onderzoek met gecontroleerde aannames” doorgaans noodzakelijk.