Direct handelen
Vermoeden van een hack?
- bel het interne incidentteam en wijs één coördinator aan
- isoleer getroffen onderdelen waar verdere schade dreigt
- bewaar logs, snapshots en tijdlijnen voordat u grote wijzigingen doet
- gebruik een schoon communicatiekanaal wanneer accounts mogelijk zijn geraakt
- leg feiten, acties, tijden en besluiten direct vast
- betrek technische, juridische, privacy- en communicatiekennis op basis van impact
Is er acuut gevaar voor dienstverlening of veiligheid, laat dan onmiddellijke beheersing voorgaan. Zorg wel dat iemand vastlegt wat is veranderd en waarom.
De eerste 30 minuten
Bevestig niet te snel dat het incident voorbij is. Breng eerste signalen, betrokken systemen, accounts en tijdstippen bijeen. Stop bekende aanvalsroutes, maar voorkom breed wissen of opnieuw installeren zonder afstemming met incidentrespons.
De eerste uren
Bepaal de omvang, bedrijfsimpact en vermoedelijke aanvalslijn. Stel prioriteiten voor kritieke processen. Bewaar forensisch materiaal en controleer of de aanvaller nog toegang heeft. Beoordeel meldingen aan toezichthouders, verzekeraar, klanten en ketenpartners.
- welke systemen, gegevens en locaties zijn geraakt
- welke accounts en secrets moeten worden ingetrokken of geroteerd
- welke diensten moeten gecontroleerd worden hersteld
- welke wettelijke en contractuele termijnen lopen
- wie communiceert intern en extern
De eerste 24 uur
Werk met een gedeeld feitenbeeld en een beslislog. Controleer herstelpunten voordat systemen terugkeren. Versterk monitoring op hernieuwde toegang en laterale beweging. Communiceer alleen bevestigde feiten en benoem wat nog wordt onderzocht.
De dagen daarna
Rond oorzaakonderzoek, herstel, meldingen en communicatie af. Controleer gekoppelde systemen en leveranciers. Vertaal bevindingen naar concrete eigenaren, termijnen en toetsing. Een evaluatie heeft pas waarde wanneer verbeteringen aantoonbaar worden uitgevoerd.
Wat moet u niet doen?
- lukraak bestanden, accounts of logs verwijderen
- aannemen dat een patch bestaande toegang van een aanvaller verwijdert
- losse screenshots en versies zonder tijdlijn delen
- getroffenen of media informeren met onbevestigde details
- te vroeg terugschakelen naar normale bedrijfsvoering
- wachten met juridische beoordeling tot alle technische details bekend zijn
Veelgestelde vragen
Veelgestelde vragen
Wat moet u als eerste doen wanneer u bent gehackt?
Alarmeer het incidentteam, beperk verdere schade zonder onnodig bewijs te wissen, leg feiten en besluiten vast en schakel passende technische en juridische expertise in.
Moet u direct systemen uitschakelen?
Niet altijd. Isoleren kan verdere schade beperken, maar abrupt uitschakelen kan bewijs en dienstverlening raken. Laat de afweging afhangen van de actieve dreiging en uw incidentresponsplan.
Wanneer moet een datalek worden gemeld?
Een inbreuk op persoonsgegevens moet soms binnen 72 uur bij de Autoriteit Persoonsgegevens worden gemeld. Laat privacydeskundigen de feiten en het risico voor betrokkenen beoordelen.
