Incidentrespons: wat gebeurt er als een cyberaanval toeslaat?
Incidentrespons is de manier waarop organisaties reageren zodra blijkt dat er iets mis is met hun digitale systemen: een hacker die binnendringt, gijzelsoftware die bestanden versleutelt, of een datalek waarbij persoonsgegevens op straat komen te liggen. Het is niet de techniek die inbraken voorkomt, maar de aanpak die in werking treedt zodra voorkomen niet (meer) lukte. Vergelijk het met de brandweer: rookmelders en sprinklerinstallaties moeten brand voorkomen of vroeg signaleren, maar zodra het toch fout gaat, is het de brandweer die uitrukt, de brand indamt, mensen evacueert en achteraf onderzoekt wat de oorzaak was. Incidentrespons is die brandweerfunctie, maar dan voor computernetwerken.
Een voorbeeld maakt het concreet. Stel: een ziekenhuis merkt dat medische dossiers plotseling niet meer te openen zijn en er verschijnt een dreigbrief op de schermen. Het incidentresponsteam moet dan binnen enkele minuten tot uren beslissen: welke systemen sluiten we af om verdere verspreiding te stoppen, welke back-ups zijn nog betrouwbaar, wie moeten we informeren (patiënten, toezichthouders, de politie), en hoe voorkomen we dat operaties moeten worden afgezegd. Dat proces, van eerste alarm tot volledig herstel en evaluatie, is wat incidentrespons in de praktijk inhoudt.
Wat is het precies?
Incidentrespons volgt meestal een vast stramien, vergelijkbaar met een medisch protocol. Het bekendste model komt van het Amerikaanse standaardisatie-instituut NIST en kent grofweg vijf fasen.
De eerste fase is voorbereiding. Organisaties stellen van tevoren een playbook op: een stappenplan waarin staat wie welke beslissingen mag nemen, welke systemen als eerste geïsoleerd moeten worden, en welke contactpersonen gebeld moeten worden. Zonder voorbereiding improviseert een team onder grote tijdsdruk, wat fouten in de hand werkt.
Daarna volgt detectie en analyse: vaststellen dát er een incident is, en wat er precies aan de hand is. Dit gebeurt vaak in een Security Operations Center (SOC), een soort controlekamer waar beveiligingsanalisten dag en nacht netwerkverkeer en systeemlogs in de gaten houden. Zij proberen te achterhalen hoe de aanvaller binnenkwam, welke systemen geraakt zijn en of gevoelige data is gestolen.
De derde fase is indamming en uitroeiing (in het Engels containment en eradication): de aanvaller de toegang ontzeggen, besmette systemen isoleren van het netwerk, en kwaadaardige software verwijderen. Dit moet zorgvuldig gebeuren, want te snel ingrijpen kan bewijs vernietigen dat nodig is voor forensisch onderzoek — het digitale rechercheren naar wat er precies gebeurd is, vergelijkbaar met een plaats delict onderzoeken.
Dan volgt herstel: systemen weer veilig terugzetten, wachtwoorden vervangen, en controleren of de aanvaller echt weg is voordat alles weer online gaat. Tot slot is er de fase van evaluatie, waarin het team analyseert wat er misging, wat beter kan, en het playbook bijstelt voor de volgende keer.
Veel organisaties hebben voor dit werk een gespecialiseerd team, vaak aangeduid als CERT (Computer Emergency Response Team) of CSIRT (Computer Security Incident Response Team). Sommige bedrijven hebben zo'n team intern, andere huren gespecialiseerde bureaus in zodra het misgaat.
Wat wil men ermee bereiken?
Het belangrijkste doel is schadebeperking: hoe sneller een aanval wordt gestopt, hoe minder gegevens gestolen worden en hoe minder systemen plat komen te liggen. Elke uur dat een aanvaller ongestoord in een netwerk kan rondkijken, vergroot de schade.
Een tweede doel is sneller herstel, zodat de normale bedrijfsvoering — of bij een ziekenhuis: de patiëntenzorg — zo snel mogelijk hervat kan worden. Stilstand kost geld en kan bij vitale sectoren zelfs levens kosten.
Daarnaast speelt bewijsvoering een rol: een goed uitgevoerde respons legt vast wat er gebeurd is, wat nodig is voor aangifte bij de politie, voor verzekeringsclaims en om te leren voor de toekomst.
Er is ook een juridische kant. In de Europese Unie verplicht de AVG (Algemene Verordening Gegevensbescherming, internationaal bekend als GDPR) organisaties om ernstige datalekken binnen 72 uur te melden bij de toezichthouder. De nieuwere NIS2-richtlijn breidt meldplichten en beveiligingseisen uit naar meer sectoren, zoals energie, vervoer en digitale infrastructuur. Een werkend incidentresponsproces is vaak nodig om aan die meldplicht op tijd te kunnen voldoen.
Tot slot gaat het om vertrouwen: klanten, patiënten en partners moeten erop kunnen vertrouwen dat een organisatie een crisis serieus en professioneel aanpakt, ook al is de aanval zelf niet altijd te voorkomen.
Voorbeelden uit de praktijk
DigiNotar (Nederland, 2011): dit Nederlandse bedrijf gaf digitale certificaten uit die websites als 'veilig' markeren. Na een inbraak bleken aanvallers valse certificaten te hebben gegenereerd, onder meer voor Google-diensten. De respons kwam traag op gang en het vertrouwen in het bedrijf was onherstelbaar beschadigd: DigiNotar ging enkele maanden later failliet. De zaak wordt in Nederland nog vaak aangehaald als voorbeeld van hoe een trage en onvolledige respons een organisatie kan doen omvallen.
WannaCry (2017): deze gijzelsoftware (ransomware) verspreidde zich wereldwijd via een kwetsbaarheid in Windows-systemen en trof onder meer delen van de Britse gezondheidszorg (NHS), waar operaties moesten worden uitgesteld. De verspreiding werd relatief snel afgeremd nadat een onderzoeker een 'noodrem' in de software ontdekte, maar de respons bij getroffen organisaties duurde in sommige gevallen dagen tot weken.
NotPetya (2017): aanvankelijk leek dit ook ransomware, maar het bleek vooral bedoeld om schade aan te richten. Het rederijconcern Maersk raakte grote delen van zijn wereldwijde IT-infrastructuur kwijt en moest duizenden laptops en servers herbouwen. Maersk heeft na afloop publiekelijk verteld hoe het bedrijf binnen ruim een week de kernprocessen weer draaiend kreeg, deels dankzij een toevallig offline gebleven back-up.
SolarWinds (2020): aanvallers wisten kwaadaardige code te verstoppen in een software-update van het IT-beheerbedrijf SolarWinds, waardoor duizenden organisaties wereldwijd, waaronder Amerikaanse overheidsinstanties, jarenlang onopgemerkt konden worden bespioneerd. Deze zaak liet zien hoe lastig detectie kan zijn bij zogeheten supply chain-aanvallen, waarbij niet het slachtoffer zelf maar een leverancier wordt gehackt.
Colonial Pipeline (2021): na een ransomware-aanval op deze Amerikaanse brandstofpijpleiding-exploitant werd de pijpleiding uit voorzorg tijdelijk stilgelegd, wat tot brandstoftekorten aan de oostkust van de VS leidde. Het bedrijf betaalde losgeld aan de aanvallers; de Amerikaanse justitie slaagde er later in een deel van dat bedrag te achterhalen en terug te vorderen.
Hoe ver is de techniek?
Incidentrespons is de afgelopen twintig jaar uitgegroeid van een ad-hoc activiteit naar een geprofessionaliseerd vakgebied met eigen certificeringen, standaarden en gespecialiseerde bedrijven. Toch blijft het grotendeels reactief: teams reageren op aanvallen die al plaatsvinden, en geen enkele organisatie kan claimen waterdicht te zijn.
Detectie wordt steeds meer geautomatiseerd. Een SIEM (Security Information and Event Management) verzamelt logbestanden van allerlei systemen op één plek, zodat analisten patronen kunnen herkennen. SOAR-platformen (Security Orchestration, Automation and Response) gaan een stap verder en voeren standaardacties automatisch uit, zoals het isoleren van een verdachte computer. EDR-software (Endpoint Detection and Response) houdt losse laptops en servers in de gaten op verdacht gedrag.
Kunstmatige intelligentie en machinaal leren worden steeds vaker ingezet om afwijkend gedrag in netwerkverkeer te herkennen, sneller dan een mens dat kan. Dit helpt bij het opsporen van bekende patronen, maar heeft ook beperkingen: dit soort systemen genereert veel valse meldingen en kan nieuwe, nooit eerder geziene aanvalsmethoden missen. Van een systeem dat cyberaanvallen volledig zelfstandig afhandelt, is vooralsnog geen sprake; menselijke beoordeling blijft nodig, zeker bij complexe of onduidelijke incidenten.
Een hardnekkig obstakel is het tekort aan gekwalificeerd personeel: wereldwijd melden beveiligingsorganisaties al jaren een structureel tekort aan ervaren incidentresponders. Tegelijkertijd groeit de regeldruk, met de Europese NIS2-richtlijn als recent voorbeeld, waardoor meer organisaties verplicht worden een respons-capaciteit op te zetten, ook als ze daar nog niet klaar voor zijn.
Wie werken eraan?
In Nederland is het NCSC-NL (Nationaal Cyber Security Centrum) de overheidsinstantie die vitale sectoren ondersteunt bij dreigingen en incidenten. Op Europees niveau doet ENISA, het EU-agentschap voor cyberbeveiliging, vergelijkbaar werk, onder meer door lidstaten te helpen bij het opzetten van nationale CSIRT's.
In de Verenigde Staten vervult CISA (Cybersecurity and Infrastructure Security Agency) een soortgelijke rol voor de Amerikaanse overheid en kritieke infrastructuur. Het internationale netwerk FIRST (Forum of Incident Response and Security Teams) verbindt CERT's en CSIRT's uit tientallen landen, zodat zij informatie over dreigingen kunnen uitwisselen. Een van de oudste responsteams ter wereld, het CERT/CC, is ondergebracht bij Carnegie Mellon University in de VS.
Daarnaast bestaat er een hele markt van commerciële incident-responsebedrijven die organisaties inhuren zodra het misgaat, zoals Mandiant (tegenwoordig onderdeel van Google), CrowdStrike en het DART-team van Microsoft. Voor opleiding en kennisdeling geldt het Amerikaanse SANS Institute internationaal als een van de belangrijkste instituten in dit vakgebied.