Bronnen · 21
Een cyberincident prioriteren en vroegtijdig bewijsmateriaal bewaren
Een verwarrend signaal omzetten in een tijdlijn, hypothesen, beslissingen en proportionele escalatie.
Bijgewerkt · 2 min
Wat deze handleiding helpt bereiken
- Ontvang een bruikbaar signaal.
- Behoud de context.
- Beoordeel de impact.
- Organiseer beslissingen.
Snelle controle
- Wie heeft wat gezien, waar en wanneer?
- Welke bronnen of sporen kunnen verdwijnen?
- Welke services, accounts en gegevens kunnen worden beïnvloed?
- Wie autoriseert onmiddellijke maatregelen?
- Wanneer wordt de beoordeling herzien?
Stapsgewijze methode
- 1
Open één dossier
Registreer het initiële signaal, de tijd, de waarnemer, de getroffen systemen en het rapportagekanaal. Wijs een dossierverantwoordelijke en een plaatsvervanger toe.
Resultaat: incidentdossier met tijdstempel.
- 2
Scheid feiten van hypothesen
Maak een lijst van verifieerbare waarnemingen, bronnen en betrouwbaarheid. Beschrijf mogelijke scenario's zonder de oorsprong of reikwijdte te veronderstellen.
Resultaat: feitelijke tijdlijn en toetsbare hypothesen.
- 3
Bewaar vluchtig materiaal
Identificeer nuttige logboeken, waarschuwingen, berichten en systeemstatussen; bewaar kopieën volgens interne procedures en registreer de toegang. Vermijd wijzigingen die sporen vernietigen.
Resultaat: initiële inventarisatie van bewijsmateriaal en registratie van de afhandeling ervan.
- 4
Beoordeel de reikwijdte en impact
Breng potentieel getroffen activa, accounts, gegevens en bedrijfsprocessen in kaart. Registreer wat is bevestigd, uitgesloten of onbekend en de kosten van wachten.
Resultaat: reikwijdtekaart en voorlopig impactniveau.
- 5
Beslissen en escaleren
Kies proportionele beschermende maatregelen, specialisten en belanghebbenden om te informeren volgens de toepasselijke vereisten. Registreer de besluitnemer en de onderbouwing.
Resultaat: besluitlogboek en communicatieplan.
- 6
Heroverwegen en leren
Stel de volgende situatie-update vast, voeg nieuw bewijsmateriaal toe en koppel oorzaken en lacunes aan corrigerende maatregelen na afsluiting.
Resultaat: gedateerde updates en geleerde lessen.
Managementindicatoren
| Indicator | Wat het meet | Eerste actie |
|---|---|---|
| Tijd voor triage | Tijd van signaal tot eerste gedocumenteerde scope | Escalatie verduidelijken |
| Besluittracering | Beslissingen met tijd, eigenaar en onderbouwing | Voltooi het logboek |
| Dekking van bewijsmateriaal | Kritieke bronnen geïdentificeerd en bewaard | Verzamelingshiaten dichten |
| Herbeoordeling | Hypothesen herzien op overeengekomen controlepunten | Reikwijdte bijwerken |
Veelvoorkomende fouten
- Sporen wissen door voortijdige actie
- Een oorzaak aankondigen vóór validatie
- Tegenstrijdige tijdlijnen hanteren
- Een beslissing niet dateren of een aanname niet herzien
Veelgestelde vragen
Is elke melding een incident?
Nee. Triage bepaalt of de waarnemingen een formele reactie rechtvaardigen en kan veranderen naarmate er meer bewijsmateriaal beschikbaar komt.
Moet bescherming wachten tot alles bekend is?
Nee. Proportionele maatregelen kunnen de schade beperken terwijl het onderzoek loopt, mits de effecten ervan op bewijsmateriaal en dienstverlening worden vastgelegd.
Wat kan in eerste instantie worden gecommuniceerd?
Bevestigde feiten, bekende effecten, huidige acties en de volgende update. Oorzaak en reikwijdte blijven voorlopig totdat ze vastgesteld zijn.
Officiële referenties
Referenties ondersteunen de methode. Pas controles aan uw context aan; ze zijn geen certificering. Originele referentietitels en brondocumenten kunnen in een andere taal zijn.
