Hoe ziet een cyberincident eruit bij een klein bedrijf?
Een cyberincident bij een klein bedrijf kondigt zich zelden duidelijk aan; het lijkt meestal op een vreemde storing die iemand terloops noemt. De NCSC noemt waarschuwingssignalen zoals trage computers, mensen die geen toegang meer hebben tot accounts of bestanden, losgeldberichten, verdachte e-mails die vanaf uw eigen domein worden verzonden en onverwachte betaalverzoeken.
Neem een fictief accountantskantoor met 14 medewerkers, Halden & Rowe. Op vrijdag om 4.40pm krijgt de kantoormanager, Priya, dit bericht van een partner: 'mijn Outlook heeft een hoop mails verstuurd die ik niet heb geschreven?? 2 klanten vragen in hun antwoord naar een nieuwe bankrekening voor facturen. ook vraagt de gedeelde schijf me opnieuw in te loggen en mijn wachtwoord werkt niet. ga de kinderen van school halen terug om 6'. Niemand is voltijds verantwoordelijk voor IT, de externe IT-beheerder sluit om 5.30pm en het weekend staat voor de deur.
Welke stappen doorloopt een klein team bij incidentrespons?
De stappen bij incidentrespons voor een klein team zijn herkennen, indammen, melden, herstellen en leren. Het eerste uur draait vooral om de eerste drie. De NCSC-handleiding voor incidentrespons en herstel bij kleine bedrijven gebruikt een vergelijkbaar model met vijf stappen: voorbereiden, identificeren, oplossen, melden en leren.
1. Herken het en begin een logboek
Behandel de melding als een mogelijk incident, niet als iets hinderlijks. Maak een logboek aan met het tijdstip, wie de melding deed, wat die persoon zag en alle ondernomen acties. De NCSC adviseert te noteren welke diensten uitvielen, wanneer het begon en hoe groot de impact is.
2. Beperk de schade
Stop de verspreiding zonder bewijsmateriaal te vernietigen. Koppel een getroffen apparaat los van het netwerk in plaats van het uit te schakelen, want CISA wijst erop dat bij uitschakelen bewijsmateriaal in het geheugen verloren kan gaan. Stel het wachtwoord van het gehackte account opnieuw in vanaf een schoon apparaat en meld het account af bij alle sessies.
3. Schakel vroeg hulp in
Bel uw IT-dienstverlener of degene die uw systemen beheert voordat die sluit. In het Verenigd Koninkrijk adviseert het NCSC bedrijven, organisaties en goede doelen die op dit moment met een cyberincident te maken hebben om Report Fraud te bellen op 0300 123 2040 en optie 9 te kiezen. In de Verenigde Staten nemen CISA en IC3 van de FBI meldingen aan.
4. Meld het en informeer de betrokkenen
Doe aangifte bij de politie en informeer de betrokkenen. Als persoonsgegevens in het Verenigd Koninkrijk mogelijk zijn blootgesteld, moet u volgens de ICO waar mogelijk binnen 72 uur melding doen wanneer het lek waarschijnlijk risico's voor mensen oplevert.
5. Herstel en leer ervan
Herstel vanuit schone, geteste reservekopieën, verhelp de misbruikte kwetsbaarheden en houd een korte evaluatie zodra de rust is teruggekeerd. Schrijf op wat goed ging en wat u zou veranderen.
Hoe ziet een zwakke aanpak in het eerste uur eruit, en hoe een sterke?
Een zwakke aanpak in het eerste uur blijft stil en is geïmproviseerd. Priya verwijdert de vreemde verzonden e-mails, vraagt de vennoot om maandag het wachtwoord te wijzigen en vertelt de cliënten niets. Tegen maandag heeft de aanvaller het hele weekend toegang tot de mailbox gehad, is het bewijs verdwenen en heeft één cliënt de oplichter betaald.
Een goede aanpak in het eerste uur is rustig en wordt vastgelegd. Om 4.45pm opent Priya een logboek en noteert ze het bericht van de vennoot woord voor woord. Om 4.50pm belt ze de IT-dienstverlener, die het aanmelden bij de mailbox blokkeert en een wachtwoordwijziging met multifactorauthenticatie afdwingt. Om 5.05pm belt ze de twee cliënten op nummers uit de eigen administratie van het kantoor en zegt ze dat ze geen betalingen naar gewijzigde bankrekeningnummers moeten doen. Om 5.20pm vindt de dienstverlener een regel die facturen doorstuurt naar een extern adres en legt die vast voor onderzoek. Voor 6pm meldt ze het incident en plant ze de evaluatie voor maandag. Voor geen van deze stappen zijn technische vaardigheden nodig.
Kunnen AI-tools helpen bij de afhandeling van incidenten?
AI-tools kunnen u helpen bij de voorbereiding en communicatie, maar mogen geen beslissingen nemen over het beperken van een incident of gevoelig bewijsmateriaal inzien. Gebruik ze om vooraf een plan van één pagina op te stellen, een onbewerkt logboek om te zetten in een tijdlijn of een conceptbericht aan klanten te schrijven dat een mens controleert. Plak nooit logboeken, wachtwoorden of persoonsgegevens in een niet-goedgekeurde tool.
Hoe controleert u of uw incidentrespons heeft gewerkt?
U controleert uw reactie door na te gaan of de aanvaller geen toegang meer heeft, of de mensen die risico lopen op de hoogte zijn en of uw logboek elke beslissing kan verklaren aan iemand die er niet bij was.
Toegang afgesloten
Wachtwoorden opnieuw ingesteld, sessies beëindigd, verdachte mailboxregels of nieuwe beheerdersaccounts vastgelegd en afgehandeld door uw IT-dienstverlener.
Betrokkenen geïnformeerd
Getroffen cliënten, medewerkers en, waar vereist, toezichthouders of opsporingsinstanties zijn via betrouwbare kanalen geïnformeerd.
Bewijs bewaard
Er is niets verwijderd om het overzichtelijker te maken, en het logboek bevat tijdstippen, handelingen en wie elke beslissing heeft genomen.
Opgenomen lessen
De beoordeling noemt één wijziging die moet worden doorgevoerd, zoals overal multifactorauthenticatie instellen.
Wat zijn veelgemaakte fouten bij incidentrespons?
De meest voorkomende fout is wachten op zekerheid, want tegen de tijd dat een incident vaststaat, heeft de schade zich al verspreid. Andere fouten: bewijsmateriaal verwijderen om op te ruimen, computers uitschakelen in plaats van de verbinding te verbreken, mensen waarschuwen vanuit de gehackte mailbox, klanten niet informeren en geen IT-nummer hebben voor buiten kantooruren.
Waar staat deze les binnen Tosheo.ai?
Deze les hoort bij de categorie Cyberbeveiliging en de cursus cyberbeveiliging. In de praktijkopdracht op Tosheo.ai krijgt u een rommelige melding zoals die van Priya. U moet een logboek en acties voor het eerste uur opstellen, die worden beoordeeld aan de hand van een inzichtelijk beoordelingsschema. Het is een bewustwordingstraining, geen professionele cursus incidentrespons of digitaal forensisch onderzoek, en vervangt uw IT-dienstverlener niet.
Bronnen en reikwijdte
NCSC, gids voor kleine bedrijven: reageren en herstellen (gecontroleerd op 19 October 2026) ↗
NCSC, stap 2: vaststellen wat er gebeurt (gecontroleerd op 19 October 2026) ↗
CISA, ik ben getroffen door ransomware (gecontroleerd op 19 October 2026) ↗
ICO, een datalek met persoonsgegevens melden (gecontroleerd op 19 October 2026) ↗