Incidentrespons behandelt een beveiligingsinbreuk van detectie tot herstel. Het proces volgt een vast raamwerk: voorbereiding, identificatie, beheersing, eliminatie, herstel en lessen die zijn geleerd. Elke fase kent zijn eigen uitdagingen. Voorbereiding omvat het samenstellen van het team, de tools en de draaiboeken. Identificatie bevestigt dat er daadwerkelijk sprake is van een incident en geen vals alarm. Beheersing stopt de verspreiding. Eliminatie verwijdert de toegang van de aanvaller. Herstel herstelt de normale bedrijfsvoering. Lessen die zijn geleerd voorkomen een volgend incident.

Snelheid is cruciaal in elke fase. Hoe langer een aanvaller binnen blijft, hoe meer schade hij aanricht. De gemiddelde verblijftijd, de tijd tussen een inbreuk en de detectie ervan, is in de loop der jaren weliswaar afgenomen, maar bedraagt ​​voor veel organisaties nog steeds weken. Ransomware-teams werken sneller. Ze stelen data en versleutelen systemen binnen enkele dagen. Een responsplan dat een week nodig heeft om te activeren, is nutteloos tegen die tijdslijn. De beste incidentresponsteams oefenen. Ze voeren simulaties uit, simuleren inbreuken en oefenen de communicatie. Ze weten wie de juridische afdeling inschakelt, wie met de pers praat en wie met de aanvaller onderhandelt. Wanneer het echte incident zich voordoet, hoeven ze het niet voor het eerst uit te zoeken. Ze voeren een plan uit dat ze al eerder hebben geoefend.

Fasen van incidentrespons

• Voorbereiding — team, hulpmiddelen en draaiboeken
• Identificatie — bevestig en bepaal de omvang van het incident
• Inperking — voorkom verspreiding
• Uitroeiing — toegang voor aanvallers blokkeren
• Herstel — hervat de werkzaamheden
• Lessen geleerd – verbeter je voor de volgende keer

Incidentbestrijding is teamwork. Het technische werk is slechts de helft. Communicatie en coördinatie bepalen de uitkomst.