Als je bedrijf gehackt is, handel dan onmiddellijk: isoleer getroffen systemen, informeer je IT-verantwoordelijke of externe specialist, en documenteer wat je ziet. Snel en gestructureerd handelen beperkt de schade en voorkomt dat aanvallers nog dieper in je netwerk doordringen. In dit artikel beantwoorden we de meest gestelde vragen na een cyberaanval, van de eerste noodstappen tot structureel herstel.
Wat zijn de eerste stappen na een cyberaanval?
Na een cyberaanval geldt één prioriteit: beperk de schade zo snel mogelijk. Koppel getroffen systemen los van het netwerk, schakel geen apparaten volledig uit (dit kan forensisch bewijs vernietigen), en informeer direct de juiste mensen binnen je organisatie. Documenteer alles wat je ziet, inclusief tijdstippen en verdachte meldingen.
Zorg daarna dat de volgende stappen in gang worden gezet:
- Isoleer getroffen systemen door ze van het netwerk te halen, maar laat ze aan staan voor forensisch onderzoek.
- Informeer sleutelpersonen: directie, IT-verantwoordelijke en indien van toepassing een externe incident response-specialist.
- Documenteer de situatie: welke systemen zijn getroffen, welke meldingen verschijnen, wat is er wanneer opgemerkt?
- Wijzig wachtwoorden van kritieke accounts, te beginnen bij beheerdersaccounts en e-mail.
- Meld het incident intern zodat medewerkers niet onbewust verdere schade veroorzaken, bijvoorbeeld door verdachte e-mails te openen.
Wat je in de eerste uren doet, bepaalt in grote mate hoeveel schade beheersbaar blijft. Improviseer niet, maar werk bij voorkeur op basis van een vooraf opgesteld incidentresponsplan. Organisaties die beschikken over een ISO 27001-gecertificeerd ISMS hebben dit soort procedures doorgaans al vastgelegd en geoefend.
Ben je verplicht een datalek te melden bij de Autoriteit Persoonsgegevens?
Ja, in veel gevallen ben je wettelijk verplicht een datalek te melden bij de Autoriteit Persoonsgegevens (AP). Onder de AVG geldt: als bij een cyberaanval persoonsgegevens zijn gelekt, vernietigd of onrechtmatig verwerkt, moet je dit binnen 72 uur melden bij de AP, tenzij het onwaarschijnlijk is dat er een risico is voor de betrokkenen.
De meldplicht geldt voor vrijwel elke organisatie die persoonsgegevens verwerkt. Denk aan klantgegevens, personeelsdossiers of patiëntinformatie. Bij een hack is het lang niet altijd meteen duidelijk welke gegevens zijn aangetast, maar dat ontslaat je niet van de meldplicht. Je bent verplicht te melden zodra je redelijkerwijs kunt aannemen dat er sprake is van een datalek.
Naast de melding aan de AP moet je in sommige gevallen ook de betrokkenen zelf informeren, namelijk wanneer het lek waarschijnlijk een hoog risico oplevert voor hun rechten en vrijheden. Een Functionaris Gegevensbescherming kan je helpen beoordelen of en hoe je moet melden, en zorgt dat je organisatie de juiste stappen zet binnen de wettelijke termijnen.
Hoe stel je vast hoe groot de schade is?
De omvang van de schade na een cyberaanval stel je vast door een gestructureerd onderzoek uit te voeren naar welke systemen zijn gecompromitteerd, welke gegevens zijn benaderd of buitgemaakt, en hoe lang de aanvaller toegang heeft gehad. Dit heet een forensisch onderzoek en vereist technische expertise.
Schakel bij voorkeur een gespecialiseerde partij in voor dit onderzoek. Zelf rondklikken in getroffen systemen kan sporen uitwissen. Het forensisch onderzoek richt zich op:
- Logbestanden: welke systemen zijn wanneer benaderd en door wie?
- Dataverlies: zijn er bestanden versleuteld, gekopieerd of verwijderd?
- Toegangspunten: hoe is de aanvaller binnengekomen? Via phishing, een zwak wachtwoord, een kwetsbare applicatie?
- Verspreiding: heeft de aanvaller zich door het netwerk bewogen en andere systemen bereikt?
Op basis van dit onderzoek kun je een realistisch beeld vormen van de technische, juridische en financiële schade. Dat beeld is ook nodig voor eventuele aangifte bij de politie en voor de communicatie richting klanten, leveranciers of toezichthouders.
Moet je losgeld betalen bij een ransomware-aanval?
Nee, het betalen van losgeld bij een ransomware-aanval wordt sterk afgeraden. Er is geen garantie dat je na betaling daadwerkelijk toegang krijgt tot je bestanden, en betaling stimuleert criminelen om door te gaan met aanvallen. Bovendien kan betaling in sommige gevallen juridische gevolgen hebben als de ontvanger op een sanctielijst staat.
Toch is de druk om te betalen bij een ransomware-aanval enorm, zeker als kritieke systemen platliggen en bedrijfscontinuïteit in gevaar is. Overweeg in plaats van betaling de volgende opties:
- Herstel vanuit back-ups: als je recente, offline of geïsoleerde back-ups hebt, is dit de meest betrouwbare route.
- Decryptiehulpmiddelen: voor sommige ransomwarevarianten zijn gratis decryptietools beschikbaar via platforms zoals No More Ransom (nomoreransom.org).
- Aangifte bij de politie: doe aangifte en raadpleeg het Team High Tech Crime van de politie, dat in bepaalde gevallen kan ondersteunen.
- Incident response-specialist: een gespecialiseerd bedrijf kan beoordelen welke opties realistisch zijn.
De beste bescherming tegen ransomware is voorkomen dat aanvallers überhaupt succesvol zijn. Dat vraagt om goede back-upprocedures, toegangsbeheer en een actueel beveiligingsbeleid.
Hoe herstel je systemen veilig na een hack?
Systemen herstel je veilig na een hack door eerst de oorzaak volledig te begrijpen en te verhelpen, en pas daarna te beginnen met herstel. Wie systemen herstelt zonder de aanvalsvector te dichten, riskeert dat de aanvaller opnieuw toegang krijgt, soms nog voordat het herstel is afgerond.
Een veilig herstelproces verloopt in fasen:
- Analyse afronden: zorg dat het forensisch onderzoek is afgerond en de oorzaak bekend is.
- Kwetsbaarheden dichten: patch de zwakheden die zijn misbruikt, verwijder kwaadaardige software en sluit ongeautoriseerde toegangspunten.
- Systemen schoonmaken of opnieuw installeren: bij ernstige infecties is een schone installatie veiliger dan proberen malware handmatig te verwijderen.
- Herstel vanuit back-up: gebruik alleen back-ups waarvan zeker is dat ze zijn gemaakt vóór de aanval en niet zijn besmet.
- Monitoring intensiveren: houd systemen na herstel nauwlettend in de gaten op verdachte activiteit.
- Evalueren en documenteren: leg vast wat er is gebeurd, hoe je hebt gereageerd en wat er verbeterd moet worden.
Het herstelproces is ook een moment om te toetsen of je beheer van je ISMS op orde is. Organisaties met gedocumenteerde procedures herstellen sneller en gestructureerder dan organisaties die dit voor het eerst moeten improviseren.
Hoe voorkom je dat je bedrijf opnieuw gehackt wordt?
Je voorkomt herhaling door informatiebeveiliging structureel te verankeren in je organisatie, niet als eenmalige actie maar als doorlopend proces. Dat betekent: risico’s kennen, maatregelen treffen, medewerkers trainen en regelmatig controleren of alles nog werkt. Een hack is pijnlijk, maar ook een kans om fundamentele verbeteringen door te voeren.
De meest effectieve maatregelen om herhaling te voorkomen zijn:
- Toegangsbeheer verbeteren: gebruik sterke wachtwoorden, meerfactorauthenticatie en het principe van minimale rechten (alleen toegang tot wat nodig is).
- Software en systemen actueel houden: verouderde software is een van de meest misbruikte aanvalsvectoren.
- Medewerkers bewust maken: phishing is nog altijd de meest gebruikte methode om binnen te komen. Regelmatige bewustwordingstrainingen zijn essentieel.
- Back-ups testen: zorg voor recente, geïsoleerde back-ups en test regelmatig of je ze kunt terugzetten.
- Incidentresponsplan opstellen: weet van tevoren wie wat doet als het misgaat.
- Interne audits uitvoeren: controleer periodiek of maatregelen nog werken zoals bedoeld.
Organisaties die werken met een erkend normenkader zoals NIS2 of ISO 27001 hebben een systematisch kader om al deze maatregelen te organiseren en aantoonbaar te maken. Dat maakt informatiebeveiliging niet alleen sterker, maar ook transparanter richting klanten en toezichthouders.
Hoe Kwinzo helpt na een cyberaanval en bij het voorkomen ervan
Wij bij Kwinzo helpen organisaties in zorg, ICT en onderwijs om informatiebeveiliging structureel op orde te krijgen, zodat de kans op een succesvolle aanval kleiner wordt en de schade bij een incident beheersbaar blijft. Onze aanpak is concreet en praktisch:
- Implementatie van een ISMS: we begeleiden je bij het opzetten van een Information Security Management System op basis van ISO 27001 of andere relevante normen, inclusief incidentresponsbeleid en continuïteitsprocedures.
- Interne audits: onze interne audits geven inzicht in kwetsbaarheden voordat een externe partij of aanvaller ze vindt.
- Trainingen voor medewerkers: via interactieve trainingen vergroten we het beveiligingsbewustzijn binnen je organisatie, een van de meest effectieve preventieve maatregelen.
- Functionaris Gegevensbescherming: bij een datalek zorgen we dat de meldplicht correct en tijdig wordt nagekomen.
- Maandelijkse workshops: voor Security Officers die hun kennis actueel willen houden en willen leren van praktijkervaringen.
Informatiebeveiliging moet werken in de praktijk, niet alleen op papier. Wil je weten hoe je organisatie er nu voor staat en wat de prioriteiten zijn? Neem contact op voor een vrijblijvend adviesgesprek.