Digital forensics wordt in de meeste organisaties ingekocht, en dat is bij een zwaar incident vaak de juiste keuze. Het probleem zit in de uren daarvoor. Tussen de melding en het moment waarop een extern bureau aan tafel zit, ligt een periode waarin je eigen mensen handelen, en wat zij in die periode doen bepaalt of er straks nog iets te onderzoeken valt. Digital forensics begint dus eerder dan de meeste organisaties denken.
De reflex bij een incident is herstellen. Systeem opnieuw opstarten, schone image terugzetten, dienstverlening weer op gang. Elke stap daarvan is begrijpelijk, en elke stap wist bewijs dat je later nodig hebt om de vraag te beantwoorden hoe ze binnenkwamen en of het nog een keer kan gebeuren. De directie stelt die vraag gegarandeerd, meestal binnen een week.
De klok loopt vanaf de eerste minuut
Het NCSC benoemt bij het opstellen van een incidentresponsplan een analysefase waarin je vaststelt wat er is gebeurd, hoe groot het incident is en welke gegevens je verzamelt, omdat die informatie later als bewijsmateriaal kan gelden. Die fase moet vooraf belegd zijn, want tijdens een incident wordt er niet meer nagedacht over procedures. Digital forensics is daarmee vooral een kwestie van voorbereiding.
Wat er in de praktijk verdwijnt, verdwijnt in een vaste volgorde. Die volgorde kennen is het halve werk.
| Moment | Wat er met het bewijs gebeurt | Wat je op dat moment zelf moet kunnen |
| Eerste uur | Geheugen bevat nog draaiende processen | Een geheugenimage maken voor de herstart |
| Eerste dag | Logbestanden roteren en overschrijven | Weten welke bronnen je eerst veiligstelt |
| Dag twee | Herstelwerk wist sporen van de aanval | Onderzoeken tijdens herstel, niet erna |
| Week een | Cloudlogging valt buiten de bewaartermijn | Export aanvragen voordat het venster sluit |
| Later | Niemand weet meer wie wat heeft aangeraakt | Chain of custody vanaf het begin vastleggen |
De eerste regel is de scherpste. Een draaiend systeem bevat informatie die nergens op schijf staat: actieve netwerkverbindingen, processen die zichzelf na een herstart niet meer laden, versleutelingssleutels in het geheugen. Bij ransomware kan dat laatste het verschil maken tussen herstellen en betalen. Wie het systeem uitzet voordat iemand een geheugenimage heeft gemaakt, gooit dat weg. Dat is geen fout van de beheerder, want niemand heeft hem verteld dat die stap bestaat. Een basisniveau digital forensics bij de eerste lijn voorkomt precies dit.
Wanneer een extern bureau te traag wordt
Digital forensics uitbesteden werkt goed bij een groot, eenmalig incident waarbij een doorlooptijd van een dag acceptabel is. Het werkt slecht in drie situaties, en die zijn te herkennen voordat ze zich voordoen.
De eerste is volume. Vanaf een handvol onderzoeken per jaar wordt inhuur per zaak duur en traag, terwijl het werk inhoudelijk herhaalt. Reken je eigen aantal van vorig jaar na voordat je deze afweging maakt. De tweede is gevoeligheid: bij een vermoeden rond een eigen medewerker wil je zelden een extern team in je personeelsdossiers. Hoe je zulke signalen vroeg oppikt beschreven we bij insider threat-detectie en de rol van HR. De derde is snelheid bij lopende dreiging, want zolang je niet weet hoe iemand binnenkwam, weet je ook niet of hij er nog is. In die drie gevallen levert digital forensics in eigen huis direct rendement op.
IBM meldt in de Cost of a Data Breach Report 2026 een wereldwijd gemiddelde van 4,99 miljoen dollar per datalek, twaalf procent hoger dan het jaar ervoor, gedreven door hogere kosten voor detectie, escalatie en omzetverlies. Detectie en escalatie zijn precies de fasen waarin digital forensics in eigen huis tijd wint, en tijd is in dit rekenmodel de grootste kostenpost.
Wat je minimaal zelf moet beheersen
Een volledige forensische afdeling is voor de meeste organisaties overdreven. Een basisniveau digital forensics bij twee mensen is dat zeker niet. Drie vaardigheden bepalen of de eerste uren iets opleveren.
De eerste is veiligstellen: een forensisch correcte image maken van geheugen en schijf zonder het origineel te wijzigen. De tweede is prioriteren: weten welke bronnen het snelst vervallen en die als eerste vastleggen. De derde is vastleggen: bijhouden wie wat wanneer heeft aangeraakt, zodat de chain of custody klopt op het moment dat iemand ernaar vraagt.
Die drie vaardigheden hoeven niet bij een specialist te liggen. Ze horen bij de mensen die als eerste bij een incident zijn, en dat zijn doorgaans je beheerders en je SOC-analisten. Digital forensics werkt het best als reflex bij die groep. Hoe je die reflex traint beschreven we bij praktijkgerichte incident response-training en in ons draaiboek voor incident response-oefeningen.
Wat je in acht dagen leert
De opleiding Cyber Forensics Expert omvat 64 academische uren over acht dagen, verdeeld over vier modules. Windows- en registryforensics behandelt NTFS-analyse, registerhives, Shell Items, LNK-bestanden en USB-onderzoek, plus het maken van live systeem- en geheugenimages.
De tweede module gaat over browser-, cloud- en e-mailforensics: onderzoek in Microsoft 365, SharePoint, OneDrive en Google Workspace, herstel van verwijderde bestanden en registersleutels, file carving, en het detecteren van anti-forensische technieken zoals file wiping en tijdmanipulatie. Die laatste categorie is belangrijk, want een aanvaller die zijn sporen opruimt laat daarmee een ander soort spoor achter. Dat herkennen is een van de lastigste onderdelen van digital forensics.
De derde module behandelt macOS: systeemlogboeken, Safari-geschiedenis, Keychain-data, Time Machine-backups en de Spotlight-database. In organisaties waar de directie op een Mac werkt, is dat precies de laag waar het onderzoek anders stopt, terwijl daar juist de gevoeligste informatie staat.
De vierde module is CCTV- en videoforensics, met metadata-extractie, authenticiteitsonderzoek en het detecteren van deepfakes en gemanipuleerd beeldmateriaal. Dat sluit aan op een reële ontwikkeling: IBM signaleert een stijging van zesenvijftig procent in AI-gedreven aanvallen, aangevoerd door deepfake-imitatie. Wat dat voor beleid betekent beschreven we bij shadow AI en de risico’s van AI-gebruik.
Bewijs dat standhoudt
Digital forensics binnen een bedrijf eindigt vaker in een juridische procedure dan mensen verwachten: bij ontslag op staande voet, bij een geschil met een leverancier, bij aangifte na fraude. Op dat moment telt hoe het bewijs is verzameld.
Het programma besteedt daar expliciet aandacht aan, met chain of custody, forensisch correcte imaging en rapportage die standhoudt in een juridische procedure. Dat onderdeel is in de praktijk het verschil tussen een onderzoek dat een besluit onderbouwt en een onderzoek dat door de tegenpartij wordt weggewuifd. Een technisch perfecte analyse zonder vastgelegde chain of custody is juridisch weinig waard.
Voor wie de aanvalskant beter wil begrijpen om sporen te kunnen duiden, geeft MITRE ATT&CK een gedeelde taal voor aanvallerstechnieken op basis van waargenomen aanvallen. Dat helpt om binnen digital forensics van losse artefacten een verhaal te maken dat een bestuurder begrijpt.
Wie je hiervoor opleidt
De opleiding vraagt basiskennis van Windows, informatiebeveiliging en TCP/IP, en is uitdrukkelijk geen instaptraject. Geschikte deelnemers voor digital forensics zijn ervaren beheerders, SOC-analisten en technisch onderlegde CISO’s. Programmeerervaring is niet nodig. De European Cybersecurity Skills Framework van ENISA beschrijft twaalf beroepsprofielen met bijbehorende taken, wat helpt om deze rol naast je bestaande functies te plaatsen.
In de praktijk is de sterkste deelnemer vaak iemand die al incidenten afhandelt en merkt dat het onderzoek stopt op het moment dat het interessant wordt. Voor teams die eerst de detectiekant op orde brengen, ligt de opleiding SOC T1 + T2 Analyst eerder in de route, en voor diepgaande malware-analyse bestaat de opleiding Windows Memory Forensics & Malware Analysis als vervolg. Waar dit past in de opbouw van je team staat in SOC Tier 3 intern opbouwen.
Inplannen zonder je operatie te raken
Er zijn twee leervormen. Een aaneengesloten blok van acht dagen binnen twee weken, of een gespreid schema van acht weken met twee tot drie dagdelen per week. Die tweede vorm is voor de meeste organisaties de werkbare, omdat iemand twee weken volledig missen zelden kan. Elke deelnemer werkt in een eigen labomgeving met echte forensische tools en realistische onderzoeksscenario’s.
Er staat geen vaste startdatum gepland; het traject wordt op aanvraag ingericht. Voor een team met dienstroosters is dat gunstig, omdat je de planning om je eigen rustige periode heen legt. Wat je vooraf regelt staat in de voorbereiding voordat een opleidingstraject begint.
Leid twee mensen op in plaats van één. Digital forensics komt onregelmatig en vaak ongelegen, en één opgeleide medewerker die met vakantie is, levert geen capaciteit op. De afweging tussen zelf doen en inkopen werkten we uit bij uitbesteden tegenover intern opbouwen, en de onderbouwing richting finance in de ROI van opleiden.
Digital forensics hoeft geen afdeling te worden. Het moet een reflex worden bij de mensen die als eerste bij een incident staan. Op de pagina voor werkgevers staan de in-company mogelijkheden en het volledige opleidingsaanbod is per niveau geordend. Wil je bespreken welk niveau bij jouw incidentvolume past, plan dan een kennismaking.
