Ransomware paraatheid gaat zelden mis op techniek. Het gaat mis op de vraag wie er om drie uur ’s nachts mag besluiten dat de productieomgeving offline gaat. Organisaties investeren in back-ups, segmentatie en detectie, en ontdekken tijdens het echte incident dat niemand weet wie welke knoop doorhakt. Het NCSC beschrijft dat de eerste reactie vaak is om aanvallers zo snel mogelijk het netwerk uit te gooien, terwijl juist dan planmatig werken onder druk het verschil maakt tussen beheerst herstel en een tweede incident. Ransomware paraatheid is daarmee vooral een vraagstuk van teamorganisatie, niet van tooling.
De rollen die je vooraf belegt, niet tijdens
Ransomware paraatheid begint bij het besef dat een aanval binnen een uur vier verschillende disciplines raakt: techniek, bestuur, communicatie en juridisch. In de meeste organisaties zijn die vier nooit samen in een ruimte geweest voordat het misgaat. Dat is het eerste gat in de ransomware paraatheid van vrijwel elk bedrijf dat ik langs zie komen.
Het NCSC adviseert om altijd in een multidisciplinair team te oefenen, met naast het management een centraal aanspreekpunt voor interne en externe communicatie, iemand voor verslaglegging en ondersteuning, een verantwoordelijke voor de beveiliging van de IT-systemen en iemand die bevoegd is om besluiten te nemen. Die laatste rol is de belangrijkste en tegelijk de vaagst belegde. Wie mag beslissen dat vijfhonderd medewerkers vandaag niet kunnen werken? In de handleiding voor cyberoefeningen staat die bezetting uitgewerkt, inclusief het alarmeringsschema en de vaste overlegstructuur die je vooraf vastlegt.
Praktisch betekent ransomware paraatheid dat je vier mandaten schriftelijk vastlegt voordat er iets gebeurt. Wie mag systemen isoleren zonder toestemming te vragen. Wie mag extern communiceren namens de organisatie. Wie mag externe hulp inschakelen en tot welk bedrag. En wie neemt het besluit over betalen. Zonder die mandaten verdwijnt het eerste kritieke uur in het zoeken naar iemand die ja durft te zeggen.
Het losgeldbesluit hoort niet in de crisis thuis
De vraag of je betaalt, is de slechtst denkbare vraag om voor het eerst te stellen terwijl de systemen plat liggen. De politie is er duidelijk over: betaal bij voorkeur niet, omdat betaling geen garantie geeft dat gegevens worden vrijgegeven en de kans vergroot dat criminelen doorgaan. Wie toch betaalt of dat overweegt, wordt gevraagd dit altijd aan de politie te melden, omdat betalingsinformatie waardevol is voor het opsporingsonderzoek.
Sterke ransomware paraatheid betekent dat het bestuur dit standpunt vooraf heeft ingenomen en vastgelegd, als onderdeel van de ransomware paraatheid die het zelf uitdraagt. Niet als moreel statement, maar als besluit met randvoorwaarden: onder welke omstandigheden wijken we hiervan af, wie mag dat besluit nemen, en welke informatie moet er dan op tafel liggen. Een bestuur dat deze afweging voor het eerst maakt terwijl de telefoon roodgloeiend staat, maakt hem slecht.
Datzelfde geldt voor de juridische kant. Bij een ransomware-aanval is vrijwel altijd sprake van een datalek, omdat er toegang tot bestanden moet zijn geweest om ze te kunnen versleutelen, en dat moet binnen 72 uur bij de Autoriteit Persoonsgegevens gemeld worden. Die klok begint te lopen op het moment van ontdekking, niet op het moment dat het herstel klaar is. Wie dat pas tijdens het incident uitzoekt, verliest uren die het team elders nodig heeft. Het helpt om dit onderdeel te maken van de gesprekken die je toch al voert om je MT mee te krijgen op security.
Back-ups die je nooit hebt teruggezet, zijn geen back-ups
Bijna elke organisatie zegt back-ups te hebben. Aanzienlijk minder organisaties hebben ooit een volledig volume teruggezet om te meten hoe lang dat duurt. Het NCSC stelt dat een goede back-up getest en geverifieerd moet zijn op integriteit, zonder malware of ongewenste encryptie, en dat pas uit een restore-test van een heel volume of systeem blijkt wat realistische hersteltijden zijn. Dat cijfer is het fundament onder je ransomware paraatheid, want het bepaalt wat je het bestuur kunt beloven.
De praktijk is vaak ontnuchterend. Een restore die op papier acht uur duurt, blijkt in werkelijkheid drie dagen te kosten omdat de volgorde van afhankelijkheden niet is uitgedacht: je kunt de applicatie niet starten voordat de database terug is, en de database niet voordat de authenticatie werkt. Dat soort ketens ontdek je alleen door het een keer te doen, en juist daar wint ransomware paraatheid aan waarde. Plan die test in een rustige periode, met de mensen die het tijdens een incident ook zouden moeten doen.
Ransomware paraatheid vraagt ook om duidelijkheid over wat je niet gaat herstellen. Niet elk systeem hoeft binnen een dag terug te zijn. Door vooraf drie categorieën te benoemen, weet het team tijdens het incident waar het aan begint zonder daarover te hoeven vergaderen. Dat scheelt in de praktijk een halve dag discussie op het moment dat die het duurst is.
Communicatie is een securitytaak geworden
Bij moderne aanvallen wordt data eerst gestolen en dan pas versleuteld, wat de eisen aan ransomware paraatheid verandert. Dat verandert de communicatieopgave fundamenteel: je hebt niet alleen een storing uit te leggen, maar mogelijk ook een lek van klantgegevens. Aanvallers publiceren tegenwoordig data als drukmiddel, soms met een tijdlijn die publiek zichtbaar is. Je communicatie loopt dan tegen een klok die niet van jou is.
Wat werkt binnen ransomware paraatheid, is vooraf drie berichten schrijven en laten goedkeuren: een interne mededeling aan medewerkers, een bericht aan klanten of ketenpartners, en een verklaring voor het geval de pers belt. Ze hoeven niet perfect te zijn, ze moeten bestaan. Een concept dat er ligt is binnen twintig minuten aan te passen; een bericht dat vanaf nul geschreven wordt terwijl iedereen door elkaar praat, kost uren en bevat fouten die later tegen je gebruikt worden.
Hier zit ook de link met de dagelijkse werkwijze van het securityteam. Een team dat gewend is om waarnemingen scherp op te schrijven, communiceert onder druk aantoonbaar beter. Dat is precies wat goede werkprocessen opleveren, en waarom bruikbare SOC-playbooks meer waarde hebben dan uitgebreide documentatie die niemand tijdens een incident openslaat.
Oefenen is het enige dat paraatheid aantoonbaar maakt
Een plan dat nooit is gebruikt, is een aanname. Het NCSC omschrijft een goede crisisoefening als een oefening met vooraf gecommuniceerde oefendoelen en meerdere overlegrondes waarin steeds nieuwe informatie wordt ingebracht, zogeheten injects, waarna het team zich een beeld vormt, beoordeelt en besluit. Die opzet legt binnen twee uur bloot waar de besluitvorming vastloopt. Wij werkten een vergelijkbare opzet uit in ons draaiboek voor incident response oefeningen, dat zonder extern bureau uitvoerbaar is.
Het verschil tussen kennis en kunde is op dit punt hard. Iemand kan precies uitleggen wat containment inhoudt en vervolgens bevriezen als het moment daar is. Dat is de reden waarom wij consequent praktijkgerichte incident response training met simulaties boven theoretische modules zetten, en waarom een cursus alleen niet volstaat om onder druk te presteren. Ransomware paraatheid ontstaat door het een keer meegemaakt te hebben, ook als dat in een geoefende setting was.
Toets bij die oefening de volle breedte van je ransomware paraatheid, niet alleen de techniek. De waardevolste inzichten komen uit de momenten waarop het crisisteam moet kiezen tussen twee slechte opties met onvolledige informatie. Laat iemand die niet meedoet meekijken als onafhankelijke waarnemer, en evalueer in een setting waarin fouten benoemd mogen worden. Een evaluatie waarin niemand durft te zeggen wat er misging, levert niets op.
De mensen die het moeten doen, moeten het kunnen
Ransomware paraatheid valt of staat met een handvol mensen die weten wat ze zien. Iemand moet kunnen vaststellen of de aanvaller nog binnen is, welke accounts zijn misbruikt en of er data is weggesluisd. Dat is analistenwerk op niveau, en het is aan te leren. De opleiding SOC T1 + T2 Analyst legt de basis voor gestructureerde triage, terwijl de opleiding SOC T3 Analyst zich richt op zelfstandig onderzoek en escalatie. Voor organisaties die na een incident willen kunnen reconstrueren wat er precies gebeurd is, biedt de opleiding Cyber Forensics Expert de onderzoeksvaardigheden, en gaat de opleiding Windows Memory Forensics & Malware Analysis dieper op de gebruikte malware in.
Ook de niet-technische kant is te trainen. Medewerkers die een verdachte mail durven te melden in plaats van hem stil te verwijderen, verkorten de detectietijd meetbaar; een gerichte Cyber Awareness Training richt zich op dat gedrag. Hoe je de rollen rond detectie en respons belegt, staat uitgewerkt in ons artikel over het samenstellen van een securityteam. En let op de belasting van dat team: een groep die al maanden achter alertmoeheid aanloopt, presteert niet tijdens een crisis van drie dagen.
Wat dit oplevert als het misgaat
De opbrengst van ransomware paraatheid laat zich rekenen. Elke dag dat het primaire proces stilligt, kost omzet, inhuur en herstelcapaciteit; in ons overzicht van wat een cyberincident werkelijk kost staat de rekenmethode. Een team dat de eerste dag beheerst doorkomt, verkort de totale hersteltijd doorgaans met dagen. Dat is de vergelijking die je aan het bestuur voorlegt, niet het aantal geblokkeerde aanvallen.
De organisaties die dit goed hebben staan, hebben geen groter budget. Ze hebben de mandaten vastgelegd, de restore getest, drie berichten klaarliggen en een team dat het een keer heeft geoefend. Dat is te organiseren binnen een kwartaal. Op de pagina voor werkgevers staat hoe wij die capaciteit samen met teams opbouwen, van open klas tot in-company traject op de eigen omgeving. Wie eerst het niveauoverzicht wil zien, vindt op de pagina met alle opleidingen het volledige aanbod, waaronder de brede opleiding Cyber Security Specialist voor medewerkers die vanuit een IT-rol doorgroeien naar security. Wil je toetsen hoe ver jouw ransomware paraatheid werkelijk reikt? Bekijk de eerstvolgende startdata of plan een kennismaking om te bespreken welk traject aansluit bij je team.
