Wat je als eerste doet
Als er bestanden zijn versleuteld, telt elk kwartier. Niet om te herstellen, maar om de verspreiding te stoppen.
- Haal getroffen machines van het netwerk. Trek de kabel eruit of zet wifi uit.
- Zet ze niet uit. In het werkgeheugen staat bewijs, en soms zelfs sleutels.
- Ontkoppel je back-ups van het netwerk voordat die ook aan de beurt zijn.
- Blokkeer de accounts waarvan je vermoedt dat ze gebruikt zijn, en meld alle sessies af.
- Bel je IT-partner of je verzekeraar. Die hebben vaak een dienst die dit dagelijks doet.
Wat je vooral niet doet
Niet betalen zonder overleg. Er is geen garantie dat je je gegevens terugkrijgt, en betalen maakt je een aantrekkelijk doelwit voor een tweede ronde.
Ook niet meteen alles opnieuw installeren. Weet je niet hoe ze binnenkwamen, dan zet je met een schone installatie hetzelfde gat weer open.
Gebruik voor de communicatie tijdens een incident niet je eigen mail. Ga er van uit dat de aanvaller meeleest, en schakel over op telefoon of een kanaal buiten je omgeving.
Wie je informeert
Zijn er persoonsgegevens geraakt, dan geldt een meldplicht bij de Autoriteit Persoonsgegevens (opent in een nieuw tabblad) binnen tweeënzeventig uur. Ga er niet van uit dat het geen datalek is omdat je alles kunt terugzetten. De aanvaller had toegang tot je systemen, dus de vraag is of er gegevens zijn gekopieerd. De AP beschrijft wanneer je wel en niet moet melden. Val je onder de Cyberbeveiligingswet, dan komt daar een eerste melding binnen vierentwintig uur bij. Het NCSC legt uit hoe die twee meldingen zich tot elkaar verhouden (opent in een nieuw tabblad). Zorg dat je weet wie ze doet voordat je ze nodig hebt.
Herstellen
Herstellen doe je in een vaste volgorde. Eerst vaststellen hoe ze binnenkwamen en dat gat dichten. Dan een schone omgeving opbouwen. Dan pas gegevens terugzetten uit een back-up van vóór de besmetting, en die datum ligt vaak verder terug dan je hoopt.
Hier blijkt of je back-upstrategie klopt. Zie een back-up die je nooit hebt teruggezet.
Voorkomen is saai en het werkt
De maatregelen die het meest opleveren zijn niet spannend. Meervoudige verificatie op alles wat vanaf internet bereikbaar is, updates die daadwerkelijk worden uitgevoerd, een back-up die niet te wijzigen is, en zo min mogelijk mensen met beheerdersrechten.
Wij richten dat in en bewaken het, zie VPS hosting en IT-consultancy.