Steeds meer organisaties houden rekening met een cyberincident. Maar bent u in staat om, net als bij een ingegooide ruit, te achterhalen wat er precies is gebeurd, welke schade er is aangericht en wat de gevolgen zijn voor uw organisatie? Net als bij een ingegooide ruit zult u bij een cyberincident aanwijzingen en bewijsmateriaal moeten vinden waarover u forensisch onderzoek uitvoert om antwoorden te krijgen op de bovenstaande vragen. De kunst is om vervolgens met minimale kosten gedegen forensisch onderzoek uit te voeren. In deze blog hoop ik meer duidelijkheid te geven door u mee te nemen naar de eerste fase van de Incident Response (IR) levenscyclus en waarom deze fase van forensic readiness zo belangrijk is.

De samenhang tussen de IR-levenscyclus en forensic readiness

Er bestaan verschillende modellen die de IR-levenscyclus beschrijven. Bekende modellen komen van de hand van NIST en van SANS Institute. Beide modellen benoemen de verschillende fases waarin een cyberincident zich kan bevinden. De modellen zijn eensgezind en starten met de voorbereidende fase. In de voorbereidende fase zorgt een organisatie ervoor, zoals de naam het al aangeeft, dat ze zich voorbereidt op een cyberincident. Dit is te vertalen naar het verbeteren en optimaliseren van de verdedigende linie. Een goede verdediging, ofwel voorbereiding, kun je opsplitsen in twee componenten.

De eerste component is het ervoor zorgen dat er zoveel mogelijk cyberincidenten worden voorkomen. Ieder voorkomen cyberincident is immers een kostenbesparing op de inzet van extra middelen. Kenmerkend aan de voorbereidende fase vergeleken met de andere fases in de IR-levenscyclus is dat u proactief en in control bent waarbij u de aanvallende partij probeert voor te zijn. Als verdedigende partij heeft u vrijwel continu de mogelijkheid om uw “verdediging” te bestuderen, te evalueren en te verbeteren waar nodig. Dit is een repetitief proces waar naar continu kwaliteitsverbetering wordt gewerkt. Denk aan het verbeteren van de detectiemogelijkheden, het ontwikkelen van nieuwe karakteristieken of het verkrijgen van vernieuwde inzichten in reguliere activiteiten op systemen en netwerken binnen de organisatie.

Deze versturen we 3-4x per jaar.