Voorbij de inbreuk: Waarom de reactie nu het verhaal is

Nu datalekken steeds vaker voorkomen, hoe is het gesprek hierover geëvolueerd en wat leren recente incidenten over goede – en slechte – reacties op incidenten?

Nog maar vijf jaar geleden werd een bedrijf dat te maken kreeg met een datalek intensief onderzocht, met maandenlange analyses van hoe en waarom de aanval had plaatsgevonden – vooral als er gevoelige gegevens waren blootgesteld.

Hoewel dit niveau van toezicht nog steeds bestaat, wordt algemeen aanvaard dat cyberaanvallen zullen plaatsvinden, met name gericht op bekende bedrijven. Dit werd onlangs pijnlijk duidelijk toen bedrijven als Coca-Cola , Ernst & Young , Craneware en Abbott binnen enkele maanden na elkaar cyberincidenten toegaven.

Naast het datalek zelf, laten deze onthullingen in meerdere sectoren in een korte periode een grotere trend zien. Naarmate cyberincidenten moeilijker te voorkomen zijn, kijken klanten, toezichthouders en partners kritischer naar hoe organisaties reageren, herstellen en communiceren wanneer er iets misgaat.

Hoe heeft het gesprek zich ontwikkeld en wat onthullen recente datalekken over goede – en slechte – incidentrespons?

Veranderende verwachtingen

De verwachtingen rond cyberincidenten zijn veranderd. Tien jaar geleden werden organisaties vooral beoordeeld op de vraag of ze überhaupt een inbreuk hadden ondervonden. Tegenwoordig begrijpen belanghebbenden dat "geen enkele organisatie immuun is", aldus Doug Jewitt, security consultant bij Infinity Group.

Hij beschrijft hoe de focus is verschoven naar hoe snel een organisatie een incident identificeert, hoe transparant ze reageert en hoe effectief ze herstelt. "Er is een duidelijke verwachting dat organisaties van elke omvang over de juiste technische beheersmaatregelen beschikken."

De recente onthullingen rond Coca-Cola, Ernst & Young, Craneware en Abbott laten zien dat "tijdige en inhoudelijke communicatie" de reactie van belanghebbenden kan temperen, aldus Tracey Hannan-Jones, directeur informatiebeveiligingsadvies bij UBDS Group. "Stilzwijgen, uitstel of vage verklaringen nodigen uit tot speculatie en veroorzaken vaak reputatieschade die niet in verhouding staat tot het technische incident. Een organisatie die niet kan uitleggen wat er is gebeurd, wat ze doet en wat er nog onbekend is, geeft aan dat ze onvoorbereid was."

Het verschil tussen een goede en een slechte reactie draait om "zichtbaarheid en context", zegt Jeremy Leasher, security architect bij Binalyze. Hij is van mening dat de recente aanval op zorgorganisatie Stryker een duidelijk voorbeeld is van waar het mis kan gaan.

"In de eerste verklaring werd gesuggereerd dat er geen ransomware of malware was en dat het incident onder controle was", vertelt Leasher aan IO.

Technisch gezien klopte dit, maar toen bleek dat de aanval via een vertrouwde beheertool in plaats van malware was uitgevoerd, maakte dat niet meer uit, zegt Leasher. "Strategisch gezien leek het erop dat Stryker de dreiging niet begreep."

Rollen van de toezichthouder

Intussen spelen toezichthouders nu een belangrijke rol bij het vormgeven van de reactie op incidenten, inclusief de verwachtingen rondom rapportage en openbaarmaking.

De Britse algemene update van de AVG (Algemene Verordening Gegevensbescherming ) vereist dat inbreuken op persoonsgegevens binnen 72 uur worden gemeld, terwijl de Financial Conduct Authority , de EU-richtlijn inzake netwerk- en informatiesystemen 2 en de Amerikaanse Securities and Exchange Commission aanvullende meldingsplichten opleggen. "Toezichthouders beoordelen steeds vaker niet alleen of er een melding heeft plaatsgevonden, maar ook de snelheid, kwaliteit, nauwkeurigheid en opvolging ervan", aldus Hannan-Jones van UBDS Group.

Een van de grootste praktische gevolgen is de timing, zegt David Dumont, partner bij Hunton. Hij wijst erop dat veel meldingsverplichtingen zeer korte termijnen hebben. "Organisaties moeten dus mogelijk aanzienlijke tijd en middelen besteden aan het beoordelen van meldingsvereisten en het voorbereiden van formulieren voor toezichthouders, bijna direct nadat ze van een incident op de hoogte zijn geraakt, vaak terwijl de feiten zich nog ontwikkelen."

Tegelijkertijd speelt de toezichthouder zelf een steeds belangrijkere rol, aldus Paul Wiggins, data-expert bij Freeths. Hij wijst erop dat het Britse Information Commissioner's Office (ICO) onder de Data Use and Access Act over sterkere handhavingsbevoegdheden beschikt. "Naar verwachting zal het ICO optreden als een soort poortwachter, in de hoop dat dit een oplossing biedt voor claims met een lage waarde", vertelt hij aan IO.

Snelheid, transparantie en nauwkeurigheid

Hoewel cyberaanvallen bedrijven blijven treffen, geloven veel experts dat bedrijven steeds beter in staat zijn om met cyberincidenten om te gaan. Dray Agha, senior manager security operations center, EMEA bij Huntress, zegt dat de verbetering grotendeels te danken is aan het feit dat het stigma van een datalek langzaam verdwijnt. "Bedrijven erkennen dat incidenten een kwestie van 'wanneer, niet of' zijn, waardoor ze hun energie kunnen verleggen van het verbergen van het probleem naar het minimaliseren van de downtime."

Het is nu belangrijk dat organisaties tijdens een incident de juiste balans vinden tussen snelheid, transparantie en nauwkeurigheid.

Goed reageren op een inbreuk vereist een aantal belangrijke stappen. Het is essentieel om het juiste beleid en team paraat te hebben om "direct in actie te komen wanneer dat nodig is", aldus Wiggins van Freeths.

Hij benadrukt het belang van een team met externe adviseurs – zoals advocaten, PR-bureaus en cyberverzekeraars – wat volgens hem "fundamenteel" is voor het vormgeven van de strategie en de reactie op een incident. "Daarnaast is het belangrijk om de betrokkenen gerust te stellen en te ondersteunen, en om samen te werken met partners in de toeleveringsketen die de gevolgen van het incident ondervinden."

Volgens Leasher van Binalyze reageren organisaties het best op een datalek omdat ze van tevoren een plan hebben opgesteld.

In essentie vindt hij dat ze snel antwoord moeten kunnen geven op de drie basisvragen: "Heeft de aanvaller nog steeds toegang? Hoe zijn ze binnengekomen? Wat hebben ze meegenomen?"

Communicatie en transparantie zijn essentieel en kunnen "het verschil maken tussen een cyberincident dat een zakelijke uitdaging of een reputatiecrisis wordt", benadrukt Jewitt van Infinity Group. "Klanten, partners en toezichthouders begrijpen dat onderzoeken tijd kosten, maar ze verwachten eerlijkheid, tijdige updates en duidelijke uitleg over wat bekend is, wat nog onderzocht wordt en welke acties er worden ondernomen."

De sleutel is om "te communiceren wat je weet, te erkennen wat je niet weet en je te verplichten tot regelmatige updates", aldus Jewitt. "Wachten op perfecte informatie kan cruciale beslissingen vertragen, maar overhaaste conclusies kunnen het vertrouwen schaden."

Sterk bestuur

Een sterk bestuur vormt de basis voor een effectieve reactie op incidenten. Dit betekent dat er duidelijke verantwoordelijkheden, vastgestelde procedures en weloverwogen besluitvorming moeten zijn voordat een crisis zich voordoet.

Volgens Jewitt zorgt goed bestuur ervoor dat er tijdens een crisis snel en vol vertrouwen beslissingen kunnen worden genomen. "Duidelijke verantwoordelijkheden, vastgestelde escalatieprocedures en goed begrepen taken nemen onzekerheid weg wanneer tijd het meest telt. Organisaties die vóór een incident in bestuur investeren, zijn doorgaans beter in staat om te voldoen aan wettelijke vereisten, te communiceren met belanghebbenden en herstelmaatregelen te treffen wanneer zich een incident voordoet."

Een uitstekende reactie op incidenten kan niet geïmproviseerd worden, zegt Hannan-Jones van UBDS Digital. "Detectie is belangrijk, maar snelle beheersing is afhankelijk van duidelijke bevoegdheden en geoefende coördinatie. Technische, juridische, communicatie- en directieteams moeten vanaf het begin samenwerken. Cyberincidenten die data, intellectueel eigendom of bedrijfsvoering treffen, zijn zakelijke gebeurtenissen, geen simpele IT-problemen. Zichtbare betrokkenheid op bestuursniveau is essentieel."

ISO 27001 kan de paraatheid versterken wanneer het als operationeel kader wordt gebruikt, maar certificering alleen is onvoldoende, zegt Hannan-Jones. "Ongeteste plannen, slecht begrepen verantwoordelijkheden en oefeningen die zich uitsluitend op IT richten, creëren een vals gevoel van veiligheid."

Ze zegt dat effectieve veerkracht gebaseerd is op vier geoefende vaardigheden: "Detecteren, indammen, reageren en herstellen."