Gehackt? 5 moeilijke beslissingen die niemand voor je neemt

Stel: je bedrijf is gehackt.

Je ICT-leverancier gaat aan de slag met de techniek. Maar dan liggen er beslissingen op tafel die niemand anders voor je neemt. Niet je leverancier, niet je verzekeraar. Jij.

En het zijn moeilijke beslissingen. Bij elke keuze heeft iedere optie een prijs. En wachten is óók een keuze. In dit artikel neem ik er vijf met je door. Liever kijken dan lezen? De video staat bovenaan.

Waarom dit mijn onderwerp is

Ik heb jarenlang een IT-bedrijf gehad, met zo'n 25 mensen. Als IT-bedrijf draag je een enorme verantwoordelijkheid, voor je klanten en voor je eigen personeel. Ik was dus constant bezig met de vraag of de boel bleef lopen. Is de veiligheid goed geborgd? Kan ik herstellen als het misgaat? Hoe houd ik de dienstverlening overeind met zo min mogelijk risico, tot en met de controle op mijn eigen leveranciers?

Nu zie ik bij ondernemers één misvatting steeds terugkomen. Men kijkt naar de afdeling ICT, of naar de externe leverancier: die lossen het wel op. Maar de techniek is maar een deel van het verhaal. Op het moment dat het misgaat, verschuift het probleem van de afdeling ICT direct naar de directiekamer. En daar zit jij dan.

Dat moment kies je niet zelf. Het gebeurt op de meest onmogelijke momenten: tijdens je vakantie, op een weekendje weg met je familie, of net op een zaterdag. Je telefoon gaat, en je staat ineens enorm onder druk. Stel je managementteam dan drie vragen, en je krijgt vijf antwoorden.

Nog één ding vooraf. Dit zijn niet in elke situatie de vijf belangrijkste beslissingen. Dat hangt af van je bedrijf, van de situatie en eerlijk gezegd ook van wie je bent. Maar het zijn er vijf waar je echt even bij stil moet staan.

1. Isoleren of doorwerken

Isoleer je je systemen, of laat je je processen doorlopen?

Isoleren is prioriteit nummer één. Je wilt voorkomen dat de versleuteling zich verder uitbreidt. Maar je diensten vallen dan meteen uit. Je verliest omzet, de productie ligt stil en je ketenpartners merken het ook.

Laat je je belangrijkste processen beperkt doorlopen, dan blijft je bedrijf draaien. Maar je geeft de aanvaller mogelijk meer tijd, en meer toegang.

Let op: isoleren is iets anders dan uitzetten. Isoleren betekent loskoppelen van het netwerk, terwijl het apparaat gewoon aan blijft. Zo stop je de verspreiding, en blijven de sporen bewaard die de specialisten later nodig hebben.

De vraag voor jou: wie mag bij jullie iets loskoppelen? En welke processen moeten echt openblijven?

2. Eigen team of specialisten

Onderzoek je het met je eigen mensen, of haal je meteen externe specialisten erbij?

Begin in elk geval zo snel mogelijk. Je wilt weten wat de oorzaak is, en je hebt een rapportage nodig om het incident te kunnen melden.

Externe specialisten geven je slagkracht. Maar het kost geld, ze moeten zich inwerken en je deelt gevoelige informatie met een buitenstaander.

Je eigen team kent de omgeving en kan direct aan de slag. Maar heeft het ervaring met een echte aanval? Goedbedoelde herstelacties kunnen sporen wissen, of ervoor zorgen dat je opnieuw besmet raakt.

En dan een heel praktisch voorbeeld waar nog wel eens langs wordt gekeken. Heb je een cyberverzekering, en waar is die polis? Als al je data versleuteld is, kun je die polis ook niet meer openen. Heb je hem op papier? Dat zijn simpele dingen, maar op dat moment zijn ze ineens heel belangrijk.

3. Nu vertellen of eerst meer weten

Vertel je het nu, of wacht je tot je meer weet?

Klanten, leveranciers en vooral je eigen personeel moeten weten wat er aan de hand is. Wat ze wel en niet moeten doen, en wat ze wel en niet tegen anderen zeggen. Collega's zijn namelijk snel geneigd om informatie naar buiten te brengen.

Vroeg informeren helpt mensen om snel de juiste dingen te doen, en het remt geruchten. Maar je moet later misschien dingen aanvullen of corrigeren.

Even wachten geeft je meer feiten. Maar dan nemen anderen misschien te laat maatregelen, en bepaalt iemand anders het verhaal.

Ook hier speelt iets praktisch. Je contactgegevens staan op dat moment misschien in een systeem dat versleuteld is. Heb je de belangrijkste nummers op papier, en binnen handbereik?

4. Snel herstellen of eerst schoon

Herstel je snel, of zorg je eerst dat alles echt schoon is?

Je wilt je systemen zo snel mogelijk terug. Logisch. Maar als je een deel herstelt om de boel weer op gang te krijgen, zit de aanvaller misschien nog steeds in je systemen. Net gemist, of goed verstopt.

Daar staat tegenover dat alles opnieuw opbouwen een tijdrovende klus is. Dat betekent langere uitval, hogere kosten en meer last voor je klanten.

Absolute zekerheid krijg je zelden. Spreek daarom af wanneer je weer opstart, en wie het risico accepteert dat dan nog overblijft.

5. Losgeld betalen of niet

Eerlijk gezegd vind ik dit zelf de moeilijkste. Betaal je losgeld, of niet?

Ik kan me heel goed voorstellen dat je dan voor een enorm dilemma staat. Je bedrijf ligt plat, en je hebt de keuze om het op te lossen door geld neer te leggen. Maar werkt die sleutel dan wel? En wie zegt dat je gestolen gegevens niet alsnog op straat komen?

Aan de andere kant: als je betaalt, financier je criminaliteit. Je sponsort het eigenlijk. Ik snap heel goed dat dat een weg is waar je liever wegblijft. Het Nationaal Cyber Security Centrum (NCSC) adviseert dan ook om geen losgeld te betalen.

Maar hier zit het echte probleem. Als je die keuze moet maken op het moment dat je onder stress staat, is de kans groot dat je kiest voor betalen. Terwijl je hart eigenlijk zegt: dat willen we helemaal niet.

Dus maak die keuze nu. Niet op die zaterdag.

Vooraf, in rustig vaarwater

Vijf beslissingen, en bij elke keuze heeft iedere optie een prijs.

Wat ik je wil meegeven: als je gehackt bent, of er gebeurt een andere grote IT-calamiteit, dan kom je enorm onder druk te staan. Een groot deel van die stress kun je ondervangen door je zo goed mogelijk voor te bereiden.

Denk die vragen dus nu al door, en geef er invulling aan. Kun je ergens nog geen beslissing over nemen? Schrijf dat dan ook op. Dan is het in ieder geval vastgelegd, en heb je de basis van een goed draaiboek.

Een cyberoefening zoals Plan je Hack kan je daar enorm bij helpen. In korte tijd komen de gaten boven water, en de verschillende zienswijzes binnen je managementteam. Want vaak denk je dat je op één lijn zit. Tot je drie vragen stelt.

Zelf beginnen

Wil je vandaag al beginnen? Download het invulformulier en zet de eerste zaken op papier. Dat is je eerste stap naar je eigen draaiboek.

Wil je de vijf beslissingen liever samen met je managementteam doorlopen? Plan een kennismaking. Een gesprek over je bedrijf, je ICT en wat je wilt bereiken. Je bepaalt zelf of er een vervolg komt.