Zo pakken we een cyberincident aan: de PHP-melding in de praktijk

Wat gebeurde er bij de PHP-melding?

Zodra de PHP-melding binnenkwam, schaalden wij direct op. Collega’s van Security, Operations en de Servicedesk vormden samen een incidentteam. Zo was vanaf het eerste moment duidelijk wie de melding beoordeelde, wie de gevolgen onderzocht en wie vragen van klanten beantwoordde.

Ook bij klanten was te zien dat voorbereiding het verschil maakt. Enkele klanten hadden zelf al actie ondernomen en hun PHP-omgevingen offline gehaald. Zij waren alert en namen hun verantwoordelijkheid.

Toen de patch beschikbaar kwam, informeerden we de bedrijven die met het incident te maken hadden, zodat zij wisten welke vervolgstappen nodig waren.

Hoe werkt een incidentteam?

Bij een melding die klanten kan raken, is de technische beoordeling maar een deel van het werk. Daarom werken drie disciplines samen:

• Security beoordeelt de melding;

• Operations onderzoekt wat het incident voor onze omgeving en onze klanten kan betekenen: welke systemen mogelijk geraakt zijn, wie geïnformeerd moet worden en welke acties nodig zijn;

• Servicedesk krijgt duidelijke instructies over wat er bekend is en hoe vragen beantwoord moeten worden.

Die laatste rol wordt vaak onderschat. De Servicedesk is meestal het eerste punt waar klanten met vragen binnenkomen. Wanneer zij weten wat er bekend is, krijgt iedere klant hetzelfde, duidelijke antwoord.

Hoe verloopt de afhandeling stap voor stap?

Bij de PHP-melding verliep de afhandeling in deze stappen:

1. Security beoordeelt de melding;

2. Operations onderzoekt de impact op onze omgeving en op klanten;

3. de Servicedesk krijgt instructies over wat er bekend is;

4. betrokken bedrijven worden geïnformeerd, ook zodra er een patch beschikbaar is;

5. het incidentteam evalueert de aanpak en legt gebeurtenissen, keuzes en acties vast.

Die laatste stap is geen formaliteit. Door ieder incident te documenteren kunnen we ervan leren en onze aanpak blijven verbeteren. Het maakt achteraf ook inzichtelijk wat er is gebeurd en waarom, bijvoorbeeld wanneer een klant of opdrachtgever daar vragen over heeft.

Een patch installeren is niet hetzelfde als een incident afhandelen

Een veelvoorkomende gedachte is dat een incident voorbij is zodra de patch is geïnstalleerd. Dat klopt niet altijd. Voordat de patch beschikbaar kwam, moest er al van alles gebeuren: de melding beoordelen, de impact onderzoeken, collega’s en klanten informeren en afwegen of een omgeving tijdelijk offline moest. Enkele klanten kozen daar zelf voor.

Na de patch volgt het werk dat vaak vergeten wordt: betrokken bedrijven vertellen welke vervolgstappen nodig zijn en vastleggen wat er is gebeurd. Een patch lost de kwetsbaarheid op. Een goede afhandeling zorgt ervoor dat iedereen weet wat er is gebeurd, wat er is gedaan en wat er nog nodig is.

Hoe ondersteunt Missing Piece?

Beveiliging en cybersecurity staan bij Missing Piece hoog in het vaandel. Wij zorgen ervoor dat een melding direct door de juiste mensen wordt opgepakt.

Binnen ons team kun je rekenen op:

• een incidentteam waarin Security, Operations en Servicedesk samenwerken;

• Nino Kuijper (Security Engineer), technisch aanspreekpunt voor toegewezen klanten;

• Winansa Blyer (Data & Compliance Officer);

• tijdige informatie over wat er bekend is en welke vervolgstappen nodig zijn;

• documentatie en evaluatie van ieder incident.

Lees meer over SOC & Monitoring en Compliance & Governance, of neem contact met ons op.