Cyberincident? Zo reageer je

Wat als er zich een cyberaanval voordoet?

Reageer snel en juist als je te maken krijgt met een cyberincident. We zetten de belangrijkste stappen op een rijtje:

Stap 1: Waarschuw iedereen
Duid in het cyberplan van je onderneming een collega aan die verantwoordelijk is om als eerste actie te ondernemen bij een cyberaanval. Die collega brengt iedereen die jouw IT-systemen beheert meteen op de hoogte van de infectie zodat alle aangetaste computers en servers van het netwerk ontkoppeld kunnen worden. Ontkoppel ook externe harde schijven om verdere infectie te voorkomen.
Opgelet: schakel de computers niet uit. Doe je dat wel, dan kan je belangrijke data verliezen die nodig zijn om de aanval te stoppen.

Stap 2: Verwittig de autoriteiten
Doe zo snel mogelijk aangifte bij de lokale politie. Geef vervolgens het nummer van het proces-verbaal door aan je bank en verzekeraar. Vul ook een uitgebreid invulformulier van het federale Computer Emergency Response Team (CERT) in. Zo zijn de diensten die in België onderzoek doen naar cybercriminaliteit meteen en gedetailleerd op de hoogte. Een incident melden bij het CERT doe je via een incident melden.

Stap 3: Zoek de oorzaak
Probeer zo snel mogelijk te begrijpen waar de aanval vandaan komt. Stel de volgende vragen:

• Heeft een medewerker op een link in een e-mail geklikt?
• Zijn de besturingssystemen, applicaties of andere software niet up-to-date?
• Heeft iemand (on)bewust een virus geïnstalleerd?

Stap 4: Ruim de infectie op
Zoek naar sporen en voer een virusscan uit. Ga ook na of hetzelfde incident op alle andere systemen in je IT-omgeving voorkomt. Vind je bijvoorbeeld software die externe toegang geeft? Maar die niemand in je team installeerde? Check dan of deze ook op andere computers of servers staat.
Heb je gevonden waar de infectie vandaan komt? Voer dan terug een virusscan uit. Doe een update van de besturingssystemen en software op alle systemen in je netwerk.

Stap 5: Herstart vanuit back-up
Geïnfecteerde systemen terug aan het netwerk hangen is risicovol. Als de infectie zich nog verder kan verspreiden (bijvoorbeeld bij ransomware), doe je dat beter niet. Vaak is een volledige herinstallatie en herstart van de geïnfecteerde systemen nodig. Herinstalleer de laatste versie van de software. Let op: als je geen back-up maakte van alle bestanden, ben je ze kwijt na herinstallatie.

Stap 6: Verander wachtwoorden
Controleer de toegangen. Cybercriminelen gebruiken soms oude accounts met zwakke wachtwoorden om binnen te geraken. Bekijk zeker welke gebruikers toegang hebben tot de clouddiensten waarop je organisatie een abonnement heeft. Kijk alle accounts na en weiger eventueel toegang. Verander de wachtwoorden van alle accounts. Tip: gebruik een wachtwoordmanager.

Stap 7: monitor je omgeving
Is de aanval gestopt? Wees extra waakzaam en hou je IT-omgeving continu in de gaten. Als je merkt dat de aanval opnieuw start, is de infectie niet volledig verwijderd.

Bron: VLAIO