Een incidentprocedure klinkt als een document van veertig bladzijden. Voor een kmo past ze op één blad, en dat blad hangt beter uit dan dat het perfect is.
Waarom vooraf
Op het moment zelf staat iedereen onder druk, werken de systemen niet, en is de mailbox waarin de contactgegevens stonden precies wat u niet kunt openen. Alles wat u dan nog moet uitzoeken, kost uren die u niet heeft.
Wat op dat blad staat
- Wie beslist. Eén naam, en een vervanger. Bij twijfel beslist die persoon of er losgekoppeld wordt.
- Uw IT-partner: naam, telefoon, en het nummer van hun wachtdienst buiten de kantooruren.
- Wie de beveiliging opvolgt — bij ons klanten is dat het nummer dat dag en nacht bereikbaar is.
- Uw verzekeraar of makelaar, met het polisnummer. Veel polissen vragen dat u meldt vóór u kosten maakt.
- Uw bank, als er betalingen in het spel zijn.
- Wie de GDPR opvolgt, voor de beoordeling van de meldplicht binnen 72 uur.
- De politie, voor de aangifte bij fraude of afpersing.
- Wie de communicatie doet naar medewerkers en klanten, en wat er de eerste dag gezegd wordt.
De eerste beslissingen
Toestellen loskoppelen van het netwerk, maar niet uitzetten — het geheugen bevat sporen. Niets opnieuw installeren voor er iemand naar gekeken heeft. En niet zelf onderhandelen met wie er losgeld vraagt.
Waar dat blad ligt
Uitgeprint, op papier, op minstens twee plaatsen. Een procedure die in de gedeelde map staat die versleuteld is, bestaat op dat moment niet.
Eén keer per jaar doorlopen
Niet als oefening met rook en sirenes, gewoon een half uur aan tafel: klopt de lijst nog, werken de nummers, weet iedereen wie beslist. Dat halfuur is meteen het bewijs dat een klant of verzekeraar vraagt. Zie bewijs voor uw klant en het verloop van een incident in ransomware bij een kmo.