--- domein: incidenten titel: Beleid beveiligingsincidenten samenvatting: Over het melden, beoordelen, afhandelen en leren van beveiligingsincidenten en datalekken. Behandelt het meldloket, de classificatie, detectie en escalatie, de afhandeling, meldingen aan externe partijen, coordinated vulnerability disclosure, het veiligstellen van bewijs en de evaluatie achteraf. invoeren: - Richt één meldloket in met een bereikbaarheidsregeling en registratie van elke melding (hoofdstuk 3). - Stel een incidentprocedure op met rollen, vervangers en termijnen (hoofdstuk 3). - Leg in de incidentprocedure de categorieën en ernstniveaus vast, met per niveau wie wordt geïnformeerd (hoofdstuk 4). - Laat nieuwe medewerkers en externen de meldprocedure bevestigen en registreer die bevestiging (hoofdstuk 3). - Leg in de incidentprocedure vast wanneer een incident naar crisisbeheersing gaat (hoofdstuk 6). - Start een maandrapport incidenten voor de eindverantwoordelijke bedrijfsvoering (hoofdstuk 6). - Leg de externe meldingen vast in de incidentprocedure, met termijn en eigenaar per melding (hoofdstuk 7). - Richt een vast adres in voor meldingen van het CSIRT en de sectorale CERT (hoofdstuk 7). - Publiceer een CVD-procedure op de website met een meldadres en een security.txt-bestand (hoofdstuk 8). --- ## 1. Doel en reikwijdte Dit beleid werkt het strategisch informatiebeveiligingsbeleid uit voor het melden, beoordelen, afhandelen en leren van informatiebeveiligingsincidenten. Het doel is dat een incident snel bij de juiste mensen ligt, dat de schade beperkt blijft, dat wettelijke meldingen op tijd gebeuren en dat hetzelfde incident niet opnieuw voorkomt. Het gaat over de ISO-beheersmaatregelen 5.24 tot en met 5.28 en 6.8. **Voor wie.** Het beleid is primair bedoeld voor het meldloket, de CISO, de privacy officer en de proceseigenaren die incidenten in hun proces afhandelen. De meldplicht geldt voor iedereen die voor de organisatie werkt: medewerkers, inhuur, stagiairs, vrijwilligers en leveranciers die met informatie of systemen van de organisatie werken. **Waarop.** Alle gebeurtenissen die de beschikbaarheid, integriteit of vertrouwelijkheid van informatie of systemen van de organisatie raken of kunnen raken, ongeacht of de informatie op eigen systemen, bij een leverancier of op papier staat. Een datalek onder de AVG is ook een informatiebeveiligingsincident; de melding aan de Autoriteit Persoonsgegevens en aan betrokkenen loopt via dezelfde procedure, met de privacy officer en de FG als vaste deelnemers. Is de detectie, de eerste beoordeling of de incidentrespons uitbesteed, bijvoorbeeld aan een SOC- of MDR-dienstverlener, dan gelden de eisen uit dit beleid als minimumeis voor die partij. De organisatie legt dat vast in het contract en toetst de naleving met een onafhankelijke verklaring, zoals een ISO 27001-certificaat of een ISAE 3402- of ISAE 3000-rapport; het vastleggen loopt via het beleid informatiebeveiliging bij inkoop, het toetsen via het beleid contractbeheer. Buiten dit beleid vallen het verzamelen en bewaren van logbestanden (beleid logging en monitoring), het oplossen van technische kwetsbaarheden die geen incident zijn (beleid kwetsbaarheden en patchmanagement), de crisisorganisatie zelf en het herstel van kritieke processen (continuïteitsbeleid) en fysieke incidenten voor zover ze geen informatie raken (beleid fysieke toegang en beveiliging). ## 2. Uitgangspunten 1. Elke medewerker meldt een vermoed incident direct. Twijfel is geen reden om te wachten; een melding die achteraf geen incident blijkt, kost weinig. 2. Er is één meldloket en één incidentprocedure voor beveiligingsincidenten en datalekken. 3. De proceseigenaar is eigenaar van het incident in zijn proces; de CISO coördineert en adviseert. 4. Wettelijke meldtermijnen gaan vóór interne afstemming. Een melding die later moet worden aangevuld, is beter dan een te late melding. 5. De ernst van een incident volgt het impactniveau van de geraakte informatie en processen (beleid informatieclassificatie): verwaarloosbaar, gering, gemiddeld, ernstig, catastrofaal. 6. Termijnen en frequenties in dit beleid die niet uit een wet of uit de BIO 2.0 komen, zijn standaardwaarden. De organisatie past ze aan op haar eigen risicoafweging en legt de keuze vast bij de vaststelling van dit beleid. ## 3. Meldloket en meldprocedure - Medewerkers en externen melden een vermoed incident direct bij [[meldloket incidenten: het loket, bijvoorbeeld de servicedesk, met telefoonnummer en mailadres]]. Het loket is tijdens kantoortijd bereikbaar en heeft daarbuiten een bereikbaarheidsregeling. Het loket registreert elke melding met een registratienummer, datum en tijd. [5.24.01] - De CISO is eigenaar van de incidentprocedure. Die beschrijft wat het loket doet: registreren, eerste beoordeling, doorzetten naar de CISO of de privacy officer, en terugkoppelen aan de melder. De procedure noemt per stap de rol en de termijn, en de CISO stelt haar jaarlijks opnieuw vast. Een intern gemeld incident ligt binnen 24 uur bij de CISO. [5.24.02] - De CISO zorgt dat de rollen in de incidentprocedure zijn belegd en dat elke rol een vervanger heeft, ook buiten kantoortijd. De bezetting staat in de procedure. [5.24.01] - Iedere nieuwe medewerker en iedere externe met een account krijgt de meldprocedure bij indiensttreding en bevestigt dat hij die kent. De CISO laat de procedure jaarlijks terugkomen in de bewustwordingscampagne. [[lijneigenaar personeel: de manager die dit beleid uitvoert, bijvoorbeeld het hoofd HR]] registreert de bevestiging. [6.08.01] - Wie een incident meldt, meldt alleen wat hij zelf heeft waargenomen en onderneemt geen eigen onderzoek of herstelactie, tenzij het loket of de CISO daarom vraagt. [6.08.01] ## 4. Beoordelen en classificeren - De CISO, of bij afwezigheid de vervanger, beoordeelt elke melding binnen één werkdag: is dit een incident, welke categorie en welke ernst. De CISO legt het besluit met de onderbouwing vast bij de melding; een melding die geen incident is, krijgt dat oordeel ook. [5.25.02] - De indeling in categorieën en ernstniveaus staat in de incidentprocedure en volgt de impactniveaus van het beleid informatieclassificatie. Per ernstniveau staat erbij wie wordt geïnformeerd, binnen welke termijn en of het incident naar crisisbeheersing gaat. [5.25.02] - Bij elk incident beoordeelt de privacy officer binnen één werkdag of er persoonsgegevens zijn geraakt. Zo ja, dan volgt de beoordeling of het een meldplichtig datalek is, vastgelegd in het incidentdossier. [5.25.02] ::: als capaciteit=geen - Er is geen eigen security officer. De beoordeling ligt bij [[incidentcoördinator: de functionaris die informatiebeveiliging als neventaak heeft]], die voor de technische analyse een externe partij inschakelt waarmee vooraf een raamafspraak is gemaakt, met een afgesproken reactietijd. [5.24.01, 5.25.02] ::: ::: als capaciteit=parttime - De CISO coördineert de afhandeling. Voor forensisch onderzoek en voor incidenten buiten kantoortijd is een externe incidentrespons-partij gecontracteerd, met een afgesproken reactietijd. [5.24.01] ::: ::: als capaciteit=team - Het securityteam heeft een bereikbaarheidsdienst buiten kantoortijd en een vaste incidentrespons-rol per dienst. Voor forensisch onderzoek dat het team niet zelf kan doen, is een externe partij gecontracteerd. [5.24.01] ::: ## 5. Detectie en escalatie ::: als detectie=eigen-soc - Het eigen SOC beoordeelt meldingen uit de detectievoorzieningen binnen de termijn per ernstniveau uit de incidentprocedure en werkt met vastgelegde draaiboeken. Het SOC mag zelf een systeem of account isoleren als het draaiboek dat toelaat, en meldt dat direct aan de CISO. [5.24.03, 5.25.02] ::: ::: als detectie=uitbesteed - De SOC- of MDR-dienstverlener escaleert volgens het contract: per ernstniveau de termijn, het kanaal en de contactpersoon bij de organisatie, ook buiten kantoortijd. Het contract regelt welke ingrepen de dienstverlener zelf mag doen (zoals een apparaat isoleren) en welke toestemming vragen. [5.24.03, 5.25.02] - De CISO toetst de escalatieketen elk jaar met een test-alarm en legt de uitkomst vast. [5.24.03] ::: ::: als detectie=geen - Er is geen structurele detectie. Incidenten komen binnen via medewerkers, leveranciers, waarschuwingen van de sectorale CERT en meldingen van buiten. De CISO zet het ontbreken van detectie als risico in het risicoregister, met een besluit van de directie over de aanpak. [5.24.03] ::: ## 6. Afhandelen - De proceseigenaar handelt elk incident in zijn proces af via het incidentbeheerproces en wijst daarvoor direct na de beoordeling een behandelaar aan. De behandelaar beperkt eerst de schade, stelt daarna de oorzaak vast en herstelt, en legt elke stap vast in het incidentdossier. [5.24.03, 5.26.02] - De incidentprocedure verwijst naar de procedure voor crisisbeheersing en zegt wanneer een incident overgaat naar crisisbeheersing: bij langdurige uitval van kritieke processen, bij een groot datalek of bij een aanval met losgeld. De CISO besluit over de overgang en meldt dat aan [[eindverantwoordelijke bedrijfsvoering: de functie, bijvoorbeeld de secretaris of directeur]]. [5.24.05] - De CISO beoordeelt bij elk incident met ernst kritiek of hoger of de organisatie andere partijen moet waarschuwen die hetzelfde risico lopen, zoals samenwerkingspartners of leveranciers. [5.26.02] ::: als bcm=geen - De organisatie heeft geen vaste crisisorganisatie. Bij een incident dat de grens voor crisis haalt, roept de CISO de eindverantwoordelijke bedrijfsvoering op, die een ad-hoc crisisteam samenstelt. Het opzetten van een crisisprocedure staat als actie in het jaarplan informatiebeveiliging. [5.24.05] ::: ::: als bcm=crisisteam,bcm - Het crisisteam neemt het incident over volgens de crisisprocedure; de CISO schuift aan als adviseur. [5.24.05] ::: ::: als bcm=bcm - Bij uitval van een kritiek proces start de proceseigenaar het continuïteitsplan van dat proces. De hersteltijden uit de BIA bepalen de volgorde van herstel. [5.24.05] ::: - De proceseigenaar rapporteert maandelijks de stand van de incidenten in zijn proces: wat is open, wat is opgelost, welke maatregelen lopen nog. De CISO bundelt dit tot een maandrapport voor de eindverantwoordelijke bedrijfsvoering. [5.24.04] ## 7. Melden aan externe partijen - De incidentprocedure regelt de meldingen buiten de organisatie, elk met eigen termijn en eigenaar: het CSIRT en de toezichthouder volgens de Cyberbeveiligingswet waar die van toepassing is, de Autoriteit Persoonsgegevens bij een meldplichtig datalek (binnen 72 uur na ontdekking), de politie bij een strafbaar feit, en betrokkenen als het incident hun rechten of belangen raakt. De CISO registreert elke externe melding met datum en tijd in het incidentdossier. [5.24.07, 5.26.02, 5.27.01] - Meldingen en waarschuwingen die het CSIRT of de sectorale CERT aan de organisatie stuurt, komen binnen op een vast adres. De CISO beoordeelt ze binnen één werkdag en neemt ze op in de risicobehandeling, bijvoorbeeld als kwetsbaarheid die moet worden verholpen. [5.24.07] - Betrokkenen worden binnen de wettelijke termijn geïnformeerd. De privacy officer stelt de tekst op, de proceseigenaar beslist over verzending en de beslissing staat in het incidentdossier. [5.24.07] ::: als cbw=essentieel,belangrijk - De organisatie valt onder de Cyberbeveiligingswet. Een significant incident meldt de CISO aan het aangewezen CSIRT en de toezichthouder in drie stappen: een vroegtijdige waarschuwing binnen 24 uur na kennisname, een incidentmelding binnen 72 uur en een eindrapport binnen een maand. De incidentprocedure legt vast wat significant is en wie de melding mag doen als de CISO afwezig is. [5.24.07, 5.26.02] - Waar een significant incident de dienstverlening aan afnemers kan raken, informeert de proceseigenaar die afnemers zonder onnodige vertraging, met de maatregelen die zij zelf kunnen nemen. [5.24.07] - De CISO informeert de bestuurders bij elk significant incident direct; zij zijn persoonlijk verantwoordelijk voor het toezicht op het risicobeheer onder de wet. [5.24.07] ::: ::: als cbw=essentieel - Als essentiële entiteit staat de organisatie onder proactief toezicht. De CISO houdt het incidentregister en de meldingen zo bij dat ze op verzoek van de toezichthouder direct beschikbaar zijn. [5.24.07] ::: ::: als cbw=niet - De organisatie is niet aangewezen onder de Cyberbeveiligingswet. De CISO meldt ernstige incidenten vrijwillig aan de sectorale CERT, zodat andere overheden gewaarschuwd kunnen worden. [5.24.07] ::: ## 8. Coordinated vulnerability disclosure - De CISO is eigenaar van de CVD-procedure volgens de leidraad van het NCSC, gepubliceerd op de website met een meldadres en een security.txt-bestand. De procedure noemt de reactietermijn, de afspraken over openbaar maken en de voorwaarden waaronder de organisatie geen aangifte doet. De CISO controleert jaarlijks dat de publicatie en het security.txt-bestand actueel zijn. [5.24.08] - Het meldloket registreert een CVD-melding als beveiligingsmelding, en de CISO bevestigt de ontvangst aan de melder binnen de reactietermijn uit de procedure. De meldingen en hun afhandeling zijn onderdeel van het maandrapport incidenten. [5.24.08] ## 9. Bewijs verzamelen en bewaren - Bij een vermoed incident stelt de behandelaar eerst bewijs veilig en herstelt daarna pas, tenzij de schade dat niet toelaat. Wie bewijs verzamelt, legt vast wat, wanneer, door wie en waar het is opgeslagen, zodat de keten van bewaring aantoonbaar is. [5.28.01] - Bij een mogelijk strafbaar feit of een mogelijke juridische procedure laat de CISO het veiligstellen doen door een forensisch onderzoeker, en legt dat besluit vast in het incidentdossier. [5.28.01] - Het incidentdossier bevat de melding, de beoordeling, de analyse, de gebruikte logging, de genomen maatregelen, de externe meldingen en het advies. De CISO bewaart het dossier ten minste drie jaar na afsluiting, ook als het vermoeden ongegrond bleek. [5.28.01] ## 10. Leren van incidenten - Na elk incident met ernst kritiek of hoger, en na elk meldplichtig datalek, organiseert de CISO binnen een maand een evaluatie met de proceseigenaar: oorzaak, wat werkte, wat niet, en welke maatregelen nodig zijn. Verbetermaatregelen krijgen een eigenaar en een datum en gaan naar het risicoregister. [5.27.01, 5.27.02] - De CISO analyseert elk kwartaal alle incidenten samen op patronen en herhalingen en neemt de uitkomst op in de rapportage aan de directie, met een voorstel voor aanpassing van maatregelen of van dit beleid. [5.27.02] - Lessen die voor andere overheden waardevol zijn, deelt de CISO geanonimiseerd met de sectorale CERT of samenwerkingspartners, na toestemming van de proceseigenaar. [5.27.02] ## 11. Rollen en verantwoordelijkheden | Rol | Verantwoordelijk voor | |---|---| | [[eindverantwoordelijke bedrijfsvoering]] | Ontvangst van het maandrapport, besluit over escalatie naar crisisbeheersing | | Proceseigenaar | Oplossen van incidenten in het eigen proces, aanwijzen van de behandelaar, maandelijkse rapportage, informeren van afnemers en betrokkenen, uitvoeren van verbetermaatregelen | | CISO | Eigenaar van dit beleid, de incidentprocedure en de CVD-procedure; beoordeling en classificatie, coördinatie, externe meldingen, bewijs, evaluaties en kwartaalanalyse; jaarlijkse toetsing van opzet en werking | | Privacy officer en FG | Beoordeling datalekken, melding aan de Autoriteit Persoonsgegevens, tekst voor betrokkenen (de FG adviseert en houdt toezicht) | | [[meldloket incidenten]] | Registratie, eerste beoordeling, doorzetten en terugkoppelen | | [[lijneigenaar personeel]] | Registratie van de bevestiging van de meldprocedure door medewerkers en externen | | Medewerkers en externen | Direct melden van een vermoed incident, geen eigen onderzoek, meewerken aan het onderzoek | ## 12. Naleving en controle **Controleraamwerk.** De naleving van dit beleid wordt met de volgende controles aangetoond. De uitkomst en het bewijs worden vastgelegd in [[registratie van controles: het systeem waarin controles worden vastgelegd, bijvoorbeeld het ticketsysteem of het managementsysteem]]; afwijkingen gaan als bevinding naar het risicoregister. | Nr | Controle | Uitvoerder | Frequentie | Bewijs | Maatregelen | |---|---|---|---|---|---| | SIM-01 | Het maandrapport incidenten, inclusief CVD-meldingen, is opgesteld en aan de eindverantwoordelijke bedrijfsvoering verzonden | CISO | Maandelijks | Het rapport en de verzendregistratie | 5.24.04, 5.24.08 | | SIM-02 | De kwartaalanalyse op patronen is uitgevoerd en in de rapportage aan de directie opgenomen | CISO | Elk kwartaal | De rapportage aan de directie | 5.27.02 | | SIM-03 | Steekproef van tien incidenten: beoordeling binnen één werkdag met vastgelegd besluit, volledigheid van het dossier, keten van bewaring van het bewijs, tijdigheid van de interne en externe meldingen, evaluatie en opvolging van de verbetermaatregelen | CISO | Jaarlijks | Verslag van de steekproef met de bevindingen per incident | 5.24.01, 5.24.02, 5.24.03, 5.24.07, 5.25.02, 5.26.02, 5.27.01, 5.28.01 | | SIM-04 | Alle medewerkers en externen met een account hebben de meldprocedure bevestigd | [[lijneigenaar personeel]] | Jaarlijks | Vergelijking van de registratie met de lijst van actieve accounts, met de afhandeling van de verschillen | 6.08.01 | | SIM-05 | Een oefening met een incidentscenario is uitgevoerd, inclusief de beoordeling van de ernst, de overgang naar crisisbeheersing en het opstellen van een externe melding binnen de wettelijke termijn, en de verbeterpunten zijn belegd | CISO | Jaarlijks | Oefenverslag met de verbeterpunten en hun eigenaar | 5.24.05, 5.24.07, 5.25.02 | | SIM-06 | De incidentprocedure en de CVD-procedure zijn opnieuw vastgesteld, de rollen en vervangers zijn belegd, en de publicatie van de CVD-procedure en het security.txt-bestand zijn actueel | CISO | Jaarlijks | Vastgestelde versies met datum, bezettingsoverzicht, schermafdruk van de publicatie | 5.24.01, 5.24.02, 5.24.08 | | SIM-07 | Meldingen van het CSIRT of de sectorale CERT zijn binnen één werkdag beoordeeld en opgenomen in de risicobehandeling | CISO | Elk kwartaal | Overzicht van de ontvangen meldingen met datum van ontvangst, beoordeling en opvolging | 5.24.07 | **Afwijkingen.** Afwijken van een eis kan alleen op basis van een gedocumenteerde risicoafweging. De proceseigenaar dient het verzoek in bij de CISO, met de reden, de compenserende maatregelen en de looptijd. De afwijking geldt pas na acceptatie van het risico door [[risico-eigenaar: de manager die restrisico's accepteert]] en staat in het risicoregister; afwijkingen worden ten minste jaarlijks opnieuw beoordeeld. **Niet naleven.** Het niet naleven van dit beleid wordt behandeld als beveiligingsincident en kan leiden tot het intrekken van toegangsrechten of tot maatregelen volgens de rechtspositieregeling of het contract. ## 13. Samenhang Dit beleid valt onder het strategisch informatiebeveiligingsbeleid. De ernstniveaus volgen het beleid informatieclassificatie. Het beleid raakt het beleid logging en monitoring (detectie en bewijs), het beleid kwetsbaarheden en patchmanagement (opvolging van CERT-waarschuwingen en CVD-meldingen), het continuïteitsbeleid (crisisbeheersing en herstel), het beleid fysieke toegang en beveiliging (fysieke incidenten), het privacybeleid (datalekken), het beleid screening, bewustzijn en opleiding (de meldprocedure in de bewustwording) en het beleid informatiebeveiliging bij inkoop en contractbeheer (meldplicht van leveranciers).