Een blue team opzetten

Een blue team is hier een tijdelijk interventieteam dat in een afgebakend venster de meest urgente gaten in je cyberweerbaarheid dicht, detectie inricht en de reactie oefent. Het staat náást je reguliere IV-lijn, werkt in fix-modus en heeft een vooraf belegd mandaat om snel te handelen. Het is defensief: eigen zwakke plekken zichtbaar maken en dichten. Geen red teaming, geen tegenaanvallen.

Deze handleiding is geschreven voor de CISO of ISO die het moet gaan doen. Acht stappen, in de volgorde waarin je ze in de praktijk tegenkomt. De sjablonen en een uitgewerkt voorbeeld staan in de bijlagen:

Wanneer wel, wanneer niet

Een blue team is geen nieuwe afdeling en geen vervanging van je IV-operatie of verbeterprogramma. Het is wel:

• tijdelijk, met een einddatum en een evaluatiemoment;
• aanvullend: het leent mensen uit de lijn, de lijnverantwoordelijkheid blijft waar die is;
• defensief: eigen kwetsbaarheden vinden en dichten;
• gericht op tempo en eigenaarschap binnen het venster.

Het is niet: een audit, een compliance-exercitie, een beleidsherschrijving, of een permanente structuur. Herken je jezelf in "we weten wat de gaten zijn, maar het komt er in de lijn niet van", dan is dit het instrument. Is het probleem dat je de gaten niet kent, begin dan bij stap 1 en stop mogelijk daar: een goede nulmeting kan al genoeg zijn om de lijn in beweging te krijgen.

Stap 1. Een trigger en een eerlijke foto

Een interventieteam verdien je niet met "het zou kunnen". Je hebt twee dingen nodig: een aantoonbare externe trigger en een nuchter beeld van je eigen stand.

De trigger. Een dreiging die groot genoeg is om buiten de gewone route te rechtvaardigen en concreet genoeg om een venster aan te hangen. Denk aan een waarschuwing van het nationale CSIRT of je sector-CERT, een bevestigde exploited-in-the-wild-melding op iets wat jij in huis hebt, of een verschuiving in het dreigingslandschap die meerdere autoriteiten onafhankelijk benoemen. Leg de bron vast; je gaat hem in elke memo citeren.

De nulmeting. Dit is "praten met je data": stel per bron een paar concrete vragen en schrijf de antwoorden op.

De categorieën zijn generiek, de waarden blijven intern. Een ingevuld voorbeeld met verzonnen cijfers staat in voorbeeldcasus.md; daar zie je ook hoe hard zo'n foto binnenkomt bij een directie.

Stap 2. Eén opdracht en een einddatum

Formuleer de opdracht in één zin: de meest urgente gaten dicht, detectie ingericht en reactie geoefend vóór het venster sluit. Meer hoeft niet. Alles wat je erbij zet, wordt een reden om het niet te doen.

Maak de tijdelijkheid expliciet: een einddatum, en een verlengings-, afbouw- of overgangsbesluit dat ruim vóór die datum op de agenda staat. Zonder einddatum wordt het een afdeling; zonder gepland besluit wordt het een stille dood.

Drie dingen die het team doet, en niets anders:

1. Gaten dichten. Bekende, aantoonbare gaten: MFA, patching, segmentatie van beheerpaden, DNS- en webfiltering, back-uphygiëne.
2. Detectie inrichten. Zichtbaar maken wat nu niet gezien wordt (netwerkflows, egress, detectieregels) en dat netjes overdragen aan de SOC- of MDR-partner.
3. Reactie oefenen. Reactieroutes activeren en beproeven, zodat "kunnen ingrijpen" geen papier is.

Stap 3. Een team op kunnen, niet op positie

Selecteer op kennis, lef en netwerk, niet op functieprofiel. Een klein team dat mag, doet meer dan een groot team dat moet afstemmen.

Het team leent mensen. Spreek per persoon af hoeveel tijd, voor hoe lang, en wie in de lijn dat weet. Dedicated capaciteit plus een WIP-limiet is wat het team beschermt tegen "kun je dit er even bij doen".

Stap 4. Het mandaat op één A4

Dit is de stap die het verschil maakt tussen een werkgroep en een interventieteam. Het mandaat regelt vooraf wat het team mag zonder akkoord per geval. Drie handelingen:

1. kritieke patches uitrollen buiten de change-vensters, ook bij tijdelijke dienstimpact;
2. een dienst of systeem tijdelijk afschakelen bij een actieve dreiging (bij OT: altijd met de proceseigenaar en een veilige terugval);
3. externe partijen raadplegen zonder aparte opdracht.

Met vier voorwaarden die altijd gelden:

• Trigger: alleen bij een Rood-score (zie stap 6), dus relevant, direct bereikbaar en zonder dekking.
• Vier ogen: minstens twee kernteamleden zijn het eens dat het Rood is.
• Melding: de beslisser hoort het zo snel mogelijk, niet achteraf.
• Register: binnen 24 uur in het besluitenregister: datum, besluit, onderbouwing, hersteltijd, betrokkenen, bewijslink. Ook de mandaat-bypass gaat gewoon door de reguliere change- of incidentregistratie.

Voeg een financieel mandaat toe met drie drempels (team beslist · beslisser vooraf akkoord · formeel akkoord), en drie escalatieniveaus (kernteam · beslisser/CIO · calamiteitenteam). De uitwerking met voorbeeldclausules staat in mandaatprotocol-model.md. Laat het vaststellen door je bestuur of CIO vóór de eerste ingreep; een mandaat dat achteraf wordt betwist, is geen mandaat.

Geen register is hetzelfde gat als bij elk incident dat "geen eenduidige oorzaak" had. Het hoeft geen systeem te zijn; een lijst die iedereen kan vinden, volstaat.

Stap 5. De organisatie meenemen

Een team met mandaat schrikt mensen af als ze het niet zien aankomen. Informeer daarom vooraf, per gremium, met dezelfde kern en een eigen invalshoek. De volgorde is niet toevallig: eerst wie het groen licht geeft, dan wie het gaat merken.

Per gremium staat in memos-per-gremium.md een voorbeeldmemo en een sjabloon, voor gemeente en waterschap. Elke memo heeft dezelfde bouw: aanleiding, wat we doen, waarom het u raakt, wat dit concreet kan betekenen (drie scenario's), waarborgen, wat wij u vragen, wat u van ons krijgt. Vul de scenario's in met jouw diensten; abstracte memo's overtuigen niemand.

Stap 6. Eén dreiging van begin tot eind

De werkwijze is een herhaalbaar recept: één concrete dreiging als drager, langs zeven stappen. Draai hem de eerste keer helemaal uit voordat je opschaalt; daar leer je het meest van.

1. Scenario kiezen. Neem één concreet dreigingsrapport (nationaal CSIRT, MDR-partner, publieke threat intelligence) mét TTP's en indicatoren. Leg rapport en bron vast.
2. TTP's op de kill chain mappen. Vertaal naar aanvalstechnieken (MITRE ATT&CK) en bepaal welke chokepoints in welke zones geraakt worden. Filter op je kroonjuwelen.
3. D/R/P beoordelen. Per geraakte cel: kunnen we het Detecteren, weten we hoe te Reageren, houden we het Preventief tegen? Volgorde D > R > P: eerst zien, dan handelen, dan voorkomen.
4. R/E/C scoren, bewijs, opdrachten. Scoor elk gat op urgentie, leg bewijs vast bij wat groen heet, maak per gat een kaart met de kleur als prioriteit. Rood vereist vier ogen.
5. "Set en forget" voorkomen. Laat groen automatisch degraderen als het bewijs te oud is; detecteer drift. Een status "actief" zonder bewijs is een leugen op je dashboard.
6. Variant-run. Dezelfde techniek, andere ingang of zone. Zo test je de robuustheid.
7. Herhalen. Geen project met einddatum maar een ritme: een lopende reeks runs, gekoppeld aan de sprintcyclus.

R/E/C is de urgentiescore per bevinding:

• Relevance: maakt deze zwakte minstens één kill-chain-stap aantoonbaar makkelijker? (ja / deels / nee)
• Exposure: bereikbaar vanaf een plausibel startpunt? (direct / indirect / niet)
• Control gap: wat blijft over als je maatregelen hun werk doen? (niets / deels / stopt)

R is de poort: geen relevance, dan niet urgent.

De uitkomst van stap 3 zet je in een coverage-heatmap: zones (werkplek, identiteit, datacenter, cloud, OT, keten) tegen D/R/P, met een percentage per cel. Eén oogopslag laat zien waar de aandacht heen moet, en dat is de zwakste cel, niet de sterkste. Een verzonnen voorbeeld staat in voorbeeldcasus.md.

De gouden regel: bewijs stuurt status. Een groen vinkje is een gekoppelde, actieve detectieregel én een beproevingsverslag. Twee vormen van bewijs: bestaan (export, contract, playbook) én beproeving (oefenverslag, test). Geen bewijs, dan geen groen.

Stap 7. Ritme en bord

Kies een werkvorm die je al kent. Een eenvoudig bord en een vast ritme zijn genoeg; gebruik wat er al is.

Eén tip die zich terugbetaalt: leg besluiten en bewijs vast op de kaart zelf, niet in een chatkanaal.

Vóór je een kaart "klaar" noemt, loop je vier vragen langs: is de actie echt gedaan en heb ik er bewijs van? Heeft een tweede persoon meegekeken? Weet ik hoe ik het terugdraai? Wie moest het weten, en is die ingelicht? Geen verplichte afvinklijst, wel de vragen die voorkomen dat "klaar" niet echt klaar is.

Voor een ingreep buiten de normale route helpt een geheugensteun van zes regels: wat is er aan de hand en waar weet je dat vandaan · wat raakt het (systemen, processen, mensen) · hoe urgent is het echt (laag, serieus, acuut) · wie beslist mee · hoe draai je het terug · wie moet het weten en wie schrijft het op.

Stap 8. Opschalen en afbouwen

Hoe groter de impact, hoe hoger je het optilt. Koppel de drie niveaus aan wat je al hebt; niet elke organisatie heeft een apart digitaal calamiteitenteam, en dat hoeft ook niet.

Heb je geen formele crisisstructuur? Spreek dan vooraf één ding af: wie je belt als het echt groot is, en wie dan de leiding neemt. Dat is het minimum.

Afbouwen is een besluit, geen gebeurtenis. Ruim vóór de einddatum kies je: afbouwen, overdragen aan de lijn, of verlengen als de context erom vraagt. Wat je overdraagt: het register, de openstaande gele kaarten met eigenaar, de detectieregels bij de SOC-partner, en een eindbeeld van de heatmap naast de nulmeting. Dat laatste is je verantwoording naar het bestuur.

De weerstand die je krijgt, en je antwoord

Uit de praktijk

Het mandaat was de helft van het werk. De technische gaten waren in een week bekend; het duurde langer om vast te leggen wie mocht besluiten om buiten het change-venster te patchen. Begin met stap 4 zodra de trigger er is, niet pas als de eerste Rood-kaart op het bord staat.

De keten was de zwakste cel, en de minst zichtbare. In de coverage-heatmap scoorde de zone leveranciers en keten op alle drie de assen het laagst. Dat verraste niemand in het team en iedereen daarbuiten. Zet die zone bewust in de eerste run.

Groen zonder bewijs kwam meer voor dan rood. Bij de eerste run bleek een deel van wat "actief" heette niet beproefd. De regel "bewijs stuurt status" is geen formaliteit; hij haalt de vinkjes van het dashboard die je een vals gevoel van veiligheid gaven.

De memo aan het bestuur ging niet over techniek. Wat het college wilde weten: wie beslist, wat merken inwoners, wie doet woordvoering. De drie scenario's (spoedpatch 's avonds, een dienst een dag stil, een externe partij op locatie) deden meer dan elke tabel.

Begrippen

Bronnen en tooling

• MITRE ATT&CK (attack.mitre.org): het referentiekader voor TTP's in stap 6.
• Atomic Red Team (github.com/redcanaryco/atomic-red-team): open-source aanvalstests gekoppeld aan ATT&CK, om je eigen detectie te beproeven. Van dezelfde MDR-leverancier komt een jaarlijks Threat Detection Report dat als scenario-bron kan dienen.
• security-commons-nl (github.com/security-commons-nl): de tooling rond "praten met je data" die bij deze aanpak hoort, waaronder kill-chain-analysis (stap 2 en 3), security-posture-tool (de heatmap) en dreigingsanalyse (scenario's). In ontwikkeling; richting en voorbeeld, nog geen afgeronde producten.

Licentie

EUPL-1.2, vrij te hergebruiken en aan te passen. Feedback en verbeteringen welkom via een issue.