Phishingincident bij een administratiekantoor
Administratiekantoor De Kruisberg heeft twaalf medewerkers en verwerkt de financiële administratie van ongeveer tachtig mkb-klanten. Op dinsdag om 16:10 klikt een medewerker op een link in een e-mail die lijkt te komen van de Belastingdienst. Op de nepwebsite vult ze haar gebruikersnaam en wachtwoord in. Om 23:40 ziet de IT-beheerder een inlogpoging op haar account vanaf een buitenlands IP-adres. Het account heeft toegang tot gedeelde mappen met klantdossiers en tot het boekhoudpakket. Er is geen tweefactorauthenticatie ingesteld. De wekelijkse back-up staat op een externe harde schijf die continu op de server is aangesloten; de laatste succesvolle hersteltest is een jaar geleden gedaan. De medewerker heeft niets gemeld. De directeur wil weten wat nu prioriteit heeft, of klanten moeten worden geïnformeerd en wat er structureel moet veranderen.
1. Noem de drie acties die je binnen één uur neemt, in de juiste volgorde, en leg per actie uit waarom.
Read the worked answer
1. Account direct blokkeren en wachtwoord resetten. Zet het account van de medewerker op slot, trek actieve sessies in en reset het wachtwoord. Zo voorkom je dat de indringer verder komt met de gestolen inloggegevens. Dit gaat voor op uitleg aan de medewerker.
2. Werkstation isoleren en logboeken veiligstellen. Haal de pc van het netwerk, maar schakel hem niet uit; in het geheugen kunnen sporen staan. Controleer inloglogs, actieve sessies en recente bestandswijzigingen. Kijk ook of het boekhoudpakket is benaderd en of er nieuwe gebruikers of regels zijn aangemaakt.
3. Incidentteam en directeur informeren, en het incident registreren. Betrek de verantwoordelijke en een IT-specialist, maak een tijdlijn en bewaar bewijs. Bepaal daarna of klantdossiers zijn ingezien of gewijzigd. Zonder deze feiten kun je niet goed beslissen over melding aan klanten of autoriteiten.
2. Leg uit welk risico de huidige back-upaanpak geeft en beschrijf twee concrete verbeteringen.
Read the worked answer
Risico: de back-up staat continu aangesloten op de server. Bij ransomware of een aanval via het netwerk kan de aanvaller ook de back-up versleutelen of verwijderen. Dan is er geen schone kopie meer om op terug te vallen. Omdat de laatste hersteltest een jaar oud is, weet het kantoor bovendien niet zeker of de back-up nu nog bruikbaar is.
Verbetering 1:离线/offline en immutable back-up. Maak minimaal één kopie die niet permanent op het netwerk staat, bijvoorbeeld een externe schijf die na de back-up wordt losgekoppeld, of een cloudback-up met onveranderlijke opslag. Pas het 3-2-1-principe toe: drie kopieën, op twee soorten media, waarvan één buiten de locatie.
Verbetering 2: periodieke hersteltest en gescheiden rechten. Test elk kwartaal of een back-up daadwerkelijk teruggezet kan worden. Beperk bovendien wie bij de back-up kan en gebruik aparte beheerdersaccounts. Zo wordt de back-up niet afhankelijk van hetzelfde account als het dagelijkse werk.
3. Moet het kantoor dit melden? Welke informatie heb je nodig om te beslissen of melding bij de Autoriteit Persoonsgegevens nodig is? Betrek de AVG in grote lijnen.
Read the worked answer
Je kunt nu nog niet zeggen of melding verplicht is; eerst moet je vaststellen of er persoonsgegevens zijn gelekt en of er een risico is voor de rechten en vrijheden van betrokkenen. Nodig is:
- Is het account daadwerkelijk gebruikt en welke mappen zijn ingezien of gedownload?
- Gaat het om klantdossiers met persoonsgegevens, financiële gegevens of bijzondere persoonsgegevens?
- Zijn gegevens gewijzigd, verwijderd of naar buiten gebracht?
- Hoeveel klanten en personen zijn geraakt?
Volgens de AVG moet een datalek bij de Autoriteit Persoonsgegevens worden gemeld als er een risico bestaat voor de rechten en vrijheden van betrokkenen, in beginsel binnen 72 uur nadat het lek bekend is. Bij hoog risico moeten betrokkenen ook worden geïnformeerd. Tot die tijd moet het kantoor het incident onderzoeken, maatregelen nemen en de bevindingen vastleggen. Informeer de directeur dus niet met 'ja' of 'nee', maar met de feiten en de gemaakte afweging.