Na een incident. Wat u in de eerste week aan blootstelling kunt doen.

Als er net een poging is geweest — geslaagd of niet — dan is de eerste week rommelig. Er loopt een onderzoek, er is een melding, en iedereen wil weten hoe het kon.

Dit artikel gaat over één deelvraag in die week: wat er te doen valt aan de blootstelling van de mensen die het doelwit waren. Niet over incidentrespons, niet over forensiek, en niet over uw verzekeraar.

Eerst twee dingen die niets met ons te maken hebben

Bewaar het materiaal. De berichten zelf, met kopregels, in de vorm waarin ze binnenkwamen. Niet doorgestuurd, want doorsturen verandert de kopregels. Dat is het materiaal waaruit later blijkt wat de aanvaller wist, en het is doorgaans het eerste wat verdwijnt omdat mensen hun mailbox opruimen.

Meld het waar u moet melden. Bij een significant incident kent de Cyberbeveiligingswet een meldplicht in drie stappen: een vroegtijdige waarschuwing binnen vierentwintig uur, een vervolgmelding binnen tweeënzeventig uur, en een eindverslag binnen een maand. Of uw geval significant is, staat in een ministeriële regeling en niet in de wet.

Pas daarna is de vraag over blootstelling aan de beurt. Zij is zelden urgent in de eerste achtenveertig uur, en zij is bijna altijd urgenter dan zij twee weken later nog voelt.

Wat de berichten u vertellen over wat er bekend was

Het bewaarde materiaal is niet alleen bewijs, het is ook een inventaris. Leg de berichten naast elkaar en noteer per stuk welk gegeven erin voorkwam dat de aanvaller ergens vandaan moest halen.

De laatste twee zijn de enige waar iets aan te doen valt. Als ze allebei leeg blijven, is een blootstellingstraject waarschijnlijk niet uw beste volgende stap, en dan zeggen wij dat ook.

Wat er in de eerste week realistisch kan

Twee dingen kunnen snel. Twee dingen kunnen niet snel, en het is eerlijker om dat meteen te zeggen.

Wel snel: vaststellen wat er te vinden is. Een meting van wat er over de betrokken personen publiek en commercieel beschikbaar is, kan binnen dagen. Dat vraagt wel dat de betrokkenen vooraf zijn geïnformeerd, en dat is geen formaliteit die u overslaat omdat het haast heeft.

Wel snel: het bezoekadres bij de Kamer van Koophandel. Als daar een woonadres als bezoekadres staat — bij eenmanszaken en kleine rechtspersonen komt dat voor — kan dat worden afgeschermd, en dat gaat hard: meestal binnen een werkdag.

Juist hier telt dat u een incident heeft gehad. Voor een bv of nv kan afscherming namelijk alleen bij concrete dreiging, en de Kamer van Koophandel vraagt daar bewijs voor — bijvoorbeeld een kopie van een aangifte bij de politie. Buiten een incident om is die route voor een bv dicht; met een aangifte in handen is hij open. Doe de aanvraag dus in dezelfde week als de aangifte, niet maanden later.

Twee dingen die erbij horen: er wordt een postadres verplicht en dat is wél openbaar, en het afgeschermde bezoekadres blijft zichtbaar in de historie van het bedrijf. Wij begeleiden de aanvraag; afdwingen kunnen wij hem niet, en er is geen wettelijke termijn waarop wij kunnen escaleren.

Wat de KVK wel en niet afschermt, en voor wie de procedure openstaat→

Niet snel: verwijdering bij partijen. Een verzoek geeft een partij een maand om te antwoorden. Dat is de wettelijke termijn en die is niet in te korten omdat er iets gebeurd is. Wie u binnen een week resultaat belooft bij een handelaar, belooft iets wat hij niet in de hand heeft.

Niet snel: de kopieën die er al zijn. Wat gekocht is, is gekocht. Afschermen bij een bron voorkomt dat de volgende verversing het gegeven opnieuw meeneemt; het haalt niet terug wat al is doorgeleverd.

Waarom het moment toch uitmaakt

Niet omdat er iets sneller kan, maar omdat er nu twee dingen bestaan die er over drie maanden niet meer zijn: het materiaal, en de bereidheid.

Het materiaal, omdat de berichten dan zijn opgeruimd en niemand meer precies weet welk gegeven erin stond. De bereidheid, omdat een bestuur dat net is geschrokken wél tekent voor een persoonlijke machtiging, en een bestuur dat het is vergeten niet.

Dat tweede is geen verkoopargument maar een praktisch probleem: zonder handtekening van de betrokkene zelf gaat er geen enkel verzoek de deur uit.

Waarom die handtekening juridisch vereist is→

Waar dit ophoudt

Wij kunnen niet vaststellen dat een bepaald gegeven in een bepaald bericht bij een bepaalde partij is gekocht. Bij een concreet incident is de herkomst van de gebruikte kennis vrijwel nooit te herleiden, en wie beweert dat wel te kunnen, beweert te veel.

Wij kunnen ook niet zeggen dat het niet weer gebeurt. Minder vindbare gegevens maken een geloofwaardige benadering moeilijker. Dat is een redenering over aanvalsoppervlak, en er is geen getal dat wij eronder kunnen zetten.

Wat de bekendste Nederlandse zaak wel en niet aantoont→

Waar dit vandaan komt