Incidentresponsbeleid

Het incidentresponsbeleid (Document P30) formaliseert een robuust kader dat ervoor zorgt dat de organisatie een breed spectrum aan informatiebeveiligingsincidenten effectief kan beheren en erop kan reageren. Het primaire doel van het beleid is het vaststellen van herhaalbare processen voor het identificeren, melden, analyseren, indammen en herstellen van incidenten, terwijl continue verbetering wordt bevorderd via post-incidentevaluatie. Door een centraal Incident Response Framework in te voeren dat is afgestemd op internationale normen zoals ISO/IEC 27035, waarborgt het beleid een gestructureerde aanpak in alle incidentfasen: voorbereiding, detectie en analyse, indamming/uitroeiing/herstel en post-incidentevaluatie. Dit beleid is van toepassing op alle organisatieonderdelen en strekt zijn eisen uit tot al het personeel, inclusief contractanten en dienstverleners van derde partijen, en omvat alle informatiesystemen van de organisatie, ongeacht of deze on-premises, cloudgehoste systemen of hybride omgevingen betreffen. Het is van toepassing op een uitgebreide set incidenttypen: ongeautoriseerde toegang, malware en ransomware, denial-of-service-aanvallen, datalekken of data-exfiltratie, dreigingen van binnenuit en zelfs fysieke inbreuken die digitale activa beïnvloeden. De governance-sectie verplicht dat elk incident formeel wordt vastgelegd in een Security Incident Management System (SIMS), met gedetailleerde metadata waaronder detectietijd, classificatie, getroffen systemen, genomen acties, vastgelegd bewijsmateriaal en root cause analysis. Alle incidenten worden gecategoriseerd via een gelaagd ernstmodel, zodat respons en escalatie proportioneel zijn. Belangrijke rollen en verantwoordelijkheden zijn zorgvuldig gedefinieerd om verantwoordingsplicht en een gestroomlijnde werkstroom tijdens een incident te waarborgen. De Chief Information Security Officer (CISO) behoudt het algehele eigenaarschap van het responskader en fungeert als liaison naar uitvoerend leiderschap en toezichthouders tijdens majeure incidenten. De Incident Response Coordinator beheert interfunctionele teams, volgt elke fase van de respons en zorgt ervoor dat corrigerende maatregelen worden uitgevoerd. Het Security Operations Center (SOC) en IT Security Analysts zijn belast met monitoring en triage van dreigingen, escalatie van cases en het nemen van initiële indammingsacties. Juridische zaken en DPO-rollen zijn verantwoordelijk voor het beoordelen van de regelgevende impact en het borgen van meldtermijnen, met name voor inbreuken onder GDPR, NIS2 en DORA. Uitvoerend leiderschap neemt strategische beslissingen voor incidenten met hoge ernst, waaronder publieke communicatie en het goedkeuren van ISMS-wijzigingen. Het beleid hanteert strikte mechanismen voor meldingen van inbreuken, digitale forensische analyse en omgang met bewijsmateriaal, en vereist dat kennisgeving aan autoriteiten en getroffen belanghebbenden wordt uitgevoerd volgens vastgestelde wettelijke en contractuele meldtermijnen. Digitale forensische procedures omvatten disk imaging met write-blockers, chain-of-custody-tracking en versleutelde opslag van bewijsmateriaal, met coördinatie met wetshandhaving waar vereist. Afwijkingen van het beleid, zoals responstijd of bewijsverzameling, moeten een strikt risicogebaseerd uitzonderingsproces volgen, met documentatie, goedkeuring door de Chief Information Security Officer (CISO) en kwartaalgewijze risicobeoordelingen. Om doeltreffendheid en naleving van de regelgeving te waarborgen, verplicht het beleid jaarlijkse herzieningen, regelmatige incidentrespons-oefeningen en duidelijke metrieken zoals Mean Time to Detect (MTTD), Mean Time to Contain (MTTC) en het percentage voltooide post-incidentevaluaties. Audit- en nalevingsmonitoring valideren auditgereedheid en handhaven naleving, met gespecificeerde gevolgen bij niet-naleving, waaronder disciplinaire maatregelen tot en met beëindiging van contracten of regelgevende rapportage. Het beleid is diep geïntegreerd met ondersteunende beleidslijnen rond gegevensclassificatie, wijzigingsbeheer, cryptografische beheersmaatregelen, back-up en herstel en logging en monitoring, waardoor een uitgebreide en verdedigbare incidentgereedheidspositie wordt geborgd.