Bewijsmateriaal veiligstellen bij een incident

Bij een serieus incident is de reflex begrijpelijk: zo snel mogelijk herstellen, systemen schoonmaken, door. Precies daarmee vernietig je in het eerste uur vaak het bewijs dat je later nodig hebt, voor de oorzaakanalyse, de verzekeraar, een AP-onderzoek of een rechtszaak. Annex A-maatregel 5.28 vraagt dat je dit beheerst.

Waarom bewijs verzamelen, ook zonder rechtszaak?

Je weet bij de start van een incident niet waar het eindigt. Een ontslagzaak, een verzekeringsclaim, aangifte of een toezichthoudersonderzoek kunnen maanden later bewijs vereisen. En voor je eigen oorzaakanalyse zijn originele logs onmisbaar. Wat in het eerste uur wordt gewist, komt nooit meer terug.

Maak bewijs een vaste responsstap

Vóór het opschonen en herstellen: eerst veiligstellen.

1. Exporteer relevante logbestanden vóór ze rouleren of gewist worden.
2. Bewaar schermafbeeldingen en mails.
3. Zet betrokken apparaten apart in plaats van ze te wissen.
4. Documenteer de keten (chain of custody): wie stelde wat wanneer veilig, waar staat het, wie kon erbij.

Ken je grenzen

Bij mogelijke rechtszaken, ransomware of interne fraude schakel je forensische specialisten in vóórdat je zelf op systemen werkt. Goedbedoeld eigen onderzoek kan bewijs onbruikbaar maken. Regel vooraf wie je belt (in je incidentresponsplan).

Tip van Control One: Kloksynchronisatie is hier cruciaal. Logs met verschillende tijden zijn niet op een tijdlijn te leggen, precies wanneer je dat het hardst nodig hebt. Zorg dat je systemen gesynchroniseerd zijn, dan is je bewijs bruikbaar.

De balans onder druk

Het spanningsveld is reëel: je wilt zo snel mogelijk herstellen én bewijs bewaren. De oplossing is niet kiezen maar volgorde: beheersen (de bloeding stelpen), dan veiligstellen, dan pas herstellen. Voor het MKB wordt geen forensisch lab verwacht, wel het besef dat herstellen zonder eerst veilig te stellen een onomkeerbare fout is.

Bewijs veiligstellen is onderdeel van een volwassen incidentproces. Wil je weten of jouw proces staat? Doe de Quickscan of bekijk de ISO 27001-checklist.