Ransomware

Ransomware, in het Nederlands gijzelsoftware, versleutelt uw bestanden en systemen waarna er losgeld wordt geëist. Voor de meeste organisaties is dit het scenario met de grootste kans én de grootste schade tegelijk, en het is daarmee vaak het belangrijkste risico in de risicoanalyse.

Hoe aanvallers binnenkomen

In vrijwel alle gevallen zit er weken tussen het binnenkomen en het versleutelen. In die periode kijken aanvallers rond, zoeken uw back-ups op en halen gegevens weg. Dat maakt logging en monitoring zo waardevol: daar is de aanval te zien voordat hij toeslaat.

Wat echt helpt

• Back-ups die niet vanuit uw omgeving te wissen zijn. Aanvallers zoeken ze actief op en versleutelen ze mee.
• Meervoudige authenticatie, vooral op beheeraccounts en op alles wat van buiten bereikbaar is.
• Netwerksegmentatie, zodat één besmette werkplek niet direct bij alles kan.
• Beheerrechten beperken, zodat een verkeerde klik niet meteen de hele omgeving raakt.
• Snel patchen van wat van buiten bereikbaar is.

De eerste uren

1. Isoleer, zet niet uit. Trek de netwerkverbinding eruit maar laat systemen aan; uitzetten vernietigt sporen in het geheugen.
2. Schakel hulp in. Uw verzekeraar of een forensisch specialist, direct.
3. Meld binnen 24 uur bij het CSIRT en binnen 72 uur bij de Autoriteit Persoonsgegevens als er gegevens bij zijn.
4. Controleer uw back-ups voordat u begint met herstellen, en of ze schoon zijn.
5. Communiceer via een kanaal dat losstaat van uw eigen omgeving.

Wel of niet betalen

Betalen is in Nederland niet verboden, maar het is zelden verstandig. Er is geen garantie dat u de sleutel krijgt, de ontsleuteling gaat vaak traag en onvolledig, en betaalde slachtoffers worden vaker opnieuw benaderd. Bovendien is uw gegevensdiefstal er niet mee opgelost: de kopie die zij hebben blijft bestaan.

Neem deze beslissing niet op het moment zelf. Bepaal vooraf, in uw continuïteitsplan, wie hierover gaat en welke afweging u maakt.

Wat de Cyberbeveiligingswet hiervan vraagt

Een ransomware-aanval die uw dienstverlening ernstig verstoort is een significant incident, met de meldplicht van 24 uur. De maatregelen hierboven vallen onder de zorgplicht, met name continuïteit, toegangsbeheer en het beheren van kwetsbaarheden.

Wat herstel werkelijk kost aan tijd

De versleuteling zelf is een kwestie van uren, het herstel is een kwestie van dagen tot weken. Systemen terugzetten vanaf een schone back-up gaat sneller dan mensen vaak denken als de back-up goed is ingericht; het langzame deel is controleren wat er precies is geraakt, welke systemen in welke volgorde terug moeten om weer te kunnen werken, en of er sporen van de aanvaller ergens zijn achtergebleven. Reken bij een goed voorbereide organisatie op enkele dagen tot de kern weer draait, en op weken voordat alles inclusief onderzoek is afgerond. Zonder geteste back-ups en zonder een vastgelegde volgorde loopt dit al snel op tot maanden.

Klein versus groot tijdens een aanval

Een kleine organisatie met één serverruimte heeft als voordeel dat er weinig systemen zijn om te overzien, maar vaak niemand die dit soort incidenten al eens heeft meegemaakt. Schakel dan meteen externe hulp in via uw cyberverzekering en laat een specialist de eerste beslissingen mee nemen. Een grotere organisatie met meerdere locaties of systemen heeft meer capaciteit maar ook meer coördinatie nodig: wie communiceert naar klanten, wie naar medewerkers, en wie beslist over de volgorde van herstel. Leg die rolverdeling vooraf vast, niet tijdens de crisis zelf.

Wat u vastlegt tijdens en na het incident

• het tijdstip van ontdekking en wie het meldde
• welke systemen geraakt zijn en in welke volgorde ze zijn hersteld
• welke beslissingen zijn genomen, door wie en waarom, inclusief de afweging over betalen
• of er aanwijzingen zijn dat er gegevens zijn meegenomen
• wat u na afloop anders gaat doen

Dat laatste punt is niet vrijblijvend. Bespreek de uitkomst in uw eerstvolgende directiebeoordeling, met concrete besluiten. Een incident zonder geregistreerde les is een gemiste kans om de volgende keer sneller te herstellen.

De oefening die het verschil maakt

Het onderdeel dat het vaakst ontbreekt, is niet de back-up zelf maar het testen van het terugzetten. Een back-up die nooit is teruggezet, is een aanname, geen zekerheid. Plan minstens een keer per jaar een herstelproef: zet een representatief deel daadwerkelijk terug en meet hoe lang het duurt. Dat is iets anders dan het testen van medewerkers met een phishingsimulatie, of het opleiden van medewerkers via een trainingsprogramma; dit is puur de techniek zelf onder de loep, los van wie er wel of niet op iets heeft geklikt.

Wat het scenario betekent voor kleinere organisaties

Veel kleine ondernemingen denken dat ze te klein zijn om doelwit te zijn. In de praktijk kiezen aanvallers vaak juist kleinere organisaties, omdat de beveiliging daar minder vaak op orde is en de kans op succes groter. Zie ook wat de wet voor het mkb betekent voor hoe de zorgplicht meebeweegt met uw omvang.

Veelgestelde vragen

Dekt mijn verzekering ransomware?

Herstelkosten en bedrijfsschade doorgaans wel, losgeld verschilt per polis. Zie cyberverzekering.

Moet ik systemen uitzetten bij een aanval?

Nee, isoleren van het netwerk is beter. Uitzetten vernietigt bewijs dat u nodig heeft om te bepalen hoe ze binnenkwamen.

Hoe weet ik of mijn back-up schoon is?

Kijk naar het moment waarop de aanval begon, niet naar het moment van versleutelen. Herstel vanaf een punt daarvoor en scan voordat u aansluit.

Moet ik een aanval melden bij de politie?

Aangifte is niet verplicht maar wel aan te raden, en soms een voorwaarde in uw polis.

Hoe lang duurt herstel gemiddeld?

Bij een goed voorbereide organisatie enkele dagen tot de kern weer werkt, en weken voor het volledige onderzoek. Zonder voorbereiding kan dit maanden duren.

Moeten wij het incident intern evalueren?

Ja, en leg die evaluatie vast met concrete besluiten. Dat hoort standaard thuis in uw directiebeoordeling.

Wat als de aanvaller ook gegevens heeft gestolen?

Dan gelden ook uw meldplichten voor een datalek. Zie datalek melden voor de termijnen die daarbij horen.

Kunnen wij dit als kleine organisatie zelf afhandelen?

De eerste stappen wel, zoals isoleren en het inschakelen van hulp. Het forensische onderzoek en het veilig herstellen laat u vrijwel altijd aan specialisten over.