Heeft uw bedrijf beveiligingsdocumenten, maar weet niemand wie bij een storing moet bellen? Begin met één oefensituatie. Dagelijkse regels en een incidentplan hebben verschillende doelen. Een beleid zegt hoe u normaal veilig werkt; een plan zegt wie bij een incident beslist en welke stappen worden geregistreerd. Beide moeten aansluiten op de mensen en systemen die u werkelijk heeft.
Vergelijk dagelijkse beveiligingsregels met crisisacties en oefen een uitgevallen account zonder gevoelige gegevens.
Begin bij uw belangrijkste bedrijfsproces
Welke werkzaamheden stoppen als uw mailbox, planning of betaalomgeving uitvalt? Noteer afhankelijkheden, gebruikte informatie, toegang en verantwoordelijken. Het NCSC biedt vijf basisprincipes en gratis hulpmiddelen voor digitale weerbaarheid. Gebruik die om gaten te ontdekken voordat u een nieuw beleid maakt. Geef ieder verbeterpunt een eigenaar en controledatum. Een maatregel op papier zonder uitvoerder beschermt uw bedrijf niet. Vraag ook uw IT-leverancier welke taken hij uitvoert en welke verantwoordelijkheid bij uw organisatie blijft.
Kies het document bij de ontbrekende afspraak
Informatiebeveiligingsbeleid beschrijft de bescherming en het dagelijks gebruik van informatie, ook via toegang, opslag en delen. Cybersecuritybeleid richt zich op digitale dreigingen, systemen en organisatorische beveiligingskeuzes. De onderwerpen overlappen; gebruik één samenhangende beleidsbasis als dat voor uw organisatie voldoende is. Een incidentresponsieplan cybersecurity geeft juist de meldroute, rollen, prioriteiten, acties en herstel bij een incident. Het is een praktisch draaiboek naast het beleid. Geen van deze teksten is op zichzelf een technisch configuratieplan of bewijs van naleving van iedere wettelijke beveiligingsplicht.
Voorbeeld: een verdachte aanmelding
Fictief voorbeeld: een medewerker van adviesbureau Iris ziet een onbekende aanmelding. De oefening gebruikt een verzonnen melding. Zij belt het bekende interne nummer, niet een nummer uit een verdachte e-mail. De incidentleider laat de IT-specialist de situatie onderzoeken en maatregelen vastleggen. Het team ontdekt dat de bellijst alleen in de mogelijk onbereikbare mailbox staat. Het bewaart daarom ook een gecontroleerde offline kopie. Na de oefening worden eigenaar, vervanger en toegang tot het logboek aangepast.
Test bereikbaarheid, herstel en communicatie
Controleer wie buiten kantooruren beslist, hoe de leverancier bereikbaar is en welke informatie in het logboek komt. Test of een back-up werkelijk kan worden teruggezet, met afgesproken hulp en veilige oefengegevens. Spreek af wie klanten informeert en wie beoordeelt of persoonsgegevens geraakt zijn. Een cyberincident is niet altijd een datalek, maar een mogelijk datalek vraagt een afzonderlijke beoordeling en meldroute. Gebruik daarvoor ook de gids over het eerste uur van een datalek. Leg geen wachtwoorden of onnodige klantgegevens vast in een brede groepschat.
Gebruik eerst de gratis NCSC-hulpmiddelen
Begin met de gratis bellijst en het noodpakket van het NCSC. Wilt u daarna uw eigen afspraken bundelen, kies dan beleid voor normaal werken en een incidentplan voor de crisisroute. Deel de juiste versie, oefen opnieuw en controleer periodiek contacten en back-ups. Sectorspecifieke eisen en de mogelijke toepassing van cybersecuritywetgeving vragen aparte controle. Een document belooft geen volledige bescherming of deskundigencontrole.