Een monitoringdienst kan een waarschuwing zien zonder bevoegd of technisch in staat te zijn het risico te stoppen. Vraag daarom wat er na een alarm werkelijk gebeurt. Wie analyseert, wie beslist en wie voert een maatregel uit? Een snelle ontvangstbevestiging is nuttig, maar is niet hetzelfde als beheersing of herstel.
Controleer logdekking, bereikbaarheid en mandaat met één concrete incidentsimulatie.
Vraag welke signalen de dienst niet ziet
Laat systemen en logbronnen per naam bevestigen, inclusief bronnen die ontbreken of vertraagd binnenkomen. Leg vast wie merkt dat een bron stilvalt. Nieuwe accounts, apparaten of cloudomgevingen moeten herkenbaar in de dekking komen; een algemeen dashboard bewijst dat niet. Bespreek hoe een nieuw systeem wordt getest voordat monitoring als actief wordt beschouwd.
NCSC benadrukt bij incidentrespons dat rollen, escalatie en mandaat vooraf duidelijk moeten zijn. Maak voor ingrijpende acties onderscheid tussen een account blokkeren, een apparaat isoleren en productie stilzetten. Bepaal ook de terugvalroute als uw vaste contactpersoon onbereikbaar is. Machtiging voor monitoring betekent niet zonder meer toestemming voor iedere technische test of destructieve actie.
Voorbeeld: verdacht beheeraccount om 23.00 uur
Fictief: om 23.00 uur komt een alarm over een nieuw beheerdersaccount binnen. De leverancier reageert in tien minuten, maar kan alleen uw afwezige IT-manager bellen. Het account blijft actief. Kies vooraf een begrensde noodmaatregel: bijvoorbeeld tijdelijk blokkeren van het specifieke account, met vastgelegd bewijs en melding aan een tweede bevoegd contact. Test vervolgens of die actie technisch mogelijk is.
Beproef de dienst vóór het eerste echte incident
Laat leverancier en interne team samen een scenario doorlopen. Noteer kloktijden, ontvangen informatie, beslissingen en feitelijke acties. Los bereikbaarheid, ontbrekende toegang en onverwachte extra kosten op vóór start. Houd uw eigen formele meldingen en herstelorganisatie herkenbaar naast de uitbestede dienst; geen alarmtest bewijst dat iedere aanval ontdekt wordt.