Op de pagina Incidenten leg je beveiligingsgebeurtenissen vast en handel je ze af, van het eerste verdachte signaal tot de geleerde lessen. Op deze pagina lees je hoe je een onderzoek opent, een incident meldt, het door de fasen leidt, meldingstermijnen bijhoudt en een post-incidentevaluatie exporteert.
Wie gebruikt het
Rol
Wat ze hier doen
Incident responder
Opent onderzoeken, meldt en behandelt incidenten en beheert meldingstermijnen
Beheerder
Hetzelfde als een Incident responder
Auditor en Beleidsredacteur
Lezen zaken, hun tijdlijnen en hun termijnen
Knoppen worden niet verborgen op basis van rol. Staat je rol een wijziging niet toe, dan toont Command Melden mislukt of Bijwerken mislukt.
Voordat je begint
Registreer de bedrijfsmiddelen die je aan incidenten wilt koppelen. Zie Bedrijfsmiddelen.
Spreek vooraf af wie besluit dat een gebeurtenis een incident is, en bij welke autoriteiten je meldt. Command houdt de termijnen en het dossier bij; het bepaalt niet welke verplichtingen voor jou gelden.
Onderzoeken en incidenten
Een zaak is een onderzoek of een incident:
Een Onderzoek betekent "We onderzoeken een signaal." Voor een onderzoek lopen geen meldingstermijnen. Het doorloopt de fasen Intake, Analyse en Besluit. Je verheft het tot een incident of sluit het zonder incident.
Een Incident is een bevestigd incident; er kunnen meldplichten gelden. Het doorloopt Triage, Inperken, Verwijderen, Herstellen en Lessen. Zodra het Lessen bereikt, is het opgelost.
Elke zaak heeft een zaak-ID dat begint met INV- voor een onderzoek of INC- voor een incident.
Meldingstermijnen
Een meldingstermijn telt af naar een uiterste meldingsdatum. Command biedt vooraf ingestelde termijnen, genoemd naar de meldingstermijnen in NIS2, de AVG (GDPR) en DORA, met vensters van 4 uur tot een maand, en een eigen termijn met je eigen naam en venster. Alleen incidenten hebben termijnen.
Status van de termijn
Betekenis
Op schema
De deadline valt over meer dan 12 uur
Nadert
Minder dan 12 uur over
Te laat
De deadline is verstreken: Deadline verstreken — dien direct in
Ingediend
Je hebt vastgelegd dat de melding is ingediend
Geannuleerd
De verplichting bleek niet van toepassing
Command stuurt geen waarschuwingen over deadlines. Houd de termijnen in de gaten op de pagina Incidenten en op het Dashboard.
De pagina Incidenten
Klik op Incidenten in de bovenste navigatie.
De lijst links, Zaken, heeft vier filters: Onderzoeken en Incidenten (alleen actieve zaken), Opgelost en Alle.
Elke zaak toont de ID, of het een Onderzoek of Incident is, de ernst (Laag, Middel, Hoog of Kritiek), de titel, de fase en de eerstvolgende meldingsdeadline, Opgelost of Geen actieve meldingstermijnen.
Incidenten zoeken… vindt een zaak op titel of ID.
Deadlines die over meer dan twee dagen vallen, tonen dagen en uren; dichterbij tellen ze af in uren, minuten en seconden. Ze worden oranje als er minder dan 12 uur over is en rood als ze verstreken zijn.
De pagina Incidenten met een lijst zaken en hun meldingsdeadlines
Klik op een zaak om die te openen.
Een onderzoek openen of een incident melden
Wie kan dit doenIncident responder en Beheerder.
1
Klik op Onderzoek openen als je nog uitzoekt wat er is gebeurd, of op Incident melden als je weet dat het een incident is. In het venster kun je onder Openen als tussen de twee wisselen.
2
Beschrijf onder Wat is er gebeurd? de gebeurtenis in één regel. Dit is verplicht.
3
Kies een Categorie: Datalek, Malware / ransomware, Phishing, Accountcompromittering, Beschikbaarheid / DDoS of Derde partij / toeleveringsketen.
4
Kies de Ernst: Laag, Middel, Hoog of Kritiek.
5
Kies onder Gedetecteerd wanneer je ervan op de hoogte raakte: Zojuist, Binnen het laatste uur, Eerder vandaag of Gisteren. Command legt het vroegste moment van de gekozen periode vast als moment van kennisname, bijvoorbeeld het begin van gisteren. De meldingstermijnen lopen vanaf dat moment.
6
Klik onder Getroffen bedrijfsmiddelen op Getroffen bedrijfsmiddel koppelen en kies elk getroffen bedrijfsmiddel.
7
Voeg eventueel Eerste notities toe: wat je tot nu toe weet en welke inperkende maatregelen al zijn genomen.
8
Vink Mogelijk zijn persoonsgegevens betrokken aan als dat zo is.
9
Controleer de voorvertoning van de termijnen onderaan en klik op Onderzoek openen of Incident melden.
Command maakt de zaak aan, opent haar en toont de ID, gevolgd door geopend voor onderzoek of gemeld.
Meld je een incident met ernst Hoog of Kritiek, dan start Command direct de NIS2-termijnen voor de vroegtijdige waarschuwing en de incidentmelding, en ook de AVG-termijn als je Mogelijk zijn persoonsgegevens betrokken hebt aangevinkt. De voorvertoning in het venster laat zien welke termijnen starten. Dit zijn voorinstellingen om je te helpen, geen juridisch advies: annuleer elke termijn die niet op jou van toepassing is, en start elke andere die je nodig hebt.
Aan een zaak werken
Open een zaak om de werkruimte ervan te zien:
De kop met de zaak-ID, fase, ernst, Actief of Opgelost, de titel, hoe lang geleden je ervan op de hoogte raakte, hoeveel systemen getroffen zijn en de eerstvolgende deadline.
De fasebalk, die laat zien waar de zaak staat.
De meldingstermijnen, bij incidenten.
De tijdlijn, nieuwste eerst: elke faseovergang, elk besluit en elke termijn, met wie het deed en wanneer.
Het zijpaneel met Getroffen systemen, Gekoppelde bedrijfsmiddelen, Getroffen data en Acties. Klik op een gekoppeld bedrijfsmiddel om het te openen op de pagina Bedrijfsmiddelen.
Een geopend incident met de fasen, meldingstermijnen en tijdlijn
Elke wijziging vraagt om een toelichting
Bij elke statuswijziging moet je in minstens 10 tekens uitleggen waarom. Totdat je genoeg hebt geschreven, toont het venster hoeveel tekens er nog nodig zijn. Je toelichting komt op de tijdlijn, zodat het dossier niet alleen laat zien wat er veranderde, maar ook waarom.
Wie kan dit doenIncident responder en Beheerder.
Knop
Wanneer je hem ziet
Wat hij doet
Doorzetten naar, gevolgd door de volgende fase
Een actieve zaak die nog niet in de laatste fase is
Zet de zaak door naar de volgende fase. Zet je een incident door naar Lessen, dan is het opgelost.
Verheffen tot incident
Een actief onderzoek
Maakt er een gemeld incident van in de fase Triage. Meldingstermijnen worden beschikbaar; er start er geen vanzelf, dus start direct daarna de termijnen die van toepassing zijn.
Sluiten — geen incident
Een actief onderzoek
Sluit het met jouw conclusie. De zaak blijft in het dossier; er wordt niets verwijderd.
Meldingstermijn starten
Een actief incident
Start een termijn. Zie hieronder.
Als opgelost markeren
Een actief incident
Lost het incident op. Staan er nog termijnen open, dan waarschuwt het venster je: oplossen dient ze niet in.
Heropenen
Een opgeloste zaak
Zet de zaak terug in actieve afhandeling. De oorspronkelijke afsluitende regel blijft op de tijdlijn staan.
Wil je buiten de volgorde naar een andere fase springen, klik die dan aan in de fasebalk. Command vraagt je uit te leggen waarom: Faseovergangen buiten de volgorde vallen op bij beoordeling — licht hier toe waarom.
Een incident van begin tot eind afhandelen
1
Open de zaak.
2
Klik op Doorzetten naar de volgende fase, schrijf je toelichting, bijvoorbeeld "Kwaadaardig account uitgeschakeld en sessies ingetrokken", en bevestig.
3
Herhaal dit voor elke fase naarmate de afhandeling vordert.
4
Is het incident voorbij, klik dan op Als opgelost markeren, leg uit waarom het is opgelost en klik in het venster op Als opgelost markeren. Command toont Incident opgelost.
Blijkt het incident toch niet voorbij, klik dan op Heropenen, leg uit waarom en klik op Zaak heropenen. Command toont Heropend.
Bekijk: een incident oplossen en heropenen (ongeveer 1 min)
Meldingstermijnen starten en annuleren
Je kunt op elk moment in de afhandeling een termijn starten, niet alleen bij het melden van het incident.
Wie kan dit doenIncident responder en Beheerder.
1
Klik in een actief incident op Meldingstermijn starten.
2
Kies onder Meldplicht een vooraf ingestelde termijn, elk met het bijbehorende venster, of Eigen termijn voor een andere meldingsdeadline. Een termijn die al loopt, kun je geen tweede keer kiezen.
3
Vul bij een eigen termijn een Naam van de termijn in, bijvoorbeeld "Sectortoezichthouder — eerste melding", en het Venster (uren).
4
Kies onder Loopt vanaf voor Moment van kennisname of Nu. Het venster toont de resulterende deadline, en al verstreken als die voorbij is.
5
Klik op Termijn starten. Command toont de naam van de termijn, gevolgd door gestart.
Wil je een termijn annuleren omdat de verplichting niet van toepassing is, klik dan op Annuleren bij de termijn, leg uit waarom en klik op Termijn annuleren. Gebruik dit alleen als de verplichting niet van toepassing is, niet om een deadline stil te zetten waaraan je nog moet voldoen. De termijn blijft zichtbaar als Geannuleerd.
Een ingediende melding vastleggen
Heb je een autoriteit op de hoogte gesteld, leg dat dan vast bij de termijn.
Wie kan dit doenIncident responder en Beheerder.
1
Klik bij de termijn op Melding indienen.
2
Controleer de Toezichthouder. Command vult een standaardwaarde voor de termijn in; wijzig die in de autoriteit die je hebt geïnformeerd.
3
Controleer het Onderwerp en de Tekst. Command vult ze in op basis van de gegevens van de zaak; pas ze aan zodat ze overeenkomen met wat je hebt verstuurd.
4
Vink I have reviewed this notification. The CISO or a designated delegate has approved it for submission. aan.
5
Klik op Indienen bij, gevolgd door de autoriteit. De termijn krijgt de status Ingediend, de tekst wordt bij de zaak opgeslagen en de tijdlijn legt het vast.
Opmerking
Command verstuurt de melding niet voor je naar de autoriteit. Verstuur haar via het eigen kanaal van de autoriteit en leg haar hier vast.
Na de eerste melding toont de zaak de opgeslagen tekst onder Concept toezichthoudermelding. Klik op Concept bewerken om haar te corrigeren, en op Wijzigingen opslaan.
Een zaak bespreken met de assistent
Klik in het zijpaneel onder Acties op Open in gesprek. Command opent Gesprek met een samenvatting van de zaak (ID, titel, ernst, fase, systemen, data, termijnen en tijdlijn) en de vraag "What are the next steps, and is anything overdue or missing?" in het berichtvak. Pas die aan als je wilt, en verstuur haar. Zie Chat en assistenten.
Post-incidentevaluatie
Bereikt een incident Lessen, dan toont de zaak een sectie Post-incidentevaluatie.
Corrigerende beheersmaatregel opstellen opent de pagina Beheersmaatregelen met een nieuwe beheersmaatregel met de titel "Prevent recurrence:", gevolgd door de titel van het incident, gekoppeld aan de getroffen bedrijfsmiddelen, en stelt de tekst op uit de feiten van de zaak. Controleer de beheersmaatregel en sla hem op. Hiervoor heb je de rol Beheerder nodig. Zie Beheersmaatregelen.
Evaluatie exporteren downloadt de evaluatie als Markdown-bestand, genoemd naar de zaak-ID, met de titel, ernst, status, fase, het detectietijdstip, de tijdlijn en de meldingen die je hebt vastgelegd. Command toont Post-incidentevaluatie geëxporteerd.
Hoe Command je beschermt
Elke statuswijziging vraagt om een schriftelijke toelichting, die op de tijdlijn wordt bewaard.
Een gesloten onderzoek blijft in het dossier; een zaak kan op geen enkele manier worden verwijderd.
Voor een onderzoek starten nooit meldingstermijnen.
Bij het oplossen van een incident worden openstaande termijnen niet stilletjes gesloten; Command waarschuwt je.
Voor het annuleren van een termijn is een reden nodig, en de geannuleerde termijn blijft zichtbaar.
Voor het vastleggen van een melding moet je bevestigen dat die is gecontroleerd en goedgekeurd.
Het melden en oplossen van incidenten wordt vastgelegd in het Auditlogboek.
Problemen oplossen
Wat je ziet
Wat het betekent
Wat je doet
Melden mislukt
De zaak kon niet worden aangemaakt, bijvoorbeeld omdat je rol het niet toestaat
Vraag het een Incident responder of Beheerder
Bijwerken mislukt
Een wijziging in de zaak is geweigerd
Controleer je rol en probeer het opnieuw
De bevestigknop blijft uitgeschakeld, met Nog {n} tekens nodig
