Na de ontdekking van een datalek is de reflex om systemen schoon te vegen en verder te gaan. Begrijpelijk, maar het vernietigt precies de sporen die later nodig zijn om te bepalen wat er is buitgemaakt en door wie.
Uur 0 tot 4: bevriezen
Isoleer de betrokken systemen van het netwerk zonder ze uit te zetten. Werkgeheugen bevat vaak de meest waardevolle sporen en verdwijnt bij een herstart. Maak forensische kopieën voordat er iemand op inlogt en leg vast wie waar bij is geweest.
Uur 4 tot 24: reconstrueren
- Verzamel logbestanden van firewall, VPN, mailserver en identiteitsbeheer.
- Controleer welke accounts recent zijn aangemaakt of van rechten zijn voorzien.
- Breng in kaart welke datasets benaderd zijn, niet alleen welke systemen.
- Bewaar alles in een read-only omgeving met een sluitende bewijsketen.
Uur 24 tot 48: melden en verantwoorden
De meldplicht bij de Autoriteit Persoonsgegevens geldt binnen 72 uur, maar de kwaliteit van die melding hangt af van wat er in de eerste dag is vastgelegd. Een reconstructie die aantoont welke gegevens wel en niet zijn benaderd, beperkt niet alleen de schade maar ook de omvang van de informatieplicht richting betrokkenen.
