Cyberincident: wat doet SURFcert en wat regel je als instelling zelf?

Heb je een cyberincident? SURFcert helpt je om snel duidelijk te krijgen wat er aan de hand is en om de gevolgen te beperken. Als instelling blijf je zelf verantwoordelijk voor de maatregelen die je treft en de beslissingen die je neemt. Daarom is het goed om vooraf te weten wat je van SURFcert kunt verwachten en wat je als instelling zelf moet regelen.

Wat doet SURFcert?

Bij een beveiligingsincident binnen je instelling biedt SURFcert ondersteuning en advies. Dit bestaat bestaat onder meer uit:

• Triage, identificatie en analyse: we helpen vaststellen wat er is gebeurd en wat de mogelijke impact is, bijvoorbeeld door de historie van netwerkverkeer te analyseren. Ook helpen we de oorzaak van het incident te onderzoeken.
• Advies: we adviseren over de beste aanpak van het incident en welke maatregelen verdere schade kunnen beperken.
• Containment: we ondersteunen bij het beperken van verdere schade. In sommige gevallen kan SURFcert ook direct netwerkacties ondernemen, zoals netwerkfilters bij een DDoS-aanval of het blokkeren van een bepaald IP-adres.
• Crisiscoördinatie: we stemmen af met relevante partijen binnen en buiten de sector en schakelen waar nodig (inter)nationale experts en CSIRTs in, zoals onze partners NCSC en Z-CERT.
• Sectorbrede signalering: we delen relevante dreigingsinformatie met andere instellingen en coördineren de informatievoorziening bij sectorbrede dreigingen.
• Ondersteuning bij meldplicht: we begeleiden je instelling (indien van toepassing) bij het voldoen aan de meldplicht van de Cyberbeveiligingswet.

De ondersteuning van SURFcert vindt meestal op afstand plaats. Bij grote incidenten kunnen we ook ter plaatse aansluiten bij het incidentteam van je instelling.

Wat moet je als instelling zelf regelen?

Je bent als instelling verantwoordelijk voor je eigen informatiebeveiliging, de maatregelen die je neemt en het beschikbaar houden van je dienstverlening. SURFcert helpt en adviseert, maar neemt de informatiebeveiliging niet van je over.

Dat betekent concreet dat je zelf verantwoordelijk bent voor:

• Monitoring en detectie
  Zorg dat de security monitoring, detectie en incidentrespons binnen je instelling goed is ingericht. Je kunt dit zelf organiseren, bijvoorbeeld via een intern Security Operations Center (SOC), maar je kunt het ook (deels) uitbesteden aan SURFsoc, of aan een externe SOC/SIEM-dienstverlener. SURFcert monitort het interne netwerk en de IT-omgeving van je instelling niet; we signaleren alleen kwetsbaarheden die van buitenaf zichtbaar zijn.
• Regie en besluitvorming
  Ook tijdens een cyberincident houd je als instelling zelf de regie. SURFcert adviseert en ondersteunt, maar binnen je instelling neem je zelf de besluiten en voer je de benodigde acties uit (of laat die uitvoeren).
• Eradication en recovery
  Regel voldoende kennis en capaciteit binnen je instelling om een incident volledig op te lossen (eradication) en je systemen en dienstverlening te herstellen (recovery). Het is aan te raden om hiervoor tijdig een externe incident-responsepartij te regelen. Dat kan ook via aanvullende diensten van SURF (zie hieronder).

SURFcert en je eigen informatiebeveiliging vullen elkaar dus aan. SURFcert biedt ondersteuning en advies wanneer dat nodig is, terwijl je binnen je instelling zorgt voor een goede voorbereiding en een passende inrichting van je incidentrespons.

Aanvullende dienstverlening vanuit SURF

Beschik je binnen je instelling niet over voldoende kennis of capaciteit om je incident-responseproces goed in te richten? Dan kun je gebruikmaken van aanvullende diensten van SURF, zoals:

SURFsoc

SURFsoc verzamelt loggegevens van verschillende bronnen uit je instellings-infrastructuur en analyseert deze om aanvallen en verdacht gedrag te signaleren zodat je gericht actie kan ondernemen. SURFcert en SURFsoc werken nauw samen en versterken elkaar door relevante informatie en expertise te delen.

Aanbesteding Incident Response

Voor het regelen van een externe incident-responsepartij is via SURF een gezamenlijk ingekocht raamcontract beschikbaar. Zo kun je bij een ernstig incident snel gespecialiseerde ondersteuning inschakelen.

Hulp nodig of meer weten?

Heb je een vraag of vermoed je een beveiligingsincident binnen je instelling? Neem dan contact op met SURFcert via cert@surfcert.nl of bel 030 23 05 112 (24/7 bereikbaar).