SOP-002: Incidentoverdracht tussen regio's

Documentbeheer

1. Doel & scope

• Doel: Het proces vastleggen voor het overdragen van een actief security-incident van het IR-team van de ene geografische regio naar dat van een andere. Daarbij blijft de respons doorlopen, gaat er geen context verloren en worden de leiding en de verantwoordelijkheid duidelijk overgedragen.

• Scope: Van toepassing op alle actieve security-incidenten die meerdere geografische regio's (geo's) en hun IR-teams beslaan of van de ene naar de andere regio overgaan (bijv. APAC → EMEA → Americas). Deze SOP geldt ongeacht de severity van het incident.

2. Definities

• Geo: Een geografische regio met een eigen IR-team dat in een bepaalde tijdzone werkt (bijv. APAC, EMEA, Americas).
• Overdragend team: Het IR-team waarvan de dienst eindigt en dat het eigenaarschap van het incident overdraagt.
• Ontvangend team: Het IR-team waarvan de dienst begint en dat het eigenaarschap van het incident overneemt.
• Incident Commander (IC): De persoon die op een bepaald moment de algehele leiding over de incident response heeft. De leiding gaat bij deze overdracht over.
• Overdrachtsbriefing (handoff brief): Een gestructureerde mondelinge of schriftelijke samenvatting van het incident, door het overdragende team aan het ontvangende team.
• Overdrachtsvenster: De geplande overlap tussen de diensten van twee geo's waarin de overdracht plaatsvindt.
• War room: Het vaste communicatiekanaal (bijv. Slack-kanaal, videoverbinding) voor de realtime coördinatie van het incident.
• Incidentticket: Het leidende dossier van het incident, met alle acties, bevindingen en besluiten.

3. Rollen & verantwoordelijkheden

• Vertrekkende Incident Commander (overdragende IC):

  • Bereidt de overdrachtsbriefing voor vóór het overdrachtsvenster
  • Werkt het incidentticket vóór de overdracht bij met de actuele stand
  • Geeft de overdrachtsbriefing aan het ontvangende team
  • Draagt de leiding formeel over aan de nieuwe IC
  • Blijft tijdens het overdrachtsvenster beschikbaar voor vragen

• Nieuwe Incident Commander (ontvangende IC):

  • Leest het incidentticket vóór de overdrachtsbriefing door
  • Neemt deel aan de overdrachtsbriefing en stelt verduidelijkende vragen
  • Neemt formeel de leiding over het incident over
  • Bevestigt dat alle open acties en openstaande taken duidelijk zijn

• Vertrekkende IR-teamleden:

  • Werken vóór de overdracht hun eigen taaknotities en actiepunten in het incidentticket bij
  • Zijn tijdens het overdrachtsvenster beschikbaar voor vragen van het ontvangende team

• Ontvangende IR-teamleden:

  • Lezen het incidentticket en de toegewezen taken door, vóór of tijdens het overdrachtsvenster
  • Bevestigen na de overdracht dat ze de toegewezen taken aannemen

• IR-teamleads / managers (beide geo's):

  • Zorgen dat het overdrachtsvenster wordt aangehouden en bemand is
  • Escaleren als een overdracht niet binnen het afgesproken venster kan worden afgerond

4. Procedure

4.1 Vereisten

• Er is een actief en actueel incidentticket
• Zowel het overdragende als het ontvangende team heeft toegang tot het incidentticket en de war room
• Er is een gepland overdrachtsvenster (bij voorkeur 30 minuten overlap tussen de diensten van de geo's)
• De IC van het ontvangende team is vóór de overdracht bekend

4.2 Stap-voor-stap-instructies

1. Maak het incidentticket gereed (overdragende IC, 30 minuten vóór het overdrachtsvenster)

   • Zorg dat het incidentticket de actuele stand van het incident weergeeft, waaronder:
     • Het huidige severity-niveau
     • Een beknopte samenvatting (wat er is gebeurd, wat bekend is, wat onbekend is)
     • Alle tot nu toe uitgevoerde acties, met tijdstempels
     • Open actiepunten en wie verantwoordelijk is
     • Hypotheses die worden onderzocht
     • Containment-maatregelen die op dit moment actief zijn
     • Belangrijk verzameld bewijsmateriaal en waar het staat
     • Genomen besluiten en hun onderbouwing
     • Openstaande escalaties of notificaties

2. Bereid de overdrachtsbriefing voor (overdragende IC, 15 minuten vóór het overdrachtsvenster)

   • Schrijf of structureer een mondelinge briefing in dit format:
     • Situatie: Wat is er gebeurd en wat is de huidige stand?
     • Achtergrond: Hoe zijn we hier gekomen? Belangrijkste tijdlijn.
     • Inschatting: Wat denken we dat er speelt? Huidige hypotheses.
     • Open acties: Welke taken staan open en wie is eigenaar?
     • Risico's & aandachtspunten: Waar maken we ons zorgen over? Waar moet het ontvangende team op letten?
     • Directe prioriteiten: Waar moet het ontvangende team zich eerst op richten?

3. Informeer het ontvangende team (overdragende IC)

   • Meld in de war room dat de overdracht begint en tag de ontvangende IC
   • Deel de overdrachtsbriefing in het incidentticket of de war room

4. Houd de overdrachtsbriefing (beide teams, tijdens het overdrachtsvenster)

   • Geef de overdrachtsbriefing mondeling of schriftelijk
   • Geef het ontvangende team gelegenheid om verduidelijkende vragen te stellen
   • Loop alle open actiepunten door en bevestig de overdracht van het eigenaarschap

5. Werk de war room bij (ontvangende IC)

   • Bevestig in de war room dat de overdracht is afgerond, wie de nieuwe IC is en wat de directe prioriteiten voor de nieuwe dienst zijn

6. Het overdragende team treedt af

   • De overdragende IC en teamleden zijn vrijgesteld van actieve inzet op dit incident

5. Compliance & auditeerbaarheid

• De overdracht van de leiding wordt met tijdstempels en de namen van beide IC's gelogd in het incidentticket en/of de war room.
• De overdrachtsbriefing blijft als permanent verslag bewaard in het incidentticket of de war room.
• De naleving van deze SOP wordt beoordeeld tijdens de post-incidentreview (PIR), met speciale aandacht voor context die bij de overdracht verloren is gegaan.
• De IR-teamleads van beide geo's bevestigen dat de overdracht binnen het afgesproken overdrachtsvenster is afgerond.

6. Communicatie & escalatie

• Interne communicatie:

  • Alle activiteit rond de overdracht wordt vastgelegd in de war room en het incidentticket.
  • De IR-teamleads van beide geo's worden geïnformeerd als een overdracht vertraging oploopt of niet volgens planning kan worden afgerond.

• Escalatiecriteria:

  • Het ontvangende team kan geen IC leveren voor de nieuwe dienst → escaleer direct naar de IR-teamlead en de IR-manager van de ontvangende geo.
  • Het overdragende team kan de overdrachtsbriefing niet afronden door lopende, tijdkritische acties → de ontvangende IC loopt mee met de actieve respons en de briefing volgt zo snel mogelijk, uiterlijk 30 minuten na het begin van de nieuwe dienst.
  • Na de overdracht blijkt dat er context verloren is gegaan → de ontvangende IC roept de vertrekkende IC op voor een verduidelijkend gesprek op een later moment.

7. Referenties & gekoppelde bronnen

• Playbooks:
  • PB-002: Ransomware Incident Response

8. Bijlagen

Bijlage A: Template overdrachtsbriefing

Gebruik dit template voor de schriftelijke overdrachtsbriefing in het incidentticket of de war room:

## Overdrachtsbriefing incident - [Datum/tijd] [Tijdzone]

**Vertrekkende IC:** [Naam]
**Nieuwe IC:** [Naam]

### Situatie
[Huidige stand van het incident in 2–3 zinnen]

### Achtergrond
[Hoe zijn we hier gekomen? Belangrijkste gebeurtenissen en tijdlijn]

### Inschatting
[Huidige werkhypothese / wat we denken dat er speelt]

### Open acties
| Actie | Eigenaar | Prioriteit | Opmerkingen |
|--------|-------|----------|-------|
| [Taak] | [Naam] | [Hoog/Midden/Laag] | [Relevante context] |

### Risico's & aandachtspunten
[Wat moet het ontvangende team in de gaten houden of waar moet het voorzichtig mee zijn?]

### Directe prioriteiten
1. [Eerste prioriteit]
2. [Tweede prioriteit]
3. [Derde prioriteit]

### Overdracht van de leiding
- Leiding overgedragen door: [Naam vertrekkende IC] om [Tijdstempel]
- Leiding overgenomen door: [Naam nieuwe IC] om [Tijdstempel]

Bijlage B: Contactlijst

9. Review & onderhoud

• Reviewcyclus: Review deze SOP jaarlijks, of na elk incident waarbij een mislukte overdracht of verloren context tot een slechtere respons heeft geleid.

• Feedbackproces: Feedback wordt verzameld tijdens de PIR. Zowel de vertrekkende als de nieuwe IC wordt gevraagd of de overdracht effectief was. Verbeteringen komen in de volgende versie van deze SOP.

Bijdrager

Jayden Vo GitHub: https://github.com/jayden-vo

Heeft bijgedragen aan het Arcana Incident Response Documentation Framework.