SOP-004: Gebruikersnotificatie tijdens een security-incident

Documentbeheer

Kenmerk	Waarde	Datum
Documentnaam	SOP-004: Gebruikersnotificatie tijdens een security-incident
Versie	[Versienummer invullen]	[Datum invullen]
Eigenaar	[Eigenaar/team invullen]	[Datum invullen]
Status	[Draft/Approved/Retired]	[Datum invullen]
Volgende reviewdatum	[Volgende reviewdatum invullen]	[Datum invullen]
Goedkeuringen	[Goedkeurder(s) invullen]	[Datum invullen]
Wijzigingsoverzicht	Eerste versie	[Datum invullen]

Doel: Het proces vastleggen voor tijdige en juiste communicatie met getroffen gebruikers en stakeholders tijdens een security-incident: wat je communiceert, wie je informeert en hoe je met reacties omgaat.
Scope: Van toepassing op alle security-incidenten waarbij gebruikers moeten worden geïnformeerd over de impact, over acties die ze moeten uitvoeren of over adviezen van de organisatie. Dit omvat notificaties aan één gebruiker, waarschuwingen aan een afdeling en adviezen aan de hele organisatie.

Getroffen gebruiker: Een gebruiker van wie het account, het apparaat of de data rechtstreeks door het incident is geraakt.
Advisory (waarschuwing): Een bredere mededeling om gebruikers te waarschuwen voor een actieve dreiging (bijv. een phishingcampagne), ook als nog niet bevestigd is dat ze getroffen zijn.
Communicatiebereik: Het bereik van de notificatie: één gebruiker, meerdere gebruikers, een afdeling of de hele organisatie.

Incident Commander: Keurt het bereik en de inhoud van de communicatie goed vóór verzending.
Communications Lead: Stelt de inhoud van de notificatie op, coördineert de verzending en volgt de reacties.
Management / leiding: Wordt geïnformeerd als bestuurders het doelwit zijn of als het incident communicatie aan de hele organisatie vraagt.

Samenvatting en huidige stand van het incident
Bevestigde lijst van getroffen gebruikers
Containment-acties afgerond (of in uitvoering)
Vastgestelde acties die gebruikers moeten uitvoeren
Goedgekeurde communicatietemplates
Toegang tot het e-mailplatform, het interne berichtenplatform en het platform voor incidentmanagement

Bepaal het communicatiebereik
- Eén gebruiker
- Meerdere gebruikers
- Een hele afdeling
- De hele organisatie
Stel de inhoud van de notificatie op
- Neem op:
  - Wat er is gebeurd
  - Welke acties het securityteam heeft genomen
  - Wat de gebruiker moet doen
  - Wat de gebruiker moet vermijden
  - Hoe verdere verdachte activiteit te melden
- Vermijd:
  - Te veel technisch detail
  - Niet-geverifieerde aannames
  - Gevoelige details uit het onderzoek
  - Taal die op schuld gericht is
Vraag goedkeuring
- Laat de Incident Commander en de Communications Lead de inhoud van de notificatie beoordelen en goedkeuren vóór verzending.
Informeer de getroffen gebruikers
- Stuur de communicatie naar:
  - Rechtstreeks getroffen gebruikers
  - Managers (indien nodig)
  - De leiding (indien nodig, bijv. als bestuurders het doelwit zijn)
Geef aan welke acties gebruikers moeten uitvoeren
- Noem duidelijk wat elke gebruiker moet doen, bijv.:
  - Wachtwoord resetten
  - MFA opnieuw registreren
  - Apparaat herstarten
  - Verdachte vervolgmails melden
Publiceer een bredere waarschuwing (indien nodig)
- Aanbevolen als de campagne wijdverspreid is
Volg de reacties van gebruikers
- Houd bij:
  - Aanvullende meldingen van gebruikers
  - Gestelde vragen of geuite zorgen
  - Nieuw vastgestelde getroffen gebruikers
- Geef nieuwe meldingen terug aan het onderzoeksteam, zodat de scope zo nodig kan worden uitgebreid.

Alle gebruikersnotificaties worden gelogd in het incidentticket, met de verzonden inhoud, de ontvangers en het tijdstip.
Bredere waarschuwingen worden bewaard als onderdeel van het incidentdossier.
De goedkeuring van de communicatie door de Incident Commander en de Communications Lead wordt vastgelegd.

Interne communicatie:
- Gebruik het primaire communicatieplatform van de organisatie (bijv. Slack, Teams) om het opstellen en goedkeuren van notificaties vóór verzending af te stemmen.

Escalatiecriteria:

Situatie	Actie
Grootschalige campagne bevestigd	Stuur een waarschuwing aan de hele organisatie
Bestuurders of VIP's zijn het doelwit	Informeer de leiding rechtstreeks
Na de notificatie komen extra meldingen van gebruikers binnen	Breid de scope van het incident uit en informeer het onderzoeksteam

Reviewcyclus: Review deze SOP jaarlijks, of na elk incident waarbij de communicatie met gebruikers vertraagd of onjuist was of tot verwarring leidde.
Feedbackproces: Feedback wordt verzameld tijdens de post-incidentreview. De Communications Lead wordt gevraagd of de notificaties tijdig, duidelijk en effectief waren.

Vishal Thakur GitHub: https://github.com/malienist

Heeft bijgedragen aan het Arcana Incident Response Documentation Framework.