SOP-005: Communicatie met leveranciers tijdens een security-incident

Documentbeheer

Kenmerk	Waarde	Datum
Documentnaam	SOP-005: Communicatie met leveranciers tijdens een security-incident	[Datum invullen]
Versie	[Versienummer invullen]	[Datum invullen]
Eigenaar	[Eigenaar/team invullen]	[Datum invullen]
Status	[Draft/Approved/Retired]	[Datum invullen]
Volgende reviewdatum	[Volgende reviewdatum invullen]	[Datum invullen]
Goedkeuringen	[Goedkeurder(s) invullen]	[Datum invullen]
Wijzigingsoverzicht	Eerste versie	[Datum invullen]

1. Doel & scope

Doel: Het proces vastleggen voor contact met leveranciers tijdens een security-incident via goedgekeurde kanalen, zoals Technical Account Managers (TAM's), supporttickets, noodsupportlijnen, securitycontacten en e-mail.
Scope: Van toepassing wanneer incident responders van een leverancier, toeleverancier, SaaS-aanbieder, cloudprovider, MSP, softwareleverancier of partner informatie, ondersteuning, escalatie, bewijs van herstel, de status van een storing, toegang tot logs, forensische artefacten of hulp bij containment nodig hebben.

2. Definities

Leverancier: Elke derde partij die software, infrastructuur, SaaS, support, managed services, integraties of bedrijfskritische diensten levert.
TAM / accountteam: Technisch contact of accountcontact van de leverancier, verantwoordelijk voor de coördinatie van support en escalatie.
Supportticket: Een gevolgd verzoek, ingediend via het supportportaal of de helpdesk van de leverancier.
Securitycontact van de leverancier: Een contact specifiek voor security, zoals een mailbox van security operations, een contact voor het melden van kwetsbaarheden, een contact via het trust-portaal of een incident response-contact.
Noodescalatie bij de leverancier: Een route met hoge prioriteit voor actieve incidenten, impact op productie, vermoedelijke compromittering of dringende hulp bij containment.

3. Rollen & verantwoordelijkheden

Incident Commander: Keurt het inschakelen van de leverancier goed, bepaalt de prioriteit en besluit wanneer een trage reactie van de leverancier wordt geëscaleerd.
Communications Lead: Coördineert de formulering naar buiten als communicatie met de leverancier juridische gevolgen, impact op klanten of reputatieschade kan hebben.
Leveranciers- / bedrijfseigenaar: Levert contactgegevens van de leverancier, context over de relatie, contract- en SLA-informatie en de contacten van het accountteam.
Technical Lead / incident responder: Formuleert de technische vraag, het benodigde bewijs, de urgentie, de getroffen systemen en de vereiste reactietermijn.
Legal / Compliance: Beoordeelt de communicatie als er contractuele verplichtingen, meldplicht bij datalekken, impact op klanten of gereguleerde data in het spel kunnen zijn.

4. Procedure

4.1 Vereisten

Actief incidentticket of onderzoeksdossier
Naam van de leverancier, getroffen product of dienst, en de bedrijfseigenaar
Een samenvatting van het incident die is goedgekeurd om met de leverancier te delen
Een duidelijke technische vraag en urgentie
Beschikbare contacten bij de leverancier: toegang tot het supportportaal, TAM- of accountteamcontacten, of een securitycontact
Juridische review afgerond als er een risico is rond gevoelige data, contractuele meldingen of externe openbaarmaking

4.2 Stap-voor-stap-instructies

Bevestig dat contact met de leverancier nodig is
- Bepaal waarom de leverancier moet worden ingeschakeld:
  - Compromittering of impact op de dienst bevestigen
  - Logs, artefacten of auditgegevens opvragen
  - Hulp vragen bij containment of herstel
  - Een storing of securitysupport escaleren
  - Een advisory, patch, mitigatie of blootstelling valideren
- Bevestig de vraag met de Incident Commander.
Bepaal het juiste kanaal bij de leverancier
- Gebruik het snelste geschikte goedgekeurde kanaal:
  - TAM of accountteam voor dringende coördinatie en escalatie
  - Supportticket voor gevolgde technische support
  - Telefonische noodsupport bij impact op productie of een actieve securitysituatie
  - Securitycontact van de leverancier voor het melden van compromittering, kwetsbaarheden of misbruik
  - E-mail alleen als er geen kanaal met hogere prioriteit is, of voor vastlegging achteraf
Stel de briefing voor de leverancier op
- Neem alleen de informatie op die de leverancier nodig heeft om te handelen:
  - Incidentticket- of referentienummer
  - Getroffen product, dienst, tenant, account, abonnement of omgeving
  - Samenvatting van de impact en de urgentie
  - Tijdlijn en relevante tijdstempels met tijdzone
  - Concreet verzoek en vereiste reactietermijn
  - Relevante IOC's, fout-ID's, logs of screenshots
- Deel geen gevoelige interne details, credentials, klantdata of gereguleerde data zonder goedkeuring van Legal.
Leg het contact met de leverancier
- Maak een supportticket aan of neem contact op met de TAM of het accountteam.
- Gebruik telefonische noodsupport bij een actieve compromittering, impact op productie of dringende behoefte aan hulp bij containment.
- Zet de leveranciers-eigenaar en de Incident Commander in kopie of informeer ze.
- Leg het ticketnummer, de contactmethode, het tijdstip, het contact bij de leverancier en de gevraagde actie vast in het incidentticket.
Escaleer als de reactie van de leverancier tekortschiet
- Escaleer als:
  - Er binnen de vereiste termijn geen bevestiging is
  - De reactie van de leverancier niet ingaat op de security-impact
  - Containment, toegang tot logs of herstel wordt geblokkeerd
  - De impact op een bedrijfskritische dienst aanhoudt
- Escalatiemogelijkheden:
  - De TAM of het accountteam bellen
  - De prioriteit van het ticket verhogen
  - De noodsupportlijn gebruiken
  - Leveranciersmanagement of inkoop inschakelen
  - Escaleren via contacten op directie- of contractniveau
Houd reacties en bewijs van de leverancier bij
- Leg alle reacties van de leverancier vast in het incidentticket.
- Bewaar advisories, tijdlijnen, verklaringen over herstel, supportreacties, gespreksnotities en ticketupdates van de leverancier.
- Houd open acties bij de leverancier bij, met eigenaren, deadlines en blokkades.
Sluit het contact met de leverancier af
- Bevestig dat de leverancier de oorspronkelijke vraag heeft beantwoord of een vastgelegde vervolgstap heeft gegeven.
- Bevestig dat al het gevraagde bewijs, de mitigaties en de verklaringen over herstel zijn vastgelegd.
- Documenteer de afsluiting, resterende risico's en vervolgacties in het incidentticket.

5. Compliance & auditeerbaarheid

Alle communicatie met leveranciers wordt gelogd in het incidentticket, met tijdstempels, contacten, gebruikt kanaal, ticketnummers en besluiten.
Communicatie met leveranciers die gevoelig is voor security of juridisch gevoelig is, wordt vóór verzending beoordeeld door de Incident Commander en Legal/Compliance.
Door de leverancier aangeleverd bewijs en verklaringen over herstel worden bij het incidentdossier bewaard.
Elke gemiste SLA, vertraagde reactie of communicatieprobleem wordt besproken tijdens de post-incidentreview.

6. Communicatie & escalatie

Interne communicatie:
- Houd de Incident Commander, de leveranciers-eigenaar en de Technical Lead op de hoogte van de status bij de leverancier en eventuele blokkades.
- Vat updates van de leverancier samen in het incidentticket of de war room.

Escalatiecriteria:

Situatie	Actie
Actieve compromittering of impact op productie vraagt support van de leverancier	Gebruik de noodsupportroute en informeer de TAM of het accountteam
Leverancier reageert niet binnen de vereiste termijn	Verhoog de prioriteit van het ticket en escaleer naar de TAM of het accountteam
Reactie van de leverancier is onvolledig of blokkeert de containment	Escaleer via de leveranciers-eigenaar, inkoop of contacten op directieniveau
Gevoelige data, impact op klanten of contractuele meldplicht speelt mee	Schakel Legal/Compliance in vóór externe communicatie
Communicatie met de leverancier kan openbaar worden of klanten bereiken	Stem af met de Communications Lead en Legal

7. Referenties & gekoppelde bronnen

Playbooks:
- PB-012: Compromittering van een derde partij
Andere SOP's:
- SOP-003: Escalatie en communicatie met Legal en directie

8. Bijlagen

Bijlage A: Checklist contactgegevens leverancier

Naam van de leverancier
Naam van het product of de dienst
Bedrijfseigenaar
Contact van de TAM of het accountteam
Telefoonnummer noodsupport
URL van het supportportaal
Securitycontact van de leverancier
Referentie van contract of SLA
Klant-, account-, abonnements- of tenant-ID
Interne eigenaar voor escalatie

Bijlage B: Template supportverzoek aan leverancier

Onderwerp: Supportverzoek security-incident - [Leverancier/product] - [Severity/urgentie]

Beste [contactpersoon leverancier],

We onderzoeken een security-incident waarbij [product/dienst/omgeving] betrokken is.

Samenvatting:
- Impact: [korte samenvatting van de impact]
- Getroffen omgeving/account/tenant: [kenmerk]
- Tijdvenster: [begin/eind met tijdzone]
- Urgentie: [reden van de urgentie]

Verzoek:
- [concrete actie of gevraagde informatie]
- Vereiste reactietermijn: [termijn]

Relevante details:
- [IOC's, logs, fout-ID's, ticketreferenties, screenshots, tijdstempels]

Wil je de ontvangst bevestigen en de volgende update geven vóór [tijd/tijdzone]?

Met vriendelijke groet,
[Naam / team]

9. Review & onderhoud

Reviewcyclus: Review deze SOP jaarlijks, of na elk incident waarbij het inschakelen van een leverancier vertraagd, onduidelijk, onvolledig of niet effectief was.
Feedbackproces: Feedback wordt verzameld tijdens de PIR, van de Incident Commander, de Technical Lead, de leveranciers-eigenaar en waar van toepassing Legal/Compliance.

Bijdrager

Jayden Vo GitHub: https://github.com/jayden-vo

Heeft bijgedragen aan het Arcana Incident Response Documentation Framework.