SOP-006: Verificatie van medewerkers tijdens een security-incident

Documentbeheer

Kenmerk	Waarde	Datum
Documentnaam	SOP-006: Verificatie van medewerkers tijdens een security-incident	[Datum invullen]
Versie	[Versienummer invullen]	[Datum invullen]
Eigenaar	[Eigenaar/team invullen]	[Datum invullen]
Status	[Draft/Approved/Retired]	[Datum invullen]
Volgende reviewdatum	[Volgende reviewdatum invullen]	[Datum invullen]
Goedkeuringen	[Goedkeurder(s) invullen]	[Datum invullen]
Wijzigingsoverzicht	Eerste versie	[Datum invullen]

1. Doel & scope

Doel: Vastleggen hoe responders de identiteit van een medewerker verifiëren voordat ze securityacties met grote impact uitvoeren, zoals accountherstel, vervanging van een apparaat, het herstellen van toegang of het bespreken van gevoelige incidentinformatie.
Scope: Van toepassing wanneer tijdens een incident de identiteit van een gebruiker moet worden bevestigd. Verificatie kan via live video in goedgekeurde interne communicatietools, zoals Zoom, Slack, Teams of vergelijkbaar, ook als een account mogelijk gecompromitteerd is, omdat visuele bevestiging en controles op context samen worden gebruikt.

2. Definities

Verificatie van een medewerker: Bevestigen dat de persoon die een actie aanvraagt of goedkeurt de rechtmatige medewerker is.
Verificatie via live video: Realtime visuele bevestiging via een goedgekeurd videoplatform.
Verificatie op context: De identiteit bevestigen met bekende interne context, zoals manager, team, kantoorlocatie, toegewezen bedrijfsmiddelen, tickethistorie of HR- en identiteitsgegevens.
Actie met grote impact: Elke actie die toegang, het eigendom van een apparaat, credentials, MFA of gevoelige incidentinformatie kan herstellen, intrekken of wijzigen.

3. Rollen & verantwoordelijkheden

Incident Commander: Keurt de verificatie-eisen goed voor gevoelige acties of acties met een hoog risico.
Incident responder / servicedeskanalist: Voert de verificatie uit en legt de uitkomst vast.
Identity & Access-team: Ondersteunt de verificatie vóór het herstellen van credentials, MFA of toegang.
Manager / bedrijfseigenaar: Bevestigt zo nodig de identiteit van de medewerker of de zakelijke noodzaak.
HR / People-team: Ondersteunt bij het bevestigen van de identiteit als de normale verificatie geen uitsluitsel geeft.

4. Procedure

4.1 Vereisten

Actief incidentticket of serviceverzoek
Naam, gebruikers-ID, manager, team en contactgegevens van de medewerker uit gezaghebbende bronnen
Een goedgekeurd communicatiekanaal voor live verificatie
Een duidelijke actie waarvoor verificatie nodig is

4.2 Stap-voor-stap-instructies

Bevestig dat verificatie nodig is
- Verifieer de identiteit vóór:
  - Het herstellen van toegang tot een account
  - Het resetten van MFA
  - Het uitgeven van een vervangend apparaat
  - Het delen van gevoelige incidentinformatie
  - Het opvolgen van herstelinstructies die de gebruiker zelf aanlevert
Start een live verificatiesessie
- Gebruik waar mogelijk een goedgekeurd intern videoplatform.
- Bevestig dat de medewerker in beeld is via live video.
- Vertrouw niet alleen op een bericht vanuit het mogelijk gecompromitteerde account.
Valideer de identiteit met interne context
- Vergelijk de medewerker met gezaghebbende gegevens:
  - Naam en gebruikers-ID
  - Manager en team
  - Kantoor of werklocatie
  - Toegewezen apparaat of bedrijfsmiddel
  - Recente context uit tickets of het incident
- Stel vragen over de context die geen gevoelige geheimen zijn.
Bevestig de gevraagde actie
- Vraag de medewerker te bevestigen:
  - Wat er is gebeurd
  - Om welk apparaat of account het gaat
  - Welke actie de medewerker vraagt
  - Of de medewerker een getroffen apparaat nog in bezit heeft
Escaleer bij een verificatie zonder uitsluitsel
- Kan de identiteit niet worden bevestigd, zet de gevraagde actie dan stil.
- Escaleer naar de manager, het HR/People-team, het Identity & Access-team of de Incident Commander.
- Herstel geen toegang en deel geen gevoelige informatie zolang de verificatie niet rond is.
Documenteer de uitkomst van de verificatie
- Leg vast:
  - De verificatiemethode
  - Datum en tijd
  - Wie heeft geverifieerd
  - Welke medewerker is geverifieerd
  - Of de actie is goedgekeurd of geweigerd
  - Eventuele escalaties of uitzonderingen

5. Compliance & auditeerbaarheid

De uitkomst van verificaties wordt vastgelegd in het incidentticket of serviceverzoek.
Neem videosessies niet op, tenzij het beleid van de organisatie dat toestaat.
Vraag niet om wachtwoorden, MFA-codes, herstelcodes, identiteitsbewijzen of onnodige persoonsgegevens.
Uitzonderingen worden goedgekeurd door de Incident Commander of de eigenaar van Identity & Access.

6. Communicatie & escalatie

Interne communicatie:
- Stem de stand van de verificatie af met de Incident Commander, het Identity & Access-team, de servicedesk en zo nodig de manager.

Escalatiecriteria:

Situatie	Actie
Medewerker kan niet deelnemen aan live verificatie	Gebruik de manager, HR of een goedgekeurde alternatieve verificatieroute
Compromittering van het account vermoed	Vertrouw niet alleen op berichten vanuit het getroffen account
Verificatie geeft geen uitsluitsel	Zet de actie stil en escaleer naar de Incident Commander of de eigenaar van Identity & Access
Herstel van toegang met hoog risico gevraagd	Vereis goedkeuring van de Incident Commander of Identity & Access

7. Referenties & gekoppelde bronnen

Playbooks:
- PB-014: Verloren & gestolen apparaat
SOP's:
- SOP-004: Gebruikersnotificatie tijdens een security-incident

8. Bijlagen

Bijlage A: Goedgekeurde verificatiesignalen

Bevestiging via live video
Bevestiging door de manager
Bevestiging uit HR/People-gegevens
Bevestiging van toegewezen bedrijfsmiddelen
Recente context uit tickets of het incident
Gegevens uit de bedrijfsgids
Bekende context over team of rol

Bijlage B: Niet gebruiken als enige verificatie

Wachtwoorden
Alleen een goedgekeurde MFA-pushmelding
Het noemen van een MFA-code
Alleen een e-mail vanuit het getroffen account
Alleen een chatbericht vanuit het getroffen account
Persoonlijke documenten, tenzij een goedgekeurd HR-proces dat vereist

9. Review & onderhoud

Reviewcyclus: Review deze SOP jaarlijks, of na elk incident waarbij de verificatie van een gebruiker het herstel vertraagde, mislukte of tot verwarring leidde.
Feedbackproces: Feedback wordt verzameld tijdens de PIR, van Incident Response, de servicedesk, Identity & Access en de getroffen bedrijfsteams.

Bijdrager

Jayden Vo GitHub: https://github.com/jayden-vo

Heeft bijgedragen aan het Arcana Incident Response Documentation Framework.