SOP-007: War room-management bij een major incident

Documentbeheer

Kenmerk	Waarde	Datum
Documentnaam	SOP-007: War room-management bij een major incident	[Datum invullen]
Versie	[Versienummer invullen]	[Datum invullen]
Eigenaar	[Eigenaar/team invullen]	[Datum invullen]
Status	[Draft/Approved/Retired]	[Datum invullen]
Volgende reviewdatum	[Volgende reviewdatum invullen]	[Datum invullen]
Goedkeuringen	[Goedkeurder(s) invullen]	[Datum invullen]
Wijzigingsoverzicht	Eerste versie	[Datum invullen]

1. Doel & scope

Doel: Vastleggen hoe je bij een major security incident het commandokanaal, het overlegritme, de actietracker, het besluitenlog en de statusupdates organiseert.
Scope: Van toepassing op Sev 0- of major security incidents die coördinatie over afdelingen heen, zichtbaarheid bij de directie, meerdere technische werkstromen of een langdurige respons over teams en regio's heen vragen.

2. Definities

War room: Het vaste communicatiekanaal en de vaste vergaderverbinding voor realtime coördinatie van het incident.
Actietracker: De leidende lijst van open acties, eigenaren, prioriteiten, deadlines en status.
Besluitenlog: Het verslag van wezenlijke besluiten, goedkeurders, onderbouwing, tijdstempels en vervolgacties.
Werkritme: Het afgesproken schema voor technische syncs, updates aan de leiding, overdrachten en briefings aan stakeholders.

3. Rollen & verantwoordelijkheden

Incident Commander: Eigenaar van de opzet van de war room, het ritme, het stellen van prioriteiten, het vastleggen van besluiten en overdrachten van de leiding.
Plaatsvervangend Incident Commander: Beheert de actietracker, volgt blokkades op en ondersteunt de continuïteit bij langlopende incidenten.
Technical Lead: Coördineert de technische werkstromen en rapporteert over de stand van onderzoek, containment en recovery.
Communications Lead: Coördineert goedgekeurde updates aan stakeholders en zorgt dat berichten aansluiten bij Legal/Compliance.
Notulist (scribe): Legt tijdlijn, besluiten, acties, eigenaren, statusupdates en vindplaatsen van bewijsmateriaal vast.

4. Procedure

4.1 Vereisten

Major incident afgekondigd of waarschijnlijk af te kondigen
Incident Commander toegewezen
Incidentticket aangemaakt
War room-kanaal en vergaderverbinding beschikbaar
Eerste severity, scope en actieve werkstromen vastgesteld

4.2 Stap-voor-stap-instructies

Open de war room
- Maak het incidentkanaal en de vergaderverbinding aan of activeer ze.
- Pin links naar het incidentticket, de actietracker, het besluitenlog, de opslag van bewijsmateriaal en de actieve playbooks.
- Vermeld wie op dat moment Incident Commander, Technical Lead, Communications Lead en notulist is.
Stel het werkritme vast
- Leg het ritme vast voor:
  - Technische syncs
  - Updates aan de directie
  - Reviews door Legal en Communicatie
  - Overdrachten tussen regio's
  - Controlemomenten in de recovery
- Publiceer het ritme in de war room.
Maak de actietracker aan
- Houd per actie bij:
  - Eigenaar
  - Prioriteit
  - Deadline
  - Status
  - Blokkades
  - Link naar bewijsmateriaal of ticket
- Loop de open acties bij elke technische sync door.
Houd het besluitenlog bij
- Leg wezenlijke besluiten vast, met:
  - Het genomen besluit
  - De goedkeurder
  - De onderbouwing
  - Het tijdstip
  - Geaccepteerde risico's
  - Vervolgacties
Coördineer de werkstromen
- Volg werkstromen zoals onderzoek, containment, recovery, communicatie, juridisch, leveranciers en klantsupport.
- Zorg dat elke werkstroom een eigenaar en een tijdstip voor de volgende update heeft.
- Escaleer blokkades naar de Incident Commander.
Publiceer statusupdates
- Gebruik beknopte updates over:
  - De huidige status
  - De impact
  - Afgeronde acties
  - Open risico's
  - De volgende mijlpalen
  - Benodigde besluiten
- Neem geen niet-goedgekeurde externe berichten of gevoelige details op buiten goedgekeurde kanalen.
Voer overdrachten van de leiding uit
- Gebruik de SOP voor overdracht tussen regio's als de leiding wisselt tussen diensten of regio's.
- Bevestig dat de nieuwe Incident Commander de leiding aanvaardt in de war room en in het incidentticket.
Sluit de war room of schaal hem af
- Bevestig de containment, de stand van de recovery, de stand van de communicatie en de open vervolgpunten.
- Schaal de war room alleen af of sluit hem alleen met goedkeuring van de Incident Commander.
- Bewaar de actietracker, het besluitenlog en de tijdlijn in het incidentdossier.

5. Compliance & auditeerbaarheid

Acties, besluiten, wisselingen van de leiding en statusupdates uit de war room worden bewaard in het incidentdossier.
Besluitenlogs bevatten de goedkeurder, de onderbouwing, het tijdstip en de eigenaar van de vervolgactie.
Externe communicatie volgt de goedgekeurde juridische en communicatieprocessen.
De uitvoering van deze SOP wordt beoordeeld tijdens de post-incidentreview.

6. Communicatie & escalatie

Interne communicatie:
- De war room is het primaire coördinatiekanaal voor het major incident.
- Updates aan directie en stakeholders volgen het ritme dat de Incident Commander en de Communications Lead hebben goedgekeurd.

Escalatiecriteria:

Situatie	Actie
Werkstroom geblokkeerd	Escaleer naar de Incident Commander en de eigenaar van de werkstroom
Besluit van de leiding nodig	Zet het in het besluitenlog en escaleer naar de executive sponsor
Juridische of externe communicatie nodig	Start het proces van SOP-003
Support van een leverancier nodig	Start het proces van SOP-005
Wisseling van dienst of regio nodig	Start het proces van SOP-002

7. Referenties & gekoppelde bronnen

8. Bijlagen

Bijlage A: Template statusupdate

Status: [Onderzoek / Containment / Recovery / Monitoring]
Severity: [Sev]
Impact: [impact op bedrijf/klanten/dienst/data]
Huidige hypothese: [kort]
Afgeronde acties: [top 3]
Open acties: [top 3 met eigenaren]
Risico's/blokkades: [kort]
Benodigde besluiten: [eigenaar + deadline]
Volgende update: [tijd/tijdzone]

Bijlage B: Velden van het besluitenlog

Tijdstip
Besluit
Goedkeurder
Onderbouwing
Geaccepteerd risico
Eigenaar vervolgactie
Moment van herbeoordeling

9. Review & onderhoud

Reviewcyclus: Review deze SOP jaarlijks, of na elk major incident waarbij coördinatie, overdracht, het bijhouden van acties of het vastleggen van besluiten tot vertraging of verwarring leidde.
Feedbackproces: Feedback wordt verzameld tijdens de PIR, van de Incident Commander, de plaatsvervangend Incident Commander, de Technical Lead, de Communications Lead en de notulist.

Bijdrager

Jayden Vo GitHub: https://github.com/jayden-vo

Heeft bijgedragen aan het Arcana Incident Response Documentation Framework.