Na een cyberaanval telt elke minuut: ben jij voorbereid?

Veel organisaties denken bij bedrijfscontinuïteit vooral aan back-ups. Terecht, want zonder een goede kopie van je data wordt herstellen lastig. Maar een back-up is nog geen continuïteitsplan. Want welke systemen moeten als eerste terug? Hoe lang mag dat duren? Kunnen medewerkers ondertussen verder? En wie bepaalt wat er gebeurt? 

Die vragen kan je beter beantwoorden voordat je scherm op maandagochtend zwart blijft. Bedrijfscontinuïteit regel je immers vóórdat het misgaat. 

Wat bedrijfscontinuïteit in de praktijk betekent 

Stel dat je administratie netjes iedere nacht wordt geback-upt. Prima. Maar heb je ooit geprobeerd zo'n back-up daadwerkelijk terug te zetten? Weet je hoeveel uur dat kost? En kan de klantenservice in die uren nog bij telefoonnummers en orders? 

Bedrijfscontinuïteit gaat niet alleen over wat je bewaart. Het gaat vooral over hoe je bedrijf verdergaat als iets waarop je vertrouwt ineens wegvalt. 

Het NCSC adviseert organisaties daarom onder meer om vast te stellen welke bedrijfsprocessen cruciaal zijn. Ook raadt het aan om herstel- en uitwijkprocedures te regelen en rollen vast te leggen. En om plannen periodiek te testen. Valt je organisatie onder de Cyberbeveiligingswet, de Cbw? Dan is dit inmiddels ook expliciet onderdeel van je wettelijke zorgplicht. 

4 keuzes die je vooraf maakt 

Een compleet bedrijfscontinuïteitsplan kan behoorlijk uitgebreid worden. Voor de eerste praktische check zijn 4 vragen belangrijker.

1. Wat moet als eerste weer werken? 

Niet ieder systeem is even belangrijk. Als je intranet een ochtend niet beschikbaar is, is dat vervelend. Maar als je ordersysteem uitvalt, kan het bedrijf daadwerkelijk stilvallen. 

Bepaal daarom vooraf welke processen je absoluut nodig hebt om te kunnen blijven werken. Dan weet je tijdens een storing ook wat je als eerste moet herstellen. 

2. Kan je je gegevens echt herstellen? 

Een groen vinkje naast ‘back-up geslaagd’ zegt nog niet dat herstel lukt. Je hebt ook een concreet plan nodig om een back-up terug te zetten. Dat klinkt als een detail, maar het verschil is groot. 

Voorbeeld: bij het Nederlandse bedrijf Boven en Dean werden bij een ransomware-aanval bestanden versleuteld. Het bedrijf maakte dagelijks back-ups en bewaarde daarnaast maandelijks een fysieke kopie buiten kantoor. Met die fysieke back-up konden gegevens worden teruggezet zonder losgeld te betalen. Het bedrijf lag uiteindelijk ongeveer 1 dag stil. 

De back-up was dus niet alleen aanwezig. Hij was ook echt bruikbaar, omdat er van tevoren over was nagedacht. 

3. Wat doe je totdat alles weer werkt? 

Herstel kost tijd. Bedenk daarom hoe het werk in de tussentijd doorgaat. 

Kan de verkoop tijdelijk bij een offline klantenlijst? Kunnen bestellingen telefonisch worden aangenomen? Is er een tweede internetverbinding? Kan je vanaf een andere locatie werken als het kantoor niet toegankelijk is? 

Kortom: als systeem A morgen wegvalt, hebben we dan een plan B? 

4. Wie doet wat? 

Tijdens een storing is zoeken naar telefoonnummers en verantwoordelijkheden verloren tijd. 

Wie belt de IT-partner? Wie beslist dat systemen worden uitgezet? Wie informeert klanten? Wie controleert of er een datalek moet worden gemeld? En wie neemt het over wanneer de verantwoordelijke toevallig op vakantie is? 

Leg dat kort vast. En bewaar het niet alleen in de digitale omgeving die tijdens de storing onbereikbaar is. Zorg dat de belangrijkste contactgegevens en afspraken ook offline beschikbaar zijn. Bijvoorbeeld als geprinte noodkaart. 

5 signalen dat je nog werk te doen hebt 

Stel: je denkt goed te hebben nagedacht over je bedrijfscontinuïteit en hebt een draaiboek klaar liggen. Maar ben je daarmee ook echt voorbereid op uitval? Ga dan eens onderstaande 5 signalen na. 

1. Je maakt back-ups, maar hebt er nog nooit één teruggezet 

Weet je echt hoe je dit praktisch doet? Probeer het eens. Test niet alleen óf er een back-up wordt gemaakt. Test ook of je er binnen een aanvaardbare tijd mee verder kan. 

2. Collega’s weten niet wat ze moeten doen als systemen uitvallen 

Weet iedereen wat zijn of haar rol is tijdens een incident? Een simpel overzicht met namen, telefoonnummers en verantwoordelijkheden helpt daarbij. Zo voorkom je dat iedereen tegelijk iets regelt, of juist op elkaar wacht. 

3. Alles hangt aan dezelfde omgeving 

Mail, bestanden, planning en klantgegevens kunnen prima bij 1 leverancier staan. Maar bedenk wel wat er gebeurt wanneer juist die omgeving tijdelijk niet bereikbaar is. Je belangrijkste processen mogen niet van 1 toegangspunt afhangen. 

4. Je continuïteitsplan past bij het bedrijf van 3 jaar geleden 

Je schreef je plan, gooide ‘m in een la, en niemand keek er meer naar. Een risico, want continuïteitsafspraken moeten meegroeien met je organisatie. Kijk er opnieuw naar zodra werkzaamheden, locaties, leveranciers of IT-systemen wezenlijk veranderen. 

5. Een klant of verzekeraar vraagt hoe snel je herstelt, en je weet het niet 

Dat is misschien wel de eenvoudigste test. Hoeveel uitval kunnen je belangrijkste processen verdragen? En hoe snel verwacht je ze te herstellen? Kan je die vragen niet scherp beantwoorden? Dan is er werk aan de winkel. 

Herstellen begint vóór de storing 

Bedrijfscontinuïteit begint op een gewone werkdag waarop alles het nog doet. Dat is het moment om 4 vragen te beantwoorden. Wat moet absoluut blijven werken? Hoe krijgen we het terug als het uitvalt? Hoe werken we ondertussen verder? En wie neemt welke beslissing? 

Daar hoort ook bij dat je problemen zo vroeg mogelijk wilt zien. Monitoring en Managed Detection and Response, kortweg MDR, kunnen helpen om afwijkingen sneller te signaleren. Zo kan een incident beoordeeld worden voordat het zich verder verspreidt. Combineer dat met bruikbare back-ups, een plan B en duidelijke afspraken. Dan is je organisatie stukken weerbaarder. 

Het doel is niet dat er nooit iets uitvalt. Het doel is dat 1 storing niet bepaalt wanneer je bedrijf weer verder kan.