Datalek stappenplan: wat je doet in de eerste uren

Een datalek begint zelden met een alarm dat "datalek" roept. Het begint met iets kleins dat niet klopt. Een medewerker die een bestand naar de verkeerde persoon stuurde. Een laptop die weg is. Een systeem dat zich vreemd gedraagt. Op dat moment tikt er al een klok, ook al weet nog niemand dat.

Een datalek stappenplan helpt om in die eerste verwarring niet te hoeven nadenken over de volgorde. Het vervangt alleen niet de mensen die het moeten uitvoeren. Dat is precies waar het in de praktijk misgaat.

De klok begint eerder dan je denkt

Veel teams denken dat de 72 uur pas begint als duidelijk is dat er iets ernstigs aan de hand is. In de praktijk moet je veel eerder schakelen, want je moet eerst vaststellen wat er is gebeurd voordat je überhaupt kunt beoordelen of het meldplichtig is. Die eerste uren, waarin je nog weinig zeker weet, zijn de lastigste. Je moet handelen op onvolledige informatie.

De stappen op een rij

Een bruikbaar datalek stappenplan hoeft niet ingewikkeld te zijn. In grote lijnen:

1. Stel vast wat er is gebeurd en beperk de schade. Sluit de lekbron af, zet het getroffen account op slot, haal het bestand terug waar dat kan.
2. Leg vast wat je weet en wanneer je het wist. Wie merkte het, hoe laat, welke gegevens zijn mogelijk betrokken.
3. Beoordeel of het een datalek is en hoe groot het risico is voor de mensen om wie het gaat.
4. Meld het bij de Autoriteit Persoonsgegevens als er een risico is voor betrokkenen. Dat moet binnen 72 uur na ontdekking.
5. Informeer de betrokkenen zelf als het risico voor hen hoog is.
6. Check of er voor jouw sector aanvullende meldplichten gelden, want die zijn er vaak naast de melding bij de AP.
7. Evalueer achteraf: wat ging goed, wat kostte te veel tijd, wat regel je voortaan vooraf.

De 72-uursmelding

De melding bij de Autoriteit Persoonsgegevens binnen 72 uur is de bekendste stap. Tegelijk is het de stap waar de meeste druk op zit. Je hebt zelden alle informatie compleet binnen die tijd. Dat hoeft ook niet: je mag melden met wat je weet en later aanvullen. Wat je niet wilt, is dat de melding blijft liggen omdat niemand zich verantwoordelijk voelt.

Daar komt dezelfde vraag terug die in elke crisis opduikt. Als dit besluit om drie uur 's nachts moet vallen en de eerste persoon neemt niet op, wie meldt er dan? Als dat niet vooraf is belegd, verlies je precies de tijd die je niet hebt.

Van stappenplan naar handelen

Een stappenplan op papier is iets anders dan het uitvoeren onder druk. Ik zie in de praktijk hoe teams die het stappenplan kennen, alsnog vastlopen omdat ze het nog nooit echt hebben gedaan. Melden voelt anders als het jouw organisatie is en de klok loopt.

Daarom oefen je het beter dan dat je het leest. In een ransomware simulatie meldt je team zelf het datalek, onder tijdsdruk en met onvolledige informatie. Zo train je de vaardigheden die je dan nodig hebt, van kalm blijven tot beslissen op onvolledige informatie. Die staan bij de zes crisisvaardigheden.

Een stappenplan is een goed begin. Het wordt pas iets waard als je mensen het een keer onder druk hebben doorlopen. Wil je zien hoe dat gaat, kom dan langs in de Community.