Incidentbehandeling en logging: wat het Cyberbeveiligingsbesluit vraagt

Wat staat er in de regels?

Incidentenbehandeling is de tweede zorgplichtmaatregel (artikel 21, derde lid, onder b, Cbw). Artikel 8 van het Cyberbeveiligingsbesluit (Cbb) werkt het uit. U heeft:

• schriftelijk vastgesteld beleid over incidentenbehandeling, dat u aantoonbaar toepast;
• rollen, verantwoordelijkheden en bevoegdheden voor zes stappen: tijdig detecteren, analyseren en beoordelen, reageren en herstellen, documenteren, rapporteren, en leren;
• processen en procedures voor die zes stappen, en om relevante gebeurtenissen te monitoren;
• logging van beveiligingsrelevante gebeurtenissen. U bewaart de logbestanden gedurende een vooraf bepaalde periode en beschermt ze tegen ongeautoriseerde wijzigingen (artikel 8, zesde lid, Cbb).

De regels noemen geen vaste bewaartermijn. U bepaalt die zelf en legt hem vast.

De zes stappen voor een telecombedrijf

Incidentstappen uit artikel 8 Cbb, vertaald naar telecom

Stap	Wat u regelt
Detecteren	Monitoring van core, telefonieplatform en beheertoegang. Alarmen naar een storingsdienst die 24/7 bereikbaar is.
Analyseren en beoordelen	Wie beslist of iets een incident is, en of het significant is volgens de Cbw-drempels.
Reageren en herstellen	Draaiboeken voor veelvoorkomende situaties: DDoS, gehackt account, uitval carrier, foute wijziging.
Documenteren	Een incidentregister met tijden, besluiten en acties.
Rapporteren	Intern aan de directie en extern volgens de meldplicht (24 uur, 72 uur, een maand).
Leren	Een korte evaluatie na elk groot incident, met verbeteracties en een eigenaar.

Voor de meldstap zie de voorbeeldtijdlijn van de meldplicht.

Welke logbestanden zijn relevant?

Het Cbb zegt "voor de beveiliging relevante gebeurtenissen". Wat relevant is, volgt uit uw risicoanalyse. Voor een telecombedrijf denkt u vaak aan:

• inloggen en mislukte inlogpogingen op routers, switches, SBC's en servers;
• configuratiewijzigingen op netwerkapparatuur, met wie en wanneer;
• registraties en afwijkend belgedrag op het VoIP-platform;
• gebeurtenissen op firewalls en VPN, zoals geblokkeerde verbindingen;
• wijzigingen in het klantportaal, zoals nieuwe doorschakelingen of bestemmingen;
• BGP-sessies die wegvallen of opkomen, en grote verkeerspieken.

Let op: logbestanden kunnen persoonsgegevens en verkeersgegevens bevatten. Daarvoor gelden ook de privacyregels en de regels uit de Telecommunicatiewet. Kies een bewaartermijn die past bij uw beveiligingsdoel en bij die regels, en vraag bij twijfel advies.

Logbestanden beschermen

Een aanvaller die binnen is, probeert vaak sporen te wissen. Daarom vraagt het Cbb bescherming tegen wijziging. Praktische maatregelen:

• stuur logbestanden direct naar een centrale logserver, buiten het apparaat zelf;
• geef beheerders van netwerkapparatuur geen rechten om logbestanden op die server te wissen;
• zorg dat de klok op alle apparaten gelijk loopt (NTP), anders klopt uw tijdlijn niet;
• controleer regelmatig of alle apparaten nog logbestanden aanleveren.

Maak het klein en werkbaar

Een klein bedrijf heeft geen eigen securityteam. Dat hoeft ook niet. Zorg wel dat:

• de storingsdienst weet wanneer iets een beveiligingsincident kan zijn;
• er altijd iemand is die mag beslissen over melden, met een vervanger;
• u een eenvoudig register heeft, ook voor incidenten die u niet hoeft te melden;
• u kleine incidenten en bijna-incidenten vrijwillig kunt melden bij het CSIRT (artikel 33 Cbw).

Werkt u met een externe beheerpartij of SOC? Leg dan in het contract vast wie welke stap doet en hoe snel u wordt gewaarschuwd. Meer daarover in ketenbeveiliging onder NIS2.

Veelgestelde vragen

Hoe lang moet ik logbestanden bewaren?

De Cbw en het Cbb noemen geen termijn. U bepaalt vooraf zelf een periode en legt die vast. Houd daarbij ook rekening met privacyregels en de Telecommunicatiewet.

Heb ik een SIEM of SOC nodig?

De regels noemen geen specifieke middelen. Ze vragen dat u relevante gebeurtenissen monitort en incidenten tijdig detecteert. Hoe u dat doet, volgt uit wat passend is voor uw risico's en omvang.

Moet ik ook kleine incidenten vastleggen?

Artikel 8 Cbb vraagt dat u incidenten documenteert en ervan leert. Een eenvoudig register voor alle beveiligingsincidenten helpt daarbij en laat zien waarom u iets wel of niet meldde.