Ransomware bij een hosted PBX-aanbieder: scenario met meldtijdlijn

Het scenario

Dit is een fictief voorbeeld. Het bedrijf Voorbeeldtel bestaat niet. Alle tijden, aantallen en keuzes zijn bedacht.

Voorbeeldtel heeft 40 medewerkers en levert hosted PBX aan 900 zakelijke klanten. Samen zijn dat 22.000 gebruikers. Als klein bedrijf is Voorbeeldtel een belangrijke entiteit (artikel 12 Cbw). Op een dinsdag om 06:40 geeft de monitoring alarm: het klantportaal en de provisioning reageren niet. Om 07:20 vindt de engineer versleutelde bestanden en een losgeldbericht op de voicemailserver en de server met belgegevens. De SBC's draaien nog. Bellen werkt dus, maar klanten kunnen niets wijzigen en hun voicemail is weg.

Is dit significant, nu bellen nog werkt?

Dit is de kern van het scenario. De storingsdienst loopt de criteria één voor één langs:

Significantie-afweging in dit fictieve voorbeeld

Toets	Uitkomst	Grondslag
Onderbreking: ten minste 50.000 gebruikers, vier uur of langer	Nee. Bellen werkt en het zijn er 22.000.	Artikel 8, onder a, Regeling EZK
Aantasting van gegevens: ten minste 1% van de gebruikers, minimaal 10.000	Ja. Gegevens van alle 22.000 gebruikers zijn geraakt.	Artikel 8, onder b, Regeling EZK
Alarmnummer niet beschikbaar	Nog niet vastgesteld, apart controleren.	Artikel 8, onder c, Regeling EZK
Algemene regel: ernstige verstoring of schade, ook als dat alleen kan gebeuren	Ja. Een aanvaller zit op het platform.	Artikel 25, tweede lid, Cbw

Het tweede punt beslist. Volgens de toelichting bij de regeling is gegevens aangetast zodra de integriteit of vertrouwelijkheid niet langer kan worden gegarandeerd. Gegevens die permanent ontoegankelijk zijn, tellen ook mee. Voorbeeldtel hoeft dus niet te wachten op bewijs dat gegevens zijn gestolen. De toelichting noemt verkeersgegevens zoals herkomst, tijd en duur van gesprekken uitdrukkelijk als voorbeeld.

Had Voorbeeldtel 8.000 gebruikers gehad, dan zou de ondergrens van 10.000 niet zijn gehaald. Dan blijft de algemene regel over. De memorie van toelichting noemt ransomware als voorbeeld van een kwaadwillige handeling die een significant incident kan veroorzaken, maar niet elke besmetting is automatisch significant. Leg daarom vast hoe u tot uw besluit kwam. Meer over die stappen leest u in storing of significant incident.

De meldtijdlijn

Tijdlijn van het fictieve incident, met wetsartikel per stap

Moment	Wat gebeurt er	Artikel
Di 06:40	Alarm. Tijd noteren, onderzoek start.	Artikel 8, tweede lid, onder a en b, Cbb
Di 07:20	Losgeldbericht gevonden. De dienstdoende beslisser stelt vast: significant. Voorbeeldtel neemt dit als moment van kennisname.	Artikel 25 en 26 Cbw
Di 07:30	Servers van het netwerk halen, logbestanden veiligstellen, niets wissen.	Artikel 8, tweede lid, onder c, en zesde lid, Cbb
Di 08:40	Vroegtijdige waarschuwing via MijnNCSC.	Artikel 26 Cbw, artikel 24 Cbb
Di 09:15	Bericht aan klanten, met wat zij zelf moeten doen: portaalwachtwoorden wijzigen.	Artikel 30 Cbw
Di middag	CSIRT reageert. Voorbeeldtel vraagt om advies en krijgt uitleg over melden bij de politie.	Artikel 36, eerste en derde lid, Cbw
Di middag	Beoordeling persoonsgegevens door de privacyverantwoordelijke.	Artikel 11.3a Telecommunicatiewet
Wo	Herstel uit een offline back-up, eerst in een schone omgeving.	Artikel 9, tweede en vierde lid, Cbb
Do 11:00	Melding: update, eerste beoordeling, indicatoren voor aantasting zoals IP-adressen en bestandskenmerken.	Artikel 27, eerste lid, Cbw
Op verzoek	Tussentijds verslag.	Artikel 28 Cbw
Uiterlijk een maand na donderdag	Eindverslag. Is het incident dan niet afgehandeld: voortgangsverslag.	Artikel 29 Cbw

De uiterste termijnen zouden hier woensdag 07:20 en vrijdag 07:20 zijn. Dit zijn klokuren, zo staat in de memorie van toelichting. Voorbeeldtel wacht die termijnen niet af, want de hoofdregel is onverwijld melden.

Drie keuzes die u in dit scenario moet maken

Welke begintijd vult u in?

De vroegtijdige waarschuwing vraagt het vermoedelijke tijdstip van aanvang (artikel 24 Cbb). Dat is niet per se 06:40. Een aanvaller kan dagen eerder zijn binnengekomen. Vul in wat u nu weet, noem het vermoedelijk en corrigeer het later. Geef ook aan of het incident vermoedelijk kwaadwillig is en of het gevolgen over de grens kan hebben (artikel 26, tweede lid, Cbw). Heeft u klanten in het buitenland, neem dat dan mee.

Betaalt u losgeld?

De Cbw, het Cbb en de regeling zeggen niets over losgeld. Dat besluit ligt bij het bestuur. De meldplicht hangt er niet van af: ook als u betaalt, blijft een significant incident meldplichtig. De melding zelf leidt volgens de memorie van toelichting niet tot een verhoogde aansprakelijkheid.

Werkt 112 nog?

Controleer dit op basis van routering, gespreksgegevens en navraag bij uw carrier. Bel nooit 112 als test. Is het alarmnummer via uw dienst niet beschikbaar, dan is het incident in elk geval significant.

Wat u nu al kunt regelen

Dit zijn praktische tips, geen wettelijke eisen:

• Scheid back-ups van het platform, zodat een aanvaller met beheerrechten ze niet kan versleutelen. Meer in back-up en herstelplan.
• Bepaal vooraf wie mag beslissen dat iets significant is, en wie de vervanger is.
• Houd een klantbericht klaar voor een kanaal dat niet op uw eigen platform draait.
• Bewaar contactgegevens van uw carrier en van een incidentresponspartij buiten het platform.

Personeelsgegevens of andere persoonsgegevens geraakt? Lees dan ook datalek en cyberincident melden. Wilt u weten waar u nu staat, doe dan de gratis zelfscan.

Veelgestelde vragen

Moet ik melden als ik uit back-up kan herstellen?

Ja, als het incident significant is. Herstel neemt de meldplicht niet weg. De melding gaat over wat er is gebeurd, ook als het al is opgelost.

Bij wie komt de melding terecht?

Volgens het NCSC bereikt u via MijnNCSC met één melding uw CSIRT en de toezichthouder. Voor telecom is dat de RDI.

Kan ik de termijnen ergens bijhouden?

Dat kan in uw eigen incidentlogboek. Het portaal heeft ook een meldklok. U kunt het 30 dagen gratis proberen, zonder betaalgegevens.