Uw systemen zijn gehackt. Het alarm is afgegaan. Maar u weet niet waar de aanvaller zich bevindt, welke systemen hij heeft bereikt en wat hij heeft ingezien of meegenomen. Bovendien is onduidelijk of hij nog actief is of al vertrokken. Toch moet u nu beslissen: schaalt u op naar crisisniveau? Informeert u klanten? Belt u de toezichthouder?
Dit is geen hypothetische situatie. Het is wat er de afgelopen maanden zichtbaar werd bij grote cyberincidenten, ook in Nederland. Bij organisaties zoals Odido, het Openbaar Ministerie en ChipSoft bleek hoe lastig het is om tijdens een incident snel een betrouwbaar beeld te krijgen van wat er precies gebeurt. Bestuurders moesten communiceren terwijl de technische realiteit nog in beweging was. Zij moesten hun communicatie later aanvullen of bijstellen. Dat is geen teken van incompetentie. Het laat zien hoe lastig het is om tijdens een aanval snel grip te krijgen op impact, omvang en risico.
De grootste zorg is niet of organisaties betalen
Bij ransomware, software die systemen versleutelt en losgeld eist, gaat de publieke discussie snel over de vraag of organisaties moeten betalen. Dat roept begrijpelijke juridische, maatschappelijke en ethische vragen op. Maar die discussie leidt af van iets fundamentelers: de meeste getroffen organisaties weten tijdens een incident simpelweg niet goed wat er precies aan de hand is. De vraag is dan niet alleen: betalen of niet betalen. De vraag is vooral of organisaties genoeg begrijpen om überhaupt verantwoord te kunnen beslissen.
De aanvaller weet meer dan de verdediger
Vergelijk het met een inbreker in een museum. De aanvaller weet welke zalen zijn bezocht, en voor het museum is het onduidelijk welke zalen zijn doorzocht en of de kroonjuwelen er nog liggen. Veel organisaties zitten tijdens een cyberincident in precies die positie. Is de aanvaller nog actief? Is er data verzameld of al buiten de organisatie gebracht? Zijn kritieke systemen of back-ups geraakt? Ontwikkelt het incident zich richting afpersing, datadiefstal of langdurige uitval?
Het probleem zit daarbij niet alleen in technologie of tooling. De hamvraag is of organisaties signalen snel genoeg kunnen interpreteren om gericht te handelen terwijl het incident nog bezig is.
De vraag ‘wie?’ helpt vaak pas later
Naast de betalingsdiscussie krijgt ook de vraag wie achter een aanval zit veel aandacht. Is het een criminele groep, een statelijke actor of een hacktivist? Die is vraag logisch, maar zeker in de eerste uren van een incident zelden nuttig. Attributie is bovendien steeds lastiger. Zo laat het Hunt & Hackett Trend Report 2026 zien dat verschillende typen aanvallers steeds vaker dezelfde technieken, infrastructuren en werkwijzen gebruiken. Statelijke actoren opereren met bekende methoden om minder op te vallen, terwijl financieel gemotiveerde groepen vaak geavanceerdere aanpakken overnemen voor meer impact. Daardoor zegt een aanvalstechniek steeds minder over de intentie, het doel of het risicoprofiel van een aanval.
Bij ransomware kan de identiteit van de aanvaller soms snel duidelijk worden zodra er een ransom note verschijnt. Maar dan is de aanval meestal al geslaagd. De vraag ‘wie is de aanvaller?’ biedt context, maar geen handelingsperspectief tijdens het incident zelf. Belangrijker is in te kunnen schatten hoe ver hij is gekomen, welke impact dreigt en welke actie direct nodig is.
Van alarm naar betekenis
Organisaties hebben een beveiligingsteam (een Security Operations Center of SOC) nodig dat niet alleen een alarm doorgeeft, maar tijdens het incident ook direct verdiepend onderzoek kan doen. Een SOC moet signalen kunnen duiden en vertalen naar concrete antwoorden op bestuurlijke vragen: hoe ver is de aanvaller gekomen, welke systemen of data zijn geraakt, welke impact dreigt en welke acties zijn direct nodig?
Dat vraagt voorbereiding vóórdat het misgaat. Welke informatie moet beschikbaar zijn om een incident snel te kunnen duiden? Welke maatregelen kunnen direct worden genomen als een aanval escaleert? En welke technische bevindingen leiden tot welke bestuurlijke beslissingen. Daar gaat het in de praktijk vaak mis. De ongemakkelijke waarheid is dat veel Security Operations Centers nog onvoldoende zijn ingericht voor snelle duiding tijdens een incident. Alerts zijn meestal wel beschikbaar, maar de onderliggende log- en telemetriedata blijken in de praktijk vaak versnipperd, onvolledig of niet direct toegankelijk voor diepgaand onderzoek. Daardoor ontstaat vertraging op het moment dat bestuurders die informatie juist snel en duidelijk nodig hebben.
De vraag wie achter een aanval zit, blijft relevant en de discussie over betalen zal bij ransomware niet verdwijnen. Maar geen van beide bepaalt hoe goed een organisatie reageert op het moment dat het erop aankomt. Dat hangt vooral af van hoe snel organisaties begrijpen wat er gebeurt, welke impact dreigt en welke keuzes direct nodig zijn.Stel uzelf daarom vandaag deze vraag: als uw organisatie morgen wordt aangevallen, hoe lang duurt het voordat uw bestuur een betrouwbaar beeld heeft van de schade? Als het antwoord ‘te lang’ of ‘dat weten we eigenlijk niet is’, ligt daar waarschijnlijk het grootste risico.
