Maandagochtend, 08.15 uur: medewerkers kunnen niet meer inloggen, patiëntgegevens of offertes zijn onbereikbaar en op meerdere schermen verschijnt een losgeldmelding. Op zo’n moment is ransomware herstel geen puur technisch vraagstuk. Het gaat om de continuïteit van uw organisatie, de bescherming van gegevens en heldere keuzes onder druk.
Wie vooraf weet wat er moet gebeuren, wint kostbare tijd. Wie probeert de storing op te lossen zonder overzicht, kan de schade juist vergroten. Daarom begint goed herstel met rust, afbakening en regie.
Wat is ransomware en waarom raakt het uw organisatie zo hard?
Ransomware is schadelijke software die bestanden, systemen of hele servers versleutelt. Criminelen vragen vervolgens losgeld voor een sleutel om de gegevens weer toegankelijk te maken. Steeds vaker blijft het niet bij versleuteling. Aanvallers kopiëren gegevens vooraf en dreigen die openbaar te maken als er niet wordt betaald.
Dat kan grote gevolgen hebben. Een mkb-bedrijf kan niet factureren, plannen of produceren. In een mondzorgpraktijk kunnen agenda’s, röntgenbeelden en patiëntdossiers tijdelijk onbereikbaar zijn. Ook telefonie, e-mail en gekoppelde cloudapplicaties kunnen geraakt worden als accounts zijn overgenomen.
De oorzaak is zelden één spectaculaire fout. Een phishingmail, een gelekt wachtwoord, een niet-uitgevoerde beveiligingsupdate of een externe toegang die te ruim staat ingesteld kan genoeg zijn. Juist daarom vraagt herstel om meer dan bestanden terugzetten. U moet ook zeker weten hoe de aanvaller binnenkwam en of die toegang echt is afgesloten.
Ransomware herstel: de eerste uren bepalen veel
Ziet u een losgeldmelding, vreemde bestandsnamen of plotselinge uitval op meerdere werkplekken? Behandel dit als een beveiligingsincident. Medewerkers hoeven de oorzaak niet zelf te onderzoeken. Snel en gecontroleerd handelen is dan verstandiger dan goedbedoeld experimenteren.
Isoleer, maar schakel niet blind alles uit
Haal getroffen computers en servers zo snel mogelijk van het netwerk. Verbreek waar mogelijk de netwerkverbinding of wifi, zonder apparatuur direct uit te zetten. Een systeem abrupt uitschakelen kan sporen vernietigen die nodig zijn om te onderzoeken wat er is gebeurd.
Koppel ook externe schijven en netwerkschijven los als die mogelijk zijn geraakt. Controleer of back-ups bereikbaar zijn vanaf het gewone bedrijfsnetwerk. Zijn ze dat, laat ze dan niet zomaar openen of terugzetten. Ook een back-up kan besmet of versleuteld zijn.
Breng één crisisteam bij elkaar
Zorg dat duidelijk is wie beslissingen neemt en wie de communicatie verzorgt. Denk aan directie of praktijkhouder, de ICT-verantwoordelijke, uw IT-partner en eventueel een externe specialist. Leg vast wat u ziet: tijdstippen, getroffen systemen, meldingen op schermen en acties die al zijn uitgevoerd.
Informeer medewerkers kort en feitelijk. Vraag hen verdachte berichten niet te verwijderen, niet opnieuw in te loggen op getroffen systemen en geen eigen herstelacties uit te voeren. Dat voorkomt verwarring en beperkt de kans dat de aanval zich verder verspreidt.
Beoordeel de meldplicht en uw contractuele afspraken
Zijn persoonsgegevens mogelijk ingezien, gekopieerd of ontoegankelijk geworden? Dan kan sprake zijn van een datalek. Onderzoek direct of een melding bij de Autoriteit Persoonsgegevens nodig is. In veel gevallen moet die beoordeling binnen 72 uur gebeuren. Betrek ook uw cyberverzekeraar op tijd als u die heeft. Verzekeraars stellen vaak voorwaarden aan de aanpak en kunnen gespecialiseerde hulp inschakelen.
Een aangifte kan eveneens relevant zijn. Niet omdat dit systemen direct herstelt, maar omdat het helpt bij onderzoek en vastlegging van het incident. Welke stappen passend zijn, hangt af van de omvang van de aanval, de aard van de gegevens en de afspraken binnen uw organisatie.
Herstellen begint met onderzoek, niet met terugzetten
De verleiding is groot om direct de laatste back-up terug te plaatsen. Dat is begrijpelijk, maar te vroeg herstel kan ervoor zorgen dat een aanvaller opnieuw binnenkomt. Eerst moet duidelijk worden welke systemen zijn geraakt, welke accounts mogelijk zijn misbruikt en of er gegevens zijn buitgemaakt.
Een goed onderzoek kijkt onder meer naar inloggegevens, externe toegang, e-mailaccounts, beheerdersaccounts en recente wijzigingen in de IT-omgeving. Ook wordt vastgesteld wanneer de aanval begon. Dat moment is belangrijk om een veilige herstelpunt te kiezen. Een back-up van gisteren is niet automatisch veilig als de aanvaller al weken in het netwerk aanwezig was.
Daarna volgt een herstelplan met duidelijke prioriteiten. Voor de meeste organisaties zijn dat eerst communicatie en bereikbaarheid, vervolgens kritische bedrijfsapplicaties en daarna overige werkplekken en archieven. Voor een mondzorgpraktijk kan dat betekenen: eerst veilige toegang tot planning en patiëntinformatie, daarna de systemen die nodig zijn voor behandeling, beeldvorming en administratie.
Soms is volledig opnieuw opbouwen de verstandigste route. Dat kost meer tijd dan alleen data terugzetten, maar geeft wel meer zekerheid als de besmetting breed is. Bij een beperkte aanval op één geïsoleerde werkplek kan een gerichte herstelactie juist voldoende zijn. Er is dus geen standaardantwoord dat voor elke situatie werkt.
Een bruikbare back-up is uw sterkste uitgangspunt
Een back-up is pas waardevol als u die snel en betrouwbaar kunt herstellen. Veel organisaties ontdekken pas tijdens een incident dat de back-up niet volledig is, dat herstel te lang duurt of dat ook de reservekopie bereikbaar was voor de aanvaller.
Een goede aanpak werkt met meerdere kopieën van belangrijke data, op verschillende locaties. Minstens één kopie moet gescheiden zijn van de dagelijkse IT-omgeving, zodat ransomware die niet eenvoudig kan bereiken. Daarnaast moet u periodiek testen of bestanden, systemen en applicaties werkelijk terug te zetten zijn.
Let daarbij niet alleen op documenten. Denk ook aan configuraties van servers en netwerkapparatuur, cloudgegevens, mailboxen, applicatiegegevens en telefonie-instellingen. Als een organisatie alleen bestanden terugzet, maar de rest van de inrichting niet op orde heeft, duurt de terugkeer naar normaal onnodig lang.
De gewenste hersteltijd verschilt per organisatie. Een praktijk die dezelfde dag weer moet kunnen plannen, heeft andere eisen dan een bedrijf dat een dag zonder archief kan. Die afspraak moet vooraf concreet zijn: welke systemen moeten binnen hoeveel uur beschikbaar zijn, en hoeveel gegevensverlies is maximaal acceptabel?
Voorkom herhaling met maatregelen die werken in de praktijk
Na een incident is de aandacht vaak groot. Juist dan is het moment om verbeteringen blijvend te regelen. Niet met een dikke map beleid die niemand gebruikt, maar met maatregelen die passen bij uw medewerkers en dagelijkse werkproces.
Sterke, unieke wachtwoorden en multifactorauthenticatie vormen een belangrijke basis. Bij multifactorauthenticatie is naast het wachtwoord nog een extra controle nodig, bijvoorbeeld via een app. Daardoor is een gestolen wachtwoord alleen meestal niet voldoende om binnen te komen.
Daarnaast moeten updates van systemen en applicaties tijdig worden uitgevoerd. Verouderde software is een bekend toegangspunt voor aanvallers. Beperk ook wie beheerdersrechten heeft en controleer regelmatig welke externe toegangen nog nodig zijn. Een oud account van een voormalige medewerker of leverancier hoort niet ongemerkt actief te blijven.
Medewerkers blijven eveneens een belangrijke schakel. Een korte, herkenbare instructie over verdachte e-mails werkt beter dan een jaarlijkse presentatie vol technische termen. Laat medewerkers weten waar zij twijfel snel kunnen melden en maak duidelijk dat melden nooit tot verwijten leidt. Een vroeg gemelde phishingmail kan een aanval stoppen voordat die gevolgen heeft.
TéGéTèl helpt organisaties in de regio met beheerde ICT, beveiliging en back-upvoorzieningen die niet alleen zijn ingericht, maar ook worden gecontroleerd. Met één aanspreekpunt blijft er overzicht over netwerk, werkplekken, cloud en communicatie - juist wanneer continuïteit onder druk staat.
Maak van een incidentplan een werkbaar hulpmiddel
Een incidentplan hoeft geen uitgebreid handboek te zijn. Het moet vooral bruikbaar zijn als de spanning oploopt. Leg daarom vaste contactpersonen, bereikbaarheid buiten kantooruren, prioritaire systemen en escalatieafspraken vast. Oefen het plan ook eens. Een korte praktijksimulatie maakt snel duidelijk waar afhankelijkheden en onduidelijkheden zitten.
Neem daarbij leveranciers mee. Als uw planning, patiëntendossier, boekhouding of telefonie bij verschillende partijen is ondergebracht, moet vooraf duidelijk zijn wie waarvoor verantwoordelijk is. Versnippering kost tijdens een incident tijd. Een partij die het totale landschap overziet, kan sneller de juiste volgorde bepalen.
Ransomware laat zich niet volledig uitsluiten, maar de gevolgen zijn wel sterk te beperken. Wie herstel, back-ups, beveiliging en verantwoordelijkheden vooraf regelt, houdt ook tijdens een incident grip op de volgende stap. Dat geeft rust aan medewerkers en vertrouwen aan klanten en patiënten die op uw organisatie rekenen.