Een beveiligingsincident melden: de gegevens die u moet noteren

Om na een verdacht telefoontje een beveiligingsincident te melden, waarschuw je meteen de intern aangewezen persoon. Dat kan de security-verantwoordelijke zijn, de IT-support of je leidinggevende. Geef feiten die je ter plekke hebt genoteerd: wie belde, wat er gevraagd werd, wat er gegeven werd, hoe laat. Een snelle en precieze melding is beter dan een perfecte maar late melding.

Dit artikel legt uit aan wie je meldt en wanneer, en biedt een herbruikbaar rooster van de gegevens die je tijdens en na het gesprek noteert.

Aan wie meld je een beveiligingsincident?

De eerste ontvanger is intern. Elke organisatie hoort één contactpunt te hebben dat iedereen kent, bijvoorbeeld een eigen mailadres of een permanentienummer. De medewerker mag zich niet hoeven afvragen met wie hij moet spreken.

Als je niet weet wie je moet contacteren, begin dan bij je leidinggevende en je IT-support. Een verkeerde maar snelle ontvanger is beter dan geen melding. Zij sturen het door.

Buiten de organisatie bestaan er verschillende openbare diensten. In Frankrijk is er bijvoorbeeld de dienst 17Cyber van het Franse ministerie van Binnenlandse Zaken, voor slachtoffers van digitale misdrijven. Hij richt zich op particulieren, bedrijven en lokale overheden. Hij geeft persoonlijk advies en, indien nodig, een gesprek met een gendarme of politieagent. Cybermalveillance.gouv.fr, eveneens Frans, biedt ook reflexfiches en slachtofferhulp. Elk land heeft zijn eigen meldpunten, waarvan je de gegevens bij je security-verantwoordelijke vindt. Deze stappen vallen doorgaans onder de beslissing van de security-verantwoordelijke of de directie, niet van de medewerker alleen.

Wanneer moet je het doen?

Onmiddellijk, ook als je niets hebt gegeven en ook als je het niet zeker weet. Een mislukt telefoontje van een aanvaller is waardevolle informatie: hij probeert daarna vaak een collega.

De termijn telt vooral in drie gevallen:

• je hebt een wachtwoord, een code of interne informatie doorgegeven;
• je hebt een handeling goedgekeurd (overschrijving, reset, inloggen);
• je hebt tijdens het gesprek op een link geklikt.

Meld in die gevallen vóór elke andere stap. Elke minuut kan het mogelijk maken een overschrijving te blokkeren of een toegang in te trekken.

Wat noteer je tijdens het gesprek?

Tijdens het gesprek blijft de prioriteit om niets te geven. Maar je kunt al op een papiertje of in een notitieblok het essentiële noteren: het tijdstip, de opgegeven naam, het getoonde nummer, wat hij vraagt. Noteren geeft ook houvast: het vertraagt de beller en zet je in de positie van onderzoeker in plaats van doelwit.

Een eenvoudige zin maakt het mogelijk: “Kunt u uw naam en dienst herhalen? Ik noteer ze, voor de opvolging van uw verzoek.” Een fraudeur voelt zich ongemakkelijk als hij wordt genoteerd. Een legitieme gesprekspartner vindt het normaal.

Welk rooster gebruik je na de poging?

Hieronder staat een rooster dat je kunt kopiëren in een mailsjabloon of in het meldformulier. Het telt negen rubrieken. Vul in wat je weet, schrijf “onbekend” voor de rest, zonder iets te verzinnen.

1. Tijdstip en duur: datum, begintijd, geschatte duur van het gesprek.
2. Opgegeven identiteit: voor- en achternaam, functie, organisatie of dienst.
3. Nummer van de beller: het nummer dat op het scherm stond, zoals het was (het kan vervalst zijn).
4. Opgegeven terugbelnummer: het nummer dat de beller liet kiezen, als er een was.
5. Dossierreferentie: genoemd ticket-, dossier- of klantnummer, ook als het verzonnen lijkt.
6. Wat er gevraagd werd, en in welke volgorde: de opeenvolging van de verzoeken verraadt vaak de methode.
7. Gebruikte drukmiddelen: urgentie, autoriteit, dreiging, schuldgevoel, vleierij, vraag om discretie.
8. Inconsistent detail: wat vals klonk (ongewoon woordgebruik voor de functie, onwetendheid over een intern detail).
9. Wat er gegeven werd: informatie, code, toegang, uitgevoerde handeling, zo mogelijk met de exacte woorden. Als er niets is gegeven, schrijf dat op.

De volgorde van de verzoeken (rubriek 6) zegt vaak meer dan de inhoud. Ze toont hoe de beller stap voor stap zijn druk heeft opgebouwd. Dat is wat securityteams van het ene telefoontje naar het andere proberen te herkennen.

Waarom noteer je de drukmiddelen?

De drukmiddelen zijn de handtekening van de beller. Dezelfde groep gebruikt dezelfde drijfveren opnieuw: de urgentie door een gebeurtenis, het gezag van een directeur, de dreiging met gevolgen, het verzoek om niets te zeggen. Ze noteren maakt het mogelijk meerdere telefoontjes met elkaar te verbinden.

Het is ook een oefening in helderheid voor de persoon die het telefoontje kreeg. De hefboom benoemen (“hij speelde urgentie, daarna autoriteit”) helpt begrijpen waarop hij bijna zou zijn bezweken. Die lezing wordt uitgewerkt in het artikel over de psychologische hefbomen van social engineering.

Hoe ziet een ingevuld rooster eruit, aan de hand van een voorbeeld?

Stel je een telefoontje voor dat een boekhoudassistente ontvangt. Zo kan haar melding eruitzien, in enkele regels:

Tijdstip: donderdag, 11.05 uur, ongeveer zes minuten. Opgegeven identiteit: “Marc”, “beveiligingsdienst van de bank”. Getoond nummer: een nummer van tien cijfers, genoteerd zoals het was. Opgegeven terugbelnummer: een ander nummer, gevraagd “om de lijn te beveiligen”. Dossierreferentie: geen. Verzoeken, in volgorde: mijn identiteit bevestigen, de laatste overschrijving noemen, de code uit de sms voorlezen. Drukmiddelen: urgentie (“lopende transacties”), autoriteit. Inconsistent detail: hij kende de naam van mijn adviseur niet. Gegeven: mijn identiteit en het bedrag van de laatste overschrijving, geen code.

Dit bericht leest in dertig seconden en maakt actie mogelijk: de bank waarschuwen, de collega’s van de boekhouding alarmeren, de genoemde overschrijving controleren. Dat is het verschil met “ik kreeg een raar telefoontje”.

Hoe gebruik je het concreet in de praktijk?

Een rooster heeft alleen waarde als het binnen handbereik ligt. Enkele reflexen maken het bruikbaar wanneer het erop aankomt.

• Het afdrukken of ophangen bij de werkplek, met name bij support, boekhouding en receptie.
• Het omzetten in een mailsjabloon dat klaarstaat voor het meldkanaal.
• Het elk kwartaal in team herlezen, met een echt geanonimiseerd geval.
• Het aanvullen met de rubrieken die nuttig zijn voor jouw beroep, bijvoorbeeld de genoemde klantnaam voor een bank.

Servicedesk- en boekhoudteams vinden er een gemeenschappelijke taal in. Zie ook het geval van de IT-support bij verzoeken om een reset, en de methode om onder druk nee te zeggen terwijl je noteert.

Welke fouten maken een melding onbruikbaar?

• Wachten tot je zeker bent. Twijfel volstaat om te melden.
• Samenvatten in één zin. “Een raar telefoontje” laat geen enkele actie toe. De rubrieken van het rooster voorkomen die vaagheid.
• Uit het geheugen bijsturen. Schrijf op wat je hebt gehoord, niet wat je denkt dat hij bedoelde.
• Weglaten wat je hebt gegeven. Schaamte vertraagt de melding, en de organisatie betaalt de prijs. Een medewerker die snel alles zegt, beschermt de anderen.
• De beller terugbellen om te “controleren”. Als je terugbelt, gebruik dan het onafhankelijke kanaal uit de terugbelprocedure.

Voor bankfraude raadt het informatieblad van Cybermalveillance.gouv.fr aan om bewijzen te bewaren (nummers, berichten, overschrijvingsopdrachten). Het adviseert ook de bank te waarschuwen en aangifte te doen. Dezelfde logica van bewaren geldt in een bedrijf.

Hoe creëer je een meldcultuur?

Er wordt gemeld als men weet hoe, als het eenvoudig is en als men geen verwijt riskeert. Drie organisatorische hefbomen helpen daarbij.

• Eén kanaal, regelmatig aangekondigd, met een invulklaar berichtsjabloon.
• Een systematische terugkoppeling: bedanken, zeggen wat er is gedaan. Een melding zonder antwoord ontmoedigt de volgende.
• Een regel zonder schuldigen: wie meldt, wordt gefeliciteerd, ook als hij erin is getrapt.

Mondeling oefenen helpt ook. In een rollenspel met Face Up krijgt de deelnemer het telefoontje van een persona die aandringt. Na afloop vult hij zijn meldrooster uit het hoofd in. De debriefing vergelijkt zijn notities met wat er echt is gezegd, met de citaten uit de sessie. De trainer schrijft het scenario op basis van de telefoontjes die zijn organisatie echt heeft gekregen.

De hele aanpak staat beschreven in de gids over security awareness training en vishing.

Veelgestelde vragen

Moet ik een telefoontje melden als ik niets heb gegeven?

Ja. Het telefoontje is informatie voor het securityteam, en mogelijk worden ook andere collega’s gebeld. Met het rooster kost het twee minuten.

Moet ik het gesprek opnemen?

Niet zonder kader. Het opnemen van een gesprek is aan precieze regels gebonden. Vraag aan uw security-verantwoordelijke of de functionaris voor gegevensbescherming wat uw organisatie toestaat. Schriftelijke notities volstaan meestal.

Wat als ik de details niet meer weet?

Meld toch, met wat je hebt, en noteer wat je niet meer weet. Een gedeeltelijke herinnering van enkele minuten geleden is beter dan niets. Noteer de details binnen het uur.

Wilt u uw teams trainen om te herkennen, te weigeren en daarna te melden? Boek een demo van Face Up en zie hoe een trainer zijn scenario opbouwt.