Reconstructie van het incident
Kan uw organisatie een incident reconstrueren op basis van bewijsmateriaal in plaats van op basis van herinneringen?
Een ernstig incident wordt niet alleen beoordeeld op basis van wat er is gebeurd. Het wordt beoordeeld op basis van wat de organisatie achteraf kan aantonen. De aanleiding, de tijdlijn, het bewijsmateriaal, de beslissingen, de goedkeuringen, de reactiemaatregelen en de verantwoordelijkheden moeten duidelijk gedocumenteerd zijn. Anders wordt het verloop van het incident onder druk opnieuw geconstrueerd.
Het vertellen van verhalen over incidenten reconstruction is niet hetzelfde als het vertellen van verhalen over incidenten
Een incidentreconstructione is het vermogen om de gebeurtenis te reconstrueren aan de hand van bewaard gebleven bewijsmateriaal. Het legt verbanden tussen de eerste aanleiding, de tijdlijn, de geraadpleegde documenten, de genomen beslissingen, de goedgekeurde reactiemaatregelen en de verantwoordelijke personen. Een verslag kan het incident toelichten. Een incidentreconstructione moet het bewijzen.
Een incidentdossier kan weliswaar veel documenten bevatten, maar toch niet de relevante volgorde weergeven.
Daar begint de druk. De organisatie weet misschien wel wat er is gebeurd, maar kennis alleen is niet genoeg. Het dossier moet het traject van bewijs naar actie vastleggen, voordat herinneringen, beschuldigingen en latere verklaringen het dossier een andere invulling geven.
Na een incident wordt de tijdstip een bewijsstuk
Bij het onderzoek naar incidenten ligt de nadruk vaak op de volgorde van gebeurtenissen. Wat er werd ontdekt. Wanneer het werd geëscaleerd. Wie het heeft beoordeeld. Welke gevolgen er werden ingeschat. Welke reactie werd goedgekeurd. Of de melding, de beheersing of de herstelmaatregelen vertraging opliepen. Als de tijdlijn niet waterdicht is, wordt de hele situatie kwetsbaar.
De gevaarlijke kloof is meestal niet de uiteindelijke reactie. Het is de ontbrekende verklaring tussen de aanleiding en de reactie. Toezichthouders, accountants, raden van bestuur en verzekeraars zullen vragen hoe de organisatie van signaal naar besluit is gekomen.
Een reconstructiebaar incidentverslag waarborgt die gang van zaken. Het laat zien wat er op dat moment bekend was, welke onzekerheden er nog bestonden en waarom de gekozen aanpak onder druk redelijk was.
Vier verbindingen die het incident moeten doorstaan
Trigger vastgelegd
Het dossier moet het eerste signaal, de eerste waarschuwing, de eerste klacht, de eerste indicator van een inbreuk, de eerste operationele storing of de eerste controleafwijking vermelden die aan de basis lag van het incidentverloop.
Tijdlijn behouden
Uit het verslag moet blijken wat er wanneer is gebeurd, met inbegrip van beslissingen inzake escalatie, evaluatie, effectbeoordeling, inperking en respons.
Gerelateerd bewijsmateriaal
De organisatie moet logbestanden, documenten, communicatie, goedkeuringen en bronmateriaal bewaren die het incidentverslag onderbouwen.
Aantoonbare reactie
Het uiteindelijke antwoord moet verband houden met de verantwoordelijkheid, de redenering, het bewijsmateriaal, de toetsing en de goedkeuring op het moment dat de maatregel werd genomen.
Waar de film ‘incident reconstruction’ tekortschiet
Van incidentdruk tot reconstrueerbaar bewijsmateriaal
Standaard - Basis voor gestructureerde dossiers
Standard helpt bij het ordenen van feiten, bewijsmateriaal, reikwijdte, verplichtingen en beslissingen, zodat het incidentverslag een duidelijkere basis heeft voordat het wordt geëscaleerd of beoordeeld.
Pro - Laag voor bestuur en integriteit
Pro voegt beleidsdocumenten toe met betrekking tot de integriteit van bewijsmateriaal, verantwoordelijkheid voor besluitvorming, grenzen van toegangscontroles en corrigerende maatregelen.
Dossier Secure Enterprise wordt ontwikkeld als een ‘forensic governance’-infrastructuur. Het doel ervan is om gebeurtenissen, actoren, beleidsevaluaties, beslissingen, bewijsobjecten, outputs, hashes en audit trail’s met elkaar te verbinden tot een reconstrueerbare bewijsketen van een incident.
Uitleg over de incidentreconstruction
Wat is 'incident reconstruction'?
Incidentreconstruction: het vermogen om aan de hand van bewaarde gegevens te reconstrueren wat er tijdens een ernstig incident is gebeurd: de aanleiding, de tijdlijn, het bewijsmateriaal, de beslissingen, de goedkeuringen, de reactiemaatregelen en de verantwoordelijkheden.
Waarom is incident reconstruction belangrijk?
Dit is van belang omdat organisaties vaak achteraf worden beoordeeld, wanneer toezichthouders, accountants, raden van bestuur, verzekeraars of rechtbanken vragen wat er bekend was, wanneer dat bekend was en waarom bepaalde maatregelen zijn genomen.
Welk bewijsmateriaal is er nodig om een incident te reconstrueren?
Een incidentrapport moet de volgende elementen bevatten: bronlogboeken, bewijsmateriaal in de vorm van een tijdlijn, interne beslissingen, goedkeuringen van reacties, communicatie, escalatieverslagen, een impactanalyse en de motivering achter belangrijke maatregelen.
Wat zorgt ervoor dat de „incident reconstruction” niet meer werkt?
reconstructione van incidenten mislukt wanneer logbestanden verspreid zijn, tijdstempels onduidelijk zijn, beslissingen niet worden vastgelegd, bewijsmateriaal te laat wordt verzameld of de organisatie zich baseert op herinneringen om uit te leggen wat er is gebeurd.
Is Dossier Secure Enterprise nu volledig operationeel voor incident reconstruction?
Nr. Dossier Secure Enterprise wordt momenteel actief ontwikkeld en ontworpen als een ‘forensic governance’-infrastructuur. De versies Standard en Pro vormen de huidige basis voor gestructureerde dossiers.
Ga na of uw incidentverslag kan worden gereconstrueerd
Als uw organisatie geen verband kan leggen tussen de aanleiding, het tijdsverloop, het bewijsmateriaal, de verantwoordelijkheid en de reactie, is het incidentverslag nog niet verdedigbaar.