UITSLUITEND VOOR OEFENDOELEINDEN — HANDLEIDING VOOR DE OEFENLEIDER: TABLETOP-OEFENING RANSOMWARE

Redactie van CyberPlay | 13 september 2026

Originele fictieve oefening van CyberPlay. Aanbevolen tijdsduur: 60 minuten.

Vul vóór gebruik de lokale meldprocedure, de incidentresponscontactpersoon, het uitwijkcontact, de proceseigenaar voor bedrijfscontinuïteit en de goedkeuringsroute voor communicatie in. Voer geen echte vertrouwelijke gegevens in het trainingsmateriaal in.

LOKALE VOORBEREIDING

Datum en oefenleider: ____________________

Meldprocedure voor incidenten: ____________________

Uitwijkcontactroute: ____________________

Proceseigenaar bedrijfscontinuïteit: ____________________

Verantwoordelijke goedkeuring communicatie: ____________________

Benodigde specialistische contactpersonen: ____________________

1. STEL VOORAFGAAND AAN DE SESSIE DRIE DOELEN VAST

Kies een behapbare scope: herkennen wanneer escalatie nodig is, coördineren wanneer het reguliere communicatiekanaal niet beschikbaar is en een tijdelijke werkprocedure goedkeuren. Formuleer per doel wat een succesvolle discussie concreet moet aantonen. Probeer niet de volledige herstelarchitectuur en elke wettelijke verplichting in één enkele inleidende sessie te toetsen.

NIST SP 800-61 Rev. 3 plaatst incidentrespons binnen het bredere cybersecurity-risicomanagement. Gebruik de tabletop-oefening om alledaagse beslissingen van teams te koppelen aan die responsstructuur. CISA publiceert eveneens oefenscenario's voor cybersecurity, inclusief ransomware. Die bronnen zijn waardevol voor een formeler oefenprogramma nadat het team deze fundamentele afstemmingsvraagstukken heeft geoefend.

2. WIJS ROLLEN EN BESLUITVORMINGSBEVOEGDHEDEN TOE

Nodig een oefenleider, een notulist, de incidentcontactpersoon, een vertegenwoordiger vanuit de operationele bedrijfsvoering, een communicatieverantwoordelijke voor klanten en een passende leidinggevende uit. Betrek ook de personen die verantwoordelijk zijn voor privacy-, juridische of sectorspecifieke verplichtingen zodra het scenario daarom vraagt. In een kleine organisatie kan één persoon meerdere rollen vervullen, zolang de afzonderlijke verantwoordelijkheden maar expliciet blijven.

Rol | Verantwoordelijkheid tijdens de oefening

Oefenleider | Presenteert fictieve feiten, bewaakt de tijd en houdt de discussie binnen de scope.

Notulist | Legt besluiten, aannames, knelpunten, eigenaren en opvolgdata vast.

Incidentcoördinator | Licht de escalatie toe en coördineert het geautoriseerde responsproces.

Proceseigenaar bedrijfsvoering | Brengt kritieke werkzaamheden en toegestane continuïteitsopties in kaart.

Communicatieverantwoordelijke | Bepaalt de goedkeuringsroutes voor interne en externe berichtgeving.

Directie en inhoudelijk specialisten | Hakken knopen door bij bevoegdheidskwesties en bepalen welke verplichtingen beoordeeld moeten worden.

3. RICHT DE RUIMTE IN EN STEL DE SPELREGELS VAST

Zorg dat de actuele contactlijst voor incidenten, de meldinstructies, het continuïteitsplan en de communicatiegoedkeuringsprocedure klaarliggen. Gebruik waar nodig offline kopieën, zodat de groep kan verkennen wat er gebeurt als het reguliere systeem uitvalt. Controleer contactgegevens vooraf via een afgesproken voorbereidingsstap; overval echte hulpverleners of responsteams nooit met een onaangekondigde oefenoproep. Voorzie alle materialen duidelijk van de markering dat het om een oefening gaat.

Neem de spelregels mondeling door: deelnemers beschrijven maatregelen in plaats van ze daadwerkelijk uit te voeren; er vinden geen productiewijzigingen, accountresets of klantberichten plaats; bij een echt incident wordt de oefening direct stilgelegd. Onbekende factoren worden genotuleerd en niet ingevuld met gemakkelijke aannames. Zegt iemand “IT herstelt alles wel even”, vraag dan welk goedgekeurd plan en welke eigenaar die aanname onderbouwen.

4. VOLG DE VOORGESTELDE AGENDA VAN 60 MINUTEN

De fictieve organisatie is een klein dienstverlenend bedrijf met een gedeelde documentenomgeving, een wachtrij voor klantondersteuning en geplande opleveringen voor die middag. Vervang deze details desgewenst door vergelijkbare fictieve bedrijfsfuncties. Gebruik geen echte klantnamen of werkelijke gevoelige dossiers. De oefenleider deelt de informatie stapsgewijs, zodat de groep gedwongen wordt beslissingen te nemen onder onzekerheid.

Tijd | Fase | Te beantwoorden vraag

0–10 minuten | Briefing en rolverdeling | Wat mag ieder individu besluiten en hoe leggen we knelpunten vast?

10–20 minuten | Inject 1: bestanden onbereikbaar | Hoe wordt het signaal gemeld en geëscaleerd?

20–30 minuten | Inject 2: reguliere chat onbetrouwbaar | Hoe stemmen teams af via het goedgekeurde uitwijkkanaal?

30–40 minuten | Inject 3: klanten eisen antwoord | Wie fiatteert de communicatie en een tijdelijke werkprocedure?

40–50 minuten | Inject 4: onzekerheid over herstel | Welke bedrijfsprioriteiten en informatie sturen de respons?

50–60 minuten | Nabespreking | Welke verbeterpunten krijgen een eigenaar, deadline en controle?

5. INJECT 1: EEN MEDEWERKER KAN GEDEELDE BESTANDEN NIET OPENEN

Lees deze fictieve update voor: “Om 09:10 uur meldt een teamlid dat meerdere gedeelde bestanden vreemde namen hebben en niet meer openen. Een andere medewerker meldt een schermbericht waarin losgeld wordt geëist op diens werkplek. De reguliere meldprocedure functioneert nog.” Vraag de groep om de eerste melding te beschrijven: wie ontvangt deze en hoe verneemt de proceseigenaar dat de bedrijfsvoering mogelijk geraakt wordt?

De taak van de medewerker is de goedgekeurde meld- en handelingsinstructies te volgen en nauwkeurige observaties door te geven. De groep moet voorkomen dat men zelf technisch ingrijpen gaat improviseren. De ransomware-richtlijnen van CISA benadrukken gecoördineerde isolatie en het veiligstellen van bewijsmateriaal; handelingen zoals het loskoppelen of uitschakelen van systemen hebben operationele gevolgen en horen thuis bij de geautoriseerde procedure en het responsteam.

- Welke feiten staan vast en wat zijn slechts aannames?

- Wie is bevoegd om een incident uit te roepen of te coördineren?

- Wat dient de meldende medewerker te doen in afwachting van instructies?

- Hoe verloopt de melding als de primaire contactpersoon niet bereikbaar is?

6. INJECT 2: HET REGULIERE CHATKANAAL BLIJKT ONBETROUWBAAR

Lees deze fictieve update voor: “Om 09:25 uur kan een deel van de medewerkers de reguliere chatdienst niet meer gebruiken. In een bestaande groepschat verschijnt een bericht, zogenaamd van support, waarin iedereen wordt opgeroepen naar een nieuwe openbare chatroom te gaan voor herstelinstructies.” Vraag hoe de deelnemers deze instructie verifiëren en waar het goedgekeurde uitwijkkanaal formeel is vastgelegd.

Ga er niet zomaar van uit dat een bekende groepschat elk nieuw bericht betrouwbaar maakt. De incidentcoördinator moet het vastgestelde alternatief toelichten en aangeven hoe het team geautoriseerde richtlijnen herkent. Is er geen uitwijkoptie ingericht, leg deze leemte dan vast en bespreek wie dit moet beleggen. Maak tijdens de oefening niet zomaar een echte noodgroep aan buiten de reguliere goedkeurings- en toegangsbeheerprocessen van de organisatie om.

7. INJECT 3: KLANTDRUK VERLEIDT TOT EEN TIJDELIJKE WORKAROUND

Lees deze fictieve update voor: “Om 09:40 uur vraagt een klant dringend om een statusupdate. Een teamlid stelt voor om de klantexport van gisteren over te zetten naar een privé-cloudaccount, zodat het werk kan doorgaan. Die export bevat mogelijk gegevens die niet meer actueel zijn.” Vraag wie bevoegd is om continuïteitsmaatregelen goed te keuren, welke gegevens veilig gebruikt kunnen worden en hoe het externe bericht wordt geaccordeerd.

Een verleidelijk handige noodoplossing

Het team wil de dienstverlening snel hervatten, maar heeft geen toestemming voor het gebruik van persoonlijke cloudopslag.

1. Zet de export direct over en documenteer het achteraf.

2. Wacht stilzwijgend af tot alle systemen volledig zijn hersteld.

3. Escaleer de continuïteitsbehoefte naar de bevoegde verantwoordelijke en hanteer uitsluitend een goedgekeurde tijdelijke werkwijze.

Antwoord voor de oefenleider: Escaleer de operationele noodzaak en zorg voor een formeel geaccordeerd continuïteitsbesluit. De wens om door te kunnen werken rechtvaardigt niet automatisch een nieuwe, ongeautoriseerde opslaglocatie voor gegevens.

Nabespreking: Vraag welke minimale dienstverlening veilig kan doorgaan, welk klantbericht nu al goedgekeurd kan worden en welk besluit uitsluitend bij het responsteam ligt.

8. INJECT 4: HERSTELTIJD EN DATADIEFSTAL BLIJVEN ONZEKER

Lees deze fictieve update voor: “Om 10:00 uur heeft het responsteam nog niet bevestigd wanneer de gedeelde werkomgeving weer beschikbaar is. Een externe partij claimt bedrijfsgegevens te hebben buitgemaakt. Deze bewering is nog niet geverifieerd. De directie wil weten welke diensten als eerste moeten herstellen en wat we richting klanten kunnen melden.” Vraag de groep om geverifieerde feiten, claims en onbekende factoren strikt te scheiden in het besluitenlogboek.

De proceseigenaar kan afhankelijkheden en prioriteiten toelichten; het technische team beoordeelt de herstelopties. Aangewezen inhoudelijk specialisten beoordelen eventuele meldplichten en andere wettelijke of contractuele vereisten. Ga geen universele wettelijke meldtermijn verzinnen en laat reguliere medewerkers onder geen beding onderhandelen met de afperser. De oefening moet verduidelijken wie over deze beslissingen gaat en welke informatie zij daarvoor nodig hebben.

9. NABESPREKING MET EEN BESLUITENLOGBOEK EN VERBETERPUNTEN

Bespreek wat goed ging, waar het team leunde op aannames en welke ontbrekende procedure besluitvorming bemoeilijkte. Formuleer elk knelpunt zodanig dat het daadwerkelijk opgelost kan worden. “De communicatie liep stroef” is te vaag. “Publiceer en verifieer vóór de volgende oefening de uitwijkcontactroute bij incidenten, onder verantwoordelijkheid van de incidentcoördinator” biedt een concrete actie.

Veld in logboek | Wat in te vullen

Observatie | Het specifieke moment waarop een besluit of overdracht stagneerde.

Gevolg | Welke bedrijfsactiviteit of responsmaatregel hierdoor vertraging oploopt of misloopt.

Verbeteractie | De praktische wijziging die nodig is om het knelpunt op te lossen.

Eigenaar en deadline | De persoon die verantwoordelijk is voor de uitvoering, inclusief de afgesproken datum.

Verificatie | De methode waarmee het team controleert of het nieuwe proces daadwerkelijk functioneert.

10. VERIFIEER VERBETERINGEN EN VERBIND MET INDIVIDUELE PRAKTIJK

Deel het besluitenlogboek via de afgesproken interne route en plan een evaluatie van de actiepunten. Houd de notulen van de oefening beperkt tot wat noodzakelijk is voor dit doel. Pas in een volgende sessie één afhankelijkheid aan — zoals een onbereikbare contactpersoon of een uitgevallen voorziening — en toets of het aangescherpte proces standhoudt. Een tabletop-discussie levert op zichzelf nog geen bewijs dat back-ups foutloos teruggezet kunnen worden of dat een technisch herstelplan operationeel getest is.

De ransomware-scenario's van CyberPlay bieden medewerkers de mogelijkheid om individueel te oefenen, voorafgaand aan of juist na afloop van de teamsessie. Gebruik het onderwerpenoverzicht om een passende game te kiezen en koppel minstens één afweging aan de werkelijke escalatieprocedure. Houd het onderscheid scherp: een game oefent individuele keuzes, de tabletop-oefening toetst de onderlinge afstemming, en technisch herstel vereist een eigen, geautoriseerde validatie.

LEEG ACTIEFORMULIER

Observatie: ____________________

Gevolg: ____________________

Verbeteractie: ____________________

Eigenaar: ____________________

Deadline: ____________________

Verificatiemethode: ____________________

BRONVERMELDING

Aanbevelingen en aandachtspunten voor incidentrespons, NIST SP 800-61 Rev. 3 — https://csrc.nist.gov/pubs/sp/800/61/r3/final

Cybersecurityscenario’s — https://www.cisa.gov/resources-tools/resources/cybersecurity-scenarios

Handleiding #StopRansomware — https://www.cisa.gov/stopransomware/ransomware-guide