{"id":86831,"date":"2026-02-26T04:48:09","date_gmt":"2026-02-26T04:48:09","guid":{"rendered":"https:\/\/hanstimmerman.me\/?p=86831"},"modified":"2026-02-26T19:31:13","modified_gmt":"2026-02-26T19:31:13","slug":"onverwacht-onverzekerd","status":"publish","type":"post","link":"https:\/\/hanstimmerman.me\/nl_nl\/onverwacht-onverzekerd\/","title":{"rendered":"Onverwacht onverzekerd"},"content":{"rendered":"
\n
\n
\n
\n
\n
\n
\n

English version: scroll down<\/em><\/span><\/p>\n

Er heeft vannacht een onverwacht incident in het datacenter plaatsgevonden en wellicht is er sprake van een ernstige cyberaanval. De noodprocedures zijn in gang gezet en als bestuurder vertrouw je op je technische en security mensen om dit incident te begeleiden en op te lossen. Je hebt een noodvergadering met je medebestuursleden en laat je informeren wat er gebeurt en gebeurd is. En je meldt volgens afspraak je cyberverzekeraar dat er een incident gaande is met nog onbekende gevolgen.<\/span><\/p>\n

De eerste uren zijn chaotisch, maar beheersbaar. De crisisorganisatie draait. Externe specialisten worden ingevlogen. Juristen kijken mee. Communicatie bereidt statements voor. Alles volgens het draaiboek. <\/span>Totdat in de dagen daarna blijkt dat veel data is \u2018gegijzeld\u2019 en dat ook je logging- en monitoringdata ontoegankelijk is geworden. Geen SIEM-logs. Geen forensische sporen. Geen audittrail. Alsof niet alleen je bedrijfsvoering is geraakt, maar ook je geheugen is gewist.<\/span><\/p>\n

Geen data meer om forensisch te kunnen onderzoeken wat er precies voor en tijdens de aanval gebeurde. Hoe kwamen ze binnen? Waren ze al lange tijd binnen? Is er lateraal bewogen? Was er sprake van privilege escalation? En misschien nog belangrijker: had je signalen kunnen zien? <\/span>En dan komt de tweede klap.<\/span><\/p>\n

De verzekeraar vraagt om bewijs. Bewijs dat je v\u00f3\u00f3r de aanval je zaken op orde had. Dat je compliant was met de afgesproken normen. Dat je patchbeleid op orde was. Dat multi-factor authenticatie daadwerkelijk was afgedwongen. Dat kwetsbaarheden tijdig waren opgelost. Dat je monitoring actief was en alerts werden opgevolgd.<\/span><\/p>\n

En dat bewijs . . . \u00a0zat in de logs.<\/span><\/p>\n

De aanval op je data is ook een aanval op je bewijs<\/span><\/h3>\n

Dit scenario is niet theoretisch. Het is al meerdere malen gebeurd. Ransomwaregroepen weten inmiddels dat back-ups, loggingservers en monitoringplatforms strategische doelwitten zijn. Wie het geheugen wist, ontneemt het slachtoffer niet alleen herstelmogelijkheden, maar ook juridische en financi\u00eble armslag.<\/span><\/p>\n

Bij de aanval op Maersk<\/span><\/span> in 2017, onderdeel van de wereldwijde NotPetya-uitbraak, werd de complete IT-infrastructuur ontwricht. Duizenden servers en werkstations moesten opnieuw worden opgebouwd. Directorystructuren en configuraties gingen verloren. De schade liep in de honderden miljoenen dollars. <\/span>Ook Merck & Co.<\/span><\/span> werd door NotPetya getroffen. Wat volgde was een juridische strijd met verzekeraars over de vraag of de aanval onder een \u2018oorlogsclausule\u2019 viel. Uiteindelijk kreeg Merck gelijk, maar het debat draaide om aantoonbaarheid en polisinterpretatie. <\/span>En bij Colonial Pipeline<\/span><\/span> zagen we hoe een ransomware-aanval niet alleen operationele impact had, maar ook politieke en juridische druk veroorzaakte. Incident response, aansprakelijkheid en verzekering kwamen samen in een publiek debat.<\/span><\/p>\n

Wat zelden wordt besproken, is de stille onderhandeling achter de schermen: kun je aantonen dat je vooraf in control was?<\/span><\/p>\n

De parallel met de luchtvaart<\/span><\/h3>\n

Na de Tweede Wereldoorlog groeide de commerci\u00eble luchtvaart explosief. Maar bij veel crashes kon achteraf niet worden vastgesteld wat de oorzaak was. Met het toestel ging ook de informatie verloren over wat er v\u00f3\u00f3r en tijdens het incident gebeurde.<\/span><\/p>\n

De introductie van de flight recorder \u2013 de zwarte doos \u2013 veranderde dat fundamenteel. Uiteindelijk werd deze verplicht in commerci\u00eble vliegtuigen. Niet alleen om van incidenten te leren, maar ook als randvoorwaarde voor certificering en verzekerbaarheid. Zonder aantoonbare registratie geen luchtwaardigheidscertificaat. En zonder certificaat geen verzekering. <\/span>Internationale standaarden, onder regie van onder meer de I<\/span><\/span>nternational Civil Aviation Organization<\/span><\/span>, zorgden ervoor dat incidentdata werd gedeeld en geanalyseerd.<\/span><\/p>\n

Geen data, geen analyse. <\/span>Geen analyse, geen verbetering.<\/span> Geen verbetering, geen verzekerbaarheid.<\/span><\/p>\n

Waar is de zwarte doos van het datacenter?<\/span><\/h3>\n

In de digitale wereld zijn logging- en monitoringdata onze flight recorders. Maar ze zijn zelden crashbestendig ontworpen. Ze draaien in hetzelfde netwerk, onder hetzelfde identity-domein, soms zelfs met dezelfde beheerdersaccounts.<\/span><\/p>\n

Moderne aanvallers begrijpen dat perfect. Ze verwijderen back-ups. Ze wissen logs. Ze schakelen beveiligingsagents uit. Ze bereiden hun aanval voor met het doel niet alleen te versleutelen, maar ook te ontkennen. <\/span>Niet alleen om herstel te bemoeilijken, maar om bewijs uit te wissen. <\/span>Wie niet kan aantonen wat er gebeurde, kan ook moeilijk aantonen dat hij compliant was.<\/span><\/p>\n

Overleeft je logging de aanval?\u00a0<\/span><\/h3>\n

Daarom moet de vraag niet zijn \u00f3f je logging hebt. De vraag is: overleeft je logging de aanval. <\/span>Een oplossing die hier expliciet op inspeelt is de ICT Blackbox van DigiCorp Labs<\/span><\/span>. <\/span>De kern daarvan is het onuitwisbaar vastleggen van bewijs dat je compliant was \u2013 v\u00f3\u00f3r en tijdens een incident.<\/span><\/p>\n

Met behulp van het gepatenteerde NFD-principe (Non-Fungible Data Entry) worden logging-acties cryptografisch verankerd op een blockchain. Niet als kopie van je volledige logbestand, maar als unieke, onveranderbare vingerafdruk van elke relevante gebeurtenis. <\/span>Wat wordt vastgelegd?<\/span><\/p>\n