Cybersecurity draait vaak om voorkomen: aanvallen buiten de deur houden, verdachte activiteit detecteren en systemen beschermen. Maar wat als een aanval ondanks alle beveiligingsmaatregelen toch succesvol is en leidt tot uitval of dataverlies? Dan komt het aan op de vraag hoe snel een organisatie haar belangrijkste bedrijfsprocessen weer op gang kan krijgen. Een goede voorbereiding daarop begint niet bij de techniek, maar bij het bepalen welke bedrijfsprocessen absoluut noodzakelijk zijn.
Ransomware blijft organisaties wereldwijd raken en leidt niet alleen tot gestolen of versleutelde data, maar ook tot langdurige uitval van bedrijfsprocessen. In het tweede kwartaal van 2026 alleen al werden de gegevens van 2.139 slachtoffers gepubliceerd op de leksites van ransomwaregroepen, 33 procent meer dan een jaar eerder. Een voorbeeld is het recente cybersecurity-incident bij Ahold Delhaize. Het bedrijf schakelde uit voorzorg verschillende IT-systemen uit, waardoor onder meer online bestellingen, bezorgingen en de bevoorrading van winkels werden verstoord. De Albert Heijn-winkels bleven echter open en de kassasystemen werkten gewoon: niet alle dienstverlening was beschikbaar, maar klanten konden wel hun dagelijkse boodschappen blijven doen.
Cyber recovery is daarmee veel meer dan een IT-vraagstuk. Het draait om bedrijfscontinuïteit: welke processen moeten als eerste weer draaien, welke systemen zijn daarvoor nodig en hoeveel uitval kan de organisatie zich permitteren?
Begin niet bij de techniek, maar bij de business
Een goede recoverystrategie begint niet bij de back-upomgeving of bij de vraag welke server als eerste moet worden teruggezet; éérst moet duidelijk zijn wat de organisatie minimaal nodig heeft om te kunnen blijven functioneren. Dit wordt ook wel de Minimum Viable Company genoemd. In een impactanalyse wordt bepaald welke processen echt bedrijfskritisch zijn, hoeveel downtime acceptabel is en welke afhankelijkheden daarbij een rol spelen. Daarbij wordt niet alleen gekeken naar on-premise IT, maar ook naar cloud- en SaaS-diensten, externe IT-partners en andere ketenpartijen.
Dat vraagt om keuzes die niet alleen door IT gemaakt kunnen worden. Welke dienstverlening moet binnen enkele uren weer beschikbaar zijn en welke processen kunnen wachten? Ook het management en de proceseigenaren moeten hierin verantwoordelijkheid nemen; zij bepalen welke processen prioriteit hebben en welke risico’s de organisatie bereid is te accepteren.
Van impactanalyse naar aantoonbaar herstel
Een effectieve cyber-recoverystrategie vraagt om een gestructureerde aanpak volgens vijf stappen:
- Impact Analyse
- Cyber Recovery Workshop
- Cyber Recovery Solution
- Cyber Recovery Planning
- Cyber Recovery Assurance
De eerste stap, Impact Analyse, draait om het vaststellen van de impact van uitval en het bepalen van de herstelprioriteiten. Vervolgens wordt tijdens de Cyber Recovery Workshop de bestaande cyberweerbaarheid in kaart gebracht. Welke voorzieningen bestaan al? Hoe zijn back-up en dataprotectie ingericht? En waar zitten de belangrijkste hiaten? Op basis daarvan ontstaat een verbeterroadmap die duidelijk maakt welke maatregelen nodig zijn om de hersteldoelen te bereiken.
Pas daarna komt de techniek nadrukkelijker in beeld, tijdens de stap Cyber Recovery Solution. De recovery-oplossing moet ervoor zorgen dat kritieke data veilig beschikbaar blijft en dat herstel gecontroleerd kan plaatsvinden. Daarbij kunnen verschillende technische voorzieningen worden ingezet, zoals een immutable data vault, waarin data gedurende een vastgestelde periode niet kan worden gewijzigd of verwijderd, en een geïsoleerde cleanroom waarin systemen en data veilig worden hersteld en gevalideerd voordat ze teruggaan naar productie. Dat is belangrijk omdat een aanvaller soms al langere tijd aanwezig is en je wilt voorkomen dat je tijdens het herstel dezelfde dreiging opnieuw introduceert. Technologiepartners als Commvault kunnen daarbij een rol spelen als het gaat om het beschermen, valideren en herstellen van data.
Een back-up is nog geen herstelplan
Zelfs met uitstekende back-ups kan herstel ingewikkeld zijn. Bedrijfsprocessen zijn immers afhankelijk van meerdere systemen, zoals identity-diensten, DNS, databases en netwerkverbindingen. Daarom is ook de volgorde van herstel cruciaal. Cyber Recovery Planning draait om het vooraf vastleggen welke processen als eerste moeten worden hersteld, welke systemen daarvoor nodig zijn en in welke volgorde dat moet gebeuren. Daarnaast worden verantwoordelijkheden en afspraken over communicatie en autorisatie vastgelegd. In operationele runbooks staat vervolgens stap voor stap beschreven wat er tijdens het herstel moet gebeuren.
Testen voordat het erop aankomt
De laatste stap, Cyber Recovery Assurance, draait om aantonen dat het herstelplan in de praktijk werkt. Een plan op papier garandeert immers niet dat rollen duidelijk zijn, systemen in de juiste volgorde terugkomen en herstel binnen de afgesproken tijd lukt. Daarom is het belangrijk om cyberaanvallen te simuleren, recoveryplannen en runbooks daadwerkelijk te testen en die oefeningen regelmatig te herhalen. Ook moeten plannen actief worden bijgehouden, omdat IT-omgevingen, leveranciers en bedrijfsprocessen voortdurend veranderen. Dat belang wordt inmiddels ook onderstreept door wet- en regelgeving. Zo leggen onder meer de Cyberbeveiligingswet (NIS2) en DORA (voor de financiële sector) nadruk op bedrijfscontinuïteit en herstel.
Recovery begint vóór de aanval
Cyber recovery begint niet zodra systemen uitvallen; op dat moment moeten de prioriteiten, verantwoordelijkheden en herstelvolgorde al vaststaan. Wie vooraf bepaalt wat de Minimum Viable Company is, afhankelijkheden in kaart brengt en herstel regelmatig test, maakt van cyber recovery geen noodgreep, maar een vast onderdeel van de bedrijfscontinuïteit.
Dit is een gastbijdrage van PQR. Via deze link vind je meer informatie over de mogelijkheden van het bedrijf.