De Beheerorganisatie DSGO houdt reactief toezicht op het naleven van het afsprakenstelsel door te handelen bij melding van een incident. Wanneer de melding binnenkomt, wijst de Beheerorganisatie DSGO een neutrale incidentcoördinator aan die het incidentbeheer proces leidt. Het incidentbeheer proces is het gehele proces van melding van een incident tot afronding van het incident. Een incident wordt in het DSGO gedefinieerd als:
Een ongewenste gebeurtenis die niet direct oplosbaar is en:
Niet binnen de regulieren werking van het DSGO en/of de beschikbare datadiensten behoort, en/of
Mogelijk leidt tot het verlies van vertrouwen, veiligheid en integriteit van het afsprakenstelsel en/of datadiensten geïmplementeerd op het afsprakenstelsel.
Een incident kan door iedere bij het DSGO betrokken partij gemeld worden wanneer zij constateert of het vermoeden heeft dat een partij zich niet aan het afsprakenstelsel houdt. In het afsprakenstelsel worden incidenten in drie classificaties onderverdeeld (zie classificatie incidenten).
Doelstelling
Het doel van het incidentbeheer is het minimaliseren van negatieve gevolgen van incidenten en het onderzoeken of een handhavingsproces opgestart moet worden naar aanleiding van een incident. Dit dient te resulteren in het behoud van de betrouwbaarheid van en het vertrouwen in het DSGO. De Beheerorganisatie DSGO streeft deze doelen na door reactief toezicht te houden.
Verantwoordelijkheid
De Beheerorganisatie DSGO en bij het DSGO betrokken partijen hebben een verantwoordelijkheid in incidentbeheer.
Beheerorganisatie DSGO
Het is de verantwoordelijkheid van de Beheerorganisatie DSGO om bij ontvangst van een incidentmelding op te treden als toezichthouder. Daarnaast is de Beheerorganisatie DSGO ook verantwoordelijk voor het aanstellen van een neutrale incidentcoördinator. Wanneer de Beheerorganisatie DSGO zelf niet betrokken is bij een incident, zal de Beheerorganisatie DSGO als incidentcoördinator optreden.
De Beheerorganisatie DSGO MOET binnen een passende tijd een incidentcoördinator aanwijzen na een melding van een incident
Betrokken partijen
Iedere bij het DSGO betrokken partij heeft de verantwoordelijkheid om bij de Beheerorganisatie DSGO een incident te melden, wanneer zij niet-naleving van het afsprakenstelsel constateert of vermoedt. Verder zijn bij een Prioriteit 1 of 2-incident betrokken partijen verantwoordelijk voor het beschikbaar stellen van een incidentmanager voor de afhandeling van het incident. (zie pagina classificatie incidenten)
Een betrokken partij MOET incidenten direct na ontdekking melden bij de Beheerorganisatie DSGO
Een betrokken partij MOET bij melding van een incident de naam van de verondersteld veroorzakende partij met een onderbouwing van de constatering/vermoeden, datum, tijd, ingeschatte incident classificatie en impact op de datadienst melden
Incidentcoördinator
Voor elk incident wordt een (neutrale) incidentcoördinator aangewezen door de Beheerorganisatie DSGO. De incidentcoördinator is verantwoordelijk voor het coördineren van het incidentbeheer proces. De incidentcoördinator moet altijd een neutrale partij zijn. Wanneer de Beheerorganisatie DSGO niet betrokken is bij een incident, kan deze de rol van incidentcoördinator uitvoeren. Wanneer de Beheerorganisatie betrokken is bij het incident, of niet neutral kan optreden, wordt een externe incidentcoordinator aangewezen.
De incidentcoördinator MOET het incidentbeheer proces na de melding van een incident coördineren.
De incidentcoördinator MOET kunnen optreden als een neutrale partij bij het incident
De incidentcoördinator MOET binnen een redelijke termijn een binnengekomen melding beoordelen en een classificatie inschatting maken
De incidentcoördinator MOET het incident beoordelen en legt het classificatie niveau vast
Incidentmanager
De incidentmanager is (een contactpersoon) van een bij het incident betrokken partij die verantwoordelijk is voor het verhelpen of oplossen van incidenten.
De partij die verantwoordelijk is voor het verhelpen of oplossen van incidenten MOET een incidentmanager beschikbaar stellen
De incident manager ZOU voor alle Prioriteit 1 en Prioriteit 2 incidenten 24u per dag, 7 dagen per week beschikbaar MOETEN stellen
De incidentmanager MOET voor een Prioriteit 1 incident een update delen met de incidentcoördinator binnen 2 uur van elke belangrijke update en elke 4 uur bij geen update
De incidentmanager MOET voor een Prioriteit 2 incident een update delen met de incidentcoördinator binnen 2 uur van elke belangrijke update aan het einde van elke werkdag bij geen update
De incidentmanager MOET voor een Prioriteit 3 incident een volledige update delen met de incidentcoördinator aan het einde van elke werkdag
Incidentbeheer Proces
Onderstaand figuur geeft een globaal beeld van de stappen in het incidentbeheer proces, deze wordt in detail beschreven onder het figuur.
Het incidentbeheer proces is als volgt:
Incident melding: Een bij het DSGO betrokken partij meldt bij de Beheerorganisatie DSGO een incident dat zich heeft voorgedaan en levert daar de volgende informatie bij aan:
De naam van de verondersteld veroorzakende partij
De onderbouwing van de constatering/vermoeden
De datum
De tijd
De ingeschatte incident classificatie
De impact op de datadienst.
Aanwijzing incidentcoördinator: De Beheerorganisatie DSGO wijst een incidentcoördinator aan. Wanneer de Beheerorganisatie DSGO niet betrokken is bij een incident, kan deze de rol van incidentcoördinator uitvoeren. Wanneer de Beheerorganisatie DSGO betrokken is bij het incident, of niet neutral kan optreden, wordt een externe incidentcoordinator aangewezen.
Beoordeling melding en toewijzen classificatie: De incidentcoördinator beoordeelt de melding en de inschatting van classificatie van het incident:
Accepteert de classificatie en gaat door naar stap 4, of
Verandert de classificatie en gaat door naar stap 4, of
Verwerpt de melding en informeert hier de betrokken partijen over
Besluit start handhavingsproces: Op basis van de ingekomen melding kan de Beheerorganisatie DSGO besluiten om een handhavingsproces te starten. (Zie handhaving)
Afhandelen incident: De incidentcoördinator registreert het incident en start een voorgeschreven procedure
De procedure bij een melding geclassificeerd als een Prioriteit 3 melding:
De incidentcoördinator geeft de meldende partij, de veroorzakende partij en/of (een) andere betrokken partij(en) - afhankelijk van wat zij het meest geschikt acht - de verantwoordelijkheid voor het afhandelen van het incident, onder supervisie van de incidentcoördinator (zie stap 6).
De partij(en) die verantwoordelijk is/zijn voor de afhandeling van het incident communiceert/communiceren het incident, de aangewezen incidentmanager en dat het incident wordt opgelost naar betrokken partijen.
De procedure bij een melding geclassificeerd als een Prioriteit 2 melding:
De incidentcoördinator geeft de meldende partij, de veroorzakende partij en/of (een) andere betrokken partij(en) - afhankelijk van wat zij het meest geschikt acht - de verantwoordelijkheid voor het afhandelen van het incident, onder supervisie van de incidentcoördinator (zie stap 6).
Indien er sprake is van een inbreuk op de gegevensbeveiliging die gemeld moet worden volgens de meldplicht datalekken, meldt (melden) de verantwoordelijke(n) voor de afhandeling van het incident de inbreuk op de gegevensbeveiliging bij de Autoriteit Persoonsgegevens en volgt (volgen) de richtlijnen van de Autoriteit Persoonsgegevens voor de rest van het incidentbeheer proces.
De incidentcoördinator, in samenwerking met de Beheerorganisatie DSGO, informeert alle partijen in het DSGO en relevante partijen daarbuiten (bijv. brancheorganisaties, het Nationaal Cyber Security Centrum of zelfs wetshandhaving) over het incident (en dat deze wordt opgelost), wie de incidentmanager is en wie de incidentcoördinator is.
De incidentcoördinator stelt een actieplan op om risico’s en schade te minimaliseren.
De procedure bij een melding geclassificeerd als een Prioriteit 1 melding:
De incidentcoördinator geeft de meldende partij, de veroorzakende partij en/of (een) andere betrokken partij(en) - afhankelijk van wat zij het meest geschikt acht - de verantwoordelijkheid voor het afhandelen van het incident, onder supervisie van de incidentcoördinator (zie stap 6). Anders dan bij Prioriteit 2 of 3 meldingen kan de incidentcoördinator er ook voor kiezen om zelf de verantwoordelijkheid voor de afhandeling van de Prioriteit 1 melding op zich te nemen.
Indien er sprake is van een inbreuk op de gegevensbeveiliging die gemeld moet worden volgens de meldplicht datalekken, meldt (melden) de verantwoordelijke(n) voor de afhandeling van het incident de inbreuk op de gegevensbeveiliging bij de Autoriteit Persoonsgegevens en volgt (volgen) de richtlijnen van de Autoriteit Persoonsgegevens voor de rest van het incidentbeheer proces.
De incidentcoördinator, in samenwerking met de Beheerorganisatie DSGO, informeert alle partijen in het DSGO en relevante partijen daarbuiten (bijv. brancheorganisaties, het Nationaal Cyber Security Centrum of zelfs wetshandhaving) over het incident (en dat deze wordt opgelost), wie de incidentmanager is en wie de incidentcoördinator is.
De incidentcoördinator stelt een actieplan op om risico's en schade te minimaliseren.
Update betrokken partijen: De incidentcoördinator organiseert het contact met de betrokken partijen, monitort de voortgang en assisteert bij behandelen van de melding als dat nodig is. De incidentcoördinator communiceert, in samenwerking met de Beheerorganisatie DSGO, de voortgang met partijen in het DSGO in het geval van een Prioriteit 1 of 2 incident.
Proces afronden: Wanneer het incident verholpen of opgelost is sluit de incidentcoördinator het proces en;
In geval van een Prioriteit 3 incident licht de incidentcoördinator de betrokken partijen in dat het proces is afgerond.
In geval van een Prioriteit 1 of 2 incident licht de incidentcoördinator partijen in het DSGO in dat het proces is afgerond.
Evaluatie: De incidentcoördinator evalueert samen met de Beheerorganisatie DSGO de afhandeling van het incident samen met de betrokken partijen en registreert de evaluatie voor leerdoeleinde. Afhankelijk van het incident, kan de Beheerorganisatie DSGO er voor kiezen om de evaluatie te delen met DSGO deelnemers en/of betrokken partijen.