Home › Vertrouwen › Incident-meldproces
VertrouwenscentrumIncident-meldproces
Het incident-meldproces van Mansotti met harde termijnen: datalek-melding binnen 24 uur, informatie voor de 72-uurs AP-melding, afsluitrapport binnen 10 werkdagen.
De belofte op /veiligheid/: "Het meldproces staat in de overeenkomst, inclusief termijnen."
1. Wat een incident is
- Beveiligingsincident: elke gebeurtenis die de vertrouwelijkheid, integriteit of beschikbaarheid van klantdata raakt of redelijkerwijs kan raken (ongeautoriseerde toegang, verlies of diefstal van hardware, malware, een bron gelezen buiten de werkafspraken, output verstuurd zonder mens).
- Datalek: een beveiligingsincident waarbij persoonsgegevens betrokken (kunnen) zijn.
- Verstoring: het ritme draait niet of levert structureel foute output; geen beveiligingskwestie, wel actief melden.
2. Termijnen (hard)
| Stap | Termijn |
|---|---|
| Intern vastleggen na ontdekking | Direct, in het incidentregister |
| Melding aan de klant bij (vermoedelijk) datalek | Zonder onredelijke vertraging, uiterlijk binnen 24 uur na ontdekking |
| Aanleveren informatie voor AP-melding klant | Doorlopend, zodat de klant zijn 72-uurstermijn haalt |
| Melding aan de klant bij overige beveiligingsincidenten | Binnen 48 uur |
| Melding bij verstoring van het ritme | Bij het eerstvolgende dagrapport, of direct bij impact op de klant |
| Afsluitrapport (oorzaak, impact, maatregelen) | Binnen 10 werkdagen na afronding |
3. De vier stappen
- Stoppen en veiligstellen — betrokken ritme pauzeren, toegang beperken, logs veiligstellen. Niets weggooien.
- Beoordelen — wat is geraakt, welke klant(en), zijn er persoonsgegevens bij betrokken? Bij twijfel behandelen als datalek.
- Melden — volgens de termijnen hierboven. De melding aan de AP en aan betrokkenen doet de klant (verwerkingsverantwoordelijke); Mansotti levert alle benodigde informatie: aard, omvang, betrokken gegevens, genomen maatregelen, contactpunt.
- Herstellen en leren — oorzaak wegnemen, maatregel vastleggen in het bewijsdossier, incidentregister bijwerken, klant afsluitend informeren.
4. Incidentregister
het interne incidentregister (Mansotti-breed) + per klant een regel in het eigen dossier: datum, omschrijving, classificatie, geraakte klant(en), meldingen (wanneer, aan wie), maatregelen, status. Ook bijna-incidenten registreren — die zijn gratis lessen.
5. Continuïteit
De inrichting is herstelbaar: klantbrein en werkwijze staan als bron los van de hardware en worden gebackupt. Valt een Mac mini uit, dan wordt de omgeving op vervangende hardware opnieuw opgezet vanuit de bron; de klant hoort vooraf een hersteltijd-indicatie in de werkafspraken. Verlies van de hardware zelf is altijd óók een beveiligingsincident (versleutelde schijf → beperkte impact, wel melden).
Vragen over dit document?
Mail ons of stel ze in de demo. Ondertekende exemplaren en klantspecifieke versies gaan per mail.