Een ervaren crisis team heeft hier geen beep aan. Een onvervaren crisis team krijgt de verkeerde instructies. De eerste actie bij signalen van een ransomware uitbraak is een complete lockdown internet uit systemen uit personeel op hun plaats niet laten vertrekken of arriveren tot gecleared is. CERT of ander team moet onmiddelijk ingeschakeld worden en enig extern team dient opgeroepen te worden. Teamleads dienen onmiddelelijk na te gaan bij alle betrokkenen buiten het crisisteam om of er bijzonderheden zijn opgevallen zodat dit gebundeld per afdeling richting crisis team, CERT of auditor kan voor meeweging omtrent de analyse en mitigations. Je gaat niet eerst overleg voeren wat er gedaan moet worden elke seconde telt en elke seconde dat de lijnen en systemen up zijn is een mogelijkheid tot exfiltratie van data, infratie via andere vectors en vervuiling van logs. Enige schade door het afsluiten van het netwerk is minder dan het risico tot schade door connecties up te houden. Een crisis protocol bestaat ook ...