💻 computer science

SoK: A Taxonomy for Cybersecurity Incident Response Influence Factors

Dit artikel presenteert de "Cybersecurity Incident Response Influencing Factor Taxonomy" (CIR-IF Taxonomy), een uitgebreid framework afgeleid van een systematische review van 456 bronnen dat multidisciplinaire factoren die incident response beïnvloeden organiseert en een superieure grondigheid en dekking demonstreert vergeleken met bestaande wetenschappelijke en NIST-standaarden.

Oorspronkelijke auteurs: Thomas Biege, Marius Brockhoff, Jonas Kaspereit, Fabian Ising, Lea Gröber, Sebastian Schinzel

Gepubliceerd 2026-07-03

📖 5 min leestijd🧠 Diepgaand

CC BY 4.0

Oorspronkelijke auteurs: Thomas Biege, Marius Brockhoff, Jonas Kaspereit, Fabian Ising, Lea Gröber, Sebastian Schinzel

Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

Stel je cybersecurity incident response voor als een spoedeisende hulp in een ziekenhuis waar de inzet hoog is. Wanneer een cyberaanval toeslaat, is dat als een enorme instroom van patiënten die tegelijkertijd binnenkomen. De "artsen" (security analisten) moeten het probleem diagnosticeren, het bloeden stoppen en de patiënt genezen voordat het ziekenhuis instort.

Decennialang hebben onderzoekers en experts boeken en artikelen geschreven over hoe je deze spoedeisende hulp beter kunt runnen. Maar tot nu toe waren deze boeken verspreid over verschillende planken: sommige gingen over de medische apparatuur (technologie), andere over de training van de artsen (menselijke vaardigheden), en weer andere over het budget en de regels van het ziekenhuis (organisatie). Er was geen enkele kaart om aan te tonen hoe al deze stukjes in elkaar passen.

Dit artikel, getiteld "SoK: A Taxonomy for Cybersecurity Incident Response Influence Factors," is de poging van het team om die meesterkaart te bouwen.

De Missie: De Chaos Organiseren

De auteurs (een team van onderzoekers uit Duitsland en de VS) stelden een eenvoudige vraag: "Wat maakt een beveiligingsteam nu echt goed of slecht in het afhandelen van een aanval?"

Ze gokten niet zoma van een antwoord. Ze gingen op een enorme schattenjacht door de academische literatuur en zochten naar 457 verschillende documenten (zoals zoeken door duizenden medische tijdschriften). Na een streng filterproces — waarbij ze controleerden op kwaliteit, relevantie en wetenschappelijke grondslag — brachten ze het terug naar 105 hoogwaardige studies.

Vanuit deze 105 studies bouwden zij de CIR-IF Taxonomie. Zie deze taxonomie als een enorme, georganiseerde archiefkast of een "periodiek systeem" voor cybersecurity respons. In plaats van elementen zoals waterstof of zuurstof, somt het de specifieke "ingrediënten" op die invloed hebben op hoe goed een team reageert op een hack.

De Twee Hoofdschappen: Mensen versus de Omgeving

De auteurs realiseerden zich dat alles wat een beveiligingsteam beïnvloedt, in twee hoofdcategorieën valt:

1. De Menselijke Factoren (De Artsen)
Dit gaat over de mensen die het werk doen. Het artikel stelt vast dat de belangrijkste zaken hier zijn:

Kennis & Vaardigheden: Hebben de analisten genoeg kennis? Hebben ze de juiste "soft skills" (zoals kalm blijven) en "hard skills" (zoals coderen)?
Situationeel Bewustzijn: Kunnen ze zien wat er in realtime gebeurt? Het is alsof een piloot tegelijkertijd de wolken, de brandstofmeter en de andere vliegtuigen moet kunnen zien.
Collaboratie: Communiceren ze met elkaar? Als een team geen informatie deelt, zijn ze als een groep artsen die in dezelfde kamer verschillende diagnoses naar elkaar schreeuwen.
Mentale Toestand: Zijn ze gestrest? Vertrouwen ze hun baas? Het artikel benadrukt dat burn-out een enorme factor is. Als analisten uitgeput zijn of zich niet vertrouwd vochten, maken ze fouten.

2. De Contextfactoren (De Ziekenhuisomgeving)
Dit is de wereld waarin de artsen werken. Zelfs de beste arts zal falen als het ziekenhuis kapot is. Belangrijke factoren hier zijn:

Management & Leiderschap: Geeft de baas hen de middelen en de autoriteit die ze nodig hebben? Of moeten ze voor alles toestemming vragen?
Geld & Budget: Kunnen ze de beste tools betalen? Of proberen ze een brand te bestrijden met een waterpistool omdat het budget is gekort?
Technologie: Zijn de tools gemakkelijk te gebruiken, of zijn ze log en verwarrend?
Regels & Wetten: Wat zijn de juridische vereisten waaraan ze moeten voldoen?
De Aanvaller: Tegen wie vechten ze? Hoe slim en gemotiveerd is de vijand?

De Grote Ontdekking: De Kaart versus de Officiële Handleiding

Het team vergeleek hun nieuwe "Meesterkaart" (de Taxonomie) met de beroemdste handleiding uit de sector, het NIST Cybersecurity Framework (specifiek versie 800-61r3).

Hier kwam een verrassende bevinding uit naar voren: De officiële handleiding mist veel van de menselijke aspecten.

De Handleiding (NIST) richt zich sterk op technologie, processen en regels. Het is als een handleiding die je precies vertelt hoe je de defibrillator gebruikt en hoe je de papierwinkel invult.
De Nieuwe Kaart (Taxonomie) laat zien dat het werkelijke succes van een team vaak afhangt van zaken die de handleiding nauwelijks vermeldt: vertrouwen, leiderschapsstijl, burn-out bij werknemers en hoe goed het team communiceert.

De auteurs stellen dat je de beste tools ter wereld kunt hebben, maar als je team gestrest, niet vertrouwd en overwerkt is, zullen de tools je niet redden.

Hoe dit helpt (volgens het artikel)

Het artikel beweert niet dat het "cyberaanvallen heeft genezen" of een nieuw softwareprogramma heeft gebouwd. In plaats daarvan biedt het een instrument om over na te denken:

Voor Onderzoekers: Het geeft hen een checklist. Als ze willen onderzoeken waarom een team faalde, kunnen ze deze kaart gebruiken om te zien of ze een factor (zoals "stress" of "budget") over het hoofd hebben gezien die anderen al eerder hebben geïdentificeerd.
Voor Praktijkprofessionals: Het helpt hen begrijpen dat het oplossen van een beveiligingsprobleem niet alleen gaat over het kopen van betere software. Soms is de oplossing beter management, meer training of het verbeteren van de cultuur binnen het team.
Het Verbinden van de Punten: De auteurs creëerden een voorbeeld van een "kettingreactie". Ze lieten zien hoe een slechte managementbeslissing (zoals het korten van het budget) kan leiden tot een gebrek aan tools, wat leidt tot ongeschoold personeel, wat leidt tot stress, wat leidt tot burn-out. Dit helpt mensen inzien hoe één klein probleem een grote ramp kan veroorzaken.

De Kernboodschap

Dit artikel is een systematische schoonmaakploeg. Het nam decennia aan verspreid onderzoek, sorteerde het in een logische, gemakkelijk leesbare structuur en wees erop dat de sector te veel gefocust is op de machines en niet genoeg op de mensen en de omgeving waarin zij werken.

Het is geen toverstaf die hackers stopt, maar het is wel een veel betere zaklamp voor iedereen die probeert te begrijpen hoe je een team bouwt dat de storm kan overleven.

Technische Samenvatting: SoK: Een Taxonomie voor Invloedsfactoren bij Cybersecurity Incident Response

Probleemstelling

De literatuur over cybersecurity incident response (CIR) is sinds het begin van de jaren 2000 aanzienlijk uitgebreid, gedreven door de toenemende frequentie en complexiteit van cyberaanvallen. Deze verzameling kennis blijft echter gefragmenteerd over meerdere domeinen, waaronder technologie, mens-computerinteractie, organisatieleer en menselijke factoren. Bestaande industriestandaarden (bijv. NIST SP 800-61) en academische kaders missen vaak een verenigde, bottom-up systematisering van de specifieke factoren die de paraatheid en responscapaciteiten van een organisatie beïnvloeden. Er is een kritiek gat in een uitgebreide, wetenschapsdomein-agnostische taxonomie die decennia aan empirische bevindingen consolideert om toekomstig onderzoek en praktijk te begeleiden.

Methodologie

De auteurs voerden een driefasige systematische literatuurstudie (SLR) uit volgens de PRISMA 2020-richtlijnen, waarbij in totaal 457 publicaties (417 wetenschappelijk, 40 niet-wetenschappelijk) werden geanalyseerd die gepubliceerd zijn tussen 1999 en medio 2024.

Selectieproces:
- Fase I (Zoeken): Een systematische zoekopdracht via Google Scholar, JSTOR en SCOPUS met kernconcepten ("incident response", "influence", "cybersecurity") leverde 457 artikelen op.
- Fase II (Screening): 190 artikelen werden geselecteerd op basis van afstemming met de NIST-definitie van incident response, waarbij studies die zich uitsluitend richten op detectie/herstel, militaire/inlichtingenoperaties of kinetische incidenten werden uitgesloten.
- Fase III (Kwaliteitsbeoordeling): 105 peer-reviewed artikelen (conferenties, tijdschriften, promotieonderzoeken) die voldeden aan strikte kwaliteitscriteria (helder onderzoeksontwerp, focus op organisatorische/menselijke uitdagingen in plaats van enkel technische innovatie) vormden de uiteindelijke dataset.
Taxonomieontwikkeling:
- De auteurs pasten de methode voor taxonomieontwikkeling aan die door Nickerson et al. [11] is voorgesteld, waarbij deze werd uitgebreid om kwalitatieve, niet-discrete factoren te behandelen.
- Stap 1 (Codeboek): Een voorlopige taxonomie werd afgeleid uit 12 top-papers met behulp van een gemengde deductieve-inductieve coderingsmethode. Iteratieve sampling en verfijning gingen door totdat conceptuele verzadiging werd bereikt.
- Stap 2 (Validatie): De voorlopige taxonomie werd toegepast op de resterende 93 papers. De inter-beoordelaarsbetrouwbaarheid (IRR) werd gemeten met de Cohen's kappa. Door drie iteraties van het verfijnen van categorienamen, beschrijvingen en het samenvoegen van overlappende subcategorieën (bijv. het combineren van "People Management", "HR" en "Daily Work" tot "Management"), bereikte het team een definitieve IRR van $\kappa = 0,721$ , wat boven de drempelwaarde van 0,61 ligt.
- Vergelijking: De resulterende taxonomie werd vergeleken met zeven gevestigde academische kaders en het NIST SP 800-61r3 Community Profile om hiaten in de dekking te identificeren.

Belangrijkste Bijdragen

De primaire bijdrage is de Cybersecurity Incident Response Influencing Factor (CIR-IF) Taxonomie, een gestructureerd kader dat 105 invloedsfactoren organiseert in twee hoofddimensies: Menselijke Factoren en Contextfactoren.

Dimensie Menselijke Factoren: Richt zich op de betrokken individuen tijdens de respons.
- Kennis: Harde en zachte vaardigheden van werknemers en cybersecurity situationeel bewustzijn.
- Cognitie, Persoonlijkheidskenmerken en Gedrag (CPTB): Intrinsieke motivatie, zelfvertrouwen, stressbestendigheid, sensemaking, besluitvorming en samenwerking.
Dimensie Contextfactoren: Richt zich op de omgeving waarin de respons plaatsvindt.
- Aanvaller: Motivatie, doelstellingen, capaciteiten en Tactieken, Technieken en Procedures (TTP's).
- Regulering: Wetten, officiële regelgeving, industriële normen en standaarden.
- Economisch: Budget, omzetdruk, bedrijfsimpact en industriële partners/toeleveringsketen.
- Technologie: Middelen, bruikbaarheid, datakwaliteit, IT-infrastructuur en automatisering.
- Processen: Standaardwerkinstructies (SOP's), playbooks en beleid.
- Organisatie: Structuur, grootte, hiërarchie, managementpraktijken, organisatorisch leren en bedrijfscultuur.

Daarnaast biedt het artikel een codeboek met tekstuele voorbeelden voor elke factor, waardoor andere onderzoekers deze taxonomie kunnen toepassen in kwalitatieve inhoudsanalyse (bijv. de Mayring-methode) en een methode biedt voor het afleiden van potentiële relaties tussen factoren.

Resultaten

Publicatietrends: Het aantal relevante publicaties vertoonde een significante stijging vanaf 2014 en bleef stijgen tot en met 2022.
Factorverdeling:
- Top Menselijke Factoren: Kennis/vaardigheden van werknemers (32%), Cybersecurity Situationeel Bewustzijn (23%) en Samenwerking (19%).
- Top Contextfactoren: Management (19%), Tooling/Bruikbaarheid/Data/IT-infrastructuur (16%) en SOP's/Playbooks/Beleid (16%).
Gap-analyse:
- In vergelijking met NIST SP 800-61r3 laat de CIR-IF Taxonomie zien dat de standaard zwaar leunt op contextgerelateerde factoren (technologie, processen), maar menselijke factoren (cognitieve vermogens, stress, motivatie) en specifieke organisatorische dynamiek (managementstijlen, cultuur) ondervertegenwoordigt.
- Bestaande academische kaders dekken slechts deelgebieden van de door de CIR-IF Taxonomie geïdentificeerde categorieën, wat de noodzaak voor een compacter model bevestigt.
Afhankelijkheidsketens: De auteurs hebben theoretische afhankelijkheidsketens geconstrueerd die factoren over studies heen verbinden (bijv. Management $\to$ Budget $\to$ Vaardigheden Analist $\to$ Burn-out $\to$ Stressbestendigheid). Deze ketens komen overeen met het Job Demands–Resources (JD-R) model, maar worden gepresenteerd als hypothesen voor toekomstige verificatie, niet als bewezen causaliteit.

Betekenis en Claims

Het artikel positioneert de CIR-IF Taxonomie als de eerste verenigde, bottom-up systematisering van CIR-invloedsfactoren afgeleid van empirische data. De betekenis ligt in:

Het bieden van een fundament: Het biedt onderzoekers een "laagdrempelig instappunt" en een solide basis voor hypothesegeneratie en theorievorming in een veld dat voorheen een verenigde structuur miste.
Het overbruggen van hiaten: Het benadrukt dat huidige industriestandaarden (NIST) en academische modellen vaak cruciale menselijke en organisatorische dimensies over het hoofd zien, zoals de impact van managementstijlen op de burn-out van analisten of de rol van vertrouwen bij conflictresolutie.
Het mogelijk maken van systematisch onderzoek: Het verstrekte codeboek en de taxonomie stellen onderzoekers in staat om nieuwe bevindingen systematisch te classificeren, wat de identificatie van minder onderzochte gebieden vergemakkelijkt (bijv. de specifieke invloed van industriële partners zoals verzekeraars op besluitvorming).
Bescheiden reikwijdte: De auteurs geven expliciet aan dat de geïdentificeerde relaties tussen factoren theoretische constructen zijn gebaseerd op bestaande literatuur en geen empirisch geverifieerde causaliteit vertegenwoordigen. De taxonomie weerspiegelt de huidige staat van het academisch onderzoek en is ontworpen om uitbreidbaar te zijn naarmate het veld evolueert.