In meerdere sectoren blijkt uit incidentanalyses dat bij ransomware-aanvallen vaak verkeerde personen de beslissingen nemen over containment. Een SOC-analist die ’s nachts een ransomware-payload detecteert, volgt het playbook en isoleert de getroffen servers. Dit leidt echter regelmatig tot grote operationele schade, zoals het langdurig offline halen van cruciale systemen, met forse financiële consequenties.

De vraag die besturen na zo’n incident stellen is niet hoe de aanval binnenkwam, maar wie bevoegd was om op dat moment zo’n ingrijpende beslissing te nemen. In veel incident response-plannen ontbreekt een duidelijke toewijzing van deze verantwoordelijkheid. Meestal ligt de beslissing impliciet bij de dienstdoende SOC-analist, die vaak geen volledig zicht heeft op de impact op de bedrijfsprocessen en de downstream gevolgen van isolatie.

De klassieke aanpak van incident response is gebaseerd op het principe ‘bij twijfel isoleren’. Dit werkte vroeger goed binnen IT-omgevingen, omdat snelle isolatie de schade beperkt. Maar zodra het isoleren zelf leidt tot grote bedrijfsverliezen, zoals het offline halen van een betalingsgateway of productielijn, verandert isolatie van mitigatie in escalatie. Dit fenomeen wordt de containment paradox genoemd.

Uit het Verizon’s 2026 Data Breach Investigations Report blijkt dat ransomware in bijna de helft van alle datalekken voorkomt, terwijl het merendeel van de slachtoffers niet betaalt. Dit benadrukt dat de beslissingen na detectie van ransomware steeds zwaardere commerciële gevolgen hebben. De casus van Colonial Pipeline in 2021 illustreert dit: hoewel de ransomware alleen het IT-betalingssysteem trof, werd de gehele pijpleiding stilgelegd uit voorzorg, met een langdurige uitval en grote maatschappelijke impact tot gevolg.

Ook juridische procedures, zoals die van JBS tegen een leverancier, laten zien dat de duur van herstel en de daarmee gepaard gaande schade steeds vaker onderwerp van aansprakelijkheidsdiscussies zijn. Dit onderstreept het belang van duidelijke governance en besluitvormingsstructuren bij containment, waarbij niet alleen technische respons, maar ook operationele en financiële verantwoordelijkheden expliciet worden vastgelegd.