Wat is geïsoleerd herstel, of herstel in een clean room?
Het betekent dat u systemen eerst terugzet in een aparte, geïsoleerde omgeving, afgesloten van het productienetwerk en het internet, waar ze kunnen worden gecontroleerd voordat u ze weer vertrouwt. Na een ransomwareaanval weet u in het begin zelden of de back-ups tools of accounts van de aanvaller bevatten, of dat de aanvaller nog toegang tot het netwerk heeft. In een clean room bouwt u een kleine set bekend schone infrastructuur vanaf nul op, vaak met nieuwe identiteitsdiensten; herstelde systemen worden gescand, hun accounts en geplande taken nagekeken en hun gedrag bekeken, en pas daarna gaan ze naar productie. Grotere bedrijven bereiden zo'n omgeving vooraf voor, soms met hulp van hun back-upleverancier; kleinere kunnen een reserveserver of een cloudaccount daarvoor achter de hand houden. Het gaat niet om perfectie, maar om het vermijden van de meest voorkomende herstelfout: direct terugzetten in een gecompromitteerd netwerk en een tweede keer versleuteld worden.