Vest uit Naarden: awareness, design, management en testing

Vest zit aan de Rubberstraat 7E in Naarden en bestaat sinds 2002. Daarmee hoort het bedrijf tot de eerste generatie Nederlandse securityspecialisten, uit de tijd dat informatiebeveiliging bij de meeste organisaties nog een randonderwerp was. De dienstverlening richt zich volledig op cybersecurity; er zit geen algemene IT-dienstverlening naast.

Het bedrijf verdeelt het vak in vier pijlers. Security awareness gaat over gedrag van medewerkers. Security design over de veilige inrichting van netwerken, applicaties en systemen binnen de geldende regels. Security management over het inbedden van beveiliging in de bedrijfsvoering. Security testing over het onderzoeken van kwetsbaarheden.

Van inrichting tot toetsing

Onder security design valt de vraag hoe je een omgeving zo inricht dat beveiliging geen losse laag wordt die er achteraf overheen komt. Onder security management valt het werk rond beleid, verantwoordelijkheden en aantoonbaarheid, wat raakt aan normen als ISO 27001 en aan de NIS2-zorgplicht. Voor organisaties die daar aan het begin staan, vormt een risicoanalyse informatiebeveiliging een logisch startpunt.

Security testing heeft binnen het bedrijf de langste geschiedenis. Een penetratietest verloopt volgens actuele richtlijnen, met herhaling als uitgangspunt: toetsen is een terugkerend proces, geen eenmalige gebeurtenis. Dat past bij omgevingen die regelmatig van samenstelling veranderen. Meer bureaus die pentests uitvoeren staan in het overzicht van pentest bedrijven.

Gedrag als vast onderdeel

De awarenesspijler krijgt evenveel gewicht als de technische pijlers. Menselijk handelen ligt aan de basis van de meeste incidenten, waardoor training en phishing-simulaties geen bijzaak vormen. Daarnaast publiceert Vest een podcast en deelt het onderzoek onder de naam Vest Intelligence Agency.

De vier pijlers werken op elkaar in. Wat een test aan het licht brengt, komt terug in de inrichting. Wat in de inrichting misgaat, komt terug in het beleid. Wat het beleid van medewerkers vraagt, komt terug in de trainingen. Voor organisaties die nu per onderdeel bij losse leveranciers inkopen, scheelt dat overdrachtsmomenten.