Advies & scans

Scan, quickscan, test en audit lopen in offertes vaak door elkaar. Het verschil zit in diepgang, in wie het werk doet en in wat je er achteraf mee kunt aantonen.

• Scan: geautomatiseerd en breed, een momentopname. Levert een lijst met bevindingen en een risicoscore.
• Quickscan: interviews plus steekproeven op processen. Levert prioriteiten en een verbeterrichting.
• Penetratietest: handmatig werk gericht op uitbuitbaarheid. Levert bewijs dat een kwetsbaarheid echt bruikbaar is. Zie penetratietest.
• Audit: toetsing aan een norm of wet, met bewijsvoering. Levert een oordeel dat je aan klanten of een toezichthouder laat zien. Zie cybersecurity audits.

Wat je vooraf vastlegt

Leg voor de start zes punten vast: welke systemen en domeinen binnen de scope vallen, in welk tijdvenster er getest wordt, wie het aanspreekpunt is bij storing, of er in productie of in acceptatie wordt gewerkt, hoe bevindingen worden gerapporteerd en of een hertest is inbegrepen. Vraag daarnaast naar de certificering van de uitvoerders, zoals OSCP of CISA, en of de rapportage bruikbaar is richting een klant of toezichthouder.

Wat een rapport waard is

Een bruikbaar rapport benoemt per bevinding de kans, het gevolg, de reproductiestappen en een voorstel voor herstel met een termijn. Een lijst zonder prioritering levert vooral werk op. Weeg de bevindingen daarna tegen je risicoanalyse, zodat je begint bij wat de organisatie daadwerkelijk raakt.

Wil je een scan of adviestraject uitbesteden? Het overzicht van cybersecurity bedrijven in Nederland laat zien welke van de 63 aanbieders dit doen en waar zij zitten.