Cybersecurity advies en scans

Scan, quickscan, penetratietest en audit lopen in offertes vaak door elkaar. Het verschil zit in hoe diep het onderzoek gaat, wie het werk doet en wat je er achteraf mee kunt aantonen. Ga direct naar alle onderwerpen.

Vier vormen van onderzoek

• Scan. Software controleert automatisch een groot aantal systemen. Je krijgt een lijst met zwakke plekken en een risicoscore. Het is een momentopname. Zie cybersecurity scan.
• Quickscan. Een adviseur voert gesprekken en neemt steekproeven van je werkwijze. Je krijgt prioriteiten en een richting voor verbetering. Zie quickscan informatiebeveiliging.
• Penetratietest. Ethische hackers proberen handmatig binnen te komen. Je krijgt bewijs dat een zwakke plek echt te misbruiken is. Zie penetratietest.
• Audit. Een auditor toetst je organisatie aan een norm of wet en verzamelt bewijs. Je krijgt een oordeel dat je aan klanten of een toezichthouder laat zien. Zie cybersecurity audits.

Wat je vooraf vastlegt

Leg voor de start zes punten vast:

• welke systemen en domeinen worden onderzocht (de scope);
• op welke dagen en tijden er getest wordt;
• wie het aanspreekpunt is bij een storing;
• of er op de echte systemen wordt getest of in een testomgeving;
• in welke vorm je de bevindingen ontvangt;
• of een hertest na herstel is inbegrepen.

Vraag daarnaast naar de certificering van de uitvoerders, zoals OSCP voor testers en CISA voor auditors, en of je het rapport kunt delen met een klant of toezichthouder.

Wat een rapport waard is

Een bruikbaar rapport noemt per bevinding vier dingen: hoe groot de kans is, wat het gevolg is, hoe de tester het heeft aangetoond en een voorstel voor herstel met een termijn. Een lijst zonder prioriteiten levert vooral werk op. Leg de bevindingen daarna naast je risicoanalyse, zodat je begint bij wat je organisatie daadwerkelijk raakt.

Wil je een scan of adviestraject uitbesteden? Het overzicht van cybersecurity bedrijven in Nederland laat zien welke van de ruim 120 aanbieders dit doen en waar zij zitten.