Beveiligingsadvies: waar je op selecteert
Beveiligingsadvies is de vertaalslag tussen bevindingen en besluiten. Een scan levert een lijst, een adviseur bepaalt samen met jou wat die lijst betekent voor de organisatie, in welke volgorde je werkt en wat je bewust laat liggen.
Let op de belangen achter het advies
Een adviseur die daarna ook de techniek levert, heeft een belang bij de uitkomst. Dat maakt zo iemand niet ongeschikt, en het is wel iets om vooraf te weten. Vraag naar samenwerkingen met leveranciers en naar de vergoedingen die daarbij horen.
Zoek je puur een oordeel, kies dan een partij die alleen advies levert. Zoek je advies plus uitvoering, leg dan vast dat de onderbouwing losstaat van het productvoorstel.
Drie vormen komen het meeste voor: eenmalig advies met een rapport en een presentatie, een vaste adviseur voor een dagdeel per maand, of een tweede oordeel over een offerte of een lopend traject. Die laatste vorm kost het minst en levert vaak het meeste op wanneer er een grote investering op tafel ligt.
Wanneer advies inhuren loont
Bij een investeringsbesluit
Voordat je tekent voor een meerjarig contract. Een tweede oordeel op een offerte kost een dagdeel en voorkomt keuzes die jaren doorwerken.
Bij nieuwe wetgeving
Om te bepalen of de Cyberbeveiligingswet op je van toepassing is en welke verplichtingen dat oplevert.
Na een incident
Om de oorzaak te vertalen naar structurele maatregelen, in plaats van alleen het symptoom te herstellen.
Bij vragen van klanten
Wanneer opdrachtgevers vragenlijsten sturen of om certificering vragen. Advies bepaalt of dat haalbaar is en wat het vraagt.
Zonder eigen specialist
Een vaste adviseur voor een dagdeel per maand vult de rol in die anders bij niemand ligt, zonder een fulltime aanstelling.
Bij overname of groei
Nieuwe vestigingen, samengevoegde systemen en dubbele beheerteams brengen risico’s mee die pas achteraf zichtbaar worden.
Wat je vraagt voordat je opdracht geeft
Wie het werk uitvoert
De adviseur die de offerte toelicht is niet altijd degene die het werk doet. Vraag naar naam, ervaring en beschikbaarheid.
Welk kader wordt gevolgd
Een openbaar kader maakt navolgbaar wat er is beoordeeld en wat niet. Advies zonder kader laat zich achteraf lastig toetsen.
Wat je krijgt opgeleverd
Rapport, prioriteitenlijst, presentatie voor de directie of een planning. Leg de opleverproducten vast in plaats van het aantal dagen.
Banden met leveranciers
Vraag welke partnerschappen er zijn en of daar vergoedingen bij horen. Dat antwoord zegt iets over de onafhankelijkheid van het advies.
Waaraan je bruikbaar advies herkent
Bruikbaar advies benoemt per aanbeveling het risico dat kleiner wordt, de inzet die nodig is en de volgorde ten opzichte van de rest. Daarnaast staat erin wat je bewust laat liggen, met de onderbouwing erbij. Dat laatste onderdeel ontbreekt vaak en is precies wat een toezichthouder later vraagt.
Een advies dat begint bij een productnaam draait de volgorde om. De vraag is eerst welk risico je verkleint, daarna waarmee.
Hoe een adviestraject verloopt
reikwijdte en doelen bepalen
We brengen uw organisatie, kritische systemen en belangrijkste risico’s in kaart en spreken heldere doelen af.
Risicoanalyse van de huidige situatie
We beoordelen beleid, toegang, configuraties en processen en bepalen waar de grootste gaten en afhankelijkheden zitten.
Advies en prioriteitenplan
U krijgt een overzicht met snelle verbeteringen en een praktische stappenplan met duidelijke prioriteiten en benodigde inspanning.
Opvolging en periodieke bijsturing
We helpen bij uitvoering en evalueren periodiek, zodat maatregelen actueel blijven bij groei, wijzigingen en nieuwe dreigingen.
Waar de prijs door bepaald wordt
Adviseurs rekenen doorgaans per dag. De prijs volgt daarmee uit het aantal dagen, en dat aantal volgt uit de scope. Vraag een offerte uit in dagen met een omschrijving per dag, zodat je aanbieders naast elkaar kunt leggen.
Let op de verhouding tussen onderzoek en rapportage. Een traject waarin de helft van de tijd naar het opmaken van een rapport gaat, levert minder inzicht op dan een traject met een korter document en meer gesprekstijd.
Waarom advies soms in een la belandt
Geen interne eigenaar. Zonder iemand die het advies overneemt en uitvoert, verandert er niets. Wijs die persoon aan voordat het traject start.
Te breed uitgevraagd. Een opdracht die alles omvat levert een rapport dat overal iets over zegt. Kies twee of drie vragen die er echt toe doen.
Advies zonder cijfers. Aanbevelingen zonder inschatting van inzet en kosten leiden niet tot besluiten. Vraag daar expliciet om.
Geen terugkoppeling aan de directie. Bevindingen die alleen bij IT landen, komen zelden in een begroting terecht.