EENMALIGE DIENST

Cybersecurity risicobeoordeling: een onderbouwd risicobeeld

De cybersecurity risicobeoordeling geeft uw organisatie in korte tijd inzicht in de staat van de huidige digitale weerbaarheid. De beoordeling combineert een analyse van de organisatiecontext met een toetsing van de belangrijkste basismaatregelen voor informatiebeveiliging. De beoordeling is gebaseerd op de CIS Critical Security Controls met 6 belangrijke cybersecurity principes en 24 praktische meetpunten. Deze bevat ook (read-only) steekproeven van de technische toepassing van maatregelen. U krijgt zicht op belangrijke cyberrisico’s, bestaande maatregelen en verbeterprioriteiten. De beoordeling is een los project, zonder verplicht vervolg.

Eenmalig
Onafhankelijk
Zonder verplicht vervolg

Neem contact op over de risicobeoordeling

Voorbeeld van het rapport: omslag en managementsamenvatting van een fictieve organisatie — Voorbeeldrapport, fictieve organisatie en waarden.

Voor wie

Voor organisaties die een onderbouwd vertrekpunt missen

De cybersecurity-risicobeoordeling is bedoeld voor organisaties die geen volledig of actueel beeld hebben van hun cyberrisico’s en maatregelen, of die hun bestaande beeld willen laten toetsen door Atura, onafhankelijk van uitvoerende leveranciers en zonder product- of toolingbelang.

Deze 0-meting helpt directie, bestuur en IT- of securityverantwoordelijken om verbeteringen te prioriteren en vragen van klanten, ketenpartners, verzekeraars of auditors onderbouwd te beantwoorden. Het resultaat is een managementvriendelijk beeld van de
belangrijkste sterke punten, verbeterpunten en prioriteiten voor nog te nemen maatregelen.

Lees ook voor wie Atura werkt en welke aanleidingen passen.

HERKENBARE VRAGEN

Vragen die de beoordeling beantwoordt

De beoordeling kijkt naar voorgenomen maatregelen en naar het beschikbare bewijs binnen de afgesproken scope. Zo wordt duidelijk waar bestuurlijke aandacht nodig is.

Wat is ons huidige risicobeeld?
Een samenhangend beeld van relevante risico’s, afhankelijkheden en bestaande maatregelen.
Welke risico’s vragen eerst aandacht?
Prioriteiten gekoppeld aan bedrijfscontinuïteit, informatiebelang, afhankelijkheden en mogelijke impact.
Zijn basismaatregelen aantoonbaar ingericht?
Toetsing van beleid, verantwoordelijkheden en processen, aangevuld met gerichte read-only steekproeven waar dat is afgesproken.
Waar moeten we verbeteren of investeren?
Concrete verbeterprioriteiten, met onderscheid tussen wat eerst nodig is en wat later kan volgen.
Sluiten beleid en praktijk op elkaar aan?
Zicht op verschillen tussen beschreven maatregelen en het bewijs dat steekproefsgewijs is aangetroffen.
Kunnen we het risicobeeld extern toelichten?
Een rapport met scope, peildatum, beperkingen en conclusies als basis voor gerichte gesprekken met externe belanghebbenden.

DE BEOORDELING

Van context naar bestuurlijke prioriteiten

De beoordeling verbindt organisatiecontext, interviews en documentonderzoek met begrensde bewijscontrole. Wat we precies beoordelen en verifiëren, leggen we vooraf vast.

Scope en context
We leggen de aanleiding, afbakening, peildatum, relevante bedrijfsprocessen, informatiebelangen en afhankelijkheden vast.
Interviews en documenten
We spreken de afgesproken verantwoordelijken en onderzoeken relevante beleids-, proces- en bewijsdocumenten.
Beoordelingskader
We beoordelen de afgesproken management- en beveiligingsthema’s in samenhang met het risicoprofiel van de organisatie.
Opzet en bestaan
We vergelijken beleid, rollen en processen met beschikbaar bewijs en kijken, na passende afspraken, read-only en steekproefsgewijs mee in geselecteerde configuraties.
Rapportage en terugkoppeling
We leggen het risicobeeld, de aangetroffen onderbouwing, beperkingen en concrete verbeterprioriteiten vast en bespreken die met alle betrokkenen.

BEOORDELINGSTHEMA’S

Managementgerichte beoordeling van basismaatregelen

Afhankelijk van de afgesproken scope kijken we naar samenhangende thema’s die van belang zijn voor digitale weerbaarheid.

Risico’s en bedrijfsmiddelen
Kritieke processen, gevoelige informatie, belangrijke systemen en relevante afhankelijkheden.
Configuratie en basisbescherming
Onder meer authenticatie, versleuteling, e-mailbeveiliging en beperking van onnodige blootstelling.
Onderhoud en kwetsbaarheden
De inrichting van patchmanagement, kwetsbaarheidssignalering en de omgang met verouderde software.
Identiteiten en toegang
Identiteiten, sterke authenticatie, beheerrechten en toegang tot systemen en netwerken.
Bewustwording en schadelijke software
Bewustwording, installatiemogelijkheden, bescherming tegen malware en omgang met risicovolle content.
Herstel en continuïteit
Back-up, herstel, isolatiemogelijkheden, continuïteitsvoorbereiding en aansluiting op incidentrespons.

Dit is geen volledige beoordeling van CIS Controls of een ander normenkader.

EEN HELDERE 0-METING

Een praktische en helder onderbouwde beoordeling

Atura beoordeelt met interviews, documenten en waar van toepassing gerichte configuratie steekproeven. We wijzigen geen systemen, wel kijken wij vanuit de ogen van een aanvaller naar uw situatie. Waar liggen 'laag hangend fruit' gaten, hoe kan op praktische wijze de digitale weerbaarheid inrichting strakker? De beoordeling is geen volledige audit, assurance-opdracht of certificering-traject en biedt geen garantie dat ieder risico aan het licht komt.

Geen audit
Geen assurance
Geen certificering
Geen penetratietest

inzicht

digitale weerbaarheid begint bij inzicht

Met het inzicht dat is verkregen met de risicobeoordeling kan je als organisatie onderbouwde prioriteiten stellen en keuzes maken. Risicobeheer, prioriteiten en eigenaarschap beslissingen horen daar bij. Atura maakt die keuzes expliciet en toetsbaar, maar neemt ze niet over.

Regie en toetsing

Binnen de beoordeling

Afbakening van organisatiecontext, informatiebelangen, afhankelijkheden en risicoprofiel
Interviews met afgesproken directie-, IT-, security- en technische verantwoordelijken
Onderzoek van relevante documenten en beschikbaar bewijs binnen de afgesproken scope
Gerichte read-only bewijscontrole en steekproefsgewijs meekijken in geselecteerde configuraties, na passende autorisatie
Een rapport met scope, peildatum, beperkingen, conclusies en verbeterprioriteiten

Technische uitvoering

Niet binnen de beoordeling

Geen penetratietest of exploitatie van kwetsbaarheden
Geen brede technische scan buiten de afgesproken read-only steekproeven
Geen technische verbeteringen of systeemwijziging
Geen systeem-, infrastructuur- of toolingbeheer
Geen continue monitoring, SOC- of MDR-dienstverlening

VEELGESTELDE VRAGEN

Wat de risicobeoordeling wel en niet is

Is dit een audit, assurance-opdracht of certificering?

Nee. De beoordeling is geen volledige audit. Het rapport beschrijft scope, peildatum en beperkingen en bevat geen formeel oordeel, assurance of certificeringsverklaring.

Is dit een penetratietest?

Nee. Atura voert geen penetratietest uit. Waar dat is afgesproken, controleren we geselecteerd bewijs en kijken we (na passende autorisatie read-only en steekproefsgewijs) mee in configuraties.

Is dit een volledige CIS Controls-beoordeling?

Nee. De beoordeling gebruikt een managementgerichte selectie van relevante beveiligingsthema’s. De precieze scope leggen we vooraf vast; de uitkomst mag niet als een volledige CIS Controls-beoordeling worden gepresenteerd.

Wat hebben jullie van onze organisatie nodig?

In ieder geval een directie- of eindverantwoordelijke, een IT- of securityverantwoordelijke (intern of extern) en waar nodig een technisch aanspreekpunt. Daarnaast spreken we af welke documenten en read-only inzage nodig en toegestaan zijn.

Hoe lang duurt de beoordeling?

De doorlooptijd hangt af van de afgesproken scope en de beschikbaarheid van betrokkenen, documenten en eventuele read-only inzage. We leggen de planning vooraf vast.

Wat staat in het rapport?

Het rapport vermeldt de afgesproken scope, peildatum, gebruikte informatie, beperkingen, conclusies en verbeterprioriteiten. De rapportage is geen audit-, assurance- of certificeringsverklaring maar toont de
belangrijkste sterke punten, verbeterpunten en prioriteiten voor nog te nemen maatregelen

Verplicht de beoordeling ons tot een vervolg of abonnement?

Nee. De risicobeoordeling is een zelfstandige, eenmalige dienst. U kunt de uitkomst zelf gebruiken voor besluitvorming en verbeterplanning. Als u daarnaast doorlopend Security Management nodig heeft, is Security Management as-a-Service een afzonderlijke, optionele keuze.

Daarna

Ook doorlopend Security Management nodig?

Deze dienst

Vertrekpunt