NULMETING
Met de nulmeting van Crucialis krijg je inzicht in hoe goed jouw bedrijf is voorbereid op het voorkomen van én herstellen na een cyberincident.
Weet precies hoe je ervoor staat
Geen aannames, maar objectief inzicht. Met onze pragmatische nulmeting toetsen we je organisatie, processen en techniek aan de ISO 27000-best practices. Binnen één werkdag weet je welke maatregelen op orde zijn en waar de prioriteiten liggen.
Waarom al die ophef?
We worden overgoten met nieuwsberichten waarin de gevolgen van datalekken, aanvallen en onderbrekingen met ons worden gedeeld. Al deze voorbeelden laten ook zien hoe kwetsbaar moderne bedrijven geworden zijn. We grappen wel eens dat eigenlijk alle moderne bedrijven stiekem IT-bedrijven zijn geworden zonder dat ze het zelf weten. Op het moment dat het misgaat komen ze er onder hoge druk achter wat dit eigenlijk betekende.
Keer op keer zien we hoe onvoorbereid ze waren op de storm die na een IT incident volgt. Te vaak bleek dat: de basishygiëne niet op orde was; er onvoldoende was nagedacht over de borging van continuïteit, herstelprocedures en voorzieningen niet toereikend waren of stomweg niet bijgewerkt; er sprake bleek van een misplaatst vertrouwen in leveranciers en validatie of contractborging ontbrak.
Elke keer wordt erkend dat er meer nodig was. Toch voert slechts één derde van het MKB een periodieke risicoanalyse uit waarin precies dit getoetst hoort te worden. Zonder dit inzicht is niet te zeggen hoe kwetsbaar een bedrijf is of welke maatregelen nodig waren geweest. De praktijkcijfers liegen er niet om.
Als reactie hierop zien we dat toezichthouders meer en meer in beweging komen. EDP audits worden strenger, wetgeving wordt steeds verder aangescherpt en verzekeraars vereisen steeds meer bewijslast voordat ze uitkeren steeds meer organisaties overwegen te gaan certificeren. Het zijn krachtige signalen dat onze aanpak moet veranderen en we deze risico's niet zonder gevolgen kunnen wegwuiven.
Waarom van belang voor jou?
Als bestuurder of manager stuur je dagelijks op groei, rendement, personeel en klanttevredenheid. Weerbaarheid, IT en security worden daarbij vaak gezien als operationele randvoorwaarden: "Zolang het werkt en de IT-partner zegt dat het goed zit, hoeven we ons geen zorgen te maken."
Maar de wereld is de afgelopen 10 jaar sterk veranderd. Digitale veiligheid is geen technisch vraagstuk meer; het is een primair bedrijfsrisico geworden voor de directietafel. Wanneer systemen haperen of uitvallen, stopt de orderintake, staat de werkvloer stil en verdampt het klantvertrouwen elk uur dat het incident voortsleept. Toezichthouders, accountants en verzekeraars vragen bij een incident geen verantwoording aan de IT-beheerder, maar aan het bestuur: hoe heb jíj je zorgplicht ingevuld?
Maak abstracte risico’s concreet en meetbaar en krijg je grip op je digitale weerbaarheid.
Wat mag je van de nulmeting verwachten?
Normen maken gebruik van wat de 'Harmonized Structure' genoemd wordt. Een sterk vereenvoudigde uitleg hiervan is, dat deze structuur een bewezen aanpak beschrijft waarmee gewaarborgd kan worden dat een bedrijf navolgbaar doet wat bedacht en nodig is. 'Wat nodig is' is per onderwerp beschreven in uiteenlopende normteksten. Welke onderwerpen relevant zijn is afhankelijk van wat jouw bedrijf doet en daarmee wil bereiken. Bekende voorbeelden hiervan zijn: de ISO9001 als 'kwaliteitsborging' is wat nodig is; Of de ISO27001 als 'informatieveiligheid' is wat nodig is.
In onze nulmeting kijken we eerst naar wie je bent en wat je precies wil bereiken. In eerste instantie richten we ons op de rol die informatie speelt bij het bereiken van dit doel en hoe dit is vormgegeven. Dit doen we met ISO27000 als leidraad. Deze norm stelt vier belangrijke hoofdvragen: Hoe heb je jezelf georganiseerd? Welke informatie, personen en locaties spelen daarin belangrijke rol? Welke maatregelen op het gebied van organisatie, mens, locatie en techniek heb je daarbij getroffen en waarom.
In onze nulmeting streven we erna om in een gezamenlijk gesprek al deze onderwerpen in voldoende mate te doorlopen en kort toe te lichten.
Aan het einde van de dag hebben we de best practices uit de norm:
-
- Kort toegelicht welk probleem de maatregel adresseert;
- Vastgesteld of de maatregel relevant is voor het bedrijf;
- Besproken of het bestaan of ontbreken ervan een kans of risico vormt.
Onze aanpak
Een korte introductie
We beginnen met een kort gesprek op afstand. In dit gesprek bespreken we wat de organisatie wil bereiken, onderscheidt in de markt en waarvan betrokkenen echt wakker zouden liggen en waarom. Natuurlijk hebben we een geheimhoudingsverklaring ondertekend. De antwoorden gebruiken we om een goed beeld te vormen van de organisatie, de belangen, afwegingen en volwassenheid. We bespreken welke norm als referentie moet worden gebruikt en waarom juist die norm als relevant wordt gezien. Tot slot bespreken wat er nodig is voor de nulmeting en hoe de uitkomsten de organisatie verder helpt.
Op bezoek
Op basis van de introductie hebben we deze dag voorbereid. We beginnen met een korte rondleiding om een goed beeld te krijgen van wat er op de werkvloer precies gebeurt. Daarna volgt één of meerdere gesprekken waar we stap voor stap de verschillende aandachtsgebieden uit de norm doorlopen.
Hierbij stellen we telkens de vraag centraal of een maatregel relevant is en waarom. Het in gesprek doorlopen van de maatregelen geeft onze gesprekpartners direct een goed beeld van wat deze best-practices precies inhoudt. Met dit inzicht vormen we direct een beeld van wat de adoptie van maatregelen of misschien zelfs de ambitie te certificeren zou inhouden voor het bedrijf.
Hierbij maken we gebruik van onze risicoanalyse tool. Deze registratie helpt ons op een later moment te begrijpen hoe we tot onze conclusies zijn gekomen en bij het opstellen van de uiteindelijke rapportage. Desgewenst houden we deze gegevens vast zodat jij hier altijd naar kunt verwijzen.
Rapporteren
Uiteraard rapporteren we onze bevindingen in een rapport. Het rapport bevat in ieder geval een duidelijke gap-analyse op basis van de gebruikte normtekst. We zetten uiteen welke maatregelen ontbreken en welke risico's het ontbreken ervan kunnen introduceren. Hebben we samen vastgesteld dat een maatregel om redenen onnodig is, dan schrijven we dit ook op met een korte toelichting waarom. Het rapport geeft daarmee een goed beeld hoe de basishygiëne van het bedrijf ervoor staat.
Kosten
We rekenen een vast tarief van €1250,- per werkdag. We streven ernaar om alle maatregelen binnen een werkdag te doorlopen en besteden een aanvullende halve dag aan het opstellen van het rapport.
Neem vrijblijvend contact met ons op!
Wil je meer weten over onze nulmeting of aanvullende dienstverlening. Neem dan geheel vrijblijvend contact met ons op. We staan voor je klaar!
CRUCIALIS
kvk: 95003363
btw: NL005124560B11
tel: 06-14991295
mail: contact@crucialis.nl
Iban: NL87 KNAB 0775 8198 59