Security en privacy als één traject: we brengen je risico's in kaart, vertalen ze naar maatregelen die je team kan uitvoeren en zorgen dat je privacyverplichtingen kloppen. Geen papieren tijger, maar beveiliging die past bij hoe je organisatie werkt en die je eigen mensen na de overdracht zelf beheren.
Een risicoanalyse die eindigt in een maatregelenlijst met eigenaren en data.
Beveiliging en privacy worden in veel organisaties apart georganiseerd, met een securityclub die over techniek gaat en een privacyfunctionaris die over documenten gaat. In de praktijk raken ze dezelfde systemen, dezelfde leveranciers en dezelfde mensen. Wij pakken ze daarom als één traject aan. Het begint bij de vraag wat er in jouw organisatie echt mis kan gaan, niet bij een maatregelenlijst uit een norm. Daaruit volgt wat je aanpakt, in welke volgorde en wie het doet.
Het werk loopt van beleid tot praktijk. Beleid dat niemand kent telt niet, en een technische maatregel zonder afspraak eromheen ook niet. We schrijven dus geen stapel documenten die op een schijf blijft staan, maar leggen alleen vast wat je nodig hebt om te sturen en om aan te tonen dat het ook echt zo werkt. De kaders die hierbij horen zijn ISO 27001, NIS2 en de Cyberbeveiligingswet en de AVG, met per sector NEN 7510 voor de zorg, de BIO voor de overheid en DORA voor finance.
Risicoanalyse: wat kan er misgaan, hoe erg is dat en welke risico's accepteer je bewust.
Maatregelen: technisch, organisatorisch en contractueel, met een eigenaar en een termijn per maatregel.
Privacy: grondslagen, verwerkingsregister, verwerkersovereenkomsten, DPIA en de rechten van betrokkenen.
Bewijs: vastleggen waaruit blijkt dat een maatregel werkt, zodat je het later niet hoeft te reconstrueren.
Deze dienst is voor organisaties die weten dat beveiliging beter moet, maar die vastlopen op de vertaling naar werk. Soms is de aanleiding een wet of een norm, bijvoorbeeld NIS2 of de AVG. Vaker is het een incident bij een branchegenoot, een vragenlijst van een klant in een aanbesteding of een bestuurder die wil weten waar de organisatie staat. We bedienen onderwijs, overheid, zorg, industrie en finance, en of er al een eigen securityfunctie is maakt niet uit.
Ook als je alles zelf wilt blijven doen kun je hier terecht. Het advies komt zonder abonnement en het platform zonder verplichte begeleiding. We zijn onafhankelijk en hebben geen eigen agenda in de leveranciersmarkt, dus een aanbeveling gaat over wat jouw organisatie nodig heeft en niet over wat wij toevallig verkopen. Oprichter Rishi Bhawanidin heeft dertig jaar ervaring in architectuur en security, altijd als rechterhand van bestuurders en managers.
Je vertelt eerst wat er speelt; binnen één werkdag reageren we. Daarna starten we met een risicoanalyse die direct in maatregelen landt. Dat is bewust de eerste stap: zonder beeld van je risico's is elke maatregel een gok, en met dat beeld wordt het gesprek over geld en prioriteit een stuk korter. Hoe lang het daarna duurt hangt af van je omvang, je sector en wat er al ligt.
We spreken de mensen die het werk doen, kijken naar je systemen, je leveranciers en je processen en leggen naast elkaar wat je al hebt en wat de kaders van je vragen. De gratis domeinscan op onze site geeft daarbij binnen een paar minuten een technisch startpunt: certificaat en TLS, headers, DNSSEC, IPv6, CAA en RPKI, plus de beveiliging van je mail (SPF, DKIM, DMARC). Je krijgt meteen een score en desgewenst het rapport per mail.
Elk risico dat je niet accepteert krijgt een maatregel, en elke maatregel krijgt een eigenaar en een datum. We kiezen maatregelen die passen bij hoe jullie werken, want een regel die niemand volhoudt verlaagt je risico niet. Waar één maatregel meerdere eisen tegelijk afdekt maken we dat zichtbaar. Dat scheelt dubbel werk, en daardoor kost een tweede kader later veel minder dan het eerste.
Iets goed geregeld hebben en het kunnen aantonen zijn twee verschillende dingen. Bij elke maatregel leggen we vast waaruit blijkt dat hij werkt, in de vorm die je later aan een auditor of een klant laat zien. Tegelijk dragen we het beheer over. Je eigen mensen weten aan het eind wat er ligt, waarom het er ligt en wat er periodiek moet gebeuren om het actueel te houden.
Je houdt aan dit traject een risicobeeld over dat klopt, een set maatregelen met eigenaren en data en de onderbouwing waarom je die keuzes hebt gemaakt. Dat laatste is het deel dat organisaties het vaakst missen. Een auditor, een toezichthouder of een klant vraagt zelden of je iets geregeld hebt. Ze vragen waarom je het zo geregeld hebt en waaruit blijkt dat het ook echt werkt.
Overdragen zit standaard in het werk. We werken in jouw omgeving en in jouw documenten, we benoemen per maatregel een eigenaar bij jou en we leggen vast wat er periodiek moet gebeuren. Aan het eind zit een overdracht met de mensen die het overnemen, inclusief de afwegingen achter de keuzes. Uiteindelijk moet het zonder ons verder lopen.
Een organisatie met een paar honderd medewerkers krijgt van een grote klant een vragenlijst over informatiebeveiliging. Er is beleid, geschreven door een adviseur die allang weg is, en er is een ICT-team dat de techniek redelijk op orde heeft. Wat ontbreekt is de verbinding ertussen. Niemand kan uitleggen welk risico met welke maatregel wordt afgedekt, en de vragenlijst vraagt precies daarnaar.
We beginnen met een risicoanalyse met de mensen uit het primaire proces erbij, niet alleen met ICT. Daar komen een stuk of tien risico's uit die er echt toe doen, waarvan de helft al gedekt blijkt zonder dat iemand dat ooit had opgeschreven. Voor de rest komen maatregelen met een eigenaar. Het bestaande beleid gaat terug naar wat mensen nodig hebben, en bij elke maatregel komt te staan waaruit blijkt dat hij werkt. De vragenlijst is daarna vooral overschrijfwerk.
Bij meerdere vestigingen of een groep van organisaties wordt de risicoanalyse de eerste stap van een reeks. Dan volgt per vestiging of per onderdeel een eigen analyse en een eigen maatregelenlijst, met één gedeeld beleid erboven, en daarna de uitvoering van de maatregelen in groepen die elk een eigen vaste prijs hebben. Zo groeit het van een analyse naar een programma zonder dat het ooit één groot contract wordt.
Vertel kort wat er speelt, dan reageren we binnen één werkdag.