Als ik snel een eerste beeld wil krijgen van de digitale beheersing van een organisatie, loop ik vaak een beperkt aantal onderwerpen langs.
Niet om daarmee een volledige audit te vervangen.
Wel omdat een paar goede vragen snel zichtbaar maken waar de echte onzekerheid zit.
Voor bestuur of directie gaat het vaak om risico, verantwoordelijkheid en continuïteit. Een IT-manager kijkt vanzelf meer naar technische werking en beheer.
Deze checklist brengt die twee perspectieven bij elkaar.
Mijn advies bij ieder “ja” of “groen” antwoord is eenvoudig:
vraag ook waar dat uit blijkt.
Daar begint aantoonbare beheersing.
De 12 vragen in één overzicht
| Nr. | Vraag | Waarom dit ertoe doet |
|---|---|---|
| 1 | Weten we welke digitale risico's onze kerndoelen het hardst kunnen raken? | Zonder risicobeeld wordt prioriteren moeilijk. |
| 2 | Is duidelijk wie eigenaar is van die risico's? | Beveiliging zonder eigenaarschap blijft vaak liggen. |
| 3 | Hebben alleen de juiste mensen toegang tot kritieke systemen? | Misbruik van accounts blijft een belangrijk aanvalspad. |
| 4 | Houden we systemen en configuraties aantoonbaar veilig? | Beheer bepaalt of beveiliging structureel werkt. |
| 5 | Vinden en verhelpen we kwetsbaarheden tijdig? | Openstaande kwetsbaarheden stapelen risico op. |
| 6 | Zien we verdachte gebeurtenissen op tijd? | Zonder detectie kan een incident lang onopgemerkt blijven. |
| 7 | Kunnen we kritieke systemen aantoonbaar herstellen? | Back-up is pas waardevol wanneer herstel werkt. |
| 8 | Weten we wat we doen tijdens een cyberincident? | Onder tijdsdruk worden onduidelijke rollen snel zichtbaar. |
| 9 | Hebben we grip op kritieke IT-leveranciers? | Uitbesteden verplaatst werk, niet het bedrijfsrisico. |
| 10 | Sluiten dagelijkse werkwijzen aan op beleid? | Beveiliging werkt pas als afspraken in de praktijk landen. |
| 11 | Hebben we bewijs dat controles echt worden uitgevoerd? | Aannames geven minder zekerheid dan aantoonbare werking. |
| 12 | Krijgt management informatie waarop het kan sturen? | Risico's moeten leiden tot keuzes, eigenaarschap en opvolging. |
1. Weten we welke digitale risico's onze kerndoelen het hardst kunnen raken?
Dit is voor mij altijd een goede startvraag.
Niet:
“Welke cyberdreigingen bestaan er?”
Wel:
“Wat kunnen we digitaal kwijtraken of verstoren waardoor onze organisatie echt in de problemen komt?”
Denk aan:
- dienstverlening aan cliënten of klanten;
- productie;
- financiële processen;
- planning;
- toegang tot dossiers;
- communicatie;
- logistiek;
- essentiële leveranciers.
Wat wil ik zien?
Bijvoorbeeld:
- overzicht van kritieke processen;
- relevante systemen;
- leveranciersafhankelijkheden;
- risicoanalyse;
- geprioriteerde risico's;
- vastgelegde risico-eigenaren.
Vervolgvraag voor bestuur/directie
Welke drie digitale risico's hebben nu de hoogste prioriteit en waarom?
Als daar geen helder antwoord op komt, zou ik eerst het risicobeeld aanscherpen.
2. Is duidelijk wie eigenaar is van die risico's?
Ik kom nog geregeld formuleringen tegen als:
“Dat ligt bij IT.”
Dat is vaak te eenvoudig.
IT kan een maatregel uitvoeren. Het bedrijfsrisico ligt breder.
Vraag daarom:
- wie eigenaar is van het risico;
- wie de maatregel uitvoert;
- wie over budget beslist;
- wie restrisico accepteert;
- wie escalatie ontvangt.
Wat wil ik zien?
- rollen;
- verantwoordelijkheden;
- besluitvorming;
- risico-eigenaarschap;
- escalatieafspraken.
Voor een bestuurder is dit vooral een governancevraag.
Voor de IT-manager geeft het duidelijkheid over wie uiteindelijk keuzes maakt wanneer techniek, geld en risico botsen.
3. Hebben alleen de juiste mensen toegang?
Toegang lijkt een basismaatregel. Juist daarom gaat men er snel vanuit dat dit wel geregeld zal zijn.
Ik zou minimaal controleren:
- multi-factor authenticatie;
- beheeraccounts;
- verhoogde rechten;
- accounts van voormalige medewerkers;
- leveranciersaccounts;
- serviceaccounts;
- periodieke toegangsreviews.
Een simpele praktijktest
Vraag een actueel overzicht op van:
- beheerders;
- externe accounts;
- accounts zonder recente activiteit.
Kijk daarna of iemand kan uitleggen waarom ieder account nog nodig is.
Dat levert vaak meer op dan alleen een procedure lezen.
4. Houden we systemen en configuraties aantoonbaar veilig?
Een omgeving kan technisch prima zijn ingericht en langzaam achteruitgaan als beheer verslapt.
Kijk daarom naar:
- actuele assets;
- veilige configuraties;
- endpointbeheer;
- netwerksegmentatie;
- encryptie;
- externe toegang;
- cloudinstellingen;
- beheerinterfaces.
Vraag voor de IT-manager
Welke configuraties worden centraal bewaakt en waar kunnen systemen ongemerkt afwijken?
Dat maakt zichtbaar of security onderdeel is van structureel beheer.
5. Vinden en verhelpen we kwetsbaarheden tijdig?
Iedere organisatie heeft kwetsbaarheden.
De interessante vraag is hoe snel en gericht ze worden opgevolgd.
Controleer:
- welke systemen worden gescand;
- welke termijnen gelden;
- wie prioriteit bepaalt;
- welke uitzonderingen bestaan;
- welke punten al lang openstaan;
- hoe leveranciers worden aangesproken.
Vraag die ik graag stel
Welke kritieke kwetsbaarheden staan nu nog open, en waarom?
Een goed antwoord bevat meestal:
- impact;
- eigenaar;
- tijdelijke beheersing;
- oplosdatum.
6. Zien we verdachte gebeurtenissen op tijd?
Security monitoring kan technisch complex zijn.
Voor bestuur hoeft de vraag niet technisch te worden.
Ik zou willen weten:
- welke kritieke systemen worden gemonitord;
- wie meldingen beoordeelt;
- wat buiten kantooruren gebeurt;
- hoe incidenten worden geëscaleerd;
- of logs beschikbaar zijn voor onderzoek.
Vraag voor bestuur/directie
Hoe lang zou een aanvaller bij ons theoretisch actief kunnen zijn voordat iemand het merkt?
Niet altijd eenvoudig te beantwoorden, maar wel een nuttige denkrichting.
7. Kunnen we kritieke systemen aantoonbaar herstellen?
Dit is een onderwerp waarbij ik graag naar bewijs kijk.
Niet alleen:
“We maken iedere nacht een back-up.”
Wel:
- wanneer is voor het laatst hersteld;
- wat is hersteld;
- hoe lang duurde dat;
- welke afhankelijkheden kwamen naar voren;
- past die hersteltijd bij de bedrijfsvoering?
Praktische vraag
Laat de laatste restore-test zien.
Als die er niet is, weet je meteen waar onzekerheid zit.
8. Weten we wat we doen tijdens een cyberincident?
Een incident response plan kan prima zijn opgesteld.
Ik wil vervolgens weten of mensen ermee kunnen werken.
Controleer:
- wie incidentleider is;
- wie bestuur/directie informeert;
- wie leveranciers aanstuurt;
- wie communicatie doet;
- wie juridische/privacyaspecten beoordeelt;
- welke externe specialisten bereikbaar zijn;
- of scenario's zijn geoefend.
Vraag voor bestuur/directie
Wat verwacht de organisatie concreet van ons in de eerste twee uur van een ernstig incident?
Die vraag maakt rollen snel helder.
9. Hebben we grip op kritieke IT-leveranciers?
Veel organisaties zijn digitaal afhankelijk van partijen waar ze operationeel nauwelijks invloed op hebben.
Controleer daarom:
- kritieke leveranciers;
- toegang;
- beveiligingsafspraken;
- incidentmeldingen;
- herstelafspraken;
- assurance;
- onderaannemers;
- exitmogelijkheden.
Vraag die ik zou stellen
Welke leverancier kan onze dienstverlening het hardst stilleggen en welk bewijs hebben we dat die partij voldoende beheerst?
Dat is vaak een bestuurlijk relevantere vraag dan een generieke leveranciersscore.
10. Sluiten dagelijkse werkwijzen aan op beleid?
Een beleid kan keurig zijn.
De praktijk kan anders lopen.
Kijk bijvoorbeeld naar:
- onboarding;
- offboarding;
- wijzigingen;
- omgang met gevoelige informatie;
- awareness;
- meldgedrag;
- functiescheiding;
- uitzonderingen.
Praktische test
Neem één recente medewerker die uit dienst is gegaan.
Controleer:
- account;
- apparatuur;
- toegang tot externe systemen;
- groepsrechten;
- fysieke middelen.
Dan zie je direct of het proces ook werkelijk werkt.
11. Hebben we bewijs dat controles echt worden uitgevoerd?
Dit is voor mij een van de belangrijkste vragen uit de lijst.
Bij iedere belangrijke maatregel kijk ik graag naar:
Opzet
Is de maatregel passend bedacht?
Bestaan
Is hij daadwerkelijk ingevoerd?
Werking
Functioneert hij in de praktijk?
Voorbeelden van bewijs:
- accountreviews;
- restore-tests;
- incidentregistraties;
- patchrapportages;
- vulnerability scans;
- leveranciersreviews;
- directiebeoordelingen;
- managementrapportages.
Een groene status zonder onderliggend bewijs zou ik altijd verder onderzoeken.
12. Krijgt management informatie waarop het kan sturen?
Een technisch rapport kan uitstekend zijn en toch weinig bestuurlijke waarde hebben.
Voor bestuur/directie wil ik minimaal kunnen zien:
- belangrijkste risico's;
- ernstige openstaande bevindingen;
- eigenaarschap;
- deadlines;
- restrisico;
- achterstanden;
- leveranciersafhankelijkheden;
- incidenten;
- herstelvermogen.
De kern is:
welke beslissing vraagt aandacht?
Als een dashboard alleen cijfers laat zien en geen besluit ondersteunt, mist er nog een vertaalslag.
Hoe zou ik deze checklist zelf gebruiken?
Niet als toets met honderd procent score.
Ik zou per vraag drie mogelijke uitkomsten gebruiken:
Groen
We weten hoe dit is ingericht en kunnen de werking aantonen.
Oranje
Er is iets geregeld, maar bewijs, eigenaarschap of uitvoering is nog onvoldoende duidelijk.
Rood
De beheersing ontbreekt of geeft te weinig zekerheid voor het risico.
Voeg bij ieder oranje of rood punt toe:
- risico;
- mogelijke impact;
- eigenaar;
- maatregel;
- prioriteit;
- termijn.
Dan wordt de checklist meteen bruikbaar voor opvolging.
Wanneer heb je meer nodig dan deze zelfcheck?
Een checklist is nuttig om vragen boven tafel te krijgen.
Er zijn situaties waarin ik verder zou gaan.
Bijvoorbeeld wanneer:
- bestuur onafhankelijk inzicht wil;
- toezicht om aantoonbare zekerheid vraagt;
- opdrachtgevers bewijs verlangen;
- twijfel bestaat over een IT-leverancier;
- een grote wijziging plaatsvindt;
- incidenten aanleiding geven tot verdieping;
- meerdere partijen naar elkaar wijzen;
- beleid op orde lijkt, maar werking onzeker blijft.
Dan kan een gerichte audit, assessment of risicoanalyse meer zekerheid geven.
Voor bestuur, directie en IT zijn de vragen verschillend
Ik gebruik bewust dezelfde checklist voor verschillende functies, maar de nadruk verschilt.
Bestuur/directie
Daar kijk ik vooral naar:
- risico;
- continuïteit;
- eigenaarschap;
- leveranciers;
- bewijs;
- restrisico;
- besluitvorming.
IT-manager
Daar ligt de nadruk vaker op:
- technische scope;
- beheer;
- patching;
- logging;
- accounts;
- restore;
- monitoring;
- opvolging.
Een goede audit verbindt die perspectieven.
Mijn belangrijkste controlevraag
Als ik maar één vervolgvraag mocht stellen na deze checklist, zou het deze zijn:
“Waar blijkt dat uit?”
Die vraag maakt snel zichtbaar of een organisatie vooral vertrouwt op aannames of echt zicht heeft op de werking van haar beveiliging.
Wil je weten hoe ik zo'n breder onderzoek opbouw? Lees dan ook:
Wat wordt onderzocht bij een IT security audit?
Wil je onafhankelijk laten toetsen hoe technische en organisatorische maatregelen in de praktijk werken? Bekijk dan de Cyber Security Audit van Kynexis.
Passende vervolgstap
Van inzicht naar gerichte verbetering
Wil je onafhankelijk vaststellen waar de belangrijkste risico’s en verbeterpunten liggen? Kynexis helpt om de vraag scherp te formuleren en de uitkomst bestuurlijk en praktisch bruikbaar te maken.
Bekijk Cyber Security Audit →