Hoe verloopt een Cyber Security Audit in de praktijk?

De audit begint met voorbereiding

Daarnaast vraag ik documentatie op. Denk aan netwerkdiagrammen, applicatieoverzichten, technische informatie en relevante beleidsstukken. Voor audits, nulmetingen en IT-securityonderzoeken werk ik met een vaste documentatiestructuur. Daarin staan de onderzoekspunten, kan ik bewijs direct vastleggen en ontstaat tijdens de audit stap voor stap de basis voor de rapportage.

De scope bepaalt wat ik technisch en organisatorisch kan onderzoeken. Vooraf maak ik daarom duidelijk welke omgevingen, processen, locaties en leveranciers onderdeel van de audit zijn en welke toegang beschikbaar komt.

Ik kijk steeds naar drie dingen: wat is afgesproken, wat wordt verteld en wat kan ik daadwerkelijk aantonen?

De eerste auditdag

Een auditdag begint meestal gewoon met koffie en kennismaken met de mensen die ik die dag nodig heb.

Ik plan interviews met medewerkers, managers en sleutelgebruikers. Er is eigenlijk altijd iemand betrokken die verantwoordelijk is voor IT en iemand vanuit management of bestuur. Afhankelijk van de organisatie spreek ik ook applicatiebeheerders, interne IT-medewerkers en de externe IT-dienstverlener.

Bij een meerdaagse audit probeer ik de technische onderzoeken vroeg te starten. Netwerkscans kunnen dan op de achtergrond draaien terwijl ik interviews doe of documentatie bekijk.

Ik wil begrijpen hoe de omgeving in elkaar zit. Welke systemen zijn belangrijk? Hoe is het netwerk opgebouwd? Klopt het netwerkdiagram nog? Is er daadwerkelijk segmentatie? Welke systemen zijn vanaf internet bereikbaar? Welke poorten staan open? Welke kwetsbaarheden zijn zichtbaar?

Afhankelijk van de scope log ik ook in op beheeromgevingen. Dat kan bijvoorbeeld de firewall zijn of Microsoft 365 met een passende admin- of viewerrol. Ik vergelijk wat iemand mij vertelt met hoe de omgeving daadwerkelijk is ingericht.

Dat maakt zo'n audit behoorlijk intensief. Ik neem techniek, processen, afspraken, leveranciers en fysieke beveiliging mee.

Wat op papier staat en wat ik daadwerkelijk aantref

Een belangrijk onderdeel is de rondgang door het gebouw.

Ik kijk bijvoorbeeld naar serverruimten, toegangsbeveiliging, camera's, fysieke barrières en brandveiligheid. Tijdens zo'n rondgang kom je soms dingen tegen die anders zijn dan beleid, procedures of interviews doen verwachten.

Juist dat verschil is interessant.

Als op papier staat dat een serverruimte altijd afgesloten is, maar ik zie iets anders, dan is dat relevant. Hetzelfde geldt wanneer een proces formeel goed is beschreven en in de praktijk anders wordt uitgevoerd.

Ik kijk daarom steeds naar drie dingen: wat is afgesproken, wat wordt verteld en wat kan ik daadwerkelijk aantonen?

Ook leveranciers horen bij het onderzoek

Bij veel organisaties ligt een groot deel van de IT bij een externe dienstverlener. Dan kan ik onmogelijk alleen naar de interne organisatie kijken.

Ik plan daarom waar nodig interviews met de IT-dienstverlener en vraag relevante contracten en afspraken op. Denk aan SLA's, DAP's, verwerkersovereenkomsten en andere dienstverleningsovereenkomsten.

Wat is er precies afgesproken? Wie is waarvoor verantwoordelijk? Waar staat dat? En sluit de feitelijke dienstverlening daarop aan?

Dat levert regelmatig belangrijke bevindingen op. Soms blijkt dat maatregelen waarvan de organisatie dacht dat ze geregeld waren, aantoonbaar niet of onvoldoende zijn ingericht.

Een uitspraak van een leverancier dat iets ‘wel geregeld is’ vind ik daarbij niet voldoende. Ik kijk naar feiten en bewijs. Lees ook hoe je regie houdt bij de selectie van een IT-dienstverlener.

De audit ontwikkelt zich gedurende de dagen

De bevindingen van de ene auditdag bepalen vaak waar ik de volgende dag verder op inga.

Tijdens de eerste dag zie ik wat ik nog mis. Ik beoordeel verzameld bewijsmateriaal meestal direct of dezelfde dag. Daardoor weet ik welke punten ik de volgende dag verder wil verifiëren.

Bij een audit van meerdere dagen maak ik mijn dagplanning daarom mede op basis van wat ik eerder heb gevonden. Soms komt een vervolgvraag een dag later, soms pas op de daaropvolgende auditdag. Dat hangt af van de omvang van het onderzoek en het aantal ingeplande dagen.

Dat is ook waarom ik graag voldoende tijd op locatie heb. Als een klant verder weg zit, boek ik soms een B&B in de buurt. Dat scheelt reistijd en maakt het mogelijk om langer door te werken.

En ja, vooraf vraag ik soms ook even of de hond mee mag. Ook dat hoort gewoon bij hoe zo'n werkdag er in werkelijkheid uit kan zien.

Ernstige kwetsbaarheden meld ik direct

Soms kom ik iets tegen dat direct aandacht vraagt. Bijvoorbeeld een onveilig openstaande poort op een firewall of een ernstige kwetsbaarheid op een server die vanaf internet bereikbaar is.

Dan meld ik dat direct. De organisatie krijgt zo direct de kans om maatregelen te nemen. Als de oplossing eenvoudig te controleren is, doe ik daarna meestal ook een hercontrole, bijvoorbeeld door opnieuw te scannen of de aangepaste configuratie te bekijken.

De bevinding blijft onderdeel van het rapport. Ik leg vast wat ik oorspronkelijk heb aangetroffen, welk bewijs daarbij hoort, dat de situatie vanwege de ernst direct is gemeld en dat herstel tijdens de audit heeft plaatsgevonden. Als ik de oplossing opnieuw heb kunnen verifiëren, vermeld ik dat ook.

Zo blijft zichtbaar hoe de situatie tijdens de audit oorspronkelijk was.

Iedere bevinding krijgt zijn eigen bewijs

Bij een Cyber Security Audit rapporteer ik bevindingen afzonderlijk. Ook wanneer meerdere bevindingen over hetzelfde hoofdonderwerp gaan, blijven het losse bevindingen. Iedere bevinding is afzonderlijk aantoonbaar en kan daardoor gericht worden opgepakt.

Ik gebruik daarvoor de BBRA-methodiek: Bevinding, Bewijs, Risico, Aanbeveling.

De bevinding beschrijft wat ik heb vastgesteld. Bij bewijs leg ik vast waarop die constatering is gebaseerd. Bij risico beschrijf ik de mogelijke gevolgen voor de organisatie.

De aanbeveling beschrijft in eerste instantie waar verbetering nodig is. Waar dat zinvol is, maak ik het advies gerichter. Soms is een oplossing technisch en ligt de uitvoering bij een IT-dienstverlener. Ik hoef dan niet noodzakelijk het volledige technische ontwerp voor te schrijven, zolang het gewenste resultaat helder is.

Het specifiek kwantificeren van risico's hoort bij een aparte dienst. Binnen de Cyber Security Audit beschrijf ik het risico bij de bevinding zonder daar automatisch een volledige kwantitatieve risicoanalyse van te maken. Bekijk de bestuurlijke risicoanalyse informatiebeveiliging.

Nulmeting, assessment en audit in de praktijk

Een Cyber Security Nulmeting geeft een breed en relatief compact startbeeld. Ik kijk naar de stand van de informatiebeveiliging en zoek naar de belangrijkste sterke punten, kwetsbaarheden en verbetergebieden. De analyse blijft op hoofdlijnen, waardoor bundelen van observaties in zo'n rapport prima mogelijk is.

Een Cybersecurity Assessment verdiept een afgebakende technische, organisatorische of gecombineerde vraag. Ook daarin kan ik documenten, configuraties en ander bewijs gericht verifiëren. Bij een technische scope richten we het assessment in als IT Security Assessment.

Bij een Cyber Security Audit leg ik vooraf de toetsingscriteria vast. Ik verzamel en verifieer herleidbaar bewijs, leg afwijkingen afzonderlijk vast en formuleer een auditconclusie over de afgesproken scope.

Dat maakt het auditrapport geschikt om bevindingen gericht op te pakken en, waar nodig, technische of organisatorische maatregelen afzonderlijk te laten uitvoeren.

Eerst alle bevindingen, daarna de managementrapportage

Tijdens de audit maak ik mijn aantekeningen zoveel mogelijk direct bij de betreffende onderzoekspunten in mijn documentatiesysteem. Bewijs, observaties en context staan daardoor meteen bij elkaar.

Na het onderzoek werk ik eerst de afzonderlijke bevindingen uit. Pas daarna schrijf ik de managementrapportage.

Tijdens de audit maak ik soms al een notitie wanneer ik iets tegenkom waarvan ik weet dat het een plek in de managementrapportage verdient. Ik wil eerst het complete beeld hebben voordat ik de hoofdlijn trek.

Het managementrapport bevat vooral de bevindingen die op hoofdlijnen belangrijk zijn voor management en bestuur. Ernstige afwijkingen vanzelfsprekend wel. Ook zaken die de basis van digitale veiligheid flink ondermijnen verdienen daar een plaats, zelfs wanneer het directe risico binnen een specifieke organisatie op dat moment misschien kleiner lijkt.

Daarnaast let ik op patronen. Als ik meerdere afzonderlijke bevindingen binnen één hoofdonderwerp aantref, zegt dat vaak iets over de structurele beheersing van dat onderwerp.

Ook wat goed gaat hoort in het managementrapport

In het managementrapport benoem ik bewust ook wat goed gaat.

Wat is aantoonbaar beter geregeld? Waar heeft de organisatie stappen gezet? Wat zie ik anders dan bij een eerdere audit? En waar wil de organisatie de komende jaren naartoe?

Een organisatie die hoge eisen stelt aan haar digitale veiligheid zal bepaalde afwijkingen zwaarder willen aanpakken dan een organisatie met een ander risicoprofiel. Een organisatie die sterk wil digitaliseren of afhankelijker wordt van IT zal andere prioriteiten hebben dan een organisatie die veel minder verandert.

De audit levert de feiten. De ambities en risicobereidheid van de organisatie bepalen mede welke keuzes daarna verstandig zijn.

Conceptfase: feiten, context en zienswijze

Mijn rapportages gaan altijd eerst als concept naar de klant.

Daarna bespreek ik het rapport met de betrokkenen. Dat kunnen management, bestuur, IT en andere verantwoordelijken zijn.

Ik ben altijd benieuwd naar hun zienswijze. Er kan relevante context zijn die ik nog niet kende. Ook kan men anders naar de betekenis of prioriteit van een risico kijken.

Een aantoonbare bevinding blijft daarbij gewoon staan wanneer het bewijs die constatering ondersteunt. Als bewijs laat zien dat iets niet goed is ingericht, dan is dat de constatering. De bespreking gaat vervolgens over de context, de betekenis van het risico en de prioriteit die de organisatie eraan geeft.

Hetzelfde geldt in gesprekken met externe IT-dienstverleners. Ik blijf bij wat uit de feiten en het bewijs blijkt.

Een auditrapport wordt regelmatig een gesprek met de IT-dienstverlener

Bij veel audits blijken juist onderdelen die bij een externe IT-dienstverlener liggen onvoldoende aantoonbaar geregeld.

Dat kan laten zien dat verwachtingen en werkelijkheid uit elkaar zijn gaan lopen, ook wanneer andere onderdelen van de dienstverlening prima functioneren.

Een auditrapport wordt daarom regelmatig gebruikt als feitelijke basis voor een gesprek met de leverancier. Welke punten vragen herstel? Welke afspraken verdienen aanscherping? Welke dienstverlening was afgesproken en wordt die ook daadwerkelijk geleverd?

Soms bevestigt het onderzoek een gevoel dat bij bestuur of management al langer bestond: dat de samenwerking niet lekker loopt of dat het vertrouwen afneemt. Het onafhankelijke onderzoek maakt zichtbaar welke zorgen feitelijk onderbouwd zijn.

Regelmatig wordt daarom naast het managementrapport gevraagd om een tweede, inhoudelijker rapport met de bevindingen die specifiek betrekking hebben op de externe IT-dienstverlener.

De bespreking verschilt per doelgroep

Meestal wil een klant het conceptrapport behoorlijk volledig doorlopen. Dingen die al helder zijn loop ik kort langs. Bij vragen of verschillen in interpretatie neem ik de tijd om het bewijs en mijn beoordeling toe te lichten.

Met bestuur en directie van grotere organisaties voer ik vaak een ander gesprek.

Dan gaat het minder over één firewallinstelling en meer over vragen als: hoe heeft dit kunnen gebeuren? Welke risico's zijn onvoldoende beheerst? Waarom was dit niet eerder zichtbaar? Welke besluiten zijn nu nodig? Waar verdient budget prioriteit? En wat betekent dit voor de digitale toekomst van de organisatie?

Daar ligt voor bestuur en directie de waarde van de managementrapportage.

Bij terugkerende audits wordt vergelijken steeds waardevoller

Als ik een organisatie vaker audit, vergelijk ik de nieuwe situatie bewust met eerdere jaren.

Welke punten zijn opgelost? Waar is vooruitgang geboekt? Welke bevindingen keren terug? En welke aanbevelingen zijn eerder gedaan en nog steeds niet opgepakt?

Dat kan steeds beter omdat mijn eigen dienstverlening in de loop van de jaren ook verder is ontwikkeld. Ik gebruik een vaste werkwijze en een documentatiesysteem waarin onderzoekspunten en bewijs consistent worden vastgelegd.

Daardoor kan ik steeds beter appels met appels vergelijken. Een herhaalaudit laat steeds duidelijker zien of de organisatie daadwerkelijk vooruitgaat.

Wanneer is de audit klaar?

Voor mij is de Cyber Security Audit afgerond wanneer het definitieve rapport is opgeleverd en de eindbespreking heeft plaatsgevonden. Daarna kan het stoppen. Vaak gebeurt dat niet.

Kynexis wordt regelmatig gevraagd om een geprioriteerd verbeterplan op te stellen en de uitvoering daarvan te begeleiden. Soms schrijven of actualiseren we beleid, brengen we beleidsstukken beter op orde of helpen we bijvoorbeeld bij de implementatie van een Handboek Digitaal Veilig Werken.

Als het vertrouwen in de IT-dienstverlener echt is verdwenen, kan de vraag ook zijn om mee te helpen bij de selectie van een nieuwe dienstverlener en het overgangstraject op te zetten.

Een andere vervolgstap kan een bestuurlijke risicoanalyse zijn. Zeker wanneer uit de audit blijkt dat bestuur en management dachten dat zaken beter geregeld waren dan in werkelijkheid het geval was.

Dat zijn aparte vervolgopdrachten. De audit zelf is na het definitieve rapport en de eindbespreking afgerond.

Wat heeft een organisatie na de audit in handen?

Aan het einde wil ik vooral dat er duidelijkheid is.

Eventuele quick wins zijn zichtbaar. De organisatie weet wat zij de komende drie maanden als eerste kan oppakken.

Bestuur en directie kunnen bewustere keuzes maken over prioriteiten, investeringen en projecten. Budgettering wordt gerichter en beter onderbouwd.

De organisatie staat sterker in gesprekken met IT-leveranciers en andere dienstverleners, omdat er onafhankelijke en objectieve feiten op tafel liggen.

Daar wil ik met de audit uitkomen: directie en bestuur hebben onafhankelijke feiten in handen, kunnen gerichter prioriteren en beter bepalen waar tijd, geld en aandacht naartoe gaan. Dat helpt om bewuster te sturen op de digitale toekomst van de organisatie. Lees meer over Wouter Parent en zijn werkwijze.