Begin bij de beslissing die het onderzoek moet ondersteunen
Schrijf eerst op wat u na het onderzoek wilt kunnen besluiten. Bijvoorbeeld: welke beveiligingsmaatregelen krijgen komend kwartaal capaciteit, kan een specifiek klantportaal verantwoord worden vrijgegeven, of welke leveranciersafspraken ontbreken? Zo voorkomt u een rapport dat uw werkelijke vraag niet beantwoordt.
Lees de aanpak en aandachtspunten
Bij een nulmeting van Datajuristen gaat het om governance en de aantoonbare praktijk: wie draagt risico’s, welke afspraken bestaan en welk bewijs is beschikbaar? De afgesproken aanpak kan documentonderzoek, online interviews en gerichte beoordeling van voorbeelden omvatten. Leg afzonderlijk vast welke technische informatie de eigen beheerder aanlevert en welke aspecten alleen op diens verklaring worden beoordeeld.
Een gerichte technische onderzoeksvraag vraagt mogelijk een pentest door een bevoegde specialist. Het NCSC onderscheidt een pentest van een kwetsbaarhedenscan: bij een pentest onderzoekt de tester ook of gevonden zwakheden daadwerkelijk kunnen worden benut. Deze technische diepgang vertelt op zichzelf weinig over budgetbesluiten, personeelsmutaties of de uitvoering van een herstelprocedure.
Vergelijk de producten op methode en bruikbaar bewijs
De naam van een onderzoek is onvoldoende om offertes te vergelijken. Vraag welke activiteiten plaatsvinden, welke informatie wordt gebruikt en hoe een bevinding wordt onderbouwd. Een nulmeting kent geen overal gelijk toegepast pakket.
Bekijk de uitwerking en de praktische tabel
Bespreek de matrix met opdrachtgever en technische verantwoordelijke. Soms zijn twee onderzoeken nodig, maar niet tegelijk. Een inventarisatie kan laten zien welk bedrijfskritiek systeem technische diepgang verdient. Andersom kan een bestaande pentest aanleiding geven om de bestuurlijke opvolging te onderzoeken.
Controleer of het rapport feiten, aannames en onbekende punten uit elkaar houdt. Een interviewverklaring bewijst dat iemand een werkwijze beschrijft. Een gekozen dossier kan uitvoering op dat moment aantonen. Een technische bevinding onderbouwt gedrag binnen het onderzochte systeem. Deze vormen van bewijs zijn nuttig, maar beantwoorden verschillende vragen.
De tabel is opzij te schuiven.
| Beslisvraag | Passend onderzoek | Vraag om dit bewijs |
|---|---|---|
| Waar liggen onze bestuurlijke en organisatorische gaten? | Afgebakende nulmeting | Bevinding met criterium, bron, scope en eigenaar |
| Kan een bepaald systeem technisch worden misbruikt? | Gerichte pentest door een specialist | Technische bevindingen, testbereik en beperkingen |
| Welke bekende kwetsbaarheden zijn aanwezig? | Kwetsbaarhedenonderzoek | Gedateerde resultaten en bevestiging van relevante bevindingen |
| Zijn eerdere verbeteringen uitgevoerd? | Herbeoordeling van afgesproken punten | Nieuw bewijs gekoppeld aan de oorspronkelijke bevinding |
Leg scope, toestemming en praktische grenzen vast
Benoem processen, systemen, organisatieonderdelen en perioden die worden onderzocht. Zet er expliciet bij wat buiten de opdracht valt. Daarmee krijgt een lezer later zicht op de betekenis van het oordeel.
Lees de aanpak en aandachtspunten
Voor technisch onderzoek zijn aanvullende afspraken nodig over bevoegdheid, toegestane handelingen, contactpersonen en omgaan met verstoringen. Laat de verantwoordelijke systeem- en dienstverleningseigenaren beoordelen welke toestemming van derden nodig is. De technische uitvoerder stelt passende onderzoeksafspraken op. NIST SP 800-115 benadrukt voorbereiding, uitvoering, analyse en opvolging als onderdelen van technisch beveiligingsonderzoek.
Gebruik voor de online nulmeting een beveiligde documentomgeving met beperkte toegang en bewaring. Vraag gerichte exports of afgeschermde voorbeelden. Regel wie vragen beantwoordt en hoe vertrouwelijke stukken worden behandeld. Laat ontbrekend bewijs en de gevolgen voor de conclusie bij oplevering benoemen.
Illustratieve casus: een SaaS-bedrijf krijgt een klantvraag
Een fictief SaaS-bedrijf krijgt een uitgebreide beveiligingsvragenlijst van een grote klant. Het team wil meteen een pentest bestellen. Bij het bespreken van de klantvraag blijken ook toegangsbeheer, leveranciersafspraken en herstelvermogen onderdeel van de beoordeling.
Lees de aanpak en aandachtspunten
De organisatie ordent eerst bestaand bewijs. Er is een technisch testrapport van het klantportaal, maar de scope sluit een nieuwe koppeling uit. Tegelijk kan niemand aantonen wie vertrekkende medewerkers uit alle beheerdersomgevingen verwijdert. Het eerste punt vraagt technisch vervolgonderzoek. Het tweede vraagt een duidelijke procesverantwoordelijke en controle op personeelsmutaties.
Het management kiest twee vervolgopdrachten: beoordeling van de organisatorische hiaten en technisch onderzoek van de nieuwe koppeling. Beide krijgen een eigenaar, oplevering en vervolgbesluit. Dit fictieve voorbeeld laat zien hoe bestaand onderzoek gericht kan worden aangevuld; het is geen klantresultaat.
Lees het rapport zonder meer zekerheid te veronderstellen
Controleer eerst de onderzochte versie, periode en grenzen. Een gunstige uitkomst geldt niet automatisch voor wijzigingen na het onderzoek, andere locaties of vergelijkbare systemen die niet zijn onderzocht.
Lees de aanpak en aandachtspunten
Vraag bij iedere belangrijke bevinding naar het concrete risico en de onderbouwing. Maak onderscheid tussen een ontbrekende maatregel, een onduidelijke verantwoordelijkheid en ontbrekend bewijs. Die situaties vragen verschillende acties. Laat ook vastleggen wanneer een conclusie onzeker blijft, bijvoorbeeld omdat een leverancier geen relevante informatie heeft verstrekt of een steekproef beperkt was.
Geef een totaalscore nooit meer betekenis dan de methode toelaat. Drie groene thema’s maken een ernstige kwetsbaarheid niet onschadelijk. Bespreek uitzonderingen en urgente punten afzonderlijk. Een onderzoeksrapport ondersteunt uw besluitvorming; het vervangt geen certificeringsproces, volledige wettelijke beoordeling of permanent toezicht op de werking van alle maatregelen.
Reserveer ruimte voor herstel en een controle achteraf
Maak de vervolgstap onderdeel van de opdrachtbespreking. Wie beoordeelt het rapport, wie voert maatregelen uit en welk bewijs is nodig om een punt te sluiten? Zonder die afspraken blijft onderzoek gemakkelijk een los document.
Lees de aanpak en aandachtspunten
Plan een online bespreking waarin management en uitvoerende verantwoordelijken bevindingen omzetten naar besluiten. Noteer afhankelijkheden, benodigde capaciteit en de manier waarop risico’s tijdelijk worden beheerst. Voor technische maatregelen kan de oorspronkelijke tester een hertest uitvoeren; voor procesmaatregelen kan een nieuw praktijkvoorbeeld aantonen of de gewijzigde werkwijze is gebruikt.
Technische pentestwerkzaamheden worden bij een passende specialist belegd. Beoordeel voortgang aan concrete opleveringen, zoals een vastgesteld rechtenproces en gecontroleerde mutatie. Zo blijft het onderzoek verbonden met het besluit waarvoor u begon en krijgt de opdrachtgever zicht op de daadwerkelijk gerealiseerde verbetering.
Wat moet in ieder geval zijn geregeld?
Formuleer één besluit waarvoor het onderzoek bewijs moet opleveren.
Benoem systemen, processen, versies en uitsluitingen in de scope.
Vergelijk offertes op methode en oplevering, niet alleen op onderzoeksnaam.
Regel toestemming en uitvoeringsafspraken voor technisch onderzoek.
Laat onbekende punten en beperkingen afzonderlijk rapporteren.
Wijs per bevinding een eigenaar, herstelactie en controlebewijs aan.
Deze uitleg is algemeen en vervangt geen beoordeling van uw specifieke organisatie, wettelijke positie, verwerking of incident.