Audits en assessments
Weten waar uw software en servers kwetsbaar zijn en wat u eerst moet aanpakken, met een rapport dat uw bestuur begrijpt en een herstelplan voor uw IT.
Drie begrippen, kort uitgelegd
Ze worden vaak door elkaar gebruikt, maar betekenen iets anders.
Dreiging
Wat of wie u schade kan berokkenen: een cybercrimineel, een vergissing van een medewerker, de uitval van een leverancier, een brand.
Kwetsbaarheid
Een zwakte waardoor een dreiging schade kan berokkenen: verouderde software, een zwak wachtwoord, te ruime toegangsrechten, een ontbrekende back-up.
Risico
De kans dat een dreiging een kwetsbaarheid benut, gecombineerd met de impact als dat gebeurt. Daarop baseert u uw prioriteiten.
Welk onderzoek past bij uw vraag?
Dreigingsanalyse
Hoe kan deze toepassing worden aangevallen of misbruikt?
Voor één toepassing of één nieuw ontwerp bekijken we systematisch wie haar zou willen misbruiken en langs welke weg (threat modelling). U krijgt per dreiging de maatregel die het risico wegneemt of beperkt. Ideaal vóór de ontwikkeling start, en een vereiste onder de Cyber Resilience Act.
Kwetsbaarheidsonderzoek
Welke technische zwaktes zitten er vandaag in onze systemen?
Geautomatiseerde scans van applicaties, servers en configuraties met onder meer OWASP ZAP en Burp Suite, aangevuld met manuele controle tegenover OWASP ASVS, CIS Benchmarks en secure baseline configurations. Elke bevinding krijgt een ernstscore, een verwijzing naar de bijhorende ISO/IEC 27001-maatregel en een concrete oplossing.
Penetratietest
Kan een aanvaller er echt in, en hoe ver geraakt hij?
Een gecontroleerde, gesimuleerde aanval op uw webapplicatie of API, uitgevoerd met Burp Suite en ZAP volgens de OWASP Web Security Testing Guide (WSTG). Vooraf leggen we scope en spelregels vast; achteraf krijgt u de bevindingen, lossen we ze desgewenst op en volgt een hertest.
Code- en architectuurreview
Is onze software veilig gebouwd?
Een review van broncode, afhankelijkheden en architectuur: authenticatie, sessiebeheer, toegangscontrole, invoervalidatie en versleuteling. Nuttig vóór een lancering, een overname of een klantaudit.
Zoekt u een risicoanalyse van uw hele organisatie, als basis voor NIS2 of ISO/IEC 27001? Die laten we over aan gespecialiseerde partners, en we brengen u graag met hen in contact.
Wat u krijgt
- Een managementsamenvatting in begrijpelijke taal.
- Technische bevindingen met ernstscore en bewijs.
- Een herstelplan met prioriteiten en inschatting van de inspanning.
- Desgewenst voeren we het herstel zelf uit, en controleren we het achteraf.
Waarom dat verschil maakt
Veel audits eindigen met een rapport waar weinig mee gedaan wordt. Omdat we zelf ontwikkelen en beheren, kunnen we de bevindingen ook oplossen, en weten we welke aanbevelingen haalbaar zijn.
Niet zeker welk onderzoek u nodig hebt?
Vertel ons wat u wilt weten of aantonen. We stellen het onderzoek voor dat daarbij past.
Bespreek een audit