Wat is een Security Baseline Review?

Wat het is

De review bekijkt de maatregelen die uw organisatie al heeft getroffen en vergelijkt de afgesproken onderdelen met een consistent beveiligingsmodel. De scope wordt schriftelijk bevestigd voordat het werk begint. Afhankelijk van de gekozen dienst kan dit authenticatie-instellingen, toegangsrechten, accountherstel, omgang met gegevens, koppelingen met derden, de updatestatus en basale operationele afspraken rond de systemen binnen de scope omvatten. Het werk is gericht op het onderzoeken van configuratie en bewijsmateriaal, niet op het inzien van klantgegevens in productie of het verstoren van de normale bedrijfsvoering. U ontvangt een gestructureerd rapport dat uitlegt wat is waargenomen, waarom het in de context van belang is en wat een verstandige volgende stap kan zijn. Bevindingen zijn zo geordend dat besluitvormers het verschil zien tussen een directe prioriteit, een punt om in te plannen en een kwestie die een aparte scope of specialistische inbreng vraagt. Uw omgeving blijft gedurende de hele beoordeling zoals uw team die heeft geconfigureerd; eventuele wijzigingen bepaalt u zelf achteraf.

Voor wie het is

Een Security Baseline Review past bij organisaties die:

• Digitale producten of diensten aanbieden en hun beveiligingsconfiguratie nog niet formeel hebben laten beoordelen
• Onlangs zijn gewisseld van personeel, systemen, hosting of externe leveranciers en willen controleren of verantwoordelijkheden en toegang niet zijn verschoven
• Zich voorbereiden op een uitgebreider beveiligingsprogramma en een gedocumenteerd vertrekpunt nodig hebben voordat ze de volgende dienst kiezen
• Weloverwogen moeten reageren op een vraag van een auditor, partner, klant, bestuurslid of verzekeraar zonder hun huidige situatie mooier voor te stellen dan ze is

Wat Het Helpt Verduidelijken

Een baseline review helpt te verduidelijken:

• Welke afgesproken maatregelen aanwezig lijken te zijn en waar het bewijs onvolledig is of de configuratie nadere aandacht vraagt
• Waar toegangsrechten, gedeelde accounts of historische instellingen mogelijk niet meer passen bij de huidige werkwijze van de organisatie
• Welke koppelingen en afhankelijkheden met derden een duidelijkere eigenaar, een vervolgvraag of een aparte technische review verdienen
• Wat als eerste moet worden aangepakt, wat moet worden gevolgd en wat als apart afgebakend werk moet worden besproken

Wat is inbegrepen

• Schriftelijke bevestiging van de scope voordat het werk begint, inclusief de te beoordelen systemen en bronnen van bewijsmateriaal
• Beoordeling op afstand van de afgesproken configuratieonderdelen en de ondersteunende informatie die uw team aanlevert
• Een gestructureerd bevindingenrapport met een consistent ernstmodel en duidelijke context voor besluitvorming
• Herstelnotities in begrijpelijke taal bij elke observatie, inclusief waar een aparte eigenaar of dienst nodig kan zijn
• Een managementsamenvatting die intern kan worden gedeeld zonder onverklaarde technische termen
• Eén vervolggesprek om het rapport, de prioriteiten en redelijke volgende stappen te bespreken

Wat is niet inbegrepen

• Actieve exploitatie, penetratietesten of pogingen om maatregelen te omzeilen
• Compliancecertificering, oordelen in het kader van een toezichtsaudit of een verklaring dat een organisatie aan alle toepasselijke eisen voldoet
• Configuratiewijzigingen, codewijzigingen of herstelwerk in uw omgeving tijdens de review zelf
• Doorlopende monitoring, opvolging van meldingen of hertesten nadat de afgesproken opdracht is afgerond
• Beoordeling van systemen, domeinen, applicaties of leveranciers die niet in de schriftelijke scope zijn opgenomen

Wanneer u het kiest

Kies een Security Baseline Review wanneer u een helder, gedocumenteerd beeld van de huidige situatie wilt zonder u direct te verbinden aan een breed programma. Het is een nuttige eerste stap wanneer een team merkt dat beveiliging moeilijker te overzien is geworden, wanneer verantwoordelijkheden zijn veranderd of wanneer een belanghebbende een vraag stelt die nog niet met bewijs kan worden beantwoord. Ook vóór een lancering, migratie, leverancierswissel of interne planningscyclus kan de review helpen. Wanneer u het precieze technische probleem al kent en snel een afgebakende wijziging wilt laten doorvoeren, past gerichte hardening of een specialistische opdracht doorgaans beter. De waarde van de baseline zit in het vermogen om de volgende beslissing weloverwogener te maken.

Onze Aanpak

We beginnen met het schriftelijk vastleggen van de grenzen van de review. U ontvangt een briefing in begrijpelijke taal waarin staat wat wordt onderzocht, wat buiten de scope valt, welke toegang of welk bewijsmateriaal nodig is en wat u bij de overdracht ontvangt. De specialist gebruikt leesrechten, beperkt tot wat nodig is om de afgesproken configuratie te bekijken. Waar het beschikbare bewijs een vraag openlaat, legt het rapport dat duidelijk vast zodat het kan worden opgevolgd. Bevindingen worden geschreven als praktische observaties: de waargenomen configuratie, de context waarin die van belang kan zijn en een evenredige aanbeveling of vervolgvraag. Het rapport is bedoeld om een gesprek tussen technische en niet-technische mensen te ondersteunen, niet om onnodig alarm te slaan. Bij de overdracht nemen we de prioriteiten met u door, zodat het document een werkbaar naslagwerk wordt in plaats van een lijst waar moeilijk mee aan de slag te gaan is.

Veelgestelde vragen

Gerelateerde artikelen