Vaste security-adviseur: een pentester die blijft meekijken
U heeft geen eigen securityspecialist, maar de vragen komen wel. Een klant stuurt een beveiligingsvragenlijst, een leverancier wil toegang tot uw systemen, uw team bouwt iets nieuws. Als vaste security-adviseur ben ik daarvoor uw aanspreekpunt. U begint met een security-roadmap en heeft daarna elke maand vaste uren voor advies, en desgewenst een dag testen of advies op locatie.
Voor organisaties zonder eigen securityspecialist.
Voor een fulltime security-officer is het vaak nog te vroeg. Een groot adviesbureau inhuren voor losse vragen is duur en traag. Daartussen zit dit: één vaste specialist die uw organisatie kent, en die zelf test in plaats van alleen beleid te schrijven. Het past bij u als:
- klanten of partners u beveiligingsvragenlijsten sturen en u die goed en eerlijk wilt invullen;
- u onder de Cyberbeveiligingswet (NIS2) valt, of uw klanten wel, en u wilt weten wat dat voor u betekent;
- uw team nieuwe systemen bouwt of inkoopt en vooraf wil weten waar de risico's zitten;
- u een pentest heeft gehad en wilt dat de bevindingen ook echt worden opgevolgd.
Advies van iemand die zelf aanvalt.
Vragen per mail
Stel uw vraag wanneer die opkomt. U krijgt binnen één werkdag antwoord, van mij persoonlijk.
Maandelijks overleg
Een vast moment per maand om de roadmap door te lopen: wat is af, wat schuift, wat is er nieuw.
Vragenlijsten en leveranciers
Hulp bij de beveiligingsvragenlijsten van uw klanten, en bij het beoordelen van leveranciers en hun antwoorden.
Meedenken over ontwerp
Sparren over architectuur, inloggen, rechten en de inrichting van uw cloud, voordat het gebouwd is. Dat is goedkoper dan achteraf repareren.
Het verschil met een gewone adviseur: ik ben pentester. U kunt de uren ook laten besteden aan gericht testen, bijvoorbeeld van een nieuwe functie of van een bevinding die is opgelost. Advies en controle liggen bij dezelfde persoon.
Begin met een roadmap, ga door als het past.
Security-roadmap
- Startsessie van 2 uur met de mensen die uw systemen kennen
- Review van uw architectuur, cloudinrichting en laatste pentestrapport
- Schriftelijke roadmap voor 12 maanden, op volgorde van risico
- Bespreking van de roadmap, 60 minuten
De vaste start van elk abonnement, en ook los af te nemen. Sluit u binnen 30 dagen alsnog een abonnement af, dan betaalt u de roadmap niet opnieuw.
Basis
- 8 uur advies op afstand per maand
- Vragen per mail, antwoord binnen één werkdag
- Maandelijks overleg over de roadmap
- Vragenlijsten van klanten en beoordeling van leveranciers
- Meedenken over ontwerp en architectuur
Voor organisaties die vooral een vaste vraagbaak en richting nodig hebben.
Plus
- Alles uit Basis
- Elke maand één dag handmatig testen of advies op locatie, naar uw keuze
- Een testdag levert een korte notitie met bevindingen op
- Het herstel controleer ik in de uren van de maand erna
- Op locatie in Nederland, reiskosten inbegrepen
Voor organisaties die zelf bouwen en regelmatig iets getest willen hebben.
Minimaal 3 maanden, daarna maandelijks opzegbaar met een opzegtermijn van één maand. Betaalt u een jaar vooruit, dan betaalt u 11 maanden in plaats van 12. Meer nodig, bijvoorbeeld meerdere dagen per maand? Dan maak ik een aanbod op maat. Op locatie in het buitenland kan in overleg.
Vaste uren, geen verrassingen.
- Doorschuiven: uren die u niet gebruikt, schuiven één maand door. Daarna vervallen ze. Dat geldt ook voor de dag in Plus.
- Meer werk: is er meer nodig dan uw uren, dan hoort u dat vooraf, met een vaste prijs. Pas na uw akkoord begin ik.
- Snel antwoord: op uw vragen reageer ik binnen één werkdag.
- Voorrang: heeft u een pentest nodig, dan krijgt u voorrang in de planning.
- Beperkt aantal klanten: ik werk met een beperkt aantal vaste klanten, zodat er voor ieder echt tijd is.
Een testdag in Plus levert een korte notitie op: wat ik gevonden heb en wat u eraan kunt doen. Dat is geen ondertekend rapport. Heeft u bewijs nodig voor een klant, auditor of toezichthouder, dan is een Security Quick Scan of een penetratietest de juiste keuze.
Duidelijk over de grenzen.
- Geen 24/7-monitoring of incidentlijn. Voor een acuut incident heeft u een incidentresponspartij nodig. Ik help wel met de voorbereiding en met de opvolging.
- Geen ISO 27001-certificeringstraject. Ik help met de technische kant, maar schrijf geen compleet managementsysteem en begeleid geen certificering.
- Geen juridisch advies. Voor contracten en de AVG schakelt u beter een jurist in.
- Geen overname van uw verantwoordelijkheid. Onder de Cyberbeveiligingswet blijft het bestuur zelf verantwoordelijk. Ik adviseer, u beslist.
Wat u vooraf wilt weten.
Is dit hetzelfde als een virtual CISO (vCISO)?
Het lijkt erop. Een virtual CISO is een externe security-officer die parttime meedenkt over beleid en risico's. Het verschil: ik ben pentester. U kunt de uren ook laten besteden aan testen, en mijn advies komt uit wat ik tegenkom als ik zelf systemen aanval. Zoekt u vooral iemand die een compleet managementsysteem opzet voor een certificering, dan past een gespecialiseerd bureau beter.
Kan ik ook alleen de security-roadmap afnemen?
Ja. De roadmap is ook los te krijgen voor €1.500 excl. btw. U krijgt dan een schriftelijk plan voor 12 maanden dat uw eigen team of een andere partij kan uitvoeren. Sluit u binnen 30 dagen alsnog een abonnement af, dan betaalt u de roadmap niet opnieuw.
Waarom begint een abonnement met een roadmap?
Zonder roadmap gaan de uren op aan losse vragen zonder richting. Met een roadmap weten we allebei wat de grootste risico's zijn en waar elke maand aan gewerkt wordt. En als uw eerste vraag binnenkomt, ken ik uw omgeving al.
Wat als ik mijn uren niet opmaak?
Uren die u niet gebruikt, schuiven één maand door. Daarna vervallen ze. Dat geldt ook voor de test- of locatiedag in Plus. Gebruikt u Plus structureel niet, dan kunt u terug naar Basis.
Hoe lang zit ik vast?
Minimaal 3 maanden. Daarna is het abonnement maandelijks opzegbaar met een opzegtermijn van één maand. Betaalt u een jaar vooruit, dan betaalt u 11 maanden in plaats van 12.
Krijg ik bij een testdag een pentestrapport?
Nee. Een testdag in Plus levert een korte notitie op met de bevindingen en wat u eraan kunt doen. Het herstel controleer ik in de uren van de maand erna. Heeft u een ondertekend rapport nodig als bewijs voor een klant, auditor of toezichthouder, dan neemt u een Security Quick Scan of een penetratietest af. Als vaste klant krijgt u daarbij voorrang in de planning.
Bent u onafhankelijk?
Ja. Ik verkoop geen software, licenties of beheerdiensten. Als ik een product of leverancier aanraad, is dat omdat het bij uw situatie past.
Wat als we een incident hebben?
Ik ben geen incidentlijn en kan niet beloven dat ik op elk moment direct beschikbaar ben. Zorg daarom voor een incidentresponspartij, bijvoorbeeld via uw IT-leverancier. Met uw uren help ik u wel om voorbereid te zijn: wie belt wie, en wat doet u in het eerste uur. Na een incident kijk ik mee bij de opvolging.
Werkt u ook op locatie?
Ja, in Plus kunt u de maandelijkse dag ook gebruiken voor advies op locatie, bijvoorbeeld een sessie met uw ontwikkelteam of met het bestuur. Binnen Nederland zijn de reiskosten inbegrepen. Op locatie in het buitenland kan in overleg.
Past een vaste adviseur bij u?
In een gratis intake van 30 minuten kijken we waar u staat, en of een roadmap, een abonnement of toch een losse test het meeste oplevert.
Gratis intake aanvragen → Bekijk de prijzen