Strategisch Beveiligingsadvies
Beveiliging integreren vanaf het begin van je ontwikkeltrajecten
Wij hebben u niets anders te bieden dan onze mening
Beveiligingsadvies is alleen van waarde als degene die het geeft geen persoonlijk belang heeft bij het antwoord.
CREDS wordt volledig uit eigen middelen gefinancierd en is volledig in handen van de mensen die hier werken. Wij hebben geen moedermaatschappij die onze doelstellingen vaststelt, geen tijdschema van investeerders dat onze aanbevelingen bepaalt, en geen relaties met leveranciers die wij moeten beschermen. Wij verkopen geen producten door, wij ontvangen geen verwijzingsvergoedingen en wij hoeven geen licentiequota te halen.
Dat betekent dat wanneer wij u vertellen dat een hulpmiddel dat u al in uw bezit hebt voldoende is, of dat het juiste antwoord ligt in het aanpassen van een proces in plaats van iets aan te schaffen, er achter dat advies niets anders schuilgaat dan het advies zelf.
Dit betekent ook dat wij u zullen laten weten wanneer wij niet de juiste partner zijn. Indien een probleem een adviesbureau op het gebied van governance, een bewustmakingsprogramma of een beheerde dienst vereist, zullen wij dit aangeven en u doorverwijzen naar een geschikte partner.
Strategisch advies vanuit het perspectief van een hacker
Het meeste beveiligingsadvies is afkomstig van mensen die over aanvallen hebben gelezen. Ons advies is afkomstig van mensen die deze aanvallen daadwerkelijk uitvoeren.
Dat heeft invloed op wat u krijgt. Wanneer wij een architectuur beoordelen, toetsen wij deze niet aan een raamwerk, maar gaan wij na waar wij zouden beginnen als ons gevraagd zou worden deze te doorbreken. Wanneer wij een stappenplan bekijken, vragen wij ons af welke van deze twaalf initiatieven de laatste drie opdrachten die wij hebben uitgevoerd daadwerkelijk zouden hebben voorkomen. Wanneer wij een controlemaatregel beoordelen, weten wij hoe deze er vanaf de andere kant uitziet, omdat wij het grootste deel van onze tijd aan die kant doorbrengen.
Onze consultants vormen geen afzonderlijke adviespraktijk. Zij zijn de mensen die leiding geven aan onze red team- en penetratietestprojecten, wat betekent dat het advies is gebaseerd op wat momenteel een bedreiging vormt voor organisaties zoals de uwe, en niet op de richtlijnen van vorig jaar.
Elke opdracht wordt begeleid door iemand met meer dan tien jaar ervaring.
De vragen die mensen ons stellen
Advieswerk bestrijkt een breed terrein. Dit zijn de vragen die het vaakst worden gesteld. Mocht uw vraag hier niet bij staan, dan is het toch de moeite waard om deze te stellen.
Waar beginnen we?
U weet dat het beveiligingsprogramma verbetering behoeft, maar u weet niet waar u moet beginnen. Wij helpen u bij het identificeren van de ‘quick wins’, de ‘laaghangende vruchten’ die het daadwerkelijke risico al binnen enkele weken – in plaats van kwartalen – verminderen, en scheiden deze van de werkzaamheden waarvoor daadwerkelijk een project nodig is.
Hoe zou onze routekaart eruit moeten zien?
Een meerjarig beveiligingsplan, opgesteld op basis van uw daadwerkelijke risicoprofiel en dreigingslandschap in plaats van een algemeen volwassenheidsmodel. Wat er dit kwartaal en dit jaar moet gebeuren, en wat eerlijk gezegd kan wachten.
Geven wij ons geld op de juiste manier uit?
Beveiligingsbudgetten lopen op. Wij brengen in kaart wat u uitgeeft, wat u daarmee aanschaft en op welke andere gebieden datzelfde geld meer risico’s zou kunnen verminderen. Soms blijkt dat u al over de juiste tool beschikt, maar deze niet op de juiste manier gebruikt.
Wij zijn bezig iets nieuws op te bouwen. Hoe zorgen wij ervoor dat dit goed verloopt?
Beoordeling van de architectuur en het ontwerp voordat er ook maar iets wordt gebouwd, met dreigingsmodellering vanuit het perspectief van een aanvaller. Het verhelpen van een ontwerpfout op een whiteboard kost slechts een gesprek. Het verhelpen ervan na de lancering kost een volledige releasecyclus.
Hoe veilig is het bedrijf dat wij op het punt staan over te nemen?
Beveiligingsonderzoek bij overnames en investeringen: wat u koopt, wat u erbij krijgt en wat het kost om alles aan de normen te laten voldoen. Afgestemd op het tijdschema van uw transactie.
Is onze huidige opzet wel degelijk degelijk?
Een onafhankelijke beoordeling van de systemen, architectuur en besturingsmechanismen die u reeds in gebruik hebt, door mensen die u zullen laten weten wanneer het antwoord ‘ja’ is.
Het platform houdt voortdurend toezicht. Wij grijpen in wanneer dat nodig is.
Aankoopadvies komt meestal neer op het kopen van beschikbaarheid: een vast honorarium, een vast aantal dagen per maand, of een deeltijd-CISO op basis van een doorlopend contract. U betaalt voor continuïteit, omdat er geen andere manier is om die te verkrijgen.
Wij pakken het anders aan. Wanneer u ons ART-platform gebruikt, wordt de continuïteit gewaarborgd door het platform zelf. Het voert voortdurend tests uit, houdt bij wat er verandert en brengt aan het licht wat er is gewijzigd, zonder dat iemand daarvoor in een vergadering hoeft te zitten.
Daardoor krijgen onze consultants de ruimte om zich te richten op datgene waarvoor mensen werkelijk van waarde zijn: het vormen van een oordeel. Wat betekent deze bevinding voor het bedrijf? Welk van deze drie problemen is het belangrijkst, gezien wat wij weten over uw sector? Is dit de moeite waard voor een project of een configuratiewijziging? Moet u zich hier zorgen over maken, of is het slechts ruis?
Het platform zorgt voor het volgen. Wij komen in beeld wanneer er iets is dat het overwegen waard is.
Dit betekent ook dat het advies kan worden geverifieerd. Wij kunnen een wijziging aanbevelen, waarna het platform kan bevestigen of de controle daadwerkelijk werkt, in plaats van dat u er zomaar vanuit moet gaan dat dit het geval is.
Adviesopdrachten staan op zichzelf, maar kunnen ook worden gecombineerd met een ART-abonnement. U hebt het platform niet nodig om ons een vraag te stellen.
Afgestemd op de vraag
Sommige vragen nemen een dag in beslag. Andere vier weken. Er zijn er maar heel weinig die een jaar duren, en die zouden wij u liever niet verkopen.
Een adviesopdracht van CREDS is afgestemd op de vraag die u daadwerkelijk heeft. Dat kan bijvoorbeeld een dag zijn waarin u samen met uw architecten een ontwerpbeslissing uitwerkt, of een week waarin wordt bekeken waar uw beveiligingsbudget volgend jaar naartoe moet gaan, of vier weken due diligence met betrekking tot een overname, met een transactiedeadline in het vooruitzicht.
Het is echter geen doorlopende overeenkomst die u elk kwartaal intern moet verantwoorden. U legt ons een vraag voor, wij geven u een indicatie van wat er nodig is om deze naar behoren te beantwoorden, en zodra de vraag is beantwoord, is de zaak afgehandeld.
Als de relatie een blijvende en goede relatie wordt – en dat is bij de meeste het geval – dan zou dat moeten komen doordat u steeds weer vragen hebt die het stellen waard zijn, en niet omdat u iets hebt ondertekend.
Een dag
Een ontwerpbeslissing, een tweede mening over een architectuur, een workshop met uw team of een grondige controle van een plan.
Een week of twee
Een stappenplan, een evaluatie van de beveiligingsinvesteringen of een beoordeling van waar u het beste kunt beginnen.
Tot vier weken
Due diligence met het oog op een transactiedeadline, een volledige beoordeling van de architectuur of een programma dat volledig vanaf nul wordt opgebouwd.
Hoe een opdracht verloopt
- 01
U stelt ons de vraag
Een kort gesprek, geheel kosteloos, om te achterhalen wat u nu eigenlijk wilt beslissen. Vaak is de vraag waarmee mensen bij ons aankloppen niet helemaal de vraag die beantwoord moet worden, en het is de moeite waard om dat vast te stellen voordat er een offerte wordt opgesteld.
- 02
Wij brengen de omvang ervan eerlijk in kaart
Wij laten u weten wat er nodig is: hoeveel dagen, wie er van onze kant meewerkt en wat wij van uw kant nodig hebben. Als wij denken dat de vraag in minder tijd kan worden beantwoord dan u had verwacht, laten wij u dat weten.
- 03
Wij voeren het werk uit
Gesprekken, beoordeling van documenten en de architectuur, waar nodig technisch onderzoek, en rechtstreekse gesprekken met de mensen die weten hoe de zaken in de praktijk verlopen, in plaats van hoe ze op papier staan.
- 04
Wij vertellen u wat wij ervan vinden
Een schriftelijk rapport en een sessie om dit door te nemen, afgestemd op degenen die hierop moeten reageren: uw architecten, uw beveiligingsteam of uw raad van bestuur.
Wat u ontvangt
Een duidelijk antwoord op de vraag die u hebt gesteld. Met de onderliggende redenering, niet een volwassenheidsscore.
Aanbevelingen op basis van prioriteit. Onderverdeeld in wat er nu moet gebeuren, wat er moet worden gepland en wat kan wachten.
De ‘quick wins’ die expliciet worden genoemd. Wat u de komende weken kunt oplossen met de mensen waarover u nu al beschikt.
Een schriftelijk eindproduct. Afgestemd op de opdracht: een korte notitie voor een opdracht van één dag, een volledig rapport voor een opdracht van vier weken.
Een werkbijeenkomst. Om dit samen met degenen die hiertoe moeten overgaan, door te nemen.
Een duidelijk antwoord op de vraag waarbij wij u niet van dienst kunnen zijn. En wie kan dat.
Met wie wij doorgaans samenwerken
CTO’s en leidinggevenden op het gebied van techniek
U bent bezig met het ontwikkelen van een systeem en u wilt dat de beveiligingsbeslissingen meteen de eerste keer correct worden genomen, door iemand die zich verdiept in de architectuur in plaats van u alleen maar een checklist te overhandigen.
CISO’s en beveiligingsmanagers
U hebt behoefte aan een onafhankelijke beoordeling van een stappenplan, een begroting, een leverancier of een plan dat u binnenkort aan de raad van bestuur gaat voorleggen, door mensen die geen belang hebben bij de uitkomst.
Besturen, investeerders en bedrijfsontwikkeling
U moet weten wat u koopt, wat u erft en wat de herstelkosten zullen bedragen, en dit alles binnen het tijdschema van de transactie.
IT-managers zonder een speciaal beveiligingsteam
U draagt de verantwoordelijkheid, maar beschikt niet over de specialistische kennis, en u hebt iemand nodig die u duidelijk uitlegt waar u moet beginnen.
Vragen over advieswerk
Hoe lang duurt een verloving?
Moeten wij een overeenkomst voor vaste dienst ondertekenen?
In welk opzicht verschilt dit van een adviesbureau op het gebied van governance of compliance?
Verkoopt u beveiligingsproducten of handelt u daarin?
Hebben wij het ART-platform nodig om met u samen te werken?
Kunt u ons helpen beslissen waar we moeten beginnen?
Kunt u bij een overname een veiligheidsonderzoek uitvoeren?
Zou u ons laten weten als wij u niet nodig hebben?
Stel ons een vraag
Laat ons weten waarover u een beslissing probeert te nemen. Wij zullen u uitleggen wat er nodig is om hier een goed antwoord op te geven, en of wij de juiste mensen zijn om dit te doen.