Security Reality Check

De pijn

De zaakvoerder weet niet hoe kwetsbaar zijn bedrijf is. Hij wil geen ISO-audit van 40 pagina's die hij toch niet kan uitvoeren — hij wil weten: ben ik een makkelijk doelwit, en wat is urgent? Voor wie onder NIS2 valt, komt daar nog regelgevende druk bij: iedereen heeft er al van gehoord, maar niemand volgt het concreet op.

De scan

2 à 3 dagen. Gesprekken met de sleutelmensen, een lichte technische doorlichting, en een benchmark tegenover wat vandaag de norm is voor een bedrijf van uw grootte. Geen pentest-theater, geen angstverkoop — een eerlijk beeld.

Het resultaat: een scorekaart (rood / oranje / groen per domein, afgezet tegen een markt-baseline) plus de top-5 prioriteiten, telkens met kost, impact en urgentie.

Typische bevindingen

• Geen multifactor-authenticatie op de admin-accounts of op de mailbox van de zaakvoerder zelf — terwijl phishing en CEO-fraude net via die mailbox binnenkomen. De goedkoopste, grootste winst die er bestaat.
• "We hebben backups" — maar niemand heeft ooit een restore getest. In een ransomware-scenario blijkt dan dat de backup mee versleuteld was, of al maanden faalt.
• Accounts van oud-werknemers die nog actief zijn. Gedeelde wachtwoorden op een briefje. Iedereen admin-rechten "omdat het makkelijker is".
• Een NAS, camerasysteem of oude server die rechtstreeks aan het internet hangt zonder dat iemand het beseft.
• Niemand kan zeggen wie toegang heeft tot welke klantdata — een GDPR- én NIS2-risico in één.
• Een cyberverzekering bestaat, maar de polisvoorwaarden (MFA verplicht, backups getest) worden niet nageleefd. Bij een claim is er dus geen dekking.

De doorgroei

Wie verder wil: MFA uitrollen, een geteste backup- en herstelstrategie opzetten, korte awareness voor het personeel, en waar nodig een NIS2-conformiteitstraject. Bedrijven die meerdere pijlers laten doorlichten, stappen op termijn vaak over naar vaste, terugkerende IT-regie.