Normenkader
DORA vraagt geen beleidsstuk.
DORA vraagt onderbouwing.
DORA geldt sinds 17 januari 2025 voor financiële entiteiten en hun ICT-dienstverleners. De verordening verlangt beheersing van ICT-risico, melding van ernstige incidenten, periodiek testen en grip op uw afhankelijkheid van derden. Voor het overgrote deel van uw kantoorautomatisering komt dat neer op de inrichting van Microsoft 365.
Het knelpunt
Waar het toezicht doorvraagt
DORA legt de verantwoordelijkheid bij het bestuur en vraagt om onderbouwing, niet om een intentie.
Aantoonbaarheid, niet aanwezigheid
Dat een maatregel bestaat is niet de vraag. De vraag is of u kunt laten zien dat hij werkte op het moment dat het ertoe deed en dat u het had gemerkt als dat niet zo was.
Afhankelijkheid van derden
Microsoft is voor de meeste financiële entiteiten een kritieke ICT-dienstverlener. Uw eigen inrichting binnen dat platform is het deel waar u zelf over gaat.
Het bestuur is aanspreekbaar
DORA belegt de eindverantwoordelijkheid voor ICT-risicobeheer bij het bestuur. Dat werkt alleen als het bestuur periodiek een beeld krijgt dat begrijpelijk is en onderbouwd tegelijk.
De toetsing
Wat wij in uw omgeving vaststellen
Wij toetsen de inrichting van uw Microsoft 365-omgeving aan de beheersdoelen die onder DORA op uw kantoorautomatisering van toepassing zijn en leggen per controle vast wat wij aantreffen.
Toegang
en identiteit
Wie waarbij kan, onder welke voorwaarden en welke rechten buiten uw beleid vallen. Inclusief de toegang van externe partijen tot uw omgeving.
Bescherming
van gegevens
Hoe informatie is geclassificeerd, versleuteld en afgeschermd en langs welke wegen gegevens de organisatie kunnen verlaten zonder maatregel.
Bescherming
tegen dreigingen
De inrichting van de beveiligingsonderdelen in uw omgeving en of de functies waarop u rekent ook daadwerkelijk aanstaan en zijn afgestemd op uw risicoprofiel.
Continuïteit
en herstel
Of uw omgeving zo is ingericht dat u na een verstoring terug kunt naar een bekende, vastgestelde stand en of u kunt onderbouwen dat het werkt.
Wij lezen de configuratie van uw Microsoft 365-omgeving als code uit. Daarmee komen ook de instellingen in beeld die via de beheerportalen en Microsoft Graph niet zichtbaar zijn.
Voor de toezichthouder
Wat u moet kunnen overleggen
Een reeks in plaats van een moment. Een rapportage waarmee u laat zien dat de beheersing doorlopend heeft gewerkt en dat afwijkingen zijn opgemerkt.
Een vaste rapportage
Elke maand hetzelfde rapport, in dezelfde opbouw, met per beheersdoel de stand en de technische onderbouwing eronder. Geschikt voor het bestuur en voor het dossier.
Configuratiemonitoring
Wij vergelijken uw omgeving dagelijks met de inrichting die u zelf heeft vastgesteld. Een afwijking is daarmee een waarneming met een datum, niet een verrassing achteraf.
Evergreen as a Service
Microsoft wijzigt het platform doorlopend. Wij volgen die wijzigingen, vertalen ze naar wat ze voor uw beheersing betekenen en melden het wanneer er iets van u wordt gevraagd.
De nulmeting
Begin met de stand van vandaag
De nulmeting laat zien hoe uw Microsoft 365-omgeving er nu voor staat, afgezet tegen de beheersdoelen die onder DORA op uw omgeving van toepassing zijn.
Voor de nulmeting zijn uitsluitend leesrechten op uw Microsoft 365-omgeving nodig. Wij presenteren de bevindingen in een afsluitende sessie.
Ook voor andere kaders
Dezelfde meting leggen wij langs ISO 27001, BIO2, NEN 7510, DORA, de Cyberbeveiligingswet en het SURFaudit toetsingskader.
Werkt u met meerdere kaders tegelijk, dan meten wij eenmaal en rapporteren wij per kader.