Normenkader
Het certificaat hangt aan de muur.
Het bewijs zit in de tenant.
ISO 27001 vraagt dat u beheersmaatregelen kiest, invoert en aantoonbaar onderhoudt. In Microsoft 365 komt dat neer op honderden instellingen die kloppen en die blijven kloppen tussen twee audits door. Wij meten ze en leveren het bewijs per beheersmaatregel.
Het knelpunt
Waar het bij de audit op vastloopt
Niet op de norm zelf, maar op het bewijs dat u erbij moet leveren.
De verklaring van toepasselijkheid
Daarin staat welke maatregelen u van toepassing verklaart. Of ze op dit moment ook technisch actief zijn in uw omgeving staat er niet bij en juist dat wordt gevraagd.
Een schermafdruk is een moment
Bewijs bestaat vaak uit afbeeldingen die vlak voor de audit zijn gemaakt. Ze laten zien hoe het er die week uitzag. Over de rest van het jaar zeggen ze niets.
Microsoft verandert ondertussen
Standaardinstellingen schuiven, functies komen en gaan. Uw maatregel staat stil, het platform eronder niet en dat verschil groeit stilletjes.
De toetsing
Wat wij in uw omgeving vaststellen
Wij lezen de volledige configuratie uit als code, niet alleen wat de beheerschermen tonen. Elke uitkomst is herleidbaar tot de beheersmaatregel waar de eis vandaan komt.
Toegang
en identiteit
Welke accounts bestaan, welke rechten zij dragen, welke voorwaarden gelden bij het aanmelden en hoe beheerdersrollen zijn belegd.
Bescherming
van gegevens
Hoe informatie wordt geclassificeerd, gedeeld en bewaard in SharePoint, OneDrive en Purview en wat er gebeurt bij delen buiten de organisatie.
Bescherming
tegen dreigingen
De inrichting van Defender en Exchange: filtering, meldingen, apparaatbeleid en de instellingen die bepalen wat er wordt tegengehouden.
Vastlegging
en herleidbaarheid
Wat er wordt gelogd, hoe lang het bewaard blijft en of u achteraf kunt reconstrueren wie wat heeft gewijzigd.
Beheersmaatregelen die over beleid, processen en gedrag gaan meten wij niet. Die staan als zodanig in de rapportage en tellen niet mee in de score, zodat het onderscheid tussen gemeten en beoordeeld nergens vervaagt.
Voor de audit
Wat de auditor uiteindelijk vraagt
Niet uw cijfer, maar de meting eronder: welke instelling is uitgelezen, wat er stond, wat er hoort te staan en wanneer dat is vastgesteld.
Elke maand
Een vaste rapportage
Met de stand van vorige maand ernaast, zodat u werking laat zien en niet alleen opzet.
Elke dag
Configuratiemonitoring
Wijkt een instelling af van de inrichting die u heeft vastgesteld, dan staat dat dezelfde dag in een nalevingsrapport. Configuratieherstel is inbegrepen; u bepaalt zelf of u het gebruikt.
Vooruit
Evergreen as a Service
Wijzigt Microsoft een standaard, dan hoort u vóór de ingangsdatum wat dat voor uw certificering betekent.
De nulmeting
Begin met de stand van vandaag
De nulmeting laat zien hoe uw Microsoft 365-omgeving er nu voor staat, afgezet tegen ISO 27001. U ziet per maatregel wat er staat, met de onderbouwing eronder.
Voor de nulmeting zijn uitsluitend leesrechten op uw Microsoft 365-omgeving nodig. Wij presenteren de bevindingen in een afsluitende sessie.
Ook voor andere kaders
Dezelfde meting leggen wij langs ISO 27001, BIO2, NEN 7510, DORA, de Cyberbeveiligingswet en het SURFaudit toetsingskader.
Werkt u met meerdere kaders tegelijk, dan meten wij eenmaal en rapporteren wij per kader.