Normenkader
Niveau 3 vraagt herhaalbaarheid.
Niet een goed jaar.
Het SURFaudit toetsingskader vertaalt ISO 27001 en 27002 naar de praktijk van onderwijs en onderzoek: vijftien domeinen, negenenzestig beheersmaatregelen en per maatregel een volwassenheidsscore van 1 tot 5. De sector streeft naar gemiddeld niveau 3 en dat niveau haalt u niet met een eenmalige inspanning.
Het knelpunt
Waar de score onder druk staat
Niet op het kader zelf, maar op wat u tussen twee audits kunt laten zien.
De score is een momentopname
Een auditor bepaalt de score op basis van documentatie, gesprekken en bewijsmateriaal op dat moment. Wat er in de maanden daarna in de omgeving verschuift, valt buiten beeld tot de volgende ronde.
Beheer ligt verspreid
Faculteiten, opleidingen en onderzoeksgroepen richten hun eigen werkomgeving in. Centraal beleid is er wel, maar het beeld van wat er daadwerkelijk aanstaat komt zelden op een plek samen.
Niveau 3 vraagt om herhaling
Van niveau 2 naar 3 komen betekent dat een maatregel niet alleen bestaat, maar vastgelegd, herhaalbaar en controleerbaar is. Precies daar loopt bewijsvoering op basis van losse schermafdrukken vast.
De toetsing
Wat wij in uw omgeving vaststellen
Wij toetsen de inrichting van uw Microsoft 365-omgeving aan de beheersmaatregelen uit het toetsingskader en leggen per controle vast wat wij aantreffen.
Toegang
en identiteit
Wie bij welke gegevens kan, onder welke voorwaarden en welke accounts en rechten buiten het beleid vallen. Inclusief studentaccounts, gastaccounts en de toegang van onderzoekspartners.
Bescherming
van gegevens
Hoe onderzoeksgegevens en persoonsgegevens zijn geclassificeerd, versleuteld en afgeschermd en langs welke wegen ze de instelling kunnen verlaten zonder maatregel.
Bescherming
tegen dreigingen
De inrichting van de beveiligingsonderdelen in uw omgeving en of de functies waarop u rekent ook daadwerkelijk aanstaan en passen bij uw situatie.
Vastlegging
en herleidbaarheid
Welke gebeurtenissen worden vastgelegd en hoe lang ze bewaard blijven, zodat u achteraf kunt reconstrueren wat er is gebeurd en door wie.
Wij lezen de configuratie van uw Microsoft 365-omgeving als code uit. Daarmee komen ook de instellingen in beeld die via de beheerportalen en Microsoft Graph niet zichtbaar zijn.
Voor de audit en de benchmark
Wat een score van 3 in de praktijk vraagt
Vastgelegd, herhaalbaar en controleerbaar. Dat is geen inspanning van een maand voor de audit, maar iets wat het hele jaar doorloopt.
Een vaste rapportage
Elke maand hetzelfde rapport, in dezelfde opbouw, met per beheersmaatregel de stand en de technische onderbouwing eronder. Direct bruikbaar als bewijsmateriaal.
Configuratiemonitoring
Wij vergelijken uw omgeving dagelijks met de inrichting die u zelf heeft vastgesteld. Een afwijking krijgt daarmee een datum, in plaats van pas op te vallen bij de volgende audit.
Evergreen as a Service
Microsoft wijzigt het platform doorlopend. Wij volgen die wijzigingen, vertalen ze naar wat ze voor uw maatregelen betekenen en melden het wanneer er iets van u wordt gevraagd.
De nulmeting
Begin met de stand van vandaag
De nulmeting laat zien hoe uw Microsoft 365-omgeving er nu voor staat, afgezet tegen de beheersmaatregelen uit het toetsingskader. U ziet per maatregel wat er staat, met de onderbouwing eronder.
Voor de nulmeting zijn uitsluitend leesrechten op uw Microsoft 365-omgeving nodig. Wij presenteren de bevindingen in een afsluitende sessie.
Ook voor andere kaders
Dezelfde meting leggen wij langs ISO 27001, BIO2, NEN 7510, DORA en de Cyberbeveiligingswet.
Werkt u met meerdere kaders tegelijk, dan meten wij eenmaal en rapporteren wij per kader.