Toetsen waar je staat, voordat een ander het doet
Steeds vaker vraagt een klant, een verzekeraar of een aanbesteding om aan te tonen dat de IT op orde is. Een toetsing zegt waar je staat tegenover die eis, wat er ontbreekt en in welke volgorde je het aanpakt. Dat is iets anders dan een audit, en dat verschil is de moeite waard om te kennen.
Toetsing, audit en certificaat
Ze worden door elkaar gevraagd en leveren verschillende dingen op.
- Een toetsingEen interne meting tegenover een norm, bedoeld om te weten waar je staat. Geen oordeel van buiten en geen papier voor derden, wel een lijst met wat er moet gebeuren en wat het ongeveer kost.
- Een auditEen beoordeling door een onafhankelijke partij, met een rapport dat aan een derde te tonen is. Duurder, en zinvol wanneer iemand het echt komt vragen.
- Een certificaatDe uitkomst van een audit door een geaccrediteerde instelling, met een geldigheidsduur. Dit is een traject van maanden en geen document dat je koopt.
Hoe een toetsing verloopt
Vier stappen. De laatste is degene die het verschil maakt tussen een rapport en een verbetering.
Vaststellen waartegen wordt getoetst
NIS2, ISO 27001, de vragenlijst van een klant of de eisen van een verzekeraar. Ze overlappen voor een groot deel, maar de volgorde en de nadruk verschillen en dat bepaalt het werk.
Meten wat er is
Gesprekken, instellingen uitlezen en documenten inzien. Wat er in beleid staat en wat er in de praktijk gebeurt, is zelden hetzelfde, en het verschil is de eigenlijke uitkomst.
Rapporteren met een volgorde
Niet alleen wat er ontbreekt maar in welke volgorde het loont. Een lijst van tachtig punten zonder prioriteit wordt niet uitgevoerd, en dat weten we van tevoren.
Eigenaar en datum per punt
Elk punt krijgt een naam en een termijn. Zonder die twee is een toetsing een momentopname die over een jaar dezelfde uitkomst geeft.
Wat hier bij hoort
Toetsen hangt aan governance en aan de maatregelen zelf.
Weten waar je staat, met een volgorde erbij
Vertel wie erom vraagt en waarom. Je krijgt een toetsing tegen die eis, met een lijst die op volgorde staat en niet op alfabet.
Praktische IT-kennis in je inbox
Nieuwe gidsen over beheer, beveiliging en de werkplek, geschreven door de mensen die het werk doen. Geen verkooppraat, en afmelden kan met één klik.