Cybersecurity-engineering, ingebouwd in de deliverypijplijn

Met een assessment dat een gerangschikte en begrote lijst oplevert in plaats van een compliancechecklist. In de praktijk brengt de eerste ronde bijna altijd dezelfde categorieën aan het licht: te ruime cloudrechten, secrets die in repositories terecht zijn gekomen, ongepatchte dependencies, ontbrekende multifactor op beheeraccounts, en logs die wel bestaan maar niet centraal staan of waarop niet gealerteerd wordt. Dat herstellen kost weken en haalt het grootste deel van het realistische risico weg.

Wij doen het engineeringwerk dat die normen vereisen — toegangsbeheer, logging, versleuteling, wijzigingsbeheer, omgang met kwetsbaarheden — en leveren het technische bewijs waar een auditor om vraagt. Het certificaat zelf wordt afgegeven door een geaccrediteerde auditor, die onafhankelijk moet zijn van de mensen die de maatregelen inrichten. Wij werken naast hen; wij vervangen hen niet.

Een penetratietest vertelt u wat een aanvaller op één moment in de tijd zou kunnen misbruiken. Dit is het engineeringwerk dat dat antwoord verandert: de onderliggende soorten zwakte herstellen, en geautomatiseerde controles in de pijplijn zetten zodat ze niet terugkomen. De twee vullen elkaar aan — een test ná het werk is een veel betere besteding van het budget dan een test ervoor.

Wij bouwen en verfijnen de detectie — centrale logging, alertregels, dashboards en het responsdraaiboek — en kunnen die tijdens een afgebakend traject draaien of overdragen aan uw team of uw managed provider. Wat wij niet doen, is alerting achterlaten waarvan niemand heeft afgesproken erop te kijken.