Identiteit en toegang

Wie loopt er binnen met welke sleutels, en klopt dat nog?

De muur en de gracht staan er nog, en die heeft u nodig. Alleen is het netwerk niet meer de grens. De identiteit is dat wel, en die vraagt een ander soort onderzoek. Identara beoordeelt wie bij uw systemen kan, waarom dat zo is ingericht, en of het nog verdedigbaar is.

Plan een scopegesprek Bekijk de diensten

20 jaarIdentiteits- en toegangsbeheer bij grote organisaties in Nederland en België

OnafhankelijkProductonafhankelijk, geen licentieverkoop en geen leveranciersbelang

Eén aanspreekpuntU spreekt de adviseur die het werk doet, niet een accountmanager

AantoonbaarAfgestemd op NIS2, ISO 27001, DORA, AVG en NEN 7510

Waarom dit nu speelt

De muur staat er nog, maar hij is niet meer de hele grens

Een IT-omgeving was lange tijd te vergelijken met een burcht. Eén muur, een gracht, een paar poorten die bewaakt werden. Wie eenmaal binnen was, werd vertrouwd. Die aanpak was juist, voor dat landschap.

Inmiddels staan de burchten met elkaar in verbinding. Cloud, thuiswerken, leveranciers, klantportalen, apparaten die overal inloggen. Elke verbinding is een poort erbij, en lang niet al die poorten liggen op uw eigen terrein.

Wat dan overblijft als grens is de identiteit. De aanvaller forceert niets, hij logt in. Met een gestolen wachtwoord, een geslaagde nepmail of een account van een oud-medewerker die allang vertrokken is. Er gaat geen alarm af, want het systeem doet precies waarvoor het gebouwd is.

De vragen die wij stellen

01
Wie heeft toegang waartoe, mensen en technische accounts, en is die toegang vandaag nog nodig?
02
Wie heeft die rechten toegekend, op welke grond, en wanneer is dat voor het laatst gecontroleerd?
03
Kan iemand in zijn eentje een volledige transactie afronden, of is de functiescheiding aantoonbaar?
04
Wat gebeurt er met de toegang van een medewerker, een leverancier of een beheerder die vertrekt?

Wat ons onderscheidt

Een pentest vindt stap één. De schade ontstaat in stap twee tot zes

Een penetratietest laat zien dat iemand binnen kan komen. Daarna houdt het verhaal meestal op. Wij volgen de keten verder, want pas na de eerste toegang wordt het duur.

STAP 1Eerste toegangEen nepmail, een gestolen wachtwoord of een lek in een applicatie

STAP 2RondkijkenDe aanvaller brengt gebruikers, groepen en beheeraccounts in kaart

STAP 3Rechten uitbreidenMisbruik van te ruime rechten of een vergeten beheeraccount

STAP 4Verder bewegenVan het ene systeem naar het andere, met geldige inloggegevens

STAP 5Bij de gegevensToegang tot klantgegevens of financiële systemen, zonder dat er alarm afgaat

STAP 6Blijven zittenEen achterdeur voor later, die bij het herstel over het hoofd wordt gezien

Wat een gewone penetratietest afdekt Waar Identara naar kijkt

Wij testen de voordeur en beoordelen de sleutelbos, en leveren daar één verhaal over in plaats van twee losse rapporten.

Hoe wij naar uw omgeving kijken

Vier uitgangspunten

Zichtbaar voor verdedigbaar

Zolang niemand het overzicht van rechten heeft, is elk oordeel over risico een gok.

Rechten verlopen

Toegang die ooit terecht was, is dat na een reorganisatie of een vertrek zelden nog.

Bewijs boven belofte

Een maatregel die u niet kunt aantonen, bestaat niet voor een auditor of toezichthouder.

Het oordeel blijft mensenwerk

Tooling vindt afwijkingen. Of iets een probleem is, hangt af van wat uw organisatie doet.

Wat wij leveren

Zes diensten, los af te nemen, samen een volledig beeld

De meeste organisaties beginnen bij een test, omdat dat het snelst zichtbaar maakt waar het staat. Identara bepaalt de scope, beoordeelt identiteit en toegang, en zet voor elk onderdeel de specialist in die daar het sterkst in is. U heeft één aanspreekpunt, en de scope ligt vooraf vast.

Penetratietest

Kan iemand binnenkomen, en hoe ver komt hij dan?

Gecontroleerde aanval op netwerk, systemen of webapplicaties, volgens internationale standaarden waaronder de OWASP Top 10. Van buitenaf zonder voorkennis, of van binnenuit met een gebruikersaccount.

Bevindingen met ernst en bewijs, plus een geprioriteerde herstellijst · twee tot vier weken

Kwetsbaarhedenonderzoek

Waar zitten de zwakke plekken, en welke zijn werkelijk gevaarlijk?

Inventarisatie over het volledige landschap, niet alleen de systemen die al in beeld waren. Geautomatiseerd scannen gevolgd door handmatige controle, zodat de loze meldingen eruit gaan.

Overzicht gerangschikt naar werkelijke impact · een tot twee weken

Identiteits- en toegangsbeoordeling

Wie heeft toegang waartoe, en klopt dat nog?

Medewerkers, klanten, leveranciers en beheerders komen binnen via kantoor, thuis, cloud en portalen, elke combinatie met eigen rechten. Wij lopen ze langs, inclusief accounts van vertrokken medewerkers, te ruime rechten, vergeten beheertoegang en de toets op functiescheiding.

Volwassenheidsscore per onderdeel en een verbeterpad met meetbare stappen · twee tot zes weken

Social engineering en bewustwording

Hoe weerbaar zijn de mensen, niet alleen de systemen?

Gesimuleerde phishingmails, afgestemd op uw organisatie en taal, gemeten per afdeling. Optioneel een fysieke toegangstest. Opvolging met gerichte training in plaats van een algemene cursus.

Meetresultaat per afdeling en een gericht trainingsvoorstel · twee tot drie weken

Compliance en auditvoorbereiding

Kunt u aantonen dat het op orde is?

Vertaling van eisen naar concrete maatregelen, voor ISO 27001, NIS2 en ketennormen. Beoordeling van toegangsbeheer en functiescheiding in het licht van toezicht, en het bewijsmateriaal dat een auditor wil zien.

Gapanalyse, een plan met prioriteiten en de onderbouwende documentatie · drie tot zes weken

Advies en begeleiding

Een rapport verandert niets, de uitvoering wel.

Vertaling van bevindingen naar een plan dat past bij uw omvang en budget. Onafhankelijk advies bij de keuze van een platform, wij verkopen geen licenties. Begeleiding van uw eigen mensen of van de inrichtende partij.

Roadmap met eigenaren en termijnen, plus een herhaalmeting na afloop · in overleg

Werkwijze

Eerst beoordelen. Dan gericht verbeteren

Een afgebakende scope, een vaste prijs en geen open eind. U weet vooraf wat u krijgt, wanneer u het krijgt en wat het kost.

Beoordelen

Een scopegesprek van een uur, daarna het onderzoek binnen de afgesproken grenzen. Bij ernstige bevindingen hoort u het tijdens de rit, niet pas in het rapport.

Prioriteren

Niet alles kan tegelijk. De bevindingen worden gewogen op wat ze uw organisatie werkelijk kunnen kosten, niet op een standaardcijfer uit een scanner. U krijgt een toelichting voor de directie en een aparte technische bijlage voor IT.

Verbeteren

Een plan met eigenaren en termijnen. De uitvoering doet u zelf of met uw eigen leverancier, wij begeleiden en bewaken dat het klopt.

Aantoonbaar houden

Een herhaalmeting laat zien dat de verbetering er werkelijk is. Dat is ook precies wat een auditor of een ketenpartner van u wil zien.

Over Identara

Eén specialisme, diep genoeg om er een oordeel over te geven

Identara doet één ding: beoordelen wie toegang heeft tot wat, en of dat nog verdedigbaar is. Achter het merk staat Dave Vijzelman, ruim twintig jaar werkzaam in identiteits- en toegangsbeheer bij grote organisaties in Nederland en België, in de zorg, de energiesector, de financiële dienstverlening, het onderwijs en de nutsvoorziening.

De werkwijze is productonafhankelijk. Identara verkoopt geen licenties en implementeert niet zelf. De productkennis gaat diep genoeg om de verschillen tussen platformen te doorzien, en juist dat maakt een onafhankelijk oordeel bruikbaar. Wat een leverancier een rol noemt, is bij de volgende leverancier iets anders.

SpecialismeIdentity governance, toegangsbeheer, beheeraccounts, functiescheiding en federatie

RaamwerkenNIS2, ISO 27001, DORA, AVG, NEN 7510, BIO, NIST CSF 2.0 en CIS Controls v8

TaalNederlands en Engels, in gesprek en in rapportage

WerkgebiedBelgië, Nederland, Suriname en het Caribisch gebied

Wie het werk doet

Identara is uw opdrachtnemer. Wij bepalen samen met u de scope, bewaken de uitvoering en leveren het rapport.

Voor elk onderdeel zetten wij de specialist in die daar het sterkst in is, met gecertificeerde testers voor het offensieve werk, onder contract met ons.

U weet vooraf wie er op uw systemen komt. Eén aanspreekpunt, één rapport, geen losse leveranciers die u zelf moet aansturen.

Wat Identara niet doet

Geen licentieverkoop, geen implementatie, geen beheer. Dat houdt het oordeel vrij van een belang bij de uitkomst.

Contact

Begin met een scopegesprek van een uur

Vrijblijvend, en het levert u een concreet voorstel op met een vaste prijs. Geen verplichting om daarna door te gaan.

E-mail info@identara.one

Telefoon +32 (0)471 097 376