Volwassenheidsonderzoek informatiebeveiliging

Waarom een volwassenheidsonderzoek?

Veel organisaties hebben informatiebeveiligingsbeleid, technische maatregelen en verschillende verbeterinitiatieven ingericht. Toch is het niet altijd duidelijk in hoeverre deze maatregelen samenhangend zijn ingericht en daadwerkelijk binnen de organisatie worden toegepast.

Een volwassenheidsonderzoek geeft antwoord op vragen als:

• Waar staat onze organisatie op het gebied van informatiebeveiliging?
• Welke maatregelen zijn goed ingericht en waar zitten nog gaps?
• Komt ons eigen self-assessment overeen met de praktijk?
• Welk volwassenheidsniveau past bij onze organisatie?
• Welke verbeteringen kunnen we het beste als eerste oppakken?

Benieuwd waar uw organisatie staat? Plan een vrijblijvend gesprek met een van onze IT-auditors.

Wat onderzoeken we?

We beoordelen informatiebeveiliging vanuit verschillende invalshoeken. Daarbij sluiten we aan op een normenkader dat past bij de organisatie en haar branche, zoals ISO 27001/27002, NEN 7510 of de Baseline Informatiebeveiliging Overheid (BIO). Daarbij kijken we naar de manier waarop informatiebeveiliging binnen de organisatie is ingericht. Denk aan onderwerpen als governance, risicomanagement, verantwoordelijkheden, toegangsbeheer, leveranciers, logging en continuïteit.

De focus ligt op de opzet en het bestaan van de beheersmaatregelen. We beoordelen bijvoorbeeld of beleid en procedures zijn vastgelegd, verantwoordelijkheden duidelijk zijn belegd en maatregelen daadwerkelijk zijn ingericht. Waar relevant verdiepen we het onderzoek om ook inzicht te krijgen in de praktische toepassing van maatregelen.

Een aanpak die past bij uw organisatie

Het gewenste volwassenheidsniveau is niet voor iedere organisatie hetzelfde. Dit is onder andere afhankelijk van risico’s, wet- en regelgeving, de gevoeligheid van informatie en de afhankelijkheid van IT.

2-Control kan aansluiten op een bestaand volwassenheidsmodel van uw organisatie of gebruikmaken van een gangbaar model, zoals het NOREA Volwassenheidsmodel Informatiebeveiliging of het Capability Maturity Model (CMM).

Onze aanpak

Het onderzoek bestaat doorgaans uit vier stappen:

1. Voorbereiding en scope
   We bepalen samen de scope, relevante onderwerpen en het te gebruiken volwassenheidsmodel. Ook nemen we kennis van een eventueel bestaand self-assessment en lopende verbeterinitiatieven.
2. Nulmeting
   Door middel van documentonderzoek, interviews en waar nodig waarnemingen in systemen beoordelen we de informatiebeveiligingsmaatregelen.
3. Analyse
   We bepalen het volwassenheidsniveau en brengen sterke punten, gaps en verschillen met het gewenste niveau in kaart.
4. Rapportage en prioritering
   U ontvangt concrete aanbevelingen. De belangrijkste verbetermaatregelen worden geprioriteerd op basis van impact en benodigde inspanning, zodat inzichtelijk wordt welke verbeteringen als eerste kunnen worden opgepakt.

Wat levert het op?

Na afloop beschikt u over:

• een onafhankelijke nulmeting van uw informatiebeveiliging;
• inzicht in volwassenheid per onderwerp;
• inzicht in sterke punten en belangrijkste verbeterpunten;
• indien van toepassing een vergelijking met uw eigen self-assessment;
• concrete en praktisch uitvoerbare aanbevelingen;
• prioritering van aanbevelingen op basis van impact en inspanning;
• input voor een verbeteragenda of informatiebeveiligingsroadmap.

Waarom 2-Control?

Onze IT-auditors combineren kennis van informatiebeveiliging met ervaring op het gebied van IT-audit, risicomanagement en interne beheersing. Hierdoor kijken we niet alleen naar de aanwezigheid van maatregelen, maar ook naar de samenhang tussen beleid, verantwoordelijkheden, processen en techniek.

Het resultaat is een onafhankelijke en praktisch toepasbare beoordeling waarmee uw organisatie gericht verder kan werken aan een passend niveau van informatiebeveiliging.

Wilt u weten waar uw organisatie staat en welke verbeteringen de meeste waarde toevoegen? Neem contact met ons op voor een vrijblijvend gesprek over de scope en aanpak van een volwassenheidsonderzoek.