Claimed vs Verified: bouw een betrouwbaar IT-bewijsdossier
Bij informatiebeveiliging is zeggen dat een maatregel is ingericht vaak niet genoeg. Bij audits, vragen van klanten, verzekeraars of incidentonderzoek wordt steeds vaker gevraagd om het aan te tonen. 'Claimed' betekent dat iemand stelt dat een maatregel aanwezig is. 'Verified' betekent dat er controleerbare documentatie of een technische registratie is. Wie systematisch bewijs verzamelt, kan sneller en geloofwaardiger antwoorden — al bepaalt de partij die vraagt uiteindelijk zelf welk bewijs zij voldoende vindt.
Dit artikel hoort bij het thema ICT-ondersteuning en leveranciersbeheer, onderdeel van ICT-beheer en werkplekken.
Waarom aantoonbaarheid zwaarder weegt
Auditoren, klanten en onderzoekers kijken kritischer naar onderbouwing: was een instelling op een bepaald moment echt actief, en zijn er registraties van wijzigingen, hersteltests en toegangsrechten? Een mondelinge toezegging van een IT-partner is een goed begin, maar laat zich achteraf moeilijk controleren.
De vier niveaus van de ICTklaar-bewijsladder
| Niveau | Betekenis |
|---|---|
| Verified | Er is direct controleerbaar technisch of schriftelijk bewijs, zoals een export, testverslag of getekende overeenkomst. |
| Claimed | Mondeling toegezegd of aangevinkt, maar het onderliggende bewijs is nog niet ingezien. |
| Geen bewijs | Er is gericht gezocht, maar geen onderbouwing gevonden. |
| Onbekend | Nog niet onderzocht; telt mee als openstaand aandachtspunt. |
Deze vier niveaus zijn de eigen ICTklaar-indeling, geen officiële auditcategorieën. In de ICTklaar-scan staan bewijsstatus en implementatiescore los van elkaar: een maatregel kan goed geregeld zijn en toch nog niet aantoonbaar.
Norm en bron
- AVG/GDPR artikel 5 lid 2 (verantwoordingsplicht): de verwerkingsverantwoordelijke is verantwoordelijk voor naleving van de beginselen uit artikel 5 en moet deze naleving kunnen aantonen. Schriftelijke en technische vastlegging helpt om deze verantwoordingsplicht aantoonbaar in te vullen.
- AVG artikel 32: passende technische en organisatorische maatregelen om persoonsgegevens te beveiligen, inclusief het regelmatig testen en evalueren daarvan.
De AVG schrijft niet voor welke documenten je precies moet bewaren. Schriftelijke en technische vastlegging is een praktische manier om de verantwoordingsplicht aantoonbaar in te vullen. Of dat in een specifieke situatie voldoende is, hangt af van de omstandigheden.
ICTklaar-richtlijn: een dossier in vijf onderdelen
Dit is eigen advies van ICTklaar, geen wettelijke indeling.
- Beleid en gedragsregels voor medewerkers, met datum en versie.
- Periodieke exports van gebruikers, beheeraccounts en MFA-status (bijvoorbeeld elk kwartaal).
- Verslagen van hersteltests van back-ups.
- Getekende SLA's (afspraken over service en reactietijden) en verwerkersovereenkomsten.
- Afspraken over het bewaren van logbestanden en een registratie van incidenten en datalekken.
Zo maak je van Claimed Verified
- Vraag je IT-partner per maatregel om het onderliggende bewijs, niet alleen om een bevestiging.
- Zorg dat elk stuk een datum, het betreffende systeem en de bron bevat.
- Bewaar alles op één vaste plek waar ook een vervanger het kan vinden.
- Plan een vast moment (bijvoorbeeld elk kwartaal) om exports te vernieuwen.
Voorbeelden langs de bewijsladder
| Onderwerp | Claimed | Verified |
|---|---|---|
| MFA | "Iedereen gebruikt tweestapsverificatie." | Export van het actieve toegangsbeleid. |
| Back-up | "De back-up draait elke nacht." | Testverslag van een recente hersteltest. |
| Vertrek medewerker | "We sluiten het account als iemand weggaat." | Afgetekende checklist met tijdstip van intrekken. |
| Updates | "Systemen werken zichzelf bij." | Periodiek rapport met de updatestatus. |
Veelgestelde vragen
Hoe lang moet ik IT-bewijsstukken bewaren?
Daar is geen algemene termijn voor. Voor de fiscale administratie geldt in Nederland in principe 7 jaar; voor IT-stukken bepalen contracten, brancheafspraken en polisvoorwaarden vaak de termijn. Bewaar persoonsgegevens niet langer dan nodig.
Is een screenshot geldig bewijs?
Als ondersteunend bewijs wel, mits datum, systeem en domein zichtbaar zijn. Een export uit het beheersysteem heeft de voorkeur, omdat die beter controleerbaar is.
Is Claimed altijd slecht?
Nee. Het is een goed startpunt, maar vraagt verificatie voordat je erop bouwt bij een audit of klantvraag.
Wie bepaalt of bewijs voldoende is?
De partij die erom vraagt: een auditor, klant, verzekeraar of toezichthouder. De bewijsladder helpt je voorbereiden, maar is geen officieel oordeel.