De Pre-Audit Nulmeting: Zelf je Informatiebeveiliging Toetsen
Een pre-audit nulmeting is een gestructureerde zelfinspectie waarmee een organisatie vooraf toetst in hoeverre haar IT-inrichting en werkprocessen aansluiten bij vigerende beveiligingsrichtlijnen. Door vooraf de huidige stand van zaken objectief in kaart te brengen, worden ontbrekende maatregelen, kwetsbaarheden en hiaten in de bewijsvoering zichtbaar voordat een externe partij een formele inspectie uitvoert.
Dit artikel hoort bij het thema Cybersecurity in het MKB, onderdeel van ICT-beveiliging voor het MKB.
Hierdoor krijgt de directie tijdig overzicht over waar verbeteringen nodig zijn. Dit maakt gerichte prioritering mogelijk en zorgt voor een efficiënter traject wanneer een accountant, certificerende instantie of opdrachtgever om verantwoording vraagt.
Waarom een nulmeting de voorbereiding op een externe audit vergemakkelijkt
Wanneer een auditor of inspecteur toetst op normen zoals ISO 27001 of brancherichtlijnen, kijkt deze naar twee samenhangende elementen:
- Zijn de regels en procedures vastgesteld en passend voor de risico's van de organisatie?
- Is er verifieerbaar bewijs dat deze maatregelen in de dagelijkse praktijk consistent worden uitgevoerd?
Een praktisch risico bij audits is dat beleidsstukken wel aanwezig zijn, maar het operationele auditspoor onvolledig is: formulieren die niet zijn afgetekend, back-ups waarvan geen herstelrapporten bestaan of autorisatiewijzigingen die mondeling zijn doorgegeven. Een nulmeting brengt juist deze praktische hiaten aan het licht.
De 12 ICTklaar-Pijlers voor een Gestructureerde Zelfinspectie
Om een compleet overzicht te bieden over alle facetten van zakelijke IT, hanteert ICTklaar een model opgebouwd uit 12 samenhangende pijlers:
Toegang en privacy
1. Toegangsbeheer & Autorisatie (Wachtwoordbeleid, MFA, beheeraccounts, offboarding)
2. Gegevensbescherming & Privacy (AVG-naleving, encryptie, datalekprocedures)
3. Werkplek- & Netwerkbeveiliging (Patchbeleid, antimalware/EDR, netwerkscheiding)
Continuïteit en veiligheid
4. Back-up, Herstel & Continuïteit (3-2-1 principe, onafhankelijke opslag, hersteltests)
5. Veilig Werken & Cultuur (Gedragsregels, phishingbewustzijn, omgang met data)
6. Fysieke Beveiliging & Bedrijfsmiddelen (Toegang tot ruimtes, beheer mobiele dragers)
Beheer en inrichting
7. Software- & Licentiebeheer (Ondersteunde softwareversies, schaduw-IT, licentiebeheer)
8. Logging, Monitoring & Incidentrespons (Auditlogs, alarmering, escalatiepaden)
9. Leveranciers & Cloud (SLA-afspraken, verwerkersovereenkomsten, afhankelijkheden)
Bestuur en borging
10. Beleid, Organisatie & Zorgplicht (Directieverantwoordelijkheid, risicobeoordeling)
11. IT-Investeringen & Vernieuwing (Levenscyclusbeheer, modernisering, budgettering)
12. Aantoonbaarheid & Bewijsvoering (Bewijsdossier, statusverificatie, auditgereedheid)
Praktische ICTklaar-richtlijn: Een Nulmeting in 3 Stappen
Stap 1: Bepaal de feitelijke implementatie per onderwerp
Beoordeel per normvraag niet op basis van aannames ("dat zal wel geregeld zijn"), maar op basis van feitelijke realisatie: ontbreekt de maatregel, is deze in opzet aanwezig, gedeeltelijk ingevoerd of organisatiebreed en consistent geïmplementeerd?
Stap 2: Identificeer urgente knelpunten (Rode Vlaggen)
Niet elk openstaand punt brengt evenveel operationeel risico met zich mee. Maak onderscheid tussen administratieve verbeterpunten en acute risico's, zoals het ontbreken van meervoudige verificatie op externe toegang of het ontbreken van een geteste back-up.
Stap 3: Breng het bewijsdossier op orde
Verzamel per maatregel de bijbehorende registraties: exports van instellingen, getekende overeenkomsten, verslagen van hersteltests en inloglogboeken.
Praktijkscenario: Voorbereiding op een klant-audit
Aantoonbaar Bewijs: De Oplevering van een Nulmeting
Een gedegen pre-audit levert concrete stuurinformatie op:
- Maturiteitsscore per domein: Inzicht in welke pijlers op niveau zijn en waar aandacht nodig is.
- Overzicht van kritieke risico's: Een helder overzicht van maatregelen met een lage implementatiescore of ontbrekend bewijs.
- Geprioriteerd verbeterplan: Een actielijst waarmee beheerder en directie gericht aan de slag kunnen.
Veelgestelde vragen
Vervangt een nulmeting een formele accreditatie of certificering?
Nee. Een nulmeting is een indicatief zelfinspectie-instrument. Het toont aan waar de organisatie staat ten opzichte van gangbare normen en helpt bij de interne voorbereiding, maar vormt op zichzelf geen formele certificering zoals een ISO 27001-certificaat van een geaccrediteerde instelling.
Hoeveel tijd kost het doorlopen van een pre-audit nulmeting?
Het invullen van de vragenlijst zelf vraagt doorgaans tussen de 30 en 60 minuten, mits de directie en de IT-beheerder de benodigde gegevens over systemen en contracten bij de hand hebben.