Audit

Een audit in de context van cybersecurity is een systematische en onafhankelijke beoordeling van de beveiligingsmaatregelen, processen en controles van een organisatie. Het doel is vast te stellen of deze maatregelen effectief zijn, voldoen aan vastgestelde normen en de organisatie adequaat beschermen tegen cyberdreigingen. Een security audit verschilt van een penetratietest doordat het breder kijkt: niet alleen naar technische kwetsbaarheden maar ook naar beleid, procedures, governance en menselijke factoren. Audits vormen een fundamenteel onderdeel van een volwassen informatiebeveiligingsprogramma en zijn vaak een vereiste onder regelgeving als ISO 27001, NIS2 en de AVG.

Hoe werkt een audit? Stappen

Een security audit volgt een gestructureerd proces dat begint met de scopebepaling. Samen met de opdrachtgever bepaal je welke systemen, processen en locaties worden beoordeeld, welk toetsingskader wordt gebruikt (ISO 27001, BIO, NEN 7510, CIS Controls) en wat de diepgang van de audit is. Een duidelijke scope voorkomt dat de audit te breed of te oppervlakkig wordt.

De tweede fase is informatieverzameling. De auditor bestudeert relevante documentatie: beveiligingsbeleid, procedures, risico-analyses, incidentrapportages en eerdere auditbevindingen. Daarnaast voert de auditor interviews met sleutelfunctionarissen als de CISO, IT-managers en procesverantwoordelijken. Technische audits omvatten ook het beoordelen van systeemconfiguraties, toegangsrechten, logbestanden en netwerkarchitectuur.

De derde fase is toetsing: het vergelijken van de aangetroffen situatie met het toetsingskader. Per beheersmaatregel beoordeelt de auditor of deze is geimplementeerd, effectief werkt en aantoonbaar wordt nageleefd. Bevindingen worden geclassificeerd naar ernst: kritiek, hoog, midden of laag. De vierde fase is rapportage: de auditor stelt een rapport op met bevindingen, risicobeoordelingen en aanbevelingen voor verbetering. De vijfde fase is opvolging: het management reageert op de bevindingen met een verbeterplan en de auditor verifieert in een follow-up of de verbeteringen zijn doorgevoerd.

Wanneer voer je een audit uit?

Security audits worden uitgevoerd op basis van verschillende triggers. Reguliere audits volgen een vast schema, meestal jaarlijks of halfjaarlijks, als onderdeel van het informatiebeveiligingsbeleid. ISO 27001-gecertificeerde organisaties ondergaan jaarlijks een surveillance-audit en elke drie jaar een hercertificeringsaudit. Overheidsorganisaties leggen via ENSIA jaarlijks verantwoording af over hun informatiebeveiliging.

Incidentgedreven audits vinden plaats na een beveiligingsincident om vast te stellen wat er misging en hoe herhaling te voorkomen. Verandergedreven audits worden uitgevoerd bij significante wijzigingen in de IT-omgeving, zoals cloudmigraties, fusies of de introductie van nieuwe systemen. Compliance-gedreven audits vloeien voort uit wettelijke verplichtingen: de NIS2-richtlijn vereist dat organisaties in vitale sectoren regelmatig worden geaudit op hun cybersecurity-maatregelen.

Er bestaan verschillende soorten security audits. Een baseline-assessment beoordeelt het totale beveiligingsniveau tegen een normenkader. Een technische audit richt zich specifiek op de configuratie van systemen en netwerken. Een procesaudit beoordeelt de effectiviteit van beveiligingsprocessen en -procedures. Een compliance-audit toetst of de organisatie voldoet aan specifieke wet- en regelgeving. Een gedragsaudit beoordeelt het security-bewustzijn en -gedrag van medewerkers.

Wat kost een audit?

De kosten van een security audit hangen af van de scope, het type audit en de omvang van de organisatie. Een beperkte technische audit van een MKB-omgeving kost tussen de vijfduizend en vijftienduizend euro. Een volledige ISO 27001-certificeringsaudit voor een middelgrote organisatie kost tussen de tienduizend en dertigduizend euro, exclusief de interne voorbereidingskosten. Een uitgebreide compliance-audit voor een grote organisatie met meerdere locaties kan vijftigduizend tot meer dan honderdduizend euro kosten.

De auditor-tarieven in Nederland liggen voor een RE-auditor (Register EDP-auditor) of CISA-gecertificeerde auditor tussen de honderdvijftig en tweehonderdvijftig euro per uur. De doorlooptijd van een audit varieert van enkele dagen voor een beperkte scope tot enkele weken voor een uitgebreide audit. Interne audits zijn goedkoper in directe kosten maar vereisen dat je beschikt over medewerkers met de juiste kwalificaties en onafhankelijkheid.

De investering in audits verdient zichzelf terug door het vroegtijdig identificeren van zwakke plekken voordat aanvallers deze exploiteren. Een audit die een kritieke kwetsbaarheid in je toegangsbeheer aan het licht brengt voordat een datalek plaatsvindt, bespaart je potentieel miljoenen euro's aan incidentkosten, boetes en reputatieschade. Daarnaast versterken audits het vertrouwen van klanten, partners en toezichthouders in de betrouwbaarheid van je organisatie.

De rol van automatisering in security audits groeit snel. Continuous compliance monitoring-tools controleren permanent of systemen en configuraties aan het toetsingskader voldoen. Dit vervangt de traditionele punt-in-tijd audit niet volledig, maar biedt wel tussentijds inzicht en verkort de voorbereidingstijd voor formele audits aanzienlijk. Tools als Qualys, Nessus en cloud-native compliance-scanners automatiseren technische controles en genereren auditrapportages die direct bruikbaar zijn voor externe auditors.

Het communiceren van auditresultaten naar het management vereist vertaling van technische bevindingen naar bedrijfsrisicos. Een auditor die rapporteert dat TLS 1.0 nog actief is op drie servers bereikt minder dan een auditor die uitlegt dat drie servers kwetsbaar zijn voor bekende aanvallen waardoor klantgegevens kunnen worden onderschept, met boeterisicos onder de AVG als gevolg. Effectieve auditrapportages koppelen technische bevindingen aan bedrijfsrisicos, financiele impact en compliance-verplichtingen.

De opkomst van cloud computing heeft nieuwe uitdagingen gecreeerd voor security audits. Traditionele auditbenaderingen gaan uit van on-premise infrastructuur waar je fysiek toegang hebt tot systemen en netwerken. In cloudomgevingen verschuift de verantwoordelijkheid gedeeltelijk naar de cloudprovider, wat het shared responsibility model wordt genoemd. Een cloudaudit moet rekening houden met deze gedeelde verantwoordelijkheid en zowel de configuratie van je eigen cloudomgeving beoordelen als de assurance-rapportages van de cloudprovider evalueren, zoals SOC 2 Type II rapporten en ISO 27001-certificeringen van de betreffende cloudprovider en hun onderliggende datacenters.

Veelgestelde vragen over audits

Wat is het verschil tussen een audit en een penetratietest?

Een audit beoordeelt breed of beveiligingsmaatregelen effectief zijn: beleid, processen, techniek en mensen. Een penetratietest simuleert specifiek een aanval om technische kwetsbaarheden te vinden. Audits zijn procesmatig en normgericht, pentests zijn technisch en aanvalsgericht. Beide zijn complementair.

Wie mag een security audit uitvoeren?

Interne audits mogen door eigen medewerkers worden uitgevoerd, mits zij onafhankelijk zijn van het te auditen proces. Voor certificeringsaudits (ISO 27001, SOC 2) heb je een geaccrediteerde externe auditor nodig. Kwalificaties als RE, CISA, CISSP of ISO 27001 Lead Auditor zijn gangbare certificeringen.

Hoe bereid je je voor op een security audit?

Begin met het verzamelen en actualiseren van alle beveiligingsdocumentatie: beleid, procedures, risico-analyses en incidentlogboeken. Voer een zelf-assessment uit tegen het toetsingskader. Los bekende tekortkomingen vooraf op. Zorg dat sleutelpersonen beschikbaar zijn voor interviews.

Hoe vaak moet je een security audit laten uitvoeren?

Minimaal jaarlijks voor een volledige audit. ISO 27001 vereist jaarlijkse surveillance-audits en driejaarlijkse hercertificering. NIS2 vereist regelmatige audits voor organisaties in vitale sectoren. Tussentijdse audits zijn nodig na grote wijzigingen of incidenten.

Wat als je zakelijke auditbevindingen negeert?

Het negeren van auditbevindingen verhoogt het risico op beveiligingsincidenten en kan leiden tot het verlies van certificeringen. Bij wettelijk verplichte audits kan niet-opvolging leiden tot handhavingsmaatregelen door toezichthouders. Bestuurdersaansprakelijkheid kan een rol spelen als bewust geidentificeerde risico's niet worden geadresseerd.

Vind een specialist voor security audits via Governance, Risk & Compliance op IBgidsNL.