Een deel van deze sector draait op angst. Jaag het bestuur schrik aan, sluit de deal en kom volgend jaar terug met een nieuwe reeks rampscenario’s.
We begrijpen waarom dat werkt. Maar wij doen er niet aan mee.
Angst leidt vooral tot stilstand. Organisaties die zich overweldigd voelen, nemen zelden goede beslissingen over hun beveiliging. Wat je positie echt verbetert, is een team dat zich in staat voelt om te handelen.
Het omgekeerde geldt ook. Niemand kan je organisatie volledig onhackbaar maken. Wie iets anders beweert, belooft te veel. Als een test weinig oplevert, zeggen we dat eerlijk. Als we denken dat een programma op dit moment niet bij je organisatie past, zeggen we dat ook. Zelfs als dit betekent dat de opdracht kleiner wordt dan je had gevraagd.
Je moet kunnen vertrouwen op wat wij je vertellen. In dit vak is dat geen prettige bijkomstigheid. Het is de essentie.
Veel bevindingen produceren is eenvoudig. Laat geautomatiseerde tools los op je systemen en aan het einde van de middag heb je er honderden. Een flink deel bestaat uit dubbele meldingen, foutpositieven of zaken die helemaal niet op jouw situatie van toepassing zijn.
Maar veel bevindingen leveren nog geen inzicht op. Bovendien vragen ze om het middel waaraan je het grootste tekort hebt: de aandacht van je team.
Daarom controleren onze specialisten iedere bevinding voordat die jou bereikt. Klopt de melding? Staat deze al open in je overzicht? Welke prioriteit verdient ze ten opzichte van andere zaken die echt aandacht nodig hebben? Wat jij ontvangt, is gevalideerd en geprioriteerd.
Security is niet iets wat een leverancier bij je komt uitvoeren. Je kunt het ook niet volledig uit handen geven.
Vier elementen moeten samenwerken. Automatisering zorgt voor snelheid en dekking. Onze specialisten zorgen voor validatie en context. Hackers brengen het perspectief waarmee ze ontdekken wat voorspelbare tests missen. En jouw team beschikt over kennis die wij niet hebben: hoe je organisatie werkelijk werkt, welke systemen echt belangrijk zijn en wat je mensen dit kwartaal realistisch kunnen oppakken.
Haal één van deze elementen weg en het resultaat wordt minder sterk.
In de praktijk betekent dit dat we naast je team werken, in plaats van een rapport af te leveren en vervolgens te verdwijnen. Als een kort gesprek een week aan e-mails kan besparen, brengen we je rechtstreeks in contact met de hackers die je systemen testen.
Andersom werkt het net zo. Onze positie binnen de hackercommunity is volledig gebaseerd op het zorgvuldig behandelen van mensen. Dat betekent een duidelijke scope, eerlijke communicatie en beloningen die recht doen aan wat iemand daadwerkelijk heeft gevonden. Het kostte jaren om die reputatie op te bouwen. Eén slecht uitgevoerd programma kan haar beschadigen.