Auditvoorbereiding. Elke dag, niet elk jaar.
Zeven frameworks en 107 controls, per klant gescoord op bewijs uit apparaten, Microsoft 365 en risico's, aangevuld met attestaties voor het beleid dat geen agent kan zien. Weet welke klanten aandacht nodig hebben voordat de auditor erom vraagt, en laat een klant precies zien wat één fix oplevert.
Gebouwd voor compliance vanaf de basis
Elke control staat per klant op conform, bijna conform, hiaat of niet beoordeeld. Geautomatiseerde controls lezen apparaatchecks, Microsoft 365-tenantcontrols en open risico's; organisatorische controls worden geattesteerd door iemand die daarover mag beslissen.
NIS2: 11 controls
De Artikel 21-maatregelen als elf controls per klant, van risicoanalyse en incidentafhandeling tot cryptografie en toegangsbeheer. De uitwerking per verplichting, en de Artikel 23-meldingen, staan op de NIS2-pagina.
Bekijk de NIS2-uitwerkingISO 27001:2022: 24 controls
Annex A-controls uit de 2022-editie, zoals A.5.24 voor incidentplanning. Technische controls lezen bewijs van apparaten, Microsoft 365 en open risico's; organisatorische controls worden geattesteerd.
CIS Controls v8: alle 18
Alle achttien CIS Controls, met de safeguards uit dezelfde bron als de CIS-hardeningchecks op elk apparaat. Een safeguard en zijn frameworkcontrol kunnen dus niet uit elkaar lopen.
SOC 2: 19 controls
Nieuw. De Trust Services Criteria die een MSP het vaakst moet onderbouwen, zoals CC7.4 voor incidentrespons, gescoord uit hetzelfde bewijs als de andere frameworks.
DORA: 13 controls
Voor klanten in de financiële sector: ICT-risicobeheer, incidentafhandeling (Art. 17) en weerbaarheid, met continue asset- en kwetsbaarheidszichtbaarheid als technisch bewijs.
NIST CSF: 11 controls
Gekoppeld met de categorie-ID's van NIST CSF 1.1, zoals PR.AC, PR.IP en DE.CM, zodat een assessor elke control kan herleiden.
AVG / GDPR: 11 controls
Nieuw. De beveiligings- en meldplichten van de AVG, zoals Art. 33 voor het melden van datalekken, naast dezelfde technische maatregelen die de andere frameworks al lezen.
Antwoorden voor de auditor, en voor het klantgesprek
De helft van een audit die geen agent kan zien, telt nu mee in de score, en de helft die een agent wel ziet wordt beoordeeld zoals een auditor die zou lezen.
Beleid telt mee, niet alleen telemetrie
Incidentrespons, back-ups, leveranciersrisico, bewustwordingstraining en governance zijn ook controls. Een super user van de klant, de partner of Secuno legt vast: conform, bijna conform of hiaat, met een toelichting en optioneel een bewijsbestand. Elke attestatie blijft bewaard, vervalt na de reviewperiode (een jaar, zes maanden voor back-ups) en wie attesteerde krijgt 30, 7 en 1 dag vooraf een herinnering.
Eén keer attesteren, elk framework gedekt
Een incidentresponsplan is CIS 17, ISO A.5.24, NIS2 21.2.b, DORA Art. 17, SOC 2 CC7.4 en AVG Art. 33. Eén attestatie dekt ze allemaal, en alleen controls die echt dezelfde eis zijn kunnen worden gekoppeld.
Bijna conform is geen hiaat
Een control die op 1 van de 200 apparaten faalt, krijgt niet langer hetzelfde rode label als een control die overal faalt. Slaagt 95% of meer van de beoordeelde apparaten en tenants, dan staat er bijna conform met het slagingspercentage: afwerkwerk, geen crisis. Het kopcijfer telt nog steeds alleen volledig conforme controls.
Eén fix, meerdere frameworks
Elke control toont welke controls in andere frameworks hetzelfde bewijs lezen. BitLocker aanzetten verschuift zeven controls in zeven frameworks, en de pagina zegt dat ook. Precies het argument waarmee een klant het werk goedkeurt.
Documenten waar de auditor kijkt
Voeg het beleid of de consolescreenshot toe die een geautomatiseerde control onderbouwt. Ondersteunende documenten staan op de controlpagina, gaan mee met een auditorlink als u bewijs meestuurt, en wijzigen nooit een status.
Een historie, geen momentopname
Elke klant en elk framework wordt elke nacht vastgelegd, zodat u een klant de trend sinds vorig kwartaal laat zien in plaats van één meting. Checks die niet konden draaien of niet van toepassing zijn, tellen nooit als geslaagd.
Compliance voor elke klant vanuit één plek
Gebouwd voor een partner met veel klanten, en net zo bruikbaar voor één organisatie die zichzelf beheert.
Portfolio, slechtste eerst
Elke klant op één framework, slechtste eerst, met de verandering over 30 dagen en de controls die bij de meeste klanten falen. Het dashboard vergelijkt met uw eigen klanten uit dezelfde branche en omvang, alleen als er minstens drie vergelijkbaar zijn.
Simulator
Vink de controls aan die een klant zou oplossen en zie het percentage daarna en wat er in andere frameworks verschuift. Zo wordt een budgetgesprek een concrete lijst, en die lijst een campagne.
Campagnes
Coördineer één fix over veel klanten met een deadline, en volg de voortgang gemeten vanaf hun apparaten, of handmatig waar geen apparaatcheck bestaat.
Kalender
Campagnedeadlines, verlengingen van attestaties, geplande rapporten en, voor klanten die als NIS2 essentieel of belangrijk zijn geclassificeerd, de meldtermijnen van elk open incident.
Auditorlinks
Een alleen-lezen link voor een auditor zonder account: maximaal 90 dagen geldig, optioneel met wachtwoord, optioneel met bewijsbestanden, altijd in te trekken en bij elke opening geteld. De link wordt één keer getoond en laat nooit hostnamen of andere klanten zien.
Frameworkrapporten
Een PDF of CSV per framework per klant, vooraf te bekijken en optioneel volgens schema gemaild. Het compliancerapport onder Rapporten leest dezelfde frameworks, dus die twee spreken elkaar nooit tegen.
Koppel een control aan een regel die elke dag draait
Definieer meerconditionele regels op live inventaris en postuur, en koppel elke regel aan de frameworkcontrols die hij dekt. Zodra de condities kloppen wordt een risico aangemaakt, mét het bewijs eronder.
- Condities draaien tegen apparaten, Microsoft 365-gebruikers, -applicaties en -bevindingen, en certificaten, niet alleen tegen apparaatinventaris
- Presets worden meegeleverd als inhoud met een versie in plaats van een kopie die bevroor op het moment van plakken, en de Microsoft 365-presets hebben hun frameworkverwijzingen al ingevuld
- Koppel een regel aan frameworkcontrols en hij verschijnt als dekking op het compliancerapport
- Verhoog de ernst wanneer een door een regel aangemaakt risico langer openstaat dan uw eigen grens
- Bekijk de impact met een dry run voordat de regel live gaat
Voorbeeldregels, gekoppeld aan frameworks
BitLocker uitgeschakeld op een device
NIS2 Art. 21 · CIS 3.11
Windows Defender uitgeschakeld
NIS2 Art. 21 · CIS 10.1
Firewallprofiel uitgeschakeld
NIS2 Art. 21 · CIS 4.5
Onbekend account toegevoegd aan Administrators
ISO 27001 A.8.2 · CIS 5.4
Onbekend luisterend proces (poort > 1024)
CIS 4.8 · NIS2 Art. 21
Geen actieve antivirus gevonden
CIS 10.1 · NIS2 Art. 21
Regels worden volgens een schema geëvalueerd tegen alles binnen scope. Zodra de condities kloppen wordt een risico aangemaakt, mét het predicaat dat matchte en de waarde die het werkelijk las. Regels en drempelwaarden stelt u per klant in, of in één keer voor de hele portfolio.
Zie hoe Secuno uw complianceverplichtingen ondersteunt
We laten u de portfolioweergave, een geattesteerde control, de simulator en een auditorlink zien, live in het platform.