Vier situaties die we steeds weer zien.

IT-problemen zien er per bedrijf anders uit. Daaronder gaat het meestal om een van deze vier. Dit troffen we steeds aan, en dit veranderde er.

Gebaseerd op echte opdrachten. Namen en sommige details zijn aangepast.

Aanbestedingen en inkoop

Duurzaamheidsadviesbureau, 120 mensen, Amsterdam

Ze verloren steeds aanbestedingen, en niet door hun pitch.

Ze overtuigden elke keer. Dan kwam de securitybijlage van inkoop, en hadden ze niets om in te vullen: geen devicebeheer en geen vastgelegde toegangsregels.

Lees het hele verhaal

De situatie

Een sterke pitch, een geloofwaardig team en kennis waar grote klanten om vroegen. Ergens tussen de laatste presentatie en de inkooporder ging het steeds mis. Niet op prijs en niet op kwaliteit, maar op de securitybijlage van vier pagina's die bij elke aanbesteding zat. Ze hadden niets om erin te zetten.

Wat we aantroffen

De nulmeting maakte het concreet. 120 mensen op onbeheerde devices, SaaS-tools aangeschaft door wie ze die week nodig had, en geen overzicht van wie waar toegang toe had. Geen identity provider, geen MDM, geen proces voor uitdienst en geen vastgelegde maatregelen. Geen crisis: het bedrijf was gewoon hard gegroeid zonder dat iemand eigenaar was van IT.

Wat we veranderden

We schreven alle devices in en namen het beheer over, zetten inloggen om naar single sign-on met phishing-bestendige MFA en automatiseerden de uitdienst, zodat toegang binnen minuten verdwijnt. We maakten en documenteerden een toegangsoverzicht, plus een checklist die aansluit op de securitybijlagen die steeds terugkwamen. Zo'n bijlage kost nu een middag.

Het resultaat

Acht weken van nulmeting tot klaar. Bij de volgende aanbesteding leverden ze op dag één een volledig ingevulde securitybijlage in, en de checklist hoort nu bij elke inschrijving. De instellingen bestaan, ze zijn vastgelegd, en ze houden stand als een inkoopteam ze controleert.

Enterprise-verkoop

B2B SaaS, 60 mensen, verkoopt aan de financiële sector

Een deal van zes maanden liep bijna stuk op de securityreview.

Juridisch was alles rond. Toen stuurde inkoop 180 securityvragen met vijf dagen bedenktijd, en de antwoorden zaten verspreid over Slack, twee oud-medewerkers en het geheugen van één engineer.

Lees het hele verhaal

De situatie

Zes maanden verkoopwerk: een pleitbezorger bij de klant, budget goedgekeurd, juristen bezig. Toen kwam er een securityvragenlijst met 180 vragen en vijf dagen om te antwoorden. De antwoorden zaten in drie Slack-kanalen, bij twee mensen die al weg waren, en bij één engineer die zich half herinnerde wat er twee jaar eerder was ingericht. De deal scheelde een week of hij was mislukt.

Wat we aantroffen

Geen centrale identity provider. Onbeheerde devices. Nergens vastgelegd wie bij welke systemen kon of hoe toegang werd ingetrokken bij vertrek. De vragenlijst was redelijk. De maatregelen bestonden alleen nog niet, en wat er wel was, stond nergens zo beschreven dat het securityteam van een bank het kon zien.

Wat we veranderden

We brachten de identiteitsomgeving samen, schreven de devices in met verplichte encryptie en bouwden een toegangsoverzicht vanaf nul. Daarna maakten we een sjabloon voor vragenlijsten op basis van de maatregelen die er nu wel waren, met bij elke bewering een log of beleidsdocument als bewijs.

Het resultaat

De deal ging door. Een half jaar later stuurde een andere grote prospect een eigen vragenlijst, en het team beantwoordde die in drie dagen. Ook die deal sloot op schema.

Eigenaarschap van IT

Deeptech-startup, 80 mensen, Series A, Amsterdam

De IT'er vertrok, en maandag begonnen drie engineers.

Eén persoon deed devices, SaaS-accounts en de inrichting voor nieuwe mensen. Na twee weken opzegtermijn was hij weg, en niemand wist welke systemen er waren of wie waar bij kon.

Lees het hele verhaal

De situatie

Devices kopen, SaaS-accounts aanmaken, nieuwe collega's inrichten, de IT-inbox: het zat allemaal in het hoofd van één persoon. Die zegde op met twee weken opzegtermijn en vertrok. Geen overdracht en geen lijst met systemen. De maandag erop begonnen drie engineers, en niemand wist hoe ze aan de slag moesten.

Wat we aantroffen

Meer dan 40 SaaS-apps, de meeste aangemaakt door wie ze het eerst nodig had. Twaalf oud-medewerkers hadden nog actieve accounts, sommige al achttien maanden. Geen identity provider die het samenbracht, en devices bijgehouden in een spreadsheet en in het geheugen van mensen. Niemand was slordig geweest. Het bedrijf was in twee jaar vier keer zo groot geworden en niemand was eigenaar van de infrastructuur.

Wat we veranderden

We controleerden alle toegang en sloten de twaalf oude accounts. We zetten een identity provider op met single sign-on voor alle belangrijke tools, schreven de devices in en koppelden het aanmaken en verwijderen van accounts aan HR. Dat loopt nu via dezelfde workflow als contracten en startdatums.

Het resultaat

De drie nieuwe engineers waren voor 9 uur op hun eerste dag volledig ingericht. Iemand uit dienst halen kost nu acht minuten en laat een volledig audit trail achter. Voor het eerst heeft het bedrijf op papier wat er bestaat, wie de eigenaar is, en wat er gebeurt als iemand komt of gaat.

Due diligence door investeerders

Healthtech, 45 mensen, voor de Series B, Amsterdam

De leadinvesteerder vroeg naar IT-security. Niemand had een antwoord.

Het term sheet kwam op dinsdag. Donderdag lag de due-diligencelijst er, met een onderdeel over IT-security waar niemand een antwoord op had.

Lees het hele verhaal

De situatie

Twee dagen na het term sheet stuurde de leadinvesteerder een technische due-diligencelijst. Halverwege stond een onderdeel over devicebeheer, toegangsbeheer, incidentrespons en encryptie. Niemand in het oprichtersteam had op één punt een vastgelegd antwoord.

Wat we aantroffen

Devices zonder afgedwongen encryptie en zonder bewijs daarvan. Geen formeel toegangsbeheer, waardoor mensen adminrechten hadden die ze vergeten waren. Geen vastlegging van in- en uitdienst. Het team bedoelde het goed en de maatregelen die er waren, waren echt, maar niets was geordend of aantoonbaar voor het technische team van een investeerder.

Wat we veranderden

De nulmeting gaf een precies overzicht van wat er was en wat ontbrak. In zes weken schreven we de devices in, dwongen we encryptie af, legden we het toegangsbeheer formeel vast, ordenden we de auditlogs en stelden we een bewijspakket samen rond de vragen die investeerders en auditors stellen.

Het resultaat

Het due-diligencepakket ging terug met elke maatregel vastgelegd en controleerbaar, zonder openstaande punten. De Series B sloot op schema.

Herken je er een?

De meeste bedrijven die we spreken zitten nog niet in een crisis, maar zien er wel een aankomen. Een gesprek van 60 minuten is genoeg om te weten waar jullie staan.

Plan een gratis gesprek