MFA staat aan, de back-ups draaien elke nacht en er ligt beleid waar iedereen voor getekend heeft. Toch kan niemand in je organisatie hardop zeggen wat er gebeurt op het moment dat iemand er morgen tegenaan duwt. Dat gat tussen maatregelen hebben en weten dat ze houden, is wat een security audit invult.

In deze blog lees je wat een security audit precies is, waarin hij verschilt van een pentest, wanneer hij zin heeft, wat hij oplevert en wat je met de uitkomst doet.

Wat is een security audit?

Een security audit is een beoordeling van hoe je organisatie ervoor staat op het gebied van digitale beveiliging. Er wordt gekeken naar wat er technisch draait, hoe het is ingericht en wat er is afgesproken. De uitkomst is een beeld van waar je staat en van wat er als eerste aandacht nodig heeft.

Er zit een groot verschil tussen audits onderling. Een deel ervan controleert of maatregelen bestaan: staat MFA aan, is er een back-upbeleid, ligt er een procedure voor incidenten. Dat levert een vinkje op.

De vraag die daarachter ligt is of die maatregelen ook doen wat ze moeten doen op het moment dat het erop aankomt. Een back-up die nooit is teruggezet, is een aanname. Een audit die iets waard is, kijkt daarom naar de praktijk en niet alleen naar de documentatie.

Wat is het verschil tussen een security audit en een pentest?

Een security audit gaat over de breedte van je omgeving. Wat staat er, hoe is het ingericht, wat is er geregeld en waar zitten de zwakke plekken. Het antwoord is een positiebepaling.

Een pentest gaat de diepte in. Er wordt een doel gekozen en vervolgens wordt geprobeerd daar binnen te komen, met dezelfde technieken die een aanvaller zou gebruiken. Het antwoord is een aanvalspad. Hoe zo’n test tegenwoordig verloopt, staat in Waarom autonome pentests wél werken.

Die twee versterken elkaar in een vaste volgorde. Een pentest test wat een aanvaller kan met de systemen die in beeld zijn. Staat een deel van je omgeving niet op de lijst, dan wordt dat deel ook niet getest. Daarom levert een pentest het meeste op zodra je weet wat er draait.

Wanneer heeft een security audit zin?

Er zijn vier momenten waarop het gesprek hierover vrijwel altijd bovenkomt:

Je omgeving is veranderd. Een verhuizing naar de cloud, een overname, een nieuwe locatie of een productielijn die erbij is gekomen. De inrichting van vorig jaar past niet meer op de situatie van nu.

Iemand vraagt om bewijs. Een klant, een verzekeraar of een aanbesteding wil zien hoe je je risico’s beheerst. Een intern gevoel dat het wel goed zit, is dan niet genoeg.

De Cyberbeveiligingswet raakt je. Sinds 15 augustus 2026 is de Nederlandse invulling van NIS2 van kracht. Die legt de verantwoordelijkheid bij het bestuur en vraagt om aantoonbaar zicht op je risico’s. Of jouw organisatie eronder valt en wat er van je verwacht wordt, lees je in NIS2 in Nederland.

Niemand kan zeggen welke systemen kritiek zijn. Als de vraag welke drie systemen echt niet stil mogen vallen vijf verschillende antwoorden oplevert, dan is dat op zichzelf al de uitkomst.

Wanneer het weinig toevoegt is net zo duidelijk. Staat MFA nog niet aan en zijn back-ups nooit getest, dan weet je je eerste drie acties al. Een audit zet ze op papier en bevestigt de volgorde. Datzelfde budget is op dat moment meer waard als je die drie dingen gewoon uitvoert en de audit daarna doet, wanneer hij ook echt iets kan meten.

Wat levert een security audit op?

Een security audit levert een beeld op van wat er in jouw omgeving staat, wat daarvan kwetsbaar is en wat er als eerste aandacht nodig heeft. Dat beeld komt tot stand door op zes punten te kijken.

Zicht op alle apparatuur in je netwerk

Welke apparaten hangen aan je netwerk en in welke staat verkeren ze. Laptops en servers staan meestal wel ergens geregistreerd. De camera’s, de toegangssystemen, de klimaatregeling en de machines in een productiehal staan vaak nergens. In omgevingen met veel operationele techniek is dat onzichtbare deel groter dan de meeste organisaties verwachten. Hoe je dat in kaart brengt zonder de productie te raken, lees je in onze blog over OT security.

Inloggegevens die al buiten liggen

Wachtwoorden en actieve sessies van medewerkers die via malware of een besmette browserextensie al bij criminelen terecht zijn gekomen. Een sterk wachtwoord houdt dat niet tegen, want er wordt niets gekraakt. Er wordt ingelogd. Hoe dat werkt staat in Infostealers: waarom je sterke wachtwoord je niet meer beschermt.

Wat een aanvaller er werkelijk mee kan

Losse kwetsbaarheden zeggen weinig. De vraag is welke ervan aan elkaar te knopen zijn tot een pad dat uitkomt op een plek waar je dat niet wilt.

Hoe ver een besmetting zich kan verspreiden

Als één laptop besmet raakt, wat kan die machine dan bereiken. In de meeste netwerken is het antwoord daarop: vrijwel alles.

Welke kwetsbaarheden open staan en in welk tempo ze dichtgaan

Vinden is het probleem allang niet meer, want dat doet elke scanner. Het knelpunt zit in de capaciteit om de lijst af te werken en in de volgorde waarin dat gebeurt. Daarover gaat onze blog over patch management.

Welk risico het zwaarst weegt als het misgaat

Een kwetsbaarheid met een hoge technische score op een systeem dat niemand gebruikt is minder urgent dan een middelmatige kwetsbaarheid op het systeem waar je hele productie aan hangt. Die weging is de reden dat de uitkomst van een security audit bruikbaar is in een directievergadering.

Wat je overhoudt is een korte lijst: wat er op het spel staat, hoe waarschijnlijk het is dat het gebeurt en wat het kost om het te dichten. Daar kun je een besluit op nemen.

Wat doe je met de uitkomst van de audit?

De volgorde waarin je verder gaat, hangt af van wat er bovenaan de lijst staat.

Onbekende apparaten. Staan er systemen op die niemand kende, dan is dat je eerste werk. Zolang een deel van je omgeving buiten beeld blijft, gaat elke conclusie over risico alleen over het deel dat je toevallig wel ziet.

Gestolen inloggegevens. Die gaan voor op al het andere. Ze zijn op dit moment bruikbaar voor iemand anders, zonder dat er ergens ingebroken hoeft te worden.

Een pad van werkplek naar kernsysteem. Loopt er een route van één laptop naar het systeem waar je organisatie op draait, dan vangt het scheiden van netwerkverkeer daar het meeste van af.

Een stapel bekende kwetsbaarheden. Staat de lijst vol met dingen die al maanden open staan, dan is het probleem niet technisch. Dan gaat het over capaciteit en over de volgorde waarin je patcht.

Een vraag om verantwoording. Was dat de aanleiding, dan begin je bij wat je moet kunnen aantonen en werk je terug naar wat je daarvoor in beeld moet hebben.

Wat in alle gevallen hetzelfde blijft: je pakt twee of drie dingen op en de rest komt in een planning met een datum erbij. Een security audit die eindigt in een lijst waar niemand aan begint, heeft niets opgeleverd.

Hoe vaak herhaal je een security audit?

Een audit is een momentopname. Twee weken later hangt er nieuwe apparatuur aan het netwerk, zijn er mensen in en uit dienst en zijn er kwetsbaarheden bekend geworden die op de dag van de audit nog niet bestonden.

Daarom werkt het beter om er een ritme van te maken dan een jaarlijkse gebeurtenis. Dat ritme bestaat uit drie stappen:

Find. Je brengt in kaart wat er mis kan gaan en in welke volgorde het weegt.

Fix. Je dicht wat bovenaan staat.

Verify. Je test opnieuw om te zien of het werkelijk dicht is.

Die laatste stap wordt het vaakst overgeslagen. Een uitgerolde patch en een afgesloten aanvalspad zijn twee verschillende dingen. Welke van de twee je hebt weet je pas als je opnieuw test.

Hoe vaak je een security audit volledig herhaalt, hangt af van hoe snel je omgeving verandert. Een verhuizing naar de cloud, een overname, een nieuwe productielijn of een fusie zijn stuk voor stuk aanleiding om opnieuw te kijken, ongeacht wanneer de vorige audit was.

Een security audit in het kort

Maatregelen hebben en weten dat ze houden zijn twee verschillende dingen. Een security audit vult dat gat door in de breedte te kijken naar wat er draait, wat daarvan kwetsbaar is en wat het zwaarst weegt als het misgaat. Wat je eraan overhoudt is een volgorde.

Die volgorde ziet er bij elke organisatie anders uit. Wat bovenaan staat bepaalt of je begint bij zicht op je apparatuur, bij inloggegevens die al buiten liggen, bij het scheiden van netwerkverkeer of bij de manier waarop je patcht. Je pakt er twee of drie op en de rest krijgt een datum.

Omdat je omgeving blijft veranderen, is die audit het begin van een ritme in plaats van een eenmalige actie: vinden, dichten en opnieuw testen.

Waar staat jouw organisatie?

Je hebt de basis staan. De vraag is of die basis houdt zodra iemand er tegenaan duwt. Dat weet je pas als iemand het een keer probeert.

Een eerste gesprek kost een uur. Daarin kijken we hoe jouw omgeving eruitziet, wat je al hebt liggen en waar een security audit bij jou het meeste zou opleveren. Ga naar netboss.nl

“We Got Your Back”

Veelgestelde vragen over een security audit