Het Audit-waterskelet: hoe je een externe auditor laat geloven dat je alles secure hebt (terwijl de backups al vijf updates geleden zijn)
Een audit komt eraan. De koffievoorraad is aangevuld, de vergaderruimte is geboekt en het PowerPoint-sjabloon met onze logo-vinkjes is klaar. Maar hoe zorg je ervoor dat de auditor écht gelooft dat je alles secure hebt — zonder ook maar één kritieke server te patchen? Maak kennis met het Audit-waterskelet: een zorgvuldig in elkaar gezette schim van conformiteit die precies genoeg rammelt om er authentiek uit te zien.
Stap 1: de juiste documentatie (titel + datum = vertrouwen)
Documenten zijn heilig, of ze nu waar zijn of niet. Zorg dat alles er officieel uitziet:
- Een beleidsdocument met een statige naam: Information Security Policy v1.0 (draft).
- Een risk-register met drie overzichtelijke kolommen: Identified, Under investigation, To be discussed Q4.
- Een ‘bewijsstuk’ in PDF met een stempel: Approved by Management (signature on file).
Bonus-tip: zet overal data die recent lijkt (bijv. “Reviewed: 2025-10-01”), ook al is de inhoud van 2019. Recente data = vertrouwen, ook als de inhoud rookgordijnen bevat.
Stap 2: de juiste mensen op het juiste moment
Auditors houden van menselijke getuigenissen. Plan je cast zorgvuldig:
- Key stakeholder die documenten kan samenvatten met zinnen als “we zijn ons bewust van de risico’s” en “er ligt een roadmap”.
- Technisch contact dat met overtuiging zegt “deze details stuur ik na” (probeer nooit echt later iets te sturen—het klinkt professioneel).
- Rolspeler (junior medewerker) die enthousiast applaudisseert bij elk gebruik van woorden als “framework” en “controls”.
Stap 3: de kunst van het ontwijken
Soms is ontwijken het nieuwe patchen. Handige zinnen hebben magie-kracht tijdens Q&A’s:
- “Dat is opgenomen in ons framework.” (geen verdere toelichting vereist.)
- “We hebben een compensating control.” (onzeker wat het precies betekent, maar het klinkt goed.)
- “Dit valt onder ‘business continuity’ — zie policy.” (verwijs altijd naar policy; auditors houden van papier.)
Stap 4: laat je metrics werken (selectief)
KPI’s moeten eruitzien alsof je meet. Publiceer daarom gerust representatieve cijfers:
- Patch-compliance: 98% (zonder erbij te vermelden dat 50% van die 98% printers zijn).
- Time-to-detect: 2 dagen (gemeten vanaf moment van melding; niet vanaf exploitatie).
- Incidenten: 0 (gearchiveerd onder ‘minor incidents’).
Een goede grafiek doet wonderen — zelfs als de x-as geen data heeft tussen juni en september.
De harde werkelijkheid (kort en noodzakelijk)
Satire is leuk en audits zijn vaak bureaucratisch, maar audits mogen geen excuus zijn om echte security te vermijden. Een waterdicht audit-waterskelet helpt je hoogstens één keer door de deur. Patchmanagement, geteste backups en een werkend incident-responseplan blijven essentieel als je niet wilt dat dat papier plots écht in vlammen opgaat.
Conclusie — de satirische checklist
- ✅ Beleidsdocumenten geprint en gesigneerd (of zoiets).
- ✅ Stakeholders ingepland voor audit Q&A.
- ✅ Vage metrics en een ‘compensating control’ klaarliggen.
- ✅ Backups: bestaan (bewijs: één map met naam “backups_2022.zip”).
Wil je écht veilig zijn? Print deze checklist, vouw hem dubbel en gebruik ‘m als onderzetter voor de auditor-koffiekop. En omzeil managers niet — patch die servers.