Controleer aan welke eisen je red teaming partner moet voldoen

Voordat je red teaming aanbieders vergelijkt, moet duidelijk zijn welke eisen voor jouw organisatie gelden. Die worden deels bepaald door het doel van de test en mogelijk ook door wet- en regelgeving.

Voor de meeste organisaties is red teaming een vrijwillige beveiligingstest. Je kunt dan zelf bepalen welke methodiek, scope en aanvalsscenario's aansluiten op de belangrijkste risico's.

Voor bepaalde financiële instellingen gelden aanvullende verplichtingen onder de Digital Operational Resilience Act, DORA. Instellingen die door de bevoegde toezichthouder worden aangewezen, moeten in beginsel minimaal iedere drie jaar een Threat-Led Penetration Test, TLPT, uitvoeren.

Voor deze tests gelden specifieke eisen aan de uitvoering, onafhankelijkheid, betrokken specialisten en de selectie van dienstverleners. Het Europese TIBER-EU-raamwerk biedt een methodische basis voor dergelijke tests.

DORA staat onder voorwaarden het gebruik van interne testers toe. Daarbij moeten minstens voor iedere derde TLPT externe testers worden ingezet. Voor threat intelligence gelden aanvullende onafhankelijkheidseisen.

Bij formele TIBER-trajecten is het belangrijk om ook de toepasselijke richtlijnen voor het selecteren van dienstverleners en de instructies van de betrokken toezichthouder te volgen.

Organisaties zonder specifieke TLPT-verplichting kunnen ook kiezen voor een gerichter assessment. Het Advanced Red Teaming-raamwerk, ART, biedt bijvoorbeeld een modulaire aanpak waarbij de omvang van het onderzoek wordt afgestemd op de leerdoelen.

Bepaal welke resultaten je van red teaming verwacht

Een goede selectie begint niet bij de aanbieder, maar bij de beveiligingsvraag die je wilt beantwoorden.

Wil je onderzoeken of een aanvaller via phishing toegang kan krijgen tot vertrouwelijke bedrijfsgegevens? Wil je weten of iemand zonder toestemming een beveiligde locatie kan betreden? Of wil je testen of je Security Operations Center, SOC, verdachte activiteiten tijdig detecteert?

Deze vragen bepalen welke expertise nodig is en welke aanvalsscenario's relevant zijn.

Leg daarom vooraf vast welke bedrijfsprocessen en systemen beschermd moeten worden. Dit zijn de kroonjuwelen van de organisatie, zoals een productieomgeving, klantdatabase, financieel systeem of kritieke digitale dienstverlening.

Vertaal deze onderdelen vervolgens naar concrete testdoelstellingen. Een opdracht om te onderzoeken hoe veilig de organisatie is, biedt onvoldoende richting voor een realistische aanvalssimulatie.

Hoeveel aanvalsscenario's heb je nodig?

Een red teaming assessment hoeft niet uit een groot aantal scenario's te bestaan. Een beperkt aantal goed gekozen aanvallen kan voldoende zijn om belangrijke beveiligingsvragen te beantwoorden.

De scenario's moeten aansluiten op het dreigingsbeeld en de kritieke processen van de organisatie. Daarbij is de diepgang van het onderzoek belangrijker dan uitsluitend het aantal uitgevoerde aanvallen.

Vraag aanbieders daarom waarom zij bepaalde scenario's voorstellen, welke risico's daarmee worden getest en wat je uit de resultaten kunt leren.

Vergelijk aanbieders tijdens een inhoudelijk scopinggesprek

Voer bij voorkeur met twee of drie geschikte red teaming aanbieders een scopinggesprek. Daarmee kun je de aanpak, expertise en voorgestelde werkzaamheden vergelijken voordat je een keuze maakt.

Wanneer tijdens het gesprek vertrouwelijke informatie over systemen, beveiligingsmaatregelen of bedrijfsprocessen wordt gedeeld, is het verstandig vooraf een geheimhoudingsverklaring te sluiten.

Let tijdens het gesprek vooral op de vragen die een aanbieder stelt. Een geschikte partner wil begrijpen welke systemen kritiek zijn, welke dreigingen relevant zijn en hoe je organisatie beveiligingsincidenten detecteert en afhandelt.

Ook moet aandacht worden besteed aan de grenzen van de opdracht. Welke systemen mogen actief worden getest? Welke werkzaamheden zijn uitgesloten? En wie kan ingrijpen wanneer de test gevolgen dreigt te hebben voor de bedrijfscontinuïteit?

Red teaming kan verder gaan dan de technische IT-omgeving. Afhankelijk van het scenario kunnen ook medewerkers, fysieke locaties en leveranciers betrokken zijn.

Daarom is het verstandig om waar nodig ook vertegenwoordigers van facilitair beheer, HR, informatiebeveiliging en juridische zaken te betrekken bij de voorbereiding.

Vraag de aanbieders om hun voorgestelde aanpak op dezelfde uitgangspunten te baseren. Zo kun je verschillen in prijs en uitvoering eerlijker vergelijken.

Beoordeel de ervaring en certificeringen van de red team specialisten

De kwaliteit van een red teaming assessment hangt sterk af van de specialisten die het onderzoek uitvoeren.

Daarom is het belangrijk om niet uitsluitend naar de naam of reputatie van de leverancier te kijken. Vraag wie daadwerkelijk deelneemt aan de opdracht en welke kennis en ervaring deze personen hebben.

Certificeringen kunnen helpen om technische kennis en vaardigheden te beoordelen. Relevante voorbeelden zijn Certified Red Team Operator, CRTO, Offensive Security Certified Professional, OSCP, en andere certificeringen op het gebied van penetratietesten, aanvalssimulaties en Active Directory-beveiliging.

Certificeringen vormen echter slechts een deel van de beoordeling. Praktijkervaring met vergelijkbare organisaties en complexe IT-omgevingen is minstens zo belangrijk.

Een red team dat industriële systemen onderzoekt, moet bijvoorbeeld begrijpen welke risico's actieve beveiligingstesten met zich meebrengen voor operationele technologie, OT. Niet iedere aanvalstechniek die geschikt is voor een reguliere IT-omgeving kan zonder meer worden toegepast op industriële installaties.

Welke vragen stel je over de testers?

Leg waar mogelijk vast welk ervaringsniveau wordt ingezet en welke afspraken gelden wanneer de samenstelling van het testteam verandert.

Defenced beschikt volgens de aangeleverde teaminformatie over specialisten met certificeringen zoals CRTO, OSCP, CARTP en eCPPT en meer dan vijftien jaar gecombineerde praktijkervaring binnen het team. Bij het beoordelen van een concrete opdracht blijft het belangrijk om te kijken welke deskundigheid daadwerkelijk beschikbaar is voor het gekozen scenario.

Vraag een voorbeeldrapportage en concrete referenties op

Een red teaming assessment levert pas blijvende waarde op wanneer de bevindingen duidelijk worden vastgelegd en bruikbaar zijn voor de organisatie.

Vraag daarom tijdens het selectieproces om een geanonimiseerd voorbeeldrapport. Hiermee kun je beoordelen hoe de aanbieder resultaten presenteert en of de rapportage aansluit op de behoeften van zowel IT als management.

Een goede rapportage beschrijft de aanvalsketen, de gebruikte technieken, de bereikte doelstellingen en de reactie van het verdedigende team.

Ook moet duidelijk worden welke kwetsbaarheden en procesproblemen een rol speelden en welke verbetermaatregelen nodig zijn.

Wat moet een red teaming rapport bevatten?

Een technisch uitgebreid rapport is niet automatisch bruikbaar. De informatie moet voldoende concreet zijn om beveiligingsproblemen op te lossen en beslissingen over risico's en investeringen te ondersteunen.

Vraag daarnaast naar relevante referenties, voor zover deze met toestemming en binnen de geldende vertrouwelijkheidsafspraken kunnen worden gedeeld.

Maak duidelijke afspraken over vertrouwelijkheid en veiligheid

Een red team kan tijdens de test in aanraking komen met gevoelige bedrijfsinformatie, gebruikersaccounts, netwerkgegevens en persoonsgegevens.

Daarom moet vooraf duidelijk zijn welke informatie wordt verzameld, hoe deze wordt beveiligd en wie toegang heeft tot de resultaten.

Leg afspraken over vertrouwelijkheid, gegevensverwerking, opslag en bewaartermijnen schriftelijk vast. Wanneer een verwerkersrelatie bestaat onder de Algemene verordening gegevensbescherming, AVG, moet ook een passende verwerkersovereenkomst worden gesloten.

Vraag daarnaast welke procedures de aanbieder hanteert voor het verwijderen of vernietigen van verzamelde testgegevens na afloop van de opdracht.

Welke veiligheidsafspraken zijn noodzakelijk?

Naast vertrouwelijkheid zijn duidelijke afspraken nodig over de uitvoering van de aanvalssimulatie.

De opdracht moet aangeven welke systemen, locaties en aanvalstechnieken binnen de scope vallen en welke handelingen niet zijn toegestaan.

Ook moet vooraf worden bepaald wie bevoegd is om de test te onderbreken, welke contactpersonen bereikbaar zijn en hoe incidenten worden geëscaleerd.

Dat is bijvoorbeeld relevant wanneer een tester tijdens een fysieke toegangstest wordt aangesproken door beveiligingspersoneel. Ook moet duidelijk zijn wat er gebeurt wanneer het Red Team aanwijzingen vindt voor een daadwerkelijke cyberaanval.

Een betrouwbare red teaming partner kan uitleggen hoe veiligheid, toestemming en vertrouwelijkheid tijdens het volledige traject worden bewaakt.

Controleer de onafhankelijkheid van het red teaming advies

Een red teaming partner moet objectief kunnen beoordelen welke beveiligingsmaatregelen nodig zijn om de aangetroffen risico's te beperken.

Wanneer een aanbieder ook beveiligingsproducten of aanvullende diensten verkoopt, is het verstandig om te onderzoeken hoe de onafhankelijkheid van het advies wordt gewaarborgd.

Dat betekent niet dat een leverancier die ook andere cybersecuritydiensten aanbiedt automatisch ongeschikt is. Wel moet duidelijk zijn waarop aanbevelingen worden gebaseerd en of verschillende oplossingen worden overwogen.

Vraag daarom hoe de aanbieder technische bevindingen vertaalt naar verbetermaatregelen en hoe commerciële belangen worden gescheiden van het onderzoek.

Defenced werkt volgens de aangeleverde organisatie-informatie vendor-neutraal en heeft geen commerciële belangen bij specifieke technologieproducenten. Tegelijk biedt Defenced ook Security monitoring via een Next Gen SOC aan.

Bij de beoordeling van een red teaming partner is daarom belangrijk dat aanvullende dienstverlening transparant wordt besproken en dat aanbevelingen aansluiten op de daadwerkelijke risico's van jouw organisatie.

Hoe vergelijk je offertes voor red teaming?

De prijs van een red teaming assessment hangt af van de scope, de complexiteit van de omgeving en de inzet van specialisten.

Een offerte met een lager totaalbedrag hoeft niet automatisch de voordeligste keuze te zijn. Wanneer minder testtijd beschikbaar is of belangrijke onderdelen ontbreken, kunnen de resultaten minder bruikbaar zijn.

Vergelijk daarom niet alleen de kosten, maar ook de inhoud van de opdracht.

Een transparante offerte maakt duidelijk waar je voor betaalt en welke resultaten je mag verwachten. Daarmee kun je bepalen welke aanbieder het beste aansluit op de specifieke beveiligingsbehoefte van jouw organisatie.

Wat doe je als geen enkele red teaming partner bij je organisatie past?

Het kan voorkomen dat de voorgestelde assessments te uitgebreid zijn, onvoldoende aansluiten op de risico's of buiten het beschikbare budget vallen.

In dat geval kan het verstandig zijn om de scope te beperken tot één relevant aanvalsscenario. Zo kan het onderzoek zich richten op een kritiek bedrijfsproces zonder direct een uitgebreid traject op te zetten.

Ook is het belangrijk om te beoordelen of de organisatie daadwerkelijk klaar is voor red teaming.

Wanneer nog veel kritieke kwetsbaarheden openstaan of actieve beveiligingsmonitoring ontbreekt, kan een pentest of baseline assessment een geschiktere eerste stap zijn.

Twijfel je tussen twee aanbieders, vraag hen dan om op basis van dezelfde uitgangspunten een beknopt testvoorstel uit te werken. Daardoor worden verschillen in methodiek, expertise en kosten inzichtelijker.

Een second opinion op het bestaande securitybeleid kan daarnaast helpen om eerst de belangrijkste beveiligingsrisico's en prioriteiten vast te stellen.

Welke red teaming partner past bij jouw organisatie?

De juiste red teaming partner is niet uitsluitend de aanbieder met de meeste certificeringen of de laagste prijs. Belangrijker is dat de voorgestelde aanpak aansluit op je kritieke bedrijfsprocessen, het dreigingsbeeld en de bestaande beveiligingsmaatregelen.

Beoordeel daarom de technische expertise, praktijkervaring, veiligheid, vertrouwelijkheid en kwaliteit van de rapportage. Maak bovendien vooraf duidelijke afspraken over de uitvoering en de opvolging van bevindingen.

Een goed uitgevoerd assessment helpt niet alleen om relevante aanvalspaden te identificeren, maar ook om te beoordelen hoe effectief de organisatie verdachte activiteiten detecteert en stopt.