Hoe ForceFusion informatiebeveiliging structureel naar een hoger niveau tilde
Dat iemand met een achtergrond in ethical hacking de regie krijgt over het audit- en compliancyproces van een IT-dienstverlener, klinkt niet als een voor de hand liggende keuze. Toch bleek het bij ForceFusion juist een schot in de roos. Cybersecurity specialist Amber Quist bracht een fundamenteel andere benadering van informatiebeveiliging in de organisatie, één die verder ging dan het volgen van normen alleen.
Amber keek niet primair naar wat er moet volgens ISO, maar naar wat er in de praktijk mis kan gaan. Die manier van denken leidde tot scherpere risicoanalyses, andere gesprekken binnen de organisatie en uiteindelijk tot een structurelere aanpak van informatiebeveiliging.
Van checklist naar scenario-denken
Met haar achtergrond in ethical hacking is Quist gewend om vanuit het perspectief van een aanvaller te redeneren. ISO-certificering was voor haar relatief nieuw, maar risicodenken niet. Waar compliancy vaak draait om aantoonbaarheid, richtte zij zich op impact: wat gebeurt er daadwerkelijk als bepaalde maatregelen ontbreken of onvoldoende werken?
Die aanpak bracht meer risico’s aan het licht dan gebruikelijk in traditionele audittrajecten. Niet om alles direct af te dichten, maar om inzicht te krijgen in waar de grootste kwetsbaarheden lagen. Tegelijk werd duidelijk dat een puur offensieve blik niet voldoende was om grip te houden op het geheel.
Balans tussen offensief en defensief
Juist omdat het aantal geïdentificeerde risico’s snel opliep, ontstond de behoefte aan structuur, prioritering en procesmatige borging. ForceFusion zocht daarom bewust naar balans tussen offensieve securitykennis en defensieve kaders. Die balans vond de organisatie in de samenwerking met PulseComply.
Binnen het audittraject werd PulseComply ingezet als centrale basis voor risicomanagement en controles. Niet als los hulpmiddel, maar als fundament om inzichten te vertalen naar werkbare structuren, duidelijke verantwoordelijkheden en continu inzicht in de stand van zaken.
Structuur die rust en overzicht brengt
Waar eerder gewerkt werd met losse bestanden, e-mails en ad-hoc acties, ontstond één centrale plek voor beleid, risico’s, controles en bijbehorende taken. Dat zorgde niet alleen voor overzicht binnen het auditproces, maar ook voor rust in de organisatie.
Medewerkers weten wat er van hen wordt verwacht, waarom dat zo is en wanneer acties nodig zijn. Hierdoor werd informatiebeveiliging minder afhankelijk van individuele kennis en meer een gezamenlijk gedragen proces.
Informatiebeveiliging als organisatiebreed thema
Een belangrijk effect van deze aanpak was dat informatiebeveiliging relevanter werd voor meer afdelingen dan alleen IT en security. Van HR tot Sales en van Support tot Cloud: het onderwerp kreeg een bredere plek binnen de organisatie. Doordat de status van maatregelen en risico’s continu zichtbaar bleef, kwam informatiebeveiliging nadrukkelijker op de voorgrond van de organisatie te staan.
Dat vertaalde zich in concretere keuzes. Projecten en veranderingen worden nu structureel beoordeeld op impact op beschikbaarheid, integriteit en vertrouwelijkheid. Waar risico’s eerder summier werden benoemd, zijn ze nu een vast onderdeel van besluitvorming. ForceFusion werkt inmiddels toe naar een volgende certificeringsstap, met dezelfde gestructureerde aanpak als basis.
Samenwerken als purple team
Tijdens de implementatie ontstond een duidelijke wisselwerking tussen de offensieve mindset binnen ForceFusion en de defensieve insteek van PulseComply. Die combinatie werd ervaren als een zogeheten purple team, waarbij aanvalsperspectief en verdedigingsstructuur elkaar versterken.
Feedback vanuit de praktijk speelde hierin een belangrijke rol. Die input werd niet alleen opgehaald, maar ook daadwerkelijk verwerkt. Daardoor groeide de samenwerking verder dan een standaard implementatie en sloot de aanpak beter aan op de dagelijkse praktijk van securityprofessionals.
Volwassen informatiebeveiliging vraagt meer dan tooling
De ervaring bij ForceFusion laat zien dat effectieve informatiebeveiliging niet draait om het perfect afvinken van normen, maar om het vinden van de juiste balans tussen inzicht, structuur en verantwoordelijkheid. Door offensief en defensief denken te combineren, groeide informatiebeveiliging uit tot een continu proces dat door de hele organisatie wordt gedragen.
Het verhaal laat zien dat volwassen informatiebeveiliging niet begint bij een tool of certificaat, maar bij samenwerking: tussen disciplines, tussen mensen en tussen verschillende manieren van kijken naar risico’s. Juist daar ontstaat structurele verbetering.
Door: Tispha Barbier - Offerhaus van Infinity
