Bewijs over wie er echt toegang heeft.Je laatste audit bewees dat de controls bestaan.
Niet wie ze gebruikte.
Onafhankelijke audits van identiteiten, toegang en je leveranciers, met bewijs dat standhoudt bij auditors en directie.
Bijna twintig jaar in de machinekamer: SOC-vloeren, auditruimtes, herstel na ransomware, smart contracts, AI red teams. BlockTheChain denkt in aanvalspaden en faalscenario's, en geeft je daarna bewijs dat een toezichthouder accepteert en waar een aanvaller niet omheen kan. Eén operator. Geen theoretische bevindingen.
Drie lagen. Eén operator.
De meeste audits blijven aan de oppervlakte: beleid, scans, afvinkbewijs. Wat er echt misgaat, zit dieper: in identiteiten zonder eigenaar en leveranciers die niemand in kaart heeft gebracht.
BOVENSTE LAAG
Waar auditors kijken en aanvallers beginnen. BlockTheChain test of de controls die je hebt gedocumenteerd ook echt werken, en stelt het bewijsdossier op dat de toezichthouder wil zien.
Security Auditing & Compliance
RDI · ISO 27001 · NIST CSFEnd-to-end audits van IT-security voor gereguleerde sectoren, getoetst aan RDI, ISO 27001, NIST CSF 2.0 en CIS Controls. Bewijs, geen meningen.
Vulnerability Management
Tenable · Qualys · OpenVASVan scannerruis naar een geprioriteerd herstelprogramma met eigenaren, deadlines en een trendlijn die je bestuur begrijpt.
DIEPE LAAG
Het deel dat scanners nooit zien: wie welke toegang heeft, welke tokens nooit verlopen, welke leverancier nog een werkende sleutel heeft en of iemand het zou merken.
SIEM, Detection & Threat Hunting
Sentinel · Splunk · Sumo LogicDetecties gekoppeld aan de aanvalstechnieken die voor jouw sector echt tellen. Logs liegen niet, maar dan moet iemand ze wel lezen.
Identity, Cloud & Access Audit
Entra · Intune · Zero TrustElk serviceaccount, elk gedeeld secret en elke leverancierstoegang in kaart gebracht en aan een eigenaar gekoppeld. Cijfers van vóór en na, geen beleids-pdf.
Incident Response & Recovery Validation
Forensics · restore van back-upsVan triage tot root cause, daarna bewijs dat je herstel echt werkt: getest, niet aangenomen.
Bewijs voor geschillen en klokkenluiders
Chain of custody · tijdlijnen · deskundigenverklaringAls de tegenpartij groter is en de systemen in handen heeft, vertellen de gegevens nog steeds de waarheid. De operator stelt ze veilig met chain of custody, reconstrueert de tijdlijn, benoemt elke ontbrekende log als bevinding en geeft je advocaat een dossier dat klaar is om in te dienen. Omvang is geen argument. Bewijs wel.
DONKERE LAAG
Je systemen getest zoals een aanvaller ze zou aanpakken. Afgebakend, geautoriseerd, bruikbaar als bewijs.
Offensive Assessment & Chain-of-Custody Review
Web · API · Cloud · Supply chainAanvalspaden, geen tooloutput: zwakke plekken in toegangscontrole, identiteitsmisbruik, misconfiguraties van commit tot productie en van leverancier tot kroonjuwelen. Elke bevinding gereproduceerd en de sessiegegevens bewaard als juridisch bruikbaar bewijsstuk.
AI Red Team & Agentic Attack Chains
LLM · agents · AI-platformenRed teaming van LLM-workflows en autonome agents, daarna de guardrails bouwen: rate limits, auditlogging, inputvalidatie, human-in-the-loop. Getest op vanaf nul opgebouwde AI-platformen in productie.
Blockchain & DeFi Security
Slither · Mythril · fuzzingSmart-contractreview van statische analyse tot symbolische uitvoering, plus DeFi-dreigingsmodellen voor oracles, staking en governancelogica. Risico's vastgelegd vóór de deployment, niet pas nadat de fondsen zijn leeggehaald.
Drie dingen. Gecontroleerd met bewijs.
Controls, toegang en blootstelling, gecontroleerd in je eigen systemen. Elk antwoord komt met het bewijs erbij.
Je controls
Werken de controls uit je laatste audit ook echt? Gecontroleerd, met bewijs.
Je mensen en toegang
Wie er binnen kan, wie er binnen is geweest en of je logs dat zouden laten zien.
Je blootstelling
Wat een aanvaller bij je apps, cloud of AI-tools zou proberen, met jouw schriftelijke toestemming.
Gebruik je AI-tools of agents? Zo vallen we ze aan en beveiligen we ze →
Namen weggelaten. Discretie hoort bij het werk.
Negen operaties, alleen codenamen. Elke tegel toont het probleem en het resultaat. Sectoren genoemd, opdrachtgevers nooit.
Vijf stappen. Geen verrassingen.
Vaste scope, vaste prijs, één operator van het eerste gesprek tot en met de retest. Je beoordeelt het plan voordat je iets toezegt.
Scoping call
Jouw context, de betrokken systemen, wat je 's nachts wakker houdt. Geen slides, geen verkooppraatje.
Voorstel met vaste prijs
Scope, methode, deliverables, prijs en datum op één pagina. Jij beslist met het plan in de hand.
Bewijs verzamelen
Walkthroughs, configuratiereviews, steekproeven in logs, tests. Elke bewering onderbouwd met een artefact dat je zelf kunt reproduceren.
Bevindingen met gewicht
Bevindingen op volgorde van prioriteit, elk met een eigenaar en één actie, geschreven voor de engineer én het bestuur in hetzelfde document.
Retest en verklaring
Fixes geverifieerd en dossier afgesloten, met een ondertekende verklaring van wat is getest en wat standhield.
Drie stappen. Een vaste prijs.
Een gesprek, een schriftelijke prijs, het werk met een retest. Je kent het totaalbedrag voordat er iets begint.
Een gesprek van 30 minuten
Je vertelt wat je zorgen baart. Je hoeft niets voor te bereiden.
Een vaste prijs
Schriftelijk binnen twee werkdagen. Geen onverwachte uren op de factuur.
Het werk en een retest
Een rapport gerangschikt op werkelijk risico, met het bewijs erbij, en een retest na herstel.
Vier regels. Geen uitzonderingen.
Vier uitspraken die bepalen wat in een rapport komt en wat niet. Open ze voor wat dat in de praktijk betekent.
01Geen enkele scanner heeft ooit een inbraak gestopt.
Tools produceren alerts. De operator produceert beslissingen: een bevinding, het bewijs, de eigenaar en die ene actie die erbij hoort.
02Logs liegen niet. Ontbrekende logs bekennen.
Tijdlijnen worden gereconstrueerd uit de records die er zijn. Het rapport benoemt klip en klaar welke records ontbreken en wat dat betekent. In een geschil is juist die zin doorslaggevend.
03De keten eindigt bij de operator.
Wie je aan de lijn hebt, doet het werk, tekent het rapport en staat ervoor in. Geen juniors, geen onderaannemers, geen slides.
04Geen theoretische bevindingen.
Elke bevinding wordt eerst gereproduceerd en pas dan opgeschreven. Wat het systeem toelaat, wordt vastgelegd; wat niet bewezen is, wordt niet beweerd.
Eén operator. Niets uitbesteed.
Wie het werk doet, onder welke voorwaarden en waarom de bevindingen standhouden. Bewust geen naam op de site; al het andere ligt op tafel.
Geen resellerdeals, geen commissies
Geen partnerschappen met leveranciers, geen productcommissies, geen doorverkoopmarge. Tools worden per opdracht gekozen en benoemd waar ze ertoe doen. De enige inkomsten komen uit het werk zelf.
Wie je aan de lijn hebt, doet het werk
Scoping, testen, bewijs, rapport en read-out door één en dezelfde persoon, die ondertekent en ervoor instaat. Geen onderaanneming, geen juniors en een beperkt aantal plekken dat vooraf bekend is.
Gereguleerde omgevingen onder toezicht
Telecom, overheid, financiële sector, zorg en maakindustrie. Legacy en cloud naast elkaar, identity-omgevingen zonder eigenaar, AI-agents en smart contracts vóór de lancering.
Bewijs gekoppeld aan de norm waar jij aan moet voldoen
ISO 27001, NIST CSF 2.0, CIS v8, MITRE ATT&CK, RDI en BIO in overleg; OWASP LLM Top 10 voor AI-werk. Bevindingen worden al gekoppeld aangeleverd, zodat niemand ze achteraf hoeft te vertalen.
Inkoop krijgt een compleet pakket
Identiteitsdocumenten, verwerkersovereenkomst en chain-of-custody-verklaring zitten standaard in het leverancierspakket. NDA voordat er ook maar één systeem wordt genoemd.
Nederlands en Engels, gevestigd in Nederland
Rapporten, read-outs en bewijs in beide talen. KvK 84616458. Actief in de hele EU; bewijs blijft versleuteld opgeslagen binnen de EU en wordt na oplevering verwijderd.
Eén operator. Niets uitbesteed.
Wie je aan de lijn hebt, doet het werk, van het eerste gesprek tot en met de retest. Geen producten, geen partners, geen onderaannemers.
Geen producten te verkopen
Geen partnerdeals, geen commissies. Het enige wat wordt geleverd, zijn bevindingen.
Van begin tot eind
Wie je aan de lijn hebt, doet het werk. Er wordt niets uitbesteed.
Jouw NDA of de onze
Namen worden nooit gepubliceerd. Bewijs blijft in de EU.
Hardcore muziek. Harde security.
Hardcore muziek en harde security als één signaal. De eerste transmission is in productie; daarmee gaan de kanalen open.
Onderdeel van Warface Protocol
Eén bericht is genoeg.Vertel wat je wilt laten controleren. Je krijgt een vaste prijs.
Vertel wat je gecontroleerd wilt hebben. Binnen één werkdag heb je antwoord.
Dertig minuten om de scope te bepalen. Binnen twee werkdagen een voorstel met een vaste prijs.
Eén bericht is genoeg. Reactie binnen één werkdag.
- Je organisatie en je rol
- Wat je wilt laten controleren, in een paar regels
- Het kader waaraan je moet voldoen, als dat er is
- Twee of drie momenten die je uitkomen voor een gesprek van 30 minuten