Bewijs, geen meningen. Dit is precies wat je krijgt.
Dit krijg je, en zo begin je.
Alles wat een opdrachtgever nodig heeft om te beslissen, op één pagina: de deliverables, de volledige capabilitymatrix, de zeven operaties, hoe een opdracht verloopt, de voorwaarden, voor wie dit is en de vragen die inkoop stelt. Geen formulieren, geen salesfunnel. Eén e-mail is genoeg.
Elke opdracht levert drie dingen op. Meer is niet nodig.
Slides houden geen stand bij een auditor, een vraag van het bestuur of een advocaat. Deze wel.
Bevindingenrapport
Elk probleem gerangschikt op werkelijk risico, met per probleem een eigenaar en één actie.
- Elke bevinding gerangschikt op werkelijk risico, niet op scannerscore
- Een eigenaar en precies één actie per bevinding
- Geschreven voor de engineer én het bestuur, in hetzelfde document
- Voorwaardelijke formulering: wat het systeem toelaat, nooit speculatie
Bewijsregister
Het bewijs achter elke bevinding, gedateerd en verzegeld, gekoppeld aan het kader waaraan je moet voldoen.
- Het artefact achter elke bewering: configs, logs, screenshots, requests
- Gehasht en voorzien van tijdstempel, chain of custody geborgd
- Reproduceerbaar door je eigen team of door een toezichthouder
- Gekoppeld aan ISO 27001, NIST CSF 2.0, CIS v8, ATT&CK, RDI of BIO, zoals afgesproken
Read-out en retest
Eén sessie om het samen door te nemen, daarna een retest na het herstel en een ondertekende verklaring.
- Eén sessie, engineers en management samen
- Besluiten vastgelegd, niet alleen bevindingen gepresenteerd
- Retest van de fixes waar dat binnen de scope valt
- Ondertekende verklaring van wat is getest en wat standhield
Drie domeinen. Zesendertig disciplines.
Alles wat de operator in productie heeft gedraaid, gegroepeerd per domein. Tools benoemd waar ze ertoe doen. Dit is de werkbank achter de zeven operaties hieronder.
Cybersecurity
16Compliance, risico en governance
Risicoregisters, beleid, control mapping en auditbewijs dat technisch afdwingbaar is.
Vulnerability management en exposure
CVSS-analyse, risicogestuurde prioritering, remediation tracking, trendrapportage per assetgroep.
SIEM, logcorrelatie en threat hunting
Detection engineering, hypothesegestuurde hunts, use cases gekoppeld aan ATT&CK, enrichment-pipelines, ruisreductie.
Incidentdetectie, incident response en forensics
Van triage tot root cause, containment en eradicatie, geheugen- en netwerkforensics, tijdlijnreconstructie.
Netwerksecurity en segmentatie
VPN, DMZ, VLAN, microsegmentatie en Zero Trust tegen lateral movement, ook in legacy-omgevingen.
Next-gen firewalls en netwerkmaatregelen
Policy-ontwerp, application control, SSL-inspectie, threat feeds, correlatie van firewall-logs in de SIEM.
Veilige protocollen en cryptografie in de praktijk
Certificaatketens, cipher hardening, detectie van protocolmisbruik, key lifecycle.
Cloudsecurity en hybride omgevingen
Architectuur en beheer, interne cloud-auditframeworks voor drift, privilege exposure en compliance-afwijkingen.
Identity & access management
RBAC, PAM, SSO, lifecycle-automatisering, conditional access, least privilege en endpoint privilege management.
Endpointsecurity en XDR
Hardening, telemetrieanalyse, detection tuning, device control, correlatie tussen endpoint en identiteit.
Webapplicatie- en API-security
OWASP Top 10, API-auditframeworks voor exposure, authenticatiemodellen, autorisatielogica, validatie, logging.
Penetration testing en offensive security
Nadruk op logicafouten, zwakke plekken in access control, identiteitsmisbruik en misconfiguraties, niet op puur tool-gedreven exploitatie.
Security awareness en insider risk
Awarenessprogramma's, phishingsimulaties en maatregelen tegen insider risk die aansluiten op HR- en complianceprocessen.
Tooling, automatisering en infrastructure as code
Geautomatiseerde SIEM-tuning, IR-workflows en rapportage; IaC-security; monitoring- en analysepipelines.
Assetinventaris en zicht op compute
Eén overzicht van servers, VM's en endpoints door scanner-, MDM-, directory- en SIEM-data te correleren.
Back-up, herstel en platformhardening
Validatie van herstel na ransomware met forensische checks, DR-optimalisatie, baselines voor Windows-, hybride en legacy-platformen.
Security en engineering voor blockchain
07Engineering en security van smart contracts
Checks-effects-interactions, reentrancy-preventie, upgradeability-patterns, veilige tokenafhandeling.
Integratie van oracles en prijsdata
Actualiteitscontroles, fallback-logica, manipulatiebestendige prijspaden.
Logica voor staking, rewards en tiers
Misbruikbestendig ontwerp van rewards en tiers.
Governance-architectuur
Modulaire uitvoering, rolgebonden calls, on-chain auditeerbaarheid.
DeFi threat modelling
Misbruik van flash loans, oracle-manipulatie, front-running en blootstelling aan MEV, in kaart gebracht vóór de livegang.
Auditworkflows
Statische analyse, symbolische uitvoering, fuzzing, triage van false positives, risicodocumentatie.
AI-ondersteunde contractanalyse
Security-first onderzoek met AI-ondersteunde review-pipelines, geautomatiseerde Slither-runs.
AI en machine learning voor security
13Offensive AI: red teaming, AI voor je team en veilige private AI →
AI red teaming van LLM-systemen
Prompt injection, aanvalsketens via AI-agents, gericht misbruik van LLM-gedreven workflows.
AI-veiligheid, governance en auditeerbaarheid
Rate limits per gebruiker en per model, volledige auditlogging van AI-interacties, inputvalidatie, rolgebaseerde toegang tot modules.
AI-ondersteuning in het SOC
Logcorrelatie, anomaliedetectie en verrijking van detecties met modellen in het proces.
Agentic AI en ReAct-architectuur
Autonome agents die plannen, tools aanroepen en zichzelf corrigeren, elke sessie in een eigen geïsoleerde sandbox.
Modelorkestratie
Routing over meerdere providers achter één API, met fallback-ketens, instelbare reasoning effort en routingtelemetrie.
Lokale AI-infrastructuur
Inference-stacks op CPU en GPU, fine-tuning met LoRA en QLoRA, datasetcuratie.
Oplevering van een full-stack AI-platform
AI-platform in productie, end-to-end opgeleverd: backend, frontend, streaming, kostentracking, gelaagde toegang, JWT, TOTP/2FA.
AI-gedreven threat intelligence
IOC-correlatie over meerdere bronnen, reconstructie van aanvalsketens, automatische ATT&CK-classificatie, generatie van YARA-regels.
Forensische bewijsverwerking met AI
Inlezen van diverse formaten (e-mail, vastgelegd verkeer, documenten, audio, video), triage op ernst, bijhouden van de chain of custody.
Netwerkverkeer en HAR-forensics
Reconstructie van platformgedrag en sessieanomalieën uit vastgelegde HTTP-sessies als auditeerbare artefacten.
Audio-analyse en transcriptie
Speech-to-text-pipelines binnen forensische workflows voor gestructureerde dossieropbouw.
Forensische prompt engineering
System prompts die feiten, bewijs en aannames scheiden, met een betrouwbaarheidslabel per conclusie, voor verdedigbare output.
Opgeleverde security-automatisering
Autonome red-team-simulaties, copilots voor analisten, generators voor security-playbooks.
Zeven operaties. Vaste scope, vaste prijs.
Zes horen bij een laag van de keten: surface, deep of dark. De zevende is voor als de keten tegen je wordt ingezet. De prijs staat vast in het voorstel na de scoping call, dus je kent het totaal voordat je je vastlegt.
OP 01Surface · auditSecurity-audit en bewijsdossier
Opzet en werking van controls getoetst aan ISO 27001, NIST CSF 2.0, CIS v8, RDI of BIO. Het resultaat is het bewijsdossier waar een toezichthouder, een klantaudit of het NIS2-toezicht om vraagt.
OP 02Surface · exposureVulnerability Program Reset
Scanneroutput wordt een geprioriteerd herstelprogramma met eigenaren, deadlines en een trendlijn. Geauthenticeerde scanpolicy's, assetgroepering, rapportagecyclus.
OP 03Deep · identityIdentity & Access Ledger
Elk account, elke service identity, elk gedeeld secret en elke leverancierstoegang vastgelegd met een eigenaar, een datum van laatste gebruik en een besluit. Legacy-platformen inbegrepen.
OP 04Deep · detectionDetection Engineering en Threat Hunt
Detecties gekoppeld aan ATT&CK en aan de tradecraft die op jouw sector gericht is, afgestemd in jouw SIEM en gevalideerd met hunts die óf iets vinden óf de dekking aantonen.
OP 05Deep · responseIncident Response en herstelvalidatie
Triage tot de root cause, een tijdlijn uit de logs die er zijn en een test die aantoont dat de back-ups herstellen wat je denkt dat ze herstellen.
OP 06Dark · offensiveOffensive Assessment, AI Red Team, Smart Contracts
Geautoriseerde tests van web, API, cloud en pipelines, van LLM-workflows en agents of van smart contracts. Elke bevinding wordt gereproduceerd en opnieuw getest.
OP 07Geschil · bewijsProcesbestendig bewijs en ondersteuning bij geschillen
Als de tegenpartij groter is, meer middelen heeft en de systemen beheert, bouwt de operator een technische onderbouwing die langer standhoudt dan hun verhaal: veiligstelling met chain of custody, tijdlijnen uit logs, captures en e-mailgegevens, hiaten benoemd als bevindingen, een dossier dat klaar is om in te dienen en een technisch deskundige naast je advocaat.
Kies op behoefte. Het gesprek regelt de rest.
Drie startpunten, één per veelgestelde vraag. Kies de dichtstbijzijnde; het eerste gesprek maakt het precies.
Voorbereiden op een audit
Security-audit en bewijsdossier · Vulnerability Program Reset
Weten wie er binnen kan
Identity & Access Ledger · Detection Engineering en Threat Hunt · Incident Response en herstelvalidatie
Testen als een aanvaller of een zaak opbouwen
Offensive Assessment · Procesbestendig bewijs en ondersteuning bij geschillen
Weet je niet welke? Het eerste gesprek maakt dat duidelijk.
Vijf stappen. Geen verrassingen.
Van de scoping call tot de verklaring heeft elke stap één tastbaar resultaat. Niets wordt per uur gefactureerd.
Scoping call
Jouw context, de betrokken systemen, de vraag waarop je antwoord nodig hebt.
Voorstel met vaste prijs
Scope, methode, deliverables, prijs en datum op één pagina.
Bewijs verzamelen
Walkthroughs, configuratiereviews, steekproeven in logs, tests.
Bevindingen met gewicht
Gerangschikt, met eigenaar, uitvoerbaar. Engineers en bestuur aan één tafel.
Retest en verklaring
Fixes geverifieerd, dossier afgesloten met een ondertekende verklaring.
Heldere voorwaarden. Vastgelegd vóór dag één.
Zeven voorwaarden, voor elke opdrachtgever gelijk, afgesproken voordat er ook maar één systeemnaam valt. Open er een voor de exacte tekst.
VertrouwelijkheidNDA vóór scoping
Jouw NDA of de standaard-NDA, ondertekend voordat er ook maar één systeemnaam valt. In publieke referenties staan nooit namen, zonder uitzondering.
Omgang met dataBinnen de EU, versleuteld, verwijderd
Bewijs staat tijdens de opdracht op versleutelde opslag binnen de EU en wordt na oplevering verwijderd. De verwijdering wordt schriftelijk bevestigd.
CapaciteitEén operator, beperkt aantal plekken
Geen onderaannemers en geen stapel parallelle opdrachten. Is er geen plek vrij, dan hoor je dat tijdens de scoping call, met een datum erbij.
AutorisatieSchriftelijke scope, niets daarbuiten
Elke offensieve stap wordt schriftelijk geautoriseerd, met benoemde systemen en tijdvensters. Geen destructieve tests en geen social engineering, tenzij dat expliciet in de scope staat.
ReactieAntwoord binnen één werkdag
E-mail wordt binnen één werkdag beantwoord, incidenten sneller als er een retainer loopt.
ReferentiesBeschikbaar onder NDA
Namen van opdrachtgevers worden nooit openbaar genoemd. Referenties van vergelijkbare opdrachten deel ik op verzoek, onder NDA, nadat er een scoping call is geweest.
InkoopLeveranciersdocumentatie op verzoek
Vragenlijsten, identiteitsdocumenten, verwerkersovereenkomst, chain-of-custody-verklaring. KvK 84616458.
Voor wie dit is. En voor wie niet.
Lees beide lijsten voordat je een gesprek plant. Sta je op de tweede, dan hoor je dat in het gesprek ook.
- Organisaties in gereguleerde sectoren of onder toezicht: telecom, overheid, financiële sector, zorg, maakindustrie
- Teams die voor een audit, een klantvragenlijst, een NIS2-verplichting of een bestuursvraag met deadline staan
- Omgevingen met legacy en cloud naast elkaar, identiteiten zonder eigenaar, leveranciers die niemand in kaart heeft gebracht
- Productteams die AI-agents of smart contracts uitbrengen en die vóór de lancering willen laten testen
- Organisaties, melders en advocaten in een geschil met een partij die groter is en de systemen in handen heeft
- Opdrachtgevers die willen dat wie ze aan de lijn hebben, ook het werk doet
- Een compliancestempel zonder dat er iets wordt opgelost
- Een managed SOC van 200 man of 24/7-bezetting
- Systemen testen die niet van jou zijn of waarvoor je geen toestemming hebt
- Slides, awarenessposters of generieke beleidspakketten
- Alles waarvoor je volgende week een team nodig hebt, niet één operator met een plan
Eén keer beantwoord, zwart op wit.
De vragen die inkoop, security en juridische zaken stellen vóór een opdracht, met de antwoorden die het voorstel herhaalt.
Hoe snel kunnen we beginnen?
Een scoping call binnen enkele dagen na je e-mail. Een schriftelijk voorstel binnen twee werkdagen na dat gesprek. Het veldwerk start meestal binnen twee tot drie weken, afhankelijk van de scope en de beschikbaarheid van je team voor toegang en interviews.
Wie doet het werk eigenlijk?
Eén senior operator, van begin tot eind. Geen juniors, geen onderaannemers, geen overdracht aan een uitvoeringsteam. Wie de scoping call voert, schrijft het rapport en staat er daarna voor in.
Hoe wordt de prijs bepaald?
Vaste prijs per opdracht, vastgelegd in het voorstel na de scoping call, zodat je het totaalbedrag kent voordat je akkoord geeft. Werk buiten de afgesproken scope wordt apart geoffreerd en nooit onverwacht gefactureerd.
Wat ontvangen we aan het eind?
Een bevindingenrapport gerangschikt op risico, met per bevinding een eigenaar en één actie. Verder het bewijsregister achter elke bewering, een gezamenlijke read-out voor engineers en management en, waar dat binnen de scope valt, een retest met schriftelijke verklaring.
Is testen veilig voor de productieomgeving?
Elke offensieve stap wordt schriftelijk geautoriseerd, blijft beperkt tot benoemde systemen en tijdvensters en wordt uitgevoerd met rate limiting. Niets destructiefs, niets buiten het scopeformulier. Bevindingen worden aangetoond, niet verder uitgebuit dan nodig is als bewijs.
Hoe ga je met onze gegevens om?
Vóór de scoping wordt een NDA getekend: die van jou of de standaard-NDA. Bewijs staat tijdens de opdracht op versleutelde systemen binnen de EU en wordt na de oplevering verwijderd. Je krijgt daarvan een schriftelijke bevestiging.
Aan welke frameworks toets je?
ISO 27001, NIST CSF 2.0, CIS Controls v8, MITRE ATT&CK voor detectiedekking, het RDI-framework voor telecomsecurity en de BIO-baseline van de Nederlandse overheid. In elke auditoplevering worden de verplichtingen uit NIS2 en de Cyberbeveiligingswet in kaart gebracht.
Kun je optreden als technisch deskundige in een geschil met een grote organisatie?
Ja. Dat is Operatie 07. De operator heeft samen met advocaten technische zaken opgebouwd tegen partijen die vele malen groter waren dan de opdrachtgever, op basis van hun eigen logs, captures en mailgegevens en met behoud van de chain of custody. Het bewijs beslist, niet de omvang van de tegenpartij. Melders onder de Nederlandse klokkenluiderswet worden met dezelfde methode ondersteund.
Kun je werken volgens onze inkoopregels?
Ja. Leveranciersvragenlijsten, identiteitsdocumenten, een chain-of-custody-verklaring voor bewijsmateriaal en een verwerkersovereenkomst worden op verzoek aangeleverd. KvK 84616458.
Eén bericht is genoeg.
Reactie binnen één werkdag. Binnen twee werkdagen een vaste prijs op papier.
Dertig minuten om de scope te bepalen. Een voorstel met vaste prijs binnen twee werkdagen. Reactie binnen één werkdag.
Leg dit klaar, dan is dertig minuten genoeg
- De vraag. Eén zin: wat moet er bewezen worden en aan wie (auditor, bestuur, klant, toezichthouder, rechter).
- De deadline. De auditdatum, bestuursvergadering, contractverlenging of indieningsdatum waar het werk om draait.
- De betrokken systemen. Een globale lijst: identity provider, cloudtenants, kernapplicaties, on-prem-omgeving, leveranciers met toegang.
- Wie ze beheert. De namen van de mensen die leestoegang kunnen geven en vragen kunnen beantwoorden.
- Wat er al ligt. Laatste auditrapport, huidige bevindingenlijst, beleid, eerdere pentests, alles wat voorhanden is.
- Beperkingen. Change freezes, onderhoudsvensters, juridische of OR-beperkingen voor het testen.
- Je NDA, of een kort bericht dat de standaard-NDA volstaat.
Heb je maar de helft? Kom toch. De scoping call is er juist om te ontdekken wat je nog niet weet.