Avans HogeschoolSecure by DesignMinor · Avans
Secure by Design · NLQF6 · praatplaat

Veiligheid als ontwerpkwaliteit

De eerste vier weken brengen tech én non-tech naar één gezamenlijk niveau. Security is hier geen eindcontrole of hackcursus, maar een ontwerphouding: breed over product, proces, mens en organisatie. De praktijk dient om kennis te laten beklijven vóór de kennistoets — diepe technische vaardigheid komt erna.

NLQF64 weken9 blokken/week7 lessen + 2 verwerking36 blokken10 metrostationstech + non-techkennistoets

01 Uitgangspunten

P1Secure by Design

Veiligheid is een ontwerpkwaliteit die vanaf het begin meegaat — geen eindcontrole. Dat is de rode draad door alle vier de weken.

P2Breed, niet ICT-geframed

Product, proces, mens en organisatie staan centraal. Niet met hacken openen; techniek is één invalshoek, geen voorwaarde.

P39 blokken per week

Blok 1–7 zijn echte lessen, blok 8 is sociaal/spel, blok 9 is integratie & reflectie. Activerende werkvormen landen in 8 en 9.

P4Doorlopende casus

Het security-context canvas uit week 1 groeit week na week door tot het secure-by-design dossier in week 4. Eén casus verbindt alles.

P5Tech + non-tech gelijk

Scheidslijn is techniek-comfort, niet voorkennis. Security is voor allebei nieuw; de toets is voor iedereen gelijk.

P6Praktijk = ankeren

Spel, canvas en retrieval dienen het onthouden vóór de kennistoets — niet het zelfstandig kunnen. Dat komt na deze minor.

Metrostations tonen
Zelf te maken markeren
wk1 wk2 wk3 wk4 blok 8 sociaal/spel blok 9 integratie op maat te maken
Week 1

Mindset & cultuur

waarom & wie
Kern
Security is geen eindcontrole maar een ontwerpkwaliteit die vanaf het begin meegaat.
Onderwerpen
CIA/BIV, product security, security first; OV-chipkaart, DigiNotar, Stuxnet als falende principes.
Doen
Korte kickoff; klassikaal 'wat is veilig ontworpen'; mini-incidenten gebruiken om BIV/CIA te herkennen; gezamenlijke begrippenkaart starten.
Stations
S1 Basis & bewustwording / product security
S2 Security mindset & cultuur
✎ zelf te makenBespreek bij dit blok welk canvas / kaartset / sjabloon je vooraf bouwt.
Oud: S1.1 (opener + primer + live demo). Demo verschuift; niet met hacken openen.
Kern
Schade, impact en risico's verkennen zonder direct in techniek te schieten.
Onderwerpen
Sms-spoofing, IMEI-cloning, stingray, USB, energiecentrales, publieke infra, robots, supply chain.
Doen
Groepsbrainstorm per domein; voorbeelden sorteren op product/dienst/proces/systeem; bespreking van schade en impact.
Stations
S1 Basis & bewustwording / product security
SO Overige onderwerpen
✎ zelf te makenBespreek bij dit blok welk canvas / kaartset / sjabloon je vooraf bouwt.
Oud: deels S1.1 en S1.4.
Kern
Basisprincipes als ontwerpregels voor veiligere keuzes.
Onderwerpen
Cryptografie & grenzen, vertrouwelijkheid, integriteit, authenticatie, onweerlegbaarheid, defense in depth, access control.
Doen
Principes uitleggen via herkenbare ontwerpkeuzes; koppelen aan eerdere risico's; kort principekaartje maken.
Stations
S1 Basis & bewustwording / product security
S6 Security requirements & architectuur
Materiaal
Principekaartjes →
✎ zelf te makenBespreek bij dit blok welk canvas / kaartset / sjabloon je vooraf bouwt.
Oud: deels S1.4. Least privilege / secure-by-default ontbraken expliciet — nu toegevoegd.
Kern
Security hangt samen met gedrag, routines, verantwoordelijkheid en cultuur.
Onderwerpen
Social engineering, training/informatie, niet alles is technisch oplosbaar, actie bij vermoed incident.
Doen
Phishing/social-engineering voorbeelden bespreken; duo-opdracht 'waarom klikken mensen?'; ontwerp van één gedragsmaatregel.
Stations
S2 Security mindset & cultuur
SO Overige onderwerpen
Oud: S1.2 + S1.3.
Kern
In kaart brengen wie belang heeft bij security en wie invloed heeft op ontwerpkeuzes.
Onderwerpen
Bedreigers (staat, hacker, concurrent); belangen van gebruiker, organisatie, leverancier, toezichthouder, beheerder.
Doen
Stakeholdermap maken; rollen en belangen bespreken; per stakeholder één securityverwachting formuleren.
Stations
S2 Security mindset & cultuur
S3 Hacker-mindset & dreigingen
S4 Governance & supply chain
✎ zelf te makenBespreek bij dit blok welk canvas / kaartset / sjabloon je vooraf bouwt.
Oud: S1.4.
Kern
Bepalen wat beschermd moet worden en hoe een ontwerp misbruikt kan worden.
Onderwerpen
Data, processen, systemen, mensen, apparaten, identity, authentication, access management, datamisbruik.
Doen
Assets inventariseren; assetwaarde bepalen; eerste abuse cases schrijven vanuit gebruiker, aanvaller en beheerder.
Stations
S1 Basis & bewustwording / product security
S3 Hacker-mindset & dreigingen
S5 Threat modelling, monitoring & risico
SO Overige onderwerpen
✎ zelf te makenBespreek bij dit blok welk canvas / kaartset / sjabloon je vooraf bouwt.
Oud: S1.4, deels S1.5 (maar breder en minder technisch dan Juice Shop).
Kern
De week sluit inhoudelijk af met context, assets, stakeholders en eerste misbruikscenario's.
Onderwerpen
Security-context, assets, stakeholders, bedreigers, kwetsbaarheden, mogelijke schade, eerste abuse cases.
Doen
Teams presenteren hun context in 3 minuten; peer-vragen; docent maakt de gezamenlijke rode draad zichtbaar.
Stations
S1 Basis & bewustwording / product security
S2 Security mindset & cultuur
S3 Hacker-mindset & dreigingen
S5 Threat modelling, monitoring & risico
Oud: S1.6 (consolidatie).
Kern
Elkaar leren kennen via herkenbare security-situaties en dilemma's.
Onderwerpen
Phishing, wachtwoorden, telefoonverlies, publieke wifi, USB, MFA, social engineering, persoonlijke ervaringen.
Doen
Security bingo; dilemma-kaarten; ervaringen uitwisselen en koppelen aan securitycultuur.
Stations
S2 Security mindset & cultuur
SO Overige onderwerpen
Materiaal
Security bingo → Dilemmakaarten →
✎ zelf te makenBespreek bij dit blok welk canvas / kaartset / sjabloon je vooraf bouwt.
Nieuw spelblok. Inhoudelijke input uit S1.3.
Kern
De inhoud van week 1 komt samen in één gezamenlijke casus.
Onderwerpen
CIA/BIV, assets, stakeholders, bedreigers, eerste dreigingen, eerste ontwerpprincipes, eerste abuse cases.
Doen
Security context canvas invullen; korte gallery walk; canvas bewaren als startpunt voor week 2.
Stations
S1 Basis & bewustwording / product security
S2 Security mindset & cultuur
S3 Hacker-mindset & dreigingen
S5 Threat modelling, monitoring & risico
Materiaal
Security context canvas →
✎ zelf te makenBespreek bij dit blok welk canvas / kaartset / sjabloon je vooraf bouwt.
Nieuw kernartefact; deels S1.4 + S1.6.
Week 2

De boze buitenwereld

dreigingen & aanvallers
Kern
Redeneren vanuit motieven, toegangspunten, kwetsbaarheden en schade.
Onderwerpen
Black/white/grey hat, dark web, gestolen data, motieven, toegang, impact, bedreigers.
Doen
Attackerspersona maken; motief-toegang-impact invullen; klassikale bespreking van ethische grenzen.
Stations
S3 Hacker-mindset & dreigingen
SO Overige onderwerpen
✎ zelf te makenBespreek bij dit blok welk canvas / kaartset / sjabloon je vooraf bouwt.
Oud: S2.1 (hacker-mindset).
Kern
Dreigingen breed bekijken: digitaal, fysiek, menselijk, procesmatig en organisatorisch.
Onderwerpen
Phishing, DDoS, MitM, ransomware-as-a-service, social engineering, supply-chain attacks, cloud, devices.
Doen
Dreigingskaart sorteren; dreigingen koppelen aan casus-assets; korte threat-landscape mini-jigsaw.
Stations
S1 Basis & bewustwording / product security
S3 Hacker-mindset & dreigingen
SO Overige onderwerpen
Materiaal
Dreigingskaarten-sorteerset →
✎ zelf te makenBespreek bij dit blok welk canvas / kaartset / sjabloon je vooraf bouwt.
Oud: S2.2 (threat landscape).
Kern
Een incident analyseren als gevolg van keuzes in ontwerp, proces, gedrag, techniek of governance.
Onderwerpen
OV-chipkaart, DigiNotar, certificate authority, Stuxnet, zero-day, falende beveiligingsprincipes.
Doen
Incidentcasus in groepen; oorzaak-gevolg-keten maken; aangeven welk securityprincipe faalde.
Stations
S1 Basis & bewustwording / product security
S3 Hacker-mindset & dreigingen
S5 Threat modelling, monitoring & risico
S8 Testing, pentest & incident response
Materiaal
Principekaartjes →
✎ zelf te makenBespreek bij dit blok welk canvas / kaartset / sjabloon je vooraf bouwt.
Nieuw in wk2; verwant aan S3.5 (post-mortem).
Kern
Kennismaken met frameworks die dreigingen helpen herkennen en ordenen.
Onderwerpen
CVE, OWASP, MITRE, cyber kill chain, CVSS, kwetsbaarheden duiden en classificeren.
Doen
Korte frameworktour; voorbeeldkwetsbaarheden classificeren; MITRE/OWASP/CVE vergelijken als ordeningstaal.
Stations
S3 Hacker-mindset & dreigingen
S4 Governance & supply chain
S5 Threat modelling, monitoring & risico
Oud: S2.1 + S2.2.
Kern
Risico's wegen en prioriteren — niet elke dreiging is even belangrijk.
Onderwerpen
Information at risk → threats → mitigations; kwetsbaarheid, dreiging, risico, maatregel, CVSS.
Doen
Risicomatrix invullen; top 5 risico's kiezen; kans/impact onderbouwen.
Stations
S5 Threat modelling, monitoring & risico
S6 Security requirements & architectuur
✎ zelf te makenBespreek bij dit blok welk canvas / kaartset / sjabloon je vooraf bouwt.
Oud: S2.5 (risicoanalyse).
Kern
Risico's koppelen aan eerste maatregelen en ontwerpkeuzes.
Onderwerpen
Mitigations, CIS Controls, access control, logging, rate limiting, defense in depth, cryptografie, key management.
Doen
Per toprisico maatregelen bedenken; indelen in voorkomen/beperken/detecteren/herstellen; eerste ontwerpbesluiten noteren.
Stations
S5 Threat modelling, monitoring & risico
S6 Security requirements & architectuur
S4 Governance & supply chain
Nieuw/uitgebreid t.o.v. S2.5.
Kern
Veilig ontwerpen betekent ook dat afwijkingen zichtbaar en bespreekbaar worden.
Onderwerpen
Security Operations Centre, logging/monitoring, logging van security-relevante acties, detectie als ontwerpkeuze.
Doen
Bespreken wat je in logs wilt zien; detectievragen formuleren; monitoring als ontwerpkeuze koppelen aan risico's.
Stations
S5 Threat modelling, monitoring & risico
S8 Testing, pentest & incident response
Oud: S2.6 (monitoring).
Kern
Teams oefenen met aanvallersdenken en dreigingsherkenning.
Onderwerpen
Attack trees, persona non grata, cyber kill chain; dreigingen koppelen aan asset, motief, toegang, impact.
Doen
Attack-tree challenge in teams; punten voor creativiteit én plausibiliteit; korte debrief op ontwerpimplicaties.
Stations
S3 Hacker-mindset & dreigingen
S5 Threat modelling, monitoring & risico
Materiaal
Attack-tree challenge →
✎ zelf te makenBespreek bij dit blok welk canvas / kaartset / sjabloon je vooraf bouwt.
Oud: S2.1 (attack tree) + S2.3 (STRIDE-spel). Eventueel Cornucopia/EoP als kaartspel.
Kern
De week eindigt met een prioriteitenlijst van risico's en eerste maatregelen voor de casus.
Onderwerpen
Topdreigingen, risicoprioritering, eerste CIS Controls, mitigaties, ontwerpmaatregelen, detectiepunten.
Doen
Risicoprofiel opleveren; maatregelen reviewen; link leggen met governancevragen voor week 3.
Stations
S3 Hacker-mindset & dreigingen
S4 Governance & supply chain
S5 Threat modelling, monitoring & risico
S6 Security requirements & architectuur
✎ zelf te makenBespreek bij dit blok welk canvas / kaartset / sjabloon je vooraf bouwt.
Oud: S2.4 + S2.5 + S2.6.
Week 3

Governance & organisatie

+ incident response
Kern
Security vraagt om duidelijke rollen, besluitvorming, eigenaarschap en afspraken.
Onderwerpen
Security governance, verantwoordelijkheden, eigenaarschap, niet óf maar wanneer, actie bij vermoed incident.
Doen
KluisWerk: vijf besluiten in RACI-light uitwerken; escalatieroute spelen met afwezige beslisser en buiten kantooruren; twee regels verbeteren.
Stations
S4 Governance & supply chain
S2 Security mindset & cultuur
✎ zelf te makenBespreek bij dit blok welk canvas / kaartset / sjabloon je vooraf bouwt.
Oud: S3.1 (governance).
Kern
Het verschil tussen voldoen aan regels en daadwerkelijk veilig ontwerpen.
Onderwerpen
AVG/GDPR, NIS2, CRA, ISO, NIST, HIPAA, SOC 2; regelconform vs. werkelijk veilig.
Doen
KluisWerk-claims op scope, uitvoering en werking onderzoeken; bewijsregister maken, leveranciersgesprek spelen en een begrensde conclusie schrijven.
Stations
S4 Governance & supply chain
Oud: S3.2 (wetgeving & compliance).
Kern
NIST CSF 2.0 en ISO/IEC 27001 verbinden risico, eigenaarschap, beheersing en verbetering.
Onderwerpen
Kern: NIST CSF 2.0 en ISO/IEC 27001. Subonderwerpen: NIS2, AVG/GDPR, DORA en CER als wettelijke context. HIPAA en SOC 2 als aanvullende vergelijking. Framework, norm en wetgeving onderscheiden.
Doen
NIST CSF 2.0 als uitkomstenkapstok, ISO als beheerscyclus en wetgeving als scopevraag onderscheiden. Controlkaart, dossierproef en verbeterlog voor KluisWerk; peerreview met gewijzigde bereikbaarheid.
Stations
S4 Governance & supply chain
S5 Threat modelling, monitoring & risico
✎ zelf te makenBespreek bij dit blok welk canvas / kaartset / sjabloon je vooraf bouwt.
Oud: S3.1 (governance).
Kern
Productsecurity verbinden aan ontwikkeling, onderhoud en aantoonbare ontwerpkeuzes.
Onderwerpen
Kern: CRA. Subonderwerpen: IEC 62443, ETSI EN 303 645, NIST SSDF en OWASP ASVS. De bestaande AVG-/NIS2-scopevragen blijven als verbinding met blok 3. Normen en ontwikkelkaders ondersteunen toepassing; zij bewijzen niet vanzelf wettelijke naleving.
Doen
CRA-productkaart maken; SSDF, ASVS, ETSI en IEC kiezen op ontwikkelvraag en context. Eén eigen KluisWerk-eis en drie modelgevallen beproeven, met expliciete bewijsgrens.
Stations
S4 Governance & supply chain
S1 Basis & bewustwording / product security
✎ zelf te makenBespreek bij dit blok welk canvas / kaartset / sjabloon je vooraf bouwt.
Oud: S3.2 (wetgeving & compliance).
Kern
Afhankelijkheden van leveranciers, software, data, platformen en ketenpartners onderzoeken.
Onderwerpen
Supply chain (attacks), Software Bill of Materials, leveranciers, cloud, data, software, platforms.
Doen
KluisWerk-ketenkaart met data-, toegang- en dienstpijlen; concept-SBOM onderzoeken en een kritieke afspraak met partneruitval beproeven.
Stations
S4 Governance & supply chain
S7a SDLC — technische diepgang
SO Overige onderwerpen
✎ zelf te makenBespreek bij dit blok welk canvas / kaartset / sjabloon je vooraf bouwt.
Oud: S3.3 (supply chain).
Kern
Securitymaatregelen zijn ook organisatorisch en gedragsmatig.
Onderwerpen
Training, awareness, procedures, identity, authentication, access management, verzekeringen.
Doen
KluisWerk-procedure voor een concrete doelgroep maken; ander team twee scenario’s laten doorlopen, verbeteren en een korte awareness-oefening spelen.
Stations
S2 Security mindset & cultuur
S4 Governance & supply chain
SO Overige onderwerpen
Oud: deels S3.1 + S1.3.
Kern
Ontwerpen voor het moment waarop het misgaat.
Onderwerpen
Incident response, rapportage, reparatie/post-mortem, externe communicatie, ITIL, handelen bij incidenten.
Doen
KluisWerk-incident met gefaseerde informatie: tijdlijn, besluiten, meldafweging, herstelcriterium en begrensd bericht; peerfeedback verwerken.
Stations
S8 Testing, pentest & incident response
S2 Security mindset & cultuur
S4 Governance & supply chain
Materiaal
Breach-writeup →
✎ zelf te makenBespreek bij dit blok welk canvas / kaartset / sjabloon je vooraf bouwt.
Oud: S3.4 + S3.5.
Kern
Incident response, rollen, detectie, communicatie en besluitvorming onder druk ervaren.
Onderwerpen
Incident response, SOC-denken, logging, monitoring, rapportage, externe communicatie, post-mortem, teamrollen.
Doen
Officieel Backdoors & Breaches spelen met rolwisseling en observaties; of een afzonderlijke KluisWerk-tabletop. Eén B1–B7-afspraak op basis van waarnemingen verbeteren en herbeproeven.
Stations
S8 Testing, pentest & incident response
S5 Threat modelling, monitoring & risico
S4 Governance & supply chain
S2 Security mindset & cultuur
Oud: S3.4. Rechtstreekse match — kant-en-klaar spel.
Kern
De week eindigt met rollen, verantwoordelijkheden, compliancepunten en responsafspraken.
Onderwerpen
Governancekaart, ketenafhankelijkheden, wetgeving, incidentprocedure, communicatie- en herstelafspraken.
Doen
KluisWerk-governancekaart met twee volledige risico-/bewijslijnen maken; nachtdienstproef en gallerywalk; twee onderzoekbare eisen aan week 4 overdragen.
Stations
S4 Governance & supply chain
S8 Testing, pentest & incident response
S2 Security mindset & cultuur
✎ zelf te makenBespreek bij dit blok welk canvas / kaartset / sjabloon je vooraf bouwt.
Oud: S3.5 + S3.6.
Week 4

Ontwerp & testing

requirements → testen
Kern
Risico's vertalen naar concrete, toetsbare en relevante security-eisen.
Onderwerpen
Security requirements, information at risk → threats → mitigations, CIS Controls als input.
Doen
KluisWerk-risico’s PK-R2/PK-R3 vertalen naar toetsbare eisen; eigen acceptatiecriteria, eigenaar en bewijsaanpak formuleren.
Stations
S6 Security requirements & architectuur
S5 Threat modelling, monitoring & risico
S4 Governance & supply chain
✎ zelf te makenBespreek bij dit blok welk canvas / kaartset / sjabloon je vooraf bouwt.
Oud: S4.1 (van dreiging naar eis).
Kern
Maatregelen afwegen vanuit effectiviteit, haalbaarheid en context.
Onderwerpen
CIS Controls toepassen, implementation groups, roadmap, auditbare vragen, technisch + organisatorisch.
Doen
Voor KluisWerk drie maatregelen vergelijken; techniek, proces, gedrag en organisatie combineren en een uitvoerbare roadmap met alternatief maken.
Stations
S6 Security requirements & architectuur
S4 Governance & supply chain
S2 Security mindset & cultuur
Nieuw; CIS-controls als expliciet maatregelenkader (ontbrak in oude HTML).
Kern
Architectuur breed: lagen, grenzen, toegang, verantwoordelijkheden en samenhang.
Onderwerpen
Zero trust, defense in depth, silo's, rate limiting, access control, key management, cryptografie, post-quantum.
Doen
KluisWerk-onderhouds- en ophaalpad tekenen; vertrouwensgrenzen, autorisatie, afdwinging en storingsafweging zichtbaar maken.
Stations
S6 Security requirements & architectuur
S1 Basis & bewustwording / product security
SO Overige onderwerpen
✎ zelf te makenBespreek bij dit blok welk canvas / kaartset / sjabloon je vooraf bouwt.
Oud: S4.2 (secure architecture).
Kern
Threat modelling verbindt techniek, proces, organisatie, gedrag en risico in één gedeelde taal.
Onderwerpen
Threat modelling algemeen, STRIDE, PASTA, LINDDUN, persona non grata, attack trees.
Doen
KluisWerk-flow met STRIDE-light onderzoeken; concrete scenario’s prioriteren en eis, maatregel of ontwerp bijstellen.
Stations
S5 Threat modelling, monitoring & risico
S6 Security requirements & architectuur
Materiaal
STRIDE-light canvas →
✎ zelf te makenBespreek bij dit blok welk canvas / kaartset / sjabloon je vooraf bouwt.
Oud: S2.3 + S2.4. Whiteboard/canvas i.p.v. technische tool.
Kern
Traceerbaarheid aanleggen van risico naar ontwerpbeslissing.
Onderwerpen
Dreiging → risico → requirement → maatregel → ontwerpbeslissing; logging, access control, cryptografie, monitoring.
Doen
Twee KluisWerk-lijnen traceerbaar vastleggen; ontwerpbesluit en bewijsstatus onderbouwen en gewijzigde paneelroute verwerken.
Stations
S6 Security requirements & architectuur
S5 Threat modelling, monitoring & risico
✎ zelf te makenBespreek bij dit blok welk canvas / kaartset / sjabloon je vooraf bouwt.
Oud: deels S4.1 + S4.2.
Kern
Security als doorlopend proces gedurende de hele levenscyclus.
Onderwerpen
SDLC, PDLC, CI/CD, upgrade/downgrade/patches, supply-chain attacks, SBOM, project opzetten.
Doen
KluisWerk-lifecycle-map maken; vrijgave-, stop- en herstelcriteria, eigenaren en SBOM-vragen voor updates vastleggen.
Stations
S7 SDLC / PDLC / CI-CD
S7a SDLC — technische diepgang
S4 Governance & supply chain
✎ zelf te makenBespreek bij dit blok welk canvas / kaartset / sjabloon je vooraf bouwt.
Oud: S4.3 (SDLC kort + CI/CD).
Kern
Hoe ontwerpkeuzes worden getoetst en gevalideerd.
Onderwerpen
Testing, pentesting, simulaties, rapportage, reparatie/post-mortem, CVE/CVSS om bevindingen te duiden.
Doen
Papieren KluisWerk-model testen; verwachtingen en waarnemingen scheiden, controle verbeteren, hertest en bewijsgrens rapporteren.
Stations
S8 Testing, pentest & incident response
S5 Threat modelling, monitoring & risico
S6 Security requirements & architectuur
✎ zelf te makenBespreek bij dit blok welk canvas / kaartset / sjabloon je vooraf bouwt.
Oud: S4.4 + S4.5 (concepten; hands-on labs optioneel).
Kern
Teams verdedigen ontwerpkeuzes en geven feedback vanuit verschillende rollen.
Onderwerpen
Rollen: aanvaller, gebruiker, compliance, beheer, communicatie, architectuur; feedback op onderbouwing.
Doen
KluisWerk-dossier in twee rolreviewrondes onderzoeken; feedback onderbouwen en één concrete dossierlijn verbeteren.
Stations
S6 Security requirements & architectuur
S5 Threat modelling, monitoring & risico
S4 Governance & supply chain
S8 Testing, pentest & incident response
✎ zelf te makenBespreek bij dit blok welk canvas / kaartset / sjabloon je vooraf bouwt.
Nieuw; vervangt/verbreedt S4.6.
Kern
Alles komt samen in een mini-dossier; voorbereiden op casusgericht redeneren.
Onderwerpen
Context, assets, dreigingen, risico's, governance, requirements, architectuur, lifecycle, monitoring, test, respons.
Doen
KluisWerk-dossier, conceptmap en overdracht afronden; individueel een nieuwe mini-casus beredeneren als formatieve toetsvoorbereiding.
Stations
S1 Basis & bewustwording / product security
S2 Security mindset & cultuur
S3 Hacker-mindset & dreigingen
S4 Governance & supply chain
S5 Threat modelling, monitoring & risico
S6 Security requirements & architectuur
S7 SDLC / PDLC / CI-CD
S8 Testing, pentest & incident response
SO Overige onderwerpen
✎ zelf te makenBespreek bij dit blok welk canvas / kaartset / sjabloon je vooraf bouwt.
Oud: S4.6 (synthese & toetsvoorbereiding).

02 Metrokaart — dekken we alle onderwerpen?

De negen kernonderwerpen zijn "metrostations". Elk blok doet één of meer stations aan; de tabel laat zien hoe elk onderwerp door de vier weken loopt. Zo zie je in één oogopslag dat alles geraakt wordt én waar het zwaartepunt ligt.

MetrostationWeek 1Week 2Week 3Week 4
S1Basis & bewustwording / product securityCIA-BIV, cryptografie & grenzen, beroemde fouten (OV-chip, DigiNotar, Stuxnet)blok 1, 2, 3, 6, 7, 9blok 2, 3blok 4blok 3, 9
S2Security mindset & cultuurSocial engineering, training, niet óf maar wanneer, security firstblok 1, 4, 5, 7, 8, 9—blok 1, 6, 7, 8, 9blok 2, 9
S3Hacker-mindset & dreigingenBlack/white/grey hat, dark web, motieven, aanvallersdenkenblok 5, 6, 7, 9blok 1, 2, 3, 4, 8, 9—blok 9
S4Governance & supply chainAVG, NIS2, CRA, ISO, NIST, CIS Controls, supply chainblok 5blok 4, 6, 9blok 1, 2, 3, 4, 5, 6, 7, 8, 9blok 1, 2, 6, 8, 9
S5Threat modelling, monitoring & risicoSTRIDE, attack trees, kill chain, SOC, logging, risicoanalyseblok 6, 7, 9blok 3, 4, 5, 6, 7, 8, 9blok 3, 8blok 1, 4, 5, 7, 8, 9
S6Security requirements & architectuurZero trust, defense in depth, rate limiting, key management, access controlblok 3blok 5, 6, 9—blok 1, 2, 3, 4, 5, 7, 8, 9
S7SDLC / PDLC / CI-CDSecurity in de software-/productlevenscyclus, CI/CD———blok 6, 9
S7aSDLC — technische diepgangUpgrades, patches, supply-chain attacks, SBOM——blok 5blok 6
S8Testing, pentest & incident responseRapportage, post-mortem, communicatie, ITIL, incident response—blok 3, 7blok 7, 8, 9blok 7, 8, 9
SOOverige onderwerpenPhishing, DDoS, MitM, ransomware-as-a-service, IAM, cloud, devicesblok 2, 4, 6, 8blok 1, 2blok 5, 6blok 3, 9

03 Bronnen

Zoveel mogelijk kant-en-klaar en gratis. Bewust gesplitst: de kernroute is breed en ontwerpgericht; technische lab-tools blijven daarbuiten als optionele verdieping, zodat de minor niet ICT-geframed raakt.

Kernbronnen — gezamenlijke basis

Concepten, frameworks en NL/EU-context die passen bij de brede ontwerpinsteek. Plus de serious games voor de spelblokken (blok 8).

Concepten & frameworks

NL / EU & recht

Serious games (blok 8)

Awareness

niet in de kernroute  Optioneel — technische verdieping

Waardevol, maar te technisch voor de gezamenlijke basis. Aanbieden als bronnenbank, demo of verdiepingsspoor (bijv. LU2 / technisch profiel). Niet centraal verplicht; níét mee openen.

Lab-omgevingen (verdieping)

Tools & primer (optioneel)

04 Wat maken we zélf?

De ontwerpinsteek leunt op canvases, maps en kaartsets in plaats van kant-en-klare tools — dus hier zit het meeste maakwerk. Zet "Zelf te maken markeren" aan om te zien bij welke blokken het hoort.

Canvases & maps — de ruggengraat

  • W1·9 (kernartefact, loopt door) · Security context canvas →
  • W1·5 · Stakeholdermap
  • W1·6 · Asset- & abuse-case canvas
  • W2·1 · Attackerspersona
  • W2·5 · Risicomatrix
  • W2·9 · Risicoprofiel
  • W3·1 · RACI-light
  • W3·5 · Dependency map
  • W3·9 · Governancekaart
  • W4·5 · Traceability matrix
  • W4·6 · Lifecycle-map
  • W4·9 (eindartefact) · Security-by-design dossier

Kaartsets & spelmateriaal

Casussen kiezen / samenstellen

  • loopt door alle weken · Doorlopende venture / fictief bedrijf
  • W2·3 · Incidentcasus
  • W3·7 · Breach-writeup →
  • W3·4 · Kadervergelijking en productsecurity-casus
  • W4·3 · 'Slecht ontworpen' architectuur (A4)

Retrieval, slides & toetsing

  • bij blok 7 of 9 · Weekquiz (Kahoot/Menti)
  • W1·1 · Begrippenkaart
  • W1·1 · Kickoff-slides
  • W2·4 · Framework-tour slides
  • W2·7 · Monitoring-intro
  • W4·9 · Oefencasusvragen + kennistoets
Kant-en-klaar — niet zelf makenBackdoors & Breaches (W3·8), Elevation of Privilege / Cornucopia (spelblokken), de framework-referenties (OWASP, MITRE, CIS, CVE/CVSS) en de Google Phishing Quiz. Hierop bouw je voort; je hoeft ze niet te ontwikkelen.
Praatplaat bij het Secure-by-Design masteroverzicht · 4 weken × 9 blokken.Klik een blok voor detail · schakelaars boven voor lagen.