Het Cybersecurity-project
In fase 3 los je met een team van vier à vijf een echt cybersecurity-vraagstuk op voor een bedrijf. De vragen verschillen enorm — een pentest, een NIS2-advies, een detectie-oplossing, een awareness-traject — maar de route eronder is universeel. Deze plaat is die route: een aanpak die past op elk type cybervraag, met daarin gemarkeerd waar jullie zélf de aanpak bepalen.
01 Waarom een cyber-project anders loopt
Een cybervraagstuk is geen gewoon softwareproject. Deze verschillen bepalen je aanpak — onderschat ze niet.
A1Mandaat vóór actie
Je hebt expliciete toestemming, scope en rules of engagement nodig vóórdat je iets aanraakt. Zonder mandaat is testen simpelweg strafbaar — dit is geen formaliteit.
A2Risicogestuurd, niet feature-gestuurd
Je werkt vanuit dreiging, risico en compliance, niet vanuit user stories. Het kompas is kans × impact, niet een functielijst.
A3Vertrouwelijkheid is kritisch
Je raakt gevoelige systemen en data. Geheimhouding, veilige opslag en netjes opruimen horen vanaf dag één bij het werk.
A4Bewijs moet kloppen
Bevindingen zijn reproduceerbaar en onderbouwd. Je legt vast wat je deed, zodat een ander het kan nalopen — auditbaar, niet ‘trust me’.
A5Niet zomaar in productie
Je test in een veilige omgeving of strikt gecontroleerd en in overleg. Je mag niets beschadigen of platleggen.
A6Succes = risico verlaagd
Het is niet ‘werkt de functie’, maar ‘is de organisatie aantoonbaar veiliger’ of ‘is de vraag met bewijs beantwoord’.
A7Overdracht telt mee
De organisatie moet ná jullie verder kunnen. Advies, playbook of kennisoverdracht hoort bij het resultaat — niet ‘klaar, succes ermee’.
02 De roadmap — universele projectaanpak
De inhoud verschilt per vraag, de route niet · klik een fase open · ◆ = hier maak je keuzes
- Intakegesprek: opdracht, verwachtingen en context scherp krijgen
- Bepaal welk type vraagstuk dit is
- Afspraken over scope, mandaat/toestemming, geheimhouding (NDA) en databeheer
- Rules of engagement, contactpersoon en escalatielijn vastleggen
- Assets, stakeholders en de huidige situatie in kaart brengen
- Relevante dreigingen en compliance-eisen verkennen
- De centrale vraag herformuleren tot iets onderzoekbaars
- Succescriteria en een eerste risico-inschatting bepalen
- Aanpak en methode kiezen en onderbouwen
- Planning, mijlpalen en rolverdeling
- Deliverables, risico’s en aannames benoemen
- Ethiek, databeheer en rules of engagement uitwerken; bij testen ook responsible disclosure
- In korte slagen itereren met regelmatige check-ins
- Vastleggen wat je doet en wat je vindt
- Afstemmen met de opdrachtgever bij alles wat live systemen raakt
- Tussentijds toetsen of je nog antwoord geeft op de vraag
- Risico’s wegen op kans × impact
- Bevindingen prioriteren en clusteren
- Haalbaarheid en trade-offs voor déze organisatie meewegen
- Aanbevelingen en een roadmap voor de klant opstellen
- Eindproduct opleveren: rapport, prototype, beleid, playbook of training
- Presentatie aan de opdrachtgever
- Kennisoverdracht en — waar nodig — responsible disclosure
- Gevoelige data netjes teruggeven of verwijderen, toegang intrekken
- Proces, samenwerking en resultaat evalueren
- Individuele reflectie
- Formele afsluiting met de opdrachtgever
- Controleren dat alle toegang en datakopieën zijn opgeruimd
03 Doorlopende sporen
Dit zijn in een cyber-project geen losse fasen maar lijnen die de héle rit meelopen. Verwaarloos je er één, dan loopt het project vast — of erger.
Ethiek & recht
Blijf binnen de wet en je mandaat: toestemming, AVG, geen schade. Twijfel je? Eerst afstemmen, niet doen.
Vertrouwelijkheid & databeheer
Veilige opslag, geheimhouding, en aan het eind opruimen. Behandel klantdata alsof het je eigen geheimen zijn.
Stakeholders & communicatie
Verwachtingen managen en regelmatig afstemmen. Geen verrassingen voor de opdrachtgever — een cyberproject is ook politiek.
Risicogestuurd werken
Koppel alles terug naar kans × impact en de oorspronkelijke vraag. Dat houdt je weg bij leuke-maar-irrelevante zijpaden.
Bewijs & reproduceerbaarheid
Leg vast, onderbouw, maak navolgbaar. Een bevinding zonder bewijs is een mening.
Teamproces & rolverdeling
Taken, planning, kwaliteit en rollen die mogen rouleren. Een goed proces draagt het inhoudelijke werk.
04 Keuzepunten — waar je je eigen aanpak bepaalt
De route ligt vast, maar op deze punten kiest het team bewust. Onderbouw elke keuze in je plan van aanpak — dáár zit het professionele oordeel.
F1Type opdracht
F2Framing
F3Raamwerk als kapstok
F4Scope
F5Onderzoeks- / testvorm
F6Omgeving
F7Maken
F8Proces
F9Oplevervorm
F10Overdracht
05 Team & plan van aanpak
Rollen in een team van 4–5
Bij vier personen combineer je rollen. Laat ze gerust rouleren per fase.
Projectlead / opdrachtgevercontact
Planning, stakeholders en scopebewaking. Het ene gezicht naar de opdrachtgever.
Lead inhoud (onderzoeker / architect)
Bewaakt de inhoudelijke diepte en richting van het werk.
Specialist(en)
Techniek of governance, afhankelijk van het vraagstuk — de uitvoerende kracht.
Documentatie & kwaliteit
Bewaakt bewijs, onderbouwing en navolgbaarheid. De ‘evidence-keeper’.
Communicatie & presentatie
Verslag, eindpresentatie en de rode draad in het verhaal.
In je plan van aanpak
De ruggengraat van fase 2 blijft staan, met cyber-specifieke toevoegingen (mandaat, recht, databeheer).
- Aanleiding & context (opdrachtgever en vraag)
- Doel- en probleemstelling + onderzoeksvraag
- Scope & afbakening — inclusief wat níét
- Mandaat, toestemming & rules of engagement
- Ethiek, recht (AVG) & databeheer
- Aanpak & methode, met onderbouwde keuzes
- Planning & mijlpalen
- Rolverdeling in het team
- Deliverables & succescriteria
- Risico’s, aannames & terugvalplan
- Communicatie- & overlegafspraken