Combiwel kreeg een pentest op maat voor een veilige netwerkomgeving

Acknowledge voerde een pentest op maat uit om de netwerkomgeving van Combiwel te controleren en optimaliseren.

---

Mensen maken de stad, dat is het motto van Combiwel. Deze maatschappelijke organisatie ondersteunt de inwoners van Amsterdam op het gebied van welzijn, buurtontwikkeling, opvoeding en sociale zorg. Hun doel is mensen mee te laten doen in de samenleving en buurten sterker en socialer te maken. Ze krijgen regelmatig te maken met gevoelige situaties, zoals slachtoffers van de toeslagenaffaire. Van groot belang dus om de gegevens die ze verwerken zo veilig mogelijk te houden. Combiwel vroeg Acknowledge daarom een pentest uit te voeren. “Voor de gemeente moeten we ISO-gecertificeerd zijn. En om die certificering te behalen moet een aantal zaken geregeld zijn, waaronder een fatsoenlijk beveiligd netwerk”, vertelt Gerard Honing, ICT-manager bij Combiwel.

Eigen vlees keuren

De afdeling compliance heeft alle zaken waar Combiwel aan moet voldoen volgens de ISO-certificering vastgelegd in een beleid. Dit beschrijft onder andere wanneer en hoe vaak een pentest moet worden uitgevoerd. Dat gebeurt in elk geval elke drie jaar, óf wanneer een grote verandering in de infrastructuur plaatsvindt. En dat gebeurde door de overname van een nieuwe vestiging en de overgang van de telefonie naar Teams. “Dan moet je controleren of dat goed is gegaan. En zoals de slager niet zijn eigen vlees keurt moeten ook wij een externe partij daarvoor inschakelen”, laat Gerard weten. Hij ging daarom op zoek naar een IT-leverancier die een gerichte penetratietest (pentest) voor ze uit kon voeren.

Persoonlijk en op maat

Combiwel is een stichting die de budgetten het liefst zoveel mogelijk vrijhoudt voor de Amsterdammers die ze ondersteunt. Gerard: “Ik wilde daarom heel specifiek testen en niet te veel uitgeven. De meeste leveranciers leveren echter een one-size-fits-all-oplossing, vaak op afstand. Ik had uiteindelijk de keuze uit drie leveranciers. Acknowledge begreep als enige dat ik de opdracht niet te groot wilde maken en het liefst had dat iemand op locatie langskwam. Ik heb de consultants ook gevraagd op te letten of er bij binnenkomst werd gevraagd naar identificatie. Die persoonlijke aanpak is echt een meerwaarde, precies het soort maatwerk waar ik naar zocht. Daarom koos ik voor Acknowledge.”

Actielijst

Tijdens de pentest concentreerden de consultants zich op drie virtuele netwerken (VLAN). “Ik wilde de segmentatie laten testen, dus hoe gemakkelijk komen ze van het ene naar het andere netwerk. Daarnaast controleerden ze de instellingen van de VLAN’s”, legt Gerard uit. Hij liet de afhandeling van de pentest bewust aan zijn team over. “De uitvoerende engineers zijn verantwoordelijk voor de beveiliging. Ik beoordeel vervolgens het opgeleverde rapport. Zo houden we de taken goed gescheiden.” Uit de rapportage die de consultants opleverden na de pentest bleek een aantal zaken niet helemaal op orde te zijn. Gerard ziet dit echter niet als iets negatiefs. “Je krijgt een mooie pagina met een score (low, medium, high of critical). Zo vormt het een actielijst voor zaken die je moet oplossen. Loop je die een voor een door, dan is alles weer op orde”, zegt hij.

Van leverancier naar partner

De rapportage werd via een beveiligde portal met Combiwel gedeeld. “Zo goed beveiligd dat ik er na twee weken niet meer bij kon”, lacht Gerard. “Gelukkig was Acknowledge heel flexibel met het opleveren van het rapport en kwam de planning toch nog goed. Bij Combiwel werken we graag met een kleinere groep leveranciers – of liever gezegd partners – die doen wat ze beloven en beloven wat ze doen. Acknowledge komt nu op mijn vaste lijstje van IT-leveranciers. Binnenkort moeten we testen of onze Defender-inrichting op orde is. Grote kans dat we Acknowledge daar weer voor vragen.” Gerard geeft de uitvoer van de pentest dan ook een mooie acht!