Klant
Woonstichting Charlotte van Beuningen
Sector
Vastgoed & Volkshuisvesting
Dienst
Pentesting & Training
Uitdaging
Inzicht boven beleid
Resultaat
Een weerbaardere organisatie
Technische en menselijke risico’s onafhankelijk zichtbaar maken
Woonstichting Charlotte van Beuningen verhuurt, onderhoudt en bouwt sociale huurwoningen. Ze beheert zo’n 3.000 woningen, voornamelijk in de regio Vught (Noord-Brabant). Voor huurovereenkomsten en dienstverlening verwerkt de organisatie veel persoonsgegevens. Digitale veiligheid raakt daardoor niet alleen de IT-omgeving, maar ook de dagelijkse dienstverlening aan huurders.
Roeland de Graaff ondersteunt de woonstichting als freelance informatiemanagement professional. Hij opereert op het snijvlak van bedrijfsprocessen en ICT, en beweegt zich daarbij op strategisch, tactisch én operationeel niveau. Vanuit die rol merkte hij dat beleid alleen onvoldoende antwoord geeft op de vraag hoe weerbaar een organisatie werkelijk is.
“Je kunt heel veel beleid maken en beschrijven hoe je de dingen doet. Maar als ik moet kiezen, wil ik eerst weten waar de kwetsbaarheden zitten. Dan kun je gericht maatregelen treffen en het daarna beleidsmatig goed vormgeven”, geeft hij aan.
Vanuit die gedachte liet Charlotte van Beuningen in 2023 bij Cybernext een eerste pentest uitvoeren, met de intentie dit periodiek te herhalen. Het uitgangspunt was vanaf het begin breder dan één technisch onderzoek: periodiek toetsen, de gevonden risico’s aanpakken en later opnieuw beoordelen wat er is veranderd.
De Graaff: “Als je in jaar één je kwetsbaarheden helder hebt, kun je daarna de maatregelen treffen om risico’s te beperken. Als je dat steeds met een vaste cyclus doet, heb je er vertrouwen in dat je geen dingen mist en niet onverwacht op een dag geconfronteerd wordt met iets wat je had kunnen voorkomen.”
Een onafhankelijke toets naast de IT-partner
Via positieve ervaringen bij een andere woningcorporatie kwam Roeland in contact met Jochen den Ouden van Cybernext. Cybernext vervult in de nu periodieke pentesten een onafhankelijke rol naast de managed service provider van de woonstichting. De IT-partner levert en beheert verschillende diensten; Cybernext toetst van buitenaf waar risico’s zichtbaar worden. Dat voorkomt dat aannames van de organisatie of leverancier het beeld bepalen.
Voor Roeland zit de waarde van deze constructie in de manier waarop Cybernext de bevindingen vastlegt: feitelijk, zorgvuldig en bruikbaar voor zowel de woonstichting als haar IT-partner.
“Wat mij bij Cybernext aanspreekt, is de manier waarop over de bevindingen wordt gerapporteerd: goed gestructureerd en helder. Ook onze managed service provider geeft aan dat het een rapportage is waar zij goed opvolging aan kunnen geven.”
Naast de pentests werd een bewustwordingssessie voor medewerkers verzorgd. Daarin stond centraal wat er speelt rond digitale veiligheid en hoe medewerkers zelf kunnen bijdragen aan het beperken van risico’s. Ook werd een fysieke social-engineeringtest uitgevoerd. Die maakte zichtbaar waar de dagelijkse routines rond het ontvangen van bezoekers scherper konden. De test leverde concrete aanknopingspunten op voor het controleren van afspraken en het begeleiden van gasten op kantoor.
In het traject kwamen samen:
Pentests in 2023 en 2025, hertest in 2026
Een bewustwordingssessie voor medewerkers
Een fysieke social-engineeringtest op kantoor
Een heldere rapportage voor gerichte opvolging
Roeland de Graaff
IT- & Informatiemanager ad interim
Woonstichting Charlotte van Beuningen
Bevindingen waar de organisatie mee verder kan
De onderzoeken gaven Charlotte van Beuningen een concreter beeld van technische én menselijke risico’s. Zo werd de managed service provider zich bewust van het belang van wachtwoordrotatie bij bepaalde admin-accounts. Medewerkers zijn zich bovendien bewuster geworden van de manier waarop bezoekers worden ontvangen en begeleid, en van het belang van het controleren van afspraken.
Minstens zo belangrijk: de bevindingen bleven niet bij een rapport. De heldere onderbouwing helpt de managed service provider om risico’s te beoordelen en verbeteringen gericht op te volgen. Volgens Roeland reageert de IT-partner, mede dankzij die duidelijke scheiding tussen constatering, risico en vervolgstap, constructief op de rapportages vanuit Cybernext.
Beter inzicht in technische risico’s
Meer aandacht voor veilig bezoekersbeheer
Aangescherpt beheer van accounts en wachtwoorden
Constructieve opvolging samen met de IT-partner
