CJ2 is een hostingorganisatie die al ruim twintig jaar werkt vanuit een duidelijke overtuiging: data hoort dichtbij te zijn. Niet alleen vanwege snelheid en toegankelijkheid, maar steeds meer vanuit het belang van datasoevereiniteit en controle over de volledige keten. De organisatie levert hostingdiensten, online werkplekken, applicaties en websites aan een brede klantgroep, van kleine verenigingen tot zorginstellingen met honderden medewerkers die volledig in de cloud werken. <\/p>\n\n\n\n
Wat CJ2 onderscheidt, is dat de volledige infrastructuur end-to-end in eigen beheer is. Van netwerk tot verbindingen en hosting: alles blijft binnen de eigen controle. Daarbij wordt bewust gekozen voor open source technologie en eigen netwerkbeheer, zodat afhankelijkheid van externe partijen tot een minimum wordt beperkt. <\/p>\n\n\n\n
Om hun informatiebeveiliging verder te professionaliseren en hun ISO- en NEN-certificeringen te ondersteunen, werkt CJ2 samen met onze partner Nestor Security en Warpnet. Waar Nestor Security de organisatie ondersteunt op het gebied van governance, risicomanagement en certificering, zorgt Warpnet met onafhankelijke pentesten voor een objectieve toetsing van de technische beveiliging. Samen helpen CJ2 om informatiebeveiliging blijvend te verbeteren. In deze klantcase vertellen betrokkenen van CJ2, Nestor Security en Warpnet hoe die samenwerking eruitziet en welke inzichten en verbeteringen deze heeft opgeleverd. <\/p>\n\n\n\n
Informatiebeveiliging is binnen CJ2 verweven met de hele operatie. De organisatie is ISO27001 en NEN7510-gecertificeerd en werkt al sinds 2017 structureel aan het verbeteren van haar security volwassenheid. Carlos de Boer, CEO van CJ2 licht toe: “Het belang van informatiebeveiliging is in de loop der jaren alleen maar toegenomen, mede door groei, klantverwachtingen en nieuwe regelgeving, zoals de NIS2. Dat is voor ons superbelangrijk. Wij beheren alles dus het is essentieel dat wij ook alles onder controle hebben. Daarom ook die certificaten.” <\/p>\n\n\n\n
Naarmate de organisatie groeide, groeide ook de hoeveelheid documentatie en processen rondom informatiebeveiliging. Wat ooit overzichtelijk begon, werd steeds complexer door de hoeveelheid beleid, documenten en onderlinge afhankelijkheden. Intern werd teruggekeken op de eerste fase van certificering als een periode waarin vooral de norm leidend was. “We deden technisch al heel veel, maar we waren eigenlijk begonnen met het idee dat we alles moesten afvinken wat in de norm stond. Pas later realiseer je dat je ook gewoon moet kijken: wat doen wij al, en hoe leggen we dat goed vast,” vertelt Carlos. Die verschuiving werd belangrijk: in plaats van de organisatie aan te passen aan de norm, werd de norm steeds meer vertaald naar de werkelijkheid van de organisatie zelf. <\/p>\n\n\n\n
Om die beweging te ondersteunen, werd er een externe security officer ingeschakeld via Nestor Security. Haar rol lag vooral in het opnieuw vormgeven van risicomanagement en het begeleiden van de hercertificering. Vanaf het begin viel op hoe groot de hoeveelheid documentatie was. “CJ2 had ontzettend veel documentatie rondom de ISO 27001-richtlijn. Een belangrijke vervolgstap is die documentatie verder structureren, zodat alles gemakkelijk vindbaar en consistent is,” zegt Wendy Sikkema, Security officer bij Nestor Security. <\/p>\n\n\n\n
Daarom werd gekozen voor vereenvoudiging. Onderwerpen werden opnieuw gestructureerd, beleid werd herzien en waar mogelijk werd gewerkt met verwijzingen in plaats van duplicatie. Daarnaast werd een vaste overlegstructuur geïntroduceerd. “We zitten iedere week met elkaar om tafel. Dit zorgt ervoor dat verwachtingen constant helder blijven en je sneller kunt schakelen als er iets verandert. Wat wij proberen te doen is de norm juist naar de organisatie toe te trekken. Zodat het iets wordt wat je kunt gebruiken in plaats van iets waar je alleen maar aan moet voldoen.” <\/p>\n\n\n\n
Naast audits laat CJ2 jaarlijks pentesten uitvoeren om de technische kant van informatiebeveiliging onafhankelijk te laten toetsen. Warpnet werd ingeschakeld voor een configuration review en pentest op een nieuwe identity provider en open source platformcomponenten. Omdat het systeem nog in ontwikkeling was, bestond een groot deel van het traject uit interactieve sessies waarin keuzes, inrichting en architectuur samen werden besproken. “De medewerkers van CJ2 waren heel goed in het uitleggen van hun keuzes. Ze waren gemotiveerd en ze stelden zelf ook veel vragen terug, waardoor het echt een interactief proces werd,” vertelt Nikhil John Thomas, Pentester bij Warpnet. <\/p>\n\n\n\n
De uitkomst van de pentest was overwegend bevestigend. Er werden enkele aanbevelingen gedaan, maar geen kritieke kwetsbaarheden gevonden. “Wij rapporteren geen bevindingen in de zin van ‘je bent niet goed bezig’, maar aanbevelingen. Het gaat erom wat je kunt verbeteren op wat er al staat.” Door CJ2 werd dit vooral gezien als bevestiging van de bestaande koers. <\/p>\n\n\n\n
Patrick Hulshof, System & Security Engineer bij CJ2, vertelt meer over de samenwerking met Warpnet: “Het gehele proces werd als laagdrempelig en transparant ervaren. De intake verliep duidelijk, de samenwerking tijdens de test was open en er was veel ruimte voor wederzijds begrip. De rapportage werd daarbij gezien als een belangrijk onderdeel van de waarde: niet alleen technisch volledig, maar vooral goed te volgen en bruikbaar in de praktijk.” <\/p>\n\n\n\n
Voor CJ2 zit de meerwaarde van de samenwerking met Nestor Security niet alleen in de inhoudelijke kennis, maar ook in de manier waarop die wordt overgebracht. Waar de organisatie voorheen vooral bezig was met voldoen aan de norm, hielp Nestor Security om informatiebeveiliging vanuit de eigen praktijk te bekijken. Daarbij werden bestaande keuzes kritisch tegen het licht gehouden en waar nodig aangescherpt. Zoals Carlos zelf aangeeft: “De consultants van Nestor Security helpen ons om dingen zo duidelijk mogelijk te omschrijven, maar wel realistisch. In het begin hebben ze ons echt een spiegel voorgehouden. Daardoor zijn we anders naar onze processen en ons beleid gaan kijken.” <\/p>\n\n\n\n
De inzichten uit audits en pentesten worden actief teruggebracht in de organisatie en vormen input voor verdere volwassenheid in risicomanagement. De focus ligt steeds meer op het ophalen van risico’s uit de organisatie zelf. Wendy licht toe: “Ik ga ieder team bij langs om te kijken waar zij risico’s zien. Die neem ik mee terug en daar maken we dan een risicoanalyse van.” <\/p>\n\n\n\n
De samenwerking is inmiddels uitgegroeid tot een structurele manier van werken waarin informatiebeveiliging meegroeit met de organisatie. Door de combinatie van externe expertise, interne betrokkenheid en onafhankelijke validatie is een volwassen aanpak ontstaan waarin compliance niet het eindpunt is, maar een logisch gevolg van goed ingerichte processen. Door Carlos wordt dat gevoel uiteindelijk als volgt samengevat: “Je wordt er beter van. Professioneler. En dat is iets wat blijft. Digitale afhankelijkheid neemt toe en cyberdreigingen komen steeds vaker voor, zorgvuldig omgaan met gevoelige data is daarom gewoon een prioriteit.”<\/p>","protected":false},"excerpt":{"rendered":"
CJ2 is een hostingorganisatie die al ruim twintig jaar werkt vanuit een duidelijke overtuiging: data hoort dichtbij te zijn. Niet…<\/p>","protected":false},"author":25,"featured_media":987627915,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"_et_pb_use_builder":"off","_et_pb_old_content":"","_et_gb_content_width":"","footnotes":""},"categories":[1],"tags":[],"class_list":["post-987627913","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-uncategorised"],"acf":[],"_links":{"self":[{"href":"https:\/\/warpnet.nl\/en\/wp-json\/wp\/v2\/posts\/987627913","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/warpnet.nl\/en\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/warpnet.nl\/en\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/warpnet.nl\/en\/wp-json\/wp\/v2\/users\/25"}],"replies":[{"embeddable":true,"href":"https:\/\/warpnet.nl\/en\/wp-json\/wp\/v2\/comments?post=987627913"}],"version-history":[{"count":3,"href":"https:\/\/warpnet.nl\/en\/wp-json\/wp\/v2\/posts\/987627913\/revisions"}],"predecessor-version":[{"id":987627917,"href":"https:\/\/warpnet.nl\/en\/wp-json\/wp\/v2\/posts\/987627913\/revisions\/987627917"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/warpnet.nl\/en\/wp-json\/wp\/v2\/media\/987627915"}],"wp:attachment":[{"href":"https:\/\/warpnet.nl\/en\/wp-json\/wp\/v2\/media?parent=987627913"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/warpnet.nl\/en\/wp-json\/wp\/v2\/categories?post=987627913"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/warpnet.nl\/en\/wp-json\/wp\/v2\/tags?post=987627913"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}