Frank van Noorden

Van Noorden IT Consultancy is opgericht door Frank van Noorden. Frank helpt organisaties om beveiligingsbeleid te vertalen naar technische maatregelen die daadwerkelijk werken én tijdens een audit aantoonbaar zijn.

Zijn achtergrond ligt niet in het schrijven van compliance-rapporten, maar in het bouwen, integreren en beveiligen van bedrijfskritische IT-platformen.

Van bedrijfskritische IT naar aantoonbare beveiliging

Frank heeft als senior technical consultant gewerkt aan complexe IT-omgevingen bij onder meer overheidsorganisaties, financiële instellingen en nutsbedrijven.

Deze omgevingen ondersteunen processen die continu beschikbaar moeten blijven, zoals gegevensuitwisseling, planning, integraties tussen organisaties en cloudplatformen. Beveiliging is daar geen theoretisch onderwerp. Een fout in toegangsbeheer, logging of configuratie kan direct gevolgen hebben voor de bedrijfsvoering.

Tijdens deze projecten zag Frank een terugkerend probleem: organisaties investeren veel in beleid en procedures, maar lopen tijdens audits vast op de technische uitvoering.

Systemen werken functioneel, maar het is niet altijd aantoonbaar dat ze veilig zijn ingericht. Precies die kloof tussen beleid, techniek en audit vormt de kern van zijn dienstverlening.

Technische praktijkervaring

Frank werkt dagelijks met cloud-native platformen en integratieomgevingen, waaronder Red Hat OpenShift, Kafka en messaging-platformen.

Als Senior Technical Consultant en Red Hat Accelerator houdt hij zich bezig met de betrouwbaarheid, beschikbaarheid en beveiliging van systemen die grote hoeveelheden gegevens verwerken en uitwisselen.

Daarbij richt hij zich onder andere op:

• technische hardening;
• toegangsbeheer en beheerrechten;
• logging, monitoring en traceerbaarheid;
• netwerk- en cloudbeveiliging;
• back-up- en herstelprocessen;
• veilige en reproduceerbare configuraties;
• automatisering van beveiligingsmaatregelen.

Deze praktijkervaring sluit direct aan op de technische eisen die organisaties tegenkomen bij ISO 27001, ISO 27017, ISO 27701 en NEN 7510.

Waarom Frank organisaties helpt met ISO 27001

In veel organisaties zijn de basisvoorzieningen aanwezig: accounts worden beheerd, back-ups draaien en systemen produceren logs. Tijdens een audit blijkt echter regelmatig dat controles niet structureel worden uitgevoerd of onvoldoende kunnen worden aangetoond.

Frank helpt organisaties onder andere met situaties zoals:

• historisch gegroeide rechtenstructuren;
• te veel of onvoldoende gecontroleerde beheerrechten;
• logging die aanwezig is, maar niet aantoonbaar wordt beoordeeld;
• back-ups waarvan herstel nooit structureel is getest;
• cloudomgevingen die functioneel werken, maar audit-technisch onvoldoende zijn onderbouwd;
• beveiligingsmaatregelen die afhankelijk zijn van handmatige acties;
• e-maildomeinen die onvoldoende beschermd zijn tegen misbruik en spoofing.

Zijn doel is niet alleen vaststellen wat ontbreekt. Waar nodig helpt hij maatregelen ook technisch te ontwerpen, implementeren en automatiseren.

Security en automatisering

Frank richt beveiliging zo in dat deze onderdeel wordt van de dagelijkse IT-omgeving.

Dat betekent waar mogelijk:

• veilige standaardconfiguraties;
• automatisch toegepaste beveiligingsmaatregelen;
• zichtbare en controleerbare afwijkingen;
• herhaalbare controles;
• bruikbare auditinformatie;
• minder afhankelijkheid van één beheerder.

Automatisering maakt beveiliging consistenter en beter reproduceerbaar. Dat helpt niet alleen bij certificering, maar ook bij het dagelijks beheren van de IT-omgeving.

Frank houdt zich daarnaast bezig met e-mailbeveiliging, waaronder SPF, DKIM, DMARC, MTA-STS, TLS-RPT, DANE en DNSSEC. Deze technieken helpen organisaties hun domeinen te beschermen tegen spoofing, phishing en factuurfraude.

De rol van Frank tijdens een certificeringstraject

Bij een ISO- of NEN-certificering zijn doorgaans verschillende partijen betrokken:

Frank vervangt geen onafhankelijke auditor en verstrekt zelf geen certificering. Zijn rol is het verbinden van beleid en technische praktijk.

Hij werkt samen met interne IT-teams, informatiebeveiligingsverantwoordelijken, externe adviseurs en auditors. Zo kan worden vastgesteld welke technische bewijslast nodig is en hoe deze betrouwbaar beschikbaar wordt gemaakt.

Open source en kennisdeling

Als Red Hat Accelerator maakt Frank deel uit van een internationaal netwerk van technische specialisten. Binnen dat netwerk deelt hij praktijkervaring en productfeedback en werkt hij met open-sourcetechnologie.

Die achtergrond past bij zijn manier van werken: oplossingen moeten inzichtelijk, reproduceerbaar en beheersbaar zijn. Dat zijn ook belangrijke voorwaarden voor aantoonbare informatiebeveiliging.

Via de kennisbank van Van Noorden IT Consultancy deelt Frank praktische uitleg over onder andere ISO 27001, logging, toegangsbeheer, back-ups, cloudbeveiliging en auditvoorbereiding.

Persoonlijke en praktische aanpak

Frank werkt rechtstreeks samen met de mensen die verantwoordelijk zijn voor de IT-omgeving. De lijnen zijn kort en adviezen worden gekoppeld aan de systemen, processen en risico's van de organisatie.

De aanpak bestaat doorgaans uit:

1. de bestaande IT-omgeving en technische maatregelen beoordelen;
2. risico's en ontbrekende bewijslast inzichtelijk maken;
3. concrete verbeteringen prioriteren;
4. maatregelen implementeren of het interne IT-team daarbij begeleiden;
5. controleren of de werking tijdens een audit aantoonbaar is.

Het uitgangspunt is dat informatiebeveiliging geen tijdelijke inspanning rond een auditdatum moet zijn. Wanneer systemen standaard veilig zijn ingericht en controles onderdeel zijn van het dagelijkse beheer, wordt een audit vooral een bevestiging van hoe de organisatie al werkt.