Een IT-netwerk audit beperkt zich niet tot het scannen van poorten en het opsommen van switches. De waarde van een audit ligt in het vermogen om een bewijs van operationele beheersing te leveren, niet in een eenvoudig statisch inventaris. We bespreken hier de methodologische punten die het verschil maken tussen een bruikbare oplevering en een document dat zonder vervolg wordt gearchiveerd.
Verschil tussen gedeclareerde configuratie en waargenomen configuratie: het echte startpunt
De meeste netwerk auditgidsen beginnen met de mapping. Dit is noodzakelijk, maar onvoldoende als het zich beperkt tot een ruwe SNMP-export. De eerste reflex moet zijn om de gedeclareerde configuratie (CMDB, interne documentatie, architectuurschema’s) te confronteren met de configuratie die daadwerkelijk op de apparatuur is waargenomen.
Zie ook : De onmisbare trends voor een succesvolle interieurdecoratie dit jaar
Een switch waarvan de VLAN-tabel niet overeenkomt met het officiële netwerkschema vormt een onmiddellijk risico. Een firewall waarvan de actieve regels afwijken van het gedocumenteerde beveiligingsbeleid maakt elke getoonde conformiteit ongeldig. Elk verschil tussen gedeclareerd en waargenomen moet worden gedateerd en getraceerd, waarbij wordt geïdentificeerd wie de informatie heeft verzameld en onder welke omstandigheden.
Deze aanpak transformeert de audit in een tegenbewijs, met name in het kader van de NIS2-richtlijn die vereist dat men redeneert in gedocumenteerde conformiteitsomvang. Het is niet langer voldoende om technische vakjes aan te vinken: de geauditeerde entiteit moet formeel de gekozen scope rechtvaardigen, inclusief de classificatie van dochterondernemingen en de verbindingen met derden. Om een IT-netwerk audit te laten slagen, weegt deze documentatiediscipline even zwaar als de technische analyse zelf.
Verder lezen : Hoe kies je een tandartspraktijk in het buitenland voor kwaliteitszorg
Netwerkresistentietests: failover, overschakelingen en effectieve herstel
Veel audits stoppen bij de identificatie van kwetsbaarheden. Ze produceren een rapport van kwetsbaarheden geclassificeerd op kriticiteit en gaan dan over op het actieplan. De ontbrekende schakel is de gecontroleerde veerkrachtstest.
Een niet-geteste herstelplan is geen herstelplan. We raden aan om systematisch drie operationele controles op te nemen in de scope van de audit:
- Overschakeling van WAN-link of firewall-cluster onder reële omstandigheden, met meting van de daadwerkelijke downtime en vergelijking met de aangekondigde RTO
- Herstel van een volledige netwerkback-up (configuratie van actieve apparatuur, filterregels, certificaten) op een geïsoleerde omgeving, om de integriteit van de bestanden te valideren
- Simulatie van het verlies van een kritisch knooppunt (Wi-Fi-controller, interne DHCP/DNS-server) om het gedrag van het netwerk zonder menselijke tussenkomst te observeren
Deze tests onthullen kwetsbaarheden die niet zichtbaar zijn in de mapping. Een actief/passief cluster dat meerdere minuten nodig heeft om over te schakelen in plaats van enkele seconden wijst op een probleem met heartbeat of verkeerd geconfigureerde prioriteit. Een configuratieback-up die niet correct hersteld kan worden, maakt elke continuïteitsstrategie ongeldig.
Netwerkbeveiligingshouding: verder gaan dan kwetsbaarheidsscans
Recente netwerk audits beperken zich niet langer tot VLAN’s, ACL’s en open poorten. Het begrip beveiligingshouding omvat nu ook organisatorische elementen die de technische soliditeit bepalen.
Eerste punt: centralisatie van logs. Een netwerk waarvan de actieve apparatuur hun logs niet naar een gecentraliseerde verzamelaar (syslog, SIEM) stuurt, is een blind netwerk. De audit moet controleren of de logs worden verzameld, gedateerd via NTP en bewaard worden voor een periode die consistent is met de wettelijke verplichtingen (GDPR, NIS2).
Tweede punt: de toegangsbeleid tot beheerapparatuur. We zien regelmatig SSH- of HTTPS-toegang tot switches en routers openstaan vanaf elk gebruikers-VLAN, zonder beperking door een management-ACL. Toegang tot het beheerniveau moet gesegmenteerd en beperkt zijn tot een speciaal VLAN, met gecentraliseerde authenticatie (RADIUS of TACACS+).
Derde punt: de firmware. Een netwerkapparaat waarvan de firmware al jaren niet is bijgewerkt, verzamelt bekende CVE’s. De audit moet de geïnstalleerde versie vergelijken met de beveiligingsbulletins van de fabrikant voor elk actief apparaat.
NIS2-conformiteit en netwerkcybersecurity
De NIS2-richtlijn breidt de reikwijdte van de betrokken entiteiten uit, inclusief MKB’s in kritieke sectoren. Voor deze bedrijven is de netwerk audit niet langer optioneel. Het wordt een bouwsteen van de demonstratie van conformiteit, net als de risicoanalyse of het incidentbeheerplan. Het auditresultaat moet dus gestructureerd zijn om als bewijsstuk te dienen in geval van controle.
Netwerk auditresultaat: een bruikbaar rapport structureren
Een auditrapport dat honderden bevindingen opsomt zonder prioritering of zakelijke context eindigt in een lade. De kwaliteit van het resultaat bepaalt de werkelijke impact van de audit op de infrastructuur.
Elke bevinding moet worden gekoppeld aan een concreet zakelijk risico. Een open TCP-poort op een productie-server heeft niet dezelfde kriticiteit afhankelijk van of deze een klantenbestand of een interne supervisiedienst blootstelt. Het rapport moet dit verschil expliciet maken.
We raden aan om het resultaat in drie niveaus te structureren:
- Uitvoerende samenvatting bestemd voor het management, met de belangrijkste risico’s vertaald naar zakelijke impact (onbeschikbaarheid, gegevensverlies, niet-naleving van regelgeving)
- Technisch gedetailleerd rapport voor het infrastructuurteam, met de verzamelde bewijzen, configuratie-opnamen en geconstateerde afwijkingen
- Geprioriteerd remedieplan met inschatting van de inspanning, geïdentificeerde verantwoordelijke en deadline, geclassificeerd op aflopende kriticiteit
Deze indeling stelt elke gesprekspartner in staat om de informatie op zijn niveau te vinden, zonder de IT-afdeling in technische details te verdrinken of het management zonder een geconsolideerd overzicht te laten.
Opvolging na de audit en kostenbeheer
Het rapport sluit de audit niet af. Een opvolging na drie maanden maakt het mogelijk om te controleren of de kritieke remedial acties zijn toegepast, of de gecorrigeerde configuraties niet zijn teruggevallen en of de bewakingshulpmiddelen de geïdentificeerde blinde vlekken dekken. Zonder deze opvolging wordt de meerderheid van de geplande remedial acties nooit geïmplementeerd.
De netwerk audit in een bedrijf wordt relevanter wanneer deze wordt behandeld als een terugkerend proces, niet als een eenmalige gebeurtenis. Het plannen van een jaarlijkse cyclus, afgestemd op de deadlines voor conformiteit en de infrastructuurontwikkelingen (cloudmigratie, SD-WAN-implementatie), garandeert dat het netwerk in lijn blijft met de werkelijke behoeften van de systemen en gebruikers.