Due diligence vóór infrastructuurrevisie: de verkoper stuurt een 'compliance'-pdf van 80 pagina's - productscreenshots, geen certificaat. De CISO verzoekt om SOC2 Type II: “vertrouwelijk, alleen NDA onderneming”. Het project gaat nog steeds vooruit. Zes maanden later bleek uit de klantaudit dat het gebruikte datacenter niet binnen de gecertificeerde scope viel.
Het controleren van een host betekent niet dat u de leveranciersvragenlijst moet herhalen zonder deze te lezen. Het betekent het verkrijgen van bruikbaar bewijs: gedateerd, tijdsgebonden, correleerbaar met uw product en uw regio.
Leesbaar bewijsraster
| Document | Wat hij moet zeggen | Rode vlag |
|---|---|---|
| ISO27001 | Aantal, datum, omvang diensten/locaties | Bereik = “alleen beheerder” |
| SOC2 | Type II, periode, criteria | Totale weigering KMO |
| DPA | Onderaannemers, 72-uurs notificatie | Niet-ondertekende sjabloon |
| Pentest | Datum, buitenomtrek | > 18 maanden |
| ALS | Uitsluitingen voor onderhoud | Symbolische kredieten |
Vraag naar hetzelfde product dat u gaat kopen: de ISO van een clouddochter dekt niet noodzakelijkerwijs de historische gedeelde service.
Een certificeringslogo zonder certificaatnummer is een versiering en geen bewijs.
Drie-vergaderingsmethode
- Documentair — DPA, ISO-scope, lijst met onderaannemers, back-up-/incidentbeleid.
- Technisch — regio, encryptie, beheerderslogboeken, geteste restauratie (zie proof restauratie).
- Contractueel — SLA, aansprakelijkheidslimiet, omkeerbaarheid, kennisgeving van overtreding.
Houd een beslissingsmatrix bij: criterium, ontvangen bewijsmateriaal, afwijking, actie.
De top
Beslis en ga vooruit zonder blinde vlek
Maak een shortlist van twee hosts, stuur hetzelfde proefraster en vergelijk de antwoorden binnen 15 dagen. overzicht + vergelijker + Onderaannemers.
Veelgestelde vragen
Eerst bewijs?
ISO/SOC2 gedateerd + scope, DPA, incident, onderaannemers, recente pentest.
Audit ter plaatse?
Zelden ; vragenlijst + documenten + telefoontje is voldoende als verifieerbaar bewijsmateriaal.
ISO-omtrek controleren?
Bijlagediensten/locaties; expliciete uitsluitingen.
Gastheer weigert?
Signaal op gevoelig project; contract vergelijken of aanscherpen.
Het controleren van een host betekent het verzamelen van bewijsmateriaal dat een buitenlandse DPO zou kunnen begrijpen – en niet het invullen van een Excel-bestand om een aankoopvakje aan te vinken.