![](Due%20Dilligence%20en%20Accountantsrapportage%20DAK.pdf)

## Accountantsrapportage
De belangrijkste applicaties "zijn standaard softwareoplossingen en worden afgenomen op basis van ‘Software as a Service’. Dit betekent dat Dak Kindercentra voor deze oplossingen grotendeels wordt ontzorgd met betrekking tot IT-beheersmaatregelen, waaronder ontwikkeling en uitrol van updates, back-up & recovery en beveiliging van deze online oplossingen.

"adviseren wij Dak Kindercentra zelf de monitoring van deze oplossingen en bijbehorende diensten van de leveranciers aan te scherpen. (...) "Dit kan onder andere door het jaarlijks opvragen van derdenverklaringen (AFAS isae3402), uitoefenen van het recht op audit en/of het periodiek laten rapporteren over de diensten en prestaties (vb. SLR)."

(cyber)weerbaarheid te vergroten door:
- periodieke risicoanalyse 
- uitgangspunten en randvoorwaarden vastleggen in een informatiebeveiligingsbeleid. 
- invoeren van een Plan-Do-Check-Act cyclus
- beheersmaatregelen formaliseren en documenteren
- cf ISO 27001 en NIS 2

Zorgen over continuïteit van leverancier Jaamo. 

Hoge prio bevindingen:
- operationele gebruikers hebben admin richten in AFAS, Jaamo en Factuur+
## Due Dilligence

Gebrek aan structuur (van de ICT organisatie) en documentatie vergroot de kans op inconsistenties, inefficiencies en beveiligingsrisico's. Om deze problematiek het hoofd te bieden, is het van belang om beleid en procedures te standaardiseren en een duidelijke documentatiestructuur te creëren.

Geen aantoonbare naleving van relevante beveiligingsnormen en wet- en regelgeving.

Integraties tussen software applicaties zijn niet gedocumenteerd. Voor ontwikkeling en beheer wordt vertrouwd op de leveranciers.

Hoog risico:
- gebrek aan systematische risicobeheersprocessen
- onvoldoende disaster recovery planning
- Gebruikersautorisatie niet op orde – inloggen met een gedeeld locatie-account dat ook toegang geeft tot de Exchange accounts, zonder MFA of SSO
- DD: backup systeem is niet imuun
	- implementeer een roterend systeem van wisselende externe harde schijven, opslag extern
	- overweeg een clouddienst voor 'immutable backups' (kunnen niet gewijzigd worden, geeft extra bescherming tegen ransomware-aanvallen)

Medium risico:
- zorg voor continue netwerkmonitoring (niet alleen PRTG) maar ook SIEM [RK: uitbesteden]
- onboarding is niet geautomatiseerd (HR->AAD), doe regelmatige audits op gebruikersrechten
- training van personeel

