Is beveiliging een optie in een offerte voor software?
Steeds vaker staat beveiliging als losse optie in een offerte. Waar je naar kijkt als je de beveiliging in een offerte nakijkt.
Beveiliging als optie
Ik zie zoveel offertes waarbij de beveiliging als optie wordt aangeboden, maar sterk wordt geadviseerd om het toch af te nemen. Ik schrik er een beetje van. Alsof je bij een nieuwe auto de airconditioning nog apart moet kiezen.
En niet zelden hoor ik in gesprekken uitspraken als "We werken in de zorg, dus het gaat om gevoelige data". Voor mij vrij logisch, maar dat ze het gevoel hebben het apart te moeten vermelden, dat zegt veel.
Dataveiligheid gaat wel iets verder dan een prompt "ik wil deze data superveilig opslaan, maak geen fouten".
Waar ik naar kijk
Leg je een offerte bij mij neer, dan kijk ik als eerste hiernaar.
Waar staat de server, en wie is de eigenaar?
Wat is de architectuur?
Welke techniek is gebruikt, en waarom?
Is er rekening gehouden met OWASP? Dat is de internationale lijst met de bekendste zwakke plekken in webapplicaties.
Optie? Kijk dan naar de rest.
Wat er bij mij altijd in zit
Bij mij is beveiliging geen optie. Er zit altijd in: een hardened, extra beveiligde server, OWASP-checks en constante monitoring.
Staat beveiliging als optie in de lijst, dan zou ik me zorgen maken over de rest.