De Verhulsdonck Methode
De Verhulsdonck Methode™ is een diagnostische en validatieaanpak binnen QWASP's assurance- en governancewerk. Ze bestaat om eerst één vraag te beantwoorden: functioneert deze organisatie daadwerkelijk zoals het beleid beweert, en waar zit het gat?
Waarom niet gewoon nog een checklist-audit
Conventionele compliance-checklists bevestigen dat een document of maatregel bestaat. Dat is vaak onvoldoende: aanwezigheid is niet hetzelfde als werking. De Verhulsdonck Methode start bij een andere vraag: werkt een maatregel daadwerkelijk, in de praktijk, onder reële omstandigheden, en behandelt compliance-volledigheid als ondergeschikt aan aantoonbare risicoreductie.
HUMINT-first
De methode vertrekt altijd vanuit gesprekken, observatie en de feitelijke operationele werkelijkheid van een organisatie, nooit vanuit een vooraf ingevulde vragenlijst of een vaste set maatregelen. Interviews met sleutelfuncties (management, security, IT-beheer) leveren de eerste signalen op; technische validatie wordt daarna afgestemd op wat die gesprekken daadwerkelijk hebben blootgelegd, niet op een generieke checklist.
Drie fasen
Inzicht & analyse
Interviews, documentatiereview en een technische quickscan op hoog niveau leveren een commercieel relevant risicobeeld op: top-risico's, kritieke gaps, en een eerste volwassenheidsindicatie. Bewust geen volledige validatie: een startpunt, geen eindpunt.
Technische validatie
Bevindingen uit Fase 1 worden bevestigd, gekwantificeerd en verdiept: technische review, toetsing van incident response, validatie van back-up/herstel, supply chain-risicoanalyse en een expliciete toets aan NIS2. Elke bevinding heeft een bewijsreferentie.
Implementatieroadmap
Bevindingen worden een geprioriteerd, toegewezen verbeterplan, met quick wins (haalbaar binnen circa 30 dagen) apart van structurele, langetermijnmaatregelen en hun afhankelijkheden.
Hoe het is verankerd
ISO/IEC 27001 als bestaande controlbaseline, CISSP-domeinen als structurerend raamwerk, en de NIS2-richtlijn (EU 2022/2555) als regulatoire toets, zonder te dupliceren wat een geldige certificering al bevestigt.
Digitale validatie via Mosaic
Waar nuttig wordt latere validatie- en bewustwordingswerk digitaal ondersteund via Mosaic, QWASP's Moodle-gebaseerde uitvoeringsomgeving (onderdeel van Qwasp Education). Mosaic ondersteunt de methode. Het vervangt de HUMINT-gebaseerde interviewrondes niet, en is zelf geen auditbewijs richting een toezichthouder.
Uitvoeringsmechaniek, interviewscripts en interne sjablonen zijn vertrouwelijk en worden hier niet gepubliceerd.