Vertrouwelijkheid
Hoewel het merendeel van onze werkzaamheden vertrouwelijk is en blijft, kan de volgende informatie worden gedeeld.
"Ik heb met [alle drie] ruim een jaar lang een doorlopende red teaming-activiteit uitgevoerd bij het ministerie van Volksgezondheid, Welzijn en Sport. Er waren in die periode verschillende deelprojecten en missies met interessante resultaten, maar dat hangen wij uiteraard niet aan de grote klok."
Oscar Koeroo, CISO Concern bij het ministerie van Volksgezondheid, Welzijn en Sport. Openbaar en in zijn eigen woorden, hier vertaald. Met zijn schriftelijke toestemming bij naam genoemd.
Jarenlange ervaring binnen de rijksoverheid.
De drie oprichters hebben ieder ruim vijf jaar binnen twee ministeries gewerkt op verschillende afdelingen. De opdrachten variëren van het vinden en oplossen van kwetsbaarheden, interne onderzoeken en OSINT al dan niet in combinatie met elkaar.
Een reeks kwetsbaarheden in wereldwijd gebruikte communicatie hard- en software.
Tijdens een opdracht bij het Ministerie van Volksgezondheid, Welzijn en Sport zijn diverse kwetsbaarheden vastgesteld in het communicatieplatform Webex, dat wereldwijd door tientallen miljoenen zakelijke gebruikers wordt ingezet. Alle bevindingen zijn gerapporteerd en in afwachting van de implementatie van herstelmaatregelen vertrouwelijk behandeld. De publicatie heeft pas plaatsgevonden nadat de kwetsbaarheden waren verholpen en hiervoor toestemming was verleend. Hiermee is een verantwoorde afhandeling gewaarborgd.
Dit is het meest heldere bewijs van onze werkwijze bij bevindingen. De bescherming van de organisatie staat voorop. Het opsporen van kwetsbaarheden is voor ons een intrinsieke drijfveer en niks is mooier om deze effectief te verhelpen. Ook als dat niet publiek kenbaar wordt gemaakt.
Wat wij zoal tegenkomen.
Compliance als kwetsbaarheid
Een organisatie die voldeed aan elke industrie- en veiligheidsnorm werd kwetsbaar, juist door de voorspelbaarheid die van de norm uitging. Dit konden wij gebruiken en vervolgens verhelpen. Compliance was voor ons de weg naar binnen.
Het hek naast de nieuwste deur
De hoofdingang van een terrein was vernieuwd om aan nieuwe vereisten te voldoen. Het hek een paar meter verderop hoorde bij facilitair, niet bij security en was bij de vernieuwing niet meegenomen. Het hek was in het project niemands verantwoordelijkheid waardoor het de zwakste schakel werd. De ruimte die van niemand is.
Sterke toegang, zwakke koppeling
Een documentmanagementsysteem, de enige bron van waarheid, was gekoppeld aan een ander systeem met veel zwakkere beveiliging. Via die koppeling konden de documenten zelf worden aangepast, en werd de sterke beveiliging van het documentmanagementsysteem volledig omzeild. Een systeem is zo sterk als het zwakste systeem dat er in mag schrijven.
De bevinding waar niemand om vroeg, is vaak de bevinding die ertoe doet.
Een ongerichte zoektocht vond een interne applicatie die de persoonsgegevens van tienduizenden mensen openbaar maakte aan de gehele organisatie. De applicatie had geen eigenaar meer en was nooit uitgezet. De bevinding waar niemand om vroeg is meestal de bevinding die ertoe doet.
Waar je ons kunt treffen
ONE Conference 2026, Den Haag
"A Room With a View", dag één, 13:30 uur, zaal Mississippi. Eén van onze oprichters presenteert samen met de departementale CISO van het betrokken ministerie: de openbaarmaking van wat destijds gevonden werd, na jaren wachten op de herstelmaatregelen. De opdrachtgever staat met ons op het podium, en dat is de enige aanbeveling die telt. Kom langs en vraag ons alles.
Politiehackathon Eenheid Den Haag en het Openbaar Ministerie 2026, Schiphol
Ook dit jaar nemen wij deel aan de Politiehackathon. Wij hebben herhaaldelijk deel uitgemaakt van winnende teams tijdens de hackathon van de Politie Eenheid Den Haag en het Openbaar Ministerie, waarbij wij hebben bijgedragen aan cold cases met concrete nieuwe aanknopingspunten in een Europees onderzoek. Denken als tegenstander, ingezet voor het algemeen belang.
Wij informeren u graag persoonlijk uitgebreider.
Wilt u weten waar u werkelijk staat?
Dertig minuten, geen presentatie. Vertel ons waar jullie bestuur wakker van ligt. Wij zeggen u eerlijk of wij het juiste instrument zijn, en zijn wij dat niet, dan wijzen wij u een beter passende alternatief aan.
Plan een verkennend gesprek van 30 minuten