Onboardingchecklist

Onderdeel vanSoveryne inrichten voor je organisatie

Gebruik deze checklist om alles te verzamelen wat Soveryne vóór de livegang nodig heeft, en om te bepalen wie in je organisatie elk onderdeel aanlevert. De meeste onderdelen verzamel je in een paar minuten. Enkele, zoals een ondertekend scanmandaat of een DNS-wijziging, kunnen dagen duren, dus begin daar als eerste mee.

Hoe onboarding werkt

Je werkruimtes worden op een van twee manieren aangemaakt:

Door je Soveryne-partner. Je managed-servicepartner maakt je Command-werkruimte aan vanuit zijn eigen Command en beheert die samen met jou. Je medewerkers krijgen ook toegang tot de gedeelde Counsel van de partner.

Rechtstreeks door Soveryne. Soveryne maakt een werkruimte aan voor elk product dat je gebruikt, met de beheerder en de inloginstellingen die jij aanlevert.

In beide gevallen is de informatie hieronder hetzelfde. Onderdelen die als Verplicht zijn gemarkeerd, blokkeren het product totdat ze zijn aangeleverd.

Wie je erbij betrekt

Persoon	Wat die aanlevert
CISO of securityverantwoordelijke	Scope, raamwerken, afdelingen, kroonjuwelen, het programmateam voor BAIT
Beheerder van de identiteitsprovider	Identiteitsprovider, e-maildomeinen, bevestigingen over inloggen
DNS-beheerder	TXT-records voor BAIT en ATLAS, en je eigen webadres als je dat wilt
Beheerders van cloud, directory en CMDB	Alleen-lezentoegang voor MESH tot Azure, Entra, AWS, Google Cloud, Google Workspace of ServiceNow
Juridische afdeling, of een bevoegde ondertekenaar	De verwerkersovereenkomst, het scanmandaat voor ATLAS en een eventuele toestemming voor intrusieve tests
Functionaris gegevensbescherming (FG)	Goedkeuring van het BAIT-programma, en de besluiten over het identificeren van personen
HR of ondernemingsraad	Instemming met het bewustwordingsprogramma, en een controle of je directorygroepen overeenkomen met je afdelingen
Mailbeheerder	De mailroute en SPF/DKIM-records voor BAIT-simulaties, en de instellingen van het mailfilter

1. Overeenkomsten

Onderdeel	Waarom	Aangeleverd door	Verplicht?
Producten die je gaat gebruiken	Bepaalt welke werkruimtes worden aangemaakt	CISO	Verplicht
Hostingmodel: gedeeld, of een eigen werkruimte die alleen jouw organisatie bevat	Bepaalt waar je werkruimtes draaien	Contract	Verplicht
Verwerkersovereenkomst	Dekt de persoonsgegevens die de producten verwerken	Juridisch	Verplicht
Overeenkomst met de ondernemingsraad of personeelsvertegenwoordiging	Bij phishingsimulaties zijn medewerkers betrokken. Maak afspraken over het programma voordat het begint.	HR / juridisch	Aanbevolen voor BAIT

Zie Single sign-on en Domeinen voor details.

Onderdeel	Waarom	Aangeleverd door	Formaat	Verplicht?
Naam van de organisatie	Geeft je werkruimtes hun naam en staat in elk gegenereerd beleidsdocument	CISO	Tekst	Verplicht
Elk e-maildomein waarmee je medewerkers inloggen, inclusief dochterondernemingen en aliassen	Bepaalt wie mag inloggen	Beheerder identiteitsprovider	`example.com`. Openbare e-maildiensten worden niet geaccepteerd.	Verplicht
Je identiteitsprovider	Mensen loggen in met hun bestaande werkaccount	Beheerder identiteitsprovider	Google Workspace, Microsoft Entra ID, Okta of GitHub. SAML wordt niet ondersteund.	Verplicht
Bevestiging dat elke gebruiker een geverifieerd e-mailadres heeft en mag inloggen bij een applicatie van derden	Zonder deze bevestigingen wordt inloggen geweigerd	Beheerder identiteitsprovider	Ja / nee	Verplicht
Eerste beheerder	Beheerderstoegang wordt nooit via inlogregels verleend, dus die wordt apart ingericht	CISO	Naam en zakelijk e-mailadres op je eigen domein	Verplicht
De rol die je medewerkers standaard krijgen	De meeste medewerkers beginnen met alleen-lezentoegang	CISO	Standaard: Auditor	Optioneel
Mensen die je bij naam uitnodigt, met een rol	Bijvoorbeeld consultants van buiten je domeinen, of je beleidsredacteuren	CISO	E-mailadres en rol	Optioneel
Werktaal	Command, Counsel en BAIT werken in het Engels en het Nederlands	CISO	Engels of Nederlands	Optioneel
Je eigen webadres	Als de producten op je eigen domein moeten openen	DNS-beheerder	Bijvoorbeeld `command.example.com`. Soveryne geeft je de DNS-records.	Optioneel

3. Command

Onderdeel	Waarom	Aangeleverd door	Verplicht?
Identiteit: naam van de organisatie, rechtspersoon, inschrijvingsnummer, website, adres, land	Wordt in je beleid afgedrukt	Directie / juridisch	Verplicht waar een beleidsdocument het gebruikt
Omvang en sector: sector, branche (NACE), aantal medewerkers, omzetklasse, organisatiegrootte	De omvang bepaalt welke bepalingen je beleid bevat	Directie	Verplicht waar een beleidsdocument het gebruikt
Je organisatie in je eigen woorden: wat de organisatie doet, de scope van de beleidsset, de systemen en diensten die binnen scope vallen, en de regelgevingscontext	Command stelt je beleid hieruit op. Zolang deze velden leeg zijn, genereert het geen beleid.	CISO	Verplicht voor beleid
Governance: wie beleid vaststelt, het securitycontactpunt, de functionaris gegevensbescherming, de geldigheidsduur en de beoordelingscyclus	Wordt in je beleid afgedrukt	Directie / FG	Verplicht waar een beleidsdocument het gebruikt
Klant e-maildomein	Nodig om beleid te publiceren voor je medewerkers in Counsel	IT	Verplicht voor publiceren
Raamwerken en baseline: bijvoorbeeld de BIO2-baseline voor Nederlandse gemeenten, de ISO 27001-starter voor kleinere organisaties, de NIS2-baseline voor essentiële entiteiten, of een eigen pakket	Command maakt je beheersmaatregelen en beleid aan op basis van de gekozen baseline	CISO	Verplicht voor beheersmaatregelen en beleid
Afdelingen en de e-mailadressen van hun leden	Bepaalt wie elk beleidsdocument en elk bewijsverzoek ontvangt	HR / CISO	Aanbevolen
De autoriteiten waaraan je incidenten meldt, inclusief je sectortoezichthouder	Gebruikt wanneer je incidentmeldingen voorbereidt	CISO / juridisch	Aanbevolen
Alleen voor partners: praktijknaam, partnerdomein, huisstijlkleuren, documentlettertype, ondertekenaar, juridische voettekst en logo	Getoond op de werkruimtes van je klanten en op de beleidspakketten die je publiceert. In te stellen in het partnerportaal.	Partner	Optioneel

Tip

Command kan je openbare website lezen om delen van het organisatieprofiel vooraf in te vullen. Controleer wat het heeft ingevuld voordat je beleid genereert.

4. MESH (automatische import van bedrijfsmiddelen)

MESH houdt één register van bedrijfsmiddelen bij voor al je Soveryne-producten. Het importeert uit de bronnen die je koppelt: elk uur, te beginnen zodra een koppeling is geverifieerd. Elke bron is optioneel. Een beheerder koppelt ze in MESH door bij elke provider in te loggen en alleen-lezentoegang goed te keuren. Zie Bronnen koppelen voor de precieze stappen.

Bron	Wat het binnenhaalt	Wat je nodig hebt	Aangeleverd door
Microsoft Azure	Cloudresources en toegang	Een beheerder die kan inloggen bij Microsoft en toestemming kan geven aan de applicatie van Soveryne, en de rol Reader voor die applicatie op de abonnementen die je wilt importeren	Azure-beheerder
Microsoft Entra	Mensen, groepen en workload-identiteiten	Een beheerder die kan inloggen bij Microsoft en leestoegang kan goedkeuren tot gebruikers, groepen, applicaties en directoryrollen	Entra-beheerder
Amazon Web Services	Resources, IAM en Identity Center	Toestemming om een CloudFormation-stack uit te rollen die een alleen-lezenrol aanmaakt, en Resource Explorer met een aggregatorindex	AWS-beheerder
Google Cloud	Resources, serviceaccounts en toegang	Een beheerder die kan inloggen bij Google en leestoegang kan goedkeuren	Google Cloud-beheerder
Google Workspace	Gebruikers, groepen en lidmaatschappen	Een beheerder die kan inloggen bij Google en alleen-lezentoegang tot de directory kan goedkeuren	Google Workspace-beheerder
ServiceNow	CMDB-bedrijfsmiddelen en relaties	De naam van je instance (`<name>.service-now.com`), die Soveryne voor je werkruimte instelt, en een account dat kan inloggen en de CMDB kan lezen	ServiceNow-beheerder
Iemand die importvragen beantwoordt	Antwoorden, geen gegevens: MESH vraagt het aan een persoon in plaats van te gokken, bijvoorbeeld "are these two records one machine?"	Iemand met de rol Beheerder in Command	CISO

Je geeft Soveryne nooit een wachtwoord of sleutel van een cloud. Je logt zelf in bij de provider en keurt alleen-lezentoegang goed, en je kunt die op elk moment intrekken. MESH leest alleen uit je bronnen; het schrijft nooit iets terug.

5. ATLAS (beheer van het aanvalsoppervlak)

Onderdeel	Waarom	Aangeleverd door	Verplicht?
Naam en type van de organisatie	Bepaalt het dreigingsmodel	CISO	Verplicht
De domeinen, IP-adressen en bereiken binnen scope	ATLAS kijkt alleen naar wat binnen scope valt. Een bereik kan hoogstens 256 adressen bevatten.	CISO / IT	Verplicht
Een ondertekend scanmandaat, en de naam en functie van de ondertekenaar	Zonder mandaat weigert ATLAS elke actieve scan. ATLAS legt vast wie heeft ondertekend en wanneer. Bewaar het ondertekende document zelf.	Bevoegde ondertekenaar	Verplicht voor actieve scans
DNS-toegang om voor elk domein een TXT-record te publiceren, of een ander bewijs van eigendom	Niets onder een domein wordt gescand totdat het eigendom is bewezen	DNS-beheerder	Verplicht voor actieve scans
Je kroonjuwelen, en het soort gegevens dat elk ervan bevat	Rangschikt de aanvalspaden die leiden naar wat het belangrijkst is	CISO / eigenaren van bedrijfsmiddelen	Aanbevolen
Een aparte, tijdelijke toestemming voor intrusieve tests, met de hosts waarvoor ze geldt	Tests die verder gaan dan observatie vallen nooit onder het scanmandaat	Bevoegde ondertekenaar	Optioneel
Interne bereiken, als je een interne opdracht wilt	Privéadressen worden geweigerd, tenzij ze uitdrukkelijk zijn toegestaan	CISO, samen met Soveryne	Optioneel

6. BAIT (phishingbewustwording)

Onderdeel	Waarom	Aangeleverd door	Verplicht?
Organisatiegegevens: land, standaardtaal voor e-mails en tijdzone	Gebruikt voor rapporten en voor het moment waarop simulaties worden verstuurd	CISO	Verplicht
Elk domein waarop je medewerkers e-mail ontvangen, en DNS-toegang voor een TXT-record op elk ervan	BAIT verstuurt alleen naar domeinen waarvan je hebt bewezen dat ze van jou zijn	DNS-beheerder	Verplicht
Gegevens over de mailroute: de relay die de simulaties verstuurt, het afzenderadres, en SPF en DKIM op het afzenderdomein	Simulaties worden afgeleverd via een route die met jou is afgesproken	Mailbeheerder, samen met Soveryne	Verplicht
Je medewerkersdirectory gekoppeld in MESH, en een BAIT-beheerder die de groepen in BAIT binnenhaalt met Nu synchroniseren op Mensen	Campagnes worden naar groepen uit je directory verstuurd	IT	Verplicht
Een aangewezen Functionaris gegevensbescherming die BAIT gebruikt	Een persoon identificeren wordt geweigerd totdat er een is aangewezen	FG	Verplicht om verzoeken tot identificatie af te handelen
Minstens twee mensen in het programmateam	Niemand keurt zijn eigen campagne goed	CISO	Verplicht om een campagne te versturen
Instellingen van het mailfilter voor simulaties	Sommige organisaties laten simulatiemail door hun filters. Je contactpersoon bij Soveryne adviseert je hierover.	Mailbeheerder	Aanbevolen

7. Counsel

Counsel heeft niets extra's nodig. Je medewerkers krijgen toegang via je e-maildomeinen, ontvangen gepubliceerd beleid per afdeling en beantwoorden daar bewijsverzoeken. Wil je externe consultants toegang geven, nodig ze dan uit op hun exacte e-mailadres.

Aanbevolen volgorde

Onderteken de overeenkomsten. Laat voor ATLAS het scanmandaat vroeg ondertekenen.

Neem de beslissingen over inloggen: identiteitsprovider, e-maildomeinen en de eerste beheerder.

Publiceer de DNS-records: ontvangstdomeinen voor BAIT, domeinen voor ATLAS en, als je dat gebruikt, je eigen webadres. Het kan tot een uur duren voordat ze zichtbaar zijn.

Je werkruimtes worden aangemaakt door Soveryne of je partner.

De eerste beheerder logt in. Die controleert zijn rol voordat hij anderen uitnodigt.

Installatiewizard van Command: open hem vanuit het profielmenu met Set-up wizard en doorloop dan Organisatie › Afdelingen › Single sign-on › Bedrijfsmiddelen › Sjabloonpakket › Genereren.

Nodig mensen uit, en controleer hun rollen in Gebruikers & rollen.

Koppel de bronnen in MESH en verifieer ze. De eerste import begint zodra een koppeling is geverifieerd en draait daarna elk uur.

ATLAS: doorloop de onboardingwizard, verifieer je domeinen, leg het mandaat vast en voer dan de eerste scans uit.

BAIT: doorloop Richt je programma in, wijs je functionaris gegevensbescherming aan en zorg dat een tweede persoon kan goedkeuren.

Publiceer je eerste beleid in Counsel.

Klaar voor de livegang?

[ ] De eerste beheerder kan inloggen en heeft beheerderstoegang.

[ ] Een testgebruiker op elk e-maildomein logt in met de verwachte rol.

[ ] Het organisatieprofiel is compleet en er kan een testbeleidsdocument worden gegenereerd.

[ ] Elke gekoppelde bron toont Connected, de eerste import is gedraaid en er staat geen importvraag meer open.

[ ] ATLAS toont dat elk domein is geverifieerd en dat er een mandaat is vastgelegd.

[ ] BAIT toont dat elk ontvangstdomein is geverifieerd, en toont een functionaris gegevensbescherming, twee mensen in het programmateam en je medewerkersgroepen.

← VorigePlatformoverzicht Volgende →Single sign-on