Belangrijkste punten
- Koppel elk van de acht CISSP-domeinen aan de diensten die uw MSP levert om een managed security operating model op te bouwen met heldere structuur en traceerbaarheid.
- Schrijf controledoelstellingen en runbooks voor elk CISSP-domein, zodat elke beveiligingstaak herhaalbaar, verifieerbaar en controleerbaar is.
- Koppel twee of drie KPI’s en gestandaardiseerd bewijsmateriaal aan elk domein om de effectiviteit van de controls in de loop van de tijd aan te tonen.
- Beoordeel elk CISSP-domein volgens een vast maandschema waarmee alle acht domeinen elk kwartaal aan bod komen, openstaande uitzonderingen worden afgesloten en runbooks worden bijgewerkt.
- Koppel rolpaden, goedkeuringsbevoegdheid, klant-QBR’s en opleidingsplannen aan dezelfde domeinen, zodat uw beveiligingsdienstverlening consistent en meetbaar blijft en eenvoudig uit te leggen is aan klanten.
De domeinen van de Certified Information Systems Security Professional (CISSP) vormen de basis voor security operations in managed service-omgevingen. De waarde voor MSP’s komt vooral naar voren wanneer die domeinen worden gebruikt om een gestructureerd en meetbaar managed security operating model op te bouwen.
Wanneer u uw dienstverlening rond de CISSP-domeinen organiseert, krijgt u als MSP een consistente structuur, waardoor de dagelijkse operatie controleerbaar en herhaalbaar wordt. CISSP is een persoonlijke certificering van ISC2. Een MSP stemt zijn diensten dus af op de domeinen in plaats van zelf aan de CISSP-eisen te voldoen. Door uw diensten af te stemmen op de domeinen, kunt u runbooks, rapportagecycli en governance-reviews ontwerpen die verantwoording en meetbare verbetering aan klanten laten zien.
Wat is een managed security operating model?
Een managed security operating model is het gedocumenteerde geheel van diensten, controledoelstellingen, runbooks, KPI’s, bewijsmateriaal en reviewcycli waarmee een MSP security consistent levert bij alle klanten. Door de CISSP-domeinen als structuur te gebruiken, krijgt elke control een eigenaar, een meetbaar resultaat en een audit trail.
Zo maakt u van de CISSP-domeinen een security operating model voor MSP’s
Om CISSP-domeinen om te zetten in een operationeel kader, hebt u helder zicht op bestaande controls, duidelijk belegde verantwoordelijkheden en een consistent bewijsspoor nodig.
Vereisten:
- U hebt een actuele inventaris nodig van de diensten en beveiligingscontroles die u per klant levert.
- Hiervoor is een centraal documentatieplatform nodig voor het opslaan en beoordelen van maandelijkse pakketten en auditmateriaal.
- Een rolmatrix moet vastleggen wie domeinspecifieke runbooks goedkeurt en wie ze uitvoert.
- Zorg dat uw team de ervaringseisen van ISC2 kent: 5 jaar fulltime werkervaring in 2 of meer CISSP-domeinen.
Stap 1: koppel de acht CISSP-domeinen aan uw MSP-diensten
Maak eerst een lijst met alle acht CISSP-domeinen en koppel die aan uw bestaande MSP-diensten, zodat u structuur en traceerbaarheid krijgt.
Toepassingen:
- Met deze stap kunnen MSP’s dagelijkse servicetaken verbinden met CISSP-domeinen, waardoor governance en het verzamelen van bewijsmateriaal eenvoudiger te presenteren zijn.
- Het zorgt ervoor dat technische activiteiten aansluiten op erkende beveiligingsprincipes en op resultaten die zichtbaar zijn voor de klant.
Vereisten:
| CISSP-domein | Aansluiting op MSP-dienst | Voorbeelden van deliverables |
| Security and Risk Management | Governancebeleid, SLA’s, risicoregisters van klanten en beoordeling van risico’s bij derden | Risicobeoordelingen, SLA-rapportages, bevestigingen van beleidsacceptatie |
| Asset Security | Asset-inventaris, dataclassificatie, bewaartermijnen en veilige vernietiging | Asset-inventaris, register voor dataclassificatie, bewaarschema, vernietigingsregistraties |
| Security Architecture and Engineering | Standaarden voor secure design, versleutelingsstandaarden en Zero Trust-ontwerpprincipes | Architectuurstandaarden, versleutelingsstandaarden, verslagen van ontwerpreviews |
| Communication and Network Security | Netwerksegmentatie, ontwerp van VPN en remote access en veilige protocollen | Netwerkdiagrammen, segmentatieoverzichten, reviews van VPN-configuraties |
| Identity and Access Management | Workflows voor geprivilegieerde toegang, afdwingen van MFA en reviews bij onboarding, functiewijziging en uitdiensttreding | Logboeken van toegangsgoedkeuringen, registraties van rechtenreviews, rapportages van accountreviews |
| Security Assessment and Testing | Kwetsbaarheidsbeoordelingen, het testen van controls en verificatie van back-ups | Scanrapporten, bevestigingen van herstelacties, resultaten van back-uptests |
| Security Operations | Patchbeheer en vulnerability management, configuratiebaselines, wijzigingsbeheer, Monitoring, incident response en herstel | Rapportages over patch compliance, configuratieverschillen, wijzigingsgoedkeuringen, incident-runbooks, evaluaties na incidenten |
| Software Development Security | Beoordeling van aangeschafte software, validatie van updates en leveranciersbeoordelingen | Leveranciersbeoordelingen, registraties van updatevalidatie |
Stap 2: bepaal per domein de controledoelstellingen en runbooks
Controledoelstellingen zijn de specifieke doelen die elk domein moet halen om compliance te behouden en risico’s te beperken. Door ze vast te leggen, worden uw CISSP-domeinen concrete taken die technici kunnen uitvoeren en verifiëren.
Toepassingen:
- Deze stap verbindt elk CISSP-domein met concrete beveiligingscontroles
- Zorgt ervoor dat elk domein herhaalbare, controleerbare resultaten oplevert.
Vereisten:
- U hebt gedefinieerde controledoelstellingen nodig die aansluiten op de bestaande diensten van uw MSP.
- Hiervoor is een standaard runbook-template nodig met triggers, stappen, verificatie en bewijsmateriaal.
Bepaal hiervoor drie tot vijf controledoelstellingen per CISSP-domein en koppel die aan operationele runbooks. Hier volgt één voorbeeld per domein:
| CISSP-domein | Controledoelstelling |
| Security and Risk Management | Houd een actueel risicoregister per klant bij dat elk kwartaal wordt beoordeeld |
| Asset Security | Controleer of alle back-updata versleuteld is en alleen toegankelijk voor geautoriseerde gebruikers |
| Security Architecture and Engineering | Definieer en keur standaarden voor secure design en verharding goed voor alle beheerde devicetypen |
| Communication and Network Security | Beoordeel en valideer firewall- en VPN-configuraties maandelijks |
| Identity and Access Management | Controleer het gebruik van geprivilegieerde accounts en trek inactieve referenties in |
| Security Assessment and Testing | Voer kwetsbaarheidsscans uit volgens een vast schema en documenteer de resultaten |
| Security Operations | Dwing configuratiebaselines af, keur elke wijziging goed vóór uitrol en installeer patches binnen het SLA-venster |
| Software Development Security | Valideer de integriteit van software-updates vóór uitrol |
Stap 3: koppel KPI’s en bewijsmateriaal aan elk CISSP-domein
Door prestatie-indicatoren bij te houden, zorgt u dat elk CISSP-domein meetbare resultaten oplevert. Deze stap verbindt serviceacties met datagedreven uitkomsten en ondersteunt de maandelijkse governance-reviews.
Toepassingen:
- Stel meetbare prestatie-indicatoren vast om de voortgang per CISSP-domein aan te tonen.
- Geef helder inzicht in hoe beveiligings- en servicecontroles in de loop van de tijd presteren.
Vereisten:
- U hebt gedefinieerde CISSP-domeinen nodig met gekoppelde controledoelstellingen.
- Hiervoor zijn tools of rapportages nodig die bewijsmateriaal kunnen exporteren en opslaan, zoals logs, tickets of screenshots.
Uit te voeren acties:
- Kies 2-3 kritieke prestatie-indicatoren (KPI’s) per domein die de effectiviteit van de controls meten.
- Bepaal welke gegevensbronnen die KPI’s leveren. Dat kunnen bijvoorbeeld notificaties zijn uit uw Remote Monitoring Management-software, uw ticketsysteem of wijzigingslogs.
- Standaardiseer de soorten bewijsmateriaal per KPI, zoals verschillenoverzichten, goedkeuringen, rapportages, screenshots of auditregistraties.
- Plan een terugkerende maandelijkse review om bewijsmateriaal te verzamelen, te verifiëren en op te slaan.
- Gebruik consistente naamgevingsconventies om bewijsmateriaal te taggen op domein en datum.
Stap 4: voer maandelijkse domeinreviews uit
Regelmatige domeinreviews houden het CISSP-operating model actueel, meetbaar en controleerbaar.
Toepassingen:
- Deze stap zorgt ervoor dat KPI’s, bewijsmateriaal en documentatie de werkelijke operationele prestaties weerspiegelen.
- Het borgt de effectiviteit van de controls doordat KPI’s en bewijsmateriaal volgens een vast schema worden beoordeeld.
Vereisten:
- U hebt een maandelijks reviewschema nodig waarmee alle acht CISSP-domeinen elk kwartaal aan bod komen.
- Hiervoor zijn domeineigenaren nodig die KPI’s kunnen beoordelen, runbooks kunnen bijwerken en wijzigingen kunnen goedkeuren.
Uit te voeren taken:
- Plan maandelijkse domeinreviews en houd bij welke domeinen elke maand aan bod komen.
- Beoordeel Security Operations elke maand als daar het grootste werkvolume zit.
- Sluit openstaande uitzonderingen of bevindingen uit de vorige reviewperiode af.
- Controleer en valideer de KPI-resultaten en ga na of het bewijsmateriaal op de juiste plek is opgeslagen.
- Werk controledoelstellingen en runbooks bij op basis van bevindingen of procesaanpassingen.
- Leg de samenvatting van de review vast met de naam van de domeineigenaar, de datum en de twee belangrijkste verbeteringen.
Stap 5: bouw rolpaden en goedkeuringen op vanuit de domeinen
Rolpaden leggen vast hoe verantwoordelijkheden, goedkeuringen en vakinhoudelijke groei binnen de MSP zijn gestructureerd. U kunt ze afstemmen op de CISSP-domeinen, zodat de bevoegdheid en ontwikkeling van elke technicus een meetbaar kader volgen dat gekoppeld is aan aantoonbare beveiligingscompetenties.
Toepassingen:
- Helpt MSP’s een duidelijke goedkeuringsbevoegdheid voor security operations vast te leggen, gebaseerd op aantoonbare domeinexpertise.
- Ondersteunt loopbaanontwikkeling door promoties of rolwijzigingen te koppelen aan aangetoonde competenties.
Vereisten:
- U hebt een rolmatrix nodig waarin staat wie specifieke beveiligingsactiviteiten goedkeurt, uitvoert en beoordeelt.
- Hiervoor moeten de CISSP-domeinen gedefinieerd zijn en gekoppeld aan de operationele en governanceverantwoordelijkheden van uw team.
Uit te voeren taken:
- Vertaal elk CISSP-domein naar concrete functietaken en verwachte vaardigheden.
- Bepaal welke rollen binnen elk domein acties mogen goedkeuren, uitvoeren of auditen.
- Stem promoties, toeslagen of rolwijzigingen af op aangetoonde competentie binnen een domein.
- Verwijs naar erkende CISSP-richtlijnen om te onderbouwen waarom domeinspecifieke ervaring de dienstverlening versterkt.
Stap 6: stem klant-QBR’s af op de CISSP-domeinen
Door kwartaalreviews (QBR’s) te koppelen aan de CISSP-domeinen, vertaalt u technische voortgang naar meetbare resultaten.
Toepassingen:
- Dit helpt MSP’s meetbare voortgang te communiceren via de structuur van de CISSP-domeinen.
- Het laat verbeteringen zien in het beveiligingsbeleid, de prestaties van controls en de gereedheid van de klant.
Vereisten:
- U hebt een gestandaardiseerde QBR-template nodig waarin elk CISSP-domein aan bod komt.
- Daarvoor zijn geactualiseerd bewijsmateriaal en KPI-gegevens nodig die tijdens de domeinreviews zijn verzameld.
Uit te voeren acties:
- Bouw uw QBR-presentaties zo op dat elk CISSP-domein een eigen samenvattingsslide krijgt.
- Neem per domein twee onderdelen op: wat er is veranderd en wat er is verbeterd.
- Gebruik gegevens uit bewijspakketten, KPI-resultaten en runbook-updates om elke slide te onderbouwen.
- Houd voorbeelden klantgericht en herhaalbaar over accounts heen, zodat het consistent blijft.
- Bespreek de domeinverhalen met accountmanagers om de technische juistheid te borgen.
- Houd het taalgebruik klantgericht, zodat u de zakelijke waarde moeiteloos kunt overbrengen.
Stap 7: koppel opleidingsplannen aan het operating model
Door training en onboarding te integreren met het CISSP-operating model, worden certificeringstrajecten meetbare loopbaanstappen en doen technici waardevolle ervaring op in meerdere domeinen.
Toepassingen:
- Dit helpt MSP’s de ontwikkeling van technici af te stemmen op dezelfde domeinen die ze gebruiken voor dienstverlening en governance.
- Zorgt ervoor dat medewerkers die een certificering nastreven kwalificerende ervaring opbouwen terwijl ze bijdragen aan operationele resultaten.
Vereisten:
- U hebt een uitgewerkte CISSP-domeinmap nodig die diensten, runbooks en verantwoordelijkheden met elkaar verbindt.
- Hiervoor zijn gedocumenteerde ervaringseisen van ISC2 nodig als leidraad voor begeleiding en projecttoewijzing.
Uit te voeren acties:
- Behandel de CISSP-ervaringseisen als een roadmap voor het ontwikkelen van competenties bij technici.
- Wijs domeingerichte projecten toe aan medewerkers die het examen halen maar nog niet genoeg ervaring hebben.
- Let erop dat kandidaten die slagen zonder de vereiste ervaring Associate of ISC2 worden en zes jaar de tijd hebben om die ervaring op te doen.
- Houd kwalificerende activiteiten en uren per domein bij om de voortgang vast te leggen.
- Koppel junior medewerkers aan begeleiders die het werk, het bewijsmateriaal en de effectiviteit van de controls valideren.
- Houd een registratie bij van domeingebonden training ter ondersteuning van interne promotie en certificeringsverificatie.
Stap 8: houd het model tool-onafhankelijk en overdraagbaar
Een tool-onafhankelijke aanpak zorgt ervoor dat uw CISSP-operating model stabiel blijft, ook als platformen wijzigen.
Toepassingen:
- Helpt MSP’s continuïteit en compliance te behouden wanneer tools of platformen worden vervangen.
- Vereenvoudigt audits en overgangen door de documentatie van controls los te koppelen van specifieke leverancierssystemen.
Vereisten:
- U hebt helder gedefinieerde controledoelstellingen nodig die niet gebonden zijn aan leverancierspecifieke functionaliteit.
- Hiervoor is een inventaris nodig van de tools waarmee u elke control nu uitvoert en hoe die aansluiten op de CISSP-domeinen.
Uit te voeren taken:
- Documenteer het doel en de bewijsvereisten van elke control zonder te verwijzen naar een specifieke leverancier of een specifiek platform.
- Maak beknopte mappingoverzichten die laten zien hoe de huidige tools aan elke controledoelstelling voldoen.
- Beoordeel de mappings elk kwartaal om te bevestigen dat ze kloppen wanneer platformen, scripts of beleidsregels veranderen.
- Bewaar de mappings in een gedeelde documentatieomgeving die zowel voor technische teams als voor governanceteams toegankelijk is.
- Gebruik neutrale formuleringen in de documentatie, zodat het operating model overdraagbaar blijft tussen omgevingen.
Waar u op moet letten
| Risico’s | Mogelijke gevolgen | Oplossingen |
| Controls te ver toespitsen op specifieke tools | Creëert een afhankelijkheid die breekt zodra platformen veranderen | Documenteer controls in neutrale, procesgerichte bewoordingen |
| Domeinreviews of updates van bewijsmateriaal overslaan | Veroorzaakt gaten in de governance en verzwakt de auditgereedheid | Houd een vast reviewschema aan en wijs domeineigenaren aan |
| CISSP alleen zien als certificeringsdoel | Beperkt de operationele waarde en de betrokkenheid van medewerkers | Gebruik de domeinen als basis voor dagelijkse dienstverlening en meting |
Beste praktijken om CISSP-domeinen om te zetten in een managed security operating model
| Praktijk | Doel | Opgeleverde waarde |
| Mapping van domein naar dienst | Maakt de scope duidelijk voor klanten en medewerkers | Gedeelde taal voor dienstverlening en audits |
| Runbooks met bewijsmateriaal | Zorgt voor herhaalbaarheid | Snellere reviews en minder hiaten |
| KPI’s per domein | Richt verbeteringen | Duidelijke resultaten vóór en na |
| Kwartaalcyclus per domein | Houdt controls actueel | Continue bijsturing zonder vermoeidheid |
| Rolpaden per domein | Laat capaciteit veilig groeien | Voorspelbare goedkeuringen en escalaties |
Breid het model uit naar AI-systemen
In de huidige CISSP-examenbeschrijving van ISC2 zijn AI-overwegingen aan elk domein toegevoegd. MSP’s die klanten ondersteunen die AI-tools gebruiken doen er daarom goed aan elk domein daarop uit te breiden.
- Neem AI-tools en externe AI-aanbieders op in risicoregisters van klanten en in leveranciersbeoordelingen.
- Classificeer AI-gerelateerde assets zoals trainingsdata, modellen en modelgewichten.
- Beheer niet-menselijke identiteiten, waaronder AI-agents en geautomatiseerde serviceaccounts, volgens het principe van minste voorrecht.
- Neem AI-tools en -agents op in logging, Monitoring en incident-runbooks.
Voorbeeld van een automatiseringskoppeling voor CISSP-domeinrapportage en bewijsbeheer
Met automatisering kunnen MSP’s de CISSP-domeinoperatie consistent houden doordat dataverzameling, het taggen van bewijsmateriaal en het genereren van rapportages automatisch verlopen.
- Plan een wekelijkse taak om domeingetagd bewijsmateriaal te verzamelen, waaronder firewallverschillen, wijzigingsgoedkeuringen en incidentcijfers.
- Haal doorlooptijden van back-upoefeningen, samenvattingen van notificaties en KPI-exports op uit de relevante CISSP-domeinen.
- Voer een script uit dat de gegevens per rapportageperiode in domeinspecifieke mappen ordent.
- Bundel alle resultaten in een maandrapport waarin bevindingen aan elk CISSP-domein worden gekoppeld.
- Upload het definitieve bewijspakket naar uw documentatie- of governanceomgeving voor interne beoordeling en beoordeling door de klant.
Ideeën voor NinjaOne-integratie bij het beheer van CISSP-domeinen
U kunt NinjaOne inzetten om de CISSP-domeinoperatie te ondersteunen door data te centraliseren, taken te automatiseren en traceerbare registraties bij te houden.
- Tag scripts, beleidsregels en geplande taken met het bijbehorende CISSP-domein.
- Verzamel de output van automatiseringen (logs, rapportages of goedkeuringen) op één gedeelde documentatielocatie.
- Koppel gegenereerde artefacten aan gerelateerde tickets of wijzigingsregistraties voor traceerbaarheid.
- Plan terugkerende exports die domeingetagd bewijsmateriaal bundelen voor de maandelijkse review.
- Bewaar definitieve domeinpakketten in NinjaOne Documentation, zodat accountmanagers er tijdens QBR’s of audits bij kunnen.
Van CISSP-domeinen naar een operationeel beveiligingsmodel
Door het CISSP-kader als operationeel model te behandelen, zet u de abstracte beste praktijken om in concrete, meetbare workflows. Wanneer u reviews, rolpaden en QBR’s rond deze domeinen opbouwt, ontstaat er een duidelijke verbinding tussen governance en dienstverlening. Technici ontwikkelen aantoonbare competenties, klanten zien meetbare resultaten en de directie houdt één tool-onafhankelijk model dat meegroeit met de organisatie en met de auditgereedheid.
Gerelateerde onderwerpen:
