Doel
Bestuur, audit en platformverantwoordelijken een onafhankelijk en aantoonbaar beeld geven van risico, beheersing en prioriteiten.
Vulneras Methodology v1.0
Een controleerbare methode voor een complex OutSystems-landschap.
Vulneras verbindt technisch onderzoek, governance en bewijs in één scopegebonden expertbeoordeling. De publieke methodiek maakt duidelijk wat wordt onderzocht en hoe een oordeel tot stand komt, zonder interne controlevragen en beslisregels openbaar te maken.
Publieke basis
Vulneras Methodology v1.0
Voor wie
Organisaties met bedrijfskritische O11- of ODC-landschappen, inclusief organisaties die agentic AI inzetten of voorbereiden.
Bewijs
Conclusies worden gekoppeld aan controleerbare bewijsreferenties. Mondelinge verklaringen zijn context, maar vormen niet zelfstandig het bewijs voor beheersing.
Expertbesluit
De lead assessor weegt scope, domeinbeoordelingen, bevindingen en bewijs. Alleen een compleet, positief en ondertekend expertbesluit kan tot certificering leiden.
Geldigheid
Een certificaat is standaard 365 dagen geldig. Materiële wijzigingen kunnen leiden tot schorsing en een gerichte herbeoordeling.
Beoordelingsprincipes
Controleerbaar zonder interne beslislogica openbaar te maken.
Scope voor score
Eerst wordt exact vastgelegd welke omgevingen, applicaties, integraties en uitsluitingen worden beoordeeld.
Bewijs voor aanname
Een conclusie verwijst naar aantoonbaar bewijs en maakt ontbrekend bewijs zichtbaar.
Samenhang voor losse controles
Techniek, proces, verantwoordelijkheid en operationeel gedrag worden als één systeem beoordeeld.
Expertbesluit voor automatische uitkomst
Scores ondersteunen het oordeel, maar vervangen de gemotiveerde beslissing van de lead assessor niet.
Vulneras Security Profile
Technische en organisatorische beheersing van één vastgelegd O11- of ODC-landschap.
Applicatiebeveiliging & Secure Development
Autorisatie, dataflows, API’s, integraties, inputvalidatie en veilige bouwpatronen.
Secure SDLC & Governance
Ontwerpbesluiten, reviews, quality gates, dependencies en beheerde uitzonderingen.
Platform & Deployment Security
Configuratie, privileged access, omgevingen en het verantwoordelijkheidsmodel.
Monitoring, Compliance & Evidence
Logging, detectie, audit trails en overtuigend bewijs van beheersing.
Incident Response & Resilience
Voorbereiding, begrenzing, herstel, oefeningen en bestuurlijke escalatie.
Agentic AI Security & Governance
Data- en tooltoegang, guardrails, menselijk toezicht en traceerbaarheid.
Vulneras Governance Profile
Bestuurlijke beheersing van verantwoordelijkheid, beleid, bewijs, leveranciers en resilience.
Leiderschap en eigenaarschap
Mandaat, risicobesluiten, verantwoordelijkheden en bestuurlijke rapportage.
Beleid en secure delivery
Werkbare kaders, uitzonderingen, kwaliteitsborging en besluitvorming.
Leveranciers en ketenbeheersing
Afspraken, toegang, bewijs, toezicht en verantwoordelijkheid in de keten.
Monitoring en audit readiness
Controleerbaar bewijs, compliancevragen, rapportage en opvolging.
Incidentrespons en continuiteit
Escalatie, crisisbesluitvorming, herstelvermogen en geleerde lessen.
Agentic AI beleid en toezicht
Inventarisatie, goedkeuring, bevoegdheden, logging en verantwoord gebruik.
Onderzoeksproces
Van aanleiding naar een gemotiveerd oordeel.
01 Intake
Aanleiding, platformcontext en besluitvormers vaststellen.
02 Scope
Landschap, bewijsbronnen, uitsluitingen en verantwoordelijkheden vastleggen.
03 Onderzoek
Technische en organisatorische controles uitvoeren en bewijs registreren.
04 Validatie
Feiten, context en bevindingen met betrokken verantwoordelijken valideren.
05 Oordeel
Expertbesluit, rapportage, roadmap en eventueel certificaat vastleggen.
v1.0, actieve basisversie
Zes securitydomeinen, zes governancedomeinen, scopegebonden certificering en een geldigheid van 365 dagen.
De methodiek wordt intern beheerd door Evergreen IT en inhoudelijk geleid door Remco Dekkinga. v1.0 is niet extern gevalideerd of door OutSystems goedgekeurd.