Structurele offensive security capaciteit voor internationale retailer

De retailer besteedde jaarlijks 12-15 offensive security assessments uit aan wisselende leveranciers. Dit leidde tot drie problemen: inconsistente kwaliteit (sommige pentest rapporten waren onbruikbaar), gebrek aan continuïteit (elke keer opnieuw de omgeving uitleggen), en hoge procurement-overhead (12 aanbestedingen per jaar via het inkoopproces). De CISO schatte dat 30% van het offensive security budget verloren ging aan inefficiëntie.

Daarnaast had de organisatie specifieke behoeften die moeilijk in te vullen waren: PCI DSS-gerichte pentests voor het betaalplatform, red teaming voor de supply chain (warehouse management systemen), mobiele app security testing voor de klant-app met 3 miljoen gebruikers, en social engineering assessments voor de winkelmedewerkers. Geen enkele individuele leverancier kon dit volledige spectrum afdekken met consistent hoge kwaliteit.

MVPartners trad op als single point of contact voor alle offensive security behoeften. We cureerden een netwerk van 4 gespecialiseerde boutique offensive security firms, elk geselecteerd op hun specifieke expertise: een PCI DSS pentest specialist, een red team firma met supply chain ervaring, een mobiele security testing bureau, en een social engineering specialist.

Het MVPartners model werkte als volgt: de CISO communiceert één scope en planning aan MVPartners, wij matchen de juiste partner aan de juiste opdracht, managen de kwaliteit via onze review-standaarden, en consolideren alle rapportages in een uniform format. Daarnaast introduceerden we een continuous testing model: in plaats van 12 losse assessments voerden de partners doorlopend tests uit op basis van een jaarplanning, afgestemd op de release cycles van het development team.