Hoe kiest u een aanbieder voor EVO- of TSCM-onderzoek?

Kijk daarom vooral naar de werkwijze. Welk dreigingsprofiel wordt vooraf gehanteerd? Wat valt binnen de scope? Welke methodiek wordt gehanteerd? Welke onderzoekslijnen worden uitgelopen? Hoe wordt omgegaan met middelen die niet uitzenden? Wat gebeurt er met uw meetdata? En, minstens zo belangrijk: benoemt het rapport ook wat níet is vastgesteld?

Op deze pagina leggen we uit waarop u een aanbieder kunt beoordelen en leggen we GreyOps langs dezelfde meetlat.

Waarom de uitkomst alleen weinig zegt over de kwaliteit

Een sweep heeft een lastig inherent kenmerk: wanneer niets wordt aangetroffen, kunt u met die uitkomst niet vaststellen of er grondig is gezocht. Dat maakt uitspraken als “de ruimte is schoon” weinig informatief. Een goede conclusie zegt niet alleen wat is aangetroffen, maar ook waartegen is onderzocht, met welke methoden, onder welke omstandigheden en waar de grenzen van het onderzoek lagen. De kwaliteit moet daarom eerder in het proces zichtbaar zijn. Wat u dan kunt beoordelen:

• wat vooraf schriftelijk wordt vastgelegd;
• hoe de onderzoeksscope tot stand komt;
• welke technische onderzoekslijnen worden uitgevoerd;
• hoe reproduceerbaar en herleidbaar de methodiek is;
• hoe met meetdata en klantinformatie wordt omgegaan;
• en hoe expliciet de aanbieder zijn eigen beperkingen benoemt.

Dat zijn eigenschappen waarmee u verschillende aanbieders onderling kunt vergelijken.

1. Wie heeft belang bij de uitkomst?

Onafhankelijkheid begint bij een eenvoudige vraag: verdient de onderzoeker ook aan de maatregelen die uit zijn eigen bevindingen volgen?

Vraag bijvoorbeeld:

• verkoopt de aanbieder zelf afscherming, detectieapparatuur, beveiligde ruimtes of beveiligings(advies)diensten?
• is meerwerk afhankelijk van wat tijdens het onderzoek wordt aangetroffen?
• ontvangt de aanbieder provisie of andere voordelen van leveranciers?
• bestaat er een commerciële relatie met leveranciers van uw bestaande audiovisuele, gebouwbeheer- of beveiligingsinstallaties?
• kan de partij adviseren dat géén aanvullende investering nodig is zonder daar zelf omzet door mis te lopen?

Dat een aanbieder ook producten levert betekent niet automatisch dat het onderzoek ondeugdelijk is. Van belang is dat u als opdrachtgever dat herkent en weegt.

Een bruikbare internationale referentie voor dat principe is de ISO/IEC 17020. Die norm gaat over competentie, onpartijdigheid en consistente uitvoering door inspectie-instellingen en onderscheidt onder meer onafhankelijke derde partijen. Een TSCM-aanbieder hoeft niet onder deze norm te vallen om principes hieruit als meetlat te gebruiken.

Hoe GreyOps hiermee omgaat

GreyOps verkoopt geen detectieapparatuur, afschermingsproducten of andere hardware. Als uit een onderzoek een maatregel volgt, beschrijven wij wat die maatregel moet bereiken en hoe het resultaat kan worden vastgesteld. De keuze wie die maatregel levert blijft bij u. Ons verdienmodel verandert daardoor niet op basis van wat we vinden.

2. Wat ligt er vast vóórdat er wordt gemeten?

Een technisch onderzoek begint niet bij een apparaat als spectrum analyzer, maar bij de vraag waartegen u zich daadwerkelijk wilt laten onderzoeken.

Daarom hoort vóór de uitvoering duidelijk te zijn:

• welk dreigingsprofiel wordt gehanteerd;
• welke informatie of andere Te Beschermen Belangen centraal staan;
• welke actoren realistisch belangstelling kunnen hebben;
• over welke capaciteiten en toegang zij kunnen beschikken;
• welke ruimtes, objecten, installaties en aangrenzende zones worden onderzocht;
• welke onderzoekslijnen worden uitgevoerd;
• welke criteria bij de beoordeling worden gebruikt;
• wat expliciet buiten de scope valt;
• en wat er gebeurt wanneer de afgesproken onderzoekssituatie tijdens de uitvoering niet haalbaar blijkt.

Zonder die keuzes bestaan er ook aannames, maar dan heeft niemand ze opgeschreven. Dat is een belangrijk verschil. Een concurrent, een kwaadwillende insider, georganiseerde criminaliteit en een statelijke actor beschikken niet over dezelfde mogelijkheden. Een onderzoek dat voor iedere opdrachtgever exact hetzelfde wordt uitgevoerd, is daarom niet automatisch minder grondig, maar wel minder gericht.

Hoe GreyOps hiermee omgaat

Wij leggen het dreigingsprofiel en de onderzoeksscope vooraf vast. De technische methodiek volgt daaruit. Onze kennisontwikkeling richt zich nadrukkelijk ook op hoogwaardige en statelijke aanvalscapaciteiten. Dat betekent niet dat iedere opdrachtgever een onderzoek op dat niveau nodig heeft. Het betekent dat we kunnen onderscheiden wanneer een lichter profiel volstaat en wanneer dat niet zo is. U betaalt daarmee voor het onderzoek dat bij uw dreigingsprofiel past, niet standaard voor het zwaarst denkbare scenario.

3. Wat omvat het onderzoek technisch?

Vraag niet alleen welke apparatuur een aanbieder bezit. Vraag vooral welke aanvalsvectoren ermee worden onderzocht.

Een technisch onderzoek kan, afhankelijk van het dreigingsprofiel en de scope, bijvoorbeeld bestaan uit:

• onderzoek van het radiofrequente spectrum;
• fysieke inspectie van ruimte, meubilair en apparatuur;
• onderzoek van telefoon-, netwerk-, voedings- en andere geleidende verbindingen;
• onderzoek van vaste infrastructuur en randapparatuur;
• niet-lineaire junctiedetectie voor elektronische componenten die zelf niet uitzenden;
• akoestisch en structuurgebonden onderzoek;
• optisch onderzoek;
• onderzoek naar ongewenste of compromitterende elektromagnetische emanatie.

De belangrijkste controlevraag

Hoe zoekt u naar een middel dat tijdens de meting niets uitzendt?

Een recorder die uitsluitend lokaal opslaat, een uitgeschakeld elektronisch middel of een voorziening die slechts op een specifiek moment wordt geactiveerd, zal tijdens een passieve RF-meting geen radiosignaal produceren. Een onderzoek dat uitsluitend bestaat uit het bekijken van het radiofrequente spectrum beantwoordt daarom maar één deel van de vraag. Dat betekent niet dat spectrumanalyse onbelangrijk is (integendeel), maar dat de gekozen methoden in samenhang moeten zijn met het dreigingsprofiel.

Vraag daarnaast

• hoeveel onderzoekstijd wordt per ruimte voorzien en waarop is dat gebaseerd?
• wordt ook aangrenzende infrastructuur meegenomen?
• hoe wordt onderscheid gemaakt tussen verklaarbare en onbekende signalen?
• wordt representatief gebruik van de ruimte meegenomen waar dat zinvol is?
• welke instrumenten worden ingezet en hoe wordt hun meetprestatie geverifieerd?
• hoe worden bekende beperkingen van iedere methode verwerkt in de conclusie?

De lijst met merknamen in een offerte is veel minder belangrijk dan de antwoorden op deze vragen.

4. Hoe wordt uw eigen informatie tijdens het onderzoek beschermd?

Een sweep genereert zelf gevoelige informatie. Meetdata, foto’s, plattegronden, bekabelingsroutes, afwijkingen, apparatuurinventarissen en conceptbevindingen kunnen samen een zeer gedetailleerd beeld geven van de technische inrichting van uw organisatie.

Vraag een aanbieder daarom:

• waar de ruwe meetgegevens worden opgeslagen;
• welke systemen de data verwerken;
• of daarvoor cloud- of SaaS-diensten worden gebruikt;
• of AI-, transcriptie- of andere externe verwerkingsdiensten worden ingezet;
• welke apparatuur tijdens het onderzoek zelf netwerkverbinding heeft;
• wie toegang heeft tot de gegevens;
• hoe gegevens worden versleuteld;
• welke bewaartermijn geldt;
• en hoe vernietiging plaatsvindt.

Een geheimhoudingsverklaring is nuttig, maar dicht deze operationele kwetsbaarheden mogelijk onvoldoende af.

Hoe GreyOps hiermee omgaat

Onze meet- en analysesystemen werken tijdens opdrachten zonder internetverbinding. Ook de inhoudelijke uitwerking vindt binnen een afgescheiden omgeving plaats. Wij gebruiken voor opdrachtdata geen publieke cloudopslag, online transcriptiediensten of generatieve AI. Meetgegevens en conceptdocumenten worden beheerd op (hard- en softwarematig) versleutelde gegevensdragers. Bewaartermijn en vernietigingsmoment kunnen vooraf in overleg, per opdracht worden vastgelegd.

Wij nemen bovendien geen mobiele telefoon mee in de te onderzoeken ruimte. Voor documentatie gebruiken we specifiek daarvoor bestemde apparatuur; air-gapped, zonder netwerkverbinding. De praktische contactregeling tijdens het onderzoek spreken we vooraf met u af. Dit zijn geen symbolische maatregelen voor de vorm, maar bewuste operationele keuzes. Een onderzoek naar ongecontroleerde technische kanalen moet zelf geen verdere ongecontroleerde kanalen introduceren.

5. Wat zegt een sweep over de periode daarna?

Een sweep is altijd gekoppeld aan een onderzoeksmoment en een beschreven situatie. Actieve RF-aanwezigheid kan moment-gebonden zijn. Een middel dat tijdens het onderzoek niet actief is, kan op een ander moment wel actief worden. Andere eigenschappen zijn weer meer structureel. Denk aan:

• het verloop van bekabeling;
• de inrichting van een ruimte;
• de integriteit van afscherming;
• akoestische overdracht;
• zichtlijnen;
• configuratie van vaste infrastructuur;
• en de beheersing van fysieke toegang.

Een goed rapport maakt onderscheid tussen die twee.

Is periodiek herhalen dan de oplossing?

Niet automatisch. Een standaard kwartaal- of jaarinterval zegt weinig wanneer niet duidelijk is welk risico ermee wordt beheerst. Een nieuw onderzoek is vooral logisch wanneer de uitgangssituatie verandert, bijvoorbeeld:

• na bouw- of installatiewerkzaamheden;
• na wijziging van bekabeling of apparatuur;
• na ongecontroleerde toegang;
• na een concreet incident;
• bij een relevant gewijzigd dreigingsbeeld;
• vóór een bijzonder gevoelige gebeurtenis;
• of wanneer structureel gevoelige gesprekken in de ruimte plaatsvinden en periodiek onderzoek onderdeel is van het risicobeheer.

Herhaalonderzoek wordt bovendien waardevoller wanneer een eerder onderzoek een gedocumenteerde referentiesituatie heeft opgeleverd. Dan kan worden vastgesteld wat sinds de vorige meting is veranderd. De structurele beveiliging tussen twee sweeps zit uiteindelijk niet in vaker meten, maar in toegangsbeheersing, wijzigingsbeheer en discipline over wat een ruimte in en uit gaat.

6. Wat staat er straks in het rapport?

Vraag vóór de opdracht om te beschrijven hoe de rapportage eruitziet.

Een bruikbaar technisch rapport vermeldt ten minste:

• het gehanteerde dreigingsprofiel;
• de scope van het onderzoek;
• de onderzochte ruimtes, installaties en gebruikssituaties;
• de toegepaste onderzoeksmethoden;
• relevante instrumentatie en meetcondities;
• de bevindingen;
• wat kon worden verklaard;
• welke beperkingen tijdens het onderzoek bestonden;
• wat expliciet niet is onderzocht;
• en welk restrisico resteert.

Dat laatste is geen zwakte van een rapport. Het is juist een kwaliteitskenmerk. Een rapport dat zijn eigen grenzen niet benoemt, is moeilijk controleerbaar.

Bestuur én techniek

Een technisch onderzoek heeft meestal twee soorten lezers. Een bestuurder wil weten:

• wat is er aan de hand?
• hoe ernstig is het?
• wat moet er gebeuren?
• en welke onzekerheid blijft bestaan?

Een technisch specialist, auditor of andere derde wil kunnen herleiden:

• wat precies is onderzocht;
• hoe het onderzoek is uitgevoerd;
• en waarop de conclusie is gebaseerd.

Een goede rapportage bedient beide zonder de technische onderbouwing weg te abstraheren. Vraag daarom ook of u wellicht een geanonimiseerd voorbeeldrapport of de rapportagestructuur mag inzien.

7. Wie komt er daadwerkelijk bij u binnen?

Een technisch onderzoek geeft een externe partij uitzonderlijke toegang. De onderzoekers zien mogelijk ruimtes, technische infrastructuur, documenten, beveiligingsmaatregelen en gebruikspatronen die juist buiten beeld van derden horen te blijven.

Vraag daarom:

• wie het onderzoek persoonlijk uitvoert;
• of dat dezelfde persoon is die inhoudelijk verantwoordelijk is voor het rapport;
• of onderaannemers of ingehuurde krachten worden ingezet;
• welke screening relevant en aanwezig is;
• welke geheimhoudings- en databeveiligingsafspraken gelden;
• en hoe de identiteit van uw organisatie en het bestaan van de opdracht worden beschermd.

ABRO en personeelsscreening

Wanneer een onderzoek plaatsvindt binnen een ABRO-context, hangt de vereiste screening af van de opdracht, functie en het toepasselijke beschermingsniveau. De ABRO maakt daarbij onderscheid tussen onder meer VOG en VGB; voor een vereiste VGB bepaalt het kader dat deze niet ouder moet zijn dan vijf jaar. Vraag dus niet alleen of een onderzoeker “gescreend” is. Vraag welke screening, voor welke functie en in welke context.

Hoe GreyOps hiermee omgaat

Bij GreyOps blijft de inhoudelijke keten bewust kort. Degene die het onderzoek uitvoert, analyseert de bevindingen en is verantwoordelijk voor de rapportage. Metingen worden niet uitbesteed aan uitvoerders die de onderzoekssituatie later moeten overdragen aan iemand die niet aanwezig was.

Dat beperkt hoeveel grote locaties wij gelijktijdig kunnen onderzoeken. Het voordeel is directe inhoudelijke verantwoordelijkheid: degene die een conclusie ondertekent heeft de omstandigheden zelf waargenomen en kan de gemaakte keuzes toelichten.

Wij publiceren daarnaast geen klantnamen of logo’s en bevestigen tegenover derden niet of een organisatie opdrachtgever is. Een specifieke wijze van aanwezigheid ter plaatse en de wijze waarop een onderzoek intern wordt aangekondigd kunnen onderdeel zijn van de operationele afspraken.

8. Wat gebeurt er als er iets wordt aangetroffen?

Deze vraag hoort vóór het onderzoek te zijn beantwoord. Een technisch middel direct verwijderen is niet in iedere situatie verstandig. Daarmee kunnen context, sporen of informatie verloren gaan die later relevant blijken voor intern onderzoek, aangifte, een civiel geschil of onderzoek door een bevoegde instantie.

Bespreek daarom vooraf:

• wie bij een vondst wordt geïnformeerd;
• via welk communicatiekanaal dat gebeurt;
• wie beslist of het middel wordt verwijderd of ongemoeid blijft;
• hoe positie, toestand en tijdstip worden vastgelegd;
• wie toegang krijgt tot de vondst;
• en wanneer een derde partij of bevoegde instantie wordt ingeschakeld.

Ken ook de juridische grens

Een technische sweep van een ruimte is niet hetzelfde als onderzoek naar een persoon. Wanneer een opdracht verschuift naar het gericht verzamelen en analyseren van feiten over bepaalde personen, kunnen andere wettelijke regels gelden, waaronder de regels voor particuliere recherchebureaus. Vraag een aanbieder hoe die grens wordt bewaakt en wanneer specialistische of juridisch bevoegde derden worden ingeschakeld. Ook het technisch kunnen demoduleren of onderscheppen van communicatie betekent niet automatisch dat dit juridisch is toegestaan. Een professionele aanbieder hoort te kunnen uitleggen welke inhoud hij wel en niet registreert en op welke grond.

9. Wat claims en keurmerken werkelijk zeggen

In een markt waarin de kwaliteit moeilijk uit de einduitkomst is af te lezen, krijgen merknamen, logo’s, certificaten en keurmerken gemakkelijk veel gewicht.

“ABRO-gecertificeerd”

Die formulering klopt niet. De ABRO bepaalt dat een ABRO-verklaring geen certificering is. De verklaring wordt afgegeven in het kader van een Bijzondere Opdracht wanneer aan de toepasselijke ABRO-eisen is voldaan. De ABRO bepaalt bovendien dat een opdrachtnemer niet publiekelijk kenbaar mag maken dat hij over een ABRO-verklaring beschikt. Een website die met een “ABRO-certificering” of publiek met het bezit van een ABRO-verklaring adverteert, verdient daarom nadere vragen.

Wat zegt een ABRO-verklaring dan wél?

Een ABRO-verklaring ziet op het voldoen van de opdrachtnemer aan de voor de Bijzondere Opdracht relevante beveiligingseisen. Het NBIV-onderzoek ziet volgens de ABRO niet op de kwaliteit of beveiliging van het product of de dienst die de leverancier tijdens de opdracht levert.

En andere certificeringen?

Vraag steeds:

1. Wie heeft de erkenning afgegeven?
2. Waarop ziet die precies: de organisatie, het managementsysteem, de onderzoeksmethode, de apparatuur of de individuele onderzoeker?
3. Is de claim onafhankelijk controleerbaar?

Een certificaat kan waardevol zijn. Het moet alleen antwoord geven op de vraag waarvoor u het gebruikt.

10. Waar GreyOps technisch het verschil wil maken

Wij beperken technisch contraspionage-onderzoek niet tot het zoeken naar actieve zenders. Afhankelijk van het dreigingsprofiel kijken we naar meerdere mogelijke overdrachts- en compromitteringspaden: radiofrequent, geleid, fysiek, akoestisch, optisch en elektromagnetisch. Ook apparatuur die tijdens een meting niet actief uitzendt hoort in het onderzoeksmodel thuis. Die benadering komt voort uit het volgende uitgangspunt: beveiliging moet worden beoordeeld tegen wat een relevante tegenstander werkelijk kan, niet tegen wat opportuun te meten is.

Onze technische kennisontwikkeling richt zich daarom ook op het hogere capability-segment. Publiek bekende voorbeelden van statelijke technische surveillance laten zien dat middelen niet altijd continu uitzenden, niet altijd een conventionele voeding nodig hebben en soms juist zijn ontworpen om buiten het meest voor de hand liggende detectiepad te vallen.

Dat betekent niet dat iedere opdrachtgever een statelijk dreigingsprofiel heeft. Het betekent dat we de technische bovengrens kennen en de onderzoeksscope daar bewust onder kunnen dimensioneren.

Lees hierover meer in dreigingsprofielen en onze verzameling publiek bekende cases.

11. Van bevinding naar maatregel

Een rapport is geen bruikbaar eindproduct als er vervolgens niets mee gebeurt. Wij vertalen technische bevindingen daarom naar maatregelen die passen bij het dreigingsprofiel en bij wat uw organisatie operationeel kan volhouden. Daarbij heeft een eenvoudige maatregel de voorkeur wanneer die hetzelfde beveiligingsdoel bereikt als een complexe. Soms betekent dat apparatuur verwijderen of anders configureren. Soms gaat het om toegangs- of wijzigingsbeheer. Pas wanneer het risico daar aanleiding toe geeft, kan technische afscherming of specialistische aanpassing passend zijn. Waar mogelijk beschrijven we ook welk resultaat een maatregel moet bereiken en hoe u dat resultaat later kunt verifiëren.

12. Veiligheidsbewustzijn en technische beveiliging gaan hand in hand

Niet ieder technisch risico vraagt om meer techniek. Veel kwetsbaarheden ontstaan doordat apparatuur wordt toegevoegd, installateurs toegang krijgen, een ruimte anders wordt gebruikt dan ontworpen of medewerkers niet herkennen waarom een ogenschijnlijk onschuldige wijziging relevant is. Daarom verzorgen wij naast onderzoek ook awareness voor bestuur, securityteams en beheerders van gevoelige ruimtes. Daarbij draait het niet om nog een lijst regels, maar om het begrijpen van het mechanisme achter die regels: hoe kan informatie een ruimte verlaten, welke veranderingen maken dat waarschijnlijker en welke afwijkingen verdienen aandacht?

Bewustzijn vervangt geen technische of procedurele beveiligingsmaatregel. Het helpt wel om veranderingen te herkennen in de periode waarin er geen onderzoeker in de ruimte staat.

Wat wij niet beloven

Geen “schoonverklaring”

Wij verklaren een ruimte niet absoluut vrij van afluister- of observatiemiddelen. Onderzoek legt vast wat binnen een vooraf afgesproken scope, op een bepaald moment en met de gekozen onderzoeksmethoden is vastgesteld. Absolute zekerheid suggereren waar die technisch niet kan worden onderbouwd, maakt een conclusie niet sterker maar zwakker.

Geen standaard abonnement omdat “vaker beter is”

Wij adviseren geen vaste herhaalfrequentie zonder relatie tot het dreigingsbeeld. Een nieuw onderzoek moet een relevante vraag beantwoorden. Verandert de ruimte, de toegang, de technische inrichting of de dreiging, dan kan heronderzoek zinvol zijn. Is er niets veranderd en is periodiek onderzoek niet als maatregel onderbouwd, dan is vaker meten niet vanzelfsprekend beter.

Geen hardwareverkoop na onze eigen bevinding

Wij verkopen geen afscherming of detectieapparatuur en hebben geen leveranciersbelang bij de maatregel die uit het onderzoek volgt.

Geen onderzoek omdat het spannend klinkt

Wanneer een uitgebreide sweep niet proportioneel is voor uw situatie, zeggen we dat. Soms is betere toegangsbeheersing, wijzigingsbeheer of het aanpassen van bestaande apparatuur de zinvollere investering.

Rode vlaggen bij het vergelijken van aanbieders

Wees extra kritisch wanneer een aanbieder:

• vóór het onderzoek zekerheid over de uitkomst suggereert;
• een ruimte na afloop zonder verdere kwalificatie “schoon” verklaart;
• geen dreigingsprofiel of scope vooraf vastlegt;
• niet wil benoemen wat buiten de scope valt;
• alleen over frequentiebereik en apparatuurmerken spreekt;
• geen overtuigend antwoord heeft op middelen die niet uitzenden;
• de inhoudelijke onderzoeksmethode niet vooraf wil bespreken;
• geen duidelijk beleid heeft voor meetdata en klantinformatie;
• de meting uitvoert met andere personen dan vooraf verwacht;
• een rapport levert zonder beperkingen of restrisico;
• commercieel verdient aan zowel de diagnose als de voorgeschreven oplossing zonder dat belang te benoemen;
• spreekt van “ABRO-certificering”;
• of publiek adverteert met het bezit van een ABRO-verklaring.

Geen enkel afzonderlijk punt bewijst dat een aanbieder slecht werk levert. Meerdere punten samen zijn wel reden om door te vragen.

Stel deze vragen ook aan GreyOps

Deze pagina is niet bedoeld als vragenlijst waarmee alleen concurrenten worden beoordeeld. Leg deze vragen gerust aan ons voor. Vraag naar de onderzoeksscope, de beperkingen van onze methoden, onze dataomgeving, de instrumentatie, de rapportagestructuur, wat we niet onderzoeken en waarom we een bepaalde onderzoekslijn in uw situatie wel of niet voorstellen. Een deel van die antwoorden kan ertoe leiden dat u minder onderzoek nodig heeft dan u aanvankelijk dacht. Dat beschouwen wij als onderdeel van onafhankelijk advies.

Een laatste controlevraag

Als u maar één vraag aan een aanbieder stelt, laat het deze zijn: “Welke conclusie kunt u na uw onderzoek wél onderbouwen — en welke nadrukkelijk niet?”

Het antwoord daarop zegt vaak meer over de kwaliteit van een technisch onderzoek dan de lijst apparatuur waarmee het wordt uitgevoerd.