L1 BIO 12.01 ISO A.5.1 CIS 4.1.1

Security Measurement In Azure Governance: Van Gevoel Naar Meetbare Sturing

📅 2025-11-26
•
⏱️ 10 minuten lezen
•
🔴 Must-Have

💼 Management Samenvatting

Veel organisaties sturen op informatiebeveiliging op basis van gevoel, losse incidentrapportages en ad-hoc audits. Zonder consistente, betrouwbare metingen blijft security een abstract begrip waar bestuurders moeilijk grip op krijgen en waar verbeterinitiatieven lastig te prioriteren zijn.

Aanbeveling
RICHT EEN GEÏNTEGREERD SECURITY-MEETRAAMWERK IN WAARIN AZURE-INDICATOREN, RISICOGEGEVENS EN GOVERNANCESTRUCTUREN WORDEN GECOMBINEERD TOT EEN HELDER STUURINSTRUMENT.
Risico zonder
High
Risk Score
8/10
Implementatie
20u (tech: 12u)
Van toepassing op:
✓ Azure

Voor Nederlandse overheidsorganisaties en andere gereguleerde sectoren is het noodzakelijk om informatiebeveiliging aantoonbaar te maken. Bestuurders, toezichthouders en ketenpartners verwachten dat organisaties niet alleen maatregelen hebben ingericht, maar ook kunnen laten zien of deze in de praktijk effectief zijn. In een complexe Microsoft-cloudomgeving met tientallen abonnementen, honderden workloads en continu veranderende dreigingen is dat zonder gestructureerde meting onmogelijk. Alleen al het bepalen of de Azure-omgeving voldoet aan de BIO, NIS2 en interne beleidskaders vraagt om duidelijke indicatoren: welke onderdelen zijn op orde, waar zitten structurele kwetsbaarheden en welke verbeteracties leveren de meeste risicoreductie op? Zonder meetkader verschuift de aandacht gemakkelijk naar zichtbare projecten of de laatste grote incidenten, terwijl basale hygiëne zoals patching, logging en toegangsbeheer onvoldoende aandacht krijgt. Dit leidt tot schijnzekerheid: dashboards zien er groen uit, maar onder de motorkap bestaan grote verschillen tussen businessunits, projecten en leveranciers. Een volwassen aanpak voor security measurement maakt deze verschillen zichtbaar, ondersteunt risico-gedreven besluitvorming en vormt een randvoorwaarde voor effectieve governance in de cloud.

PowerShell Modules Vereist
Primary API: Azure API
Connection: Connect-AzAccount
Required Modules: Az.Accounts, Az.Security

Implementatie

Dit artikel beschrijft hoe organisaties in Azure een samenhangend raamwerk voor security measurement opbouwen dat zowel operationele teams als bestuurders ondersteunt. We gaan in op het vertalen van beleidsdoelen naar concrete KPI’s en meetpunten, het combineren van technische signalen zoals Microsoft Secure Score, Defender-aanbevelingen en compliance-assessments met organisatorische indicatoren, en het inrichten van heldere rapportagelijnen. Daarbij wordt uitgelegd hoe u meetgegevens verzamelt via Azure Security Center, Defender for Cloud en andere platformcomponenten, hoe u deze normaliseert en consolideert in overzichtelijke dashboards en hoe u trendanalyses gebruikt om de effectiviteit van verbeterprogramma’s te beoordelen. Tot slot laten we zien hoe een ondersteunend PowerShell-script, security-measurement.ps1, periodiek een compact governance-overzicht kan genereren dat aansluit bij de behoefte van CISO’s, CIO’s en auditcommissies.

Van beleidsdoelen naar een meetbaar security-raamwerk

Een effectief security-meetraamwerk begint niet bij tooling, maar bij een scherp beeld van de organisatiedoelen. Voor Nederlandse overheidsorganisaties is de basis doorgaans verankerd in de BIO, aanvullende sectorspecifieke normen en interne beleidsdocumenten rond digitale weerbaarheid. Deze kaders formuleren wat bereikt moet worden, maar zelden hoe dat meetbaar wordt gemaakt. De eerste stap is daarom het expliciet koppelen van beleidsdoelen aan concrete, meetbare criteria. Als het beleid bijvoorbeeld stelt dat alleen beheerde apparaten toegang mogen krijgen tot kritieke applicaties, moet worden vastgelegd welk percentage van de verbindingen daadwerkelijk via compliant apparaten verloopt, hoe vaak uitzonderingen worden toegestaan en welke drempelwaarden acceptabel zijn. Op die manier ontstaan Key Performance Indicators (KPI’s) en Key Risk Indicators (KRI’s) die richting geven aan zowel operationele teams als bestuurders. In een Azure-context betekent dit dat u beleidsuitspraken vertaalt naar indicatoren die uit het platform zijn af te leiden. Voorbeelden zijn het percentage resources dat door Defender for Cloud als gezond wordt beoordeeld, de gemiddelde Secure Score per management group, het aantal kritieke kwetsbaarheden dat langer dan dertig dagen openstaat en de dekking van logging en monitoring voor bedrijfskritische workloads. Het is belangrijk om daarbij onderscheid te maken tussen leading en lagging indicators. Leading indicators, zoals het aantal geslaagde hardeningsacties of het percentage resources dat is aangesloten op centraal beheer, geven vroegtijdig inzicht in de ontwikkeling van weerbaarheid. Lagging indicators, zoals het aantal ernstige incidenten of bevindingen uit audits, tonen vooral het resultaat van eerdere keuzes. Een volwassen meetraamwerk combineert beide typen en zorgt dat ze op elkaar aansluiten. Vervolgens wordt bepaald op welk abstractieniveau indicatoren worden gerapporteerd. Operationele teams hebben behoefte aan gedetailleerde data per abonnement, resourcegroep en workload om gerichte acties te kunnen uitvoeren. Bestuurders en auditcommissies willen juist een beperkt aantal kernindicatoren zien op organisatieniveau, aangevuld met een duidelijke duiding van risico’s en trends. Dit vraagt om hiërarchische aggregatie: vanuit ruwe data op resourceniveau worden scores opgebouwd per workload, per businessunit en uiteindelijk voor de gehele organisatie. Management groups in Azure bieden hiervoor een natuurlijke structuur, mits de indeling goed is afgestemd op de organisatie- en verantwoordelijkheidsstructuur. Door deze hiërarchie zorgvuldig te ontwerpen, wordt het mogelijk om met één set indicatoren zowel detailsturing als bestuurlijk overzicht te realiseren. Een ander essentieel aspect is de keuze voor normeringen en drempelwaarden. Een score van 80 procent kan in de ene context uitstekend zijn en in de andere onacceptabel. Organisaties doen er goed aan om per indicator vast te leggen welke streefwaarden gelden, welke bandbreedtes als acceptabel worden gezien en wanneer escalatie nodig is. Deze afspraken worden bijvoorbeeld opgenomen in een security scorecard of een Cloud Governance Charter en periodiek herzien op basis van veranderende dreigingen, nieuwe wetgeving en lessons learned uit incidenten. Door indicatoren expliciet te koppelen aan risicoanalyses en compliance-eisen ontstaat een meetraamwerk dat niet alleen cijfers oplevert, maar ook betekenisvolle stuurinformatie biedt voor de Nederlandse Baseline voor Veilige Cloud.

Dataverzameling, automatisering en rapportage in Azure

Zodra het meetraamwerk is gedefinieerd, verschuift de focus naar de vraag hoe de benodigde gegevens betrouwbaar en herhaalbaar kunnen worden verzameld. In Azure is een groot deel van de relevante signalen al beschikbaar via Defender for Cloud, Microsoft Secure Score, compliance-assessments, policy-compliance en loggegevens in Log Analytics. De uitdaging is om uit deze rijke hoeveelheid data die elementen te selecteren die direct aansluiten bij de gekozen KPI’s en KRI’s. Handmatige exports of losse query’s zijn hiervoor ontoereikend: ze zijn foutgevoelig, slecht reproduceerbaar en sluiten niet aan bij de cadans van maandelijkse of kwartaalrapportages richting bestuurders en toezichthouders. Een robuuste aanpak maakt gebruik van geautomatiseerde dataverzameling via API’s en scripting. Met PowerShell en de Az-modules kan bijvoorbeeld periodiek per tenant en management group worden uitgelezen wat de actuele Secure Score is, hoeveel aanbevelingen met een hoog risico nog openstaan en welke resources niet aan verplichte beleidsregels voldoen. Deze gegevens worden vervolgens normaliseerd naar een uniforme datastructuur, bijvoorbeeld een tabel waarin per abonnement en per controltype een score tussen 0 en 100 wordt vastgelegd. Door deze data op te slaan in een centrale Log Analytics-workspace of in een governance-database in Azure SQL ontstaat een historische tijdlijn waarmee trends zichtbaar worden en de impact van verbetermaatregelen objectief kan worden beoordeeld. Rapportage vormt de schakel tussen technische metingen en bestuurlijke besluitvorming. In plaats van losse spreadsheets is het raadzaam om één centraal dashboardlandschap op te zetten, bijvoorbeeld met Power BI of Azure Monitor Workbooks. Hierin worden kernindicatoren gevisualiseerd op organisatieniveau, met de mogelijkheid om in te zoomen naar management groups, businessunits en individuele workloads. Belangrijk is dat dashboards niet alleen scores tonen, maar ook context: welke maatregelen zijn recent genomen, welke projecten lopen nog, en welke risico’s worden niet of slechts gedeeltelijk afgedekt door de huidige inrichting. Door security-meetgegevens te koppelen aan portfoliomanagement, changeprocessen en risicoregisters ontstaat een integraal beeld van de staat van informatiebeveiliging. Het ondersteunende PowerShell-script security-measurement.ps1 in deze baseline is ontworpen om deze automatisering te faciliteren. Het script leest per tenant en abonnement een beperkte set kernindicatoren uit, zoals Secure Score, aantal openstaande aanbevelingen met hoog risico en het percentage resources dat door beleid als compliant wordt aangemerkt. De resultaten worden samengevat in een compact rapport dat geschikt is voor integratie in dashboards of periodieke rapportages. Het script kan lokaal worden gedraaid door security- of cloudbeheerders, maar leent zich ook voor uitvoering via Azure Automation of CI/CD-pijplijnen. Door het script op een vaste frequentie te laten draaien en de uitvoer te archiveren, ontstaat bovendien direct auditbewijs dat de organisatie structureel toezicht houdt op de effectiviteit van securitymaatregelen in Azure.

Gebruik PowerShell-script security-measurement.ps1 (functie Invoke-Measurement) – Verzamelt kernindicatoren uit Azure (zoals Secure Score en openstaande aanbevelingen) en genereert een samenvattend meetrapport..

Governance, sturing en continue verbetering

Gebruik PowerShell-script security-measurement.ps1 (functie Invoke-GovernanceOverview) – Levert een overzicht op management group- of organisatieniveau om governance-discussies en besluitvorming te ondersteunen..

Metingen krijgen pas waarde wanneer ze consequent worden gebruikt in de governance- en sturingscyclus van de organisatie. In de praktijk betekent dit dat security-indicatoren een vaste plek moeten krijgen in overlegstructuren, rapportages en planningscycli. Voor een CISO of security officer is het niet voldoende om te weten dat de Secure Score gemiddeld 75 procent bedraagt; het is cruciaal om te begrijpen welke onderdelen achterblijven, welke risico’s daaruit voortvloeien en welke verbeteracties prioriteit hebben. Een goed ingericht governanceproces koppelt de uitkomsten van security measurement direct aan portfoliobesluiten, budgettoewijzing en de planning van projecten en lijnactiviteiten. In de context van de Nederlandse Baseline voor Veilige Cloud betekent dit dat meetresultaten systematisch worden besproken in bijvoorbeeld een informatiebeveiligingsberaad, een Cloud Risk Board of een auditcommissie. Dashboards en rapportages vormen daarbij de basis voor een gestructureerde dialoog: waarom blijft een bepaalde management group achter, welke ketenafhankelijkheden spelen mee en welke ondersteuning is nodig om verbeteringen te realiseren? Door indicatoren expliciet te verbinden met risico’s en compliance-eisen ontstaat een gedeeld beeld van urgentie en verantwoordelijkheid. Dit voorkomt dat security uitsluitend als technisch issue wordt gezien en helpt bestuurders om onderbouwde keuzes te maken over prioriteiten en investeringen. Continue verbetering vraagt ook om een kritische blik op het meetraamwerk zelf. Indicatoren die in de beginfase relevant en haalbaar waren, kunnen na verloop van tijd minder onderscheidend zijn of niet meer aansluiten bij nieuwe technieken en dreigingen. Het is daarom verstandig om periodiek – bijvoorbeeld jaarlijks in de PDCA-cyclus rond de BIO of ISO 27001 – te evalueren of de gekozen KPI’s en KRI’s nog de juiste dingen meten. Daarbij wordt gekeken naar vraagstukken als: geven de huidige scores voldoende inzicht in de daadwerkelijke weerbaarheid, sluiten de drempelwaarden aan bij het risicoprofiel van de organisatie en zijn de onderliggende datastromen stabiel en betrouwbaar? Op basis van incidentanalyses, auditbevindingen en ervaringen uit oefeningen kan worden besloten om nieuwe indicatoren toe te voegen, bestaande metingen aan te scherpen of irrelevante metrics af te bouwen. Het PowerShell-script kan in dit proces een objectieve basis bieden voor trendanalyses. Door meetresultaten over langere periodes te bewaren, wordt zichtbaar of verbeterprogramma’s daadwerkelijk effect hebben, of dat scores vooral fluctueren door wijzigingen in tooling of configuraties. Deze inzichten kunnen worden gebruikt om ambities bij te stellen, afspraken met leveranciers te herzien of aanvullende maatregelen te treffen voor specifieke ketenvoorzieningen. Zo groeit security measurement uit tot een volwaardig stuurinstrument dat helpt om de cloudomgeving van de organisatie aantoonbaar veiliger en robuuster te maken.

Compliance, audit en verantwoording

Security measurement speelt een centrale rol in de manier waarop organisaties verantwoording afleggen over hun informatiebeveiliging. Toezichthouders, auditors en interne controllers vragen niet alleen naar beleidsdocumenten en technische configuraties, maar willen vooral zien hoe de organisatie zichzelf monitort en verbetert. Voor Nederlandse overheidsorganisaties sluit dit nauw aan bij de principes van de BIO, waarin aantoonbaarheid, transparantie en continue verbetering kernbegrippen zijn. Een goed opgezet meetraamwerk maakt het mogelijk om in audits direct inzicht te geven in de actuele staat van beveiliging, ontwikkelingen over de afgelopen maanden en de effecten van specifieke maatregelen. In de praktijk wordt security measurement vaak gekoppeld aan formele verantwoordingsprocessen zoals ENSIA, ISO 27001-certificering of sectorale toetsingen. Door meetresultaten uit Azure – bijvoorbeeld Secure Score, compliancepercentages voor beleidsregels en het aantal openstaande aanbevelingen – te koppelen aan controls en normen, ontstaat een helder spoor tussen technische werkelijkheid en normenkader. Auditors kunnen dan niet alleen steekproeven uitvoeren op configuraties, maar ook beoordelen of de organisatie structureel in control is. Het feit dat meetgegevens periodiek, geautomatiseerd en volgens vaste definities worden verzameld, weegt daarbij zwaar mee: ad-hoc rapportages of deels handmatige metingen geven zelden hetzelfde vertrouwen. Tegelijkertijd moet zorgvuldig worden omgegaan met de privacy- en proportionaliteitsaspecten van metingen. Security-indicatoren kunnen indirect informatie bevatten over individuele medewerkers, teams of leveranciers, bijvoorbeeld wanneer scores op naam van een afdeling worden gerapporteerd of wanneer in detail wordt vastgelegd wie welke aanbeveling heeft opgevolgd. Het is daarom belangrijk om met de privacy officer en ondernemingsraad af te stemmen welke mate van detail wenselijk is, hoe gegevens worden geanonimiseerd of geaggregeerd en wie toegang heeft tot welke rapportages. Door deze waarborgen op te nemen in het verwerkingsregister, privacy by design-documentatie en interne richtlijnen voorkomt de organisatie dat security measurement wordt ervaren als controle-instrument op individuen in plaats van als middel om de algehele weerbaarheid te verbeteren. Voor organisaties die onder NIS2 vallen, kan security measurement bovendien worden gebruikt om aan te tonen dat zij voldoen aan de verplichting tot doorlopend risicomanagement en monitoring. Door metingen expliciet te koppelen aan risicoregisters, verbeterplannen en besluiten van het bestuur, ontstaat een samenhangend verhaal dat richting toezichthouders overtuigend laat zien hoe de organisatie haar zorgplichten invult. De combinatie van een helder meetraamwerk, geautomatiseerde dataverzameling en een ondersteunend script zoals security-measurement.ps1 vormt daarmee een krachtig fundament voor professionele, aantoonbare cloudgovernance.

Compliance & Frameworks

Automation

Gebruik het onderstaande PowerShell script om deze security control te monitoren en te implementeren. Het script bevat functies voor zowel monitoring (-Monitoring) als remediation (-Remediation).

PowerShell
<# ================================================================================ AZURE POWERSHELL SCRIPT - Nederlandse Baseline voor Veilige Cloud ================================================================================ .SYNOPSIS Verzamelt kernindicatoren voor security measurement in Azure governance. .DESCRIPTION Dit script leest per abonnement een beperkte set kernindicatoren uit die aansluiten bij het artikel 'Security Measurement in Azure Governance'. Het script focust op: - Microsoft Defender for Cloud Secure Score per abonnement - Aantal openstaande aanbevelingen met hoog risico (High severity) - Aantal resources dat als niet-compliant is gemarkeerd De uitvoer kan worden gebruikt in dashboards, rapportages en audits om ontwikkeling in de tijd bij te houden en verbeteracties te prioriteren. .NOTES Filename: security-measurement.ps1 Author: Nederlandse Baseline voor Veilige Cloud Version: 1.0 Related JSON: content/azure/governance/security-measurement.json #> #Requires -Version 5.1 #Requires -Modules Az.Accounts, Az.Security [CmdletBinding()] param( [Parameter()] [switch]$AsJson, [Parameter()] [string[]]$SubscriptionId ) $ErrorActionPreference = 'Stop' $PolicyName = "Azure Security Measurement - Governance Overview" function Connect-RequiredServices { if (-not (Get-AzContext)) { Connect-AzAccount -ErrorAction Stop | Out-Null } } function Get-TargetSubscriptions { param( [string[]]$SubscriptionId ) if ($SubscriptionId -and $SubscriptionId.Count -gt 0) { return Get-AzSubscription -SubscriptionId $SubscriptionId -ErrorAction Stop } return Get-AzSubscription -ErrorAction Stop } function Get-SecurityMeasurement { <# .SYNOPSIS Haalt per abonnement kernindicatoren voor security measurement op. #> param( [Microsoft.Azure.Commands.Profile.Models.Core.PSAzureSubscription[]]$Subscriptions ) $results = @() foreach ($sub in $Subscriptions) { Set-AzContext -SubscriptionId $sub.Id -ErrorAction Stop | Out-Null # Defender for Cloud Secure Score (subscription-level) $secureScore = $null try { $secureScore = Get-AzSecuritySecureScore -ErrorAction Stop | Select-Object -First 1 } catch { $secureScore = $null } $scorePercentage = $null if ($secureScore -and $secureScore.Score -ne $null -and $secureScore.MaxScore -gt 0) { $scorePercentage = [math]::Round(($secureScore.Score / $secureScore.MaxScore) * 100, 2) } # Aanbevelingen (security tasks) met hoge ernst $highSeverityRecommendations = 0 try { $tasks = Get-AzSecurityTask -ErrorAction Stop if ($tasks) { $highSeverityRecommendations = ($tasks | Where-Object { $_.Severity -eq 'High' -and $_.State -ne 'Resolved' }).Count } } catch { $highSeverityRecommendations = 0 } # Niet-compliant resources op basis van beveiligingsaanbevelingen $nonCompliantResources = 0 try { $assessments = Get-AzSecurityAssessment -ErrorAction Stop if ($assessments) { $nonCompliantResources = ($assessments | Where-Object { $_.Status.Code -ne 'Healthy' }).Count } } catch { $nonCompliantResources = 0 } $results += [PSCustomObject]@{ SubscriptionId = $sub.Id SubscriptionName = $sub.Name SecureScorePercentage = $scorePercentage HighRiskRecommendations = $highSeverityRecommendations NonCompliantAssessments = $nonCompliantResources MeasurementTimestampUtc = (Get-Date).ToUniversalTime() } } return $results } function Get-GovernanceOverview { <# .SYNOPSIS Bouwt een samenvattend governance-overzicht op basis van meetdata. #> param( [System.Collections.Generic.List[psobject]]$Measurements ) if (-not $Measurements -or $Measurements.Count -eq 0) { return [PSCustomObject]@{ PolicyName = $PolicyName SubscriptionCount = 0 AverageSecureScore = $null TotalHighRisk = 0 TotalNonCompliant = 0 Details = @() } } $subscriptionCount = $Measurements.Count $avgScore = $Measurements | Where-Object { $_.SecureScorePercentage -ne $null } | Measure-Object -Property SecureScorePercentage -Average $averageSecureScore = if ($avgScore.Average) { [math]::Round($avgScore.Average, 2) } else { $null } $totalHighRisk = ($Measurements | Measure-Object -Property HighRiskRecommendations -Sum).Sum $totalNonCompliant = ($Measurements | Measure-Object -Property NonCompliantAssessments -Sum).Sum return [PSCustomObject]@{ PolicyName = $PolicyName SubscriptionCount = $subscriptionCount AverageSecureScore = $averageSecureScore TotalHighRisk = $totalHighRisk TotalNonCompliant = $totalNonCompliant Details = $Measurements } } try { Connect-RequiredServices $subs = Get-TargetSubscriptions -SubscriptionId $SubscriptionId $measurements = Get-SecurityMeasurement -Subscriptions $subs $overview = Get-GovernanceOverview -Measurements $measurements if ($AsJson) { $overview | ConvertTo-Json -Depth 4 } else { Write-Host "" -ForegroundColor White Write-Host "========================================" -ForegroundColor Cyan Write-Host $PolicyName -ForegroundColor Cyan Write-Host "========================================" -ForegroundColor Cyan Write-Host ("Aantal abonnementen in scope : {0}" -f $overview.SubscriptionCount) -ForegroundColor White if ($overview.AverageSecureScore -ne $null) { Write-Host ("Gemiddelde Secure Score (%) : {0}" -f $overview.AverageSecureScore) -ForegroundColor White } else { Write-Host "Gemiddelde Secure Score (%) : n/b (geen data beschikbaar)" -ForegroundColor Yellow } Write-Host ("Totaal high-risk aanbevelingen : {0}" -f $overview.TotalHighRisk) -ForegroundColor (if ($overview.TotalHighRisk -gt 0) { 'Yellow' } else { 'Green' }) Write-Host ("Totaal niet-compliant assessments : {0}" -f $overview.TotalNonCompliant) -ForegroundColor (if ($overview.TotalNonCompliant -gt 0) { 'Yellow' } else { 'Green' }) } } catch { Write-Error $_ exit 1 } # ================================================================================ # Standaard Invoke-* Functions # ================================================================================ function Invoke-Measurement { <# .SYNOPSIS Voert een volledige meting uit en retourneert de governance-overzichtsdata. .DESCRIPTION Deze functie is bedoeld voor integratie met dashboards, CI/CD-pijplijnen of Azure Automation jobs. De uitvoer bevat zowel een samenvatting als details per abonnement. #> [CmdletBinding()] param( [string[]]$SubscriptionId ) Connect-RequiredServices $subs = Get-TargetSubscriptions -SubscriptionId $SubscriptionId $measurements = Get-SecurityMeasurement -Subscriptions $subs return Get-GovernanceOverview -Measurements $measurements } function Invoke-GovernanceOverview { <# .SYNOPSIS Toont een samenvattend overzicht op het scherm en geeft JSON terug. #> [CmdletBinding()] param( [string[]]$SubscriptionId ) Connect-RequiredServices $subs = Get-TargetSubscriptions -SubscriptionId $SubscriptionId $measurements = Get-SecurityMeasurement -Subscriptions $subs $overview = Get-GovernanceOverview -Measurements $measurements Write-Host "" -ForegroundColor White Write-Host "========================================" -ForegroundColor Cyan Write-Host $PolicyName -ForegroundColor Cyan Write-Host "========================================" -ForegroundColor Cyan Write-Host ("Abonnementen in scope : {0}" -f $overview.SubscriptionCount) -ForegroundColor White if ($overview.AverageSecureScore -ne $null) { Write-Host ("Gemiddelde Secure Score (%) : {0}" -f $overview.AverageSecureScore) -ForegroundColor White } else { Write-Host "Gemiddelde Secure Score (%) : n/b (geen data beschikbaar)" -ForegroundColor Yellow } Write-Host ("Totaal high-risk aanbevelingen : {0}" -f $overview.TotalHighRisk) -ForegroundColor (if ($overview.TotalHighRisk -gt 0) { 'Yellow' } else { 'Green' }) Write-Host ("Totaal niet-compliant assessments : {0}" -f $overview.TotalNonCompliant) -ForegroundColor (if ($overview.TotalNonCompliant -gt 0) { 'Yellow' } else { 'Green' }) $overview | ConvertTo-Json -Depth 4 }

Risico zonder implementatie

Risico zonder implementatie
High: Zonder gestructureerde security measurement ontbreekt inzicht in de daadwerkelijke staat van informatiebeveiliging in Azure. Bestuurders en CISO’s sturen dan op aannames en losse incidenten in plaats van op harde feiten, waardoor kritieke kwetsbaarheden te laat worden ontdekt, verbeterprogramma’s onvoldoende gericht zijn en het moeilijk is om richting auditors en toezichthouders aan te tonen dat de organisatie in control is.

Management Samenvatting

Vertaal beleidsdoelen naar concrete KPI’s en KRI’s, verzamel automatisch meetgegevens uit Azure (bijvoorbeeld Secure Score, policy-compliance en openstaande aanbevelingen), consolideer deze in centrale dashboards en gebruik het PowerShell-script security-measurement.ps1 om periodiek een compact governanceoverzicht te genereren. Koppel de uitkomsten direct aan risicomanagement, verbeterprogramma’s en formele verantwoordingsprocessen.