De referenties van een hacker controleren

Voordat een specialist één scan op uw netwerk uitvoert, wilt u weten dat de opdracht rechtmatig is en dat de uitvoerder is wie het cv belooft. Dit stuk behandelt het tweede deel. Per bewijsstuk — certificaat, badge, portfolio, referent, inschrijving en contract — staat hieronder hoe u het naslaat, zodat de keuze rust op controleerbare gegevens.

Bij Cyberlord geldt één uitgangspunt: wij testen uitsluitend op eigen of schriftelijk toevertrouwde systemen, met toestemming vooraf. Verzoeken om in te loggen op andermans profiel of om een partner ongemerkt te volgen wijzen we af; daarvoor bestaat geen rechtmatige opdracht.

Wat elk certificaatscircuit werkelijk aantoont

Een diploma toetst één vakgebied op één moment, geen prestaties. Doorloop de circuits:

OSCP vraagt binnen een examenwerkdag machines te kraken en een rapport in te leveren: praktisch handwerk plus verslaggeving, maar geen beleidskennis of advieswerk.
CISSP toetst brede leiderschapskennis, gekoppeld aan jarenlange werkervaring en een onderschrijving door een bestaand lid; vraag of die aanmelding is afgerond.
CEH toetst theorie over aanvalstechnieken, weinig handvaardigheid; wie meer wil, vraagt naar de praktijkvariant.
CREST- en GIAC-registraties meten actuele praktijk en vernieuwen periodiek; kijk naar de geldigheidsdatum, niet naar de titel.
Persoonlijke certificeringen rond ISO 27001, zoals lead auditor of lead implementer, attesteren proces- en documentatiekennis, niet de kans dat iemand een zwakke plek vindt in uw maatwerkcode.

Zo leest u een Credly-record of het verificatieportaal van een uitgever

De controleweg loopt bij elke uitgever hetzelfde:

Vraag om het registratienummer en de officiële verificatielink. Een afbeelding is de gemakkelijkst te bewerken bewijsvorm; de link leidt naar de bron.
Leg de naam op het bewijs naast de identiteit uit de kennismaking; losse initialen of een vertaalde spelling vragen om opheldering.
Bekijk de uitgiftedatum: wie jaren geleden slaagde en sindsdien geen bijscholing noemt, toont ouder bewijs dan het profiel belooft.
Zoekt u dezelfde badge bij andere houders en meldt de bron hetzelfde exemplaar bij twee personen, dan is vervalsing logisch.

Portfolio en verantwoorde openbaarmaking als proef op de som

Een cv beweert; een publicatie bewijst. Zoek naar schrijf-ups over ontdekte zwakke plekken, naar de naam van de kandidaat in openbare advisering en naar presentaties of hulpmiddelen onder diens naam. De toets is herleidbaarheid: een melding noemt getroffen versies, reproduceerbare stappen en hersteladvies, geen vage verwijzingen naar grote namen.

Twee valkuilen zijn tegenwoordig wijdverspreid. De eerste is gegenereerde tekst: elke projecttekst op dezelfde toon, zonder datum of klanttype, uitsluitend gladde schermafbeeldingen. De tweede is overname: zoek twee kenmerkende zinnen tussen aanhalingstekens; wijst de bron naar iemand anders, dan is het stuk geleend.

De referent aan de lijn: toets degene die de toetser beoordeelt

Vraag twee personen op met naam, functie en opdrachtperiode en bel ze op nummers die u zelf via het bedrijf vindt — niet op contactgegevens die de kandidaat doorgeeft. Stel één vraag: hoe is een concreet rapportonderdeel uitgewerkt en opgevolgd? Wie het rapport nooit zag, valt daar door de mand. Was de referent ooit collega binnen het bureau van de kandidaat, dan weegt dit oordeel lichter.

Inschrijving, verzekering en betalingsroute zelf nakijken

Bedrijfsgegevens zetten harde ankers neer:

KvK: vraag het inschrijfnummer, zoek het openbare register en controleer adres, datum en activiteitscode; past die bij beveiligingsdiensten, dan klopt het profiel.
Btw-nummer: verifieer naam en nummer via de Europese controledienst; een ongeldige match wijst direct af.
Verzekering: vraag naar de beroepsaansprakelijkheidsdekking; laat de bevestiging van de verzekeringsmaatschappij zelf komen, niet als chat-screenshot.
Betalingsroute: een rekening op naam van de onderneming, wettelijk geldige facturatie en termijnen bij de voortgang. Volledige vooruitbetaling in cryptovaluta zonder offerte past niet bij een controlerende partij.
Contract: raamovereenkomst, geheimhoudingsbepaling en bij persoonsgegevens een verwerkersovereenkomst. Hoe u die opdracht verder inricht, is uitgewerkt in het stappenplan rond veilig inhuren.
Voorbeeldrapport: ga na hoe diep een bevinding wordt uitgewerkt — reproduceerbare stappen, bewijsmateriaal en een prioritering die uw team direct kan oppakken.

Valse profielen en vervalste bewijsstukken vangen

Een profielfoto die onder meerdere namen opduikt in een reverse-beeldzoek hoort niet bij een echte professional.
Werkgeschiedenis met overlappingen, of functietitels bij ondernemingen die op dat moment nog niet bestonden.
Aanbevelingen die in één week tussen een vaste groep personen wisselen wijzen op onderlinge gunsten.
Bewijsafbeeldingen met vervormd logo of ruis rond de naam zijn bewerkt; vraag om de verificatielink.
Wie het resultaat als vaste zekerheid belooft, verkoopt meer dan het vak geeft; een echte tester benoemt onzekerheden zelf.

De middagcontrole: een checklist voor vandaag

Negen stappen, samen één middag werk:

Verificatielink van elk certificaat openen; status, naam en uitgiftedatum noteren. (20 min)
KvK-inschrijving opzoeken en matchen met de offerte. (15 min)
Btw-nummer verifiëren. (5 min)
Twee referenten bellen op nummers die u zelf heeft gevonden. (45 min)
Verzekeringsbevestiging bij de maatschappij nakijken. (15 min)
Het voorbeeldrapport lezen op reproduceerbaarheid en prioritering. (25 min)
Het LinkedIn-profiel naast het cv leggen: overstaps, connecties, recente activiteit. (15 min)
Twee publicaties over zwakke plekken doorlezen. (20 min)
Foto's en twee kenmerkende zinnen door een omgekeerde beeld- en tekstanalyse halen. (10 min)

Werkvoorbeeld: twee cv's op tafel

Kandidaat M levert OSCP-bewijs via de officiële bron — registratienummer en uitgiftedatum passen bij het werkverhaal — met een KvK-inschrijving die het cv onderbouwt, twee referenten die het rapport herkennen en een polisbevestiging van de verzekeraar. Elk anker hangt aan een bron die u zelf bereikt.

Kandidaat N stuurt zeven certificaatafbeeldingen zonder links, noemt "verscheidene grote financiële instellingen" zonder benoembare namen en schrijft elke projecttekst in dezelfde gladde stijl. N bewijst zijn onbetrouwbaarheid nog niet, maar elk stuk kost u meer naslagwerk dan het oplevert — precies op die weegschaal valt de beslissing.

Zo helpt Cyberlord verder

Stuurt u een cv, bewijsbadges en de opdrachtomschrijving door, dan vertellen wij binnen één werkdag wat u zelf kunt naslaan en waar een inhoudelijk gesprek nodig is. Een gerenommeerde tester doorstaat deze toets met plezier; iemand met iets te verbergen vraagt om vertrouwen op geleende reputatie.

Kan Cyberlord helpen bij het toetsen van een kandidaat? Ja, wij laten u graag zelf de verificatielinks doorlopen en wijzen op de bewijstypes die u nog mist.

Stuur ik toegangsgegevens vóórdat er een contract is? Nee, dat gebeurt pas na een ondertekende overeenkomst met afgebakende scope en een veilige overdrachtsprocedure.