Bijgewerkt voor 2026
Beveiligingsbeoordelingen vertragen enterprise-verkoop
Enterprise-deals volgen een duidelijk patroon. Een aanbieder met sterke functies verliest maanden — of de hele deal — aan een beveiligingsbeoordeling van de leverancier. Het proces bestaat om goede redenen. Enterprise-teams zijn aansprakelijk voor elke tool die hun gegevens aanraakt. Gereguleerde sectoren hebben strenge regels voor leveranciers.
Zorginstellingen moeten bijhouden hoe leveranciers met PHI omgaan. Financiële bedrijven moeten toezichthouders waarborgen kunnen aantonen. Juridische teams moeten klantdossiers beschermen. De beoordeling is terecht. Maar voor aanbieders zonder zero-knowledge-architectuur wordt het een lange poort die zelden snel opengaat.
Vragen die deals blokkeren of versnellen
Beveiligingsvragenlijsten van enterprise-klanten omvatten 100 tot ruim 200 vragen. Voor elke bekwame leverancier bestaan er voor de meeste goede antwoorden. Patchplannen, personeelstrainingen, incidentrespons — daarvoor is alleen goede documentatie nodig.
Een kleine groep vragen zorgt voor echte wrijving bij cloudleveranciers zonder zero-knowledge-ontwerp. Dit zijn de vragen die deals beslissen.
"Kan uw personeel klantgegevens inzien?"
Voor leveranciers met versleuteling aan de serverzijde: in sommige gevallen ja. Supportmedewerkers kunnen gegevens bekijken om problemen op te lossen. Gerechtelijke bevelen kunnen de uitlevering van gegevens afdwingen. Dat antwoord leidt tot meer onderzoek. Vaak is een beoordeling door het risicoteam nodig.
Voor zero-knowledge-leveranciers: nee. Medewerkers kunnen in geen enkel geval gegevens in leesbare tekst lezen. Door het ontwerp is ontsleutelen zonder de sleutel van de klant onmogelijk. Dat antwoord sluit de vraag af. Het brengt de beoordeling vooruit.
"Wat komt bloot te liggen bij een volledige inbraak?"
Voor aanbieders met serverzijdige sleutels: versleutelde gegevens, mogelijk samen met sleutelmateriaal. Beoordelaars stellen vervolgvragen. Het antwoord is niet eenduidig.
Voor zero-knowledge-aanbieders: AES-256-GCM-ciphertext, geen sleutels. Een volledige inbraak op de server legt niets bruikbaars bloot.
"Kunt u op een dagvaarding gegevens in leesbare tekst uitleveren?"
Voor leveranciers met serverzijdige sleutels: ja, op grond van een rechtsgang. Dat is een directe zorg voor bedrijven met gevoelige gegevens.
Voor zero-knowledge-leveranciers: wij kunnen alleen ciphertext leveren. Wij hebben de sleutels niet. Geen enkel gerechtelijk bevel kan ons dwingen uit te leveren wat wij niet hebben.
Zie de documenten over juridische conformiteit en de beveiligingspagina voor alle details.
Het detail van de Argon2id-parameters
Beoordelingen in gereguleerde sectoren vragen om exacte cryptografische parameters. De methode voor sleutelafleiding, het aantal iteraties en de geheugenkosten zijn veelgestelde vragen bij deals in de zorg, de financiële sector en de overheid. Elk ontbrekend detail vertraagt het proces.
Argon2id met 64 MB geheugen en 3 iteraties, in lijn met de Password Storage Cheat Sheet van OWASP voor toepassingen met hoge beveiliging. Specifieke antwoorden brengen beoordelingen vooruit. Vage antwoorden — "wij gebruiken standaardversleuteling" — leiden tot verzoeken om aanvullende documenten en vertragen de deal.
ISO 27001 en de versnelling door certificering
Conformiteit met ISO 27001 pakt een andere soort wrijving in beoordelingen aan. De ruim 100 maatregelen in bijlage A van ISO 27001:2022 dekken de vragen op organisatieniveau in de meeste leveranciersbeoordelingen. Toegangsbeheer, sleutelbeheer, fysieke beveiliging, incidentafhandeling.
Bedrijven die ISO 27001 eisen, hoeven afzonderlijke maatregelen niet te testen. Het certificaat is het bewijs. Het toont aan dat de maatregelen bestaan en door een derde partij zijn geauditeerd. In enterprise-inkoop maakt dat van een beoordeling van zes maanden een controle van drie tot zes weken.
Zero-knowledge-ontwerp plus ISO 27001-conformiteit is een sterk inkoopargument. De moeilijkste beveiligingsvragen krijgen heldere antwoorden. De organisatorische maatregelen staan op papier. Bij deals voor privacytools in gereguleerde markten leidt dit paar tot snellere goedkeuring. Aanbieders die in elke beoordeling hun betoog van de grond af moeten opbouwen, wachten langer en verliezen vaker deals.
De inkoopafweging
Voor enterprise-kopers is de leveranciersbeoordeling geen bureaucratie. Het is echt risicobeheer.
De vragen richten zich op aanbieders wier beveiligingshouding de koper aan juridische risico's blootstelt.
Voor leveranciers in gereguleerde markten is de beoordeling tegelijk een kostenpost en een kwaliteitssignaal.
Leveranciers die de moeilijkste vragen helder beantwoorden, hebben minder lange verkooptrajecten.
Wie moeite heeft met sleutelbeheer, krijgt te maken met langere beoordelingen en meer verloren deals.
Het beveiligingsvoordeel van zero-knowledge-ontwerp is meetbaar.
De vragen die aanbieders met serverzijdige sleutels uitfilteren, zijn dezelfde vragen die zero-knowledge-leveranciers bij de eerste indiening helder beantwoorden.
Dat is geen marketingbewering. Het is een reëel, meetbaar inkoopresultaat met een papieren spoor.
Meer informatie vindt u in de FAQ-hub, en ontdek hoe de-identificatie van entiteiten van begin tot eind werkt.
Wanneer deze aanpak grenzen kent
Zero-knowledge-architectuur verkort werkelijk het moeilijkste deel van een beveiligingsbeoordeling, maar ze beantwoordt niet de hele vragenlijst — en haar als volledig antwoord presenteren werkt averechts.
Ze beantwoordt de vragen over versleuteling en gegevenstoegang, niet de hele vragenlijst. Een beoordeling van meer dan 100 vragen omvat ook toegangsbeheer, de veilige ontwikkelcyclus, bedrijfscontinuïteit, governance van subverwerkers, beveiligingstraining van medewerkers en incidentrespons. Zero-knowledge-ontwerp beantwoordt de vragen over wie klantgegevens kan lezen ondubbelzinnig, maar een beoordelaar heeft voor de rest nog steeds bevredigende antwoorden nodig. De architectuur haalt de deal-blokkers weg; ze ontslaat u niet van de operationele volwassenheid die de rest van het formulier meet.
Een helder antwoord in de vragenlijst is niet hetzelfde als geauditeerd bewijs. Inkoopteams willen steeds vaker bewijs van een derde partij — een SOC 2-rapport, een ISO 27001-certificaat, een samenvatting van een penetratietest — en niet alleen een zelfverklaring vol vertrouwen. Zero-knowledge claimen in een vragenlijst versnelt het gesprek; onafhankelijke verificatie leveren is wat het afsluit voor risicomijdende enterprise-klanten. Leveranciers die op het architectuurverhaal leunen zonder het auditspoor, lopen toch vast in de fase van de beveiligingsbeoordeling.
Snellere beoordelingen hangen ervan af dat de koper begrijpt wat hij leest. De versnelling is echt wanneer een technisch onderlegde beoordelaar herkent waarom ontwerpen met sleutels op de server hun eigen criteria niet halen. Een minder ervaren koper kan elke zin "wij versleutelen uw gegevens" van een leverancier als gelijkwaardig behandelen en het architectuurverschil niet meewegen. Het voordeel is het grootst bij volwassen beveiligingsteams en het kleinst waar de vragenlijst een afvinkoefening is — het effect op het verkooptraject verschilt dus per koper, niet alleen per ontwerp.