Cybersecuritycompliance wordt niet alleen bereikt met beleid. Het vereist verifieerbaar bewijs, duidelijke verantwoordelijkheid en controles die deel uitmaken van het dagelijkse werk van een organisatie. Cybersecurity- en complianceprofessionals beschrijven benaderingen zoals het doorlopend verzamelen van auditrecords, het toewijzen van eigenaren aan herstel, het beperken van gegevenstoegang, het automatiseren van compliancecontroles en het testen van operationele veerkracht voordat toezichthouders of auditors om bewijs vragen.

Prioriteer verifieerbare verdediging na een datalek

Na de datalek in St. Paul stelde Edith Forestal een compliancepakket op voor gemeentelijke toezichthouders, gebaseerd op kortetermijnacties die zij in haar analyse beschreef. Het pakket documenteerde phishingbestendige multifactorauthenticatie (MFA) voor e-mail, VPN en beheerdersrollen; een minimale inventarisatie van assets en identiteiten; en segmentatie van kritieke diensten, waaronder financiën en noodoperaties.

Het bevatte ook bewijs van immutable offline back-ups en een geslaagde hersteltest voor een missiekrit systeem. Gecentraliseerde logboeken werden aangeleverd bij een security information and event management-systeem (SIEM) met detecties voor referentiediefstal en ongebruikelijk beheerdergedrag.

Forestal zei dat de aanpak zich eerst richtte op controles die zowel hoogimpactvol als verifieerbaar waren. Configuratie-baselines, testresultaten en logginguitvoer werden gepresenteerd om te voldoen aan de beoordelingseisen van de auditor.

— Edith Forestal, CISSP, CISM, CEH, oprichter en cybersecurityspecialist, Forestal Security

Verzamel reviewbewijs als onderdeel van routinematige operaties

Udaya Bhaskar Vemuri zei dat auditbewijs moet worden gecreëerd via normale beveiligingsprocessen in plaats van vlak voor een audit te worden samengesteld. Zijn aanpak omvatte het bijhouden van registraties van securityreviews, scanresultaten, hersteltickets, risicoacceptatiebeslissingen en bewijs dat issues werden gevolgd tot afsluiting.

Die registraties hielpen aantonen dat controles niet alleen gedocumenteerd waren, maar ook in de praktijk werden gebruikt. Tijdens een audit, zei Vemuri, moet de reactie eenvoudig blijven: leg de controle uit, presenteer het ondersteunende bewijs en benoem eventuele uitzonderingen of onopgeloste punten.

Zijn belangrijkste les was dat paraatheid eenvoudiger is wanneer bewijs doorlopend wordt verzameld. Als teams wachten tot een auditor specifieke registraties opvraagt, besteden zij doorgaans meer tijd aan het reconstrueren van wat er is gebeurd. Vemuri merkte op dat zijn opmerkingen zijn persoonlijke professionele standpunten vertegenwoordigen en niet die van zijn werkgever.

— Udaya Bhaskar Vemuri, senior application security analyst

Koppel controles aan machinaal gegenereerd bewijs

Ace Zhuo zei dat auditors meer gewicht toekennen aan logboeken en ander live bewijs dan aan uitgebreide beleidsdocumenten. Tijdens een IT-review van een makelaarsklant die MT5 draait op de TradingFXVPS-infrastructuur liep het team met de auditor door actueel bewijs in plaats van een gedetailleerd beleidsdocument toe te lichten.

Het bewijs omvatte immutable toegangslogboeken voor alle beheerderslogins op de tradingserver, afdwinging van MFA op elk account en van tijdstempels voorziene patchregistraties waaruit bleek dat kritieke updates binnen 72 uur waren uitgerold. Firewallregel-wijzigingshistorieën werden geëxporteerd en gekopp aan de betreffende ticketnummers.

Het team toonde ook de resultaten van de meest recente back-updrill, waaronder één herstel dat was mislukt en de stappen die waren genomen om dit te corrigeren. Zhuo zei dat die mislukking het vertrouwen van de auditor vergrootte, omdat het aantoonde dat er sprake was van betekenisvolle tests in plaats van een gesimuleerde oefening.

Zijn methode voor auditvoorbereiding was het zo vroeg mogelijk koppelen van elke controle aan machinaal gegenereerd bewijs. Hij beval ook aan om een controle als gefaald te beschouwen als het bewijs niet binnen vijf minuten kon worden opgevraagd wanneer een auditor erom vroeg.

— Ace Zhuo, CEO; sales en marketing, technologie- en finance-expert, TradingFXVPS

Wijs eigenaren en deadlines toe aan herstel

Bij de voorbereiding op een SOC 2 Type II-audit leidde Ankit Sarawagi een inspanning om een achterstallige lijst met risicobevindingen om te zetten in een auditeerbaar herstelprogramma. Elke bevinding kreeg een benoemde eigenaar en een deadline. Dringende kwesties, waaronder permissies en encryptie, kregen prioriteit, terwijl minder urgente fixes werden ingepland in maandelijkse sprints.

Het proces stelde de organisatie in staat aan auditors te tonen wie actie had ondernomen, wat er was gewijzigd en wat de status van elke bevinding was. Het verminderde ook last-minute voorbereiding en stelde het team in staat consistente voortgang te tonen tijdens de audit.

— Ankit Sarawagi, curator, CFO Matrix

Traceer hoe AI-tools informatie benaderen en gebruiken

Shubham Paikrao zei dat een van zijn belangrijkste compliancelessen voortkwam uit het beoordelen of een AI-assistent die werd gebruikt om tickets te sorteren de compliance kon beïnvloeden door op onverwachte manieren toegang te krijgen tot gereguleerde data. Bestaande documentatie was geschreven rond mensen die beslissingen nemen, niet rond een model dat informatie beoordeelt en op de achtergrond acties suggereert.

In plaats van de tool als een gewone applicatie te behandelen en standaardbewijs te verzamelen dat deze veilig, beoordeelde het team deze als een nieuwe leverancier met een eigen risicoprofiel, vergelijkbaar met een application programming interface (API) van derden die klantdata ophaalt.

Paikrao bekeek logboeken die precies lieten zien welke informatie de tool opnam, waartoe deze toegang had maar niet op handelde, en hoe die activiteiten zich verhielden tot het dataclassificatiebeleid van de organisatie. Hij maakte ook een kort dataflowdiagram voor de auditor. Praktijken voor datatheretraining met betrekking tot informatie die naar het model werd verzonden, werden gemarkeerd, en het team bracht concernpunten naar voren met verwijzing naar de contractvoorwaarden.

De resulterende vraag voor organisaties die AI gebruiken, zei Paikrao, is niet alleen of hun controles werken. Zij moeten ook kunnen aantonen wat hun AI-tools met de data hebben gedaan die zij hebben geraakt, en hun eigen AI-operaties begrijpen. Auditors verwachten niet per se perfecte antwoorden, zei hij, maar zij verwachten wel dat organisaties hun zichtbaarheid in controles en tools die in dagelijkse operaties worden gebruikt, begrijpen.

— Shubham Paikrao, information security analyst

Gebruik smalle datagrenzen voor SOC 2

In 2025 streefde het team van Evgeny Leonov naar SOC 2-certificering voor een neobankapplicatie voor de Amerikaanse markt. De organisatie behandelde de review als een architectuurvraagstuk en eiste dat elke controle bewijs naliet dat een auditor kon volgen van de eis tot het draaiende systeem.

De backend werd opgesplitst in microservices met aparte databases en smalle datascopes. Het supportteam kon geen financiële informatie inzien, terwijl de transactieservice betalingsgegevens ontving zonder de volledige persoonlijke context van de gebruiker. Het bedrijf bewaarde geen paspoortafbeeldingen of andere identiteitsgegevens op eigen servers; die informatie werd rechtstreeks doorgestuurd naar de KYC-provider en de bank.

Ontwikkelaars moesten hun identiteit verifiëren en servicetoegang aanvragen bij DevOps. Productietoegang bleef bij DevOps en teamleiders. Cloud SQL-back-ups en replicatie ondersteunden herstel.

Het bedrijf verminderde ook deveelheid custom infrastructuur binnen de auditgrens. Bond verzorgde bankfuncties, Persona en Sardine verzorgden identiteits- en fraudecontroles, en Auth0 verzorgde authenticatie. Elke provider had een gedefinieerde verantwoordelijkheid, wat het aantonen van eigenaarschap vergemakkelijkte.

Voor cloudconfiguratie gebruikte het team Terraform en Terragrunt. Leonov zei dat een gereviewde, geversioneerde wijzigingshistorie sterker bewijs oplevert dan een handmatig geconfigureerde omgeving. Gecertificeerde managed services kunnen ook de voorbereidingstijd voor SOC 2-, HIPAA- en GDPR-reviews verkorten wanneer hun controlegegevens aansluiten bij de systeemeisen.

Het team behaalde de SOC 2-certificering, hoewel de bank nog een eigen certificering, controlset en verantwoordelijkheid moest afronden. Leonov vat de aanpak samen als het versioneren van infrastructuur, het minimaliseren van datavaardij, het definiëren van toegangseigenaren en het expliciet houden van het compliancescope van elke leverancier.

— Evgeny Leonov, chief technology officer, Ronas IT | Software Development Company

Automatiseer doorlopende compliancerecords

Mark Sternig zei dat compliance op elke gewone dag aantoonbaar moet zijn in plaats van te worden samengesteld in de week voorafgaand aan een review. Zijn leidende principe is dat intern werk moet weerspiegelen wat een externe reviewer zou onderzoeken. In dat model wordt het aantonen van compliance een rondleiding door een bestaand systeem in plaats van een poging een verhaal te construeren.

De controles moeten zichzelf documenteren. In plaats van te vertrouwen op medewerkers die screenshots maken vóór een review, moeten systemen doorlopend rapporteren en tijdstempels leveren, zodat configuratiedrift wordt opgemerkt op het moment dat deze optreedt in plaats van vlak voordat een auditor ernaar zoekt.

Sternig zei dat zijn organisatie eerder meerdere dagen nodig had om logboeken uit verschillende systemen te verzamelen, incidenten te reconstrueren en schriftelijke verslagen op te stellen. Na toepassing van AI op dat proces werd werk dat dagen duurde teruggebracht tot ongeveer 30 minuten, met consistente en gedocumenteerde resultaten.

Hij zei dat het doel niet was om menselijk oordeel te verwijderen, maar om bewijsverzameling en monitoring te automatiseren terwijl mensen de beslissingen nemen. Reviewers kunnen zichtbaar, herhaalbaar bewijs gemakkelijker verifiëren dan een eenmalige toelichting.

— Mark Sternig, chief technology officer, Focus

Dwing e-mailauthenticatie in realtime af

Al Iverson zei dat organisaties die e-mailsecuritycompliance aantonen moeten laten zien dat authenticatiebeleid in realtime wordt afgedwongen in plaats van alleen te vertrouwen op statische DNS-records. Aantonen dat geautoriseerde afzender is geregistreerd en dat ongeautoriseerde berichten actief worden geblokkeerd onder afgedwongen DMARC-beleid levert direct bewijs dat de controle werkt.

E-mailimitatie en domeinspoofing zijn belangrijke auditcontrolepunten in gereguleerde sectoren zoals financiële dienstverlening en zorg. Toezichthouders willen verifiëren dat bescherming alle bedrijfsdomeinen en e-maildiensten van derden dekt.

Bij Valimail automatiseert het bedrijf, zei Iverson, het beheer van gehoste DMARC, SPF en DKIM. Het doel is continue domeinbescherming en zichtbaarheid in geautoriseerde mailstromen te bieden zonder dat teams handmatige audits hoeven uit te voeren.

— Al Iverson, industry research and community engagement lead, ValiMail

Toon operationele zekerheid tijdens een onderzoek

Yousuf Rizvi zei dat zijn bedrijf fintech- en cryptobedrijven adviseert over financiële controles en regulatorische paraatheid. In één voorbeeld bereidde het bedrijf een klant voor op een onderzoek door een staatsmoney transmitter-toezichthouder, waarin vragen over cybersecurity en informatiebeveiliging even gedetailleerd waren als die over de balans.

De klant had al een informatiebeveiligingsbeleid, een toegangscontrolebeleid en een incidentresponsplan. Wat ontbrak was bewijs dat dat beleid ook werkte. Het team bouwde daarom een bewijsspoor voordat de onderzoeker erom vroeg.

Elk beleid was gekoppeld aan een controle-eigenaar, een testschema en een registratie waaruit bleek dat de controle had gedraaid. Toegangsreviews documenteerden wie welke toegang had gereviewd en wanneer. MFA werd ondersteund door configuratiescreenshots die afdwinging aantoonden in plaats van een verklaring dat MFA bestond. Het incidentresponsplan was gekoppeld aan een tabletop-oefening en een evaluatie van een echte kleine gebeurtenis.

Toen de onderzoeker arriveerde, presenteerde het bedrijf een bewijspakket georganiseerd per controle en legde uit hoe elke controle was getest. Vragen die een onderzoek weken kunnen verlengen, werden in de eerste sessie beantwoord omdat het bewijs al was samengesteld.

Rizvi zei dat toezichthouders willen weten of een controle werkte, wie er eigenaar van is en hoe de organisatie zou merken dat deze faalde. Die vragen met documenten beantwoorden in plaats van met toelichtingen maakt van een onderzoek een review in plaats van een investigatie.

— Yousuf Rizvi, CPA, principal, Ridgeway Financial Services

Test websiteconsent vóór een inspectie

Taha Farhane, die eerder werkte als lead auditor op het gebied van technologie, processen en dataprivacy, zei dat organisaties die reviews gemakkelijk doorstaan bewijs presenteren in plaats van beleid. Beleid kan stellen dat toestemming wordt verkregen, maar bewijs moet laten zien wat eenifieke bezoeker zag, welke keuze de bezoeker maakte en welke tags daarna afvuurden.

Farhane zei dat audits korter waren wanneer teams die registraties konden overleggen voor een steekproef die door de auditor was gekozen. Reviews duurden vaak langer en leidden tot bevindingen wanneer bedrijven alleen een beleid-PDF en een screenshot van een consentbanner overlegden.

Bij de ontwikkeling van consentsoftware voor bedrijven in de Golfregio die onder de Saoedische dataprolectiewet vallen, begon Farhane live websites van buitenaf te testen, zoals een toezichthouder zou doen. Het proces hield in dat een homepage werd geladen in een schone browser en werd gecontroleerd wat er afvuurde voordat een bezoeker ergens op klikte.

De test werd uitgevoerd op 1.556 Saoedische webshops. Volgens Farhane draaide 60% trackers zonder enige consentbanner te tonen, terwijl 68% tracking laadde voordat bezoekers een keuze maakten. Hij zei dat de test 30 seconden duurde en beval organisaties aan hun eigen websites te testen, consentrecords te bewaren en die records te gebruiken om een audit op steekproeven te ondersteunen in plaats van discussie.

— Taha FARHANE, CEO, Arqam360

Lever ruwe repositoriescanresultaten aan

Timur Rakhmatullin beschreef een interne securityaudit bij Softline, dat een GCP-dataplatform beheert verspreid over meer dan 1.500 klantaccounts. De auditor vroeg om bewijs dat elke repository over passende software bills of materials (SBOM's) beschikte, geen bekende CVE's in dependencies had en schone licentieketens kende. De review omvatte meer dan 30 repositories.

Rakhmatullin had een open-source npm-tool gebouwd genaamd ai-project-audit om te scannen op licentiecompliancekwesties, beveiligingskwetsbaarheden en SBOM-volledigheid. Hij draaide de tool 's nachts tegen alle repositories en had de volgende ochtend gestructureerde rapporten. De rapporten bevatten tijdstempels, dependencybomen en kwetsbaarheids-ID's.

Hij zei dat auditors ruwe logboeken moeten ontvangen in plaats van een samenvatting waarin staat dat alles bevredigend was. Het aan de auditor overgelegde pakket omvatte CVE-identificatoren met data, dependencyversies, ruwe JSON-scanresultaten, een gegenereerde SBOM en een lijst met gemarkeerde issues per repository. Enkele verouderde transitieve dependencies werden geïdentificeerd en vóór de audit gefixt.

De voorbereidingsperiode daalde van ongeveer twee weken naar drie dagen. Het grootste deel van de resterende tijd ging op aan het fixen van gemarkeerde items in plaats van het vinden ervan.

— Timur Rakhmatullin, senior software engineer, Softline Solutions

Gebruik tabletop-oefeningen om veerkracht te tonen

één compliance review werd incidentresponsparaatheid gedemonstreerd via het bewijs dat voortkwam uit een tabletop-oefening in plaats van via een gepolijste presentatie. Het pakket omvatte het scenario, deelnemersrollen, het besluitenlogboek, communicatieconcepten, geleerde lessen en vervolgtickets.

Sherif Koussa benadrukte de wijzigingen die na de oefening werden doorgevoerd, waaronder duidelijkere escalatiedrempels en verbeterde verzameling van applicatielogboeken. Auditors komen vaak plannen tegen die goed lezen maar nooit zijn getest onder onzekerheid. Een voltooide oefening liet zien of technische, juridische en engineeringteams gecoördineerde beslissingen konden nemen met onvolledige informatie.

De oefening toonde ook continue verbetering, wat volgens Koussa betekenisvoller kan zijn dan een claim van perfectie. Effectief auditbewijs maakt veerkracht zichtbaar via herhaalbaar gedrag, gedocumenteerd leren en meetbare operationele veranderingen.

— Sherif Koussa, CEO, Software Secured

Ontwerp bescherming vóór implementatie

Oscar Moncada zei dat zijn bedrijf compliance ontwikkelde voordat het code schreef voor zijn cloud cost and security-platform. Omdat het bedrijf verwachtte SOC 2 na te streven, paste het vanaf het begin securitypraktijken toe. Toen de audit begon, documenteerde de organisatie controles die al in de infrastructuur waren ingebouwd in plaats van ze achteraf toe te voegen.

Het bedrijf bereidde ook beveiligingsbeleid ruim vóór de audit voor, waardoor een haastige productie van documentatie werd voorkomen. Voor organisaties met bestaande producten adviseerde Moncada om securitypraktijken toe te passen op elke nieuwe functie en elk infrastructuurcomponent in plaats van alles tegelijk te willen veranderen. Hij adviseerde ook een tool te gebruiken die voortdurend onbekende security- en compliancegaps in cloudomgevingen identificeert.

Voor de klanten van Stratus10 is het moeilijkste deel van SOC 2 vaak het herstellen van gaps in bestaande AWS-infrastructuur. Voorbeelden zijn breed toegekende IAM-rollen die nooit zijn herzien, logging die niet gecentraliseerd was en inconsistente encryptie tussen diensten. Die gaps vroeg identificeren kan weken van herstel midden in een audit voorkomen.

— Oscar Moncada, medeoprichter en CEO, Stratus10

Koppel eisen aan reguliere reviews

Tijdens zijn FCA-registratieproces leerde Michael Foote dat documentatie centraal staat bij het aantonen van compliance. Toezichthouders wilden bewijs van hoe klantdata werd beschermd in plaats van beloften over toekomstige praktijken.

Zijn organisatie bouwde een compliancebibliotheek die elke securitycontrole koppelde aan de specifieke regelgevingseis waaraan deze voldeed. Het bedrijf voerde ook driemaandelijkse interne audits uit en registreerde securityincident, inclusief kleine gebeurtenissen.

Toen een auditor de systemen reviewde, kon het bedrijf een staat van continue verbetering tonen in plaats van op het laatste moment compliance te moeten aantonen. Foote zei dat de aanpak voorbereidingswerk verminderde en de focus van de organisatie op dataprotectie aantoonde tijdens het beheren van het geld van klanten.

— Michael Foote, oprichter, Quotegoat

Behandel cybersecurity als dagelijkse operaties

Dean Rotchin zei dat BLACKJET zijn cybersecurityframework bouwde rond de Part 135-certificeringsaudits en databeveiliging op dezelfde systematische manier behandelde als vliegtuigonderhoud. Naar zijn ervaring hechtten toezichthouders meer waarde aan herhaalbare processen dan aan specifieke technologie.

Het bedrijf documenteerde toegangscontroles, incidentresponsprocedures en beoordelingen van derden-leveranciers. Tijdens de meest recente audit toonde het auditors de versleutelde boekingssystemen en legde uit hoe klantbetalingsgegevens werden gescheiden van vluchtoperatiegegevens.

Rotchin zei dat cybersecurity moet worden gepresenteerd als een operationele discipline die verankerd is in dagelijkse workflows in plaats van als een puur IT-verantwoordelijkheid. Het bedrijf houdt gedetailleerde logboeken bij en voert driemaandelijkse interne audits uit. Hij benadrukte ook het opbouwen van documentatie naast systemen en het trainen van elk teamlid, aangezien elke werknemer een bron van kwetsbaarheid kan worden.

— Dean Rotchin, CEO bij BLACKJET, BlackJet

Leg verdedigbare bescherming vroeg vast

Roman Vasilenko zei dat het exploiteren van een fintechplatform in de crypto-educatiesector het bedrijf dwong om vanaf het begin met beveiliging om te gaan, omdat gebruikersvertrouwen belangrijk was en de sector onder toezicht stond.

Zijn aanpak benadrukte concreet bewijs. Het bedrijf hield gedetailleerde registraties bij van dataverwerkingspraktijken, encryptieprotocollen, toegangscontroles en incidentresponsprocedures. Het streefde ook naar SOC 2-compliance voordat dit verplicht was voor het bedrijf, waarbij de audit werd gebruikt om praktijken te formaliseren en gaps te identificeren.

Compliance was verankerd in het ontwikkelproces via reguliere securityreviews, dependency-updates en medewerkerstraining. Toen auditors vroegen hoe het bedrijf actueel bleef, kon het een doorlopend proces tonen in plaats van een eenmalige beoordeling.

Vasilenko zei ook dat het bedrijf transparant was over situaties waarin het snelheid verkoos boven theoretische perfectie, en legde uit waarom die afwegingen zinvol waren voor een bootstrapped startup. Hij beschreef compliance niet als het behalen van een audit, maar als het bouwen van systemen die de organisatie openlijk zou kunnen verdedigen.

— Roman Vasilenko, manager display advertising, Vasilenko AdOps

Veranker beleid in infrastructuurcode

Sudhanshu Dubey zei dat organisaties hun regulatorische paraatheid kunnen verbeteren door over te stappen van reactieve voorbereiding naar een continue, geautomatiseerde compliance-as-code-architectuur. In zijn werk met complexe financiële platforms werd handmatige verzameling van logboeken en screenshots vervangen door compliancebeleid dat direct in infrastructure-as-code-sjablonen was geïntegreerd.

Met het NIST Cybersecurity Framework (NIST CSF) en SOC 2 als blauwdrukken vertrouwde het team niet langer op handmatige controles wanneer auditors verificatie van identiteits- en toegangsbeheer of encryptiebeleid vroegen. In plaats daarvan toonde het de geversioneerde repositoryhistorie en geautomatiseerde beleidshandhavingsengines die niet-conforme resourceprovisioning in realtime blokkeerden.

Een live telemetrydashboard leverde bewijs van de status van de omgeving buiten de beoordelingsdatum. Dubey zei dat het behandelen van compliance als een eenmalige documentatieoefening organisaties blootstelt aan configuratiedrift tussen auditcycli. Het verankeren van regels in softwareleveringspijplijnen maakt de securitypostuur verifieerbaar en in staat sommige problemen automatisch te corrigeren.

— Sudhanshu Dubey, delivery manager en enterprise solutions architect, Errna

Bouw vertrouwen via personeelsparaatheid en transparantie

Corina Tham zei dat zij, toen zij werkte met een potentiële auditfirma voor de security- en compliancereview van CheapForexVPS door een betalingspartner, eerst uitlegde hoe klantdata door het bedrijf stroomde en wie er toegang toe had. Ze legde ook het potentiële commerciële verlies uit als die data zou worden gelekt. Dit gaf de controles die in het auditrapport werden beschreven een duidelijke operationele ratio.

Tham bereidde ook frontlinemedewerkers en supportmedewerkers voor. Auditors kunnen werknemers die rond de klok tickets afhandelen testen om te bepalen of zij weten hoe zij een verdachte login-aanvraag moeten afhandelen. Een zelfverzekerd en consistent antwoord van een junior medewerker kan sterker bewijs leveren van de securitycultuur van de organisatie dan uitgebreide beleids- en proceduredocumenten.

Waar controles gaps hadden, documenteerde Tham het vereiste herstel, identificeerde zij wie het zou afronden en stelde een deadline. Zij bevestigde ook dat finance een budget had goedgekeurd voor het nodige werk.

Haar doel was om compliance een transparante relatie met het bedrijf te laten zijn in plaats van een te behalen test. Zij zei dat deze aanpak het proces rustiger, sneller en collaboratiever maakte.

— Corina Tham, sales, marketing en business development director, CheapForexVPS

Het bronartikel is beschikbaar via BlockTelegraph.