Bring Your Own Device (BOYD), het zakelijk werken op privé-devices zoals smartphones, komt sinds het massale thuiswerken steeds vaker voor. Vaak vergeten ondernemers echter dat BYOD juridische consequenties kan hebben. Zeker voor MKB-bedrijven gaat BYOD gepaard met uitdagingen.

In tegenstelling tot grote ondernemingen zijn veel mkb-ondernemers aarzelend bij het verstrekken van een mobiele telefoon van de zaak. Het zorgt immers voor extra kosten, het toestel kan kwijtraken of beschadigen, privégebruik is nauwelijks uit te sluiten én meestal beschikt de werknemer al over een eigen device.

Zolang medewerkers vooral op kantoor werken is het verstrekken van een mobieltje van de zaak vaak niet nodig. Nu thuis- en hybridewerken vaker voorkomen is het onvermijdelijk dat werknemers privé-devices ‘voor de zaak’ inzetten.

Daarnaast hebben potentiële medewerkers in een krappe arbeidsmarkt ruimte om wensen te formuleren. Zo werken veel werknemers graag op de privé-devices waar ze aan gewend zijn voor toegang tot bedrijfstoepassingen en -informatie. Jongeren die op de arbeidsmarkt komen maken minder verschil tussen zakelijk- en privégebruik van device(s), terwijl hun (aanstaande) leidinggevenden dit onderscheid vaak nog wel maken.

Juridische consequenties van Bring Your Own Device

Voor werkgevers ontstaan er nieuwe zorgen bij BYOD. En juridische problemen. Zeker bij het MKB, dat vaak niet over eigen juristen beschikt. Wie is verantwoordelijk (en dus aansprakelijk) bij hacks, virussen en andere problemen? Mag de werkgever het ICT-beleid onverkort handhaven op privéapparaten? Hoe staat het met de privacy van de medewerkers, ontstaan er problemen met de handhaving van AVG-regelgeving?

BYOD lastig te verenigen met AVG

Laten we met dat laatstgenoemde aspect beginnen. De AVG, Algemene Verordening Gegevensbescherming, is de Nederlandstalige benaming van een Europese wet die ervoor zorgt dat recht op privacy gehandhaafd wordt. Dat wil voor telefonie zeggen dat zowel het 06-nummer van de werknemer, als de gegevens van diens toestel niet zomaar openbaar gemaakt mogen worden. En dat is ook wat de Nederlandse wet voor BYOD voorschrijft.

Werknemers hebben recht op privacy op de werkplek

Medewerkers moeten daar hun uitdrukkelijke toestemming voor geven. Dat geldt ook voor hun persoonlijke data op de mobiele toestellen. Het is eigenlijk een verdere invulling van wat we al veel langer kennen als het briefgeheim. Samengevat: BYOD en gegevensbescherming werken eigenlijk maar in één richting en die is in het voordeel van je werknemers.

Naast zorgen om de privacy van de werknemers, speelt bij AVG natuurlijk de bescherming van klantdata. Het voorkomen van datalekken bij de inzet van Bring Your Own Devices is niet eenvoudig te realiseren.

De medewerker zal ermee akkoord moeten gaan dat specifieke software op zijn toestel wordt geplaatst, namelijk MDM (mobile device management) software die onder andere de zakelijke gegevens van de privé-data scheidt op het toestel.

Bring Your Own Device en software licenties

Niet alleen de privacyregelgeving kan roet in het eten gooien. De Nederlandse rechtspraak heeft eerder al aangegeven dat een werkgever aansprakelijk kan zijn voor de door de werknemer geïnstalleerde illegale software, zelfs wanneer het gaat om privé-apparatuur. BYOD betekent weliswaar niet ‘Bring Your Own Software’, maar de toetsing en naleving is lastig te organiseren op een privé-toestel.

Werknemers hebben recht op privacy op de werkplek, ook bij het gebruik van eigen apparatuur. Pas bij een redelijk vermoeden van wangedrag mag de werkgever gaan observeren of registreren wat werknemers met die devices doen. Dit moet dan ook nog eens vooraf in een duidelijk ICT-reglement zijn vastgelegd. Dit is lastig te verenigen met het vaak vertrouwelijke karakter van zakelijke documenten en de steeds strikter wordende privacyregelgeving. Zowel technische maatregelen als goede afspraken zijn nodig om BYOD juridisch in te richten.

Vijf overwegingen bij het toestaan van BYOD:

• Als medewerkers hun eigen toestellen ook zakelijk (moeten) gebruiken dan moet de werkgever een BYOD-overeenkomst opstellen. Hierin staan de rechten en plichten van zowel werkgever als werknemer vermeld.
• Leg in de overeenkomst officieel vast dat een medewerker zijn toestel (ook) zakelijk gebruikt. En daarvoor de noodzakelijke apps installeert. Volgens de Nederlandse wet voor BOYD, is de werknemer hier niet toe verplicht.
• Het installeren van Mobile Device Management is bijna onontkoombaar, om privé en zakelijke gegevens te scheiden. Maak dit meteen duidelijk als BYOD ter sprake komt. Of als iemand zonder overeenkomst zakelijk (b)lijkt te werken op een privé-toestel.
• Als er bij BYOD-problemen met het toestel zijn is het niet altijd duidelijk of de oplossing hiervoor bij de werkgever of de eigenaar, de werknemer dus, ligt. Denk hierbij bijvoorbeeld aan reparaties. Maak hier afspraken over.
• Leg ook vast dat de eigenaar van het toestel (de werknemer) alle noodzakelijke systeem- en software-updates doorvoert.
• Wees je ervan bewust dat het opleggen van een toesteltype of OS niet eenvoudig is. Kan de interne ICT-afdeling een veelvoud aan devices van verschillende fabrikanten aan?

Wel of geen BYOD?

Bring Your Own Device is in het mkb een relatief nieuw fenomeen. Het sluit niet altijd aan bij de wettelijke regels voor werknemers. En ook niet bij de wetgeving op het gebied van datalekken. Om hierin meer zekerheid en duidelijkheid te introduceren, is het zeer verstandig eigen beleid te formuleren. Bepaald kan worden wat voor soort apparaten mogen worden gebruikt en waarvoor. Ook kan de werkgever eisen aan de beveiliging stellen.

Verdergaande maatregelen, zoals het mogen meekijken of zelfs wissen van data op de privéapparaten, zijn moeilijker in te richten, aangezien die raken aan de privacy van de werknemer. En die weegt zwaar. Het gebruik van mobile device management (MDM) kan een oplossing zijn om BYOD te laten slagen zonder al te grote uitdagingen.

Circulaire IT wordt voor IT-partners in snel tempo belangrijk. Klanten vragen immers steeds vaker om duurzame IT-oplossingen. Verschillende grote fabrikanten belonen resellers die circulaire IT-oplosingen aanbieden inmiddels binnen hun partnerprogramma’s.

Circulaire IT lijkt moeilijk te realiseren. De CO2 voetafdruk van IT is aanzienlijk. Op basis van de huidige groeivoorspellingen is de IT-sector verantwoordelijk voor 6 tot 14% van de mondiale emissies in 2040. Dit blijkt uit cijfers van ING.

In de publieke opinie wordt vooral het gebruik van IT, bijvoorbeeld in datacenters, (ten onrechte) als belastend voor het milieu gezien. In de praktijk is de dagelijkse inzet van hardware echter het minst belastend. Zo vindt bijna 80 procent van de broeikasgasemissies van een nieuwe notebook plaats in de productiefase. Daar komt dan nog de winning van de grondstoffen voor de fabricage en het transport van de hardware naar de eindgebruiker bij.

Circulaire IT versnellen met langere gebruiksduur

Als de IT-sector wil verduurzamen, zouden aanbieders zich daarom in eerste instantie moeten afvragen of nieuwe apparatuur echt nodig is. Mobiele telefoons worden nu in veel gevallen eens per twee jaar (‘einde abonnement’) vervangen door een nieuw type. Pc’s zijn doorgaans na een jaar of drie aan vervanging toe. Door de gebruiksduur van een pc te verlengen neemt de totale milieubelasting af.

De gedachte erachter is niet nieuw. Al voor de eeuwwisseling waren sommige resellers en een organisatie als ICT Milieu (zie kader) bezig met het inzamelen, opnieuw inzetten en refurbishen van IT-apparatuur. De afgelopen tijd omarmden echter ook grote fabrikanten als Cisco, HP en Huawei het terugnemen van hardware. Het partnerecosysteem speelt daarbij een belangrijke rol.

Grote rol partners bij duurzame IT

Met name dat aspect benadrukte Chuck Robbins, CEO van Cisco, vorig jaar toen hij meldde dat de techgigant 100% van zijn hardwareproducten zal terugnemen en opknappen of recyclen. “Dit lukt alleen met de hulp van het kanaal,” meldde Robbins. De bereidheid onder de partners om te verduurzamen blijkt overigens groot. Robbins citeerde uit een onderzoek van technologie-analistenbedrijf Canalys, waaruit blijkt dat bijna de helft van de partners openstaat voor terugname, terugwinning en recycling van producten. Vijfenveertig procent van de partners zegt dat ze een deel van hun inkomsten uit duurzaamheidsoplossingen willen halen.

Geld verdienen met circulaire IT

Cisco lanceerde ook de Environmental Sustainability Specialization die partners beloont die een praktijk opbouwen rond terugname en hergebruik van producten. Partners kunnen de hardware die ze uit de omgeving van hun klanten halen teruggeven aan Cisco. Ze hoeven die niet zelf op te knappen of recyclen.

Circulaire IT is een geweldige manier voor partners om geld te verdienen

De specialisatie gaat, net als de rest van Cisco’s specialisaties, gepaard met co-branded materialen, handleidingen voor gesprekken met klanten en training in Cisco-programma’s. De specialisatie kan in een kort tijdsbestek worden bereikt – 15 uur met twee examens – en er is slechts één medewerker nodig om de specialisatie te bereiken, werd tijdens de lancering duidelijk. “Dit is niet alleen het juiste om te doen voor de wereld, maar het is ook een geweldige manier voor onze partners om geld te verdienen.”

Al ruim twintig jaar circulair

Dat met recycling en refurbished een gezond bedrijf is op te bouwen weet ook Maxicom. Jean-Pierre Verhoeven, oprichter van de distributeur die inmiddels onderdeel is van de Circular IT-Group, bewijst het. Al ruim twintig jaar is hij actief in de refurbished markt. Toen hij met zijn activiteiten startte, speelde het duurzaamheidsvraagstuk minder, maar was wel bekend dat refurbished apparatuur voor zowel eindgebruiker als reseller een betere prijs-kwaliteitverhouding kent. “Refurbished apparatuur stelt werknemers in staat goed hun werk te doen en levert resellers en IT-partners een prima marge én nieuwe activiteiten op,” legde hij eerder uit in een interview met ChannelConnect.

Refurbished biedt goede en duurzame IT

Maar niet alleen de prijs is doorslaggevend voor eindgebruikers. “Refurbished staat inmiddels echt ergens voor. Namelijk voor een gegarandeerde kwaliteit. Daar waar fabrikanten de apparatuur ‘as is’ terugnemen, gaan de medewerkers van Maxicom actief met de apparatuur aan de slag. “We testen en controleren de aangeleverde hardware, alle gegevens van vorig gebruik worden gewist. Vervolgens herstellen we de fabrieksinstellingen, zodat de nieuwe gebruiker in feite dezelfde ervaring heeft als wanneer hij het device nieuw zou kopen.”

En los van de duurzaamheidseffecten, is er nog een aspect dat het aanbieden van refurbished producten op dit moment interessant maakt voor resellers en hun eindklanten. Namelijk de beschikbaarheid van onder meer chips. De levertijden van nieuwe hardware nam sterk toe door een tekort aan halfgeleiders. “Via onze partners is onze refurbished apparatuur voor netwerken, computing en mobility direct leverbaar.”

IT-dienstverlener Telindus onderscheiden

Het door Cisco gelanceerde partnerprogramma gericht op circulaire IT werd ook in Europa al snel opgepakt. Zo kwalificeerde IT-dienstverlener Telindus (onderdeel van Proximus) zich al in april binnen de Cisco Environmental Sustainability Specialization, nadat het bedrijf vorig jaar al door de leverancier was onderscheiden met de Sustainability & Social Impact Partner of the Year 2021 award.

Telindus ontwikkelde een oplossing voor de connectiviteit en digitale weerbaarheid van een gemeentelijke organisatie. Duurzaamheid was een belangrijk element in de aanbesteding. Telindus geeft daaraan invulling door de hardware die vervangen wordt opnieuw te gebruiken. Zo levert de onderneming een bijdrage aan circulaire IT.

HP ondersteunt kanaal met Amplify Impact

Cisco is echter niet de enige fabrikant die hardware terughaalt uit de markt en daarbij leunt op het partnerkanaal. Zo kent HP het programma Amplify Impact. En ook Huawei zet stappen op het gebied van duurzame IT en circulaire IT. HP wil met het uitgebreide(re) duurzaamheidsprogramma milieubewuste partners, en hun klanten, bereiken. Bij de lancering gaf HP aan graag te zien dat maar liefst 50 procent van zijn partners meedoet aan het programma.

Circulair ecosysteem

Ook bij Huawei gaat het streven naar sustainability verder dan het stroomverbruik van de hardware, legde Kenneth Soechit, Channel Director Nederland bij de fabrikant, uit aan ChannelConnect. “Een belangrijk aspect bestaat uit het feit dat we na een aantal jaar de apparatuur weer vervangen tegen goede condities. Deze hardware kan opnieuw worden ingezet. Of we zorgen ervoor dat onderdelen hergebruikt worden. Zo zorgen we ervoor dat kostbare materialen niet verloren gaan en ontstaat een circulair ecosysteem.” Partners kunnen deze service goed inzetten bij het verkopen van nieuwe oplossingen en hun klanten wijzen op de MVO-voordelen van zowel het hergebruik, als de inzet van moderne, duurzame hardware.

Duurzame IT biedt volop kansen voor IT-partners

Het is duidelijk dat circulaire IT en refurbishment belangrijke items zijn geworden in de IT-industrie. Het biedt het partnerkanaal ook nieuwe kansen. “We steken miljarden in de bouw van windmolens op zee. Maar we zouden belangrijke duurzaamheidsdoelstellingen al kunnen behalen door IT-apparatuur een langer leven te geven,” aldus Jean-Pierre Verhoeven van Maxicom. Steeds meer grote fabrikanten geven hem inmiddels gelijk.

Nutanix voert aanpassingen door aan het partnerprogramma Elevate. De focus van het programma is aangescherpt om een betere ervaring te bieden voor zowel partners als klanten.

“Met de vernieuwingen van het Elevate-programma spelen we in op de behoeften van onze partners,” geeft Channel Director Sven Schoenaerts aan in gesprek met ChannelConnect. “We verkopen niet alleen de technologie, maar we stellen partners vooral in staat te adopteren en te presteren.” Hij legt uit dat de veranderingen in het programma met name impact hebben voor resellers; voor distributeurs voert de leverancier in een later stadium veranderingen door.

Meer autonomie voor partners
“We zagen in de markt dat partners graag meer autonomie wilden bij het onboarden van nieuwe klanten en het uitrollen van projecten. In de praktijk had Nutanix daarbij nog een aantal touchpoints bij het sluten van de transactie en de samenstelling van de propositie.”

De leverancier heeft het partnerprogamma nu aangepast. “De partner speelt nu een nog grotere rol in het hele verkoopproces, van het ontdekken van een kans, het ontwikkelen van een configuratie – inclusief het sizen van de architectuur, tot het vaststellen van de prijs en het sluiten van de deal.” Met name bij de pricing was voorheen nog regelmatig contact met de Nutanix-organisatie.

De aanpassingen worden vanuit Nutanix mogelijk gemaakt door de partners toegang tot extra tools te bieden. “Dat zijn in feite de tools die onze eigen, interne, staff ook gebruikt. We delen op die manier onze kennis, onze Intellectual Property met het kanaal.” Door die kennis te delen met de partners borgt Nutanix de kwaliteit van de verkochte configuraties.

De pricing zal de reseller-partner ook in de toekomst niet geheel autonoom doen. “We hebben onze distributeurs in staat gesteld om autonoom pricing-modellen toe te passen. Op die manier kunnen projecten volledig door ons partner-ecosysteem ingevuld worden.” Schoenaerts verwacht dat de go-to-market van oplossingen op deze manier een versnelling krijgt.

Financiele beloning
De leverancier zal partners ook financieel ondersteunen om autonoom deals te sluiten. “We komen met kortingen voor resellers en distributeurs voor transacties die ze zonder tussenkomst realiseren.” De leverancier breidde de incentives overigens niet alleen uit naar de partnerorganisaties. Ook individuele verkopers en system engineers kunnen profiteren van de aanwas aan nieuwe klanten die de reseller weet op te tekenen.

Het intenet had als oorspronkelijk doel om informatie voor iedereen toegankelijk te maken. Bij de snelle digitalisering is de toegankelijkheid echter niet altijd in het oog gehouden. Zo bleek onlangs uit onderzoek dat 45% van de laagopgeleiden moeite heeft om zelfstandig online belastingaangifte te doen. Dit, terwijl er wettelijke verplichtingen gelden voor overheden. Zij moeten websites toeganklijke maken voor iedereen.

Kansen voor partners

Dergelijke wetgeving gaat nu ook gelden voor het bedrijfsleven. En dat zal gevolgen hebben, betoogt Rowan Verbraak. Hij is UX Designer & Research Lead bij Humanoids. “Voor veel mensen met een beperking kost het vaak erg veel moeite om online uit de voeten te kunnen. Dat betekent een uitdaging voor veel organisaties, legt Verbraak uit. IT-dienstverleners kunnen een belangrijke rol spelen bij het adviseren van hun klanten en bij het aanpassen van de site. “Een website toegankelijk maken komt neer op het doorvoeren van een verandering in het ontwerp- en ontwikkelproces.”

In 2025 wordt nieuwe wetgeving van kracht die websites en apps verplicht om te voldoen aan internationaal geldende richtlijnen voor toegankelijke online content. Niet alleen Nederland, maar de hele Europese Unie moet hieraan geloven.

Verbaak: “Een toegankelijke website betekent dat die bruikbaar is voor zoveel mogelijk mensen, doordat bij het bouwen rekening is gehouden met uiteenlopende capaciteiten van doelgroepen. Oók voor mensen met een beperking.”

Brede groep profiteert

Denk bij het woord beperking aan een heel brede groep gebruikers. Niet alleen blinden en slechtzienden, of mensen met een motorische handicap. Maar ook laaggeletterden of minder digitaal vaardigen vallen onder deze doelgroep. Dat staat alles bij elkaar in Nederland alleen al gelijk aan een groep van 4 miljoen gebruikers. Daarnaast kan iedereen wel eens beperkt zijn door tijdelijke omstandigheden. Bijvoorbeeld door een blessure, of stressvolle situaties, fel zonlicht of omgevingslawaai.

Het grootste voordeel van een toegankelijke website, voor zowel een bedrijf als voor de overheidsinstantie, is dat ook bezoekers zonder handicap de site vaak als prettiger ervaren. Verbaak: “Een toegankelijke website maakt je sneller vindbaar, geeft je groter bereik, is kostenbesparend. En geeft invulling aan maatschappelijke betrokkenheid van de onderneming.”

In onze rubriek ‘Het meest opvallende nieuws’ volgt een prominent in de markt intensief de berichtgeving op ChannelConnect.nl. Hij of zij selecteert een bericht dat opviel en geeft er een reactie op.

Robert-Jan Dullaart, Director Channels Benelux bij Veeam, vindt het onderzoek van Conclusion MBS over de ontwikkeling dat organisaties businesskansen mislopen vanwege ontoereikende IT het meest opvallende nieuws deze week op de site van ChannelConnect.

Gebrek aan inzicht leidt tot missen van nieuwe businesskansen

Dit onderzoek concludeert onder meer dat 36% van de IT-beslissers wel eens businesskansen mist vanwege ontoereikende IT. Hierbij is met name gebrek aan overzicht een probleem. Ongeveer de helft (49%) geeft aan dat de de wirwar van applicaties en data zorgt dat zij niet de informatie kunnen vinden die zij nodig hebben om zakelijke besluiten op te baseren of nieuwe kansen te identificeren.

Het is noodzakelijk dat IT-beslissers, maar ook zakelijk leiders, zich realiseren dat een overzichtelijke en goed beheerde IT-omgeving essentieel is voor het (toekomstige) succes van de organisatie. Dit geldt niet alleen voor de day to day operations, maar dus ook voor het uitzetten van strategieën en het identificeren en, belangrijker nog, laten slagen van nieuwe businesskansen.

De back-up als veilige testomgeving

Vrijwel iedere organisatie maakt gebruik van back-ups als verzekeringspolis, om data te kunnen herstellen als er zich calamiteiten voordoen. De back-updata die zich binnen de organisatie bevinden zijn uitermate geschikt om nieuwe businesskansen te identificeren. Back-ups bieden namelijk een veilige en afgesloten omgeving die precies lijkt op de organisatie. Perfect om data te analyseren en uiteindelijk ook om nieuwe initiatieven te testen zonder dat deze impact te hebben op het dagelijks functioneren van de organisatie.

Er kan bijvoorbeeld getest worden of processen efficiënter kunnen worden ingericht of welke applicaties overbodig zijn geworden, maar er kunnen ook volledig nieuwe kansen worden ontdekt die de basis vormen van nieuwe inkomstenbronnen. Door wijzigingen in de IT-omgeving te testen in een afgeschermde omgeving zorg je ervoor dat er geen resources verloren gaan aan niet-werkende initiatieven en dat het bedrijf geen risico loopt op downtime.

Eindeloze mogelijkheden

De mogelijkheid om een back-up te gebruiken om nieuwe kansen te identificeren en te testen, valt en staat echter met de manier waarop deze ingericht is en beheerd wordt. Bij Veeam raden we aan hiervoor de 3-2-1-1-0 back-up-regel te gebruiken. Maar wanneer back-ups eenmaal goed ingericht zijn, zijn de mogelijkheden eindeloos.

Het is van groot belang dat IT- en zakelijke leiders beter gaan nadenken over de positie die de IT-omgeving, en dus ook back-ups, innemen in de strategische routekaart die zij hebben uitgezet voor hun organisatie en de rol die het kan spelen bij het identificeren van nieuwe businesskansen. Alleen zo kunnen we voorkomen dat onoverzichtelijke IT een rol speelt in het missen van nieuwe businesskansen.

IT-partners moeten zich opmaken voor de uitdagingen van Security 2.0. Gartner stelt namelijk dat bestaande networking- en security-modellen ouderwets zijn. Ze passen niet meer bij de huidige manier van werken, die voor een groot deel gebaseerd is op cloud-services en SaaS-applicaties. Uit een ondanks aangekondigde samenwerking tussen dienstverleners SLTN en One Identiy blijkt de kracht van een meer holistische benadering die Security 2.0 biedt.

Te lang ging security over veiligheid. Als de deur maar op slot zit (de firewall) en de ramen dicht (antivirus) dan zijn we veilig, was het motto. “Die houding volstaat niet meer,” maakte Sadie Creese, Professor Cybersecurity in Oxford duidelijk tijdens een security-event in Amsterdam. Het uitgangspunt bij Security 2.0 moet volgens haar juist totale digitale onveiligheid zijn in de wereld waarin we opereren. “Het gaat er nu om de ónveiligheid te managen,” voegde Creese eraan toe. MSP’s kunnen daar, door samenwerkingen aan te gaan, een belangrijke rol bij spelen.

Digitale vervlechting

SaaS en cloud hebben de IT-industrie ingrijpend veranderd. Dit geldt niet alleen voor eindgebruikers, maar zeker ook voor de partijen in het kanaal. SaaS verving aanvankelijk on-premise applicaties door services van (verschillende) providers. En we gebruikten de cloud in eerste instantie als opslagmedium. Inmiddels is echter tussen beiden een digitale vervlechting ontstaan. Traditionele resellers ontwikkelden zich tot trusted advisors van hun klanten, en bieden in toenemende mate eigen services of die van een leverancier als MSP aan.

Partners die bij security-oplossingen samenwerken zijn succesvol bij het indammen van cybercrime

De acceptatie van en interesse in public cloud gaat onverminderd door, aangezien organisaties een ‘cloud-first’-beleid nastreven,” stelt Milind Govekar, vice-president bij Gartner. Analisten verwachten dat meer dan 85% van de organisaties in 2025 een cloud-first ethos zal hebben. “De cloud is onmisbaar.”

Security 2.0 gaat over communicatie

“Het fundament van al die services is connectiviteit,” roept Govekar in herinnering. “En aan connectiviteit stellen we al decennia de eisen dat het snel en veilig moet zijn.” Security 2.0 gaat daarom in essentie om communicatie tussen een veelvoud aan systemen en gebruikers in een van nature onveilige omgeving.

“De individuele systemen zijn wellicht veilig. Dat zijn de bouwstenen die gezamenlijk het netwerk vormen. Maar we concentreren ons niet op de essentie. Dat is de connectiviteit. De lijm die de bouwstenen verbindt,” is de overtuiging van Sadie Creese. Beter gezegd: security krijgt nog steeds niet de aandacht die het verdient. Niet van eindgebruikers. Maar ook niet van hun serviceprovider(s). En als er aandacht voor is, dan is de waardering voor de partner die de security aanbiedt laag.

Security dienstverleners lager gewaardeerd

IT-bedrijven die zich specialiseren in een bepaald type dienstverlening, bijvoorbeeld testing of werkplekbeheer, worden gemiddeld hoger gewaardeerd dan allround-dienstverleners. Een uitzondering vinden we bij pure securitypartijen (MSSP’s). Dit blijkt uit de laatste editie van de IT Xperience Monitor. Dit is het jaarlijks onderzoek van Giarte naar de tevredenheid van organisaties die hun IT uitbesteden aan een channel partner of Managed Service Provider (MSP).

Te vaak blijkt de rol van security-partners pas na een cyberaanval

Uit het onderzoek naar de tevredenheid van organisaties blijkt dat security-dienstverlening veelal wordt gezien als water uit de kraan of elektriciteit. “Het moet er altijd zijn,” is de opvatting. De toegevoegde waarde van de dienstverlening blijkt pas bij incidenten. Het probleem is echter, dat de partij die de schade opruimt in eerste instantie op maandelijkse basis wordt ingehuurd juist om schade te voorkomen.

Houding ten opzichte van cybersecurity

Eindklanten gaan ervan uit dat de partner zorgt voor veiligheid. Dit, terwijl de MS(S)P slechts de onveiligheid kan proberen te beheersen. Daarnaast speelt het feit dat security voor de meeste eindklanten geen core business is. De houding van bedrijven is: ik ben niet interessant genoeg om aangevallen te worden.

Marco Lesmeister, Managing Director van IT-dienstverlener PQR, gaf antwoord op de vraag van ChannelConnect of CIO’s wakker liggen van mogelijke security-incidenten. “Was het maar waar. Beveiliging krijgt nog steeds niet de aandacht die het werkelijk verdient. Er valt bij veel bedrijven nog veel te verbeteren.”

Giarte constateert overigens, dat er sinds COVID-19 wel meer aandacht is voor securitymanagement. Maar de onderzoekers zien dat bedrijven er weinig geld aan besteden. En dat dit geld vaak niet gaat naar een dienstverlener die zich specialiseert in security.

Tijdens de Seccon Conference in Amsterdam, een door Cisco georganiseerd evenement over IT-security, vroeg ChannelConnect aan een groot aantal mensen werkzaam in de sector of ze het observaties van Giarte herkennen. Uit de antwoorden kwam een oorzaak voor de lage(re) waardering van security-dienstverleners wellicht naar voren. Eindklanten stappen steeds vaker over op as-a-service-overeenkomsten. Die trend begon bij applicaties en storage. Inmiddels bieden leveranciers ook hardware als dienst aan.

“Gebruikersorganisaties willen alles dan ook meteen bij een enkele partij neerleggen. Vaak echter heeft die partij te weinig kennis van security. In dat geval schakelt men een derde partij in.” Die constructie blijkt wellicht onvoldoende om de eisen van Security 2.o adequaat in te vullen.

Samenwerking om Security 2.0 te realiseren

Vanuit de reseller bezien zou het inspelen op Security 2.0 neer kunnen komen op intensieve samenwerking met collega’s.

Een goed voorbeeld is het partnership dat SLTN, een IT-dienstverlener met een generiek aanbod aan services, aanging met security-provider One Identity. Samen leveren de ondernemingen een uniform identiteitsbeveiligingsplatform. Dit om eindklanten op een veilige manier toegang te geven tot informatie. De beste manier om organisaties in deze dynamische omgeving te beschermen is, volgens SLTN en One Identity, door de gefragmenteerde visie op beveiliging te verlaten. Security 2.0 vraagt volgens hen “om een holistische benadering”.

Cybersecurity opnieuw uitvinden

De samenwerking staat niet op zichzelf. Ook ilionx, een dienstverlener met een breed aanbod, en SecurityGate.io werken intensief samen. Op “wereldschaal” past ook de overname van Mandiant door Google in dit beeld. De tech-gigant betaalde 5,4 miljard dollar om de security-specialist in te lijven. Google wil door de overname “security opnieuw uitvinden”.

Security 2.0 betekent dat ook resellers cybersecurity opnieuw uitvinden

Samenwerkingen ontstaan niet spontaan, daar is zorgvuldige afstemming voor nodig. Er is daarom een lange weg te gaan. Partnerschips kunnen echter doorslaggevend zijn om de uitdagingen van Security 2.0 het hoofd te bieden. En zorgen wellicht voor een betere waardering van zowel de generieke dienstverlener als de security-specialist.

CASB is een nieuwere oplossing binnen het traditionele rijtje security-oplossingen dat iedere MS(S)P kent: Endpoint Security, E-mail Security, Web Security, Encryptie, Firewalls en Data Leakage Prevention. Een Cloud Access Security Broker (CASB) geeft organisaties controle over het gebruik van cloud applicaties. De technologie maakt het IT-partners eenvoudiger klantomgevingen te monitoren.

CASB-technologie brengt nieuwe functionaliteiten waaraan de markt, ook volgens Gartner, behoefte heeft. Het veelvuldige gebruik van cloud applicaties, het thuis- en hybridewerken en het beveiligen van gevoelige data zijn thema’s die bij veel organisaties hoog op de agenda staan. Daar speelt de nieuwe technologie op in.

Een cloud access security broker (CASB) is (meestal) een cloud-applicatie die fungeert als digitale tussenpersoon tussen gebruikers en cloudserviceproviders. Het vermogen van CASB’s om hiaten in de beveiliging aan te pakken, strekt zich uit over software-as-a-service (SaaS), platform-as-a-service (PaaS) en infrastructuur-as-a-service (IaaS)-omgevingen.

Schaduw-IT groot probleem

Schaduw-IT kan tot wel 60% van de cloudservices van een onderneming bedragen. Dit zijn grotendeels applicaties die buiten het beeld van de IT-beheerders van de organisatie, of de MSP, worden gebruikt. Denk daarbij aan bijvoorbeeld Dropbox, Box of WeTransfer.

Doordat deze applicaties werken met SSL (encrypted) verbindingen is het lastig de inhoud van het verkeer te scannen. Het vergt vaak te veel performance van een firewall en maakt van dergelijke applicaties een groot risico doordat (gevoelige) data zich hier ongecontroleerd naar toe kunnen verplaatsen. Dit brengt security-risico’s met zich mee, ook in het kader van de AVG. Een CASB geeft een volledig beeld van alle gebruikte cloudtoepassingen. Naast het zorgen voor zichtbaarheid, stelt een CASB organisaties ook in staat om de scope van beveiligingsbeleid uit te breiden van hun bestaande on-premises infrastructuur naar de cloud en nieuw beleid te creëren voor cloudspecifieke contexten.

Brede toetsing

CASB’s zijn in korte tijd een essentieel onderdeel van de bedrijfsbeveiliging geworden, waardoor bedrijven veilig de cloud kunnen gebruiken en gevoelige bedrijfsgegevens kunnen beschermen. De CASB dient daarbij als een centrum waar de legitimiteit van het dataverkeer tussen applicaties wordt getoetst, ongeacht het soort apparaat dat toegang probeert te krijgen, inclusief onbeheerde smartphones en persoonlijke laptops.

Kortom: een CASB maakt niet alleen inzichtelijk welke cloud applicaties gebruikt worden, maar ook vanuit welke locatie en wat er in de cloud applicaties gebeurt. Hier kan de MSP (namens zijn klant) vervolgens op reageren en bepaalde rechten aan toekennen. Bijvoorbeeld;

• Is het toegestaan om data naar specifieke cloudapplicaties te uploaden of vanuit cloudapplicaties te downloaden?
• Mogen gebruikers data uit cloudapplicaties delen met derden?
• Is het mogelijk om toegang te krijgen tot cloudapplicaties vanaf een remote locatie of met een BYOD?

De vele mogelijkheden die CASB-software biedt

Om het patchwork aan cloudapplicaties in veel bedrijven adequaat te kunnen managen, biedt CASB een veelvoud aan functies:

• Cloudbeheer en risicobeoordeling
• Dataverlies voorkomen
• Bedreigingspreventie, bijvoorbeeld gedragsanalyse van gebruikers
• Configuratiecontrole
• Malwaredetectie
• Data encryptie
• SSO- en IAM-integratie

Dit alles biedt MSP’s de volgende voordelen bij het monitoren en beveiligen van hun klantorganisaties:

• Inzicht in al het cloudgebruik en alle data via één console
• Controle over gegevens en activiteiten in de cloud
• Bescherming tegen cloudbedreigingen en verkeerde configuraties
• Veilige toegang tot mobiele en persoonlijke apparaten
• Voorkom gegevensverlies met Data Leak Preventie
• Detecteer bedreigingen van binnenuit door middel van gebruikers- en entiteitsgedragsanalyses

Hoe werkt een CASB?

Een CASB is letterlijk een draaischijf. De MSP plaatst de oplossing tussen het bedrijfsnetwerk en de cloudapplicaties. Hierdoor krijgt de dienstverlener inzicht in het gebruik van cloudapplicaties. Ook is het zo mogelijk om (met aanvullende applicaties) de bedrijfsdata van en naar cloudapplicaties te beschermen. Door alle bedrijfsregelgeving op het gebied van compliancy vast te leggen in de CASB-applicatie is de complete stack te monitoren vanuit slechts één interface.

In de praktijk is een CASB-oplossing vaak een combinatie van een forward en een reverse proxy (gateway) met API-koppelingen. De forward proxy zorgt voor controle op de data die onderweg is naar de cloudapplicatie. Het monitort de ‘data-in-transit’. Op basis van de ingestelde policy en verificatie kunnen dan acties worden ondernomen.

Zo zou je het opslaan van bepaalde kritsche data in bijvoorbeeld Dropbox kunnen verbieden. Of kunnen bepalen dat sommige users alleen op de werklocatie toegang hebben tot vastgelegde applicaties of gegevens. Daarnaast is het zo, dat veel CASB-oplossingen de loggegevens van proxies en firewalls analyseren. Met deze functies kunnen MSP’s de schaduw-IT van een bedrijf inzichtelijk maken.

Niet-beheerde devices

De reverse proxy zal de dienstverlener vooral toepassen bij niet beheerde apparaten. Hierbij maakt de gebruiker direct verbinding met de cloudapplicatie. In deze situatie plaatst de MSP de CASB tijdens het authenticatieproces tussen de gebruiker en de cloudapplicatie. De applicatie handelt dan het complete verkeer af.

De CASB-oplossingen hebben API-koppelingen met de cloudapplicatie voor de controle over de data die in de cloudapplicatie is opgeslagen (‘data-in-rest’). Een API-koppeling is in de verschillende CASB-oplossingen voor de meest gangbare cloudapplicaties beschikbaar; denk dan aan Microsoft Office365, Google apps, Dropbox, Box, Salesforce, ServiceNow, Microsoft Azure of AWS. Door middel van de API-koppeling worden de data in de cloudapplicatie en de activiteiten met de data gecontroleerd en kunnen acties worden toegepast.

Het inzetten van een CASB neemt voor veel organisaties een hoop zorgen en risico’s weg. De meeste organisaties hebben geen inzage in het gebruik van cloud applicaties en de data die zich hier naartoe beweegt. Om die reden wenden ze zich vaak tot een dienstverlener die gespecialiseerd is in IT-security. Deze MSSP kan, zoals met vrijwel alle (SaaS-)software het geval is, CASB als een managed service aanbieden.

De adoptie van cloudopslag diensten versnelde tijdens de coronacrisis. Nieuwe werkvormen waren snel uit te rollen door cloud-services in te zetten. Uit onderzoek blijkt dat het hybride werken leidt tot beveiligingsuitdagingen voor kleine en middelgrote ondernemingen. Dit biedt MSP’s kansen, mits ze hun eigen omgeving goed beveiligen.

Het Nederlandse bedrijfsleven is koploper als het om cloud gaat. 65 Procent van de Nederlandse bedrijven maakte in 2021 gebruik van cloud-diensten. Hieronder vallen zowel het gebruik van cloud-opslag als van cloud-applicaties. In Europa maakte gemiddeld 41 procent van de bedrijven gebruik van cloud.

Ondernemingen slaan daarbij steeds meer bedrijfskritische data op in de cloud. Vooral kleinere ondernemingen houden daarbij twijfels. Het gebrek aan eigendom en controle maakt het moeilijk om gegevensbeveiliging te garanderen. Dit terwijl AVG-wetgeving de nodige eisen stelt aan de bescherming van persoonlijke data. Ook neemt het aantal geavanceerde aanvallen door cybercriminelen toe. Ook kleine en middelgrote ondernemingen zijn steeds vaker slachtoffer van ransomware-groepen.

Zelf monitoren cloudopslag tijdrovend

Het veilighouden van een omgeving, die vaak uit zowel  een on-premise als een cloud bestaat is ingewikkeld voor een MKB’er. Dat blijkt uit een rapport van een IS Decisions onder 300 ondernemingen. Zij deden onderzoek bij degenen die de IT beheren binnen kleine tot middelgrote bedrijven. De meeste organisaties (80%) vertrouwen bij cloud-opslag op de native beveiliging van de hyperscaler. Iets minder dan de helft controleert elke dag de toegang handmatig (42%), wat niet alleen tijdrovend en complex is om te doen, maar ook onderhevig aan menselijke fouten. Iets meer dan een derde (38%) monitort steeksproefgewijs de toegang.  Dit is minder tijdrovend, maar de kans een aanval te missen of er te laat achter te komen is regel. En 9% controleert de toegang helemaal niet. Dit maakt het lastig de bron te achterhalen als zich een incident voordoet.

Het is duidelijk dat hier kansen liggen voor MSP’s. Toch is ook hun activiteit niet zonder risico. Zo ontstond in april 2022 paniek onder verschillende woningbouwcorporaties. Via een dienstverlener met meerdere partijen in deze sector, werden acht corporaties slachtoffer van een cyberaanval. Websites werkten niet meer en de telefonische bereikbaarheid was slecht. Ook was sprake van een datalek.

MSP zelf een interessant target

De aanval staat niet op zichzelf. MSP’s zijn een interessant target. “Je hebt wellicht als dienstverlener niet veel mensen in dienst, maar hebt wel toegang tot de omgevingen van tientallen klanten,” geeft Ashley Schut van security-specialist ESET aan. “Dat maakt jouw bedrijf minstens zo interessant voor cybercriminelen als een enterprise-organisatie.”

Daarbij komt nog, dat de verschillende ransomware, zoals BlackCat, specifieke tools inzetten die vaak door MSP’s worden ingezet. Bijvoorbeeld om de klantomgevingen te beheren of om software uit te rollen. Ook de bekende Kaseya ransomware-aanval die in juli werd gelanceerd, trof Managed Service Providers (MSP’s). Ook hier maakten hackers gebruik van een kwetsbaarheid in de remote monitoring software van de softwareleverancier. De aanval trof ongeveer 60 MSP’s en duizenden klanten van deze providers.

Aanbieders cloudopslag moeten veiligheid laten zien

Als het gaat om security bij cloudopslag komen dus eigenlijk twee uitdagingen bij elkaar. Enerzijds het beveiligen van de data (en de omgeving) van de klant. Anderzijds het beveiligen van de eigen omgeving van de MSP. Daar waar de MPS’s vaak wel hun klanten wijzen op de gevaren, maar er zelf voor hun eigen bedrijf nog niet zo mee bezig zijn, daar is de skepsis bij de klanten er al sinds de eerste cloud stappen. Uit het eerder aangehaalde onderzoek van IS Desicions  blijkt dat als het gaat om gegevensbeveiliging, organisaties zich nog steeds duidelijk zorgen maken over het vertrouwen van derden.

Hoewel de voordelen van de cloud algemeen onderkend worden, laat onderzoek zien dat 61% van de MKB-bedrijven vindt dat hun gegevens niet veilig zijn in de cloud. 63% meent dat cloudproviders meer moeten doen om dataveiligheid aan te tonen. Ook is 53% bezorgd dat gegevens niet-versleuteld zijn wanneer ze in de cloud worden opgeslagen, of zich van en naar de cloud bewegen. Deze cijfers zijn zo verontrustend, omdat MKB’ers niet over eigen specialisten beschikken en zich juist daarom wenden tot partners als het over cloud-opslag gaat.

Momentum voor partners

De incidenten in combinatie met de groei van de cloud-adoptie, zorgen dus voor momentum voor MSP’s. Maar naarmate meer en meer klanten cloudopslag gebruiken, moeten MSP’s de meerlaagse beveiligingsoplossingen bieden die nodig zijn om hun gegevens veilig te houden. En die ook zelf toepassen. De manier waarop de partner zijn eigen beveiliging organiseert, is steeds vaker een belangrijk selectiecriterium voor (potentiële) klanten. “Practice what you preach,” zegt Schut van ESET. “Daarbij kun je klanten aan de hand van jouw eigen beschermingsstrategie in de praktijk demonstreren hoe de beveiliging van de data werkt.”

Gebruik als provider van cloudopslag een XDR-platform om je weerbaarheid te vergroten.

De leverancier lanceerde onlangs een XDR-platform speciaal voor MSP’s. Schut: “Met dit beveiligingsniveau kunnen MSP’s uitgebreidere proactieve beveiliging aanbieden aan klanten in de vorm van de XDR-tool.” Dit brengt de MSP’s twee belangrijke voordelen: ten eerste een professionalisering van de dienstverlening door het inzetten van de meest geavanceerde security-oplossingen. “Ten tweede moedigen wij MSP’s ook aan om het platform zelf te gebruiken om zo de eigen weerbaarheid te vergroten. Juist om als MSP veiliger te kunnen opereren.”

Vijf best practices

Na de Kaseya-aanval formuleerde de Amerikaanse regering vijf stappen die organisaties helpen de ransomwaretsunami het hoofd te bieden. De aanbevolen best practices, vertaald naar de activiteiten van een MSP zijn :

• Zorg ervoor dat back-ups regelmatig worden getest en dat ze niet verbonden zijn met het bedrijfsnetwerk.
• Update en patch de eigen systemen tijdig en onderhoud de beveiliging van besturingssystemen, applicaties en firmware.
• Test regelmatig het incident response plan. Zorg voor meerdere back-ups van dit plan – ook offline!
• Gebruik een pentester van een derde partij om de beveiliging van de eigen systemen te testen. Deel de resultaten met alle (potentiële) klanten.
• Gebruik steeds de sterkst mogelijke wachtwoorden. Verander die vaak.
• Pas multifactor authenticatie en encryptie toe voor gegevens ‘in rust’ en ‘in transit’.

Bedrijven die cloudopslag willen gebruiken, zullen steeds vaker op zoek gaan naar MSP’s die hen kunnen helpen bij de implementatie van deze best practices.

Cloud computing veranderde de manier waarop we met IT omgaan ingrijpend. Vooral het feit dat ook het mkb nu kan beschikken over een ‘eindeloze’ hoeveelheid opslag is een game changer. Samenwerken met een IT-dienstverlener vergroot de kans op succes. Dat geldt zeker voor cloudopslag.

Niet alleen particuliere gebruikers vertrouwen op oplossingen uit de cloud. Die slaan al langere tijd gegevens op in omgevingen voor cloud-opslag, zoals Dropbox, Google Drive of Apple’s iCloud. Maar ook voor zakelijke gebruikers is opslag in de cloud een interessante propositie. Dat geldt zeker voor het midden- en kleinbedrijf.

Services voor cloudopslag steeds populairder

Cloudopslag is een vorm van gegevensopslag waarbij data op externe servers via internet worden bewaard. Een van de belangrijkste voordelen van cloudopslag is dat gebruikers bestanden kunnen opslaan en openen vanaf bijna elke plek op aarde. Je hebt alleen een internetverbinding nodig om snel en eenvoudig toegang tot je gegevens te krijgen. Cloud-storage elimineert daarnaast de noodzaak van harde schijven voor back-up.

Meer capaciteit, zonder harde schijf die crasht

Niet lang geleden was de keus voor cloud er niet. We sloegen data op de harde schijf of server op. Dit bracht risico’s met zich mee, en ondernemingen die nu aarzelen over een overstap naar de cloud, lijken die nogal eens te zijn vergeten. Een harde schijf kan crashen, een server kan downtime hebben – en het is bekend dat je data niet altijd even eenvoudig van een harde schijf kunt wissen, als dat nodig is. Laten we daarom eerst de voordelen van cloudopslag op een rij zetten.

De voordelen van cloudopslag voor het mkb

• • • Lagere kosten

      Je maakt ‘in de cloud’ minder hoge IT-kosten doordat je de traditionele infrastructuur niet hoeft te onderhouden. Je hebt geen kosten meer aan het beheer van de omgeving. En je hoeft geen hardware en software aan te schaffen. De enige uitgave die je bij cloudopslag doet, is het storage-abonnement.

    • Goede disaster-recovery

      Hoe groot of klein jouw bedrijf ook is, bedrijfscontinuïteit is een must. In de cloud worden alle applicaties en data zo opgeslagen dat ze altijd en voor elke medewerker op elk moment te benaderen zijn.

    • Stabiel

      Werken in de cloud brengt zekerheid met zich mee, er wordt namelijk redundant gewerkt. Redundantie betekent feitelijk dubbel uitgevoerd. Met andere woorden, wanneer er redundant gewerkt wordt (door de cloud-hosting partij), worden er componenten dubbel uitgevoerd waardoor je geen last ondervindt als er iets uitvalt. Jij hoeft hier zelf niets voor te doen, dit is iets wat door het cloud-hosting bedrijf geregeld wordt.

    • Schaalbaar

      Het werken met de cloud is heel schaalbaar. Je kunt eenvoudig extra medewerkers toegang geven tot data, diensten en opslagruimte en wanneer dit niet meer nodig is kun je dit ook weer eenvoudig terugschalen.

    • Betalen naar gebruik

      Je weet vooraf welke services je afneemt en wat de kosten zijn van, bijvoorbeeld, cloudopslag-ruimte. Zo kun je de vaste kosten gemakkelijk opnemen in de begroting. Je hebt geen dure specialisten of licenties nodig en ook (veiligheids-)updates worden automatisch doorgevoerd.

    • Backup in de cloud

      Bestanden in de cloud zijn altijd en overal beschikbaar. In tegenstelling tot een externe harde schijf of usb stick, kan deze opslag niet beschadigd raken. Daarom kiezen veel bedrijven voor een backup in de cloud. (Zie ook het kader over backup).

Mkb loopt niet voorop bij adoptie cloud-opslag

Wie dit leest denkt: we omarmen de cloud massaal en het mkb heeft geen stoffige serverruimte meer nodig. Dat valt tegen, blijkt uit onderzoek van Amazon Web Services, uitgevoerd door GfK. 85 procent van het Nederlandse mkb bevindt zich eigenlijk nog steeds in het proces van transformatie naar de cloud.

Meer dan driekwart van de mkb’ers is volgens het onderzoek wel van mening dat de cloud een essentiële tool is voor een moderne bedrijfsvoering. Toch zien de ondernemers het potentieel van de cloud niet volledig of benutten dat niet genoeg.

Zo wordt cloud computing gezien als een IT-oplossing en niet als een strategische zakelijke beslissing. Dat klinkt ingewikkelder dan het is: overstappen naar de cloud, bijvoorbeeld met ondersteuning van een IT-dienstverlener, betekent dat expertise op het gebied van IT niet meer nodig is binnen de organisatie. Dat scheelt ondernemers veel tijd en geld. Zo bezien lost cloud niet alleen ‘pure’ IT-problemen op. Zo zijn er meer vragen die mkb-ondernemers hebben bij het omarmen van cloudopslag.

3 Nijpende vragen over cloudopslag

• • • 1 – Waar staan mijn data?

      Cloudproviders maken afspraken over welke gegevens waar mogen staan. Inmiddels zijn de meeste hyperscalers (Google, AWS, Azure, etc) transparant over die afspraken. Ze moeten wel, omdat internationale wetgeving in bepaalde gevallen voorschrijft dat gegevens niet buiten de EU opgeslagen mogen worden. Maar als je heel concreet wilt weten waar jouw data staan, dan kun terecht bij een van de vele lokale IT-partners. De serverruimtes van deze IT-dienstverleners zijn vaak zelfs te bezoeken, zodat de apparatuur met data heel concreet zichtbaar wordt. Jouw IT-dienstverlener kan je advies op maat geven!

    • 2 – Heeft cloud-opslag gevolgen als het gaat om AVG?

      Ja en nee. Natuurlijk moet de provider van cloudopslag datalekken voorkomen. Maar voor de AVG ben je zelf nog steeds verantwoordelijk voor het borgen van de veiligheid. Daar verandert cloudopslag dus niets aan.

    • 3 – Hoe veilig is cloudopslag eigenlijk?

      Zorgen om privacy en beveiliging weerhouden mkb-bedrijven van de overstap naar cloudgebaseerde dataopslag. Ten onrechte. Het beveiligen van een eigen IT-omgeving is voor veel ondernemingen veel lastiger dan de beveiliging die een cloudaanbieder kan leveren. Vergeet daarbij overigens niet dat gebruikers doorgaans de zwakke schakel zijn in elke beveiliging. En die gebruikers verhuizen niet mee naar de cloud. Wel kan de cloud in geval van een incident zorgen voor de nodige disaster recovery, doordat daar de back-ups staan.

Zijn er dan helemaal geen nadelen aan cloud-opslag?

Eerlijk is eerlijk: opslag in de cloud brengt ook nadelen met zich mee. Als je werkt in de cloud, ben je afhankelijk van twee externe factoren: de netwerkverbinding en de leverancier van de opslagdienst. Die leverancier kan een grote internationale partij zijn (zoals Google), maar ook jouw lokale IT-dienstverlener.

Netwerkverbinding

Alles valt en staat met een goede netwerkverbinding, want zonder internet functioneert de cloud niet. Valt de verbinding weg door een internetstoring of neemt de snelheid (bandbreedte en reactiesnelheid) af? Dan heeft het direct impact op je werkzaamheden. Daar staat tegenover dat zonder internet veel ondernemingen sowieso al (zo goed als) stilvallen.

De leverancier

Naast de verbinding ben je ook afhankelijk van de cloudleverancier. Technische problemen zijn vaak niet zelfstandig op te lossen zoals bij lokale systemen (de servers in de eigen netwerkkast). In plaats daarvan kun je enkel een klacht indienen, wachten en hopen dat de leverancier het probleem zo snel mogelijk verhelpt. Om dat te voorkomen is de IT-dienstverlener die je vertrouwt en goed kent zo belangrijk. Met hem is het, eventueel 24/7, snel en persoonlijk schakelen. Dat geldt zeker als deze service provider zelf een datacenter heeft en jouw data daar staan.

Het belang van de IT-partner voor mkb-ondernemingen

Het is duidelijk: cloudopslag kent veel voordelen, maar een overstap naar de cloud kan voor onzekerheid zorgen. Gelukkig is er externe ondersteuning die kan helpen bij het uitrollen en uitvoeren van de overstap naar cloudopslag. De meeste mkb’s realiseren zich dat het belangrijk is er een externe IT-partner bij te betrekken. 72 procent van de mkb’s die projecten uitvoeren betrekt een externe IT-partner bij de implementatie, blijkt uit het eerder genoemde onderzoek van GfK. Mkb’s die van plan zijn de komende twee jaar te starten, zullen waarschijnlijk drie op de vier keer een IT-partner inschakelen.

81% van de bedrijven maakte de afgelopen 12 maanden een incident met hun cloud-omgevingen mee. Bijna de helft (45%) van hen had te maken met minimaal vier incidenten. Dit blijkt uit onderzoek van Venafi naar de complexiteit van cloud-omgevingen. En de impact daarvan op cyberbeveiliging.

Het onderliggende probleem van deze incidenten is de toenemende complexiteit en beveiliging gerelateerd aan cloud-implementaties. Aangezien de ondervraagde organisaties nu al 41% van hun applicaties in de cloud hosten, maar in de komende 18 maanden een toename verwachten tot 57%, zal deze complexiteit blijven toenemen.

Technische uitdagingen

Ruim de helft (51%) van de beveiligingsverantwoordelijken die aan het onderzoek deelnamen is van mening dat beveiligingsrisico’s in de cloud groter zijn dan op de eigen locatie. Ze noemen meerdere oorzaken die aan de risico’s bijdragen. De meest genoemde cloud-gerelateerde incidenten zijn beveiligingsincidenten tijdens runtime (34%) en ongeautoriseerde toegang (33%). Ook op technisch gebied zijn er uitdagingen. Zo meldt 32% van de bevraagden verkeerde configuraties. Ook kwetsbaarheden in configuraties die niet worden verholpen vormen een probleem, geeft 24% van de ondervraagden aan.

Interne verantwoordelijkheid varieert

Er is ook onderzocht wie er intern verantwoordelijk is voor het beveiligen van alle cloud-applicaties. Dit varieert sterk tussen de ondervraagde bedrijven, waarbij corporate beveiligingsteams (25%) de meeste kans hebben om de beveiliging van cloud-applicaties te beheren, gevolgd door operationele teams die verantwoordelijk zijn voor de cloud-infrastructuur (23%). Bij andere organisaties is het een gedeelde verantwoordelijkheid van alle betrokken teams (22%), ontwikkelaars van cloud-applicaties (16%) en DevSecOps-teams (10%). Het aantal beveiligingsincidenten laat echter zien dat geen van deze modellen effectief is voor het verminderen van de toenemende beveiligingsincidenten.

Geen consensus

Op de vraag wie verantwoordelijk zou moeten zijn voor het beveiligen van de cloud-applicaties, was er opnieuw geen consensus. De meeste respondenten willen de verantwoordelijkheid delen tussen teams die de cloud-infrastructuur beheren en corporate beveiligingsteams (24%). Andere opties zijn het delen van de verantwoordelijkheid over meer betrokken teams (22%), de verantwoordelijkheid laten bij de ontwikkelaars van cloud-applicaties (16%) en DevSecOps-teams (14%).