In onze rubriek ‘Het meest opvallende nieuws….’ volgt een prominent in de markt een week lang intensief de berichtgeving op ChannelConnect.nl. Hij of zij selecteert een bericht dat opviel en geeft er een reactie op. Vandaag Alain Luxembourg, Vice President Benelux & Nordics bij Barracuda.

Luxembourg las het nieuws dat DTC een forum lanceert voor het delen van kennis over cybersecurity. Ondernemers kunnen hier straks terecht met hun cybersecurity-vragen. Het idee is dat deze vragen dan beantwoord worden door IT- en securityprofessionals die zich ook bij deze DTC Community aansluiten.

Overvloed aan informatie

Luxembourg: “Dit is een uitstekend initiatief. Er is natuurlijk al heel veel informatie te vinden over cybersecurity en het gezegde is nog steeds ‘Kennis is macht’. Maar we moeten niet vergeten dat we nu in een wereld leven waarin er een enorme overvloed aan kennis en informatie te vinden is, op internet, op social media, in podcasts, in e-mail nieuwsbrieven, etc. Ondernemers zien door de bomen het bos niet meer. Hoe weet je wat goed advies is en wat onzin is of zelfs gevaarlijk? Ik denk dat het veel beter is om te zorgen dat je met de juiste communities en mensen in contact komt.

In een vertrouwde omgeving zoals het DTC wil bieden, voelen de leden zich ook veiliger en durven ze vragen te stellen en om hulp te vragen. Ze weten dat ze dan geholpen worden door mensen die er ook echt iets van af weten. Denk bijvoorbeeld aan de invoering van NIS2. Veel ondernemers weten nog niet hoe ze dat moeten aanpakken. Dit platform kan ze daarbij helpen en dat zoiets ook echt werkt blijkt bijvoorbeeld uit het succes van de expertise die via het No More Ransom initiatief wordt gedeeld en de oplossingen die daar worden aangedragen.”

Genadeklap

“Het is ook echt nodig om de kennisdeling over security te verbeteren. We zien dat criminelen Nederlandse ondernemingen continu aanvallen en dat kan grote gevolgen hebben. Zeker nu we in Nederland te maken hebben met een lichte recessie, kan een cyberaanval net het laatste duwtje richting faillissement zijn voor een onderneming die het al zwaar heeft. Zo is het niet ondenkbaar dat de cyberaanval op sportketen Sprinter, eind november, een rol heeft gespeeld in het faillissement van Sports Unlimited Retail, ook het moederbedrijf achter Perry en Aktiesport. Er zijn andere gevallen bekend waar een succesvolle cyberaanval uiteindelijk de genadeklap was voor een onderneming.”

“Men moet wel goed gecontroleren of de securityexperts die zich aanmelden voor het DTC-platform legitiem zijn. Zo’n platform is immers ook een ideale plek voor cybercriminelen om informatie te verzamelen over mogelijke kwetsbaarheden bij organisaties. Of om misinformatie te verspreiden. Dat dit risico reëel is, blijkt wel uit het recente nieuws dat Noord-Koreaanse IT’ers onder valse identiteit bij buitenlandse bedrijven werken. Zoiets moeten we natuurlijk absoluut voorkomen.”

“In ieder geval is het DTC-initiatief weer een prima stap vooruit om de cybersecurity van Nederlandse bedrijven naar een hoger niveau te tillen. En dat moet ook. Want de aanvallers zijn hun aanvalsmethoden continu aan het verbeteren.”

In 2021 begon Maaike Dekkers-Duijts te bouwen aan een IT-bedrijf. Ze bracht verschillende bedrijven, Four IT, Scala Solutions, Tech Bakery en D-Two, samen onder één paraplu en creëerde zo een nieuwe speler met ambitie. “We willen een top 5 speler worden in het IT-landschap.”

Op de grens van 2024 wil Maaike Dekkers-Duijts verder groeien met de onderneming. “We hebben de positie en de propositie om ­verder te groeien. En om dat te realiseren kijken we toch in eerste instantie naar msp’s. Als die een volgende stap over­wegen, wil ik dat wij de eerste zijn aan wie ze denken.”Dekkers-Duijts heeft naar eigen zeggen een club gebouwd ‘waar energie in zit’. Een organisatie waar de mensen op een leuke manier met klanten en met elkaar bezig zijn.

“We groeien en doen zaken vaak net even anders dan anderen.” Dat ‘andere’ uit zich volgens de CEO in de hoge mate van customer intimacy. Door onafhankelijke labels te houden binnen de holding, lukt het de verschillende bedrijven die intimiteit te blijven bieden. “We hebben nadrukkelijk de ambitie om met de Four IT Group uit te groeien tot een top 5-speler in het IT-landschap. En dat zowel op het msp-stuk als op het Enterprise volume-stuk.” De CEO zegt daarmee: ‘Beste fabrikant, msp, channel: we zijn hier, we groeien, we gaan vooruit. Houd ­dus ­rekening met ons!’

Het belang van een msp

“Het is en blijft toch een stap om iets essentieels als IT, als applicatiebeheer, als security uit handen te geven als ondernemer,” weet Dekkers-Duijts, die zelf een achtergrond als zelfstandig ondernemer heeft. “Als een bedrijf dan gaat outsourcen, dan liefst met een vertrouwenwekkende partij die alles uit handen neemt. Dus geen opgetuigd geheel van subcontractors.” Binnen de groep hebben we bijna de gehele dienstverlening zelf in huis, dat is een speerpunt van het bedrijf. Dekkers-Duijts: “Dat zorgt voor een organisatie die flexibel kan omgaan met de kansen en uitdagingen van onze klanten. Tegelijkertijd betekent het dat we de gewenste en vereiste kwaliteit kunnen waarborgen.”

360 lifecycle management

In de praktijk blijkt dat eindgebruikersorganisaties zelf lange tijd de IT willen managen. “Succesvolle ondernemers bouwen aan hun bedrijf. Aanvankelijk handelen ze alles zelf af, maar er komt een moment dat ze beseffen dat ze niet het beheren van de laptops, het netwerk, tot de security, alles zelf kunnen doen. Dan komen ze bij ons terecht, wij kunnen de zorg voor hun IT-omgeving in de volle breedte overnemen, van de aanschaf van devices en het beheer, tot de duurzame uitfasering.” En dat, zoals gezegd, met eigen personeel.”

Op deze manier speelt Four IT in op een actuele trend: 360 lifecycle management. “Van het begin tot het eind nemen we alles uit handen. Inclusief inruil, datawiping, refurbishment en de financiering.”

Dat laatste betekent, volgens Dekkers-Duijts, dat er steeds een klantdossier is dat naadloos wordt overgedragen tussen experts. Op die manier spreken klanten altijd iemand binnen de groep die volledig op de hoogte is van hun business. “Het gaat in de praktijk vaak mis op het snijvlak van de ene naar de andere leverancier,” weet de CEO. “Vaak is dat een ingewikkelde overdracht. Dat probleem zul je bij ons niet hebben.”

Lacunes in positionering

“We h­­ebben een groot stuk dienstverlening dat fungeert als msp (Scala Solutions in Huizen) en we kennen het speelveld. We zien wat daar gebeurt. Ja, we hebben zo goed als alles in eigen huis, maar dat zouden we voor nog veel meer klanten willen invullen. Dat is een opening naar het kanaal.”

“Zoals elke partner hebben ook wij de leveranciers nodig, zowel op het gebied van software als voor hardware, en ook zij zullen deze tekst lezen. Er is echter nog een reden. We zijn een brand house dat meerdere ondernemingen onder één paraplu brengt. En daar zijn we nog niet mee klaar. Zo kijken we nadrukkelijk naar uitbreiding door de acquisitie van regionale msp’s, waar het huidige management toe is aan de volgende stap. Dat is nu niet direct een open sollicitatie naar alle msp’s, maar via dit interview vertellen we wel waar we sterk in zijn, wat onze propositie is en dat er regionaal nog wel lacunes zijn die we willen invullen in onze positionering.”

Four IT werkt met en voor mensen

“Wat ons met name uniek maakt is menselijkheid en de menselijke maat. We werken met en voor mensen. En dat heel flexibel. Door het goed aanbieden van die combinatie maken we echt onderscheid, merken we, Vandaar dat dit ook bovenaan staat in ons brandhouse ‘Mensen!’”

Een belangrijk onderdeel van elke service-business is het organiseren van een goede servicedesk. Dekkers-Duijts: “Als je dan kijkt naar onze msp en eerste- en tweedelijns supportbusiness, dan zie je dat we daar ook kennisintensieve mensen op de helpdesk hebben zitten.” De achterliggende filosofie daarbij is dat elke helpdeskmedewerker iedere klant gelijk moet kunnen helpen. “Dus niet eindeloos tickets aanmaken als je contact zoekt, maar direct persoonlijk contact. Ook op dat moment nemen we de klant zorgen uit handen.”

Wat ons met name uniek maakt is menselijkheid en de menselijke maat

Refurbishment steeds belangrijker

Op de website van Four IT en D-Two vinden de bezoekers veel informatie over refurbishment en duurzaamheid. We vragen hoe het onderwerp landt in de markt. “Het wordt steeds prominenter”, antwoordt de CEO. “Er komen nu erg goede producten weer terug op de markt.” De holding waarvan Dekkers-Duijts CEO is omvat ook een organisatie (D-Two in Elst) die het hele hardware lifecycle-management doet. “Organisaties leveren forse partijen afgeschreven hardware in, die wij vervolgens een tweede leven geven. Wat goed te refurbishen is blijft in Nederland, iets minder goed gaat naar het buitenland of naar scholen en als dat niet meer lukt qua kwaliteit dan worden de devices helemaal gerecycled.

Dat past heel goed in onze ESG-doelstellingen. Het hergebruik is milieutechnisch belangrijk, maar we voeren het ook nog eens uit met mensen die een zekere afstand tot de arbeidsmarkt hebben.” Ook voor de MVO en ESG-doelstellingen van klanten is de aanschaf van refurbished apparatuur gunstig. “En het wordt steeds vaker gevraagd bij aanbestedingen of RFP’s”

Msp-consolidatie vlakt af

In dit eindejaarsnummer vragen we Dekkers-Duijts naar haar beeld van 2024. “We zien op dit moment in de msp-markt veel consolidatie. Maar anders dan in de afgelopen jaren. Het pure private-equity model waarbij msp’s worden gekocht en samengevoegd vlakt wat af. Maar de consolidatie gaat wel verder.” Men is dan vooral geïnteresseerd in bedrijven met een meerwaarde. “Hooggekwalificeerd personeel – ook op de tweedelijns support, een goede regio, een interessante niche. Dat is, verwacht ik, de trend voor komend jaar.”

We zien op dit moment in de msp-markt veel consolidatie

Onderscheidend

Het is daarnaast meer dan ooit belangrijk dat bedrijven zich weten te onderscheiden. “Er zijn immers inmiddels nogal veel partijen die als dienstverlener Office 365 aanbieden.” Minstens zo belangrijk is dat niet die ene technicus in een bepaalde situatie het enige point of failure is of kan zijn. “De bedrijven die zich bij ons aansluiten worden onderdeel van een groep ondernemingen die ook in technisch opzicht een team ­vormen. Ze hebben hun eigen business en ­specialisatie, maar je bent in een ­grotere omgeving niet als enige eindverantwoordelijk. Je kunt sparren en kennis delen met gelijken. Dat maakt ons als bedrijf sterker en zorgt ervoor dat mensen hier graag werken.”

Met vier hallen en nog meer bezoekers dan de 3000 van vorig jaar bood Cloud Expo de deelnemende leveranciers een uitgebreid podium om hun cloud-proposities te presenteren.

Natuurlijk waren de twee dagen in Expo Houten ook zeer geschikt om te netwerken, of zoals de directeur van een msp zei: het evenement is LinkedIn in levende lijve. Maar er werd in de verschillende ‘theaters’ zeker ook kennisgedeeld.

Uitdager van Amerikaanse partijen

Zo ging Edward van Katwijk, Senior Business Development Manager bij Huawei (foto) uitgebreid in op de kansen voor partners binnen het cloud ecosysteem van de Chinese leverancier. “De cloud divisie van ons bestaat nog niet heel land, maar we groeien hard en vormen een serieus alternatief voor de Amerikaanse dominantie in de vorm van Azure, AWS en Google.” Van Katwijk maakte duidelijk dat de snelle groei van Huawei Cloud zonder de nauwe samenwerking met partners en ontwikkelaars niet mogelijk was geweest.

Goede marges

Softwarepartners spelen een belangrijke rol binnen het cloud-ecosysteem van Huawei. “Ze kunnen met onze SaaS-bouwstenen applicaties ontwikkelen die toegesneden zijn op branches waarin ze als partner gespecialiseerd zijn. Ze krijgen daarbij end-to-end ondersteuning van ons,” legde Van Katwijk uit. Ook financieel worden partners ondersteund. Zo kan de marge oplopen tot 40%. “Minstens zo belangrijk is echter dat we gezamenlijk optrekken. Huawei zet bij uitdagingen in een project niet de consultancy motor aan, maar we willen samen met de partner de beste oplossing naar de markt brengen.”

In onze rubriek ‘Het meest opvallende nieuws volgens…’ volgt een prominent in de markt een week lang intensief de berichtgeving op ChannelConnect.nl. Hij of zij selecteert een bericht dat opviel en geeft er een reactie op. Vandaag Jeroen Gijzen van Wireless Logic.

Op 28 november publiceerde ChannelConnect een artikel over de jaarlijkse ICT Benchmark Ziekenhuizen van M&I/Partners. Innovatie in ziekenhuizen zou ernstig belemmerd worden door stijgende kosten. De afgelopen vijf jaar blijven de ICT-kosten ten opzichte van de omzet gelijk op 5,7%. Maar omdat er steeds meer geld gaat naar zaken als ICT-personeel, exploitatielasten op software en lifecycle management (patches en upgrades bijvoorbeeld) blijft er te weinig over om innovatie en optimalisatie met ICT te realiseren.

Maak een strategische keuze

Met deze kennis kwam er bij Jeroen Gijzen, commercieel directeur bij Wireless Logic, een belangrijke vraag naar boven: in hoeverre is verdergaande digitalisering in de zorgsector een strategische keuze? “Wanneer in de top van een zorginstelling wordt besloten invulling te geven aan de digitaliseringsparagraaf van het Integraal Zorgakkoord, dan ben je niet afhankelijk van bijvoorbeeld oplopende personeelskosten binnen het ICT-domein. Dan wordt er dus geld vrijgemaakt voor innovatie en optimalisatie door het digitaliseren en automatiseren van processen.”

Internet of Things-oplossingen

“Dit gebeurt nu niet of onvoldoende. Gemiddeld is 1,1% van de totale omzet van het ziekenhuis beschikbaar als investeringsbudget voor ICT, op basis van de benchmarkresultaten. Daar kun je dus helemaal niks mee. Kernvraag hier is: wat is leidend? Het IT-budget of het probleem dat je ermee oplost? De redenering waarbij je denkt dat je voor het halve geld ook het halve resultaat krijgt, gaat niet op. Je krijgt dan veel minder. Overbelast je zorgpersoneel nog steeds met administratieve taken die geautomatiseerd kunnen worden en je geeft geld uit aan IT-systemen die niet ten volle worden benut. De gevolgen zijn duidelijk: innovaties in de zorg komen maar heel moeizaam van de grond. Toepassingen voor zorg op afstand, zoals het werken met wearable devices om bepaalde gezondheidswaarden vast te stellen, zijn beschikbaar. De technologieën zijn bewezen en beschikbaar, zoals machine to machine communicatie (Internet of Things). Dit zijn essentiële bouwstenen om de druk in de zorgsector te verlichten.”

Gebrekkige koppelingen

Gijzen spreekt uit eigen ervaring wanneer hij zegt dat nog lang niet alle systemen in de zorgomgeving met elkaar kunnen communiceren. Tot grote frustratie van het zorgpersoneel dat hierdoor gedwongen is data handmatig over te zetten. Dat terwijl er toch veel inspanningen zijn om administratieve handelingen zoveel mogelijk uit het primaire zorgproces te halen. “Dit lukt blijkbaar nog onvoldoende. Als er toch zoveel geld gaat naar de exploitatie van de software, dan mag hier ook wel eens kritisch naar gekeken worden.”

Zorg op afstand

Daarnaast ziet hij kansen om bestaande innovaties beter te benutten. Zo werken verschillende zorgverleners met persoonsalarmeringsystemen, die cliënten kunnen activeren wanneer er een incident optreedt. Dit is nu nog vaak een eenvoudig systeem dat een tweeweg spraakverbinding tot stand brengt met de meldkamer. Vaak werken deze systemen nog met een verouderde netwerktechnologie als 2G en 3G, die op termijn worden uitgefaseerd. “Vervang dit systeem tijdig door bijvoorbeeld een oplossing met een smartwatch, die volledig IP-based is en naast positiebepaling zaken als bloeddruk, hartslag en saturatie uitlezen. Met deze laagdrempelige meetinstrumenten kun je tevens cliënten stimuleren hun levensstijl aan te passen en tevens zorg op een veel preventievere wijze gaan benaderen. Is het nu zaak om onze zorgcapaciteit in bijvoorbeeld ziekenhuizen verder op te schroeven of om ervoor te zorgen dat er zoveel mogelijk mensen uit het ziekenhuis blijven?” Gijzen benadrukt nogmaals dat het hier niet om pilots gaat of om proeftuinen. “Talloze vormen van mobiele en digitale zorg werken uitstekend, laat het dan ook voor jou als zorginstelling werken.”

Tijd voor visie

Gijzen trekt de voorzichtige conclusie dat IT-innovatie niet zorgbreed wordt geadopteerd. Het wordt dan ook tijd dat er zorgbestuurders opstaan met een visie waarin innovatie centraal staat. “Zo kun je de druk uit de zorg halen. Op basis van deze visie ga je investeren in innovatie en maak je de mensen enthousiast. Vergeet niet dat je hen vanaf het begin moet meenemen in de ontwikkeling van nieuwe oplossingen, bijvoorbeeld als het gaat om generative AI. Innovaties moeten zo werken dat zij er in het primaire proces iets aan hebben.”

Cyberincidenten en vormen van malware komen bijna dagelijks in het nieuws. Het belang van goede bescherming van hardware-devices en de impact van falende fysieke IT-security wordt zelden belicht. Zes professionals gingen erover met elkaar in gesprek in een Grotetafelgesprek op locatie bij Rittal.

André Hiddink, Product Manager IT bij Rittal, initieerde een Grotetafeldiscussie, die samen met de redactie van ChannelConnect werd georganiseerd. Rittal is leverancier van gestandaardiseerde, modulaire systeemtechnologie, die rack, power, cooling, security en monitoring omvat. Van compacte single-rack-installaties tot colocatie- en hyperscale-datacenters.

Aan het begin van de bijeenkomst legt Hiddink uit waarom hij het thema ‘fysieke IT-beveiliging’ wil adresseren: “Cybersecurity is hot, iedereen heeft het erover. En dat is terecht. Er is geen twijfel dat organisaties dit zo goed mogelijk op orde moeten hebben. Daar zijn inmiddels ook normen en richtlijnen voor en die worden steeds strenger, kijk naar wetgeving als AVG en NIS2. Fysieke IT-security is een onderwerp dat weinig belicht wordt.”

Dat wil Hiddink adresseren in een discussie met specialisten uit de markt. “Het gaat daarbij niet alleen om de toegang tot de serverruimte, of het slot op de serverkast, maar ook om bewustwording. Om de vraag: wat is het belang van fysieke IT-beveiliging?”

Stelling 1: Het mkb is druk met zijn eigen werkzaamheden, waardoor de fysieke security van IT een lage prioriteit heeft.

Thimo Keizer (beveiligingsspecialist RisicoRegisseurs) reageert als eerste op de stelling. “Als ik kijk naar de volwassenheid op het gebied van fysieke IT-beveiliging dan is die laag in de markt. Ja, er zijn rolluiken, sloten en camera’s voor het pand, maar er worden geen of in mindere mate maatregelen getroffen voor de beveiliging van de fysieke IT.”

Vincent Toms (CISO en beveiligingsspecialist) herkent dit. Het mkb is volgens hem bezig met de business van de onderneming. Niet met beveiliging. “Bij die ondernemingen moet eerst iets gebeuren voordat actie wordt ondernomen,” vult Marc van Rijssen (X-ICT, dat computerruimtes bouwt) aan. “Bij een goede relatie van ons heeft een brand plaats gevonden. Tot dat moment zagen zij geen aanleiding om te investeren in een detectie- en blusgassysteem. Geconfronteerd met de impact van een brand wordt nu iedere nieuwe computerruimte van een blusgassysteem voorzien.”

Toms signaleert dat fysieke beveiliging vooral wordt geassocieerd met mannen met oortjes die rond het pand lopen. Fysieke beveiliging is een mbo-functie, cyberbeveiliging is hbo of universitair. Die praten te weinig met elkaar. “En de directie investeert er niet in,” sluit Lex Borger (van msp Tesorion) af. De trigger om te investeren in automatisering is het verhogen van de efficiëntie of het verlagen van de arbeidskosten. Als het gaat om de fysieke omgeving is de opvatting: het werkt en het is goed genoeg: we blijven er vooral vanaf.

Risicoprofiel

Daarbij is het zo dat incidenten die samenhangen met fysieke IT-beveiliging zelden de krant halen. Het is wellicht ook een taboe. Het is geen sterk verhaal als een serverrack uit is gevallen doordat de plant die erop stond te veel water kreeg. “Plof­kraken halen wel de krant, dat rolluik mag wat kosten,” is de analyse van Toon Cooijmans van het Catharina Ziekenhuis, die als eindgebruiker is aangeschoven. “Maar de IT-apparatuur staat bij een mkb-onderneming in de bezemkast tussen de schoonmaakspullen. Daar heeft men geen gevoel bij. Een goed serverrack mag niets kosten, die koop je voor een paar honderd euro online.” Voor Hiddink wordt daarmee de kern van het probleem geraakt. “Bedrijven zijn echt wel met beveiliging bezig, zoals het aanmelden van bezoekers en poortjes bij de ingang. Maar pas als, door gebrekkige beveiliging van de hardware, de boel platgaat investeert men.”

Keizer nuanceert dat toch iets. “Paaltjes bij de juwelier worden voorgeschreven door de verzekeraar. Maar het is ook schijnveiligheid. Wie houd je daarmee tegen? Niet de zware crimineel, want die pleegt een plofkraak als hij de spullen echt graag wil hebben.” Hij betoogt dat elke vorm van beveiliging gebaseerd moet zijn op het risicoprofiel.

Stelling 2: Externe partijen moeten een rol spelen bij het verhogen van de bewustwording.

In verzekeringspolissen gaat het niet of nauwelijks over fysieke IT-beveiliging, weet Hiddink. “Als de fysieke hardware wordt gestolen zijn die kosten gedekt, maar er wordt niet gestuurd op de kwaliteit van de behuizing van de apparatuur, bijvoorbeeld door een lagere premie als die omgeving op orde is.”

Dat voordeel levert de klant te weinig op, is de overtuiging van Keizer. De lagere premie weegt immers niet op tegen de forse investering in een IT-behuizing. X-ICT is het daar als leverancier van dergelijke ruimtes niet mee eens. Zij verzorgen jaarlijks bij de klanten een soort APK. “Dan kijken we ook naar de security, of er een camera in de ruimte is en naar de brandveiligheid. Als externe partij hebben we dan zeker autoriteit.”

Stelling 3: Wie moet binnen een bedrijf verantwoordelijk zijn voor fysieke IT-beveiliging?

In de praktijk voelt niemand zich daar verantwoordelijk voor, is de stellige uitspraak van Hiddink. “Alles ín de computerruimte is IT, de ruimte en de toegang ertoe is facilitair, maar het sleutelbeheer kan zomaar bij HR liggen.” Cooijmans speelt het onderwerp door naar Van ­Rijssen (X-ICT): “Wie zijn dan eigenlijk jouw gesprekspartners? De IT-verantwoordelijke, de directeur, de boekhouder, of zelfs de controller?” “In het mkb doet eigenlijk iedereen ­alles, dat maakt het niet overzichtelijker,” luidt het antwoord.

“In een hoop organisaties, vaak ­kleiner dan corporates of enter­prises, hebben veel IT-medewerkers meerdere taken, waardoor het fysieke deel van de IT er vaak ‘een beetje bij gedaan’ wordt,” weet Cooijmans. “Daar zet de systeembeheerder ­servers in een kast op de afdeling en zegt ‘succes ermee’.” Bij grotere organisaties wordt dit opgepakt door een team binnen de IT-organisatie en is sprake van een duidelijke functiescheiding. Deze verschillen laten zien dat grotere organisaties dit serieus nemen en als een volwaardige taak zien.

Het fysieke deel van de IT wordt er vaak ‘een beetje bij gedaan’

“De behuizing staat qua verantwoordelijkheid los van de servers die erin staan.” Dat leidt dan echter weer tot silo’s: “Dan moet je mensen aanmoedigen met elkaar te communiceren.”

Borger (Tesorion) benadrukt daarom dat een analyse van de risico’s de basis van de beveiliging vormt. “Als je dat gedegen doet, kom je vanzelf tot de juiste maatregelen. Dat zijn misschien cybermaatregelen, of fysieke maatregelen. Of een training van personeel.”

En dan nog is dat geen garantie voor een gedegen beveiliging. “Ik vind dat mijn huis goed beveiligd is,” geeft Toms aan. “Maar is dat zo? Ik laat dat nooit checken. Dus waarom dat dan wel van een organisatie verwachten? De driver ontbreekt.”

Stelling 4: Installerend Nederland vult fysieke beveiliging in naar eigen interpretatie en norm.

Datacenters steken energie in het voldoen aan normen. Er zijn uitgeschreven richtlijnen. Hiddink: “Hun verkoopargument is 99,999% continuïteit.” Maar als het gaat om die paar servers die nog on-premise staan, doet men maar wat. Dat verbaast Cooijmans (Catharina Ziekenhuis) niet. “Uptime is de heilige graal voor een datacentrum. Maar het mkb met die paar servers in het pand kijkt daar toch echt anders tegenaan. Je zult bij een transportbedrijf heel wat moeten uitleggen eer ze die mooie behuizing van Rittal kopen en ook nog eens op de beste plek neerzetten.” Keizer (RisicoRegisseurs) stelt dat bedrijven de gevolgen van uitval nog steeds onvoldoende overzien.

Toms (Global Cyber Risk & Security Expert) onderschrijft dit: “Het gaat om bedrijfscontinuïteit. Daar is veel te weinig aandacht voor.” Het punt, volgens Hiddink, is dat installateurs hun eigen gang kunnen gaan ­zonder duidelijke norm. “Dit terwijl het mkb helemaal afhankelijk is van de expertise van die installateur.” Zorg daarom voor een norm die duidelijke minimumeisen stelt.

Er is te weinig aandacht voor bedrijfscontinuïteit

Volgens Toms leidt dat al snel tot ‘rule based’ gedrag. “Eigenlijk moet een norm een kader geven om ná te denken.” In de AVG wordt eigenlijk niets concreets over fysieke IT-beveiliging gezegd. “Als het niet concreet is, wordt er geen geld uitgegeven,” weet Borger van Tesorion. Van Rijssen (X-ICT) brengt de discussie tot een conclusie: “Wet- en regel­geving hebben pas echt impact.”

Toch zou Hiddink (Rittal) willen ­onderzoeken of je een bepaald ­normenkader niet toch kunt introduceren. Keizer (RisicoRegisseurs) heeft in dat verband een advies: “Een certificering of normenkader kun je met een brancheorganisatie realiseren. Zoals veel branches, van elektriciens tot Keurslagers certificeringen of normen hebben.”

Borger wijst daarbij wel op een mogelijke consequentie: “Als je dan naar die norm reageert op een RFP, dan zal de prijs van jouw oplossing stijgen. Het is de vraag of je bij dit thema dan nog steeds de opdracht krijgt. Wellicht prijs je jezelf met een normenkader wel uit de markt.”

Cooijmans (Catharina Ziekenhuis) herkent dit wel: wie alle risico’s op een rij zet vindt vast veel aspecten die beter kunnen. “Dat gaat geld kosten, en zeker bij het mkb is voor dit onderwerp nu eenmaal weinig tot geen budget.”

Bewustwording

Dat nu is volgens Hiddink precies het probleem. Daarom begint elke vorm van verbetering volgens hem met bewustwording. “De eindklant weet het niet, dus moeten wíj de kennis in de markt vergroten. Zo is het uiteindelijk bij cybersecurity ook gegaan.” De bewustwording moet dan in zekere zin beginnen met de partijen die het mkb van apparatuur en services voorzien.

Borger denkt met Hiddink mee: “De meeste partijen verdienen hun geld echter niet aan die beveiliging maar aan de data, de services, de hardware in de IT-behuizing. Dat is een heel andere rol.” Hiddink geeft het niet op. “Dan moet die installateur, of IT-reseller wellicht samen met iemand die verstand heeft van gebouwbeveiliging op pad.”

Toms (Global Cyber Risk & Security Expert) reageert op een eerdere uitspraak: “Als je de bewustwording op een hoger niveau wilt vergroten dan zou dat theoretisch moeten starten op het hoogste niveau: de overheid. Die komt dan met normen. Dat werkt kostenverhogend voor iedereen, maar maakt de BV Nederland wel veiliger.” Nu vult regelgeving als NIS2 dit deels wel in, “maar echte bewustwording moet uit de sector zelf komen.”

In onze rubriek ‘Het meest opvallende nieuws volgens…’ volgt een prominent in de markt een week lang intensief de berichtgeving in onze branche. Hij of zij selecteert een bericht dat opviel en geeft er een reactie op.

Deze week: Frank van der Gaarden, Team Lead MKB bij Fortinet Nederland. Hij las op 24 november dat het mkb hun cyberrisico’s nog steeds flink onderschatten.
“Het onderzoek van ABN AMRO laat opvallende resultaten zien. Niet alleen zijn de aanvallen in het mkb-segment verdubbeld naar 80%, ook maar liefst 69% van de zzp’ers heeft te maken met cybercriminaliteit. Kleine bedrijven zijn dus nu interessanter voor cybercriminelen dan het grootbedrijf, zo blijkt. En dat is helaas niet verbazingwekkend.

Kopiëren van kwaadaardige code

Cyberaanvallen in het mkb komen zo vaak voor omdat deze ondernemingen dezelfde informatie, klantgegevens en digitale infrastructuur bezitten die aanvallers tot voorheen zo interessant vonden bij grote bedrijven. Het kleinbedrijf beschikt bijvoorbeeld vaak over grote hoeveelheden betalingsgegevens van klanten. Als een hacker het systeem weet binnen te dringen, kunnen ze een indrukwekkende payload scoren – ze kunnen ze zelf gebruiken om snel winst te maken of ze verkopen aan andere hackers.

Het maakt een cybercrimineel niet veel uit of hij nu een grote of kleine onderneming aanvalt. Cyberaanvallen op het mkb zijn net zo geavanceerd als die op grotere bedrijven. Hackers kopiëren letterlijk dezelfde kwaadaardige code. Als gevolg hiervan kunnen kleinere bedrijven gemakkelijk worden overspoeld door een reeks geavanceerde aanvallen.

Security subsidie

Het onderzoek laat zien dat mkb’s meer tijd en budget moeten besteden aan hun cyberbeveiliging. Tot vorige maand ondersteunde de overheid kleine ondernemers in de strijd tegen cybercriminelen. Het Digital Trust Center van de overheid had een subsidiepot gevuld, getiteld ‘Mijn Cyberweerbare Zaak’, waarmee het mkb tot de helft van de kosten voor beveiligingsmaat­regelen vergoed kon krijgen. Het was een proef, gekeken wordt of de subsidie wordt doorgezet. Maar niet alleen het budget is belangrijk, bedrijven moeten ook beter begrijpen welke beveiligingsoplossingen geschikt zijn. Voor nu en de toekomst.

Veiliger netwerk

Een goede methode om snel je basis securityniveau op te waarderen is door je netwerk beter te beveiligen. Vooral nu netwerken steeds complexer worden, en gebruikers steeds vaker op afstand moeten kunnen werken is dat een essentieel onderdeel om cybercriminelen buiten de deur te houden. Het inzetten van Next Generation Firewalls help hierbij. De uitdaging bestaat erin om uit het enorme aanbod aan firewallopties de beste firewall te vinden die nú geschikt is en die kan meegroeien met de organisatie en het netwerk. Dus, welke punten zijn belangrijk bij het kiezen van een firewall?

Drie overwegingen

• Een firewall is een kritisch inspectiepunt voor al het netwerkverkeer. Prestaties worden bepaald door de CPU van het apparaat en de afstemming met het onderliggende besturingssysteem. Een belangrijke overweging is daarom of de CPU de gespecialiseerde functies van de beveiligingsinspectie kan ondersteunen.
• Naarmate het aantal gebruikers, apparaten en toepassingen toeneemt, worden de bandbreedte-eisen natuurlijk hoger. Kijk dus goed naar de doorvoersnelheid. De firewall moet in staat zijn om snel toepassingen te identificeren, te schalen om het toenemende netwerkverkeer te verwerken en te beveiligen.
• Een firewall zou een langetermijninvestering moeten zijn. Maar hoewel de meeste bedrijven verwachten dat hun technologie twee tot vier jaar meegaat, koopt meer dan de helft uiteindelijk om de één tot twee jaar extra tools om problemen in hun bestaande oplossing te fixen of om prestatieproblemen te compenseren. De beste vuistregel is om een goede schatting te maken van de bandbreedtevereisten die je over drie jaar nodig denkt te hebben, deze te verdubbelen en dan een firewall te kiezen die in staat is om die hoeveelheid verkeer te beveiligen.

Best-of-breed is complex

Tenslotte: wil je een oplossing van meerdere leveranciers of van slechts één leverancier? Oftewel multi vendor of single vendor?
Een multi vendor-, of een best-of-breed strategie is niet verkeerd. Maar het is wel complexer. De oplossingen zijn gebouwd op basis verschillende standaarden en er zijn open API’s nodig om workarounds te ontwikkelen en te onderhouden, om zo de oplossingen als één systeem te laten werken. En als dit niet goed wordt beheerd, kan de wildgroei aan oplossingen de beveiligingsomgeving minder effectief maken. Helemaal als de systemen de informatie over cyberbedreigingen niet kunnen delen. Cybercriminelen zijn experts in het vinden en uitbuiten van gaten in de beveiliging en zwakke plekken. Dergelijke gaten zijn meestal te wijten aan verkeerde configuraties en een gebrek aan interoperabiliteit en diepgaande integratie tussen beveiligingsproducten.

Single vendor

Oplossingen van één leverancier, single vendor, kunnen de implementatietijd aanzienlijk verkorten, het beheer vereenvoudigen en de operationele efficiëntie verbeteren. Helemaal als ze worden ondersteund door een gemeenschappelijk besturingssysteem. Gecentraliseerd beheer helpt ook bij het elimineren van configuratiefouten en vermindert de kans op menselijke fouten. Maar het belangrijkste voordeel is misschien wel dat een diep geïntegreerd systeem de enige manier is om de automatisering te implementeren die nodig is voor onmiddellijke detectie en herstel van bedreigingen. Een single vendor oplossing is dus vaak, helemaal voor het mkb, het meest geschikt. ”

API’s zorgen voor de connectie tussen een applicatie en andere programma’s en platforms. Dat maakt ze tot een interessant doelwit voor cybercriminelen. Zeven tips om de beveiliging te verbeteren.

In de snel evoluerende wereld van technologie en softwareontwikkeling zijn Application Programming Interfaces (API’s) onmisbare bouwstenen geworden. Ze maken het mogelijk voor verschillende softwaretoepassingen om met ­elkaar te communiceren. API’s zijn inmiddels alomtegenwoordig. En dat trekt de aandacht van cyber­criminelen. Het gebruik van die interfaces is daarom niet zonder risico’s op het gebied van data­privacy en security. Vooral ook omdat API’s vaak rechtstreeks toegang hebben tot essentiële systemen, zoals databases. Msp’s moeten daarmee rekening houden als ze de omgeving van hun klanten bewaken. Maar ook intern aandacht besteden aan de gevaren van API’s. We geven 7 tips voor een veilige omgang met API’s.

MSP’s en MSSP’s (providers die zich exclusief met security bezighouden) moeten continu inspelen op veranderingen in de markt en op mkb-gebied. Met zes specialisten op het gebied van IT-security ging de redactie van ChannelConnect uitgebreid in discussie. “MSP’s moeten zich concentreren op hun specialiteit en samenwerken met collega’s om een compleet aanbod aan te bieden.”

Openingsvraag: waar moet een MSP of MSSP op dit moment van wakker ­liggen?

“De partner moet zijn klanten duidelijk maken, dat ze onderdeel zijn van een grotere supply chain,” trapt Michael van der Vaart, Chief ­Experience Officer bij ESET, af. “Maar de ­partners moeten het bij zichzelf ook goed geregeld hebben.” Met dat laatste doelt Van der Vaart niet alleen op het feit dat ook een MS(S)P aangevallen kan worden, maar tevens dat de software die ze gebruiken om hun eindklanten te managen kwetsbaarheden kan hebben. Kortom: ook de partner is onderdeel van een supply chain.

Bart Jacobs, Commercieel Directeur bij Claranet Benelux, werkt zelf voor een MSP. “Nu lig ik niet zo snel wakker, maar het is inderdaad zaak dat een MSP zich ervan bewust is een draaischijf te zijn tussen leveranciers en eindklanten.” Met die eindklant heeft de MSP natuurlijk een aanbieder-afnemer-relatie. “We moeten die klant wel meenemen op het gebied van security, hij mag er niet vanuit gaan dat wij alles oppakken. Zo zal het bedrijf er zelf ook voor moeten zorgen compliant te zijn.” Waar Jacobs zich wel zorgen over maakt is het vinden van goede mensen. Dat wordt door de meeste aanwezigen herkend.

De partner moet zijn klanten duidelijk maken, dat ze onderdeel zijn van een grotere supply chain

“Security is voor MSP’s van groot belang,” geeft Sander Bakker, Sales Manager bij eSentire aan. Eindgebruikers zijn in dat opzicht afhankelijk van de MSP’s. “Wij leveren onze diensten aan MSP’s, opdat zij die kunnen aanbieden aan hun eindklanten.”

Bakker refereert daarbij aan de verzuchting van Jacobs: MSP’s hebben niet altijd voldoende kennis of personeel in huis om het hele security-landschap 24/7 in te vullen. “Via ons kunnen ze over meer dan tweehonderd analisten beschikken.”

Marcel Reugebrink, Algemeen Directeur van 2Staff, deelt een andere uitdaging voor partijen in de markt. “MSP’s bieden heel veel diensten en de complexiteit in en van IT neemt ongelofelijk toe. Dat betekent dat er een spagaat ontstaat tussen het aantal aanvallen dat ze kunnen waarnemen en analyseren en het aantal mensen dat ze ter beschikking hebben.”

Daarbij wijst Reugebrink erop dat veel datacontacten tussen medewerkers van een bedrijf en de buitenwereld niet via een MSP lopen. “Denk aan sensorinformatie via een door leverancier geplaatste 5G netwerkcommunicatie zonder dat de MSP daarvan af weet.”

Jacobs (Claranet) reageert daar direct op: “Dat is een groot probleem in de maakindustrie. ­Operationele Technologie (OT) raakt steeds ­vaker het IT-netwerk. Daar is niet iedereen zich van bewust.”

Voor Aeiko van der Made, Lead Consultant bij OpenText Cybersecurity, is op dit moment ­Intrusion Detection van het grootste belang. “Hoe zorg je er nou zo snel mogelijk voor dat je optimaal gepositioneerd bent als er een aanvaller in het netwerk zit.” Te vaak wordt een dergelijk incident te laat gedetecteerd. “Als je dat als MSP overkomt heb je echt wel een probleem.”

Operationele Technologie (OT) raakt steeds vaker het IT-netwerk. Daar is niet iedereen zich van bewust

Jeffrey Rijpkema, Vice President of Sales bij Tekle gaat hierop in. “Het is als de schilder die zelf in een huis woont waar de verf afbladdert.”

Rijpkema kent de MSP- en MSSP-sector van ­binnenuit. “Dat wat ze de klanten adviseren ­implementeren ze zelf lang niet altijd. Wat dat betreft kan de invoering van NIS2, waarmee MSP’s nadrukkelijk te maken krijgen, een positief effect hebben.”

Een onderwerp om wakker van te liggen is ­volgens Rijpkema het feit dat organisaties steeds vaker gebruikmaken van automated ­responses. “Dit, omdat mensen niet langer de kennis ­hebben, of er te weinig personeel is om alles te overzien. Dan wordt al snel gebruik ­gemaakt van scripts. Daardoor kun je belang­rijke signalen missen of te laat zien.”

Stelling 2: De impact van NIS2 zal groot zijn voor MSP’s, zonder dat ze er beter van worden

De stelling adresseert een nog onduidelijk onderwerp. Het is immers nog niet bekend hoe de NIS2-regelgeving er in Nederland uit gaat zien. Het wachten is nog steeds op een consultatieronde door de overheid, maar die werd inmiddels drie keer uitgesteld. Nederland zal waarschijnlijk de deadline niet halen waardoor volgend jaar mogelijk de algemenere Europese richtlijn (tijdelijk) in ons land gaat gelden. Toch is er al wat te zeggen over de impact van NIS2 op MSP’s.

Jacobs, werkzaam bij Claranet, een MSP, reageert als eerste. “We zijn met name bezig met de ketenaansprakelijkheid die NIS2 met zich meebrengt en waarover ik het aan het begin van deze sessie al had.” MSP’s kunnen zeker een rol spelen bij het informeren en adviseren van de eindklant, en moeten zelf ook hun zaken op orde hebben. Rijpkema (Tekle) vraagt zich in dat verband af, of een MSP dan bij de onboarding anders naar nieuwe klanten zal kijken. “Security is de rode draad in ons verhaal,” antwoordt Jacobs. “Wil een eindklant daar niet in mee dan zullen we daar strikt op zijn.” Hij ziet dat eindklanten er in veel gevallen nog lang niet klaar voor zijn. “En dan heb ik het ook over bijvoorbeeld zorginstellingen.”

Van der Vaart (ESET) stelt de vraag hoe MSP’s dit onderwerp interessant maken voor de eindgebruikers. Het heeft immers meer een bestuurlijk dan een technisch kader. Reugebrink (2Staff) reageert hierop. “Ook heel kleine ondernemingen kunnen straks onder NIS2 vallen. Het is van belang er steeds op te wijzen dat de directie verantwoordelijk en hoofdelijk aansprakelijk is. Volgens NIS2 dient het bestuur risicobeheermaatregelen op het gebied van cyberbeveiliging goed te keuren en toezicht te houden op de implementatie ervan. De richtlijn geeft aan dat het bestuur van essentiële entiteiten persoonlijk aansprakelijk gesteld kunnen worden voor de schending van hun verplichting om de naleving van de richtlijn te waarborgen. Dat kan niet gedelegeerd of uitbesteed worden.”
Bakker reageert op het tweede deel van de stelling. “Een MSP wordt er wel degelijk beter van: het is een mooi onderwerp om bij een klant aan tafel te komen. We kunnen niet de hele keten van de klant overzien, maar we kunnen wel aangeven waaraan ze zelf moeten voldoen.” En daarnaast, vult Rijpkema aan, wordt hun eigen bedrijfsvoering ook op een hoger niveau gebracht door deze regelgeving.

Van der Made (OpenText) ziet zeker ook kansen voor MSP’s. “Ze zouden het als een kans moeten benaderen, zowel intern als extern. Intern als check voor de eigen organisatie, extern als gespreksonderwerp om met hun klanten te kijken welke stappen ze nog kunnen maken als het aankomt op NIS2 en wellicht ook welke oplossing daar nog bij passen.”
Jacobs gaat nog in op de ketenverantwoordelijkheid. “In Eindhoven bestaat nu het Cyberweerbaarheidscentrum Brainport dat er met alle bedrijven die er lid van zijn voor wil zorgen dat de hele keten compliant wordt. Zo kunnen enterprises de mkb-schakels in de keten helpen om niet alleen aan de eisen te voldoen, maar brengt men gezamenlijk ook de security-volwassenheid op een hoger plan.”

Stelling 4: Eindklanten moeten nauwkeurig bepalen wat ze wel of niet beveiligen.

De toelichting bij deze stelling is wat apart: in het nieuws was een fabrikant van voedingsmiddelen die beweerde dat zijn recepten niet bijzonder waren. “Die mochten best uitlekken.” De manier waarop de machines in zijn fabriek functioneren was volgens de directeur wel uniek. “Daar mag niemand foto’s van maken.”

Volgens Van der Made (OpenText) is selecteren wat nadrukkelijk beschermd moet worden niet nieuw, het wordt al gedaan in de vorm van classificatie van data.” Volgens Rijpkema (Tekle) is dat niet voldoende. “Je moet echt bepalen wat de kroonjuwelen van een onderneming zijn. En vanuit dat gegeven de risico’s bepalen.”

De aanwezigen zijn het erover eens dat dit bij enterprises wel gedaan wordt. Reugebrink (2Staff): “Ik vermoed echter dat veel mkb-ondernemingen nog niet zover zijn.” Hij gaat verder in op het thema, door te stellen dat bij een onderneming, ook als die kleiner is, business continuity, informatiebeveiliging en de professional die dagelijks met de business bezig is samen tot een beleid moeten komen. “Zij kunnen samen een antwoord vinden op de vragen “Welk business proces gaan we beveiligen en hoe gaan we samen met toeleveranciers de digitale keten rondom het businessproces beveiligen?” Bakker (eSentire) reageert instemmend: “En dan zit dit beleid niet alleen verankerd in de strategie van de directie, maar hebben ook de anderen zich geconformeerd op de lange termijn.”

“Maar ook op de business van volgende week,” vult Van der Vaart (ESET) aan. “Voor veel kleinere bedrijven is de toekomst volgende week. Maar ook zij moeten zich realiseren dat het op de driehoek personeel, proces en techniek fout kan gaan. Dan kun je bijvoorbeeld geen klanten meer inplannen. Of facturen uitsturen.”

“Ik geef een geanonimiseerd voorbeeld uit de praktijk,” vult Jacobs (Claranet) aan. “We werken voor een partij die, simpel gezegd, schepen laat varen. Daarop wil een groot aantal contractors en leveranciers onderhoud verzorgen.” Volgens Jacobs houden de business owners binnen de rederij zich daar niet mee bezig, zij willen simpelweg dat die schepen varen. “Het gaat dus eerst om bewustwording. We hebben het hier over OT, dan gaat het potentieel bij een incident om mensenlevens.” Volgens Jacobs, die met Claranet een project verzorgt bij deze rederij, moet je eerst met de business owner praten en uitleggen dat het monitoren van de IT bij en van de toeleveranciers niet minder belangrijk is dan zwemvesten aan boord.

De focus ligt vaak te veel op de techniek en minder op de mensen en processen waardoor er gaten in de verdediging ontstaan

Bakker (eSentire) stelt dat veel bedrijven zich echt wel realiseren dat het niet de vraag is of ze worden aangevallen, maar dat alleen het moment onbekend is. “Maar men realiseert zich niet dat dit consequenties heeft voor de weerbaarheid. De vraag moet zijn: hoe snel kunnen we herstellen en terugkeren naar de oorspronkelijke situatie?” Het antwoord op die vraag is te vinden in een analyse van de risico’s. “Hoe anticipeer je daarop, hoe kun je aanvallen het best weerstaan en als ze toch plaatsvinden: hoe ontdek je de inbraak, hoe stop je het en hoe herstel je de schade. En tot slot: hoe voorkom je een dergelijk incident in de toekomst?”

Dat patroon geldt overigens ook voor de MSP weet Rijpkema. “Zij verkopen geen onfeilbaarheid, maar ook wat na een aanval komt.”

Reugebrink sluit dit onderdeel af. “Ja, NIS2 zet in op security in de keten, en terecht. Maar dat is heel ingewikkeld, blijkt al uit deze discussie. Daar moet over de grenzen van bedrijven heen over nagedacht worden. “En ook dat geldt ook weer voor de MSP,” weet Rijpkema. Die verkopen en beheren immers zelden de complete stack. “Daar werd al eerder in het gesprek aan gerefereerd,” herinnert Jacobs zich. “Ook de software van externe partijen kan kwetsbaarheden hebben.” De deelnemers zijn het er voor een groot deel wel over eens dat de samenwerking tussen de IT-partijen beter kan op dit gebied. Reugebrink: “En ook in dat opzicht moet ik herhalen dat het ook bij die samenwerking gaat om te bepalen hoe de business continuïteit gegarandeerd kan worden. Dat kan een hoop werk zijn.”

Van der Vaart van ESET brengt de complexiteit in zoverre omlaag, door te stellen dat veel MSP’s uiteindelijk vooral Microsoft-omgevingen uitrollen en beheren. “Hun toegevoegde waarde zit in het verhaal daarachter, namelijk de security en het advies over business continuity.” Waarbij, stelt Van der Made, de MSP en de eindklant moeten weten dat niet alle security van de SaaS-aanbieder komt. “Ook voor bijvoorbeeld back-ups kun je maar in beperkte mate op de bekende services vertrouwen.”

Voor Bakker (eSentire) brengt ook die constatering eigenlijk al een te complexe situatie met zich mee voor veel mkb’ers. “Bij elke organisatie waar is ingebroken was eigenlijk al securitytechnologie in huis. Toch vond het incident plaats, want de verdedigende mechanismen werden omzeilt. De focus ligt vaak te veel op de techniek en minder op de mensen en processen waardoor er gaten in de verdediging ontstaan. We kunnen het wel hebben over techniek, mensen en processen, maar zo denkt het mkb niet. Of al die elementen zitten in het hoofd van de directeur. Het is aan een buitenstaander, de serviceprovider, om in die kennis te voorzien.” Jeffrey Rijpkema beaamt dit. “Kleine bedrijven moeten dit allemaal uitbesteden.”

Dwight Maanster, Country Manager Nederland voor Dynatrace, las het nieuws over een onderzoek van ZScaler, waaruit blijkt dat het merendeel van de organisaties bezorgd is over de veiligheidsrisico’s van AI-tools.

“Ik kan me voorstellen dat er bij organisaties zorgen heersen over de veiligheid van AI-tools. Het is ook ongelooflijk snel gegaan. Tot de lancering van ChatGPT, op 30 november 2022, was AI voor veel organisaties iets dat misschien ergens in de toekomst een rol zou kunnen gaan spelen voor de business. Nu, slechts 12 maanden later, heeft ChatGPT ‘het werkleven getransformeerd’, zoals te lezen valt in FD. Bij bijna iedere organisatie wordt ChatGPT al gebruikt voor sommige taken, of ze zijn in ieder geval serieus aan het kijken naar de mogelijkheden van AI. Wat kan het voor mijn bedrijf betekenen? Hoe kan het helpen om kosten te besparen, efficiënter te worden, om meer te doen met minder mensen? En dan volgt al snel ook de vraag: kan dat wel veilig?”

Eerste begin

“We mogen niet vergeten dat we – ondanks die spectaculaire groei van het afgelopen jaar – pas aan het begin staan van de AI-revolutie. De komende maanden en jaren gaan we meer te weten komen over hoe we deze technologie het beste kunnen inzetten om ons te ondersteunen en ook hoe we dat veilig kunnen doen. Dat vraagt natuurlijk om meer dan alleen de inzet van een tool zoals ChatGPT. Een gedegen AI-strategie kijkt niet alleen naar dit soort generatieve AI-tools, maar combineert deze met causale AI-systemen die in staat zijn om de relatie tussen oorzaken en gevolgen te bepalen. Dit kan vervolgens gekoppeld worden aan voorspellende AI, dat patronen in historische data analyseert om tot verwachtingen en aanbevelingen te komen. Organisaties die erin slagen om AI op deze manier slim in te zetten voor hun business, kunnen rekenen op succes en groei voor de toekomst.”

Monitoring

“Daarbij zullen ze ook ontdekken hoe ze AI op een veilige manier kunnen inzetten. En dat kan op verschillende manieren. Uit het onderzoek blijkt bijvoorbeeld dat bijna een kwart van de ondervraagde organisaties het gebruik van AI-tools niet monitort. Dan hebben we het dus over een nieuwe vorm van ‘shadow-IT’ en dat wil je natuurlijk voorkomen. Dat kan bijvoorbeeld door binnen je organisatie de juiste observability-oplossingen in te zetten, die alle processen monitoren en inzichten bieden over de hele IT-infrastructuur en toepassingen die daarop gebruikt worden. Door AI strategisch en goed gepland in te zetten, pak je ook meteen de zorgen over de veiligheid aan. Dan neemt het vertrouwen toe en zullen we snel zien dat AI een wezenlijke bijdrage kan leveren aan het verbeteren van de processen en het automatisch voorkomen of verhelpen van problemen. Dat gaat veel verder dan alleen het genereren van teksten of ideeën.”

Slim en veilig inzetten

“Daarnaast zijn er ook veel bedrijven die al jaren op een structurele manier bezig zijn met het ontwikkelen en implementeren van AI-oplossingen. Wij zelf doen dat al sinds 2016. Die bedrijven met een goed AI track record zorgen ervoor dat organisaties het potentieel van AI nu al op een veilige manier kunnen inzetten voor hun business, zonder de risico’s die horen bij pionieren of bij het zelf ontwikkelen van AI-tools. Een ding is zeker: AI is een van de belangrijkste ontwikkelingen van de afgelopen jaren, die ons veel goeds gaat brengen, als we het slim en veilig weten in te zetten.”

We hebben het waarschijnlijk allemaal ­regelmatig meegemaakt: de brand- of ontruimingsoefening. BHV’ers rennen nerveus door het pand en geven collega’s die toch in de lift willen stappen een standje. De andere ­medewerkers sjokken lacherig 14 verdiepingen naar ­beneden, waar de rokers die toch al buiten stonden zich allang bij het verzamelpunt hebben gemeld.

Hoewel de kans op een cyberincident ongeveer 80 keer groter is dan het risico op brand, voeren we ­zelden cyber-ontruimingsoefeningen uit. Er zijn ­experts die vinden dat je een ethical hacker op elk moment op elke segment van het netwerk moet toelaten. Dat is, denk ik, best gewaagd. Aan de ene kant vanwege het feit dat je dan qua AVG en (straks) NIS2 waarschijnlijk zo strenge afspraken met de testende partij moet maken, dat een dergelijke oefening ­nauwelijks uit te voeren is.

Uit te stellen

Aan de andere kant ligt ook hier de vergelijking met de fysieke brandoefening voor de hand. Natuurlijk kan er een échte brand uitbreken op het moment dat de belangrijkste klant van de onderneming over een contractverlenging komt onderhandelen, maar ­slimmer is het de test even uit te stellen. En: een branddeur die een uurtje openstaat tijdens een regenbui is te overzien, maar om nu twee keer per jaar het hele gebouw plat te leggen door ook de sprinklers uitgebreid te testen gaat wat ver.

Het is onvermijdelijk dat elke test een storing is van een lopend proces

Lopend proces

Nu is het onvermijdelijk dat elke test, of het nou de toegang tot de computerruimte, de aanval van een ethical hacker of een traditionele ontruimings­oefening is, op dat moment een storing is van een lopend proces. De deadline van een krant, bijvoorbeeld. Nu hoeft ook dat niet per se een probleem te zijn. Ervaring bij de betreffende teams kan de meeste incidenten opvangen, als iedereen meewerkt.

Machines

Dat laatste is dan wel een voorwaarde. Ik maakte bij een groot computertijdschrift (nee, niet Channel­Connect) mee dat de chefredacteur zich braaf bij het verzamelpunt had gemeld na de ontruiming, maar vervolgens op zijn fiets was gestapt en, voor ons onbereikbaar, naar huis reed. “Hoe kun je dat nou doen,” was de volgende ochtend onze verontwaardigde vraag. “We moesten alle zeilen bijzetten om alles op tijd naar de drukker te krijgen.” De mede­werker in kwestie keek ons verbaasd aan en antwoordde: “Bij een echte brand waren we toch ook niet op tijd naar de drukker gegaan?” Kortom: de mens is bij security wellicht niet zozeer de zwakste schakel, zoals vaak wordt beweerd, maar soms wel de minst voorspelbare. Gelukkig maar, we zijn immers geen machines.