Je leest het regelmatig op ChannelConnect: bedrijf x neemt bedrijf y over. Het lijkt erop dat consolidatie een gegeven is in de markt van IT-dienstverleners. Tijdens een partnerevent nodigde Datto, zelf sinds kort overgenomen door Kaseya, drie specialisten uit om in te gaan op de vraag: wanneer ben ik als msp interessant om overgenomen te worden?

Emiel Havinga, Executive bij Director Future­proof Group, Marc Visser, oprichter van hallo, en Stijn van den Brink, M&A-director bij TSH waren als specialisten uitgenodigd door Datto. De drie ondernemingen waarvoor zij werken richten zich met name op het mkb. Daarnaast hebben de drie sprekers een goed beeld van de markt waarin partners die zich met managed ­services bezighouden actief zijn. Zij geven antwoord op vragen van Hans ten Hove, Area Vice President Continental ­Europe bij Datto.

De consolidatie is in Nederland de afgelopen jaren versneld. Waar staan we op dit moment?

Visser geeft als eerste antwoord. “Ik had verwacht dat de hogere rentes meer impact zouden hebben, maar dat effect zien we nauwelijks.” Het goede van msp-bedrijven is dat terugkerende business voor een langdurige relatie met klanten en ­continuïteit zorgt. “Dat zijn interessante bedrijven om in te investeren.” Ook Van den Brink ziet niet echt een vertraging in de marktconsolidatie.

Wat maakt een msp interessant in te investeren?

Havinga geeft aan eigenlijk eerst te ­kijken naar een persoonlijke klik. “In onze groep is en blijft de ondernemer heel belangrijk. Dat is dus het startpunt voor de gesprekken.” Het team dat de ondernemer om zich heeft staan is minstens zo belangrijk. “Hoe goed zijn die ­mensen, is het bedrijf in staat goede mensen te vinden en binden?” Dat is zeker in de huidige markt, die zich kenmerkt door schaarste aan goede mensen, van belang. Maar natuurlijk kijkt Havinga ook naar de ‘fundamentals van de business’. “Heel belangrijk is recurring business, omzet die voor een bepaalde periode gegarandeerd is. Naast de marge en of het bedrijf efficiënt opereert.”

Van den Brink gaat dieper in op het belang van terugkerende business. “We willen toch wel graag dat minimaal 50% van de business recurring is, en liever nog 80%.” Dat staat niet per se in steen gehouwen, geeft hij echter aan. “Als het drie jaar geleden 50% was en nu 75% dan is dat een sterke ontwikkeling.” Hierbij, geven de sprekers aan, moet niet vergeten worden dat het begrip ‘recurring’ niet erg strak gedefinieerd is. “Er zijn verschillende contractvormen en het is vooral belangrijk om te analyseren welke diensten en uren wel onder het standaardcontract vallen en welke niet.”

Visser sluit zich daarbij aan. “Wij zouden eerder streven naar 60% recurring of hoger. Maar nog belangrijker vind ik het op te merken dat een msp wel al op een moderne manier werkt, dat het on-premise denken echt verleden tijd is.” Net als Havinga benadrukt ook hij dat het begint met de mensfactor.

Stel een ondernemer denkt: ik ben als msp goed bezig, ben een fijne vent met een mooi team, en ik heb goede producten. Wat kan ik nog meer doen om interessant te zijn voor een investeerder?

“Het begint ermee dat je echt die overname als doel hebt en jezelf in de kijker speelt,” zegt Havinga. “Niet alleen wij drieën op het podium, maar iedereen in onze sector is continu bezig de markt in kaart te brengen. Dus je kunt al snel opvallen.” Tips: bezoek events als dat van Datto in Zeist, praat met collega’s, deel in je eigen netwerk dat je open staat voor een overname,

De drie heren zijn het eens over het feit dat de ondernemer dan keuzes moet maken: focus je ambitie en vooral: wees onderscheidend. Bijvoorbeeld in klantsegment, sector, technologie of propositie. Voorbeelden van dat laatste zijn een specialisatie in werkplekbeheer of security. Visser: “We zien ook graag dat de oprichter al een stap terug heeft gedaan. Dat hij of zij niet meer in, maar aan zijn bedrijf werkt. Dat een managementteam de business runt en hij of zij zelf naar buiten kan.”

Wat ons allemaal bezighoudt is de vraag hoe de waarde van een onderneming bepaald wordt.

Het antwoord van de drie heren was wat minder concreet dan bij de andere vragen. Uiteraard gaat het om een aantal keer het EBITDA van de onderneming. Maar de heren spreken over een range van grofweg tussen 5 en 8. “Maar je kijkt ook naar het verleden en de perspectieven. En of sprake was van eenmalige uitgaven of inkomsten. Daar compenseer je dan voor.”

Hoe verloopt na de overname de integratie van een partnerorganisatie bij jullie?

Havinga: “natuurlijk doen we voor de transactie uitgebreid boeken­onderzoek. Maar pas na de over­name leren we elkaar wederzijds goed kennen. Daar besteden we veel aandacht en zorg aan.” Processen op het gebied van bijvoorbeeld ­Finance en HR worden meteen geïmplementeerd. “Maar qua branding laten we het bedrijf eerst zoals het bij de klanten ­bekend staat in de markt.”

Dat laatste pakt hallo anders aan, maakt Visser duidelijk. “Onze filosofie is toch dat alle msp’s in de markt voor 90% ­eigenlijk dezelfde activiteiten ontplooien.” Zo is het aanbieden van moderne werkplekken van Microsoft een veel geleverde dienst, en ook op het gebied van security en connectivity is er veel overlap. “Dat is voor ons reden de bedrijven echt te integreren.”

Van den Brink raadt msp’s die open staan voor een overname dan ook aan goed te kijken welke strategie de investerende onderneming heeft voor de periode na de overname. “Als je weet hoe je de periode na een transactie wilt inrichten, kun je gericht zoeken naar de daarbij passende partner.”

In onze rubriek ‘Het meest opvallende nieuws volgens…’ volgt een prominent in de markt een week lang intensief de berichtgeving in onze branche. Hij of zij selecteert een bericht dat opviel en geeft er een reactie op. Deze week: Jeroen Engelander, Business IT Advisor bij SoftwareOne.

Jeroen Engelander las op 4 oktober over het Cybersecurity Onderzoek Alert Online 2023. Daaruit blijkt dat een vijfde van de kleine bedrijven zeer slecht beveiligd is. Zij hebben geen afdoende beveiliging bij online activiteiten en zijn vaak het slachtoffer van phishing. SoftwareOne bedient klanten van verschillende grootte en dat dit probleem zich afspeelt in het mkb, vindt Engelander zeer zorgwekkend.

“Het kleinbedrijf is kwetsbaarder voor beveiligingsincidenten omdat zij minder resources hebben. Maar kleine bedrijven denken ook dat ze geen interessant doel zijn voor hackers. Een cybercrimineel zal niet snel ransomware loslaten op een bedrijf met een beperkte omzet, want er valt relatief minder te halen, is de gedachte. Maar werk je samen met grotere bedrijven dan ben je ineens wél interessant voor hackers. Hier gebruiken we dan de mooie term ‘de radius van collateral damage’ voor. Je bent als klein bedrijf Y niet direct het doel, maar wel een interessante tussenstap in de keten. Met inzet van phishing komen essentiële gegevens in handen van criminelen, die deze data weer gebruiken om binnen te komen bij grotere organisaties. Door deze zogenaamde social engineering-methode kunnen grote organisaties via een derde partij worden binnengedrongen.

Wie is de target

Een ingrijpend praktijkvoorbeeld was de situatie met de F-35 Joint Strike Fighter. Nog voor het Amerikaanse toestel was uitontwikkeld lag een gedeelte van de kritieke gegevens al in China. Achteraf bleek dat meerdere subcontractors van de Amerikaanse overheid de beveiliging niet op orde hadden. Het doel van de hackers was dus de overheid, die manier waarop ze binnen kwamen ging via de toeleverancier. Zeg maar, het kleine bedrijf Y.

Risico-inventarisatie

Dat kleinere bedrijven volgens het onderzoek te weinig focus op security hebben, is niet vreemd. Deze ondernemers hebben niet de luxe om de benodigde security expertise in te huren, en bezitten ook geen enorm budget voor beveiliging van de kritieke infrastructuur. Daarom is het goed dat het ministerie van Economische zaken via het Digital Trust Center (DTC) de subsidieregeling ‘Mijn Cyberweerbare Zaak’ heeft gelanceerd. Het is een proef van een maand, en bedrijven kunnen zo backups en een wachtwoordmanager laten inrichten, of een risico-inventarisatie laten uitvoeren. Vooral het laatste is interessant. Als je weet waar je het meest kwetsbaar bent en je zorgt daar voor goede beveiliging, is de kans dat een cybercrimineel aan je deur voorbijgaat een stuk groter. Want elke euro die je uitgeeft aan beveiliging creëert een drempel voor een hacker.

Ketenverantwoordelijkheid

Voor alle bedrijven, groot of klein, is het van belang in te zien dat hoe meer organisaties digitaal met elkaar verbonden zijn, hoe meer ze blootstaan aan collectieve risico’s. Daarom zou er meer sprake moeten zijn van ketenverantwoordelijkheid. NIS2 geeft handvatten die vereisen dat alle bedrijven die vitaal en belangrijk zijn, met verschillende maatregelen beschermd worden tegen digitale criminaliteit. Echter, de veiligheid moet binnen de gehéle keten worden gewaarborgd. Wellicht is de tijd van vrijblijvendheid voorbij en is het noodzakelijk om een informatie- en samenwerkingsplatform te kiezen, waarbij security standaard is geïntegreerd. Als kleinere bedrijven deze uitgangspunten omarmen, zou dit een hoop rust en zekerheid geven in de gehele keten. Op deze manier maken we Nederland samen weerbaar en veilig.”

Copaco staat bekend als hardware-distributeur met sterke logistieke processen. Voor de business unit Copaco Cloud streeft het bedrijf naar dezelfde kwaliteit. “Wij zorgen ervoor dat clouddiensten direct beschikbaar zijn, welke cloud-strategie je ook hanteert,” zegt Rob van den Bogaard, Teammanager Sales Copaco Cloud.

Verschillende datacentermogelijkheden passeren de revue bij het uitdenken van een cloud-propositie voor een partner. “Samen inventariseren we de wensen en behoeften”, vertelt Rob van den Bogaard, “maar voorop staat dat we elke gewenste cloud­-strategie ondersteunen, van private en public tot hybride cloud-mogelijkheden. Onze partners kiezen uit meerdere premium-oplossingen, zoals VMware, Azure, Veeam en Acronis.”

“Net als bij de distributie van onze andere diensten gaat het ook hier om de toegevoegde waarde,” legt Van den Bogaard uit.  “Als partner-only platform bieden we msp’s de mogelijkheid via Copaco VMware Cloud om snel een VMware-omgeving op te zetten. Op- en afschalen van Virtual Machines is volledig geautomatiseerd. Bovendien zijn het gebruik en de kosten per oplossing én per klant duidelijk inzichtelijk.”

Steeds meer msp’s met complexe IT-vraagstukken weten de weg naar Copaco te vinden

Compleet pakket aan cloudservices

De marge op Azure en Microsoft 365 is vaak relatief smal, weet Van den Bogaard. “Copaco biedt partners complementaire diensten om deze marge te vergroten. Zo geven we advies om een cloudportfolio samen te stellen. Ons complete pakket aan clouddiensten, zoals IaaS, back-up en DRaaS en productiviteitsdiensten, creëert een totaaloplossing waarmee we businesscontinuïteit bij partners en eindklanten willen vergroten. Door de eindklant in brede zin te ontzorgen hebben msp’s beslist een goede marge.”

Infrastructuur liever in eigen beheer houden?

“Naast het uitgebreide scala aan cloudoplossingen, ondersteunen we partners ook met (datacenter)hardware- en servicevragen,” besluit Van den Bogaard. “Daardoor weten steeds meer msp’s met complexe IT-vraagstukken de weg naar Copaco te vinden.”

Veel msp’s hebben de wens om hun IT-omgeving en die van hun klanten te migreren naar een Cloud Service Provider (CSP). Een betrouwbare CSP neemt een deel van het werk van de msp uit handen. Die kan hierdoor meer klanten bedienen met hetzelfde aantal engineers. Een ander voordeel is dat hoge investeringen in eigen hardware niet langer nodig zijn. De ogenschijnlijk complexe transitie baart vaak nog wel zorgen. Copaco wil die complexiteit wegnemen met het eigen platform en een eenvoudige maar slimme transitie-aanpak.

Patrick Sondag, Product Manager Copaco Cloud, vertelt hoe partners worden ondersteund tijdens deze transitie. “In het kort: (virtuele) servers en applicaties waarmee de partner zijn eindklanten bedient worden één op één overgezet naar Copaco VMware Cloud.”Hier gaat natuurlijk een inventarisatietraject aan vooraf, waarin de wensen, behoeften en technische benodigdheden volledig in kaart worden gebracht. “We nemen onze partner stap voor stap mee in het proces. Eerst draaien we een pilot en testen het resultaat uitgebreid. Vervolgens migreren we gefaseerd of met een big bang naar de cloud. Een complete transitie kan binnen een week geregeld zijn.”

Partners behouden regie over omgeving

De techneuten binnen een partnerorganisatie zijn soms bang de regie te verliezen bij een overgang naar de cloud. “Maar wanneer ze eenmaal met ons samenwerken, blijkt vaak snel dat ze de voordelen van de VMware Cloud Director-integratie met de Copaco Cloud Management Portal als zeer prettig ervaren. Dankzij onze automatiseringstools is het uitrollen van een Virtual Datacenter echt een peulenschil. Het voorkomt routinematig en weinig uitdagend werk. Daardoor kunnen techneuten juist de focus leggen op de klantvragen en configuratie-requirements.”

Het voorkomt routinematig en weinig uitdagend werk

MSP kiest zelf het datacenter

Als het om data-integriteit gaat is het voor partners belangrijk om de locatie van de datacenters te kennen waar hun applicaties en data worden opgeslagen. Sondag: “Bij veel public-cloudaanbieders luidt het antwoord dan vaak ‘ergens in de EU’, maar voor sommige organisaties zoals overheidsinstellingen is het juist heel belangrijk om data in eigen land te behouden.”

Copaco beschikt daarom over vijf datacenters. Drie staan er in Amsterdam, twee in Brussel. “Je kunt via het Copaco Cloud Management Portal zelf bepalen vanuit welke locatie(s) je de nieuwe VM’s wilt uitrollen” vertelt Sondag. Copaco zorgt ervoor dat back-ups automatisch in een ander datacenter worden opgeslagen.

Samenvattend sluit Sondag af: “Als msp bied je met Copaco VMware Cloud een gecertificeerd en betrouwbaar cloudplatform, waarbij je zelf de volledige controle houdt over al je virtuele omgevingen.”

In onze rubriek ‘Het meest opvallende nieuws volgens…’ volgt een prominent in de markt een week lang intensief de berichtgeving in onze branche. Hij of zij selecteert een bericht dat opviel en geeft er een reactie op.

Deze week is het de beurt aan Steven Maas, Sales Director Data Security Benelux bij Thales CPL. Zijn oog viel op het artikel waarin gesteld wordt dat het mkb nog altijd de risico’s onderschat om in aanraking te komen met hackers en cyberaanvallen. Zorgelijk, stelt Steven. Maar deze vlieger gaat overigens niet alleen op voor mkb-bedrijven. Ook bij middelgrote en grote bedrijven is er nog genoeg werk aan de winkel om cybersecurity écht goed op orde te krijgen.

Noodzaak voor security

“Doordat security geen duidelijke return on investment heeft, wordt het vaak gezien als kostenpost. Dit terwijl een cyberaanval de productie kan stilleggen met alle financiële en reputatiegevolgen van dien. Daarnaast speelt de huidige arbeidsmarktkrapte een rol. Om securityoplossingen goed te laten werken, zijn mensen nodig met de juiste IT-vaardigheden of skills op securitygebied. Dit zorgt bij kleinere organisaties voor grotere uitdagingen dan bij de grotere spelers. Zij hebben vaak immers meer menskracht in huis, in tegenstelling tot de soms eenkoppige IT-afdelingen bij kleine bedrijven. Toch is investeren in security voor ieder bedrijf essentieel. Want of je nu een grote of kleine organisatie bent, veel of weinig cyberspecialisten in huis hebt; de kans dat je slachtoffer wordt van een cyberaanval is er altijd. Het gaat cybercriminelen vooral om hoeveel moeite het kost om binnen te komen en wat het hen kan opbrengen

Een gelaagd offensief

Een effectief offensief tegen cyberaanvallen begint ongeacht de organisatiegrootte met drie essentiële veiligheidsmaatregelen. Ten eerste is bewustzijnstraining voor medewerkers (security awareness) cruciaal, waarbij ze leren hoe ze bedreigingen en kwaadaardige e-mails kunnen herkennen en filteren. Ten tweede is investeren in de juiste technologie essentieel. Dit gaat onder andere om toegangscontrole-oplossingen en multifactorauthenticatie, evenals het gebruik van firewalls om de IT-omgeving te beschermen. Ten slotte valt en staat alles met het ommuren van de kern, oftewel het beschermen van je data/kroonjuwelen met encryptie en goed key management. Is dit drielaagse offensief goed op orde? Dan is het voor kwaadwillenden al een stuk moeilijker om binnen te dringen en schade aan te richten

Risico of hulpmiddel?

Wat we hierin niet mogen vergeten, is het groeiende gebruik van cloudservices. Op het gebied van cyberbeveiliging kan de cloud namelijk zowel een risico als hulpmiddel zijn, afhankelijk van hoe je ermee omgaat. Voor cloud services is het net als voor on premise services nodig om richtlijnen, beleid en beveiligingsmaatregelen op te stellen. Verlies je dit uit het oog? Dan is de cloud al snel een zwakke plek in je beveiligingsbeleid. Toch kan de cloud ook een hulpmiddel zijn voor cyberbeveiliging, zeker voor het mkb. Want ondanks dat je zelf steeds verantwoordelijk bent voor wat er met je data in de cloud gebeurt, kun je wel bouwen en terugvallen op de beveiligingslagen die de cloudproviders en bepaalde technology vendors aanleveren om de security van en de controle op de data in de cloud te gaan waarborgen.

Investeer in de toekomst

Groot of klein, iedere organisatie heeft data om te beveiligen. Daarom is het belangrijk om toekomstgericht met cybersecurity om te gaan. Zaken die we vandaag als veilig beschouwen zijn over vijf tot acht jaar mogelijk te kraken met de komst van de quantum computers. Er komen steeds meer IoT-oplossingen zoals slimme televisies, koelkasten en zelfrijdende auto’s. Deze met internet verbonden apparaten gaan je in de toekomst voor nieuwe cybersecurityuitdagingen stellen. Investeer daarom nu in toekomstbestendige oplossingen, zodat je – ondanks de grootte van je organisatie – ook op de lange termijn je security goed op orde hebt.”

In onze rubriek ‘Het meest opvallende nieuws volgens…’ volgt een prominent in de markt een week lang intensief de berichtgeving in onze branche. Hij of zij selecteert een bericht dat opviel en geeft er een reactie op.

Dwight Maanster, Country Manager Nederland voor Dynatrace, las het nieuws over Huawei, dat vol inzet op artificial intelligence.

AI in de headlines

“De aandacht voor AI-tools en toepassingen is sinds eind vorig jaar echt geëxplodeerd. Hoewel de IT-industrie in feite al heel lang bezig is met AI, heeft de lancering van ChatGPT ervoor gezorgd dat het onderwerp in één klap tot headlines leidde. Alles en iedereen stortte zich op het thema en intussen zijn er zoveel AI-tools dat we door de bomen het bos niet meer zien.”

“Het is daarom goed om even een stapje terug te doen en te kijken naar de verschillende vormen van AI, welke mogelijkheden ze bieden en wat je er als organisatie nu echt mee kan. ChatGPT (evenals Bard, DALL-E en andere bekende tools) zijn zogenaamde ‘generatieve AI’ tools. Hiermee kun je bijvoorbeeld makkelijk en snel allerlei content genereren, zowel tekst als beeld. Dat kan zo eenvoudig zijn als marketingteksten, samenvattingen en social media posts. Maar je kunt ook vragen om programmacode te genereren.”

Causale AI

“Een heel andere vorm is ‘causale AI’. Dit type AI komt eigenlijk veel dichter bij wat we ons vaak voorstellen als we denken aan kunstmatige intelligentie. Causale AI is namelijk in staat om zelf te achterhalen wat de oorzaak is van bepaalde gebeurtenissen. Een tool als ChatGPT kan op basis van de juiste prompt weliswaar ook suggereren hoe iets wordt veroorzaakt. Maar daarvoor gaat ChatGPT in statistische data op zoek naar vergelijkbare gebeurtenissen. En dat levert niet altijd het juiste antwoord op.”

Gevolgen van acties voorspellen

“Causale AI werkt anders. Het bekijkt de relaties en onderlinge afhankelijkheden binnen een technologie-ecosysteem. Dit om betrouwbare en duidelijke antwoorden te genereren voor IT-automatisering. Dat levert nauwkeurigere en beter bruikbare suggesties op dan die van ChatGPT, doordat het zelf oorzaak-en-gevolg relaties/correlaties ontdekt.

Dit betekent dat je met behulp van causale AI echt kan gaan kijken wat er goed of fout gaat binnen de IT-infrastructuur. Geavanceerde oplossingen kunnen dat niet alleen binnen de on-premise infrastructuur doen, maar ook over (hybride) cloud en multi-cloud omgevingen. Als de analyses van causale AI vervolgens worden gecombineerd met voorspellende AI (Predictive AI) is het mogelijk om te voorspellen wat de gevolgen zijn van bepaalde acties of wanneer zich problemen voor zouden kunnen doen binnen de IT-omgeving.”

Automatisch scripts genereren

“Dat is waar slimme oplossingen die gebruikmaken van geavanceerde AI-technieken zoals causale AI een waardevolle bijdrage leveren. De oorzaak van – potentiële of daadwerkelijke – problemen kan snel worden achterhaald. En in veel gevallen ook volledig automatisch worden verholpen. Dat gebeurt door predictive en causale AI te combineren met generatieve AI (zoals ChatGPT), om automatisch scripts en programmacode te genereren en uit te voeren.”

“Het gaat ook verder dan alleen het oplossen van problemen. Op basis van meetgegevens en analytics kan zo ook worden voorspeld waar problemen zich in de toekomst kunnen voordoen. Die kunnen dan op dezelfde manier automatisch, zonder menselijke tussenkomst worden voorkomen. Ook kan causale AI in combinatie met generatieve AI heldere inzichten bieden over de prestaties van de business. Zo’n systeem is zelfs in staat om al in een vroeg stadium trends te detecteren die de mens ontgaan. Op die manier kan een organisatie sneller inspelen op die trends en zo concurrentievoordelen behalen.”

Toekomstige groei

Er is geen twijfel dat AI onze wereld flink gaat veranderen. Organisaties die erin slagen om de juiste vorm van AI op een slimme en verantwoorde manier in te zetten, zullen optimaal profiteren van de mogelijkheden en voordelen en hun toekomstige groei zekerstellen.”

Copaco organiseerde op donderdag 21 september het evenement “Vision on Security’. Geert Verest, Sales Manager Corporate Account Management Team bij Copaco (links op de foto) heette de aanwezige MSP’s, MSSP’s en andere partners die naar de High Tech Campus in Eindhoven waren gekomen welkom. Hij gaf het woord aan Ruben Koeze, Partner Technology Strategist bij Microsoft voor de openingskeynote.

Niet alleen techniek

“Wat is cybersecurity,” was de centrale vraag van de presentatie. “Niet iedereen verstaat er hetzelfde onder,” wist Koeze. “Als ik bij dit publiek van serviceproviders antwoorden zou noteren op de vraag, dan hoor ik waarschijnlijk zaken als firewall, multifactor authenticatie en virusscanners.” En dat klopt natuurlijk, gaf de spreker aan. “Maar het vormt uiteindelijk slechts een klein onderdeel van cybersecurity, namelijk het technische aspect ervan. En dat is wellicht niet het belangrijkste deel.”
Naast de technologie zijn namelijk ook processen en mensen (“people”) van belang. “Je kunt de cybersecurity prima in technisch opzicht inrichten, maar de processen zijn minstens zo belangrijk.” Als je een antivirusprogramma installeert maar niets met de alerts kunt doen omdat je dat qua procedure niet hebt ingericht, “dan is jouw organisatie, of die van jouw klanten, nog steeds lek,” gaf Koeze aan.

Nog belangrijker is het menselijke aspect aan security. “Als zowel technologie als de processen op orde zijn, maar er wort nog steeds massaal op kwalijke linkjes geklikt dan staat de cyberweerbaarheid nog steeds op een heel laag niveau en dweilen we met de kraan open.”

Holistische blik op security

Koeze pleitte daarom voor een holistische blik op cybersecurity, waarbij de drie elementen technologie, mensen en processen aandacht krijgen. “Dat betekent voor een MSP niet alleen dat ze dat intern holistisch moeten inrichten, maar vooral ook voor hun mkb-klant die zelf de kennis niet heeft alle aspecten van security te overzien. En dat betekent uiteindelijk dat we niet voor elk probleem een nieuwe tool moeten aanbieden en die aan alle andere tools moeten verbinden, maar dat we wellicht het personeel van de klant moeten trainen.”

Mkb-bedrijven willen geholpen worden als het gaat om security, bleek uit de keynote. De vraag die bij hen vooral speelt is: “Wat moeten we doen om zo veilig mogelijk te zijn.” Daarbij wordt zowel door de mkb-ondernemer, als door de MPS vaak een denkfout gemaakt, was de opvallende stelling van Koeze. “Security wordt als doel gezien. Als we eraan doen zijn we veilig. Terwijl het andersom moet zijn: ga uit van de risico’s.”

Risico-analyse van groot belang bij security

De vraag zou daarom moeten zijn: wat kost het mijn bedrijf of het bedrijf van mijn klant, als IT door een security-incident korter of langere tijd niet beschikbaar is. En waar zijn we concreet het meest kwetsbaar. “Dat is een heel belangrijke vraag,” gaf Koeze aan. “Als de website down is, kan dat rampzalig zijn voor een online shop. Maar een advocatenkantoor kan best een dag zonder website. Maar als bij dat juristenkantoor klantgegevens op straat komen te liggen hebben ze echt een serieus probleem, terwijl bij een transportbedrijf de digitale communicatie met de chauffeurs van het grootste belang is.”

Met dat voorbeeld onderstreepte Koeze het belang van risicomanagement als basis van elke vorm van security. “Je moet de kans op een incident afzetten tegen de impact van dat eventuele incident. En je vooral richt op het voorkomen van die incidenten met een hoge impact én op het snel herstellen van juist die incidenten.”

Kans op attack is groot

Dat staat, zo bleek uit de presentatie, los van het algemene besef dat cybersecurity nodig is. “We hebben allemaal sloten op onze deuren, de kans op een inbraak is helemaal niet meer zo groot en de kosten die ermee gemoeid zijn vallen ook vaak mee. Dan kans op een brand is groter, en de schade enorm, dus daarom hebben we ook allemaal een brandverzekering. De kans op een cyberaanval is, zeker ook in het MKB gigantisch. Daar wordt echter onvoldoende naar gehandeld.” En dat hangt uiteindelijk samen met die eerdergenoemde risico-analyse. “Pas als je weet wat een incident aan kosten en inspanningen met zich mee kan brengen ontstaat een beeld van de impact. En daarmee een notie van de notie bepaalde incidenten te voorkomen.”

MSP’s hebben belangrijke taak

En daar ligt, zo maakte Koeze duidelijk aan het publiek, een belangrijke taak voor MSP’s. “Ga het gesprek aan met de klant, en analyseer samen waar de risico’s met de grootste impact liggen. En zorg daarnaast voor een goede basis hygiëne op security-gebied bij de klant, door niet alleen de techniek te verzorgen, maar ook te adviseren op het gebied van processen en medewerkers te trainen.”

In onze rubriek ‘Het meest opvallende nieuws volgens…’ volgt een prominent in de markt een week lang intensief de berichtgeving in onze branche. Hij of zij selecteert een bericht dat opviel en geeft er een reactie op. 

Wouter Goed, Senior Country Manager Benelux voor Jamf, las het nieuws over het bedrag van 1 miljoen euro dat de Nederlandse overheid en de Europese Commissie uittrekken voor cybersecurity in het mkb.

“Volgens het ministerie van Economische Zaken en Klimaat (EZK) is deze financiering bedoeld voor projecten die bijdragen aan automatisering van bestaande cybersecurity-oplossingen. Voor behoud en scholing van personeel. Maar ook voor het veilig en privacy vriendelijk delen van data. En voor het ontwikkelen en opschalen van nieuwe, kleinschalige cybersecurity-oplossingen.”

Te weinig geld

“Uit dit zeer beperkte bedrag – 930.000 euro – blijkt opnieuw dat onze overheid cybersecurity niet écht serieus neemt. Per project kan men een bedrag tussen € 25.000 en €75.000 aanvragen. Als we dan kijken naar wat de reële kosten zijn die gepaard gaan met de ontwikkeling of innovatie van securityoplossingen, is al snel duidelijk dat de beschikbare subsidiepot veel te klein is om echt bij te kunnen dragen aan het versterken van cybersecurity binnen het mkb.”

Druppel op gloeiende plaat

“Een snelle rekensom leert mij dat er slechts tussen de 12 en 37 bedrijven een aanvraag goedgekeurd kunnen krijgen. Dan is het budget alweer op. Als we dan zien dat Nederland volgens de Kamer van Koophandel op 1 januari 2023 bijna 450.000 mkb-bedrijven telde, is overduidelijk dat dit een lachwekkend klein aantal is. Uitgaande van 37 subsidies, komt dit neer op niet meer dan 0,0082 procent van het totale aantal mkb-bedrijven in ons land. Dan is het geld dus op.”

“Natuurlijk, de meerderheid van deze mkb-ondernemingen zijn eenmanszaken. Of andere zeer kleine bedrijven en zullen daarom sowieso niet snel met een securityproject komen dat voldoet aan het minimale subsidiebedrag. Maar dan nog het is het niet meer dan een spreekwoordelijk druppeltje op een heel grote gloeiende plaat.”

Mkb aantrekkelijk doelwit

“Ook tijdens Prinsjesdag, afgelopen dinsdag, bleek opnieuw dat cybersecurity geen prioriteit heeft voor onze overheid. Het thema staat laag op de agenda en budgetten zijn er nauwelijks. Terwijl wij telkens weer zien dat mkb-organisaties en onderwijsinstellingen zeer aantrekkelijke doelwitten zijn voor cybercriminelen. Dit juist omdat men daar weinig doet aan security of dit niet effectief is ingesteld, vanwege gebrek aan geld, mensen en kennis.”

Ook Apple kan doelwit zijn

“Ik vraag mijzelf daarom af wat er nodig is om onze overheid te laten inzien dat er voor het beveiligen van het Nederlandse bedrijfsleven en het onderwijs meer nodig is dan bijvoorbeeld extra budget voor defensie. Daar komt bij dat niet alleen bedrijven veel last hebben van phishing en andere veel voorkomende vormen van cybercriminaliteit. Ook burgers hebben er vrijwel dagelijks mee te maken. Dit ongeacht welk merk computer of mobiele telefoon ze gebruiken. Zo is onlangs de Mac van een kennis gegijzeld door een hacker. Die eiste een betaling van 2.000 euro. We hebben dat gelukkig goed kunnen oplossen, maar het laat wel zien dat iedereen het doelwit kan zijn.”

Verkiezingen

“Ik vind daarom dat de overheid hier echt veel meer aandacht aan moet schenken. En dat betekent ook: meer budget beschikbaar stellen. Als je kijkt naar het Cybersecurity Beeld 2023 rapport dat de overheid zelf heeft laten opstellen, staat daar dat de dreiging onverminderd groot is. En dus onlosmakelijk verbonden met de nationale veiligheid. Combineer dat met de schade die het bedrijfsleven elk jaar weer lijdt door cybercrime, dan is het helder dat er nu echt serieuze stappen gezet moeten worden op dit gebied. Ik hoop daarom dat de verschillende politieke partijen duidelijk maken hoe zij deze uitdaging concreet gaan aanpakken, met de verkiezingen voor de deur!”

In onze rubriek ‘Het meest opvallende nieuws volgens…’ volgt een prominent in de markt een week lang intensief de berichtgeving in onze branche. Hij of zij selecteert een bericht dat opviel en geeft er een reactie op. 

Ajin Ku, Country Manager Benelux bij LANCOM Systems, las op 12 september het artikel over internet via lichtgolven (lifi) in plaats van via radiogolven. In het artikel wordt een aantal voordelen genoemd van deze technologie ten opzichte van wifi, de huidige standaard voor draadloze technologie. Zo zijn de snelheden van lifi een stuk hoger. En de technologie is minder vatbaar voor elektromagnetische storingen. Dit maakt het een potentieel alternatief voor omgevingen waarin deze storingen sneller kunnen optreden of overlast veroorzaken. Denk bijvoorbeeld aan een ziekenhuis.

Stabiele infrastructuur

Ku: “Stabiele communicatie tussen apparatuur voor patiëntmonitoring is essentieel voor de behandeling en veiligheid van patiënten. Deze apparaten delen niet alleen essentiële gezondheidsinformatie. Men kan ze ook gebruiken om noodsignalen en verpleegoproepen draadloos door te sturen naar een centraal bewakings- en alarmsysteem. Deze informatie is vaak cruciaal voor het overleven van de patiënt. Daarom is het dus essentieel dat de communicatie tussen patiëntmonitoren veilig en betrouwbaar is. Dit is echter ook mogelijk met een krachtige en stabiele wifi-infrastructuur. En dat samen met een radioveld van hoge kwaliteit. Daarbij kan wifi data door muren verspreiden, terwijl optische data alleen verspreid kan worden binnen zijn gezichtsveld. Daardoor blijft de data altijd binnen één kamer.”

Beveiliging

Dit kan echter ook een voordeel zijn voor de beveiliging. Het artikel stelt verder dat een lifi-netwerk beter te beveiligen is tegen onbevoegden. Dit komt doordat bij lifi de verbinding via lichtsignalen verloopt. Wanneer de lichtbronnen worden afgedekt, bijvoorbeeld door muren, plafonds, of door de gordijnen dicht te doen, kunnen cybercriminelen de verbinding niet kapen. “Dit zorgt voor een complexe situatie. In iedere ruimte waar je gebruik wilt maken van een dergelijk netwerk dienen immers lichtbronnen aanwezig te zijn, die bovendien altijd aan moeten staan. Dat is natuurlijk niet realistisch. Belangrijker nog, de kans op menselijke fouten is relatief groot. Stel je voor dat iemand op een advocatenkantoor vergeet de rolluiken dicht te doen, waardoor gevoelige informatie van een cliënt op straat komt te liggen”, aldus Ku.

Net als bij andere communicatietechnologieën is het cruciaal dat de netwerkapparatuur aan de nieuwste beveiligingsstandaarden voldoet en vrij is van zogeheten ‘backdoors’, volgens Ku. Dit zijn bewust ingebouwde functies in programmatuur waarmee beveiligingsmechanismes kunnen worden omzeild. “Backdoors in software en hardware vormen een van de grootste IT-beveiligingsrisico’s. Hierdoor kunnen onbevoegden ongemerkt binnendringen in de netwerken van bedrijven, overheden en instellingen. Bij LANCOM doen we er alles aan om onze producten vrij van backdoors te maken en andere ongewenste functies te voorkomen die gebruikt kunnen worden om data te stelen of manipuleren.”

6GHz-frequentieband

Voor verdere snelheids- en efficiëntieverbeteringen van wifi moeten we kijken naar de frequentiebanden. Net zoals in de rest van Europa wordt in Nederland inmiddels, in navolging van de 2,4GHz- en de 5GHz-frequentie, ook het onderste gedeelte van de 6GHz-frequentieband gebruikt voor wifi. Dit extra frequentieblok (5850–6440 MHz) betekent een verdubbeling van het beschikbare spectrum. “Het gebruik van de 6GHz-band is essentieel en legt de basis voor ultrasnelle draadloze gigabit-verbindingen. Ook is de 6Ghz-band exclusief voor wifi, wat storingen van bijvoorbeeld radiogolven en weerradars voorkomt”, zo stelt Ku.

Toch valt er volgens Ku in Europa nog flinke winst te behalen ten opzichte van andere landen in de wereld: “Want het onderste gedeelte van de 6GHz-band is niet genoeg om het volledig potentieel van wifi-technologie te benutten en gelijke tred te houden met de rest van de wereld.” Zo hebben diverse landen, waaronder de Verenigde Staten, Zuid-Korea en enkele Zuid-Amerikaanse landen de volledige 6GHz-frequentieband (5925–7125 MHz) al opengesteld voor wifi-netwerken. “Het is belangrijk dat de EU dit voorbeeld volgt, want de ontwikkelingen staan niet stil. Gelukkig vinden er al gesprekken plaats tussen EU-lidstaten om de volledige 6GHz-band vrij te geven.”

“Het is mogelijk dat lifi een aanvulling aan wifi biedt in de toekomst. Er zijn al veelbelovende proeven geweest, maar de technologie wordt op het moment nog niet ondersteund door enig end device. Ook moet er onthouden worden dat de technologie wat limitaties heeft”, aldus Ku.

In onze rubriek ‘Het meest opvallende nieuws volgens…’ volgt een prominent in de markt een week lang intensief de berichtgeving in onze branche. Hij of zij selecteert een bericht dat opviel en geeft er een reactie op. 

Alain Luxembourg, Vice President Benelux & Nordics Managing Director bij Barracuda, las het nieuws over een rapport waaruit blijkt dat de onderwijssector het hoogste aantal ransomware-aanvallen meldt. In 2022 gaf 79% van de wereldwijd ondervraagde organisaties in het hoger onderwijs en 80% van de organisaties in het lager onderwijs aan getroffen te zijn door ransomware.

“Deze cijfers zijn voor mij geen verrassing. Toch laat het opnieuw zien dat het onderwijs nog een flinke uitdaging heeft op het gebied van cybersecurity. Onderwijsinstellingen hebben natuurlijk veel prioriteiten. Denk aan het schrijnende lerarentekort, innovatie, duurzaamheid en het bestrijden van kansenongelijkheid. Vaak investeert men wel in moderne digitale leermiddelen. En in automatisering van de administratie. Maar security blijft soms achter.”

Volgens Luxembourg heeft dat verschillende oorzaken. “Een van de – verkeerde – aannames is dat onderwijsinstellingen niet interessant zouden zijn voor cybercriminelen. ‘Want hier is toch niets te halen?’, denkt het bestuur misschien. Maar zoals uit het rapport blijkt, is er wel degelijk wat te halen voor cybercriminelen, want meer dan de helft (56%) van de organisaties in het hoger onderwijs en bijna de helft (47%) van de organisaties in het lager onderwijs betaalden het losgeld nadat ze getroffen waren door een ransomware-aanval. Dus met aanvallen op het onderwijs verdienen cybercriminelen gewoon veel geld.”

Cyberverzekering geen oplossing

“Dit is waarom altijd wordt geadviseerd om het losgeld NIET te betalen,” zegt Luxembourg. “Want daarmee sponsor je niet alleen de cybercriminelen zodat ze hun ‘business’ verder kunnen ontwikkelen, het werkt ook als een rode lap op andere cybercriminelen. Die zullen dus vaker hun pijlen richten op het onderwijs, zoals wel blijkt uit het feit dat in 2022 het aantal ransomware-aanvallen in het voortgezet onderwijs met 64% en in het lager onderwijs met 56% is toegenomen ten opzichte van 2021.

Tegelijkertijd kunnen sommige onderwijsbesturen een wat onverschillige houding hebben als ze worden gevraagd naar hun aanpak van cybersecurity. Zelf heb ik het meegemaakt dat een schooldirecteur een voorstel voor een cybersecurityoplossing afwees met het antwoord ‘Niet nodig, we hebben een cyberverzekering…’. Daar schrik je dan wel even van.

Niet alleen blijkt daaruit dat zo’n directeur waarschijnlijk vergeet dat een cyberaanval bijvoorbeeld ook gevolgen kan hebben voor de privacy van medewerkers en leerlingen, maar hij beseft misschien ook niet dat bij een ransomware-aanval de lessen waarschijnlijk voor langere tijd stil komen te liggen, met vervelende gevolgen voor de schoolprestaties.” Daar komt bij dat zo’n school vrijwel zeker van een koude kermis thuiskomt als ze na een ransomware-aanval bij de verzekeraar aankloppen voor het vergoeden van de schade, betoogt Luxembourg.

“Voordat de verzekeraar namelijk overgaat tot uitbetaling, zal deze eerst precies willen weten welke cybersecuritymaatregelen de school had genomen om een aanval te voorkomen. Als vervolgens blijkt dat niet daar niet voldoende aan is gedaan, is de kans groot dat de schade niet of niet volledig wordt vergoed.”

Direct overleg met het schoolbestuur

Barracuda ziet regelmatig dat de IT-verantwoordelijken bij onderwijsorganisaties wel degelijk inzien dat goede security essentieel is, en dat dit aandacht en investeringen vraagt. “Maar als zij vervolgens naar het bestuur stappen voor goedkeuring en budget, kan het gebeuren dat hun voorstel wordt afgewezen of afgezwakt,” zegt Luxembourg. “Je kunt dan een heen-en-weer spel krijgen tussen de securityleverancier, de IT-beheerder en het bestuur. Waarbij essentiële aandachtspunten uit het oog verloren kunnen worden. Ik pleit er daarom altijd voor om direct met het bestuur te praten. Zodat je helder je verhaal uiteen kan zetten. En vragen meteen goed kan beantwoorden.

Een andere mogelijke reden waarom onderwijsinstellingen (en ook andere organisaties) zich misschien minder druk maken om het risico op een ransomware-aanval, is dat het ‘taboe’ op een dergelijke aanval inmiddels een beetje is afgenomen. Waar een ransomware-aanval tot een paar jaar geleden een organisatie enorme reputatieschade opleverde, is dat nu niet meer zo heel bijzonder.” Er is dan wel nog steeds financiële schade, zegt Luxembourg. “En de activiteiten kunnen enige tijd stil komen te liggen. Maar daarvoor wordt dan opnieuw vaak gekeken naar een cyberverzekering. Er is misschien ook het – onterechte! – idee dat je ransomware uiteindelijk toch niet altijd kan tegenhouden. Dus waarom dan al die moeite doen?”

Begin met de basics in onderwijs-sector

“Natuurlijk is het zeker niet nodig om meteen een uitgebreid securityplatform uit te rollen. Begin in ieder geval met goede emailsecurity. Uit tal van onderzoeken blijkt telkens weer dat email en phishing de belangrijkste middelen zijn voor aanvallers. Leerlingen klikken vaak snel en zonder erbij na te denken op allerlei links die ze binnenkrijgen in hun mailbox. Als ze dan op het wifi-netwerk van de school zitten, kan je er gewoon op wachten tot het mis gaat. Goede emailsecurity kan een hoop narigheid voorkomen.

Daarnaast is een dagelijkse backup van alle belangrijke data – bij voorkeur naar de cloud – absoluut essentieel. Mocht er dan een ransomware-aanval zijn, kan daarmee worden voorkomen dat er losgeld betaald moet worden en kan alles snel weer operationeel zijn. Belangrijk is wel om die backups te checken. En om het herstel van de gegevens te testen!”