Het besluit om cybersecurity uit te besteden behoort tot de ingrijpendste keuzes die een organisatie op dit terrein maakt. Het tekort aan securityspecialisten is aanzienlijk: de jaarlijkse Cybersecurity Workforce Study van ISC2 komt wereldwijd uit op een tekort in de orde van miljoenen onvervulde functies. Een eigen securityteam bemensen is voor het merendeel van het Nederlandse bedrijfsleven bovendien financieel niet haalbaar. Uitbesteden ligt daarmee voor de hand, maar het is ook een keuze die verkeerd kan uitpakken wanneer u de verkeerde partij selecteert.
De markt voor beheerde beveiligingsdiensten is de afgelopen jaren sterk gegroeid, en met haar het aantal afkortingen. Vrijwel elke aanbieder belooft bewaking rond de klok, actuele technologie en ruime ervaring. Achter die formuleringen gaan aanzienlijke verschillen schuil in reikwijdte, kwaliteit en werkwijze.
Op basis van onze ervaring met het beoordelen van dienstverleners voor opdrachtgevers, en met het opruimen van de gevolgen van ongelukkige keuzes, komen vijf vragen naar voren die u stelt voordat u tekent. Niet als formaliteit, maar omdat de antwoorden erop het verschil bepalen tussen daadwerkelijke bescherming en een kostbaar contract zonder inhoud.
De 5 vragen die u moet stellen
Wat is uw daadwerkelijke responstijd bij een incident, en hoe meet u die?
Iedere aanbieder belooft een korte responstijd. Tussen het moment waarop een melding wordt gegenereerd en het moment waarop iemand daadwerkelijk handelt, zit echter een aanzienlijk verschil. Veel partijen hanteren een afspraak van vijftien minuten voor het bevestigen van een melding. Dat klinkt kort, maar bevestigen houdt niet meer in dan dat iemand heeft aangegeven de melding te hebben gezien. Van analyse, escalatie of respons is dan nog geen sprake.
Vraag daarom naar de gemiddelde tijd tot detectie en de gemiddelde tijd tot respons, en naar het onderscheid tussen de afspraak voor bevestiging en die voor daadwerkelijk handelen. Vraag vervolgens naar de gerealiseerde prestatie ten opzichte van die afspraak, uitgedrukt in cijfers over de afgelopen periode.
Heeft u aantoonbare ervaring met OT-omgevingen en industriële protocollen?
Op deze vraag valt het merendeel van de aanbieders af. De meeste zijn sterk in de kantooromgeving en kennen die systemen door en door. Zodra het gaat om industriële netwerken, SCADA-systemen, besturingen en protocollen als Modbus, OPC UA, DNP3 of Profinet, houdt de kennis vaak op.
Dat verschil is bepalend. Een analist die een afwijking ziet op een OT-netwerk, moet kunnen beoordelen of die communicatie hoort bij het productieproces of wijst op een aanval. Ontbreekt dat oordeel, dan blijven werkelijke signalen liggen omdat het protocol niet wordt begrepen, of ontstaan er onnodige escalaties die het vertrouwen van de productieafdeling ondermijnen. Dat laatste is lastiger te herstellen dan het eerste.
Wie is eigenaar van de data, de detectieregels en de opgebouwde kennis?
Deze vraag wordt bij het tekenen zelden gesteld en bij het beëindigen des te pijnlijker gevoeld. Gedurende de looptijd bouwt uw dienstverlener kennis op: het normale gedrag van uw netwerk, op maat gemaakte detectieregels, dreigingsinformatie voor uw sector, en jaren aan logbestanden en incidenthistorie.
De vraag is van wie dat alles is wanneer het contract eindigt. Veel aanbieders beschouwen hun detectieregels als eigen intellectueel eigendom, verwijderen logbestanden na afloop, en nemen de kennis over uw omgeving met zich mee. U begint bij een volgende partij, of bij het opbouwen van een eigen team, opnieuw bij nul.
Wat zijn de voorwaarden voor contractbeëindiging en de transitieperiode?
Beveiliging laat zich niet van de ene op de andere dag overzetten. Een overgang vergt kennisoverdracht, het inrichten van nieuwe voorzieningen, het opnieuw valideren van detectieregels en een periode waarin beide partijen meekijken. Ontbreekt een heldere exitbepaling, dan is die overgang in de praktijk niet uitvoerbaar zonder een periode zonder toezicht.
Vraag naar de opzegtermijn, de toegezegde medewerking bij de overgang, de kosten daarvan en de beschikbaarheid van de aanbieder in die fase. Sommige partijen hanteren lange opzegtermijnen of stilzwijgende verlengingen; andere brengen aanzienlijke kosten in rekening voor het uitleveren van uw eigen gegevens.
Hoe ziet uw incident response-capaciteit eruit, en wat doet u als het misgaat bij ú?
Tussen bewaking en respons zit een wezenlijk verschil. Veel aanbieders detecteren uitstekend, maar sturen u vervolgens een bericht met hun bevindingen en laten de afhandeling aan u. Om drie uur 's nachts, met een team dat daar geen ervaring mee heeft.
Vraag of de aanbieder zelf kan ingrijpen: systemen isoleren, malware verwijderen, forensisch onderzoek uitvoeren en u bijstaan bij de melding aan de toezichthouder binnen de wettelijke termijn van 24 uur. Vraag of er een eigen responseteam is, hoe snel dat inzetbaar is, en of die inzet in het contract is begrepen of afzonderlijk wordt gefactureerd tegen tarieven die tijdens een crisis niet meer onderhandelbaar zijn.
Even belangrijk is de vraag wat er gebeurt wanneer de aanbieder zelf wordt getroffen. De incidenten rond SolarWinds en Kaseya hebben laten zien dat dienstverleners een aantrekkelijk doelwit vormen, juist omdat zij toegang hebben tot veel klanten tegelijk. Heeft uw aanbieder daar een plan voor, en hoe beschermt hij uw omgeving wanneer zijn eigen systemen zijn gecompromitteerd?
Wat een goede provider kenmerkt
Na deze vijf vragen heeft u een scherp beeld van de volwassenheid van een aanbieder. Deze kenmerken onderscheiden de partijen die hun werk goed doen:
- Openheid over beperkingen. Een goede aanbieder benoemt wat hij niet kan. Ontbreekt OT-ervaring, dan hoort u dat. Is de responscapaciteit begrensd, dan staat dat in het voorstel. De partij die op alles bevestigend antwoordt, verdient nader onderzoek.
- Rapportage met inhoud. U ontvangt niet alleen meldingen, maar periodieke rapportages met ontwikkelingen, aanbevelingen en verbeterpunten. De aanbieder denkt mee over uw aanpak in plaats van uitsluitend alarm te slaan.
- Een belang bij uw resultaat. Het verdienmodel beloont het voorkomen van incidenten en niet het afhandelen ervan, met afspraken die consequenties verbinden aan het niet halen van toezeggingen.
- Kennis van uw sector. Wie uw sector kent, stemt detectieregels af op de dreigingen die daar spelen. Een ziekenhuis heeft een ander risicoprofiel dan een zuiveringsinstallatie of een logistiek bedrijf.
- Heldere afspraken over rollen. Vastgelegd is wie wat doet bij een incident, met gedefinieerde escalatiepaden en periodieke gezamenlijke oefeningen om die afspraken te beproeven.
De verborgen kosten van de verkeerde keuze
De schade van een verkeerde keuze is niet in de eerste plaats financieel. Het is het onterechte gevoel van veiligheid dat het meeste kost. U meent doorlopend beschermd te zijn, terwijl uw omgeving in werkelijkheid wordt bewaakt door analisten die haar niet kennen, met regels die niet op uw risico's zijn afgestemd, en met een responscapaciteit die tekortschiet op het moment dat het ertoe doet.
Het patroon dat wij daarbij tegenkomen is steeds hetzelfde. Een organisatie heeft jarenlang een contract, en wordt desondanks getroffen door een ernstig incident. Bij analyse achteraf blijkt dat de signalen maanden eerder in de logbestanden zichtbaar waren. De meldingen zijn gegenereerd, maar verdwenen tussen duizenden onterechte meldingen die niemand nog beoordeelde. De detectieregels waren algemeen en niet op de omgeving afgestemd.
De uitkomst is dat er jarenlang is betaald voor een dienst die geen bescherming bood, en dat de organisatie na het incident voor dezelfde kosten staat als zonder aanbieder, met daarbij een aangetast vertrouwen in uitbesteding als zodanig.
Advies: behandel de selectie van een securitypartner met dezelfde zorgvuldigheid als die van uw accountant of advocaat. U vertrouwt deze partij de kern van uw bedrijfsvoering toe. Stel de ongemakkelijke vragen en neem de tijd voor de keuze.
Uitbesteden is geen afschuiven
Tot slot een punt dat vaak wordt onderschat. Het uitbesteden van cybersecurity betekent niet dat u de verantwoordelijkheid uitbesteedt. Onder de Cyberbeveiligingswet blijft het bestuur aanspreekbaar, ongeacht of de uitvoering intern of extern plaatsvindt. U kunt de werkzaamheden beleggen bij een dienstverlener; de verantwoording blijft bij u.
Dat betekent dat u moet begrijpen wat uw aanbieder doet, dat u de rapportages leest en er gevolg aan geeft, dat u de prestaties periodiek toetst en dat u een alternatief achter de hand heeft. Uitbesteden zonder toezicht levert geen beveiliging op, maar verplaatst een risico naar een plek waar u er geen zicht meer op heeft.
Wij begeleiden organisaties bij het selecteren, beoordelen en aansturen van dienstverleners op dit terrein. Niet omdat uitbesteden onverstandig zou zijn, integendeel, maar omdat de keuze van de partner bepaalt of het contract u werkelijk iets oplevert.