De beslissing om cybersecurity uit te besteden is een van de belangrijkste die u als organisatie kunt nemen. Het tekort aan security-professionals is immens: er zijn wereldwijd bijna 4 miljoen onvervulde cybersecurity-vacatures. De kosten om een interne SOC te bemensen zijn voor het merendeel van het Nederlandse bedrijfsleven onhaalbaar. Uitbesteden lijkt dus de logische keuze. Maar het is ook een keuze die spectaculair mis kan gaan als u de verkeerde partij selecteert.
De markt voor managed security services is in de afgelopen jaren geëxplodeerd. U wordt overspoeld met afkortingen: MSSP, MDR, XDR, managed SOC, CISO-as-a-Service, security-as-a-service. Elke aanbieder claimt 24/7 monitoring, state-of-the-art technologie en ongeëvenaarde expertise. Maar achter die marketingtermen schuilen enorme verschillen in kwaliteit, scope en aanpak.
Na jarenlange ervaring met het evalueren van security-providers voor onze klanten, en eerlijk gezegd ook met het opruimen van de puinhopen na slechte keuzes, hebben wij vijf vragen geïdentificeerd die u absoluut moet stellen voordat u een contract tekent. Niet als formaliteit, maar als fundamentele due diligence die het verschil kan maken tussen echte bescherming en een dure illusie.
De 5 vragen die u moet stellen
Wat is uw daadwerkelijke responstijd bij een incident, en hoe meet u die?
Elke MSSP belooft snelle responstijden. Maar er is een wereld van verschil tussen de tijd waarin een alert wordt gegenereerd en de tijd waarin een mens daadwerkelijk actie onderneemt. Veel providers hanteren een SLA van 15 minuten voor het erkennen van een alert. Dat klinkt snel, maar erkenning betekent slechts dat iemand op een knop heeft gedrukt om te bevestigen dat het alarm is gezien. Het betekent niet dat er is geanalyseerd, geëscaleerd of gereageerd.
Vraag specifiek naar de Mean Time to Detect (MTTD) en de Mean Time to Respond (MTTR). Vraag naar het verschil tussen hun SLA voor het erkennen van een alert en hun SLA voor het daadwerkelijk ondernemen van actie. Vraag naar hun gemiddelde prestatie versus de SLA: halen ze de SLA in 95% van de gevallen? In 80%? Vraag naar bewijs, niet naar beloftes.
Heeft u aantoonbare ervaring met OT-omgevingen en industriële protocollen?
Dit is de vraag waar het merendeel van de MSSP's op afvalt. De meeste managed security providers zijn uitstekend in IT-security: ze kennen Windows, Active Directory, cloudomgevingen en kantoorapplicaties. Maar zodra het gaat om OT-omgevingen, industriële netwerken, SCADA-systemen, PLC's en protocollen zoals Modbus, OPC-UA, DNP3 of Profinet, valt de expertise weg.
En dat verschil is niet triviaal. Een IT-SOC-analist die een anomalie detecteert op een OT-netwerk weet niet of een bepaalde communicatie normaal is voor het productieproces of een teken van een aanval. Het risico is dat legitieme alerts worden genegeerd omdat de analist het protocol niet begrijpt, of dat valse positieven leiden tot onnodige escalaties die het vertrouwen van de productieafdeling ondermijnen.
Wie is eigenaar van de data, de detectieregels en de opgebouwde kennis?
Dit is de vraag die vrijwel niemand stelt bij het tekenen van een contract, maar die enorm pijn doet bij het beëindigen ervan. Wanneer uw MSSP uw netwerk monitort, bouwt hij een schat aan kennis op: baseline-gedrag van uw netwerk, aangepaste detectieregels, threat intelligence specifiek voor uw sector, en maanden of jaren aan logbestanden en incident-historiek.
De cruciale vraag: van wie is die data wanneer het contract eindigt? Veel providers beschouwen de detectieregels als hun intellectueel eigendom. Logbestanden worden na contractbeëindiging verwijderd. De kennis over uw omgeving verdwijnt met de provider. U begint bij een nieuwe provider, of bij het opbouwen van een interne SOC, volledig vanaf nul.
Wat zijn de voorwaarden voor contractbeëindiging en de transitieperiode?
Security is geen product dat u van de ene op de andere dag kunt wisselen. Een transitie van de ene provider naar de andere vereist overdracht van kennis, configuratie van nieuwe tools, hervalidatie van detectieregels en een parallelle monitoring-periode. Als uw contract geen duidelijke exit-clausule bevat, zit u vast.
Vraag naar de opzegtermijn, de medewerking bij transitie, de kosten van een transitieperiode, en de beschikbaarheid van de provider tijdens de transitie. Sommige providers hanteren opzegtermijnen van 12 maanden of automatische verlengingen die u effectief vastzetten. Andere providers rekenen exorbitante kosten voor het exporteren van uw data bij vertrek.
Hoe ziet uw incident response-capaciteit eruit, en wat doet u als het misgaat bij ú?
Er is een fundamenteel verschil tussen monitoring en response. Veel MSSP's bieden uitstekende detectie maar beperkte response. Ze detecteren de aanval, sturen u een e-mail met de bevindingen, en verwachten dat u zelf de response uitvoert. Om drie uur 's nachts. Met uw IT-team dat geen incident response-ervaring heeft.
Vraag of de provider zelf kan ingrijpen bij een incident: systemen isoleren, malware verwijderen, forensisch onderzoek uitvoeren, en u bijstaan bij communicatie naar toezichthouders (denk aan de NIS2-meldplicht van 24 uur). Vraag of ze een dedicated incident response team hebben, hoe snel dat team inzetbaar is, en of incident response is inbegrepen in het contract of apart wordt afgerekend tegen uurtarieven die in een crisissituatie exorbitant zijn.
En even belangrijk: wat gebeurt er als de provider zelf wordt gehackt? De SolarWinds- en Kaseya-incidenten hebben aangetoond dat security-providers zelf doelwit zijn. Heeft uw provider een plan voor dat scenario? Hoe beschermt hij uw data en uw netwerk als zijn eigen systemen zijn gecompromitteerd?
Wat een goede provider kenmerkt
Na het stellen van deze vijf vragen heeft u een scherp beeld van de volwassenheid van een provider. Maar hoe ziet een goede provider er dan uit? Op basis van onze ervaring zijn dit de kenmerken waar u op moet letten:
- Transparantie over beperkingen. Een goede provider vertelt u eerlijk wat zij wel en niet kunnen. Als ze geen OT-expertise hebben, zeggen ze dat. Als hun response-capaciteit beperkt is, is dat duidelijk in het voorstel. Wantrouw de provider die overal ja op zegt.
- Gestructureerde rapportage. U ontvangt niet alleen alerts, maar maandelijkse rapportages met trends, aanbevelingen en verbeterpunten. De provider denkt mee over uw securitystrategie en is niet alleen een alarmfabriek.
- Skin in the game. De provider heeft een commercieel model dat hen beloont voor het voorkomen van incidenten, niet voor het afhandelen ervan. Sommige providers bieden resultaatgerelateerde afspraken: als de SLA niet wordt gehaald, zijn er consequenties.
- Kennis van uw sector. Een provider die uw sector begrijpt, kan detectieregels afstemmen op sector-specifieke dreigingen. Een ziekenhuis heeft ander dreigingsprofiel dan een waterzuiveringsinstallatie of een logistiek bedrijf.
- Duidelijke governance. Er zijn heldere afspraken over wie wat doet bij een incident. Er is een RACI-matrix. Er zijn gedefinieerde escalatiepaden. En er worden periodiek gezamenlijke oefeningen uitgevoerd om de samenwerking te testen.
De verborgen kosten van de verkeerde keuze
De kosten van een slechte security-provider zijn niet alleen financieel. Het is het valse gevoel van veiligheid dat de echte schade aanricht. U denkt dat u 24/7 beschermd bent, maar in werkelijkheid wordt uw netwerk gemonitord door overbelaste analysten die uw omgeving niet kennen, met tools die niet zijn afgestemd op uw specifieke risico's, en met een response-capaciteit die ontoereikend is wanneer het er echt op aankomt.
Wij zien dit patroon regelmatig: een organisatie die jarenlang een MSSP-contract heeft gehad, krijgt toch te maken met een ernstig incident. Bij nadere analyse blijkt dat de signalen maanden eerder zichtbaar waren in de logbestanden, maar dat niemand ze had opgepakt. De alerts waren afgegaan, maar verdwenen in de massa van duizenden false positives waar niemand doorheen kwam. De detectieregels waren generiek en niet afgestemd op de specifieke omgeving.
Het resultaat: de organisatie betaalde jarenlang voor een dienst die geen werkelijke bescherming bood, en staat na het incident voor dezelfde kosten als zonder provider, plus het verlies van vertrouwen in externe security-partners.
Advies: Behandel de selectie van een security-provider met dezelfde zorgvuldigheid als de selectie van een accountant of advocaat. U vertrouwt hen met de kroonjuwelen van uw organisatie. Doe uw due diligence, stel de moeilijke vragen, en neem de tijd voor een goede keuze.
Uitbesteden is geen afschuiven
Een laatste, cruciale punt. Cybersecurity uitbesteden betekent niet dat u de verantwoordelijkheid uitbesteedt. Onder NIS2 blijft het bestuur persoonlijk verantwoordelijk voor cybersecurity, ongeacht of de uitvoering intern of extern plaatsvindt. U kunt de werkzaamheden delegeren aan een MSSP, maar de accountability blijft bij u.
Dat betekent dat u moet begrijpen wat uw provider doet, dat u de rapportages leest en erop acteert, dat u periodiek de prestaties evalueert, en dat u een plan B heeft als de samenwerking niet werkt. Uitbesteden zonder toezicht is geen security. Het is het verplaatsen van een risico naar een plek waar u er geen zicht meer op heeft.
Bij Resotech helpen wij organisaties bij het selecteren, evalueren en aansturen van security-providers. Niet omdat wij denken dat uitbesteden slecht is, integendeel. Maar omdat de keuze voor de juiste partner het verschil maakt tussen echte bescherming en een duur contract zonder waarde.