GTIA: quantum en cybersecurity bieden kansen voor msp

Event | GTIA Benelux Community Meeting, Eindhoven

Het onlangs gehouden netwerkevenement van de Global Technology Industry Association bracht honderden it-professionals uit de Benelux samen, met als doel kennisuitwisseling. Hoog op de agenda onderwerpen als quantum computing, cybersecurity, digitale soevereiniteit alsmede de overnames van managed service providers (msp’s) en de voorbereiding daarop. Ook was er aandacht voor het verbeteren en opschalen van het verkoopproces met ai-gedreven tools en verdere automatisering.

Een gebied dat msp’s nieuwe commerciële kansen biedt, is quantum computing. Spreker Wes Jensen, quantumexpert bij 21Packets, waarschuwt dat msp’s zich nu moeten voorbereiden op de komst van quantumcomputers die bij klanten grote veiligheidsrisico’s teweeg kunnen brengen. Dit supersnelle rekentuig kan de versleuteling van (kritieke) bestanden doorbreken waardoor bedrijfsspionage niet langer valt tegen te houden. Ook criminelen en statelijke actoren krijgen wat dat betreft vrij spel.

Jensen roept msp’s ook op om tijdig in te spelen op de commerciële kansen die ontstaan. Klassieke computers werken met bits, nulletjes of enen. ‘Vergelijk het met een munt. Als je die gooit, krijg je kruis óf munt. Quantumcomputers kunnen beide tegelijk aannemen. Dat maakt ze in staat op hetzelfde moment meerdere paden te bewandelen waardoor veel mogelijkheden zijn te onderzoeken.’ Of anders: een klassieke computer is als een rechercheur die een verdachte tegelijk kan verhoren. Een quantumcomputer kan alle verdachten tegelijk verhoren, waardoor ongekend snel duidelijk wordt wie de dader kan zijn.

Over één tot drie jaar komen de eerste proof-of-conceptdemo’s, ‘op quantum geïnspireerde’ algoritmes en pilotprogramma’s met hyperscalers (AWS Braket, Azure Quantum, IBM). Jensen: ‘Over drie tot zeven jaar vallen de eerste toepassingen van quantumtechnologie te verwachten in de chemie, logistiek en financiën. En het duurt zeven tot tien jaar voordat de huidige cryptografie over de brede linie niet meer werkt.’ Maar het zou verkeerd zijn om te wachten totdat dat eenmaal het geval is. Want belagers zijn al druk bezig om aan bepaalde bedrijven en instellingen interessante data te ontfutselen, om meteen toe te slaan als de quantumcomputers voldoende rekenkracht hebben en decryptie een formaliteit is.

Voorbarig

Hoewel commercieel geschikte quantumcomputers nog iets van de verre toekomst lijkt, is een tegenactie dus niet voorbarig. Volgens Jensen moeten betrokken bedrijven en instellingen zich bezinnen over de te nemen stappen in de veiligheidsstrategie – want het is geen kwestie van even wat nieuwe hardware aanschaffen. Data moeten worden beveiligd met zogenoemde post-quantumcryptografie (PQC). Ontwikkeld is een nieuwe klasse van algoritmes die bestand zijn tegen quantum-aanvallen. Nu al is te beginnen met de migratie daar naar toe. 

En msp’s kunnen daar een rol in spelen. Als eerste denkt Jensen aan adviesdiensten omdat weinig organisaties enig besef hebben van de impact die quantumcomputers kunnen hebben. ‘Wijs klanten op de risico’s van quantum computing en het belang daar tijdig op te reageren’, adviseert Jensen. ‘Het kan ook geen kwaad om de markt wat aan het schrikken te maken.’ Daarnaast liggen er kansen voor nieuwe securitydiensten. ‘Leid migraties naar de genoemde PQC-standaards en help met de compliance.’

Zelfs met veel budget kan je het schip ingaan

Daarnaast ontwikkelt zich een markt voor integratiediensten. Msp’s kunnen een brug slaan tussen de workloads van klanten en de cloud-quantumplatforms van AWS, Azure, IBM en Google. Een andere kans bieden innovatiediensten. Modellen voor optimalisering en ai kunnen profiteren van quantumversnellingen. Denk aan routering, logistiek en materialen. Voor msp’s die in een sterk concurrerende markt zitten, is het inhalen op quantum ook een mooie manier om zich te onderscheiden. Wie zich vroeg positioneert, kan uitgroeien tot een vertrouwde adviseur en nieuwe inkomstenbronnen aanboren.

Gevaren

De risico’s van quantum computing mogen groot zijn, ook in de auto-rallysport draait het om de omgang met gevaren. Tweede spreker, Harm van Koppen, senior account executive channels bij Open Text Cybersecurity, trok parallellen tussen beide werelden. Als navigator ziet hij veel overeenkomsten. Net als bij rallyrijden draait het om de voorbereiding, teamwork en flexibiliteit. Het dreigingslandschap bij cybersecurity is nog meer onvoorspelbaar.

In beide werelden gaat het ook om budget. ‘Je komt altijd tekort’, aldus Van Koppen. En dan nog, zelfs met veel budget kan je het schip ingaan. Een moment van onoplettendheid bij een medewerker en je hebt een ransomware-aanval.

Loop ook niet te hard van stapel. Voldoe eerst aan NIS2, ISO 27001 komt later aan de orde, want het voldoen aan die norm zegt nog niet hoe safe je organisatie is. Pas als je klant daar om vraagt, verdient die ISO-norm prioriteit. Belangrijk ook is de juiste technologie te kiezen. Je hebt dure securityoplossingen. Maar als je slechts twintig procent van zo’n pakket gebruikt, moet je je afvragen of er geen goedkoper pakket is dat wellicht ook nog beter bij je past. Kijk ook welke technologie je aan kan. En kies beleid en procedures die iedereen kan gebruiken en toepassen. Maak altijd overal backups van.

Dialoog

Boeiend was ook de dialoog tussen Tycho Löke, channel pre-sales solution engineer bij Avepoint, en Martijn van der Schaaf, investeerder bij Riverdams buy-and-buildplatform Smizer. Als voormalig oprichter van een msp kent Van der Schaaf beide werelden die overigens snel veranderen. Voorheen namen veel msp’s andere msp’s over. Maar de afgelopen jaren verschuift het accent naar private equity investeerders die een msp financieel ondersteunen en daar een overname-machine en platform van maken. Behalve Swizer zijn ook Onited, Interstellar, YourCloud en Futureproof group op dit gebied actief. 

Van der Schaaf legde uit hoe je je als msp kunt voorbereiden op zo’n overname. Het gaat niet alleen om omzet en winst, maar ook om de vraag hoe strategisch en duurzaam een bedrijf opereert. Het maakt een goede indruk als je meteen helder inzicht kunt geven in de cijfers. Je moet kunnen aangeven hoe structureel de resultaten zijn. 

Investeerders zien graag dat je direct uit de verlies- en winstrekening de resultaten met een meer bestendig karakter kunt halen. Eenmalige resultaten worden lager gewaardeerd. Als een groot deel van de inkomsten uit abonnementen of meerjarige contracten komen, is het risico lager. Bij een percentage van 70 of hoger krijgen investeerders een goed gevoel. Dat leidt tot een hogere ‘multiple’. 

Ook technologie kan belangrijk zijn. Een msp die zich als platform-organisatie heeft ontwikkeld, zal nieuwe overnames beter inpassen. Maar investeerders plegen niet te kijken naar de tools die een msp inzet. Financiële ratio’s spelen een grote rol. Ook de kasstroom krijgt veel aandacht. Voor goed geïntegreerde organisaties wordt meer betaald.

Over het algemeen zal een msp niet snel in de verkoop gaan als de groei hoog is. Eigenaren denken eerder aan aansluiting bij een financieel krachtiger groep als het plafond van de groei in zicht is. Dan is het eten of gegeten worden. Wanneer de autonome groei eruit is en er geen geld voor overnames is, zie je dat soort bedrijven in de armen van een private-equitypartij vallen. Van der Schaaf: ‘Een van de eerste dingen die we vaak doen, is de verkooporganisatie beter op poten zetten. De operaties blijven meestal in tact. Want het ontmantelen van bepaalde delen houdt een risico voor de koper in. Op het niveau van de holding wordt soms een financiële directeur aangesteld. Maar verder blijven rigoureuze ingrepen uit.’

Intelligent

Hannah Lloyd, medeoprichter van Enhanced.io, legt de toehoorders uit hoe ‘intelligent automation sales’ werkt. Haar bedrijf helpt msp’s met de verkoop van securitydiensten. Ai en automatisering geven welhaast eindeloze mogelijkheden de verkoop op te schalen en de commerciële boodschap per doelgroep te verfijnen. Ze gaf tips hoe je meerdere persona’s maakt voor ieder lid van de groep die in een organisatie invloed heeft op de aankoopbeslissing. Want iedereen werkt vanuit een verschillend perspectief. Eén koperprofiel is niet genoeg. Maak een ‘kaart’ van die groep met de pijnpunten die iemand ervaart en de doelen die deze persoon nastreeft. Erik Remmerzwaal en Ralph Derksen (beiden Attic Security) lieten zien hoe msps kunnen transformeren naar managed security service providers (mssp’s).

Tot slot kwam in discussiegroepen het thema digitale soevereiniteit en ketencontrole aan de orde. Op bijna alle markten domineren de Verenigde Staten. Cybersecurity is een van de weinige gebieden waar Europese bedrijven kunnen meekomen. De EU heeft uiteraard ook eigen datacenters. 

Maar bij de publieke cloud missen de Europese aanbieders schaal. Ook qua innovatie liggen de Amerikaanse hyperscalers ver voor. Een alternatief kan een cloud zijn met een gedecentraliseerde, op Web3-gebaseerde architectuur. Voorbeeld is Impossible Cloud dat gebruik maakt van een wereldwijd netwerk van datacenters die ‘enterprise grade’-security bieden.