Het hoge tempo waarin cybercriminaliteit zich ontwikkelt, vereist een aanpak waarbij alleen volledige toewijding kans van slagen heeft. Want het optimaal beveiligingen van it is geen eenvoudige opgave. Het installeren van voorzieningen als een firewall, monitoringssysteem en intrusion detection system alleen is niet genoeg. Security vraagt om continue aandacht. Via managed security services is die constante focus beter te garanderen.
It’ers zijn genoodzaakt hun kennis op het gebied van security voortdurend bij te spijkeren. Dat legt een zware druk qua verantwoordelijkheid op hen. Op operationeel vlak zijn al de nodige maatregelen te treffen om de security optimaal te houden. Iedere dag weer. Zoals het monitoren van de hele it-omgeving en het up-to-date houden van software. Daarnaast vereist ook de achterliggende beveiligingsstrategie voortdurende aandacht. Deze verouderen immers snel. De it-afdeling voert als het ware een oneerlijke race tegen een onzichtbare vijand die vaak sneller, gewiekster en sterker is dan zij.
Kennis
Die continue aandacht vraagt om veel en gespecialiseerde kennis op het gebied van cybersecurity. En niet alle bedrijven hebben dat standaard in huis. Goed geschoolde experts zijn bovendien niet goedkoop, terwijl de vraag ernaar hoog is en het aanbod schaars. Security professionals zijn nu eenmaal nodig voor het bieden van weerstand tegen de complexe aanvallen van vandaag de dag. Het outsourcen van security is dan een tweede, vrij logische, optie. De kosten ervan liggen doorgaans ook lager dan het aannemen, scholen en behouden van eigen personeel.
Managed security provider
Kostenbesparing is echter niet het enige voordeel voor het uit handen geven van je security-aanpak. Voor managed security providers is (cyber)security de kerntaak. Dat garandeert een absolute focus en zij hebben daarnaast al ervaringen opgedaan in hele specifieke situaties. Die combinatie van focus en brede ervaring is zeer waardevol in de strijd tegen cybercrime. Daar is het als organisatie lastig tegenop boksen.
Vooral als je je bedenkt hoeveel werk managed security services je uit handen neemt. Niet alleen op uitvoerend vlak, maar bijvoorbeeld ook door op strategisch niveau te ondersteunen. Via het beoordelen van de gebruikte hard- en software, en de gehanteerde procedures, kunnen zij heel gericht advies leveren over zwakke plekken. Of aangeven waardoor een organisatie onnodig risico’s loopt. Die punten zijn dan structureel aan te pakken.
Denk bijvoorbeeld ook aan logging en monitoring, dat essentieel is voor een continue controle van je beveiliging. Idealiter gebeurt dat 24 uur per dag, zeven dagen in de week. Daar moet intern wel capaciteit voor zijn. En dat is er vaker niet dan wel. Security providers bieden dan wederom uitkomst omdat ze het als dienst vrijwel kant-en-klaar leveren en binnen de organisatie implementeren.
Zaligmakend?
In het gevecht tegen cybercriminaliteit is één oplossing nooit voldoende. Managed security providers kunnen al een grote bijdrage leveren en de it-afdeling veel werk uit handen nemen. Maar er zijn altijd beveiligingsopties die bedrijven continu in ogenschouw moeten houden. Meer dan eens komt het gevaar immers niet van buiten de organisatie, maar van binnenuit – vanuit het eigen personeel. Soms bewust, vaker onbewust.
Dan zijn ze niet op de hoogte van de laatste ontwikkelingen op het gebied van cybercrime en denken bijvoorbeeld dat een aanval alleen via e-mail kan plaatsvinden. Naast het beveiligen van de systemen, netwerken en het optimaliseren van je security-strategie, is het daarom van essentieel belang om iedereen binnen de organisatie (van de boardroom tot de ondersteunende medewerkers) ‘security aware’ te maken. Dit is mogelijk via trainingen, demo’s en simulaties. Security blijft dus altijd voor een deel je eigen verantwoordelijkheid.
Terechte constatering en breder toepasbaar dan alleen op security. Op steeds meer gebieden wordt het steeds moeilijker om als bedrijf te kunnen bieden wat nodig of gebruikelijk is. Om als bedrijf een dienst aan te bieden op hetzelfde niveau als Amazon of Microsoft dat doet, zal steeds lastiger worden. Het wel/niet zelf doen en het (in beide) gevallen) goed doen is voor ieder bedrijf nu en in de toekomst een van de grootste opgaven.
FUD FUD FUD. Heel erg, meer dan je voor kunt stellen en komt overal vandaan ook van binnenuit enzo. Tis ook allemaal niet meer bij te houden , he. Daarom snel uitbesteden aan T-systems. Als die maar niet gehackt zijn of betrouwbaar, want “Meer dan eens komt het gevaar immers niet van buiten de organisatie, maar van binnenuit – vanuit het eigen personeel. Soms bewust, vaker onbewust.”
Organisaties moeten naast het raadplegen van specialisten ook steeds meer investeren in securitymaatregelen. Zij blijven eindverantwoordelijk voor hun ICT omgevingen. Het zou mooi zijn als er in de toekomst een verplichte jaarlijkse Audit zou komen met een openbaar toegankelijke certificering, zodat je als klant duidelijk onderscheid kunt maken waar je je persoonlijke gegevens aan wilt toevertrouwen. In de huidige situatie worden vaak alle vormen van aansprakelijkheid uitgesloten. Dat is in de toekomst een ongewenste en onhoudbare situatie.
Omdat het ICT vakgebied vele specialistische subgebieden kent is het bijna onmogelijk om die als MKB zelf te beheersen. Aanvullende dienstverlening door gespecialiseerde bedrijven is dan noodzakelijk. Ook moet de gehele keten secure zijn. Bijv. Een printer met zwakke netwerkbeveiliging kan al een zwakke schakel vormen in de toegangsmogelijkheden in een bedrijfsnetwerk.
Je kunt veel dingen uitbesteden maar de verantwoordelijkheid dus meestal niet, betreffende onderwerp zullen vreemde ogen dwingen maar uiteindelijk gaat het ommm ‘awareness’ en hier denk ik dat deze eerder afneemt dan toeneemt als je het onderwerp uitbesteed.
Kortom, uitvoerende deel zou je uit kunnen besteden maar beleidsmatige deel dus zeker niet en opmerkelijk vaak gaat het hier dus mis.