Who is liable when the client refuses security?

The full conversation, transcribed

Wij dachten dat wij de dingen hadden gezegd die de klant moest doen. En de klant zegt ja, maar ik betaal toch elke maand een factuur. Dus dan verwacht ik ook, dan neem ik aan dat je dat fixt. Beschreven is en door iedereen goedgekeurd is. Dan loop je zo zes, zeven jaar achterop waar we vandaag de dag mee te maken hebben. Maar maak dat maar eens aantoonbaar. Zoals je zegt, dankzij zo'n S2 framework. Geef je daar gewoon wat guidelines in. Maar even met alle respect. Dat is toch belangrijk en hij heeft toch niet de diepgang die hij tegenwoordig wel nodig heeft. Wij moesten het echt leuren hoe belangrijk het is om het te verkopen, maar nu is het andersom. Jij vindt het belangrijk om te weten hoe het is. En dan moet die BSP dus ook tegen die klant zeggen... ...als die daar echt geen geld aan wil uitgeven... ...misschien beter dat we uit elkaar gaan. Er zijn al juridische uitspraken geweest waar die verantwoordelijkheid bij de MSP heeft neergelegd. Waar die aantoonbaarheid, dat die informatie verstrekt naar de eindklant... ...dat dat ontbrak. Even buiten wat er is gebeurd of niet. Ja, want waar eindigt nou adviseren en waar begint nou die zorgklik? Welkom bij deze eerste MSP Late Night Contour. We zijn vandaag op de MSP Show in Utrecht. En dit is de eerste keer dat we in deze setting met elkaar in gesprek gaan. Ik heb drie fantastische gasten aan tafel zitten, maar we doen even kort een voorstelrondje. Ik ga beginnen hier aan de linkerkant. Wie ben je en wat doe je? Ik ben Roland Slachter, CTO van Kampai. Al minstens 25 jaar actief in de MSP-markt. Wat wij doen is, we zijn sterk, we staan achter standardisatie. Dus dat houdt in dat we echt strak zijn in het optimaliseren van IT-omgevingen op een gestandardiseerde manier. En wij zien daar wat daar de efficiëntie is. Dus daar zijn wij heel hard mee bezig, daar staan we voor. Ga maar een stoeltje opzij. Mijn naam is Harm van Koppel. Ik ben Channel Account Executive bij Open Tech Cyber Security, Canadese bedrijf. Daar werk ik nu anderhalf jaar voor. Ik zit sinds 2012 in de IT security. Fantastische wereld. En de laatste. Mijn naam is Tristan van Onselen, CTO van Supervision. Wij helpen organisaties om Baseline Management, User Management, Application Management en tegenwoordig Cyber Security verder te democratiseren. Service optimaal aanbieden, zodat onze partners efficiënte dienstverleningen kunnen gaan neerzetten. En ook voor Cyber Security, zodat we een missie voor Cyber Security te democratiseren kunnen gaan realiseren. Ja, en het is natuurlijk, dat mag voor iedere kijker duidelijk zijn, dat we het over security gaan hebben vandaag. U bent gewoon de enige MSP hier aan het apelen. Zo, wat is... Ja, jij wordt hier zometeen ingelijfd tot tafelroze. Ja, goed. Dermie, we hebben de contract al klaargelegd. Ik heb die stoeltjes duur verkocht. Tafeltje ook, of niet? Ja, tafeltje ook. Normaal gesproken in de studio hebben we ook een witte tafel, die wil ik nooit hebben. Maar goed, vandaag zit ik er toch een soort van mee opgeschreven. Hey NIS 2, Crying Wolf, of nu toch echt? Ik mag niet meer zeggen NIS 2 komt eraan, NIS 2 is er. Maar wat gaat er nou echt vooral naar de dagelijkse praktijk van de MSP'er? Kijk gelijk maar even naar jou, Roland. Misschien een beetje erkenning, eigenlijk. Wat ik net al aangaf van een stukje standaardisatie. Wij zijn als MSP'er altijd bezig om ons werk beter te doen voor de klant. Maar de aanhaking voor de klant is lastig, want de klant denkt eigenlijk ja, ik besteed alles bij jou toch uit, dus is alles dan toch ook geregeld. Dus voor ons is het eigenlijk meer een stukje erkenning dat er iets ontstaat waarbij de klant aware komt van waar ligt de verantwoordelijkheid nu? Met welke informatie moeten wij de correcte beslissingen maken? Eigenlijk een verlengstuk wat we eigenlijk al jaren doen, maar nu misschien alleen daar een labeltje heeft gekregen. Ja, want ik denk dat ik als klant ook mag verwachten dat als ik bij een MSP zit, dat het ook gewoon goed geregeld is voor me. Is dat iets wat ik standaard mag verwachten of is die praktijk toch anders? Lijkt mij wel dat je dat mag verwachten. Je begint met het beschermen van je eigen huis eerst. En dat, en die kennis en kunnen neem je mee naar je klanten. En daar zorg je ervoor dat je je klanten mee beschermt. List 2 voor mij is wel echt een papieren tijger. Het is een stukje compliancy, maar het loopt altijd achter op de werkelijkheid. Dat is voor alle ISO-certificeringen en alle andere zaken, de wet en regelgeving. voordat het klaar is en beschreven is en door iedereen goedgekeurd is, dan loop je zo zes, zeven jaar achterop waar we vandaag de dag mee te maken hebben. Dus ik geloof in NIST 2 dat het heel goed is dat mensen wel weten wat ze moeten doen. Maar ik geloof ook heel sterk bijvoorbeeld in het NIST Cyber Security Framework. Niet te verwarren met NIST 2, maar NIST. Of het SIS 18, de controls die je hebt. Omdat je dat continu monitort en verbetert in je organisatie en daarmee naar je klanten. Tristan, moeten we bang zijn dat het een papieren tijger wordt, blijft, is? Nee, ik denk eigenlijk alleen dat het goed is dat het niet alleen maar iets is wat je aan de technische kant gaat worden, maar dat je het ook aantoonbaar moet maken, dat je in controle bent als organisatie. We zien nu ook met de komst van onze MDR dienstverlening dat er heel veel partijen zijn die allerlei configuraties neerzetten. Bij ons maken onze partners zelf hun configuratie. Uiteindelijk doen we een securitydienst overheen en dat vind ik het wel heel Ironisch misschien om te zien dat op het moment dat een partner een hele goede concentratie heeft, alle security check is aangezet, dat je uiteindelijk ook minder security risico's heeft. En degene die misschien daar wat minder aandacht aan hebben besteedt, Daar zie je echt wel een grotere cijferskuurtenrisico voorbijkomen. En ik denk dat jij als MSP daar ook gewoon een verantwoordelijkheid aan over hebt... om gewoon een goede configuratie neer te leggen... en ook de klant mee te nemen in elke risico's dat je eventueel loopt. Kijk, jarenlang hebben de IT'ers om ons heen eigenlijk gezegd... ja, ik heb een veilige configuratie neergezet. Maar maak dat maar eens aantoonbaar. Zoals je zegt, dankzij zo'n S2-framework geef je daar gewoon wat guidelines in. Dat woord hoor ik bij Kampai ook heel vaak voorbijkomen. Ik zie jou al. Ik zit echt te popelen. Ik ben natuurlijk de enige NSP'er hier aan tafel. Stel je nou voor dat ik nou een klant zou zijn. En ik hoor hier een mooi verhaal met heel veel technische termen. Jij ook, heel veel technische termen. Dat komt omdat jouw markt is de techneut. Maar onze markt is de klant. Die wil eigenlijk alleen maar horen... Wat zijn mijn risico's? Zeker. Wat gebeurt er als er iets gebeurt? Wat gebeurt er als er een battle van een medewerker is? Of wat gebeurt er als ik op een linkje heb geklikt van een mail? De kracht is juist om vanuit techniek al die bruggen te slaan naar iets wat begrijpbaar is. En ik denk dat dat de mededeling is dat de verantwoording is, eigenlijk ook voor de MSP'er, om het duidelijk te kunnen formuleren. Want wij kunnen wel hele mooie rapporten maken, Hebben we onze baselines? Hebben we allemaal dingen ingesteld? Dat kan allemaal prima. Maar wat is dat voor de klant? Wat voor impact maakt dat dan? En merk je nu ook dat de hele NIS2-push komt die vooral bij Vendora en bij MSB's vandaan? Of merk jij nu ook dat er bepaalde vragen of push vanuit klanten ook komt te komen? Zeker, zeker vanuit de klant. Het is door wat er in de markt gebeurt. Dus vanuit keten worden er natuurlijk vragen gesteld. Maar ook omdat er nu heel erg gestuurd wordt op risico's. Wat gebeurt er als? Wie is er verantwoordelijk voor als? En dus de bestuurlijke verantwoordelijkheid moet ineens ergens gedefinieerd zijn. Terwijl iedereen verwacht, aannemend, want het is eigenlijk wat wij deden, gebaseerd op aannames. Wij dachten dat wij de dingen hadden gezegd die de klant moest doen. En de klant zegt, ja maar ik betaal toch elke maand een factuur, dus dan verwacht ik ook, dan neem ik aan dat je dat fixt. Dus die aannames die eruit halen, En dat eigenlijk sturen naar een verantwoordelijke. Wie neemt die verantwoording? Dus dat stukje vinden wij fijn, dat daar vanuit de markt een plicht naar komt. En dat is uiteindelijk de weg naar de MSP'er. Mag een klant bij jullie zelf nog bepalen wat hij dan wel en wat hij niet wil afnemen in de dienstverlening? Of zeggen jullie... Dit is ons pakket. Als je dat niet neemt, ben je geen klant van ons. Dat is nu een beetje de discussie die ik met onze partners in Nederland veel voorbij zie komen. Dat de partner wel echt een goed idee heeft over hoe ze dingen willen. Ook de vertaalslag kunnen maken naar die klantvragen en dat risicomanagement. Maar dat klanten ook nog steeds zeggen, ja, maar mijn budget laat dat niet helemaal toe. En wat doe je dan, omdat je als partner wel weet, dit zijn al jouw risico's. Als jij dus niet ons hele pakket afneemt, waarin ligt dan die verantwoordelijkheid? Hoe ga je daarmee om? Mag ik een vergelijk maken met een auto? Mag dat? Als je geen merken noemt. Ga je over die van jou beginnen? Nee, zeker niet. Stel, je gaat in een garage. Met je auto en die monteur die zegt zo, jouw remmen zijn niet helemaal lekker meer. En die persoon, mijn auto, zegt ja, maar ik heb daar geen budget voor. Oké, weet je wel, prima, maar ik heb het wel tegen jou gezegd dat jouw remmen niet goed zijn. En dat gaat drie weken goed, dat rijden. Op een gegeven moment moet jij een noodstop maken en klap door zijn remmen heen. Bij wie ligt dan die verantwoording? Ligt het dan bij de monteur? die dat niet gedaan heeft. Dus degene die dat beslissing heeft gemaakt om het niet te doen, daar ligt die verantwoording. Maar de aanname is heel vaak dat de monteur zijn werk niet goed gedaan heeft. Dat is niet het geval, nee. Toch? En dat begrijpen we ineens wel als het over een auto gaat. Ik denk dat het ook een aantal non-negotiable dingen zijn. waar je als MSP geen uitzondering op moet maken. De basis moet op orde zijn. Exact, de basis moet op orde zijn. En daar zie je eigenlijk ook gelaagdheid in die je op je dienstverlening zou kunnen instellen. Dus als jij geen remmen hebt om met diezelfde analogie verder te gaan, zou je eigenlijk moeten zeggen, deze auto mag de weg al niet meer op. Maar ik denk dat die markt zich wel een beetje aan het verschuiven is. Kijk, vroeger was het een optie om iets uit te zetten. Tegenwoordig is dat eigenlijk gewoon geen optie meer. En op een gegeven moment merk je dat die onderkant, dat zakt ook weg. En dat worden eigenlijk... Partijen die het zelf dan eigenlijk gaan regelen. En die vallen dan ook uit die keten. Net zo lang dat ze eigenlijk weer ergens aanhaken aan dat keten. Dus het lost zichzelf ook wel op. Maar bij ons, om je antwoord te geven op jouw vraag, de basis moeten worden. Het houdt in dat er een vorm is van een abonnement... ...en de frequentie bepaalt eigenlijk het abonnement. Als iemand zegt, daarbij gebeurt er niet zo heel veel... ...dus ik vind één keer per half jaar voldoende, zo'n hele controle... ...dan is dat een vorm van een afspraak. Maar wij zorgen er wel voor dat de basis op orde is. Als iemand zegt, ik wil geen MFA, want het is allemaal onhandig... ...dan is het geen basis. Dan zou het per definitie al niet een klant zijn... ...dat bij ons kan aanraken. En wie bepaalt die basis dan? Want dat is natuurlijk ook wat jullie doen. Die basis is voor een wakkelde hoek heel anders dan voor een zorginstelling. Ik denk dat als je de vraag aanstelt van hoeveel kans, hoeveel risico wil jij hebben... Dat je al jouw bestanden ineens kapot zijn, of er geen remsen meer zijn of verwijderen. Dat is de vraag echt leggen bij de klant. Maar hoeveel risico wil jij nemen om dat te accepteren? Dan wordt het een slecht verhaal als een klant zegt ik wil alle risico's er een zijn. Ik kan me niet voorstellen. Ik heb geen management meer nodig uiteindelijk. Zet alles maar over. Dat is toch niet altijd de balans. Ik denk namelijk als je hem zo op het spits drijft met de klanten. De klant heeft op een gegeven moment wel gezegd ik wil eigenlijk niet zoveel risico lopen maar ik wil misschien toch ook niet alles betalen. En ik denk, even terugkant op die standaardisatie, en ik kijk jou even aan, want ik weet dat jullie daar een hele specifieke mening over hebben. Ik denk dat standaardisatie sowieso op een gegeven moment wel moet. Ook als MSP, want je kan niet alles en iedereen maar maatwerk blijven bedienen. Zeker niet met iets wat zo basic is als security, denk ik. Ik denk ook als je gaat kijken naar de standaardisatie en je vraagt, moet dat nog heel duur zijn? Ik denk dat het tegenwoordig ook niet meer nodig is. Als je gaat kijken hoeveel standaardisatie dat er is in de markt, zeker op het gebied van Microsoft Services, hoge community projecten zijn beschikbaar om een best wel goede standaard er neer te zetten. Als je alleen die al zou accepteren, kom je op een niveau waarbij als je een distributiekanaal hebt zoals Supervision, dat eigenlijk naar je eind kan neerzetten. En waar dat je op wil instappen, is eigenlijk meer een afhankelijkheid van een licentiemodel van Microsoft bijvoorbeeld die je dan daarop gaat aansluiten, want daar zit natuurlijk nog wel verschil in. Maar dat is meer een leveren van het gereedschap voor. Ja, precies. Dan haal ik nog op jouw verhaal, want je zegt de auto en de remmen. Doe ik het goed op trouwens, hè? Nee, maar alles vergelijken met caravans en auto's. Kan de klant zelf dat risico goed inschatten? Als we het hebben over risico's en je vraagt wat is nou gevaarlijker? Is dat een haai of is dat een mug? Dan kiest iedereen voor de haai, is wel een mug. Meer dan miljoenen levensijs per jaar en dan heb je misschien tien. Dus wat is die vertaling? Dat is exacte vertaling. Dat vind ik wel interessant om daar nog even op terug te komen. Want er was net natuurlijk een vraag van hoe maak je nou die vertalen? En ik denk dat daar, zeker met de komst van AI en de technologie die we hebben, dat je de context voor de klant in hun taal kan gaan laten uitleggen. En dat is ook waar we volop op investeren om die dashboards te maken. Bijvoorbeeld een advocatenkantoor moet je een hele andere manier die persoon aanspreken wat zijn risico's is. dan de bakker om de hoek. En de MSP is dat ook heel lastig en met die taalmodellen kan je niet vertalen van die technische componenten. We doen dat vaak heel erg moeilijk om allerlei dingen door elkaar heen te gebruiken. Eigenlijk gewoon vertalen, wat is nou het bedrijfsrisico voor jou als eindklant als je dit soort dingen niet gaat doen? Ik ben ervan overtuigd als je in hun taal spreekt, dan kan je het ook heel veel makkelijker verkopen. Misschien even, het is een mooi bruggetje naar ons volgende topic, voor onze volgende vraag eigenlijk. Vertrouwen we op tools of op mensen? Gaan we nou meer tools toevoegen? Daar heb ik wel een hele duidelijke mening over. Want ik vind dat je daar nog één stukje mist. Het is namelijk een driehoek waar ik het vaak over heb. En dat zijn mensen, processen en middelen. En die balans moet er zijn. Wat ik heel vaak zie gebeuren... is dat er vanuit een techniek gekozen wordt voor een middel... de technische afdeling gaat nadenken over hoe passen wij de processor daarop aan zodat iedereen daarop kan aansluiten op een nieuwe firewall of nieuwe tools of whatever. En daarna moeten we ook die mensen nog even uitleggen... ...welke stapjes die je ook weer precies moest nemen. Die moeten gewoon mee in die verandering. Die moeten allemaal niet zo zeuren. Die moeten mee in die transformatie. Vanuit een IT-afdeling heb je helemaal gelijk. Want daar wordt wel vaak zo naar gekeken. Maar ik heb een achtergrond in security awareness... ...en cultuurverandering bij organisaties rondom dit topic. En we hebben het altijd over die balans. Als je mensen niet meekrijgt over welke verantwoordelijkheid zij hebben... ...en waarom er een MFA moet... Kijk naar Mark Rutte, die probeert ook iets te doen buiten zijn actieve herinnering. Ik hoop niet. Ik zat te denken, wie was dat overal? Dat zijn echt zaken van, hij snapt dus niet voldoende. We hebben hem niet voldoende getraind welke verantwoordelijkheid hij heeft in die securityketen. Als we dat beter doen, dus ook echt een communicatieafdeling en een marketingafdeling laten aanhaken in mensen, processen, middelen, dan weet ik zeker dat we al heel veel verder komen. Ik ben het helemaal met je eens, want ik heb vroeger ook veel digitale transformatie, ik heb een hekel aan transformatie, laat ik het even opstellen, verkocht, maar technologie was allemaal geen probleem. De processen kwamen er een beetje achteraan en de mensen werden altijd vergeten. En wat er anders gebeurd is, oh we hebben een nieuw tooltje, nou dan sturen we een mailtje, hier heb je een instructietje, joejoe, en dan denken we dat het geadopteerd wordt. Tristan, hebben we cultuurproblemen rondom security denk je? Zeker. Ja, er zijn heel veel tools beschikbaar. En ik denk dat de organisatie ook vaak op zoek is naar een tool die het beste is... ...in plaats van dat ze op zoek zijn naar een oplossing die past bij zo'n organisatie. En ik denk ook dat de oplossing die wij hebben gebouwd... ...dat als wij een tool hadden gebouwd aan de supervision of al die handleiding gestuurd... ...hadden we hier niet gezeten. Het was klaar geweest. En het verschil zit daar voor mij in dat we het met de mens aan het implementeren zijn. Dus we nemen de eindpartner mee om te begrijpen wat hebben hun nodig om succesvoller te worden. Daar baseren we onze rookmerk op. Maar we leggen hun ook uit hoe het platform werkt. En dan zie je dat de adoptiegraad van zo'n platform opeens veel hoger is. Zodat je met z'n allen er uiteindelijk ook meer uit gaat halen. Kijk, even naar links. Oké. Nogmaals. Het gereedschap is belangrijker. Elke point-to-point, dit soort partijen, zijn heel goed in het leveren van een point-to-point solution exact wat het moet doen. De brug zijn wij. Wij moeten dus van heel veel point-to-point solutions de brug maken naar de klant die het begrijpbaar maakt. Dus een bewuste instelling die jullie leveren aan ons, omdat het een belangrijke zetting is, een belangrijke instelling die jullie leveren, En met een stukje belangrijke informatie die de klant levert. En onze kennis erbij, dat moet dat zijn. En daar hebben wij inderdaad heel veel tools bij nodig om die combinatie te kunnen maken. Wat individuele inspanningen ten over mens, want dat was eigenlijk de vraag van de mens en de ding. Ik loop al een tijdje mee. 25 jaar geleden ging je naar de klant toe en dan ging je ouderwets zitten op een stoel en dan ging je de logfiles van een server uitkijken. Je had één tool, dat was jezelf als mens. Je opende een ding en dan ging je heel sec alleen op dat ding kijken. 25 jaar verder zijn er wel heel veel dingen bijgekomen. Dat kan niet meer, dat kan niet meer door die ene persoon gedaan zijn. Maar de persoon is natuurlijk wel degene die een beslissing maakt. Vanuit ons aan de klant. Maar uiteindelijk Het outcome van die beslissing die wij maken moet bekend zijn bij de klant. En de klant doet daar wat mee. Die moet daar een beslissing van maken, wil ik daar mee doorgaan of ja. Dus absoluut, tools zeker. Maar de mens is wel degene die de brug kan maken om het begrijpbaar te maken met hulp van tools uiteraard. Maar om de klant goed te voortbreiden voor het maken van de juiste beslissing. Ik lag naast een onderzoek. Ik vond het wel mooi. Het ging over hoeveel securityachtige tools er eigenlijk zijn. Dan nemen ze de MDR en de AV-oplossingen mee. Ik heb enig idee hoeveel er wereldwijd bedrijfsmatig gebruikt worden. Heel veel. Dat je dan een gemiddelde MSP'er aan tools hebt. Echt aan MSP-tools. Daar heb ik het niet over marketing, maar echt een MSP-tool. Weten jullie dat? Stuk of 30? We hebben er 51. Ik had hier ook dat gelezen, tussen de 40 en de 50 tools gebruik je ze volledig op. We zouden 51 portalen nodig hebben. om ons werk te doen. Heb je enige reel van mensen die je daar dan voor nodig hebt. Als je alleen maar niet denkt aan hoe ga je die integreren met elkaar, hoe ga je dat update cyclus bijhouden van al die tools met elkaar. Ja, exact. Maar goed, dat is waar wij als fabrikant, OpenTech Cyber Security, wij spelen daarop in. Wij leveren dus één portaal waarbij je dus veel meer tools in één keer kan gebruiken, waardoor het veel overzichtelijker wordt voor de MSP. maar om terug te komen op het onderwerp. Dan blijf je wel heel erg afhankelijk van alle APIs die beschikbaar zijn. En dat zie je vaak bij leveranciers dat ze eerst functionaliteit bouwen binnen hun eigen portalen en pas periodes later of soms helemaal niet die APIs daarvoor beschikbaar maken. Ja, dat klopt. Ik heb ook voor fabrikanten gewerkt waarbij dat zo hing. Dat zie ik bij ons echt anders, omdat wij met onze Channel Focus de MSP zo makkelijk mogelijk willen maken. Dus dat proberen we echt tegelijk. Bij de lancering van de nieuwe producten en de nieuwe oplossingen lijkt die aansluiting te maken naar RRM, RMM of PSA-tools. Mensen zitten uiteindelijk tussen het beeldscherm en de rugleuning met de vingers aan het toetsenbord. Kijken naar wat er gebeurt bij Odido. Dat is een persoon die niet goed is verteld wat hij zou kunnen meemaken op het moment dat hij gebeld wordt door iemand die zich voordoet van de IT-afdeling. Ik weet niet hoor. Ik zie dat nog steeds in heel veel organisaties gebeuren. Dan moeten we iets als security awareness doen. Dan krijgen we weer zo'n online training voorgeschoteld. En dan doen we wat vinkjes, wat vragen beantwoorden. En toch helpt het. Toch helpt die bewustwording. Maar even met alle respect. Dat is toch belang en hij heeft toch niet de diepgang die hij tegenwoordig wel nodig heeft. Ja en nee. Want je houdt het top of mind bij mensen. En wat ik ook zie is dat als je één keer per jaar een presentatie geeft over de gevaren, dat ben je na drie weken alweer vergeten. Maar is ook dat veel te weinig. Maar door de herhaling, de Ebbinghauser forgetting curve, is het door de herhaling steeds het topic IT security en jouw verantwoordelijkheid als gebruiker. Ook al is het dan zo'n filmpje van een paar minuten. Als je het blijft herhalen, blijft het top of mind. En blijven mensen toch net even iets bewuster. Ik krijg die e-mail, maar het ziet er toch wat anders uit. Misschien moet ik dit met een collega overleggen. Maar hoeveel mensen kijken dat filmpje nou echt geconcentreerd af? Ik denk dat dat wel juist wat jij zegt, dat is precies wat het is. Klanten, en dan heb ik het over een jaar, twee jaar geleden, was het eigenlijk de eindklant moest het hebben. Want ergens in de verzekering stond... Er stond een vinkje nodig. Er staat alleen een vinkje dat je moet hebben, maar niet hoe. Maar nu tegenwoordig moet het bewijsbaar zijn. Dus er komt een bewijs... Aantoonbaar. Aantoonbaar, bewijsbaar. Nu wordt het interessant dat de klant kan zien, oké, mooi die filmpjes, maar wie heeft het dan gekeken? En zijn ze geslaagd? Dat is de aantoonbaarheid van het product dat je inzet. Als MSP'er of leverancier, omdat dat niet in je abonnementsvorm zit, dan krijg je gelijk een gap. Dus als je dan zo'n Mist W gaat doen met een klant en die zegt, dat heb ik niet, dat heb ik niet, dat heb ik niet, dat heb ik niet, dat heb ik niet, heel veel dingen heeft hij niet. Geen inzage van hoe de MF was, geen inzage over de awareness. Dan is het ineens een vraag die de klant natuurlijk aan ons stelt. Kunnen jullie daar ons mee helpen? Terwijl twee jaar geleden was het andersom. Wij moesten het echt leuren hoe belangrijk het is om het te verkopen. Maar nu is het andersom. Jij vindt het belangrijk om te weten hoe het is. Wij moeten dat goed kunnen vertalen met de juiste spullen die wij krijgen als gereedschap. Dat is een mooie brug naar ons volgende onderwerp. Want wie is er nou verantwoordelijk als het misgaat? Is dat de MSP of is dat de klant? Als de MSP het niet op de juiste manier heeft aangegeven, waar de klant niet de mogelijkheid heeft gehad om een bewuste keuze te maken, vind ik het dat dat de last is bij ons. Want wij hebben aangenomen dat de klant dat heeft aangenomen. Dus de klant heeft nooit de keuze gehad om daar een ja of nee te doen. En Tristan, als ik nou een klant heb die zegt nou ik wil toch een beetje besparen op security en dat gaat mis. Wie zijn verantwoordelijkheid is het dan? Alsnog in het begin van de MSP'er eigenlijk een beetje herhaling van wat mijn overige uur al zei. Als jij niet aantoonbaar maakt dat jij de klant hebt geïnformeerd over de risico's die er zijn en ze dan keuzes maken die niet passen bij hoe jij erachter staat. Dan moet je misschien nog maar afvragen of jij die klant nog steeds wil hebben. Omdat ook als je gaat kijken naar de juridische uitspraken die er over zijn geweest... kan je ook financieel verantwoordelijk behouden worden... voor de risicoschades die er zijn geweest. Is dat waar we naartoe gaan, denk je? Denk je dat het deze vorm gaat aannemen? Het was zeker, denk ik, nog niet, hè, maar... Het is er al. Er zijn al juridische uitspraken geweest... waar die verantwoordelijkheid bij de MSP heeft neergelegd. Waar die aantoonbaarheid, dat die informatieverstrektes naar de eindklant... dat dat ontbrak, even buiten of dat is gebeurd of niet. Vaak gebeurt het wel, maar gewoon een sessie zoals dat we hier zitten... en dan behoren we het niet met elkaar. Ik denk dat dat ook een groot verschil maakt tussen de MSP'ers. Want de MSP'ers vertellen eigenlijk allemaal hetzelfde verhaal. Ze zijn allemaal goed, hetzelfde website. AI maakt zo'n website voor jou. Maar laat maar zien wat je zo doet. En ik denk dat deze nieuwe model ook een verschil laat zien wat de MSP'er ook daadwerkelijk doet en kan. En ik denk dat bewustwording ook op diverse niveaus nog nodig is. We hadden het net over awareness tooling, dat is veel meer op het eindgebruiker georganiseerd. Maar ik denk ook dat het gewoon heel goed is om zo'n organisatie, zo'n directie, of je nou een mkb-organisatie bent of een grote ook, mee te nemen in wat zijn nou die risico's die er in zo'n organisatie loopt. Ja, want waar eindigt nou adviseren en waar begint nou die zorgplicht? Waar ligt die grens dan? Ik denk dat de MSP van vandaag eigenlijk moet doorgroeien naar wat we in Amerika zien, naar een BSP, een Business Solution Provider. De MSP is de leverancier die dus zorgt voor de IT en de abonnementen en dat soort zaken. Uiteindelijk zou die MSP met de directie van zijn klant aan tafel moeten zitten. Om na te denken over wat is nou jouw core business. Hoe helpt IT met alles wat daarbij hoort, websites, devices, noem maar op. Hoe helpt IT jou een voordeel te bereiken in jouw core business ten opzichte van jouw concurrentie. Hoe kan ik daar als BSP op aansluiten om jou daarin te omzorgen? En daar hoort dus ook in een gedeeltelijke verantwoordelijkheid... over de security en over de beveiliging. En dan moet die BSP dus ook tegen die klant zeggen... als die daar echt geen geld aan wil uitgeven, misschien beter dat we uit elkaar gaan. Ik kan die verantwoordelijkheid niet nemen als jij die ook niet neemt. En dan heb je nist twee. Bestuurlijk word je aansprakelijk. Dus je moet al naar de directietafel om dit te gaan overleggen. Ik denk dat die slag van MSP naar BSP, straks wordt dat BSP Late Night, dat dat gemaakt gaat worden. Misschien even. Ik kijk heel even op rechts. Christel, want jij ziet en spreekt ook heel veel MSPs. Ik leef toch echt wel een beetje in de wereld dat ik denk dat heel veel MSPs niet klaar zijn om dit soort gesprekken met hun klanten te voeren. Dat denk ik ook. Ja, daar moet nog heel veel voor gebeuren. Ik zie een beetje dezelfde transitie als wat jij ziet. Ik zie hem veel meer naar een MSSP, een Managed Security Service Provider. Waar je eigenlijk alles zou moeten doen om je eindklant te helpen om de continuïteit van zijn bedrijfsvoering te kunnen garanderen. En onafhankelijk of dat je dan identitydiensten, werkplekdiensten, endpointdiensten, backupdiensten. Het gaat er gewoon om dat wanneer het risico is, gebaseerd op hoeveel budget dat je hebt, dat je het op een acceptabel niveau hebt en dat je daar ook het gesprek met elkaar over durft aan te gaan. Ja, wat voor informatie heb je dan nodig om dat ook aan toonbaar te maken? Dat vind ik een interessant vraagstuk. Ik kijk even naar links voor de uitsmeter, want we zitten er een beetje doorheen door de tijd, maar ik denk, ja, misschien heb jij nog even iets toe te voegen aan deze transitie. Elk bedrijf heeft een CIO nodig. Het is wel een grote rol in zo'n organisatie. Wat wij al doen vanaf 2016 is de virtuele versie daarvan. Wij zorgen ervoor dat we praten over de business impact. IT is dan ook maar een middel. Hoe gaan we dat middel inzetten om de organisatie beter, slimmer en veiliger te maken? Op een goede en veilige manier. Die dienst is wat wij dus geautomatiseerd hebben. Dat is onze virtuele CIU dienst. Met een stukje automation erachter via 24-7. Continuous compliance. Inzagen kan geven op 24 uur per dag. Inzagen ook kan geven op alle... Veranderingspunten in een organisatie, waar we dus gereedschap in nodig hebben. En dat zijn er heel veel, vanuit de PSA's, het documentaatsysteem, vanuit beleid. Dat moet de CIO ook doen. De CIO moet dat ook weten en leveren. Zeker. En die moet ook weten wat het vijfjarenplan van de directie is. En daar gaan jullie dan een idee aan. Vijf jaren is wel lastig hoor. Ja, maar dat is wat je als organisatie toch een punt op de horizon moet nemen. Kunnen we eens overkijken voor cybersecurity? Nee, maar het gaat niet om cybersecurity. Cybersecurity is een onderdeeltje, want het gaat over je hele IT. Je infra, je wifi, noem maar op. Dus je wil met die klant weten waar wil jij over vijf jaar staan? En hoe helpt IT in de breedste zin van het woord mij om daar te komen? Als we een uitdaging hebben voor cybersecurity en je wil IT over het algemeen over vijf jaar een stip aan de horizon zetten, denk ik dat partners het nog veel moeilijker gaan krijgen om het dan bijvoorbeeld over planten en computers te gaan hebben. Kijk en ik denk, ik zit in jouw lijn, alleen als ik even kijk naar de MSP, dan kijken we even naar jou, want jij bent de MSP. Kijk, de gemiddelde klant van de MSP is de MKB ondernemer. En ik denk dat die 9 van de 10 keer niet in de modus van hele grote overkoepelende plannen en dingen zit. Die zitten er gewoon best wel pragmatisch in, denk ik. Er wordt veel van ons verwacht dat we worden geïncludeerd in de visie van de groei van zo'n klant. En daar ook het zorgen dat de governance dan ook geregeld is. Niet vergeten, je kan iets zeggen dat iemand moet doen, maar hoe waarborg je dat dat ook gedaan wordt. Welk beleid spreekt een klant af en wat spreek je daar af? Je kan het één keer per jaar een meting doen bij Spreken en dan een beleid afspreken in een mooi woorddocument. Je gaat in de kast en iedereen heeft wat te keren met het opzetapparaat. Misschien is de morgen alweer anders. Dus dan heb je een beleidsafwijking. Dus onze taak om eigenlijk de klant aan te geven... je hebt een afwijking op je eigen beleid. Wat wij hebben afgesproken. Wat ga je daaraan doen? Wat wil je dat we daaraan doen. Hey, to wrap it up. Wat nemen we mee vandaag? Wat nemen we mee vandaag? Ik weet dat er nog heel veel werk is in de wereld van cybersecurity voor MSP'ers. Wat ik iedereen wil uitdagen om die transitie waar we het net over hebben, om daar de mijlpalen voor neer te zetten. Wat hebben jouw eindklanten nodig om cybersecurity diensten betaalbaar neer te zetten? Maar ook met de context die nodig is om het uitlegbaar te maken aan die eindklanten. En vooral die context, daar kan je als MSP wat aan doen. Blijf niet praten in allerlei moeilijke technische termen. Dat praat die eindklant ook niet. Maar houd het gewoon uitlegbaar en begrijpbaar. Misschien moet je ook gewoon weer gaan versimpelen. Niet je 400 tools, de 50 tools gebruiken. Welke hebben we dan niet meer nodig? Meer vanuit de platformgedachte. Harm? Ik neem mee dat ik denk dat we echt een slag kunnen maken nog bij gebruikers die zelf achter het toetsenbord zitten, dat we die echt nog mee kunnen nemen in welke verantwoordelijkheden ze zelf hebben over de data en over de spullen van hun eigen bedrijf waar ze werken. Beter uitleggen wat de impact is als er iets misgaat. En ik denk dat we daar op hele korte termijn, de technische tools zijn er, maar ik denk dat M-Space daar echt nog op kunnen inzetten om die niet de eindklant, maar echt de eindgebruikers mee te nemen in hoe moet je nou dingen beter doen en hoe kan het veiliger? Wat ik heb meegenomen... Ik heb nooit verwacht dat mensen aan de leverancierskant zitten van de MSP zo technisch kunnen zijn. Ik heb nog nooit zoveel technische termen gehoord. Ik had de techniek, maar het bewondert mij. dat jullie eigenlijk aangeven hoe belangrijk het is om de klant, maar ik weet heel zeker, alles wat judges zeggen, hoe, op de manier hoe dat verteld wordt, heeft een klant echt geen idee waar je het over heeft. Ik praat met MS Space, ja. Dat snap ik. Dat heb ik meegenomen, omdat het heel belangrijk is, dat heel belangrijk is, dat de managers, providers, zoals wij, de echte brug kunnen neerleggen naar de klant. Nogmaals, met Lego, Ik mag geen clown hangen, maar met blokjes, zeg maar, die we vonden ten dolke. En een beetje een bolsje had ik erin gekomen. Wat heb jij meegenomen hieruit? Wat ik heb meegenomen? Ik moet deze nog even digesten. Ik vond dit wel interessant. Dus ik vond de dynamiek interessant. En... Ja, ik had wel... Ik moet hem nog even verwerken. Oké. Ik kijk je volgende week. Dus dank. Goed voor een nieuwe tafel over cyberspiriting. Ja, die gaat zeker nog wel voorbij komen, schat, ik zou denken.